Тришкин кафтан

Можно ли найти один файл со всеми заплатками или как отсканировать сервер.

Пролетел еще один год, который наглядно показал тщетность попыток борьбы со злом. Не буду комментировать теракты в Нью-Йорке и воспоследовавшую за этим борьбу с терроризмом, вполне сопоставимую по разрушительной силе с самими терактами —  остановлюсь только на компьютерном мире. Хотя теперь это сделать довольно сложно — отголоски реального мира все чаще и чаще доносятся в мире виртуальном… Как вам, например, недавняя новость о том, что люди Бен Ладена принимали участие в разработке Windows XP? Даже и не знаю, как к этому относится…

Несмотря на кризис в сфере информационных технологий, фирмы, выпускающие антивирусное программное обеспечение и занимающиеся вопросами безопасности, продолжают зарабатывать деньги, и немалые. Это неудивительно, ведь и убытки, понесенные за последний год из-за уязвимости программного обеспечения, огромны. Вспомните хотя бы нашествия вирусов Code Red, SirCam, Nimda и так далее — на момент публикации статьи наверняка должны появиться и новые имена, ведь на дворе время праздников. Вспомните про дыру в ftp-сервере wu-ftpd [1], работающем под Linux-подобными системами, и дыры [2] в Web-сервере IIS от Microsoft, про дыры в Internet Explorer и Outlook Express… Этот список можно продолжить, но я остановился на самых важных (по крайней мере, для меня) продуктах. О какой безопасности идет разговор, когда на страницы сайта такого монстра, как Microsoft, проникают вирусы? Вот потому-то на большинстве компьютеров в комплект обязательного софта теперь входят антивирус и фаервол, а пользователи куда чаще интересуются вопросами безопасности — о последнем я сужу по счетчикам посещения своих статей на сайте Softerra [3].

Репутация фирм падает. Так уже было, кажется, с DrWeb от ДиалогНаука, когда он не совсем удачно справился с OneHalf. Отдельный разговор — это Microsoft. Да, кстати, попробуйте в Яндексе поискать слова «геморрой» или «жопа». Результат на экране:

Рисунок 1.

Вот еще один недочет в ПО, на этот раз поисковой системы. Не хочется верить, что это шутка ребят из Яндекса, хотя после небольших экспериментов поиск по одному из матерных слов вывел на главную страницу AltaVista…

Как же уследить за всеми дырами используемых программ и установить соответствующие заплатки? Ведь если злоумышленник обнаружит хоть одну дыру — считайте, что вы попали. Но поиск и установка заплат — процесс неблагодарный. Я не знаю мест, где можно скачать один файл со всеми существующими заплатками для какой-то ОС — той же Windows 2000, к примеру. Конечно, существуют пакеты обновлений (service pack), но они устаревают еще до выхода. Вот и приходится периодически качать по нескольку файлов, устанавливать их и перегружаться, устанавливать и перегружаться… Но оказывается, есть программа, с помощью которой можно проверить свой компьютер на наличие всех заплаток, а если у вас есть административные права в домене — то и на всех компьютерах сети. Называется это чудо Microsoft Network Security Hotfix Checker [4]. Кстати, подобную проверку можно провести и на самом сайте Microsoft, ничего явно не загружая на свой компьютер. Еще один способ, которым пользуются многие админы — подписаться на доступные листы рассылки bug traq. Но самый интересный вариант — самому стать на время хакером. Для этого надо воспользоваться специальными программами для поиска уязвимостей, именуемыми сканерами безопасности. О некоторых из них я расскажу поподробнее.

Как работает сканер безопасности? Небольшая основная программа подсоединяется к удаленному компьютеру через все или заданные порты. В зависимости от того, что находится на данном порту, посылаются запросы, взятые из базы данных программы. Поэтому сама программа может не обновляться, главное — периодически закачивать базу с описанием дыр с сайта разработчика.

В последнее время, видимо, чтобы отличиться от конкурентов, сканеры, как и весь остальной софт, тяжелеют и обрастают второстепенными дополнительными функциями. Например, в некоторых есть возможность использования Whois — но лучше все же пользоваться специализированными программами, тем же Internet Maniac.

