Издательский дом ООО "Гейм Лэнд"

ЖУРНАЛ ХАКЕР #103, ИЮЛЬ 2007 г.

Hack-Faq

Евгений «Corwin» Ермаков

Хакер, номер #103, стр. 046

(hack-faq@gameland.ru)

Q: На компе завелся вирус, которого не могу найти ни одним антивирусом. Перепробовал все стандартные методы поиска, вроде просмотра ключей реестра. Что делать?

A: В одном из предыдущих выпусков FAQ'a я уже говорил о том, с чего начинать ручной поиск разного рода малварей. В этот раз скажу лишь, что следует снифать трафик утилитами вроде SoftPerfect Network Protocol Analyzer. Запускаешь программу и смотришь лог снифера, при этом сам не проявляешь никакой сетевой активности. Если троян и вправду присутствует, то вскоре он начнет отстукивать на центральный управляющий сервер/irc-канал бот-мастера. Подобным образом, кстати говоря, угоняются ботнеты. Но здесь не все так просто, поскольку достаточно много подводных камней. Об углубленном поиске нечисти ты можешь прочитать в книге Криса Касперски «Записки исследователя компьютерных вирусов».

Q: Хочу поднять свою хоумпагу в вебе, но не знаю, какой движок выбрать из бесплатных? Какой наиболее безопасен? Что посоветуешь?

A: Сказать однозначно, что есть какая-то конкретная непробиваемая CMS, нельзя. Каждый день багтраки пополняются информацией о новых уязвимостях в различных системах управления контентом. Но я бы отметил такие системы, как eZ Publish (http://ez.no), LIMB CMS (http://limb-project.com) и WordPress (http://wordpress.org), в котором в последнее время, к сожалению, все чаще стали появляться баги. Несмотря на это, для своей домашней страницы я выбрал именно WordPress из-за его гибкости.

Также не поленись и загляни на специализированные сайты: http://cmslist.ru/free и http://cmsobzor.ru.

Q: Существуют ли эксплойты, написанные не на Perl, PHP и C?

A: Конечно существуют. Такой известный проект, как Metasploit Framework 3.0 (framework.metasploit.com), написан на Ruby (более 100 тысяч строк кода). Также на нем пишутся отдельные сплоиты (например, http://ivdb.org/poc/1212.htm). Встречаются они довольно редко, но все же существуют. Язык Python тоже не стоит в стороне и активно используется умельцами :).

Q: Какая операционка самая безопасная для использования в качестве серверной?

A: На этот вопрос нет однозначного ответа. Лично я считаю, что безопасность системы зависит только от администратора: если у человека прямые руки, то его плацдарм будет трудно взломать, если же наоборот, то тут и OpenBSD не поможет. Другое дело - выбор оси, изначально имеющей высокий уровень безопасности. Я, конечно, могу сказать, что нужно ставить на сервак OpenBSD, но будет ли у такого сервера высокая производительность и скорость работы? Тут требуется компромисс между скоростью и безопасностью, и золотой серединой является FreeBSD. В любом случае выбор за open source ПО, в котором можно закрыть баги, подкорректировав исходные коды.

Q: Как можно усилить DDoS?

A: Как вариант - посылая запрос на скрипт, выбирающий записи из базы данных. Так можно значительно уменьшить количество ботов, необходимых для вывода сервера из строя.

Q: Слышал про какое-то новое направление в XSS-атаках - cross-site framing. Что оно собой представляет?

A: Назвать это направлением нельзя. Просто фишеры постоянно ищут новые способы одурачивания доверчивых граждан. Приведу пример, после которого, думаю, все станет ясно:

http://target.com/frame.jsp?url=http://blablabla.com"%20onload=alert("xss")>"

При этом появится алерт, который исполнится в контексте уязвимого сайта. Вместо http://blablabla.com можно написать любой другой домен или вообще не указывать адрес: http://www.target.com/frame.jsp?url=http://www.%22onload=alert(xss)%3E%22. Скриптов, как frame.jsp, великое множество, как правило, они предназначены для редиректа пользователя на сторонний ресурс. Таким образом фишеры могут накатать форму для ввода данных и подсунуть зашифрованный линк юзеру, который, видя доверенный хост, обязательно перейдет по ссылке.

В поиске бажных сайтов, как обычно, поможет Гугл:

allinurl :"url=http" "frame"

inurl:frame filetype:asp inurl:"url="

inurl:frame filetype:aspx inurl:"url="

inurl:frame filetype:php inurl:"url="

inurl:frame filetype:cfm inurl:"url="

inurl:iframe filetype:asp inurl:"url="

inurl:iframe filetype:aspx inurl:"url="

inurl:iframe filetype:php inurl:"url="

inurl:iframe filetype:cfm inurl:"url="

allinurl:http frame.asp

allinurl:http frame.aspx

allinurl:http frame.php

allinurl:http frame.cfm

allinurl:frame.php?url=http

allinurl:frame.asp?url=http

Q: На форумах часто продают sms-спамилки/флудеры мобильных телефонов, как они работают и насколько они надежны? Каким образом вообще организовать sms-флуд?

