WHO IS?
наводим справки
Спецвыпуск Xakep, номер #023, стр. 023-012-1
mopy (mopy@xakep.ru)
Все считают, что сканирование – это то, с чего начинается любой хак. На самом деле сканированию предшествует еще один этап – сбор информации. Прежде чем перейти к взлому, надо просканировать цель и выяснить, что это вообще такое. Точно так же, прежде чем перейти к сканированию, надо сначала собрать всю доступную информацию о цели. Мощнейшим источником информации о целевой системе является сервис whois.
Сервис whois - это универсальный источник информации об отдельных персонах, организациях, сетях и доменах. В базах данных whois хранится информация на все организации, которые имеют выделенные диапазоны IP-адресов и/или владеют доменными именами. Вполне естественно, что чаще всего сервера whois поддерживают конторы, которые занимаются раздачей выделенных диапазонов IP-адресов и доменов. В Росси такая контора называется PocНИИРОС (Российский Научно-Исследовательский Институт Развития Общественных Сетей) и базируется по адресу www.ripn.net. Изначально доступ к сервису whois осуществлялся при помощи одноименной клиентской программы (она имеется в nix'ах – попробуй выполнить команду "whois" в окне терминала), но сейчас все чаще появляются web-интерфейсы для работы с whois-серваками. Такая штука есть и у PocНИИРОС: http://www.ripn.net:8080/nic/whois/index.html.
Для того чтобы понять, как работать с whois-серверами и какая нам от этого польза, надо сначала выяснить, что представляют собой эти самые whois-сервера. Whois-сервак – это база данных, содержащая в себе записи об организациях, имеющих выделенные диапазоны IP'шников и/или доменные имена, о системных администраторах этих организаций, о сетевых адресах и о доменных именах. Согласно RFC1834, база данных whois может содержать три типа записей: записи о людях (это в основном системные администраторы контор, имеющих выделенный диапазон IP и/или домен), записи о хостах и записи о доменах. Из чего состоят эти записи можно посмотреть в табличке (описание полей каждого типа записи переводил с англицкого сам, так что не обессудь ;)).
Если ты поглядел на табличку, то должен уже представить себе, какого рода информацию можно выудить из whois-сервера :). Давай теперь разберемся, какая хацкеру от всего этого польза.
1. Зная только имя домена, можно получить информацию о диапазоне адресов, принадлежащем владельцу домена (сразу становится понятно, что надо сканить :)).
2. Зная только один IP, можно узнать весь диапазон адресов из той же сети, а также имена доменов, принадлежащих организации-владельцу этого диапазона адресов.
3. Зная только один домен, принадлежащий организации, можно узнать имена всех ее доменов.
4. Зная только одно имя домена или один IP, можно узнать организацию, выяснить имя ее админа, потом найти все организации, в записях которых прописан этот же админ, и предположить, что это, скорее всего, связанные между собой организации, стало быть и их компьютерные сети могут быть связаны между собой. А потом получить диапазоны адресов всех этих организации ;) (заметь, уже второй раз становится понятно, что надо сканировать).