книги хакеры / журнал хакер / 116_Optimized

Реакция Syser’а на машинную команду UD2

не знает, обзывая ее как «DB» («объявить байт») и неверно дизассемблируя весь последующий код (что не покажется удивительным, если вспомнить, что UD2 — двухбайтовая команда).

Пара последующих NOP’ов не делает ничего, кроме генерации пошагового исключения, особенность обработки которого мы обсуждали двумя абзацами выше. Так зачем же тогда они нужны? Подсказка— разные отладчики имеют разные баги, «съедая» различное количество исключений. Правильно! Данный crack-me определяет тип отладчика по значению count, уникальность которого обеспечивается соотношением команд, генерирующих свои собственные исключения, к общему количеству трассируемых инструкций. Если убрать NOP’ы, crackme продолжит детектить активную отладку, но уже не сможет определить, какой именно отладчик используется хакером.

Команда INT 03h также вставлена неспроста, а с умыслом. Если даже настроить отладчик на отдачу INT 03h ломаемой программе, наличие INT 03h существенно затрудняет отладку. Если бы INT 03h не было, то, чтобы быстро выбраться из глубин системного обработчика исключений назад к ломаемой программе, достаточно было бы покрыть трассируемый блок программными точками останова (в Ольге для этого нужно на каждой команде нажать <F2>). Программные точки останова представляют собой однобайтовую инструкцию CCh, легко обнаруживаемую подсчетом контрольной суммы и «разваливающую» самомодифицирующий код. Впрочем, ни того, ни другого в crackme нет, а есть только INT 03h. Чисто теоретически, отладчик может (и должен) отличать свои собственные INT 03h от чужих, отдавая программе только те исключения, которые она сама же и сгенерировала. Но на практике отладчики путаются. Ольга, настроенная на отдачу INT 03h ломаемой программе, при установке программной точки останова поверх INT 03h циклится, вынуждая хакера применять аппаратные точки останова (которых всего четыре) или точки останова на регион памяти, реализованные через подмену атрибутов страниц, что также легко обнаруживается.

Кстати, с точки зрения процессора, INT 03h генерирует trap, а не fault. То есть, регистр EIP в момент генерации исключения смотрит на команду, следующую за INT 03h, которой в нашем случае является двух-

Результат работы

JohoR crack-me при запуске под IDA Pro 4.7

байтовая инструкция JMP END_OF_LINE. В чем же подвох? А в том, что SEH-обработчик отлавливает BREAKPOINT-ис- ключение (соответствующее коду 080000003h) и увеличивает значение EIP на единицу. Неужели управление передается в середину инструкции JMP END_OF_LINE? Какой хитрый прием против дизассемблера! Гм, вот только непонятно... первый байт опкода JMP SHORT равен EBh, второй — представляет относительное смещение целевого перехода. И чтобы оно соответствовало осмысленной машинной инструкции, необходимо, чтобы метка END_OF_LINE располагалась на определенном смещении

от команды JMP. А в crack-me между ними расположен SEHобработчик. Выходит, если его изменить, то crack-me сразу перестанет работать? Такая хитрая защита исходных текстов

от изменения!

И чего только со страху не покажется. Да, в руководствах от Intel черным по белому написано, что BREAKPOINT это trap, а не fault. Вот только SEH-обработчик вызывается не процессором, а операционной системой. Той, что написана компанией Microsoft. А Microsoft Way умом не понять. Ну чем можно объяснить, что она подменяет процессорный контекст, умышленно уменьшая EIP на единицу? Парни из Microsoft впопыхах забыли, что BREAKPOINT может генерироваться как опкодом CCh, так и CDh 03h, а потому, если внедрить CDh 03h в программу и никак ее не обрабатывать, то после выхода из исключения, регистр EIP будет смотреть на опкод 03h, соответствующий команде ADD чего-то там. Допустим, за CDh 03h следует ССh (еще один INT 03h, только слегка другой). Тогда процессор выполнит опкод 03h CCh — ADD ECX, ESP. Вот и попробуй догадаться об этом при дизассемблировании!

Наконец, команда JMP END_OF_LINE выводит код из зоны трассировки. Программа восстанавливает прежний SEH, выталкивает из стека флаги и распечатывает значение счетчика исключений, после чего завершает свое выполнение вызовом функции ExitProcess(0).

