книги хакеры / журнал хакер / 203_Optimized

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

LIVE PHOTOS

Твик: EnableLivePhotos

Платформа: iOS 9 Репозиторий: BigBoss

Цена: бесплатно

Ну и последняя функция iOS 9, о которой мы поговорим, — это Live Photos, то есть живые фотографии. Она позволяет создать нечто вроде короткого анимационного ролика вместо статичного фото, но доступна только в последних моделях iPhone. Принцип работы у нее довольно прост и основан на реализации zero shutter lag стандартной камеры iPhone.

Как известно, смартфоны Apple отличаются способностью делать моментальные снимки, которые получаются сразу при нажатии кнопки спуска. Работает это благодаря тому, что камера iPhone начинает снимать сразу после запуска, не дожидаясь нажатия кнопки. Она делает снимки один за другим в постоянном режиме, а в момент нажатия кнопки просто берет последний из них, стирая предыдущие.

Live Photos сохраняет не только последний снимок, но и некоторое количество предыдущих, получая в результате анимацию. Активировать эту функцию на любых устройствах под управлением iOS 9 можно с помощью твика EnableLivePhotos. Также есть твик PhotosLive, который поддерживает iOS 8.

hang		e
C			E
X
-				d
F					t
D					i
					r
P		NOW!			o
	BUY
							MOBILE: Колонка Евгения Зобнина
df-xchan
to						m
w Click
w
w					o
.				.c
p			g
				e			МЕЧТАЕТ ЛИ
							MICROSOFT
							ОCYANOGENMOD?

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Евгений Зобнин androidstreet.net

После публикации статьи о причинах установить CyanogenMod я получил несколько писем, авторы которых обвинили меня в рекламе коммерческой прошивки и компании Cyanogen Inc., известной тесным сотрудничеством с Microsoft. Это действительно очень щепетильный вопрос, и, так как он интересует не только авторов писем, но и многих других пользователей Android, я решил вынести его отдельной заметкой.

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

CyanogenMod — одна из первых кастомных Android-прошивок. Ее первая

-x cha

версия появилась еще во времена HTC Dream и представляла собой просто

перепакованный образ стандартной прошивки с удаленными/замененными

приложениями и несколькими простыми модификациями. Начиная с шестой

версии CyanogenMod превратилась в полноценный форк Android. Теперь вме-

сто перепаковки образов прошивка собирается из дерева измененных исход-

ников Android, так же как это происходит в случае заводских прошивок от про-

изводителя.

В сравнении с чистым Android CyanogenMod обладает массой дополни-

тельных функций и оптимизаций. В списке поддерживаемых официально и не-

официально числятся сотни различных устройств, от древнего Galaxy S до но-

вейшего Nexus 6P. В разработке принимают участие сотни человек из разных

стран. Все это бесплатно, безвозмездно и с открытым исходным кодом.

Однако есть у CyanogenMod одна особенность. С 2012 года ее разработ-

ку курирует коммерческая организация Cyanogen Inc., созданная специально

для этой цели. А так как организация коммерческая, ей нужно как-то получать

прибыль — по сути, на труде сотен разработчиков, безвозмездно тративших

свои силы на CyanogenMod.

Само собой, закрывать CyanogenMod и делать из нее коммерческую

ОС было не вариант, поэтому Cyanogen Inc. пошла совсем другим путем. Она

разделила CyanogenMod на две независимые операционные системы: полно-

стью открытую, бесплатную и развиваемую сообществом CyanogenMod и ком-

мерческую Cyanogen OS. Первая, как и раньше, доступна любому желающему

на странице загрузки или в открытых исходных кодах. Вторая предустанавли-

вается на смартфоны компаний, заключивших с Cyanogen Inc. соответству-

ющий договор (самые известные примеры — смартфоны Oppo N1 и OnePlus

One).

CyanogenOSбазируетсянаCyanogenMod,ноотличаетсяотнеенаборомдо-

полнительных функций и приложений. С недавнего времени некоторые из этих

приложений можно получить бесплатно и использовать поверх CyanogenMod.

Пакет C-Apps содержит приложение для управления звуком Audio FX, магазин

тем, продвинутую галерею, модифицированный номеронабиратель с интегри-

рованной поддержкой Truecaller и мощное приложение для работы с почтой.

Кроме этого набора приложений, CyanogenMod включает в себя также

набор приложений от партнеров — тех самых компаний, которые в свое вре-

мя инвестировали в Cyanogen Inc. Одной из таких компаний как раз и была

Microsoft, в результате соглашения с которой в Cyanogen OS в скором времени

войдет набор приложений и сервисов компании, в том числе голосовой асси-

стент Cortana.

