Інвертаризації мережі. Частина 2
################################################## ###############################@ @
@ :: LwB Security Team :: @
@ @
################################################## ###############################
# -written By Gotius #
# -e-Mail: [email protected] #
# -http: //www.lwbteam.org #
# -date: 31/01/2004 #
# -comments: No #
################################################## ###############################
- = Інвертаризації мережі. Частина 2 = -
***************************************
Отже, сьогодні я продовжу тему Інвентаризація мережі. Почну я з того, що приведу
список WHOIS серверів, який буде вам дуже корисний при зломі «серйозних»
мереж. Сервера, які містять в собі інформацію про урядові, військові і
просто державних мережах.
---
http://whois.ripe.net (Європа)
http://whois.apnic.net (Тихоокеанський регіон Азії)
http://whois.nic.mil (Військові відомства США)
http://whois.nic.gov (Урядові відомства США).
---
Це можна назвати невеликим доповненням до попередньої статті. Зараз же, якщо ви
усвідомили, що потрібно зібрати якомога більше інформації про ту мережі, яку ви
збираєтеся зламати, то я хочу привести вам не дуже складний, але дуже корисний
спосіб збору інформації.
Як відомо нам всім, є такі комерційні компанії, які час від часу
зливаються разом. Особливо, деяким тільки надай можливість влити в себе
дрібну, так вони просто з радістю зроблять це! Самі здогадливі вже зрозуміли до чого
я веду. До того, що вони так само зливають свої мережі. При цьому виникають хмари мінусів
для них же, але для нас є два основних, які так приємно використовувати.
Перше - це те, що сама мережа дрібної компанії може бути дірявим решетом, так що
якщо ми туди проникне, то нам буде відкритий доступ в ту мережу, якою завідує той
самий гігант. Другий мінус: коли об'єднуються мережі, то виникає гігантська
плутанина з усіма адресами, серверами, доменами, не кажучи вже про безпеку,
так що якщо вони дуже поспішають, то роблять стільки дірок, що в мережу можна увійти як
на параді.
Отже, щоб знайти якусь інформацію, то нам потрібно скористатися таким
чудовим сервером як www.sec.gov (на жаль, відноситься тільки до «забугру»,
але про наші можна дізнатися з новин). Там в пошуковику забиваємо ім'я компанії і
починаємо аналізувати все те, що нам привалило. Ах, да не здумайте забити ім'я в
першу ж форму, нам потрібна база EDGAR, так що або самі йдіть через головну
сторінку, що я і рекомендую, тому що можна і потрібно ознайомитися ос усіма
можливостями цього сервера, якщо лінь, то:
http://www.sec.gov/edgar/searchedgar/webusers.htm. Ось тут нам буде представлений
пошук по всіх типах подій в компаніях, навіть з продажу акцій. Але ми почнемо з
Companies & Other Filers.
Я все про дрібном'який ...
************************************************** *******************************
Form | Formats | Description | Filing Date | File Number
************************************************** *******************************
4 | [html] [text] 30 KB | Statement of changes in | 2004-01-30 |
| | beneficial ownership of | |
| | securities | |
-------------------------------------------------- -------------------------------
4 | [html] [text] 4 KB | Statement of changes in | 2004-01-29 |
| | beneficial ownership of | |
| | securities | |
-------------------------------------------------- -------------------------------
4 | [html] [text] 39 KB | Statement of changes in | 2004-01-29 |
| | beneficial ownership of | |
| | securities | |
-------------------------------------------------- -------------------------------
4 | [html] [text] 5 KB | Statement of changes in | 2004-01-28 |
| | beneficial ownership of | |
| | securities | |
-------------------------------------------------- -------------------------------
4 | [html] [text] 32 KB | Statement of changes in | 2004-01-28 |
| | beneficial ownership of | |
| | securities | |
