Мнимая анонимность

Леонид «R0id» Стройков

Хакер, номер #102, стр. 069

(r0id@mail.ru)

Разведка в сети

Ты, наверняка, наслышан об анонимности в сети, безопасности и прочих немаловажных аспектах. VPN, socks, proxy - в журнале мы уже не раз писали о том, как максимально скрыть себя от постороннего (читай - правоохранительного :)) взгляда. Но на самом деле все не так просто. В сети содержится огромное количество информации практически на каждого человека, нужно лишь суметь завладеть ей и правильно воспользоваться. Хуиз-сервисы, базы паспортных данных, выписки платежных систем и онлайн-шопов - все это может помочь идентифицировать твою личность. Я не пытаюсь тебя запугать, я просто хочу, чтобы ты четко уяснил: анонимность в сети - это не более чем миф. Да что там говорить, сейчас ты убедишься в этом сам.

Раз, два, три, четыре, пять - я иду тебя искать!

Очень часто случается так, что нам нужно узнать какую-либо конкретную информацию о человеке. И неважно, будет это номер машины, данные паспорта или номер телефона - чем полнее информация, тем лучше. Но проблема состоит в том, что добыть подобного рода материалы не так-то легко. Все специализированные базы данных недоступны простым смертным, и многие из них являются тайной за семью печатями. Так как же быть, если тебе требуется собрать данные о конкретном человеке? Ты мог заметить, что в одном из предыдущих предложений я допустил маленькую оговорочку: «не доступны простым смертным», причем сделал я это умышленно =). Не буду кричать, что хакерам закон не писан, но вот в доступе нас точно ограничивать не стоит :). Собрать необходимые данные вполне реально, требуется лишь время, желание и трезвая голова на плечах. Чтобы сильно не загружать тебя теорией, я рассмотрю интересный случай из моей практики, на базе которого и разберу все тонкости вопроса =).

Однажды ко мне в асю стукнул мой старый знакомый, который попросил помочь одному из его клиентов. Времени на тот момент у меня было предостаточно, чего не скажешь о деньгах, поэтому я без особых раздумий согласился обговорить детали с заказчиком. Как оказалось, суть задания заключалась в нахождении координат какого-то америкоса. От меня требовалось предоставить данные о месте жительства, номерах телефонов и всем том, что я еще смогу нарыть по конкретному человеку. Из всей имеющейся информации у моего клиента было лишь имя искомого (Roman Wells) и его мыло. Интересоваться причиной поиска амера не входило в мою компетенцию, тем более что меня вполне устраивал обещанный гонорар :). Времени на выполнение заказа было отведено не так много, поэтому следовало оперативно приступать к работе.

Первым делом я вбил в Гугле имя разыскиваемого. Результат, честно говоря, оптимизма у меня не вызвал. Фамилия попалась достаточно распространенная, и поисковик выплюнул мне около двух десятков страниц. Парсить Гугл не имело смысла, поскольку не было никакой гарантии того, что я наткнусь именно на своего Roman'а Wells'а.

Тогда я вспомнил об интернет-сервисе ZabaSearch. Ресурс представлял собой базу паблик-данных по жителям Америки и располагался по адресу www.zabasearch.com. Я надеялся выудить хоть какую-нибудь информацию по интересующему меня объекту, так как начинать глобальные поиски без дополнительных зацепок было крайне проблематично. Но, увы, к моему разочарованию, ZabaSearch не далеко ушел от Гугла в плане количества найденных объектов. Полистав пару ссылок, выбранных наугад, я понял, что толку от таких действий будет мало. Что ж, раз с фамилией мне не повезло (вернее, с фамилией мне повезло, а вот с объектом - нет =)), нужно было искать другой путь.

Надежда оставалась одна - мыло искомого. Вариант взлома я оставил на крайний случай, так как ящик находился на yahoo.com, что определенным образом усложняло задачу. Но вот в Гугл email я все же вбить не поленился :). К счастью, на этот раз мне повезло больше, и поисковик выдал всего пару страниц. Пробежав глазами по линкам, я быстро отметил несколько форумов, в профиле пользователей которых значилось указанное мной мыло - мыло разыскиваемого амера. Выбранные форумы были незамедлительно проверены, а вся информация из профилей с заданным мылом отправилась ко мне на винт. Однако ничего особенно полезного мне почерпнуть не удалось, кроме разве что штата проживания амера - Wisconsin.

