Порабощение 2. Часть 1.

Как мы поработили этот box.

1. Прямой доступ к машине. Грузимся с livecd, правим /etc/passwd и /etc/shadow. Пароль прописываем в /etc/passwd.
2. Меняем UID и GUID у юзера на 0 0. Теперь в системе 2 рута.
3. Нас палил gnome-control-center. Нашего второго рута daemon админ машинки спалил, когда тот был залогинен с публичного шелла (есть у меня один).
4. Поднялась паника. Я – срочно чистить логи. Админ – срочно читать.
5. Завещал выключить машину. Выключили.

Дальше будет часть 2. Ближе к утру я разобрался в rootkit по имени rathole. Пояснять не надо. Открывает нам порт, коннектимся и мы суперюзер. Неудобный несколько шелл, но жить можно и в нем.

Прописал в автозагрузку /etc/rc.local. Сама прожка лежит /usr/games/hole. Живем на порту 1337 (leet) с паролем rathole!.

Дальше больше. Завтра почищу за собой /etc/passwd и /etc/shadow. Все будет вообще чисто.

Учитывая, что я потер все логи в /var/log и wtmp

Кстати о wtmp. Во Фряхе я разобрался. А вот линуксовский устроен очень неудобно для ручной правки. Пришлось убить к чертям.

No palevo.

Оправдался перед чуваком. Все ок – не думает, что это я. Он сказал, что sudo у него стоит с паролем, так что я имел отмазу, что к /etc/sudoers не имел доступа. Использование shellа и потертость .bash_history оправдал тем, что пытался настроить сеть ему (не работала, как видно из предыдущего поста) и палился.

Зато кое что узнал о паролях: на root и dima пароли разные, но оба буквенно-цифровые и случайные. В частности на пачке его сигарет была найдена запись с паролем (видимо). Подберем откуда. Фото выложу.

Ориентировочно пароли:

(u,v,w)MRnp9(4,u,n,h)I

В скобках- возможны другие варианты. К root вроде не подходят. Будем пробовать под dima. Осталось найти shell.

Брутим пароли 4.

Чото за 3 суток брута угадались только 2 пароля – тривиальный и циферный. С коллизией. Не сработало, но я думаю разберемся.

На моем серваке брутить – процесс долгий и упорный. Надо либо обновляться (чем я кстати и займусь, а именно комплением денег на это дело), либо считать на мощный машинах – ноуте или видюхе midvr.

Отменил. Неинтересно.

Палюсь c /etc/sudoers

Спалился сегодня с файликом /etc/sudoers. Добавил туда привилегии для несуществующего пользователя. Он при следующем запуске sudo и стал материться. Хуле, безопасность! Думал потом добавлю, а хрен! Ну что ж, логи баша потер и ок вроде.

Да нет, сосед пришел – палево, не пашет. Ну и полез разбираться. Нашел пустые логи баша, похереный sudoers. Начал гнать на меня, послал оного и подальше. Но! Ща понял в чем спалился – он к сетке не был прицеплен. У него глючила локалка. Думаем. Короче, хинт, в sudoers нельзя прописывать пользователей, которых нет.

Про безопасность.

Ну, как еще раз нам подсказывает практика, очень важно отменить физический доступ к машине. Все остальное – ерунда, если есть физдоступ. Чо там – грузимся с LiveCD, монтируем локальные фс и дальше делаем что хотим – воруем shadow, пишем эксплойты и т.п.

А удаленно? Ну что, есть юзер. Ну и что он может? Толком то ничего. На эксплойты надеяться не стоит – опытный профессионал и так сломает, а школьник – того бояться и не стоит. Ему если даже отдать файл паролей он, толком то его расшифровать не сможет.

Вот и я свой сервер запер в шкафу. Без оптического привода. Только вот пластилин из USB дырок изъял. Впрочем, я надеюсь что окружающие не гондоны, а если и таковые – то тем более в FreeBSD не разберутся. УГ на них.