Дополнительная информация

Чтобы получить дополнительную информацию по данному вопросу, обратитесь к tf ким источникам.

kwis, David. "Frequently Asked euestions (FAeJ." comp. windows . x. lb June 2000 URL: r,swr,y.faqs.org/faqs/x-faq/parrl (2i uaa 200b n.).

Runeb@stud.cs.uit,no. "Crash Course in X Windows Securiry." X-windows security: Battle Begins. l5 June 2000. USENET (8 uaa 2000 r.).

Roorshell. "Root Shell." lbJune2000. URL: rootshell. com/bet,a,iview. cgi?199?0.1 (2 vaa 2000 r.).

Mynatt, Elizabeth D_-_ "The Mercator Project: Providing Access to Graphical User Into faces for Computer Users Who Are Blind." Sun TechnJogy and Research-Enabling Tech nologies. 15 June 2000. URL: www.sun.com/access/mercator.info.html (2nn ня 2000 r,).

"Thea2xFAQ' 15June 2000. URL: www.cl.cam.ac.uk/a2x-voice/a2x-faq.htrd (2 nnun 2000 r.).

Drake, Kieron. "X consortium Standard." xrEST Extension Library. 15 June 2000, uRL www.rge.com/pub/X/xf reeg6/4.0/doc/xtestIib.TXT (2 июня 2000 r.).

Lery, Stuart. "How to create a Virtual Mouse in X,' comp.os,linux.x. 15 June 2000, USENET (2 utoun 2000 r.).

Arendr, Bob. "Sending Events to other windows" comp. windows. x. 15 June 2000 USENET (2 uroua 2000 r.).

Blackerr, Shane. "Preprocessing Keyboard Input..." comp. windows. x. 15 June 2000 USENET (2 nroua 2000 r.).

Linux Online! "Remote X Apps mini-HoWTo: Telling the Sener" Linux Documentation prqi ect. 15 June 2000. URL: www.linux.orglhelp,z1dp.mini/Remore_x_Apps_6.htnl (14 июня 2000 r.).

Keithley, Kaleb. "undersranding web Enabled X" Motif Developer. l5 June 2000. uRL www_'motifzone.com/trnd/articles,/webenx/webenx.html It+ июня 2000 n.).

Net@informarick.uni-brenren.de. "4.11 xc-MISC extension." xllR6 Rerease Noto, section 4. 15 June 2000. URL: www-m.informatik,uni-bremen.delsoftware/ unrof f/examples,/r-4 .htm1 (2 июня 2000 r.).

Bhanlmond@blaze.cba.uga.edu. "overview" A Brief intro to Xl l Programming. 15 June 2000. URL: www.cba.uga.edu,z-bharmnond/_Jrogranrning,/doc/xlnlro (7маяZdOO r.i.

"commands Reference, Volume 6." Xauth command. 15 June 2000. URL: angui11a. u.s.arizona.edu/doc_1ink,zen_us/a_doc_lib/cmls,/aixcmds6/xauth.htm (14 nrona 2000 r.).

Digital Equipment corporation. "Xkeyboard options.' Xse.ver(1) manual page. 15 June 2000. URL: www_-xf ree86 . org/4 . 0/Xserver. 1 .htm1 (14 июня 2000 r.).

иио

Состояние гонки в Catman для Solaris

Локальные пользователи могут перезаписать или повредить файлы других пользователей.

Описание эксплоита

• Название: Состояние гонки в Catman для Solaris.

• Операционная система: Sun Solaris 8.0_x86, Sun Solaris 8.0, Sun Solaris 7.0_x86, Sun Solaris 7.0, Sun Solaris 2.6_x86, Sun Solaris 2.6, Sun Solaris 2.5.1_x86, Sun Solaris 2.5.1.

• Протоколы/службы: Служба Catman.

