Спецвыпуск журнала «Хакер» 47, октябрь 2004 г.

Текст добавлен: 5 октября 2016, 01:35

Текст книги "Спецвыпуск журнала «Хакер» 47, октябрь 2004 г."

Автор книги: Хакер Журнал

Жанр:

Прочая компьютерная литература

сообщить о нарушении

Текущая страница: 15 (всего у книги 21 страниц)

Назад к карточке книги

IDS/SNORT / Системы обнаружения атак

the_Shadow (theshadow@sources.ru)

Крайне важным помощником в админовском деле является IDS, или по-русски система обнаружения атак. С ее помощью админы всего мира уже предотвратили огромное число взломов. Пора и тебе включить ее в постоянный рацион :).

Теория

При анализе атак, причем как на реальные, работающие системы, так и на различные OpenHackhoneypothoneynet (о которых ты сможешь прочесть в этом номере), были выявлены общие признаки, демаскирующие взломщика. И основываясь именно на этих признаках, умные девелоперы создали первую IDS.

Системы обнаружения вторжений в «чистом виде» бывают двух типов:

– (HIDS) host based intrusion detection system – анализ того, что творится на хосте. Системы tripware, анализаторы log'ов.

– (NIDS) network based intrusion detection system – анализ сетевого трафика. Это куда интереснее, но и сложнее. Дело в том, что такая система работает как снифер, перехватывая и анализируя весь собранный трафик. По идее, NIDS должен уметь обнаруживать атаки как по сигнатурам, встречающимся в перехваченных пакетах, так и по хитрому анализу протоколов. Отличным примером такой системы является SNORT, о котором и пойдет дальше речь. Снорт седлает сетевые интерфейсы и осуществляет наблюдение за трафиком. Если вдруг что-то ему кажется подозрительным, то он громко «визжит» в логи. Идея несложная, правда?

Установка свиньи

Для начала надо понять, где же предпочтительнее всего ставить поросячью IDS. Так как наша задача – герметизировать сеть или подсети, то в достаточной мере очевидным будет то, что основное место для установки SNORT'а – роутеры.

Но помни: вторжение может осуществляться как извне, так и изнутри сети. Да, и свои «внутресетевые», пардон, дятлы могут «помочь».

Скачивай Снорта с его официальной паги: www.snort.org/downloads/snort-stable.tgz, растаривай в каталог, а в нем набирай:

ЛИСТИНГ

./configure; make; su; make install

Затем создавай директорию для поросячьих логов:

ЛИСТИНГ

mkdir /var/log/snort.

Теперь Снорт должен быть готов к настройке.

Конфигурировать нужно файлик /etc/snort.conf. Конкретно ты должен сделать следующее:

1. Опиши свою сеть – адреса, используемые протоколы (порты) и т.п. Тем самым ты укажешь, за чем надо присматривать. Чем полнее пропишешь, тем лучше.

2. Укажи, где и какие брать сигнатуры. В стандартной поставке хряка должны быть файлы типа *.rules. Тебе надо указать только те правила, которые реально необходимы твоей системе (какие сервисы в сети крутятся, такие *.rules и отбирай). По этим сигнатурам будет анализироваться трафик. Все это чем-то напоминает работу антивируса, только для TCP/IP. Кстати, когда разберешься, как работает эта IDS, то и сам сможешь создавать рулесы.

3. Опиши правила, на основании которых анализировать трафик, то есть какие атаки, с какого интерфейса возможны и что делать. Тут также все зависит от сервисов и их настроек.

Настроив, имеем полное право запустить SNORT:

ЛИСТИНГ

snort -D -c snort.conf

Уязвимость

Но рано радоваться. Увы, старина Снорт уязвим. У взломщика есть возможность (и ещё какая!) заставить Снорт никак не реагировать на твои действия. Если есть правила, то их не стоит нарушать, их следует обойти. Свинка-то у нас глупенькая, и даже если она поймает в свои лапки shell-код, но сигнатура его окажется ей неизвестна, то будет молчать себе свинка в тряпочку.

