Hack-Faq

Евгений «Corwin» Ермаков

Хакер, номер #104, стр. 052

(hack-faq@gameland.ru, http://c0rwin.net)

Q: Какие забугорные сайты/блоги различных представителей security/hacking/vx посоветуешь почитать?

A: Ну, это вопрос скорее в «Сцену». О некоторых личностях и их сайтах в журнале уже писалось, я лишь напомню о них и добавлю парочку из своего списка ссылок в браузере:

http://cyneox.net - на этой странице хранятся проги, вирусы и статьи от человека с ником Cyneox.

http://spth.host.sk - вирусы от 19-летнего вирусмейкера из Австрии, автора статей для езинов 29A, coderz.net, rRlf, BATch Zone, Christmas Special, Brigada Ocho, eBCVG и LowLevel.

http://0xdeadbeef.info – детище Marco Ivaldi aka Raptor, эксперта и консультанта по информационной безопасности, разработчика Unix-приложений, редактора и постоянного автора итальянского журнала Linux&C. Он же автор нескольких local root-эксплойтов для Linux Kernel 2.6.x.

http://tty64.org - сайт израильского хакера-программиста по имени Itzic. Есть очень интересные материалы, например «Advanced Buffer Overflow Methods».

www.vx-dia.de.vu - блог Dia - мембера vx-группы RRLF.

http://spacerogue.net - персональная страничка Space Rogue – всемирно известного журналиста, бывшего члена группы L0pht.

http://retrogod.altervista.org - веб-блог довольно известного хакера Rgod'a, который в одиночку написал больше эксплойтов, чем многие элитные хак-тимы.

http://guninski.com – авторский проект одного из ведущих мировых security-специалистов - Georgi Guninski. Именно он нашел огромное количество багов в разных осях (AIX, Solaris, *BSD), в продуктах Microsoft (IE, NC, Outlook, MS Office), веб-серверах (MS IIS, Lotus Domino, Oracle), веб-приложениях (Hotmail) и стал соавтором книги «Hack Proofing Your Network - Internet Tradecraft».

http://kacper.bblog.pl - блог Kacper'a из Devil Team.

http://0x000000.com - интереснейший блог, созданный Ronald van den Heetkamp aka Jungsonn и посвященный webapplication security. Советую посетить.

Q: Где узнать про точки доступа с бесплатным Wi-Fi инетом? Может, есть карты?

A: Конечно, существует проект, посвященный именно бесплатным или плохо защищенными точками доступа с указанием их местоположения в различных городах - http://freewifi.ru. Причем проект не ограничивается Россией, а включает и многие другие страны. На сайте имеется удобный поиск по нужным критериям. Есть возможность самостоятельно добавлять новые точки в базу проекта.

Также можно зайти на ресурс, посвященный Wi-Fi точкам Москвы: http://wardriver.ru.

Q: В сети постоянно кидают на лаве. Как защититься?

A: От кидалова нельзя непосредственно защититься, можно лишь стараться вести себя так, чтобы не быть кинутым. Я уже неоднократно призывал делать покупки на закрытых форумах. Вряд ли кто-то будет там кидать на небольшие суммы, если сам доступ к форуму стоит порядка 40 WMZ. Чекай базы кидал, делай запросы ICQ-ботам. Я предпочитаю работать через знакомых людей, с которыми уже проводились сделки, или беру контакты уже проверенных селлеров у своих друзей.

Заряди Гугл запросом вида «NICK+Black», «NICK+Black+ICQ:123456» и т.д.

Q: Знаю, что сайт находится на паблик-движке, но не могу определить, что за CMS. Есть какие-то приемы?

A: Как и при обычном взломе, можно вызвать ошибку в выполнении скриптов, использовать поисковик, искать стандартные директории вроде admin, panel, root и т.п. Как правило, именно в таких местах авторизации прописана строка с названием движка (не забываем, что названия директорий могут быть прописаны в файле robots.txt). Можно проводить анализ вручную или использовать сканеры. Я предпочитаю сначала помучить Гугл запросами вроде «Powered by site:www.target.com», потом пропарсить сайт руками и только затем врубаю специальные утилиты.

Потом ведь всегда можно спросить название движка у владельца/создателя сайта, применив социальную инженерию. Обычно человек, создавший движок, оставляет свой email на сайте.

Далее, у большинства популярных двигов в корневой директории со скриптами всегда имеется файл вроде readme.html, install.html и т.п. Как правило, это файлы с инструкциями по установке, в которых также прописаны название и версия движка.

Можно попробовать выполнить один из скриптов движка. Например, у WordPress в папке wp-includes лежит файл author-template.php (выбрал рандомно), выполняем http://target.com/wp-includes/author-template.php; если вывалилась ошибка, то двиг определен.

Q: Только что поднял сервак, но пока что времени на настройку и должное обслуживание нет, поэтому нужны простейшие рекомендации по безопасности, без мороки и прочего мозголомства.

A: Для начало нужно определиться, как и для чего будет использоваться сервер: будет это сервак для хостинга сайтов, mail-сервер или что-то другое. Будем отталкиваться от того, что мы хотим поднять веб-сервер для хостинга собственного сайта.

С самого начала не стоит забывать про .htaccess, так как раскрытие листинга - одна из самых часто встречающихся ошибок. Дальше, я предпочитаю тем же акцессом поставить права доступа к директориям, файлам по IP-адресу.

