Инвентаризация сетевых ресурсов NT/2000
Первое, что может попробовать осуществить удаленный взломщик после скрупулезного изучения сети, – это получить представление об имеющихся в ней ресурсах. Сначала мы рассмотрим инвентаризацию ресурсов NetBIOS, а затем перейдем к инвентаризации служб TCP/IP, которые в большинстве случаев функционируют в системах NT/2000.
Инвентаризация NetBIOS
Средства и приемы, которые можно применять к изучению ресурсов сети с протоколом NetBIOS, можно найти без труда – большинство из них встроено в саму операционную систему! Именно с них мы и начнем. Затем вы познакомитесь с некоторыми утилитами сторонних производителей. Возможные контрмеры лучше рассматривать в самом конце обсуждения, поскольку одновременно решить все проблемы гораздо проще.
Инвентаризация доменов NT/2000 с помощью команды net view
В качестве одного из самых ярких примеров встроенных инструментов можно привести команду net view. Это чрезвычайно простая утилита командной строки систем NT/2000, которая позволяет просмотреть все домены сети, а также практически все компьютеры доменов. Вот как выполнить инвентаризацию доменов в сети с использованием команды net view:
C:\>net view /domain Domain --------------------------------------------- CORLEONE BARZINI_DOMAIN TATAGGLIA_DOMAIN BRAZZI The command completed successfully.
С помощью следующей команды будут перечислены все компьютеры определенного домена.
C:\>net view /domain:corleone Server Name Remark \\VITO ' Make him an offer he can't refuse \\MICHAEL Nothing personal \\SONNY Badda bing badda boom \\FREDO I'm smart \\CONNIE Don't forget the cannoli
He забывайте о том, что можно использовать информацию, полученную с помощью ping-прослушивания (глава 2), и подставить IP-адреса вместо имен NetBIOS отдельных компьютеров. Обычно IP-адреса и имена NetBIOS взаимозаменяемы (например, \\192.168.202.5 эквивалентно \\SERVER_NAME). Для удобства взломщики зачастую добавляют соответствующие записи с ключевым словом #PRE В свой файл %systemroot%\system32\drivers\etc\LMHOSTS, а затем запускают в командной строке команду nbtstat -R, чтобы перезагрузить буфер таблицы имен. С этого момента при атаке можно без проблем использовать имя NetBIOS, которое автоматически будет преобразовываться в соответствующий IP-адрес, заданный в файле LMHOSTS.
Получение дампа таблицы имен NetBIOS с помощью команд nbtstat и nbtscan
Другой мощной встроенной утилитой является nbtstat, которая позволяет получить таблицу имен NetBIOS удаленной системы. Как видно из следующего примера, в этой таблице содержится важная информация.
C:\> nbtstat -A 192.168.202.33 NetBIOS Remote Machine Name Table Name Type Status SERVR9 <00> UNIQUE Registered SERVR9 <20> UNIQUE Registered 9DOMAN <00> GROUP Registered 9DOMAN <1E> GROUP Registered SERVR9 <03> UNIQUE Registered INet-Services <1C> GROUP Registered IS-SERVR9……<00> UNIQUE Registered 9DOMAN <1D> UNIQUE Registered .._MSBROWSE_.<01> GROUP Registered ADMINISTRATOR <03> UNIQUE Registered MAC Address = 00-AO-CC-57-8C-8A
Фрагмент листинга указывает, что с помощью команды nbtstat было получено имя компьютера (SERVR9), домен, в котором он расположен (9DOMAIN), имена зарегистрированных пользователей (ADMINISTRATOR), все запущенные службы (inet-Services) и МАС-адрес. Всю эту информацию можно узнать по кодам службы NetBIOS (числа из двух цифр, расположенные справа от имени), частично представленным в табл. 3.1.