Обман систем контроля содержимого. 10 способов обойти средства контроля содержимого

Xakep, номер #046, стр. 046-062-3

Например, стандартное письмо с вирусом I LOVE YOU содержит следующий атрибут: filename="iloveyou.vbs" или filename="=?us-ascii?Q?iloveyou=2Evbs?=". Ты можешь поэкспериментировать следующим образом:

* filename==?us-ascii?Q?iloveyou=2Evbs?=

* filename=iloveyou. "v"b"s

* filename=iloveyou.vbs

* filename=""iloveyou.vbs

* filename=iloveyou .vbs

* filename="iloveyou.vbs

Какой-то из этих вариантов должен обязательно сработать. Ты также можешь добавить точку в конец имени файла. Например, в ZoneAlarm 3.0 это позволяло обойти подсистему MailSafe, которая используется для фильтрации и блокировки электронных сообщений. В частности ZoneAlarm может блокировать письма, содержащие вложения с некоторым расширением.

Дальше - больше. Многие системы делают вывод о типе передаваемого вложения на основании его имени или расширения. Например, документы Word идентифицируются по расширению DOC, исполняемые файлы - по расширению EXE и т.д. Изменив стандартное расширение, можно обойти защитный механизм. Аналогичным образом можно поступить и с атрибутом MIME - Content-Type. Например, вложение с атрибутом Content-Type: application/msword; name="macro.doc" будет блокировано, а с атрибутом Content-Type: text/plain; name="macro.doc" пройдет незамеченным. Кстати, этот метод позволяет обойти защиту многих провайдеров (например, narod.ru), пытающихся запретить загрузку на свои сервера файлов с расширением rar, zip и т.д.

Надуваем антивирусы

Еще одна особенность связана с использованием ASCII-символа NULL, который обычно интерпретируются как конец строки. Поэтому файл filename="file.txt\0.exe" будет считаться текстовым, а не исполняемым. Чтобы не быть голословным, приведу пример системы контроля содержимого, обладающей целым букетом описанных багов. Это всем известный Norton AntiVirus 2002. В нем имеется 4 дыры, позволяющих обойти механизм анализа контента. Во-первых, можно обойти систему защиты электронной почты в NAV 2002, вводя NULL-символ в MIME сообщение. Если NULL-символ появляется перед вирусной частью, то NAV 2002 не в состоянии обнаружить вирус.

Во-вторых, в некоторых неописанных в RFC форматах электронных сообщений NAV 2002 не способен произвести полное сканирование письма на наличие вируса или опасного кода. Кстати, аналогичная ошибка присутствует и в других защитных средствах. Например, если ты используешь старую добрую UUENCODE, до сих пор используемую в FIDO, то для многих средств контроля содержимого это является непреодолимым препятствием.