การรวบรวมข้อมูลบนระบบปฏิบัติการอื่นๆ

การรวบรวมข้อมูลบนระบบปฏิบัติการอื่นๆ



การ รวบรวมข้อมูลของ Novell

Null session เป็นวิธีที่ใช้ในการดึงข้อมูล ซึ่งโดยส่วนใหญ่ Netware 3.x, 4.x จะมีการยอมให้มีการค้นหารายชื่อ และทรี ของผู้ใช้ และกลุ่มผู้ใช้

การใช้ Network Neighborhood สามารถที่เข้าดูโครงสร้างได้ในรายชื่อของเครื่องโดยไม่ต้องทำอะไร

On-Site Admin เพื่อดูรายชื่อเครื่อง NetWare โดยอยู่ในแผ่นซีดีรอมของ NetWare ซึ่งเป็นการบรอดคลาสไปยังทุกเครื่อง



การรวบรวมข้อมูลเกี่ยว กับ UNIX Server

ในระบบปฏิบัติการ UNIX ไม่ต้องใช้บริการ NetBIOS ซึ่งถ้าต้องการที่เข้าไปปลายทางใช้ Remote Procedure Call (RPC), Network Information System (NIS) และ Network File System (NFS) ด้วยบริการที่แพร่หลายจึงเป็นเป้าหมายของผู้เจาะระบบ



การ รวบรวมรายชื่อ และแชร์ใน Unix

วิธีที่ใช้คือตรวจสอบพอร์ต เครื่องมือที่ใช้ Showmount ที่มีอยู่ในเครื่องใช้ในการแสดงรายชื่อผ่าน NFS ซึ่งเป็นพอร์ต 2049 และใช้ showmount –e หมายเลขที่ต้องการ

ถ้า กำหนดโดยดีฟอลท์ NFS จะให้สิทธิการอ่าน และเขียน ซึ่งควรที่จะใช้ Firewall บล็อก หรือใช้คำสั่ง Showmount เพื่อต่อมาที่ NFS Server

ปัจจุบัน ยังมีการใช้ Samba ในแชร์ที่กำหนดโดยใช้ SMB Client ต่อใน SMB Server(Server Message  Block) ซึ่งค่าที่กำหนดอยู่ใน /etc/smb.conf

แหล่ง ข้อมูลในระบบอีกตัวหนึ่งคือ NIS (Distributed Database for Network Information) เป็นสิ่งที่ดี แต่ผู้เจาะระบบสามารถที่ค้นหาโดยใช้ NIS map เพื่อสอบถาม RPC อย่างง่ายๆอย่างเช่นไฟล์ที่เก็บรหัสผ่าน ซึ่งจะใช้ NIS Client ในการเดาชื่อโดเมน และใช้ pscan ในการค้นหา NIS Server ซึ่งระบุ –n เพื่อเข้าไปใน NIS

ข้อควรทำใน NIS คือต้องตั้งชื่อโดเมนให้เดายาก ทางที่ดีควรอัพเกรดเป็น NIS+ เพื่อเข้ารหัสข้อมูลใน Secure RPC) ถ้าไม่อัพเกรดต้องแก้ไขไฟล์ /var/yp/securenets ในโฮสต์ที่เหมาะสมเท่านั้นในการเข้ามาใช้สิทธิ และใช้ ypserv ให้ทำ TCP wrapper อย่าได้รวม Root account และ account สำคัญใน NIS map

ระวัง เรื่อง SNMP Agent ซึ่งจะมีเครื่องมื snmpwalk ในการดูข้อมูลยิ่งถ้าใช้ Community เป็น Public ยิ่งง่ายต่อการเจาะระบบอย่างมาก

การค้นหา และรวบรวมรายชื่อผู้ใช้ และรายชื่อกลุ่มผู้ใช้ใน Unix

การใช้เทคนิค finger เป็นวิธีที่สะดวก ซึ่งผู้ดูแลต้องระวัง fingerd ที่ไม่ได้กำหนดความปลอดภัยในพอร์ต 79

แม้ว่า finger ดูจะไม่ร้ายแรงเท่าการเข้าไปดูที่ /etc/passwd แต่สิ่งที่มีประโยชน์คือเวลาในการใช้ และชื่อที่ใช้นำไปสุ่การคาดเดารหัสผ่าน

การป้องกันเพียงหยุด fingerd โดยกำหนดใน inetd.conf และใช้ killall –HUP inetd และกำหนด Firewall ป้องกันพอร์ต 79 ใช้ tcp wrapper เพื่อกำหนดเครื่องที่เข้า fingerd

