FAQ United

Q: Подарили флешку, но она невероятно тормозная. Пробовал на разных компьютерах – результат один и тот же. Есть ли какой-нибудь удобный тест для флешек, чтобы при покупке не облажаться и не купить такого же «запорожца»? Какие флешки самые быстрые?

A: Для измерения скорости записи/чтения с USB-накопителей есть специальный бенчмарк – USB Flash Benchmark, который можно скачать с usbflashspeed.com. Утилита отправляет результаты измерений на сайт, поэтому для всех желающих аккумулируется статистика по большому количеству пендрайвов. Если ищешь быструю флешку, обрати внимание на список «Top 10 of the fastest Flash Drives» и выбери себе подходящий вариант. Например, один из рекордсменов – Silicon Power LuxMini 920 – стоит около 1000 р.

Q: Есть ли специальные дистрибутивы, заточенные для анализа Malware?

A: Если ты ищешь Windows-сборку с OllyDbg, IDA Pro для образцов червей и прочими утилитами на борту, то, вероятно, ничего подходящего я тебе не подскажу. Зато есть замечательный дистрибутив REMnux (zeltser.com/remnux), разработку которого ведет известный специалист по информационной безопасности. В состав ОС, построенной на базе Ubuntu, входят утилиты для анализа PDF- и Flash-файлов, инструменты для отслеживания сетевой активности, тулзы для деобфускации JS-кода, утилиты для анализа шеллкодов, распаковщики и многое другое. REMnux можно скачать в виде LiveCD или образа VMware, который можно запустить через бесплатный VMware Player.

Q: Как под линуксом пустить трафик приложений через безопасную сеть Tor?

A: Если приложение поддерживает работу через Socks, то ситуацию легко разрешить с помощью утилиты Torsocks (code.google.com/p/torsocks). Использовать ее очень просто:

apt-get install torsocks
usewithtor ssh username @ some.ssh.com

или

torsocks pidgin

Хочу предупредить об одном неприятном моменте – некоторые приложения, даже пущенные через Torsocks, умудряются пускать DNS-запросы напрямую. На сайте разработчика есть таблица, где он делится результатами своих экспериментов, рассказывая, какие из программ этим грешат.

Q: Приятель говорит, что в своем ноутбуке смог активировать поддержку 802.11n, которой изначально не было. Сказал, что если у меня Wi-Fi на базе чипсета Atheros, то я тоже смогу так сделать. Это реально?

A: Не совсем так – необходимо, чтобы в ноутбуке в качестве Wi-Fi-модуля использовался чип Atheros AR9xxx. В этом случае шанс есть. Это связанно с отсутствием сертификации стандарта 802.11n в России, поэтому многие ноутбуки продаются с заблокированной его поддержкой. Для активации есть два способа.

Самый верный – перепрошить EEPROM, но нужно иметь в виду, что в этом случае есть небольшой риск испортить карту. Прошивальщик можно взять по адресу http://rghost.ru/2603267. Перед тем, как приступать к записи, под Windows Vista/7 x64 необходимо отключить проверку цифровых подписей драйверов; для этого надо нажать на <F8> перед загрузкой системы и выбрать соответствующий пункт. После всех приготовлений выполняем следующие несложные шаги:

1. Запускаем единственный бинарник – atheros_eeprom_tool.exe;
2. Выбираем «Read EEPROM» для сохранения дампа EEPROM, указываем путь для сохранения и жмем кнопку «READ».
3. Теперь, когда есть дамп, необходимо подправить несколько параметров и залить его обратно в EEPROM. Выбираем «Write EEPROM» и указываем в качестве файла только что сохраненный дамп.
4. Далее нажимаем на кнопку «Modes and Channels» и принимаем предупреждение.
5. В разделе «Modes» отмечаем галочками пункты «802.11n (20MHz)» и «802.11n (40MHz)» для 2.4GHz. Здесь же можно активировать диапазон 5GHz. В разделе «Channels» выбираем «0x67» и нажимаем «OK».
6. Проверяем, чтобы была активна опция «Use custom modes and channels», и нажимаем «WRITE».
7. Все, после этого остается лишь перезагрузить систему.

Более простой способ заключается в установке пропатченных драйверов (rghost.ru/2501075). Для этого через «Диспетчер устройств» необходимо найти свой адаптер и вручную обновить для него драйвер. Проблемы могут возникнуть под Windows7 x64, которая будет ругаться на отсутствие подписи у драйверов. Ситуацию поможет исправить Driver Signature Enforcement Overrider (http://www.ngohq.com/home.php?page=dseo).

Q: А у меня почему-то 802.11n не работает, хотя точка доступа и модуль в ноутбуке этот стандарт поддерживают.

A: Первым делом стоит проверить настройки Wi-Fi. Стандарт 802.11n требует обязательного использования WPA2-PSK+AES – необходимо убедиться, что в точке доступа был выбран именно этот режим работы. Для максимальной скорости рекомендуется использовать ширину канала 40MHz и каналы с 1 по 9.