-------------------------------------------------- -------------------------------
8-K | [html] [text] 225 KB | Current report, item 12 | 2004-01-22 | 000-142784
-------------------------------------------------- -------------------------------
4 | [html] [text] 4 KB | Statement of changes in | 2004-01-13 |
| | beneficial ownership of | |
| | securities | |
-------------------------------------------------- -------------------------------
4 | [html] [text] 4 KB | Statement of changes in | 2004-01-12 |
| | beneficial ownership of | |
| | securities | |
-------------------------------------------------- -------------------------------
4 | [html] [text] 6 KB | Statement of changes in | |
| | beneficial ownership of | |
| | securities | |
************************************************** *******************************
Там ще тисяча «знайда», так що я їх не наводжу, а привів тільки нові. як
ми бачимо в перших рядках, мелкомякгіе взяли на себе багато, так що їх ось і
подивимося. Наприклад, остання новина була:
-------------------------------------------------- --------------------------------
ACCESSION NUMBER: 0000902012-04-000004
CONFORMED SUBMISSION TYPE: 4
PUBLIC DOCUMENT COUNT: 1
CONFORMED PERIOD OF REPORT: 20040128
FILED AS OF DATE: 20040130
ISSUER:
COMPANY DATA:
COMPANY CONFORMED NAME: MICROSOFT CORP
CENTRAL INDEX KEY: 0000789019
STANDARD INDUSTRIAL CLASSIFICATION: SERVICES-PREPACKAGED
SOFTWARE [7372]
IRS NUMBER: 911144442
STATE OF INCORPORATION: WA
FISCAL YEAR END: 0630
BUSINESS ADDRESS:
STREET 1: ONE MICROSOFT WAY #BLDG 8
STREET 2: NORTH OFFICE 2211
CITY: REDMOND
STATE: WA
ZIP: 98052
BUSINESS PHONE: 4258828080
MAIL ADDRESS:
STREET 1: ONE MICROSOFT WAY - BLDG 8
STREET 2: NORTH OFFICE 2211
CITY: REDMOND
STATE: WA
ZIP: 98052-6399
REPORTING-OWNER:
OWNER DATA:
COMPANY CONFORMED NAME: GATES WILLIAM H III
CENTRAL INDEX KEY: 0000902012
FILING VALUES:
FORM TYPE: 4
SEC ACT: тисяча дев'ятсот тридцять чотири Act
SEC FILE NUMBER: 000-14278
FILM NUMBER: 04554865
BUSINESS ADDRESS:
STREET 1: ONE MICROSOFT WAY
CITY: REDMOND
STATE: WA
ZIP: 98052
BUSINESS PHONE: 4258828080
MAIL ADDRESS:
STREET 1: ONE MICROSOFT WAY
CITY: REDMOND
STATE: WA
ZIP: 98052
Document 1 - file: edgar.html
Document 1 - RAW XML: edgar.xml
-------------------------------------------------- --------------------------------
Йдемо по ссилочку і бачимо документ. Якщо редактор виріже його, то самі подивіться.
Я урізав файл.
-------------------------------------------------- --------------------------------
1. Name and Address of Reporting Person *
GATES WILLIAM H III
(Last) (First) (Middle)
---
ONE MICROSOFT WAY
(Street)
---
REDMOND WA 98052
(City) (State) (Zip)
---------------------
2. Issuer Name and Ticker or Trading Symbol
MICROSOFT CORP [MSFT]
---------------------
3. Date of Earliest Transaction (Month / Day / Year)
01/28/2004
---------------------
4. If Amendment, Date of Original Filed (Month / Day / Year)
---------------------
5. Relationship of Reporting Person (s) to Issuer
(Check all applicable)
-------------------------------------------------- -----
| X | Director | X | 10% Owner |
-------------------------------------------------- -----
| X | Officer (give | | Other (specify below) |
| | title below) | | |
-------------------------------------------------- -----
| Chairman of the Board |
-------------------------------------------------- -----
6. Individual or Joint / Group Filing (Check Applicable Line)
-------------------------------------------------- ---------
| X | Form filed by One Reporting Person |
-------------------------------------------------- ---------
| | Form filed by More than One Reporting Person |
-------------------------------------------------- ---------
Table I - Non-Derivative Securities Acquired, Disposed of, or Beneficially Owned
1. Title of Security (Instr. 3)
2. Transaction Date (Month / Day / Year)
2A. Deemed Execution Date, if any (Month / Day / Year)
3. Transaction Code (Instr. 8)
