книги хакеры / Защита_от_взлома_сокеты,_эксплойты,_shell_код_Фостер_Дж_

Здесь делается по существу то же, что в предыдущем переопределении, только более явно. Во-первых, мы проверяем, нужно ли возбудить исключение или просто завершить процесс. Если надо возбуждать исключение, мы вызываем Win32-функцию RaiseException, передавая ей код выхода в качестве параметра.

Чтобы перехватить это исключение, понадобится примерно такой код:

int nRes; LPEXCEPTION_POINTERS pi; __try {

nRes = rpcdump_main(g_argc, g_argv);

}

__except(pi = GetExceptionInformation(), EXECEPTION_EXECUTE_HANDLER) {

nRes = pi->ExceptionRecord->ExceptionInformation[0];

}

В принципе, этот код делает то же самое, что макрос BEGIN_ENTRYPOINT, только он получает возвращаемое значение, даже если функция rpcdump_main возбудила исключение.

Â: Иногда на экране промаргивает консоль, если я вызываю компонент из своего сценария. В чем дело?

Î: Это потому, что утилита может работать и как консольное приложение, и как COM-объект. Если она определяет, что вызвана в режиме COM, то консольное окно сразу закрывается. Есть два способа справиться с этим эффектом, и у каждого из них свои недостатки:

спроектировать утилиту как графическое приложение. Если она запущена в консольном режиме, присоединиться к родительской консоли с помощью функции AttachConsole и настроить функции ввода/вывода для работы с новыми STDIN и STDOUT. Недостаток в том, что текст, отображаемый на консоли, не будет выглядеть так же, как в случае, когда утилита разрабатывалась как консольное приложение;

вообще удалить часть приложения, связанную с консолью, и считать его исключительно COM-объектом. Очевидный недостаток в том,

что мы теперь имеем два инструмента вместо одного.

Появление «Всемирной паутины» подняло на новую высоту возможности коммуникаций. Web-серверы, чаты, программы обмена файлами и прочие приложения, обязанные своим существованием Web, изменили мир. Но одновременно эти технологии принесли с собой угрозы безопасности, в том числе тайне личной жизни, хранимым данным и целостности пользовательских систем. Ответом стали методы аутентификации, стандарты шифрования и другие меры противодействия. Web-серверы, сетевые приложения, сайты и хранящиеся на них данные (очевидно, самая популярная и часто используемая часть сети Интернет) – вот предмет заботы большинства специалистов в области информационной безопасности.

Whisker – сложный сценарий, написанный на языке Perl и предназна- ченный для поиска уязвимостей, которые можно атаковать через Web, был стандартом де факто для подобных приложений в течение трех лет. Rain Forest Puppy (RFP) написал Whisker, стремясь создать полноценный инструмент, который сканировал бы Web-серверы в поисках уязвимых приложений или точек внедрения для последующей атаки. Затем RFP на- чал новый проект LibWhisker, который должен был вобрать в себя большую часть функциональности, необходимой для запуска сложных запросов с помощью Whisker. Вскоре LibWhisker стала базовой технологией, на основе которой разрабатывались почти все инструменты для сканирования Web. А явным лидером среди всех бесплатных статических сканеров стала программа Nikto, созданная группой CIRT (Computer Incident Response Team – группа быстрого реагирования на компьютерные атаки при Министерстве энергетики США). К программе Nikto существует написанный на Perl интерфейс, который пользуется модулями LibWhisker для реализации сложных функций. Помимо этого интерфейса, в состав Nikto входит новая текстовая база данных, содержащая множество потенциально опасных запросов для поиска уязвимых CGI-приложений и получения «шапок» Web-серверов (часть ответа, по которой можно идентифицировать Webсервер).

В наш сканер Web-серверов SP-Rebel входит новый механизм разбора этой базы данных об уязвимостях. Кроме того, он содержит «пакетную пушку», которая посылает все возможные атакующие строки целевым системам. В этой главе мы подробно рассмотрим дизайн этой программы, вопросы реализации и основные компоненты, которые часто встречаются в командных утилитах. Все это даст вам возможность проверить, насколько успешно вы овладели материалом, изложенным в книге.

