http://ws.mybb.ru/ Web-site ru-ru Sat, 21 Oct 2023 22:27:03 +0300 MyBB/mybb.ru http://ws.mybb.ru/viewtopic.php?pid=29#p29 <p>Профессиональные услуги клининга: уборка после ремонта, генеральная, поддерживающая, химчистка мягкой мебели, удаление жировых отложений на кухне парогенератором, мытье окон + альпинист и многое другое. Мы также предлагаем ЭКО-чистку детских игрушек, колясок, комнат и различных предметов.&#160; Заказ по тел. +7 915 204 1047 Наш канал: t.me/wwcleaning Москва и Московская область Услуги клининга офиса, квартиры: грязь, пыль, разводы, зеркала, плитка, цемент, краска, светильники, люстры, свч, холодильник, духовка, плита, варочная панель, вытяжка, розетки, выключатели, керамика, смесители, скотч, мусор, шкафы, сантехника, плинтуса, фартук, столешница, стирка, глажка, пятна, загрязнения, диван, кровать &#9989;Уборка квартиры после ремонта &#9989;Уборка после ремонта цена&#160; &#9989;Уборка после ремонта москва&#160; &#9989;Уборка квартиры после ремонта цена&#160; &#9989;Уборка помещений после ремонта&#160; &#9989;Услуги клининга цены&#160; &#9989;Клининг компания услуги&#160; &#9989;Услуги клининга офиса&#160; &#9989;Химчистка мягкой мебели москва&#160; &#9989;Химчистка мягкой мебели +на дому&#160; &#9989;Химчистка мягкой мебели +и ковров&#160; &#9989;Мытье окон +в москве&#160; &#9989;Мытье окон без разводов&#160; &#9989;Клининг компания услуги&#160; &#9989;ЭКО чистка детских кресел&#160; &#9989;Экологическая очистка детских комнат&#160; &#9989;Услуги клининга квартир&#160; Заказ по тел. +7 915 204 1047 Наш канал: <a href="https://t.me/wwcleaning" rel="nofollow" target="_blank">https://t.me/wwcleaning</a>&#160; &#160;Вотсап: <a href="https://wa.me/79152041047" rel="nofollow" target="_blank">https://wa.me/79152041047</a>&#160; Перейти: <a href="https://is.gd/tDRpVO" rel="nofollow" target="_blank">https://is.gd/tDRpVO</a></p> mybb@mybb.ru (nodsvomffs) Sat, 21 Oct 2023 22:27:03 +0300 http://ws.mybb.ru/viewtopic.php?pid=29#p29 http://ws.mybb.ru/viewtopic.php?pid=28#p28 <p><a href="https://postimages.org/" rel="nofollow" target="_blank"><img class="postimg" loading="lazy" src="https://i.postimg.cc/Y2VrXMMs/topgoods.jpg" alt="https://i.postimg.cc/Y2VrXMMs/topgoods.jpg" /></a> Внимание, владельцы бизнеса! Представляем вам уникальное решение для оптимизации вашего интернет-присутствия - топовые мобильные прокси фермы от Mobileproxy.ru! &#9989; Наше оборудование это передовое устройство, которое позволяет вам выходить в интернет сразу с нескольких IP-адресов из одного места. &#9989; Однако важно отметить, что наша техника не обеспечивает анонимность и она не предназначена для обхода блокировок, выход в сеть осуществляется с использованием купленных вами сим-карт. &#9989; Теперь самое интересное! Приобретая оборудование от Mobileproxy.ru с использованием промокода s455, вы получаете невероятную скидку в размере 5000 рублей! Это отличная возможность сэкономить и воспользоваться передовыми технологиями для вашего бизнеса. &#9989; Наши мобильные прокси фермы откроют перед вами широкие возможности. Вы сможете одновременно управлять несколькими аккаунтами, заниматься продвижением сайтов, сдавать прокси ферму в аренду, собирать данные с разных источников одновременно и многое другое где нужно одновременно несколько подключений к сети и периодическая смена ip адреса. С Mobileproxy.ru ваш бизнес будет оперативным, эффективным и успешным! &#9989; Не упустите возможность улучшить свое интернет-присутствие и сэкономить деньги! Посетите наш веб-сайт <a href="https://mobileproxy.ru/," rel="nofollow" target="_blank">https://mobileproxy.ru/,</a> выберите подходящее оборудование, введите промокод s455 при оформлении заказа и получите скидку в размере 5000 рублей! &#9989; Mobileproxy.ru - ваш надежный партнер для успешного интернет-бизнеса! Перейти:&#160; <a href="https://is.gd/XeVnmR" rel="nofollow" target="_blank">https://is.gd/XeVnmR</a></p> mybb@mybb.ru (nodsvomffs) Sun, 02 Jul 2023 10:58:50 +0300 http://ws.mybb.ru/viewtopic.php?pid=28#p28 http://ws.mybb.ru/viewtopic.php?pid=27#p27 <p>Н-ну... можно сделать раздел с сайтами</p> mybb@mybb.ru (123) Wed, 14 Jan 2009 22:22:31 +0300 http://ws.mybb.ru/viewtopic.php?pid=27#p27 http://ws.mybb.ru/viewtopic.php?pid=26#p26 <p>Все возможности SP-Chat +<br />-Новые значки полов<br />-Бонус на index: показаны приколы, которые можно добавлять через отредактированный data/texts.dat<br />-Стандартные смайлики изменены<br />-На главной странице показаны IP и скорость коннекта пользователя<br />-71 новый смайл<br />-Убраны парочка баннеров<br />-Можно слушать в чате музыку! Как - читайте &quot;music.txt&quot; </p> <p>By mfk`&#160; &#160; &#160; &#160; Это моя первая работа, и имеются кое-какие проблемы, так что не судите строго </p> <p><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=1124&amp;d=1228065957" rel="nofollow" target="_blank">Скачать</a></p> mybb@mybb.ru (Admin) Fri, 12 Dec 2008 13:15:24 +0300 http://ws.mybb.ru/viewtopic.php?pid=26#p26 http://ws.mybb.ru/viewtopic.php?pid=25#p25 <p><span style="display: block; text-align: center"><span style="font-size: 20px"><em class="bbuline">1</em></span></span></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 20:14:22 +0300 http://ws.mybb.ru/viewtopic.php?pid=25#p25 http://ws.mybb.ru/viewtopic.php?pid=24#p24 <p>Программа представляет из себя довольно неплохой счетчик для Ваших страниц, ведет подсчет хитов. Один раз установленный счетчик может работать на нескольких страницах сервера.<br />Рекомендации по установке программы:<br />Разместите файл Counter.cfm в выбранной Вами директории.Создайте в корневом веб-каталоге директорию с названием &quot;counters&quot;.<br />Некоторые опции программы:<br />Start [Integer] -- счетчик сопоставляется с числом (по умолчанию 5000).<br />Display [Yes/No] -- при помощи данного свойства счетчик можно сделать видимым или невидимым для посетителей вашего сайт. </p> <p><span style="display: block; text-align: center"><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=297&amp;d=1227209819" rel="nofollow" target="_blank">Скачать</a></span></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 20:04:30 +0300 http://ws.mybb.ru/viewtopic.php?pid=24#p24 http://ws.mybb.ru/viewtopic.php?pid=23#p23 <p><img class="postimg" loading="lazy" src="http://allscript.tomsk.ru/attachment.php?attachmentid=1000&amp;d=1227988051" alt="http://allscript.tomsk.ru/attachment.php?attachmentid=1000&amp;amp;d=1227988051" /></p> <p>CNStats - это гибкая и универсальная система для сбора и анализа статистики посещаемости сайта. Более 50 базовых отчетов доступны через веб-интерфейс. CNStats работает на любом хостинге, который поддерживает PHP и MySql.</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 20:03:01 +0300 http://ws.mybb.ru/viewtopic.php?pid=23#p23 http://ws.mybb.ru/viewtopic.php?pid=22#p22 <p>Новая версия DukChat, нет никаких дыр и глюков, все работает на 100%. СОВЕТУЮ всем качать!!!! </p> <p><span style="display: block; text-align: center"><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=1126&amp;d=1228066125" rel="nofollow" target="_blank">Скачать</a></span></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 20:01:20 +0300 http://ws.mybb.ru/viewtopic.php?pid=22#p22 http://ws.mybb.ru/viewtopic.php?pid=21#p21 <p>Простой, душевный и удобный чат.<br />Преднозначен для малых сайтов с посещаемостью не более 30 человек в сутки.<br />Чат работает на файловых базах...поэтому mySQL не нужно!<br />Эта первая версия бесплатного чата, со множеством глюков...<br />В дальнейшем всё будет исправляться!<br />Особенности:<br />-смайлы<br />-регистрация<br />-адменистрирование<br />-автообновление<br />Качайте, и наслаждайтесь! </p> <p><span style="display: block; text-align: center"><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=1127&amp;d=1228066210" rel="nofollow" target="_blank">Скачать</a></span></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 20:00:08 +0300 http://ws.mybb.ru/viewtopic.php?pid=21#p21 http://ws.mybb.ru/viewtopic.php?pid=20#p20 <p><img class="postimg" loading="lazy" src="http://allscript.tomsk.ru/attachment.php?attachmentid=762&amp;thumb=1&amp;d=1227729877" alt="http://allscript.tomsk.ru/attachment.php?attachmentid=762&amp;amp;thumb=1&amp;amp;d=1227729877" /></p> <p>Простой клиент для скачки torrent файлов написанный на php.</p> <p>Особености<br />- Быстрая установка<br />- Не нужна база данных<br />- WAP интерфейс для управления работой через ваш телефон<br />- Интерфейс с Ajax<br />- Удаление, редактирование, запуск, остановка и просмотр статуса торрента<br />- Богатая поддержка архивов<br />- Возножность скачивать torrent файлы с других сайтов напрямую </p> <p><span style="display: block; text-align: center"><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=763&amp;d=1227730075" rel="nofollow" target="_blank">Скачать</a></span></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:58:16 +0300 http://ws.mybb.ru/viewtopic.php?pid=20#p20 http://ws.mybb.ru/viewtopic.php?pid=19#p19 <p>Вы наверняка видели такие сайты как torrents.ru?<br />Хотите создать себе такой? Заработать на нем деньги? Оказать свое влияние на развитие сети?<br />Здесь собрал коллекцию ЛЕГАЛЬНЫХ скриптов!<br />У вас не возникнет никаких проблем с законом. Все они свободны к использованию!<br />Постройте свой трекер, раскрутите, делитесь файлами с друзьями.<br />А если у вас есть домашняя сеть? Сколько людей вам скажет спасибо?<br />Высокая скорость и полная легальность! Спешите!</p> <p>В архиве вы найдете скрипты такие как:</p> <p>&#160; &#160; * TorrentTraderLitev1[1].0.3.zip<br />&#160; &#160; * TorrentTraderClassic_Beta2.zip<br />&#160; &#160; * TorrentTrader[1].v2.0.RC1.build4.zip<br />&#160; &#160; * torrentTrader Classic 3.rar<br />&#160; &#160; * TorrentBits Source Code.rar<br />&#160; &#160; * tbsource.rar<br />&#160; &#160; * Samehzone_source.rar<br />&#160; &#160; * Samehzone_pic.rar</p> <p><span style="display: block; text-align: center"><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=1331&amp;d=1228423517" rel="nofollow" target="_blank">Скачать</a></span></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:55:30 +0300 http://ws.mybb.ru/viewtopic.php?pid=19#p19 http://ws.mybb.ru/viewtopic.php?pid=18#p18 <p>BitTorrent (букв. англ. «битовый поток») — пиринговый (P2P) сетевой протокол Коэна для кооперативного обмена файлами через Интернет.</p> <p>Файлы передаются частями, каждый torrent-клиент, получая (закачивая) эти части, в это же время отдаёт (подкачивает) их другим клиентам, что снижает нагрузку и зависимость от каждого клиента-источника и обеспечивает избыточность данных.</p> <p>Первый torrent-клиент «BitTorrent» был создан программистом Брэмом Коэном на языке Python 4 апреля 2001 года, запуск первой версии состоялся 2 июля 2001 года. Существует множество других программ-клиентов для обмена файлами по протоколу BitTorrent.</p> <p>Принцип работы протокола</p> <p>Перед началом скачивания клиент подсоединяется к трекеру, сообщает ему свой адрес и хэш-сумму запрашиваемого файла, на что в ответ клиент получает адреса других клиентов, скачивающих или раздающих этот же файл. Далее клиент периодически информирует трекер о ходе процесса и получает обновлённый список адресов.</p> <p>Клиенты соединяются друг с другом и обмениваются сегментами файлов без непосредственного участия трекера, который лишь регулярно обновляет информацию о подключившихся к обмену клиентах и другую статистическую информацию. Для эффективной работы сети BitTorrent необходимо, чтобы как можно больше клиентов были способны принимать входящие соединения. Неправильная настройка NAT или брандмауэра могут этому помешать.</p> <p>При соединении клиенты сразу обмениваются информацией об имеющихся у них сегментах. Клиент, желающий скачать сегмент, посылает запрос и, если второй клиент готов отдавать, получает этот сегмент. После этого клиент проверяет контрольную сумму сегмента и оповещает всех присоединённых пиров о наличии у него этого сегмента.</p> <p>Каждый клиент имеет возможность временно блокировать отдачу другому клиенту (англ. choke). Это делается для более эффективного использования канала отдачи. Кроме того, при выборе — кого разблокировать, предпочтение отдаётся пирам, которые сами передали этому клиенту много сегментов. Таким образом, пиры с хорошими скоростями отдачи поощряют друг друга по принципу «ты — мне, я — тебе».</p> <p>Общие особенности<br />Отсутствие очередей на скачивание.<br />Файлы закачиваются небольшими фрагментами; чем менее доступен фрагмент, тем чаще он будет передаваться. Таким образом, присутствие в сети «сидера» с полным файлом для загрузки необязательно — система распределяет сегменты между «пирами», чтобы в последующем они могли обмениваться недостающими сегментами.<br />Клиенты (peers) обмениваются сегментами непосредственно между собой, по принципу «ты — мне, я — тебе».<br />Скачанные фрагменты становятся немедленно доступны другим клиентам.<br />Контролируется целостность каждого фрагмента.<br />В качестве объекта раздачи могут выступать несколько файлов (например, содержимое каталога).</p> <p>Протоколы и порты</p> <p>Клиенты соединяются с трекером по протоколу TCP. Входящий порт трекера: 6969.</p> <p>Клиенты соединяются друг с другом, используя протокол TCP. Входящие порты клиентов: 6881—6889.</p> <p>Номера портов не фиксированы в спецификации протокола и могут изменяться при необходимости. Более того, в данный момент большинство трекеров используют обычный HTTP порт 80, а для клиентов рекомендуется выбрать случайный входящий порт.</p> <p>DHT-сеть в BitTorrent-клиентах использует протокол UDP.</p> <p>Кроме того, протокол UDP используется UDP-трекерами (поддерживается не всеми клиентами и не является официальной частью протокола) и для соединения клиентов друг с другом через UDP NAT Traversal (используется только в клиенте BitComet и не является официальной частью протокола).</p> <p>Файл метаданных</p> <p>Для каждого распространяемого файла создаётся файл метаданных с расширением .torrent, который содержит следующую информацию:<br />URL трекера;<br />общую информацию о закачиваемом файле (имя, длину и пр.);<br />Контрольные суммы (точнее, хэш-суммы SHA1) сегментов закачиваемого файла.</p> <p>Файлы метаданных могут распространяться через любые каналы связи: они (или ссылки на них) могут выкладываться на веб-серверах, размещаться на домашних страницах пользователей сети, рассылаться по электронной почте, публиковаться в блогах или новостных лентах RSS. Получив каким-либо образом файл с метаданными, клиент может начинать скачивание.</p> <p>Первоначально BitTorrent не имел собственной поисковой системы (англ. search engine), но в мае 2005 года Брэм Коэн устранил этот недостаток.</p> <p>Трекер<br />Основная статья: BitTorrent трекер</p> <p>Трекер (англ. tracker; /&#712;tr&#230;k&#601;(r)/) — специализированный сервер, работающий по протоколу HTTP. Трекер нужен для того, чтобы клиенты могли найти друг друга. Фактически, на трекере хранятся IP-адреса, входящие порты клиентов и хэш-суммы, уникальным образом идентифицирующие объекты, участвующие в закачках. По стандарту, имена файлов на трекере не хранятся, и узнать их по хэш-суммам нельзя. Однако на практике трекер часто помимо своей основной функции выполняет и функцию небольшого веб-сервера. Такой сервер хранит файлы метаданных и описания распространяемых файлов, предоставляет статистику закачек по разным файлам, показывает текущее количество подключенных пиров и пр.</p> <p>Работа без трекера</p> <p>В новых версиях протокола были разработаны бестрекерные (англ. trackerless) системы, которые решают некоторые из предыдущих проблем. Отказ трекера в таких системах не приводит к автоматическому отказу всей сети.</p> <p>Начиная с версии 4.2.0 официального клиента, в нём реализована функция бестрекерной работы, базирующаяся на протоколе Kademlia. В таких системах трекер доступен децентрализовано, на клиентах, в форме распределённой хеш-таблицы.</p> <p>На данный момент не все клиенты используют совместимый друг с другом протокол. Совместимы между собой BitComet, µTorrent, Deluge, KTorrent и официальный клиент BitTorrent. Azureus также имеет режим бестрекерной работы, но его реализация отличается от официальной, вследствие чего он не может работать через DHT с вышеперечисленными клиентами.[2] Однако, для Azureus существует поддержка стандартного DHT через плагин Mainline DHT.</p> <p>Терминология<br />Анонс (англ. announce) — обращение клиента к трекеру. При каждом анонсе клиент передаёт на трекер информацию об объёмах им скачанного и отданного, a трекер передаёт клиенту список адресов других клиентов. Обращение клиента к трекеру происходит через определённые интервалы времени, которые определяются настройками клиента и трекера.<br />Доступность (англ. availability), или distributed copies — количество полных копий файла, доступных клиенту. Каждый сид добавляет 1,0 к этому числу; личеры увеличивают доступность в зависимости от количества скачанного, которого нет у других личеров. К примеру, если на раздаче есть один сид и два личера, скачавшие по 50 % файла (скачанные части равны между собой), то доступность равна 1,50.</p> <p>Личер и его рой.<br />Личер (англ. leech — пиявка) — пир, не имеющий пока всех сегментов, то есть продолжающий скачивание. Термин часто употре***ется и в негативном смысле, который он имеет в других файлообменных сетях: пользователь, который отдаёт гораздо меньше, чем скачивает.<br />Отравленный торрент — ситуация, когда часть пиров раздаёт повреждённые сегменты.<br />Пир (англ. peer — соучастник) — клиент, участвующий в раздаче. Иногда пирами называют только скачивающих участников.<br />Раздача (англ. seeding) — процесс распространения файла по протоколу BitTorrent.<br />Рейтинг (англ. share ratio) — отношение отданного к скачанному.<br />Рой (англ. swarm) — совокупность всех пиров, участвующих в раздаче.<br />Сид, иногда сидер (англ. seeder — сеятель) — пир, имеющий все сегменты распространяемого файла, то есть либо начальный распространитель файла, либо уже скачавший весь файл.<br />URL анонса (англ. announce URL) — адрес трекера, к которому клиент делает анонс. Во многих клиентах называется «Tracker URL». Может включать «passkey» — уникальный код, назначаемый трекером для аккаунта пользователя, помогающий идентифицировать его на трекере (добавляется к URL анонса в самом *.torrent-файле).<br />Пренебрегающий (англ. snubbed) — клиент, подключённый к получателю, но не посылавший ему данные уже более 60 секунд.<br />Заглохший (англ. choked — заглохший, придушенный) — клиент, обмен данными с которым заглох. Либо его канал на выход забит полностью и он не может ничего передать (достиг max_uploads), либо он сид и ему ничего не нужно получать.<br />Заинтересованный (англ. interested) - если у клиента А нет каких-то частей, которые есть у клиента Б, считается, что клиент А заинтересован в обмене с клиентом Б.<br />Сегмент (англ. part - часть) - все файлы для передачи делятся на небольшие куски - сегменты, которые, затем, передаются по сети в произвольном порядке для оптимизации обмена.