backtrack における侵入テストの実用性

杉山仁(山梨大学総合情報処理センタ)
sugiyama[atmark]yamanashi.ac.jp

1. はじめに

インターネットが発達し、誰もが高速な環境で気軽にWebで情報を検索したり動画を観たりと一昔前では考えられないに時代になりました。
過去では、一部のユーザーのみがインターネットサービスを利用していましたが、現在では誰でも乗り入れるようになり、それに伴い悪意を持ったユーザーも増えているのが現状です。
性善説で運用されてきたネットワークも、現在では悲しいことですが性悪説で運用することが、必然になってきました

現在、総合情報処理センタで運用しているサーバ郡にも国内外から毎日のようにアタックが発生しています。

学内で運用しているLinuxサーバのssh アタックの形跡

特に、組織で運営しているネットワークですので、踏み台にされて、そこから別のネットワークへの攻撃の拠点にされてしまいますと、組織としての信用が失われます。

今では、どこの組織もfirewallを導入して必要なサービスをしているサーバや使用しているサービスポート以外は、外部との接続は遮断していると思いますが、今までの外部攻撃がfirewallによって効かなくなった分、内部からの攻撃にシフトしているとの調査結果もあります。(※1)

そこで、攻撃に対し攻撃に耐えられるシステム構築をしているか、侵入テストの分野に設計・開発されたLinuxディストリビューションであるbacktrack を使用して安全確認する方法を報告いたします。

Debian,OpenSUSE,FreeBSD等のPC-UNIXが稼働するPCで各種ツールをインストールすれば済むと考えるかも知れませんが、backtrackのCDまたはUSBを持ってさえいれば、どこでもテスト可能であることと、各種ツールのインストール作業が必要ないのは大変魅力的です。

2. backtrackとは

侵入テストの分野に設計・開発されたLinuxディストリビューションであり、侵入や攻撃のツール群が予めインストールされています。
公式サイト(※2)より、ライブCD用のisoイメージとUSBドライブにインストール可能なイメージ、VMware用の3種類のイメージがダウンロード可能です。
USB,VMwareが、使い勝手が良いと思います。それはOSの設定変更が反映されたままだからです。ライブCDは、変更した設定等を保存する領域がありません。ただ、USBへのインストールが多少苦労するかも知れません。使用するにあたりもっとも簡単なのは、ライブCDもしくはVMware用です。今回は、VMwareを使用しています。

起動したbacktrack3 既にツール類がインストールされている。

ディスクトップ環境はKDE

3. 調査の流れ

backtrackに各種ツールがあっても、調査するにあたり適当にツールを使用しても効率的ではありません。
ここは、クラッカーの立場として考えて見ることが必要です。

3.1 情報の収集
ターゲットとなるホストや、該当するネットワークを決めます。 webでの検索、nslookup,whoisコマンド等で調査を行います。
特にNetcraft(※3)のサイトは、非常に便利です。

3.2 スキャニング
調査対象のホストに対し、そのホストがどのようなOSでどのようなサービスを行っているのかを調査します。OSやサービスがわかれば攻撃手段が絞れてくるからです。
サービスは、開いているポートを発見したら、telnetコマンド等でサービスバナー情報を取得すれば、さらに詳細がつかめます。防御側としてはバナーを表示しない、もしくは偽りの情報を表示するように設定を変更するとよいでしょう。

3.3 侵入
調査対象のホストのOS・サービスのバージョンをスキャニングで調査した後、そのホストの脆弱性をつくExploitを仕掛けます。リモートログイン可能な状態(FTP,Telnet,ssh等のサービスが稼働)の場合は、ソフトの初期設定で使用しているユーザー名・パスワードや、ホスト名や組織の名称、組織のwebから得た情報(メールアドレス等)から予測したユーザー名とパスワード、そしてパスワード辞書を使用した総当たり攻撃も有効です。
侵入に成功した場合、そのユーザーから管理者権限のあるユーザー (root,administratorなど)へスイッチする場合もExploitを使用します。
管理者権限さえ取得出来れば、そのホストは自分のものになったようなものです。バックドアを仕掛けたり、そのホストを踏み台にして他のホストへの接続をしたり(組織内の接続は甘い場合も多い)、自分のファイル置き場でも自由に使用出来ます。

