 |
| 
Любителям nethack'а - дарю идею. Родилась по следам обсуждения возможноси использования онани... анонимизирующих прокси
в нетхаковых целях :-) Примечание: здесь и далее речь идет о http-proxy, поскольку socks
вопрос очень отдельный. Конечно, через http много не нахакаешь, но веб-сервера
частенько ломают именно через http. Хотя бы потому, что остального может и не быть.
...главное у нас что? Главное у нас - чтобы не нашли. Для этого придуманы анонимные прокси.
Только вот - где гарантия, что там не ведут логи, и при необходимости не отдадут их
соответствующим органам? Или даже - что само прокси содержится (спонсируется, финансируется)
этими самыми органами, чтобы приманивать хакеров и иметь "под рукой" доказательства? В самом деле -
какой вообще резон кому-то держать анонимный и открытый для всех прокси, расходуя свой же канал
и подставляя себя же под всякие хакерские действия? Во-от.
Конечно, идеальный вариант - "сломать" другую машину, установить там троян/руткит, и далее
взлом осуществлять уже через неё. Но - во-первых, там могут и заметить.
Во-вторых, до туда могут и добраться, и дождаться, и логи посмотреть.
А в третьих - что делать несчастным script kiddies, только недавно прочитавшим
про iis unicode exploit, и возжелавшим немедленно применить? Учиться ломать юникс-системы?
Нее, надо что-то побыстрее.
...а может, и пусть - найдут? Ставим себе на машинку какой-нибудь "ускоритель интернета"
(локальный прокси), желательно более-менее известный, еще более желательно - достаточно кривой чтобы
биндиться по умолчанию не к 127.0.0.1 а к 0.0.0.0 (и тем самым пускать к себе всех-всех-всех), но сойдет и наличие
крыжика в настройках, разрешающего "внешние" соединения. Логи - пусть себе ведет, даже лучше будет.
Какое-то время пользуемся.
А потом - ломаем то, что хотели сломать, старательно имитируя работу своего же прокси -
подставляя характерные для него заголовки, аккуратно дописывая каждый шаг в логи собственного прокси,
и - подставляя в x-forwarded-for какой-нибудь не слишком левый, но и не особенно доступный адрес.
В результате, при расследовании взлома в первую очередь придут к вам -
адрес-то ваш светился. Вы же, сделав большие и удивленные глаза, скажете "хакеры?! какой ужас, поймайте их скорее!".
И добровольно дадите покопаться в своем компьютере. После чего расследующие приходят к выводу, что
вы - очередной клинический идиот, не сумевший сконфигурировать локальную прокси (хм. вылитый я четыре года назад),
и что вас тупо использовали как "плацдарм" для атаки. Вам советуют разобраться с настройками, и удаляются
искать источник атак куда-нибудь в южную часть гренландии - в зависимости от того, что вы там понаписали
в логи.
Заранее надо дописать в логи своего собственного прокси
несколько попыток сканирования, еще какую-нибудь дребедень.
Было бы несколько странно, если бы вас использовали для какого-то более-менее серьезного взлома
без предварительной проверки.
Сослаться можно на пул динамических адресов какого-нибудь крупного зарубежного провайдера.
Но идеальным было бы найти свежевзломанную кем-нибудь другим машинку - скажем, сайт, которому
сделали дефейс, и который вот уже неделю так и стоит дефейснутым - при этом гарантировано
отсутсвие админа во вменяемом состоянии с той стороны, плюс всё можно свалить на тех хакеров, что взломали тот сайт.
А если хочется полной красоты и гармонии - хорошо бы с соседнего диал-ап эккаунта
имитировать (ну да, spoofing) те самые запросы с того самого адреса, а на своей машинке имитировать же ответы.
В этом случае, если ваш провайдер ведет полный лог всех tcp-сессий (это при грамотном подходе
не так уж катастрофически напряжно - содержимое потоков ведь писать необязательно, и все-все заголовки тоже
было бы избыточно) - он сможет только подтвердить, что входящие "запросы на атаку" были,
а значит - вы тут не при чем.
...мешает одно. Ничего особо серьезного используя голый http не сделаешь, а если использовать не голый http
а что-то еще - то и искать будут по этому чему-то еще. А в случае "мелкого хулиганства с использованием
технических средств" никто к вам в квартиру с обыском не попрется - разве что фильтр поставят, или
провайдеру нажалуются. А в остальном - вполне себе интересная идея :-)
| |
| |