Самое важное при разработке любого программного обеспечения – правильно спроектировать его. Создание программы – это нетривиальная зада- ча, поэтому к этапу проектирования следует подойти со всей серьезностью.

Формат сигнатуры атаки

Почти все современные программы сканирования имеют файлы «цифровых отпечатков», которые считываются, разбираются и используются. Эти файлы повышают гибкость программы, так как позволяют легко добавлять новые отпечатки, не изменяя кода разбора или выполнения, а обычно именно эти части писать труднее всего. Файлы цифровых отпечатков часто называют базами данных, хотя в действительности они представляют собой обычные текстовые файлы. Записи в них имеют единый формат и обычно нуждаются

âпредварительном разборе.

Âсозданном нами приложении используется общедоступная и весьма популярная база данных с сигнатурами уязвимостей, являющаяся частью программы Nikto и поддерживаемая группой CIRT. База пополняется добровольцами со всего мира, но, что самое важное, все сигнатуры в ней имеют единый формат, а именно:

тип web-сервера,корневой URL,ответ,метод,дополнительный вывод

Первое поле описывает тип уязвимости, к которому относится данная сигнатура, второе – это каталог, файл или строка атаки, которую нужно послать целевому Web-серверу. Поле «ответ» – это HTTP-код возврата, ожидаемый от уязвимой системы (например, «200 OK», «502 Bad Gateway» или «302 Moved Temporarily»). Поле «метод» описывает метод, которым запрос отправляется по протоколу HTTP. Почти во всех случаях это GET или POST, хотя в последнее время все больше внимания уделяется методу TRACE. Последнее поле содержит дополнительную информацию, которую можно включить в отчет или просто использовать как комментарий.

Сигнатуры

Итак, с форматом сигнатуры разобрались, теперь рассмотрим примеры:

Сигнатура атаки на файл htaccess

“generic”,”/.htaccess”,”200”,”GET”,”Contains authorization information”

IIS w3proxy.dll

“iis”,”/scripts/proxy/w3proxy.dll”,”502”,”GET”,”MSProxy v1.0 installed”

9

10 #define WIN32_LEAN_AND_MEAN

11

12 #include <winsock2.h>

13 #include <windows.h>

14 #include <stdio.h>

15 #include "VulnDB.h"

16

17 #pragma comment(lib, "ws2_32.lib")

18

19#define DB_FILENAME "scan_database.db"

20#define BUF_SIZE 0x0400

21#define DEF_PORT 80

22

23 int output = 0;

24

25/*

26* список CGIDIRS

27*/

28#define CGIDIRS_LEN 0x02

30string CGIDIRS[CGIDIRS_LEN] =

31{

32"/cgi-bin/",

33"/scripts/"

34

35/* сюда добавить другие каталоги CGI-программ */

36};

37

38/*

39* список ADMINDIRS

40*/

41#define ADMINDIRS_LEN 0x01

43string ADMINDIRS[ADMINDIRS_LEN] =

44{

45"/admin/"

46

47/* сюда добавить другие каталоги административных программ */

48};

49

50/*

51* twiddle()

52*

53*

54*/

55void twiddle (int &pos,

56int idx,

111sock = socket(AF_INET, SOCK_STREAM, 0);

112if(sock < 0)

113{

114delete buf;

115printf("\r\n*** ошибка socket() при соединении с целью для данного запроса.\r\n");

116return(false);

117}

118

124// соединиться с удаленным TCP-портом

125ret = connect(sock, (struct sockaddr *) &sin, sizeof(sin));

126if(ret < 0)

127{

128delete buf;

129printf("\r\n*** ошибка connect() при соединении с целью для данного запроса.\r\n");

130closesocket(sock);

131return(false);

132}

133

134 // соединение установлено..

135

136// отправить запрос

137ret = send(sock, req.c_str(), req.length(), 0);

138if(ret != req.length())

139{

140delete buf;

141printf("\r\n*** ошибка send() при отправке данных для данного запроса.\r\n");

142closesocket(sock);

143return(false);

144}

145

146// получить ответ

147ret = recv(sock, buf, bufsize, 0);

148if(ret <= 0)