Order Deny,Allow

Deny from all

Allow from you_ip

Options All -Indexes

Включи SAFE_MODE, если есть возможность.

Поставь простенькую IDS на основе скриптов. Могу предложить DLsecure (http://dlsecure.damagelab.org) и PHPIDS (http://php-ids.org).

Q: Как защититься от IP-спуфинга?

A: Логично было бы вообще отказаться от такого нестойкого вида авторизации. Ведь IP-спуфинг – это, прежде всего, подделка IP-адреса, необходимого для успешной аутентификации. Потом, безопасность может повысить грамотная настройка маршрутизатора - шифрование сессии будет весьма полезным.

Q: Посмотрел бесплатные системы обнаружения вторжений, хочется сравнить их с платными аналогами. Подкинь пару названий.

A: Из наиболее известных это WiSentry (на момент написания статьи версия 4.2), имеющая базу событий. Загрузить демонстрационную версию можно здесь: http://wimetrics.com/Products/WAPD%20Download%20Request.htm.

Потом, AirDefense (http://airdefense.net/products/index.php), существующая в нескольких версиях (персональная, корпоративная и т.п.). Она основана на сенсорах, размещенных на защищаемой площади, которые передаю данные на центральный сервер.

Не знаю, стоит ли советовать такой комплект, как Hitachi AirLocation, подходящий для большой корпоративной сети, но все же назову и его. Он состоит из управляющего сервера, станций, сервера, определяющего координаты, WLAN-оборудования и программного обеспечения. Определение координат стандартно - посылкой сигнала на точки и временем отклика. Стоит такое чудо около $43000.

Q: Что такое дроп-проекты?

A: Для начала определимся с терминологией. Дроп - это человек, обналичивающий деньги с кредитных карт (кэш или вещевуха), которые ему предоставляет кардер, и получающий за это определенный процент. Так как этот самый процент может достигать больших размеров и не исключена возможность кидка со стороны дропа, кардеру зачастую приходится применять хитрую схему работы, и он создает в интернете сайт (дроп-проект) для вербовки граждан в свою мегакомпанию. Этот сайт рекламируется на разных досках объявлений и порталах с предложениями работы. Придумывается убедительная легенда, заключается двухсторонний договор (для большей убедительности), в котором прописаны такие пункты, как процент от выполненной работы (как правило, это мизерный процент - около 4-7%) и санкции в случае невыполнения договора.

Таким образом ничего не подозревающий человек становится звеном в цепочке махинаций с кредитками.

Q: Я хочу написать прогу для удаленного администрирования. Дай, пожалуйста, ссылки (желательно для Delphi, но можно и общие принципы написания подобных программ).

A: В майском номере журнала была статья по написанию системы удаленного администрирования. Думаю, сейчас номер доступен на сайте журнала.

Q: Подскажите какой-нибудь работающий генератор номеров/карт WebMoney или другой способ их получения, возможный из-за тех или иных недоработок.

A: Наличие работающего генератора поставило бы крест на платежной системе. Создание генератора карт WebMoney (и других платежных систем) невозможно в принципе, так как между номером и паролем нет связи (они просто хранятся в базе данных платежной системы, и, скорее всего, даже там они в зашифрованном виде). Так что не ведись на предложения от кидал по поводу покупки такого стаффа.

Q: Как пробить информацию о человеке через интернет? Есть ли альтернатива использованию баз данных?

A: В интернете существуют бесплатные сервисы вроде «Забей телефон - получи Ф.И.О.» и наоборот, но информация в базах таких сервисов крайне редко обновляется и в большинстве случаев неактуальна. Многое зависит от того, что мы знаем о человеке. Если один лишь ник, то снабжаем поисковики запросами «Профиль пользователя+NICKNAME» и т.п. Имея IP-адрес человека, пробиваем его в Whois'e, узнаем местонахождение, провайдера и т.п. А вот что делать дальше - это уже большой вопрос, поскольку ни один уважающий себя провайдер, естественно, информацию о своих клиентах тебе не даст :). Сейчас есть люди, пробивающие подобную инфу за деньги, но, как показывает опыт общения с такими пробивщиками, они также тупо юзают поисковики и имеющиеся базы (а вообще, читай июньскую статью про анонимность в сети от R0id’а - примечание Forb’а).

Q: Совсем недавно влился в кардинг-тему, и возник вопрос: как чекнуть креду на валид?

A: Идешь и налишь :). На самом деле для этого существуют различные сервисы, биллинги (http://authorize.net, к примеру). Банку посылается запрос, на который приходит ответ: есть лаве на карте или все по нулям. За такую проверку приходится отбашлять небольшой процент.

Можно предложить еще один, по правде говоря, глупый вариант: регистрацию на сайте, требующем указания данных CC (думаю, ты понял, что речь идет о XXX-порталах :)).

Насколько я знаю, существуют биллинги, не берущие комиссию при проверке карты, но информация о них закрыта ;).

Кстати, совсем недавно вышел скрипт для чека CC от команды Cyberlords, использующий один из сервисов, снимающих деньги.

Q: Существуют ли брутфорсеры паролей, оптимизированные для работы на двухъядерных процессорах?

A: По крайней мере я таких брутов не встречал. Для AMD'шных камней существует программа Dual-Core Optimizer, по словам разработчиков, реализующая внутренний потенциал мощностей проца в большинстве приложений. Бери, экспериментируй.