[ Pobierz całość w formacie PDF ]
.Bez ograni-czeÅ„ wynikajÄ…cych ze stosowania schematu LANMan (patrz omówienie implementacjiprogramu L0phtCrack), możemy tworzyć hasÅ‚a 15-znakowe lub dÅ‚uższe.Możemy takżetak ustawić poniższy klucz, by zakazywaÅ‚ systemowi Windows przechowywanie kodówLANMan dla wszystkich haseÅ‚ zmienianych w przyszÅ‚oÅ›ci:Wartość typu REG_DWORD powinna być równa 1.Takie rozwiÄ…zanie spo-woduje niezgodność naszego systemu z wszystkimi systemami Windows z serii 9x i Me,ale w żaden sposób nie wpÅ‚ynie na zgodność z systemami 2000 i XP.Kiedy już ustawisz t¹ wartość, upewnij si¹ , że wszyscy użytkownicy zmienili swoje hasÅ‚a tylko w ten sposóbmożemy wymusić obowiÄ…zywanie nowych ustawieÅ„.JeÅ›li nadal sÄ…dzisz, że ta prostazmiana wartoÅ›ci Rejestru nie wpÅ‚ywa na popraw¹ bezpieczeÅ„stwa systemu, przeanalizujnast¹ pujÄ…cy przykÅ‚ad.Dla oÅ›mioznakowego hasÅ‚a różnica w przestrzeni przeszukiwania(która jest równoznaczna z różnicÄ… czasu potrzebnego do przeprowadzenia peÅ‚nego atakupolegajÄ…cego na przetestowaniu wszystkich możliwoÅ›ci) pomi¹ dzy kodem LANMana kodem MD4 jest ponad tysiÄ…ckrotna! Innymi sÅ‚owy, istnieje 697 kombinacji dla koduLANMan (pami¹ taj, że rozważamy oÅ›mioznakowe hasÅ‚o, które w tym schemacie szyfro-wania jest rozkÅ‚adane na hasÅ‚o siedmioznakowe i hasÅ‚o jednoznakowe) oraz 968 kombi-nacji dla kodu MD4.Studium przypadku: wykrywanie dziaÅ‚ania programu L0phtCrack w naszym systemieOprogramowanie antywirusowe może wskazać na program L0phtCrack jako program stwarzajÄ…cyzagrożenie.Wynika to z faktu, że jest to bardzo przydatne narzÄ™dzie kontrolne w rÄ™kach admini-stratorów, ale także bardzo skuteczna broÅ„ w rÄ™kach hakerów, którzy instalujÄ… tÄ™ aplikacjÄ™ bezodpowiednich uprawnieÅ„.Program L0phtCrack pozostawia Å›lady w postaci plików z rozszerzeniem.lc.JeÅ›li narzÄ™dzie to jest aktualnie zainstalowane w systemie (nie jest uruchamiane z dyskietki),możemy przeanalizować Rejestr w poszukiwaniu ciÄ…gu znaków l0pht.Przyjrzyjmy siÄ™ teraz kilkutestom, które może wykonać administrator systemu po dokonaniu odkrycia wskazujÄ…cego na dostÄ™pstacji roboczej jednego z pracowników do zasobu ADMIN$ kontrolera PDC. RozdziaÅ‚ 8.Aamanie haseÅ‚: narzÄ™dzia testujÄ…ce wszystkie możliwoÅ›ci 251Pominiemy kilka mniej istotnych kroków, np.sprawdzanie danych na stacji roboczej i analiza urucha-mianych poleceÅ„.Zamiast tego skupimy siÄ™ wyÅ‚Ä…cznie na hasÅ‚ach w naszej sieci.PracujÄ…c w firmiezatrudniajÄ…cej ponad 600 osób, musielibyÅ›my poÅ›wiÄ™cić mnóstwo czasu na dokÅ‚adne sprawdzeniehasÅ‚a każdego z pracowników; jeÅ›li jednak od razu spróbujemy znalezć bezpoÅ›rednie dowodyÅ‚amania haseÅ‚ na komputerze podejrzanego użytkownika, bÄ™dziemy musieli przeanalizować tylkoniewielkÄ… ilość kluczowych danych.Najbardziej oczywistym dowodem przeprowadzonej na badanymkomputerze instalacji programu L0phtCrack jest generowany przez tÄ™ aplikacjÄ™ klucz Rejestru:Niestety, w podejrzanym systemie nie znalezliÅ›my takiego klucza.IstniejÄ… jednak inne Å›lady insta-lacji programu w podejrzanym systemie.Jeden z kluczy odwoÅ‚uje siÄ™ do sterownika przechwytywaniapakietów, który jest wykorzystywany