Hack-Faq

Иван Скляров

Хакер, номер #100, стр. 062

(sklyaroff@mail.ru, www.sklyaroff.ru)

Q: Какие книги по хакингу посоветуешь почитать?

A: В большинстве случаев книги по хакингу или сетевой безопасности пишут люди далекие от этих тем, лишь за редким исключением появляются действительно достойные экземпляры, как, например, отечественный хит в прошлом «Атака на интернет». Перечислять названия книг, которые я рекомендовал бы прочитать, в журнале я не буду. Специально на этот случай я собрал на своем сайте названия лучших книг по хакингу и сетевой безопасности, а также по программированию, администрированию, web-дизайну и прочему со ссылками на интернет-магазин, поэтому советую тебе сходить по следующему адресу в интернете: www.sklyaroff.ru/books.htm. Однако в первую очередь я рекомендую тебе читать книги по программированию: Си, C++, Assembler, PHP, Perl и т.д.

Q: Подскажи какую-нибудь программу для подглядывания/снятия пароля, установленного на BIOS, которая работала бы под Linux?

A: Рекомендую программу CmosPwd (www.cgsecurity.org); она совершенно бесплатна и распространяется под различные операционные системы (Dos, Windows, Linux, FreeBSD и NetBSD) с исходными кодами под лицензией GNU Public License. CmosPwd позволяет как сбрасывать пароли для большинства версий BIOS, так и просто просматривать их. Только хочу тебя предупредить, что показанные этой программой пароли могут отличаться от реально установленных (особенно это характерно для Award BIOS), однако, несмотря на это, они будут рабочими.

Q: Что такое HTTP Response Splitting?

A: Так называется сравнительно молодая атака. Она основывается на том, что протокол HTTP позволяет прерывать заголовок и начинать новый, который и будет считаться правильным. Эта атака не на сервер, а на пользователя, подобно XSS. Хакер должен послать единственный HTTP-запрос, который заставит веб-сервер сформировать такой выходной поток, который будет принят жертвой за целых два HTTP-ответа (вместо одного правильного). HTTP Response Splitting позволяет проводить целый ряд атак, таких как отравление веб-кэша, подмена страниц, кража пользовательской информации и межсайтовый скриптинг. Подробнее об этой атаке ты можешь узнать в статье Nikitozz'a «Ядовитый ответ» («Хакер», #071) или на www.packetstormsecurity.org/papers/general/whitepaper_httpresponse.pdf (на английском языке).

Q: У меня в списке процессов Windows XP запущено несколько копий приложения svchost.exe. Говорит ли это о том, что я подцепил трояна?

A: Само по себе наличие нескольких копий svchost.exe не говорит о деятельности вредоносного ПО. Svchost.exe - это главный системный процесс для служб, которые запускаются из динамически загружаемых библиотек (DLL-файлов). Поэтому в системе вполне может быть запущено несколько экземпляров процесса svchost.exe, но с разными PID. Каждый из таких экземпляров представляет собой определенную системную службу или группу служб. Эти группы определены в следующем разделе реестра: HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Svchost. Каждый параметр этого раздела представляет собой отдельную svchost-группу и отображается при просмотре активных процессов как отдельный экземпляр svchost.exe. Ты можешь просмотреть список служб, выполняющихся в каждом процессе svchost.exe, с помощью команды tasklist /SVC. Среди этих служб легко может таиться троян, поэтому воспользуйся поисковиком, чтобы узнать о каждой показанной службе. Также помни, что системный файл svchost.exe должен находиться в папке \%SystemRoot%\system32\. Если он находится в другом месте, то это, скорее всего, указывает на вредоносное ПО.

Q: Пишу снифер под FreeBSD на Си и обнаружил, что в этой ОС отсутствуют пакетные сокеты, как же тогда отлавливать пакеты на канальном уровне?

A: Во FreeBSD для работы на канальном уровне необходимо использовать пакетный фильтр BSD (BPF). Все подробности по работе с этим фильтром смотри в man bpf. Но вместо того чтобы напрямую использовать BPF, ты можешь для тех же целей задействовать кроссплатформенную библиотеку libpcap (www.tcpdump.org).

Q: Как скрыть IP-адрес от почтового сервера при получении почты?

A: Ты можешь просто воспользоваться web-интерфейсом к почтовому ящику, а свой браузер настроить на работу через анонимный прокси-сервер. Однако не все почтовые серверы предоставляют web-интерфейс. В таком случае тебе придется принудительно «соксифицировать» почтовый клиент, так как ни один из известных мне мылеров не предоставляет работу через прокси (Outlook, The Bat! и т.д.). Воспользуйся для этого программой SocksCap. Но есть еще один оригинальный способ. Во многих системах бесплатной почты (например, mail.ru и Яндекс) существует функция «Сборщик почты» (смотри настройки). При включении этой функции, сервер бесплатной почты будет сам подключаться к указанным тобой почтовым серверам и скачивать письма на созданный тобой бесплатный ящик. В итоге на почтовых серверах будет светиться только IP-адрес Яндекса или mail.ru. Позже ты сможешь спокойно забрать письма с бесплатного ящика через web-интерфейс или с помощью мылера.

