Hack-FAQ

SideX (hack-faq@real.xakep.ru)

Хакер, номер #078, стр. 078-042-1

Будь конкретным и задавай конкретные вопросы! Старайся оформить свою проблему максимально детально перед посылкой в Hack-FAQ. Только так я смогу действительно помочь тебе ответом, указать на возможные ошибки. Остерегайся общих вопросов вроде «Как взломать интернет?» — ты лишь потратишь мой и свой почтовый трафик. Трясти из меня фришки (инет, шеллы, карты) не стоит, я сам живу на гуманитарной помощи!

Q: Правда, что появились новые трояны, которые умеют пробивать файрволы?

A: На самом деле этому уже давно научились. Любой толковый windows-программист может реализовать обход файрвола — примеры ты мог увидеть в нашем «Кодинге». Однако в последнее время обходить сетевые экраны стало значительно проще. Библиотека PCAP позволяет разработчикам получить прямой низкоуровневый доступ к сетевым интерфейсам. За примерами далеко ходить не нужно: известный снифер Ethereal использует как раз эту библиотеку. Этот сетевой анализатор вполне можно использовать для обхода файрвола, который, по идее, должен перекрывать все входящие TCP/UDP-пакеты. К тебе стучатся пакеты, файрвол их отбивает, но снифер на уровень ниже их ловит и может с ними работать. Так что после изучения Libpcap’a, на базе которого крутится Ethereal, можно без проблем собирать проги, успешно обходящие файрволы. Хотя лучше почитай статьи в «Кодинге» :).

Q: Есть ли какие-то мирные способы использования файрвол-тоннеля?

A: Опиаты оказываются лучшими обезболивающими, а ядерное оружие сдерживает массовую агрессию — даже самые жестокие изобретения человека находят мирное применение. Для наблюдения феномена в Win-систему нужно лишь загрузить VMWare и запустить эмуляцию Линукса, где сеть будет сэмулирована в bridged-моде. Врубаем nmap или любой другой сканер, подходящий для снятия fingerprint’ов. При скане win-сетевого интерфейса файрвол заблокирует попытки запроса, но на сэмулированном интерфейсе мы получим искомые ответы (fingerprint’ы). Так что из опыта видно: из-под VMWare можно получать полный доступ к локалке, обходя файрвол! И ты можешь использовать тачку с WMWare в качестве моста, соединяющего локалку с внешним миром, если админ сети разрешил доступ лишь к отдельным ресурсам.

Q: Как мне защитить сетку от устанавливаемых файрвол-тоннелей?

A: Стоит помнить, что функции libpcap доступны только под админским аккаунтом. Так что для предотвращения провокаций в сети просто будь внимателен при раздаче админских полномочий. Если же кто из поверенных задумает недоброе, это можно будет распознать при помощи System Management Server’a от MS. Это тулза, которая регулярно проверяет юзеров на установку софта и отдельных библиотечек вроде libcap. Внимательно просматривая репорты, ты сможешь быть уверенным, что юзеры крутят лишь дозволенное. Софтина PromqryUI сможет показать, если какой-то юзерский интерфейс крутится в promiscuous-режиме (снифинга), который используется множеством файрвол-тоннелей. Не желая показаться MS-фанатом, также посоветую Malicious Software Removal Tool от этого же бренда. Софтина позволит обнаружить зловредные программы и либы, чреватые разбоем подконтрольных систем. Если тебя интересует более подробная инфа, спрашивай Гугл на тему «wormhole tunnels».