этом - Xakep Online

62 ÎØÈÁÊÈ ÌÎËÎÄÎÑÒÈ ÑÏÅÖ 02-07áåçûãîëüíûåèíúåêòîðûÈíñòðóìåíòàðèé êîäåðà ýêñïëîéòîâ ïîä PerlÈÍÎÃÄÀ ÒÐÅÁÓÅÒÑß ÀÂÒÎÌÀÒÈÇÈÐÎÂÀÒÜ ÏÐÎÖÅÑÑ ÏÎÈÑÊÀ ÓßÇÂÈÌÎÑÒÈ ÈËÈ ÁÛÑÒÐÎÏÐÎÂÅÐÈÒÜ ÂÀÐÈÀÍÒÛ ÈÑÏÎËÜÇÎÂÀÍÈß ÊÀÊÎÃÎ-ËÈÁÎ ÍÅÄÎ×ÅÒÀ  ÊÎÄÅ. ÊÎÄÈÒÜÄËß ÊÀÆÄÎÃÎ ÒÀÊÎÃÎ ÑËÓ×Àß ÍÀ «ÑÈ» ÑËÈØÊÎÌ ÓÒÎÌÈÒÅËÜÍÎ È ÍÅÐÀÖÈÎÍÀËÜÍÎ. ÝÒÎÌ ÑËÓ×ÀÅ ÍÀÌ ÍÀ ÏÎÌÎÙÜ ÏÐÈÄÅÒ PERL, ÊÎÒÎÐÛÉ ÏÎÇÂÎËßÅÒ ÁÛÑÒÐÎ ÏÈÑÀÒÜÊÎÐÎÒÊÈÅ È ÔÓÍÊÖÈÎÍÀËÜÍÛÅ ÝÊÑÏËÎÉÒÛ.Insiderbrain_insider@mail.ruÝòà ñòàòüÿ íå ÿâëÿåòñÿ ðóêîâîäñòâîì ïî ïðîãðàììèðîâàíèþíà Perl, ðàâíî êàê è íå ÿâëÿåòñÿ ðóêîâîäñòâîìïî íàïèñàíèþ ýêñïëîéòîâ: â íåé ìû êîðîòêîðàññìîòðèì îñíîâíûå èíñòðóìåíòû, êîòîðûå ìîãóòäëÿ ýòîãî ïîòðåáîâàòüñÿ.Åñëè òû îïûòíûé ñåêüþðèòè-ñïåöèàëèñò è çíàåøü«÷òî ïî÷åì» â ìèðå ñåòåâîé áåçîïàñíîñòè, òîñëåäóþùèé àáçàö ìîæåøü ñìåëî ïðîïóñòèòü.  ñëó-÷àå æå, åñëè òû òîëüêî ïëàíèðóåøü ïðèñòóïèòü ê íàïèñàíèþñîáñòâåííûõ ýêñïëîéòîâ è ïîäûñêèâàåøüèíñòðóìåíòû, ÿ ïðåäñòàâëþ òâîåìó âíèìàíèþ îäèíòàêîé è îáîñíóþ, ÷åì è êàê îí ìîæåò áûòü ïîëåçåí.Äëÿ ÷òåíèÿ ýòîé ñòàòüè íåîáõîäèìû ëèøü áàçîâûåçíàíèÿ Perl, òàê ÷òî íå ñòîèò ïóãàòüñÿ, åñëè ýòîò ÿçûêòåáå íå çíàêîì. Ïðèìåðû ïðîñòû íàñòîëüêî, ÷òî,ïðè íàëè÷èè îïûòà ïðîãðàììèðîâàíèÿ íà ëþáîìäðóãîì ÿçûêå, òû ëåãêî ñìîæåøü â íèõ ðàçîáðàòüñÿ.À äëÿ íà÷àëà äàâàé âñïîìíèì, ÷òî æå òàêîåýêñïëîéò, êàê åãî ïèñàòü, è, ãëàâíîå, ÷åì íàì â ýòîìíåëåãêîì äåëå ìîæåò ïîìî÷ü Perl.Èòàê, ýêñïëîéò (exploit, àíãë.) â ïåðåâîäåc âðàæåñêîãî îçíà÷àåò «èñïîëüçîâàòü, ïîëüçîâàòüñÿ,ýêñïëóàòèðîâàòü».  íàøåì ñëó÷àå ìû ýêñïëóàòèðóåìóÿçâèìîñòè, íàéäåííûå â àòàêóåìîì ñîôòå.Òàêèì îáðàçîì, ýêñïëîéò — ýòî êîä, êîòîðûé ñîçäàåòóñëîâèÿ äëÿ èñïîëüçîâàíèÿ è èñïîëüçóåò íåêîòîðóþóÿçâèìîñòü â àòàêóåìîì ïðèëîæåíèè ñ íåêèìè,íåñîìíåííî çëîâåùèìè, öåëÿìè. ×òî æå ýòî ìîãóòáûòü çà öåëè? Äà êàêèå óãîäíî, íà÷èíàÿDoS-àòàêîé íà êëèåíòñêèé êîìïüþòåð è çàêàí÷èâàÿâûïîëíåíèåì çëîâðåäíîãî øåëë-êîäà íà ñåðâåðå.Ïîíÿòíî, ÷òî òèï ýêñïëîéòà çàâèñèò îò òèïà óÿçâèìîñòèè öåëåé, êîòîðûå ïðåñëåäóåò âçëîìùèê. Îäíàêîåñòü íàèáîëåå îáùèé êëàññ çàäà÷, â êîíòåêñòåêîòîðûõ ìû è ïðèãëÿäèìñÿ ê Perl.