Kitabı oxu: «Анализ защищенности распределенных информационных систем. Для студентов технических специальностей»

Обнаружить все «дыры» невозможно. Один из законов Мерфи.

Ряд идей изложенных в пособии Антон Александрович Воробьев

Тестирование и анализ Алексей Владимирович Проваторов

© Иван Андреевич Трещев, 2018

ISBN 978-5-4493-9419-4

Создано в интеллектуальной издательской системе Ridero

Введение

Требования законодательства Российской Федерации, Федеральной службы по техническому и экспортному контролю, Федеральной службы безопасности, Министерства обороны Российской Федерации и других ведомств однозначно определяют необходимость проведения мероприятий по анализу защищенности и наличия уязвимостей в информационных системах. Любая современная ИТ система обязательно включает некоторую базу данных и почти всегда является территориально распределенной, что влекёт необходимость анализа не только на наличие несанкционированного доступа к информации на локальных автоматизированных местах, но и проведение мероприятий по антивирусному контролю, межсетевому экранированию, обнаружению и предотвращению вторжений. Отдельно оговоримся, что при передаче любой информации подлежащей защите за пределы локальной вычислительной сети предприятия единственным способом обеспечения защищенности информации – конфиденциальности, целостности, доступности является криптографическая защита.

В данной книге не рассмотрены вопросы криптографической защиты информации, поскольку любые практически-ориентированные методики являются информацией ограниченного распространения и в соответствии с административным регламентом и находятся в ведении ФСБ России.

Анализ защищенности и выявление уязвимостей в информационных системах является действием постоянным, т.е. любой специалист по защите информации на объекте информатизации должен систематически проводить необходимые мероприятия. Защищенность информационной системы будет тем выше, чем более строго соблюдаются инструкции, регламенты, соглашения, политики и другие нормативные документы разработанные в организации по защите информации. Соблюдение требований законодательства по защите информации в данном случае является необходимым, достаточным и обязательным требованием по обеспечению информационной безопасности.

Корпорации Microsoft, Apple и другие систематически выпускают обновления системы безопасности для своих операционных систем и тем самым демонстрируют, что любая операционная система, как продукт информационных технологий, подвержена атакам злоумышленников и требует постоянной доработки и сопровождения со стороны создателей.

Уязвимости zero-day появляются систематически и обеспечить состояние защищенности на объекте представляется возможным только если своевременно и в полном объеме устанавливать соответствующие обновления. Хотя автор хотел бы отметить, в случае установки обновлений нет никаких гарантий, что некоторые программные закладки или же недекларированные возможности не внедряются производителем.

Далее в работе под потенциальным злоумышленником понимается не только аутсайдер для предприятия (некая личность не имеющая к нему отношения), но и инсайдер (другими словами сотрудник предприятия). Книга не является сборником практических рецептов по «взлому» информационных систем, а носит лишь информационный характер.

Проводить мониторинг уязвимостей в каждой информационной системе необходимо с точки зрения обеспечения своевременной реакции на инциденты информационной безопасности.

получение административных привелегий в Windows 7

Часто при анализе защищенности информационных систем мы сталкиваемся с проблемой, точнее непониманием со стороны руководства предприятия информационную систему которого необходимо проанализировать. Всегда возникает вопрос – зачем нам это? В качестве ответа на данный вопрос можно предложить продемонстрировать на что способен потенциальный злоумышленник. Цель данной главы привести один из возможных вариантов демонстрации. Конечно предложенная здесь методика вполне вероятно может и не сработать (настроена система обновлений операционной системы, отключена система восстановления при загрузке операционной системы, отключен механизм залипания клавиш), но в 90% случаев она работает. Она не требует никаких дополнительных механизмов, навыков, средств.

Для начала нужно выполнить перезагрузку компьютера используя кнопку reset или же отключив и включив питание то есть выполнить hard reset при работающей операционной системе, чтобы появился экран с выбором вариантами загрузки ОС Windows как на Рис. 1.

Рис. 1. – Варианты загрузки ОС, означающие, что компьютер был некорректно перезагружен.

После чего запускаем средство восстановления при запуске, как показано на Рис. 2.

Рис. 2. – Выбор запуска средства восстановления.

Рис. 3. – Окно средства восстановления.

После этого на окне восстановления системы жмём отмену, как показано на Рис. 4.

Рис. 4. – Дополнительное окно, на котором нужно нажать отмена.

На новом окне «Показать подробности проблемы», см. Рис. 5.

Рис. 5. – Окно выбора отправки дополнительных данных

Таким образом мы планируем использовать недокументированную возможность (недекларированную) запуска блокнота и обозревателя файлов. Запустив приложение без запуска операционной системы мы получим возможность манипулировать файловой системой без надзора со стороны операционной системы.

