В прошлой статье мы начали рассматривать, как работники компании Microsoft осуществляют удаленный доступ к ресурсам внутренней сети компании. Сегодня мы продолжаем разговор о, пожалуй, самой защищенной сети в мире, выдерживающей более 100.000 нападений в месяц.

Почта и системы обмена сообщениями без RAS

Эта статья описывает возможности системы Windows Integrity Control (WIC), впервые представленной в Windows Vista, рассказывает о том, как защищаются объекты (типа папок и файлов), о разных уровнях защиты, об управлении WIC при помощи утилиты ICACLS.

Целостность системы - кому ты можешь доверять?

При создании последней версии операционной системы компании, Windows Vista, разработчики из Microsoft пытались сконструировать самую защищенную ОС из семейства Windows. Одна из функций, помогающая обезопасить ОС - Windows Integrity Control (WIC).

Использование защищенного режима

Автоматически, когда Internet Explorer работает в защищенном режиме, ему назначается Низкий уровень доверия. Защищенный режим продвигается MS как одно из важнейших нововведений в Windows Vista и IE 7. Все то время пока броузер работает в защищенном режиме все его действия получают низкие разрешения.

Некоторые сайты не могут правильно функционировать в таких ограничениях. Во вкладке Security в настройке есть возможность отключить такой режим, за это отвечает опция Enable Protected Mode. Компания рекомендует не давать пользователям на предприятиях возможность отключать защищенный режим работы броузера через групповые политики. Всем остальным предлагается включать необходимые сайты в зону надежных узлов, где защищенный режим выключен по умолчанию.

Windows Crypto – время перемен

Aaloha, Guy! Думаешь, ты уже изучил Висту вдоль и поперек и познакомился со всеми ее фишками? Не тут-то было. Пора копнуть глубже и заглянуть ей под капот. Видишь во-о-он ту блестящую штуковину с моторчиком? Нравится? А знаешь, что это такое? Нет? Ну тогда слушай и запоминай.

Итак, на повестке дня - криптосистема Windows Vista.

Если тебе приходилось использовать криптографические возможности более ранних версий Винды, ты должен знать, что доступ к этим возможностям предоставляется системой CAPI (Crypto API). Так вот Vista несет на своем борту новую, не столь убогую, как в Windows XP, версию CAPI. Но как это дело не причесывай, конфетку из него все равно не сделаешь. И в Microsoft это хорошо понимают. Нет, они не переписали CAPI с нуля (на фига напрягаться), они просто засунули CAPI в дальний темный угол системы. Теперь за взаимодействие с CAPI отвечает красивая блестящая обертка под названием CNG. Но парни действительно старались, и обертка получилась не только красивой, но и весьма полезной. О том, какие возможности перед тобой открывает система CNG, читай ниже.

Ваша система заблокирована! Чтобы активации необходимо отправить код xakep на короткий номер 31337. Под каким только предлогом не заставляют ушастого отправить дорогущую SMS, убеждая его в том, что на компьютере вирусы, или то, что Microsoft поймала его за нелицензионную винду, или, в конце концов, за то, что он посмотрел в Инете "клубничку". Развод срабатывает.

Название "Trojan.Winlock" давно стало характеризовать целую отрасль в вирусостроении, когда малварь не скрывает себя в системе, а наоборот всячески показывает свое присутствие, блокируя работу пользователя. Сначала способы выманивая денег напоминали скорее вымогательства (именно поэтому класс вирусов называется Ransomware – от английского слова ransom, выкуп), явно указывая на то, что экран блокирует вирус и сдастся он только после отправки SMS на платный номер. Позже, методы развода стали более изящными: пользователей припугивают, что появившееся окно является новой системой защиты Microsoft по борьбе с нелицензионным ПО, разыгрывают неплохой спектакль, прикидываясь антивирусом, который разом находит кипу вирусов в системе и так далее – главное, что во всех случаях проблемы предлагается быстро решить отправкой на короткий номер SMS.

