Шпаргалка: Хакерские штучки

Шпаргалка: Хакерские штучки

ХАКЕРСКИЕ ШТУЧКИ,
ИЛИ КАК ОНИ ЭТО ДЕЛАЮТ

В этой главе раскрыты неко-
торые "хитрости": регист-
рация под вымышленным
именем, обход различных
"подводных камней" (АОН,
авторизирующиеся програм-
мы, клавиатурные шпионы,
ПЭМИН). Особое внимание
уделено вопросам работы
с электронной почтой - вы-
яснению реального отправи-
теля сообщения, отправле-
нию анонимных сообщений,
выбору второго почтового
адреса.

Проверка на отсутствие АОН

Прежде чем получать адрес и звонить на BBS, нужно убедиться (напри-
мер, путем звонка с сотового телефона, с телефона-двойника типа
Panasonic, с таксофона или с телефона, который гарантированно не
определяется системой АОН), что на данном узле отсутствует система
АОН. Если в списке BBS (или в рекламе) указан тип модема Russian
Courier, Zyxell или IDC, с вероятностью 99% на этих станциях исполь-
зуются АОН. АОН выдает себя характерным щелчком и звуковым сиг-
налом, как правило, после первого гудка (он снимает трубку, а далее
идут гудки, выдаваемые самим АОН, как правило, отличающиеся от
первого гудка по тональности). Если АОН есть, но все же нужно остать-
ся анонимным (например, хотите провести акцию информационной
войны, сбросить новый вирус и тому подобное), можно воспользовать-
ся АнтиАОНом. Эти функции присутствуют практически во всех теле-
фонных аппаратах с АОН (например, в РУСЬ или в Phone Master).
Также можно купить приставку-АнтиАОН, которая еще не раз приго-
диться (в Москве, например, они продаются на радиорынке в Митино).
Функцию АнтиАОН лучше включать почти сразу после набора номера
и удерживать ее некоторое время. Если АОН не может определить но-
мер, то после снятия трубки АОН-ом слышится характерные тональные
сигналы (порядка 9 штук).

Советы по регистрации

Никогда не стоит регистрироваться под настоящим именем, ведь неиз-
вестно, к кому может попасть эта информация и для чего она будет ис-
пользована. Можно взять любую телефонную базу, например, КОТИК
или ее Online версию (http://www.xland.ru:8088/tel_win/owa/tel.form),
и ввести любую выдуманную фамилию. Тривиальные фамилии, вроде
Иванов, Петров, Смирнов, Андреев, Алексеев и так далее, корректнее не
использовать, лучше что-то не совсем обычное (ну первое, что прихо-
дить в голову: Левашов, Дубинин, Авдотин, Садовский). Далее записы-
ваем инициалы, адрес и телефон любого человека из выведенного спис-
ка. При регистрации на BBS обычно требуется сообщить такие
сведения:

- имя и фамилию (иногда полное ФИО - полученные инициалы
нетрудно преобразовать во что либо, например Н.А. в Николая

Алексеевича; более того, инициалы могут и не совпадать, ведь по-
тенциально квартира может быть зарегистрирована, скажем, на ро-
дителей или жену) - вводятся полученные из базы;

- домашний адрес - полученный из базы;

- телефон - тоже полученный из базы;

- день рождения - придумываем;

- хобби - придумываем;

- и т.д.

Системные операторы BBS, как правило, очень ленивы, и максимум, на
что их хватит, так это проверить данные по той же самой базе.

Обязательно нужно все это куда-нибудь записать, можно в файл
(и хранить его в надежном месте, например, на диске, созданном про-
граммой BestCrypt). Рекомендуется использовать абсолютно разные
данные при работе с разными BBS! В FTN-сетях следует регистриро-
ваться, применяя подобные методы.

Рассмотрим еще один аспект privacy. Это "нехорошие" функции многих
программ: вести логические протоколы работы и так далее.

Что "помнит" компьютер

Некоторые программы обладают на редкость большим количеством все-
возможных "черных ходов", "люков", "багов" и так далее. Вот лишь не-
которые примеры:

- Microsoft Outlook Express 4.0 - все письма, которые когда-либо были
отправлены, получены или удалены, он все равно хранит в своей
базе. Поэтому рекомендуется периодически удалять (лучше невосста-
новимыми методами, например, с помощью программы Kremlin 2.1)
эти файлы. Они расположены в следующих директориях:

\Windows\Aplication\Microsoft\Outlook Express\Mail\ - почта,
здесь необходимо удалить все файлы с расширениями IDX и МВХ.

