 |
|
 |
LU.NET.UA - Захист інформації в інтернеті |
 |
|
|||||||||||||||||||||||||||||||||||||||||||||||||
| |||||||||||||||||||||||||||||||||||||||||||||||||
|
|||
|
|
|||
|
|
Етап 3. Прослуховування серверів DNS
Після встановлення всіх доменів можна приступати до роботи з серверами DNS. DNS — це розподілена база даних, призначена для перетворення IP-адресов в імена вузлів і навпаки. Якщо сервер DNS не налаштований на забезпечення максимального ступеня захисту, то з його допомогою можна отримати інформацію про внутрішню мережу організації.
Перенесення зони
Одна з найсерйозніших помилок адміністратора при налаштуванні параметрів мережі полягає в наданні можливості зломщикові здійснити перенесення зони DNS.
[bash]$ nslookup І нарешті, для отримання всіх записів, відповідних заданому критерію, скористаємося командою Is. Параметр -d служить для включення режиму виведення всіх записів домена. В кінці доменного імені доданий символ ".", як це потрібно для явного завдання повністю певного імені (fully qualified domain name). Проте в більшості випадків крапку можна не використовувати. Крім того, ми перепризначували вивід у файл /tmp/zone_out для можливості подальшого аналізу отриманих даних. Після виконання перенесення зони можна відкрити створений файл і подивитися, чи міститься в нім інформація, яка може допомогти нам у виборі якоїсь конкретної системи як плацдарм для проникнення в мережу. Ось фрагмент такого файлу.
[bash]$ more zone_out Припустимо, зломщик є експертом якої-небудь певної операційної системи, наприклад SUNOS або Solaris. У такому разі знайти у файлі IP-адреса, відповідні записам HINFO комп'ютерів SPARC, Sun або Solaris, можна за допомогою наступної команди. [bash]$ grep -i Solaris zone_out |wc -1 388 Таким чином, зломщик має 388 записів, в яких присутнє слово Solaris, і кожен з цих 388 комп'ютерів може стати потенційною жертвою.Припустимо, потрібно знайти комп'ютери, які використовуються для тестування програмного забезпечення або апаратних засобів. Такі комп'ютери часто представляють "ласий шматок" для зломщика, оскільки зазвичай на них встановлені мінімальні засоби забезпечення безпеки, використовується легко вгадуваний пароль, а адміністратори, як правило, не стежать за тим, хто за ними працює. Такі комп'ютери ідеально підходять для злому! Тому можна спробувати пошукати тестові системи за допомогою наступної команди. [bash]$ grep -i test /tmp/zone_out |wc -1 96 Отже, в нашому розпорядженні близько сотні записів файлу зони, в яких міститься слово test. Як правило, ця кількість приблизно відповідає кількості реальних тестових систем мережі. Приведені приклади — лише мала частина того, що можна при відомій частці наполегливості і винахідливості отримати з файлу зони. Досвідчений зломщик, "просіявши через сито" отримані дані, рано чи пізно виявить самий уразливий комп'ютер мережі, з якого він зможе почати вторгнення.Існують деякі особливості, про які потрібно пам'ятати. Вищеописаний метод дозволяє одночасно звертатися лише до одного сервера імен. Це означає, що зломщикові доведеться виконати ті ж операції по відношенню до решти всіх серверів імен, обслуговуючих необхідний домен. Крім того, ми поводилися із запитом лише до домена Acme.net. Якщо в мережі, що представляє інтерес, є підлеглі домени, доведеться виконати ті ж дії і з кожним з них (наприклад greenhouse.Acme.net). І нарешті, можна отримати повідомлення про те, що список записів домена недоступний або що запит не може бути виконаний. Таке повідомлення зазвичай говорить про те, що параметри налаштування забороняють виконувати перенесення зони з цього сервера. Проте якщо в мережі декілька серверів, то, можливо, вдасться знайти той з них, який дозволяє здійснювати перенесення зони. Тепер, коли ви познайомилися з тим, як перенесення зони виконується уручну, можна розглянути і ті засоби, які дозволяють прискорити цей процес. До таких засобів відносяться host, Sam Spade, axfr і dig. Команда host входить в комплект постачання багатьох версій системи UNIX. Ось декілька найпростіших способів її використання. host -1 Acme.net або host -i -v -t any Acme.net Якщо потрібно визначити лише IP-адреса, щоб згодом вставити їх в сценарій оболонки, можна скористатися командою cut, що дозволяє виділити IP-адреса з вихідного лістингу команди host. >>host -l acme.net |cut -f 4 -d" " » /tmp/ip_out В процесі попереднього збору даних використовувати команди системи UNIX для виконання всіх завдань немає необхідності. Існує досить багато продуктів для Windows, які дозволяють отримати ту ж інформацію (рис 1.5).І нарешті, можна скористатися одним з кращих засобів перенесення зони — утилітою axfr (http://ftp.edit.edu.cn/pub/linux/ www.trinux.org/src/netmap/axfr-0.5.2.tar.gz ), написаною Гаюсом (Gaius). Ця утиліта послідовно опитує вказані домени, виконує для кожного з них перенесення зони і створює стислу базу даних зони і файлів вузлів по кожному домену. Крім того, як параметр цій утиліті можна передати домени верхнього рівня, такі як com або edu, і отримати таким чином список всіх доменів, пов'язаних з вказаним доменом. Проте цією можливістю користуватися не рекомендується. Для запуску утиліти axfr використовуйте наступну команду.
[bash]$ axfr Acme.net Отримання записів обміну поштою (MX)
Визначення комп'ютера, на якому обробляється пошта, - це один з найбільш вдалих способів виявлення мережевого брандмауера організації, що представляє інтерес. Як правило, в комерційних компаніях пошта обробляється на тому ж комп'ютері, який служить як брандмауер, або принаймні на комп'ютері, який знаходиться в тому ж сегменті мережі. Для отримання докладнішої інформації можна скористатися командою host.
[bash]$ host Acme.net
Якщо команда host застосовується без параметрів або тільки з ім'ям домена, то спочатку вона спробує знайти записи А, а потім записи MX. Приведена вище інформація перетинається з тією інформацією, яку раніше була отримана при пошуку в базі даних ARIN з використанням утиліти whois. Це зайвий раз підтверджує, що ми правильно визначили адресу потрібної нам мережі.
Контрзаходи: забезпечення безпеки бази даних DNS
Інформація DNS представляє для хакера дуже великий інтерес, тому дуже важливо зменшити об'єм даних, доступних через Internet. З погляду налаштування вузла, необхідно обмежити можливість перенесення зони, дозволивши її лише певним серверам. У сучасних версіях служби BIND для цих цілей можна використовувати директиву xfernets файлу named.boot. Для того, щоб обмежити можливість перенесення зони служби DNS компанії Microsoft, необхідно використовувати параметр Notify (докладнішу інформацію з цього питання можна знайти за адресою
http://support.-microsoft.eom/support/kb/articles/ql93/8/37.asp). Для налаштування служб імен інших розробників необхідно звернутися до відповідної документації.
|
|
|||
|
|
|
|||
|
|
|||
|
|
|
Copyright © Klab-F 2024 |