Содержание статьи
Один из самых больших плюсов свободного ПО – это возможность создавать
дистрибутив для собственных нужд. Сейчас доступно несколько десятков
дистрибутивов, упрощающих работу админа. Выбор среди специализированных
дистрибутивов на базе LiveCD действительно огромен, и здесь важно не запутаться
и подыскать себе именно тот инструмент, который максимально подойдет под решение
твоих задач.
У админов очень популярен целый класс дистрибутивов, реализующих функции
маршрутизатора и брандмауэра. К свободным ОС многие пользователи приходят именно
после знакомства с одной из подобных систем. Но есть и другие решения, с помощью
которых просто установить и настроить веб или почтовый сервер, программную АТС
на базе Asterisk и т.д. Все они в той или иной мере направлены на решение задач
по организации определенного сервиса. Кроме того, существует великое множество
дистрибутивов, направленных на обслуживание компьютеров и сетей. Именно о таких
решениях и пойдет речь в этой статье. Для удобства разделим их на несколько
групп:
- дистры для работы с жестким диском;
- для восстановления работоспособности системы и резервирования данных;
- для тестирования на наличие уязвимостей;
- для исследования после взлома.
Дистрибутивы для работы с жестким диском
Проект GParted (GNOME Partition Editor,
gparted.sf.net), в рамках
которого разрабатывается одноименный редактор дисковых разделов для *nix-систем,
предлагает также LiveCD-дистрибутив небольшого размера (чуть больше 90 Мб),
построенный на основе Debian. GParted умеет работать с таким большим количеством
файловых систем, которое и не снилось популярному PartitionMagic - ext2, ext3,
FAT16, FAT32, HFS, HFS+, UFS, JFS, NTFS, ReiserFS, Reiser4, XFS. Помимо этого,
дистрибутивом поддерживаются тома LVM2 и FUSE. Графический интерфейс локализован
и построен на базе оконного менеджера Fluxbox. Система нетребовательна к
ресурсам, для запуска достаточно иметь компьютер с 64 Мб ОЗУ. Доступны версии,
позволяющие загружаться не только с CD, но и с USB-устройства. Сетевая
PXE-загрузка также возможна. Стартовое меню позволяет выгрузить содержимое диска
в ОЗУ и освободить привод. Из дополнительных возможностей стоит отметить наличие
программы Partition Image (www.partimage.org),
при помощи которой можно создать образ раздела с файловыми системами. Список их
аналогичен GParted (правда, UFS, NFS и NTFS пока отмечены как
экспериментальные). Есть и TestDisk (www.cgsecurity.org/wiki/TestDisk),
позволяющий проверить и восстановить дисковые разделы. Также в комплект входят
файловый менеджер Midnight Commander, текстовые редакторы Vim и Nano и некоторые
другие утилиты. Единственным минусом GParted Live является отсутствие нормальной
поддержки сети, из-за чего, например, возможности того же Partition Image
реализованы далеко не полностью.
Для создания образов разделов диска существует специальное решение - система
клонирования Clonezilla (www.clonezilla.org).
Состав приложений - Partition Image, ntfsclone, partclone, dd и udpcast -
позволяет клонировать большое количество файловых систем и копировать образ на
другой раздел или по сети (Samba, NFS, SSH). Предлагаются две версии
дистрибутива: Clonezilla Live и Clonezilla SE (Server Edition). Вторая позволяет
не просто копировать разделы, но и клонировать системы. С ней можно легко
перенести копию системного раздела на 40 систем (а возможно и больше) всего за
10 минут. Поддерживается загрузка с CD, USB-флешки, жесткого диска и по Сети (PXE).
Главный спасатель
Для решения внештатных ситуаций, возникающих в процессе повседневной
эксплуатации сервера или клиентского компьютера, могут потребоваться различные
инструменты. Очень удобно, когда все они собраны в одном месте. Одним из самых
популярных «спасательных» дистрибутивов является SystemRescueCD (www.sysresccd.org).
Он выполнен в виде LiveCD (возможна установка на флешку). В состав
SystemRescueCD входит большое количество утилит, при помощи которых можно
восстановить систему после сбоя, подготовить диск для установки новой ОС,
протестировать аппаратную часть компьютера, забэкапить данные и многое другое.