Придется разбираться с *.rules. Есть некое свинское правило, shellcode.rules зовется. Ты только посмотри на него: в нем практически все мыслимые и несколько немыслимых shell-кодов. Ох-ох-ох, что ж я маленьким не сдох… ;)

Но как ни странно, не зря не сдох. Обойти это правило очень просто. Дело в том, что SNORT – это не антивирус, и он не обладает эмулятором кода, который сможет распознать shell-код не по сигнатуре, а по алгоритму (даешь эвристический IDS :)! – прим. AvaLANche'а). Следовательно, тебе надо несколько видоизменить сигнатуру shell-кода. Это можно сделать, просто переписав shell-код до неузнаваемости под себя. Самый простой способ – изменить (но без потери функциональности!) порядок следования команд или понатыкать NOP'ов (op-код – 90), создав «промежутки» в shell-коде. Конечно, при этом вырастет размер кода, но зато его сигнатура обманет Снорта. Как еще можно поменять сигнатуру?

1) Менять одни команды на другие. Тут тебе надо очень хорошо ориентироваться в асме и инструкциях целевого процессора. По сути дела, нужно написать свой shell-код, «неизученный» Снортом.

2) Вариант попроще – поменять вызов шелла. Строка /bin/sh приводит к поросячьей активности Снорта и, позже, админа, а строка %2Fbin%2Fsh – нет. Вот только не всегда это возможно. Хорошо этот способ работает, как правило, на web-сервисах.

3) Более сложный вариант – применение вирусных технологий (правда, вирусами тут и не пахнет). Никто не забыл о шифрации/дешифрации исполняемого кода? Можно написать (и многие пишут) shell-код, который будет в зашифрованном виде передаваться жертве, а при запуске расшифровываться «на лету». Меняя алгоритм шифрования или ключ, можно будет получать все новые и новые сигнатуры, неизвестные ранее этой IDS. Естественно, в сигнатуре будет светиться коротенький расшифровщик, но его видоизменить до неузнаваемости не составляет труда (подробнее о написании shell-кодов читай в августовском Спеце #08.04(45)).

Таким образом, грамотный взломщик помнит о SNORT'е и готовит эксплоиты собственоручно. Как в армии, где есть правило: оружие, обмундирование и снаряжение каждый готовит себе САМ!

SNORT.

SNORT – одна из самых первых и наиболее удачных реализаций системы IDS, работающая на основе анализа трафика. Я называю эту систему обнаружения атак «грязным свинтусом», так как на первом сайте, посвященном Снорту (еще до версии 1.0), на титульной странице, была вывешена фотография матерого хряка, упершегося рылом прямо в объектив фотографа. С тех пор система значительно повзрослела, сайт перенесли из домена .au в домен .org, а тельце старины Снорта отправили живым весом на колбасу, но имя его и образ живут. На логотипе по-прежнему присутствует довольная рожа (или рыло?) мультяшного хряка.

Альтернатива есть всегда!

ТИП: Soft

Не одинок наш Снорти в этом мире. Полезно посмотреть:

– libnids – библиотека для создания такого рода систем (libnids.sourceforge.net). Собственно, я сам при необходимости именно ей и пользуюсь. Всегда приятно несколько обескуражить скриптодятла.

– iplog – анализ протокола на предмет атак.

– courtney – старушка Кортни, которая является простеньким перловым скриптом для обнаружения факта сканирования. Безнадежная пенсионерка.

Мнение эксперта

Антон Карпов, специалист по сетевой безопасности, системный администратор

Часто говорят: если ты отражаешь атаку – ты уже проиграл. Доля правды в этих словах есть. Любые атаки желательно выявлять еще на стадии их зарождения, нежели разбираться с их результатом. К счастью, *nix-системы имеют для этого все средства. Развитая система протоколирования событий и своевременное наблюдения за аномалиями в системном журнале, а также использование сетевых средств обнаружения вторжений, конечно, помогут, но все что они позволяют – это отработать по факту того, что атака уже идет. Вот почему популярны не только системы обнаружения, но также и системы предотвращения вторжений. Простейший пример превентивной меры – соединение IDS с пакетным фильтром и подача команды на блокирование атакующего адреса.

SNORT – одна из самых первых и наиболее удачных реализаций системы IDS.

Снорт седлает сетевые интерфейсы и осуществляет наблюдение за трафиком.

Основное место для установки Снорта – роутеры.

Снорта можно легко обойти, видоизменив по максимуму сигнатуру shell-кода.

Хакеры любят мед / Разбираемся в работе Ноneypot

Крис Касперски aka мыщъх

В последнее время создаются все более и более изощренные системы борьбы с хакерами, одной из которых является honeypot – своеобразный капкан для атакующих. Сколько людей отправилось за решетку с его «помощью»! Даже в нашей традиционно лояльной к хакерам стране имеется несколько случаев условных осуждений. Единственный выход – задавить идею honeypot'ов в зародыше.

