Hack-FAQ

SideX (hack-faq@real.xakep.ru)

Хакер, номер #087, стр. 087-062-4

Q: Почему не могу стянуть SAM с машины? Как его разобрать на части после похищения?

A: SAM нельзя слить при запущенной WIN, так как он оказывается задействован системой с момента запуска. Порой искомое можно найти в backup-папке C:\WINDOWS\repair\sam, которая оказывается доступной для скачки даже при запущенной системе. В случае физического доступа к машине злодеи иногда перезапускают комп с загрузочного Linux’a – LiveCD, вроде Knoppix’a (www.knoppix.org), с поддержкой ntfsdos. SAM можно «разобрать», вытянуть пароли из оного при помощи Cain (www.oxid.it/cain.html) или старого доброго JTR (www.openwall.com/john), чью 1.7-версию столь ждала вся сцена.

Q: Как выявить реального отправителя емейла?

A: Заранее стоит отметить, что решить твой вопрос со 100% гарантией в 100% случаев практически невозможно. Все будет зависеть от того, насколько отправитель постарался остаться незамеченным. Главным источником информации станут заголовки письма, где будет содержаться информация по серверу отправителя и его хосту. Эту информацию можно использовать для дальнейшей выявления реального обладателя данного ИП. Напрямую данная работа оказывается очень муторной, большинство провайдеров откажут в выдаче информации по отправителю, если, конечно, здесь не вовлечен весомый криминал. Мне однажды сообщили инфо по организатору спама, когда тот подставой моего адреса рассылал письма, содержавшие рекламу его спонсорской программы (была модная тема 1998-2001 годов). В остальных же случаях владелец IP станет известен лишь после долго и нудного, часто судебного, разбирательства. На самом деле, изучение заголовка письма поможет составить наиболее правильную программу выявления негодяя. На www.stopspam.org/email/headers.html ты найдешь очень грамотный how-to по «расшифровке» headers’ов. Когда отправитель особо не шифруется, не использует промежуточные серверы, он может быть выявлен простой логикой. Ты знаешь географию нахождения большинства своих отправителей и понимаешь, что из Урюпинска письмо мог прислать лишь г-н Пупкин. Whois-сервисы, вроде www.ripe.net, помогают показать город, откуда происходит IP отправителя.

Q: Настроил локальный сервер, которым никто чужой не пользуется, но никак не могу отключить дефолтовый firewall.

A: Наиболее простым решением выглядит включение файрвола, чтобы система не плакала об отсутствии оного. Во включенном же FW ты просто включишь опцию allow everything (позволять все), которая сделает все желанные порты открытыми и доступными, как провинциальная нимфоманка :).