Процедуру PIN/TAN банковской аутентификации можно и обойти — оказывается обмануть Ситибанк даже легче, чем ты думаешь.

Онлайн-банкинг является очень популярным в Европе. По данным Центрального кредитного комитета в 2011 году было проведено 93,6 миллиона транзакций через Интернет. Для защиты и аутентификации сделок в Европе принят на равне с СМС подтверждением, так называемый безопасный PIN/TAN метод.

Эра облачных вычислений постепенно вошла в нашу жизнь, принеся с собой множество плюсов для системных администраторов, которые теперь могут управлять целыми сетевыми фермами серверов, не вставая с удобного кресла. Однако там, где есть виртуальные машины, должна быть и виртуальная сеть, их связывающая. Небольшую виртуальную сеть создать просто, а вот когда речь заходит о десятках и сотнях виртуальных машин, без качественного виртуального коммутатора не обойтись.

Киберпреступники используют одни и те же технологии и тактики в течение многих лет, но компании по-прежнему не в состоянии защититься от них.

В сети, в печатных изданиях, на ТВ и по радио, репортаж за репортажем нам сообщает, что эта новая злонамеренная атака была "еще изощреннее чем все, что мы видели до этого". СМИ похоже хотят, чтобы мир поверил в то, что взломы дело рук неумолимых сверх-хакеров, с супер-передовыми инструментами, которых просто невозможно остановить.

Корпорация Microsoft довольно давно поощряет удаленную работу своих сотрудников с корпоративной сетью из дома или в дороге - чтение почты, работу с общими файлами и приложениями. RAS, Remote Access Services, свой термин компании для того, что большинство из нас называют VPN.

Конечно, в локальной сети компании хранится масса важной интеллектуальной собственности, включая исходные коды всех операционных систем и приложений. Они, понятное дело, желанная цель для любого хакера, но в то же время и максимально защищаются корпорацией, находясь под защитой файрволов и в сегменте с IPsec. В дополнение к этому вся сеть непрерывно мониторится на подозрительную активность и malware.

В прошлом году на Microsoft нападали в среднем более 100.000 раз в месяц. Сейчас из 10 миллионов ежемесячных электронных писем 9 миллионов это спам и вирусы, которые фильтруются. Да, правильно - 90% почтового трафика компании - это спам.

В данном случае удаленные соединения могут поставить всю безопасность сети под угрозу. Так как же Microsoft борется с угрозами, предоставляя удаленный доступ своим сотрудникам и наемным работникам? Ответ в этой статье.

В прошлой статье мы начали рассматривать, как работники компании Microsoft осуществляют удаленный доступ к ресурсам внутренней сети компании. Сегодня мы продолжаем разговор о, пожалуй, самой защищенной сети в мире, выдерживающей более 100.000 нападений в месяц.

Почта и системы обмена сообщениями без RAS

Эта статья описывает возможности системы Windows Integrity Control (WIC), впервые представленной в Windows Vista, рассказывает о том, как защищаются объекты (типа папок и файлов), о разных уровнях защиты, об управлении WIC при помощи утилиты ICACLS.

Целостность системы - кому ты можешь доверять?

При создании последней версии операционной системы компании, Windows Vista, разработчики из Microsoft пытались сконструировать самую защищенную ОС из семейства Windows. Одна из функций, помогающая обезопасить ОС - Windows Integrity Control (WIC).

Использование защищенного режима

Автоматически, когда Internet Explorer работает в защищенном режиме, ему назначается Низкий уровень доверия. Защищенный режим продвигается MS как одно из важнейших нововведений в Windows Vista и IE 7. Все то время пока броузер работает в защищенном режиме все его действия получают низкие разрешения.

Некоторые сайты не могут правильно функционировать в таких ограничениях. Во вкладке Security в настройке есть возможность отключить такой режим, за это отвечает опция Enable Protected Mode. Компания рекомендует не давать пользователям на предприятиях возможность отключать защищенный режим работы броузера через групповые политики. Всем остальным предлагается включать необходимые сайты в зону надежных узлов, где защищенный режим выключен по умолчанию.

Windows Crypto – время перемен

Aaloha, Guy! Думаешь, ты уже изучил Висту вдоль и поперек и познакомился со всеми ее фишками? Не тут-то было. Пора копнуть глубже и заглянуть ей под капот. Видишь во-о-он ту блестящую штуковину с моторчиком? Нравится? А знаешь, что это такое? Нет? Ну тогда слушай и запоминай.

