Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

gestartet und belauscht andere Arbeitsstationen beim Login- Vorgang auf
dem Server, Abholen der E-Mail... Er sammelt diese Daten und sendet sie
irgendwann tagsüber über das E-Mail Gateway oder den Internet -Proxy in
das Internet. Die Firewall wird diese Vorgänge zwar registrieren, es sind aber
ganz normale Vorgänge. Der Angreifer ist nun im Besitz von zumindest
einigen Paßworten.
• Die 2. Datei enthält einen Keyboardsniffer, der zusammen mit Winword
startet, und alle halbe Stunde sämtliche Tastendrücke in das Internet
übermittelt.
• Diese Informationen werden von o.a. Programmen zur Übermittlung der
Informationen in das Internet verwendet und dienen der Vorbereitung weiterer
Angriffe.
• Mit diesen Informationen wird ermittelt, wer im Netzwerk evtl. sein Laufwerk
zum Scheiben freigegeben hat. Falls im Unternehmen ein Switch eingesetzt
wird, so ist die Ausbeute aus (1.) nicht groß. Der Sniffer installiert sich dann
einfach auf die andere Arbeitsstation. So erhält man weitere Paßworte aus
anderen Bereichen in Netz.
• Der Scan nach IP-Adressen ist für 11. notwendig. Die Hardwareadressen
verraten, wer die Netzwerkkarten produziert hat. Jeder Hersteller von Servern
(HP, 3COM, SUN, DEC, NOVELL....) haben ihre charakteristischen ,
reservierten MAC-Kennungen. Mit Hilfe von diesen lassen sich Hersteller und
Lieferdatum von Servern, Routern....bestimmen. Daraus ergeben sich
konkrete Hinweise auf das installierte Betriebssystem. Eine kurze Recherche
in BUGTRAQ - Archiv zeigt dann, welche Sicherheitsprobleme dieses haben
könnte, und der Angreifer findet dort auch auch gewöhnlich den exploit.
• Scan nach Virenscannern soll bei späteren Angriffen verhindern, daß sich
TSR-Programme (Terminate Stay Resident) und der Virenscanner
gegenseitig blockieren. Es zeigt auch, ob es möglich ist, zu einem späteren
Zeitpunkt ein trojanisches Pferd via E-Mail über WinWord, Excel oder
Powerpoint in das Netzwerk zu schleusen.
• Das verwendete Betriebssystem, die genauen Versionen von Browser, E-Mail
Programm könnten später wichtig sein. Sie zeigen aber auch, wie fleißig die
Systemadministratoren Sicherheits-Updates einspielen. Sie erlauben es
abzuschätzen, ob und wann auf dem Server Sicherheitskorrekturen
eingespielt wurden.
• Die installierte Software zeigt, welche Sicherheitsschwächen weiter
ausgenutzt werden können.
• Der Scan nach offenen Portnummern aller IP-Adressen im Netz meldet
gewöhnlich, hinter welcher IP - Nummer sich eine Arbeitsstation oder ein
Server verbirgt. Die offenen Ports zeigen an, welches Betriebssystem
installiert ist, und welche Dienste es aktiviert hat. Daraus ergibt sich nach
einer Recherche auf BUGTRAQ, ob und welcher buffer overflow funktionieren
würde, um an die Daten heranzukommen. Weiterhin ergeben sich
Zusammenhänge in der Netzwerkarchitektur, Hinweise auf Router und evtl.
Wege in Filialen oder andere angeschlossene Netzwerke. Diese Portscan´s
könnten von einer internen Firewall bemerkt werden, im allgemeinen aber fällt
ein solcher Scan nicht weiter auf. Insbesondere interessieren die typischen
Ports der Logserver, auf welche die Firewall Sicherheitsmeldungen sendet.
• Das Versenden all dieser Informationen erfolgt weitestgehend unauffällig.
Vorbereitung der 2 Angriffsstufe
Der Angreifer ist nun in Besitz aller wichtigen Informationen, um einen weiteren Angriff
ausführen zu können. Er kennt den Überwachungszustand des Netzes, den Zustand der
Server, einige Wege, unauffällig Informationen aus dem Netzwerk herauszuschleusen,
installiert e Software, u.s.w. Hier ergeben sich nun einige Möglichkeiten, den Server im
Erstellt von Doc Gonzo - http://kickme.to/plugins