Рис. 6. – Развёрнутое окно выбора отправки дополнительных данных

Затем находим «X:\windows\system32\ru-RU\erofflps. txt». И жмём на него, как показано на Рис. 7.

Рис. 7. – X:\windows\system32\ru-RU \erofflps. txt.

Появился блокнот, который представлен на Рис. 8.

Рис. 8 Появившийся блокнот

Жмём «Файл» – «Открыть…», как показано на Рис. 9.

Рис. 9. – «Файл» – «Открыть…».

Появился проводник, который можно увидеть на Рис. 10

Рис. 10. – Открывшийся проводник.

Открываем «Мой компьютер», как показано на Рис. 11.

Рис. 11. – Проводник «Моего компьютера».

Открываем диск С, как показано на Рис 12.

Рис. 12. – Выбор диска C в проводнике «Моего компьютера».

Находим папку Windows, которую можно увидеть на Рис. 13.

Рис. 13. – Выбор папки Windows.

Открываем её. В ней находим папку System32, которую можно увидеть на Рис. 14.

Рис. 14. – Выбор папки System32.

Выбираем тип файлов «Все файлы», как показано на Рис. 15.

Рис. 15. – Выбор типа файлов «Все файлы».

Находим файл sethc, который представлен на Рис. 16.

Рис. 16. – Выбор файла sethc.

Переименовываем его в sethc1, как показано на Рис. 17.

Рис. 17. – Переименованный файл sethc в sethc1.

Находим файл cmd, который представлен на Рис. 18.

Рис. 18. – Выбор файла cmd.

Копируем его, как показано на Рис. 19.

Рис. 19. – Выбор копирования файла cmd.

Вставляем, как показано на Рис. 20.

Рис. 20. – Вставка файла cmd.

Переименовываем его в sthc, как показано на Рис 21 и Рис. 22.

Рис. 21. – Выбор переименования файла cmd в sethc.

Рис. 22. – Файл cmd, переименованный в sethc.

Запускаем компьютер, экран загрузки OC Windows представлен на Рис. 23.

Рис. 23. – Запуск Windows.

Нажимаем много раз Shift что бы вызвать залипание клавиш, отметим что в данном случае программа залипания клавиш запускается с самыми высокими локальными привелегиями, но появится Командная строка, которая представлена на Рис. 24.

Рис. 24. – командная строка, выпавшая в результате вызывания залипания клавиш.

Пишем команду net user admin 123456Qq /add, как показано на Рис. 25.

Рис. 25. – команда net user admin 123456Qq /add, написанная в командной строке.

Проверяем правильно ли всё сделано было, как показано на Рис. 26.

Рис. 26. – Проверка правильности с помощью команды Net user.

Данная команда создает пользователя admin с паролем 123456Qq, который будет использоваться для получения доступа к рабочему месту. Затем находим в свойствах «Моего компьютера»и фиксируем имя компьютера, окно которого представлено на Рис. 27.

Рис. 27. – Окно свойств «Моего компьютера».

Заходим под администратором в компьютер, как представлено на Рис. 28. Отметим что в данном конкретном случае использована доменная инфраструктура, именно поэтому необходимо было вводить имя компьютера\имя пользователя чтобы указать что пользователь локальный для данного рабочего места.

Рис. 28. – Логин и пароль от учётной записи с правами администратора.

Для этого пишем в командную строку net user admin /delete, как показано на Рис. 29.

Рис. 29. – Выполненная команда net user admin /delete в командной строке.

Ясно, что для того чтобы совсем удалить следы своего присутствия, необходимо очистить журналы безопасности, приложений, событий, что может так же косвенно свидетельствовать о вашем пребывании в системе.

Альтернативы

Существует еще довольно много способов получения доступа на уровне администратора для рабочего места. Рассмотрим некоторые из них:

Для начала нужно создать загрузочный диск с записанной на него программой. Для этого необходимо записать ISO-образ ERD Commander на CD-диск. Сделать это можно как с помощью стандартных инструментов Windows (начиная с Windows 7), так и с помощью специальных программ (например, UltraISO или Nero);

Затем нужно зайти в BIOS и назначить в приоритете загрузки ваш CD-ROM. Чаще всего данная настройка находится во вкладке Advanced BIOS Features;

После этого вставьте диск в CD-ROM, перезагрузите компьютер и дождитесь пока загрузится ERD Commander;

Откройте на рабочем столе меню «Пуск» (Start) и выберите вкладку System Tools, а затем Locksmith, как показано на Рис. 30.

Рис. 30. – Locksmith.

