Паленый сервис

Master-lame-master

Хакер, номер #083, стр. 083-052-1

Взлом proxy-сервиса для прослушивания неприятельского трафика

Иногда бывает необходимо последить за человеком. Узнать, какие сайты он посещает, с кем ведет переписку, на каких форумах общается, о чем трепется в icq и какой его пароль к таинственному web-ресурсу. Для этого совсем необязательно прослушивать телефон или ставить видеокамеры в квартире. Достаточно лишь отсниффать его трафик. Обычно подобраться к маршрутизатору жертвы невозможно. Однако довольно часто объекты слежки для анонимности пользуются различными сетевыми сервисами, которые едва ли добавляют безопасности.

[печальная преамбула]

Как-то давно я искал хороший прокси-сервис. Теряясь в догадках, я серфил много интересных сайтов, читал форумы и отзывы клиентов. И вот мой браузер занесло на сайт proxy4you.net. На этом интересном проекте предлагалось купить проксики по довольно низкой цене. И я, быть может, даже и купил, если бы не увидел ссылку на форум phpBB 2.0.6. Учитывая то, что ситуация происходила где-то с полгода назад, я совсем не удивился :). Бережно выполняя одну команду за другой, я по обкатанному сценарию залил на сервер connback-шелл и вошел в систему. Вот только продержаться мне там не удалось. В этот день я толком ничего не посмотрел, а на следующий обнаружил пропажу не только шелла, но и всего форума :). Видимо, админ каким-то образом обнаружил взлом и снес борду. Про этот «минивзлом» я никогда бы не написал в журнал, если бы не продолжение истории, случившейся недавно.

[охота на уток]

В один чудный вечер я сидел дома и не знал, чем бы себя занять. Мой хороший знакомый, с которым мы давно перетираем «заказные» спецзадания, поделился со мной одной интересной информацией. Он очень давно охотился за человеком, который промышлял не совсем честными делами. Не могу утверждать, но, по-моему, злобный чувак просто кинул моего приятеля, что и побудило последнего преследовать сетевого негодяя, желая вернуть свои деньги. На одном из форумов, где мой кореш скорефанился с администрацией, ему удалось запалить IP-адрес негодяя. Судя по всему, айпишник принадлежал какому-то хостингу - на это указывал вывод whois'а, который мне скинул мой напарник. Описание хостинга выглядело примерно, как uaonline-hqhost-cluster. Эта надпись показалась мне до боли знакомой и через некоторое время я вспомнил почему. Как оказалось, я сам пробивал по хуизу адрес proxy4you.net, и тот оказался в той же подсети, что и последний адрес. Все это косвенно указывало на то, что жертва пользуется услугами proxy-сервиса. Я поделился размышлениями с другом и потом пожалел об этом. Сразу же посыпались просьбы попробовать внедриться в этот ресурс и поснифать трафик с этого айпишника. Я согласился.

Атака началась со стандартных вещей. Перво-наперво я занялся сканированием. Сканить решил всю подсеть с помощью старого доброго LANGuard Scanner. Ни к чему хорошему это не привело, потому как хост proxy4you.net вообще оказался недоступным для этой программы, а остальные узлы, по-видимому, выступали в роли дополнительных IP, на которых вообще не светились никакие порты. Но я-то знал, что ЛАНГуард определяет живучесть хоста при помощи ICMP-запроса. Логичным заключением можно было назвать тот факт, что установленный на машине файрвол просто резал весь ICMP-трафик.