Горшочек меда

Однажды некий мужчина приобрел супернавороченный сейф и повсюду хвастался им: какой он надежный и прочный. Забравшиеся к нему грабители прожгли какой-то хитрой кислотой в сейфе дыру и… не обнаружили внутри ничего! Деньги и драгоценности хранились совсем в другом месте.

Подобная тактика широко используется и для раскрытия компьютерных атак. На видном месте сети устанавливается заведомо уязвимый сервер, надежно изолированный ото всех остальных узлов и отслеживающий попытки несанкционированного проникновения в реальном времени с передачей IP-адреса атакующего в ФСБ или подобные ему органы. Впрочем, все зависит от профессионализма взломщика, качества и количества прокси и т.д.

Сервер, играющий роль приманки, называется «горшок с медом» («honeypot»), а сеть из таких серверов – honeynet.

Противостоять honeypot'ам довольно сложно. Внешне они ничем не отличаются от обычных серверов, но в действительности это хорошо замаскированный капкан. Один неверный шаг – и хакеру уже ничто не поможет. Утверждают, что опытная лиса ухитряется съесть приманку, не попав в капкан. Так чем же мы хуже?

Внутри горшка

Типичный honeypot представляет собой грандиозный программно-аппаратный комплекс, состоящих из следующих компонентов: узла-приманки, сетевого сенсора и коллектора (накопителя информации).

Приманкой может служить любой север, запущенный под управлением произвольной операционной системы и сконфигурированный на тот или иной уровень безопасности. Изолированность от остальных участков сети препятствует использованию сервера-приманки как плацдарма для атак на основные узлы, однако дает взломщику быстро понять, что он на полпути к ловушке и отсюда следует немедленно ретироваться, заметая следы. Теоретически администратор может организовать подложную локальную сеть, практически же это оказывается неподъемно дорогостоящим решением, и приходится искать компромисс: либо ослабленная изоляция, ограждающая только критически важные узлы, либо эмулятор локальной сети, запущенный на одном компьютере. Чаще всего узлов с приманкой бывает несколько. Одни из них содержат давно известные дыры и рассчитаны на начинающих хакеров, только-только осваивающих командую строку и читающих книги десятилетней давности. Другие – защищены по самые помидоры и ориентированы на выявление еще неизвестных атак, совершающихся опытными взломщиками. Поэтому, даже обнаружив новую дыру, не спеши ломиться на первый же попавшийся сервер. Ведь, если атака завершится неудачно, информация об уязвимости попадет в загребущие лапы специалистов по информационной безопасности, а ты можешь оказаться на скамье подсудимых или (что еще хуже) больничной койке, считая перебитые ребра. Кстати говоря, очень многие узлы-приманки построены на ОС с настройками по умолчанию. И в этом есть свой резон. Дыры стандартных конфигураций хорошо известны, что обеспечивает максимальный приток атакующих.

Сетевой сенсор чаще всего реализуется на базе UNIX-подобной ОС, а для мониторинга информации используется утилита tcpdump или ее аналоги. В зависимости от конфигурации сети сенсор может как находиться на одном из узлов данного сегмента локальной сети, так и являться маршрутизатором, расположенным перед приманкой. Иногда сетевой сенсор совмещается непосредственно с самой приманкой. Это существенно упрощает и удешевляет систему honeypot'а, однако ослабляет ее иммунитет (захватив управление приманкой, атакующий быстро обнаружит сенсор и сделает ему харакири). Размещение сенсора внутри широковещательного сегмента обеспечивает ему наибольшую скрытость. Сетевой интерфейс сенсора может и не иметь собственного IP-адреса, прослушивая трафик в Stealth-режиме, что достигается путем физического обрезания передающего провода на сетевой карте (см. статью о сниферах в этом номере). Маршрутизатор в этом смысле намного более заметен, однако определить, работает ли на нем сетевой сенсор или нет, в общем случае невозможно.

