В предыдущей главе мы рассмотрели, как червяк просканировал и взломал уязвимые системы. Нападение такого рода, как правило, угрожает пользователям электронных хранилищ документов и частным пользователям. В этой главе подробно рассматривается взлом сервера фирмы Sun Microsystems на базе ОС Solaris, угроза, с которой сталкиваются более крупные организации, такие как сайт электронной коммерции или университета. И вновь мы уделяем особое внимание инструментам и тактике, использовавшимся при взломе нашей системы honeypot. Однако мы также раскрываем мотивы и психологию нескольких взломщиков, основываясь на их собственных высказываниях.
Первая часть этой главы посвящена взлому системы honeypot с ОС Solaris 2.6. Эта система была установлена с параметрами по умолчанию; не было предпринято никаких действий для усиления ее безопасности. Мы покажем, как хакеры взломали систему и установили над ней полный контроль. Во второй части главы мы представим вашему вниманию редко публикуемую информацию - запись переговоров реальных взломщиков. Из этих диалогов наряду со способами и причинами нападения на системы мы узнаем их цели и мотивацию. После взлома системы honeypot с ОС Solaris 2.6 хакеры установили в нашей системе сервер IRC (Internet-чат). Этот сервер, настроенный и установленный самими взломщиками, записывал все их разговоры в канале IRC. Мы контролировали их переговоры в течение четырех недель. Эти переговоры дают уникальную возможность узнать о психологии взломщиков.
Большая часть представленной в данном случае информации была изменена. В частности, имена пользователей и пароли, номера кредитных карточек и большинство из встречающихся названий систем. Технические инструменты не подвергались какому-либо изменению, а вот разговоры в чате были «подчищены». Вся подозрительная информация была предварительно передана в группу компьютерной «скорой помощи» (Computer Emergency Rresponse Team - CERT) и в ФБР. Кроме того, мы разослали более 370 предупреждений администраторам тех систем, которые, по нашему мнению, подверглись нападению. На протяжении всей этой главы система с IP-адресом 172.16.1.107 - это honeypot. Все другие упоминаемые системы были использованы взломщиками.
