DEFCON सम्मेलन 17. अपने वायरस पर हँसो! भाग २

DEFCON सम्मेलन 17. अपने वायरस पर हँसो! भाग 1

फिर आप इसे आईडीए में लोड कर सकते हैं और देख सकते हैं कि आयातित पते की तालिका में सब कुछ ठीक लग रहा है, और हम वांछित फ़ाइल को सूचक सेट करने के लिए क्रॉस-लिंक का पालन कर सकते हैं। तो हम निर्भर एन्क्रिप्शन कोड के सटीक स्थान पर पहुंचते हैं।



इस प्रकार, मेमोरी को डंप करने के लिए बस कुछ कमांड के साथ, हमें वह स्थान मिला जहां कोरफ्लड छिपा था। हमने बिना पीई के हेडर को डिसएबल्ड, रीसीव्ड और इंसर्ट किया, और 20 सेकंड से भी कम समय में पूरी तरह से रीस्टोर एड्रेस टेबल प्राप्त कर लिया।

अगली कहानी "हनी, मुझे खेद है कि आपको फिर से परेशान करने के लिए - मैं इंटरनेट द्वारा डंक मार रहा हूं!" यह कहानी हमें बताती है कि दोषपूर्ण आईपी जनरेटर Conficker.B इंटरनेट के केवल हिस्से को स्कैन करता है। यहां हम फिर से रैंड समारोह में लौटते हैं। इस फ़ंक्शन का एक महत्वपूर्ण हिस्सा बहुत अंतिम निर्देश है जिसे मैंने हरे तीर के साथ चिह्नित किया है - यह 7 एफएफ़ के मूल्य के साथ ईएक्सएक्स में किसी भी अंतिम मूल्य को निष्पादित करता है। यदि आप विधानसभा के सिद्धांतों से परिचित नहीं हैं और यह नहीं जानते कि यह निर्देश क्या कर सकता है, तो यहां इस बारे में एक छोटा डेमो है।



हम अधिकतम मूल्य को स्थानांतरित करते हैं जो EAX में इस रजिस्ट्री को शामिल कर सकता है और अंतिम निर्देश को निष्पादित कर सकता है। आप देख सकते हैं कि यह मान के ऊपरी आधे हिस्से को "काट" देता है और फिर 7FFF को घटाता है, जिसे दशमलव प्रणाली में 32767 में बदल दिया जाता है। जाहिर है, लेखकों को यह एहसास नहीं था कि विंडोज चलाने वाला यह प्रतिबंध पूर्णांक आकार में वापस नहीं आता है, जैसा कि वे चाहते थे। । यह इसे "काट" देता है ताकि मान 7FFF से अधिक न हो, ताकि 7F का एक बाइट कभी भी 7F के इस मान से अधिक न हो, अर्थात यह कभी भी 80 या उसके समान नहीं होगा।

आगे स्लाइड के बाईं ओर, जिसे मैंने "शातिर विधि" कहा है, आप कन्फर्मर को देखते हैं। बी कोड। यह रैंड को एक कॉल दिखाता है जो आईपी एड्रेस के पहले ऑक्टेट को शुरू करता है, जिसे रैंड से लौटने के बाद स्कैन करने का इरादा है। निम्नलिखित रैंड सिस्टम कॉल IP पते के तीसरे और चौथे ऑक्टेट को आरंभ करता है, लेकिन उपरोक्त के कारण, इनमें से दो ऑक्टेट कभी भी 7F से अधिक नहीं होंगे। इस प्रकार, अधिकांश इंटरनेट स्कैन नहीं किया जा सकेगा क्योंकि Conficker.B इस एल्गोरिथ्म का उपयोग करता है।

स्लाइड के दाईं ओर सोर्स कोड का हिस्सा है जो कोडांतरक दिखाता है। स्क्रीन पर पढ़ना मुश्किल है, लेकिन यह उदाहरण सार्वजनिक रूप से उपलब्ध है, और यदि आप रुचि रखते हैं तो आप इसे ऑनलाइन पढ़ सकते हैं।