Принцип работы

В данном методе используется ошибка, возникающая при создании временных файлов программой catman. При работе данная программа создает временные файлы в каталоге /tmp и присваивает им имя sman_<pid>. PID — это идентификатор процесса catman. До­пустим, взломщик создал символическую связь с именем /tmp/sman_<pid>. которая ука­зывает на файл, принадлежащий жертве. Тогда при запуске жертвой catman этот файл бу­дет перезаписан или, если это системный файл, поврежден. Используя эту ошибку, можно перезаписать или повредить файлы, которые принадлежат другим пользователям.

Симптомы атаки

Помните, что для обеспечения безопасности главное — это знание своей системы. Если администратор досконально знает свою систему, он быстро заметит, что ее поведение из­менилось в результате взлома.

Методы защиты

На данный момент разработчики Solaris не создали заплат, которые предотвращают эту атаку. Поэтому системные администраторы должны сами принять все меры по защите основных серверов сети. При этом нужно уделить особое внимание разработке политики безопасности и использовать принцип ограничения полномочий.

Исходный код/псевдокод

Исходный код данного эксплоита можно найти по адресу: www. securityfocus. com/data/vulnerabilities/exploits/catman-race.pi.

Дополнительная информация

Чтобы получить дополнительную информацию по данному вопросу, посетите узел

www. securityfocus . com.

Взлом Linux с помощью RPC.STATD

Программа RPC. STATD, которая является частью пакета nf s-utils и поставляется со многими популярными версиями Linux, содержит ошибку. Ошибка содержится в методе обработки формата строки при вызове функции syslog (). В результате удаленный поль­зователь может запускать программы с полномочиями суперпользователя.

Описание эксплоита

• Название: Взлом Linux с помощью RPC. STATD.

• Операционные системы: Connective Linux 5.1, Connectiva Linux 5.0, Connectiva Linux 4.2, Connectiva Linux 4.1,Connectiva Linux 4.0es,Connectiva Linux 4.0,Debian Linux 2.3 spare, Debian Linux 2.3 PowerPC, Debian Linux 2.3 alpha, Debian Linux 2.3, Debian Linux 2.2 spare, Debian Linux 2.2 PowerPC, Debian Linux 2.2 alpha, Debian

Linux 2.2, RedHat Linux 6.2 sparc, RedHar Linux 6.2 i386, RedHat Linux 6.2 RedHat Linux 6.1 sparc, RedHat Linux 6.1 i386, RedHar Linux 6.1 alpha, RedHat 1 6.0 sparc, RedHat Linux 6.0 i386, RedHat Linux 6.0 alpha, S.u.S.E. Linux 7.0, S.u Linux 6.4ppc, S.u.S.E. Linux 6.4alpha, S.u.S.E. Linux 6.4, S.u.S.E. Linux 6.3 ppc, S.u Linux 6.3 alpha, s.u.s.E. Linux 6.3, Trustix Secure Linux 1.1 u Trustix Secure Linux I

• Операционные системы, не подверженные взлому: Caldera OpenLinux 2.4,1 dera openlinux 2.3, caldera openlinux 2.2, caldera openlinux 1.3, Debian Linux GNU Mailman 1.1, GNU Mailman 1.0 и Debian Linux 2.1.

• Протоколы службы: грс. statd.

Принцип работы

Служба rpc. statd является сервером RPC, который необходим для работы пр ла Network Status and Monitor RPC. Данная служба является компонентом архитек NFS (Network File System— сетевая файловая система).

Фрагмент программы, отвечающий за ведение журнала, использует функцию syslog(| Удаленный пользователь может сконструировать строку формата таким образом, вклиниться в выполняемый код, а именно в адресное пространство процесса. После ; можно изменить адрес возврата так, чтобы выполнилась программа, созданная взломщию Такая программа будет иметь полномочия суперпользователя, поскольку rpc. statd выи няется от имени пользователя root. Эти права нужны данной программе только для < тия сетевого соединения, однако она не отказывается от них после этого. Таким обр взломщик получает возможность запускать свои программы от имени пользователя root.

Способ применения

Загрузите указанные коды программ и запустите их.

Симптомы атаки

Следите за вашим сервером: если версия ОС входит в список систем, подверженнм взлому, установите поставляемые производителем заплаты.

