Інвертаризації мережі. Частина 1
################################################## ###############################@ @
@ :: LwB Security Team :: @
@ @
################################################## ###############################
# -written By Gotius #
# -e-Mail: [email protected] #
# -http: //www.lwbteam.org #
# -date: 28/01/2004 #
# -comments: No #
################################################## ###############################
- = Інвертаризації мережі. Частина 1 = -
***************************************
Сьогодні я вирішив все таки почати статтю про те, як правильно провести
інвентаризацію мережі або одного сервера окремо. Більш докладно я зупинюся на
першому пункті, тому що він є найбільш складним. В першу чергу, ця стаття
направлена до новачків у нелегкій хакерському праці, хоча ветерани, також можуть
знайти її цікавою. Тут я постараюся охопити всі способи, але не весь софт,
який можна використовувати, тому що це просто неможливо, я приведу тільки кращі в
своєму класі продукти.
Отже, всупереч існуючим віруванням, насамперед коли ти вирішив щось зламати,
не потрібно хапати перший-ліпший сканер портів, набивати туди хост і чекати
результатів. Тим більше, якщо використовуються ICMP пакети, при timeout в одну секунду.
Простіше кажучи, якщо навіть сервер налаштований погано, і ваші пакети пройдуть через
брендмауер, то дуже скоро адмін побачить, що його порти буквально завалюються
пакетами ICMP (тип ECHO). Відповідно, він подивиться адреса відправника і тоді,
якщо ви не ховаєтеся під енною кількістю анонімних проксі, він зможе рахувати
вас, але так як сканування НЕ протизаконно, то подальші його дії будуть:
побиття скануючого в темному під'їзді або додавання IP в чорний список, ну або
всі разом.
По цьому видно, що не варто лізти на рожен, а приготуватися виконати дуже
простенькі дії без ризику для здоров'я. Спочатку розберемося з нашим ворогом.
Нехай це буде Microsoft.com. Насамперед потрібно зібрати якомога більше
інформації про їх мережі. Для цієї мети я віддаю перевагу:
[Http://www.internic.net/whois.html]
Забивши мелкосовтовцев в поле, ми отримуємо наступне:
-------------------------------------------------- --------------------------------
Domain Name: MICROSOFT.COM
Registrar: NETWORK SOLUTIONS, INC.
Whois Server: whois.networksolutions.com
Referral URL: http://www.networksolutions.com
Name Server: DNS1.CP.MSFT.NET
Name Server: DNS1.TK.MSFT.NET
Name Server: DNS3.UK.MSFT.NET
Name Server: DNS1.DC.MSFT.NET
Name Server: DNS1.SJ.MSFT.NET
Status: REGISTRAR-LOCK
Updated Date: 26-nov-2003
Creation Date: 02-may-тисячі дев'ятсот дев'яносто один
Expiration Date: 03-may-2012
-------------------------------------------------- --------------------------------
Ну ось так завжди, у будь-яких виродків купа DNS (domain name server) серверів.
У цих аж п'ять п'ятьма країнами. Завели вони свою регістраціонку 02-май-тисяча дев'ятсот дев'яносто одна. може
і стане в нагоді ...
Отже, наші Мелкософтовци не дурні, тому не залишили ніякої інформації про себе на
www.arin.net або інших WHOIS, так що ми підемо іншим шляхом і просто пошукаємо
DNS3.UK.MSFT.NET (ну особисто мене зворушило спочатку шукати саме цей, все одно все
доведеться інвентаризувати) в будь-якому зарубіжному пошуковику. Так я знайшов, що його
адреса буде 213.199.144.151
Отже, спосіб простий, але не гідний, промені знайти самому, для цього нам
знадобиться супер http://dnsstuff.com/
Вчити з ним працювати немає часу, так що читайте мануали прямо на сервері.
Описую дії, спочатку б'ємо DNS3.UK.MSFT.NET в поле DNS lookup. отримуємо
наступне:
-------------------------------------------------- --------------------------------
Domain Type Class TTL Answer
dns3.uk.msft.net. A IN 172800 213.199.144.151
msft.net. NS IN 172800 dns1.cp.msft.net.
msft.net. NS IN 172800 dns1.dc.msft.net.
msft.net. NS IN 172800 dns1.sj.msft.net.
msft.net. NS IN 172800 dns1.tk.msft.net.
msft.net. NS IN 172800 dns3.jp.msft.net.
msft.net. NS IN 172800 dns3.uk.msft.net.
dns1.cp.msft.net. A IN 172800 207.46.138.20
dns1.dc.msft.net. A IN 172800 64.4.25.30
dns1.sj.msft.net. A IN 172800 65.54.248.222
dns1.tk.msft.net. A IN 172800 207.46.245.230
dns3.jp.msft.net. A IN 172800 207.46.72.123
dns3.uk.msft.net. A IN 172800 213.199.144.151
-------------------------------------------------- --------------------------------
Ось так просто ми самі знайшли його IP. (Зверніть увагу, що ми отримали IP
інших ДНС) Якщо помітили, то цей IP є посиланням, так що натискаємо !!!
Ось що ми отримали:
-------------------------------------------------- --------------------------------
Country: UNITED KINGDOM
ARIN says that this IP belongs to RIPE; I'm looking it up there.
Using cached answer (or, you can get fresh results).