इस उपकरण का एक लिंक अगली स्लाइड के नीचे स्थित है, जिसका शीर्षक "शातिराना पद्धति का अनुकरण" है। आप यह भी देख सकते हैं कि IP पता PRNG के साथ जनरेट किया गया है लेकिन स्कैन नहीं किया गया है।



मैं ब्रैंडन एनर को एक बड़ा धन्यवाद कहना चाहता हूं, जिन्होंने अगली स्लाइड पर कार्यक्रम बनाया। इस ग्राफ़ को "हिल्बर्ट वक्र" कहा जाता है, और मैं अब छवि को बड़ा कर रहा हूं ताकि आप स्क्रीन पर बेहतर देख सकें। ग्राफ में नीला रंग आईपी पते की सीमा को इंगित करता है जो इस विकराल एल्गोरिथ्म का उपयोग करके Conficker.B द्वारा स्कैनिंग के लिए उपलब्ध नहीं हैं। गहरा लाल रंग इंगित करता है कि क्या स्कैन किया जा सकता है। आप देखते हैं कि ग्राफ़ के अधिकांश भाग गहरे लाल नहीं हैं, लेकिन बैंगनी हैं, और आप यह नहीं देखेंगे कि जब तक आप इसी आयत को नहीं बढ़ाते तब तक ऐसा क्यों होता है।



यहां तक ​​कि इस बढ़े हुए आयत में, प्रत्येक ब्लॉक / 16 में, आपको बहुत सारे नीले टुकड़े दिखाई देते हैं जो गहरे लाल रंग को बैंगनी में बदल देते हैं। ये उन पतों के हिस्से हैं जिन्हें Conficker.B स्कैन करने में सक्षम नहीं है।



यह काफी दिलचस्प है क्योंकि बहुत से लोगों को यकीन है कि कन्फिकर.बी ने "महान दिमाग" बनाया। शायद यह है, लेकिन ये दिमाग विंडोज रैंड () में मौजूद सीमाओं के बारे में नहीं जानते थे।

मैथ्यू रिचर्ड: वापस उन लोगों के लिए, जैसा कि मैंने कहा, अपने वायरस को बहुत अच्छी तरह से प्रबंधित नहीं करते हैं, इसलिए साइबर अपराध में यह कहावत "मानव भेड़िये के लिए मानव" है, इसलिए इन लोगों को उनके हलकों में सम्मान नहीं दिया जाता है।

चलो हैकर उपकरण नियोस्प्लोइट के बारे में बात करते हैं, जो "हर किसी को" मिल गया। हम कह सकते हैं कि इसके डेवलपर्स का आदर्श वाक्य था "नकदी के लिए धन्यवाद, अब इसे चलाने का समय है।" नियोस्प्लोइट वेब हमलों के आयोजन के लिए एक टूलकिट है, इसलिए साइबर क्राइम के लोग इसे खरीद लेंगे और इसे सर्वर पर लोगों के खिलाफ कॉन्फ़िगर करेंगे, सर्वर को हैक करेंगे, कोड डाउनलोड करेंगे और इसी तरह।



नियोस्प्लोइट के रचनाकारों ने अपने उपकरण को बेचकर अच्छा निवेश किया, लेकिन इसे भागों में परिवर्तित, संशोधित या उपयोग करने की अनुमति नहीं दी। इस टूलकिट का तीसरा संस्करण अप्रैल 2008 में जारी किया गया था, और अधिकांश अनूठे कारनामों को C में लिखा गया है, इसलिए यह PHP या किसी प्रकार का बकवास वेब अनुप्रयोग नहीं है। ग्राहकों को CGI कारनामों के एक सेट के साथ एक बाइनरी वितरण प्राप्त हुआ।

