Przedstawiamy jeden ze sposobów ataku na sieć dużej firmy - z wykorzystaniem agresywnych stron !WWW. Łatwość takiego ataku pokazuje przypadek początkującego hakera - praktycznie z niewielką wiedzą informatyczną.

Wstęp

Ponieważ ostatnio kilkakrotnie musiałem tłumaczyć, że atak za pomocą agresywnych stron WWW jest bardzo prostą techniką, a i tak potem rozmówcy patrzyli na mnie z niedowierzaniem, postanowiłem napisać niniejszy tekst.

Profesjonalni napastnicy, których celem jest zdobycie konkretnych informacji z jakiejś firmy, rzadko korzystają wyłącznie ze środków teleinformatycznych. Są prostsze i tańsze techniki zdobywania dostępu do poszukiwanych informacji. Środki z dziedziny teleinformatyki okazują się przydatne jako jedna z technik w ataku kombinowanym - wśród pozostałych, należących zwykle do tzw. social engineering. W rezultacie, nawet jeśli sprawa wyjdzie na jaw, zapewne zostanie zakwalifikowana w statystykach jako incydent z kategorii "wewnętrznych". Są jednak przypadki, w których przynajmniej początkowa faza ataku będzie prowadzona środkami teleinformatycznymi. Można sobie wyobrazić, że tak będzie wówczas, gdy:

- inaczej się nie da, bo bezpieczeństwo wewnętrzne w firmie stoi na zbyt wysokim poziomie;

- ryzyko wpadki jest zbyt duże, bo firma jest pod nadzorem służb specjalnych lub ludzi nieuznających ograniczeń prawnych w dochodzeniu czy krokach odwetowych;

- po prostu nie wiadomo jeszcze, jakie informacje mogą być interesujące, a jest za wcześnie na konkretne poszukiwania (np. za pół roku odbędzie się zapewne wielomilionowy przetarg, a rozpracowywana firma może wówczas konkurować ze zleceniodawcą napastnika, ale nie jest to pewne). Zapewne takich powodów można wymyślić jeszcze kilka.

W dalszej części artykułu opisuję sytuację, w której wymyślony napastnik nie jest profesjonalistą, a wręcz przeciwnie - nie ma specjalnej wiedzy informatycznej, za to ma dostęp do Internetu i czytuje przeróżne publikacje. Również sieć firmowa jest wymyślona. Dla uproszczenia można przyjąć, że zabezpieczenia firmy są na przyzwoitym poziomie (cokolwiek to znaczy), a w sieci pracuje kilkaset komputerów z dostępem do Internetu.

Historia Jasia

Był sobie raz Jaś, który dużo czytał, coraz więcej rozumiał i nawet zmienił sobie ksywkę na Wannabe (doszedł bowiem do wniosku, że dotychczasowa, Newbe, już mu się nie podoba). W końcu wyczytał, że aby się dostać do lokalnej sieci (np. firmowej), wystarczy znaleźć jej słaby punkt, na co szanse są tym większe, im więcej komputerów znajduje się w sieci. A była taka firma, do której Jaś miał pretensje, bo stracił przez nią konto w szkole (administrator z tej firmy bezlitośnie wysłał zawiadomienie, gdy Jaś wypróbowywał na jego serwerze Retina Apache Chunked Scanner, Languard Network Scanner i inne fascynujące programy, wskazane pod adresemhttp://www.faq.net.pl).

Wykorzystując wrodzoną inteligencję, Jaś zauważył, że to, co zwykle nazywa się bugami, to słabe punkty, a exploity, to po prostu sposoby wykorzystania tych słabości. Co więcej, doświadczył na własnej skórze, że próby aktywnego wykrywania owych słabości mogą się skończyć niewesoło. Ze stanu rezygnacji wyrwała go publikacja, w której wyczytał, że w dużych sieciach po prostu muszą się od czasu do czasu pojawić słabo chronione komputery. Statystyka podobno przemawia na korzyść napastnika. No tak, ale jak rozpoznać takie komputery, a ponadto - jak się do nich dostać, skoro mają adresy z puli prywatnej (np. 192.168.x.x)? Jaś widział to w swojej szkole, gdzie zainstalował nawet kiedyś konia trojańskiego i wiedział, że z domu przez Internet nie można się było do niego dostać. Doczytał się jednak, że gdyby udało mu się przygotować odpowiednią stronę WWW i rozgłosić w firmie, że jest atrakcyjna, to zapewne kolejne komputery z sieci firmy same zaczęłyby się zgłaszać (nieświadomie) na testy do jego komputera.

Wcześniej Jaś poddał swój komputer testom ze stronhttp://www.faq.net.pl/sectests.asp. Skopiował nawet, co się dało, z tych stron, ale okazało się to dlań bezużyteczne - z jednym wyjątkiem. W podstawówce pani od informatyki podzieliła się z nim na lekcjach całą swoją wiedzą, więc Jaś znał polecenia i pliki *.bat DOS-u. Nie dziwota więc, że szczególnie zainteresował go test Internet Explorer 5.x - MS01-020. Po analizie strony zauważył, że cały dowcip polega na umieszczeniu na niej "linka":