книги хакеры / журнал хакер / 081_Optimized

FERRUM

PC_ZONE

ИМПЛАНТ

[ВЗЛОМ]

FLOOD

СЦЕНА

UNIXOID

КОДИНГ

КРЕАТИФФ

ЮНИТЫ

WEB-наводнение

НЕОТЪЕМЛЕМОЙ ЧАСТЬЮ «ЗАЩИТЫ ИНФОРМАЦИИ» ЯВЛЯЕТСЯ ЗАЩИТА WEB-КОНТЕНТА. ПОЭТОМУ ВЕБМАСТЕРЫ ДОЛЖНЫ НЕ ТОЛЬКО УМЕТЬ ГРАМОТНО УПРАВЛЯТЬ САЙТОМ, НО И УМЕТЬ ЕГО ЗАЩИЩАТЬ ОТ РАЗНОЙ НЕЧИСТИ, ВРОДЕ СКРИПТИДДИСОВ И ФЛУДЕРОВ, КОТОРЫХ СЕЙЧАС РАЗВЕЛОСЬ ПОЛНЫМ ПОЛНО В СЕТИ. СЕГОДНЯ МЫ ПОБУДЕМ В РОЛИ ПЛОХИХ ПАРНЕЙ. ВМЕСТЕ МЫ РАССМОТРИМ ОСНОВЫ ПРОЦЕССА ЗАФЛУЖИВАНИЯ WEB-ПРИЛОЖЕНИЙ. УЗНАЕМ ТОНКОСТИ АВТОМАТИЗАЦИИ «НАВОДНЕНИЯ» НА ПРИМЕРЕ САМОПАЛЬНОГО ФОРУМНОГО ДВИЖКА И НАПИШЕМ ДЛЯ НЕГО СВОЙ ПОЛНОФУНКЦИОНАЛЬНЫЙ ФЛУДЕР. ИТАК, ПРИСТУПИМ! |

Учимсяфлудитьнеприятельские форумы

[первые шаги] Давай для начала разберемся, как работает, к примеру, элементарная гостевая книга. Чтобы не говорить слишком абстрактно, я рассмотрю стандартный прототип гостевухи, который состоит из следующих частей: 1 Скрипт для отображения сообщений (gb/index.php)

2 Форма для отправления сообщений в книгу (gb/from.html)

3 Скрипт для записи нового сообщения в гостевую (gb/script.php)

То есть, если ты хочешь оставить свою запись в чьей-нибудь гостевой книге, то поочередно обращаешься к следующим документам: form.html (забиваем наши данные) ! add_mess.php (наши данные передаются скрипту для записи в БД или файл) ! index.php (теперь здесь будет отображаться наш коммент к гостевой книге).

Чтобы понять, каким образом можно засыпать приложение левыми сообщениями, давай посмотрим, как выглядит стандартная форма для отправки сообщения:

[среднестатистическая форма для отправки сообщения]

<form action=script.php method=POST> Èìÿ:<br>

<input type=text name="your_name" ></><br> Адрес e-mail:<br>

<input type=text name="email" ></><br> Твой комментарий:<br>

<textarea name="text" rows=10 cols=65 > </textarea><br><br>

<input type=Submit > </form>

Как только ты нажмешь на кнопку Submit, данные тут же передадутся серверному приложению при помощи POST-запроса, внутри сценария создадутся переменные $_POST[your_name], $_POST[email], $_POST[text] и эти данные запишутся в базу данных или текстовый файл.

А теперь представь на секунду, что будет, если начать методично нажимать ctrl+r, отправляя на сервер все новые и новые сообщения, заполнив таким образом за пару минут гостевую книгу десятками сообщений. Чтобы не допустить такого поворота событий, сейчас все скрипты оборудованы той или иной защитой от флуда и такая элементарная атака не проходит.

Сейчас мы научимся обходить некоторые защиты и, самое главное, автоматизируем процесс флуда. Как? Конечно же с помощью любимого скриптового языка — Perl.

