книги хакеры / журнал хакер / 067_Optimized

жет аутентифицироваться как IRC-оператор и приобрести все атрибуты класса opers, неограниченный sendq-лимит в том числе. А это ведь потенциальные флудеры, от которых невозможно избавиться иначе, как отключив хакнутый сервер от всей сети! Однажды я нашел подобный сервант, получил доступ и запросто мог бы нагнать туда целую армию флудботов, устроив настоящий ад. Имея такое мощное средство, как класс opers, я имел практи- чески неограниченные лимиты и бездонный sendq. Используя это, можно было серьезно нарушить функционирование всей IRC-сети, вплоть до полного ее (пусть и временного) разрушения. Но я же не какой-нибудь подонок, поэтому не стал вредить ни в чем не виноватым юзерам ;).

Другая не менее серьезная дыра в конфигурации заключается в неверном указании количества пользователей, подключающихся к IRC-серверу с одного IP'шника. Это так называемые клоны. У них могут отличаться ники и иденты, но хост, с которого они заходят, всегда один и тот же. В большинстве случаев правильный блок, описывающий класс users, выглядит так:

Класс users

class {

name = "users"; ping_time = 1 minute; number_per_ip = 2; max_number = 300; sendq = 100 kbytes; };

Все эти три параметра жизненно важны для защиты сервера от флуда. IRC-оператор с очень развитым чувством долга перед пользователями, но с наглухо атрофированным здравым смыслом может изменить параметр number_per_ip с вполне разумного значения 2 (всего два пользователя с одного IP) на 10, 60, 100 и более. После чего врата для флудеров открыты. Теперь уже не важно, с какого IP заходить, важно, что с одного и того же адреса могут появиться 60 клонов. Вообрази себе, что можно вытворять, заходя с 10 или 20 открытых прокси.

Второй параметр (max_number) регулирует максимальное количество пользователей для данного класса. Десять тысяч флудботов - очень серьезная угроза. Задача взломщика - правильно и достаточно скрытно локализовать подобный сервер, а затем привести на него целую армию клонов. После этого головная боль всем IRC-операторам в сети гарантирована :).

Третий параметр (sendq) регулирует максимальный объем информации, который клиент может отправить. Если клиент превышает этот объем, срабатывает встроенная в ircd защита от чрезмерного флуда и пользователь отключается самим сервером с сообщением Excess Flood. Зачастую пользователи очень жалуются на то, что не могут сделать Ctrl+V и отправить другому пользователю какой-нибудь смешной-пресмешной анекдот или рассказ килобайт на 120 :). Сердобольный IRC-оператор, не понимая последствий своих действий, увеличивает этот параметр до 200, 500, 700 килобайт или даже до нескольких мегабайт. Что и говорить, бесконеч- ный флуд в таких объемах может полностью парализовать деятельность любого канала или выбить из сети любого пользователя. z

Олег Толстых aka NSD (www.nsd.ru)

НОСКИ

Êак не пропалиться при взломе? Существует множество способов. Например, хакер может купить на митинском радиорынке без предъявления паспорта биплюсовскую sim-карту

и выйти в Сеть через нее, используя мобильник, поддержи-INTROДАКШН

вающий технологию GPRS. Даже если админ похаканной тачки узнает IP'шник взломщика, поймать последнего не удастся по вполне понятным причинам. Есть и другой способ - хакер может использовать цепочку шеллов для обеспечения анонимности. Принцип этой технологии таков. Сначала он telnet'ится со своей тачки к какому-нибудь похаканному серверу, с него выходит на другой облапошенный сервак, с которого и делает свои грязные делишки ;). В итоге, при атаке в логи компа-жертвы записывается IP-адрес последнего сервера цепочки, а IP хаксора не палится нигде. Но самым простым и универсальным методом сокрытия истинного IP-ад- реса хакера по-прежнему остается использование цепи socks-проксей. В этой статье я подробно опишу тулзы, которые стоит юзать

СУШИМ НОСКИ

поле SOCKS server появившегося окна вписываем адрес 127.0.0.1, в поле Port - номер порта, который указывали в настройках SocksChain'а при создании цепочки (в нашем случае 12345), в разделе Protocol ставим переключатель на SOCKS Version 5 и жмем OK. Теперь остается выбрать приложения, трафик которых ты хочешь пустить через SocksChain'овскую цепочку. Для этого нужно просто перенести ярлыки нужных тебе софтин в окно программ SocksCap'a.

