O diodzie, co była nieostrożna i wysłała swoje hasło plain-textem

Czas na podsumowanie drugiego zadania specjalnego w naszym konkursie z diodą. Poznajmy zatem rozwiązanie i dowiedzmy się, jaką słabość wykazała dioda w zabezpieczaniu wczorajszej odpowiedzi ;-)

Tradycyjnie staraliśmy się nadać nieco tajemnicy treści zadania, ale tym razem posiłkowaliśmy się plikiem ZIP, który należało pobrać. Plik ten zawierał w sobie log z narzędzia Network Monitor 3.4, które jest połączeniem sniffera, czyli narzędzia do podsłuchiwania ruchu sieciowego, z analizatorem o całkiem rozbudowanych możliwościach kopania w zebranych danych. Widząc plik logu już można było spodziewać się, czego będzie dotyczyć zadanie: plik zawiera wynik podsłuchiwania pracy "diody", gdy ta pracowała z odpowiedzią :-) Wystarczy więc przeanalizować plik, dowiedzieć się, z jakich serwerów korzystała, gdzie się logowała, następnie wykraść hasło i zalogować się tam, gdzie prawdopodobnie znajduje się odpowiedź. Do dzieła!

Wytrawni administratorzy na pewno mają już Network Monitor na pokładzie swojego notebooka lub ewentualnie serwera. Jeśli akurat u Was tego narzędzia nie ma, można pobrać je bezpłatnie z dobrychprogramów. Po instalacji ładujemy plik i zabieramy się do analizy.

Wykonanie zadania, tak zresztą jak tydzień temu, wymagało zarówno odrobiny wiedzy, jak i sprytu. Zaryzykuję jednak stwierdzenie, że nawet bez większej wiedzy można było po prostu wygooglać, w jakim programie otworzyć log, a następnie załadować go i po prostu w nim poklikać. Network Monitor jest tak prosty w obsłudze, że już po kilku kliknięciach można było zauważyć ciekawe dane typu loginy i hasła FTP ;-) Nie uprzedzajmy jednak faktów...

Widzimy tutaj, że Internet Explorer jest nie tylko ulubioną przeglądarką diody, ale także jedyną aplikacją, z której korzysta ;-) No, przynajmniej tego feralnego, sobotniego popołudnia, gdy ktoś bezczelnie podsłuchał ją, gdy siedziała w dworcowej kawiarni korzystając z otwartej sieci bezprzewodowej. Szybki rzut oka na całość i skupiamy się na analizie ruchu przeglądarki - wygląda na to, że to właśnie tam znajdziemy dalsze wskazówki. Rozwijając sobie gałąź IEXPLORE.EXE (są dwie, bo dioda pracowała w dwóch kartach przeglądarki - po jednej gałęzi dla każdego procesu) widzimy zaś, że w zasadzie nie dzieje się tu nic nadzwyczajnego. Ot, lektura dobrychprogramów, pobieranie programu, sprawdzenie rankingu na stronie konkursowej, a nawet logowanie - niestety jakkolwiek lekkomyślna nie byłaby dioda, administratorzy portalu dobreprogramy czuwają nad jej bezpieczeństwem i zaszyfrowali proces logowania wykorzystując SSL ;-) Szukamy jednak dalej. Nagle dioda postanowiła skorzystać z serwera FTP, a jak wiadomo, protokół ten domyślnie nie oferuje wielu zabezpieczeń i jest bardzo szerokim polem do popisu dla amatorów cudzych haseł...

Adres serwera to dioda.dobreprogramy.pl. Nie ma żadnych tajemnic, serwer działa na standardowym porcie 21. Ponieważ dioda korzystała z Internet Explorera jako klienta FTP, musimy przebrnąć przez gąszcz automatycznych, nieudanych logowań anonimowych jakie domyślnie serwuje nam ta przeglądarka. Wreszcie dioda zaczyna logowanie. Nazwą użytkownika jest... no cóż, po prostu "dioda" ;-)

I tu zaczyna się coś dziwnego. Czyżby dioda zapomniała hasła? Następuje seria nieudanych logowań, widać że dioda próbuje przypomnieć sobie hasło krok po kroku. W końcu ostrzegaliśmy w treści pytania, że dioda dość skrupulatnie podchodzi do kwestii bezpieczeństwa, więc ma bardzo skomplikowane hasło - tak jej się przynajmniej wydaje. Wreszcie po którymś razie udaje się, dioda się loguje. Najwidoczniej jednak w tej chwili nadjechał jej pociąg, bo nie zdążyła już niczego więcej zrobić na serwerze. Log urywa się po udanym logowaniu. My mamy jednak wszystko, czego potrzebujemy.

No to do dzieła - chciałoby się rzec, ale... wielu z Was rezygnowało na tym etapie i po prostu podawało hasło jako odpowiedź. Z treści zadania oczywiście nie wynikało jednoznacznie, że trzeba jeszcze coś więcej zrobić, ale też jednoznacznie nie wynikało, że hasło jest odpowiedzią. Pamiętajcie: to jest konkurs z diodą, tu zawsze trzeba szukać ile się da ;-) Niektórzy tydzień temu przy okazji zadania z psem Cerberem próbowali nawet łączyć się Kerberosem z naszym nieistniejącym serwerem :-)

Odpalamy zatem ulubionego klienta FTP, ja preferuję Total Commandera, i logujemy się na serwer diody. Miejmy nadzieję, że się nie zorientuje, że tam byliśmy ;-) Ale zaraz... Co to?

Nieprawidłowe hasło? Hm... Tutaj kolejna trudność. Wielu z Was zbyt łatwo rezygnowało. A mówiliśmy przecież, że dioda ma bzika na punkcie swojego bezpieczeństwa. Poza tym, że przeoczyła "drobny" szczegół w postaci wysłania hasła czystym tekstem w niezaufanej sieci, to stara się jednak pilnować. Jest do tego stopnia przeczulona, że codziennie zmienia hasło :-) Nie robi tego jednak najlepiej... Wprost sugeruje to format jej hasła: ostatnie osiem cyfr to ewidentnie data - w tym przypadku sobotnia. Log został wykonany również w sobotę. Próbujemy więc zamienić dzień na dzisiaj (no, teraz to już wczoraj): niedzielę, 23 września. Voila - serwer FTP diody staje przed nami otworem.

Pozostaje tylko pobrać plik odpowiedz.txt i przeczytać zawartość. Mogłem jeszcze bardziej skomplikować zadanie i wymyślić dodatkowe pytanie wewnątrz pliku albo wierszyk ;-) Wystarczy już jednak poetyckich uniesień w tym konkursie. W środku znajdziemy po prostu odpowiedź: FTPS, czyli nazwę protokołu, którego użycie uchroniłoby niefrasobliwą, ale mimo tego przewrażliwioną na punkcie bezpieczeństwa diodę przed włamaniem i kradzieżą odpowiedzi :-) Taką odpowiedź należało wpisać w zadaniu.

Mam nadzieję, że zadanie się podobało. Do zobaczenia za tydzień, kiedy to czekać na Was będą kolejne zagadki ;-)