Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

10000, wie als default vorgegeben. 4 Wochen nach Installation war das System geknackt,
und der User root gelöscht.
Was war passiert ?
Ein Surfer im Netzwerk hatte eine Seite geladen, die aus 2 Frames bestand und durch
JAVA(SKRIPT) ergänzt war. Netscape baute 2 Verbindungen auf, eine in das Internet,
und eine zur Firewall. Hier öffnete ein JAVA-Applet den Port 10000, loggte sich als admin
mit dem Paßwort admin ein und startete das PerlSkript, welches für User-Administration
zuständig ist und löschte so den User root. Ein Zufallstreffer, aber sicher ist dieser Trick
häufiger anwendbar, als allgemein vermutet.
Mit größerer Wahrscheinlichkeit gelingt aber ein von innen initiierter buffer overflow, z.B.
auf den POP3 Dämon. Hierzu muß man wissen, daß S.u.S.E. LINUX 5.2 ein Problem mit
dem QUALCOMM POP-Dämon hatte. Alternativ könnte man auch einen aktuellen Exploit
auf mountd, inetd oder portmap nehmen. Auf dieser Firewall ist mit hoher
Wahrscheinlichkeit dieser POP-Dämon installiert und nach innen hin aktiv. Also wird ein
Angreifer diesen exploit namens QPOP ein wenig umschreiben: Erstens wird er /bin/bash
in /sbin/ipfwadm -If; ping www.domain.com ändern, anstelle der Parameterübergabe in der
Shell feste IP - Nummern einstellen und dieses Programm mit Microsoft VC++ oder
DJGPP kompilieren. Nun wird er auf dem Server www.domain.com einen ICMP-Scanner
installieren und starten, um aufgrund der ping Pakete (ICMP) die (eventuell dynamische)
IP - Nummer es Firewallrouters feststell en zu können. Der ICMP-Scanner ist ein wenig
modifiziert - er reagiert auf ein ping mit einem kontinuierlichen back-ping (ähnlich
backfinger), um die ISDN-Verbindung offenzuhalten. Nun verpackt der den Exploit als
Attachment in eine E-Mail und adressiert es an einen beliebigen Benutzer hinter der
Firewall. In der sicheren Hoffnung, daß ein Benutzer diese E-Mail lesen wird, und
neugierig das Programm startet, lehnt er sich zurück und wartet. Nach einiger Zeit schaut
er nach, ob sein Back-Ping angeschlagen hat. Ist das der Fall, so wird sein Portscanner
zeigen, daß der Firewall-Router alle internen Ports nach außen geöffnet hat (ipfwadm -If).
Die ISDN-Leitung bleibt also solange geöffnet, bis der Angreifer Zeit hat, sich um sein
Opfer zu kümmern. Mit Hilfe des QPOP exploits wird er ein zweites mal den POP-Dämon
bemühen, um vollen root Zugriff auf die Firewall zu haben. Um keine Spuren zu
hinterlassen, muß er mit dem Signalhändler (kill) den SYSLOGD vorübergehend anhalten.
Mit Hilfe des vi, weil er I-Node-Echt (wichtig!) und überall zu finden ist, wird er seine
Spuren in den Logfiles verwischen. Die Inode - Echtheit ist deswegen besonders wichtig,
weil man während der LOG-Dämon in die Datei schreibt, Teile aus dieser gleichzeitig
löschen kann. Editoren, die nicht I-Node-Echt sind, würden diese Datei zuerst kopieren
und dann öffnen, während der LOG-Dämon fleißig in die andere Datei schreibt. Beim
speichern wird die originale Datei umbenannt und gelöscht. Danach wird die veränderte
Kopie in die originale Datei umbenannt. Diese neue Datei besitzt dann eine neue I-Node
Nummer, die der LOG-Dämon nicht automatisch erkennt. Dieser schreibt fleißig in die
Datei (wie auch immer diese nun heißt) hinein. Erst nach einem Neustart würde er die
Veränderung der I-Node Nummer bemerken und mit dem Schreiben der LOG-Datei
fortfahren. (Hackerwissen !!!)
^P^P^P^P.....^P
, und den SYSLOGD wieder weiterlaufen lassen. In den Logfiles werden sich keinerlei
Spuren eines Angriffs finden lassen. Da der Systemadministrator keinerlei Informationen
darüber erhält, ob ein User im Netzwerk nun diesen exploit oder nur normal seine E-Mails
abgeholt hat, kann auch ein IDS-System nichts ungewöhnliches entdecken. Diese Firewall
hätte genauso ein NT - Server mit WINGATE, WINPROXY, oder SAMBAR.... sein können.
Das Schema wäre dasselbe gewesen.
Angriffe auf LINUX WWW-Server
Ein Unternehmen besitzt einen Multi-Homed Internet Server im Netz, auf dem sich
hunderte Kundensites befinden. Ich als Systemadministrator, stellte an einem
Wochenende nach der Fußball-WM 1998, es war der 12.07.1998, fest, daß ich aus
Erstellt von Doc Gonzo - http://kickme.to/plugins