Hack-FAQ

SideX (hack-faq@real.xakep.ru)

Хакер, номер #076, стр. 076-042-3

Q: Слышал, что автоматы с напитками вроде Соса-солы можно взломать через обычные кнопки! Правда?

A: Если бы это было неопровержимой правдой во всех без единого исключения случаях, подобных автоматов не существовало бы вовсе, так как хакеры сразу разносили бы все добро по домашним холодильникам. Однако теоретически существует маза входа в сервисное меню ряда аппаратов путем нажатия определенной последовательности клавиш на передней панели. Детальное описание темы ты найдешь в инете, в статье «Hacking Coke Machines» (привет Гуглу). Вкратце ее содержимое. Ряд аппаратов разворачивает желанное сервисное меню после нажатия последовательности 4-2-3-1 клавиш на передней панели. Обычно клавиша номер один – самая верхняя на панели. Если нажатие выбрасывает меню, можно двигаться дальше. Тут будут опции: CASH (кол-во накопленного кэша в аппарате), SALE (сколько напитков было продано после последней загрузки), VER (версия вшитого ПО), EXTRAS (типичная опция здесь – температура внутри аппарата по Фаренгейту), ERROR (список случившихся ошибок в работе аппарата за последнее время). Так получается простейший информационный хак, которым ты можешь удивить друзей-приятелей. Если разведаешь, как выбивать реальную жижу в баночках и бутылочках, сразу пиши мне! :)

Q: Что такое robots и spiders для поисковиков и как они связаны с хаком?

A: Файл robots.txt кладется в корень веб-сервера (скажем, в www.mydomain.com/robots.txt). Robots содержит инфу о том, какие файлы могут быть доступны для индексирования поисковиком. Сбором информации и ее индексированием занимаются spiders, запущенные поисковиками. В robots ты можешь заносить disallow записи. Данный коммент покажет spider’у, что он не может скачать конкретный файл с сайта. Можно отметить отдельные папки - /cgi-bin/, к примеру. Или прописать, какие поисковики могут скачивать отдельное файло, а каким следует отдыхать. Это комментируется линией User-agent. Поставив переменную «*», ты создашь правило для всех spider’ов. Строчка «User-agent: googlebot» даст понять, что обработкой сможет заниматься лишь Google’овский бот. Главная проблема spiders заключается в том, что они часто индексируют инфу, которую не предполагалось выносить на суд публики – такую, как базы данных и скрипты. Robots же, по идее, должны защитить от данного недуга. Увы, никто не совершенен, и админы часто неграмотно конфигурируют эти файлы. Очень много полезной инфы по теме ты найдешь на www.searchengineworld.com/robots.

Q: Расскажи, как орудуют web-черви.

A: Эти злодеи сканируют просторы www в поисках уязвимых скриптов. Найдя оный, эксплойтят систему, берут ее под контроль. Овладев новой технической мощностью, зараза продолжает поиск жертв. Отдельные образцы вирусописательства также производят дефейсы захваченных систем. Для более детального обзора возьму конкретный образец. Червь NeverEverSanity (Santy.a по базе Касперского) стал широко известен в конце предыдущего года, когда захватил около 40 000 сайтов. Он был построен с целью использования дырки в скриптах борды PHP Bulletin Board (phpBB). Червь использовал Google, вызывая поиск по «Powered by phpBB». Дырявые сайты дефейсились с пометкой, в каком поколении эпидемии пребывает червь на данный момент. Эффективным решением проблемы могла стать фильтрация запросов на поиск дырявых phpBB в Google.