<br />Поскрестись (англ. scrape - скрести, царапать) - аналогично анонсу, но клиент запрашивает только статистику торрента, информацию о подключённых клиентах и возможности с ними связаться для обмена.<br />Супер-сид — режим раздачи, пытающийся минимизировать количество отданных данных.</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:53:42 +0300 http://ws.mybb.ru/viewtopic.php?pid=18#p18 http://ws.mybb.ru/viewtopic.php?pid=17#p17 <p>В скором времени будет набор модераторов.<br />Тема откроется как только будет набор...</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:45:04 +0300 http://ws.mybb.ru/viewtopic.php?pid=17#p17 http://ws.mybb.ru/viewtopic.php?pid=15#p15 <p><strong>Данный скрипт очень прост в установке, достаточно всего лишь добавить<br />на страницу:</strong></p> <p>&lt;!-- END BLOCK CENTER - Design by © WSMYN --&gt; &lt;!-- START BLOCK CENTER - Design by © WSMYN --&gt;<br />&lt;table width=&quot;100%&quot; border=&quot;0&quot; cellspacing=&quot;0&quot; cellpadding=&quot;0&quot;&gt;&lt;tr&gt;&lt;td class=&quot;center_left&quot;&gt;&amp;nbsp;&lt;/td&gt;&lt;td class=&quot;center_title&quot;&gt;&lt;div id=&quot;center_title&quot;&gt;&lt;/div&gt;&lt;/td&gt;&lt;td class=&quot;center_right&quot;&gt;&amp;nbsp;&lt;/td&gt;&lt;/tr&gt;&lt;tr&gt;&lt;td class=&quot;left_c&quot;&gt;&amp;nbsp;&lt;/td&gt;&lt;td class=&quot;brd&quot;&gt;&lt;table width=&quot;100%&quot; border=&quot;0&quot; cellspacing=&quot;5&quot; cellpadding=&quot;1&quot;&gt;&lt;tr&gt;&lt;td class=&quot;center_text&quot;&gt;&lt;CENTER&gt;<br />&lt;style style=&quot;text/css&quot;&gt;</p> <p>.lcdstyle{<br />color:black;<br />font: bold 18px MS Sans Serif;<br />padding: 3px;<br />}</p> <p>&lt;/style&gt;<br />&lt;script type=&quot;text/javascript&quot;&gt;<br />function cdtime(container, targetdate){<br />if (!document.getElementById || !document.getElementById(container)) return<br />this.container=document.getElementById(container)<br />this.currentTime=new Date()<br />this.targetdate=new Date(targetdate)<br />this.timesup=false<br />this.updateTime()<br />}</p> <p>cdtime.prototype.updateTime=function(){<br />var thisobj=this<br />this.currentTime.setSeconds(this.currentTime.getSeconds()+1)<br />setTimeout(function(){thisobj.updateTime()}, 1000) //update time every second<br />}</p> <p>cdtime.prototype.displaycountdown=function(baseunit, functionref){<br />this.baseunit=baseunit<br />this.formatresults=functionref<br />this.showresults()<br />}</p> <p>cdtime.prototype.showresults=function(){<br />var thisobj=this</p> <p>var timediff=(this.targetdate-this.currentTime)/1000 //difference btw target date and current date, in seconds<br />if (timediff&lt;0){ //if time is up<br />this.timesup=true<br />this.container.innerHTML=this.formatresults()<br />return<br />}<br />var oneMinute=60 //minute unit in seconds<br />var oneHour=60*60 //hour unit in seconds<br />var oneDay=60*60*24 //day unit in seconds<br />var dayfield=Math.floor(timediff/oneDay)<br />var hourfield=Math.floor((timediff-dayfield*oneDay)/oneHour)<br />var minutefield=Math.floor((timediff-dayfield*oneDay-hourfield*oneHour)/oneMinute)<br />var secondfield=Math.floor((timediff-dayfield*oneDay-hourfield*oneHour-minutefield*oneMinute))<br />if (this.baseunit==&quot;hours&quot;){ //if base unit is hours, set &quot;hourfield&quot; to be topmost level<br />hourfield=dayfield*24+hourfield<br />dayfield=&quot;n/a&quot;<br />}<br />else if (this.baseunit==&quot;minutes&quot;){ //if base unit is minutes, set &quot;minutefield&quot; to be topmost level<br />minutefield=dayfield*24*60+hourfield*60+minutefield<br />dayfield=hourfield=&quot;n/a&quot;<br />}<br />else if (this.baseunit==&quot;seconds&quot;){ //if base unit is seconds, set &quot;secondfield&quot; to be topmost level<br />var secondfield=timediff<br />dayfield=hourfield=minutefield=&quot;n/a&quot;<br />}<br />this.container.innerHTML=this.formatresults(dayfield, hourfield, minutefield, secondfield)<br />setTimeout(function(){thisobj.showresults()}, 1000) //update results every second<br />}</p> <p>function formatresults2(){<br />if (this.timesup==false){ //if target date/time not yet met<br />var displaystring=&quot;&lt;span class='lcdstyle'&gt;До нового года осталось...&lt;br&gt;&#160; &quot;+arguments[0]+&quot; &lt;sup&gt;Дней&lt;/sup&gt; &quot;+arguments[1]+&quot; &lt;sup&gt;Часов&lt;/sup&gt; &quot;+arguments[2]+&quot; &lt;sup&gt;Минут&lt;/sup&gt; &quot;+arguments[3]+&quot; &lt;sup&gt;Секунд&lt;/sup&gt;&lt;/span&gt; &quot;<br />}<br />else{ //else if target date/time met<br />var displaystring=&quot;&quot; //Don't display any text<br />alert(&quot;С новым годом!!!&quot;) //Instead, perform a custom alert<br />}<br />return displaystring<br />}</p> <p>&lt;/script&gt;</p> <p>&lt;div id=&quot;countdowncontainer2&quot;&gt;&lt;/div&gt;</p> <p>&lt;script type=&quot;text/javascript&quot;&gt;<br />var currentyear=new Date().getFullYear()<br />var thischristmasyear=(new Date().getMonth()&gt;=1&amp;&amp; new Date().getDate()&gt;1)? currentyear+1 : currentyear<br />var christmas=new cdtime(&quot;countdowncontainer2&quot;, &quot;january 1, &quot;+thischristmasyear+&quot; 0:0:00&quot;)<br />christmas.displaycountdown(&quot;days&quot;, formatresults2)</p> <p>&lt;/script&gt;</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:32:16 +0300 http://ws.mybb.ru/viewtopic.php?pid=15#p15 http://ws.mybb.ru/viewtopic.php?pid=14#p14 <p>Скрипт спрашивает сколько лет посетителю, после чего если ответ был числом свыше 18, то скрипт пропускает посетителя на страницу, а если меньше 18 или 18, то пересылает на указанную вами страницу.</p> <p><strong><span style="display: block; text-align: center"><a href="http://web-site.vfose.ru/files/scripts/18+.zip" rel="nofollow" target="_blank">Скачать</a></span></strong></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:31:26 +0300 http://ws.mybb.ru/viewtopic.php?pid=14#p14 http://ws.mybb.ru/viewtopic.php?pid=13#p13 <p><img class="postimg" loading="lazy" src="http://allscript.tomsk.ru/attachment.php?attachmentid=591&amp;thumb=1&amp;d=1227649349" alt="http://allscript.tomsk.ru/attachment.php?attachmentid=591&amp;amp;thumb=1&amp;amp;d=1227649349" /></p> <p><strong>Особенности сборки</strong><br />1. Приятный и стильный дизайн.<br />2. Полностью интегрированный и не требующий отдельной установки форум PHPBB2.<br />3. Добавлены новые классы пользователей (подробности ниже)<br />4. Возможность включения/выключения приватности пользователей через config.php<br />5. Бэпап базы из админки (Sypex Dumper)<br />6. Многочисленные доработки.</p> <p><strong>Список установленных модов</strong></p> <p>1. Шаблоны раздач ( Nafania + merdox )<br />2. Блок &quot;Посещаемость&quot; ( merdox )<br />3. Блэк-Джек ( TBDev + merdox )<br />4. Лотерея ( TBDev + merdox )<br />5. Флэш-игры со статистикой (рейтингом играющих) ( TBDev + merdox )<br />6. AJAX-чат + флэш-радио с возможностью выбора радиотанций ( TBDev + merdox )<br />7. E-mail рассылка ( merdox )<br />8. Скрытые раздачи ( merdox )<br />9. Extra-классы ( TBDev + merdox )<br />10. Добавление бонусов администратором из userdetails.php ( merdox )<br />11. Разовый uploader (раздача за бонусы) ( merdox )<br />12. Комментарии на AJAX ( Taunt )<br />13. Блок &quot;Наши герои&quot; (топы по бонусам, комментариям и респектам) ( merdox )<br />14. Проверено модератором ( merdox )<br />15. Пожаловаться на раздачу ( merdox )<br />16. Раздача на главной одним кликом ( merdox )<br />17. &quot;Сказали спасибо&quot; ( corporat + merdox )<br />18. Скидка на раздачи ( n-sw-bit )</p> <p><strong>Доступные классы пользователей</strong></p> <p>1. Leecher<br />2. User<br />3. Power User<br />4. Super User<br />5. Uploader<br />6. Super Uploader<br />7. Silver (Платный статус. Учитывается только половина скачанного.)<br />8. Gold (Платный статус. Полностью не учитывается скачанное.)<br />9. Security (может модерировать чат и комменты)<br />10. Moderator<br />11. Administrator<br />12. SysOp</p> <p><span style="display: block; text-align: center"><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=592&amp;d=1227649349" rel="nofollow" target="_blank">Скачать</a></span></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:26:03 +0300 http://ws.mybb.ru/viewtopic.php?pid=13#p13 http://ws.mybb.ru/viewtopic.php?pid=12#p12 <p><img class="postimg" loading="lazy" src="http://allscript.tomsk.ru/attachment.php?attachmentid=767&amp;thumb=1&amp;d=1227731516" alt="http://allscript.tomsk.ru/attachment.php?attachmentid=767&amp;amp;thumb=1&amp;amp;d=1227731516" /></p> <p><strong><span style="display: block; text-align: center"><a href="http://web-site.vfose.ru/files/IPBTT_1.0_for_IPB_2.1/IPBTT_1.0_for_IPB_2.1.rar" rel="nofollow" target="_blank">Скачать</a></span></strong></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:24:31 +0300 http://ws.mybb.ru/viewtopic.php?pid=12#p12 http://ws.mybb.ru/viewtopic.php?pid=11#p11 <p><img class="postimg" loading="lazy" src="http://allscript.tomsk.ru/attachment.php?attachmentid=1308&amp;d=1228409359" alt="http://allscript.tomsk.ru/attachment.php?attachmentid=1308&amp;amp;d=1228409359" /></p> <p>Ну вот и вышла первая версия нового торрент трекера, основанного на уже забытом проекте TB Source.<br />К сожалению закрывшийся проект TB Source унес с собой и хороший торрент движок. Но нет, новый движок модифицированный до современных стандартов уже выходит в свет! Долгожданная новая версия движка основанном на TB Source модифицированным и доведенным до ума вышел в свет!</p> <p>Особенности нашего трекера:</p> <p>• Новый и красивый дизайн!<br />• Хороший чат со встроенным радио!<br />• Блок объявлений<br />• Блок новостей сайта<br />• Блок самых разных новостей<br />• Функциональная система баннеров на главной и странице торрентов<br />• Русифицированная Админка<br />• Страница релизов!<br />• Последние 10 комментариев форума!<br />• Список релиз групп<br />• Фотогаллерея<br />• Золотые раздачи<br />• Топ 3 популярнейших торрента<br />• Избранные торренты<br />• Русифицированный встроенный в сайт форум!<br />• Блок голосований<br />• Топ торрентов, пользователей, пиров, регионов<br />• Модифицированная система торрентов!<br />• И другие доработки функциональности движка!</p> <p>Классы пользователей:</p> <p>• User<br />• Power User<br />• VIP<br />• Uploader<br />• Releaser<br />• Moderator<br />• Administrator<br />• SysOp<br />• Other</p> <p><strong><span style="display: block; text-align: center"><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=1320&amp;d=1228409405" rel="nofollow" target="_blank">Скачать</a></span></strong></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:23:50 +0300 http://ws.mybb.ru/viewtopic.php?pid=11#p11 http://ws.mybb.ru/viewtopic.php?pid=10#p10 <p><img class="postimg" loading="lazy" src="http://allscript.tomsk.ru/attachment.php?attachmentid=589&amp;d=1227640038" alt="http://allscript.tomsk.ru/attachment.php?attachmentid=589&amp;amp;d=1227640038" /></p> <p>Версия: 0.3.5<br />Год выпуска: 2007<br />Разработчик: Meithar (основано на коде phpBB2)<br />Адрес официального сайта: <a href="http://torrentpier.info" rel="nofollow" target="_blank">http://torrentpier.info</a><br />Системные требования:</p> <p>&#160; &#160; * Рекомендуемые: =&gt; Apache 2.2.6 или lighthttpd или NGINX<br />&#160; &#160; * MySQL 5.0.45 или MySQL 5.0.50<br />&#160; &#160; * PHP 5.2.5<br />&#160; &#160; * Cron (crontabs)<br />&#160; &#160; * Json (Содержится в PHP 5.2.5)<br />&#160; &#160; &#160; [~] Virtual hosting + выделенный сервер (большая нагрузка от трекера)<br />&#160; &#160; &#160; Скриншот:</p> <p>Нажмите на изображение, чтобы открыть его в исходном размере.</p> <p>Описание: Движок основан на phpBB2 (от которого уже очень мало чего осталось), за счет оптимизаций и кэширования выдерживает &gt; 300K пиров, но ценой некоторых глюков.<br />Установка:<br />1. слить дамп БД (если требуется создать базу): forum\install\schemas\mysql.sql (сливать дамп в utf8_general_ci)<br />2. версия PHP должна быть 5<br />3. В config.php нужно изменить данные SQL сервера и доступ к нему, а другие настройки по желанию.<br />4. Для смены языка зайти в админку </p> <p><strong><span style="display: block; text-align: center"><a href="http://allscript.tomsk.ru/attachment.php?attachmentid=590&amp;d=1227640038" rel="nofollow" target="_blank">Скачать</a></span></strong></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:21:50 +0300 http://ws.mybb.ru/viewtopic.php?pid=10#p10 http://ws.mybb.ru/viewtopic.php?pid=9#p9 <p>Если X — твой любимый журнал, это означает только одно — ты наш человек! А еще, возможно, ты хочешь стать кул хацкером. И, конечно же, X всячески старается тебе в этом помочь. На самом деле существует два способа хакать. Первый: ты покупаешь кучу книг по устройству и работе Интернета, языкам программирования, операционным системам, протоколам, работе процессора и т.д. Ты все это внимательно читаешь, и через 2 года тренировок сможешь видеть все дырки и получать нужную тебе инфу без проблем. Но ведь ты лентяй! Не хочешь ты всякие занудные книжки читать, и то, чем отличается протокол TCP от ICMP, тебя волнует не больше, чем старые носки твоего соседа. И поэтому ты выбираешь второй способ: пусть другие парни книжки читают и программы пишут, а я уже воспользуюсь плодами их труда. Ну что ж, ладно, хорошо, не вопрос! Специально для таких, как ты, X подготовил «джентльменский набор» программок, которые тебе понадобятся во всех случаях жизни, коль уж ты решил, что в этой самой жизни хаку ты уделишь особое место. А помог нам в этом Мишган, мембер группы KpZ. Итак, вот тебе этот наборчик от Мишгана:</p> <p>1. Back Orifice</p> <p><a href="http://www.crack-hack.com/files/soft/bo.zip" rel="nofollow" target="_blank">http://www.crack-hack.com/files/soft/bo.zip</a><br />Эта хорошая программулина — троян. Состоит из сервера и клиента. Закидываешь клиента к неприятелю, и у жертвы открывается 31337 порт по умолчанию, что дает возможность несанкционированного доступа к его машине. Очень проста в обращении.</p> <p>2. Flood Bot Front End</p> <p><a href="http://www.crack-hack.com/files/soft/floodend.zip" rel="nofollow" target="_blank">http://www.crack-hack.com/files/soft/floodend.zip</a><br />Эта прога поможет тебе сбросить собеседника в IRC сети. Рулезная штучка .</p> <p>3. Divine Intervention 3</p> <p><a href="http://www.crack-hack.com/files/soft" rel="nofollow" target="_blank">http://www.crack-hack.com/files/soft</a> /divint3.zip<br />Очень полезная программа. Содержит в себе нюкер, флудер, мэйл-бомбер. Эффективность гарантирована.</p> <p>4. ICQ Flooder</p> <p><a href="http://www.crack-hack.com/files/soft" rel="nofollow" target="_blank">http://www.crack-hack.com/files/soft</a> /icqflood95.zip<br />Самый простой и самый эффективный, по моему мнению, ICQ флудер. Указываешь IP адрес, ICQ порт — и вперед... Работает безотказно.</p> <p>5. ICQ Ip Sniffer</p> <p><a href="http://www.crack-hack.com/files/soft" rel="nofollow" target="_blank">http://www.crack-hack.com/files/soft</a> /icqsniffer.zip<br />Простенькая программка для определения IP адреса по UIN’у в ICQ сети. Очень проста в обращении. Приятный интерфейс.</p> <p>6. WinNuke<br /><a href="http://www.crack-hack.com/files/soft" rel="nofollow" target="_blank">http://www.crack-hack.com/files/soft</a> /wnuke5.zip<br />Очень даже неплохая нюкалка. Качай — не пожалеешь. Запускаешь, и если у жертвы не стоит защита от нюков, то ему кранты — синий экран смерти. Есть опция сканирования портов .</p> <p>7. Nuke Nabber 2.9</p> <p><a href="http://www.uic.nnov.ru/~bevi/KARDINAL" rel="nofollow" target="_blank">http://www.uic.nnov.ru/~bevi/KARDINAL</a> /DOWNLOAD/nn29a.exe<br />Самый лучший анти-нюкер. Он не только защищает тебя от 50 видов различных атак, но и засекает IP адрес нападавшего. Есть возможность добавления других портов. Эта прога — лидер в своем роде.</p> <p>8. X Net Stat</p> <p><a href="http://security.lgg.ru/kardinal/DOWNLOAD" rel="nofollow" target="_blank">http://security.lgg.ru/kardinal/DOWNLOAD</a> /xnetstat.zip<br />Программа отслеживает все соединения по всем портам к твоему хосту. Очень полезная прога .</p> <p>9. MultiLate</p> <p><a href="http://home.att.net/~craigchr/download.html" rel="nofollow" target="_blank">http://home.att.net/~craigchr/download.html</a><br />Программа удаления файлов с невозможностью восстановления. Меня эта прога выручала не раз...</p> <p>10. MP3 Friend</p> <p><a href="http://eternalsoft.hypermart.net/fiend" rel="nofollow" target="_blank">http://eternalsoft.hypermart.net/fiend</a> /fiend.zip<br />Это самый рулезный поисковик MP3 файлов. Куча возможностей. Ищет на всех МП3’шных серваках. Найдешь все, что надо...</p> <p>11. Mirc v5.5 Client</p> <p><a href="http://tucows.cadvision.com/files2" rel="nofollow" target="_blank">http://tucows.cadvision.com/files2</a> /mirc55t.exe<br />Качай скрипт: <a href="http://www.chatsite.net/mafiascript60.exe" rel="nofollow" target="_blank">http://www.chatsite.net/mafiascript60.exe</a><br />Клиент для входа в IRC сеть для Форточек. На мой взгляд, неплохая штука. Юзай для него скрипт «Мафия». (Есть еще прога PIRCH (wwwpirch.org). Тоже IRC-клиент, только с лучшим интерфейсом —прим. редактора.).</p> <p>12. Essential Net Tools</p> <p><a href="http://www.xbx.org/file/scanners" rel="nofollow" target="_blank">http://www.xbx.org/file/scanners</a> /esstls11.exe<br />Этим сканером пользуется большинство народа. Включает в себя NetBios сканер, Nat interface и т.д.</p> <p>13. Legion . NetBios Tool</p> <p><a href="http://207.98.195.250/software/legion.zip" rel="nofollow" target="_blank">http://207.98.195.250/software/legion.zip</a><br />Программа для сканирования подсетей (NetBios scan). Прикольный интерфейс, 2 способа занесения IP- адресов: возможность вводить адреса подсетей (до 64 с classа) и Scan list (ввод конкретных адресов). Некоторые замечания есть, но в целом, самая удобная программа для сканирования машин с поддержкой NetBios’а. Сама подключает сетевые диски.</p> <p>14. Ident IRC crasher</p> <p><a href="http://www.xbx.org/file/irc/ircident.exe" rel="nofollow" target="_blank">http://www.xbx.org/file/irc/ircident.exe</a><br />Последний «писк моды»!!! Довольно простая, но весьма продвинутая программа. Она предназначена для закрытия mIRC какому-нибудь ламеру. Для этого достаточно знать его IP-адрес.</p> <p>15. IRC Killer</p> <p><a href="http://www.xbx.org/file/ir/irckill.exe" rel="nofollow" target="_blank">http://www.xbx.org/file/ir/irckill.exe</a><br />Эта программа позволяет запускать FLOOD Bots на указанный канал с указанным Nickname. Если ты держишь зло на какой-либо канал, то эта программа — хороший способ с ним расквитаться. Только будь аккуратнее с этим, злоупотребление может привести к тому, что ты будешь K-Lined (для тех, кто не знает этого термина: K-line означает то, что тебя занесут в «черный список» сети, и ты НИКОГДА больше не сможешь зайти на эту сеть).