Счастливый финал

Так как же все-таки ломают эти программы? И какими отладчиками? В случае статического кода (к которому относится мой crack-me) проблема решается установкой точки останова за пределами «горячей» зоны, где происходит выброс исключений, с прогоном их на живом процессоре (без пошаговой трассировки). Если же нам жизненно необходимо подсмотреть значение некоторых регистров или ячеек памяти внутри «горячей» зоны — на них устанавливается аппаратная точка останова. Динамический код (упакованный, зашифрованный, самомодифицирующийся) заломать намного сложнее, поскольку нам реально необходимо прогнать его через пошаговый трассировщик, с которым и борется защита. Заметим, весьма эффективно борется. BOCHS (бесплатная виртуальная машина со встроенным отладчиком) — единственный разумный выбор, но, сколько грузится на нем Windows, лучше не говорить. z

Леонид «R0id» Стройков

/ r0id@bk.ru /

сохранить его, воспользовавшись пунктом меню

«SAVE FILE».

2)Чтение директории:

Функция будет работать, если есть хотя бы одно поле вывода, определено количество полей, на сервере действует в качестве оси Фря или Сан, а также FILE_PRIV у текущего пользователя БД установлена в «Yes». Тебе необходимо прописать абсолютный путь к каталогу на сервере

вполе «DIR PATH» фрейма «READ». В случае удачного чтения содержимое директории опять же появится перед твоим любопытным взором.

3)Брутер путей:

Функция будет работать, если есть хотя бы одно поле вывода, определено количество полей, а FILE_PRIV у текущего пользователя БД установлена в «Yes». Тебе нужно выбрать словарь путей файлов для брута — кнопка «CHOOSE FILE» фрейма «READ». После чего надавить на батон «BRUTE PATHS». Если файл существует на диске и его длина больше 0 байт (он не «пустой»), тогда

в«DATA LOG» отобразится, что такой файл есть на сервере.

4)Загрузка файла на сервер:

Функция будет работать, если есть хотя бы одно поле вывода, определено количество полей и отсутствует экранирование кавычек. Опять же, надо прописать абсолютный путь к создаваемому файлу на сервере в поле «FILE PATH» фрейма

«WRITE».

Есть два варианта заливки файла:

•  UNION — используется INTO DUMPFILE (стан-

дартный вариант);

•  ENCLOSED BY — используется в MySQL, начи-

ная с 3 ей версии.

Загрузка файла происходит по нажатию батона

«WRITE».

Также существует возможность заливки файла с диска, если атака производится через метод POST. Выбираем файл кнопкой «BROWSE» и далее нажимаем «UPLOAD».

Честноговоря,описыватьутилуможноещедолго, но,увы,местовжурналеограничено.Поэтомуполностьюполагаюсьнатвоедальнейшеесамостоятельноеизучение.Тулзаотличнозарекомендоваласебя ипоправуявляетсяоднойизлучшихвсвоемроде.

Программа:SkypeBruter ОС:Windows2000/XP

Автор:mr.The

Нехитрый пхп-сорец брутера

Порой нам необходимо обзавестись определенным количеством скайповых акков. Цели сбора могут быть разные, а вот способов не так много.

рабочие места читателей

0][1(mail.0.x.1@gmail.com) читает журнал Chip. Дружно ему сочувствуем.

Eee PC, бутылка «Невского», хлебушек и полная пепельница — неотъемлимые атрибуты работы КоровкинаЮрия(xenobius@list.ru).

Такинескажешь,чтозаэтимстоломкто-томожетработать.

Xakep(geffar@xakep.ru), наверное, долго все по своим местам раскладывал.

КалинРуслан(kot@xakep.ru) был краток. Винда, конечно, маздай и т.п., но вот альтернативы у нее адекватной пока нет. Убунту еще больший маздай, а макось не в счет.

АрхиповВячеслав(arwa@yandex.ru) держит на рабочем столе Йохансон. Вполне можем его понять.

УUserX(zero06@narod.ru)отдельныйстолподкошакаикомпьютерную литературу.Сумасойти!