Q: Есть доступ к компьютеру, на котором стоят Windows и Linux (используется загрузчик GRUB). Можно ли получить доступ к данным на этой машине при условии, что пароли к аккаунтам (линукс и виндовс) неизвестны, а БИОС запаролен.

A: Ситуация, когда в БИОС заблокирована загрузка с внешних носителей, а пароль рута неизвестен, удивления ни у кого не вызывает. Но в системе все-таки остается слабое звено – это загрузчик. Именно GRUB и поможет нам получить шелл на этой машине. Алгоритм действий в такой ситуации может быть следующим:

• загружаемся до списка вариантов загрузки;
• выбираем Linux;
• заходим в режим редактирования. В зависимости от версии загрузчика это делается следующим образом: в GRUB2 достаточно нажать клавишу «e», а в GRUB Legacy нужно нажать «e», выбрать строку для редактирования и затем снова нажать «е»;
• ищем строку, начинающуюся с «linux» или «kernel», и удаляем из нее слова «quiet» и «splash» (если таковые имеются), а в конце дописываем «single init=/bin/bash»;
• загружаемся (если установлен GRUB2, жмем Ctrl+X, если GRUB Legacy – Esc, а потом b)

В результате данных манипуляций получаем рутовую консоль без всяких паролей и ненужных вопросов.

Q: Исследую программу в дебаггере. Подскажи, как можно отловить все обращения к определенной переменной.

A: В данном случае нужно поставить брейкпоинты на доступ (чтение или запись) в участок памяти, где хранится значение переменной. В OllyDbg это делается просто: выделяем участок памяти, в котором у нас хранится переменная, кликаем правой кнопкой мыши и выбираем «Breakpoint –> Memory, on access». Если же ты используешь Windbg, то нужно воспользоваться командой ba. Она имеет следующий формат: [ba r/w/e size adr], где r/w/e определяет тип брейкпоинта (на чтение, запись или выполнение), size – размер области памяти, а adr – адрес области памяти.

Q: Есть ли возможность запустить произвольный бинарник под отладчиком в Visual Studio?

A: Да, можно. Есть несколько вариантов:

1. Через меню «File –> Open –> Project/Solution» выбрать произвольный бинарник (скажем, c:\Windows\System32\calc.exe);
2. Или же в произвольном проекте указать произвольный бинарник в качестве «Debug command line».

Q: Подскажи самый простой инструмент для того, чтобы записать и далее воспроизвести действия пользователя в системе. Необходимо эмулировать активность юзера.

A: Существует довольно много библиотек и приложений для автоматизации, о которых мы не раз писали (DoIt, AutoIT и т.д.). Если говорить о наиболее простом и понятном варианте, то рекомендую попробовать Mimer. С ее помощью ты можешь просто «записать» движения мыши, нажатия на клавиши клавиатуры, и воспроизвести записанный макрос в любой момент, в том числе и по расписанию.

Q: Есть ли способ сбросить пароль БИОС прямо из Windows, не прибегая к аппаратному методу (с помощью перемычки на материнской плате или вытаскивания батарейки)?

A: Для многих материнских плат может помочь сервисная утилита CMOS De-Animator (www.st-ware.com), которая позволяет бэкапить CMOS, восстанавливать дамп, а также сбрасывать все его настройки, в том числе пароль. Собственно, опция «Clear CMOS» – именно то, что тебе нужно.

Q: Спасибо вам за материалы по пентесту беспроводных сетей. На деле все действительно оказалось совсем несложно. Хочу написать приложение, которое будет массово подбирать WEP-ключ для всех SSID, которые есть поблизости. Ничего похожего я не нашел, но, может быть, ребята из журнала подскажут?

A: Написать свою собственную тулзу всегда полезнее, чем использовать что-то уже готовое. Хотя и не быстрее. 🙂 В недавнем релизе Backtrack4 R1 появилась утилита Wifite, которая как раз и задумывалась для одновременной атаки на несколько защищенных с помощью WEP и WPA беспроводных сетей. Параметры для взлома (минимальный сигнал точки доступа, тип атаки на WEP, словарь для перебора и т.д.) можно задать через GUI-интерфейс или же через консоль. Мне особенно приглянулось то, что Wifite делает бэкап всех перехваченных WPA handshake'ов.

Q: Как можно незаметно подсмотреть изображение веб-камеры с чужого компьютера?

A: Так или иначе, на удаленном компьютере все равно придется установить какую-то серверную часть. Как вариант – можно воспользоваться программой RemCam 2 (redsh.ru), предназначенной для соединения с удаленными аудио/видеоустройствами. Для установки в систему (в том числе для настройки автозагрузки) используется скрипт install.cmd, в котором необходимо указать путь для установки, название процесса (бинарник можно обозвать как угодно), пароль для доступа к серверу, порт, на котором он будет принимать подключения, а также ветку реестра, где необходимо прописать автозапуск. Если удалось выполнить установку, то ты без труда сможешь подключиться к серверу с помощью клиентской части и принимать в реальном времени аудио и видео потоки с удаленного компьютера.