\Wmdows\Aplication\Microsoft\Outlook Express\News\ - новости,
здесь необходимо удалить все файлы с расширениями NCH.

Удалить из базы все удаленные сообщения можно также с помощью
опции "Сжать папки".

- Microsoft Internet Explorer 4.0:

\Windows\Cookies\ - хранит файлы Cookies (их лучше периодичес-
ки удалять с помощью программы Kremlin 2.1).

\Windows\Temporary Internet Files\ - хранит все адреса, которые
посещались в Интернет (их лучше периодически удалять с помо-
щью программы Kremlin 2.1).

- Microsoft Windows 95:

\Windows\History\ - хранит все файлы истории (их лучше перио-
дически удалять с помощью программы Kremlin 2.1).

\Windows\name.pwl - в этих файлах Windows хранит имена, теле-
фоны и пароли для соединения с Интернет, все они легко (с помо-
щью специальных программ) расшифровываются.

\Wmdows\Pronles\name\ - (вместо name будет указано имя пользо-
вателя) хранит профили и все установки конкретных пользователей
(это, кстати, справедливо и для Windows NT)

\Windows\Aplication\Microsoft\Outlook Express\Mail\ - почта
\Windows\Aplication\Microsoft\Outlook Express\News\ - новости
\Windows\Aplication\Microsoft\Address Book\ - адресная книга
\Windows\Cookies\ - файлы Cookies
\Windows\Favorites\ - файлы закладок Интернет
\Windows\History\ - файлы истории Windows
\Windows\user.dat - параметры пользователя
\Windows\user.daO - резерв

Большинство FTP-клиентов сохраняют в специальной директории все
места в Интернет, которые посещались пользователем (а иногда сохра-
няют и нешифрованные имена и пароли). В целях безопасности целесо-
образно периодически (скажем, раз в неделю) стирать содержимое
кэша. Например, в Bullet Proof FTP (одной из лучших программ, полу-
чить которую можно на сервере http://www.bpftp.com), он располагает-
ся в директории Cache. Лучше производить невосстановимое удаление,
например, с помощью программы Kremlin 2.1.

К вопросу о CMOS SETUP

Вот еще один наглядный пример лазеек для спецслужб. Почти любой
компьютер имеет возможность установить пароль на вход. Но мало кто

знает, что специально для спецслужб (разработчиками BIOS) были со-
зданы универсальные пароли, открывающие вход в любой компьютер.
Вот примеры:

- AWARD BIOS: AWARD_SW, Ikwpeter, Wodj, aPAf, j262, Sxyz,
ZJAAADC

- AMI BIOS: AMI, SER, Ctrl+Alt+Del+Ins (держать при загрузке,

иногда просто INS)
Естественно, что вводить пароль нужно в соответствии с регистром букв.

Программы, авторизующиеся в Online

В последнее время все чаще стали появляться программы, которые про-
веряют через Интернет, зарегистрирована ли данная копия программы.
Вернее, когда пользователь работает в Интернет, они незаметно это про-
веряют, а потом радуют сообщением о том что используемая копия не-
легальна. Наглядный тому пример - Bullet Proof FTP. Но это еще не
все. Существует мнение, что такие программы, как, например, операци-
онная система Windows, способны как бы следить за всем, что происхо-
дит в компьютере (либо сами, либо по команде из Интернет), и отправ-
лять все собранные данные своим разработчикам. Не так давно
разразился скандал, когда выяснилось, что один известный FTP-клиент
отправлял все вводимые имена и пароли своим разработчикам. Так что
будьте бдительны!

Клавиатурные шпионы

Клавиатурные шпионы - это программы, запоминающие, какие клави-
ши были нажаты в ваше отсутствие, то есть - что творилось на вашем
компьютере, пока вас не было в офисе. Для этого все, что набирается
на клавиатуре, заносится специальной программой в текстовый файл.
Так что набранный на компьютере в бизнес-центре или интернет-кафе
текст может без особых проблем стать достоянием владельца такого
компьютера. Технически эта операция выполняется классом программ,
называемых keyboard loggers. Они разработаны для разных операцион-
ных систем, могут автоматически загружаться при включении компью-
тера и маскируются под резидентные антивирусы или еще что-нибудь
полезное.

