Линда Маккарти - IT-безопасность - стоит ли рисковать корпорацией?

293 # cd /home/guests

294 /home/guests: bad directory

295 # cd /home/guest

296 # Is — tal

297 total 56

298 dr-xr-xr-x 10 root 512 Jan 18 23:15..

299 drwxr-xr-x 9 guestl 1024 Jan 15 16:21 guestl

300 drwxr-xr-x 11 тагу 1536 Jan 1417:37 тагу

301 drwxr-xr-x 5 jeffs 512 Jan 12 15:57 jeffs

302 drwxr-xr-x 3 eddie 512 Jan 813:04 eddie

303 drwxr-xr-x 3 sunwise 512 Jan 8 09:36 sunwise

304 drwxrwxrwx 3 brad 512 Jan 6 15:43 dan

305 # Is — tsl dan

306 total 1450

307 1 — rw-r-r- 1 6553434 Jan 6 15:43 test

308 264 — rw-r-r- 1 dan 255563 Jul 8 1992 packet.dat

309 56 — rwxr-xr-x 3 dan 57344 Jul 1 1992 sz

310 56 — rwxr-xr-x 3 dan 57344 Jul 1 1992 sx

311 56 — rwxr-xr-x 3 dan 57344 Jul 1 1992 sb

312 40 — rwxr-xr-x 3 dan 40960 Jul 1 1992 rx

313 40 — rwxr-xr-x 3 dan 40960 Jul 1 1992 rb

314 40 — rwxr-xr-x 3 dan 40960 Jul 1 1992 rz

315 896-rw-rw-rw-1 dan 901682 Jun 16 1992junk,2

3161 drwxr-xr-x 2 dan 512 Oct 25 1990 doswin

317 # cat dan/test

318 Код удален по соображениям безопасности

Строка № 319

Теперь хакер ищет, кому принадлежит UID 65534, Выходит так, что этот пользовательский ID не принадлежит никому.

Строки с № 320 по № 393

Здесь он смотрит, нет ли других пользователей в системе. Его особенно интересуют те учетные записи пользователей, которые не использовались недавно, Это нужно для того, чтобы никто не заметил, как он ими пользуется. Для поиска неактивных учетных записей хакер ищет каталоги, в которых не было недавнего обращения к их файлам. Он также просматривает время последних входов пользователей в систему.

319 # grep 65534 /etc/passwd

320#cd/home/se

321 # Is — tal

322 total 44

323 dr-xr-xr-x 10 root 512 Jan 18 23:15..

324 drwxr-xr-x 17 wendy 2560 Jan 18 23:13 wendy

325 drwxr-xr-x 26 hamant 4608 Jan 18 17:28 hamant

326 drwxr-xr-x 48 neally 9728 Jan 18 11:03 neally

327 drwxr-xr-x 41 derek 3584 Jan 16 03:16 derek

328 drwxr-xr-x 17 kevin 2048 Jan 15 17:04 kevin

329 drwxr-xr-x 31 mark 3072 Jan 15 16:41 mark

330 drwxr-xr-x 19 colleen 1536 Jan 15 16:15 colleen

331 drwxr-xr-x 44 matthews 4608 Jan 15 11:37 matthews

332 drwxr-xr-x 16 mikep 1536 Jan 15 11:24 mikep

333 drwxr-xr-x 2 10406 512 Dec 2 11:35 mikec

334 drwxr-xr-x 24 cmeyer 2048 Dec 1 11:11 cmeyer

335 drwxr-xr-x 15 root 512 Sep 15 17:04.

336 drwxr-xr-x 8 5542 1536 Aug 28 15:13 Joseph

337 drwxr-xr-x 2 root 512 Jul 17 1991 lost+found

338 # last] grep eric

339 ericz ttyh 1 Mon Jan 18 08:30 — 08:32 (00:02)

340 ericz ttyh 1 Aug 30 14:25–14:25 (00:00)

341 ericz ttyhKC

342 # id344 # grep eric /etc/passwd

345 Uace: LEkQ/KdKGcyV2:4:4:ACE:/usr/spool/uucppublic: /usr/ lib/ uucp/uucico

346 Uaim:93uUCUdUU6zdl:4:4:AIM:/usr/spool/uucppublic: /usr/ lib/ uucp/uucico

347 ericz: vt0R/k7x2W1 kY:3063:50::/home/region3/ericz:/bin/csh

348 ericc:23JjW1a5hqUSQ:4094:10:&:/home/guest/eric:/bin/csh

349 # last ericc

350 ericc ttypl ptero Mon Aug 3 18:52–18:52 (00:00)

351 wtmp begins Wed Jul 1 18:46

352 # last richp

353 richp ttypO awe Sat Jan 16 19:33 — 19:34 (00:00)

354 richp ttyp4 vela Mon Jan 11 15:59 — 16:00 (00:00)

