SharoWarez

SideX (sidex@real.xakep.ru)

Хакер, номер #087, стр. 087-181-12

Во время коннекта сервис выдает баннер, по которому теоретически можно определить используемой ПО. Но многие администраторы намеренно подделывают баннеры с помощью специальных патчей, модулей, например mod_security.c, и даже специализированного софта вроде ServerMask (www.port80software.com), чтобы сбить с толку хакера. Однако Httprint этим не проведешь. В своих исследованиях тулза Httprint опирается на уникальные сигнатуры, которые присуще каждой конкретной программе-серверу. Причем база программы не ограничивается сигнатурами для банальных Apache, ISS и другого популярного софта. В нее также включена такая экзотика, как «отпечатки пальцев» веб-серверов, интегрированных в современные роутеры, ADSL-модемы, беспроводные точки доступа и т.д.

Использование сервером защищенных SSL-соединений также не помеха для Httprint. Утилита автоматически распознает использование шифрования и продолжит сканирование. Более того, она даже соберет всевозможную информацию об SSL, в том числе данные по сертификатам и список используемых шифров. Для увеличения скорости сканирования активно применяется работа в несколько потоков. Правда, функция multi-threading реализована пока только для линуксовой и виндовых версий программы. Поклонникам FreeBSD придется немного подождать. Списки исследуемых серверов можно импортировать из текстового файла или отчета сканера Nmap. А отчеты о проведенном сканировании можно легко представить в HTML-, CSV- и XML-форматах.

ProcessGuard 3.15

Win 2k/NT/XP

Shareware

Size: 1,8 Мб

http://www.diamondcs.com.au/processguard/

Если посмотреть в характеристики приватных троянов, то обязательно увидишь там пункт следующего содержания: система невидима для всех популярных антивирусов (ежедневный мониторинг КАВ, НАВ, МАКАФИ, NOD32). Разработчики не врут. В большинстве случаев процессы файрвола и антивируса действительно можно особым образом модифицировать или вовсе выгрузить из памяти. Например, грамотный троян может деактивировать сканирующую часть антивируса, оставив в покое оболочку программы. В итоге пользователь будет испытывать ложное чувство безопасности, наблюдая все внешние признаки работы антивируса (по иконке в трее и т.д.), хотя реально никаких действий по поиску заразы осуществляться не будет. С файрволом еще проще: сообщение о ненормальной активности легко блокируется с помощью элементарных API-функций, которые скрывают предупреждающее окно от пользователя и нажимают за него заветную кнопочку «разрешить подключение».

Чтобы обезопасить себя хотя бы от небольшой части заразы, рекомендую установить утилиту ProcessGuard. Самая главная функция программы – защита процессов от внешнего воздействия. Она внимательно следит за всеми API-вызовами и тем самым предотвращает любое несанкционированное отключение или модификацию запущенных приложений. Более того, ProcessGuard блокирует глобальные хуки и попытки инжектирования опасного кода в привилегированные задачи. Можно так настроить ProcessGuard, что приложения будут запускаться только после одобрения пользователя. А непрерывное логирование файлов, отданных на исполнение, поможет впоследствии отловить пропущенную заразу. Но это еще не все. Основная часть программы работает на уровне ядра, поэтому ей не составляет труда распознать руткиты, которые также хотят установить в систему низкоуровневые драйвера. Я попробовал заинсталлить два популярных руткита, и ProcessGuard с доблестью распознал их. Respect!