На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Как подбирают пароли

Стадия первая: пароль пользователь мог выбирать сам. Безус­ловно, с одной стороны, это было удобно: если сам слово это заветное придумал, то уж не забудешь никогда (если только пребывал в этот момент в здравом уме и твердой памяти, но это уже к делу не относит­ся). Пароль же выбирался не просто так: для указанного пользователя он обычно нес определенную смысловую нагрузку. И в этом было сла­бое место данного метода. Теперь только в дешевых фильмах увидишь некоего гражданина, копающегося в мусорной корзине своей будущей жертвы в надежде узнать имена, фамилии, даты рождения всех родст­венников таковой вплоть до десятого колена, а также всех их собак, ко­шек, крыс, хомяков и прочей живности. И не без успеха! А как же еще: а что вам, например, первым приходит на ум? — Конечно: имя вашей (или не вашей) подруги или кличка вашей собаки, ну, или слово какое непотребное (но это уже от воспитания зависит!). Наиболее продвину­тые хакеры начали даже составлять специальные словари с учетом на­иболее часто встречающихся в паролях слов.
Все это, в конце концов, положило конец первой стадии, нача­лась вторая: теперь пароль выдает компьютер, то есть генерирует неко­торую псевдослучайную последовательность букв, цифр и разных зна­ков препинания. Хорошо-то как стало: «tHa73?Lp» поди-ка под­бери! Но тут возникла другая проблема: а поди-ка запомни! Пользова­тели наши начали их на бумажках ну и периодически... правильно: бумажки терялись, похищались, попадали в мусорную корзину и т. д. — от ушли, к тому и пришли! И тогда какая-то ум­ная голова догадалась, что пароль хранить не в голове, а прямо на жестком диске. В                     галочку поставить и запомнить пароль. У компьютера-то мозги кремниевые — ему все равно, что запо­минать. А раз запомнили, то, само собой, и записать надо. А раз запи­сать, то... правильно: отвернулся наш пользователь, а тут хакеры тол­пой налетели — и ну пароль подсматривать.
На этом наше лирическое вступление заканчивается и начинает­ся уже сугубо технология. Где хранятся пароли в Windows 95? За­шифрованные пароли в Windows 95, как известно, хранятся в основ­ном каталоге, в файлах с расширением PWL. С учетом того, что не только «у нас здесь», но и «у них там» бывают персональные компью­теры коллективного пользования, да и сети локальные местами встре­чаются, на каждого пользователя заводится свой PWL. Кстати, назва­ние файла соответствует логину данного пользователя.
Зашифрованы эти файлы, в принципе, достаточно прилично.
Если кому-либо интересно, то, взяв в руки какой-нибудь дизас­семблер (HIE W, QVIEW), можно посмотреть процедуру шифрования. Она находится в файле MSPWL32. DLL. в версии OSR2pus со смеще­нием 488(hex).
Вот уж где накручено! Имеется счетчик (назовем его N) от нуля до «сколько Имеются три таблицы. В соответствии со счетчи-
ком N берется байт из первой таблицы (X). По смещению X+N,
урезанному до 8 бит, из второй таблицы берется другой байт (Y). За­тем по адресу X+Y, опять же урезанному до 8 бит, из третьей таблицы
берется третий байт (Z). После столь хитрых манипуляций командой XOR с байтом Z шифруется байт информации, после чего счетчик
инкрементируется и все сначала.
Кстати, таблиц, на самом деле, может оказаться и две, и одна (ис­пользуются несколько раз на разных этапах). Расшифровывается все
это аналогично (и той же процедурой), ибо команда XOR обратима.
Если же у вас стоит какая-то другая версия Windows 95, то это дела не меняет. Не знаю уж, в чьих нездоровых мозгах могла появиться мысль использовать для шифрования команду xor byte ptr [eax+ebp], cl. Mo-жет, запутать хотели? Но команда уникальна, такие команды в обыч­ных программах еще поискать надо. Стало быть, ищем соответствую­щую ей комбинацию 30h, OCh, 28h - и все дела. Дальше - просто. Берем MSPWL32. DLL и со смещения 511 h (или там, где найдем) ста­вим 90h, 90h, 90h - команды NOP (пустая операция). И все! - коман­да не выполняется!