4. Securities Acquired (A) or Disposed Of (D) (Instr. 3, 4 and 5)
5. Amount of Securities Beneficially Owned Following Reported Transaction (s)
(Instr. 3 and 4)
6. Ownership Form: Direct (D) or Indirect (I) (Instr. 4)
7. Nature of Indirect Beneficial Ownership (Instr. 4)
3a - Code 3b - V 4a - Amount 4b - (A) or (D) 4c - Price
************************************************** *******************************
| 1 | 2 | 2a | 3 | 4 | 5 | 6 | 7
| | | | -------- | -------------------- | | |
| | | | 3a | 3b | 4a | 4b | 4c | | |
************************************************** *******************************
Common Stock | 01/28/2004 | | S | | 10,000 | D | $ 28.4 | 1,156,489,336 | D |
Common Stock | 01/28/2004 | | S | | 65,000 | D | $ 28.35 | 1,156,424,336 | D |
Common Stock | 01/28/2004 | | S | | 25,000 | D | $ 28.34 | 1,156,399,336 | D |
Common Stock | 01/28/2004 | | S | | 25,000 | D | $ 28.28 | 1,156,374,336 | D |
Common Stock | 01/28/2004 | | S | | 25,000 | D | $ 28.25 | 1,156,349,336 | D |
Common Stock | 01/28/2004 | | S | | 25,000 | D | $ 28.24 | 1,156,324,336 | D |
Common Stock | 01/28/2004 | | S | | 25,000 | D | $ 28.23 | 1,156,299,336 | D |
Common Stock | 01/28/2004 | | S | | 25,000 | D | $ 28.2 | 1,156,274,336 | D |
Common Stock | 01/28/2004 | | S | | 25,000 | D | $ 28.15 | 1,156,249,336 | D |
Common Stock | 01/28/2004 | | S | | 78,600 | D | $ 28.09 | 1,156,170,736 | D |
Common Stock | 01/28/2004 | | S | | 223,150 | D | $ 28.08 | 1,155,947,586 | D |
Common Stock | 01/28/2004 | | S | | 103,000 | D | $ 28.07 | 1,155,844,586 | D |
Common Stock | 01/28/2004 | | S | | 78,300 | D | $ 28.06 | 1,155,766,286 | D |
Common Stock | 01/28/2004 | | S | | 80,400 | D | $ 28.05 | 1,155,685,886 | D |
Common Stock | 01/28/2004 | | S | | 50,000 | D | $ 28.04 | 1,155,635,886 | D |
Common Stock | 01/28/2004 | | S | | 50,000 | D | $ 28.03 | 1,155,585,886 | D |
Common Stock | 01/28/2004 | | S | | 25,000 | D | $ 28.02 | 1,155,560,886 | D |
Common Stock | 01/28/2004 | | S | | 61,550 | D | $ 28.01 | 1,155,499,336 | D |
| | | | | | | | (1) | |
************************************************** *******************************
Ось таким ось простим чином ми отримав дещо - яку інформацію про їх рахунках і
транзакціях. Пошукайте в інших доках на сервері і ви самі дізнаєтесь багато
цікавого про пристрій компанії, а значить про можливі особливості мереж, які не
забудьте пошукати subsidiary (дочірня), так можна дізнатися про злиття.
Зараз я все ж повернуся до тем, які ближче до самої теми злому і
інвентаризації. І перше що нам потрібно, так це з'ясувати що таке «Перенесення зони
DNS ». Як правило, у компаній, у яких є свої ДНС сервера, є і вторинні
ДНС. Їм так потрібно для того, щоб вторинний прийняв на себе роботу в тому випадку,
якщо перший впаде. Для цього їм необхідно здійснити Перенесення зони ДНС між
собою, щоб вторинний знав все про свою мережі. На щастя багато сервера налаштовані
таким чином, що вони надають подібну послугу всім робить, в т.ч. і нам.
Таким чином ми самі все дізнаємося про ту мережі, що ми досліджуємо. Як правило, якщо
мережу велика, то ми можемо покачати багато цієї інформації, і розривати її ми будемо
довго і наполегливо. Але я покажу найкоротший шлях.
Спочатку, відразу розставимо всі крапки над "i" для тих, хто прихильник Windows. З під
цієї осі, вам ніколи не провести серйозного злому. Якщо ви Скрипт-Кіддіс, то,
будь ласка, користуйтеся, але я намагаюся навчити серйозного хаку, так щось, що я
вже встиг написати це лише сота частка того, що вам ще треба прочитати в
моїх статтях. Отже, якщо ви вирішили все ж стати хакерами, то переходите в Нікс і
читайте далі, якщо ви скажете, що завтра збігає в магазин за дистрибутивом,
то, здається «Sam Spade» вміє переносити зону, так що сьогодні ви ще можете
нікуди не бігти. Але зараз я буду писати для нікс, так як ніколи не
користувався Виймемо для хака, тому і «Sam Spade» бачив теж раз або два в житті.
