 |  |
https://bugtraq.ru/review/archive/1999/12-01-99.html |
|
|||
|
|
|
||
| https://bugtraq.ru/review/archive/1999/12-01-99.html |
||||
| ||||
12 января 1999, #58
Последний привет от уходящих праздников - сегодняшний взлом tucows. Html-код страницы тоже весьма любопытен.
Отчет о последнем круглом столе благополучно выложен.
В ответе на вопрос "А что мне даст членство в клубе HackZone?" пополнение. Теперь это дает еще и возможность разместить свою страницу с адресом вида http://www.hackzone.ru/club/mypage/. Доступ к файлам каталога - через web-интерфейс. Не полноценный ftp-доступ, конечно, но лучше, чем ничего. Обсуждаем и вопрос размещения на hackzone других страниц, посвященных безопасности.
Отдел по борьбе с компьютерными преступлениями московского УЭП выбрал весьма грамотное имя для своего сайта - www.cyberpolice.ru. Пока информации там не слишком много - профильные статьи УК, три выдержки из прессы, и самая многообещающий раздел - "Консультация", в которой можно задать вопрос его сотрудникам. Сайт, судя по всему, появился совсем недавно, но успел вызвать и резко отрицательные эмоции. Следующее письмо было получено в процессе подготовки обзора:
|
"Дождались"... Теперь и в нашем экономически бедном государстве появились киберполицаи. Недавно был открыт сайт www.cyberpolice.ru. Они поймали нескольких хакеров, точнее - кардеров, и рады. После чего они решили открыть сайт. Эти предатели не только упрекают людей за использование не своих кредитных карточек, но еще и запрещают пиратство! Такого сволотства мы еще не знали... Значит, выходит так, что мы, "супербогатые" люди, при кризисе, при невыплате оклада, должны покупать ЛИЦЕНЗИОННЫЙ софт, который стоит архибольших для нас денег. Мало того, сейчас все исчисляется в "капусте", "капуста" растет, рубль "деревянеет"... А лицензионный Windows 98 стоит 95$ как-никак! Интересно, кто может при окладе в 1500 рублей выложить 2190.7 рублей (курс на 11.01.99) за глючный Windows 98. Вам не смешно? Мне - нет, мне грустно. Теперь о кредитных картах. Сразу можно догадаться, что хозяева сайта www.cyberpolice.ru - ламеры, или, на крайний случай, просто юзеры. Так вот что я скажу: никаким образом сгенерированная кредит-кард генератором карта никогда не пройдет ни в одной уважающей себя системе транзакций, особенно если дело идет о заказе материального. Здесь уже другие методы, о них я умолчу. В основном, кардеры пользуются американскими карточками, что и говорит о том, что www.cyberpolice.ru продался Западу. И что такого, что наши люди грабят американцев? Интересно, а вас, хозяева www.cyberpolice.ru не затрагивает тот факт, что нас разорила Северная Америка, т.е. США? Я думаю - нет, т.к. вы на них работаете. В итоге выходит, что вы не только предатели компьютерной братии, но и предатели России, т.е. враги народа. Мой вам совет, кардеры - НЕ ЗАКАЗЫВАЙТЕ НИЧЕГО НА ДОМ И НИКОГДА НЕ СНИМАЙТЕ БОЛЬШИХ СУММ, КОГДА ВЫ СИДИТЕ СО СВОЕГО ПРОВАЙДЕРСКОГО ЭККАУНТА! О несанкционированном доступе в Сеть. Здесь я имею в виду выловку логина юзера и дальнейшее на нем заседание. А вы знаете, от чего это происходит? В большинстве случаев - от нехватки денег на свой законный логин. Да, в принципе здесь есть, за что ловить, но что это за наказание - срок? Штраф - этого достаточно вполне! Но все же я против того, чтобы за это кто-то нес наказание, т.к. если юзер - ЛОХ, то он заслуживает того, чтобы его эккаунтом воспользовались, а иначе - нечего соваться в Сеть! И в заключение. Предатели с сайта www.cyberpolice.ru заслуживают глубочайшего презрения со стороны всей компьютерной братии (интернетчиков, программистов, хакеров, кракеров, кардеров, геймеров, музыкантов и др.). Лично я за то, чтобы сайт www.cyberpolice.ru был безжалостно и АНОНИМНО взломан хорошими опытными хакерами и унижен. Я за то, чтобы о www.cyberpolice.ru везде писали как о сайте, который недостоен места в РОССИЙСКОМ Интернете, как об обузе для всех нас. Это касается не только компьютерщиков, но также и их близких, т.