На сегодня Эйч Ди Мур (HD Moore) — один из наиболее известных специалистов в области информационной безопасности на планете. Уже в начале 2000-х на сайте известнейшей хак-конференции HITB можно было увидеть анонс, гласивший: "У нас будет еще один спикер — Эйч Ди Мур. Если ты не знаешь, кто это, значит ты вообще не хакер, и тебе нужно как можно быстрее прочитать его биографию!". А ведь самому Муру на тот момент было всего 22 года.
Начало карьеры
Родился наш герой в 1981 году в Соединенных Штатах звездно-полосатой Америки. Кстати, интересный факт — HD Moore, это не псевдоним. Дело в том, что первое имя Мура — Эйч (одна буква "H", серьезно), а второе начинается на "D", вот и получаются инициалы. В юности Мур успел не раз сменить школу, так как из учебных заведений его попросту выгоняли за неуспеваемость. Если посмотреть на биографии других видных IT-деятелей, становится ясно, что подобная ситуация в этой среде едва ли не норма. Таким людям зачастую бывает скучно учиться — множество дисциплин они считают для себя ненужными и даже не пытаются вникать в них. У Мура была схожая проблема. Шанс раскрыться представился ему лишь в не совсем обычном учебном заведении города Остин (штат Техас). Частная школа Гонзало Гарза работала (и по сей день работает) с подростками, которые по тем или иным причинам не могут найти себя и состояться в рамках привычной нам системы. Именно там Эйч Ди отыскал свое место, а учителя гордо называли его компьютерным гением.
Доподлинно неизвестно, в каком именно возрасте Мур заинтересовался поиском багов и уязвимостей, везде, где их только можно найти. Зато известно, что во время учебы в Гарза, будучи подростком 17 лет от роду, он уже сумел обнаружить серьезную проблему в армейской программе SHADOW (Secondary Heuristic Analysis for Defensive Online Warfare). Мур не только предложил решение найденной проблемы, но даже проконсультировал по данному вопросу Агентство Национальной Безопасности. Поправки Мура приняли, в софт внесли соответствующие изменения.
В тот же период времени он обнаружил серьезную дыру в почтовом сервисе Yahoo. Как истинный white hat Эйч Ди сообщил о дырке в Yahoo и продемонстрировал одному из сотрудников компании, как при помощи этой уязвимости можно пробраться в систему и прочитать чужую почту. Все было принято к сведению и исправлено.
Неудивительно, что после такого Мура заметили, и уже в столь юном возрасте он начал сотрудничать с Computer Sciences Corporation и Армией США на контрактной основе. Сам Эйч Ди признается, что ему всегда нравилось ломать и разбирать все подряд, и, по сути, он до сих пор занимается именно этим, просто используя для этого более продвинутые и автоматизированные методы.
В последующие годы Мур продолжал совершенствоваться в нелегком деле тестов на проникновение, поиска уязвимостей и создания эксплоитов. Именно так, в процессе контрактной, фрилансерской работы, и родилось его самое известное (но не единственное) детище — Metasploit. Если ты не знаешь, что это такое, то этот журнал, наверное, попал к тебе в руки по ошибке, и ты, как писали парни с HITB, "не хакер" :). Впрочем, восполнять пробелы в знаниях никогда не поздно, так что позволь все же привести короткую справку.
Проект Metasploit появился на свет в 2003 году, и создателем его первой версии выступал лично Мур. Исходно он затевал это исключительно для себя и ради собственного удобства, но впоследствии идея развилась в серьезный бизнес, а Metasploit Framework стал одним из наиболее известных продуктов в своей области. Это законченная среда для создания, тестирования и использования кода эксплоитов. Она обеспечивает надежную платформу для испытаний на проникновение, разработки шеллкодов и исследования уязвимостей. Помимо прочего проект включает в себя базу опкодов, архив шеллкодов и информацию по исследованиям компьютерной безопасности. Официальная страница Мура советует относительно Metasploit Framework буквально следующее: "Профессионалы в области сетевой безопасности могут использовать Metasploit для проведения пен-тестов, системные администраторы — для проверки установленных патчей, производители — для регрессивного тестирования, исследователи в сфере ИБ со всего мира тоже наверняка сумеют найти Metasploit применение". Metasploit способен функционировать практически на любой платформе, привязки к чему-либо конкретному у него нет. По признанию Мура, самой экзотичной системой, на которой когда-либо запускали его продукт, были наручные часы с какой-то хитрой модификацией Linux на борту. Такими извращениями занимался один участник конференции SOURCE в Бостоне.
Первая версия "Метасплоита" была написана на Perl и содержала псевдографический интерфейс на базе curses. Впоследствии, в 2006 году, когда к Эйч Ди присоединились другие разработчики, была основана компания Metasploit LLC, и творение Мура почти полностью переписали на Ruby (с некоторыми частями на ассемблере, Python и C). Словом, это своеобразное LEGO для хакеров, скрипткидисов, тестеров и примкнувших к ним сограждан.