Основой SystemRescueCD послужил Gentoo. Ядро дистрибутива 2.6.25.16
поддерживает все файловые системы Linux, включая Reiser4, Btrfs (новая файловая
система, разрабатываемая при поддержке компании Oracle – своеобразный ответ на
ZFS), а также сетевые SMB и NFS. В состав последней версии дистрибутива 1.1.0
включено четыре ядра: основное и альтернативное; каждое в двух вариантах - для
работы с 32-битными системами (i486 оптимизация) и 64-битное.
Размер образа дистрибутива – 230 Мб, поэтому в комплекте есть все необходимое
админу, включая и документацию по работе. Полный список доступных параметров
загрузки можно просмотреть, нажав клавиши <F2> – <F7>. Стартовое меню позволяет
установить не только ряд настроек (разрешение экрана в framebuffer, загрузка с
жесткого диска, USB-устройства и т.д.), но и запустить ряд весьма полезных
утилит. Среди них - тест оперативной памяти (memtest), свободный аналог
операционной системы DOS - FreeDOS с рядом утилит в комплекте (freedos),
загрузчик Graphical Boot Manager (gag), тест для определения оборудования (aida),
утилита Darik's Boot and Nuke для уничтожения данных без возможности их
дальнейшего восстановления (dban), низкоуровневая утилита для работы с разделами
жесткого диска (mhdd). Даже еще не загрузив основную систему, мы уже получаем
богатый набор полезных утилит.
После загрузки в рутовую консоль выводится таблица основных команд. Начиная с
версии 0.3, в SystemRescueCD появился X-сервер с оконным менеджером WindowMaker,
загрузить который можно, введя «startx». В системе насчитывается несколько сотен
утилит, и в большинстве случаев для решения одной задачи предлагается несколько
инструментов. Например, fdisk, GNU/Parted, GParted для работы с разделами
жесткого диска и полный набор консольных утилит, предназначенных для работы со
всеми типами разделов: e2fsprogs, reiserfsprogs, reiser4progs, xfsprogs,
jfsutils, ntfstools (ntfsresize, ntfsclone и прочие), dosfstools, sfdisk. Они
позволяют их форматировать, изменять размер, переопределять. Есть пакет mtools,
предназначенный для работы с DOS-файлами. Поддержка Сети позволяет на полную
реализовать возможности клиент-серверной архитектуры PartImage (оба входят в
комплект). Кроме gag, в состав дистрибутива включены загрузчики GRUB и LILO. Это
позволяет использовать SystemRescueCD для их восстановления, например, в том
случае, когда загрузчик затерт во время установки Windows. Для удобного
перемещения по каталогам – в наличии файловый менеджер Midnight Commander.
Имеется несколько редакторов текста: vim, elvis, nano, joe, qemacs и графический
Leafpad. Приложения и утилиты, входящие в состав SystemRescueCD, можно
перечислять еще долго. Есть здесь и популярные архиваторы (gzip, bzip, rar, tar
и другие), программы для записи CD/DVD (cdrecord, dvd-rw-tools, cdrtools,
mkisoft). Кроме параноидального dban, доступного при загрузке, найдутся и другие
утилиты, чтобы стереть информацию без следа - shred, wipe. А с помощью
антивируса ClamAV можно проверить жесткий диск на наличие вирусов (обновление
баз производится при помощи freshclam).
Ни один современный дистрибутив нельзя представить без функций работы с
Сетью. В отличие от GParted, в комплекте SystemRescueCD есть утилиты для работы
с Samba, ftp-клиент, сервер и клиент SSH, VNC-сервер. Из сетевых приложений
стоит отметить наличие консольных веб-браузеров lynx, elinks и графического Bon
Echo (альфа Firefox 2.0.0.16), популярного сканера Nmap, многофункциональной
сетевой утилиты netcat и nslookup для DNS-запросов.
Пен-тестинг с BackTrack
LiveCD взяли на вооружение и специалисты по безопасности. В результате, за
короткий срок появилось около десятка решений с явно хакерским уклоном. С ними
можно протестировать системы и сети на наличие уязвимостей. Пик их развития
пришелся на 2003-2005 годы, и, к сожалению, часть популярных тогда проектов
сейчас не развивается.