</p> <p>16. Icq ShutDown</p> <p><a href="http://www.xbx.org/file/icq/icqshutd.exe" rel="nofollow" target="_blank">http://www.xbx.org/file/icq/icqshutd.exe</a><br />Программа предназначенa для отключения юзера от ICQ. Тебе достаточно указать только его IP-адрес, а порт, к которому подключен ICQ, программа найдет сама путем их сканирования.</p> <p>17. PortScan 7Phere</p> <p><a href="http://www.reket.com/port/portscan.zip" rel="nofollow" target="_blank">http://www.reket.com/port/portscan.zip</a><br />Программа сканирует заданный IP на использующие его порты. Задаются начальный и конечный порт для сканирования. Программа может быть полезна для проверки занятых/свободных портов для последующего их использования или же закрытия. Также предусмотрена опция Debug сканируемых портов и запись отчета сканирования в Log файл.</p> <p>18. PortFuck</p> <p><a href="http://www.reket.com/port/portfuck.zip" rel="nofollow" target="_blank">http://www.reket.com/port/portfuck.zip</a><br />Программа посылает кучу мусора указанному юзеру на указанный порт. Периодичность указывается в поле Delay. PortFuck юзался некоторое время и зарекомендовал себя отлично.</p> <p>19. KaBoom</p> <p><a href="http://www.reket.com/mail/kaboom3.zip" rel="nofollow" target="_blank">http://www.reket.com/mail/kaboom3.zip</a><br />Самый лучший e-mail bomber. Очень быстрый, анонимный, имеет много полезных настроек. В программе есть набор (48) уже готовых e-mail list-ов для спамминга.</p> <p>20. NetBus</p> <p>Version 2.0 Pro<br /><a href="http://www.technicalw.freeserve.co.uk/netbus2.zip" rel="nofollow" target="_blank">http://www.technicalw.freeserve.co.uk/netbus2.zip</a><br />Вот и сбылась мечта идиотов. Вышел таки 2.0. Функций — до задницы. Я считаю этого троянца лучшим из существующих. Основные функции:<br />– Server Admin (set password, close server, restrict access)<br />– Host Info (system info, cached passwords)<br />– Message Manager<br />– File Manager (create/delete folder, upload/download/delete file)<br />– Window Manager<br />– Registry Manager<br />– Sound System Balance<br />– Plugin Manager<br />– Port Redirect<br />– Application Redirect<br />– File Actions (execute file, play sound, show image, opendocument, print document)<br />– Spy Functions (keyboard listen, capture screen image, capture camera video, record sound)<br />– Exit Windows (logoff, poweroff, reboot, shutdown)<br />– Client chat<br />– Open/Close CDROM<br />– Keyboard (disable keys, key click, restore keys)<br />– Mouse (swap buttons, resore buttons)<br />– Go To URL<br />– Send Text</p> <p>21. Multi Trojan Cleaner</p> <p><a href="http://dynamsol.ulink.net/files/cleaner2.exe" rel="nofollow" target="_blank">http://dynamsol.ulink.net/files/cleaner2.exe</a><br />Если ты подозреваешь, что кто-то тебе подкинул-таки эту гадость (я про троянцев), качай эту программу, и она найдет заразу и уничтожит.</p> <p>22. Icq 99a</p> <p><a href="ftp://ftp.freeware.ru/pub/internet/chat" rel="nofollow" target="_blank">ftp://ftp.freeware.ru/pub/internet/chat</a> /icq99a.exe<br />Новая версия популярной программы. Сообщает, кто из твоих друзей находится в данный момент в сети. Позволяет переписываться в реальном времени, обмениваться сообщениями, файлами, запускать программы Интернет телефонии и др. Эта версия содержит множество новых функций.</p> <p>23. Cyber Info HotMail Nofity</p> <p><a href="ftp://ftp.freeware.ru/pub/internet/mail" rel="nofollow" target="_blank">ftp://ftp.freeware.ru/pub/internet/mail</a> /ciehot.zip<br />Проверяет почту на сервере Hotmail и обеспечивает быстрый доступ к странице Inbox или другим папкам, минуя страницу авторизации.</p> <p>24. Штирлиц</p> <p><a href="ftp://ftp.freeware.ru/pub/internet/mail" rel="nofollow" target="_blank">ftp://ftp.freeware.ru/pub/internet/mail</a> /shtirl3.exe<br />Автоматическая расшифровка электронных писем и текстов, прошедших сложные преобразования. HTML, Unicode, Quoted printable, uuencode, base64, сочетания всех русских кодировок, LAT, определение фрагментов с разной кодировкой и много других возможностей.</p> <p>25. PGP</p> <p>http:/www.pgpi.com/<br />Самая популярная программа шифрования с открытым ключом. Широко используется в электронной почте (e-mail).</p> <p>Ну вот вроде бы и все. Для начала этого тебе хватит. Большое спасибо серверам:</p> <p><a href="http://www.freeware.ru/" rel="nofollow" target="_blank">http://www.freeware.ru/</a> - Сервер бесплатных программ для Win95/98/NT.<br /><a href="http://www.crack-hack.com/" rel="nofollow" target="_blank">http://www.crack-hack.com/</a> - Хороший сервак военного софта.<br /><a href="http://www.xbx.org/" rel="nofollow" target="_blank">http://www.xbx.org/</a> - Кучи полезнейшего софта, просто РУЛЕЗ!<br /><a href="http://www.tucows.com/" rel="nofollow" target="_blank">http://www.tucows.com/</a> - Туча разных программ.<br /><a href="http://inattack.ru/" rel="nofollow" target="_blank">http://inattack.ru/</a> - Тоже неплохой сайтец</p> <p>!!!Применение некоторых из перечисленных программ в целях совершения неправомерных действий может привести к уголовной ответственности (как, впрочем, и использование в тех же целях кухонного ножа, топора, ксерокса или, например, монтировки).</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:20:08 +0300 http://ws.mybb.ru/viewtopic.php?pid=9#p9 http://ws.mybb.ru/viewtopic.php?pid=8#p8 <p>Прим редактора: Реальное название статьи - &quot;защита игр от взлома&quot;, но игра - это тоже программа, а значит и защищают их аналогично</p> <p>Обычно о защите вспоминают в последний момент, перед самой сдачей проекта. Дописывают код впопыхах, а потом удивляются, почему взломанные версии доходят до рынка раньше официальных. Защита должна быть глубоко интегрирована в программу и должна разрабатываться заранее. То же самое скажет любой эксперт. Однако если к защите подходят вот таким, должным образом, к багам самой программы добавляются глюки защиты и проект рискует не уложиться в срок. Кроме того, неясно, как отлаживать программу, если она доверху нашпигована антиотладочными приемами и активно сопротивляется отладчику.</p> <p>Лучше всего реализовать защитный механизм в виде модулей, готовых к интеграции в программу в любой момент. Рабочая версия вместо защитных функций вызывает процедуры-пустышки, заменяемые в финальной версии реальным кодом. О том, как проектировать эти модули, и поговорим.</p> <p>Арсенал защиты</p> <p>Вот три кита, на которых держатся защитные механизмы: машинный код, шифровка и p-код. Электронные ключи и прочие экзотические технологии этого типа здесь не рассматриваются. Массовая продукция именитых фирм давно взломана, а разработка собственного ключа с нуля — занятие не для слабонервных, к тому же он будет выгодным только при серийном производстве, иначе защита даже не окупится.</p> <p>Аппаратная защита — совсем другой разговор. При желании в микрочип можно перенести программу даже целиком, и тогда никто не сможет скопировать (если, конечно, выбрать правильный чип). Однако процесс разработки и отладки усложняется в десятки и даже сотни раз, «железное обеспечение» получается крайне негибким, неудобным в тиражировании и распространении, не говоря уже о невозможности исправить обнаруженные ошибки. Даже если чип имеет перепрошиваемое ПЗУ, разрешение на запись равносильно разрешению на чтение, так как самое ценное в железе — это прошивка. Скопировать железо намного проще, чем выдрать из защищенного чипа прошивку, если же она будет свободно распространяться как обновление... Можно, конечно, распространять не всю прошивку, а только измененные модули или даже их части. Что сделает хакер? Он просто создаст слегка модифицированный модуль, считывающий содержимое ПЗУ и выводящий его наружу контрабандным путем.</p> <p>Защиты, о которых будем говорить, не требуют никакого дополнительного железа, они системно независимы, работают на прикладном уровне и не требуют прав администратора. Никаких драйверов! Никакого ассемблера! Возможно ли эффективно противостоять опытным хакерам в таких условиях? Возможно! Большинство защит ломаются из-за досадных ошибок и мелких конструктивных просчетов, допущенных разработчиком, который никогда не заглядывал в дизассемблерный листинг и не пытался взломать свое творение.</p> <p>Тайники машинного кода</p> <p>Сокрытие алгоритма в машинном коде — широко распространенный, но неэффективный защитный примем. Понятно, что дизассемблерный листинг — это не исходный код и одна строка на языке высокого уровня может транслироваться в десятки машинных команд, часто перемешанных. К тому же в двоичном файле нет комментариев, зато все остальное очень даже встречается: структура классов, имена функций/переменных...</p> <p>Текстовые строки</p> <p>ASCII- и UNICODE-строки несут в себе очень богатую информацию: и текстовые сообщения, выводимые на экран при регистрации/окончании trial-срока/неправильном вводе пароля, и ветви реестра, и имена ключевых файлов, иногда и сами серийные номера/пароли. С паролями все ясно. Хранить их в открытом виде нельзя, нужно хэшировать их. А что плохого в текстовых сообщениях? Обнаружив их в теле программы, хакер по перекрестным ссылкам очень быстро найдет тот код, выводящий их, — вот что плохо. То же самое относится и к именам ключевых файлов с ветвями реестра.</p> <p>Листинг</p> <p>текстовая строка «wrong s/n» с перекрестной ссылкой, ведущей к процедуре sub_401000</p> <p>.text:00401016 call sub_401000<br />.text:0040101B add esp, 4<br />.text:0040101E test eax, eax<br />.text:00401020 jz short loc_40102F<br />.text:00401022 push offset aWrongSN ; «wrong s/n\n» ; указатель на строку<br />.text:00401027 call _printf<br />...<br />.data:00406030 aWrongSN db 'wrong s/n',0Ah,0 ; DATA XREF: 00401022h^o</p> <p>Чтобы затруднить анализ, необходимо либо зашифровать все строки, расшифровывая только перед непосредственным употреблением (если расшифровать сразу же после запуска программы, хакер просто снимет дамп и увидит их в виде прямого текста), либо поместить их в ресурсы и грузить через LoadString — это программируется легче, но в то же время легче ломается. Хакеру достаточно открыть файл в любом редакторе ресурсов, найти нужную строку, запомнить ее идентификатор, запустить отладчик и установить условную точку останова. Далее — дождаться вызова LoadString с нужным uID, определить адрес буфера lpBuffer, установить на него точку останова и... если lpBuffer выводится не сразу, а передается через цепочку промежуточных буферов, хакер матерится, но ничего не делает, потому что не может сделать ничего. Аппаратных точек останова всего четыре, и если защита использует не последний буфер в цепочке, то отследить момент реального обращения к строке становится невозможно (на самом деле возможно: с помощью секретного хакерского оружия NO_ACCESS на страницу, только об этом не все знают).</p> <p>В дизассемблере же отследить перемещение строки по локальным буферам практические невозможно (во всяком случае, автоматически). Глобальные буфера (в которые компилятор пихает константные строки, в том числе зашифрованные) отслеживаются сразу, так что LoadString по некоторым позициям очень даже рулит!</p> <p>Символьная информация</p> <p>отладочная информация</p> <p>По умолчанию компилятор генерирует файл без отладочной информации, и она попадет туда только в исключительном случае, но все-таки попадет. Такая участь настигает не только начинающих программистов, не знающих, чем отличается Debug от Release, но и «маститые» фирмы, выпускающие достойные программные продукты. Допустим, у нас имеется глобальная программа IsRegistered, тогда смысл пары машинных команд будет ясен и без комментариев.</p> <p>Листинг</p> <p>дизассемблерный листинг исполняемого файла с отладочной информацией</p> <p>.text:00405664 cmp _IsRegistered, 0<br />.text:0040566B jz short loc_40567A</p> <p>Никогда не оставляй отладочную информацию в откомпилированной программе!</p> <p>динамические библиотеки</p> <p>Имена неэкспортируемых функций уничтожаются компилятором, экспортируемые же по умолчанию остаются «как есть». С++-компиляторы в дополнение «замангляют» имена, дописывая к ним «зашифрованный» прототип функции, но IDA PRO с легкостью возвращает их в исходный вид. Если защитный модуль реализуется в виде динамической библиотеки (очень часто случается именно так), наличие символьных имен (причем с готовыми прототипами) значительно упрощает анализ. Например, OO Software (создатель одноименного дефрагментатора) любит таскать за собой библиотеку oorwiz.dll (очевидно, расшифровывается как «OO Registration Wizard»), экспортирующую всего три функции, но зато какие...</p> <p>Листинг</p> <p>библиотека oorwiz.dll от OO Software экспортирует функции, говорящие сами за себя</p> <p>3 0 00001FD0 RegWiz_InitLicMgr<br />1 1 000019D0 RegWiz_InitReadOnly<br />2 2 00001D00 RegWiz_InitTrial</p> <p>Всегда удаляй все символьные имена из экспорта и вызывай функции только по ординалу.</p> <p>rtti</p> <p>Динамические классы, тесно связанные с механизмом RTTI (Runtime Type Identification) и активно используемые компиляторами DELPHI/Borland С++ Builder, сохраняют в откомпилированном файле не только свою структуру, но и символьные имена! Если брать как пример результат работы утилиты DEDE, реконструировавшей структуру классов программы Etlin HTTP Proxy Server, сразу в глаза бросится класс TfrmRegister, который соответствует форме fRegister и обрабатывает нажатие кнопки «OK» процедурой bOKClick, расположенной по адресу 48D2DCh. Благодаря динамическим классам сердце защитного механизма было локализовано всего за несколько секунд!</p> <p>Не используй RTTI в защитных механизмах или, по крайней мере, не давай формам и обработчикам осмысленные имена!</p> <p>Обфускация</p> <p>Код, генерируемый компилятором, очень громоздок, и разобраться в нем крайне непросто, но возможно. Чтобы помешать злоумышленникам, некоторые протекторы используют «запутывание», или обфускацию (англ. obfuscation). В простейшем случае автоматический кодогенератор, свинченный с полиморфного движка, внедряет в код огромное количество незначащих команд типа NOP, XCHG EAX, EBX/XHG EBX, EAX, нашпиговывая ими программу как рождественскую утку/гуся. Более совершенные генераторы используют разветвленную систему условных переходов, математические операции и присвоения, результат которых никак не используется, и другие полиморфные технологии.</p> <p>Листинг</p> <p>фрагмент программы, защищенной протектором armadillo</p> <p>.00434000: 60 pushad<br />.00434001: E800000000 call .000434006 -------- (1)<br />.00434006: 5D pop ebp<br />.00434007: 50 push eax<br />.00434008: 51 push ecx<br />.00434009: EB0F jmps .00043401A -------- (2)<br />.0043400B: B9EB0FB8EB mov ecx,0EBB80FEB ;«e?0e»<br />.00434010: 07 pop es<br />.00434011: B9EB0F90EB mov ecx,0EB900FEB ;«e?0e»<br />.00434016: 08FD or ch,bh<br />.00434018: EB0B jmps .000434025 -------- (3)<br />.0043401A: F2 repne<br />.0043401B: EBF5 jmps .000434012 -------- (4)<br />.0043401D: EBF6 jmps .000434015 -------- (5)<br />.0043401F: F2 repne<br />.00434020: EB08 jmps .00043402A -------- (6)<br />.00434022: FD std<br />.00434023: EBE9 jmps .00043400E -------- (7)<br />.00434025: F3 repe<br />.00434026: EBE4 jmps .00043400C -------- (8)<br />.00434028: FC cld<br />.00434029: E959585051 jmp 051533887<br />.0043402E: EB0F jmps .00043403F -------- (9)</p> <p>Можно сгенерировать хоть миллион команд — это легко. Проанализировать их намного сложнее, если вообще возможно. Назначающие команды и заведомо никогда не исполняющиеся условные переходы типа XOR EAX, EAX/JNZ trg сможет отсеять и компьютер (достаточно написать простенький плагин к дизассемблеру IDA PRO). Освободиться от ненужных вычислений значительно сложнее. Как минимум, необходимо загнать все команды на граф, отображающий зависимости по данным, и убрать замыкающиеся ветви. Некоторые хакерские команды уже решили эту задачу (например, группа Володи с wasm'а), однако готовых инструментов в публичном доступе что-то не наблюдается, значит, юные взломщики, наткнувшись на обфускаторный код, скорее обломаются, чем взломают его. С точки зрения разработчика программы очень хорошо!</p> <p>Высаживаться на разработку собственного обфускатора совершенно необязательно, есть готовые — как коммерческие, так и бесплатные. Например, .NET Obfuscator — <a href="http://blogs.msdn.com/obfuscator/default.aspx." rel="nofollow" target="_blank">http://blogs.msdn.com/obfuscator/default.aspx.</a> Забавно, но большинство обфускаторов не используют обфускацию для защиты самих себя от взлома! А все потому, что в программах, критичных к производительности (к ним, например, относятся трехмерные игры), обфускация вызывает значительные тормоза и запутывать можно только редко вызываемые модули, например код защитного механизма. Однако здесь возникает угроза: хакер просто «выломает» защитный механизм из программы не анализируя его устройство. Как правило, для этого достаточно проанализировать код материнской процедуры (которая не подвергалась обфускации) и удалить вызов «запутанной» защитной функции, подсунув «правильный» код возврата, который ожидает вызывающая функция. Чтобы помешать подобным действиям хакера, защитная процедура, кроме проверки аутентичности копии программы, должна делать что-то полезное, такое, без чего программа не сможет работать. Но и в этом случае шансы хакера на взлом остаются высокими: шпионаж за API-функциями и реестром дает богатую пищу для размышлений, которая часто избавляет от необходимости анализировать машинный код.</p> <p>Обфускация — не панацея. Слепое использование готовых обфускаторов лишь увеличивает объем защищаемой программы и ухудшает производительность, но далеко не всегда затрудняет взлом!</p> <p>Шифровка</p> <p>Шифровка — это мощное оружие против взлома, оно бьет точно в цель и высаживает хакера на конкретный геморрой. Есть два вида шифровки: статическая и динамическая.</p> <p>При статической зашифрованный код/данные расшифровываются один-единственный раз, на самой ранней стадии инициализации программы, после чего расшифрованному коду передается управление. Это программируется просто и ломается еще проще: дождавшись завершения расшифровки, хакер снимает с программы дамп и дизассемблирует его.</p> <p>Динамические шифровщики расшифровывают код по мере возникновения необходимости в нем и, когда управление будет возвращено, тут же зашифровывают его вновь. Чем меньшие порции кода (данных) расшифровываются за раз, тем лучше (если извернуться, можно расшифровывать по одной машинной команде или байту данных). Таким образом, при динамической шифровке в каждый момент времени в памяти присутствуют только крохотные куски расшифрованного кода/данных и снятие дампа дает немного пользы.</p> <p>Широкому внедрению динамической шифровки препятствуют следующие проблемы. Во-первых, сложность разработки и трудоемкость отладки. Во-вторых, производительность, точнее, полное отсутствие таковой (что очень критично в играх). В-третьих, возможность снять дамп руками самого расшифровщика, которому последовательно передаются адреса всех зашифрованных регионов. Есть другой способ, при котором легким битхаком его тело исправляется таким образом, чтобы он только расшифровывал, но ничего не зашифровывал. Конечно, способы сопротивления существуют. Например, используют перекрывающие шифроблоки, которые могут быть расшифрованы только по очереди, но не все сразу, или многослойную шифровку типа «луковицы», при которой один шифровщик плюс немного полезного кода вложен в другой, а тот в третий и т.