Главное в деле - конспирация

Master-lame-master

Хакер, номер #070, стр. 070-064-2

В ряде случаев утилита locate вообще отсутствует на машине (например если ты имеешь дело с SunOS, Digital Unix и другими антикварными системами). В этом случае тебе придется прибегнуть ко второму этапу поиска - анализу файлов при помощи /usr/bin/find. Команда find ведет рекурсивный поиск документов, начиная с определенного каталога. Я всегда начинаю искать с корня, чтобы охватить все каталоги и не пропустить что-то важное. Помнишь, я говорил, что информация может быть устаревшей? В самом деле, едва ли в файле, созданном пять лет назад, хранятся данные о новейшей ядерной боеголовке. По этой причине любому шпиону нужно располагать максимальными сведениями о документе. Таким образом, на втором шаге тебе потребуется выполнить следующую команду:

/usr/bin/find / -name "*.doc" –ls > /tmp/doc.

Обрати внимание на присутствие ключа –ls. Этот параметр позволяет получать полные данные о файле. Вся информация перенаправляется в файл /tmp/doc, чтобы хакер мог внимательно проанализировать каждый найденный файл.

Второй поисковый этап заканчивается, когда find успешно выполнится для файлов всех форматов (в моем случае для doc, pdf и txt). Теперь самое время для изучения дампов find’а.

Мухи и котлеты

Прочитай вывод команды и подготовься к третьему этапу отбора. Проследи, чтобы файл был достаточно свежим, а не 1994 года выпуска. Кроме этого, изучи размер документа. Если doc занимает менее сотни килобайт, в нем вряд ли найдется что-нибудь полезное. Когда файл удовлетворяет трем критериям: валидному имени, дате и размеру, - можешь сохранить его путь во временном документе, чтобы затем забэкапить док в отдельную папку.

Что касается pdf, то размер хорошего файла составляет от 200-300 килов. Однако могут быть исключения, когда документ состоит из единственной картинки (при этом вес может колебаться от двух до трех метров), от просмотра которой будет очень много пользы :).

Итак, ты определил интересные имена различных документов. Теперь нужно переместить их в отдельную папку, чтобы было удобнее продолжить их изучение, скачав на промежуточный сервер с широким каналом. Для этого нужно составить команду копирования нескольких документов в один каталог (что-то вроде cp doc1.doc doc2.doc doc3.pdf ... /tmp/out/) и выполнить ее на удаленной машине. Необходимо также проверить, чтобы количество файлов совпало с числом документов в /tmp/out. Это можно сделать командой ls /tmp/out | wc –l. Если контрольная сумма сошлась, можно создавать архив и переходить к более тщательной фильтрации данных.