355 richp ttyp8 vela Wed Oct 7 13:28 13:58 (00:29)

356 richp ttyhl Mon Oct 5 15:39–15:41 (00:01)

357richpttyhl MonOct5 14:15–14:18(00:02)

358 richp ttyhl Mon Oct 5 13:54 — 13:58 (00:03)

359 richp ttyp3 vela Mon Oct 5 09:43 — 09:44 (00:00)

360 richp ttyhl Wed Sep 30 17:57 — 17:57 (00:00)

361 richp ttyp2 velaTue Sep 29 14:31–14:32 (00:00)

362 richp ttyhl Thu Sep 24 13:48 — 13:51 (00:02)

363 richp ttypl valley Wed Sep 23 19:47–19:48 (00:00)

364 richp ttyhl Wed Sep 23 13:28 — 13:48 (00:20)

365 richp ttyhl Mon Sep 21 11:27 — 11:29 (00:02)

366 richp ttyp6 vela Fri Sep 4 09:15 — 09:16 (00:01)

367 richp ttyp5 vela Thu Sep 3 12:31–13:00(00:28)

368 richp ttyp5 vela Thu Sep 3 12:11–12:11 (00:00)

369 richp ttyp5 vela Thu Sep 3 11:42–11:43 (00:00)

370 richp ttyp5 vela Thu Sep 3 10:01–10:04(00:02)

371 wtmp begins Wed Jul 1 18:46

372 # last Iwake

373 Iwake ttyp2 runcible Tue Dec 1 15:00 — 15:06 (00:06)

374 Iwake ttyp3 runcible Wed Sep 30 13:01 — 13:15(00:13)

375 Iwake ttyp2 runcible Tue Sep 22 09:12 — 09:14 (00:02)

376 Iwake ttyp2 runcible Fri Jul 24 14:40–14:40 (00:00)

377 Iwake ttyp4 runcible Fri Jul 17 09:13 — 09:14 (00:00)

378 Iwake ttyp4 runcible Fri Jul 17 09:12 — 09:13 (00:00)

379 Iwake ttyp2 runcible Mon Jul 13 16:56–17:02 (00:05)

380 wtmp begins Wed Jul 1 18:46

381 # last eggers

382 eggers ttypO sunkist Thu Jan 7 06:40 — 06:40 (00:00)

383 eggers ttyhl Mon Nov 16 16:41–16:42 (00:00)

384 eggers ttypl bike Mon Nov 16 16:37–16:41 (00:03)

385 eggers ttypl bike Thu Nov 12 18:35–18:39 (00:03)

386 eggers ftp bike Wed Oct 7 12:58–13:03 (00:05)

387 eggers ttyp8 bike Wed Oct 7 12:53–13:03 (00:10)

388 eggers ttypl bike Tue Oct 6 14:14–15:27(01:13)

389 eggers ttypl bike Wed Sep 23 16:25–16:30 (00:05)

390 eggers ttypl bike Tue Sep 15 20:34 — 20:36 (00:01)

391 eggersttyhl Fri Sep 11 18:39–18:39(00:00)

392eggersttyh1 Fri Sep 11 18:11 18:21 (00:10)

393 eggersttyhl Fri Sep 11 17:52–18:01 (00:08)

Строки с № 394 по № 426

В этом месте наш друг уже был готов уйти. Но перед этим он установил новые пароли в использованные им неактивные («спящие») учетные записи. Этот шаг сделает его следующий взлом более легким. (По этой причине вы должны всегда устанавливать новые пароли после взлома!)

Строки с № 427 по № 431

Для одного дня достаточно. Наш непрошеный гость замел свои следы (не показано из соображений безопасности) и закрыл сессию.

394 # passwd ericc

395 Changing password for ericc on suntzu.

396 New password:

397 Retype new password:

398 # grep lori /etc/passwd

399 lori: FAJEq1YKw4p7.,0:5734:50:Lori:/home/guest/lori:/bin/csh

400 # pwd

401 /tmp_mnt/home/se/wendy

402 # cd /home/guests

403 /home/guests: bad directory

404 # cd /home/guest

405 # Is — tal lori

406 total 10

407 drwxr-xr-x 52 root 1024 Sep 12 14:25..

408 drwxr-xr-x 3 lori 512 Aug 9 18:46.

409 — rw-r-r- 1 lori 1262 Aug 9 18:46.M23set,v1.1

410 drwxr-xr-x 2 lori 512 Aug 8 17:45.dist

411 — rw-r-r- 1 lori 1457Jun 7 1991.login

412 — rw-r-r- 1 lori 2687 Jun 7 1991.cshrc

413 # last lori

414 wtmp begins Wed Jul 1 18:46

415 # passwd ericc

416 Changing password for ericc on suntzu

417 New password:

418 Retype new password:

419 # passwd lori

42 °Changing password for lori on suntzu

421 New password:

422 Retype new password:

423 # passwd jeff