д. Шифровщики как бы перемешаны с кодом, и «отодрать» чистый дамп невозможно. Очень надежно, но реализуется очень и очень сложно.</p> <p>Бесспорных лидеров среди алгоритмов шифровки нет. Выбор предпочтительного метода защиты не столь однозначен, и статическая шифровка при всех своих недостатках продолжает удерживать прочные позиции, она не собирается сдаваться.</p> <p>p-код</p> <p>Термин p-код восходит к интерпретатору Visual Basic'а, но в хакерских кругах означает нечто большее и подразумевает любой интерпретируемый код произвольной виртуальной машины (не путать с VMWare). Непосредственное дизассемблирование в этом случае становится невозможно, и приходится прибегать к декомпиляции, для чего необходимо проанализировать алгоритм работы интерпретатора, написать (и отладить!) декомпилятор, что требует пива и времени. Правда, разработка (и отладка) интерпретатора тоже не обходится даром. Плюс разработка языка тянет за собой кучу вспомогательного инструментария (в первую очередь понадобится отладчик). Иначе как на нем программировать?..</p> <p>Все это выливается в солидный проект, который может быть использован всего один раз, в одной-единственной программе, причем желательно слегка изменять ядро интерпретатора после выхода нескольких версий, чтобы написанный хакером декомпилятор перестал работать. Что поделаешь, защита требует жертв и больших вложений. Плюс производительность интерпретируемого кода плетется в самом хвосте, отставая от динамической расшифровки и обфускации, но... Может быть, есть возможность реализовать на p-коде только защитные модули? Нет! Тогда их отломают! Не глядя! На p-коде должна быть реализована вся программа целиком, в том числе защитный механизм, тогда без декомпилятора его будет не хакнуть. Но это все теория. На практике полностью загнать программу в p-код не удается из-за производительности и критичные к быстродействию функции пишутся на языке высокого уровня или даже ассемблере. Зато вызываются они уже из p-кода, в котором сосредоточена основная логика по типу «если нельзя, то все-таки».</p> <p>Кстати, большинство игровых миров управляются своим собственным скриптовым языком, который описывает движение облаков, поведение мячика и характер разных монстров. На чистом С не запрограммируешь никакую игру сложнее «тетриса»! Если мы уже имеем скриптовый язык, то почему бы не включить в него несколько защитных функций? И в этом случае, чтобы взломать программу, хакеру придется разобраться в работе скриптового движка.</p> <p>Чаще всего разработчики используют Pascal- или Basic-подобные языки — не самый лучший выбор в плане защищенности. Программа на p-коде при этом представляет собой последовательность ключевых слов (операторов языка) с аргументами и декомпилируется очень просто. На другом конце шкалы сложности находится Машина Тьюринга, Сети Петри, Стрелка Пирса и прочие примитивные виртуальные машины, которые реализуют фундаментальные логические операции, в результате чего даже такая конструкция, как «IF THEN ELSE», распадается на сотни микрокоманд! Прежде чем хакер проанализирует их, солнце успеет погаснуть, или… Может, все-таки не погаснет? Существует множество продвинутых способов наглядной визуализации таких алгоритмов, к тому же мы опять забываем о производительности... Реализовать crackme на базе Машины Тьюринга еще можно, но коммерческое приложение — едва ли.</p> <p>Хорошая идея — приложить к этому делу Форт. Его преимущества: простота реализации Форт-машины, компактность p-кода, довольно высокая производительность, сложность декомпиляции и ни-на-что-непохожесть. Форт стоит особняком от всех языков, совсем не стремясь соответствовать человеческим привычкам, «здравому смыслу» и «логике». Разобраться в его идеологии с нуля непросто. Хакеру придется нарыть кучу литературы и запастись терпением. Даже если ему не наскучит, разработчик защиты получит хорошую фору по времени...</p> <p>Листинг</p> <p>дизассемблерный листинг Форт-машины (из программы see.exe, поставляемой вместе с Interrupt List'ом)</p> <p>seg000:1F29 loc_1F29: ; CODE XREF: start+39B9vj<br />seg000:1F29 call sub_1F04<br />seg000:1F2C mov word_A5C, bx<br />seg000:1F30 mov si, dx<br />seg000:1F32 mov bp, [bx+38h]<br />seg000:1F35 mov sp, [bx+36h]<br />seg000:1F38 lodsw<br />seg000:1F39 mov bx, ax<br />seg000:1F3B jmp word ptr [bx]</p> <p>Другая хорошая идея — использовать готовые интерпретаторы малораспространенных языков (Пролог, Хаскель, Оберон), под которые еще не написаны декомпиляторы. Многие из них разработаны в недрах исследовательских институтов и поставляются в исходных текстах, что упрощает модификацию ядра интерпретатора и позволяет легко адаптировать чужой язык к своим целям.</p> <p>Круче всего — нарыть в Сети эмулятор малоизвестной ЭВМ, под которую есть компилятор с языка высокого уровня (С, ФОРТАН), и... Хакеру придется очень худо, придется осваивать неизвестный ему машинный язык, искать дизассемблер (или, скорее, писать собственный), прилагая титанические усилия для взлома. Разработчик тем временем будет пить пиво и кодить в привычной для него среде. Самое замечательное — то, что в следующей версии программы можно использовать эмулятор от «другой» ЭВМ, перекомпилировав весь код без адаптации и каких-либо изменений. Точнее, совсем без изменений, конечно, не получится, но трудоемкость переноса не сравнить с тем объемом работы, который предстоит проделать взломщику!</p> <p>Секреты привязки</p> <p>Рассуждая о методах защиты, мы не касались вопроса привязки, то есть такой характеристики, которая бы отличала одну копию программы от другой. Самые надежные защиты основаны на привязке к носителю. Они же — самые капризные и глюкавые.</p> <p>Практически нереально создать защиту, которая безошибочно распознавалась бы любым приводом (включая что-то сильно раздолбанное или слишком нестандартное), но в то же время не копировалась бы ни одним известным копировщиком. Лучший результат дает привязка к геометрии спиральной дорожки (защиты типа CD-COPS, Star-Force) — ее невозможно скопировать, но легко проэмулировать или… подобрать диск с похожими характеристиками. Для предотвращения эмуляции разработчикам Star-Force пришлось очень глубоко зарыться в систему, в результате чего получился полный глюкодром, а установка очередного пакета обновлений на Windows требует параллельной установки соответствующего обновления для Star-Force. Так что лучше похоронить эту тему раз и навсегда и даже не пытаться возвращаться к ней. Иначе столкнешься с таким количеством проблем, осилить которое сможет только крупная компания, да и то…</p> <p>Серийные номера</p> <p>Самое простое — защитить программу серийным номером, который элементарно программируется и не вызывает никаких конфликтов ни с чем. Конечно, это не помешает Пете скопировать понравившуюся ему программу у Васи или даже выложить серийный номер в Сеть напоказ всем желающим. Соответствующий способ борьбы — использовать черный список «засвеченных» серийных номеров, проверяя их на соответствие при установке обновлений. Если защищенная программа предполагает взаимодействие с удаленным сервером, процедура проверки валидности серийных номеров значительно упрощается и нелегальный пользователь просто не получит доступ к серверу (очень актуально для сетевых игр!).</p> <p>Несетевые программы также могут периодически ломиться в Сеть, передавая свой серийный номер. Если этот номер не подтверждается, регистрация считается недействительной и работа программы прекращается. При этом возникают следующие проблемы: поддержка выделенного и постоянно работающего сервера стоит денег, к тому же такой сервер сам по себе представляет весьма нехилую мишень для атаки. Что если хакеры завесят его или, еще хуже, проникнут внутрь и украдут легальные номера? Значит, необходимо содержать толкового администратора и разрабатывать протокол проверки серийных номеров с учетом возможного перехвата, например использовать несимметричную криптографию — тогда украденная база не позволит восстановить ни один легальный серийный номер. Впрочем, что-то я все о мелочах да о мелочах.</p> <p>Как быть с персональными брандмауэрами, популярность которых постоянно растет? Пользователь не выпустит программу в Сеть! Хотя любой брандмауэр легко обойти установкой собственного драйвера, так поступать нельзя. Журналисты тут же поднимут шумиху и обольют программиста грязью. Требовать обязательного наличия интернета нельзя. До сих пор он есть не у всех (если все-таки требовать, необходимо как минимум уметь работать через прокси). Правда, можно прибегнуть к одному очень хитрому маневру: через функцию InternetGetConnectedState определить, доступен ли в настоящее время интернет, и если сетевое соединение действительно присутствует, потребовать от пользователя открыть брандмауэр (или что там у него есть). Популярная программа Macro Express поступает именно так, но и этот путь не свободен от проблем. Если выход осуществляется через локальную сеть, функция InternetGetConnectedState не сможет сказать, имеется ли выход оттуда в интернет. С удаленным доступом по модему намного проще, однако не стоит забывать, что пользователь может подключаться не только к провайдеру, но и к своему приятелю, у которого стоит импровизированный «сервер», не предоставляющий доступа в интернет... Однако InternetGetConnectedState этого не объяснишь! Наконец, системную библиотеку WININET.DLL, которая экспортирует функцию InternetGetConnectedState, очень просто хакнуть в контексте памяти ломаемого приложения, и тогда защите настанут кранты.</p> <p>Криптография и все, что связано с ней</p> <p>Вместо серийных номеров некоторые разработчики предпочитают использовать криптографические ключи и прочие системы цифровой подписи типа сертификатов, усиленно продвигаемые на рынок компанией Microsoft и прочими гигантами. Все чушь собачья! Цифровая подпись хорошо работает только в связке «клиент-сервер», но на локальной машине она бессмысленна. Да, сгенерировать «левый» ключ в этом случае невозможно, но если как следует пошурудить hiew'ом в исполняемом файле, никакие ключи уже не понадобятся. Так что цифровая подпись должна использоваться совместно с шифровкой кода и проверкой целостности!</p> <p>Можно (и нужно) шифровать ключевым файлом критические модули защищаемой программы, но главное тут — не перестараться! Независимо от алгоритма реализации, такая защита вскрывается при наличии одного-единственного ключа. Кроме того, она не защищена от распространения ключа.</p> <p>Оборудование — физическое и виртуальное</p> <p>Привязка к аппаратуре — это грязный и пакостный трюк, отравляющий жизнь легальным пользователям и все-таки не спасающий от взлома, поскольку любая привязка обнаруживается опытным хакером элементарно. Либо эмулируется, либо вырезается. Виртуальные машины типа VM Ware представляют собой большую проблему, на варезных серверах уже появились программы с примечанием «Запускать под VM Ware». Достаточно зарегистрировать программу один раз, и дальше можно тиражировать ее сколько угодно.</p> <p>Распознать виртуальные машины довольно легко, они несут на своем горбу довольно специфичный набор оборудования. Однако уже появились патчи, которые скрывают присутствие VM Ware, и, что хуже всего, многие легальные пользователи предпочитают запускать второстепенные утилиты из-под виртуальных машин, чтобы не засирать основную систему. Защита не может (не имеет ни морального, ни юридического права!) отказывать VM Ware в исполнении, иначе пользователи снесут защиту к чертям, мотивировав это «производственной необходимостью». Они будут правы (правда, так они не освобождаются от регистрации). Некоторые даже подадут в суд за умышленное ограничение функциональности, не отраженное на упаковке. Перейдем к практике...</p> <p>Лучше всего привязываться к жесткому диску. Как показывает практика, он меняется реже всего. Чтобы прочесть серийный номер, совершенно не обязательно писать собственный драйвер, достаточно воспользоваться библиотекой ASPI (но она не установлена по умолчанию) или SPTI (есть только в NT/XP и требует прав администратора). Есть и вот такой трюк. Вызываешь GetVolumeInformation и смотришь на размер тома в байтах. Не слишком уникальная информация, но на «другой» машине с вероятностью, близкой к единице, она будет иной. Плюс такая проверка реализуется очень просто, работает стабильно на всем семействе Windows-подобных систем (в том числе эмуляторы) и не требует никаких прав.</p> <p>Компиляция on demand</p> <p>При наличии ресурсов можно установить сервер, генерирующий программы индивидуально для каждого пользователя, специально под его регистрационные данные. Пользователь скачивает крошечный инсталлятор. Инсталлятор извлекает с компьютера ключевую информацию, необходимую для привязки (например размер тома), спрашивает имя пользователя и передает эту информацию серверу, который жестко прописывает все это «хозяйство» в исходном тексте, перекомпилирует его, зашифровывает любым понравившимся навесным упаковщиком и отсылает назад. Что выигрывает разработчик?</p> <p>Во-первых, «отломать» защиту становится намного сложнее, поскольку она не спрашивает никаких серийных номеров, не требует ключевых файлов и хакеру просто не за что зацепиться. Во-вторых, даже если программа будет взломана, придется распространять ее только в исполняемом файле (в который легко внедрить «водяные знаки», идентифицирующие владельца, например зашифрованный MAC-адрес его сетевой карты). К исполняемым файлам, добытым противоестественным путем (то есть скачанным из ненадежных источников), народ испытывает традиционное недоверие, и далеко не каждый рискнет запускать их.</p> <p>Как затруднить распаковку</p> <p>Откомпилированная программа обычно подвергается упаковке. Цель здесь совсем не в уменьшении размера, а в затруднении анализа. Упаковщик набивает программу антиотладочными приемами и прочей бодягой, которая затрудняет пошаговую трассировку или даже делает ее невозможной. На самом деле хакер и не собирается ничего трассировать, а только снимает с работающего приложения дамп и дизассемблирует его (реконструировать exe-файл для этого необязательно). Надежно противостоять снятию дампа на прикладном уровне невозможно, а спускаться на уровень драйверов как-то не хочется. Некоторые защиты искажают PE-заголовок, гробят таблицу импорта и используют другие грязные трюки, с помощью которых затрудняют дампинг, но не предотвращают его в принципе.</p> <p>глобальные инициализированные переменные</p> <p>Предлагаю альтернативный путь — не препятствовать снятию дампа, а сделать полученный образ бесполезным, для чего достаточно использовать глобальные инициализированные переменные, «перебивая» их новыми значениями.</p> <p>Листинг</p> <p>защитный механизм, предотвращающий снятие дампа с работающей программы путем использования инициализированных глобальных переменных</p> <p>char *p = 0; // глобальная переменная 1</p> <p>DWORD my_icon = MY_ICON_ID; // глобальная переменная 2</p> <p>…</p> <p>if (!p) p = (char*) malloc(MEM_SIZE);</p> <p>my_icon = (DWORD) LoadIcon (hInstance, my_icon);</p> <p>Задумайся, что произойдет, если сбросить дамп с работающей программы. В переменной p окажется указатель на когда-то выделенный блок памяти, условие (!p) обломится и новая память не будет (!) выделена, а при обращении по старому указателю произойдет исключение. Другими словами, хакер уже не сможет изготовить исполняемый файл из дампа! Как минимум, придется восстановить значения всех глобальных переменных — геморрой :(. Ладно, изготовить исполняемый файл из дампа нельзя, но, может, дизассемблировать его? А вот и нельзя...</p> <p>После выполнения функции LoadIcon переменная my_icon будет содержать не идентификатор иконки, а ее обработчик. Хакер не сможет установить, что это за иконка (строка, битмап или другой ресурс), и ему придется обращаться к отладчику, противостоять которому намного проще, чем дизассемблеру. Кстати, такой прием экономит память и широко используется во многих программах. Например, в стандартном «Блокноте» — попробуй снять с него дамп и обломайся :).</p> <p>стартовый код</p> <p>Единственная надежда хакера — отловить момент завершения распаковки и тут же сбросить дамп, пока защита не успела нагадить в глобальные переменные. Пошаговая трассировка исключается (противостоять ей очень легко), и остается... стартовый код, который варьируется от компилятора к компилятору.</p> <p>Листинг</p> <p>типичный представитель стартового кода (в случае с Microsoft Visual C++ MFC)</p> <p>.text:00402A82 push ebp<br />.text:00402A83 mov ebp, esp<br />.text:00402A85 push 0FFFFFFFFh<br />.text:00402A87 push offset unk_403748<br />.text:00402A8C push offset loc_402C06<br />.text:00402A91 mov eax, large fs:0<br />.text:00402A97 push eax<br />.text:00402A98 mov large fs:0, esp<br />.text:00402A9F sub esp, 68h<br />...<br />.text:00402BAA call ds:GetModuleHandleA<br />.text:00402BB0 push eax<br />.text:00402BB1 call _WinMain@16 ; WinMain(x,x,x,x)</p> <p>точка останова на GetModuleHandleA</p> <p>Вызов API-функции GetModuleHandleA сразу же бросается в глаза. Если хакер установит сюда точку останова, отладчик/дампер «всплывет» в start-up-коде еще до передачи управления WinMain (также можно поставить точки останова на GetVesion/GetVersionEx, GetCommandLine, GetStartupInfo и т.д.). Если точка останова программная, распаковщик может обнаружить ее по наличию ССh в начале API-функции и, с некоторой долей риска, снять ее. Если второй байт функции равен 8Bh, то перед нами, очевидно, предстает стандартный пролог, первый (оригинальный) байт которого равен 55h. Получаешь права на запись через VirtualAlloc, меняешь CCh на 8Bh и продолжаешь распаковку в обычном режиме. Пусть хакер крякнет! Правда, в последующих версиях Windows пролог API-функций может быть модифицирован, и тогда этот трюк не сработает.</p> <p>отладочные регистры</p> <p>Аппаратную точку останова можно обнаружить чтением регистров Drx. Команда mov eax,DrX на прикладном уровне приводит к исключению, кроме того, отладчик (теоретически) может отслеживать обращение к отладочным регистрам, чтобы маскировать свое присутствие, — x86 процессоры предоставляют все необходимое для этого. Но если распаковщик прочитает свой контекст, он сможет дотянуться и до Drx, причем не только на чтение, но и на запись! Получается, что можно не только обнаружить точки останова, но и обезвредить их. Весь вопрос в том, как получить контекст. Чтение SDK выявляет API-функцию GetThreadContext, которая как раз для этого и предназначена, однако пользоваться ей нельзя, иначе хакер установит сюда точку останова и защита проиграет войну.