Определение маршрутизатора

Они анализировали сеть, используя обычный метод отслеживания путей UNIX, который показывает число маршрутизаторов, через которые прошли пакеты данных к определенной цели; на жаргоне это называется числом «скачков». Они проанализировали подобные пути для почтового сервера и для пограничного межсетевого экрана. Отслеживание путей показало им, что почтовый сервер находится на один скачок за межсетевым экраном.

Эта информация дала понять, что почтовый сервер либо находится в DMZ, либо все системы за межсетевым экраном расположены в одной сети. (DMZ – это так называемая демилитаризованная зон а – электронная область, где нет людей, расположенная между двумя межсетевыми экранами и обычно доступная как из внутренней сети, так и из Интернета. Цель DMZ состоит в защите внутренней сети на тот случай, если какая‑то из систем, доступная из Интернета, будет взломана).

Они знали, что у почтового сервера открыт порт 25 и, проделав traceout, поняли, что могут проникнуть через межсетевой экран для связи с почтовым сервером. «Вначале нам показалось, что мы сбились с пути, но потом мы быстро поняли, что перескочили маршрутизатор, и находимся уже за межсетевым экраном, а еще на один скачок за ним мы увидели почтовый сервер, и мы начали понимать, как устроена сеть».

Луис говорил, что они часто начинают свою атаку с проверки нескольких общедоступных портов, которые, как известно, остаются открытыми для межсетевого экрана: среди них он называл порт 53 (используемый Domain Name Service); порт 25 (почтовый сервер SMTP); порт 21 (FTP); порт 23 (telnet); порт 80 (HTTP); порты 139 и 445 (оба используются для NetBIOS в различных версиях Windows).

«Перед тем, как проводить сканирование портов, мы очень точно убедились, что имеем список узлов для атаки, в котором нет неиспользуемых IP‑адресов. На самом начальном этапе надо иметь список реальных мишеней, а не перебирать все IP‑адреса слепо. После перечисления потенциальных мишеней мы поняли, что есть пять‑шесть систем, которыми имеет смысл заниматься и дальше».

Они обнаружили только три открытых порта: почтовый сервер, Интернет‑сервер со всеми установленными заплатками в системе безопасности, которые на самом деле даже не использовались и telnet на порте 23. Когда они пытались проникнуть в систему через telnet, то всегда получали типичный для оборудования компании Cisco ответ «Проверка права доступа», Таким образом, единственное, что им удалось узнать на этом этапе, это тип маршрутизатора.

Луис знал из своего опыта, что пароль на маршрутизаторах Cisco часто устанавливался каким‑то очевидным. «Н а этот раз мы попробовали три разных пароля „имя компании“, „blank“ и „Cisco“, но не смогли проникнуть в маршрутизатор. Поэтому, чтобы не создавать лишнего шума, мы решили прекратить попытки проникновения через эту услугу».

Они попробовали просканировать устройство Cisco на предмет открытых общеизвестных портов, но не смогли никуда попасть. «Итак, в первый день нашей работы мы потратили много времени и сил на изучение компании и ее сети и начали первичное сканирование некоторых портов. Не могу сказать, что мы были готовы отказаться от своей затеи, поскольку у нас в запасе еще было несколько приемов, которые мы всегда пробовали в своей практике перед тем, как прекращали атаку».

В общем, все, что они сделали за первый день, это идентифицировали один маршрутизатор.