przez program L0phtCrack do nasÅ‚uchiwania sieci i wyÅ‚apywaniaprzesyÅ‚anych w niej kodów LANMan:Klucz ten mógÅ‚ oczywiÅ›cie zostać utworzony przez inne programy, jednak ustawiana przez nie po-prawna wartość powinna mieć nastÄ™pujÄ…cÄ… postać (zwróć uwagÄ™ na wielkość liter):W badanym Rejestrze znalezliÅ›my klucz NDlS3Pkt, możemy wiÄ™c podejrzewać, że w systemie zo-staÅ‚ zainstalowany program L0phtCrack.Sprytny pracownik mógÅ‚ próbować zlikwidować wiÄ™kszośćśladów obecnoÅ›ci tego narzÄ™dzia; jeÅ›li byÅ‚ bardzo ostrożny, mógÅ‚ nawet defragmentować i nadpisaćwolnÄ… przestrzeÅ„ dysku twardego celem zabezpieczenia siÄ™ przed zaawansowanymi narzÄ™dziamiodnajdujÄ…cymi dane usuniÄ™te z dysku.System Windows przechowuje jednak jeszcze jeden wpiszawierajÄ…cy informacje o deinstalacji aplikacji L0phtCrack.Nawet po prawidÅ‚owym usuniÄ™ciu pro-gramu, w Rejestrze jest pozostawiany nastÄ™pujÄ…cy klucz:JeÅ›li administrator systemu znajdzie taki wpis w Rejestrze, może być absolutnie pewny, że w bada-nym systemie zainstalowano kiedyÅ› program L0phtCrack.Kolejnym krokiem administratora możebyć przeanalizowanie wartoÅ›ci MRU (Most Recently Used) w poszukiwaniu plików z rozszerze-niem.lc.Nawet jeÅ›li użytkownik przezornie usunÄ…Å‚ plik sam_pdc.lc z systemu plików, odwoÅ‚aniado tego pliku nadal mogÄ… siÄ™ znajdować w Rejestrze!n n h hu nPo pobieżnym przejrzeniu poprzedniego podrozdziaÅ‚u poÅ›wi¹ conego aplikacji L0phtCrack,być może przypuszczasz, że zaszyfrowane kody haseÅ‚ w systemach Windows mogÄ… byćrównie Å‚atwo przeglÄ…danego przez administratora, jak plik tekstowy /etc/shadow w syste-mach Unix.Z drugiej strony, wykorzystywany w systemach Unix plik tekstowy /etc/shadowmoże być przeglÄ…dany w najprostszych edytorach tekstu lub po prostu skierowany na stan-dardowe wyjÅ›cie (ekran).Utrzymywana w systemie Windows baza danych SAM manieczytelny format binarny i dodatkowo nie zezwala na tak Å‚atwe kopiowanie czy prze-glÄ…danie.Dlatego wÅ‚aÅ›nie potrzebujemy takich narz¹ dzi jak pwdump lub lsadump, któregenerujÄ… na podstawie bazy danych SAM jej wersj¹ tekstowÄ…. 252 Część II NarzÄ™dzia do testowania i ochrony komputerówuNapisany przez Todda Sabina program pwdump2 (patrz strona http://razor.bindview.com/tools/desc/pwdump2_readme.html) może być wykorzystywany do wydobywania zaszy-frowanych haseÅ‚ z systemu Windows.To obsÅ‚ugiwane w wierszu poleceÅ„ narz¹ dziemusi być uruchamiane lokalnie w badanym systemie operacyjnym; w dalszej cz¹ Å›ci tegopodrozdziaÅ‚u omówimy krótko program pwdump3, który może dziaÅ‚ać zdalnie.l nProgram musi być lokalnie uruchamiany w badanym systemie.Skupimy si¹ teraz na wer-sji 2.narz¹ dzia, które po raz pierwszy zostaÅ‚o opracowane przez Jeremy ego Allisonaz projektu Samba.Inaczej niż pierwsza wersja, program pwdump2 nie jest ograniczanyprzez stosowane w bazach danych SAM szyfrowanie SysKey.Metod¹ szyfrowania SysKeywprowadzono po raz pierwszy w systemie Windows NT miaÅ‚o to być dodatkowe za-bezpieczenie bazy danych SAM, jednak skuteczność tego mechanizmu pozostawia wieledo życzenia, czego dowodem jest choćby sprawne dziaÅ‚anie narz¹ dzia pwdump2 [ Pobierz caÅ‚ość w formacie PDF ]
