Hack-Faq

By О. Брун

Xakep, номер #053, стр. 053-054-3

Q: Что делать/юзать для удаленного администрирования (хочу мониторить другана)? Мы - модные, у обоих стоит winXP. Какой самый простой способ?

A: Если вы упакованные парни на XP, то самым простым будет использование RD (Remote Desktop), утилита, включенная в новую винду по умолчанию. Ты получаешь полноценный доступ к его десктопу и можешь вытворять все, что может он сам (права доступа через RD могут быть различными). Существует куча аналогичных разработок от стороннего производителя. Признанный гранд и знак качества - Remote Admin (www.radmin.com), который, увы, туговат на обновления.

Q: Как определить IP юзера, зная его email? Какие подвохи с этим?

A: Как определить IP юзера, зная госномер его автомобиля? Разве что заставить его выйти в инет... Так и тут - тебе нужно отправить что-либо на тот ящик и, получив ответ, выцепить интересующий АйПи из заголовка письма. Поля бывают разными - X-source IP, X-OriginatingIP, X-RemoteIP; часто находится в Received, оказываясь перед именем почтового хоста. Конечно, бывает, что IP юзвера (VV@putin.ru) идентичен с адресом почтового хоста (putin.ru), когда домен приписан к машине несчастного. Нужно быть готовым, что емайл был послан через Socks (или целую серию оных), т.е. отправитель сконвертировал почтовый поток в socks'овый (насколько подобное корректно звучит, научно - инкапсуляция). Понятно, что такое возможно и с HTTP-проксями при аналогичной конвертации или при заходе на web-почту через прокси. Совсем четкие ребята могут кинуть письмецо и с удаленной машины (простейшим mailx'ом *nix'a) или забомбить, используя SSH2-туннелинг.

Q: Я покупаю на краденую креду шелл, но затем, заходя на unix-сервак через SSH, свечу свой реальный IP. Ведь так меня элементарно вычисляют. Как же люди используют шеллы?

A: Люди используют законно приобретенные шеллы ;), а виртуальные Чингачгуки действуют так. Во-первых, кто мешает использовать те же прокси (Socks'ы) при соединении, особенно их каскад (www.ufasoft.com/socks)? Любимый SecureCRT имеет поддержку прокси. Во-вторых, заходить на шелл-сервер ты можешь не только с локал-хоста, но и другой удаленной машины (чаще - *nix, обычным ssh shell.server.com -l login), тогда в логах шелл-прова засветится удаленная тачка, а не твоя собственная. В-третьих, реальный IP у "реальных пацаноф" может быть очень специфическим, к примеру, выделенным dial-in сервером твоего кореша-админа, который все abuse'ы будет посылать на фиг. Напоследок, если ты не сильно беспредельничаешь на шелле, то вряд ли тобой займутся из-за экспроприированных 10 у.е.

Q: Моя деваха по ходу крутит шашни с козлобородым из ее домашней локалки. Я сам на диалапе, включаю снифер CommView, но вижу только свои пакеты. Как мне их уличить, соснифать?

A: Почему же ты еще CitiCorp.com пока не соснифал? По той же причине не получается и с "друзьями": ты физически не являешься членом их сети. Если же нужно соснифать, придется вломиться в нужную сеть и поставить снифер на одну из тамошних машин: нечто вроде незаметного The Gobbler/poorsniffer для win или любой консольный для *nix. Подобное получится без проблем, если нужная сетка построена на хабах, а не на switch'ах. Если же вся сеть сидит за одним внешним IP, и никак не получается захватить машину в сети, то логичным будет захват целого прова локалки. Методы снифинга остаются прежними. Если же ты олигарх, то можно подкупить администратора сети, чтобы тот собрал логи на нужных людей. Есть вариант и с физическим подключением к сети - ноутбук в лапы, цепляемся к сети (режется сетевой кабель в подъезде), настраиваемся как нормальный юзер, снифинг в деле. Хотя есть сомнения, что можно долго проторчать в подъезде, ожидая нужного разговора в сети. В итоге получается, что проще получить доступ к машинам любовников (протроянить).