книги хакеры / журнал хакер / 062_Optimized

Подключаясь к устройству, приложение может само устанавливать настройки безопасности при работе с файлом. Среди таких настроек можно найти и флаг, отвечающий за создание эксклюзивного доступа к устройству. Это значит, что существует возможность блокировки одновременного доступа к устройству нескольким приложениям. И эксперты Microsoft подтвердили этот факт в своей официальной документации. Также было замечено, что это необходимая возможность, помогающая повысить безопасность продукта.

Так или иначе, практически ни одно из приложений для Windows, использующих драйвера, не юзает предоставленную возможность. Как следствие, это позволяет злоумышленнику подключится к необходимому устройству.

ВНЕДРЕНИЕ SHELLCODE

Определить в таких случаях вектор атаки довольно просто. Поскольку, обращаясь к драйверу, его ответ можно получить из переменной lpOutBuffer. Но не стоит забывать, что lpOutBuffer - это только адрес, указывающий на ответ. Так как драйвер имеет системные права, он может передать ответ практически в любую область памяти. Куда именно, указывает переменная lpOutBuffer. Таким образом, злоумышленник может контролировать память и тем самым внедрить туда свой эксплойт.

Но не стоит забывать о том, что разные драйвера работают с разными данными. Это значит, что один из них может принимать в качестве аргумента lpOutBuffer число, а другой - целую структуру. Поэтому часто злоумышленник вынужден разбираться в программном коде драйвера, чтобы понять, с какими структурами он имеет дело, как они обрабатываются и сохраняются. Во всем этом придется разбираться при написании эксплойта. Дело в том, что, передавая на устройство какую-либо информацию, игнорируя все его стандарты, можно легко вызвать критическое завершение работы драйвера.

Основная проблема при эксплуатации этой уязвимости - передача управления на shellcode (опять-таки придется разбирать драйвер). А раз этого не избежать, то мы примемся за Reverse-engineering.

ПРИМЕР АТАКИ

На данный момент практически не существует эксплойтов, реализующих подобную атаку. А версии тех программ, в которых были найдены уязвимости, мне так и не удалось разыскать. Но, тем не менее, я постараюсь

Поиск драйвера

Äокументация по работе с драйверами

msdn.microsoft.com/library/en-us/devio/base/deviceiocontrol.asp

Эксплойт к Norton AntiVirus 2002 sec-labs.hack.pl/papers/win32ddc.php

Если тебе самому захочется сделать тестовую атаку на ZoneAlarm, предлагаю для на- чала его скачать :). Лежит это добро на www.zonelabs.com

брандмауэр Zone Alarm. В этом коде нет ни- чего особенного. Все, что он делает - это передача "особенных" данных в качестве адреса на результат.

ИСХОДНИК

#include <windows.h>

int main( int argc, char* argv[] )

{

HANDLE hDevice;

hDevice = CreateFile( "\\\\.\\vsdatant",

0, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL );

if ( hDevice == INVALID_HANDLE_VALUE ) return 0; DeviceIoControl( hDevice, 8400000fh, 0, 0, 12345h, 4, 0, 0 ); return 0;

}

ПУБЛИЧНЫЕ ЭКСПЛОЙТЫ

Насколько мне известно, сейчас доступен только один публичный эксплойт для Norton AntiVirus 2002. Кроме того, чтобы его откомпилировать, хакеру придется проявить свои знания в Assembler. Ошибок в исходном коде более чем достаточно, в придачу и shellcode придется внедрить свой. Поскольку в эксплойте он вообще отсутствует :). Также не стоит забывать, что шеллкод исполняется в драйвере, а поэтому на него накладываются еще несколько дополнительных ограничений.

Для атаки используется драйвер \\.\navap, входящий в поставку вместе с Norton AntiVirus 2002. Атака не отличается от вышеописанного приема. Разница лишь в том, что этот драйвер имеет изъяны в несколько других функциях.

