книги хакеры / журнал хакер / 082_Optimized

110

Грабим формы!

ЧТО ТАКОЕ ФОРМГРАББЕР? ЭТО ПРОГРАММА, КОТОРАЯ ПЕРЕХВАТЫВАЕТ И СОХРАНЯЕТ ДАННЫЕ, ВВОДИМЫЕ В ФОРМАХ В БРАУЗЕРЕ. ИСПОЛЬЗУЮТСЯ ТАКИЕ ПРОГРАММЫ В ОСНОВНОМ ДЛЯ ПЕРЕХВАТА ПАРОЛЕЙ/НОМЕРОВ КРЕДИТНЫХ КАРТ (ИЛИ ЛЮБЫХ ДРУГИХ ДАННЫХ), ВВОДИМЫХ НА САЙТАХ. КОНЕЧНО, ДЛЯ ЭТОЙ ЦЕЛИ МОЖНО ИСПОЛЬЗОВАТЬ КЕЙЛОГЕР, НО РАЗБИРАТЬ ЕГО КИЛОМЕТРОВЫЕ ЛОГИ НЕУДОБНО, ПОЭТОМУ НУЖНА УЗКОСПЕЦИАЛИЗИРОВАННАЯ СИСТЕМА ДЛЯ ПЕРЕХВАТА ИСКЛЮЧИТЕЛЬНО ФОРМ. КАК ТАКУЮ ШТУКУ НАПИСАТЬ ТЫ МОЖЕШЬ УЗНАТЬ

В ЭТОЙ СТАТЬЕ | Ms-Rem (Ms-Rem@yandex.ru)

Пишем простой формграббер

Что такое вводимая в браузере форма? В каком виде она отправляется по сети? Какие функции при этом вызываются? Прежде чем писать формграббер, мы должны ответить на все эти вопросы.

Обмен данными между браузером и веб-сервером происходит по протоколу HTTP. HTTP запрос в общем виде состоит из метода запроса, его заголовков и тела запроса. Например, простейший запрос на получение странички может выглядеть так:

GET /index.htm HTTP/1.1

Host: www.nifiga.net

Connection: close

В данном случае методом запроса является GET, после которого идет краткий URL запроса и протокол (HTTP 1.1). URL может быть представлен как в кратком (/index.htm), так и в полном (www.nifiga.net/index.htm) виде. Все, что ниже, является заголовками запроса. Например, заголовок Host содержит адрес сервера, к которому будет направлен запрос. Имя и параметры заголовка запроса всегда разделены двоеточием. Заголовок запроса отделен от тела запроса двумя переводами строки (0D0A).

Рассмотрим теперь передачу по сети данных, введенных в форму. В этом случае запрос будет подобен этому:

POST http://192.168.0.58/dragon/?.goods.save_goods HTTP/1.1 Referer: http://192.168.0.58/dragon/?.goods.form_edit_goods&category_id=121

Content-Type: multipart/form-data; boundary=---------------------------

7d534bae9d6 Connection: Close Host: 192.168.0.58 Content-Length: 1024

Cookie: dragon_cookie_index=yes; dragon_cookie_goods=yes Authorization: Basic Z29sZDp4YXZhRkQz

-----------------------------7d534bae09d6 Content-Disposition: form-data; name="goods[goodsId]"' Data

-----------------------------7d534bae09d6 Content-Disposition: form-data; name="goods[goodsName]"' Name

Content-Disposition: form-data; name="goods[goodsDescription]"' Description

Этот запрос достаточно сложен, хотя из него выброшены все необязательные для понимания принципа работы заголовки, попробуем разобраться в назначении каждой его части. От предыдущего запроса он отличается, в первую очередь, методом: POST вместо GET. Это означает, что идет запрос не на получение, а на отправку данных. В заголовке запроса присутствует поле Referer, оно определяет страницу, с которой был отправлен запрос. Это

формграббером очень часто воруют e-gold аккаунты

hRequest — хэндл запроса, полученный функцией HttpOpenRequest. lpszHeaders — указатель на заголовки запроса. Формат заголовков HTTPпротокола мы рассмотрели выше.

dwHeadersLength — размер заголовков.

lpOptional — указатель на тело запроса. В нашем случае он будет содержать данные формы. С форматом этих данных мы уже тоже разобрались. dwOptionalLength — размер данных тела запроса.

[перехватываем WinInet API] Теперь нам нужно научиться перехватывать функции HttpOpenRequest и HttpSendRequest и сохранять в лог проходящие через них данные.