รอง ลงมาคือ rusers และ rwho เป็นการตรวจสอบข้อมูลในระบบ

คำสั่งที่ใช้ จาก SMTP (Simple Mail Transfer Protocol) ซึ่งเป็นการต่อกับเครื่องปลายทางด้วยการ VRFY ซึ่งยืนยันผู้ใช้ว่ามีตัวตนหรือไม่ และคำสั่ง EXPN ซึ่งแสดง e-mail address ของผู้รับจดหมาย ผู้เจาะระบบสามารถใช้ตรงนี้ในการสอบถามชื่อได้ และปลอมจดหมาย

คำสั่งที่ใช้

Telnet 192.168.0.11 25

Vrfy ชื่อที่ต้องการตรวจสอบ

Expn ตรวจสอบชื่อที่ส่ง

Helo เริ่มจำลองการส่ง

Mail from ชื่อผู้ส่ง@โดเมน

RECT to ชื่อผู้รับ@โดเมน

DATA

พิมพ์ข้อความ

.

..

quit

การ ป้องกันคือไม่ให้ตรวจสอบชื่อโดใช้ VRFY และ EXPN

ซอฟต์แวร์ sendmail จะเป็น SMTP Daemon ซึ่งสูงกว่าเวอร์ชั่น 8 จะให้ใช้พารามิเตอร์เพื่อป้องกันใช้คำสั่งทั้งสองข้างบน mail.cf

การ ขโมยไฟล์จาก /etc/passwd ซึ่งจะเป็นวิธีที่นิยมโดยใช้ TFTP (Trivial File Transfer Protocol)

คำสั่งที่ใช้

tftp ตำแหน่งโฮสต์

Get /etc/passwd /tmp/passwd.cracklater

Quit



การรวบ รวมรายชื่อโปรเซส และนามของโปรเซสที่ทำงานอยู่บน Unix

Unix จะมีการติดต่อแบบ Remote Procedure Call (RPC) ซึ่งใช้ portmapper หรือ rpcgbind ในพอร์ต 111 ซ่างจะร้องขอพอร์ตนี้ของเครื่องลูกข่ายไปยังโปรเซสตัวใด

จุดอ่อนอยู่ ที่ RPC มีคำสั่ง rpcinfo ซึ่งสามารถค้นหาข้อมูลใน RPC ด้วยพอร์ต 111 ซึ่งเป็นพอร์ต rpcbind หรือ 32771 เปิดอยู่จะทราบข้อมูล

Rpcinfo –p 192.168.202.34

ซึ่งเมื่อทราบข้อมูลก็จะรู้ว่ามีอะไรบ้างเช่น rusersd, NFS, NIS (ypserv หมายถึง NIS Server) ซึ่งผู้เจาะระบบสามารถที่ใช้คำสั่ง rusers, showmount –e และ pscan –n เพื่อดูข้อมูล

Rpcinfo มีคำสั่งใน NT ด้วย rpcdump เข้าใน http://www.cerberus -inforsec.co.uk) ซึ่งจะมีตัวอย่างเหมือนกับ Unix

เครื่องมือในการตรวจหา RPC ที่ดีตัวหนึ่งคือ CyberCorp Scanner ของ Network Association ถ้าไม่มีสามารถใช้ rpcinfo ได้ การตรวจสอบ ToolTalk Database Server (TTDB) เป็นแอพพลิเคชั่นที่มีจุดอ่อนในเรื่องความปลอดภัยอยู่ โดยดูที่ rpcinfo –n 32771 –t 192.168.202.34 100083

100083 คือหมายเลข RPC ของ TTDB

ใน ระบบ Sun’s Secure RPC มีการตรวจสอบด้วยกุญแจสาธารณะ

คำสั่งไฟล์ Telnet และ Netcat เป็นไฟล์ที่ตรวจสอบริการ และโปรเซสที่ทำงานอยู่

ตัวอย่าง คำสั่ง

Nc –nvv –o banners.txt 192.168.202.34 80 < nudge.txt

เรา จะพบ

HEAD /HTTP/ 1.0 <cr><cr>, QUIT <cr>, HELP <cr>, Echo <cr>

ซึ่งเรามีเครื่องมือในการขุดคุ้ยข้อมูล จาก Sam Spade (http://httP://www.blighty.com/products/spade)

โดย จะไปค้นหาเว็บเพจที่มีคำที่น่าสนใจอย่างเช่น “password” ชื่อซอฟต์แวร์คือ Crawl

มาตรการป้องกันการอ่านนามของบริการใน Unix

ในหนังสือ แนะนำให้ไปดูเพิ่มใน http://www.pgci.ca/p_fingerprint.html ซึ่งจะมีการตรวจจับหาประเภทของระบบปฏิบัติการ และมีมาตรการป้องกันนามของบริการด้วย