Однако надо понимать, что данное соглашение касается исключитель-

но

Cyanogen OS, предустанавливаемой на смартфоны. CyanogenMod,

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

-x cha

как aftermarket firmware, по-прежнему будет распространяться с набором стандартных приложений, и никакая Microsoft ее не затронет. Более того, CyanogenMod продолжит развиваться как открытая прошивка с открытой моделью разработки. Направление развития прошивки, как и раньше, будет определяться сообществом, и на бумаге Cyanogen Inc. вообще не должна вмешиваться в этот процесс, кроме выделения фулл-тайм разработчиков.

Сдругой стороны, перевод прошивки под крыло Cyanogen Inc. уже привел

красколу в среде разработчиков. Вскоре после создания компании и получения первого венчурного финансирования команду покинул разработчик камеры Focal, а сама камера через некоторое время была удалена из состава прошивки. Желание создателей CyanogenMod монетизировать свое детище также послужило причиной появления прошивки OmniROM, одним из ключевых разработчиков которой стал легендарный Chainfire.

Ухудшилась ли ситуация после сделки с Microsoft? Нет. CyanogenMod живет своей жизнью, и многие ее пользователи даже не подозревают о существовании Cyanogen Inc. и каких-либо сделках с коммерческими компаниями. Да и смартфон, работающий под Cyanogen OS, всегда можно перепрошить и поставить чистую CyanogenMod. Возни тут от силы на двадцать минут.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
											Взлом
			df-xchan
w Click				to						m
w
	w								o
	.							.c
		p					g
								e

АлексейEASY«GreenDog» Тюрин, Digital Security [e-mail],,twitter.com/antyurin

HACK

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

WARNING

Вся информация предоставлена исключительно в ознакомительных целях. Лица, использующие данную информацию в противозаконных целях, могут быть привлечены к ответственности.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

ЭКСПЛУАТИРУЕМ ИНЪЕКЦИИ

HIBERNATE QUERY LANGUAGE

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Hibernate — популярнейший фреймворк для работы с базами данных на Java. В нем реализован свой язык запросов (HQL), но есть лазейка, которая позволяет выйти за его пределы и провести обычную SQL-инъекцию.

В общем смысле object-relational mapping (ORM) — это связывание (отображение, mapping) объектно-ориентированной модели данных с традиционными реляционными базами данных. Звучит такое определение замысловато, так что попробую объяснить его на пальцах.

У нас есть объектно-ориентированный язык вроде Java — в нем все построено на классах и объектах. У объектов есть состояния — это совокупность значений их полей.

С другой стороны, у нас есть обычные реляционные СУБД вроде MySQL, где данные хранятся в виде записей в таблицах и некоторые таблицы связаны между собой. Нередко возникает задача сохранить состояние какого-то объекта в базу данных. Решается она просто: достаточно разобрать объект на простейшие элементы (строки, числа, булевы значения...) и засунуть в таблицу. Восстанавливаются данные обратной операцией.

Но если сохраняемые объекты сложнее (к примеру, внутри них есть ссылки на другие объекты или многомерные массивы), то распихать все в нужные таблички и с нужными типами данных — это серьезная работа, хоть по большей части и рутинная.

Для экономии времени и усилий придуманы ORM-фреймворки. Они добавляют некую прослойку, и нам остается работать в рамках ООП: создаем, меняем и удаляем объекты и можем быть уверены, что БД будет отражать их состояние.

Маппинг простейшего класса

Hibernate — это ORM-фреймворк для Java, и он феноменально популярен. При этом Hibernate — громоздкая и сложная для понимания вещь (впрочем, программистам на Java не привыкать). Для нас же интересно, что имеется типовой подход к взлому. Но для его понимания мне придется в двух словах рассказать, как работает Hibernate.

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

-x cha

Первым делом формируются сущности, которые будут храниться в базе данных. Это так называемые persistent-классы. Далее необходимо связать эти классы с таблицами в базе данных и определить их отношения («один ко многим», «многие ко многим»). Выглядит это примерно следующим образом (при использовании XML-файла, можно и аннотации юзать).

Как мы видим, мы указываем связь класса (Good — товар) с определенной таблицей (Goods). А далее — имен полей класса с одноименными столбцами таблицы с указанием типов (ID товара, название и его цена).

После этого нужно отредактировать файл hibernate.cfg.xml, в котором хранится информация по подключению. Еще один плюс Hibernate в том, что он сам будет менять SQL-запросы в зависимости от того, какая СУБД используется (а для нас это еще одно из мест, где могут быть креды от СУБД), — код приложения при этом остается неизменным.

Далее мы можем сохранять, обновлять или искать объекты простейшими командами:

где session — это объект сессии для работы с Hibernate.

Но это простейшие действия. Для чего-то более сложного есть возможность использовать Hibernate Query Language (а можно и нативный SQL). HQL чем-то похож на SQL, и запрос на нем выглядит примерно следующим образом.

Здесь мы ищем объект, у которого в названии есть строка any_string. Заметь, что здесь мы работаем с сущностями не баз данных (таблицы, столбцы), а классов (имя класса — Good, а не как у таблицы — Goods).

