День второй

Настал второй день и Луис и Брок решили н а ч а т ь более интенсивное сканирование портов. Вот что рассказывает Луис, используя термин «услуги» для обозначения открытых портов.

«В этот момент мы думали о том, что надо найти больше услуг на этих компьютерах. Поэтому мы несколько изменили стратегию атаки и решили поискать их более тщательно. Мы расширили объем поисков, чтобы отыскать что‑нибудь, что помогло бы нам проникнуть в сеть. Мы видели, что у них стоял межсетевой экран с очень хорошей фильтрацией. Мы искали в нем хотя бы небольшую ошибку или неправильную конфигурацию».

Затем, используя программу Nmap – стандартное средство для сканирования портов – они проделали сканирование набора услуг при помощи файла, который просматривал каждый из 1600 портов; и опять не нашли ничего интересного.

«Итак, мы провели максимально полное сканирование, проверив маршрутизатор и почтовые сервера». Максимально полное означает проверку более 65 т ы с я ч портов. «М ы проверили к а ж д ы й ТСР‑порт и искали возможные услуги на таких портах, которые были в нашем списке».

Наконец они нашли нечто интересное, немного странное и поставившее их в тупик.

Порт 4065 был открыт. Странно было, что порт с таким большим номером используется. Луис о б ъ я с н я е т: «М ы подумали, что, может быть, они сконфигурировали telnet на этот порт. Поэтому мы послали telnet‑сигнал на этот порт и стали ждать отклика». (Telnet – это протокол для удаленного управления компьютером в любом месте Интернета). Используя telnet, Луис присоединялся к удаленному порту, который воспринимал команды от его компьютера и отвечал на них так, что ответы попадали на экран компьютера Луиса.

Когда они попытались соединиться, то в ответ получили запрос имени пользователя и логина. Итак, они оказались правы в том, что порт использовался для telnet‑соединений, но появившееся диалоговое окно для авторизации пользователя очень отличалось от того, что обычно появляется на оборудовании компании Cisco. «Через некоторое время мы поняли, что это был маршрутизатор компании 3Com. Это несколько смутило нас, поскольку не так часто попадается устройство, которое выглядит, как совсем другое устройство, да еще при этом предлагает услугу в порте с очень большим номером». То, что telnet работает через порт 4065 при помощи устройства компании 3Com, выглядело какой‑то бессмыслицей.

«Мы видели, что на устройстве открыты два порта, но они идентифицировали себя, как совершенно разные устройства, изготовленные различными производителями оборудования».

Брок отыскал этот TCP‑порт с большим номером и присоединился к нему при помощи telnet. «После того, как он получил запрос на имя пользователя, он ввел „admin“ и начал пробовать такие простейшие пароли, как „password“, „admin“, „blank“. Ему повезло буквально через несколько попыток: имя пользователя и пароль на устройстве 3Com были одинаковыми – „admin“. „В это мгновение он заорал, что все‑таки проник“, – вспоминает Луис, что означало, что они получили через telnet доступ к устройству 3Com. Особенно приятным было то, что это оказалась директория администратора.

«То, что мы отгадали пароль, был наш первый крупный успех в этой работе. Далее все шло по обычной схеме. Мы работали на разных машинах. Вначале мы проводили сканирование сети независимо и обменивались результатами. Но после того, как мы обнаружили возможность доступа через конкретный порт, я перешел на его машину и мы начали работать вместе на одном и том же компьютере.

Это было прекрасно. Мы вошли в устройство 3Com и получили полный доступ к нему, а может – и широкую улицу к другим достижениям. Прежде всего мы хотели понять, что это за устройство и почему доступ к нему реализован через порт с таким большим номером на маршрутизаторе Cisco».

При помощи командной строки они смогли запросить информацию об устройстве. «М ы подумали, что, может быть, кто‑то включил кабель управляющей консоли от устройства 3Com в устройство Cisco, и именно этим вызван неадекватный доступ». Это походило на правду, поскольку таким способом сотрудники могли подключиться через telnet к устройству 3Com через маршрутизатор. «Может быть, у них был дефицит мониторов или клавиатур в их компьютерном центре, – гадал Луис, – и они использовали нестандартный кабель в качестве временной меры». А потом администратор просто забыл об этом, как говорит Луис, «совершенно не думая о последствиях своих действий».