नियोस्प्लोइट में ऐसी विशेषताएं हैं जो ग्राहकों को विभाजन या ट्रिमिंग के कारनामे से रोकती हैं। ऐसा करने के लिए, सभी कारनामों को बाइनरी प्रारूप में प्रस्तुत किया गया था, जिसे XOR का उपयोग करके एन्क्रिप्ट किया गया था। रचनाकारों ने इसे ऐसा बनाया कि कोई भी नेस्प्लिट के आधार पर अपने स्वयं के कारनामों को काट नहीं सकता, गोंद कर सकता था और बना सकता था। 40-50-60 अलग-अलग प्रकार के वेब हमले हैं, जो चोरी और कॉपी किए गए कोड के आधार पर अपने कारनामों में डाले गए हैं, इसलिए नेस्प्लॉइट लोग अंदर से अपने कारनामों को एन्क्रिप्ट करके थोड़े चालाक निकले। स्क्रीनशॉट में आप देखते हैं कि उनके पास कुंजी neosploit.key के साथ एक फ़ाइल है, इसलिए यह पूरी तरह से लाइसेंस प्राप्त सॉफ़्टवेयर है।



मुझे कोई संदेह नहीं है कि उनके पास वास्तव में अच्छे ग्राहकों का एक समूह था, जिन्होंने बहुत से पैसे कमाए थे। उनके सबसे प्रसिद्ध ग्राहक टॉरपिग थे। मुझे लगता है कि आपने मेब्रोट रूटकिट के बारे में सुना है, जिसके साथ उन्होंने बॉटनेट नेटवर्क बनाने के लिए सिस्टम से समझौता किया। लेकिन नियोस्प्लोइट के रचनाकारों के पास कई अन्य ग्राहक थे। मई 2008 में, उन्होंने एक नया सुधार जारी किया - उनके टूलकिट का तीसरा संस्करण। ग्राहकों को $ 1000 के लिए सभी बाद के अपडेट के साथ शोषण पैकेज का भुगतान करने के लिए कहा गया था। बाद में मैं इस बारे में और अधिक विस्तार से बात करूंगा, अब मैं देखूंगा कि वे वास्तव में समुद्री डाकुओं के बारे में चिंतित थे और जितना संभव हो सके अपने उत्पाद को उनसे बचाने की कोशिश की, तो यह निश्चित रूप से बहुत मज़ा था।



यहां तक ​​कि मीडिया ने लिखा कि ये कारनामे हर जगह हैं। तो बेशक, हम कोड को अलग करने की कोशिश करेंगे और यह दिखाएंगे कि कैसे नेस्प्लोइट काम करता है।

अप्रैल से जुलाई तक कारनामों के इस सेट को गहनता से प्रचारित करने के बाद उन्होंने जो पहली मजेदार बात की, वह था 20 जुलाई, 2008 से उनका समर्थन। वे जो स्पष्टीकरण बस अपनी वेबसाइट पर पोस्ट करते थे, उसने निम्नलिखित कहा: “दुर्भाग्य से आगे उत्पाद समर्थन संभव नहीं है। हम असुविधा के लिए क्षमा चाहते हैं, लेकिन व्यवसाय व्यवसाय है, और परियोजना पर खर्च किया गया समय खुद को उचित नहीं ठहराता है। हाल के महीनों में, हमने ग्राहकों की आवश्यकताओं को पूरा करने के लिए अंतिम प्रयास किया है, लेकिन किसी दिन समर्थन बंद हो जाना चाहिए। हम आपके साथ डेढ़ साल से हैं और हम आशा करते हैं कि यह आपके व्यवसाय के लिए सबसे बुरा समय नहीं था। अब हम आपके निकट नहीं रहेंगे, लेकिन फिर भी, हम आपके व्यापार को बहुत लंबे समय तक फलने-फूलने की कामना करते हैं। ” सामान्य तौर पर, हमें आपका पैसा प्राप्त हुआ, आपने सदस्यता के लिए भुगतान किया, इसलिए स्वस्थ रहें!