Дампы tcpdump'а обрабатываются различными анализаторами (например, IDS), во-первых, распознающими сам факт атаки, а, во-вторых, определяющими IP-адрес нарушителя. Накапываемая информация оседает в коллекторе, сердцем которого является база данных. Это самое уязвимое место honeypot'а. Необходимо заранее выбрать четкие критерии, позволяющие однозначно определить, какие действия являются нормальными, а какие – нет. В противном случае администратор будет либо постоянно дергаться, вздрагивая от каждого сканирования портов, либо пропустит слегка видоизмененный вариант известной атаки. Есть и другая проблема. Если приманка не имеет никакого другого трафика, кроме хакерского (что легко определить по характеру изменения поля ID в заголовках IP-пакетов, подробнее о котором рассказывается в статье о брандмауэрах), то атакующий немедленно распознает ловушку и не станет ее атаковать. Если же приманка обслуживает пользователей внешней сети, непосредственный анализ дампа трафика становится невозможным и хакеру ничего не стоит затеряться на фоне легальных запросов. Достаточно эффективной приманкой являются базы данных с номерами кредитных карт или другой конфиденциальной информацией (естественно, подложной). Всякая попытка обращения к такому файлу, равно как и использование похищенной информации на практике, недвусмысленно свидетельствует о взломе. Существуют и другие способы поимки нарушителей, но все они так или иначе сводятся к жестким шаблонам, а значит, в принципе, не способны распознать хакеров с нетривиальным мышлением.

Короче говоря, опытный взломщик может обойти honeypot'ы. Попробуем разобраться как.

Срывая вуаль тьмы

Прежде чем бросаться в бой, взломщику необходимо тщательно изучить своего противника: реконструировать топологию сети, определить места наибольшего скопления противодействующих сил и, естественно, попытаться выявить все honeypot'ы. Основным оружием хакера на этой стадии атаки будет сканер портов, работающий через «немой» узел и потому надежно скрывающий IP-адрес атакующего.

Явно уязвимые сервера лучше сразу отбросить – с высокой степенью вероятности среди них присутствуют honeypot'ы, дотрагиваться до которых небезопасно. Исключение составляют публичные сервера компаний, расположенные в DMZ-зоне – совмещать их honeypot'ом никому не придет в голову, правда, на них вполне может работать IDS.

Безопаснее всего атаковать рабочие станции корпоративной сети, распложенные за брандмауэром (если такой действительно есть). Вероятность нарваться на honeypot минимальна. К несчастью для атакующего, рабочие станции содержат намного меньше дыр, чем серверные приложения, а потому атаковать здесь особенно и нечего.

Отвлекающие маневры

Выбрав жертву, следует не сразу приступать к атаке. Вначале стоит убедиться, что основные признаки honeypot'а отсутствуют: узел обслуживает внешний трафик, имеет конфигурацию, отличную от конфигурации по умолчанию, легально используется остальными участниками сети и т.д. Теперь для нагнетания психологического напряжения нужно интенсивно сканировать порты, засылая на некоторые из них различные бессмысленные, но внешне угрожающие строки, имитируя атаку на переполнение буфера. Тогда администратору будет не так-то просто разобраться, имело ли место реальное переполнение буфера или нет, и если имело, то каким именно запросом осуществлялось.

Естественно, артобстрел необходимо вести через защищенный канал.

Атака на honeypot

Будучи по своей природе обычным узлом сети, honeypot подвержен различным DoS-атакам. Наиболее уязвим сетевой сенсор, обязанный прослушивать весь проходящий трафик. Если удастся вывести его из игры, факт вторжения в систему на некоторое время останется незамеченным. Естественно, атакуемый узел должен остаться живым, иначе некого атаковать. Будем исходить из того, что сенсор принимает все пакеты. Тогда, послав пакет на несуществующий или любой ненужный узел, мы завалим противника.

Как вариант, можно наводнить сеть SYN-пакетами или вызвать ECHO-death (шторм ICMP-пакетов, направленный на жертву с нескольких десятков мощных серверов, что достигается спуфингом IP-адресов).

Саму же атаку лучше всего осуществлять поверх протоколов, устойчивых к перехвату трафика и поддерживающих прозрачное шифрование, ослепляющее сетевой сенсор. Чаще всего для этой цели используется SSH (Secure Shell), однако он ограничивает выбор атакующего только явно поддерживающими его узлами, что сводит на нет весь выигрыш от шифрования.

Заключение

Сила honeypot'ов – в их новизне и неизученности. У хакеров пока нет адекватных методик противостояния, но не стоит думать, что такая расстановка сил сохранится и в дальнейшем. Архитектура honeypot'ов плохо проработана и уязвима. Уже сегодня опытному взломщику ничего не стоит обойти их, завтра же это будет уметь каждый подросток, установивший *nix и, презрев мышь, взявшийся за клавиатуру.

