БИБЛИЯ ХАКЕРА

Физический доступ к компьютеру

Что такое физический доступ к компьютеру? Это значит, что вы имеете доступ к компьютеру, на котором находится интересующая вас ин­формация. Причем доступ этот физический, т. е. вы можете подойти к этой машине, потрогать ее ручками. Желательно, чтобы трогание ручка­ми было воспринято окружающими без эмоций, а лучше вообще не вос­принято, т. е. вы там частый гость, или лучший друг своего недруга (зачем друзей подставлять), или.., ну в общем, вы — ужас, летящий на крыльях ночи, никем не замеченный. Вот что значит физический доступ.

Сначала немного общеобразовательных моментов.

В семействе операционных систем Windows NT реализована воз­можность контроля за локальным доступом (т. е. доступом к локальному диску, винту, если так понятнее). Реализуется эта возможность с помо­щью новой (по сравнению с FAT) файловой системой NTFS на основе расширений файловой системы. Вообще-то, Windows NT поддерживает две системы FAT и NTFS. Поэтому мы рассмотрим способ взлома снача­ла для FAT.

Самый простой и надежный — загрузка с дискеты и копирование данных на ZIP-дисковод. Таким образом, вам становится доступным вся та часть информации, которая хранится с помощью FAT. Но такую халя­ву вам вряд ли когда подсунут. Скорее всего придется повозиться с NTFS. Вот тут и начинается наша песня.

NTFS используют всегда, когда требуется защитить информацию и распределить доступ к ней, Но вот беда — все это работает только при ра­боте под Windows NT. А вот если вам удастся загрузить MS-DOS с диске­ты, то любая информация из разделов, работающих под NTFS;, может быль считана с помощью драйвера NTSFDOS. EXE (автор — Mark Russinovich, поклон ему земной). И никакая система безопасности Windows NT тут не поможет, ну кроме злобного сисадмина, который с ду­бинкой дежурил бы рядом. Но, естественно, нужен дисковод. Если его нет, а такое может быть, или он каким-то образом вам не доступен, и та­кое может быть тоже, знать не судьба — надо искать другой способ.

Ну, вот вы незаметно загрузились с дискеты, запустили программ­ку NTSFDOS. EXE и обнаруживаете, что ничего не видите или видите, но понять или прочесть не можете. А это значит, что сисадмин оказался чуть - чуть умнее, чем мы предполагали, и зашифровал информацию на диске посредством программных или аппаратных средств. Зашифровать он ее мог или средствами какой-либо посторонней программы (аппарата) или с помощью Windows NT (такая возможность уже появилась в Windows 2000). Так как мы в этой главе освещаем методы взлома Windows NT, то про методы взлома систем шифрования мало чего скажем. Мы просто пе­речислим некоторые из них:

♦ SeNTry2020 (Http://www. softwinter. com);

♦ SecurityPlus (Http://www. softbytelabs. com);

Ф Cryptext (Http://wwvv. tip. net. au/~njpayne).

А если вдруг объектом вашего внимания стала машина, находяща­яся на госпредприятии или на предприятии, на котором размещен госза­каз, то можно однозначно определить, что используемая там система шифрования — «Верба-OW» (Http://www. security. ru), которая сертифици­рована ФАПСИ. Конечно, это может бьіть и не эта система шифрования, но обязательно сертифицированная ФАПСИ. А таких систем не так уж много. Да и список таких систем можно легко узнать, так как нет лучшей рекламы для продажи, чем сертификат ФАПСИ.

В том случае, если информация зашифрована с помощью какой-ли­бо программы, то самый простой способ — это найти ключ, способ по­труднее — его отгадать. А вот если установлено аппаратное шифрование, то тут без ключа никак не обойтись. Ключ может быть программный, вы­носной (на внешнем носителе) и комбинированный. У нас в России рас­пространены шифрующие контроллеры дисков серии КРИПТОН, имею­щие сертификат ФАПСИ.

І

Если вам удалось получить физический доступ к информации на машине, то вы приступаете к следующей стадии взлома системы, а имен­но получению паролей пользователей системы и/или прав администрато­ра. Существует такой файл SAM, в нем хранятся учетные записи пользо­вателей и их пароли. Получить к нему доступ возможно, загрузившись с дискеты и скопировав этот файл. Сам файл располагается в каталоге WINNTSYSTEM32CONFIG. Когда Windows NT запущена и работает, доступ к файлу SAM, который располагается в директории WINNTSYS - TEM32CONFIG, имеет только администратор, но файл можно скопи­ровать, загрузившись с системной дискеты.

Если вам удалось заполучить файл SAM, то для взлома вы можете использовать программу LOPHTCrack. Найти ее возможно в поисковой системе Rambler. ru или AltaVista. Ниже приведено более подробное опи­сание данной программы.

Для того чтобы избежать просмотра паролей, их подвергают хеши­рованию. Но, как известно, что зашифровали, то расшифровать можно. Хотя хеширование имеет одну неприятность: для восстановления пароля надо перебрать все возможные значения. А, следовательно, существует пропорциональная зависимость между временем, требуемым для дехеши - рования, длиной пароля и количеством применяемых символов.

Стандартно программы ограничивают длину пароля до сим­

Волов, хотя Windows NT поддерживает до 128 символов. Еще одна хит­рость в том, что файл SAM содержит два хешированных представления одного и того же пользовательского пароля, полученные с помощью раз­ных алгоритмов. Один из них — в стандарте Windows NT, другой — в стан­дарте LAN Manager. Вообще стандарт LAN Manager применяют для того, чтобы добиться совмещения с другими ОС, установленными на рабочих станциях, например: Windows 3.11 for Workgroups и Windows 95/98. Вот то, о чем мы писали выше: всевозможные достоинства можно обратить в не­достатки: ведь хешированный пароль стандарта LAN Manager слабо ус­тойчив к взлому, так как каждая из двух половин 14-байтового символь­ного пароля хэшируется независимо, а результаты затем соединяются. Таким образом, вычисление 14-байтового пароля эквивалентно взлому двух 7-байтовых паролей, что значительно сокращает число возможных комбинаций для перебора. По этой причине, если вы будете взламывать пароль, то сначала займитесь паролем, захэшированным по стандарту LAN Manager.

Существующая программа LOphtCrack, работающая на Pentium II - 450, может вскрыть пароль любой длины, как спелый арбуз, примерно за трое суток (ниже мы рассмотрим работу этой утилиты подробнее). Обыч­но наивные администраторы защищаются с помощью утилиты SYSKEY, входящей в состав Service Pack 3. SYSKEY позволяет дополнительно за­шифровать данные в SAM, после чего программы извлечения и восста­новления паролей не смогут корректно обрабатывать информацию из этого файла. Это надо учитывать. Но помните — все течет, все изменяет­ся, и последняя версия программы LOphtCrack позволяет пробить и до­полнительное шифрование этой утилиты.