Почему же SantaFox-Mail сломать гораздо проще? Дело в том, что в основном конфигурационном файле SF-Mail имеется переменная, указывающая пароль на режим DoorWay. От "червя" требуется только задать какой-либо заранее известный пароль на пользование DoorWay, после чего нужно соединиться терминальной программой с этой системой и набирать это слово. Попав в DoorWay, файлы паролей и подстановок можно украсть "голыми руками". Конечно, если системный оператор заметит, что кто-то брал у него эти файлы, он примет соответствующие меры. Кроме того, после изменения паролей могут появиться сбои в работе системы – пользователи будут пытаться войти в DoorWay со старыми паролями, но они не будут работать. Ясно, что оператор об этом узнает очень скоро.
Как было показано в предыдущей части, "червь" может не только воровать пароли, но и задавать свои. В T-Mail нет режима DoorWay, зато есть так называемый "главный пароль системы", заданный в переменной T-Password основного конфигурационного файла. Изменив этот пароль, можно послать на удаленную систему письмо с соответствующими указаниями к действиям и добиться нужного результата.
Об указаниях подробно написано в документации по программе T-Mail, но нужно помнить, что системный оператор будет оповещен обо всех несоответствиях и сбоях в работе системы.
Безопасность вашей BBS
Если у вас дома стоит собственная BBS или вы только собираетесь ее открыть, сначала нужно позаботиться о ее безопасности.
Во-первых, прежде чем создать свою BBS, надо выбрать программу для нее. Чем больше возможностей предоставляет программа, тем больше всевозможных лазеек, которыми может воспользоваться хакер. В Maximus эти лазейки уже описаны – лучше всего не пользоваться этой программой. Если Maximus все-таки используется, лучше не устанавливать больше никаких дополнительных утилит, поскольку именно они могут послужить предпосылкой проникновения хакера на BBS. DOS-SHELL лучше сразу убрать с BBS. Никогда никому нельзя раскрывать свои пароли, копировать информацию о пользователях также не стоит. Берегитесь троянских программ, копируемых пользователями. Их можно проверять либо отладчиками, либо дизассемблером, другого способа нет, разве что не запускать их совсем.
Особое внимание нужно уделить директориям. Никогда не устанавливайте программный продукт в директорию, предлагаемую программой по умолчанию. Это, несомненно, может облегчить работу любой троянской программе. Также не стоит запускать маленькие файлы, попавшие на станцию извне. Обычно такие программы и являются "бомбами определенного действия".
Вообще лучшая защита – это нападение. Дело в том, что хакерами многие называют себя совершенно безосновательно. Хакер по заказу фирмы-производителя ломает их системы, таким образом находя лазейки, которые могут быть использованы подобными взломщиками. То есть хакер ищет "дыры", а компания их закрывает. Таким образом, существуют системы, которые взломать практически невозможно.
Глава 8 Хакерские штучки, или Как они это делают
В этой главе раскрыты некоторые "хитрости": регистрация под вымышленным именем, обход различных "подводных камней" (АОН, авторизирующиеся программы, клавиатурные шпионы, ПЭМИН). Особое внимание уделено вопросам работы с электронной почтой – выяснению реального отправителя сообщения, отправлению анонимных сообщений, выбору второго почтового адреса.
Проверка на отсутствие АОН
Прежде чем получать адрес и звонить на BBS, нужно убедиться (например, путем звонка с сотового телефона, с телефона-двойника типа Panasonic, с таксофона или с телефона, который гарантированно не определяется системой АОН), что на данном узле отсутствует система АОН. Если в списке BBS (или в рекламе) указан тип модема Russian Courier, Zyxell или IDC, с вероятностью 99 % на этих станциях используются АОН. АОН выдает себя характерным щелчком и звуковым сигналом, как правило, после первого гудка (он снимает трубку, а далее идут гудки, выдаваемые самим АОН, как правило, отличающиеся от первого гудка по тональности). Если АОН есть, но все же нужно остаться анонимным (например, хотите провести акцию информационной войны, сбросить новый вирус и тому подобное), можно воспользоваться АнтиАОНом. Эти функции присутствуют практически во всех телефонных аппаратах с АОН (например, в РУСЬ или в Phone Master). Также можно купить приставку-АнтиАОН, которая еще не раз пригодиться (в Москве, например, они продаются на радиорынке в Митино). Функцию АнтиАОН лучше включать почти сразу после набора номера и удерживать ее некоторое время. Если АОН не может определить номер, то после снятия трубки АОН-ом слышится характерные тональные сигналы (порядка 9 штук).