Для этого нам нужно сначала загрузить свою DLL во все процессы системы. Это можно сделать, например, прописав DLL в разделе реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Windows в ключ AppInit_DLLs (или с помощью хуков или создания удаленных потоков – прим. ред). Такая библиотека будет подгружена во все процессы, имеющие в своем адресном пространстве user32.dll (а это все GUI приложения). Для перехвата будем использовать метод сплайсинга. Заключается он в перезаписи начала кода перехватываемой функции 5 байтным jmp на свою функцию с предварительным копированием затертых байт в выделенный буфер и установкой после них jmp на продолжение функции. Главная проблема тут состоит в том, что нам нужно скопировать целое количество инструкций, а они могут иметь разный размер, следовательно, нам понадобится дизассемблер длин. Все вышеописанное уже реализовано в моей библиотеке advApiHook, поэтому можно просто подключить ее и не париться.

Сам же код DLL будет выглядеть приблизительно так:

library FormGrab;

uses

windows,

advApiHook;

var

TrueHttpSendRequest: function (hRequest: dword; lpszHeaders: PChar;

dwHeadersLength: dword; lpOptional: pointer; dwOptionalLength: dword): boolean; stdcall;

function NewHttpSendRequest(hRequest: dword; lpszHeaders: PChar; dwHeadersLength: dword; lpOptional: pointer; dwOptionalLength: dword): boolean; stdcall;

begin

MessageBoxA(0, lpszHeaders, lpOptional, 0);

Result := TrueHttpSendRequest(hRequest, lpszHeaders, dwHeadersLength, lpOptional, dwOptionalLength);

end;

begin

HookProc('wininet.dll', 'HttpSendRequestA', @NewHttpSendRequest, @TrueHttpSendRequest);

end.

[фильтрация полученных данных] При большом коли- честве машин, на которых установлен формграббер возникают сложности в отсеивании необходимых нам данных. Обыч- но хакера ведь интересуют данные, введенные только в определенных формах и на конкретных сайтах, поэтому требуется сохранять не все полученные данные, а только те, которые реально пригодятся. Для этого можно проанализировать URL и Referer запроса и отсеять только нужные формы. Неплохо будет анализировать не только запрос, но и ответ сервера. Например, при вводе какого-либо пароля нам нужно получить только правильные пароли, а случайные ошибки ввода следует фильтровать. Для этого можно анализировать код ответа

сервера, либо содержимое возвращаемой HTML-страницы по определенным ключевым словам. Таким образом работает большинство формграбберов.

Недостаток вышеприведенного способа один — он работает только с Internet Explorer’ом и другими браузерами, построенными на его движке (например, Avant Browser). Для преодоления этого недостатка можно перехватывать не WinInet API, а send из ws2_32.dll, после чего нам нужно будет собирать посылаемый запрос в буфере и сохранять его в момент окончания отправки данных. Этот момент можно определить по вызову closesocket для интересующего нас сокета, либо можно извлечь ContentLength из передаваемых заголовков и определить по нему момент окончания передачи тела запроса. Естественно, первый метод значительно проще в реализации, да и особых недостатков у него не имеется. Нам просто нужно вести список сокетов, и для каждого сокета строить список принятых пакетов. При закрытии сокета собранные данные обрабатываются. Для всего этого нам нужно перехватывать всего три API-функции: connect, send и cosesocket. Этот метод будет работать со всеми браузерами без исключения, но он сложен в реализации и имеет один неприятный недостаток — невозможность перехвата шифрованных форм. Большинство банковских служб, интернет-магазинов и других требующих безопасности ресурсов работают не по открытому HTTP-протоколу, а через SSL/TSL-соединение, и все данные передаются по сети в шифрованном виде. Естественно, в таком же виде они и посылаются на сокеты. Поэтому нам нужно сохранять только данные, отправляемые по нешифрованному HTTP-протоколу. Отличить простой HTTP от SSL легко: первый имеет стандартный порт сервера 80, а второй — 443. Конечно, эти сервисы могут быть и на нестандартных портах, но это случается весьма редко, поэтому нам нужно перехватывать трафик, идущий только на 80 порт, это легко определить по параметрам вызова connect.

[законность] Ты, наверно, не раз задумывался о том, что будет в случае поимки автора формграббера. Будет ли это дело квалифицировано по статье 273 УК РФ «Создание и распостранение вредоносных программ для ЭВМ» зависит от того, какова функциональность твоего формграббера, и от того, нанес ли он кому-нибудь реальный ущерб. Простой формграббер, сохраняющий на диск все отправляемые через браузер данные, под категорию вредоносных программ вряд ли попадает, так как подобные вещи используют даже в сетях крупных организаций для наблюдения над своими сотрудниками. А вот формграббер, определяющий банковские системы и отправляющий данные на мыло в обход файрволов, под категорию вредоносных программ, несомненно, попадает. Конечно, если никто от хакерского творения не пострадал, то никто никого искать не будет, а формграббер просто добавят в базы антивирусов, но если денег лишился влиятельный человек или солидная организация, то могут развернуться весьма масштабные поиски. В таком случае, если автора поймают, то, скорее всего, дадут не 273, а 159 статью (мошенничество), и наказание за это будет более строгим, чем за написание вредоносных программ. В общем, не рекомендую тебе заниматься ÷åì-ëèáî, что может êàê-òî плохо отразиться на твоей будущей светлой жизни