Q: Я хочу видеть всю информацию, которой обмениваются мой браузер и web-сервер, как это сделать?

A: Ты можешь воспользоваться ресурсом web-sniffer.net. В поле HTTP(S)-URL введи адрес сайта, с которым хочешь соединиться и нажми кнопку «Submit». На появившейся странице ты увидишь заголовок HTTP-запроса (HTTP Request Header), который был сформирован твоим браузером, и ниже - ответ сервера (HTTP Response Header). Если тебе неудобно пользоваться web-снифером, то ты можешь поискать плагины к своему браузеру, которые способны просматривать заголовки запросов и ответов в реальном времени. Например, для IE таким плагином является ieHTTPHeadersSetup.exe. Можешь скачать его по адресу www.blunck.info, он весит всего 137 Кб. После установки программы, запусти IE и выбери «Вид -> Панели обозревателя -> ieHTTPHeadersSetup v1.6».

Q: Что такое web-shell и где его достать?

A: Web-shell - это небольшая программка, которую хакер заливает на взломанный web-сервер, чтобы иметь возможность его удаленно изучать и администрировать. Иначе говоря, web-shell предоставляет web-интерфейс для запуска консольных команд и просмотра результатов. Web-шеллы создаются на различных web-языках, таких как Perl, PHP, ASP. Вот так выглядит содержимое простейшего web-шелла на PHP:

<?php system($_GET["cmd"]); ?>

Однако хакеры и скрипт-киддисы часто используют более продвинутые шеллы с формами (полями ввода), кнопками и пр. Наиболее известными из таких web-шеллов являются r57shell и c99. Эти и десятки других продвинутых web-шеллов ты легко можешь найти и скачать в интернете, например с сайта www.web-hack.ru.

Q: Во многих программах для подбора паролей есть возможность выбрать гибридную атаку (Hybrid Crack), как она работает?

A: Гибридная атака названа так потому, что она совмещает в себе атаку по словарю и атаку последовательным перебором паролей. В гибридной атаке к каждому словарному слову добавляются символы справа и/или слева, что позволяет формировать такие пароли, как sex123, $admin, #hacker# и т.п. Обычно в настройках программы можно задать количество символов, добавляемых справа и слева.

Q: Какими программами можно закодировать html-код? Нужно ли кодировать html-код, чтобы было ничего не понятно, когда сохраняешь страничку? А то плагиаторы часто крадут чужие сайты и используют их в своих нуждах.

A: Таких программ существует множество: WebCrypt, HTML Protector, HTMLGuard, HTMLencrypt и т.п. Ищи их в интернете с помощью поисковика. Однако я бы на твоем месте сильно не рассчитывал на них, так как эти программы могут защитить лишь от неопытных пользователей, а профессионал все равно сможет раскодировать такие зашифрованные страницы. В книге «Головоломки для хакера» я на конкретном примере показал, как расшифровать страницу, зашифрованную программой HTML Protector.

Q: Как понимать термин «недостаточная аутентификация» (Insufficient Authentication)?

A: Как правило, доступ к важной информации на web-сервере реализуется с должной аутентификацией. Но некоторые нерадивые администраторы полагают, что достаточно «спрятать» важные ресурсы по определенному адресу, который не указан на основных страницах сервера или других общедоступных ресурсах, чтобы уберечь эти ресурсы от хакеров. Понятно, что, хотя хакер и не знает адрес секретной страницы, она все равно доступна через web, а следовательно, необходимый URL может быть найден перебором типичных файлов и директорий. Например, многие web-приложения по умолчанию используют для административного доступа ссылку в корневой директории сервера (/admin/). Так как пользователь или разработчик предполагает, что никто не воспользуется этой секретной страницей по причине отсутствия на нее прямых ссылок, то зачастую реализацией аутентификации пренебрегают. Для получения контроля над сервером хакеру достаточно найти эту страницу - это и есть «недостаточная аутентификация».

Q: Где можно взять хороший и полный справочник всех API-функций Windows?

A: Я видел в интернете сборники API-функций, созданные русскими народными умельцами. Однако все серьезные кодеры за подробными описаниями API-функций обращаются только к MSDN (Microsoft Development Network). Вообще-то, MSDN – платный, ты покупаешь так называемую «подписку на MSDN» - по мере выхода новых версий (раз в 4 месяца), тебе будут приходить его обновления на CD/DVD. Но если у тебя нет возможности/желания пользоваться компакт-дисками, то ты можешь получить полный бесплатный доступ к MSDN на сайте Microsoft - msdn.microsoft.com (многие статьи переведены на русский язык).