引诱、欺骗并研究一个黑客(1) ——陪伴berferd的一个夜晚作者：Bill Cheswick AT&T Bell 实验室翻译：宋传华学号：19808031-------把这篇文章献给那些已经或正在成为一名黑客的同学，希望大家在破解别人的同时能同时注意到自身的安全。:)在1991年1月7号，一个黑客，他确信自己发现了我们的Internet网关计算机的sendmail的一个DUBUG漏洞的黑客，试图获得我们的passWord文件，我“送”给他了一份。在几个月中，我们引诱这名黑客作各种快乐的尝试，以便于我们发现他的位置和使用的破解技术。这篇文章是对该黑客的“成功”和失败，我们使用的诱饵和陷阱的详细记录我们的结论是我们所遇到的这个黑客拥有大量的时间，固执异常，并持有一份优秀的系统漏洞列表。一旦他获得了系统的一个正式注册身份，使用那些漏洞他可以轻易的攻破uUCp和bin帐号，然后是root。我们的黑客对军事目标和可以帮助他中转其连接的新机器很感兴趣。简介我们的安全Internet网关是1990年1月开始使用的。对于这个整个城堡的大门，我想知道它所可能遭到的攻击会有多么频繁。我明白Internet上有一些喜欢使用“暴力”的人，那么他们是谁？他们会攻击什么地方？会多么频繁？他们经常尝试系统的那些漏洞？事实上，他们没有对AT&T作出破坏，甚至很少光顾我们的这扇大门，那么，最终的乐趣只有如此，引诱一个黑客到一个我们设计好的环境中，记录下来他的所有动作，研究其行为，并提醒他的下一个目标作出防范。大多数Internet上的工作站很少提供工具来作这些事情，商业系统检测并报告一些问题，但是它们忽略了很多我们想要的东西。我们的网关每天产生10兆的日志文件。但人们对于日志记录以外的服务的攻击呢？我们添加了一些虚假的服务在系统上，同时我编写了一个script文件用来检索每天的日志。我们检查以下几点：FTP ：检索的工具会报告每天所有注册和试图注册的用户名。它还会报告用户对tilde的使用（这是个老版本的ftp的漏洞）、所有对ftp目录的/etc/passwd和/etc/group的存取以及对pub目录下完整文件列表的获取。获取passwd的人通常用它来获得系统的正式用户的注册名称，然后攻击、破解其密码。有时有些系统的管理员会将系统的真实passwd文件放在ftp的/etc目录下，我们伪造了一个passwd文件，它的密码被破解后是“why are you wasting your time.”Telnet / login ：所有试图login的动作都被记录了下来。这很容易就可以看出有些人在尝试很多帐号，或强力攻击某一个帐号。因为我们这个Internet的大门除了“警卫”外没有什么别的用户，很容易就可以找到问题所在。Guest / visitor 帐号：黑客们第一个寻找的就是公用帐号。这些帐号提供了友好的，最轻易的获取几乎系统的所有文件的机会，包括passwd文件。黑客也可以通过获取/etc/hosts.equiv文件或每个用户的.rhosts文件来获得机器的信任主机列表。我们对于这些帐号的login script文件是这样编写的：exec 2>/dev/null # ensure that stderr doesn't appeartrap "" 1/bin/echo( /bin/echo "Attempt to login to inet with $LOGNAME from $CALLER" &brVBarupasname=adm /bin/mail ches dangelo &# (notify calling machine's administrator for some machines...)# (finger the calling machine...)
