30 июня 2000, #97

решение конкурсного задания (30.06.2000 01:25:26)

Речь идет о задачке, подготовленной для Спрыга. В принципе, она совсем простенькая, и у старых читателей обзора, либо у тех, кто не поленился просмотреть архив на пару лет назад ( :) ), проблем с ней быть не должно.

Первый шаг - обратить внимание на то, что адреса имеют вид http://www.hackzone.ru/cgi-bin/spryg/zshow.pl?02 и предположить, что при замене нолика на единичку и появится заветная кнопка, позволяющая ответить на письмо. Однако, ничего такого не происходит. Других зацепок нет, следовательно, остается копать в этом направлении. Первое, что лично мне приходит в голову в подобной ситуации - проверить, не ожидается ли какое-то определенное значение http-заголовка Referer (его добропорядочные броузеры заполняют информацией об адресе страницы, с которой был вызван запрашиваемый документ).

Собственно говоря, дальнейшее - дело техники, способов передать текст http://www.hackzone.ru/cgi-bin/spryg/ в указанном заголовке масса - от прихода телнетом на 80-й порт сервера до использования готовых программок, встающих в качестве локального прокси, и позволяющих играться с заголовками. Лично я предпочитаю скрипты на перле, но это дело вкуса :)

обновленный L0phtCrack+ (30.06.2000 01:08:54)

...вышел 18 июня. Я писал о нем уже пару раз, на случай, если кто не помнит, это взломщик паролей NT, несколько расширяющий возможности своего прототипа. Слово автору:

- Добавлена возможность импорта файла SAM; - Изменена интерпретация Sniff-файлов; - Сделана более универсальной возможность создания дампа паролей методом pwdump; - Добавлены дополнительные параметры атаки по словарю и последовательным перебором; - Изменен формат файла промежуточных результатов.

Ошибка в "The Bat!" (30.06.2000 00:53:56)

Без комментариев - письмо исчерпывающее.

Ошибка в "The Bat!". Наверное, многие из тех, кто пользуется этой программой, заметили, что при создании нового account'a, The Bat! создает специальный каталог для него в каталоге Mail, причем каталог нового account'a получает такое же название как и сам account. Здесь нет ничего удивительного - The Bat! там хранит письма и настройки пользователя. Поэкспериментируйте: создайте новый аккаунт с именем "thebat". Сразу же после создания, в каталоге Mail вы найдете новый каталог "thebat". Теперь cоздайте еще один аккаунт, но уже не "thebat", а назовите его, например, "bat." (c точкой на конце). Теперь, если посмотреть в каталог Mail, то можно найти каталог "bat", но куда пропала точка? Это ошибка! Как эту ошибку можно использовать? Как написано в help файле от The Bat!, вы можете закрыть ваш account(почт.ящик) под пароль, так что теперь его не смогут просмотреть без вашего ведома. Более того, письма такого account'a шифруются. Советуют сохранить пароль, так как если вы его забудите, вы не сможет открыть свой почтовый ящик. Но это не совсем так. Предположим, существует аккаунт с названием "problem", на него установлен пароль, а вы хотите его открыть без пароля. Для этого откройте Account->New. В этом окне введите имя нового аккаунта, назовите его "problem", т.е. так же, как назван аккаунт, который хотите "взломать", затем нажмите Next. Вы не сможете создать аккаунт с таким именем, так как аккаунт с таким именем уже существует. Тогда удалите одну букву с конца названия, т.е. теперь это не "problem", a "proble". Создайте аккаунт. Затем откройте его свойства (Account->Properties). В поле "Name:" будет имя аккаунта. Измените его с "proble" на "problem" и нажмите Ok. Вы должны увидеть сообщение "There is a user with name problem already. Please change the name". Ок, так как уже известно, что The Bat! как-то не дружит с точками, добавьте точку в конце названия, т.е. переименуйте на "problem." и нажмите Ок. Вы должны увидеть сообщение, что-то вроде "Directory \MAIL\problem. is not empty. Do you still want to use it?". Нажмите Yes. The Bat! загрузит письма, пренадлежащие пользователю аккаунта "problem". Теперь у вас два одинаковых почтовых ящика, только один с паролем, а другой без. Также можно увидеть pop3 пароль пользователя, чей почтовый ящик закрыт паролем доступа. Например, вы хотите узнать pop3 пароль пользователя, а его аккаунт "problem" закрыт паролем. Чтобы увидеть пароль, нужна программка, которая показывает буквы, скрытые за звездочками *. Итак, откройте Account->New. В поле "Account name:" введите "problem." (т.е. с точкой в конце), нажмите Next, и теперь, как это ни удивительно, все поля уже заполнены, я имею ввиду name, organisation, pop3 и smtp серверы, username и password. Заполнены так, как это сделал пользователь, которому принадлежит аккаунт "problem". Теперь на помощь придет вышеупомянутая программка. Только не создавайте такого аккаунта, так как The Bat! окончательно запутается. Он, конечно, создаст аккаунт с именем "problem.", но вы его не сможете открыть, The Bat! спросит у вас пароль доступа. Все это было протестировано на The Bat! v1.41, но я думаю что и на всех других версиях это сработает. Я выслал письмо создателям The Bat!, но ответа еще не получил. А пока, кто пользуется The Bat! в офисе, в учебных заведениях и т.п., где The Bat!`ом пользуется не один человек, стоило бы скачать обновления, которые, я надеюсь, скоро появятся на сайте ritlabs. Regards, Роман Валюшенко