Для початку нам потрібно така утиліта, яка повинна бути у всіх Нікс по
замовчуванням (я сиджу під FreeBSD і там вона є, в RedHat також є). Ця річ
називається nslookup (так, ну що, хтось не підозрював, що її можна
використовувати?).
Робиться це так ...
-------------------------------------------------- --------------------------------
# nslookup
Default Server: (а от не скажу, де я перебуваю)
Address: xxxx
>> Serv 213.199.144.151 (IP ДНС, який ми з'ясували в попередній статті, або тим
ж методом)
>> Ls -d microsoft.com >> / tmp / dns_zone
-------------------------------------------------- --------------------------------
Ось так все просто! Правда у дрібном'який ця зона така, що можна повіситься при
очікуванні того, коли ж вона перенесеться, так що тренуйтеся на маленьких мережах.
Я так само не став чекати поки вона перенесеться повністю, тому я приведу
тільки маленький фрагмент файлу, але він як не можна, краще відображає всю сутність.
---------------------------------------------
| ID | IN | | 213.199.144.153
| acct26 | | A | Hinfo #Gateway, WIN2K
| | | MX | 0 andromеda
| | | RP | sat.hfols
| | | TXT | Location: room15
---------------------------------------------
Ви самі то подивіться на те, яку відмінну інформацію ми отримали! IP побачите
самі, в поле «А» ми бачимо характеристику машини, це Гейвіл на базі винять 2000, під
поле «МХ» характеристика софтина, поле «RP» нам дає ймення, а ось «ТХТ» це
ласий шматочок, якщо ми хочемо представити розташування мережі по будівлі. це поле
може бути і не заповнено. Це заповнюють самі люди, щоб знати куди йти, якщо
що стежить. Взагалі, найкраща програма для цієї мети, AXFR! Являє все стисло
і в кращому вигляді.
Тепер ми почнемо потихеньку підкрадатися до самої мережі і почнемо її зондування.
Для цього нам знадобиться traceroute. намагаємося 213.199.144.153
************************************************** ********************************
Hop Time 1 Time 2 Time 3 IP Hostname
Return TTL Country Time
************************************************** ********************************
1 25 ms 30 ms 29 ms 216.26.128.225 kenny.fe-0-0-0.sdf.xodiax.net.
252 UNITED STATES Unix: 10: 56: 23.203
-------------------------------------------------- --------------------------------
2 31 ms 36 ms 35 ms 65.117.168.137 chi-edge-09.inet.qwest.net.
251 UNITED STATES Unix: 10: 56: 23.247
-------------------------------------------------- --------------------------------
3 40 ms 350 ms 350 ms 205.171.20.125 chi-core-03.inet.qwest.net.
250 UNITED STATES Unix: 10: 56: 23.296
-------------------------------------------------- --------------------------------
4 28 ms 32 ms 39 ms 205.171.20.142 chi-brdr-03.inet.qwest.net.
250 UNITED STATES Unix: 10: 56: 23.648
-------------------------------------------------- --------------------------------
5 50 ms 54 ms 54 ms 205.171.1.162 [Missing reverse DNS entry]
249 UNITED STATES
-------------------------------------------------- --------------------------------
6 31 ms 35 ms 35 ms 144.232.26.2 sl-bb21-chi-15-0.sprintlink.net.
248 UNITED STATES
-------------------------------------------------- --------------------------------
7 40 ms 50 ms 59 ms 144.232.9.148 sl-bb22-nyc-15-0.sprintlink.net.
244 UNITED STATES
-------------------------------------------------- --------------------------------
8 40 ms 50 ms 59 ms 144.232.7.105 sl-bb20-nyc-14-0.sprintlink.net.
245 UNITED STATES
-------------------------------------------------- --------------------------------
9 120 ms 130 ms 139 ms 144.232.9.162 sl-bb22-lon-12-0.sprintlink.net.
244 UNITED STATES
-------------------------------------------------- --------------------------------
10 100 ms 109 ms 119 ms 213.206.128.102 sl-gw21-lon-1-1.sprintlink.net.