Запросы на HQL могут быть сложнее, но все равно они не уходят дальше типовых операций (select, update, delete и подобные). То есть здесь нет возможности вызывать какие-то процедуры или функции СУБД.

Важно еще раз подчеркнуть, что, используя Hibernate, мы работаем с объектами и классами, а фреймворк сам смотрит маппинг и отправляет в СУБД SQL-запросы на выборку или изменение данных.

Как и с SQL, при работе с HQL-запросами есть два подхода. Первый — это обычные запросы, когда запрос и пользовательские данные смешиваются.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Второй — это параметризированные запросы, в них данные не смешиваются с командами, так как передаются отдельно.

И хотя второй вариант настолько распространен (в случае как SQL, так и HQL), что даже создается ложное впечатление, будто в приложениях на Java не может быть SQL-инъекций, первый вариант все же встречается.

Что же мы можем сделать, если получится подпихнуть свои данные в запрос? Во-первых, по аналогии с SQL мы можем поползать по данным других объектов. Здесь можно найти примеры, вот один из них.

Предполагается, что есть persistence-классы Book и User. Мы можем вставить нашу строку в like. Так как в HQL запрещен union select, можно вытягивать данные подзапросами. То есть мы можем ползать по всем данным объектов persistence-классов.

Есть и тулза, которая в этом поможет, — HQLmap. Она позволяет автоматизировать процесс раскрутки таких HQL.

Но все это детские игры. Самое лакомое было презентовано компанией SynAcktiv на недавней конференции. Исследователи обнаружили возможность вывалиться из HQL в SQL и получить полноценную SQL injection, с которой уже понятно, что делать.

Чтобы разобраться, как это происходит, нужно знать, как работает преобразование HQL в SQL. Предположим, у нас есть запрос

Он транслируется в следующий код на SQL:

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Здесь все понятно и логично. Но между SQL и HQL есть разница в тонкостях синтаксиса. В HQL слеш (\) не является специальным символом для экранирования других символов в SQL. Вместо этого в HQL для экранирования кавычки используется еще одна одинарная кавычка. Объединив знания об этих фактах, можно сделать такой запрос, который будет валидным HQL-запросом, но после преобразования в SQL вывалится из полученного SQL-запроса.

Как видишь, мы добавили слеш и две одинарные кавычки. Но для HQL кавычка экранирует другую кавычку. Выходит, что мы не вываливаемся из HQL-выраже- ния. А потому имеем валидный HQL-запрос.

После конвертации в SQL слеш экранирует первую из двух одинарных кавычек, и мы вываливаемся из SQL-выражения без генерации ошибок парсером (ему могли бы не понравиться две последовательные кавычки). Хвост мы, конечно, отрезаем комментарием (#).

Вот как в итоге будет выглядеть запрос на SQL:

Магия сработала, мы превратили HQL-инъекцию в классическую SQL. Спасибо за внимание и успешных познаний нового!

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

КАК ДОБЫТЬ ДАННЫЕ

ЧЕРЕЗ CROSS SITE SCRIPTING INCLUSION

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

На недавнем Black Hat была занятная презентация про возможность получения различной информации со сторонних сайтов с помощью простой атаки — Cross Site Scripting Inclusion (XSSI).

Если ты читаешь Easy Hack систематически, то, наверное, уже хорошо знаком с Same Origin Policy (SOP), мы к нему часто возвращаемся. Из-за SOP возможность взаимодействия между двумя «сайтами» очень ограничена. Но так как задача получения и оправки информации на одном сайте с другого возникает часто, то были внедрены различные методы для «смягчения» политики и организации взаимодействия. Например, такие, как CORS или crossdomain. xml. Один из более старых методов — подгрузка JavaScript с другого домена через тег <script>. SOP нас здесь ничем не ограничивает: можно указать практически произвольное месторасположение.

К примеру, есть хост атакующего evil.ru и сайт жертвы — victim.com. На evil. ru мы можем положить файл HTML и сослаться на любой скрипт у жертвы:

При входе пользователя на сайт атакующего браузер подгрузит и запустит JS с victim.com, но в контексте SOP evil.ru. Это значит, что из JS самого атакующего мы сможем получить доступ к данным (не всем) JS с сервера жертвы.

Например, содержимое JS c cайта-жертвы (http://victim.com/any_script_.js):

Тогда на сайте атакующего мы можем получить значение переменной:

Идея работы проста, как алюминиевый чайник.

По сути, возможность подгружать с других сайтов статический JS несет в себе не больше проблем для сайта-жертвы, чем погрузка картинки.

Проблемы могут возникнуть, когда JS формируется динамически, то есть когда контент JS-скрипта меняется на основании данных из cookie в зависимости от того, какой пользователь к нему обращается. Например, в JS хранится какая-то «критичная» информация: персональные сведения (email, имя пользователя на сайте-жертве) или техническая инфа (анти CSRF-токены).