Захват dsn с использованием утилит odbc Datasource

Данный эксплоит демонстрирует, насколько важно удалять с компьютера все программы, которые не нужны для работы. Чем больше программ присутствует в вашей системе, тем больше вероятность взлома.

С помощью утилит ODBC Datasource, которые входят в состав IIS, взломщик может поменять настройки ODBC DSN в реестре серверов Windows NT 4. При этом взлом может проводиться из сети Internet. По умолчанию на сервере Windows NT не запрещено изме­нять настройки реестра, которые касаются IIS и DSN. Именно благодаря этому удается модифицировать настройку источника данных и таким образом совершить захват данных сервера. Взломщик может направить данные на свой компьютер, получить имена и пароли пользователей, получить доступ к SQL-серверу, украсть важную информацию и даже продублировать структуру данных, чтобы заполнять собственную базу данными, полученными с сервера жертвы. Все необходимые для этого инструменты находятся прямо на сервере, что позволяет проводить взлом с любой платформы и с любого компьютера.

Ниже приведены действия, которые должны быть выполнены для проведения данного взлома.

1. Сбор информации с помощью URL-сканирования, сканирования портов и сканирования NetBIOS.

2. Настройка сервера взломщика.

3. Взлом ODBC DSN на сервере-жертве.

4. Получение учетных записей SQL.

5. Вторжение в SQL-сервер.

6. Заметание следов.

Ниже указаны признаки взлома с помощью данного метода.

• Журналы IIS содержат информацию об обращениях к файлам mkilog.ехе и newdsn.exe.

• SQL-соединения разрываются или не устанавливаются.

• Наличие неизвестных серверов в настройках ODBC DSN.

• Наличие обращений к SQL-серверу с неизвестных удаленных IP-адресов.

Чтобы защититься от этого метода взлома, можно просто удалить все файлы из папки intepub\scripts\tools на всех серверах, к которым можно обращаться из Internet. Если необходимо вести SQL-журналы для IIS, сервер SQL должен находиться за брандмауэром и быть хорошо защищен. Кроме того, следует правильно настроить права доступа к ключу реестра HKLM\SOFTWARE\ODBC\ и запретить обращение к IUSR__Victim для записи (данный ключ используется для анонимного доступа к Web-серверу).

Защита SQL-сервера с помощью брандмауэра предотвращает проникновение, однако не защищает Web-сервер от DoS-атаки, поскольку сервер все равно может отправлять имя пользователя и пароль взломщику.

Компания Microsoft предоставляет список действий для проверки безопасности Web-сервера IIS. Этот список можно найти по адресу: http://www.microsoft.com/security/products/iis/checklist.asp.

Однако простое следование этим инструкциям не гарантирует защиту от захвата DSN.

Winfreeze

Этот эксплоит использует подмену адресов и демонстрирует, как взломщик может вывести из строя систему, проявив немного фантазии.

Подробное описание

Взломщик может инициировать волну сообщений ICMP/Redirect, которые будут выглядеть так, как будто они отсылаются маршрутизатором. Для этого взломщик подменяет исходящий IP-адрес адресом маршрутизатора. Компьютер жертвы в результате изменит таблицу маршрутизации, отреагировав на эти сообщения, которые якобы получены с маршрутизатора. В результате машина-жертва на базе Windows зависнет и не сможет работать в сети.

Обычно для применения этой атаки используется запускаемая программа, проводящая атаку. Эта программа запускается из командной строки с одним параметром — IP-адресом жертвы.

Симптомами такой атаки является большое количество ICMP-пакетов с IP-адресом внутреннего интерфейса маршрутизатора.

Для защиты от такой атаки нужно просто настроить сетевые устройства так, чтобы нельзя было провести подмену IP-адресов компьютеров подсети. Это достигается с помощью фильтров, которые имеются на большинстве маршрутизаторов.