На чем прокалываются хакеры

Иван Скляров

Xakep, номер #062, стр. 062-076-4

Даже если в цепочку попадает сервер, не принадлежащий им, то это не проблема, т.к. достаточно выяснить, с какого из их серверов к нему могло осуществляться подключение. Конечно, если в цепочке окажутся идущие подряд два и более чужих прокси-сервера, то тут придется договариваться с их админами (как это делается, смотри выше). Возможно, именно контролирование большинства прокси в интернете позволяет спецслужбам в считанные дни делать официальные заявления о том, из какой страны осуществлялась хакерская атака или откуда пошло распространение вируса и т.д. Причем вплоть до таких экзотических стран, как Филиппины. Возможно также, что подконтрольные прокси в странах НАТО входят в систему Эшелон.

Вывод третий: профессионалы не доверяют прокси.

Шеллы и горшочки меда

Именно из-за недоверия к анонимным прокси некоторые продвинутые хакеры предпочитают заменять их цепочкой шеллов. Однако и шеллы таят в себе немалые опасности. Если ты слышал о проекте Honeynet, то уже понял, о чем я сейчас говорю.

Проекты Honeynet поддерживаются в основном энтузиастами, однако было бы наивно полагать, что если это пришло в голову обычным специалистам по безопасности, то не могло придти в голову спецслужбам, которые получают деньги за изобретение подобных штучек. Вообще, подобная тактика с «подсадными утками» является коронным приемом федералов не только в Сети. Главный трабл для хакера в том, что очень сложно отличить, является ли используемый им шелл медовым горшочком или полноценным шеллом. Так, в Honeynet предусмотрен даже случай захвата или отключения хакером отдельного сервера логов (syslog-сервера). Причем не имеет значения, был ли захвачен шелл нестандартным способом или через поисковик по известной баге. Напомню, что Honeynet строится на стандартных системах без всякого намека на снижение безопасности. Единственное, что может отличать настоящий шелл от медового горшка - это ограничение на количество исходящих соединений (в Honeynet предлагается разрешение в 5-10 соединений). Это делается с целью защиты от использования шелла для сканирования других систем, проведения DoS и т.д. Хотя, в принципе, такие ограничения могут присутствовать и на обычной машине. Доверять скарженному шеллу не менее опасно, т.к., во-первых, неизвестно, под чьим контролем находится хостинг. Во-вторых, все действия могут логироваться. Фейковые шеллы могут нести и косвенную опасность. Например, если в IRC у одного из участников установлен BNC на подобном шелле, то спецслужбам не составит особого труда читать все сообщения в чате, а значит, все участники канала попадают под удар (об этом, кстати, забавно написано в одном из материалов Honeynet).