हालांकि, उन्होंने बस मजाक किया और अगस्त 2008 में वापस आ गए और पूरी तरह से नया संस्करण 3.1 जारी किया, जो उन्होंने अपने प्रमुख ग्राहकों को प्रदान किया, यह दर्शाता है कि इसके लिए भुगतान करने के बाद अन्य सभी ग्राहकों को एक अपडेट प्राप्त होगा। इस अपडेट में Adobe PDF, Shockwave Flash, और Quicktime for Firefox के कई नए कारनामे शामिल थे।

फिर उन्होंने फिर से गंभीर होने का फैसला किया और घोषणा की कि वे वास्तव में अपडेट जारी करना बंद कर रहे हैं, इसलिए प्रीपेड सदस्यता बनाने वाले सभी लोगों ने पेंच लड़ा दिया।

तो, चलो Neosploit पर चलते हैं, वेब हमलों के आयोजन के लिए यह बहुत अच्छा किट है। चूंकि इसके डेवलपर्स ने समुद्री डाकू लड़े थे और उन कारनामों को चुराया था, जिन्हें कॉपी करके दूसरे लोगों की किट में चिपका दिया जा सकता था, इसलिए उन्होंने एक-एक कारनामे को अंजाम दिया और उसे CGI फ़ाइल में रखा, इस तरह से एन्कोडिंग करना कि उसे वहाँ से निकालना बहुत मुश्किल था। सी शोषण बायनेरिज़ PHP स्क्रिप्ट से थोड़ा अलग थे।



नियोस्प्लोइट ब्लॉग पर, डेंचो डेन्चेव के वाक्यांश को पोस्ट किया गया था कि "कोई भी नया शोषण बना सकता है," लेकिन यह काफी मुश्किल है। मैंने यह पता लगाने का फैसला किया कि यह कितना मुश्किल था और एक कारनामे को खारिज करना शुरू कर दिया।

प्रत्येक शोषण को 3-बाइट XOR कुंजी का उपयोग करके एन्क्रिप्टेड रूप में संग्रहीत किया गया था। प्रत्येक आने वाले अनुरोध के लिए, उपयोगकर्ता को काम के लिए शोषण को डिक्रिप्ट किया गया था और प्रदान किया गया था, और ऐसा चक्र लगातार दोहराया गया था।



तो भले ही आप मेमोरी के माध्यम से जा सकते हैं और मेमोरी डंप को दूर करना अभी भी काफी मुश्किल है, और सभी कारनामों को प्राप्त करें, सभी समान, इन बफ़र्स को हर बार साफ किया जाता है।

सौभाग्य से, यदि आप इन कारनामों की आवश्यकता वाले प्रोग्राम में कॉपी और पेस्ट कर सकते हैं, तो आप इसका जवाब पा सकते हैं। इसके लिए, एक बहुत शक्तिशाली डिक्रिप्शन टूल का उपयोग किया जाता है - आईडीए स्क्रिप्टिंग। इसके साथ, आप एक विशिष्ट मेमोरी क्षेत्र को टिप्पणी या डंप कर सकते हैं, कारनामों को अपडेट कर सकते हैं, यह मैलवेयर के साथ काम करने के लिए उपयोगी हो सकता है जो कि xor, base64, आदि द्वारा जटिल तारों का उपयोग करता है। मैंने एक आईडीई स्क्रिप्ट लिखी जिसके साथ मैंने एक एन्क्रिप्टेड शोषण के कैप्चर किए गए मेमोरी डंप को अलग करने की कोशिश की।



