Обрезание

Marina

Xakep, номер #016, стр. 016-026-4

SWAP

Сейчас будет мучить SWAP файл. Для анализа и извлечения данных в HEX редакторе типа HiEW. Как ни смешно это звучит, но это абсолютная правда, что о человеке можно узнать абсолютно все (ну или почти все) лишь получив его swap-файл. Как говорится: "дай мне твой swap файл, и я скажу, кто ты". ;) Интересный метод хака. Гораздо круче всяких там соц. инженерией!

Приступим. Перед нами лежит swap-файл с вражеской машины ;) - win386.swp. Мы с тобой, попивая PEPSI, запускаем HiEW by SEN на просмотр swap'а, выполняя следующую команду: "HiEW.EXE WIN386.SWP". Что нам надо искать? А все что хотите, то и ищите. :) Нас же интересуют Интернет соединения. Поэтому если ты знаешь (допустим) login пользователя, то можешь искать его и смотреть информацию рядом. Главное - это спереть swap после посещения жертвой Инета, иначе эти данные не будут прокэшированы.

Демонстрирую. У меня здесь находится 46-мегабайтный swap файл одного деятеля. Я знаю его login - это 3 буквы: "aag". Делаю поиск - первый раз нахожу ссылку на какую-то лажу (рядом с "aag" нет ничего похожего хотя бы на слово "Password"). Во второй же раз я нахожу ПАРОЛЬ...

Здесь паролем является следующая последовательность символов: "9FD$}F-L" (см. начало 10-ой строки). Покопавшись рядом, не сложно найти еще много интересующей нас информации: пароли на e-mail'ы, на некоторые сайты и т.п. В общем копайтесь в чужих swap'ах и все будет ok. ;)

Защита

Для защиты своего компьютера от промышленного шпионажа (так это называется по-научному :) тебе необходимо, прежде всего, не подпускать к компьютеру подозрительных личностей, :) которые могут упереть твои парольчики (Разве мало полезной информации у такого хацкера, как ты?). :)

Далее. Для обламывания человека, пришедшего с .BAT-файлом, в котором прописано экспортирование данных из реестра, ты должен переименовать файлы REGEDIT.EXE и REGEDT32.EXE (они лежат в главном каталог Windows) во что-нибудь другое, типа RE.EXE и RE32.EXE. Наилучшим вариантом в данном случае будет еще и перенос этих файлов в какой-нибудь "левый" каталог. Главное, самому потом не забыть, как файлы называются и где они у тебя валяются. :)) А то помучаешься неслабо.

Потом, для сбережения от самых простых атак через Интернет, советую следующую вакцину: в свойствах Интернет соединения, которые ты так усердно используешь каждый вечер ;)) ("Properties" по правой кнопочке мыши на иконке соединения), нужно убрать крестик с "Logon to network" ("Войти в сеть").

Тогда твои беспечно расSHAREнные ресурсы не будут доступны во внешней сети. Но будь с этим все же осторожен.

Также одним из способов защиты является анализ действий нападающего хакера. Вот мы, проанализировав свои же действия, и делаем несложную "защитку". Иногда помогает. :)

Как уже много раз говорилось до этого - обычно имя файла *.PWL соответствует главному имени пользователя (99.9% случаев), но это не всегда так. Мы сейчас это и сделаем - заведем "кулхаку" в тупик. Дело в том, что если хакер не украл файл SYSTEM.INI с твоего компьютера, то он не знает соответствие имен пользователей именам PWL-файлов. И он не сможет применить способы взломов, изложенные выше. Для "установки защиты" нам всего лишь необходимо отредактировать наш злосчастный SYSTEM.INI (а точнее его раздел "[Password Lists]") следующим образом: имена логинов оставить теми же, а вот зато имена PWL-файлов изменить на что-нибудь вроде "FUCKYOU!.PWL" или "SUCKCOCK.PWL"! :) (Не забудь вместе с изменением SYSTEM.INI переименовать еще и сами PWL) А самым наилучшим приколом над хакером будет перенос PWL-файлов в различные места на твоем жестком диске (в самую глубинку загони их ;) и изменение еще путей к ним в SYSTEM.INI.