Имя:КрисКасперски,akaKPNC,akaмыщъх,aka nezumi,akan2k,akaelraton,akasouriz,aka tikus,akamuss,akafarah,akajardon.Настоя-

щееимянеизвестно Возраст:31год

Роддеятельности:Хакер.Писатель.Журналист

Его имя хорошо знакомо каждому, кто читает наш журнал. Также оно знакомо всем, кто хоть немного интересуется русской сценой (и у нас, и во всем мире). Талантливый журналист, не менее талантливый хакер, писатель, любимец публики и просто хороший человек — Крис Касперски.

Биография

О Крисе известно не так уж и много, несмотря на то, что он неоднократно давал крупным изданиям (включая наше) интервью, регулярно выпускает статьи и вообще, вполне досягаем для общения. Странное дело, но некоторые и вовсе считают, что никакого Криса Касперски не существует, это

просто некий виртуал, и хорошо, если за ним стоит один человек. Спешу заверить — слухи не верны. Крис абсолютно реален и был очень любезен, позволив расспросить о себе, что и сделало возможным появление на свет этой статьи. Над его личностью всегда колыхалась некая завеса тайны, во многом ставшая неотъемлемой частью образа. Поэтому полностью срывать ее мы не будем, оставив кое-что за кадром.

Родился Крис 2 ноября 1976 года, в небольшом поселке на Северном Кавказе. Далее произошли две вполне логичные вещи — он подрос и пошел в школу. В начальных классах у Криса появился первый компьютер

— «Правец-8Д», болгарский клон британской машины Oric Atmos с кучей документации на болгарском же языке. С него все и началось. У народа

вте дни, если что и встречалось, то «Спектрумы». Поэтому не заинтересоваться было трудно. По признанию будущего хакера, крайне интересно было воспроизвести на машине «елочку» или запустить по экрану шарик, отскакивающий от стенок. Этим, в числе прочего, и озадачивался наш герой.

Шли годы, развивался прогресс. Старенький «Правец-8Д» давно остался

впрошлом, а вот увлечение компьютерами никуда не пропало. Отдельного упоминания заслуживает тот факт, что изучением милой сердцу области Крис занимался исключительно сам, читая книги и экспериментируя. Более того, как это ни парадоксально — у него и по сей день нет высшего образования. Он трижды поступал в Таганрогский радиотехнический университет, все три раза — успешно, но каждый раз бросал учебу в течение первого курса. И дело вовсе не в непрофессионализме преподавателей (о них Крис, напротив, отзывается очень тепло) и не в каких-то проблемах учебного заведения, а просто «самостоятельная работа» с книгами и справочниками импонировала Крису гораздо больше тупой зубрежки. По его собственным заверениям, он и очная форма обучения — вещи крайне плохо совместимые. Впоследствии мыщъх оставил идею о «вышке», придя к выводу, что можно найти себе и своему времени более рациональное применение.

Хотя Крис познавал тонкости кодов самостоятельно, — у любого творческого человека рано или поздно возникает желание поделиться мыслями и идеями, что-то обсудить или же просто похвастаться какимито наработками. К счастью, Сеть упрощает подобные вещи в десятки раз. Крису повезло — у него были интернет и Фидо; это позволило ему найти единомышленников. В те годы Фидо пользовался среди нашего компьютерного андеграунда куда большим уважением, чем зачатки рунета — неудивительно, что Касперски стал активным участником эхи

RU.HACKER.

Здесь стоит сделать небольшое отступление и сказать, что первая статья, написанная Крисом, увидела свет, когда он еще учился в школе. Напечатал ее журнал «Звездочет». Несложно догадаться, что посвящалась она астрономии, еще одному очень серьезному его увлечению, кото-

Евгений

Два антипода в одной статье

Мария «Mifrill» Нефедова

/ mifrill@riddick.ru /

Касперский

Имя:ЕвгенийВалентиновичКасперский Возраст:42года Роддеятельности:Генеральныйдиректор

«ЛабораторииКасперского».Одинизведущих мировыхэкспертов-антивирусологов

Его имя фактически является нарицательным, ведь оно используется в названии известнейшего на IT-рынке бренда. Говоря «Касперский», мы подразумеваем антивирус. Но нельзя забывать, что за известным продуктом стоит живой человек, со своей уникальной историей и судьбой. Встречайте — программист, создатель AVP, основатель ЗАО «Лаборатории Касперского» — Евгений Касперский.