यह सभी एन्क्रिप्टेड ऑब्जेक्ट्स के माध्यम से जाता है, डिक्रिप्शन फ़ंक्शन के लिए सभी कॉल की खोज करता है, एन्क्रिप्टेड ऑब्जेक्ट्स को कैप्चर करता है, उन्हें XOR का उपयोग करके डिक्रिप्ट करता है और फिर डंप को हटाता है। यह एक तरीका है, लेकिन मुझे लगता है कि आप अपनी खुद की स्क्रिप्ट लिख सकते हैं, एक एप्लिकेशन जो ऐसा करता है। यदि आप जानते हैं कि नियोस्प्लोइट में नए कारनामे कैसे जोड़े जाते हैं, तो आप इस दिशा में और निश्चित रूप से कुछ कर सकते हैं, जैसे ही आप डंप को हटाते हैं, आप सभी सादे को पहचान लेंगे, आप इंस्ट्रूमेंटेशन के "इसे फाड़ सकते हैं" और इसे फिर से शुरू कर सकते हैं। कारनामों को विकसित करने वाले नए लोगों ने सिर्फ इसलिए छोड़ दिया क्योंकि किसी ने अपने ग्राहकों की परवाह किए बिना अच्छा पैसा कमाया।

अगर किसी ने नोरियस बिग से महान हिप-हॉप दार्शनिक बिगगी स्मॉल को सुना है, तो वह अपने गाने को क्रैक कमांड, "द क्रैक कमांडेंट्स ऑफ क्रैक", जिसमें महान ज्ञान शामिल है, जानता है। यदि आप एक ड्रग डीलर हैं, तो 4 आज्ञा का पालन करें: "कभी भी अपने स्वयं के डोप पर न बैठें जिसे आप धक्का देते हैं।" संभवत: मैंने जिस व्यक्ति को पीपर कहा था और जिसने अपना खुद का दुर्भावनापूर्ण कोड वितरित किया था उसने इस गीत को कभी नहीं सुना क्योंकि उसने अपने उत्पाद का परीक्षण खुद किया।

उनका हमला इस प्रकार था। उन्होंने ईमेल भेजे, विभिन्न सरकारी एजेंसियों के रूप में प्रच्छन्न और लोगों को नाम से संबोधित किया: "प्रिय ऐसा और, किसी ने आपकी कंपनी के खिलाफ संघीय व्यापार आयोग के साथ शिकायत दर्ज की है, इसलिए यहां एक दस्तावेज डाउनलोड करने के लिए क्लिक करें जो सार का विवरण देता है" ।



तब उपयोगकर्ता ने लिंक का अनुसरण किया और इस दस्तावेज़ को डाउनलोड करने का प्रयास किया, और यह वास्तव में .doc प्रारूप में एक Word दस्तावेज़ था। हालांकि, वहाँ एक बहुत मुश्किल विशेषता थी। आपके पास एक Word दस्तावेज़ से निष्पादन योग्य फ़ाइलों को बस खींचने और ड्रॉप करने का अवसर था और फिर उनका नाम बदलें, लेकिन जब आपने फ़ाइल डाउनलोड करने का प्रयास किया, तो संदेश “Microsoft Word में एक समस्या का पता चला और दस्तावेज़ डाउनलोड नहीं किया जा सका। जारी रखने के लिए कृपया दस्तावेज़ आइकन पर डबल-क्लिक करें। " बहुत बढ़िया विचार!



स्वाभाविक रूप से, लोगों ने क्लिक किया, उन्होंने इस संक्रमित संदेश को प्राप्त करने के लिए 6 बार क्लिक किया, इसलिए इस व्यक्ति के पास पीड़ितों का एक समूह था। मुझे यह संदेश पसंद आया: "उन्होंने मुझे धोखा देने की कोशिश की, ब्ला ब्ला ब्ला।"

इस आदमी को ट्रैक करते समय हमने जो पाया, वह ड्रॉप डाइरेक्टरी की खुली निर्देशिका थी, जहाँ उसने प्राप्त सूचनाओं को डंप किया।