A: Вспоминается всеми любимый, настолько же бажный, насколько и полезный, сервис Clickatell :). У меня был флудер, который работал именно через Clickatell, точнее, через его анлимитный аккаунт. Но вскоре разработчики перестали курить бамбук и решили закрыть, как им казалось, все дыры. Поэтому в такого рода утилитах используются веб-гейты: либо кликатель, либо сторонний. Как ты сам понимаешь, утилита будет работать до закрытия всех уязвимостей на сервисе или до установления каких-либо ограничений (например, ограничения количества отправляемых сообщений в минуту). Сейчас, конечно, появились флудеры работающие совершенно другим способом, использующие сторонние протоколы (MAgent, к примеру). Ну а если не использовать утилиты, то зафлудить можно, взломав посещаемый сайт и вставив в его страницы фрейм для посылки сообщения на веб-гейт. Если нет возможности поломать хост, то можно направить ботнет на любой хост со вставленным фреймом (подробнее читай в статье «Мобильная развлекуха»).

Q: Можно ли передавать файлы по FTP через цепочку соксов в SocksChain?

A: Нет, нельзя. При использовании FTP создается несколько соединений, и использовать цепочку соксов не получится.

Q: На веб-бордах постоянно предлагают купить эксплойты под различные браузеры, но меня интересуют экспы под веб-приложения. Сколько они могут стоить и где найти продавца?

A: Цены варьируются в очень широком диапазоне. Например, эксплойт под SQL-injection в последней версии очень популярного форумного движка лично мне предлагали за $700. Сплоит на не самую известную CMS стоил $150.

Можно покупать такие вещи на публичных форумах (кстати, продавцов подобного стаффа очень мало), но я придерживаюсь мнения, что стоит делать покупки на закрытых, тех же кардерских, форумах, так как очень много кидал.

Q: Провожу SQL-injection и получаю такой ответ сервера:

mysql_query: Illegal mix of collations (cp1251_general_cs,IMPLICIT) and (utf8_general_ci,SYSCONST) for operation 'UNION' in SELECT text, main, DATE_FORMAT(created, '%e.%m.%Y') FROM table (...) WHERE number=-1 UNION SELECT null, version(), null/*.

В чем ошибка?

A: Кодировка, в которой представлены данные в таблице, не совпадает с кодировкой на выходе. По ошибке видно, что это «мускул», используем стандартную функцию convert(version() using cp1251) или convert(version() using utf8). Есть еще функция CAST(). Синтаксис простой: CAST (ИСХОДНАЯ_КОДИРОВКА 'строка_которую_нужно перевести_в_нужную_кодировку' AS ТИП_ДАННЫХ CHARACTER SET КОНЕЧНАЯ_КОДИРОВКА).

Если запрос так и не выполняется, то идем в мануал по функции date(): http://dev.mysql.com/doc/refman/5.0/en/date-and-time-functions.html#function_date-format.

Q: Что можешь посоветовать почитать по сетевому программированию на Perl/C++? Ничего толкового не нашел.

A: Действительно, полки книжных магазинов сейчас заполнены разнообразными самоучителями по кодингу (приблизительно 30-50% которых, к слову, написаны совершенно безграмотно), а вот специализированных книг по обучению программированию утилит, использующих сеть, не так много.

По Perl есть хорошая книга «Programming the Network with Perl» (Barry P.). На русский язык, насколько я знаю, она не переведена. Далее - «Разработка сетевых программ на Perl» (Штайн Д.Л.). По Си - «Программирование сетевых приложений на C++» в двух томах (Шмидт Д.). Также можно почитать «C++ глазами хакера» (Ф. Михаил), но я не советую использовать ее как самоучитель по сетевому кодингу.

А вообще в Сети есть очень полезный ресурс - http://worldcpp.vingrad.ru/network. Здесь же ты можешь скачать много разных статей.

Q: Существуют ли онлайн-сервисы по расшифровке DES?

A: Таких ресурсов нет. Если не хочется брутить на своем PC, то вполне можно поднять распределенную сеть на нескольких серваках/ботнете. Про распределенное вычисление в John the Ripper'e писалось в одном из предыдущих номеров.

Q: Хочу прогрузить софт через сплоит, пробивающий ослика IE, но так как давно этим не занимаюсь, не знаю приблизительных цифр использования этого браузера. Можешь подсказать проценты?

A: Самым популярным является MSIE 6.0 - им пользуются порядка 70% юзеров, далее следует MSIE 5.01 (~6,5%), продолжает хит-парад MSIE 5.0 (~6%), потом идет MSIE 5.5 (~4,5%), ну и постепенно набирает популярность IE седьмой версии (~2%). В общем, лить траф на осле можно будет еще много-много лет :).

Q: Существуют некие непрослеживаемые XSS-атаки. Как их реализовать?

A: XSS-баги постоянно совершенствуются, и именно это направление (непрослеживаемые XSS-атаки) находится сейчас в зародыше, активно развиваясь. По этой теме можно было бы написать целую статью, но я ограничусь лишь примером кода, понять который можно, даже не будучи знатоком JS. Он встраивается как popup, iframe или как-то иначе в страницу сайта, на который должен зайти предполагаемый юзер-жертва:

<html>

<head>

</head>

</html>

Содержание