книги хакеры / журнал хакер / 143_Optimized

Кроме исходных текстов, на сайте можно найти ссылки на репозитории сторонних разработчиков, предлагающих сборки под Debian, RHEL/CentOS, Fedora, Gentoo, FreeBSD, Apache под Windows и другие. Правда, на поверку оказывается, что некоторые версии в них еще более поздние.

Самостоятельная сборка модуля при помощи исходных текстов не сложна, хотя ее порядок чуть меняется от версии к версии. Все зависимости вытянуть просто:

$ sudo apt-get build-dep libapache-mod- security

Для работы ModSecurity понадобится модуль unique-id, в Ubuntu просто включаем его:

$ sudo a2enmod unique_id

При самостоятельной сборке Apache необходимо сконфигурировать веб-сервер с параметрами «--enable-unique- id» и «--with-pcre». Распаковываем архив:

$ tar tar xzvf modsecurity-apache_2.5.12.tar. gz

$ cd modsecurity-apache_2.5.12/apache2 $ ./configure

Для сборки используется apxs (APache eXtenSion tool), который устанавливается из зависимостей:

$ make

$ make test

All tests passed (576).

и optional_rules. Создадим для правил подкаталог /etc/apache2/ modsecurity и скопируем в него файлы:

$ sudo mkdir /etc/apache2/modsecurity $ tar xzvf modsecurity-crs_2.0.8.tar.gz

$ sudo mv -v modsecurity-crs_2.0.8/* /etc/apache2/ modsecurity/

Теперь все файлы следует подключить в конфиге апача:

$ sudo nano /etc/apache2/apache2.conf

<IfModule security2_module>

Include modsecurity/*.conf

Include modsecurity/base_rules/*.conf

# и если требуются опциональные правила Include modsecurity/optional_rules/*.conf

</IfModule>

Âконфиге modsecurity_crs_10_config.conf, описывающем работу правил ModSecurity, указаны общие установки; изменяя значение некоторых параметров, можно сделать их более лояльными или наоборот, установить параноидальный режим.

Âкаждых конкретных условиях лучше разбираться постепенно. Теперь можно перезапускать апач:

$ sudo service apache2 start

И наслаждаться защищенными сервисами. Всю информацию по работе MosSecurity можно получить, анализируя журналы, и в случае необходимости корректировать настройки и правила.

задача которого куда серьезнее — низкоуровневая защита данных против атак на переполнение буфера, уязвимостей форматной строки, различных реализаций include (от ошибок в реализации функции realpath и экспериментальной поддержки защиты SQL до фильтрации некоторого контента и многого другого). Полный список приведен на сайте проекта в Feature List (hardened-php.net/ suhosin/a_feature_list.html).

Функционально Suhosin разделен на два компонента, которые могут использоваться вместе или независимо друг от друга. Первая часть реализована в виде патча к ядру PHP, обеспечивает низкоуровневую защиту (Engine Protection). Некоторые приложения не особо дружат с Suhosin-патчами, поэтому не всегда в дистрибутивах он идет в штатной поставке PHP.

Проверить наличие патча в своей сборке PHP очень просто. В Ubuntu 10.04:

$ sudo apt-get install php5-cli $ php -v

PHP 5.3.2-1ubuntu4.5 with Suhosin-Patch (cli) (built: Sep 17 2010 13:49:46)

Вывод показывает, что PHP уже собран с патчем Suhosin. Вторая, высокоуровневая часть реализована в виде модуля PHP suhosin.so, который легко установить в любую систему без пересборки самого PHP. По сравнению с патчем, модуль обеспечивает большее количество функций. Кроме различного рода блокировок переменных, отсылки кода ответа и перенаправления браузера предусмотрена запись событий в журнал или передача во внешний скрипт/программу. В Ubuntu он по умолчанию не устанавливается.

