Май - Xakep Online

взлом
Внешний вид персонального брандмауэра
При заходе на сервер http://nezumi.org.ru Горящий Лис тайком передает какую-то информацию
по адресам 72.14.217.93 и 209.85.137.99, принадлежащим корпорации Google
считать надежно установленным. Остается
только выяснять, какая именно информация
передается. Это легко! Достаточно взглянуть
на окно дампа, содержимое которого
приведено ниже:
прозвищу Johnny Long: www.blackhat.com/
presentations/bh-europe-05/BH_EU_05-Long.pdf.
Больше всего, конечно, от этого страдают владельцы
web-серверов, но и обычным пользователям
временами приходится несладко. Так
что… займемся экспериментами.
платный tcpdump (www.tcpdump.org), портированный
под множество операционных систем,
среди которых значится и Windows.
Также для чистоты эксперимента рекомендуется
установить свой собственный web-сервер, чтобы
исключить все побочные воздействия. Лично
я юзаю Small Http Server (http://smallsrv.com),
который советую и остальным, тем более что для
граждан бывшего СНГ он бесплатен.
Взятие Горящего Лиса с поличным
Берем свежеустановленного Горящего Лиса
за хвост и идем по адресу http://nezumi.org.ru
(адрес моего web-сервера). Открываем SyGate
Personal Firewall, лезем в «Logs Packet
Log» (при этом галочка «Capture Full Packet» в
«Options Log» должна быть заблаговременно
установлена) и видим, что в пакетном логе
появились какие-то странные и совершенно
левые IP-адреса, с которыми сношался процесс
firefox.exe через 80-й порт. Локальный адрес моего
сервера в логе отсутствует, поскольку пакетный
фильтр Sygate Personal Firewall игнорирует
трафик, идущий через loopback-петлю 127.0.0.1.
Попробуем выяснить, кому принадлежат эти IP,
определив их доменные имена посредством
штатной утилиты tracert.exe. Ее стараниями мы
быстро узнаем, что адресу 72.14.217.93 соответствует
доменное имя bu-in-f93.google.com, а
209.85.137.99 – mg in f99.google.com.
Информация, передаваемая Лисом
узлу bu-in-f93.google.com
0000: 00 30 80 3F DE 00 00
A0 : C5 C1 D8 89 08 00 45 00 |
.0.?..........E.
0010: 03 FF F8 41 40 00 80 06 :
68 30 53 EF 21 2E 48 0E | ...A@...
h0S.!.H.
0020: D9 5B 08 95 00 50 AC 7C :
5B 7B 32 F6 FD E4 50 18 | .[...
P.|[{2...P.
0030: 41 6A 05 C4 00 00 47 45 : 54
20 2F 73 61 66 65 62 | Aj....GET
/safeb
0040: 72 6F 77 73 69 6E 67 2F :
6C 6F 6F 6B 75 70 3F 73 | rowsing/
lookup?s
0050: 6F 75 72 63 65 69 64
3D : 66 69 72 65 66 6F 78 2D |
ourceid=firefox-
0060: 61 6E 74 69 70 68 69
73 : 68 26 66 65 61 74 75 72 |
antiphish&featur
0070: 65 73 3D 54 72 75 73
74 : 52 61 6E 6B 26 63 6C 69 |
«. Если до версии 4.2 для некоммерческого
использования он был бесплатен, то теперь
за полную версию надо платить, а из demo
пакетный фильтр исключен»
Готовим операционную
Итак, что нам понадобится? Горящий Лис (версия
1.5), Internet Explorer (версия 6.0.2800.1106),
Опера (версия 8.51). Остальные версии я
не проверял, поэтому их поведение может
отличаться от описанного. Еще нам потребуется
снифер (грабитель сетевого трафика) и
брандмауэр (для защиты от утечек информации).
Я использую SyGate Personal Firewall от
компании SyGate (ныне купленной корпорацией
Symantec), включающий в себя неплохой пакетный
фильтр. Если до версии 4.2 для некоммерческого
использования он был бесплатен, то
теперь за полную версию просят денежку, а из
демонстрационной пакетный фильтр исключен.
Поэтому приходится либо раскошеливаться,
либо искать антиквариат, либо использовать
какой-нибудь другой брандмауэр плюс бес-
Ага! В воздухе уже запахло паленым. Оба
адреса принадлежат корпорации Google и,
что самое интересное, находятся в различных
подсетях. Короче, факт скрытой
передачи персональных данных можно
es=TrustRank&cli
0080: 65 6E 74 3D 6E 61 76
63 : 6C 69 65 6E 74 2D 61 75 |
ent=navclient-au
0090: 74 6F 2D 74 62 66 66 26 : 65
xàêåð 05 /101/ 07
/
065