</p> <p>Нужно действовать так. Регистрируешь из распаковщика собственный обработчик SEH, возбуждаешь исключение (делишь на ноль, обращаешься по недействительному указателю) и получаешь контекст в одном из аргументов структурного обработчика. Остается установить точку останова на fs:0, где и хранится указатель на SEH-обработчик (но до этого додумается не каждый хакер).</p> <p>структурные исключения</p> <p>Кстати о fs:0. Первое, что делает стартовый код, — это регистрация собственного SEH-обработчика, поэтому установка точки останова на fs:0 позволяет хакеру всплыть сразу же после завершения распаковки, следовательно, распаковщик должен обращаться к этой ячейке как можно чаще. Десятки или даже тысячи раз, причем следует класть туда не что угодно, а именно ESP, иначе хакер установит условную точку останова (soft-ice это позволяет) и легко обойдет защиту.</p> <p>поиск по сигнатуре</p> <p>Есть такой козырный хакерский трюк. Взломщик снимает дамп с работающей программы, находит там стартовый код по сигнатуре, определяет его адрес и ставит на его начало аппаратную точку останова (программную ставить нельзя, она будет затерта при распаковке). Разработчику защиты необходимо либо распознавать аппаратные точки останова и снимать их, действуя по методике, описанной выше, либо использовать модифицированный стартовый код, который не сможет распознать хакер.</p> <p>контроль $pc</p> <p>Еще один трюк. Большинство распаковщиков располагаются в стороне после распакованного кода и при передаче управления на оригинальную точку входа прыгают куда-то далеко. Хакер может использовать этот факт как сигнал о том, что распаковка уже завершена. Конечно, установить аппаратную точку останова на это условие уже не удастся, и придется прибегнуть к пошаговой трассировке (ей легко противостоять), но ради подобного случая хакер может написать и трейсер нулевого кольца. Несложно. Сложно определить, когда же заканчивается распаковка. Контроль на $pc (в терминологии x86 — «eip») — единственный универсальный способ, который позволяет сделать это без особых измен и, чтобы обломать хакера, распаковщик должен как бы «размазывать» себя вдоль программы. Тогда он победит!</p> <p>Боремся с отладчиком</p> <p>Распространенный миф гласит, что штурмовать отладчик уровня soft-ice можно только из ядра, а надежно обуть его с приказного уровня невозможно. Неправда. В частности, эффективная отладка форт-программ (как и другого p-кода) под soft-ice невозможна. Отладчик просто вращается внутри форт-машины, наматывая мили на кардан, хакер матерится, выкуривает одну сигарету за другой, но не может предложить ничего конструктивного, кроме как написать декомпилятор, на что требуется время, которого никогда нет.</p> <p>антиотладка</p> <p>К слову, использовать антиотладочные приемы следует с большой осторожностью, лучше не использовать их вообще. То, что работает под 9x, часто не работает под NT, и наоборот. Обращение к недокументированным структурам операционной системы ставит программу в зависимость от левой пятки Microsoft, привязывая ее к текущей версии Windows. Кроме того, многие антиотладочные приемы, опубликованные в различных статьях, на проверку оказываются сплошной фикцией. Отладчик работает нормально и не ведется на них, зато глюки прилетают косяками.</p> <p>Следует помнить и о существовании такой штуки, как IceExt — специальной примочки для soft-ice, которая скрывает его от многих защитных механизмов. Всегда проверяй все применяемые идеи на вшивость, и не только под soft-ice+IceExt, но и в альтернативных отладчиках типа OllyDbg. Совершенно недопустимо отказываться от работы в присутствии пассивного отладчика. Аргумент «soft-ice держат на компьютере только хакеры» идет лесом на хутор. Туда же посылаются и разработчики. Необходимо противодействовать лишь активной отладке. Нейтрализации точек останова обычно бывает вполне достаточно. Не нужно мешать отладчику, главное — сделать этот процесс максимально неэффективным.</p> <p>вероятностное поведение программы</p> <p>Пусть вызовы защитных функций следуют из разных мест с той или иной вероятностью, определяемой либо оператором типа rand(), либо действиями пользователя. Например, если сумма последних шести символов, набранных пользователем, равна 69h, происходит «внеплановый» вызов защитного кода. Если программа при каждом прогоне ведет себя слегка по-разному, реконструкция ее алгоритма чрезвычайно усложняется.</p> <p>взлом по следам, взлом без следов</p> <p>Основная ошибка большинства создателей защит заключается в том, что они дают хакеру понять, что защита распознала попытку взлома. Ни в коем случае не делать так! Пусть хакер сам догадывается, перелопачивая тонны машинного кода. Ах, если бы мы только могли не выводить диалоговое окно с надписью «неверный серийный номер/инвалидный ключ» — тогда хакеру остается только поставить точку останова и посмотреть на код, который выводит его, а защитный механизм сразу же будет пойман за хвост! Приходится идти в обход: вместо немедленного выполнения какого-либо действия программист создает список отложенных процедур (просто массив указателей на функции) и проверяет его в цикле выборки сообщений или во время простоя системы из отдельного потока. Один поток проверяет регистрационные данные и кладет сюда указатель на функцию, которую нужно осуществить вместе с другими функциями, выполняемыми программой. Цепь разомкнулась! Простая трассировка топит отладчик в цикле выборки сообщений, и хакеру приходится разбираться со всеми этими списками, очередями и т.д., что в отладчике сделать очень непросто. Для реконструкции алгоритма требуется помощь дизассемблера...</p> <p>полезные советы россыпью</p> <p>Проверяй серийный номер (пароль) не с первого байта (лучше всего с пятого), этим защита обломает начинающего хакера, который установил точку останова на начало. Также не проверяй последние символы серийного номера. И не проверяй середину! Проверяй не более половины символов вразброс. Смешно, конечно, но очень выручает. Никогда не считывай серийный номер (пароль, имя пользователя) из строки редактирования целиком! Хакер тут же найдет его в памяти и расставит точки останова, в которые угодит защитный механизм. Считывай только по одному вводимому символу за раз (через WM_CHAR или DDE) и тут же шифруй их (если скалывать считанные символы в локальный буфер, то получится тот же самый WM_GETTEXT, только реализованный своими руками).</p> <p>Боремся с дизассемблером</p> <p>Оптимальный дизассемблер — IDA PRO. Действительно очень мощный дизассемблер, его не так-то просто взять на испуг. С классическими защитными приемами (типа прыжка в середину команды) он справляется даже не замечая, что тут было что-то защитное. Если на пути хакера встретится стена зашифрованного/упакованного кода, он напишет короткий (длинный) скрипт и расшифрует все, что нужно, даже не выходя из дизассемблера. Для p-кода будет написан отдельный плагин типа «докомпилятор».</p> <p>Самым мощным антихакерским средством был и остается косвенный вызов функций по указателю, передаваемому в качестве аргумента. Хакер натыкается на что-то типа call eax и матерится в бессильной злобе, пытаясь определить, что содержится в eax на данный момент. Если материнская функция вызывается обычным способом, взломщику достаточно просто перейти по перекрестной ссылке, заботливо сгенерированной IDA, и подсмотреть, что передается функции. Однако если указатель инициализируется далеко от места вызова, хакеру придется раскрутить всю цепочку вызовов. Если же функция, вызывающая косвенную функцию, сама вызывается косвенным путем, то вообще наступают кранты! Остается запускать отладчик, устанавливать точку останова на call eax и смотреть ее значение вживую, однако точкам останова легко противостоять. К тому же в различные моменты времени eax может указывать на разные функции, тогда простое подглядывание eax ничего не даст. Дизассемблер ослепнет и оглохнет!</p> <p>Листинг</p> <p>пример программы, вызывающей функции по указателю</p> <p>sub_sub_demo(int a, void *p, void *d)<br />{<br />// printf(«sub_sub_demo\n»);<br />if (--a) return ((int(*)(int, void*, void*))p)(a, p, d);<br />return 0;<br />}</p> <p>sub_demo(int a, void *p, void *d)<br />{<br />// printf(«sub_demo\n»);<br />if (--a) return ((int(*)(int, void*, void*))d)(a, p, d);<br />return 0;<br />}</p> <p>demo(int a, void *p, void *d)<br />{<br />// printf(«demo\n»);<br />((int(*)(int, void*, void *))p)(a, p, d);<br />}</p> <p>main()<br />{<br />demo(0x69,sub_demo, sub_sub_demo);<br />}</p> <p>В исходном тесте все понятно. Функция main вызывает функцию demo, передавая ей указатели на sub_demo и sub_demo, которые поочередно вызывают друг друга, каждый раз уменьшая счетчик на единицу. Короче, мы имеем цикл. Но какой! Ты оцени его дизассемблерный код.</p> <p>Листинг</p> <p>дизассемблерный листинг, демонстрирующий мощь косвенного вызова функций</p> <p>.text:00401000 loc_401000: ; DATA XREF: _maino<br />.text:00401000 mov ecx, [esp+4]<br />.text:00401004 dec ecx<br />.text:00401005 jz short loc_401018<br />.text:00401007 mov eax, [esp+0Ch]<br />.text:0040100B push eax<br />.text:0040100C mov eax, [esp+0Ch]<br />.text:00401010 push eax<br />.text:00401011 push ecx<br />.text:00401012 call eax<br />.text:00401014 add esp, 0Ch<br />.text:00401017 retn<br />.text:00401020<br />.text:00401020 loc_401020: ; DATA XREF: _main+5o<br />.text:00401020 mov ecx, [esp+4]<br />.text:00401024 dec ecx<br />.text:00401025 jz short loc_401038<br />.text:00401027 mov eax, [esp+0Ch]<br />.text:0040102B mov edx, [esp+8]<br />.text:0040102F push eax<br />.text:00401030 push edx<br />.text:00401031 push ecx<br />.text:00401032 call eax<br />.text:00401034 add esp, 0Ch<br />.text:00401037 retn<br />.text:00401040<br />.text:00401060 _main proc near ; CODE XREF: start+AF p<br />.text:00401060 push offset loc_401000<br />.text:00401065 push offset loc_401020<br />.text:0040106A push 69h<br />.text:0040106C call sub_401040<br />.text:00401071 add esp, 0Ch<br />.text:00401074 retn<br />.text:00401074 _main endp</p> <p>IDA Pro не смог распознать функции, хотя восстановил перекрестные ссылки на main — они еще ни о чем не говорят! Функции sub_demo и sub_sub_demo вызываются совсем не оттуда. Возьмем «функцию» loc_401000. Она принимает указатель в качестве аргумента и тут же вызывает его. А что это за указатель? Да хвост его знает! Перекрестной ссылки на материнскую функцию же нет. Единственный способ установить истину — проанализировать всю цепочку вызовов с самого начала программы, с функции main, но слишком трудоемко, так что даже не обсуждается (особенно если ломать реальную программу). Даже в таком случае приходится постоянно следить за указателями, которые пляшут как кони, причем, даже если развяжешь себе пупок, не сможешь понять, что находится в них в каждый конкретный момент...</p> <p>Защита будет значительно усилена, если реализовать модель Маркова — функцию, возвращающую указатель на функцию. Такой прием программирования не слишком популярен, так как непривычен и лишен языковой поддержки. Язык С вообще не позволяет объявлять функции, возвращающие указатели на функции, поскольку такие определения рекурсивны и программисту приходится возиться с постоянным преобразованием типов, что не слишком украшает программу и является потенциальным рассадником ошибок. Тем не менее на автоматическое дизассемблирование моделей Маркова не способен ни один дизассемблер, в том числе IDA PRO.</p> <p>Боремся с мониторами</p> <p>Рассмотрим пару способов борьбы с файловыми мониторами и мониторами реестра. Самое простое, что только можно придумать, — через FindWindow находить главное окно монитора и затем либо закрывать его к чертям</p> <p>э либо, посылая специальные Window-сообщения, удалять из списка «свои» обращения. Естественно, если хакер переименует окно (делается через FindWindow/SetWindowText), защита обломается по полной программе. Так что такой прием слишком ненадежен.</p> <p>А что надежно? Хранить флаг регистрации вместе с настройками в одном ключе реестра в двоичном виде — вот тут его мониторинг ничего не даст. Хакер видит, что из такой ветви читается куча байтов, но ему неведомо, какой из них и за что отвечает. Выяснить можно только отладкой/дизассемблированием защищенной программы, сопротивляться чему несложно.</p> <p>Мы рассмотрели множество эффективных и одновременно системно независимых защитных техник, работающих на прикладном уровне и не сильно усложняющих реализацию. Видно, что даже в таких жестких условиях можно сделать многое!</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:18:46 +0300 http://ws.mybb.ru/viewtopic.php?pid=8#p8 http://ws.mybb.ru/viewtopic.php?pid=7#p7 <p>Skype представляет собой одну из самых популярных VoIP-программ, установленную на миллионах компьютеров по всему миру, владельцы которых даже и не подозревают, какая опасность им грозит. А опасность им грозит весьма серьезная: от утечки конфиденциальной информации до проникновения червей и попадания на трафик, не говоря уже о таких мелочах, как нежелание Skype работать при активном SoftICE. Я все это благополучно разгрыз и теперь выставляю продукты своей жизнедеятельности на всеобщее обозрение :).</p> <p>Skype, созданный отцами-основателями скандально известной Kazaa и унаследовавший от своей прародительницы самые худшие ее черты, работает по принципу самоорганизующейся распределенной пиринговой сети (distributed self-organized peer-to-peer network, P2P). Skype – это черный ящик с многоуровневой системой шифрования, напичканного антиотладочными приемами исполняемого файла, считывающий с компьютера конфиденциальную информацию и передающий ее в сеть по закрытому протоколу. Последний обходит брандмауэры и сурово маскирует свой трафик, препятствуя его блокированию. Все это превращает Skype в идеального переносчика вирусов, червей и дронов, создающих свои собственные распределенные сети внутри Skype-сети. К тому же, Skype довольно бесцеремонно обращается с ресурсами твоего узла, используя его для поддержания связи между остальными узлами Skype-сети, напрягая ЦП и генерируя мощный поток трафика. А трафик, как известно, редко бывает бесплатным (особенно в России), так что кажущаяся бесплатность звонков весьма условна: за узлы с «тонкими» каналами расплачиваются «толстые» владельцы. </p> <p>Skype активно изучается в хакерских лабораториях и security-организациях по всему миру, и большинство исследователей единодушно сходятся во мнении, что Skype - это дьявольски хитрая программа, написанная бесспорно талантливыми людьми в стиле Black Magic Art. Skype не брезгует грязными трюками, создающими огромные проблемы, о которых я и собираюсь рассказать.<br />Анализ исполняемого файла Skype</p> <p>Исполняемый файл Skype-клиента представляет собой настоящий шедевр хакерского искусства, вобравший в себя множество интересных и достаточно могучих защитных механизмов. Для противодействия им требуются не только мощные инструментальные средства (отладчики, дизассемблеры, дамперы и т.д.) и знания/навыки, но еще и куча свободного времени.</p> <p>Двоичный файл полностью зашифрован и динамически расшифровывается по мере загрузки в память. Причем сброс дампа невозможен, точнее, затруднен тем обстоятельством, что стартовый код после выполнения очищается, в результате чего мы получаем exe, который не запускается. Оригинальная таблица импорта не содержит ничего интересного, и API-функции подключаются уже в процессе распаковки. Проверка целостности кода выполняется из разных мест в случайном порядке (преимущественно при входящих звонках), поэтому поиск защитных процедур представляет собой весьма нетривиальную задачу. Тем более что они основаны на криптографических RSA-сигнатурах и снабжены полиморфными генераторами, которые в случайном порядке переставляют инструкции ADD, XOR, SUB и др., перемешивая их с левыми машинными командами.</p> <p>Статический вызов функций (по жестко прописанному адресу) практически не встречается, и все важные процедуры вызываются по динамически вычисляемому указателю, пропущенному через обфускатор. Следовательно, дизассемблер нам тут уже не поможет, и приходится браться за отладчик. </p> <p>А вот про отладчик следует сказать отдельно. Skype распознает SoftICE даже при наличии установленного IceExt, наотрез отказываясь запускаться. Это забавно, поскольку для взлома самого Skype отладчик SoftICE не очень-то и нужен, ведь существуют и другие инструменты подобного рода, среди которых в первую очередь хотелось бы отметить The Rasta Ring 0 Debugger, или сокращенно [RR0D], не обнаруживаемый Skype-клиентом и, как и следует из его названия, работающий на уровне ядра. В принципе, можно воспользоваться и отладчиком прикладного уровня (например, стремительно набирающим популярность OllyDbg). Только при этом важно помнить, что Skype легко обнаруживает программные точки останова, представляющие собой однобайтовую машинную инструкцию с опкодом CCh, записывающуюся поверх отлаживаемого кода. А для предотвращения пошаговой трассировки Skype осуществляет замеры времени выполнения определенных участков кода, для прохождения через которые приходится использовать полноценные эмуляторы PC с интегрированным отладчиком, например, знаменитый BOCHS.</p> <p>Наконец, когда исполняемый файл распакован и все проверки пройдены, защита вычисляет контрольную сумму и преобразует ее в указатель, по которому передается управление, пробуждающее Skype.</p> <p>Последовательность распаковки исполняемого файла</p> <p>Антиотладочные приемы, с помощью которых Skype обнаруживает загруженный SoftICE</p> <p>Проблема в том, что Skype очень следит за своей целостью, поэтому попытка исправления jnz на jmp short работает только до первого входящего звонка, после которого Skype падает и обратно уже не поднимается. Специально для таких хитроумных защит еще во времена MS-DOS была разработана техника онлайн-патча, при которой исправление программы осуществляется непосредственно в оперативной памяти, а после успешного прохождения проверки на наличие SoftICE совершается откат, чтобы не волновать процедуру проверки целости. </p> <p>Беглая трассировка Skype с помощью OllyDbg быстро выявляет защитный код, выполняющий проверку на присутствие SoftICE<br />Архитектура распределенной сети</p> <p>На атомарном уровне структура Skype-сети состоит из обычных узлов (normal/ordinal node/host/nest), обозначаемых аббревиатурой SC (Skype Client), и super-узлов (super node/host/nest), которым соответствует аббревиатура SN. Любой узел, который имеет публичный IP-адрес (тот, который маршрутизируется в интернет) и обладает достаточно широким каналом, автоматически становится super-узлом и гонит через себя трафик обычных узлов, помогая им преодолеть защиты типа брандмауэров или трансляторов сетевых адресов (NAT) и равномерно распределяя нагрузку между хостами. В этом и состоит суть самоорганизующейся распределенной децентрализованной пиринговой сети, единственным централизованным элементом которой является Skype-login-сервер, отвечающий за процедуру авторизации Skype-клиентов и гарантирующий уникальность позывных для всей распределенной сети.