Советы по регистрации
Никогда не стоит регистрироваться под настоящим именем, ведь неизвестно, к кому может попасть эта информация и для чего она будет использована. Можно взять любую телефонную базу, например, КОТИК или ее Online версию (http://www.xland.ru:8088/tel_win/owa/tel.form), и ввести любую выдуманную фамилию. Тривиальные фамилии, вроде Иванов, Петров, Смирнов, Андреев, Алексеев и так далее, корректнее не использовать, лучше что-то не совсем обычное (ну первое, что приходить в голову: Левашов, Дубинин, Авдотин, Садовский). Далее записываем инициалы, адрес и телефон любого человека из выведенного списка. При регистрации на BBS обычно требуется сообщить такие сведения:
– имя и фамилию (иногда полное ФИО – полученные инициалы нетрудно преобразовать во что либо, например Н.А. в Николая Алексеевича; более того, инициалы могут и не совпадать, ведь потенциально квартира может быть зарегистрирована, скажем, на родителей или жену) – вводятся полученные из базы;
– домашний адрес – полученный из базы;
– телефон – тоже полученный из базы;
– день рождения – придумываем;
– хобби – придумываем;
– и т. д.
Системные операторы BBS, как правило, очень ленивы, и максимум, на что их хватит, так это проверить данные по той же самой базе.
Обязательно нужно все это куда-нибудь записать, можно в файл (и хранить его в надежном месте, например, на диске, созданном программой BestCrypt). Рекомендуется использовать абсолютно разные данные при работе с разными BBS! В FTN-сетях следует регистрироваться, применяя подобные методы.
Рассмотрим еще один аспект privacy. Это "нехорошие" функции многих программ: вести логические протоколы работы и так далее.
Что "помнит" компьютер
Некоторые программы обладают на редкость большим количеством всевозможных "черных ходов", "люков", "багов" и так далее. Вот лишь некоторые примеры:
– Microsoft Outlook Express 4.0 – все письма, которые когда-либо были отправлены, получены или удалены, он все равно хранит в своей базе. Поэтому рекомендуется периодически удалять (лучше невосстановимыми методами, например, с помощью программы Kremlin 2.1) эти файлы. Они расположены в следующих директориях:
\Windows\Aplication\Microsoft\Outlook Express\Mail\ – почта, здесь необходимо удалить все файлы с расширениями IDX и MBX.
\Windows\Aplication\Microsoft\Outlook Express\News\ – новости, здесь необходимо удалить все файлы с расширениями NCH.
Удалить из базы все удаленные сообщения можно также с помощью опции "Сжать папки".
– Microsoft Internet Explorer 4.0:
\Windows\Cookies\ – хранит файлы Cookies (их лучше периодически удалять с помощью программы Kremlin 2.1).
\Windows\Temporary Internet Files\ – хранит все адреса, которые посещались в Интернет (их лучше периодически удалять с помощью программы Kremlin 2.1).
– Microsoft Windows 95:
\Windows\History\ – хранит все файлы истории (их лучше периодически удалять с помощью программы Kremlin 2.1).
\Windows\name.pwl – в этих файлах Windows хранит имена, телефоны и пароли для соединения с Интернет, все они легко (с помощью специальных программ) расшифровываются.
\Windows\Profiles\name\ – (вместо name будет указано имя пользователя) хранит профили и все установки конкретных пользователей (это, кстати, справедливо и для Windows NT)
\Windows\Aplication\Microsoft\Outlook Express\Mail\ – почта
\Windows\Aplication\Microsoft\Outlook Express\News\ – новости
\Windows\Aplication\Microsoft\Address Book\ – адресная книга
\Windows\Cookies\ – файлы Cookies
\Windows\Favorites\ – файлы закладок Интернет
\Windows\History\ – файлы истории Windows
\Windows\user.dat – параметры пользователя
\Windows\user.da0 – резерв
Большинство FTP-клиентов сохраняют в специальной директории все места в Интернет, которые посещались пользователем (а иногда сохраняют и нешифрованные имена и пароли). В целях безопасности целесообразно периодически (скажем, раз в неделю) стирать содержимое кэша. Например, в Bullet Proof FTP (одной из лучших программ, получить которую можно на сервере http://www.bpftp.com), он располагается в директории Cache. Лучше производить невосстановимое удаление, например, с помощью программы Kremlin 2.1.
К вопросу о CMOS SETUP
Вот еще один наглядный пример лазеек для спецслужб. Почти любой компьютер имеет возможность установить пароль на вход. Но мало кто знает, что специально для спецслужб (разработчиками BIOS) были созданы универсальные пароли, открывающие вход в любой компьютер. Вот примеры:
– AWARD BIOS: AWARD_SW, lkwpeter, Wodj, aPAf, j262, Sxyz, ZJAAADC
– AMI BIOS: AMI, SER, Ctrl+Alt+Del+Ins (держать при загрузке, иногда просто INS)
Естественно, что вводить пароль нужно в соответствии с регистром букв.
