SSH Hijacking
Строго говоря, ничего нового в описываемой атаке нет: понятно, что если хост захвачен с вашими (или административными) правами, то доверять вводимым командам и запущеным процессам нет никакого основания.Тем не менее, демонстрация очень впечатляющая.
Итак, если злоумышленник получил доступ к рабочей станции с правами пользователя (или администратора), то он сможет вклиниваться в установленные этим пользователем (или любым другим, в случае наличия административных прав) ssh-соединения с другими хостами, просматривать ввод с клавиатуры (включая пароли), вывод на терминал, отправлять собственные команды внутри уже установленного ssh-соединения.
- PuttyHijack, вариант для putty и windows
- SSHJack, вариант для openssh и unix и замечательная презентация с подробным описанием процесса
Вариант с putty я попробовал на себе. Работает пугающе просто. Интересно, что для подключения используется уже существующее ssh-соединение, которое зашифровано, поэтому средствами сетевой IDS атаку не отловить. Ищу способ сказать CSA, что putty.exe - это такой важный процесс, к которому не надо подключать непонятные dll налету.
Upd. Автор PuttyHijack пишет про интерес к встраиванию в соединения Citrix ICA и Microsoft RDC, а мне интересней SSL VPN. ;)