Metasploit и не только
Однако неизвестно, как могла бы сложиться карьера Мура и судьба проекта Metasploit, если бы Эйч Ди в 2005 году не повезло найти себе понимающего работодателя. Таковым для него стала компания BreakingPoint, по сей день занимающаяся вопросами безопасности в киберпространстве. Умные руководители BreakingPoint решили, что побочные проекты Мура не только не вредны, но и полезны компании, так как помогают улучшить качество их собственной продукции и заслужить больший кредит доверия у клиентов. В целом, все так и вышло. Эйч Ди на протяжении 4 лет занимал в компании должность директора подразделения по исследованиям в сфере безопасности, "Метасплоит" развивался, продукция BreakingPoint тоже.
В те годы на рынке информационной безопасности, по словам Мура, царила "великая депрессия". Многие из тех, кто раньше открыто публиковали информацию и с радостью делились ею, находили себе работу, или напротив — бросали это занятие. Частные компании, в свою очередь, все чаще стали занимать позицию: "А зачем мы будем делиться со всеми этой инфой, если мы может продать ее в iDefense?". Идея же Metasploit, напротив, состояла в разработке инструментария и фреймворка для быстрого создания эксплоитов, так сказать, для всех и каждого. В этом вопросе Муру и его коллегам, в известной степени, повезло — в то же самое время понемногу начала возрастать информированность людей о необходимости такой простой вещи, как пен-тестинг, а в данной области инструменты подобные Metasploit просто необходимы. Весьма интересно и то, что Мур всегда смеялся и продолжает смеяться над теми, кто полагает, что после обнародования уязвимости (и тем более эксплоита), обязательно случится "что-то плохое". Он искренне считает, что эксплоиты, а также информация о багах и дырках должны быть общедоступны, ведь это, напротив, помогает безопасникам в их работе. Разумеется, здесь нужно заметить, что публиковать такие данные Мур считает возможным лишь после того, как о них оповещен производитель софта и CERT.
Лишний раз востребованность проекта подтвердилась в 2009 году, когда Metasploit был приобретен фирмой Rapid7, занимающейся управлением уязвимостями. Подробности этой сделки неизвестны, но Эйч Ди Мур покинул BreakingPoint, занял в Rapid7 кресло руководителя службы безопасности, одновременно оставаясь и главным архитектором "Метасплоита".
После покупки компании многие ожидали изменений к худшему и как минимум тотальной коммерциализации, но этого не произошло. Metasploit Framework по-прежнему бесплатен, хотя и появилась платная версия Metasploit Express, лицензия на которую стоит $3000 в год, а также Metasploit Pro, который распространяется среди партнеров компании. Кстати, незадолго до слияния, а именно в 2008 году, лицензия Metasploit Framework была сменена с проприетарной на BSD. Мур по сей день подчеркивает во всех интервью, что проект был, есть и останется open-source. Для Мура и его детища это слияние стало переходом на новый, уже совсем серьезный уровень. Metasploit укрепил свои позиции, отчасти монетизировался и на сегодня является одним из наиболее известных и востребованных инструментариев в своем роде. В Rapid7, которая теперь управляет проектом, за последние годы было вложено 9 миллионов долларов инвестиций со стороны известных в Кремниевой долине венчурных фондов. Это явно свидетельствует о том, что аналитики и бизнесмены с оптимизмом смотрят на будущее Metasploit.
С финансами, кстати, связан еще один забавный факт. Мур не раз признавал в интервью, что "Метасплоит" нашел отклик и у андеграунда компьютерного мира, где он многим полюбился. Раньше, в начале и середине 2000-х, для команды проекта было вполне нормально получить $5 000 с неизвестного российского PayPal-аккаунта в виде пожертвования. На контакт такие анонимные благодетели идти не желали, на все вопросы отвечали, что им ничего не нужно, а деньги были "просто так, наслаждайтесь".
В 2010 году Rapid7 и компания SANS договорились о сотрудничестве и открыли курсы по обучению работе с инфраструктурой Metasploit Framework. Обучение доступно в любых форматах: путем личного общения с инструктором, общения в реальном времени через интернет или даже в виде самостоятельного онлайн-обучения. Но выше уже упоминалось, что "Метасплоит" — не единственное, что вышло из-под клавиатуры Эйч Ди. Это действительно так, хотя остальные его продукты тоже направлены на приносящее пользу разрушение :).
К примеру, в 2006 году Мур сначала объявил и провел "Месяц браузерных багов", в ходе которого публиковал по эксплоиту к популярным браузерам каждый день, а затем, подытоживая, выпустил утилиту AxMan. Программа проводит аудит установленных в системе ActiveX и формирует список найденных уязвимостей. На момент релиза с ее помощью можно было обнаружить практически все уязвимости, связанные с этой технологией.
Еще один хороший образчик творчества Мура — WarVOX, это не что иное, как инструмент для старого доброго war-dialing. Она ориентирована на аудит телефонных линий, способна обнаруживать мини-АТС, тональные сигналы готовности, голосовую почту, факсимильные аппараты и другие виды телефонных соединений. С ее помощью можно за 8 часов просканировать до 10 000 телефонных номеров. WarVOX умеет и записывать и архивировать аудиопоток. Если на другом конце провода кто-то возьмет трубку, WarVOX это обнаружит и начнет запись любого типа аудиосигнала. Прога, разумеется, предназначена для исследовательских целей, инвентаризации и проверки безопасности телефонных линий, а не для того, о чем ты сейчас подумал.