Самая лучшая из опробованных программ, Hook Dump 2.5
(http://www.geocities.com/SiliconValley/Vista/6001/hookdump.zip или
http://www.halyava.ru/ilya/, для Win 3.1 и Win 95) может автомати-
чески загружаться при включении компьютера, при этом никак не
проявляя своего присутствия. Набранный на клавиатуре текст, назва-
ния программ, в которых набирался текст, и даже скрытый пароль в
Dial-Up Networking, который вообще не набирался - все записывает-
ся в файл, расположенный в любой директории и под любым именем.
Программа имеет много настроек, позволяющих определять нужную
конфигурацию.

Защита от ПЭМИН

Нужно помнить, что за счет побочных электромагнитных излучений
и наводок (ПЭМИН) можно считывать информацию с монитора компь-
ютера (разумеется, с помощью специальных технических средств) на
расстоянии до 200 метров, а то и больше. Также можно считывать ин-
формацию с процессора, клавиатуры, винчестера, дисковода (когда они
работают, естественно). Поэтому все криптосистемы становятся почти
бессмысленными, если не принять соответствующих мер защиты. Для
защиты от ПЭМИН рекомендуется применять генераторы белого шума
(в диапазоне от 1 до 1000 МГц) типа ГБШ-1 или Салют. Их (а также
другие интересные вещи) можно приобрести в фирмах, торгующих
спецтехникой. А можно заняться творчеством и сделать их самостоя-
тельно, используя схемы из популярной книги "Шпионские штучки"
(в Москве ее можно приобрести, например, в СК "Олимпийский" или
на радиорынке в Митино).

Пейджинговая безопасность

Пейджер стал для многих незаменимым средством оперативного обще-
ния. Но мало кто знает, что технология пейджинга позволяет организо-
вать прослушивание (мониторинг) пейджинговых сообщений с помощь
несложной аппаратуры (сканер+компьютер+соответствующее про-
граммное обеспечение). Поэтому пейджинговые компании контролиру-
ются не только ФСБ, ФАПСИ и прочими силовыми подразделениями,
но и всеми, кому не лень, в том числе криминальными структурами
и новоявленными Джеймс Бондами в лице отечественных фирм, зани-
мающихся так называемой защитой информации.

Электронная почта
Получение E-mail

Иногда у пользователя возникает ситуация, когда хотелось бы выявить
реального автора полученного сообщения. Например, получено сообще-
ние от вашей жены, в котором она пишет, что уходит к другому. Вы
можете либо вздохнуть с облегчением, выпить на радостях рюмку-дру-
гую и отправиться с друзьями на дачу праздновать это событие, либо
попытаться выяснить, не является ли это чьей-то шуткой.

Ваши друзья могли легко изменить поле From в отправленном сообще-
нии, поставив туда вместо своего обратного адреса хорошо известный
вам адрес вашей жены, например masha@flash.net. Как это делается,
можно прочесть в разделе "Отправление e-mail". Так что стоящая перед
нами задача сводится к следующему: определить, соответствует ли ука-
занный адрес отправителя адресу, с которого в действительности было
отправлено сообщение.

Итак, каждое электронное сообщение содержит заголовок (header), ко-
торый содержит служебную информацию о дате отправления сообще-
ния, названии почтовой программы, IP-адресе машины, с которой было
отправлено сообщение, и так далее. Большинство почтовых программ
по умолчанию не отражают эту информацию, но ее всегда можно уви-
деть, открыв с помощью любого текстового редактора файл, содержа-
щий входящую почту, или используя функцию почтовой программы,
позволяющую просматривать служебные заголовки (как правило, она
называется Show all headers). Что же видим?

Received: by geocities.com (8.8.5/8.8.5) with ESMTP id JAA16952

for ; Tue, 18 Nov 1997 09:37:40 -0800 (PST)
Received: from masha.flash.net (really [209.30.69.99])

by endeavor.flash.net (8.8.7/8.8.5) with SMTP-id LAA20454

for ; Tue, 18 Nov 1997 11:37:38 -0600 (CST)
Message-ID: <3471 D27E.69A9@flash.net>
Date: Tue, 18 Nov 1997 11:38:07 -0600
From: masha@flash.net
X-Mailer: Mozilla 3.02 (Win95; U)
MIME-Version: 1.0
To: petya@geocities.com
Subject: I don't love you any more, you *&$%# !!!!