недруга сотней-другой веселых и полезных сообщений. Разумеется, этот процесс было бы неплохо поставить на конвейер. Для этого нам нужно наколбасить перловый сценарий, который будет сам заходить на страницу и оставлять сообщение. Perl-скрипт может работать с web че- рез сокеты, но намного легче использовать специально заточенный для этих целей модуль LWP (library WWW for Perl). Он должен быть прикру- чен к перлу по умолчанию. Вот как будет выглядеть примитивный флудер для нашей многострадальной гостевой:

[примитивный флудер]

#!/usr/bin/perl

use LWP::UserAgent;

use HTTP::Request;#этот модуль нам необходим, чтобы создавать «запросы» вида ( метод=>"урл" ); $url="www.sobakoff.net/script.php";

$name="Sashiks";#это наши данные, которые будут отправляться $email="real_sshx@mail.ru";

$text="Ýòî íå ôëóä! ;)";

$opera=LWP::UserAgent->new();#создаем новый объект — браузер; $req=new HTTP::Request(POST=>"$url?your_name=$name&email=$email&text=$t ext");#создаем новый запрос

$opera ! request($req);#выполняем запрос, то есть отправку данных скрипту

print"Message added!\n';

После запуска этого скрипта в гесте должна появиться наша запись. Чтобы отправить больше сообщений, можно просто добавить цикл, где счетчиком будет число необходимых тебе сообщений. Правда просто? Кстати, в Perl есть еше один модуль из семейства HTTP. Он создан специально, если тебе нужно часто работать с web-формами. Подключается он так: use HTTP::Request::Common, а запрос из предыдущего примера реализуется следующим образом:

$req=POST('www.sobakoff.net/script.php', [your_name=>'$name', email=>'$email', text=>'$text'] );

под форум, этих данных будет мало. Мне нужно было знать все значения (в том числе и в скрытых полях), которые передавались из формы. Для этого мне нужно было сохранить форму на себе на винт и в html-коде исправить:

ЗАЩИЩАЙТЕСЬ, СУДАРЬ!

Существуют много способов защиты web-приложений от подобного рода flood-атак. Это и скрытые таблицы и генерация произвольного кода в теле страницы. Сюда также относится IP блокировка, шифрование с помощью JavaScript. Вообще, примеров много, и все они заслуживают твоего внимания. Очень подробную и интересную статью по этому поводу написал Said в последнем (¹3) выпуске Mazafaka E-zine. Настоятельно рекомендую почитать этот материал.

Здесь в квадратных скобках мы просто присвоили необходимым параметрам соответствующие значения.

[копаем глубже] Разобравшись с основами «затопления» вражеских гестбуков можно перейти к более интересному занятию — изучению форумов и разработки полноценного автономного флудера. Между прочим, за это дело я взялся не зря. А все потому, что мой британский друг Кайл (фанатик юниксов), однажды забрел на сайт www.linuxsucks.org, где ему очень не понравилось тамошнее отношение наглых буржуев к детищу Линуса Торвальдса (да и никсам вообще). Так как сайт по сути представлял собой один большой форум, я тут же получил задание сделать им какуюнибудь пакость — например, до опупения залить их топиками, вроде Kill Bill(Gates) :). Вот такая вот прелюдия. Теперь на примере

пример формы для отправки комментариев в гостевую

ЗАЧЕМ ЭТО НУЖНО?

В самом деле, кому и зачем может понадобиться флудер? Ну во-первых, его можно использовать в корыстных целях: рекламировать что-нибудь, пиарить свой сайт, обливать грязью своего друга Петровича и так далее. Можно признаться в любви, поздравить маму с днем рождения, довести админов до белого каления. Но самое главное — помни, что грамотно реализовать защиту со своей стороны, можно лишь с головой погрузившись в проблему нападения.

<form onSubmit="submitonce(this)" action="/addReply.html" method="POST" enctype="multipart/form-data">

íà

<form onSubmit="submitonce(this)" action="http://www.linuxsucks.org/addReply.html" method="GET" enc- type="multipart/form-data">

форма для постинга сообщений на www.linuxsucks.org

XÀÊÅÐ 09 [81] 05 >

правим страницу и вытягиваем из нее параметры

мой для реплая. Мы получили ее, чтобы найти скрытые параметры та- кие, как token и topictitle. Если же мы не узнаем их значение, то не сможем запостить ответ. Пропарсив страницу, мы получили необходимые данные, и теперь готовы отправить запрос с нашим ответом:

$flood_post=new HTTP::Request(POST=>"$f_url?xtitle=$title&postid=$top_id&topictitle=$t opic&xmsg=$msg&Post=Post&token=$token&mode=Submit");#формируем запрос с ответом

$cookie_jar !add_cookie_header($flood_post);#опять цепляем куки $opera !request($flood_post);#выполняем запрос

ВЗЛОМ 072]

наш флудер в работе

То есть в action я прописал полный путь к скрипту, а метод передачи заменил на GET. Теперь, нажав на Post, страница начнет передавать на сервер данные, но теперь методом GET, поэтому в адресной строке браузера я смогу увидеть все параметры. Вот как выглядела эта строка:

www.linuxsucks.org/addReply.html?xtitle=название_нашего ответа&postid=это_номер топика&topictitle=название_самого_топика&xmsg=наш_ответ&Post=Post&token=это_md5_хэш&mode=Submit.