Классическое веб-приложение любого назначения для своей работы использует собственно веб-сервер с активным модулем интерпретатора языка и базу данных, в которой хранятся данные. Все известные на сегодня атаки (XSS, SQL-injection, XPath-injections, CSRF/XSRF, HTTP Response Splitting, Include-атаки и другие) в той или иной мере используют недоработки программистов, позволяющие в итоге получить доступ к закрытой информации. Обнаружить и устранить все возможные ошибки просто нереально, и веб-приложения здесь - не исключение. Впрочем, приемы атакующих хорошо известны. Этот факт используют в специальных средствах, разработчики которых отслеживают все потенциально опасные, да и просто запрещенные администратором запросы, и пытаются их блокировать или изменить. На страницах журнала уже рассматривались такие приложения, как AppArmor, SELinux и TOMOYO Linux (][ от 08.2010), которые также подходят под наши цели и способны противостоять многим атакам.

Сегодня рассмотрим некоторые другие решения. Обзор начнется с проекта GreenSQL-FW), который, работая как прокси-сервер между веб-приложением и SQL-сервером, анализирует SQL-команды на предмет аномальных запросов и команды администрирования SQL-сервера, которые часто используются взломщиками (DROP, CREATE и т.д.). Используя GreenSQL, админ может определить список допустимых и запрещенных масок для операций DELETE, UPDATE и INSERT, а также блокировать запросы, содержащие ID администратора. При обнаружении атак кроме "опасных" команд используется "степень риска", которая вычисляется для каждого запроса к СУБД. В числе факторов, влияющих на коэффициент риска, могут выступать самые популярные приемы хакеров: обращение к служебным таблицам и конфиденциальным данным, запросы, всегда возвращающие TRUE, попытка обнулить поля с паролем, использование в запросе OR, сравнение констант и другие. При превышении уровня риска установленного порога запрос блокируется, а приложению отправляются пустые данные.

В прошлой статье я кратко познакомил тебя с архитектурой AMD-V. В этой мы продолжим разбираться с нелегкой темой. Я намерено упустил множество важных деталей относительно механизма работы гипервизора, дабы с первого раза не перегружать твой мозг большими объемами информации. Будем заполнять этот пробел.

Я буду приводить примеры и форматы регистров в Long Mode по ходу, поэтому сразу следует сказать (или напомнить), что Long Mode — это режим работы процессора, в котором работают все 64-битные ОС-и.

Данная статья является продолжением темы о взломе и заражении роутеров. На сей раз у меня на операционном столе другая модель роутера, но пока той же фирмы, D-Link 2500U. Описанное ниже куда интереснее, чем то, что было в первом материале — здесь представлен код Wake-up bindshell'a на Си для закрепления на роутере, а также описан принцип распаковки прошивок Broadcom.

Сразу после написания первой статьи мне в лапы попал этот маршрутизатор, и после беглого осмотра я понял, что внутреннее его устройство существенно отличается от модели 500T и, следовательно, требует отдельного описания. Изучение любого подобного устройства следует начать с поиска способов коммуникации, в данном случае воспользуемся старым добрым сканером портов nmap:

Итак, все началось с того, как однажды зависла эта самая железка, точнее, она предательски оборвала соединение с интернетом и никак не хотела его восстанавливать. При этом находилась она далеко, физического доступа к ней не было (впрочем, что-то я заврался – мне просто было лень встать с дивана с перезагрузить роутер :)), Web-интерфейс не отзывался, но я вспомнил, что на этой штуковине должен быть telnet или ssh. Заходить в зону администрирования я ранее не пробовал и опрометчиво не менял пароль к моей учетной записи (как оказалось позже, очень зря, ведь по дефолту он "admin:admin"). Итак, я попробовал SSH, и он работал!

Достаточно часто в ходе проведения работ по тестированию на проникновение встречаются машрутизаторы Cisco Systems с привилегированным доступом (level 15), что позволяет использовать их для дальнейшего развития атак с использованием функционала TCL. Сейчас я опишу несколько методов данных атак, и поверь, их использование действительно приводит к повышению прав на, якобы, защищенном маршрутизаторе.

Tcl – (Tool Command Language) – скриптовый язык часто применяемых с графической библиотекой Tk, придуман в начале 80-х годов и из-за своей простоты продолжает повсеместно использоваться как встроенный в различные приложения; вспомним хотя бы программы expect или irc-ботов eggdrop, а также использование его как модуля к серверной части apache mod_tcl. В операционную систему IOS, используемую маршрутизаторами Cisco Tcl, был введен с версии IOS 12.3(2)T, что позволило реализовать в маршрутизаторах Cisco Systems функции выполнения "пользовательских" скриптов. Как наиболее часто встречаемый пример, использование IOS IVR для создания интерактивных голосовых меню в системах IP-телефонии.