Выберите из списка свой аккаунт и введите новый пароль, а затем подтвердите его, как показано на Рис. 31.

Рис. 31. – выбор аккаунта (учётной записи).

Нажмите «Next», а затем «Finish», как показано на Рис. 32.

Рис. 32. – завершение мастера смены пароля.

Можете выходить из программы и отправлять компьютер на перезагрузку, как показано на Рис. 33.

Рис. 33. – завершение работы программы.

Не забудьте снова выставить в BIOS приоритет загрузки с жесткого диска.

Запись на флеш-накопитель isо образа

Для того чтобы записать образ на флешку через UltraISO, этот образ сначала нужно загрузить в программу. Для этого запускаем UltraISO и открываем меню «Файл». Здесь нужно выбрать пункт «Открыть», после чего выбрать ваш ISO файл, как показано на Рис. 34, (Также можно просто нажать комбинацию клавиш Ctrl+O).

Рис. 34. – начало работы с UltraISO.

Дальше появится стандартное окно для открытия файлов. С помощью данного окна вам нужно выбрать образ диска. Программа UltraISO поддерживает все возможные форматы образов диска, поэтому можно не волноваться о том, что ваш образ не будет открываться, как показано на Рис. 35.

Рис. 35. – выбор образа диска.

После того как вы выбрали нужный вам ISO файл через меню «Файл – Открыть», в окне программы UltraISO появятся файлы из данного образа диска, как показано на Рис. 36.

Рис. 36. – файлы в образе диска.

С файлами, которые загрузились из образа диска ненужно ничего делать. Иначе вы повредите загрузочный образ и созданная вами загрузочная флешка не будет работать.

Дальше вам нужно подключить флешку, на которую вы хотите записать образ диска через UltraISO. Для этого просто втыкаем ее в компьютер, и ждем, пока она определится системой.

После подключения флешки возвращаемся к программе UltraISO и открываем меню «Самозагрузка». Здесь нужно выбрать пункт «Записать образ Жесткого диска», как показано на Рис. 37.

Рис. 37. – выбор «записи образа Жёсткого диска».

После этого должно открыться окно записи диска. В этом окне нужно выбрать флешку, на которую вы хотите записывать образ диска, и нажать на кнопку «Записать», как показано на Рис. 38.

Рис. 38. – окно записи на флэш-носитель.

Дальше появится предупреждение о том, что запись образа диска уничтожит все файлы, которые хранились на флешке. Если на флешке нет нужных файлов, то нажимаем на кнопку «Да», как показано на Рис. 39.

Рис. 39. – предупреждение о форматировании.

Все, теперь осталось дождаться, пока программа UltraISO запишет образ диска на флешку. Процесс записи может занять несколько минут, как показано на Рис. 40.

Рис. 40. – окно процесса записи на флэш-носитель.

После завершения записи вы получите загрузочную флешку. Для того чтобы установить с ее помощью операционную систему, вам будет необходимо войти в БИОС и включить там загрузку с флеш-накопителей.

Рис. 41 – Boot Device Priority.

Интерфейс реаниматора представлен на Рис.42.

Рис. 42. – интерфейс реаниматора.

В составе реаниматора есть средства для сброса пароля локального администратора на рабочем месте, так же как и средство NT offline password recovery в составе ZverDVD. Отметим, существует еще множество средств для сброса пароля локального администратора.

подбор пароля

Все пользовательские учетные записи вместе с соответствующими им хэш-функциями паролей хранятся в так называемой базе SAM (Security Accounts Manager). Она представляет собой файл, который не имеет расширения. SAM-файл является составной частью реестра и хранится в каталоге %systemroot%\system32\config (под %systemroot% понимается каталог с операционной системой – по умолчанию соответствует каталогу C:\WINDOWS). Кроме того, резервная копия этого файла имеется на диске аварийного восстановления системы, а также в каталоге %systemroot%\repair.

Предположим, что тем или иным способом Вам удалось получить базу учетных записей. Рассмотрим два наиболее популярных средства для подбора паролей по имеющейся базе.

saminside

Рис. 43 Интерфейс saminside

Основная направленность прилоежния – дешифровка хешей паролей хранящихся в ОС Windows от различных учетных записей. Возможности:

использование радужных таблиц, реализация на машинном языке, низкое использование ресурсов, мощная база словарей, универсальность;

эргономичный и удобный, простой интерфес приложения позволяет пользователю получать нужный результат не вникая в тонкости математических преобразований;

адаптация утилиты под различные языки, включая русский, позволяет пользователям даже без знания английского использовать ее;

Скорость определения хеша зависит от сложности шифрования, но поскольку приложение потребляет не так много ресурсов, его представляется возможным использвать в фоновом режиме.