Параметры post и mode не менялись в зависимости от топика. Теперь, получив все необходимые сведения, я уже мог начинать писать флудер.

[перловые забавы] Перед тем, как приступить непосредственно к написанию, нужно определиться с тем, какие действия и в каком порядке должна выполнять наша программа:

1 Аутентификация на сайте (логин+пароль)

2 Получение Cookies

3 Получение страницы с формой (парсинг параметров)

4 Составление запроса (плюс Cookies)

5 Отправка запроса Сейчас мы разберем каждый пункт. Первое, что нам нужно сделать —

пройти авторизацию с помощью пары «логин:пароль». Если этого не сделать, то при запросе страницы с формой нас все равно перебросит на пагу login.html. Благо авторизация выполнена крайне просто в виде двух полей, поэтому, чтобы нас впустили, достаточно проделать следующие:

$opera=LWP::UserAgent ! new(); $req=new

HTTP::Request(POST=>"http://www.linuxsucks.org/login.html?xlogin=$u ser&xpassword=$pass");

$response=$opera ! request($req);Я подразумеваю, что юзер зареган, и логин с пассом валидны. После этого нам должны выдаться куки. Но как их сохранить для дальнейшего использования? Для этого нам нужно подключить модуль use HTT::Cookies. Вот основные методы для объектов:

$cookie_jar=HTTP::Cookies ! new(); #мы создаем псевдо БД, где будут храниться печенья. Кода сессия заканчиваеться, БД опустошаеться. $cookie_jar ! extract_cookies($response); #Из полученного браузером ответа (см.выше) мы извлекаем кукис и кладем его в нашу БД $cookie_jar ! add_cookie_header($request); #Присоединяем наш файл cookie к запросу $request (об этом далее).

Если ты внимательно читаешь статью, у тебя должен возникнуть вопрос, что такое $title $msg и где они определяются. Все предельно просто — это название твоего ответа и его текст. Они находятся на нашем флудере, и чтобы изменить их, воспользуйся любым текстовым редактором. Вот основной текст программы без функций:

auth($auth_url); #функция авторизации for($n=0;$n<$hmt;$n++){#$hmt — количество постов, которые мы хотим отправить ( по умолчанию 50 )

flood($rep_url); #функция для постинга наших флудерских "ответов" sleep($def_time);

}

Ты, наверное, заметил, что в конце цикла есть запись sleep($def_time). Сейчас я все объясню. Помнишь, я говорил, что скрипт ругнулся, что нужно подождать 1 минуту, когда я попытался оставить два поста подряд? То есть между постами должна быть пауза, определенная в переменной $def_time . И хоть она по умолчанию равна 60 сек, можешь проиграть с этим значением, потому что скрипт нагло врал относительно 1 минуты — на самом деле достаточно 15—20 секунд (а может, и того меньше).

[the lessons is over. Goodbye!] Ну вот собственно и все, что я хотел сказать по этому поводу. Только что мы с тобой рассмотрели основные аспекты зафлуживания в web и написали простенький академичный флудер. Надеюсь, ты его не будешь использовать даже в ознакомительных целях, потому что сильно рискуешь попутно ознакомиться с сотрудниками местного управления «Ку» :). Счастливо

are you gangsters? No, we are russians!

[XÀÊÅÐ 09 [81] 05 >

FERRUM

PC_ZONE

ИМПЛАНТ

[ВЗЛОМ]

