|
Инвертаризация сети. Часть 1
#################################################################################@ @
@ :: LwB Security Team :: @
@ @
#################################################################################
# -written by Gotius #
# -e-mail: gotius@land.ru #
# -http://www.lwbteam.org #
# -date: 28/01/2004 #
# -comments:no #
#################################################################################
-= Инвертаризация сети. Часть 1 =-
***************************************
Сегодня я решил всё таки начать статью о том, как правильно провести
инвентаризацию сети или одного сервера отдельно. Более подробно я остановлюсь на
первом пункте, т.к. он является наиболее сложным. В первую очередь, эта статья
направлена к новичкам в нелёгком хакерском труде, хотя ветераны, также могут
найти её интересной. Здесь я постараюсь охватить все способы, но не весь софт,
который можно использовать, т.к. это просто невозможно, я приведу только лучшие в
своём классе продукты.
Итак, вопреки бытующим верованиям, первым делом когда ты решил что-либо взломать,
не нужно хватать первый попавшийся сканер портов, набивать туда хост и ждать
результатов. Тем более, если используются ICMP пакеты, при timeout в одну секунду.
Проще говоря, если даже сервер настроен плохо, и ваши пакеты пройдут через
брендмауэр, то очень скоро админ увидит, что его порты буквально заваливаются
пакетами ICMP (тип ECHO). Соответственно, он посмотрит адрес отправителя и тогда,
если вы не скрываетесь под энным количеством анонимных прокси, он сможет числить
вас, но так как сканирование не противозаконно, то дальнейшие его действия будут:
избиение сканирующего в тёмном подъезде или добавление IP в чёрный список, ну или
всё вместе.
По сему видно, что не стоит лезть на рожон, а приготовиться выполнить очень
простенькие действия без риска для здоровья. Сначала разберёмся с нашим врагом.
Пусть это будет Microsoft.com. Первым делом нужно собрать как можно больше
информации об их сети. Для этой цели я предпочитаю:
[ http://www.internic.net/whois.html ]
Забив мелкосовтовцев в поле, мы получаем следующее:
----------------------------------------------------------------------------------
Domain Name: MICROSOFT.COM
Registrar: NETWORK SOLUTIONS, INC.
Whois Server: whois.networksolutions.com
Referral URL: http://www.networksolutions.com
Name Server: DNS1.CP.MSFT.NET
Name Server: DNS1.TK.MSFT.NET
Name Server: DNS3.UK.MSFT.NET
Name Server: DNS1.DC.MSFT.NET
Name Server: DNS1.SJ.MSFT.NET
Status: REGISTRAR-LOCK
Updated Date: 26-nov-2003
Creation Date: 02-may-1991
Expiration Date: 03-may-2012
----------------------------------------------------------------------------------
Ну вот так всегда, у всяких уродов куча DNS (domain name server) серверов.
У этих аж пять по пяти странам. Завели они свою регистрационку 02-май-1991. Может
и пригодится…
Итак, наши Мелкософтовцы не дураки, поэтому не оставили никакой инфы о себе на
www.arin.net или других WHOIS, так что мы пойдём другим путём и просто поищем
DNS3.UK.MSFT.NET (ну лично меня тронуло сначала искать именно этот, всё равно все
придётся инвентаризировать) в любом забугорном поисковике. Так я нашёл, что его
адрес будет 213.199.144.151
Итак, способ простой, но не достойный, луче найти самому, для этого нам
понадобится супер http://dnsstuff.com/
Учить с ним работать нет времени, так что читайте мануалы прямо на сервере.
Описываю действия, сначала бьём DNS3.UK.MSFT.NET в поле DNS lookup. Получаем
следующее:
----------------------------------------------------------------------------------
Domain Type Class TTL Answer
dns3.uk.msft.net. A IN 172800 213.199.144.151
msft.net. NS IN 172800 dns1.cp.msft.net.
msft.net. NS IN 172800 dns1.dc.msft.net.
msft.net. NS IN 172800 dns1.sj.msft.net.
msft.net. NS IN 172800 dns1.tk.msft.net.
msft.net. NS IN 172800 dns3.jp.msft.net.
msft.net. NS IN 172800 dns3.uk.msft.net.
dns1.cp.msft.net. A IN 172800 207.46.138.20
dns1.dc.msft.net. A IN 172800 64.4.25.30
dns1.sj.msft.net. A IN 172800 65.54.248.222
dns1.tk.msft.net. A IN 172800 207.46.245.230
dns3.jp.msft.net. A IN 172800 207.46.72.123
dns3.uk.msft.net. A IN 172800 213.199.144.151
----------------------------------------------------------------------------------
Вот так просто мы сами нашли его IP. (Обратите внимание, что мы получили IP
остальных ДНС) Если заметили, то этот IP является ссылкой, так что кликаем!!!
Вот что мы получили:
----------------------------------------------------------------------------------
Country: UNITED KINGDOM
ARIN says that this IP belongs to RIPE; I'm looking it up there.
Using cached answer (or, you can get fresh results).
