Jak włamać się do komputera

Nawet najlepiej zabezpieczony komputer może paść ofiarą ataku. Dowiedz się, jakich metod używają cyberprzestępcy.

PC World Testy - pakiety zabezpieczające

Cyberprzestępcy mogą przeprowadzać wiele ataków, ale jednym z najbardziej zyskownych jest przejęcie kontroli nad komputerem. Daje to olbrzymie możliwości - od podsłuchiwania haseł internautów do zarażania setek osób złośliwym oprogramowaniem, jeśli włamywacz dostanie się do zasobów popularnego serwera.

I ty zostaniesz administratorem

Komputery możemy podzielić na cztery grupy w zależności od stopnia trudności ataku. W pierwszej znajdują się maszyny na których masz już uprawnienia administratora (w przypadku systemów uniksowych - roota). To najmniej interesujący przypadek, bo wówczas możesz właściwie prawie wszystko. Bardzo często atak polega na przejęciu maszyny z którejś z dalszych grup.

Druga grupa to maszyny, do których masz bezpośredni dostęp - fizycznie pracujesz przy wybranym komputerze, łączysz się z nim przez SSH itp. W tym przypadku masz kilka możliwości ataku polegającego na uzyskaniu najwyższych praw. W artykule zostaną przedstawione dwa - uzyskanie hasła administratora i zalogowanie na jego konto oraz utworzenie nowego użytkownika z wyższymi uprawnieniami za pomocą mechanizmu komunikatów.

Kolejna grupa komputerów to serwery, czyli maszyny wyposażone w oprogramowanie, które przez cały czas oczekuje na klientów chcący skorzystać z ich usługi. Taką usługą może być na przykład hosting stron WWW albo firmowy serwer do wymiany plików. Dostęp do nich jest bardzo wartościowy, gdyż zwykle są to wysokiej jakości urządzenia działające 24 godziny na dobę i wyposażone w dobre łącze.

Ostatnia grupa to komputery, które nie udostępniają żadnych usług. Jest to zdecydowana większość domowych pecetów. Wbrew pozorom sytuacja nie jest beznadziejna. W tym przypadku wystarczy samemu zainstalować na takim komputerze oprogramowanie, które będzie oczekiwało na nasze polecenia lub samodzielnie zbierze potrzebne dane i wyśle we wskazane miejsce. Oczywiście niezbędne jest od tego wszelkiej maści złośliwe oprogramowanie, którym cyberprzestępca musi zarazić komputer ofiary. Chociaż w zależności od tego jakich danych potrzebujesz, zdarza się że można się obejść i bez tego. Czasem wystarczy, że ofiara wejdzie na spreparowaną stronę, a skrypty na niej zawarte wyciągną niektóre informacje przechowywane przez przeglądarkę.

Poszukiwania ofiary

Analizując uczestników grup tematycznych w serwisach społecznościowych i porównując te, do których należy dany internauta, można dowiedzieć się jak ma na nazwisko.

Analizując uczestników grup tematycznych w serwisach społecznościowych i porównując te, do których należy dany internauta, można dowiedzieć się jak ma na nazwisko.

Jeśli wiesz już jakie komputery zamierzasz zaatakować, musisz je znaleźć. Urządzenia sieciowe są rozpoznawane po adresie IP. Jest to 32-bitowy numer zapisywany jako cztery liczby z zakresu 0 - 255 oddzielone kropkami. Np. serwer WWW PC Worlda ma adres 194.69.207.226. Komputery znajdujące się w sieci lokalnej mają numer zaczynający się od 192.168.X.X, każdy z takich numerów może powtarzać się w wielu sieciach.

Ponadto urządzenia komunikują się wykorzystując porty - jeden serwer może oczekiwać na połączenia na wielu portach, na każdym z nich świadcząc inną usługę. Z reguły korzysta się z ustalonych portów, np. port 80 dla serwera WWW, port 22 dla SSH itd., ale nie jest to konieczne. Porty na których nie są świadczone żadne usługi powinny być zamknięte, czyli niedostępne z zewnątrz. Zwykli użytkownicy mogą otwierać tylko wysokie porty (z tego powodu np. programy P2P działają na portach od 30 000 wzwyż).

