Сетевой контроль
Xakep, номер #047, стр. 047-054-3
Теперь разработан принцип работы сети! Конечно, осталась еще куча моментов, на которые стоит обратить внимание. Например, каким образом заражающая машина будет организовывать сеть из зараженных (сам алгоритм выстраивания машин в кольцо), как эти зараженные машины, начав сканить, будут вводить новые машины в свое кольцо. В конце концов - формат пакетов в этой сети и т.д., и т.п. Но если все это описывать, то получится своего рода еще один RFC и руководство к действию :).
Распределенное сканирование
Теперь о самых насущных проблемах - ради чего и создавалась данная сетка. Если рассматривать задачу распределенного сканирования на примере вышеописанной модели из 11 машин, то весь процесс можно организовать следующим образом. Хакер коннектится к любому из хостов своей сети и шлет пакет со списком IP-адресов, портов, которые нужно просканить (для примера пусть это будут хосты 192.168.100.1/24 и порты - 21,22,23,25 и 110), а также паблик-ключом, которым будут шифроваться результаты сканирования.
1) Этот хост "возьмет на себя" IP 192.168.100.1 со всеми портами и начнет его сканить.
2) Своему соседу по уровню он пошлет пакет только с одним IP-адресом - 192.168.100.2 и всеми пятью портами.
3) Двум следующим по кольцу машинам сети он уже пошлет пакет c 192.168.100.3/24 IP-адресами и, соответственно, всеми портами.
Далее эти три шага будут выполняться для каждого уровня сети. Так пакет, пройдя по всему кольцу, вернется к первоначальному хосту уже измененным списком IP-адресов, начиная с 192.168.100.12. Первоначальный хост, в свою очередь, снова выполнит над этим пакетом вышеописанные 3 шага. Пакет будет гоняться по кольцу, пока не закончатся IP-адреса. Пакеты с результатами сканирования каждый хост сети будет шифровать, используя переданный паблик-ключ, и пускать по кольцу - так хакер сможет их получить, т.к. каждый пакет будет проходить через каждый хост, включая тот, на котором расположен взломщик. При вышеописанной системе будет очень тяжело вычислить, какой хост инициировал сканирование и, следовательно, к какому хосту приконнектился сам хакер.