 |
|
 |
LU.NET.UA - Захист інформації в інтернеті |
 |
|
|||||||||||||||||||||||||||||||||||||||||||||||||
| |||||||||||||||||||||||||||||||||||||||||||||||||
|
|||
|
|
|||
|
|
Основні контрзаходи проти атак, направлених на розширення привілеїв
Як же позбавитися
від всіх програм, встановлених в ході вивчення вами даного розділу, і "залатати" "дірки", що все залишилися, в захисті? Оскільки багато хто з них був створений з доступом на рівні адміністратора, що дозволяє використовувати всі аспекти архітектури NT, а більшість потрібних нам файлів могли бути перейменовані і (або) настроєні десятками різних способів, це завдання досить нетривіальне. Ми пропонуємо наступні вирішення загального характеру, що зачіпають чотири основні області, до яких так чи інакше відносяться описувані в даному розділі питання: імена файлів, параметри системного реєстру, процеси і порти.
Для ознайомлення з деякими додатковими контрзаходами проти описаних атак ми настійно рекомендуємо прочитати про "потайні ходи" в розділі 14. Якщо зломщикові вдалося отримати привілеї адміністратора, то кращим виходом з ситуації є повне переустановлення системного програмного забезпечення з використанням перевірених носіїв. Досвідчений зломщик може настільки добре приховати певні "потайні ходи", що їх не вдасться виявити навіть досвідченим дослідникам. Ця рада дана в основному для створення повноти картини. Його не рекомендується застосовувати при організації подібних атак. Імена файлів
Контрзаходи, побудовані на використанні імен файлів, видно, найменш ефективні, оскільки будь-який хоч трохи міркуючий зломщик або перейменує файли, або зробить інші заходи, щоб приховати їх (див. нижче розділ "Заховання слідів"). Проте, забезпечивши себе в цьому відношенні, ви зможете ще на "дальніх підступах" виявити хоч би найменш винахідливих зломщиків.
Параметри системного реєстру
На відміну від утомливого пошуку файлів з певними іменами в надії, що вони не були змінені, пошук параметрів системного реєстру може виявитися особливо ефективним, оскільки більшість з розглянутих програм перешкодить строго певні параметри в строго певні місця системного реєстру. Хорошим местомом для початку пошуку є групи параметрів Hklm\software і Hkey_users\ .DEFAULT\Software, у яких більшість встановлюваних застосувань поміщають свої параметри. Зокрема, утиліти Netbus Pro і WINVNC зберігають свої параметри таким чином.
reg delete [параметр] \\компьютер Наприклад: С:\>reg delete Hkey_users\.DEFAULT\Sofware\ORL\WinVNC3 \\192.168.202.33 Параметри системного реєстру, керівники запуском програм в процесі завантаження
Грунтуючись на своєму досвіді, можемо відзначити, що практично всі зломщики поміщають параметри своїх програм в стандартну групу параметрів системного реєстру, керівників запуском додатків при завантаженні Windows. Тому на предмет наявності шкідливих або підозрілих параметрів потрібно регулярно перевіряти відповідні області системного реєстру, перераховані нижче.
Розглянемо невеликий приклад. На приведеному нижче малюнку показано вікно редактора системного реєстру, в якому відображається інформація про програму netcat, що запускається при кожному завантаженні Windows (група параметрів Hklm\ . . \ . . \Run) для прослуховування порту 8080.
В даному випадку зломщик у будь-який момент може скритно підключитися до системи, принаймні до тих пір, поки адміністратор, узявшись за розум, не перевірить системний реєстр і не видалить з нього відповідний параметр.
Процеси
Для виявлення тих хакреських інструментів, які не можна перейменувати або приховати яким-небудь іншим способом, можна проаналізувати список процесів, що виконуються на комп'ютері. Наприклад, за допомогою команди AT можна запланувати завдання, яке проглядає список процесів і видаляє з нього такі виявлені процеси, як remote.exe або пс.ехе. Оскільки для використання сервера remote в системному адмініструванні немає особливих причин (особливо, якщо врахувати, що ця утиліта не виконує аутентифікації), то для періодичного видалення її із списку процесів можна використовувати команду kill.exe з набору NTRK. У наступному прикладі показано, як за допомогою команди AT запланувати завдання, яке виконуватиметься щодня в шість годинників ранку і видаляти процес remote. Це трохи грубо, та зате ефективно — вам залишається лише набудувати час запуску відповідно до своїх переваг.
C:\>at 6а /е:1 Порти
Навіть якщо
такі утиліти, як remote або пс, були перейменовані, утиліта netstat допоможе виявити їх присутність по наявності портів, що знаходяться в стані очікування або з'єднання. Періодичний запуск netstat з метою перевірки подібних з'єднань — це іноді якнайкращий спосіб знайти їх. У наступному прикладі показано, як утиліта netstat, запущена на цільовому сервері в той час, коли зломщик підключився до нього за допомогою утиліт remote, nc і встановив з'єднання з портом 8080, відображає результати опиту портів (опис параметра -an можна дізнатися, ввівши в командному рядку команду netstat /?). Звернете увагу, що в з'єднанні remote використовується порт TCP 139, а утиліта netcat знаходиться в стані очікування і має одне встановлене з'єднання з портом TCP 8080 (решта даних, netstat, що відображаються, видалена для наочності).
С:\> netstat -an За допомогою конвеєра, організованого між командами netstat і find, можна отримати дані про певні порти. Так, за допомогою наступної команди виконується пошук серверів Netbus, що прослуховують порт за умовчанням netstat -an| find "12345" Утиліта fport від компанії Foundstone (http://www.foundstone.com) дозволяє отримати комбіновану інформацію про процеси і порти. Вона надає перелік всіх активних сокетів і ідентифікаторів процесів, що використовують з'єднання. Ось приклад її результатів.
FPORT - Process port
mapper |
|
|||
|
|
|
|||
|
|
|||
|
|
|
Copyright © Klab-F 2024 |