114

Родные

приложения

НАВЕРНОЕ, НЕ РАЗ ТЕБЕ ПРИХОДИЛОСЬ АВАРИЙНО ЗАВЕРШАТЬ РАБОТУ ТВОЕЙ ВИНДЫ. ПРИ СЛЕДУЮЩЕМ ЗАПУСКЕ ЕЩЕ ДО СТАРТА ОБОЛОЧКИ ТЕБЕ ПРЕДЛАГАЛОСЬ ПРОВЕРИТЬ ТВОЙ ВИДАВШИЙ ВИДЫ ЖЕСТКИЙ ДИСК НА ПРЕДМЕТ ЦАРАПИН, BAD-СЕКТОРОВ, ПОТЕРЯННЫХ КЛАСТЕРОВ И ПРОЧИХ ПОВРЕЖДЕНИЙ С ПОМОЩЬЮ СКАНДИСКА. БЕЛЫМ ШРИФТОМ НА СВЕТЛО-ГОЛУБОМ ФОНЕ ОН ПЕРЕЧИСЛЯЛ ВСЕ ВОЗМОЖНЫЕ НЕПОЛАДКИ, ПОСЛЕ ЧЕГО ВЫПЛЕВЫВАЛ: «ГУЛЯЙ, МОЛОДОЙ, ЖИТЬ БУДЕШЬ», И ПРОДОЛЖАЛ НОРМАЛЬНУЮ ЗАГРУЗКУ WINDOWS. БЫЛО ВЕДЬ ТАКОЕ? А НЕ ЗАДАВАЛСЯ ЛИ ТЫ ВОПРОСОМ, КАК РАБОТАЕТ ЭТОТ САМЫЙ СКАНДИСК? ЧТО ЭТО ЗА ПРОГРАММА ТАКАЯ, КОТОРАЯ МОЖЕТ СУЩЕСТВОВАТЬ ЕЩЕ ДО СТАРТА ВИНДЫ С ЕЕ ЗАМЕЧАТЕЛЬНЫМ GUI-ВЫМ ИНТЕРФЕЙСОМ, А? ПОВЕРЬ МНЕ, ЭТА ТЕМА СТОИТ ТОГО, ЧТОБЫ С НЕЙ КАК СЛЕДУЕТ РАЗОБРАТЬСЯ | Николай

«gorl» Андреев (gorlum@real.xakep.ru)

Вникаем в Дзен виндовых

Native-приложений

Нет, ты только не подумай, что мы сейчас будем копаться с тем, как скандиск находит. Это нам сегодня абсолютно не в кассу. Мы будем

изучать особый тип приложений, вызываемых еще до старта Win32подсистемы, так называемых Native-приложений.

Как ты, наверное, знаешь, отли- чительная особенность Windows 2000 и более старших ее версий в том, что в ней реализовано несколько подсистем, обеспечивающих работу приложений Win32 (то есть обычных виндовых, использующих так всеми любимые kernel32.dll, user32.dll и еще сотню другую динамически зависающих библиотек), POSIX и OS/2. А отли- чительная особенность Native-при- ложений, о которых, собственно, и идет сегодня речь, в том, что они не относятся ни к одной из вышеперечисленных подсистем. Они сами по себе. Ключ к пониманию этого факта в самом названии. Что может напоминать слово Native? Конечно же, API: где

Native, там и API. Родной системный интерфейс винды, на котором строятся все прочие интерфейсы для работы тех или иных приложений. Так вот, не относящиеся к тем или иным, Native-приложения — это программы, использующие исключительно Native API, то есть полностью абстрагирующиеся от неприятных наворотов небольшой кучки виндовых подсистем, обеспечивающих почти никому ненужную сов-

буду изменять своей привычке.

–Windows DDK, набор для создания драйверов. Он нам нужен не как среда для разработки, а как источник драгоценных определений структур ядра и типов данных, активно используемых Native API, уже не говоря о том, что библиотеку ntdll.lib в других местах задолбаешься искать.

–Заголовочный файл nt.h, взятый мной откуда-то из Сети. Ранее он имел немного другое название, но я его подредактировал, подправил для использования в Native-прило- жениях и поэтому переименовал. В нем содержатся описания функций, экспортируемых ntdll.dll. Как это ни печально, в ntddk.h описана лишь малая часть необходимых для работы native-функций, поэтому приходится использовать отнюдь не родные заголовки.

Обладая всем необходимым можно самым непосредственным образом приступать к программированию здравствуймир’а.

анализа, а autochk не хватает, покопай CSRSS.EXE.