% This is the RIPE Whois server.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See http://www.ripe.net/ripencc/pub-services/db/copyright.html
inetnum: 213.199.144.0 - 213.199.159.255
netname: MSFT-IDC
descr: Microsoft London Internet Data Center
descr: Distribution of Microsoft content
descr: London
country: GB
admin-c: BR329-ARIN
tech-c: JMS95-RIPE
status: ASSIGNED PA
mnt-by: RIPE-NCC-NONE-MNT
changed: [email protected] 20010419
source: RIPE
route: 213.199.144.0/20
descr: Microsoft European IDCs
origin: AS8068
notify: [email protected]
mnt-by: MICROSOFT-MAINT
changed: [email protected] 20020419
source: RIPE
person: Bharat Ranjan
address: Microsoft Limited
address: 10 Great Pulteney Street
address: London, W1F 9NB
address: UK
phone: +44 7703 405 100
fax-no: +1 (425) 936 7329
nic-hdl: BR329-ARIN
changed: [email protected] 20020516
source: RIPE
person: Judith Shenk
address: Microsoft Corporation
address: One Microsoft Way
address: Redmond, WA
address: USA
phone: +1 425-703-7384
fax-no: +1 425-936-7329
e-mail: [email protected]
nic-hdl: JMS95-RIPE
notify: [email protected]
changed: [email protected] 20000411
source: RIPE
-------------------------------------------------- --------------------------------
Отже ми отримали купу інформації про цю ДНС, і відповідно дещо про мережі.
Знайдіть ось це в инфе:
-------
person: Bharat Ranjan
address: Microsoft Limited
address: 10 Great Pulteney Street
address: London, W1F 9NB
address: UK
phone: +44 7703 405 100
fax-no: +1 (425) 936 7329
nic-hdl: BR329-ARIN
changed: [email protected] 20020516
source: RIPE
-------
Ті, хто самі здогадливі, вже зрозуміли, що це все означає, що якийсь Брахат змінив
інфу про ДНС і сказав, що тепер цю справу дислокується в Лондоні на 10 Great
Pulteney str. Якщо є бажання, то можна хакнуть це все ракетно-бомбовим ударом.
Ось це 20020516 слід інтерпретувати як 16-го травня 2002 року. Тут, думаю,
питань не виникне. Але пам'ятайте завжди, телефони та електронні адреси дуже
корисні, якщо ви вирішили взяти соц.інженеріей, хоча з цим адміном, думаю, що
прості жарти не проскочать. Збирайте окремо всі електронні адреси та телефони.
До речі, як бачите те, ящик знаходиться на їх же домені, так що пошта, як правило
більш вразлива. Чи потрібно мені нагадувати про Outlook в його модифікаціях. Чи не на
Нікс вони там сидять, чи не на Нікс. Отже, в перших рядках ми вже отримали інфу
по їх діапазону адрес, чого нам так хотілося для майбутнього дослідження
213.199.144.0 - 213.199.159.255 Нижче ми побачимо рядок з маскою мережі
213.199.144.0/20. Якщо я не помиляюся, то в такій сітці може бути максимум 4095
комп'ютерів. Усний рахунок може кульгати, так що якщо не правий, то самі поправите.
Ми так само можемо забити той ДНС в поле Reverse DNS
-------------------------------------------------- --------------------------------
Country: UNITED KINGDOM
Preparation:
The reverse DNS entry for an IP is found by reversing the IP, adding it to
"In-addr.arpa", and looking up the PTR record.
So, the reverse DNS entry for 213.199.144.151 is found by looking up the PTR
record for
151.144.199.213.in-addr.arpa.
All DNS requests start by asking the root servers, and they let us know what to do
next.
See How Reverse DNS Lookups Work for more information.
How I am searching:
Asking i.root-servers.net for 151.144.199.213.in-addr.arpa PTR record:
i.root-servers.net says to go to ns.ripe.net. (Zone: 213.in-addr.arpa.)
Asking ns.ripe.net. for 151.144.199.213.in-addr.arpa PTR record:
ns.ripe.net says to go to dns1.dc.msft.net. (Zone: 144.199.213.in-addr.arpa.)
Asking dns1.dc.msft.net. for 151.144.199.213.in-addr.arpa PTR record: Reports
dns3.uk.msft.net.
Answer:
213.199.144.151 PTR record: dns3.uk.msft.net. [TTL 3600s] [A = 213.199.144.151]
213.199.144.151 PTR record: dns3uk.msft.net. [TTL 3600s] [A = 213.199.144.151]
Details:
You have more than one PTR record for 213.199.144.151. This is legal, but most
programs will only use
the first PTR record listed (which may vary).
-------------------------------------------------- --------------------------------
Зараз ми з'ясували, що корінним ДНС є dns1.dc.msft.net
Тепер нам варто відвідати http://www.whois.sc/
Знову вводимо 213.199.144.151, отримані результати можна легко проаналізувати
самим, тому що вони майже що ідентичні вищенаведеним, тільки більш деталізовані і
розбиті за таблицями.
Ось так ми зібрали попередні дані про мережі, без прямого сканування,
відповідно, ніде не засвітилися. Наступна глава буде присвячена прямому
скануванню і, можливо, з доповненнями до вищесказаного, якщо що то несподівано
згадаю.
Copyright 2002-2004 by LwB Security Team. All rights reserved.
Коментарі
Коментуючи, пам'ятайте про те, що зміст і тон Вашого повідомлення можуть зачіпати почуття реальних людей, проявляйте повагу та толерантність до своїх співрозмовників навіть у тому випадку, якщо Ви не поділяєте їхню думку, Ваша поведінка за умов свободи висловлювань та анонімності, наданих інтернетом, змінює не тільки віртуальний, але й реальний світ. Всі коменти приховані з індексу, спам контролюється.