Еще один любопытный момент я обнаружил в постах моего объекта. На одном из форумов амер расхваливал некий интернет-шоп, в котором он, судя по всему, делал покупки. Этот факт заинтересовал меня. Как ты понимаешь, все интернет-магазины хранят подробные логи заказов. Следовательно, стянув базу шопа, я имел шанс получить данные американца. Набрав в адресной строке своего браузера адрес www.lightlens.com, я оказался на сайте амерского интернет-магаза. Дизайн ресурса интересовал меня мало, хотя выполнен он был на приличном уровне. Полазив по сайту шопа некоторое время и не найдя явных зацепок, я запустил сканер веб-уязвимостей и лег спать. Проснувшись, первым делом я заглянул в лог сканера - увы, но результат был нулевым :(. Но тут я обратил внимание на то, что шоп стоит на движке S-Cart. Как оказалось, в некоторых его версиях есть возможность просмотра информации о чужих заказах. Изначально урл запроса выглядел так:

http://lightlens.com/s-cart/view-order.phtml?f_%20strFirstName=333&f_strLastName=333&f_intOrderID=номер_твоего_заказа

Параметр f_intOrderID указывает номер заказа. Но местные кодеры допустили ошибку, благодаря которой, без дополнительной авторизации, можно было листать значения f_intOrderID и просматривать чужую инфу =). Сперва я затестил багу, подменив данные параметра:

http://lightlens.com/s-cart/view-order.phtml?f_%20strFirstName=333&f_strLastName=333&f_intOrderID=5189

И моему взору предстал подробный отчет по Order Number 5189. Удивило меня лишь одно: я задал заказ №5189, а он был оформлен еще в 2003 году. Вспомнив, какой нынче год, и прокрутив в голове пару нехитрых арифметических операций, я сделал вывод, что в базе хранится информация о десятках тысяч клиентов! Через несколько минут мои догадки подтвердились. Перебирать ручками такое количество запросов было попросту нереально, и я собирался уже написать для этих целей специализированный парсер на PHP, когда вспомнил о посте искомого амера на одном из форумов.

Идея заключалась в том, чтобы по дате поста вычислить приблизительную дату заказа в интернет-магазе. К счастью, мне повезло - пост был оставлен америкосом в конце марта 2007 года, значит, парсить базу шопа стоило в обратном порядке (с конца) не ранее этого времени. Мысли о написании парсера тут же улетучились, зато на моем столе оперативно образовалась бутылочка пива =). Через час активных поисков я нашел данные о заказе своего объекта:

http://lightlens.com/s-cart/view-order.phtml?f_%20strFirstName=333&f_strLastName=333&f_intOrderID=33545

В общем виде полученная мною инфа имела следующий вид:

Order Number 33545

Product Name

H4 12V 100-90W Purple Lightning Bulbs (2 bulbs) 01-140 1

TAX : $ 0.00

SHIPPING : $ 4.90

TOTAL BILLED AMOUNT : $ 0.00

ORDER DATE : 2007-03-12

SHIP TO : Roman Wells

882 12th Ave. South

Onalaska, WI 54650

United States

BILL TO : Roman Wells

882 12th Ave. South

Onalaska, WI 54650

United States

Особенный интерес для меня представляли поля SHIP TO и BILL TO. Но так как адреса в них совпадали, я не стал лишний раз заморачиваться. Кроме того, в поле штата стояло «WI», что еще раз указывало на то, что это именно тот, кого я ищу. В принципе, я мог уже отстучать в асю клиенту и сообщить об успешном выполнении заказа, но мне надо было убедиться в том, что я нашел именно порученного мне амера. Для начала я решил проверить валидность адресных данных. Запустив прогу CC2Bank, я вбил амерский zip-код (54650) в поле Zip и нажал «Search». Оказалось, что этот zip действительно принадлежал городу Onalaska штата Wisconsin. Сомнений не оставалось - гонорар был у меня в кармане =).

Однако из любопытства я решил пробить амера на www.intelius.com. Этот ресурс содержал инфу о гражданах Пендосии, совершивших какие-либо правонарушения. Заполнив формочки имени, фамилии и штата (Roman Wells, Wisconsin), я надавил на клаве «Enter». Моему удивлению не было предела - нашелся только один человек с такими данными, проживающий в городе Onalaska :). Огорчало лишь одно - вся дополнительная информация предоставлялась ресурсом не бесплатно. Хотя к оплате принимались кредитки и… Ой, о чем это я =). В общем, вся собранная мной инфа была передана клиенту, который остался доволен качеством выполненной работы.

Как ты понял из вышеописанной истории, есть вполне реальный шанс собрать необходимые данные. Единственное, на что я хотел бы еще обратить внимание, - это характерные особенности поиска в рунете :). Я не буду останавливаться на таких базах данных, как базы ГИБДД, паспортно-визовой службы и т.д. А вот о некоторых любопытных интернет-сервисах стоит поговорить поподробнее =). Сейчас в Сети достаточно распространены услуги детализации звонков и sms. Естественно, бесплатно никто ничего делать не станет. Но зачастую цены вполне разумные (около $80 за полную детализацию указанного номера). Занимаются предоставлением подобной инфы преимущественно различные частные сыскные агентства. Линков давать не буду, ты и сам без труда найдешь их через Гугл. Также в сети без проблем можно оперативно пробить данные по машине (только не по той, которая стиральная =)). Примером тому является ресурс www.check.0550.ru. Здесь тебе и пробив авто на угон, и поиск по госномеру, и прочее. Однако будь осторожен - в рунете полно кидал, которые создают липовые сервисы самых разнообразных тематик. Но, как говорится, сервис сервису рознь.