शायद उनके पास उन्हें प्रबंधित करने के लिए अपने स्वयं के उपकरण नहीं थे, या उन्होंने सोचा कि खुली निर्देशिका एक अच्छी बात है, लेकिन यदि आप विभिन्न लोगों से प्राप्त बहुत सारी जानकारी संग्रहीत करते हैं तो खुली निर्देशिकाएं खराब हैं। कोई भी सर्वर जिसे वह अपनी "लैंडिंग" साइट के लिए कॉन्फ़िगर करेगा, उसके पास एक खुली निर्देशिका थी, और आप बस वहां जा सकते थे और अपने सभी पीड़ितों और प्रत्येक व्यक्ति की सूचियों को व्यक्तिगत रूप से देख सकते थे।

एक तरह से, वह एक अच्छा डेवलपर था क्योंकि उसने गुणवत्ता कोड लिखा था। लेकिन इसका दोष यह था कि जब एक जीवित सर्वर को अपने कोड को संबोधित करते थे, तो उन्होंने अपने असली आईपी पते का उपयोग किया था, और आप पिछले कई चीजों का उपयोग करके लंबे समय तक नहीं जीते थे।



इसलिए वास्तव में, उनके पास एक मानक डीएसएल मॉडेम था जो यूक्रेन के संपर्क में था, उन्होंने अपने सभी कोड और मैलवेयर का परीक्षण किया, जिसमें "फॉलो मी" या "उनका अनुसरण करें" नामक एक अच्छा कार्य है। यह व्यक्ति बैंकिंग जानकारी चुराने में व्यस्त था, लेकिन कभी-कभी वह अपने पीड़ितों को यह देखने के लिए देखना चाहता था कि वे क्या कर रहे हैं, इसलिए हमने उसे पीपर कहा, या "ऑब्जर्वर।" वह अपने सॉफ़्टवेयर की सरल कार्यक्षमता से संतुष्ट नहीं था, उसने खुद की निगरानी करना शुरू कर दिया। यह अजीब लग रहा है, जैसे कि आपने अपने कंप्यूटर पर VNC रिमोट एक्सेस विंडो खोली और उन्हें छोटे और छोटे चित्र प्राप्त कर रहे थे। वास्तव में, उसने कई बार "लैंडिंग" सर्वरों पर यह किया, वास्तव में, यह बहुत, बहुत अजीब था। इसलिए इन "लैंडिंग" सर्वरों के माध्यम से, कोई कह सकता है: "ओह, देखो, यह एक तस्वीर है जहां वह खुद को देख रहा है, खुद को देख रहा है, जो खुद को देख रहा है।"



"मेरा प्रकाश, दर्पण, मुझे बताओ, दुनिया में सबसे प्यारा कौन है"?

सबसे ज्यादा मुझे वह पसंद आया जो उसने अपने लिए किया। उन्होंने कोड विकास प्रक्रिया में इस फॉलो मी फीचर का इस्तेमाल किया। वास्तव में, उसने कोड लिखा, खुद को देख रहा था, यह सब वापस कमांड और कंट्रोल सर्वर को भेज रहा था। इस प्रकार, उन्होंने अधिकारियों के लिए पिछले दरवाजे से तोड़ना, फर्श पर चेहरा रखना और उनका कंप्यूटर जब्त करना संभव बना दिया। संक्षेप में, आपके आईपी पते से जुड़ी स्रोत वृक्ष की छवि की तरह कुछ भी आपको छुटकारा पाने में मदद नहीं करता है।



मैलवेयर का अंतिम टुकड़ा जिस पर हम गौर करेंगे, निश्चित रूप से ऐसे लोगों को दिलचस्पी देगा जो इंटरनेट एक्सप्लोरर 7 से परिचित हैं। लेकिन चिंता मत करो, माइक्रोसॉफ्ट का कहना है कि सब कुछ नियंत्रण में है, उन पर भरोसा करें!



