Два носка – не пара

Толстых Олег aka NSD

Хакер, номер #070, стр. 070-070-4

*(buf+j)=0;

// открываем файл /tmp/mylog_out для добавления инфы:

my_fp=fopen("/tmp/mylog_out","a");

// пишем в него содержимое переменной buf

fprintf(my_fp,"%s",buf);

// закрываем файл

fclose(my_fp);

Исходящий от клиента трафик, который может содержать важные пассы, записывается аналогичным способом. После строки «res=sendto(param-> remsock, buf + trans, i - trans, 0…» нужно всего-навсего добавить такой код:

*(buf + i)=0;

my_fp=fopen("/tmp/mylog_in","a");

fprintf(my_fp,"%s",buf+trans);

fclose(my_fp);

Теперь весь проходящий через сокс трафик будет писаться в файлы mylog_in и mylog_out. И в любой момент можно отослать его на мыло и вытащить необходимые пассы.

Взгляни на рисунок 3. Я залогинился по FTP на сервер www.padonak.ru, используя свой подставной сокс. Как видишь, мой исходящий FTP-трафик успешно записался в mylog_in - даже пароль виден открытым текстом! Конечно, если твоя жертва будет логиниться по SSH, пасс не будет так явно светиться, но если покопаться в трафике, можно достать из него ключи шифрования, а оттуда и сам пароль.

ЗАКЛЮЧЕНИЕ

А теперь я бы хотел предостеречь тебя от использования публичных proxy-серверов. Не знаю, насколько большим откровением это для тебя станет, но большая часть публичных серверов из fresh proxy list - жесткая подстава. Это либо ГБшные проксики, либо серверы, ведущие логи по передаваемому трафику. Ну подумай сам – кому нужно платить за огромный трафик, генерируемый публичным socks-сервером? Конечно, хакеры за этот трафик не платят, но и разводить альтруистическую бодягу никому не нужно. Каждый созданный вменяемым человеком проксик пишет в логи все передаваемые пароли и идентификаторы, это факт. Так что делай выводы и будь начеку! В любом случае, куда безопаснее, быстрее и удобнее будет установить пару-тройку собственных серверов и использовать в своих темных делах только их. Собственную задницу надо беречь.

FBI checker

Ты, конечно, знаешь, что с помощью программы ProxyChecker можно определить, является ли прокся анонимной или нет. Жаль, что нету такой тулзы, с помощью которой можно проверить, ведет ли она логи и какие органы ее контролируют :). Но если у тебя есть идея, как такую тулзу написать, – намыль мне, подумаем вместе :).

Заметаем следы

Если поставить сокс на какой-нибудь сервер прямо под нос компетентному администратору, программа проживет ровно до того момента, когда админ наберет команду ps и увидит в списке процессов посторонние задачи. Чтобы прокся продержалась как можно дольше, хакеры переименовывают файл 3proxy в менее бросающиеся в глаза названия, например в logd, security и т.п. Если хакер имеет root-доступ к серверу, он устанавливает rootkit – набор утилит, который пытается скрыть присутствие хакера на сервере. Об этом мы уже много писали, так что читай подборку статей Форба на эту тему.

WARNING

Помни, что значительная часть прокси-серверов, опубликованных в общедоступных источниках, является полнейшей подставой – это либо ГБшный ресурс, либо проксик такого же взломщика, как ты, который пишет логи по всему проходящему трафику.