Итак, на повестке дня - криптосистема Windows Vista.

Если тебе приходилось использовать криптографические возможности более ранних версий Винды, ты должен знать, что доступ к этим возможностям предоставляется системой CAPI (Crypto API). Так вот Vista несет на своем борту новую, не столь убогую, как в Windows XP, версию CAPI. Но как это дело не причесывай, конфетку из него все равно не сделаешь. И в Microsoft это хорошо понимают. Нет, они не переписали CAPI с нуля (на фига напрягаться), они просто засунули CAPI в дальний темный угол системы. Теперь за взаимодействие с CAPI отвечает красивая блестящая обертка под названием CNG. Но парни действительно старались, и обертка получилась не только красивой, но и весьма полезной. О том, какие возможности перед тобой открывает система CNG, читай ниже.

Ваша система заблокирована! Чтобы активации необходимо отправить код xakep на короткий номер 31337. Под каким только предлогом не заставляют ушастого отправить дорогущую SMS, убеждая его в том, что на компьютере вирусы, или то, что Microsoft поймала его за нелицензионную винду, или, в конце концов, за то, что он посмотрел в Инете "клубничку". Развод срабатывает.

Название "Trojan.Winlock" давно стало характеризовать целую отрасль в вирусостроении, когда малварь не скрывает себя в системе, а наоборот всячески показывает свое присутствие, блокируя работу пользователя. Сначала способы выманивая денег напоминали скорее вымогательства (именно поэтому класс вирусов называется Ransomware – от английского слова ransom, выкуп), явно указывая на то, что экран блокирует вирус и сдастся он только после отправки SMS на платный номер. Позже, методы развода стали более изящными: пользователей припугивают, что появившееся окно является новой системой защиты Microsoft по борьбе с нелицензионным ПО, разыгрывают неплохой спектакль, прикидываясь антивирусом, который разом находит кипу вирусов в системе и так далее – главное, что во всех случаях проблемы предлагается быстро решить отправкой на короткий номер SMS.

Классическое веб-приложение любого назначения для своей работы использует собственно веб-сервер с активным модулем интерпретатора языка и базу данных, в которой хранятся данные. Все известные на сегодня атаки (XSS, SQL-injection, XPath-injections, CSRF/XSRF, HTTP Response Splitting, Include-атаки и другие) в той или иной мере используют недоработки программистов, позволяющие в итоге получить доступ к закрытой информации. Обнаружить и устранить все возможные ошибки просто нереально, и веб-приложения здесь - не исключение. Впрочем, приемы атакующих хорошо известны. Этот факт используют в специальных средствах, разработчики которых отслеживают все потенциально опасные, да и просто запрещенные администратором запросы, и пытаются их блокировать или изменить. На страницах журнала уже рассматривались такие приложения, как AppArmor, SELinux и TOMOYO Linux (][ от 08.2010), которые также подходят под наши цели и способны противостоять многим атакам.

Сегодня рассмотрим некоторые другие решения. Обзор начнется с проекта GreenSQL-FW), который, работая как прокси-сервер между веб-приложением и SQL-сервером, анализирует SQL-команды на предмет аномальных запросов и команды администрирования SQL-сервера, которые часто используются взломщиками (DROP, CREATE и т.д.). Используя GreenSQL, админ может определить список допустимых и запрещенных масок для операций DELETE, UPDATE и INSERT, а также блокировать запросы, содержащие ID администратора. При обнаружении атак кроме "опасных" команд используется "степень риска", которая вычисляется для каждого запроса к СУБД. В числе факторов, влияющих на коэффициент риска, могут выступать самые популярные приемы хакеров: обращение к служебным таблицам и конфиденциальным данным, запросы, всегда возвращающие TRUE, попытка обнулить поля с паролем, использование в запросе OR, сравнение констант и другие. При превышении уровня риска установленного порога запрос блокируется, а приложению отправляются пустые данные.

Многим известно, что большое количество программ используют драйверы режима ядра в Windows как "окно" для доступа в более привилегированный режим — Ring 0. В первую очередь это касается защитного ПО, к которому можно отнести антивирусы, межсетевые экраны, HIPS’ы (Host Intrusion Prevention System) и программы класса internet security.