इसलिए, Microsoft को इंटरनेट एक्सप्लोरर 6 के साथ एक बड़ी समस्या थी, इस तथ्य के कारण कि इस ब्राउज़र से सहेजे गए पासवर्ड चोरी करना बहुत आसान था। आमतौर पर आप साइट पर जाते हैं, वे आपसे पूछते हैं कि क्या आप पासवर्ड सहेजना चाहते हैं, एक विशेष फ़ॉर्म को कॉल किया जाता है, आप "हां" का जवाब देते हैं, और यह रजिस्ट्री में सहेजा जाता है। IE 6 के साथ समस्या यह थी कि यदि आप एक उपयोगकर्ता के रूप में लॉग इन करते हैं, तो आपको केवल इन पासवर्डों को डिक्रिप्ट करने के लिए एक CryptUnprotectData () सिस्टम कॉल करने की आवश्यकता है जो वास्तव में कोई सुरक्षा नहीं है।

इसलिए, उपयोगकर्ता विशेषाधिकारों के साथ चलने वाले मैलवेयर इन पासवर्डों को स्वतंत्र रूप से पढ़ते हैं और उन्हें हमलावर को भेजते हैं। इसलिए, IE 7 में उन्होंने एक उत्कृष्ट "पैच" स्थापित किया - पासवर्ड को 128-बिट कुंजी के साथ एन्क्रिप्ट किया गया था। वास्तव में एक दरार समाधान नहीं!
यदि आप गहराई से देखते हैं, तो आप साइट पर उपलब्ध हैश देख सकते हैं, मैं इसे थोड़ा बाद में समझाऊंगा, जिसमें एक बाइनरी फ़ाइल है जिसमें उपयोगकर्ता नाम और पासवर्ड है। मैं एक और महान दार्शनिक, जॉन ट्रैवोल्टा को फिल्म स्वोर्डफ़िश से उद्धृत करना चाहता हूं। मेरा पसंदीदा मार्ग तब है जब वह वहां बैठता है और बताता है: "यह कोड इतना अच्छा है कि मैं इसे क्रैक भी नहीं कर सकता।" मुझे लगता है कि वह 512-बिट एन्क्रिप्शन को ध्यान में रखता था, और वह, दुनिया में सबसे अच्छा एन्क्रिप्टर, क्यों उसे काम पर रखा गया था, का कहना है कि यहां तक ​​कि वह ऐसा नहीं कर सकता।

तो यहाँ Microsoft क्या किया है। वे पासवर्ड को एन्क्रिप्ट करते हैं, जिसके लिए वे उस साइट के एमडी 5 हैश के आधार पर 128-बिट कुंजी उत्पन्न करेंगे जिसके लिए वे इस पासवर्ड को सहेजते हैं। यह बहुत ही उचित प्रतीत होता है, इसलिए यदि आप www.bank.com/login.sp पर जाते हैं, तो वे इस लाइन को ले जाएंगे, सभी अक्षरों को नीचे कर देंगे, फिर उन्हें बड़े वर्णों में एनकोड करें और एमडी 5 एल्गोरिथ्म का उपयोग करें, इस लाइन को एक कुंजी में बदल दें। उपयोगकर्ता नाम के लिए रजिस्ट्री में पासवर्ड एन्क्रिप्ट करने के लिए उपयोग किया जाएगा।

फिर, जब आप इस साइट पर जाते हैं जिसके लिए एक सहेजा गया पासवर्ड है, तो वे इसके विपरीत करते हैं: IE URL को सामान्य करता है, स्ट्रिंग को ट्रांसकोड करता है और रजिस्ट्री में देखता है कि क्या आपके लिए कोई मान संग्रहीत हैं। विस्तार से, यह इस तरह होता है:

• index.dat में प्रत्येक URL के लिए रजिस्टर का हैश पढ़ें;
• URL को लोअरकेस में कनवर्ट किया जाता है;
• जीईटी पैरामीटर कम हो जाते हैं;
• URL बड़े वर्णों में परिवर्तित हो जाता है;
• यदि URL मान का हैश रजिस्टर में किसी भी मूल्य के बराबर है, तो इस URL का उपयोग करके डेटा को डिक्रिप्ट किया जाता है।