Одна из главных задач сканера — определить версию операционной системы и список программного обеспечения, который используется на компьютере. После этого время на атаку существенно сокращается, ведь всю базу уязвимостей перебирать не придется. Так, если удалось подключиться к восьмидесятому порту, то достаточно легко узнать, что именно на нем висит. Для примера я сделаю это из telnet. Послав своему компьютеру строку типа "HEAD / HTTP\1.0.", я получил следующий ответ:

HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/5.0
Date: Sun, 23 Dec 2001 18:41:37 GMT
Content-Type: text/html
Content-Length: 87


The parameter is incorrect. 

Из него видно, что компьютер работает под управлением Windows 2000 с установленным IIS 5, кроме того, можно узнать локальное время. А теперь можно начинать атаку по базе дыр IIS. Если же вы воспользуетесь для поиска дыр специализированным сканером, то практически любой из них проиллюстрирует найденные программы красивыми иконками, а уязвимости распишет и посоветует, как их ликвидировать, или в крайнем случае предложит ссылку на более подробную информацию.

Познакомимся со сканерами поближе. Начнем с LANguard Network Scanner (рис. 2) — наши постоянные читатели уже должны были заметить, как я его люблю. Не так давно появилась вторая версия этой программы, но все же я порекомендую ее лишь для быстрого тестирования компьютеров — для полноценного анализа надо пользоваться «тяжелой артиллерией», о которой речь пойдет ниже. В программе появилось несколько приятных нововведений: она может искать уязвимости [5], предупреждает о неиспользуемых учетных записях пользователей, кроме того, пополнена база портов. Большой плюс сканера — его бесплатность, хотя пункт регистрации в меню для чего-то есть.

Рисунок 2.

Следующая программа — Retina (рис. 3) — принадлежит перу программистов компании eEye Digital Security, специализирующейся на компьютерной безопасностьи. Retina умеет куда больше, нежели LANguard, но для полного тестирования потребуется и существенно больше времени -правда, оно того стоит… Так, после проверки с ее помощью я узнал, что мой компьютер уязвим для вируса Nimda. А я-то думал, что установил нужную заплатку… Но обратная сторона медали — за Retina просят бешеные деньги.

Рисунок 3.

Теперь поговорим об отечественных разработках. Довольно интересен Xspider (рис. 4), обладающий чрезвычайно простым интерфейсом и удобный в работе. Именно с помощью него я в свое время находил сервера-жертвы, на некоторых из которых кормлюсь и по сей день. Из особенностей Xspider стоит отметить возможность находить доступные файлы на Web-сервере по словарю (рис. 5), для чего надо указать каталоги, названия файлов и их расширения, и при поиске будут использованы все комбинации из этого множества. Ранее XSpider был бесплатен, но после выхода версии 6 Beta ситуация неясна — программу надо регистрировать на сайте разработчика, который временно закрыт.

Рисунок 4.

Последним отмечу также отечественный Shadow Security Scanner (рис. 6). Вообще, я поклонник программ, разработанных соотечественниками, тем более что этот сканер умеет многое, но… что-то вот не подошла она мне. Может, дело в интерфейсе, попахивающем Microsoft? Полупрозрачность, выделение элементов при проводе над ними мышкой, раздвигающееся на части окно «О программе»… Как будто все сделано для детского сайта, а не для суровых хакеров. Лично мне больше по душе оформление стандартного telnet. Я так и не понял, сколько стоит SSS, знаю лишь, что раньше для жителей бывшего СССР программа была бесплатной.

Рисунок 5.

Несомненно, есть и другие сканеры, но до некоторых у меня просто не дошли руки (от добра добра не ищут), остальные же стоят кучу денег. Кстати, все рассмотренные программы обладают примерно одинаковыми возможностями, так что для поиска дыр вовсе не обязательно ставить их все.

Рисунок 6.

Единственное, что пугает — судя из писем читателей, некоторые личности будут использовать эту статью для нападения, а не защиты. Конечно, это их право, но все же: может, хватит?

[1] — Подробнее — в bugtraq на SecurityFocus.
[обратно к тексту]

[2] — Подробнее — в статье «О сервере бедном замолвите слово».
[обратно к тексту]

[3] — Для обеспечения безопасности от любопытных глаз в настоящее время счетчики… не очень работают:) Постараемся исправить. — wsDmitry
[обратно к тексту]

[4] — download.microsoft.com/download/win2000platform/Utility/3.2/NT45/EN-US/nshc32.exe
[обратно к тексту]

[5] — К сожалению, unicode bug почему-то не находится.
[обратно к тексту]