Очевидно, что кроме основных функций подобные драйверы будут оснащены также механизмами взаимодействия, предназначенными для обмена данными между драйвером и другими программными компонентами, работающими в пользовательском режиме. Тот факт, что код, работающий на высоком уровне привилегий, получает данные от кода, работающего на уровне привилегий более низком, заставляет разработчиков уделять повышенное внимание вопросам безопасности при проектировании и разработке упомянутых выше механизмов взаимодействия. Однако как с этим обстоят дела на практике?

Инструменты: отдадчик OllyDebugger v.1.1, дизассемблер IDA Pro v.5.0, утилита PEiD, упаковщик/распаковшик UPX v.3.

Прежде всего, загрузив подопытного в PEiD, убеждаемся, что прога упакована UPX'ом. Для комфортной работы под дизассемблером лучше будет ее распаковать, благо это несложно - можно скачать распаковщик с сайта проекта, а можно немного порыться в папках дистрибутива самого PSY и обнаружить готовый к употреблению распаковщик в фолдере Compile (спасибо разработчикам).

Поскольку мы не собираемся патчить исполняемый файл, его лучше скопировать для дизассемблерного анализа в другое место и распаковать там (upx -d PSY.exe). Повторно запросив PEiD по поводу соображений насчет известного персонажа узнаем, что он написан на Delphi 6/7 (скорее всего 7), что исключает анализ с помощью DeDe, зато открывает оперативный простор для использования дизассемблера, для удобства и ускорения работы добавим к нему отладчик.

Использование именно IDA не принципиально, но предпочтительно, хотя я и не использовал механизм FLIRT для анализа в полном объеме (в смысле ограничился только сигнатурами Borland C++ Compiler, входящими в поставку Иды по дефолту, сигнатуры Delphi 7 было лень искать). Я не слишком большой специалист по Delphi, но интуиция подсказала, что окно регистрации выводится какой-либо ООП-процедурой из разряда CreateWindow(Form/Dialog...).

Инструменты: отдадчик OllyDebugger v.1.1, дизассемблер IDA Pro v.5.0, утилита PEiD, упаковщик/распаковшик UPX v.3.

Прежде всего, загрузив подопытного в PEiD, убеждаемся, что прога упакована UPX'ом. Для комфортной работы под дизассемблером лучше будет ее распаковать, благо это несложно - можно скачать распаковщик с сайта проекта, а можно немного порыться в папках дистрибутива самого PSY и обнаружить готовый к употреблению распаковщик в фолдере Compile (спасибо разработчикам).

Поскольку мы не собираемся патчить исполняемый файл, его лучше скопировать для дизассемблерного анализа в другое место и распаковать там (upx -d PSY.exe). Повторно запросив PEiD по поводу соображений насчет известного персонажа узнаем, что он написан на Delphi 6/7 (скорее всего 7), что исключает анализ с помощью DeDe, зато открывает оперативный простор для использования дизассемблера, для удобства и ускорения работы добавим к нему отладчик.

Использование именно IDA не принципиально, но предпочтительно, хотя я и не использовал механизм FLIRT для анализа в полном объеме (в смысле ограничился только сигнатурами Borland C++ Compiler, входящими в поставку Иды по дефолту, сигнатуры Delphi 7 было лень искать). Я не слишком большой специалист по Delphi, но интуиция подсказала, что окно регистрации выводится какой-либо ООП-процедурой из разряда CreateWindow(Form/Dialog...).

Данная статья является продолжением темы о взломе и заражении роутеров. На сей раз у меня на операционном столе другая модель роутера, но пока той же фирмы, D-Link 2500U. Описанное ниже куда интереснее, чем то, что было в первом материале — здесь представлен код Wake-up bindshell'a на Си для  закрепления на роутере, а также описан принцип распаковки прошивок Broadcom.

Сразу после написания первой статьи мне в лапы попал этот маршрутизатор, и после беглого осмотра я понял, что внутреннее его устройство существенно отличается от модели 500T и, следовательно, требует отдельного описания. Изучение любого подобного устройства следует начать с поиска способов коммуникации, в данном случае воспользуемся старым добрым сканером портов nmap:

$ nmap -A 192.168.1.1
Nmap scan report for 192.168.1.1
Host is up (0.026s latency).
Not shown: 998 closed ports

PORT   STATE SERVICE
23/tcp open  telnet
80/tcp open  http

В наши дни только ленивый не пробовал брутить дедики - благо, тулз для этого дела написано предостаточно. Наиболее известны tss-brute от metal и ActiveX-based брутфорсы, начало эволюции которых положили мы с Dizz’ом в прошлом году. Все остальные брутфорсы базируются на этих двух - являясь фронт-эндами tss-brute (RDP Brute by Dizz) или клонами моего R&D P Brute. В этом году я нашел новый способ угона серверов на Windows. Хочешь узнать, как - читай дальше!