Программы, авторизующиеся в Online
В последнее время все чаще стали появляться программы, которые проверяют через Интернет, зарегистрирована ли данная копия программы. Вернее, когда пользователь работает в Интернет, они незаметно это проверяют, а потом радуют сообщением о том что используемая копия нелегальна. Наглядный тому пример – Bullet Proof FTP. Но это еще не все. Существует мнение, что такие программы, как, например, операционная система Windows, способны как бы следить за всем, что происходит в компьютере (либо сами, либо по команде из Интернет), и отправлять все собранные данные своим разработчикам. Не так давно разразился скандал, когда выяснилось, что один известный FTP-клиент отправлял все вводимые имена и пароли своим разработчикам. Так что будьте бдительны!
Клавиатурные шпионы
Клавиатурные шпионы – это программы, запоминающие, какие клавиши были нажаты в ваше отсутствие, то есть – что творилось на вашем компьютере, пока вас не было в офисе. Для этого все, что набирается на клавиатуре, заносится специальной программой в текстовый файл. Так что набранный на компьютере в бизнес-центре или интернет-кафе текст может без особых проблем стать достоянием владельца такого компьютера. Технически эта операция выполняется классом программ, называемых keyboard loggers. Они разработаны для разных операционных систем, могут автоматически загружаться при включении компьютера и маскируются под резидентные антивирусы или еще что-нибудь полезное.
Самая лучшая из опробованных программ, Hook Dump 2.5 (http://www.geocities.com/SiliconValley/Vista/6001/hookdump.zip или http://www.halyava.ru/ilya/, для Win 3.1 и Win 95) может автоматически загружаться при включении компьютера, при этом никак не проявляя своего присутствия. Набранный на клавиатуре текст, названия программ, в которых набирался текст, и даже скрытый пароль в Dial-Up Networking, который вообще не набирался – все записывается в файл, расположенный в любой директории и под любым именем. Программа имеет много настроек, позволяющих определять нужную конфигурацию.
Защита от ПЭМИН
Нужно помнить, что за счет побочных электромагнитных излучений и наводок (ПЭМИН) можно считывать информацию с монитора компьютера (разумеется, с помощью специальных технических средств) на расстоянии до 200 метров, а то и больше. Также можно считывать информацию с процессора, клавиатуры, винчестера, дисковода (когда они работают, естественно). Поэтому все криптосистемы становятся почти бессмысленными, если не принять соответствующих мер защиты. Для защиты от ПЭМИН рекомендуется применять генераторы белого шума (в диапазоне от 1 до 1000 МГц) типа ГБШ-1 или Салют. Их (а также другие интересные вещи) можно приобрести в фирмах, торгующих спецтехникой. А можно заняться творчеством и сделать их самостоятельно, используя схемы из популярной книги "Шпионские штучки" (в Москве ее можно приобрести, например, в СК "Олимпийский" или на радиорынке в Митино).
Пейджинговая безопасность
Пейджер стал для многих незаменимым средством оперативного общения. Но мало кто знает, что технология пейджинга позволяет организовать прослушивание (мониторинг) пейджинговых сообщений с помощь несложной аппаратуры (сканер+компьютер+соответствующее программное обеспечение). Поэтому пейджинговые компании контролируются не только ФСБ, ФАПСИ и прочими силовыми подразделениями, но и всеми, кому не лень, в том числе криминальными структурами и новоявленными Джеймс Бондами в лице отечественных фирм, занимающихся так называемой защитой информации.
Электронная почта
Получение E-mail
Иногда у пользователя возникает ситуация, когда хотелось бы выявить реального автора полученного сообщения. Например, получено сообщение от вашей жены, в котором она пишет, что уходит к другому. Вы можете либо вздохнуть с облегчением, выпить на радостях рюмку-другую и отправиться с друзьями на дачу праздновать это событие, либо попытаться выяснить, не является ли это чьей-то шуткой.
Ваши друзья могли легко изменить поле From в отправленном сообщении, поставив туда вместо своего обратного адреса хорошо известный вам адрес вашей жены, например masha@flash.net. Как это делается, можно прочесть в разделе "Отправление e-mail". Так что стоящая перед нами задача сводится к следующему: определить, соответствует ли указанный адрес отправителя адресу, с которого в действительности было отправлено сообщение.
