| |
 |
| служба Компьютерная
помощь |
Инвентаризация приложений и идентификационных маркеров |
 Антивирусная защита компьютера. Вызов мастера на дом в Кириши |
|
|
||||
|
|
Инвентаризация приложений и идентификационных маркеров Выше были рассмотрены вопросы инвентаризации сети и учетных записей пользователей. При этом для достижения требуемого результата применимы различные средства, встроенные в саму операционную систему. А как насчет получения списка приложений, установленных на компьютере NT/2000? Подобная информация способна значительно расширить знания об исследуемой системе. Процесс подключения к удаленным приложениям и наблюдение за результатами их использования часто называется сбором маркеров (banner grabbing) и может оказаться неожиданно информативным для взломщиков. Если говорить кратко, то в процессе сбора маркеров можно идентифицировать программное обеспечение, запущенное на сервере, и его версию. А этого во многих случаях будет вполне достаточно, чтобы начать поиск уязвимых мест. |
||||
|
Основы процесса сбора маркеров: утилиты telnet и netcat Испытанным и надежным инструментом инвентаризации
идентификационных маркеров и приложений как в мире NT, так и в мире
UNIX, является утилита telnet. Установив с ее помощью соединение с
известным портом исследуемого сервера, нажмите несколько раз клавишу
<Enter> и посмотрите полученный результат. C:\>telnet www.corleone.com 80 Если вам нужен инструмент для более тщательных исследований, попробуйте "швейцарский армейский нож" протокола TCP/IP — утилиту netcat, которая изначально была написана хакером Хоббитом (Hobbit, http: //www.avian.org), а затем перенесена на платформу NT Вельдом Пондом (Weld Pond) из группы LOpht, занимающейся исследованиями в области безопасности (иными словами — это хакеры, являющиеся "хорошими парнями"). Утилиту netcat можно найти по адресу http://www.10pht.com/-weld/netcat/index.html. Это еще одна утилита, которая вполне заслуживает места на Аллее Славы любого администратора NT. С другой стороны, это означает, что когда ею пользуется злоумышленник, последствия могут оказаться поистине разрушительными. Ниже мы рассмотрим один из простейших примеров применения утилиты netcat — подключение к TCP-порту удаленного компьютера. C:\>nc -v www.corleone.com 80 НТТР/1.1 400 Bad Request Сбор идентификационных маркеров NT/2000: контрмеры Защита от такого рода попыток проведения инвентаризации
требует от администратора некоторой доли изобретательности. Однако
мы не можем определить с достаточной степенью определенности, насколько
важна для взломщиков информация о приложениях и службах, работающих
в вашей сети. Инвентаризация системного реестра NT/2000 Другой механизм получения информации о приложениях
NT/2000 подразумевает получение копии содержимого системного реестра
исследуемого компьютера. Практически все современные приложения, корректно
установленные на компьютере NT, оставляют более или менее заметные
"следы" в системном реестре. Требуется лишь знать, где производить
поиск требуемой информации. Кроме того, злоумышленник, получивший
доступ к системному реестру, может почерпнуть из него немало сведений
о пользователях и параметрах конфигурации. Запасшись изрядной долей
терпения, в лабиринте ульев можно обнаружить сведения, которые позволят
получить доступ к нужной информации. К счастью, в системе NT/2000
доступ к системному реестру по умолчанию разрешен лишь администраторам
(по меньшей мере в ее версии для сервера). Таким образом, описываемый
ниже метод обычно неприменим при использовании анонимных нулевых соединений.
Однако из этого правила существует одно исключение, когда в ключе
HKLM\System\Current-ControlSet\Control\SecurePipeServer\ Winreg\AllowedPaths
заданы другие параметры, открытые для доступа посредством нулевых
сеансов. В этом случае по умолчанию доступ разрешен к ключу HKLM\software\Microsoft\windowsNT\
CurrentVersion. С:\> regdmp -m \\192.168.202.33
Контрмеры против сбора идентификационных маркеров и инвентаризации системного реестра Убедитесь, что системный реестр заблокирован и к нему нельзя получить доступ с использованием удаленных соединений. Для этого необходимо проверить возможность удаленного доступа к ключу HKLM\System\CurrentControlSet\SecurePipe Servers \winreg и всем связанным с ним подключам. Если этот ключ присутствует, то по умолчанию удаленный доступ к реестру разрешен лишь администраторам. Этот ключ по умолчанию присутствует только в версии Win NT/2000, предназначенной для сервера, но не для рабочей станции. В дополнительных подключах задаются определенные пути системного реестра, разрешающие доступ независимо от политики обеспечения безопасности, принятой для ключа winreg. Более подробная информация об этом приведена в статье Q155363 базы данных компании Microsoft, которую можно найти по адресу http://search.support.microsoft.com. Кроме того, воспользуйтесь каким-нибудь хорошим средством, например программой DumpSec, и удостоверьтесь в отсутствии утечки информации. |
|||||
|
|||||
|
|
|||
| |
||||
