Искусство вторжения

взлома. Я добыл один пароль — простое слово из словаря. Это было главное».

neOh предоставил нам часть этого сайта с паролями, который его коллеги извлекли и переслали ему, в этой части приведены пароли некоторых известных пользователей из персонала Белого Дома7 .

neOh никогда не говорил, что текст был в онлайн-доступе.

root:x:0:l:Super-User:/:/sbin/sh

daemon:x:l:l::/:

bin:x:2:2::/usr/bin:

sys:x:3:3::/:

adm:x:4:4:Admin:/var/adm:

uucp:x:5:5:uucp Admin:/usr/lib/uucp:

nuucp:x:9:9:uucp

Admin:/var/spool/uucppublic:/usr/lib/uucp/uucico

listen:x:37:4: Network Admin:/usr/net/nls:

nobody:x:60001:60001 :Nobody:/:

noaccess:x:60002:60002:No Access User:/:

nobody4:x:65534:65534:SunOS 4.x Nobody:/:

bing:x: 1001:10:Bing F e r a r e n : / u s r / u s e r s / b i n g : / b i n / s h

orion:x: 1002:10:Christopher

Adams:/usr/users/orion:/usr/ace/sdshell

webadm:x:1130:101:Web

Administrator:/usr/users/webadm:/bin/sh

cadams:x:1003:10:Christopher

Adams:/usr/users/cadams:/usr/ace/sdsbell

barthom:x:1004:101:Mark

Подтвердить это трудно. Поскольку атака произошла во время правления президента Клинтона, никто из перечисленных людей уже не работал в Белом Доме. Удалось отыскать лишь несколько свидетельств. Монти Хьямч делал видеозаписи, Кристофер Аламс — имя журналиста из Financial Times, английской газеты — как нам удалось выяснить, в Белом Доме не было сотрудника с таким именем. Дебра Рейд — это фотограф из Associated Press. В Белом Доме не было сотрудника по имени Кони Колабисто; ж е н щ и н а с таким именем была женой Женэ Колабисто. президента компании по решениям для создания изображений, но совершенно непонятна их связь с Белым Домом.

Bartholomew:/usr/users/barthom:/usr/ace/sdshell

monty:x:1139:101:Monty

Haymes:/usr/users/monty:/bin/sh

debra:x:1148:101:debra

Reid:/usr/users/debra:/bin/sh

connie:x:1149:101:Connie

Colabastistto:/usr/users/connie:/bin/sh bill:x:1005:101:William Hadley:/usr/users/bill:/bin/sh

Это типичная форма файла паролей в Unix или Linux, когда зашифрованные пароли хранятся в отдельном защищенном файле. Каждая строка соответствует имени человека, имеющего учетную запись в этой системе. Слово «sdshell» в некоторых строках означает. что эти пользователи в целях дополнительной безопасности носят с собой маленькое электронное устройство под названием «RSA Secure ID», которое показывает шестизначное число, изменяющееся каждую минуту. Чтобы войти в компьютер, эти пользователи должны набрать шестизначное число, которое в данный момент показывает их устройство вместе с определенным PIN-кодом (который выдается руководством в одних компаниях или же выбирается самостоятельно в других). Сайт Белого Дома был искажен практически в тот же момент, как они его взломали, чтобы показать, что они уже оказались там — так рассказывает neOh, который и предоставил им картинку для искажения сайта8 . Кроме эмблемы группы хакеров gLobaLheLL на этой странице был еще текст Hong Kong Danger Duo. По словам neOh, это было написано без особого смысла, просто чтобы заполнить страницу сайта.

http://www.attriti on.org/mirror/attrition/1999/05/10/www.whitehouse.gov/mirror.html

Как вспоминает neOh, ребята, которые хакнули Белый Дом, не чувствовали никакой особой гордости по тому поводу, что им удалось проникнуть на один из десятка самых охраняемых в США Интернет-сайтов. Они постоянно «были заняты тем, что проникали повсюду», объясняет neOh, «чтобы доказать всему миру, что мы самые крутые». Вместо того, чтобы устраивать виртуальные пляски по поводу удачного взлома, все, что они могли сказать друг другу по этому поводу: «Хорошая работа, парни, мы сделали это. Кто следующий?»

Но у них уже оставалось не так много времени для того, чтобы делать следующие взломы. Их мирок уже близился к распаду и в этой части истории опять появляется таинственный Халид.

Теперь Zyklon, известный еще как Эрик Бернс, берет нить повествования в свои руки. Он даже не был членом группы gLobaLheLL, по его словам, а просто тусовался на сайтах IRC с некоторыми ребятами. Проникновение на сайт Белого Дома, как он рассказывает, стало возможным после того, как он обнаружил «дыру» в программе под названием PHF, которая использовалась для доступа к базе данных телефонов. Именно эта «дыра» стала уязвимым местом сайта, о ней знали многие в хакерском сообществе, «но немногие люди использовали ее», говорит Zyklon.

Выполнив некоторую последовательность шагов (подробное описание которой приведено в разделе «Анализ» в конце главы), он смог проникнуть в корневую директорию на сайте whitehouse.gov и получить доступ к другим системам локальной сети, включая и сервер электронной почты Белого Дома. После этого Zyklon получил возможность перехватывать любую переписку между сотрудниками Белого Дома и внешним миром, хотя, естественно, в этих письмах не содержалось никакой секретной информации.

Zyklon также отметил, что он смог «получать копии секретных файлов и файлов паролей». Они тусовались на этом сайте, просматривая, что там есть интересного и дожидаясь, пока сотрудники начнут приходить на работу. Как раз в это время ему позвонил Халид, который сказал, что пишет статью о самых последних хакерских успехах и не может ли ему Zyklon рассказать что-нибудь «свеженькое». «Я сказал ему, что мы как раз сейчас находимся на Интернет-сайте Белого Дома», — вспоминал Zyklon.

Через несколько часов после этого разговора, рассказывал мне Zyklon, он заметил, что на сайте появился «нюхач» — это системный администратор решил проверить, что происходит на сайте и попытаться установить, кто на нем находится. Что это — случайное совпадение? Или в этот момент появились причины стать подозрительным? Прошли месяцы, пока Zyklon не нашел ответа на этот вопрос. Как только он обнаружил «нюхач», все хакеры отсоединились от сайта, надеясь, что они заметили администратора быстрее, чем он заметил их присутствие.