Февраль

взломАудит роутератерминальный сервер, что имеется FTP-серверс разрешенным anonymous-доступом, откудая выкачал кучу интересных данных сотрудниковзаведения.Существует дефект: при эмуляции вызоваLsaQueryInformationPolicy() можно определитьhost SID (Security Identifier), который может бытьиспользован для получения листа локальныхпользователей, размещенных на хосте. Такя получил список всех юзеров.The remote host SID value is :1-5-21-790525478-630328440-1801674531CVE : CVE-2000-1200BID : 959— Administrator account name: ?4@ (id 500)— Guest account name : ?>ABL (id501)— HelpAssistant (id 1000)— HelpServicesGroup (id 1001)— SUPPORT_388945a0 (id 1002)— Sergey (id 1003)— Aleksey (id 1004)Их логины можно было использовать дляпробручивания учетных записей на терминалес помощью medusa (читай статью«Терминальная эпопея»), что я и сделал, получивпарочку аккаунтов. Это позволило мнепобродить по пользовательским файлам всехработников, а на одной машине валялась тасамая «Lunar».Не стоит забывать об информации, которую предоставиласлужба NetBIOS. Действительно, нашацель находится в сетевой группе. Заходимв «Сетевое окружение Отобразить компьютерыв рабочей группе» (консольно: netview). Чтобы получить детальную информациюо строении сети, открой вкладку «MicrosoftWindows Network (MWN)». Выполнил проверкуресурсов сети net use, анализируй их напредмет шар. Безусловно, я бы мог покопатьсяв «чужом белье», полазив по компам рабочейгруппы, но все же существует определеннаяэтика, о которой следует помнить любомухакеру, поэтому я ограничился простымnetsend'ом с девизом «Priwet kolgotochniki! gemaglab1n (C)» и просмотром желаемой базына харде одного из сотрудников. Я умышленноне стал скрывать свое присутствие, и это ввелоадминов в панику — судорожно они началипроизводить защитные действия и сканымоей системы. Но у меня всегда грамотнонастроена IDS, файрвол (wipf), а ОС перебитас помощью Security Cloacker'a (его ты найдешьна диске). При попытке определения«марки» моей системы, товарищам сотрудникамвыдавалось язвительное сообщение«Playstation». Удивлен? Дело в том, что, изменяяпараметры в реестровой ветке SYSTEM\\CurrentControlSet\\Services\\Tcpip\, ты сможешь«смущать» любые сканеры безопасности, ведьони основываются на вполне традиционныхметодах анализа. zxàêåð 02 /98/ 07/073