</p> <p>Важно подчеркнуть, что связь между узлами осуществляется не напрямую, а через цепочку super-узлов. Серверов в общепринятом смысле этого слова (таких, например, как в сети eDonkey) в Skype-сети нет. Любой узел с установленным Skype-клиентом является потенциальным сервером, которым он автоматически становится при наличии достаточных системных ресурсов (объема оперативной памяти, быстродействия процессора и пропускной способности сетевого канала).</p> <p>Каждый узел Skype-сети хранит перечень IP-адресов и портов известных ему super-узлов в динамически обновляемых кэш-таблицах (Host Cache Tables, HC-tables). Начиная с версии Skype 1.0, кэш-таблица представляет собой простой XML-файл, в незашифрованном виде записанный на диске в домашней директории пользователя.</p> <p>Структура децентрализованной самоорганизующейся пиринговой Skype-сети</p> <p>Skype-клиенты за отдельную плату могут принимать входящие звонки с обычных телефонов и совершать подобные звонки. Однако в PC2PC-обмене эти серверы никак не участвуют, поэтому мы не будем на них останавливаться.</p> <p>Помимо звонков внутри Skype-сети, пользователи могут звонить и на обычные телефоны, а также принимать с них звонки.<br />Как Skype обходит брандмауэры</p> <p>Протокол обмена между Skype-клиентами совершенно недокументирован, и поэтому вся информация о нем получена методами реинженеринга: дизассемблирования Skype-клиентов, анализа перехваченного сетевого трафика и т.д. Поскольку существует огромное количество значительно различающихся между собой версий Skype-клиентов, то описание протокола может содержать неточности, во всяком случае, open-source-клиента еще никто не написал.</p> <p>Сразу же после своего запуска Skype-клиент открывает TCP- и UDP-порты. Их номера случайным образом задаются при инсталляции и могут быть в любой момент изменены через диалог конфигурации, что затрудняет блокирование Skype-трафика на брандмауэре. Помимо этого, Skype открывает порты 80 (HTTP) и 443, однако они не являются жизненно важными, и, даже если их заблокировать, Skype ничуть не огорчится.</p> <p>Структура IP-пакета при работе Skype по протоколу UDP</p> <p>Ситуация осложняется тем, что Skype шифрует трафик, активно используя продвинутые технологии обфускации, препятствующие выделению постоянных сигнатур в полях заголовков. Алгоритмы шифрования меняются от версии к версии, к тому же выпущено множество специальных версий для разных стран мира, чьи законы налагают определенные ограничения на длину ключа или выбранные криптографические алгоритмы. Но в целом механизм шифрования выглядит так, как показано на рисунке.</p> <p>Механизм шифрования, используемый Skype</p> <p>Skype-клиенты крайне деликатно обходятся с брандмауэрами и трансляторами сетевых адресов, просачиваясь сквозь них через хорошо известные протоколы STUN и TURN. Протокол STUN уже вошел в Библию Интернета и подробно описан в RFC-3489. Что же касается TURN'а, то он все еще находится в разработке и в настоящее время доступна лишь черновая версия стандарта: wwwjdrosen.net/midcom_turn.html.</p> <p>Так что, с юридической точки зрения, действия Skype законны и не попадают под статью. STUN, расшифровывающийся как Simple Traversal of User Datagram Protocol (UDP) Through Network Address Translators (NATs) (простое проникновение датаграмм протокола UDP через транслятор сетевых адресов (NAT)), представляет собой отличное средство, которое страдает, однако, рядом ограничений и не работает в следующих случаях:</p> <p>&#160; &#160;1. если путь во внешнюю сеть прегражден злобным брандмауэром, режущим весь UDP;<br />&#160; &#160;2. если на пути во внешнюю сеть стоит симметричный транслятор сетевых адресов.</p> <p>Ну, с брандмауэром все понятно. Если UDP закрыт, то никак его не откроешь. А вот симметричный транслятор сетевых адресов (symmetric NAT) — это что за штука? Не углубляясь в технические детали, скажем, что симметричный NAT представляет собой разновидность обыкновенного транслятора, требующего, чтобы целевой IP-адрес и порт транслируемого пакета совпадали с внешним (external) IP-адресом и портом. Если один и тот же узел посылает пакеты с одинаковыми исходными IP-адресами и портами по разным направлениям, NAT будет вынужден транслировать их на другие порты. Таким образом, чтобы отправить внутреннему узлу UDP-пакет, внешний узел должен первым делом получить запрос от внутреннего узла. Самостоятельно инициировать соединение внешний узел не в состоянии, поскольку NAT просто не знает, на какой внутренний IP и порт следует транслировать неожиданно сваливавшийся UDP-пакет.</p> <p>Эта проблема решается протоколом TURN (Traversal Using Relay NAT), технические подробности работы которого описаны по вышеупомянутому адресу и большинству читателей совершенно неинтересны. Гораздо важнее другое — протокол TURN значительно увеличивает латентность и теряет большое количество UDP-пакетов (packet loss), что далеко не лучшим образом сказывается на качестве и устойчивости связи, но полное отсутствие связи - еще хуже. Так что пользователям Skype стоит радоваться, а не жаловаться!</p> <p>Структура Skype-сети, в которой присутствуют Skype-клиенты за NAT и брандмауэрами</p> <p>Вот только администраторы этой радости почему-то не разделяют, наглухо закрывая UDP-трафик (тем более что большинству нормальных программ он не нужен). Немного поворчав для приличия (замуровали, демоны!), Skype автоматически переключается на чистый TCP, отрубить который администратору никто не позволит. Правда, поколдовав над брандмауэром, тот может закрыть все неиспользуемые порты, но в том-то и подвох, что неиспользуемых портов в природе не встречается! При соединении с удаленным узлом операционная система назначает клиенту любой свободный TCP/UDP-порт, на который будут приходить пакеты. То есть, если мы подключаемся к web-серверу по 80-му порту, наш локальный порт может оказаться 1369-м, 6927-м или еще каким-нибудь другим. Закрыв все порты, мы лишимся возможности устанавливать TCP/UDP-соединения!</p> <p>Единственный выход — обрубить всем пользователям локальной сети прямой доступ в интернет, заставив их ходить через proxy-сервер. Однако даже такие драконовские меры не решат проблемы, поскольку Skype просто прочитает конфигурацию браузера и воспользуется proxy-сервером как своим родным!</p> <p>Skype, работающий через proxy-сервер, конфигурация которого прочитана из настроек браузера<br />Как заблокировать Skype-трафик</p> <p>Разработчики Skype предостерегают администраторов от попыток выявления и блокирования его трафика (типа: «Все равно у вас ничего не получится!»). И действительно, распознать Skype-трафик очень сложно, а заблокировать его можно только по содержимому, которое зашифровано и не содержит никаких предсказуемых последовательностей. К счастью для администраторов, создатели Skype, при всей своей гениальности, допустили ряд оплошностей, оставив часть трафика незашифрованной. UDP-соединение использует открытый протокол для получения публичных IP-адресов super-узлов, что вполне может быть выявлено анализатором трафика. Это раз. TCP-соединение использует один и тот же RC4-поток дважды, что позволяет нам восстановить 10 первых байт ключа, расшифровав часть постоянных полей заголовков Skype-протокола. Это два! Кстати, весьма полезная вещь для шпионажа за чужими разговорами! Однако мне не известен ни один готовый блокиратор Skype-трафика, а писать свой собственный — лениво, да и времени нет.</p> <p>Повторное использование RC4-потока позволяет восстановить 10 байт ключа из 12-ти, расшифровывая часть Skype-трафика</p> <p>Распознать и заблокировать UDP-трафик намного проще. Каждый фрейм начинается с двухбайтового идентификационного номера (ID) и типа пакета (payload). В UDP-пакет вложен 39-байтный NACK-пакет, пропущенный через обфускатор и содержащий следующие данные:</p> <p>&#160; &#160; * идентификатор пакета (непостоянен и варьируется от пакета к пакету);<br />&#160; &#160; * номер функции (func), пропущенный через обфускатор, но func &amp; 8Fh всегда равно 7h;<br />&#160; &#160; * IP отправителя;<br />&#160; &#160; * IP получателя.</p> <p>Таким образом, чтобы заблокировать UDP-трафик, генерируемый Skype, достаточно добавить в брандмауэр следующее правило:</p> <p>iptables -I FORWARD -p udp -m length --length 39 -m u32 <br />--u32 '27&amp;0 x8f=7' --u32 '31=0 x527c4833 ' -j DROP</p> <p>Структура NACK-пакета</p> <p>К сожалению, блокировка UDP-трафика ничего не решает, поскольку Skype автоматом переходит на TCP, но тут есть одна небольшая зацепка. Заголовки входящих IP-пакетов, относящиеся к протоколу обмена SSL-ключами (SSL key-exchange packets), содержат нехарактерный для «нормальных» приложений идентификатор 170301h, возвращаемый в ответ на запрос с идентификатором 160301h (стандартный SSL версии 3.1). Таким образом, блокирование всех входящих пакетов, содержащих в заголовке 170301h, серьезно озадачит Skype, и текущие версии потеряют работоспособность. Вот только надолго ли…</p> <p>Распознание Skype-трафика по необычному идентификатору во время обращения к Login Server при обмене SSL-ключами</p> <p>Для детектирования и блокирования Skype-трафика можно использовать и другие программно-аппаратные средства, например, PRX от Ipoque или Cisco Network-Based Application Recognition (NBAR). Однако все они недостаточно эффективны, так как разработчики Skype не сидят сложа руки, и если кому-то удается найти надежный способ блокировки его поганого трафика, в следующих версиях поганец появляется вновь.<br />Армии дронов, или как зомбировать Skype</p> <p>Дешевизна голосовых разговоров вызвала бурный рост популярности Skype, сеть которого на 27 апреля 2006 года, по официальным данным, составила свыше 100 миллионов зарегистрированных пользователей. А сегодня совершают, по меньшей мере, один Skype-звонок в день свыше 700 тысяч человек! Несложно спрогнозировать, что в скором времени в Skype войдет львиная доля узлов интернета, что имеет как положительную, так и отрицательную сторону.</p> <p>Хакеры уже давно догадались использовать Skype для распространения вирусов и организации распределенных атак, которым очень сложно воспрепятствовать - Skype-трафик надежно зашифрован и не может быть проанализирован антивирусами, заблокирован брандмауэрами или распознан системами обнаружения вторжения.</p> <p>Естественно, чтобы захватить Skype-узел, хакер должен найти способ передать на него зловредный код, что при соблюдении всех мер безопасности он ни за что не сможет сделать. Но, как и всякое другое программное обеспечение, Skype подвержен ошибкам, в том числе и ошибкам переполнения, одна из которых была обнаружена 25 сентября 2005 года. Сейчас она уже давно исправлена и представляет лишь исторический интерес, но с ней все-таки стоит познакомиться поближе (а сделать это можно на Skype.com/security/Skype-sb-2005-03.html или на seclists.org/fulldisclosure/2005/Oct/0533.html).</p> <p>Возможность передачи управления на shell-код позволяла атакующему овладевать любым Skype-узлом, а также всеми известными ему super-узлами и т.д. Над распределенной сетью нависла глобальная угроза, и просто чудо, что она не закончилась катастрофой. Однако, как показывает практика, там, где есть одна ошибка, рано или поздно появляются и другие. Закрытость исходных текстов и множество антиотладочных приемов (затрудняющих тестирование программы) этому только способствуют!</p> <p>Другая опасная «вкусность» Skype заключается в открытости его API. Пойдя навстречу сторонним разработчикам, создатели Skype предусмотрели возможность интеграции любой прикладной программы со Skype-клиентом. Правда, при этом на экран выводится грозное предупреждение, что такая-то программа хочет пользоваться Skype API: разрешить или послать ее на фиг? Естественно, большинство пользователей на подобные вопросы отвечают утвердительно. Уже привыкшие к надоедливым предупреждениям, они инстинктивно давят «Yes» и только потом начинают думать, а что же они, собственно, разрешили?</p> <p>Понятное дело, что, чтобы использовать Skype API, зловредную программу нужно как-то доставить на компьютер. Раньше для этого применялась электронная почта, успешно фильтруемая антивирусами, но количество пользователей, запустивших исполняемый файл, все равно исчислялось миллионами. Теперь же для рассылки вирусов можно использовать сам Skype. Локальный антивирус — единственное средство обороны, потенциально способное отразить атаку. Но, если он и установлен, распознать неизвестный науке вирус он не в состоянии даже при наличии антивирусных баз первой свежести (эвристика пока все-таки работает больше на рекламу, чем на конечный результат).</p> <p>Важно, что протокол Skype уже частично расшифрован и созданы хакерские инструменты, позволяющие взаимодействовать со Skype-узлами в обход стандартных Skype-клиентов, и даже без сервера регистрации! И хотя в настоящее время дело ограничивается простым сбором адресов super-узлов, существует принципиальная возможность создания своих собственных сетей на базе распределенной Skype-сети, главная ошибка разработчиков которой заключается в том, что Skype-узлы безоговорочно доверяют друг другу и вся «безопасность» зиждется лишь на закрытости протокола.</p> <p>Географическое распределение super-узлов Skype по планете<br />Заключение</p> <p>Заканчивая статью, я хотел бы спросить: что же все-таки скрывают создатели Skype в недрах своего кода? Почему, распространяя программу бесплатно, они зажимают исходные тексты и используют закрытый протокол, вызывая тем самым недоверие специалистов по безопасности? Для чего бесплатной программе столь навороченная защита, снижающая производительность и потребляющая большое количество памяти, ведь ломать ее никто не собирается? Почему вообще Skype-клиент реализован как черный ящик?</p> <p>Вопросы риторические. Но чует мой хвост, неспроста все это!</p> <p>WWW</p> <p>General Skype Analysis - мини-портал с кучей ссылок на статьи и прочие ресурсы, посвященные анализу Skype и методам борьбы с ним: <a href="http://www1.cs.columbia.edu/~salman/Skype." rel="nofollow" target="_blank">http://www1.cs.columbia.edu/~salman/Skype.</a></p> <p>Skype Trojan - тезисная презентация Walter Sprenger, показывающая, как можно использовать Skype-сеть для распространения червей и прочей заразы: <a href="http://www.csnc.ch/static/download/misc/2006_Skype_trojaner_v1.1.pdf." rel="nofollow" target="_blank">http://www.csnc.ch/static/download/misc &#8230; _v1.1.pdf.</a></p> <p>How to use Skype with Softice? - любопытная статья, рассказывающая, почему Skype-клиент не работает при установленном SoftICE и как это побороть: <a href="http://gcasiez.perso.orange.fr/Skypeandsoftice.html." rel="nofollow" target="_blank">http://gcasiez.perso.orange.fr/Skypeandsoftice.html.</a></p> <p>Skype Reads Your BIOS and Motherboard Serial Number - заметка в блоге, разоблачающая махинации, скрыто проделываемые Skype, читающим BIOS и серийный номер материнской платы: <a href="http://www.pagetable.com/?p=27." rel="nofollow" target="_blank">http://www.pagetable.com/?p=27.</a></p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:17:55 +0300 http://ws.mybb.ru/viewtopic.php?pid=7#p7 http://ws.mybb.ru/viewtopic.php?pid=6#p6 <p>Согласно докладу Intelligence 2008 Security Report, опубликованному компанией MessageLabs, в 2008 году ботнеты были ответственны за 90% всего рассылаемого в мире спама, а также внесли свой вклад в существенный рост числа электронных писем, содержащих ссылки на вредоносные ресурсы и опасное программное обеспечение. В феврале такие ссылки содержались в 61% всех разосланных спам-сообщений. Основным виновником такого скачка стал ботнет Storm, с его помощью было распространено 96% подобных писем.</p> <p>Последней заметной акцией Storm стало распространение в июле фальшивого антивируса Antivirus XP 2008, который устанавливался на машины без ведома пользователей и якобы находил в них различное вредоносное ПО, которое потом предлагал удалить за деньги.</p> <p>Еще одним любимым занятием киберпреступников стало распространение вредоносного ПО через социальные сети. Делалось это путем создания фальшивых аккаунтов, при помощи которых среди клиентов таких сетей распространялись опасные ссылки и предпринимались попытки фишинговых атак на пользователей. В случае если фишинговые атаки были успешными, друзьям и контактам скомпрометированного пользователя также рассылались различные спам-сообщения от его лица, а имеющаяся личная информация использовалась для преступных целей.</p> <p>И, наконец, в 2008 году претерпел некоторые изменения и сам фишинг. Теперь за проведение фишинговых атак отвечают специализированные ботнеты. И хотя число атак в абсолютном выражении изменилось не очень существенно, список жертв значительно расширился. Также эксперты компании ожидают в 2009 году рост числа банковских троянов.</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:14:48 +0300 http://ws.mybb.ru/viewtopic.php?pid=6#p6 http://ws.mybb.ru/viewtopic.php?pid=5#p5 <p>1. Denial of service (DOS)</p> <p>Класс атак, приводящих к отказу в обслуживание. Во время та-<br />ких атак происходит повышенный расход ресурсов процессора и<br />уменьшение канала пропускной возможности канала связи, что может<br />привести в сильному замедлению работы всей компьютерной системы,<br />отдельных задач либо вообще к полному останову задач пользовате-<br />ля. Пример. Вы пошли в магазин за хлебом, а там два часа назад<br />хулиганы побили все стекла и весь персонал занят их уборкой; воз-<br />ле входа в магазин выстроилась огромная очередь пенсионеров т.е.<br />шанса пройти без очереди когда магазин откроется - нет. К DOS<br />атакам относятся Floods, ICMP flooding, Identification flooding и<br />другие.</p> <p>2. Hack</p> <p>Класс атак, используемые для исследования операционных сис-<br />тем, приложений или протоколов с целью последующего анализа полу-<br />ченной информации на предмет наличия уязвимостей, например, Ports<br />scan, который можно также отнести к малоэффективной DOS-атаке.<br />Выявленные уязвимости могут быть использованы хакером для осу-<br />ществления несанкционированного доступа к системе либо для подбо-<br />ра наиболее эффективной DOS-атаки.</p> <p>3. Floods</p> <p>Перевод с английского на русский - &quot;затопление&quot;. Во время<br />floods атак происходит посылка большого количества на атакуемую<br />систему ICMP (чаще всего) либо UDP пакетов, которые не несут по-<br />лезной информации (мусор). В результате происходит уменьшение по-<br />лосы пропускания канала и загрузка компьютерной системы анализом<br />пришедших бесполезных пакетов и генерацией на них ответов.