zanotowane.pl doc.pisz.pl pdf.pisz.pl przylepto3.keep.pl
.Bez ograni-czeÅ„ wynikajÄ…cych ze stosowania schematu LANMan (patrz omówienie implementacjiprogramu L0phtCrack), możemy tworzyć hasÅ‚a 15-znakowe lub dÅ‚uższe.Możemy takżetak ustawić poniższy klucz, by zakazywaÅ‚ systemowi Windows przechowywanie kodówLANMan dla wszystkich haseÅ‚ zmienianych w przyszÅ‚oÅ›ci:Wartość typu REG_DWORD powinna być równa 1.Takie rozwiÄ…zanie spo-woduje niezgodność naszego systemu z wszystkimi systemami Windows z serii 9x i Me,ale w żaden sposób nie wpÅ‚ynie na zgodność z systemami 2000 i XP.Kiedy już ustawisz t¹ wartość, upewnij si¹ , że wszyscy użytkownicy zmienili swoje hasÅ‚a tylko w ten sposóbmożemy wymusić obowiÄ…zywanie nowych ustawieÅ„.JeÅ›li nadal sÄ…dzisz, że ta prostazmiana wartoÅ›ci Rejestru nie wpÅ‚ywa na popraw¹ bezpieczeÅ„stwa systemu, przeanalizujnast¹ pujÄ…cy przykÅ‚ad.Dla oÅ›mioznakowego hasÅ‚a różnica w przestrzeni przeszukiwania(która jest równoznaczna z różnicÄ… czasu potrzebnego do przeprowadzenia peÅ‚nego atakupolegajÄ…cego na przetestowaniu wszystkich możliwoÅ›ci) pomi¹ dzy kodem LANMana kodem MD4 jest ponad tysiÄ…ckrotna! Innymi sÅ‚owy, istnieje 697 kombinacji dla koduLANMan (pami¹ taj, że rozważamy oÅ›mioznakowe hasÅ‚o, które w tym schemacie szyfro-wania jest rozkÅ‚adane na hasÅ‚o siedmioznakowe i hasÅ‚o jednoznakowe) oraz 968 kombi-nacji dla kodu MD4.Studium przypadku: wykrywanie dziaÅ‚ania programu L0phtCrack w naszym systemieOprogramowanie antywirusowe może wskazać na program L0phtCrack jako program stwarzajÄ…cyzagrożenie.Wynika to z faktu, że jest to bardzo przydatne narzÄ™dzie kontrolne w rÄ™kach admini-stratorów, ale także bardzo skuteczna broÅ„ w rÄ™kach hakerów, którzy instalujÄ… tÄ™ aplikacjÄ™ bezodpowiednich uprawnieÅ„.Program L0phtCrack pozostawia Å›lady w postaci plików z rozszerzeniem.lc.JeÅ›li narzÄ™dzie to jest aktualnie zainstalowane w systemie (nie jest uruchamiane z dyskietki),możemy przeanalizować Rejestr w poszukiwaniu ciÄ…gu znaków l0pht.Przyjrzyjmy siÄ™ teraz kilkutestom, które może wykonać administrator systemu po dokonaniu odkrycia wskazujÄ…cego na dostÄ™pstacji roboczej jednego z pracowników do zasobu ADMIN$ kontrolera PDC. RozdziaÅ‚ 8.Aamanie haseÅ‚: narzÄ™dzia testujÄ…ce wszystkie możliwoÅ›ci 251Pominiemy kilka mniej istotnych kroków, np.sprawdzanie danych na stacji roboczej i analiza urucha-mianych poleceÅ„.Zamiast tego skupimy siÄ™ wyÅ‚Ä…cznie na hasÅ‚ach w naszej sieci.PracujÄ…c w firmiezatrudniajÄ…cej ponad 600 osób, musielibyÅ›my poÅ›wiÄ™cić mnóstwo czasu na dokÅ‚adne sprawdzeniehasÅ‚a każdego z pracowników; jeÅ›li jednak od razu spróbujemy znalezć bezpoÅ›rednie dowodyÅ‚amania haseÅ‚ na komputerze podejrzanego użytkownika, bÄ™dziemy musieli przeanalizować tylkoniewielkÄ… ilość kluczowych danych.Najbardziej oczywistym dowodem przeprowadzonej na badanymkomputerze instalacji programu L0phtCrack jest generowany przez tÄ™ aplikacjÄ™ klucz Rejestru:Niestety, w podejrzanym systemie nie znalezliÅ›my takiego klucza.IstniejÄ… jednak inne Å›lady insta-lacji programu w podejrzanym systemie.Jeden z kluczy odwoÅ‚uje siÄ™ do sterownika przechwytywaniapakietów, który jest