СЦЕНА

Куча с горкой

ЕСЛИ ПОРЫТЬСЯ В СЕТИ, МОЖНО НАЙТИ ОГРОМНОЕ КОЛИЧЕСТВО МАТЕРИАЛОВ, ОПИСЫВАЮЩИХ РАЗЛИЧНЫЕ МЕТОДЫ ВСЕВОЗМОЖНЫХ ПЕРЕПОЛНЕНИЙ. ПЕРЕПОЛНЕНИЯ В СТЕКЕ, BUFFER OVERFLOW, FORMAT STRING — ВСЕ ЭТО В ДЕТАЛЯХ ОПИСАНО НА МНОГИХ САЙТАХ. ОДНАКО, ЕСЛИ ПРИСМОТРЕТЬСЯ, ПОЧ- ТИ ВСЕ ПРИМЕРЫ И ОПИСАНИЯ ПОПУЛЯРНЫХ МЕТОДИК ПРИВЕДЕНЫ ИМЕННО ДЛЯ UNIX-СИСТЕМ. ЛЕЗТЬ В КУЧУ СПЕЦИФИЧЕСКИХ ДЛЯ WINDOWS МОМЕНТОВ НИКТО НЕ ЖЕЛАЕТ. ПО ЭТОЙ ПРИЧИНЕ МЫ РЕШИЛИ ПРИГОТОВИТЬ ДЛЯ ТЕБЯ ИНТЕРЕСНЫЙ МАТЕРИАЛ О ПОПУЛЯРНОМ СРЕДИ ХАКЕРОВ И ВИРМЕЙКЕРОВ ПРИЕМЕ, С ПОМОЩЬЮ КОТОРОГО РАСПРОСТРАНЯЕТСЯ ДОБРАЯ ПОЛОВИНА СЕТЕВЫХ ЧЕРВЕЙ, — О HEAP OVERFLOW |

UNIXOID

КОДИНГ

КРЕАТИФФ

ЮНИТЫ

Основы heap-переполнений под Windows

[что такое heap] Прежде всего давай разберемся, что такое heap. Любой школьник тебе скажет, что с английского это слово переводится как «куча». В нашем же компьютерном контексте слово «heap» обозначает специальную область зарезервированного адресного пространства, выделение и освобождение памяти в котором реализуется при помощи специальных системных функций. При работе с кучей программистам доступно собственное огромное виртуальное адресное пространство, по емкости значительно превосходящее объем реальной физической памяти, установленной в компьютере. Все основные функции по работе с кучей (выделение, освобождение и создание блоков памяти) расположены в системной библиотеке ntdll.dll. Изначально каждому приложению в Windows выделяется одна мегабайтная ку-

ча, а далее уже, по мере необходимости, объем выделяемой памяти автоматически увеличивается. В свою очередь, приложение может создавать собственное адресное пространство с помощью специальных функций. Память в куче выделяется областями, причем в каждой области можно создать блоки памяти, которые будут расположены в сегментах. Для управления каждым таким блоком создается свой специальный заголовок, который изображен на рисунке 1.

ВЗЛОМ 076]

[XÀÊÅÐ 09 [81] 05 >

рисунок 3: переполнение в куче

SetUnhandledExceptionFilter â kernel32.dll

вход достаточно длинную строку. В отладчике ты увидишь картинку, очень похожую на рисунок 4.

Как видно из скрина, сервер упал и значения EAX, ECX подменились на 0x61616161. Это говорит о том, что мы в состоянии удачно выполнить код. Сам эксплойт, который будет открывать доступ к шелл-обо- лочке, очень прост для понимания, и ты его можешь наблюдать на нашем диске. В нем я использую winsock для соединения с сервером (у нас он висит на 6666 порту). При подключении на него эксплойт формирует строку для переполнения. Для этого мы заполняем выделяемый в программе буфер, организуя короткий переход jmps, передающий управление фильтру, который после этого перезаписывается инструкцией call dword ptr [edi+0x74]. Эта инструкция в нашем слу- чае взята из библиотеки RPCRT4.DLL. Управление переходит на «пустышки» (NOP'ы), которые спускаются до нашего шелл-кода, который и исполняется серверной частью. Шелл-код работает по следующему принципу. В самом начале по структуре winsock мы открываем 28876 порт на машине. Далее создаем процесс cmd.exe с помощью CreateProccess(), который «вешается» на вышеуказанный порт, поэтому при подключении на него, ты получаешь интерактивную командную строку. Для более ясного понимания работы сплоита советую тебе запустить сервер вне отладчика, а потом «прикрепиться» к нему с помощью OllyDbg. Все эти действия можно наблюдать на картинке под номером 5.

Как видно, все наши теоретические прикидки и расчеты реализовались на практике, мы перезаписали фильтр, наш код исполнился удачно, и на 28786 порту открылся гейт для доступа к cmd.exe :).

[заключение] В данной статье я лишь показал основу для дальнейшего изучения. Рассмотренная нами техника, считается самой легкой и процент того, что код выполнится при правильно собранном эксплойте, очень велик. Однако у методики есть и серьезный недостаток: она платформозависима. То есть для каждой ОС и SP нужно искать свои адреса фильтров. Возможно, в последующих статьях я рассмотрю другие техники, которые не зависят от платформы и на основе которых можно будет писать универсальные эксплойты