Если теперь запустить какую-нибудь тулзу из окна SocksCap'a, весь трафик, который она генерит, будет пущен по цепи, которую выстроил SocksChain.

ОБХОДИМСЯ ОДНИМ SOCKSCHAIN'ОМ

Начиная с версии 3.8, SocksChain умеет делать все то же самое, что и SocksCap. Теперь SocksCap'овское окно имеется прямо в SocksChain'e. Поэтому нужные тебе exe'шники можно переносить непосредственно в окно "Applications" SocksChain'a и запускать их прямо оттуда.

Приконнектился к nsd.ru по SSH через цепь из трех проксей

ЗАКЛЮЧЕНИЕ

Как я уже говорил, если логи на одном из соксов будут стерты, найти хакера не удастся. А ведь некоторые хаксоры пользуются этим! Они устанавливают свои не ведущие логов прокси-сервера на невинных похаканных тачках и делают дела через них. Ты только представь, что будет, если хакеру удастся поломать какой-нибудь сервер с красивым именем в обратном DNS-запросе (например www.army.mil), поставить туда свой сокс и использовать его в качестве простого прокси-сервера! Думаю, удивление любого облапошенного админа будет велико, когда он узнает, что его сервер поимел кто-то из вооруженных сил США =)). Представь, как удивятся ламеры, сидящие в ирке, когда посмотрят на твой IP'шник и увидят там что-нибудь вроде "193.45.3.15, www.audi.com". Вот таким простым способом хакеры скрывают свой настоящий IP'шник от спецслужб. Однако сокс-серверы используют не только взломщики. Если обычные юзеры будут юзать носки, вероятность взлома их машины резко уменьшится. z

SYSLOG

ÍÀ

СТРАЖЕ

ПОРЯДКА

Will Barrent (barrent@hotbox.ru) & Andrey Matveev (andrushock@real.xakep.ru)

Äля начала нужно научиться скрывать куски файловой системы, проще говоря, создавать "невидимые" директории. Это очень полезная фишка, и

она не раз тебе пригодится. Обычно такие вещи делаетРАЗБОРКИ С СИСКОЛАМИ

сам взломщик, пытающийся закрепиться на порутанной

тачке. Теперь же мы поменяемся с ним местами. Итак, пораскинем мозгами, что же нужно сделать... Самое простое, что приходит в голову - расковырять исходник утилиты ls и внести туда необходимые изменения. Но это как раз и не входит в наши планы: во-первых, кроме ls существует масса других способов посмотреть содержимое директории, например, find, а вовторых, это не элитно ;). Мы модифицируем ядро! Что-то мне подсказывает, что твои отношения с внутренностями ядра FreeBSD носят далеко не интимный характер, поэтому постараюсь растолковать все поподробнее. Все программы, показывающие содержимое директории, используют одну и ту же системную функцию getdirentries(2), которая специфицирована следующим образом: int getdirentries(int fd, char *buf, int nbytes, long *basep), где fd - файловый дескриптор, buf - указатель на бу-

фер, куда складываются записи с содержимым директории, nbytes - размер буфера, basep - текущая позиция указателя.

Таким образом, мы можем занести в буфер сведения о содержимом директории в виде массива структур dirent (сокращение от "directory entry"). Чтобы получить описание этой структуры, давай посмотрим на системный заголовочный файл /usr/include/sys/dirent.h:

Структура dirent в комментариях

struct dirent {

__u_int32_t d_fileno; /* номер файла */ __u_int16_t d_reclen; /* длина записи */ __u_int8_t d_type; /* тип файла */

__u_int8_t d_namlen; /* длина имени файла */ char d_name[MAXNAMLEN + 1]; /* имя файла */

}

Со значением константы MAXNAMLEN все просто: она определена в этом же файле и равна 255. Все записи в буфере не обязательно идут подряд, часто между ними бывают промежутки. Именно поэтому нам необходима длина записи d_reclen. Зачем так хитро сделано, знают только писавшие BSD студентынаркоманы из института Berkeley ;). Теперь

Функция getdirentries(2) под прицелом

пора посмотреть на код этого вызова. Берем в зубы любимый текстовый редактор (фанаты лямбда-исчисления и Лиспа могут использовать Emacs) и открываем файл /usr/src/sys/kern/vfs_syscalls.c, в котором свалены в кучу все системные вызовы, связанные с файловой системой. Находим вот это место:

int

getdirentries(p, uap) struct proc *p;

register_t struct getdirentries_args *uap;