</p> <p>4. SYN flooding</p> <p>Затопление SYN-пакетами - самый известный способ &quot;забить&quot; ин-<br />формационный канал. Вспомним, как работает TCP/IP в случае входя-<br />щих соединений. Система отвечает на пришедший C-SYN-пакет<br />S-SYN/CACK-пакетом, переводит сессию в состояние SYN_RECEIVED и<br />заносит ее в очередь. Если в течении заданного времени от клиента<br />не придет S-ACK, соединение удаляется из очереди, в противном<br />случае соединение переводится в состояние ESTABLISHED. По RFC<br />когда очередь входных соединений уже заполнена, а система получа-<br />ет SYN-пакет, приглашающий к установке соединения, он будет молча<br />проигнорирован. Затопление SYNпакетами основано на переполнении<br />очереди сервера, после чего сервер перестает отвечать на запросы<br />пользователей. В различных системах работа с очередью реализована<br />по разному. После истечение некоторого времени (зависит от реали-<br />зации) система удаляет запросы из очереди. Однако ничего не меша-<br />ет хакеру послать новую порцию запросов. Таким образом, даже на-<br />ходясь на соединение 2400 bps, хакер может посылать каждые полто-<br />ры минуты по 20-30 пакетов на сервер, поддерживая его в нерабочем<br />состоянии. Атака обычно направлена на определённую, конкретную<br />службу, например telnet или ftp. Она заключается в передаче паке-<br />тов установления соединения на порт, соответствующий атакуемой<br />службе. При получении запроса система выделяет ресурсы для нового<br />соединения, после чего пытается ответить на запрос (послать<br />&quot;SYN-ACK&quot;) по недоступному адресу. По умолчанию NT версий 3.5-4.0<br />будет пытаться повторить подтверждение 5 раз - через 3, 6, 12, 24<br />и 48 секунд. После этого еще 96 секунд система может ожидать от-<br />вет, и только после этого освободит ресурсы, выделенные для буду-<br />щего соединения. Общее время занятости ресурсов - 189 секунд.</p> <p>5. ICMP flooding (flood ping)</p> <p>Перевод с английского на русский - &quot;поток пингов&quot;. Во время<br />этой атаки происходит посылка компьютерной системе жертвы большо-<br />го количества запросов эха ICMP (пинг системы). В результате про-<br />исходит уменьшение полосы пропускания канала и загрузка компь-<br />ютерной системы анализом пришедших пакетов и генерацией на них<br />ответов. Примечание: В мирных целях пинг используется администра-<br />торами и пользователями для проверки работоспособности основных<br />частей транспортной системы вычислительной сети, оценить работу<br />сети при максимальной нагрузке. Программа посылает ICMP-пакет ти-<br />па ECHO REQUEST, выставляя в нем время и его идентификатор. Ядро<br />машины-получателя отвечает на подобный запрос пакетом ICMP ECHO<br />REPLY. Получив его, ping выдает скорость прохождения пакета. При<br />стандартном режиме работы пакеты высылаются через некоторые про-<br />межутки времени, практически не нагружая сеть.</p> <p>6. Identification flooding (identd)</p> <p>Запрос идентификации системы. Эта атака очень похожа на ICMP<br />flooding, отличается только тем, что происходит запрос информации<br />о компьютерной системе (TCP порт 113). Атака более эффективна<br />т.к. анализ этих запросов и генерирование на них ответов забирают<br />больше процессорного времени, чем при пингах.</p> <p>7. DNS flooding DNS scan</p> <p>Эта атака, направленная на сервера имён Internet. Она заклю-<br />чается в передаче большого числа DNS запросов и приводит к тому,<br />что у пользователей нет возможности обращаться к сервису имен и,<br />следовательно, обеспечивается невозможность работы обычных поль-<br />зователей. DNS scan. Известно, что прежде чем начинать атаку, ха-<br />керы осуществляют выявление целей, т.е. выявление компьютеров,<br />которые будут жертвами атаки, а также компьютеров, которые осу-<br />ществляют информационный обмен с жертвами. Одним из способов вы-<br />явления целей заключается в опросе сервера имён и получение от<br />него всей имеющейся информации о домене.</p> <p>8. Ports scan</p> <p>Сканирование компьютерной системы на наличие портов, путем<br />попыток их открытия. Эта атака также расходует ресурсы системы .<br />Обычно она используется для поиска слабых мест &lt;дырок&gt; в компь-<br />ютерной системе и предшествует более элегантной атаке; ресурсы<br />системы расходует намного скромнее нежели другие floods.</p> <p>9. Unreachable (dest_unreach, ICMP type 3)</p> <p>Эта атака заключается в том, что компьютерной системе посыла-<br />ется сообщение ICMP type 3, которое сообщает, что порт назначения<br />недоступен тем самым обманывая систему и вынуждая ее разорвать<br />соединение т.к. она будет &quot;думать&quot; что пакеты не доходят. ICMP<br />type 3 может посылаться клиентской машине, которая затем произве-<br />дет отключение либо посылаться серверу и инициатором отключения<br />станет он. Посылку ICMP type 3 осуществляет хакер.</p> <p>10. WinNuke</p> <p>Hаpяду с обычными данными пеpесылаемыми по TCP соединению<br />cтандаpт пpедустатpивает также пеpедачу сpочных (Out Of Band)<br />данных. Hа уpовне фоpматов пакетов TCP это выpажается в ненулевом<br />urgent pointer. У большинства PC с установленным Windows пpисутс-<br />твует сетевой пpотокол NetBIOS, котоpый использует для своих нужд<br />3 IP поpта: 137, 138, 139. Как выяснилось, если соединиться с<br />Windows машиной в 139 поpт и послать туда несколько байт OutOf-<br />Band данных, то pеализация NetBIOS-а не зная что делать с этими<br />данными попpосту подвешивает или пеpезагpужает машину. Для Win-<br />dows 95 это обычно выглядит как синий текстовый экpан, сообщающий<br />об ошибке в дpайвеpе TCP/IP и невозможность pаботы с сетью до пе-<br />pезагpузки ОC. NT 4.0 без сеpвис паков пеpезагpужается, NT 4.0 со<br />втоpым сеpвис паком выпадает в синий экpан.</p> <p>11. Boink (Bonk, Teardrop, new Tear/Tear2)</p> <p>При передачи пакета данных протокола IP по сети может осу-<br />ществляться деление этого пакета на несколько фрагментов. В пос-<br />ледствии, при достижении адресата, пакет восстанавливается из<br />этих фрагментов. Хакер может инициировать посылку большого числа<br />фрагментов, что приводит к переполнению программных буферов на<br />приемной стороне и, в ряде случаев, к аварийному завершению сис-<br />темы. Количество реализаций этой атаки достаточно велико. На<br />компьютержертву передается несколько фрагментированных IP паке-<br />тов, которые при сборке образуют один пакет размером более 64К<br />(максимальный размер IP пакета равен 64К минус длина заголовка).<br />Данная атака была эффективна против компьютеров с ОС Windows. При<br />получении такого пакета Windows NT, не имеющая специального патча<br />icmp-fix, &quot;зависает&quot; или аварийно завершается. Другие варианты<br />подобных атак используют неправильные смещения в IP фрагментах,<br />что приводит к некорректному выделению памяти, переполнению буфе-<br />ров и, в конечном итоге, к сбоям в работе систем.</p> <p>12. PingOfDeath (Ssping, IceNuke, Jolt)</p> <p>Сущность атаки в следующем: на машину жертвы посылается силь-<br />но фрагментиpованный ICMP пакет большого pазмеpа (64KB). Реакцией<br />Windows-систем на получение такого пакета является безоговорочное<br />повисание, включая мышь и клавиатуру. Программа для атаки широко<br />доступна в сети в виде исходника на C и в виде запускаемых файлов<br />для некоторых версий Unix. Любопытно, что в отличие от WinNuke<br />жертвой такой атаки могут стать не только Windows машины, атаке<br />подвержены MacOS и некоторые веpсии Unix. Преимущества такого<br />способа атаки в том, что обычно firewall пропускает ICMP пакеты,<br />а если firewall и настроен на фильтрацию адресов посылателей, то,<br />используя нехитрые приемы spoofing, можно обмануть и такой fire-<br />wall. Недостаток PingOfDeath в том, что для одной атаки надо пе-<br />реслать более 64KB по сети, что делает вообще его говоря малопpи-<br />менимым для шиpокомасштабных дивеpсий.</p> <p>13. Land</p> <p>Эта атака использует уязвимости реализаций стека TCP/IP в не-<br />которых ОС. Она заключается в передаче на открытый порт компьюте-<br />ра-жертвы TCP-пакета с установленным флагом SYN, причем исходный<br />адрес и порт такого пакета соответственно равны адресу и порту<br />атакуемого компьютера. Это приводит к тому, что компьютер-жертва<br />пытается установить соединение сам с собой, в результате чего<br />сильно возрастает загрузка процессора и может произойти &quot;подвиса-<br />ние&quot; или перезагрузка. Данная атака весьма эффективна на некото-<br />рых моделях маршрутизаторов фирмы Cisco Systems, причем успешное<br />применение атаки к маршрутизатору может вывести из строя всю сеть<br />организации.</p> <p>14. Pong</p> <p>Floods атаки, перечисленные выше, но в качестве обратного<br />действительного IP-адреса отправителя ( хакера ) используется<br />поддельный. Тем сам затрудняется обнаружение хакера.</p> <p>15. Puke</p> <p>Осуществяляется посылка хакером атакуемому хосту пакета ICMP<br />unreachable error (неизвестная ошибка удаленной системы), что в<br />свою очередь вызывает отключение хоста от сервера (обычно IRC).</p> <p>16. Smurf</p> <p>Атака заключается в передаче в сеть широковещательных ICMP<br />запросов от имени компьютера-жертвы. В результате компьютеры,<br />принявшие такие широковещательные пакеты, отвечают компьюте-<br />ру-жертве, что приводит к существенному снижение пропускной спо-<br />собности канала связи и, в ряде случаев, к полной изоляции атаку-<br />емой сети. Посылка множество broadcastзапросов от имени &quot;жертвы&quot;<br />на broadcast-адреса крупных сетей, можно вызвать резкой заполне-<br />нение канала &quot;жертвы&quot; - эффект |много для одного|. Атака smurf<br />исключительно эффективна и широко распространена.</p> <p>17. UDP bomb</p> <p>Передаваемый пакет UDP содержит неправильный формат служебных<br />полей. Некоторые старые версии сетевого ПО приводят при получении<br />подобного пакета к аварийному завершению системы.</p> <p>18. Fuzzy</p> <p>Пакет IP содержит поле, определяющее какой протокол следующе-<br />го уровня(TCP, UDP, ICMP) использует данные из Internet. Хакеры<br />могут использовать нестандартное значение данного поля для пере-<br />дачи данных, которые не будут фиксироваться стандартными средс-<br />твами контроля информационных потоков.</p> <p>19. Dummy DNS</p> <p>Внедрение в сеть Internet ложного DNS-сервера путем перехвата<br />DNS-запроса. Для реализации атаки хакеру необходимо перехватить<br />DNS-запрос, извлечь из него номер UDP-порта отправителя запроса,<br />двухбайтовое значение ID идентификатора DNS-запроса и искомое имя<br />и, затем, послать ложный DNS-ответ на извлеченный из DNS-запроса<br />UDP-порт, в котором указать в качестве искомого IP-адреса настоя-<br />щий IP-адрес ложного DNS-сервера. Это позволит в дальнейшем пол-<br />ностью перехватить и активно воздействовать на информацию, цирку-<br />лирующую между &quot;обманутым&quot; хостом и сервером. Необходимым услови-<br />ем осуществления данного варианта атаки является перехват<br />DNS-запроса. Это возможно только в том случае, если атакующий на-<br />ходится либо на пути основного трафика либо в сегменте настоящего<br />DNS-сервера. Выполнение одного из этих условий местонахождения<br />хакера в сети делает подобную удаленную атаку трудно осуществимой<br />на практике (попасть в сегмент DNS-сервера и тем более в межсег-<br />ментный канал связи атакующему скорее всего не удастся). Однако в<br />случае выполнения этих условий возможно осуществить межсегментную<br />удаленную атаку на сеть Internet.</p> <p>20. Dummy DNS for host</p> <p>Внедрение в сеть Internet ложного сервера путем создания нап-<br />равленного &quot;шторма&quot; ложных DNS-ответов на атакуемый хост. В этом<br />случае хакер осуществляет постоянную передачу на атакуемый хост<br />заранее подготовленного ложного DNS-ответа от имени настоящего<br />DNSсервера без приема DNS-запроса. Другими словами, атакующий<br />создает в сети Internet направленный &quot;шторм&quot; ложных DNS-ответов.<br />Это возможно, так как обычно для передачи DNS-запроса использует-<br />ся протокол UDP, в котором отсутствуют средства идентификации па-<br />кетов. Единственными критериями, предъявляемыми сетевой ОС хоста<br />к полученному от DNS-сервера ответу, является, во-первых, совпа-<br />дение IP-адреса отправителя ответа с IP-адресом DNS-сервера,<br />во-вторых, чтобы в DNS-ответе было указано то же имя, что и в<br />DNS-запросе, в-третьих, DNS-ответ должен быть направлен на тот же<br />UDPпорт, с которого был послан DNS-запрос (в данном случае это<br />первая проблема для атакующего), и, в-четвертых, в DNS-ответе по-<br />ле идентификатор запроса в заголовке DNS (ID) должно содержать то<br />же значение, что и в переданном DNS-запросе (а это вторая пробле-<br />ма). Предпологаем, что атакующий не имеет возможности перехватить<br />DNS-запрос, то основную проблему для него представляет номер<br />UDP-порта, с которого был послан запрос. Но номер порта отправи-<br />теля принимает ограниченный набор значений, поэтому атакующему<br />достаточно действовать простым перебором, направляя ложные ответы<br />на соответствующий перечень портов. На первый взгляд второй проб-<br />лемой может быть двухбайтовый идентификатор DNS-запроса, но в<br />данном случае он либо равен единице, либо имеет значение близкое<br />к нулю (один запрос - ID увеличивается на 1). Поэтому для осу-<br />ществления данной удаленной атаки атакующему необходимо выбрать<br />интересующий его хост (А), маршрут к которому требуется изменить<br />так, чтобы он проходил через ложный сервер - хост атакующего. Это<br />достигается постоянной передачей (направленным &quot;штормом&quot;) атакую-<br />щим ложных DNS-ответов на атакуемый хост от имени настоящего<br />DNS-сервера на соответствующие UDP-порты. В этих ложных DNSотве-<br />тах указывается в качестве IP-адреса хоста А IP-адрес атакующего.<br />Далее атака развивается по следующей схеме. Как только цель атаки<br />(атакуемый хост) обратиться по имени к хосту А, то от данного<br />хоста в сеть будет передан DNS-запрос, который атакующий никогда<br />не получит, но этого ему и не требуется, так как на хост сразу же<br />поступит постоянно передаваемый ложный DNS-ответ, который и будет<br />воспринят ОС атакуемого хоста как настоящий ответ от DNS-сервера.<br />Атака состоялась и теперь атакуемый хост будет передавать все па-<br />кеты, предназначенные для А, на IP-адрес хоста атакующего, кото-<br />рый, в свою очередь, будет переправлять их на А, имея возможность<br />воздействовать (менять, модифицировать, анализировать и др) на<br />перехваченную информацию. Таким образом, реализация данной уда-<br />ленной атаки, использующей пробелы в безопасности службы DNS,<br />позволяет из любой точки сети Internet нарушить маршрутизацию<br />между двумя заданными объектами. То есть данная удаленная атака<br />осуществляется межсегментно по отношению к цели атаки и угрожает<br />безопасности любого хоста Internet, использующего обычную службу<br />DNS.</p> <p>21. Dummy DNS for server</p> <p>Внедрение в сеть Internet ложного сервера путем создания нап-<br />равленного &quot;шторма&quot; ложных DNS - ответов на атакуемый DNS - сер-<br />вер. Из схемы удаленного DNS-поиска следует, что в том случае,<br />если указанное в запросе имя DNS-сервер не обнаружил в своей базе<br />имен, то запрос отсылается сервером на один из корневых DNS-сер-<br />веров, адреса которых содержатся в файле настроек сервера ro-<br />ot.cache. То есть, в том случае, если DNS-сервер не имеет сведе-<br />ний о запрашиваемом хосте, то он пересылает запрос далее, а зна-<br />чит, теперь сам DNS-сервер является инициатором удаленного<br />DNS-поиска. Поэтому ничто не мешает атакующему, действуя методами<br />Dummy DNS for host, направить свою атаку на DNS-сервер. То есть,<br />в качестве цели атаки теперь будет выступать не хост, а DNS-сер-<br />вер и ложные DNS-ответы будут направляться атакующим от имени<br />корневого DNSсервера на атакуемый DNS-сервер. При этом важно учи-<br />тывать следующую особенность работы DNS-сервера. Для ускорения<br />работы каждый DNS-сервер кэширует в области памяти свою таблицу<br />соответствия имен и IP-адресов хостов. В том числе в кэш заносит-<br />ся динамически изменяемая информация об именах и IP-адресах хос-<br />тов, найденных в процессе функционирования DNSсервера. То есть,<br />если DNS-сервер, получив запрос, не находит у себя в кэштаблице<br />соответствующей записи, он пересылает ответ на следующий сервер<br />и, получив ответ, заносит найденные сведения в кэш-таблицу в па-<br />мять. Таким образом, при получении следующего запроса DNS-серверу<br />уже не требуется вести удаленный поиск, так как необходимые све-<br />дения уже находятся у него в кэш-таблице. Из анализа описанной<br />схемы удаленного DNS-поиска становится очевидно, что в том слу-<br />чае, если в ответ на запрос от DNS-сервера атакующий направит<br />ложный DNS-ответ (или в случае &quot;шторма&quot; ложных ответов будет вес-<br />ти их постоянную передачу), то в кэш-таблице сервера появится со-<br />ответствующая запись с ложными сведениями и, в дальнейшем, все<br />хосты, обратившиеся к данному DNS-серверу, будут дезинформированы<br />и при обращении к хосту, маршрут к которому атакующий решил изме-<br />нить, связь с ним будет осуществляться через хост атакующего. И с<br />течением времени эта ложная информация, попавшая в кэш DNS-серве-<br />ра, будет распространяться на соседние DNS-серверы высших уров-<br />ней, а, следовательно, все больше хостов в Internet будут дезин-<br />формированы и атакованы.Очевидно, что в том случае, если атакую-<br />щий не может перехватить DNS-запрос от DNS-сервера, то для реали-<br />зации атаки ему необходим &quot;шторм&quot; ложных DNS-ответов, направлен-<br />ный на DNS-сервер. При этом возникает следующая основная пробле-<br />ма, отличная от проблемы подбора портов в случае атаки, направ-<br />ленной на хост. Как уже отмечалось ранее DNS-сервер, посылая зап-<br />рос на другой DNS-сервер, идентифицирует этот запрос двухбайтовым<br />значением (ID). Это значение увеличивается на единицу с каждым<br />передаваемым запросом. Узнать атакующему это текущее значение<br />идентификатора DNS-запроса не представляется возможным. Поэтому,<br />ничего кроме перебора 216 возможных значений ID предложить<br />что-либо достаточно сложно. Зато исчезает проблема перебора пор-<br />тов, так как все DNS-запросы передаются DNS-сервером на 53 порт.<br />Следующая проблема, являющаяся условием осуществления этой уда-<br />ленной атаки на DNS-сервер при направленном &quot;шторме&quot; ложных<br />DNSответов состоит в том, что атака будет иметь успех, только в<br />том случае, если DNS-сервер пошлет запрос на поиск определенного<br />имени (которое содержится в ложном DNS-ответе). DNS-сервер посы-<br />лает этот столь необходимый и желанный для атакующего запрос в<br />том случае, если на него прийдет DNS-запрос от какого-либо хоста<br />на поиск данного имени и этого имени ни окажется в кэш-таблице<br />DNS-сервера. В принципе этот запрос может прийти когда угодно и<br />атакующему может быть придется ждать результатов атаки сколь<br />угодно долго. Однако ни что не мешает атакующему, не дожидаясь<br />никого, самому послать на атакуемый DNS-сервер подобный DNS-зап-<br />рос и спровоцировать DNS-сервер на поиск указанного в запросе<br />имени. Тогда эта атака с большой вероятностью будет иметь успех<br />практически сразу же после начала ее осуществления.