Suhosin — щит для PHP

$ sudo apt-get install php5-suhosin

Судя по результатам разных опросов, язык PHP является основным при разработке веб-приложений, ему отдают предпочтение как минимум половина программистов. Но не все они обладают опытом, достаточным для того, чтобы предусмотреть все проблемы, в результате которых наскоро написанные сайты легко подвергаются взлому. На сегодня известны несколько проектов, позволяющих повысить защищенность: suPHP, htscanner и Suhosin. Проект suPHP (suphp.org) предлагает модуль для Apache (mod_suphp) и оболочку для PHP, сочетание которых позволяет выполнять PHP-скрипты с правами их владельца. В htscanner (pecl.php.net/package/htscanner) пошли еще дальше, позволив настраивать доступ к скриптам в стиле htaccess. И, наконец, Suhosin (hardened-php.net/suhosin),

Кроме собственно модуля устанавливается конфигурационный файл /etc/php5/conf.d/suhosin.ini. Переменных внутри много, все они, кроме разрешающего загрузку модуля, закомментированы. Описание параметров можно найти в man-странице и на сайте проекта в документе Configuration (hardened-php.net/suhosin/configuration. html).

Заключение

Защитить веб-приложение, даже не зная всех его особенностей, вполне реально. Тем не менее, любое из рассмотренных решений требует подгонки под конкретные условия, чтобы работать с максимальной эффективностью! z

Увертюра

Тема манипуляции человеческим сознанием поднимается во многих книгах, статьях, исследованиях, художественных и документальных фильмах. Постоянно придумываются новые и более эффективные способы влияния, потому что предыдущие устаревают по мере появления в паблике и по мере смены ментальности людей и их ценностей. К примеру, еще 50 лет назад в нашей стране слово «беспартийный» считалось клеймом, 15-20 лет назад оно перешло в разряд того, чем можно гордиться, сейчас оно неактуально вообще. Та же история и с другими субъективными понятиями. Однако, есть базовые категории, такие как чувства, инстинкты или имидж; их можно взять за основу, наложить на них актуальные для современности категории — и вуаля! — шаблон для эффективной манипуляции готов, его нужно только немного подкорректировать под сиюминутную ситуацию. Мы заметили, что основные вопросы по манипуляциям, которые задают читатели, касаются именно базовых категорий, и они с завидной частотой повторяются. Поэтому сегодня посвящаем статью ответам на такие вопросы.

Q: Чем манипуляция отличается от скрытого управления?

А: Манипуляция — это один из частных приемов скрытого управления. Отличие состоит в том, что при манипуляции мы управляем непосредственно человеком или его личными желаниями, мотивами, поступками против его воли или в обход ее, при

этом манипуляция часто носит аморальный характер и предполагает личную выгоду манипулятора; скрытое управление применяется для достижения общих целей, чаще всего именно в разрезе трудовых отношений, например, если сотрудники по каким-то личным причинам не хотят или не могут исполнять свои обязанности. Можно, конечно, принудительно заставить их заняться неугодным делом, вызывая на себя шквал критики и безответственное отношение к занятию, но можно придумать эффективную систему мотивации (тоже элемент скрытого управления), тем самым устранив конфликт между личными капризами сотрудников и их трудовыми обязанностями. Скрытое управление использует преимущественно благородные методы психологического влияния.

Q: Как происходит манипуляция, за счет чего она действует?

A: Для того, чтобы манипуляция состоялась, нужна коммуникация между людьми, другими словами, отклик, реакция одного человека на действия или слова другого. Например, ты собираешься приобрести новое железо, а девушка обижается, что ты никак не купишь ей новый телефон. Проанализируем ситуацию: ее обида = косвенное действие, на которое ты должен среагировать и изменить свои планы (так хочет она). Если ты вступил в коммуникацию, ты почувствуешь вину, передумаешь, отодвинешь свои намерения на второй план, — в итоге ее манипуляция удалась.

Если ты не вступил в коммуникацию, ты вос-

принимаешь ее обиду просто как факт, тебя не касающийся, соответственно ничего не чувствуешь по этому поводу, — и ее манипуляция провалится. Другое дело, если бы она прямо сказала: «Отложи, пожалуйста, свои покупки, так как мне очень нужен новый мобильный», — это была бы уже не манипуляция, и риск получить отказ повышается. Почему так происходит? Потому что манипуляция задействует бессознательные мотивы (жажда удовольствия, выгоды, стыд, вина, желание быть или казаться значимым, страх), которые мы в большинстве случаев не осознаем; тем, чего мы не осознаем, соответственно, управлять не можем. А прямая просьба обычно анализируется, и на основе анализа принимается решение «да» или «нет».

Кстати, некоторые люди чисто из-за природной вредности не могут выполнить просьбу и делают назло (и за этим тоже стоят сверхсознательные стереотипы), поэтому добиться от них чего-либо можно, только обойдя все эти пороги, то есть применив манипуляцию.

Q: На какую удочку меня может поймать манипулятор?