यह काफी उचित लगता है, लेकिन अगर आप इसके बारे में सोचते हैं, तो एक छोटी सी समस्या है। वास्तव में, बहुत कम एन्ट्रापी है, और हैकर आसानी से इससे निपट सकता है। यह IE 6 में पासवर्ड एन्क्रिप्शन की तुलना में बहुत अधिक जटिल नहीं है।

इसे हैक करना बहुत सरल है। पासवर्ड को बचाने के लिए, उपयोगकर्ता को साइट पर जाना चाहिए, जो तब आसानी से index.dat या "TypedURLS" रजिस्ट्री कुंजी अनुभाग में पाया जा सकता है। यदि हम केवल संयुक्त राज्य अमेरिका पर विचार करते हैं, तो बैंकों और क्रेडिट यूनियनों की लगभग 15,000 साइटें हैं, और आप उन्हें आसानी से पा सकते हैं। आप उन साइटों को जानते हैं जिनके लिए आप पासवर्ड ढूंढना चाहते हैं, और इस तरह की प्रत्येक साइट में लॉगिन पृष्ठ हैं, इसलिए कुंजी का एक पूरा संग्रह एक साथ रखना आसान है। जैसा कि आप देख सकते हैं, यहां संरक्षण स्पष्ट रूप से अपर्याप्त है।

बेशक, यदि आप एक बुरे आदमी हैं, तो आप शायद बहुत सी साइटों को जानते हैं जिन्हें पासवर्ड की आवश्यकता होती है: फेसबुक, माइस्पेस या ट्विटर या एक लॉगिन पृष्ठ के साथ अन्य, ताकि आप बस उन साइटों का पता लगा सकें। आप एलेक्सा सेवा का उपयोग कर सकते हैं, जो सबसे लोकप्रिय साइटों की सूची बनाए रखता है, उनके ट्रैफ़िक पर आंकड़े एकत्रित करता है। चाबियाँ वास्तव में डिक्रिप्ट करना आसान है, आप इन सामान्य स्रोतों के आधार पर "रेनबो टेबल" रेनबो टेबल की तरह कुछ कर सकते हैं और फिर आपके पास पासवर्ड डिक्रिप्ट करने के लिए सभी चाबियाँ होंगी।

, IE 7 : , .

? , . . , Mozilla Firefox, , . , , , «Remember My password». . Firefox IE 7 , , , , .

, , , .

Laqma. , , . - , , , command and control.



, . , , PHP -, PHP , – .

.

: , , , . , . Laqma, . , , Laqma , . , SSDT, IDA - .
, Volatility, . , Laqma, SSDT , , . SSDT, , SSDT, SSDT.



TOS, win32k, , . SSDT , , TOS win32k.

, , , , drv, .sys, . , . , SSDT . .



यह प्रक्रिया SSDT प्लगइन का उपयोग करके थोड़ी स्वचालित है। आप देखें कि बीएसओडी स्क्रीन पर कैसे चमकता है, इसने आईडीए कमांड-लाइन प्रोग्राम पर काम किया। स्वचालित प्रसंस्करण के परिणामस्वरूप, एक आईडीबी बनाया जाता है, यह सिर्फ थोड़ा अधिक स्वचालन है, जिसके परिणामस्वरूप आईडीबी "झुका हुआ" एसएसडीटी कार्यों के अनुरूप काम करता है।

इस प्रकार, एक छोटे से कदम के साथ, हमने सीखा कि SSDT फ़ंक्शन उस डंप के साथ जुड़े थे जो IDB मॉड्यूल का मालिक था, और उन्हें यह जानने में सक्षम किया गया कि मैं रिवर्स इंजीनियरिंग शुरू करते समय IDB में कहाँ देखूँ।
मुझे आशा है कि आपको मजा आया होगा!


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 टीवी 249 डॉलर में नीदरलैंड और यूएसए से है! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?