Существующие решения

Казалось бы, все хорошо - уйма брутфорсов, выбирай-не хочу, но все они не лишены недостатков.

• Брутфорс от metal’a - один большой "костыль" (хотя автору громадный респект за проделанную работу). Пароль в нем вводится путем эмуляции нажатий на кнопки, к тому же он зависит от версии mstsc.exe.
• ActiveX-based брутфорсы характеризуются самим словом "ActiveX" - эта технология ну никак не подходит для создания подобного софта. Брутфорс - опять же костыль на костыле, например, чтобы нормально подбирался пароль, приходится создавать n объектов на форме, где n равно количеству потоков. Причем делать объекты невидимыми нельзя - тогда подбор пароля перестает работать (чтобы окошечки не было видно, их приходится прятать за границы формы!). Еще один, самый большой минус - он ни в какую не хочет работать на Windows Server 2003, а ведь большинство дедиков работает именно на этой ОС.

Итак, сегодня я расскажу тебе, как мне удалось написать брутфорс, который работает на любой ОС семейства Windows NT, при этом не используя никаких внешних компонентов - фактически работая прямо с протоколом RDP версии 5!

Каждый год в Канаде на конференции CanSecWest проходит конкурс PWN2OWN по поиску багов с современных ОС и браузерах. За каждый успешный сплойт предлагается серьезное вознаграждение. И каждый год от участников, имеющих готовые решения, нет отбоя. Для поиска критических уязвимостей в столь популярном софте есть много техник и ноу-хау, но большинство из них строятся на такой простой технике как фаззинг.

Термин Fuzzing появился еще в 1988 году в работе "The Fuzz Generator", опубликованной Бартом Миллером. Именно в эту светлую голову впервые пришла идея подсовывать программе заведомо некорректные и зачастую вообще случайные данные, отлавливая ситуации, когда та не сможет их обработать и вылетит. Эффективность такого подхода до сих пор велика. Точки ввода данных в программу могут быть самые разные: текстовая строка, введенная через графический интерфейс, бинарные данные из файла или, например, значение поля в каком-нибудь сетевом запросе. Вместо программы может быть драйвер, ActiveX-компонент или, например, SWF-приложение. В той или иной мере фаззинг сейчас является одним из наиболее эффективных средств выявления проблем безопасности кода.

Задумался я тут над смыслом подписания компоновочных блоков .Net. Наверняка, ты тоже подписывал свои библиотеки, чтобы установить их в GAC. В ходе сегодняшнего расследования мы научимся изменять подписанные сборки, не обладая исходниками и секретными ключами.

Приватные сборки

При подписании библиотеки (назначении строгого имени) открытый ключ записывается в манифест. Таким образом, чтобы внести изменения в чужую подписанную библиотеку, нужно просто заменить публичный ключ на свой. Или — еще проще — сделать новую сборку с таким же именем и подписать на своем ключе.

При использовании библиотеки любой публичный ключ будет принят как доверенный.

Проведем эксперимент, создадим небольшую библиотечку:

Библиотека signedLib.dll

namespace signedLib
{
public class sLib
{
public static int GetNumber() { return 1; }
}
}

Казуальная игра — компьютерная игра, предназначенная для широкого круга пользователей. Сам термин "казуальная" происходит от латинского слова "casualis", что означает "случайный". Таким образом, казуальная игра — это игра, в которую играют от случая к случаю, между делом, чаще всего, чтобы как-то убить время. Подобными игрушками являются творения компании НевоСофт. Только вот дают они поиграть всего час, а потом просят денег. Сегодня мы с этим разберемся!