Íàèáîëåå ÷àñòî ïðèõîäèòñÿ ïèñàòü óäàëåííûåýêñïëîéòû, êîòîðûå íå ïîäðàçóìåâàþò íàëè÷èÿ ïðÿìîãîäîñòóïà ê öåëåâîé ìàøèíå, à èñïîëüçóþò ïðåäîñòàâëÿåìûéýòîé ìàøèíîé óäàëåííûé ñåðâèñ. ×òîíàì ìîæåò ïîòðåáîâàòüñÿ äëÿ íàïèñàíèÿ óäàëåííîãîýêñïëîéòà? Î÷åâèäíî, ìîäóëè, ïîçâîëÿþùèå ôîðìèðîâàòüñîåäèíåíèÿ íà âñåõ óðîâíÿõ ñòåêà ïðîòîêîëîâTCP/IP. Ïî÷åìó ÿ ðåêîìåíäóþ èñïîëüçîâàòü äëÿýòèõ öåëåé Perl? Perl, íà ìîé âçãëÿä, ÷ðåçâû÷àéíîïðîñò â îñâîåíèè. Äëÿ ÷åëîâåêà, çíàêîìîãî ñ Ñ/Ñ++,îñâîåíèå ñèíòàêñèñà Perl çàéìåò ìàêñèìóì äåíüäâà.Äëÿ ïðèìåðà, îäèí ìîé çíàêîìûé ;), êîãäà òîãîïîòðåáîâàëà ñèòóàöèÿ, îñâîèë îñíîâíûå èíñòðóìåíòûPerl è íàïèñàë ïåðâûé ñêðèïò íà 200-300 ñòðîêâ òå÷åíèå 10 ÷àñîâ. Íàäî çàìåòèòü, ÷òî îí îòíþäüíå ïîëèãëîò. Perl ÷ðåçâû÷àéíî ãèáîê è íå íàâÿçûâàåòêàêîé-òî êîíêðåòíûé ñòèëü ïðîãðàììèðîâàíèÿ.Åñòü Perl-ñêðèïòû, êîòîðûå ïðè ïîâåðõíîñòíîì ïðîñìîòðåñëîæíî îòëè÷èòü îò C, åñòü íàïèñàííûå â«ðîäíîì» äëÿ Perl ñêðèïòîâîì ñòèëå. Ñóùåñòâóåòìíîãî ñïîñîáîâ ñäåëàòü îäíî è òî æå, è äëÿ êàæäîéêîíêðåòíîé çàäà÷è òû âîëåí âûáèðàòü òîò èíñòðóìåíò,êîòîðûé òåáå ïðåäñòàâëÿåòñÿ ñàìûì ïîäõîäÿùèì— ýòî îñíîâíàÿ èäåîëîãèÿ Perl. Ìàëî òîãî, ïîêîëè÷åñòâó âîçìîæíîñòåé ýòî îäèí èç ñàìûõ áîãàòûõÿçûêîâ — îäíè ðåãóëÿðíûå âûðàæåíèÿ ÷åãî ñòîÿò.Ñëåäóåò îòìåòèòü, ÷òî íà Perl ìîæíî ïèñàòü î÷åíü êîðîòêèåè ïðè ýòîì ÷ðåçâû÷àéíî ôóíêöèîíàëüíûåñêðèïòû. Ïîìèìî ýòîãî, ÿçûê ïîçâîëÿåò ðàçâèâàòüíåõèëóþ ñêîðîñòü ðàçðàáîòêè, â ñðàâíåíèè ñ òåìæå C, îáëàäàÿ, êàê óæå áûëî ñêàçàíî, âïîëíå äîñòàòî÷íîéôóíêöèîíàëüíîñòüþ. Íàïðèìåð, ÿ, äà è íå ÿîäèí, ÷àñòî èñïîëüçóþ Perl äëÿ íàïèñàíèÿ ïðèêèäî÷íîãîìàêåòà áóäóùåé óòèëèòû. È êàê òîëüêî ñòàíîâèòñÿÿñíî, êàê ñëåäóåò îðãàíèçîâàòü êîä è êàêèåâîçìîæíû óçêèå ìåñòà, ìîæíî ïðèñòóïàòü ê ïåðåïèñûâàíèþêîäà íà êîìïèëèðóåìîì ÿçûêå (íàïðèìåð,Ñ), åñëè, êîíå÷íî, ñêîðîñòü âûïîëíåíèÿ ÿâëÿåòñÿêðèòè÷íîé. Àõ äà, ñîâñåì çàáûë: îñíîâíîé è ñàìûéæèðíûé áîíóñ Perl — ýòî ñêëàä ãîòîâûõ ðåøåíèé íàâñå ñëó÷àè æèçíè — CPAN (ïîäðîáíåé ÷èòàé íà âðåçêå).Åñëè âîçíèêàåò æåëàíèå íàïèñàòü «êàêóþ-íèáóäüïîëåçíóþ áèáëèîòå÷êó», òî ñ áîëüøîé âåðîÿòíîñòüþ÷òî-òî ïîäîáíîå óæå åñòü íà CPAN. Åùå Perlïîçâîëÿåò îñóùåñòâëÿòü ðàáîòó ñ ñèñòåìîé íà íèçêîìóðîâíå (ê ïðèìåðó, ðåàëèçîâàíà ðàáîòà ñ ñèñòåìíûìèâûçîâàìè è ñèãíàëàìè Unix, ÷òî ìîæåòáûòü êðàéíå ïîëåçíî ïðè íàïèñàíèè ýêñïëîéòîâ).