Мнение эксперта

Никита Кислицин, редактор рубрики «Взлом» журнала «Хакер»:

«Не стоит думать, что honeypot и honeynet – это что-то экзотичное, чрезвычайно редкое и малоэффективное. Это не так. Могу совершенно определенно сказать, что в ряде сетей популярных российских сетевых проектов действуют развернутые сети honeypot, которые вылавливают тысячи скрипткидисов в месяц. Хотя иногда попадаются и действительно ценные рыбки – взломщики с приватными сплоитами, которые пытаются повалить какой-то сетевой демон доселе неизвестным shell-кодом. Это является первоочередной задачей подобных систем. Именно поэтому сетевому взломщику чрезвычайно важно уметь идентифицировать и определять honeypot-системы, чтобы не пропалить собственные секреты».

Типичный honeypot представляет собой грандиозный программно-аппаратный комплекс, состоящий из узла-приманки, сетевого сенсора и коллектора.

Лучше атаковать жертву через цепочку из трех-пяти хакнутых компьютеров, а в сеть выходить по GPRS через чужой сотовый телефон, как можно дальше отъехав от своего основного места жительства, чтобы абонента не смогли запеленговать в собственной квартире.

Выходить в сеть по коммутируемому доступу равносильно самоубийству, в особенности со своего домашнего номера.

Многие бесплатные прокси в действительности являются приманками, установленными спецслужбами и существенно помогающими им в отлове горе-хакеров.

Honeypot удобнее всего выявить сканером портов, работающим через «немой» узел и потому надежно скрывающим IP-адрес атакующего.

Архитектура honeypot'ов плохо проработана и уязвима.

Special Delivery

Боевой Софт / Обзор хакерского Софта для *nix

Vint (vint@vpost.ru)

Существует огромное количество различного хакерского софта для никсов. Это и переборщики паролей, и сканеры портов, и сниферы, и руткиты, и, и, и… Как выбрать наиболее подходящий? Читай этот обзор!

knockers (www.knocker.sourceforge.net)

Очень простой, но чрезвычайно функциональный сканер портов. Размер дистрибутива – всего 72 килобайта. Собирается на любой UNIX-like-машине с помощью трех стандартных команд. Вся работа происходит из консоли. Скорость работы просто феноменальная. Много режимов сканирования: сканирование одного порта, группы портов, всех возможных портов. Показывает не только номер открытого порта, но и сервис, скрытый за ним. Очень удобно использовать именно этот сканер при анализе с удаленной машины: встроена опция, позволяющая отправлять весь вывод в отдельный файл.

Давно не обновлялся. Нет возможности изучать сразу несколько машин или всю сеть. Нельзя сканировать UDP-порты. Используется сканирование «в лоб», то есть твои исследования могут быть легко обнаружены бдительным админом.

Софтина определенно заслуживает твоего внимания. Это маленькая, но незаменимая утилита в арсенале хакера. Со сканированием TCP-портов удаленного хоста она справляется хорошо.

Web Password Checker (WPC) v 0.1

(www.downloads.securityfocus.com/tools/wpc-0_1b.tar.gz)

Утилита, предназначенная для перебора паролей web-страниц. Пригодится тебе, когда нужно подобрать связку логин-пароль для формы регистрации.

Возможна работа через прокси-сервер. Программа способна искать пароли как по словарю, так и брутфорсом. Есть возможность «растягивать», то есть делать паузы между попытками, что позволяет дольше оставаться незамеченным. WPC пытается использовать общеизвестные механизмы трансформации логина и полученный мод скармливает форме в качестве пароля; есть возможность задать уровень сложности. Примером такого запроса может служить вариант: логин – root, пароль – toor (root1 и т.д.), это одна из самых простых связок, выдаваемых программой.

Непродуман брутфорс-механизм – нет возможности ограничить используемые символы пароля, что резко сократило бы время поиска. Не поддерживается SSL, а, значит, атака на многие сервисы невозможна (тот же Webmin).

Сразу видно, что программа имеет очень широкий диапазон применения. Удобно использовать эту софтину для взлома чатов, почтовых ящиков. Но подобрать пароли на защищенных страницах невозможно.