Немного теории

Вообще, казуальные игры по своему уровню сложности годятся практически для любой категории пользователей компьютера. Зачастую время на прохождение таких игр невелико, а потому они хорошо подходят для тех, кто не может уделять игре много времени. Компания НевоСофт является одним из ведущих разработчиков казуальных игр в мире (и, в частности, на русском языке). Казалось бы, такая серьезная компания должна уделять повышенное внимание защите своего программного обеспечения, для ее взлома должно понадобиться много сил и времени. Сегодня мы опровергнем этот факт и покажем, как отучить их детище клянчить наши с вами кровные деньги. Разработчики компании НевоСофт держат под своим чутким надзором тысячи игр, при этом дают народу опробовать их детище в течение одного часа. После 60 минут, когда человек только входит во вкус, высвечивается не очень приятная табличка, которая просит денежек. Так уж сложилось, что русский человек не любит платить за софт, но разработчики игр иногда просто не оставляют нам выбора. Для определенной игры нужно найти свой кряк, на поиски которого иногда уходят драгоценные минуты и часы, а если игра новая, то вероятность найти его сводится к нулю.

Сегодня мы рассмотрим распаковку (далее анпак) игры, защищённой StarForce (далее старка, стар). Сразу хочу развеять миф о неломаемости этой защиты и поведать вам, что стар сможет распаковать даже ребёнок.

Инструменты

Что же нам потребуется? Самое главное - нам нужна игра. В качестве подопытного кролика я выбрал "King’s Bounty - The Legend demo" - это демо- версия, скачать её можно тут. Второе по значимости - это отладчик, естественно мы будем использовать OllyDbg (далее олька), не побрезговав я возьму сборку от арабов - Ollydbg 1.10 By Mouradpr + плагин OdbgScript последней на данный момент версии. Скачать сборку вместе с плагином можно по ссылке. Так же нам нужен ImportRec v1.7 для восстановления импорта и PeTools. Ещё блокнот, пару рук и капельку мозгов :).

Откуда берутся сплоиты? Задумывался ли ты, каким образом тусклая новость из багтрака превращается в реально работающую отмычку? Каким образом двумя десяткам строчек кода удается получить шелл на удаленном сервере? Сегодня мы посетим фабрику сплоитов и во всех подробностях посмотрим, как изготавливается качественное изделие.

Сплоит – что же это за зверь такой диковинный? По сути, это программа, написанная с целью использования уязвимости – в ОС, обычной программе или веб-приложении. Он может представлять из себя что угодно – программку на С/С++ (Delphi, Asm), скриптик на Perl или PHP, или даже находиться внутри картинки, но главное, что он влияет на уязвимую систему и заставляет ее работать так, как она не запрограммирована. Удаленный эксплоит работает через сеть и использует уязвимость без какого-либо предварительного доступа к уязвимой системе. Локальные же сплоиты запускаются непосредственно в уязвимой системе, требуя предварительного доступа к ней и обычно используются для повышения привилегий.

Сплоиты можно разделить по типу используемой уязвимости: переполнение буфера, SQL-инъекция, межсайтовый скриптинг и т.д. Короче говоря, разновидностей бывает много и каждая из них отличается как техникой исполнения, так и своей целью. Но есть в них одно общее – все они содержат код, выполняющий задуманные хакером действия. Этот код называют: байт-код, шелл-код (так как очень часто этот код предоставляет доступ к шеллу на удаленной системе), полезной (боевой) нагрузкой (payload). Написание такого кода – целое искусство. Если хочешь разобраться в этой области, советую начать со статьи Step'а "Откуда берутся шеллкоды". Мы же рассмотрим процесс написания эксплоита, а шелл-код возьмем уже готовый из пакета Metasploit.

HTML5 — будущий стандарт языка разметки Интернет. Пока он находится в стадии черновика, но все больше и больше его возможностей реализуются в популярных веб-браузерах. Но как это обычно бывает, новые технологии несут в себе и новые опасности, которые могут быть успешно проэксплоитованы.

HTML5: краткое резюме

Многие, вероятно, уже наслышаны про противостояние кодеков для технологии встраивания видеороликов на страницах. С помощью тега <video> предполагается если не заменить, то как минимум составить серьезную конкуренцию Adobe Flash. Заводя разговор о HTML5, часто вспоминают именно это нововведение. Еще бы: такие гиганты видеохостинга как Youtube и Vimeo уже реализовали поддержку новой технологии. А мобильные продукты от Apple, в которых официальной поддержки Flash'а не было и, скорее всего, не будет, уже активно ее используют. Так что потоковое видео, вставленное в страницу с помощью тега <video>, — это то, что можно пощупать уже сейчас.