Иногда возникает необходимость ручного сбора данных. Вот тут не забывай про мой пример с амером. Во-первых, богатым источником информации является мыло объекта. В одном из прошлых номеров я выкладывал брутер для mail.ru, который юзает брут через веб-аутентификацию (читай подшивку «Хакера»). Так что если есть возможность получить доступ к мылу, не пренебрегай ей. Во-вторых, большинство блогов, интернет-магазинов, чатов, форумов и прочих сетевых заведений ведут логи. Поимев базу с ресурса, на котором регулярно обитает твой объект, ты очень упростишь себе задачу =).

Кстати, насчет мыла и логов. Приведу показательный пример. Наверняка, ты знаком с такой платежной системой, как RuPay. Это одна из крупнейших платежек в рунете. Так вот для доступа к аккаунту необходимо указать мыло и пароль. А вопросом на восстановление пасса является дата рождения холдера акка. Как показывает практика, многие люди вводят свою действительную дату рождения, что не может не радовать загадочное хакерское сердце =). Что мешает тебе прикинуться симпатичной одинокой девушкой и постучать холодной ночью в асю жертве с целью разузнать, скоро ли будет его/ее ДР? :) Поимев аккаунт в RuPay, ты не сможешь совершать транзакции, поскольку для всех денежных операций нужен еще один пароль, сменить и восстановить который просто так нельзя. Но вот просматривать историю операций будет вполне реально. А учитывая, что вывод средств осуществляется только на банковские счета резидентов, ты получишь очень любопытную банковскую инфу о своем объекте :).

Вообще говоря, все зависит от конкретных обстоятельств и целей поисков. Если тебе нужен телефон девушки с форума, это одно дело, а если координаты месторасположения режимного объекта Министерства обороны, это совсем другое дело =). Но и первое, и второе вполне реализуемо, было бы время, желание и трезвая голова :).

Кто не спрятался, я не виноват

Все мы в детстве играли в прятки. Вот и сейчас я предлагаю тебе немного поиграть в эту забавную игру =). Только прятаться на этот раз мы будем в сети. Я не буду сейчас говорить о vpn, соксах, прокси и прочих мерах безопасности. Об этом писалось на страницах нашего журнала не раз. Попробуем зайти с другой стороны. Как говорят сотрудники наших доблестных служб (каких, полагаю, пояснять не надо :)), гораздо проще работать с человеком, нежели с техникой. Я никогда не мог (да и не пытался) понять людей, которые без лишней надобности оставляют свои личные данные в сети. И неважно, ФИО это или номер/серия паспорта, пойми, это ТВОИ ДАННЫЕ и знать их третьим лицам вовсе не обязательно. Аналогичная беспечность многими проявляется и в реале. Отсюда вытекает несколько простых, но очень важных правил:

1. Никогда не оставляй в сети свои реальные личные данные.

2. Никогда не оставляй в сети свои реальные контакты (номера телефонов, адреса).

3. Никогда не передавай ксерокопии своих личных документов без большой необходимости.

4. Не болтай в реале о своих похождениях по базам поломанных серверов.

Относительно первых двух пунктов, думаю, вопросов возникнуть не должно. Свои контакты и реальные данные следует оставлять только в крайнем случае, когда это действительно необходимо. Аналогично и с ксерокопиями твоих доков. Если какой-либо сервис требует сканы паспорта, то смело регистрируйся на левые данные с чужим/фейковым сканом - и все дела :). А вот про реал отдельный разговор. Сколько уже было песен об излишней болтливости, а все без толку. Сегодня ты за кружкой пива обмолвился о своем взломе базы, а завтра с утра пораньше тебя принимают в собственной квартире :). Шутки шутками, а реал - вещь опасная. Так что будь аккуратнее, причем везде и во всем. Безопасности, как ты понимаешь, много не бывает =).

Unнappy End

Введение тебя в состояние панического страха или усиление паранойи вовсе не было целью моей статьи =). Я лишь хотел показать тебе, что полной анонимности в сети не существует. Стопроцентная анонимность, как и стопроцентная безопасность, - это не более чем миф. Разыскать человека в сети вполне реально. Кто знает, быть может в следующий раз искать будут именно тебя :). Либо ты будешь искать того, кто ищет тебя (уф, ну и закрутил =)). Так что не скучай и активно используй все свои возможности для сбора нужных данных. На этом спешу откланяться до следующего номера =).

Danger

Внимание! Информация представлена исключительно с целью ознакомления! Ни автор, ни редакция за твои действия ответственности не несут!

Info

Найти человека в сети вполне реально. Главное - знать, где и как искать =).

INFO

Помни, что большинство интернет-шопов, веб-сервисов, платежек и прочих ресурсов ведут логи, которые не раз помогут тебе при сборе нужной инфы.