% This is the RIPE Whois server.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See http://www.ripe.net/ripencc/pub-services/db/copyright.html
inetnum: 213.199.144.0 - 213.199.159.255
netname: MSFT-IDC
descr: Microsoft London Internet Data Center
descr: Distribution of Microsoft content
descr: London
country: GB
admin-c: BR329-ARIN
tech-c: JMS95-RIPE
status: ASSIGNED PA
mnt-by: RIPE-NCC-NONE-MNT
changed: judithsh@microsoft.com 20010419
source: RIPE
route: 213.199.144.0/20
descr: Microsoft European IDCs
origin: AS8068
notify: peering@microsoft.com
mnt-by: MICROSOFT-MAINT
changed: cnielsen@microsoft.com 20020419
source: RIPE
person: Bharat Ranjan
address: Microsoft Limited
address: 10 Great Pulteney Street
address: London, W1F 9NB
address: UK
phone: +44 7703 405 100
fax-no: +1 (425) 936 7329
nic-hdl: BR329-ARIN
changed: bharatr@microsoft.com 20020516
source: RIPE
person: Judith Shenk
address: Microsoft Corporation
address: One Microsoft Way
address: Redmond, WA
address: USA
phone: +1 425-703-7384
fax-no: +1 425-936-7329
e-mail: judithsh@microsoft.com
nic-hdl: JMS95-RIPE
notify: judithsh@microsoft.com
changed: judithsh@microsoft.com 20000411
source: RIPE
----------------------------------------------------------------------------------
Итак мы получили груду информации об этой ДНС, и соответственно кое-что о сети.
Найдите вот это в инфе:
-------
person: Bharat Ranjan
address: Microsoft Limited
address: 10 Great Pulteney Street
address: London, W1F 9NB
address: UK
phone: +44 7703 405 100
fax-no: +1 (425) 936 7329
nic-hdl: BR329-ARIN
changed: bharatr@microsoft.com 20020516
source: RIPE
-------
Те, кто самые догадливые, уже поняли, что это всё значит, что некий Брахат изменил
инфу о ДНС и сказал, что теперь это дело дислоцируется в Лондоне на 10 Great
Pulteney str. Если есть желание, то можно хакнуть это всё ракетно-бомбовым ударом.
Вот это 20020516 следует интерпретировать как 16-го мая 2002 года. Здесь, думаю,
вопросов не возникнет. Но помните всегда, телефоны и электронные адреса очень
полезны, если вы решили взять соц.инженерией, хотя с эти админом, думаю, что
простые шутки не проскочат. Собирайте отдельно все электронные адреса и телефоны.
Кстати, как видите то, ящик находится на их же домене, так что почта, как правило
более уязвима. Нужно ли мне напоминать об Outlook в его модификациях. Уж не на
никсах они там сидят, не на никсах. Итак, в первых строчках мы уже получили инфу
по их диапазону адресов, чего нам так хотелось для будущего исследования
213.199.144.0 - 213.199.159.255 Ниже мы увидим строчку с маской сети
213.199.144.0/20. Если я не ошибаюсь, то в такой сетке может быть максимум 4095
компьютеров. Устный счёт может хромать, так что если не прав, то сами поправите.
Мы так же можем забить тот ДНС в поле Reverse DNS
----------------------------------------------------------------------------------
Country: UNITED KINGDOM
Preparation:
The reverse DNS entry for an IP is found by reversing the IP, adding it to
"in-addr.arpa", and looking up the PTR record.
So, the reverse DNS entry for 213.199.144.151 is found by looking up the PTR
record for
151.144.199.213.in-addr.arpa.
All DNS requests start by asking the root servers, and they let us know what to do
next.
See How Reverse DNS Lookups Work for more information.
How I am searching:
Asking i.root-servers.net for 151.144.199.213.in-addr.arpa PTR record:
i.root-servers.net says to go to ns.ripe.net. (zone: 213.in-addr.arpa.)
Asking ns.ripe.net. for 151.144.199.213.in-addr.arpa PTR record:
ns.ripe.net says to go to dns1.dc.msft.net. (zone: 144.199.213.in-addr.arpa.)
Asking dns1.dc.msft.net. for 151.144.199.213.in-addr.arpa PTR record: Reports
dns3.uk.msft.net.
Answer:
213.199.144.151 PTR record: dns3.uk.msft.net. [TTL 3600s] [A=213.199.144.151]
213.199.144.151 PTR record: dns3uk.msft.net. [TTL 3600s] [A=213.199.144.151]
Details:
You have more than one PTR record for 213.199.144.151. This is legal, but most
programs will only use
the first PTR record listed (which may vary).
----------------------------------------------------------------------------------
Сейчас мы выяснили, что коренным ДНС является dns1.dc.msft.net
Теперь нам стоит посетить http://www.whois.sc/
Опять вводим 213.199.144.151, полученные результаты можно легко проанализировать
самим, т.к. они почти что идентичны вышеприведённым, только более детализированы и
разбиты по таблицам.
Вот так мы собрали предварительные данные о сети, без прямого сканирования,
соответственно, нигде не засветились. Следующая глава будет посвящена прямому
сканированию и, возможно, дополнениям к вышесказанному, если что то неожиданно
вспомню.
Copyright 2002-2004 by LwB Security Team. All rights reserved.
Дата створення/оновлення: 25.05.2018