Как раз здесь начало нужного системного вызова. Если внимательно посмотреть на исходный код, то все оказывается просто как два байта. После вызова error = VOP_READDIR(vp, &auio, fp->f_cred, &eofflag, NULL,

ХАКНУТЫЙ SYSLOG НА СТРАЖЕ ПОРЯДКА

Описываемый прием можно легко провернуть и в Net/OpenBSD

ту _PATH_LOGCONF с "/etc/syslog.conf" на "/etc/_hidden/syslog.conf", после чего пересобираем syslogd:

#make clean (â OpenBSD: make cleandir obj depend)

#make

#make install

Затем создаем секретное хранилище конфигов: mkdir /etc/_hidden и копируем дефолтный конфигурационный файл syslogd в новое место: cp /etc/syslog.conf /etc/_hidden/.

После этого /etc/syslog.conf оставляем нетронутым - точно в таком виде, как он идет при установке системы, а все изменения вносим в файл /etc/_hidden/syslog.conf. Например, добавив в конфиг строчку *.* @loghost.mydomain.ru, мы будем отправлять все логи на машину loghost.mydomain.ru.

ФОКУС С ЛОГАМИ

Давай теперь провернем еще один трюк: спрячем от взломщика все системные логи, чтобы он не только не смог их потереть, но и не узнал об их существовании. Для этого создадим "скрытую" директорию: mkdir

/var/log/_hidden и добавим в /etc/_hidden/syslog.conf строчку: *.* /var/log/_hidden/all-logs. Теперь копии всех логов будут храниться в секретной директории. Вся прелесть в том, что взломщик будет до дыр протирать глаза, разглядывая дефолтный файл /etc/syslog.conf, но так и не найдет ничего подозрительного. Подобные фишки с подменой конфигов можно проделать и с другими демонами, например, inetd. Так что теперь все козыри (и логи) у тебя в руках, удачи ;). z

Докучаев Дмитрий aka Forb (forb@real.xakep.ru)

ßдумаю, ты часто задаешь себе этот вопрос. Время от времени необходимость в шелле встает перед каждым читателем нашего журнала. То нужно bnc повесить, то сокс поднять,

то позарез нужно собрать cppпрограмму, а подходящегоГДЕ ВЗЯТЬ ШЕЛЛ?

компилятора под рукой нет. Как же получить заветный аккаунт? На самом деле методов добычи шеллов очень много. Я опишу лишь самые популярные и действенные способы, которые не требуют от тебя каких-то специальных знаний.

Самым попсовым методом является регистрация собственного аккаунта на вебе. Проблема здесь единственная - нужно найти оптимальный ресурс, который удовлетворял бы все твои желания (без пошлостей). Если ты ищешь бесплатный шелл, для тебя важна стабильность аккаунта и максимальные воз-

Новая политика Нюха ;)

ся по Арборнету в поисках уязвимостей и не нашел, к чему можно прикопаться ;). В целом - неплохая среда, неплохой сервер, даже sshd имеется. Одно плохо - стоит запрет всего исходящего трафика, кроме веба. Точ- нее, веб удается поюзать только lynx'ом, ибо telnet вообще не в силах куда-либо прицепиться. То же самое касается и ICMP-утилит.

Если тебе нужен шелл для компиляции тестовых программ, не требующих сети, - arbornet для тебя. В противном случае придется искать другой вариант.

4. www.nyx.net

Данный ресурс я привел лишь потому, что это последний проект, который предоставляет халяву. Для получения аккаунта необходимо зацепиться на nyx.nyx.net. Полазив по некрасивым менюшкам, можно узнать, что новые аккаунты создаются не через telnet, а через e-mail. Я отправил письмо, но так и не получил ответа от админа. Отправь ты - может повезет больше, чем мне :). Если верить MOTD, зарегенный пользователь получает доступ к утилитам FTP, telnet и IRC. Помимо этого, не запрещено юзать ping и traceroute. В целом: находка для консольного хакера.

ПЛАТИ И НАСЛАЖДАЙСЯ!

Итак, пришло время поговорить о платных ресурсах. Нет, не о порносайтах, как ты, наверное, подумал ;). Существуют проекты, которые за деньги выделяют тебе полноценный шелл-аккаунт безо всяких ограни- чений. Если говорить о пользовательских правах, то схиляют различного рода хостинги типа h1.ru. Не буду описывать процедуру регистрации, потому как никогда не хостился у них за деньги. Предполагаю, что

Пропарси этот список - может, и повезет...