к. если заберут близкого им человека, тем более ни за что, от этого легче никому их них не станет. Ну что ж, в Российской Федерации очень много взломщиков, кардеров и т.д. Поймали 0.00001%... Не дадим развиваться сволочам! Пишите: anticybershit@hotmail.com P.S. Предлагайте свои проекты по уничтожению предателей с www.cyberpolice.ru. |
На самом деле мне не совсем понятна столь эмоциональная реакция - материалы сервера носят по большей части довольно взвешенный характер, а некоторые ляпы, попавшие в газетные статьи, вполне простительны, особенно если сравнивать это с той пургой, которую можно иной раз встретить в прессе. И по большому счету появление сервера, на котором информация может быть получена "из первых рук", можно только приветствовать - конечно, если авторы не пойдут по пути публикации страшилок в сочетании с победными реляциями. А постулат "если юзер лох и дал себя ограбить, то его не жалко" можно спокойно развить до "если хакер дал себя поймать, туда ему и дорога".
Вообще же я считаю это письмо достаточно провокационным для дальнейшего обсуждения, к которому и призываю.
Забавно складывается ситуация вокруг объявления войны информационным структурам Ирака и Китая группой Legions of the Underground. Вскоре после этого с осуждающим заявлением выступили Chaos Computer Club, the Cult of the Dead Cow (cDc), !Hispahack, L0pht Heavy Indusries, Phrack и Pulhas, заявив, что поддерживая полностью возмущение нарушениями прав человека, они резко отрицательно относятся к методам, объявленным LoU. А еще чуть позже сами LoU объявили, что их неправильно поняли, и речь вообще шла о высказываниях отдельных членов группы, а не об официальной позиции...
Вопрос только, что теперь делать со всеми группами, поспешившими присоедниться к LoU и бросившимися ломать несчастные китайские сайты :)
Обещанное в прошлом выпуске интервью с членами KpZ (на некоторые трофеи группы можно посмотреть в Underground'е)
|
|
Судьба сегодня такая - публиковать большие письма.
|
Предлагается уважаемой публике поломать (мозги, зубы нужное подчеркнуть). На моем сайте ещё пока не пристёгнутый к странице лежит http://www.dux.ru/guest/fno/perl/crackme.zip Ну все, наверное, в курсе - типа кракни, получишь пирожок. Размер и вид пирожка уточняется, но что-то придумаю (принимаются пожелания). Там в зипе единственный файл, запускается так: crackme.pl пароль Известен также один пароль: DNSARQMO (после R буква "кью", после М буква "оу", все буквы латинские), действующий до March 1, 1998(это сразу будет видно при запуске). Написание кейгена не требуется. Победителем считается тот, кто пришлёт _любой_ пароль, действующий на день отправки письма. Иными словами - чтобы печаталось "Valid until:" дата больше или равная дня отправки. Плюс более или менее - материал, показывающий, как пароль найден. Иными словами, перебором - неинтересно, я ведь букв мог и побольше сделать. В качестве одного из призов ломатель получит саму проверялку и, надеюсь, некоторое удовольствие. :) Внешняя uu-подобная запаковка сделана программно, прога эта существует, немного сырая пока, но вроде работает без сбоев(во, реклама пошла :) Перл похоже любой, на всех доступных мне UNIX и Win32 портах работает. Скажем так 5.001. Вообще, если какой-то интерес будет, то будет и продолжение, если кто пришлёт свою crackme - тоже спасибо, объяву пошлю и страничку посвящённую этому сделаю. Пока что победителями будут