Швейцарский BackTrack (www.remote-exploit.org)
возник в 2004 году в процессе слияния двух дистрибутивов: Auditor Security Linux
и WHAX (раннее Whoppix), задачи которых совпадали. Целью проекта Auditor
Security «The Swiss Army Knife for security assessments» было всестороннее
тестирование Linux-систем, – он содержал более 300 утилит для выявления и
устранения проблем в сетевых и системных настройках. Разработки WHAX (White Hat
+ SLAX) были сосредоточены на тестировании на проникновение (penetration test).
Основным направлением развития было выбрано обеспечение максимальной поддержки
оборудования и реализация большей модульности для упрощения поддержки и
обновления системы. В последней версии — final3, выпущенной в июне 2008 года –
большинство приложений строятся как отдельные модули. Основан BackTrack на
Slackware 12.0 и наборе скриптов проекта SLAX (www.slax.org).
В качестве графической оболочки предложены KDE 3.5.7 и Fluxbox. Распространяется
в виде LiveCD. Есть расширенный вариант для использования на USB-флешках и файл
для VMware. Возможна установка на жесткий диск.
Загрузочное меню предлагает несколько вариантов – KDE (по умолчанию), Fluxbox,
KDE в ОЗУ, VESA-режим, без сети и несколько текстовых режимов.
Сама загрузка в LiveCD происходит очень быстро, даже при выборе KDE в
качестве рабочей среды. В процессе будут найдены и автоматически настроены все
устройства, в том числе, сетевые карты (DHCP) и WiFi. Все операции производятся
от имени пользователя root, поэтому будь осторожен в работе. Отдельно отмечу
стильный вид рабочего стола и продуманность меню. В сжатом архиве находится
около 2.7 Гб данных, но запутаться в приложениях невозможно. Все находится на
своих местах и везде, где необходимо, выводятся подсказки.
В меню BackTrack находим несколько сотен специальных программ, разбитых на 11
основных групп. Среди них: сетевые сканеры, анализаторы протоколов и снифферы,
эксплоиты (SecurityFocus, PacketStorm, Metaspl0it Framework 2/3 и др.),
брутфорсеры, утилиты для работы с прокси, Cisco-инструментарий, утилиты для
анализа беспроводных сетей, VoIP-сервисов, реверс инжиниринга и т.д. К примеру,
в меню «VoIP & Telephony Analysis» я насчитал 32 ссылки.
В качестве бонуса предложен вполне приличный пользовательский набор
(мультимедиа, программы для работы с графикой, текстовые редакторы,
интернет-приложения и т.д.). Отсутствуют лишь привычные в юзерских дистрах
категории - Office и Games. Все это позволяет использовать BackTrack как обычную
систему. В комплекте поставляется утилита slapt-get, а недостающие пакеты можно
брать из слаки (хотя slapt-get из коробки не работает, перед использованием ее
следует настроить).
В меню находятся ссылки на документацию связанных проектов, что поможет
быстро освоиться с работой неизвестных программ. За советами обращайся на форум
и Wiki проекта (forums.remote-exploit.org,
wiki.remote-exploit.org).
Установка BackTrack на USB-флешку и Asus Eee PC
Для установки BackTrack на USB-флэшку или Asus Eee PC можно использовать
LiveCD, но лучше взять специальный вариант BackTrack 3 USB version (размер 783
Мб). Размер флешки должен быть не менее 1 Гб (для Asus Eee PC нужна SD-карта),
файловая система - FAT32. Распаковываем скачанный ISO-образ. В Windows можно
использовать WinRAR или специальную утилиту вроде UltraISO, ISOBuster. В *nix
просто монтируем исошку во временный каталог:
# mount -o loop -t iso9660 bt3-final.iso /mnt/iso
Копируем на флешку находящиеся внутри каталоги bt3 и boot. Далее сделаем
съемный носитель загрузочным. Для этого запускаем находящийся в каталоге bt3
скрипт bootinst.bat (в Windows) или bootinst.sh (*nix). Как вариант,
самостоятельно вводим нужную команду:
# boot/syslinux/syslinux -d boot/syslinux /dev/sdd
Или в Windows:
K:\boot\syslinux\syslinux.exe -ma -d \boot\syslinux K:
Где /dev/sdd и K: - название диска.
Для Asus Eee PC необходимо еще подправить файл boot/syslinux/syslinux.cfg,
прописав после строки «APPEND vga=0x317 initrd=/boot/initrd.gz …» строчку (во
время загрузки системы SD будет /dev/sda) «changes=/dev/sda2».