242 UNITED KINGDOM Unix: 10: 56: 24.208
-------------------------------------------------- --------------------------------
11 * * *
-------------------------------------------------- --------------------------------
12 * * *
-------------------------------------------------- --------------------------------
13 * * *
************************************************** ********************************
Ось така справа, після 10-го кроку нас вже не пустили. Тому що ми відсилали запит
за замовчуванням, а він відмінно просто відсівається фільтрами. Забув сказати що під
вийми можна використовувати Visual Route.
А ось інший запросік!
-------------------------------------------------- --------------------------------
# Traceroute -S -p53 213.199.144.151
1 213.59.90.237 (213.59.90.237) 1.468 ms 0.684 ms 0.771 ms (0% loss)
2 spb-81-211-103-81.sovintel.ru (81.211.103.81) 2.481 ms 2.180 ms 2.527 ms (0%
loss)
3 17.spb.sovintel.ru (213.221.63.17) 12.813 ms 16.669 ms 33.814 ms (0% loss)
4 cisco02.Moscow.gldn.net (194.186.157.249) 36.987 ms 31.865 ms 33.341 ms (0%
loss)
5 cisco03.Moscow.gldn.net (194.186.157.222) 45.598 ms 55.444 ms 42.085 ms (0%
loss)
6 sl-gw10-sto-3-0.sprintlink.net (80.77.97.125) 56.038 ms 55.907 ms 55.813 ms
(0% loss)
7 sl-bb21-sto-8-0.sprintlink.net (80.77.96.41) 56.066 ms 55.598 ms 56.348 ms
(0% loss)
8 sl-bb21-cop-12-0.sprintlink.net (213.206.129.33) 56.495 ms 56.527 ms 60.234
ms (0% loss)
9 sl-bb20-lon-14-0.sprintlink.net (213.206.129.37) 84.759 ms 73.822 ms 73.762
ms (0% loss)
10 sl-gw21-lon-1-1.sprintlink.net (213.206.128.102) 73.313 ms 87.128 ms 88.978
ms (0% loss)
11 sle-micro22-6-0.sprintlink.net (213.206.158.146) 74.170 ms 75.901 ms 74.832
ms (0% loss)
12 * * igbaihsssc7504-f1-00.msft.net (213.199.144.77) 84.178 ms (66% loss)
13 igbaihsssc7504-f1-00.msft.net (213.199.144.77) 74.668 ms! X * * (66% loss)
14 * igbaihsssc7504-f1-00.msft.net (213.199.144.77) 200.715 ms! X * (66% loss)
15 * * * (100% loss)
16 * * igbaihsssc7504-f1-00.msft.net (213.199.144.77) 91.999 ms! X (66% loss)
17 * igbaihsssc7504-f1-00.msft.net (213.199.144.77) 93.588 ms! X * (66% loss)
18 igbaihsssc7504-f1-00.msft.net (213.199.144.77) 73.655 ms! X * 75.182 ms
! X (33% loss)
-------------------------------------------------- --------------------------------
Я не привів повного маршруту, тому що ви отримаєте його самі (в будь-якому випадку ми вже
потрапили в мережу дрібном'який), але на обличчя той факт, що наші пакети прорвалися !!! В
чому фішка, а в тому, що є ключ -S (не у всіх версіях, якщо немає, то качайте
нову). Цей ключик каже, якщо я не помиляюся додавати TTL +1 (time to live)
після кожного пройденого хоста. А ось ключик -р, задає певний порт, на
який ми шолом, так що ми послали на порт, який служить для запитів ДНС, так
що для нього було б неввічливо не відповісти.
Ось так нам доведеться подивитися кожен комп в мережі, і ми дізнаємося що і де варто.
З наведеного файлу ми дізналися, що ми потрапили в мережу через 213.199.144.77
(Далі розбиралися з пакетами, чому вони губляться, але потім втрати
припинилися, можна зрозуміти по 100% -> 66% -> 33%).
Copyright 2002-2004 by LwB Security Team. All rights reserved.
Коментарі
Коментуючи, пам'ятайте про те, що зміст і тон Вашого повідомлення можуть зачіпати почуття реальних людей, проявляйте повагу та толерантність до своїх співрозмовників навіть у тому випадку, якщо Ви не поділяєте їхню думку, Ваша поведінка за умов свободи висловлювань та анонімності, наданих інтернетом, змінює не тільки віртуальний, але й реальний світ. Всі коменти приховані з індексу, спам контролюється.