Да, много всякого. Не вдаваясь в технические подробности, в общих
чертах: заголовки Received сообщают путь, который прошло сообщение
в процессе пересылки по сети. Имена машин (geocities.com,
endeavor.flash.net) указывают на то, что сообщение, скорее всего, при-
шло к вам в geocities.com из домена вашей жены flash.net. Если имена
машин не имеют ничего общего с flash.net (например, mailrelay.tiac.net),
это повод задуматься о подлинности сообщения. Но самая главная стро-
ка для нас - последняя из строк, начинающихся со слова Received:

Received: from masha.flash.net (really [209.30.69.99])

Она отражает имя машины (masha.flash.net) и уникальный IP-адрес,
с которого было отправлено сообщение. Указанный домен (flash.net) со-
ответствует адресу вашей жены. Впрочем, ваши друзья могли подделать
и строку masha.flash.net (в Windows 95 это делается через Control
Panel=>Network=>TCP/IP Properties=>DNS Configuration, указав
masha и flash.net в полях Host и Domain соответственно), поэтому важ-
но определить имя, соответствующее данному IP-адресу: 209.30.69.99.

Для определения имени, соответствующего цифровому адресу, можно
воспользоваться одной из доступных программ, например WS-Ping32
(http://www.glasnet.ru/glasweb/rus/wsping32.zip), а лучше CyberKit
(http://www.chip.de/Software/cyber.zip). Набрав цифровой адрес, даем
команду NS LookUp (Name Server Lookup) и смотрим на полученный
результат. Когда имя определено, дальше все просто: если получено что-
либо похожее на рррЗОЗ-flash.net или p28-dialup.flash.net, то сообщение
отправлено вашей женой (или кем-то, имеющим почтовый адрес во
Flashnet, но выяснить это подробнее уже нельзя). Если указано нечто
весьма далекое от flash.net - скорее всего, отправляла сообщение не
ваша жена. Иногда адрес не определяется. В этом случае можно вос-
пользоваться функцией TraceRoute той же программы. Эта функция
поможет проследить путь от вашей машины до указанного IP-адреса.
Если этот адрес (он будет последним в списке узлов, через которые сиг-
нал прошел от вашего компьютера до компьютера с указанным IP-адре-
сом) снова не определяется, то последний из определенных по имени
узлов все-таки укажет на примерное географическое положение компь-
ютера отправителя. Еще более простым и изящным способом определе-
ния страны и даже названия провайдера или сети является использова-
ния вот этого адреса:

http://www.tamos.com/bin/dns.cgi

Итак, в результате получилось что-то вроде Brasilian Global Network.
Ваша жена не бывала последнее время в Бразилии? Нет? Ну, тогда она
от вас и не уходила. Вас разыграли. Будьте бдительны!

Отправление E-mail

Даже вполне добропорядочные граждане иногда хотят сохранить в тай-
не свою личность при высказывании своего мнения, скажем, автору сай-
та, пропагандирующего фашизм, или президенту Лукашенко. Вопросы
приобретения второго (анонимного) электронного адреса вынесены
в отдельный подраздел "Второй адрес".

Remailer (Ремейлер) - это компьютер, получающий сообщение и от-
правляющий его по адресу, указанному отправителем. В процессе пере-
адресации все заголовки (headers), содержащие информацию об отпра-
вителе, уничтожаются, так что конечный получатель лишен всякой
возможности выяснить, кто является автором сообщения. Таких про-
грамм в сети много, некоторые из них позволяют указывать фиктивный
адрес отправителя, большинство же прямо указывают в заголовке, что
сообщение анонимно. Чтобы узнать, как пользоваться ремейлером, нуж-
но отправить сообщение по адресу remailer@replay.com, указав в поле
Subject remailer-help. Через некоторое время придет ответ с подробны-
ми инструкциями об отправке анонимных сообщений. Еще более про-
стой способ - это отправиться по адресу

Страницы: 1, 2