Методы защиты

Загрузите и установите заплату, которая соответствует вашей версии Linux. Например, заплаты для RedHat Linux 6.2 можно получить по следующим адресам.

■ RedHat Linux 6.2 sparc:

Red Hat Inc. RPM 6.2 sparc nfs-utiIs-O ,1.9.1-l-. sparc. rom

ftp://updates.redhat.com,/6.2/sparc/nfs-utils-O.1.9.1-1.sparc. rpm

■ RedHat Linux 6.2 i386:

Red Hat Inc. RPM 6.2 i386 nfs-utils-O .1. 9 .1-1. i38 5. rpm

ftp://updates.redhat.com/6.2/i3B 6/nfs-utiIs-0.1.9.1-1.i396.rpm

м RedHat Linux 6.2 alpha:

Red Hat Inc. RPM 6.2 alpha nfs-util_s*0 .l-.9.1-1. alpha. rpm

ftp:,/,/updates.redhat.com/6.2/al.pha/nfs-utiIs-O.1.9.1-1.alpha. rpm

Дополнительная информация

Чтобы получить дополнительную информацию по данному вопросу, посетите узел www.securityfocus.com.

Резюме

Как видно из этой главы, существует довольно много методов взлома операционных систем UNIX. Однако обратите внимание, что большинство методов взлома направлено не против самой операционной системы, а против программ и сценариев, установленных в ней. Таким образом, основным признаком безопасности системы является минимальное количество установленных программ и сценариев. Любое избыточное программное обес­печение представляет дополнительную опасность для вашей системы.

^{Обеспечение повторного доступа}

Чаще всего когда взломщик пытается проникнуть в систему, он хочет в случае успеха иметь возможность вернуться туда в любое время. Например, если взломщик проникает на узел, чтобы использовать его как базу для взлома других систем, он надеется обращаться к загруженным утилитам без особых проблем в любое время. По этой причине распространен метод создания люков в системе, о которых знает только взломщик. Кстати, именно поэтому для взломщика важно не только проникнуть в систему, но и замести следы. Зачем создавать люк, если администратор быстро найдет его? Важно помнить, что люки сами по себе не используют никаких недостатков в системе. На этапе создания люков взломщик уже проник в систему и получил необходимый доступ для загрузки своих программ. Однако не стоит забывать, что люки сами по себе создают дыры в системе безопасности. Именно за счет этих дыр взломщик может легко и быстро проникнуть в систему в любой момент.

Данная глава показывает, насколько системному администратору важно знать свою систему и регулярно проверять файлы журналов. Если взломщик может взломать вашу систему, он может нанести урон один раз. Однако если взломщик может вернуться в любой момент, у вас имеются большие проблемы. Администратор должен не только иметь возможность обнаружить взлом, но и точно знать, создан ли люк в его системе, например за счет открытия дополнительных портов. Если компания подключена к Internet, она не сможет защититься от всех атак. Однако для безопасности системы часто достаточно иметь систему обнаружения взлома, что позволит предотвратить создание люков. Необходимо четко усвоить, на что обращать внимание в первую очередь, и тогда урон от созданного люка сведется к минимуму.

В большинстве случаев взломщик открывает дополнительный порт, которым он пользуется для проникновения в систему в дальнейшем. Помните, что порты — это двери и окна в систему, и через них компьютер взаимодействует с другими компьютерами. Достаточно простая операция по сканированию портов, включая порты со старшими номера может быстро показать, что в системе открылись новые порты, а значит, кто-то взломал систему. Если же порты не сканируются регулярно, люк может остаться незамеченным.

Еще один распространенный метод создания люков заключается в установке так на ваемых троянских программ. Троянская программа— это программа, которая позволяет взломать безопасность компании изнутри и создать люк. При обычном взломе хакер должен сначала проникнуть в систему, а затем устанавливать свои программы. В случае использования троянской программы все происходит наоборот. Давайте рассмотрим, как работают такие программы, а затем познакомимся с программами по созданию люков за счет открытия портов. Одной из программ, позволяющих использование метода Троянского коня, является netcat.