Взлом с помощью относительного пути

Этот эксплоит является вариацией традиционного метода "троянского коня". В нем используется полезная для пользователя программа, которая маскирует действия, направленные на взлом, и запускается авторизированным пользователем. Данный эксплоит используется для расширения полномочий и позволяет пользователю, который имеет ограниченные права, получить более широкие права доступа. Это достигается за счет использования недостатков в работе операционной системы.

Данный эксплоит позволяет пользователю с ограниченными правами запускать поддельную версию программы explorer. exe вместо настоящей программы.

В результате при регистрации в системе других пользователей, в том числе имеющих административные полномочия, будет выполняться подготовленный взломщиком код. Вызов процесса Windows API "Create Process" приводит к запуску программы. Способ поиска данной функцией программы для запуска является основной работы эксплоита.

Когда системная функция ОС Windows NT или Windows 2000 вызывает программу с относительным (не указанным явно) путем, данная функция проводит поиск по установлен­ным заранее путям. Наиболее часто поиск проводится по таким относительным путям.

Если взломщик сможет поместить свою программу с тем же именем таким образом, чтобы она была найдена раньше, чем настоящая программа, и если при вызове использу­ется относительный путь, программа взломщика будет запускаться раньше, чем настоящая программа с таким же именем.

Для этого необходимо:

• наличие у взломщика права чтения/записи в папку, в которой проводится поиск программы;

• вызов программы по относительному, а не полному пути.

По умолчанию пользователи компьютера имеют право чтения/записи корневой папки. В этой папке поиск проводится в первую очередь. Кроме того, ключ реестра, который используется для вызова explorer.exe (программы управления рабочим столом), содержит относительный путь. Программа explorer.exe запускается сразу после регистрации пользователя.

Таким образом, взломщику достаточно поместить поддельную исполняемую программу в папку С: \, и все пользователи, которые подключатся к системе, будут вызывать программу взломщика. Эта программа, в свою очередь, может вызывать настоящий explorer. exe, что позволит ей остаться незаметной. Кроме того, данная программа может выполнять действия, которые необходимы взломщику, например обеспечить ему дополнительные права на компьютере.

Этот эксплоит позволяет пользователю, который имеет ограниченные права, незаметно запустить свою программу с полномочиями другого пользователя. Например эксплоит позволяет расширить права доступа пользователю с ограниченными правами.

Для того чтобы использовать данный эксплоит, нужно выполнить следующие действия.

1. Создать поддельный файл explorer.exe, который запустит настоящий файл explorer.exe (из папки С: \WINNT). Кроме того, данная программа запустит утилиту добавления пользователя (addusers . exe) и добавит в систему нового привилегированного пользователя.

2. Подключиться к взламываемой машине как обычный пользователь.

3. Поместить файлы explorer. exe, addusers . exe и файл accounts . txt в корневой каталог (обычно это каталог С: \).

4. Подождать, пока администратор зарегистрируется в системе.

5. Снова подключиться к системе, однако на этот раз как привилегированный пользователь, используя имя и пароль, заданные в файле accounts.txt. Добро пожаловать в группу Administrators.

Если в корневой каталог без ведома администратора были помещены какие-либо файлы, значит, что-то не так. В любом случае в папке С: \ файлу explorer. exe делать нечего.

Существуют заплаты от Microsoft, которые позволяют решить эту проблему. Для получения более детальной информации по этому вопросу обратитесь к разделам Microsoft Bulletin and FAQ на узле www.microsoft.com.

Кроме того, чтобы надежно защитить свой сервер от данного метода взлома, нужно следовать таким правилам.

1. Запретить подключение к своим серверам, контроллерам доменов и прочим важным машинам из Internet. Это правило должно применяться как к физической, так и к компьютерной части системы безопасности.

2. Постоянно следить за доступом к файлам и папкам компьютера.

3. Использовать программы обнаружения взлома (например Tripwire) для обнаружения и предупреждения атак, в частности предупреждения об изменении атрибутов безопасности важных папок на сервере.

4. Использовать аудит для отслеживания изменений в ключевых системных настройках (в том числе о количестве учетных записей для привилегированных пользователей).