Проникающее тестирование с nUbuntu
Среди многочисленных клонов дистрибутива Ubuntu есть интересный проект
nUbuntu (Network Ubuntu,
www.nubuntu.org), содержащий внушительное количество инструментов для
тестирования сетей и серверов на проникновение. В качестве рабочего стола выбран
оконный менеджер Fluxbox. Примечательно, что сохранена возможность установки на
жесткий диск и совместимость с репозитарием Ubuntu, а значит, он может быть
хорошей основой для установки на десктоп продвинутого пользователя. Несмотря на
то, что последние релизы идут с приставкой Alpha, это стабильная и полностью
готовая к работе система.
Ищем след с DEFT
Согласно статистике, более 60% компьютеров в Сети заражены вирусами или
находятся под контролем хакеров, которые используют их для своих целей. Чтобы
разобраться с проблемой, собрать доказательства, которые, возможно, помогут
поймать того, кто это сделал, существуют специальные инструменты и дистрибутивы.
Одним из таких решений является DEFT Linux (www.deftlinux.net).
Название произошло от акронима «Digital Evidence & Forensic Toolkit». Возник
этот дистрибутив усилиями группы специалистов, занимающихся расследованием
компьютерных преступлений. Первая версия DEFT v1 вышла в свет в 2006 году и
базировалась на Kubuntu 6.10. Сегодня доступна четвертая версия. В ней в
качестве основы выбран Xubuntu 8.10 с рабочим столом XFce. Выбор дистрибутива
гарантирует совместимость с тем оборудованием, которое поддерживается семейством
Ubuntu.
Процесс загрузки DEFT мало отличается от Ubuntu, но есть свои особенности.
Так, разделы жестких дисков и прочих носителей автоматически не монтируются.
Специфика дистрибутива такова, что все операции исследователь производит
вручную, тщательно контролируя каждый шаг. Поэтому вставленная в рабочей системе
флешка не подхватывается. Графический интерфейс по умолчанию также не
запускается. Чтобы увидеть XFce, набери в консоли «deft-gui».
В рабочей среде первое, что бросается в глаза, - это наличие большого
количества значков на рабочем столе, предназначенных для запуска специфических
приложений, и отсутствие привычного в Ubuntu ярлыка для установки на жесткий
диск. Впрочем, это вполне логично и ожидаемо, ведь в подобных решениях выполнять
запись на жесткий диск нужно крайне осторожно. Достаточно изменить время
обращения к файлу, – и данные нельзя затем будет использовать в доказательствах.
В первую очередь отметим в дистрибутиве популярные OpenSource-решения,
используемые для сбора данных на скомпрометированной системе, - коллекция утилит
Sleuth Kit (TSK) и графическая оболочка к ним Autopsy (Autopsy Forensic Browser).
Ранее для хранения образов диска исследователи использовали RAW-образ диска,
созданный при помощи dd или ее аналога dd_rescue. Размер такого образа совпадал
с исходным и, соответственно, требовал много места для хранения. Часто терялись
важные метаданные. Поэтому для хранения образов дисков был создан специальный
открытый и расширяемый формат AFF (Advanced Forensics Format). Библиотеки для
поддержки его основными утилитами также имеются в дистрибутиве.
В комплект входят программы практически по всем направлениям, которые могут
понадобиться исследователю. Для работы с жестким диском и проверки его состояния
– Gpart, parted и интерфейсы Gparted и QTparted, TestDisk. Для восстановления
файлов по их заголовкам и структуре включена консольная утилита Foremost.
Определить тип файла можно при помощи trID. Имеются утилиты для поиска скрытой
информации внутри файлов-контейнеров - Steg detect и набор OutGuess. Приложения
для работы с hex-данными - hex dump и KHex. Разработчики предусмотрели
возможность восстановить/подобрать пароль при помощи Ophcrack и John the Ripper.
Есть программы и для поиска вирусов и руткитов – ClamAV, chrootkit, rkhunter.
Полностью поддерживается работа по Сети. Для этого в состав DEFT включены
Samba, OpenSSH сервер, RDesktop. Кроме них, в меню Network мы найдем незаменимые
для каждого админа программы - Nessus, Nmap, FireShark, Ettercap, Kismet и
AirSnort.