Ettercap (www.ettercap.sourceforge.net)

Твоему вниманию предлагается свободно распространяемый снифер с кучей возможностей. Разработанный механизм плагинов делает этот инструмент очень гибким и расширяемым. Так, если в базовой конфигурации мы имеем только «нюхача», то дополнительные модули позволяют проге выполнять функции поисковика другого Ettercap’a (вдруг администратор-параноик и сам снифает локаль в поисках хакеров!) и т.д. Просмотреть все подключенные плагины можно, отдав команду «ettercap -p list». Кроме того, снифер привлекателен своим графическим интерфейсом (UNIX начал активно использовать красивые фейсы). Отображая все компьютеры, найденные в сети, программа предлагает тебе выбрать необходимые для изучения хосты и действия на них. Если где-то тормозишь – снифер имеет обработчик кнопочки «F1». Дополнительно Ettercap может определять удаленную систему, используя отпечатки из базы nmap.

Минусы Возможна работа только с eth, а PPP и lo не поддерживаются. Хотя практического интереса в этих двух интерфейсах нет, но кто сказал, что мы не хотим тренироваться на своей машине?

Программа определенно достойна твоего внимания. Попробовать, изучить, сохранить в локальном арсенале – вот путь данной софтины.

Ethereal (www.ethereal.com)

Эта утилита по функциональности похожа на Ettercap, но имеет некоторые необходимые фичи.

Основным отличием Ethereal является gtk-base-интерфейс. Еще софтина поддерживает не только eth-интерфейсы, но и lo с PPP. Если говорить о функциональности, то и тут сканер на высоте: имеется не только очень простая и мощная система фильтров, которая заметно облегчает процесс сбора информации, но и способность объединения отдельных пакетов в документы (html-странички, электронные письма). Кстати, крайне полезная штука: автоматически собранные странички сейвятся на локальном диске, и, поставив на ночь снифер, ты сможешь просмотреть утром, где же были твои соседи. С этого момента все порноресурсы интернета станут для тебя бесплатными ;-).

Пока не реализовано соединения пакетов ICQ-протокола, но это можно объяснить особенностью транспортировки сообщения.

Советую скачать этот снифер, сравнить его с конкурентом и выбрать, что тебе понравится больше. Программа очень мощная, особенно если изучить руководство и man.

SCANSSH V2.0 (www.monkey.org/~provos/scanssh/)

Софтина сканит локальную сеть в поисках запущенных демонов SSH и определяет версию сервера.

Маленькая утилитка делает огромную работу по упрощению изучения сетей. Таким образом, с помощью этого приложения в течение нескольких минут можно просмотреть всю локалку и получить IP хостов, на которых запущенны сервисы SSH. Но самое главное назначение – это определение версии демона. После такого анализа, рассматривая логи, можно легко найти жертву для взлома.

Обновляется недостаточно часто, и, как результат, не все сервера определяются корректно.

Софтина должна сопровождать хакера в его нелегком пути. Очень часто определяющую роль в успешности взлома играет скорость опознавания бажных сервисов, а эта программа и www.bugtraq.org сделают это максимально быстро.

Nessus v 2.1.1 (www.nessus.org)

Считается одной из самых лучших программ для анализа удаленных систем.

Модульность, постоянное обновление, доступность исходных кодов, простота использования, малое количество ложных срабатываний делают Nessus лучшим помощником как администратора, так и хакера. Вот интереснейшая цитата по этому приложению: « Продукт Nessus получил сертификат Гостехкомиссии при Президенте РФ на соответствие представленной версии продукта заявленным техническим характеристикам». Хорошо развитая система Plug-in позволяет назвать этот комплекс однозначным лидером среди сканеров безопасности для UNIX-like-систем. Один из лучших сканеров не только по юзабельности, но и по интерфейсу. Программа имеет красивый и простой фейс, в лучших традициях gtk-base-программ. Разработчики не забывают и поддерживают свое детище: практически сразу после сообщения о новой уязвимости Nessus уже может определять ее. Поэтому иногда именно эта программа используется вместо nmap для изучения атакуемого хоста.

Программа для локального использования, то есть использовать в походных боевых условиях ее вряд ли удастся из-за размера и необходимых библиотек-зависимостей.

Must have. Достаточно один раз поставить и изучить это приложение, после чего ты поймешь, почему практически все админы считают программу лучшей в своем классе.

Security Administrator's Integrated Network Tool v5.5

(www.saintcorporation.com)

Коммерческий сканер безопасности для UNIX-like-платформ. К сожалению, не бесплатен, но это компенсируется тем, что использовать его не для коммерческих целей можно вполне свободно.