wykorzystywany przez program L0phtCrack do nasÅ‚uchiwania sieci i wyÅ‚apywaniaprzesyÅ‚anych w niej kodów LANMan:Klucz ten mógÅ‚ oczywiÅ›cie zostać utworzony przez inne programy, jednak ustawiana przez nie po-prawna wartość powinna mieć nastÄ™pujÄ…cÄ… postać (zwróć uwagÄ™ na wielkość liter):W badanym Rejestrze znalezliÅ›my klucz NDlS3Pkt, możemy wiÄ™c podejrzewać, że w systemie zo-staÅ‚ zainstalowany program L0phtCrack.Sprytny pracownik mógÅ‚ próbować zlikwidować wiÄ™kszośćśladów obecnoÅ›ci tego narzÄ™dzia; jeÅ›li byÅ‚ bardzo ostrożny, mógÅ‚ nawet defragmentować i nadpisaćwolnÄ… przestrzeÅ„ dysku twardego celem zabezpieczenia siÄ™ przed zaawansowanymi narzÄ™dziamiodnajdujÄ…cymi dane usuniÄ™te z dysku.System Windows przechowuje jednak jeszcze jeden wpiszawierajÄ…cy informacje o deinstalacji aplikacji L0phtCrack.Nawet po prawidÅ‚owym usuniÄ™ciu pro-gramu, w Rejestrze jest pozostawiany nastÄ™pujÄ…cy klucz:JeÅ›li administrator systemu znajdzie taki wpis w Rejestrze, może być absolutnie pewny, że w bada-nym systemie zainstalowano kiedyÅ› program L0phtCrack.Kolejnym krokiem administratora możebyć przeanalizowanie wartoÅ›ci MRU (Most Recently Used) w poszukiwaniu plików z rozszerze-niem.lc.Nawet jeÅ›li użytkownik przezornie usunÄ…Å‚ plik sam_pdc.lc z systemu plików, odwoÅ‚aniado tego pliku nadal mogÄ… siÄ™ znajdować w Rejestrze!n n h hu nPo pobieżnym przejrzeniu poprzedniego podrozdziaÅ‚u poÅ›wi¹ conego aplikacji L0phtCrack,być może przypuszczasz, że zaszyfrowane kody haseÅ‚ w systemach Windows mogÄ… byćrównie Å‚atwo przeglÄ…danego przez administratora, jak plik tekstowy /etc/shadow w syste-mach Unix.Z drugiej strony, wykorzystywany w systemach Unix plik tekstowy /etc/shadowmoże być przeglÄ…dany w najprostszych edytorach tekstu lub po prostu skierowany na stan-dardowe wyjÅ›cie (ekran).Utrzymywana w systemie Windows baza danych SAM manieczytelny format binarny i dodatkowo nie zezwala na tak Å‚atwe kopiowanie czy prze-glÄ…danie.Dlatego wÅ‚aÅ›nie potrzebujemy takich narz¹ dzi jak pwdump lub lsadump, któregenerujÄ… na podstawie bazy danych SAM jej wersj¹ tekstowÄ…. 252 Część II NarzÄ™dzia do testowania i ochrony komputerówuNapisany przez Todda Sabina program pwdump2 (patrz strona http://razor.bindview.com/tools/desc/pwdump2_readme.html) może być wykorzystywany do wydobywania zaszy-frowanych haseÅ‚ z systemu Windows.To obsÅ‚ugiwane w wierszu poleceÅ„ narz¹ dziemusi być uruchamiane lokalnie w badanym systemie operacyjnym; w dalszej cz¹ Å›ci tegopodrozdziaÅ‚u omówimy krótko program pwdump3, który może dziaÅ‚ać zdalnie.l nProgram musi być lokalnie uruchamiany w badanym systemie.Skupimy si¹ teraz na wer-sji 2.narz¹ dzia, które po raz pierwszy zostaÅ‚o opracowane przez Jeremy ego Allisonaz projektu Samba.Inaczej niż pierwsza wersja, program pwdump2 nie jest ograniczanyprzez stosowane w bazach danych SAM szyfrowanie SysKey.Metod¹ szyfrowania SysKeywprowadzono po raz pierwszy w systemie Windows NT miaÅ‚o to być dodatkowe za-bezpieczenie bazy danych SAM, jednak skuteczność tego mechanizmu pozostawia wieledo życzenia, czego dowodem jest choćby sprawne dziaÅ‚anie narz¹ dzia pwdump2 [ Pobierz caÅ‚ość w formacie PDF ]