Фаервол тебя не спасет

Крис Касперски, ака мыщъх

Хакер, номер #094, стр. 094-042-3

Но все-таки! Как насчет ответа на поставленный ранее вопрос? Можно ли проникнуть сквозь закрытый порт или нет? Что тут сказать. Брандмауэры первых поколений обходились только так. Достаточно было послать сильно фрагментированный TCP-пакет, настолько фрагментированный, что целевой порт не попадал в первый IP-пакет, а поскольку функцией сборки IP-пакетов брандмауэр по ряду причин не оснащен, он свободно пропускал эту «бомбу». Но это в основном относится к внешним брандмауэрам. А персональные работают сразу на многих уровнях, в том числе контролируя пакеты, уже собранные драйвером TCPIP.SYS, и с ними этот фокус уже не проходит. Хуже того! Они могут забить тревогу, поскольку в реальной жизни такие фрагментированные пакеты практически никогда не встречаются!

Но даже если брандмауэр пропустит такой пакет, то это не сильно поможет атакующему, поскольку все современные серверы (ftp, proxy) давным-давно научились различать интерфейсы сетевых соединений, автоматически отсекая нежелательные подключения. Взять хотя бы установленный у меня Etlin HTTP Proxy Server, связывающий машины моей локальной сети с внешним миром. Чтобы не закрывать порт на брандмауэре и не назначать на доступ к Proxy пароль (которые поддерживают не все программы), я поступил проще, разрешив Proxy принимать подключения только с одного интерфейса — интерфейса локальной сети. То же самое относится к внутреннему ftp-серверу.

Выходит, что даже если атакуемый порт открыт на брандмауэре (или брандмауэр удалось пробить каким-нибудь стенобитным орудием), то вовсе не факт, что атака возымеет успех!

Нет, ну это несерьезно и неинтересно! А как же атаковать тогда?! Вот несколько секретов, которые могут помочь начинающим. Во-первых, можно попробовать атаковать один из доверенных узлов путем посылки вируса во вложении или использовании подходящей уязвимости. Крупные корпорации обычно так и атакуются. Они имеют множество подразделений во всех странах мира, но далеко не в каждом из них работают грамотные и ответственные администраторы.

Во-вторых, можно атаковать один из узлов локальной сети. А как это можно сделать? Самое простое (но уже далеко не самое актуальное) — послать в письме специальную программу. Если только эта программа не стащена с какого-то хакерского сайта, а написана самостоятельно, индивидуально для данной конкретной атаки, то антивирусы с высокой степенью вероятностью пропустят ее, но пользователь за последнее время резко поумнел и что попало уже не запускает, поскольку выволочка, устроенная администратором, за последний запуск соблазнительного вложения еще свежа в его памяти. К тому же сейчас появилась модная тенденция настраивать корпоративные серверы так, чтобы все исполняемые файлы автоматически вырезались, даже если они находятся в архивах! Впрочем, к домашним локальным сетям это не относится, и женщины по-прежнему запускают все, что угодно.