Прикладная программа PipeBomb производит открытие на запись в вечном цикле новых экземпляров определенного системного канала и записывает в них порции бесполезной информации. Через довольно ко¬роткий промежуток времени все свободные экземпляры канала будут за¬няты, после чего серверный процесс определяет, что все экземпляры его канала заняты, после чего начинает создавать новые экземпляры канала.
Каждый новый экземпляр канала обслуживается новым потоком (thread), под который отводится новый буфер в оперативной памяти для хранения информации. Клиентский процесс постоянно открывает но¬вые экземпляры канала, поэтому серверному процессу приходится со¬здавать новые потоки. Это приводит к максимальной загрузке процессо¬ра сервера, а объем свободной оперативной памяти этого компьютера быстро уменьшается. Через несколько минут атакованный компьютер становится практически неработоспособным. Данная программа одина¬ково эффективно работает для атак как на рабочие станции, так и на сер¬вера Windows NT 4.0. Для начала атаки необходимо запустить программу PipeBomb и в поле ввести имя атакуемого компьютера.
Затем следует нажать кнопку «Create» (Создать) или «Write» (За¬писать), после чего любой сервер Windows NT будет завешен в течение двух минут.
Эту атаку можно применять через Internet, инкапсулируя пакеты SMB в пакеты TCP/IP (сетевая составляющая интерфейса Named Pipe File System организована как надстройка над протоколом SMB).
Глава 8.
Программа AdminTrap
Программа AdminTrap производит создание троянского экземпля¬ра одного из системных каналов и ждет, когда к нему подключится кли¬ент. Затем AdminTrap выполняет вызов функции Win32 «ImpersonateNa-medPipeClient», которая назначает маркер доступа (access token) клиента экземпляра канала, handle серверного конца которого указан в качестве параметра функции. Если выполнение функции прошло успешно, один из потоков программы AdminTrap получает полномочия пользовате¬ля-клиента троянского экземпляра канала.
Вероятность того, что программа AdminTrap после вызова «Imperso-nateNamedPipeClient» получит полномочия администратора, весьма вели¬ка, если случайно удастся перехватить следующие сетевые соединения:
? winreg — удаленное управление реестром, списком сервисов, репликацией и административными оповещениями (alerts), удаленный просмотр системных журналов, удаленное диагностирование и оценка производительности;
? spoolss — удаленное управление принтером.
После запуска программа ожидает подключения администратора.
Когда администратор начнет выполнять одну из административ¬ных операций, сетевое соединение администратора перехватывается, программа выдает на экран окно, содержащее имя и список привилегий этого администратора, и предлагает осуществить создание нового поль¬зователя с именем AdminTrap, который входит в группу «Administrators».