Два носка – не пара

Толстых Олег aka NSD

Хакер, номер #070, стр. 070-070-1

(www.nsd.ru)

Создаем свой собственный socks-сервер

Хакеры-профи всегда заботятся о собственной анонимности. В статье «Сушим носки», которая была напечатана в июльском номере, я рассказывал, каким образом можно пускать свой трафик через цепочку socks-серверов для того, чтобы скрыть свой истинный ip-адрес. А ты когда-нибудь задумывался над тем, что proxy-сервера, которые ты используешь, могут принадлежать спецслужбам? В самом деле, нет причины, по которой ФБР еще не создала пару миллионов подставных соксов, чтобы отлавливать хакеров. Поэтому опытные взломщики используют в работе только собственные, 100% анонимные прокси. Вливайся!

Жизнь секретного агента

Вообрази, что ты работаешь в FBI и пытаешься отлавливать хакеров. Твоя задача – поймать и упечь в тюрягу как можно больше нарушителей порядка киберпространства. Какое западло ты выдумал бы на месте агента ФБР? Можно поставить на какой-нибудь сервер honeypot и ждать хакеров, которые попытаются получить акцесс к тачке. Поскольку злодей даже и не подозревает, что на сервере для него приготовлен небольшой сюрприз, он попадется в ловушку. В общем-то, у ГБшников есть туча готовых решений для выявления взломщиков. Чего они только не выдумывают! Например, в начале этого года пивоваренная контора Tuborg и управление К провели совместную рождественскую акцию по обнаружению и поимке российских хакеров (www.securitylab.ru/42126.html). По просьбе спецслужб на сайте www.tuborg.ru был устроен онлайн-конкурс, в котором предлагалось набрать максимальное количество очков и попасть в таблицу рекордов. Первым десяти победителям обещали принести прямо домой ящик пива Tuborg Christmas Brew. Полагаю, ты уже догадался, что на сайте умышленно оставили несколько уязвимостей, благодаря которым получить халявное пивко хакеру не составило бы особого труда. В таблице рекордов победитель вписывал свои персональные данные и указывал адрес, по которому, теоретически, должны были доставить пивчанское. После окончания конкурса спецслужбы навестили всех хаксоров, правда, почему-то без обещанного пива - видимо, его они выпили по дороге. Такая вот подставная компания «Туборг» – мало того что варят отстойное пиво, да еще и клиентов сдают. Впрочем, подобные акции сотрудники милиции проводят не часто, обычно они используют другие, более продуктивные методы отлова. Самым распространенным способом отслеживания хакеров является анализ логов с подставных проксей. Агенты спецслужб устанавливают на компах сокс-серверы, после чего выкладывают целые списки своих проксиков для всеобщего обозрения. Если ты воспользовался хотя бы одним сервером из их прокси-листа – считай, попал под колпак!

Как же быть?

Чтобы спать спокойно и не ждать ежесекундно стука в дверь доблестных правозащитников, хакеры устанавливают на взломанные компьютеры свои сокс-сервера, не ведущие логов, после чего делают через них свои грязные делишки. Сам понимаешь, если логи на серваке не сохраняются, значит, определить, кто пользовался проксиком, будет крайне трудно, точнее, невозможно. Сейчас я покажу, как с технической стороны реализуется установка socks-сервера на взломанную тачку. Для начала нужно выбрать дистрибутив. Существуют две популярные (и, кстати, неплохие) софтины, которыми я рекомендую пользоваться, – это 3proxy (http://security.nnov.ru/soft/3proxy/), написанная отечественной всероссийско известной security-группой 3APA3A, интервью с которой было опубликовано в 50-ом выпуске ][, и nylon (http://monkey.org/~marius/pages/?page=nylon). На нейлоне заострять внимание не буду – дело в том, что для успешной сборки этого сервера нужно установить библиотеку libevent, а для этого, в свою очередь, нужно иметь достаточно высокие права в системе. А для сборки и установки сервера 3proxy достаточно обладать минимальными привилегиями (nobody). Поэтому можно поставить и запустить этот офигительный прокси-сервер хоть с веб-шелла! ;)