FAQ

Степан Ильин aka Step

Хакер, номер #094, стр. 094-150-2

Q: Как наиболее просто можно сбросить пароль на BIOS, имея минимальные права в системе?

A: В составе систем Windows NT поставляется довольно полезная утилита — debug.exe. Эдакий стандартный дебаггер, о котором мало, кто знает, и еще меньше пользуется. Но сегодня он будет полезен. Сбросить все настройки БИОСа, в том числе пароль на загрузку, можно набрав лишь несколько команд в этом самом дебаггере:

-o 70 11

-o 71 22

Ввел? Тогда, перегружайся и проверяй. Поскольку порты у всех типов БИОСа (AMI, AWARD и прочие) стандартные, этот способ одинаково хорошо подходит для каждого из них.

Q: Парни, виндовский swap-файл — зараза еще та. После незамысловатого исследования оказалось, что туда пишется просто уйма конфиденциальной информации! Конечно, swap можно безопасно удалить (с помощью той же BCWipe), но не будешь же делать это каждый раз. Существует ли более гибкий выход из этой неприятной ситуации?

A: А почему бы не шифровать файл подкачки на лету? Конечно, большинство средств для шифрования данных такой возможности не имеют, однако подходящие утилиты все же есть. CryptoSwap Guerilla (www.geocities.com/phosphor2013/list.htm), например, с этой задачей справится наверняка. После установки CryptoSwap загружает свой низкоуровневый драйвер, причем делает это перед тем, как Windows стартует механизм виртуальной памяти и инициализирует swap-файл. После этого генерируется случайный ключ шифрования, уникальный для текущей сессии: в течение всей работы он будет храниться в оперативной памяти и ни разу не будет записан на диск. После загрузки драйвер скрупулезно перехватывает все запросы на операции чтения/записи swap-файла и выполняет их, шифруя все данные с помощью уникального ключа. Мало того, во время выхода из системы CryptoSwap удаляет файл со swap’ом, забивая его нулями. Впрочем, это функцию, требующую время, можно легко отключить, запустив прилагаемый к программе файл disableswapwipe.reg.

Q: Каким образом можно отловить и доказать вину вардрайвера?

A: (ответ Skvoznoy’ого) Трейсинг (обнаружение) хакера компетентными органами осуществляется достаточно просто: в большинстве случаев после проникновения MAC-адрес атакующего сохраняется в таблице ARP (при прохождении через роутер) или же CAM-таблице (при прохождении через свитч). Мало того, что MAC-адрес будет серьезной уликой, когда хакера все-таки отследят с помощью высокотехноличных пеленгаторов, так это еще и хороший способ выйти на него! По MAC-адресу легко определяется производитель карточки, у которого есть базы соответствия MAC-адреса и серийного номера карточки, далее проверяются точки продаж, покупатели и т.д. и т.п. В России это, конечно, малореально, но на Западе — вполне.