A: Основная удочка — это перечисленные выше бессознательные мотивы, неумение отказать, наши чувства (и даже радость). Приведем некоторые примеры:

• Провокационный посыл. Суть состоит в том, чтобы, не высказывая прямой просьбы, все-таки заставить человека сделать то, что самим делать лень или просто нет возмож-

UNITS

ее превысить, тогда сознание перестанет справляться с обработкой новых данных, и они прямиком попадут в подсознание.

Самый простой пример: раскачиваешься на стуле, периодически прикасаясь к одежде «жертвы», быстро перещелкиваешь треки на музыкальном центре, сбивчиво рассказываешь «захватывающую» историю, даешь противоречивые советы и указания, просишь посчитать что-нибудь сложное в уме. В то время, когда он пытается найти в твоих действиях разумное зерно и уследить за всеми обрушивающимися кинестетическими, аудиальными и дигитальными сигналами, ослабляется сопротивление защитных фильтров сознания, и любая вредоносная идея может достигнуть ядра личности. Кстати, на методе перегрузки информации построен эффект «25-го кадра», а также некоторые НЛП-техники и приемы скоростного обучения иностранному языку.

Q: Тут прикупил себе крутой домашний кинотеатр, но знакомая (психолог) говорит, что просмотр фильмов в конфигурации 5.1 может вызывать паническую тревогу. Так ли это?

A: Почему бы не провести эксперимент? Пригласи друзей на просмотр какого-нибудь мажорного блокбастера. Для примера возьмем «Темного рыцаря». Во время сеанса дождись взрыва Готтемской больницы, затем с пульта ресивера поддай басов, выкрути на максимум регулятор громкости на сабе, и низкочастотные волны в буквальном смысле начнут рассекать воздух и парализовывать зрителей страхом. Дело в том, что в природе звуки из инфрадиапазона (16-100 Гц) довольно редки (как правило, возникают при землетрясении, цунами и т.д.), мы «не запрограммированы» принимать их как безопасные, поэтому организм очень чутко воспринимает все, что находится в диапазоне воспроизводимых частот сабвуфера. В итоге гости получат яростную, ничем не сдерживаемую атаку на психику сверхнизкими звуковыми частотами. Так что твоя знакомая права.

Hint: чтобы усилить воздействие, басовый регистр нужно сделать более глубоким, напористым и собранным. Для этого поставь сабвуфер на антивибрационные шипы

(например, Soundcare SuperSpike 1) и под-

ключи его хорошим силовым кабелем (таким как Furutech G-314Ag).

Q: Мне кажется, что по телеку реклама иногда звучит громче, чем основная программа.

Очередной трюк манипуляторов? A: Да, это техническая уловка. Начнем с того, что выделяют два вида уровня звука: объективный (его можно увидеть на экране звукоинженера) и субъективный (то, как его воспринимает человеческий слух).

Звукоинженеры/звукорежиссеры делают так,

UNITS

Ксюша Собчак. В общем, ты понял…

генералы дозванивались до президента (ох уж эти янки). Как удалось добиться такого резонанса авторам сценария? Довольно просто. Действие было перенесено в Америку и построено в виде репортажа с места событий. Для большей убедительности время от времени радиоинсценировка прерывалась записанными ранее прогнозами погоды и музыкой.

Q: А есть ли у манипулятора слабые места?

A: Постоянный контроль над собой и «жертвой», страх поддаться своим чувствам и проникнуться переживаниями адресата влияния делают манипулятора уязвимым. Эксплуатируя эту брешь, можно разрушать манипулятивную деятельность (причем даже неосознанно).

Q: Я считаю, что манипулировать

другими — это плохо, но при этом хочу уметь противостоять чужими манипуляциям. Это возможно?

A: В первую очередь давай разберемся в смыслах. Манипуляцию можно сравнить со шприцом, которым можно спасти жизнь человеку, а можно лишить его жизни — все зависит от наполнения. Манипуляцию можно применять во благо человеку, если он сам не понимает, что идет к краю пропасти, а можно подтолкнуть его к краю этой же пропасти. Так что, если душа твоя чиста, и ты тяготеешь к доброте — юзай навыки манипулирования в полезных для всех целях. Но пока не научишься манипулировать другими, сам ты просто не сможешь интуитивно распознать чужие попытки играть с тобой; разве что опознаешь очень толстый троллинг по внешним признакам.