Биография

Родился главный антивирусолог страны 4 октября 1965 г. в городе Новороссийске. После специализированной математической школыинтерната при МГУ Евгений окончил Институт криптографии, связи и информатики. Дело было в конце 80 х. В то время найти работу по данной специальности было не то чтобы проблемой, но, как минимум, серьезной темой для размышлений. А так как к этому моменту Касперский уже успел обзавестись семьей (не только женой, но и двумя детьми), отнестись к выбору стоило со всей ответственностью. В итоге, выбрана была военная область. Поводом послужили две вещи.

Во-первых, показалась интересной идея о воспитании в себе дисциплины, чему армия определенно способствует. Во-вторых, еще в школу к Евгению приходили вербовщики из одного крайне закрытого НИИ Генштаба ВС СССР — и произвели на юношу самое приятное впечатление.

Однако служба золотых гор не сулила, а развиваться и двигаться вперед

— хотелось. Касперский попытался параллельно наладить подработку, поучаствовав в деятельности одного кооператива, занимавшегося торговлей ПК. Но затея не увенчалась успехом, если не сказать — с треском провалилась. Ни одной машины он так и не продал. Зато вынес из ситуации ценный урок: менеджмент и торговля — не его стихия.

Неизвестно, в каких еще областях он бы успел попробовать себя, если бы не вирус «Cascade», волею случая заведшийся на его машине в 1989 году. Обнаружив «болезнь», Касперский без особых проблем сумел «препарировать» вирус (все же, вряд ли программиста средней руки взяли бы в секретный правительственный НИИ). Разобрав код на запчасти, он быстренько смастерил программку, устраняющую вредоносный эффект. Вот так, практически случайно — и уж точно не задумываясь об этом, как о цели своей жизни — он написал первое «лекарство». Но за одним вирусом последовали и другие. Многие умельцы по всему миру в те годы «дорвались» до Сети, и пока одни сеяли что-то разумное и позитивное, других хлебом не корми — дай сделать ближнему гадость. Словом, недостатка в компьютерной заразе не наблюдалось. Евгений же малварью серьезно заинтересовался, но все еще не помышлял о ней как об источнике дохода. Он просто коллекционировал трояны, вирусы и иже с ними, а на досуге создавал «противоядия». По сути, обычное хобби.

Но слухами земля полнится. Постепенно к нему начали обращаться за помощью. Вначале денег «халтура» приносила мало, да и заказы попадались редко и были мелковаты. Пара сторонних клиентов и уже упомянутый кооператив — вот, пожалуй, все, с кем будущий глава одной из крупнейших антивирусных лабораторий мира имел дело. Само собой, такая ситуация мешала рассмотреть в этой сфере деятельности перспективную в будущем область рынка. Сигналом к

действию послужил первый серьезный заказ. Крупная фирма, разрабатывавшая большой пакет ПО, пожелала включить в комплект антивирусную программу и обратилась к Евгению. По тем временам подобное представлялось практически невозможным — технологии были не те, к тому же, ни у заказчика, ни у подрядчика не было почти никакого опыта. Слишком уж монументальным представлялся проект. Однако, попытка не пытка. Контракт подписали.

Хотя родившаяся на выходе прога была далека от идеала, ее разработка все равно принесла солидные деньги. Приятной особенностью этого детища (приятной для заказчиков!) стал GUI, которым на тот период времени не могли похвастаться конкуренты. Везде еще царил MS-DOS, рабочим инструментом являлась командная строка, а Windows только-только делала первые робкие шаги «в народ». Стало ясно, что хобби вполне способно превратиться в работу.

А судьба, словно решив перестраховаться и опасаясь, что вышеописанный случай будет воспринят как исключение, подтверждающее

мыщъх перефразирует Безрукова: «Некоторые люди испытывают такую же потребность писать, как коровы давать молоко. Я бы делал это (да и делаю) бесплатно — достаточно взглянуть на мои посты на форумах и оценить их длину».

После этого вопросов «а почему он вдруг начал писать?» или «что послужило посылом?», возникнуть не должно — ты либо пишешь, либо не пишешь и третьего не дано.

не просто учит хакерским премудростям и рассказывает, как нужно взламывать и как защищаться от атак, но и задается вопросом — зачем это делать.

На сегодняшний день количество написанных им статей исчисляется сотнями, вышедших книг — уже порядка двадцати (сюда входят и издания на английском), а Крис продолжает работать.

Работоспособность у него нечеловеческая. Здесь вновь будет умест­