считаться десять первых ответов, которые _я получу_. Да, плийз объективно указывайте время, затраченное на кряк, возможные ошибки и улучшения тоже welcome. Улучшением в данном случае считается сокращение и затемнение кода. Вот ещё небольшие комментарии, если кто-то не сталкивался с принципом crackme: Значит идея вот какая. Условно говоря надо взломать чужую программу (понимать это полезно в том числе, когда хочешь сам написать защиту), и значит ты выловил тот маленький кусочек, обычно сильно зашифрованный, в котором происходит собственно проверка пароля. Теперь надо расшифровать, понять как он работает, и на основе этого понимания сделать ключе-генератор или один безлимитный пароль. А CrackMe - это и есть такой кусочек, только без реальной программы, а просто для развивания мозгов. Как бы в чистом виде. Я дал один пароль для демонстрации, что это работает. Одной из очень неприятных особенностей перла является то, что на сервере лежит открытый текст программы. Если это административная система или база данных с разделённым доступом, то там лежат и пароли, или по открытому тексту программы их очень легко восстановить. А у многих провайдеров любой юзер может читать все директории других юзеров. Бардак. А вчера взятая на работу девочка-оператор имеет доступ к любым файлам, в том числе и к перл-коду. И если в случае экзешника, его надо сосредоточенно кракать, чтоб получить пароли, то перл-код достаточно немножко почитать, он абсолютно не защищён. Я уже некоторое время понемножку думаю, как поступать, если нужна надёжность, если никак нельзя, чтобы в систему влез посторонний. Вот в этом crackme я и опробовал пару идей и хотел бы узнать насколько они надёжны. А людям - развлечение с очень необычным кодом, некоторый опыт "совсем другого перла" и сама парольная защита в подарок.
А интерфейс очень простой - ты вводишь пароль, тебе говорится либо что
он вообще неверный, либо дата, до которой этот пароль действует. Ну и
формальное условие игры, которое подтверждает, что человек разобрался
как там что сделано, - нужно сделать действующий пароль. То есть, чтобы
на его ввод программа отвечала
|
Копия архива - тут. Кстати, замечательный повод поговорить о Perl'е вообще. Perl - это еще один язык программирования, изумительно подходящий для написания cgi-приложений, сетевого администрирования, обработке текстов и прочей автоматизации. Его синтаксис унаследован в первую очередь от С, добавлены расширенные средства для работы со строками, регулярными выражениями, ассоциативными массивами и т.д. Это интерпретируемый язык, первоначально он был реализован для Unix-систем, сейчас его интерпретаторы доступны для большинства популярных архитектур, что делает особенно легким перенос приложений.
Позволю себе еще раз нагло процитировать Майка, с которым полностью солидарен:
Говоря о перле, надо сейчас менять акцент - уже совершенно устарелое дело, как много где пишут, повторять, что перл - это для CGI и нет-администрирования. Для меня это - идеальное средство автоматизации всего под виндами. Вызовы из любых длл, в том числе Win32API, очень неплохие средства OLE, GUI, DDE, ODBC, LDAP, ADO, SQL и почти работающие средства COM-DCOM(в этом я не понимаю). Я всё делаю на перле и единственное настоящее ограничение пока - что нет multithreading. Люди вовсю перетряхивают базы данных и Excel-таблицы при помощи OLE etc. Я тут неделю развлекался шутками вроде - открыть окно, найти кнопку, заменить надпись, вставить текст, сменить титул окошка. Мультипроцессинг, синхронизация(Mutex, Event,Semaphore), etc.etc.
Основные ссылки для желающих приобщиться:
У вас есть новость или ссылка, заслуживающие внимания наших читателей ? Пишите.
| « | » | |
|
|
|