Q: Пишу небольшую x-тулзу, которой необходимо отлавливать (а в идеале – иметь возможность модифицировать) HTTP-трафик локального компьютера. Как это лучше всего реализовать?

A: Тебе наверняка знакома программа Fiddler. Это специальная прокси, которая перехватывает весь HTTP(S)-трафик и предоставляет удобные средства для манипулирования с ним. Например, можно становить своего рода брейкпоинты или описать триггеры с помощью системы событий и скриптовой подсистемы. Так вот, авторы оформили весь функционал своей программы в виде библиотеки FiddlerCore (fiddler.wikidot.com/fiddlercore), которая легко подключается к любым .NET-проектам. В результате весь функционал по перехвату и модификации трафика можно интегрировать в любое приложение через понятный API.

Q: Есть задача – максимально просто заголиниться под учеткой другого человека в социальной сети. Упрощает задание то, что мы работаем в одной локалке.

A: В общем-то, подход в данной ситуации очевиден – склонировать HTTP-сессию, подрезав у клиента кукисы. Но если ищешь самый простой и удобный способ, есть резон заюзать утилиту Sessionthief (scriptjunkie1.wordpress.com/2010/07/17/sessionthief). Прога сама смотрит, какие клиенты есть в сети, выполняет ARP poison для реализации снифинга и перехватывает пакеты, извлекая из них HTTP-данные. Мало этого, после извлечения из трафика данных сессий Sessionthief создает для каждой из них временный профайл в Firefox’е для более удобного переключения.

Q: Какому инструменту можно доверить полное удаление файлов с жестких дисков без возможности восстановления?

A: Понятно, что без загрузочного инструмента здесь не обойтись. Советую обратить внимание на Darik's Boot and Nuke (www.dban.org). Это LiveCD, специально созданный для безопасного удаления данных с жестких дисков. Будь осторожен: DBAN автоматически и полностью удалит все содержимое хардов, которое сможет обнаружить. По этой причине его можно также использовать, как инструмент для экстренной очистки жестких дисков, не требующий твоего вмешательства: «вставил в привод, ребутнулся – все файлы потерлись».

Q: Купил себе iPod и понял – более тормознутой программы, чем iTunes, я не видел давно. Какие есть альтернативы, которые будут работать как надо?

A: Да, iTunes многие недолюбливают, и это определенно одно из направлений, в котором Apple стоит меняться к лучшему. Что касается альтернатив, то из бесплатных можно попробовать следующие программы: CopyTrans Manager (www.copytrans.net), Foobar2000 (www.foobar2000.org), MediaMonkey (www.mediamonkey.com), Songbird (getsongbird.com).

Q: Как сгенерировать надежный пароль, используя лишь командную строку?

A: Я всегда это делаю простой комбинацией «date | md5sum». Но учти, date и md5sum – это никсовые команды. Если хочешь использовать их под виндой, придется установить Cygwin (www.cygwin.com).

Q: Хочу использовать тач-экран телефона в качестве тачпада для компьютера и ноутбука. То есть сидеть на диване и через Wi-Fi на расстоянии управлять курсором мыши на компьютере с помощью сенсорного экрана смартфона.

A: О такой возможности задумалась и небезызвестная компания Logitech, которая недавно выпустила любопытное приложение Logitech Touch Mouse. Схема работы выстроена по стандартной схеме «клиент-сервер». На компьютере устанавливается серверная часть Touch Mouse Server (на текущий момент доступны версии для винды и Mac OS X), а на iPhone или iPod Touch – клиентское приложение Touch Mouse. Собственно, для подключения нужно лишь знать IP’шник сервера, после чего можно использовать телефон как сенсорную панель для управления курсором мыши компьютера. Мало этого, если переключиться в режим клавиатуры, то прямо с экрана телефона можно вполне успешно набирать тексты. Интересно, как скоро появится версия Touch Mouse для других мобильных платформ, и, прежде всего, Android?

Q: Наткнулся на объявлении о заработке с помощью партнерок файлобменных сервисов. Это не развод? Есть ли реальная возможность заработать?

A: При правильном подходе и реально работающей партнерке, которая исправно выплачивает по реферальной программе деньги, заработать, конечно, можно. Но тут важно, конечно, выбрать правильную партнерку – рекомендую выбирать такие сервисы, которые работают с иностранным пользователями. Ребята из США и Европы готовы платить, не скупятся и не ищут, где файл можно скачать бесплатно. А если они платят – получаешь деньги и ты. Во-вторых, необходимо выбрать такой сервис, который принимает платежи с помощью кредитных карт или PayPal. В противном случае даже лояльный иностранный пользователь сразу сольется. В-третьих, важно генерировать такие файлы для скачивания, которые могут заинтересовать людей. Подумай, что тебе самому интересно, – и все сразу станет понятно.