ЗАЩИТА

Защита для пользователя - это отказ от продуктов сторонних производителей. Лично я после написания этой статьи проверил все установленные приложения на эту атаку. Как оказалось, примерно шестая часть программ уязвимы. Такая статистика должна насторожить производителей программного обеспечения.

Разработчикам могу посоветовать устанавливать эксклюзивный доступ на драйвер при подключении к нему. Добавлю еще, что следует обращать внимание на реализацию обработки пользовательских данных. Программисты, пишущие для internet, уже давно осознали это. Теперь осталось донести эту истину и до win32 программистов.z

Ì

деле, если знать, что приставка "абу" отец, "ибн" - сын, а "аль" - уроже-

то имя легко можно перечитать по-рус- а сокращенно ученого у нас принято на-

зывать Аль Кинди. Для рассказа о методе возьмем в качестве примера головоломку из X-Puzzle ][ #58 "Глупенькая секретарша", условие которой звучит так:

Глупенькая, но хорошенькая секретарша устраивалась на работу к одному эксцентричному директору. Директор решил над ней подшутить. На рабочем компьютере он поменял местами некоторые клавиши и попросил ее напечатать "на время" одно предложение. Т.к. секретарша не умела печатать вслепую, то напечатала предложение, не отрывая глаз от клавиатуры, и вот что у нее получилось:

Мъэшл эз¸ етиг сяхкиг рфунцащмкиг чаьок, ву дыпэй юэ буж.

Какое предложение продиктовал эксцентричный директор?

Подсказка: директор поменял местами всего десять пар клавиш.

КРИПТОАНАЛИЗ - НАУКА РЕШЕНИЯ ГОЛОВОЛОМОК

Рис.4. Буквы шифротекста распределены по эталону

Рис.5. В нижнем окне предложение с подставленными эталонными буквами

ИГРЫ ПО КАТАЛОГАМ С ДОСТАВКОЙ НА ДОМ

www.e-shop.ru www.gamepost.ru

PC Accessories

Смотри, последнее слово в предложении приобрело осмыс- ленные очертания. Это может быть случайностью, а может быть, и нет. Попробуем сделать еще какие-нибудь изменения в эталоне. Поменяем теперь буквы не с одинаковыми частотами, а с близкими, т.е. рядом стоящие в эталоне. Нам никто не запрещает это сделать, т.к. эталонные частоты это лишь приблизительные частоты, и для разных типов текста они могут разли- чаться (проза, сленг, технический язык). Поменяем местами, к примеру, первые буквы в эталоне: "о" и "е". Повторим операции, проделанные выше, и получим следующее предложение:

сбецу еь¸ ркон ммжион дфалщтэсион йтгви, па яъыех ше чаю.

Да, не сильно помогло, однако второе слово, очевидно, должно быть словом "ещ¸". Итого, вместе с "чаю" мы имеем предположительно два расшифрованных слова, а это значит 5 пар клавиш, которые поменял местами эксцентричный директор:

÷ - á ó - à þ - æ å - ý ù - ç

Попробуем произвести замену этих пар в первоначальном зашифрованном предложении:

Мъешл ещ¸ этиг сяхкиг рфанцузскиг буьок ва дыпей же чаю.

Конечно, можно было бы еще попробовать поискать пары с помощью частотного анализа, однако, я думаю, это излишне, т.к. ответ напрашивается сам:

Съешьещ¸этихмягкихфранцузскихбулок,давыпейжечаю.

Вот так, знание метода плюс немного интуиции позволяют вскрывать шифры типа "пляшущие человечки" буквально за считанные минуты.

XOR

Но частотный анализ бессилен перед другими типами шифровок, когда одна буква может иметь разные значения в одном и том же шифротексте. Так, к примеру, шифрует знаменитый XOR при условии, что ключ, которым кодируют, больше одного знака. Сначала вспомним, что такое XOR. XOR - это операция логического исключающего ИЛИ, имеющая следующую семантику:

0 xor 1 = 1

1 xor 0 = 1

0 xor 0 = 0

1 xor 1 = 0

Например, буква "А" (латинская) в кодировке ASCII имеет код 41h или 1000001 в двоичном виде, а цифра "1" 31h=110001. Проксорим эти буквы (точнее, их коды):

A = 1000001 XOR

1 = 0110001

-----------

p = 1110000

Получился ответ 1110000, а это есть двоичный ASCII-код буквы "p". На этом принципе и основана шифровка XOR!

