| Document
Details :
Question:
OS Exam
Farmer's - Briefly describe 4 ways in attacking a Unix system
- Is the Linux that you used in the admin test vulnerable to
these attacks? Why?
Answer:
ในการ Attack
ระบบนั้น อย่างที่เรารู้ๆ กันอยู่ก็มีด้วยกันหลายวิธีด้วยกัน อย่างเช่น
Password Tracking, Network Trapping หรือวิธีที่ได้ผลอย่าง Social
Engineering แต่สิ่งที่ paper ของ Farmer ได้กล่าวไว้ จะเป็นการพูดถึงวิธีการ
Attack ระบบ Unix อีกรูปแบบหนึ่ง โดยมีจุดประสงค์ให้เจ้าของ หรือผู้ดูแลระบบสามารถป้องกันภัยอันตรายจากผู้บุกรุกได้
โดยการตรวจสอบระบบของตัวเองก่อน
"Information
is power" ในการที่จะป้องกันการจู่โจม หรือการทดสอบหาช่องทางผิดพลาดของระบบเราเอง
ก็ต้องพยายามหาข้อมูลของระบบ หรือเครื่องให้มากที่สุด ยิ่งมีข้อมูลของเป้าหมายมากเท่าไร
ก็ยิ่งมีประโยชน์ต่อเรามากเท่านั้น
ประเด็นสำคัญในการเข้าถึงระบบ
Unix คือ ต้องหาช่องทาง หรือประตูในการเข้าถึงให้ได้ ประตูที่ผมพูดถึงก็
คือ Port ต่างๆ ที่ Unix โดยทั่วไปเปิดไว้ ดังนี้คือ
1. ช่องทาง
Finger เริ่มจากการใช้คำสั่ง Finger เพื่อดูว่ามีใครทำอะไรอยู่บ้างในระบบ
ซึ่งจะได้ลองดูว่า ในตอนนี้มีใครใช้งานระบบอยู่บ้าง เพื่อจะได้รู้ว่า
มี User ใช้งานอยู่ในระบบกี่คน ซึ่งถ้าเกิดในระบบ ตัว Admin ไม่มีความรอบคอบ
และอนุญาตให้ User สามารถตั้ง User/Password ได้เหมือนกับชื่อ
ก็เป็นโอกาสที่ดีของผู้บุกรุกที่จะสามารถเข้ามานั่งอยู่ในระบบได้
2. ช่องทาง
showmount ผ่านทาง NFS ช่องทางนี้ จะเป็นการแสดงให้รู้ว่า
เจ้าของเครื่องได้ทำการ Share file system อะไรไว้บ้าง และถ้า
Admin ของเครื่องนั้นสะเพร่า โดยการเปิด Permission ให้เครื่องอื่นสามารถ
Read/Write File System ที่สำคัญได้ อย่างเช่น /etc หรือ home
ของ user ต่างๆ ก็เป็นโอกาสอันเหมาะเจาะ สำหรับผู้บุกรุกอีกเช่นกัน
3. ช่องทาง
/etc/hosts.equiv เนื่องด้วยระบบ Unix อนุญาตให้เครื่องอื่นเข้ามาใช้งานเครื่องเราได้
โดยการกำหนด File Config อย่าง /etc/hosts.equiv หรือ .rhosts
ก็เช่นเดิม หาก Admin หรือ User ในระบบไม่รอบคอบ ทำการเปิด Target
ที่เป็น wildcard ไว้ ก็เป็นบัตรเชิญอันดี ให้ผู้บุกรุกมาเยือนอีกเช่นกัน
4. ช่องทาง
sendmail ช่องทางนี้มีประวัติที่ยาวนาน ในเรื่องของ Security
ซึ่ง Send mail ใน version เก่าๆ การใช้คำสั่ง uudecode และ decode
ก็สามารถเปิดประตูรับผู้บุกรุกเข้าไปนั่งในระบบได้เช่นกัน
และขอเสริมอีก 2 วิธีครับ
5. ช่องทาง
NIS บางระบบได้มีการ Setup ระบบ NIS ขึ้นมาก็เพื่อให้การบริหาร
user และ resource เป็นไปได้สะดวกมากขึ้น แต่ด้วย Software เองก็ยังมีจุดโหว่อยู่
การที่เรา Attack หรือพยายามเดาชื่อ Domain เราก็จะได้ Information
ต่างๆ มากมายจาก NIS domain ซึ่งถ้าเกิดว่า เราแปลงตัวเอง เข้าไปเป็นส่วนหนึ่งของระบบ
NIS เราก็จะมีสิทธิ์ใช้ resource ต่างๆ ของเครื่องที่อยู่ในระบบ
NIS นั้นได้
6. ช่องทาง
FTP ในการใช้งาน FTP มี User หนึ่งที่เราใช้กันบ่อย คือ anonymous
ถ้าใน Unix เครื่องนั้นได้เปิดให้มีการใช้ anonymous user ได้
แต่ไม่มีการดูแลควบคุมเรื่อง File Permission ของ Directory ต่างๆ
ก็เป็นอีกช่องทางหนึ่ง แต่สำหรับใน FTP บาง version ก่อนหน้านี้
เนื่องด้วยความผิดพลาดของ Software เอง การใช้บาง command จะสามารถทำให้
user 'anonymous' เปลี่ยนตัวเองเป็น root ได้ ซึ่งก็หมายความว่า
host ได้อยู่ในกำมืออันน้อยๆ ของผู้บุกรุกซะแล้ว แงๆๆ
Is
the linux that you used in the admin test vulnerable to these
attacks? Why? ประเด็นสำคัญที่จะทำให้ระบบมีความยั่วยวนในการถูก
Attack แบ่งออกเป็น 2 ประเภทใหญ่ๆ คือ
1. ความสะเพร่าของ
Admin ในประเด็นนี้ ไม่ว่าจะเป็นเครื่องใดก็แล้วแต่ มี Software
รุ่นใหม่อย่างไรก็แล้วแต่ ถ้า Admin ยังคงมีความสะเพร่า ประมาท
การถูก Attack ก็ย่อมเกิดขึ้นได้
2. ความผิดพลาดของ
Software ในกรณีนี้ เครื่องที่ใช้ทำ Admin Test จะเป็นเครื่องที่ลง
Software ใหม่ๆ ดังนั้นความผิดพลาดที่เกิดขึ้นกับ FTP Software
หรือ Send Mail ที่ Farmer ได้กล่าวไว้ ก็ได้ถูกแก้ไขแล้ว ก็คงต้องรอดู
Bug ใหม่ๆ ว่าจะมีอะไรตามมาบ้างนะครับ
ก็เลยสรุปว่าเครื่องที่
Install Linux เครื่องนั้นมีโอกาสถูกบุกรุกได้ครับตามเหตุผลด้านบนข้อที่
1
Ref: Improving
the Security of your Site by Breaking Into it ,Dan Farmer, www.fish.com |