Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

11.5. CRACKERTOOLS
Auch hier zeigt sich, daß sowohl Programme, die für den Einsatz durch Netzwerkadministratoren
konzipiert wurden, als auch von Crackern entwickelte Tools Einsatz finden können.
Allerdings kann dies auch umgekehrt gelten. Ein Administrator mag sich entscheiden, ein spezielles
Crackertool zur Diagnose oder zum Testen der Systemsicherheit anzuwenden.
„Exploits“: Exploits beruhen in der Regel auf einer ganz bestimmten Sicherheitslücke eines speziellen
Programms, wie bereits in Abschnitt 11.3.1 erläutert wurde.
Die Unterscheidung zwischen lokalen Exploits, also solchen, für die ein Shell-Zugang erforderlich
ist, und remote-Exploits, die den Zugang über einen Netzwerkdienst erlauben, ist für die
Technik ihrer Implementierung deutlich weniger wichtig als für ihre praktische Anwendung.
Passwordcracker: Hat ein Cracker eine Datei mit verschlüsselten Passwörtern erhalten, lassen sich
diese durch einen Lexikonangriff berechnen. „John“ 22 ist ein prominentes Beispiel eines Paßwort-
Crackprogramms, das nicht nur Wörter aus einem Lexikon, sondern auch sehr ausgefeilte Permutationen
und Kombinationen ausprobiert.
Logeditoren: Logeditoren können, wie auch Exploits, von erfahrenen Crackern und Hackern sehr
leicht für ihre speziellen Bedürfnisse selbst geschrieben werden. Sie suchen einfach nach bestimmten
Mustern in Klartext- oder binären Logs, die dann entfernt oder modifiziert werden.
Root-Kits: Unter einem „Root-Kit“ versteht man eine Sammlung von Trojanern, die mit einem Installationsscript
versehen werden, das die Trojaner installiert, und gegebenenfalls Spuren verwischt.
In einem im Sommer 1999 am Fachbereich Informatik aufgetretenen Fall wurde ein Rootkit
aufgespielt, das unter dem Dateinamen „neet.tar“ auf einem öffentlichen FTP-Bereich zu erhalten
war. Obwohl die Installation darin erfolgreich war, einen laufenden Netzwerksniffer zu
verbergen, fiel die Anwesenheit eines Endringlings dadurch auf, daß Logdateien durch das Installationsskript
gelöscht wurden.
Ein Root-Kit wird wohl dem Cracker am meisten nützen, wenn es wirklich speziell auf das
konkrete System maßgeschneidert wird, das angegriffen wurde, da vor der Implementierung
des Installationsskriptes erforscht werden muß, wohin z.B. die Logs geschrieben werden und ob
noch andere Sicherheitsmaßnahmen existieren, so daß das System sowohl mit einer effektiven
Hintertür versehen, als auch die Aktivität des Angreifers möglichst verborgen wird.
11.5.1 Beispiele für Crackertools
Es folgt ein Vergleich veschiedener Crackertools.
Die IP-Adressen bzw. -Hostnamen wurden in allen Beispielen unkenntlich gemacht, um Hinweise auf
die Testsysteme zu verbergen.
Saint
Saint ist eher als Auditing-Programm für Systemverwalter gedacht, die Sicherheitsprobleme in ihrer
eigenen Site überprüfen wollen. Das Paper von Farmer und Venema [Farmer & Venema] beschreibt
22 Es handelt sich bei „John the Ripper“ um einen Nachfolger des Programs „Jack the Ripper“.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 179