</p> <p>22. Syslog spoofing</p> <p>Заключается в передаче на компьютер жертву сообщения от имени<br />другого компьютера внутренней сети. Поскольку протокол syslog ис-<br />пользуется для ведения системных журналов, путем передачи ложных<br />сообщений на компьютер-жертву можно навязать информацию или за-<br />мести следы несанкционированного доступа.</p> <p>23. IP spoofing</p> <p>Хакер отправляет в сеть пакеты с ложным обратным адресом. С<br />помощью этой атаки хакер может переключать на свой компьютер сое-<br />динения, установленные между другими компьютерами. При этом права<br />доступа хакера становятся равными правам того пользователя, чье<br />соединение с сервером было переключено на компьютер хакера. Уста-<br />новка TCPсоединения происходит в три стадии: клиент выбирает и<br />передает серверу sequence number (назовем его C-SYN), в ответ на<br />это сервер высылает клиенту пакет данных, содержащий подтвержде-<br />ние (C-ACK) и собственный sequence number сервера (S-SYN). Теперь<br />уже клиент должен выслать подтверждение (S-ACK). После этого сое-<br />динение считается установленным и начинается обмен данными. При<br />этом каждый пакет имеет в заголовке поле для sequence number и<br />acknowledge number. Данные числа увеличиваются при обмене данными<br />и позволяют контролировать корректность передачи. Предположим,<br />что хакер может предсказать, какой sequence number (S-SYN по схе-<br />ме) будет выслан сервером. Это возможно сделать на основе знаний<br />о конкретной реализации TCP/IP. Таким образом, послав один пакет<br />серверу, хакер получит ответ и сможет (возможно, с нескольких по-<br />пыткок и с поправкой на скорость соединения) предсказать sequence<br />number для следующего соединения. Если реализация TCP/IP исполь-<br />зует специальный алгоритм для определения sequence number, то он<br />может быть выяснен с помощью посылки нескольких десятков пакетов<br />серверу и анализа его ответов. Итак, предположим, что система A<br />доверяет системе B, так, что пользователь системы B может сделать<br />&quot;rlogin A&quot; и оказаться на A, не вводя пароля. Предположим, что<br />хакер расположен на системе C. Система A выступает в роли серве-<br />ра, системы B и C - в роли клиентов. Первая задача хакера - ввес-<br />ти систему B в состояние, когда она не сможет отвечать на сетевые<br />запросы. Это может быть сделано несколькими способами, в простей-<br />шем случае нужно просто дождаться перезагрузки системы B. Нес-<br />кольких минут, в течении которых она будет неработоспособна,<br />должно хватить. После этого хакер может попробовать притвориться<br />системой B, для того, что бы получить доступ к системе A (хотя бы<br />кратковременный). Хакер высылает несколько IP-пакетов, инициирую-<br />щих соединение, системе A, для выяснения текущего состояния sequ-<br />ence number сервера. Хакер высылает IP-пакет, в котором в качест-<br />ве обратного адреса указан уже адрес системы B. Система A отвеча-<br />ет пакетом с sequence number, который направляется системе B. Од-<br />нако система B никогда не получит его (она выведена из строя),<br />как, впрочем, и хакер. Но он на основе предыдущего анализа дога-<br />дывается, какой sequence number был выслан системе B. Хакер подт-<br />верждает &quot;получение&quot; пакета от A, выслав от имени B пакет с пред-<br />полагаемым S-ACK (заметим, что если системы располагаются в одном<br />сегменте, хакеру для выяснения sequence number достаточно перех-<br />ватить пакет, посланный системой A). После этого, если хакеру по-<br />везло и sequence number сервера был угадан верно, соединение счи-<br />тается установленным. Теперь хакер может выслать очередной фаль-<br />шивый IP-пакет, который будет уже содержать данные. Например, ес-<br />ли атака была направлена на rsh, он может содержать команды соз-<br />дания файла .rhosts или отправки /etc/passwd хакеру по электрон-<br />ной почте.</p> <p>24. Host spoofing</p> <p>Атака основана на протоколе ICMP, одной из функцией которого<br />является информирование хостов о смене текущего маршрутизатора.<br />Данное управляющее сообщение носит название redirect. Существует<br />возможность посылки с любого хоста в сегменте сети ложного redi-<br />rect-сообщения от имени маршрутизатора на атакуемый хост. В ре-<br />зультате у хоста изменяется текущая таблица маршрутизации и, в<br />дальнейшем, весь сетевой трафик данного хоста будет проходить,<br />например, через хост, отославший ложное redirectсообщение. Таким<br />образом возможно осуществить активное навязывание ложного маршру-<br />та внутри одного сегмента сети Internet.</p> <p>25. Dummy ARP server</p> <p>В сети Internet каждый хост имеет уникальный IPадрес, на ко-<br />торый поступают все сообщения из глобальной сети. Однако протокол<br />IP это не столько сетевой, сколько межсетевой протокол обмена,<br />предназначенный для связи между объектами в глобальной сети. На<br />канальном уровне пакеты адресуются по аппаратным адресам сетевых<br />карт. В сети Internet для взаимно однозначного соответствия IP и<br />Ethernet адресов используется протокол ARP (Address Resolution<br />Protocol). Первоначально хост может не иметь информации о Ether-<br />net-адресах других хостов, находящихся с ним в одном сегменте, в<br />том числе и о Ethernet-адресе маршрутизатора. Соответственно, при<br />первом обращении к сетевым ресурсам хост отправляет широковеща-<br />тельный ARP-запрос, который получат все станции в данном сегменте<br />сети. Получив данный запрос, маршрутизатор отправляет на запро-<br />сивший хост ARP-ответ, в котором сообщает свой Ethernet-адрес.<br />Данная схема работы позволяет хакеру послать ложный ARP-ответ, в<br />котором объявить себя искомым хостом, (например, маршрутизато-<br />ром), и, в дальнейшем, активно контролировать весь сетевой трафик<br />&quot;обманутого&quot; хоста.</p> <p>26. IP Hijacking</p> <p>Необходимые условия - хакер должен иметь доступ к машине, на-<br />ходящейся на пути сетевого потока и обладать достаточными правами<br />на ней для генерации и перехвата IP-пакетов. Напомним, что при<br />передаче данных постоянно используются sequence number и acknow-<br />ledge number (оба поля находятся в IP-заголовке). Исходя из их<br />значения, сервер и клиент проверяют корректность передачи паке-<br />тов. Существует возможность ввести соединение в &quot;десинхронизиро-<br />ванное состояние&quot;, когда присылаемые сервером sequence number и<br />acknowledge number не будут совпадать с ожидаемым значениеми кли-<br />ента, и наоборот. В данном случае хакер, &quot;прослушивая&quot; линию, мо-<br />жет взять на себя функции посредника, генерируя корректные пакеты<br />для клиента и сервера и перехватывая их ответы. Метод позволяет<br />полностью обойти такие системы защиты, как, например, одноразовые<br />пароли, поскольку хакер начинает работу уже после того, как прои-<br />зойдет авторизация пользователя.</p> <p>27. UDP storm</p> <p>Как правило, по умолчанию системы поддерживают работу таких<br />UDP-портов, как 7 (&quot;эхо&quot;, полученный пакет отсылается назад), 19<br />(&quot;знакогенератор&quot;, в ответ на полученный пакет отправителю высла-<br />ется строка знакогенератора) и других (date etc). В данном случае<br />хакер может послать единственный UDP-пакет, где в качестве исход-<br />ного порта будет указан 7, в качестве получателя - 19-й, а в ка-<br />честве адреса получателя и отправителя будут указаны, к примеру,<br />две машины вашей сети (или даже 127.0.0.1). Получив пакет, 19-й<br />порт отвечает строкой, которая попадает на порт 7. Седьмой порт<br />дублирует ее и вновь отсылает на 19 и так до бесконечности. Бес-<br />конечный цикл съедает ресурсы машин и добавляет на канал бессмыс-<br />ленную нагрузку. Конечно, при первом потерянном UDP-пакете буря<br />прекратиться.</p> <p>28. Traffic analysis (sniffing)</p> <p>Прослушивание канала. Практически все сетевые карты поддержи-<br />вают возможность перехвата пакетов, передаваемых по общему каналу<br />локальной сети. При этом рабочая станция может принимать пакеты,<br />адресованные другим компьютерам того же сегмента сети. Таким об-<br />разом, весь информационный обмен в сегменте сети становится дос-<br />тупным хакеру, что поможет в дальнейшем ему подобрать/придумать<br />другие типы атак против Вас. Для успешной реализации этой атаки<br />компьютер хакера должен располагаться в том же сегменте локальной<br />сети, что и атакуемый компьютер.</p> <p>29. Brute Force</p> <p>&quot;Грубая сила&quot;,<br />атака используемая хакерами в тех случаях, когда доступ к системе<br />либо информации закрыт паролем, а уязвимостей не удалось обнару-<br />жить. Осуществляется простым перебором всех возможных либо наибо-<br />лее часто всречающихся паролей. Во втором случае brute force дос-<br />таточно часто называют &quot;атакой по словарю&quot;.<br />30. Back Orifice (NetBus,Masters of Paradise и др)<br />ПО, используемое для удаленного администрирования ( управле-<br />ния ) системой. Подобные программы после установки обычно занимаю<br />какой-нибудь порт, например, 31337, и находятся в ожидание соеди-<br />нения. Хакеры сканирует Интернет в поиске инфицированного хоста.<br />В случае обнаружения они могут получить достаточно полный конт-<br />роль над системой, а именно: получать любые документы, пароли,<br />информацию о владельце; следить за тем, что Вы набираете на кла-<br />виатуре; удалять, создавать, изменять и перемещать файлы; управ-<br />лять CD-ROM-ом; использовать Вашу систему для осуществления атак<br />на другие системы, так что подозрение в совершение их падет на<br />Вас. Представте себя, какие могут быть последствия для Вас если<br />хакер будет использовать Вашу систему для кражи денег у других<br />людей либо для противопровных действий против гос.структур. Back<br />Orifice может внедряться в другие программы, приложения, при за-<br />пуске которых происходит инфицирование системы.</p> <p>31. Spam</p> <p>Рассылка по электронной почте сообщений какого-либо характера<br />без согласия на это получателя. Периодически повторяющийся спам-<br />минг может нарушить работу пользователей из-за перегрузки сервера<br />электронной почты; вызвать переполнение почтовых ящиков, что при-<br />ведет к невозможности получения и отправки обычных сообщений;<br />увеличит время нахождения получателя &quot;на линии&quot;, а это дополни-<br />тельные денежные расходы.</p> <p>32. Virus</p> <p>Программа, будучи однажды запущена, способная самопроизвольно<br />создавать свои копии, обладающие такими же способностями. Вирусы<br />могут искажать, модифицировать и уничтожать данные. Будучи подк-<br />люченным к сети Интернет вирус можно &quot;подцепить&quot; путем скачивания<br />какой-либо зараженной программы и последующего ее запуска у себя<br />на ПК; получить по электронной почте инфицированной программы ли-<br />бо в качестве присоединенного исполняемого кода при просмотре со-<br />общения; просмотреть интернетброузером www-страничку, содержащию<br />вирус; кто-либо закачает вирус на Ваш накопитель.</p> <p>33. Trojan horse</p> <p>Троянский конь, по греческому преданию, огромный деревянный<br />конь, в котором спрятались ахейские воины, осаждавшие Трою. Тро-<br />янцы, не подозревая хитрости, ввезли его в Трою. Ночью ахейцы<br />вышли из коня и впустили в город остальное войско. Выражение<br />&quot;Троянский конь&quot; стало нарицательным (дар врагу с целью его погу-<br />бить). Возвращаясь из прошлого к компьютерам и хакерам - &quot;Троянс-<br />ким конем&quot; стали называть любую функциональную возможность в<br />программе, специально встроенную для того, чтобы обойти системный<br />контроль секретности. Эта возможность может быть самоликвидируе-<br />мой, что делает невозможным ее обнаружение, или же может постоян-<br />но реализовываться, но существовать скрыто. Для хакера обычно не<br />составляет большого труда &quot;заселить&quot; Вам на ПК какую-либо версию<br />программы, содержащие функию &quot;троянский конь&quot;. Хакер пишет прог-<br />рамму, предназначенную, например, для выполнения какой-нибудь ин-<br />тересной либо полезной функции: запуска игры, оптимизации работы<br />операционной системы или для увеличения скорости доступа в сеть<br />Интеренет. В программе спрятаны инструкции для прочтения файлов<br />паролей и отсылки их на адрес электронной почты хакера, или вы-<br />полнения другой скрытой операции. Затем хакер посылает Вам эту<br />программу по элетронной почте либо выкладывает ее для скачивания<br />на общедоступный www-сервер, подзагружает программу в BBS и -<br />внимание, это важно! - надеется, что пользватель запустит прог-<br />рамму. Для того чтобы это произошло хакер рассказавает в описание<br />на программу очень ярко ее необходимость и превосходство над дру-<br />гим подобным ПО, например, пишет так |эта программа позволит Вам<br />увеличить скорость доступа в Интернет на 300% - такого еще не бы-<br />ло|. Также функция &quot;Троянкий конь&quot; может встраиваться в вирус,<br />заражание которым Вашей ПЭВМ приведет к активизации этой функции.<br />Программа с функией &quot;троянский конь&quot; может также подделывать сис-<br />темное приглашение ввода логина и пароля. Неопытный пользователь<br />не сможет отличить фальшивое приглашение запроса логина и пароля<br />от настоящего, введет логин и пароль - тем самым отдаст их хаке-<br />ру. Описать все возможные способы обмана пользователя непредстов-<br />ляется возможным т.к. хакеры придумываю постоянно что-то новень-<br />кое, ранее неиспользуемое.</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:13:39 +0300 http://ws.mybb.ru/viewtopic.php?pid=5#p5 http://ws.mybb.ru/viewtopic.php?pid=4#p4 <p>Как находят хакеров?</p> <p>Как находят хакеров? Ты наверное не раз думал – что с тобой будет если тебя повяжут злые дядьки из отдела «Р» после очередного свЕже Учененного DeFace’са на сайте своего университета. Как тебя – могут найти ? – вопрос не однозначный. Ты, как кУл – хаЦкер, обязан знать что такое IP и с чем его едят … У каждой машины в сети (и в интернете тоже) есть свой уникальный IP – адрес (твоя тачка – не искл.), с помощью него и передаются пакеты с компа на комп. Его ты не куда не спрячешь и ни куда от него не убежишь. По твоему ай-пи тебя легко найдут. Все бы хорошо для админов – сопоставляй логи - лови любого хацкера… Но есть один нюанс современные провайдеры больше не лепят определенному компу (читай – твоему компу) четко определенный IP а выдают так называемый «динамический» IP при входе в сеть, меняющийся раз от раза. Сейчас можно встретить провайдеров которые выдают постоянный IP, намертво привязанный к твоему паролю и динамический, - действующий по принципу – «поюзал, – дай другому ! » Как проверить ? - законный вопрос… Способов довольно много – самый простой из которых это запустить одно из маст-дай’евских приложений – winIpcfg – называется, вызывается из меню RUN одноименной командной строкой. Теперь нужно сравнить показанные этой фишкой ай-пи – несколько раз подключившись к сети. Дальше и дятлу понятно, – светится один адрес – он постоянный, если меняется – он динамический. Для тебя, ясен пень, лудше – динамический, а твоему врагу, желательно бы, - постоянный (ты же нехочешь сканировать весь И-Нэт в поисках второй половинки своего троя.</p> <p>Предположим тебе повезло больше чем мне – и твой пров Большая – САЛИдная организация халявщиков у которых Нету–каждому по IP, и следовательно твой адрес не-постоянный, здесь тебе остается только обзавестись хорошим Анти АОН’ом или сделать его из своего МоМеда. После чего ты можешь быть уверен что тебя не найдут на 99%. Почему на 99% да по тому что «Р»-овцы все равно могут тебя определить … Но для этого им придется поднимать логи на провайдерах (ведь на каком именно они не знают),что проблематично для крупных городов (ты ведь из Москвы хулиганишь), с этими логами тащиться на ГТС (которая, кстати, им выкатит большую шнягу если не получит разрешения из суда, или каких-нибудь, спец служб), затем препарировать и сверять все эти логи и искать время «начала соединения» с хакером (ты можешь себе представиь сколько было сделано звонков из всей Москвы «бабушке на деревню» в туже минуту что ты подконектился к прову ???) А кто знает, - прову ты звонил, или бабушке – придется проверять всех. Вот и пусть проверяют … А в итоге окажется что ты, как особо хитрый перец, звонил из интернет-кафе. Пусть теперь там логи поднимают, полугодичной давности, пусть найдут что за Вася Сидоров арендовал 84 комп на два часа, три недели назад.</p> <p>Другое дело если ай-пи привязан к тебе как этикетка к пиву. Тут быстро разберутся что за прову принадлежит диапазон IP, а он, в свою очередь кинет стрелы на тебя, выдаст координаты и статистику посещаемости. Это, как сам понимаешь, ни ни есть «хорошо» …</p> <p>Что будем делать ? Да пароль менять … это дело порблематичное. Пора вспомнить о такой милой вещи как И-Нэт карта, созданная как раз для хакеров. Как тебе может помочь маленькая пластиночка ? Вспомни - у нее СВОЙ пароль к которому и привязан СВОЙ–IP ! Пусть теперь найдут Федю, который неизвестно когда, не известно где купил ай-пи (пластинку то-есть). Если сюда припаять еще и Интер-кафе, куда стоит зайти ради «БОЛЬШОГО ВЗЛОМА», то тут шанс твоего обнаружения пагонами уже не 1%, а круглый ноль, причем такой круглый, что твой комп число ПИ до 50 биллионов цифр рассчитать сможет … (примерно 50 Бил-Гейтсев - это все на что способен твой пень).</p> <p>Есть еще один способ для полных извращенцев – идешь к ближайшему окрестному ламеру, достаешь из его компа пароли, меняешь ему на модеме проводки LINE и PHONE местами и с мыслью о том что «дятлам в нэт вход воспрещен» отправляешься домой (а лудше в кафе) и входишь в нет под ламерскими паролями, запускаешь WinIPcfg и видишь ламерский IP, который пришит к ламерсому паролю, делаешь свой ДеФас, или что там у тебя … И ждешь когда пров выдаст «Р»-шникам инфу на ламера, те завалятся к ламаку и в протоколе запишут «прикидывается чайником … »</p> <p>Помни, что твой IP светится везде – и в аське, и в е-майле, отправляй письма с АНОНИМНЫХ серваков или н а худой конец с <a href="http://www.mail.ru" rel="nofollow" target="_blank">http://www.mail.ru</a> он вставляет свой ай-пи в письмо и прячет твой, тебе хватит для ё-бомбардировак, за которые тебя никто искать не будет, но не более … Для письма в белый дом с содержанием: «эй вы козлы, пустите воду !!!» - не подойдет.</p> <p>Помни что ты знаешь не все , пока еще, и что спецслужбы всегда на шаг в переди, не повторяй ошибки «старших братьев» - которые сейчас читают журнал Хакер на нарах, не лезь куда не надо, - убьет, пий пиво, режься в Кваку, думай ВЕРХНЕЙ головой перед тем как отдать команду Format C – удаленному компу, мой руки перед едой … и пойди зашли какой-нибудь ламище, с сервака знакомств, Сервер от Donnald’а по мылу … Ты знаешь достаточно чтобы не попастись на мелочах.</p> mybb@mybb.ru (Admin) Thu, 11 Dec 2008 19:12:39 +0300 http://ws.mybb.ru/viewtopic.php?pid=4#p4