C# наискосок (30.06.2000 00:51:17)

Не каждый день такое случается, я аж вышел из спячки - Microsoft выдала на гора новый, весь из себя сетевой язык программирования под названием C#. Официально произносится как Си-шарп, но сердцем чувствую, решетка в названии еще не раз будет помянута. Пощупать сие чудо пока негде, но спецификация уже доступна, так что некоторое представление о языке уже можно составить.

Первое впечатление - как от встречи со старыми знакомыми. Навскидку - очень большой привет Яве (см.ниже), мааленький - Перлу (foreach), Дельфи (override) и всяким RAD'Ам (property, event). Схожего с Явой очень много - сборка мусора, реализация функций только как членов класса, точка входа в виде статической функции main, встроенные классы-контейнеры, отсутствие множественного наследования и интерфейсы взамен. Из радующего глаз - остались перегрузка функций и операторов, остался препроцессор, помимо классов остались структуры. Разница между ними в следующем: классы - это ссылочный тип (т.е., грубо говоря, объекты классов представляют собой завуалированные указатели, как в Яве и Дельфи), а структуры - "value type", как record в Дельфи или автоматические/статические объекты в C++. Возможна передача параметров в функцию по ссылке с помощью модификатора ref (кстати, появился любопытный модификатор out для параметров, через которые возвращается значение). Разумеется, поддержка исключений и пространств имен. Из того, на чем еще задержался взгляд: пока практически не описанная встроенная в язык поддержка версий, поддержка синхронизации кода, поддержка делегирования (нечто вроде указателей на функции), само собой, поддержка COM (каждый объект C# по совместительству будет COM-объектом), наконец, встроенная то ли в язык, то ли в окружающую его среду поддержка XML.

В общем, язык как язык, изменения скорее эволюционные, нежели революционные, программист на С++ перейдет на него с полпинка, а перетащить существующий код еще проще, чем на Яву, хотя этого, скорее всего, и не потребуется (о чем чуть позже). Ощущения прорыва, возникшего когда-то при появлении Явы, нет, но Microsoft всегда славилась не столько генерированием новых идей, сколько шлифовкой и вылизыванием заимствованных или купленных. С другой стороны, было бы неверно рассматривать сам язык в отрыве от окружения. А оно любопытно.

Во-первых, повсюду раскиданы ссылки на некую платформу .NET, но пока не совсем понятно, будет ли это нечто вроде явовской виртуальной машины, либо просто библиотека, но название говорящее. Во-вторых, своей библиотеки классов у C# в принципе нет - правда, забавно, учитывая, что популярность Явы не в последнюю очередь была связана именно с мощной переносимой библиотекой классов? Однако в .NET SDK определяется Common Langiage Subset (CLS), дающий доступ всем CLS-совместимым языкам (набор этих языков вполне предсказуем: Visual C++, Visual Basic, VBScript, JScript и, разумеется, C#) к общей библиотеке классов и "common execution engine" (опять-таки, пока непонятно, что это такое - общий рантайм или кусок компилятора, как у последнего Васика и VC, или как еще раньше у TopSpeed'овского семейства компиляторов), объединенным под общим названием Next Generation Windows Services, NWGS.

Уфф, такие дела. Что из этого получится, и удастся ли C# занять то место, на которое в свое время претендовала Ява, узнаем через годик-другой.

У вас есть новость или ссылка, заслуживающие внимания наших читателей ? Пишите.

«		»