Ну а что если дан ключ "1984". Закодируем с его помощью фразу "Hacker Hacker Hacker". Это может сделать, например, следующая программа на Си (протестировано в среде Visual C++ 6.0):

Иван Скляров (Sklyarov@real.xakep.ru)

Êазалось бы, времена Митника давно прошли, и пора бы уже сделать определенные выводы, касающиеся собственной безопасности. Так в чем же дело? За счет каких механизмов спецслужбам удается столь эффективно отслежи-

вать и "уничтожать" информационных "преступников"? В каких лабиринтах мировой паутины затаилась скрытая угроза? Че- го следует опасаться хакеру? Об этом мы сегодня и поговорим.

Я детально проанализировал возможные ошибки и пути отлова хакеров на сегодняшний день, а результаты моих исследований лежат перед тобой. Но не исключено, что в чем-то я могу сильно ошибаться, т.к. точное заключение может дать только эксперт, непосредственно крутящийся в сфере государственной безопасности, но от них мы никогда ничего не узнаем ;).

НЕУЯЗВИМОСТЬ — ЭТО ИЛЛЮЗИЯ

Совершив не один десяток взломов и не попавшись в руки правосудия, многие молодые хакеры начинают питать иллюзии относительно собственной суперсекьюрности. На

самом деле это объясняется только тем, что тобой пока не заинтересовались нужные люди. Спецслужбы не будут предпринимать никаких действий, пока не заподозрят в твоих деяниях угрозу национальной безопасности или пока не увидят у себя на столе заявление от пострадавших (не исключено также, что ты уже под колпаком, просто не догадываешься об этом ;)).

Обычно хакеру играет на руку то, что большинство отхаканных не обращаются куда следует, а предпочитают промолчать и забыть о взломе. Например, кому охота связываться с федералами из-за какого-то там дефейса, или какой прикол админу сообщать начальству, что на его серверах хакеры пооткрывали себе шеллы - ему же в первую очередь и влетит, поэтому он по-тихому залатает дыры и сделает вид, что ничего не было. Многие компании не хотят заводить дело, т.к. боятся, что информация о взломе станет доступна общественности, а это может принести дополнительные убытки из-за подпорченной репутации. Нельзя также исключать наличие организаций, которые вообще ни при каких обстоятельствах не будут связываться со спецслужбами, т.к. сами имеют определенные грешки.

Но так бывает не всегда, и даже такое, по сути, мелкое хулиганство, как дефейс, может стать причиной преследования спецслужб.

Например, действия группы Fluffi Bunni привлекли внимание ФБР после терактов 11 сентября, когда на множестве сайтов появились лозунги Fluffi Bunni Goes Jihad ("Пушистый кролик идет на джихад"). Это было расценено как протест против американской глобальной кампании по борьбе с терроризмом, т.е. членов группы фактически приравняли к террористам (а это уже нешуточные сроки).

Таким образом, можно выделить особую категорию хакерских проделок, которые ПОЧТИ ВСЕГДА становятся работой спецслужб: воровство, вымогательство, шпионаж

èнаезд на государственные серверы. Людей в штатском может привлечь и просто высокая хакерская активность, например, огромный список дефейсов на хакерском сайте. Обычно общение со спецслужбами в этом случае ограничивается безынициативным обыском в квартире хакера или разговором по душам с ярко светящей в глаза лампой (немало таких историй можно почитать на хакерских сайтах, например, здесь: hangup.pisem.net, статья "Скучный шмон"

èпр.). Надо полагать, что цель таких мер - профилактика, т.е. хакеру показывают, что