img - Xakep Online

ВЗЛОМТюрин «GreenDog» Алексей agrrrdog@gmail.comEasy HackХАКЕРСКИЕСЕКРЕТЫПРОСТЫХВЕЩЕЙОтветы от различных HTTPсерверов.Видна разницав порядке полей, etag’е,регистре.Пример применения httprint’а.¹ 1ЗАДАЧА: ОПРЕДЕЛИТЬ ВЕРСИЮ HTTP-СЕРВЕРАРЕШЕНИЕ:В недавнем номере ][ была хорошая статья, в которой описана тема сокрытия/изменениябаннеров для различных сервисов, будь то FTP- илиHTTP-сервер. Но, чтобы ты был всесторонне вооружен, поведаю тебе оболее продвинутых методах детекта ПО. В этом номере о HTTP-серверах.Конечно, строчка «Server» в заголовке — это хорошо. Но на нее слишкомлегко повлиять. Что же у нас есть еще? Достаточно многое. Суть в том,что разные веб-серверы по-разному поступают в различных ситуациях.То есть мы посылаем различные запросы серверам, а они по-разномуотвечают. В основном это связано с неопределенностями RFC и/илиотклонением от них. Поэтому можно составить определенные отпечатки(fingerprint) каждого HTTP-сервера, иногда до конкретной версии.Есть и пассивные методы, и активные. Активные — более точные, нотребуют посыла (не)стандартных запросов, которые можно обнаружить.Вот некоторые способы фингерпринта:• Ïîðÿäîê ïîëåé â îòâåòå HTTP-ñåðâåðà;• Ðàçëè÷íûå îòâåòû ñåðâåðà íà çàïðîñû âèäà:DELETE / HTTP/1.0 — «çàïðåùåííûé» ìåòîä;GET / HTTP/3.0 — «íîâûé» âåðñèÿ ïðîòîêîëà;GET / LALA/1.0 — íåñòàíäàðòíûé ïðîòîêîë;HEAD / — íåêîððåêòíûé çàïðîñ;И так далее.• Ðàçëè÷èÿ â ïîðÿäêå ñëîâ, ðåãèñòðå â ðàçëè÷íûõ îòâåòàõâåá-ñåðâåðà;• Ðàçëè÷íûå òåêñòû îøèáî÷íûõ (404, íàïðèìåð) ñòðàíèö;• Ñïåöèôè÷íûå äëÿâåá-ñåðâåðà ïîëÿ âîòâåòå;• Ðåàêöèÿ ñåðâåðà âçàâèñèìîñòè îò äëèíûçàïðîñà;• È ïðî÷åå.То есть, на первый взгляд, способов очень много.Таким образом, мы можем достаточно точно выделить отпечаток каждоговеб-сервера.Общая идея, я думаю, понятна. На практике же есть множество тулзов.Например, httprint под win/nix и входящий в BT 4 (net-square.com/httprint/), опенсорсный httprecon под win (computec.ch/projekte/httprecon/. Поговаривают, что одна из лучших :). Обе приложены надиске.Разница между ними, в основном, в количестве и качестве используемыхтестов и логике, по которой они определяют важность «прохождения»веб-сервером какого-то теста. Ведь понятно, что точность определенияверсии сервера по отпечаткам имеет вероятностный характер иво многом основывается на методе выставления оценок за прохождениекаждого из тестов, проводимых программой.Кстати, даже с учетом глубокого изменения каких-то характеристик вебсервера,определить версию можно. Например, есть net-square.com/httprint/httprint_paper.html для модуля ServerMask к IIS.Есть также и онлайн-фингерпринтер веб-серверов (и не только) — этоwww.netcraft.com.Дальнейшие примеры приводить не буду — проги слишком просты.Но для более четкого понимания (лучше один раз потрогать, чем 100раз увидеть :)) советую поиграться с любой из этих программ и какимнибудьсниффером. Серверы можно найти на shodanhq.com. Теориюна простых примерах можно почерпнуть тут — ujeni.murkyroc.com/hmap/. База ответов на различные запросы — computec.ch/projekte/httprecon/?s=database.Следует также упомянуть, что HTTP-фингерпринт очень нежелательнопроводить через HTTP-прокси, так как последний может сильно изменитьответ от сервера.038 XÀÊÅÐ 08 /139/ 10