Hack-FAQ

Sidex (hack-faq@real.xakep.ru)

Xakep, номер #068, стр. 068-044-2

Q: Я слышал, что хакеры намедни выбили Windows XP Service Pack 2. Где найти краденое? Стоит ли на это разбазаривать драгоценный трафик?

A: Как водится в P2P сетях, какой-то умник стал распространять Release Candidate 2 (RC2) под видом финала SP2. Быть может, в неких дико глубоких и секретных закромах хакеров есть и финал, публике же доступен лишь указанный RC. Его можно свободно слить на www.microsoft.com/sp2preview. Если тебе удалось пощупать RC1, то найти изменений в новом практически не получится. Залечили некоторые баги, траблы совместимости, добавили новые мазы для владельцев таблеточников (tablet PCs). Точной даты выхода нет, сайт MS кормит стандартной инфой - середина 2004.

Q: У соседа комп срубило вирусом Download.Ject. Как мне уберечься от беды?

A: Семь бед - один ответ: Windows Update. MS среагировал довольно оперативно, внедрив лекарство в пак апдейтов. Пока готовилось решение, юзверам предлагалось поднять уровень безопасности на максимальный. Делалось сие в настройках IE, чтобы запретить загрузку ActiveX-компонентов. Так что, господа, регулярно апдейтим систему и AV'еры. Довольно подробно проблема обрисована на www.bugtraq.ru (обозрение от 3 июля).

Q: Наломал целое стадо серверов и сдул оттуда десятки гигабайт инфы. Как мне понять, к какой программе какой файл относится? Там сотни всяких мутных расширений, типа .dic.

A: Здесь: www.seniormag.com/compcorner/definitions/ext - есть обширный список файловых расширений, снабженный полезными линками на проги-открывашки файлов. Впрочем, не все здесь так прозрачно: сотни новых расширений появляются почти каждый день! Каждый кодер мнит себя Творцом и наделяет свой продукт уникальным extension'ом. Именно так сие зовется в английском и используется для поиска в Google: extension+.dic для случая с файлом-словарем.

Q: Наш сервак похачили из-за бугра одни подонки. Как пробить, был это прокс или реальный IP?

A: Главный помощник здесь - собственная логика и различные whois-пробивалки, вроде ripn.net, ripe.net, arin.net. Обычно шапочного знакомства с врагом мало для взлома его сервера, так что, очевидно, ты в курсе, где географически находятся обидчики. Маловероятно, что жители Саратова поедут в Коннектикут, чтобы ломануть твою тему. Получается, американский адрес - скорее всего, подстава, заграничный прокс.

Q: Только захожу на IRC, как меня начинают пинговать несметные тыщи диалапщиков и кабельщиков. Какого хрена от меня надо???

A: Очевидно, чего-то надо от тебя лишь одному человеку. Именно он (маловероятно - она), предположительно, поднял против тебя DDoS-ботнет, состоящий из тех самых «несметных тыщ» компов, которые висят на диалапах и кабелях. Атака при заходе в сеть может быть как автоматической, так и запущенной вручную. Ряд сетевых воинов держит личные notify-листы, которые мониторят появление определенного ника в сети. Другие же прописывают подобную опцию на своих ботах. Главный бот видит твой заход и дает команду спустить флуд. Можно спрятаться, добавив «_» в ник, тогда автоматы тебя не заметят, и в сетях с сервисами (как DALnet) идентифицироваться к нику через /msg nickserv@services nick password. Решение более жесткое: сдача логов атак твоему прову, чтобы тот грамотно перестроил роутинг. Можно рассылать логи и провам атакующих компов по abuse-адресам. Практика показывает, что грамотные ботоводы держат по несколько тысяч зараженных машин (10-1000 постоянно в сети), так что отследить все источники разврата вряд ли получится. В остальном, «следи за собой, своим языком и будь осторожен».