Зачет!

CyberAnt (Sation@yandex.ru)

Хакер, номер #089, стр. 089-056-1

Системы тестирования не выдерживают напора хакерского гения

Собираешься устроиться на высокооплачиваемую работу в сфере IT, начальство решило проверить тебя на соответствие занимаемой должности или, может, просто сдаешь теоретический экзамен по ПДД? Везде тебя может поджидать интересное программное новшество, электронная система проверки знаний. Хорошо это или плохо - сказать сложно. В идеале все зависит только от тебя и твоей компетенции в тестируемой области. Оказывается, это не всегда так. Об одной из таких систем и ее взломе мы сегодня с тобой и поговорим.

[препод-индивидуалист]

Зима, столбик термометра опускается до непривычно низких температур. Тем не менее, у студентов горячая пора: cессия в самом разгаре. Проблем по горло, а тут еще и препод-инидивидуалист, который решил использовать тестирующую систему для объективности проверки знаний бедных студентов. На консультации нам были показаны некоторые вопросы и принципы работы с этой системой, после чего рухнули все надежды успешно сдать экзамен, опираясь только на свои знания. Многие вопросы были сформулированы непонятно, а некоторые остались за пределами лекций и семинаров. Необходимо было что-то срочно делать, спасать себя и группу. Что ж, сказано - сделано!

[осмотр пациента]

На консультации я заметил, что для запуска системы тестирования препод на каждом компе вбивал в какое-то клиентское окошко IP 10.2.100.2, а потом жал кнопочку "Подключиться". Стало понятно, что на них установлена клиентская часть системы, в которой можно было выбрать свои Ф.И.О. и группу, но вопросы, видимо, загружались по сети с сервера, IP которого 10.2.100.2. На нем, скорее всего, и стояла серверная часть системы тестирования. Задача свелась к банальному взлому сервака с указанным выше IP-адресом. Засев за комп подальше от админа в одной из компьютерных лабораторий, я начал изучение жертвы. Хотелось по привычке использовать всеми любимый nmap, но, к сожалению, этого сканера у меня на флешке не оказалось, зато нашлась небольшая программка winfingerprint. Она способна определить OS на удаленной тачке и показать открытые порты. После скана winfingerprint показала следующее:

IP Address: 10.2.100.2 F-E8D529A175954

Computername: MSGROUP\F-E8D529A175954

SID: S-1-5-21-1060284298-507921405-839522115

Patch Level:

Operating System: 5.1

Role: NT Workstation

Role: LAN Manager Workstation

Role: LAN Manager Server

Role: Potential Browser

Role: Backup Browser

Кроме этого, на тачке было открыто множество портов, в том числе и обычно не используемых стандартными приложениями. Складывалось впечатление, что о безопасности сервера никто не беспокоился и вряд ли проводил систематическое обновление софта (что типично для универов). Как видно из лога скана, на сервере стояла WinXp, поэтому я решил не терять времени и попробовать действие известного сплоита на эту систему, а именно: HOD-ms04011-lsasrv-expl.

[проникновение в систему]

Так как у меня уже был собранный exe-файл сплоита, я его запустил следующей командой:

С:\>HOD-ms04011-lsasrv-expl.exe 0 10.2.100.2 3333