Программа основана на легендарном SATAN’е (он же SANTA ;-)), но в отличии от своего прародителя постоянно обновляется и совершенствуется. Основными плюсами можно считать сканирование через фаерволы, возможность обновления баз уязвимостей через интернет, высокая скорость работы. Все взаимодействие с программой осуществляется через web-интерфейс. То есть для работы SAINT просто необходимо на машине иметь браузер, можно даже текстовой. Кроме этого, для генерации выводов необходим Perl, так как он служит основным языком создания динамических страниц в данном ПО. В целом, тесты этой софтины показали очень даже интересные результаты: при исследовании машин иногда находят такие уязвимости и сервисы, о которых многие аналогичные программы молчат. А если включить смекалку и посмотреть в каталог с установленным SAINT, то можно заметить папочку bin, где лежат запускные файла анализатора. Их можно оттуда позаимствовать и использовать как маленькие и автономные утилиты хакера ;-) (правда, это уже другая история, но намек понял?).

Эту программу также сложно назвать походным инструментом хакера – размер около 2,5 мегабайт, да и браузер, интерпретатор Perl для работы… Платная, что сужает область использования ПО, ведь не будешь же ты на каждый сканируемый хост заказывать свой ключ!

Неплохо бы иметь. Хоть и платный, но есть и свободно доступные реализации. Работа с программой очень удобная и эффективная, правда, только на стационарной машине, где все настроено и отточено. Кроме этого, есть целый склад миниутилит, которые просто грех не применить в жизни отдельно от всего комплекса.

Nmap 3.55 (www.insecure.org)

Вот добрались и до суперпопулярного анализатора сетей. Пожалуй, это самый популярный сканер-уневерсал как среди юниксоидов, так и среди виндузятников.

Самый главный плюс – превосходный поисковик открытых портов с огромным количеством опций для настройки. Вот далеко не полный список возможностей: сканирование диапазонов IP-адресов, целых подсетей, стелс-сканирование портов. Сканирование портов с установкой адреса возврата, то есть происходит корректировка заголовка IP-пакета, что очень удобно при наличии 2 сетевых карт на машине. Стелс-сканирование и простой механизм TCP-подключений, первый способ доступен только пользователю root, что легко можно объяснить с точки зрения IT-безопасности. Программа позволяет также эффективно изучать удаленный хост и по UDP-протоколу. Если говорить о сканировании подсетей, то есть возможность провести простой ping-scan и таким образом найти включенные машины. Как и у младших собратьев? у данной софтины имеется возможность сканирования произвольного диапазона портов, вывод подробных данных в свой лог-файл. Сканер дополнен хорошим механизмом определения удаленной операционной системы. Очень сильные способы определения серверов, висящих на определенных портах хоста. Программа ищет демона на порту и узнает его версию с точностью до третьего знака (например, OpenSSH 3.6.1), что просто не может не радовать скрипткидисов. За счет встроенного fingerprinting'a nmap превращается в мощный комплекс анализа хостов в сети. С каждой новой версией пополняется база данных отпечатков различных систем, и уже сейчас nmap определяет не только версию Виндов, но и номер ядра, если это Linux-машина.

Размер, как у и любого комплекса сетевого анализа nmap, достаточно большой. Хотя и совершенствуется способ «снятия отпечатков», все еще достаточно часто приходится получать аналогичные этому выводы программы: «Это точно Винда. Версия? Или Миллениум, или 2к сервер, возможно, и 2к адванс-сервер, хотя похоже на ХР, даже вроде с первым сервиспаком». При этом Linux определяется достаточно четко.

Однозначный must have. Любой удаленный анализ сильно упрощается при использовании этой софтины. Программа считается одно из основных утилит хакера.

Yakrk – Yet Another Kernel Rootkit

(www.robota.net/download?file=93)

Эта утилита представляет собой набор руткитов для ядер 2.4. Вполне интересная софтина, тем более если учесть, что все еще очень многие сервера крутятся на ядрах серии 2.4.

Основной плюс набора – минимальное изменение системной конфигурации. Работает приложение на уровне ядра, перехватывая некоторые системные вызовы ОС.

Пока возможности этого руткита очень ограниченны. Он способен лишь скрывать сетевую активность некоторых приложений.

Если нужно установить маленький и очень простой руткит – это ПО для тебя. Неплохо, когда эта софтина лежит у тебя в боекомплекте, но и без нее можно спокойно обойтись ;-).