3.4 証拠隠滅
侵入したホストで作業をすれば、その作業内容がそのままlogとして保存されます。logから侵入されたことが判明すれば、そのホストは二度と使えません。そこで侵入した形跡を消去します。該当のlogを消去するツールもネット上で公開されています。

防御側としては、例え改竄されたlogでも侵入と判断出来る場合もあります。ある時間帯だけlogが不自然である、log自体のファイルサイズが0(/dev/nullへのシンボクリックリンク)など、証拠を削除されても何かしら違和感があります。注意深くlogを確認することが大切です。

4.ツールの使用

4.1 攻撃の第一歩
まずは、攻撃対象のサーバがどのようなサービスを提供しているか調べます。サービスを調査するのには、ポートスキャンを行います。

Nmap(※4)は、Windowsでも稼働する最もポピュラーなツールです。あらゆるOS用のbinaryやソースコードが公開されているので、特にbacktrackだから楽に使えるというものではありません。
Nmapは、KDEメニューから”Backtrack→Network Mapping→All→Nmap” にあります。
ネットワーク上にサービスポートの開いているホストを探す場合は、以下のコマンドオプションでスキャンします。

nmap-v -sP 192.168.10.0/24

IPアドレスの第三オクテットまでが192.168.10のネットワーク上に存在するホストをスキャンしています。

4.2 Metasploit Framework
攻撃対象のホストのOSがわかれば、そのOSにあわせた攻撃が出来ます。
Packet Storm(※5)等のサイトからツールをダウンロードしインストールするのは大変面倒な作業です。
backtarckには、Metasploit Framework(※6)という強力なExploitツールがあります。
KDEメニューから”Backtrack→Penetration→Framework Version3”に関連のツール群があります。
まずは、”Framework3-MsfUpdate”を実行します。
実行後、Metasploit Frameworkは最新状態になります。そして”Framework3- MsfGUI”を実行します。

4.3 Hydra
Nmapで調査した結果OSXのホストにsshdが動いてました。そこでsshで、そのホストに接続してみたいと思います。

総合情報処理センタで運用しているサーバ郡にも国内外から毎日のようにsshアタックが発生しています。IDとパスワードの辞書ファイルを使用し、コンピュータに疎いユーザーのIDとパスワードを総当たりで探す手段です。
もちろん、そのツールもインストールされています。

KDEメニューから”Backtrack→Privilege Escalation→PasswordAttacks→ PasswordOnlineAttacks”に関連のツール群があります。

メジャーなHydraのGUI版であるXHydra(※7)を試してみます。

5. まとめ

今回紹介したツール以外にも様々なツールがインストールされています。（例えばCISCO出荷時のデフォルトのパスワードがある機器を検索するツールや、無線LANのWEPキー解析ツールなど）全て紹介すると一冊の本になるでしょう。どこかの出版社で出版して頂くとありがたいですが。

今回はbacktrackの紹介というよりは、インストール済みのツールの紹介ですが、これらのツールがインストール不要で使用出来るのは、大変魅力的です。新規にサーバを立ち上げた時や、許可なくサービスをしているサーバを探し、そのサーバが正しく運用されているかの調査など大変実用的なディストリビューションです。
（もちろん、使用するにあたり調査対象のホスト管理者やネットワーク管理者に許可を取らなくてはいけません。）専用のPCを持たなくてもライブCDやUSBで、どのPCでも調査用のPCになることもかなり実用的だと思います。
是非、このbacktrackを使用して組織内の安全を保つのに役立ければと思います。