Итак, каждое электронное сообщение содержит заголовок (header), который содержит служебную информацию о дате отправления сообщения, названии почтовой программы, IP-адресе машины, с которой было отправлено сообщение, и так далее. Большинство почтовых программ по умолчанию не отражают эту информацию, но ее всегда можно увидеть, открыв с помощью любого текстового редактора файл, содержащий входящую почту, или используя функцию почтовой программы, позволяющую просматривать служебные заголовки (как правило, она называется Show all headers). Что же видим?
Received: by geocities.com (8.8.5/8.8.5) with ESMTP id JAA16952
for ; Tue, 18 Nov 1997 09:37:40 −0800 (PST)
Received: from masha.flash.net (really [209.30.69.99])
by endeavor.flash.net (8.8.7/8.8.5) with SMTP id LAA20454
for ; Tue, 18 Nov 1997 11:37:38 −0600 (CST)
Message−ID: <3471D27E.69A9@flash.net>
Date: Tue, 18 Nov 1997 11:38:07 −0600
From: masha@flash.net
X−Mailer: Mozilla 3.02 (Win95; U)
MIME−Version: 1.0
To: petya@geocities.com
Subject: I don’t love you any more, you *&$%# !!!!
Да, много всякого. Не вдаваясь в технические подробности, в общих чертах: заголовки Received сообщают путь, который прошло сообщение в процессе пересылки по сети. Имена машин (geocities.com, endeavor. flash.net) указывают на то, что сообщение, скорее всего, пришло к вам в geocities.com из домена вашей жены flash.net. Если имена машин не имеют ничего общего с flash.net (например, mailrelay.tiac.net), это повод задуматься о подлинности сообщения. Но самая главная строка для нас – последняя из строк, начинающихся со слова Received:
Received: from masha.flash.net (really [209.30.69.99])
Она отражает имя машины (masha.flash.net) и уникальный IP-адрес, с которого было отправлено сообщение. Указанный домен (flash.net) соответствует адресу вашей жены. Впрочем, ваши друзья могли подделать и строку masha.flash.net (в Windows 95 это делается через Control Panel=>Network=>TCP/IP Properties=>DNS Configuration, указав masha и flash.net в полях Host и Domain соответственно), поэтому важно определить имя, соответствующее данному IP-адресу: 209.30.69.99.
Для определения имени, соответствующего цифровому адресу, можно воспользоваться одной из доступных программ, например WS-Ping32 (http://www.glasnet.ru/glasweb/rus/wsping32.zip), а лучше CyberKit (http://www.chip.de/Software/cyber.zip). Набрав цифровой адрес, даем команду NS LookUp (Name Server Lookup) и смотрим на полученный результат. Когда имя определено, дальше все просто: если получено что-либо похожее на ppp303.flash.net или p28-dialup.flash.net, то сообщение отправлено вашей женой (или кем-то, имеющим почтовый адрес во Flashnet, но выяснить это подробнее уже нельзя). Если указано нечто весьма далекое от flash.net – скорее всего, отправляла сообщение не ваша жена. Иногда адрес не определяется. В этом случае можно воспользоваться функцией TraceRoute той же программы. Эта функция поможет проследить путь от вашей машины до указанного IP-адреса. Если этот адрес (он будет последним в списке узлов, через которые сигнал прошел от вашего компьютера до компьютера с указанным IP-адресом) снова не определяется, то последний из определенных по имени узлов все-таки укажет на примерное географическое положение компьютера отправителя. Еще более простым и изящным способом определения страны и даже названия провайдера или сети является использования вот этого адреса:
http://www.tamos.com/bin/dns.cgi
Итак, в результате получилось что-то вроде Brasilian Global Network. Ваша жена не бывала последнее время в Бразилии? Нет? Ну, тогда она от вас и не уходила. Вас разыграли. Будьте бдительны!
Отправление E-mail
Даже вполне добропорядочные граждане иногда хотят сохранить в тайне свою личность при высказывании своего мнения, скажем, автору сайта, пропагандирующего фашизм, или президенту Лукашенко. Вопросы приобретения второго (анонимного) электронного адреса вынесены в отдельный подраздел "Второй адрес".
Remailer (Ремейлер) – это компьютер, получающий сообщение и отправляющий его по адресу, указанному отправителем. В процессе переадресации все заголовки (headers), содержащие информацию об отправителе, уничтожаются, так что конечный получатель лишен всякой возможности выяснить, кто является автором сообщения. Таких программ в сети много, некоторые из них позволяют указывать фиктивный адрес отправителя, большинство же прямо указывают в заголовке, что сообщение анонимно. Чтобы узнать, как пользоваться ремейлером, нужно отправить сообщение по адресу remailer@replay.com, указав в поле Subject remailerhelp. Через некоторое время придет ответ с подробными инструкциями об отправке анонимных сообщений. Еще более простой способ – это отправиться по адресу
http://www.replay.com/remailer/