Jak włamać się na komputer

Do znalezienia portów otwartych na danym serwerze można wykorzystać darmowy program Nmap, dostępny zarówno w wersji dla a jak i systemów uniksowych. Oprócz otwartych portów może on zidentyfikować jaki system operacyjny jest zainstalowany na urządzeniu, co pomoże w ataku.

Popularnym scenariuszem włamania jest znalezienie takiego komputera, który udostępnia możliwość zdalnego dostępu przez SSH, telnet czy inną usługę i zalogowanie się z wykorzystaniem popularnej nazwy użytkownika i odgadnięcie hasła. Nazw można domyślić się na podstawie otwartych portów. W systemach uniksowych większość program świadczących usługi działa na oddzielnych kontach użytkownika, którego nazwa rzadko jest zmieniana z domyślnej, a konfiguracje często pozwala mu na dostęp do interpretera poleceń. Warto również sprawdzić nazwy użytkownika takie jak root, admin, administrator czy john. Odgadnięcie hasła to już kwestia czasu.

Inna opcja to dokładniejsze przyjrzenie się wynikom zwracanym przez Nmapa. Na podstawie systemu operacyjnego i działających usług można dojść do tego jakie programy działają na danym komputerze i wykorzystać odkryte w nich luki. Świeżo odkryte błędy są wykorzystywane do włamania przy pomocy tzw. exploitów 0-day (dnia zerowego), czyli znanych błędów, które nie zostały jeszcze załatane.

Jak złamać hasło

Nmap pokazuje m.in. programy i system działające na skanowanym komputerze.

Nmap pokazuje m.in. programy i system działające na skanowanym komputerze.

Po uzyskaniu dostępu do komputera należy zdobyć konto administratora. W nowoczesnych systemach hasła użytkowników nie są przechowywane, więc nie da się ich odczytać z plików systemowych, konfiguracyjnych itd. W czasie ustawiania nowego hasła używana jest tzw. funkcja jednokierunkowa, która danemu hasłu przyporządkuje konkretny ciąg danych - tzw. skrót (hash). Dane hasło zawsze daje taki sam skrót, ale na podstawie skrótu nie da się uzyskać hasła. Skrót taki zostaje zapisany w systemie, a podczas logowania ponownie oblicza się hash hasła i porównuje z zachowanym.

Sytuacja nie jest jednak beznadziejna. Uzyskanie hasła polega na wygenerowaniu wszystkich fraz i odpowiadających im skrótów, dowiedzeniu się jaki jest skrót hasła ofiary i sprawdzeniu jakie hasło mu odpowiada. Hasze mogą być zapisane jawnie, gdyż teoretycznie nie zdradzają hasła. W systemach uniksopodobnych skróty często znajdują się w pliku /etc/passwd lub /etc/shaddow.

Ten sposób odzyskania hasła ma jednak wadę, która w praktyce wyklucza jego zastosowanie. Taka tablica nawet dla krótkich haseł zajmowałaby wiele terabajtów danych. To zdecydowanie za dużo. Zamiast tego stosuje się tzw. tęczowe tablice, które pamiętają tylko część haseł, a pozostałe potrafią wygenerować w locie. Tęczowe tablice zawierają po kilkadziesiąt gigabajtów dla danego zestawu znaków (patrz tabela) i można je kupić za kilkaset dolarów.

Mało popularna, ale skuteczniejsza i tańsza metoda o nazwie kompresja tablic obliczeń wstępnych została zaproponowana przez Polaka, Michała Trojnara. Zawsze pozostaje jeszcze łamanie haseł na podstawie słownika i metodą brute-force (sprawdzanie wszystkich możliwości po kolei), ale może to trwać wiele dni jeśli hasło jest złożone.