Что при этом произойдет? Как ни странно, ничего страшного и даже не очень страшного. И даже никто ничего не Все оста-
нется как всегда, с одним лишь исключением: ВСЕ логины/пароли бу-
дут видны, так сказать, невооруженным глазом! Тут, правда, есть два неприятных момента. Во-первых, во время работы Windows вам не удастся подобным образом надругаться над их «святая святых»: пи­сать в этот файл нельзя. Значит, придется перегружаться в режиме эмуляции MS-DOS, а это лишнее время, которого может не быть. Во-вторых, а это еще хуже, вам надо будет стереть все PWL'ы, иначе даже в Windows не пустят: а вот тут у законных пользователей могут воз­никнуть лишние вопросы и подозрения.
А можно проще? Без дизассемблеров и «насильственных дейст­вий»? Можно! И вот здесь я скажу то, за что (и за многое, увы, другое) Windows 95 иначе как MustDie по праву никто не называет.
Вы, наверное, думаете, что пароли расшифровываются только тогда, когда это надо, а затем «выжигаются» из памяти «каленым же­лезом»? — Ну вот еще... Открытые пароли ПОСТОЯННО хранятся в системе — с момента ВХОДА в Windows данного пользователя и до момента его ВЫХОДА! Вот вам и безопасность. Но этого мало: они доступны ЛЮБЫМ приложениям через API Windows. И вот резуль­тат: появляется программа PWLVIEW, которая спокойно показывает вам «всю подноготную» вашей (или не вашей) машины. В том числе и DialUp, и сетевые пароли. Формат выдаваемой информации таков:
логин 1-й пароль
*Rna\2-e соедннение\2-й логин 2-й пароль и так далее.
Да, это все хорошо, но она работает в окне DOS, а это унизитель­но: мелкий шрифт, белым по черному... А нет ли еще чего-нибудь, бли­же и роднее? Есть. Есть еще одна штука, PEEPER называется. Эта идет еще дальше. Пароль, как вы можете заметить, не показывается, вместо него звездочки. Так вот: запускаем PEEPER, запускаем соеди­нение, наводим мышь на звезды и в окне PEEPER видим... правильно,
открытый пароль.
Вы скажете: у меня нет ни времени, ни возможности ковыряться в чужой машине, нельзя ли стянуть у соседа этот самый PWL, а потом, дома, разобрать? Можно, только это вам ничего не даст: не будет он у
вас работать. Вернее, он ОДИН не будет. Нужно унести еще и USER.
DAT. После чего дома «создать» User'a с именем из PWL, заменить
свой USER. DAT на цельнотянутый и еще добавить в Windows тяну­тый PWL. После чего войти в Windows под соответствующим именем
и... Дальше в игру вступает PWLVIEW.
Я все так и сделал, скажете вы, а вот тот в Windows с
паролем входил, а мне теперь не войти — пароля-то я не знаю. Что де­лать? - не беда! Есть способ проще! Уносим ТОЛЬКО USER. DAT! А теперь еще раз: Wintlo\vs'95 — MustDie!
Как вам известно, кроме интерактивного доступа в Интернет, провайдеры предлагают еще и e-mail. Так вот, чтобы залезть в ваш поч­товый ящик, в тот, что у вас на нужен ключ (или лом). Что­бы залезть в ваш e-mail, нужен пароль (или виртуальный лом). И тут я
скажу откровенно: мало кто из отечественных провайдеров заслужи­вает доброго слова! Пароль к РОРЗ-ящику всегда и у всех тот же, что и DialUp!
«Ну и что?» — спросите вы.
А дело в том, что пароль e-mail находится не B'PWI .'e, а в USER. DAT и зашифрован он не так сильно, почти совсем не
шифрован! Дело в том, что метод «шифрования» напоминает UUE-ko-иначе говоря, из трех байтов делают четыре или из восьми битов — десять.
Весь исходный пароль разбивается на части по три байта. В результирующей строке на ОДИН символ отводится 10 битов. Теперь: к каждому байту ИСХОДНОЙ строки прибавляется 30h, если сумма боль­ше, чем 7Ah, то он становится равен ЗОН, а к паре 9 и 10 битов добавля­ется единица. Однако есть исключения.
Если общая длина строки пароля не кратна трем, то она допол­няется байтами Судя по всему, это ODh (конец строки)+30(1). В конце строки ODh, стандартное завершение. На мой взгляд, по-
добрать пароль проще, чем написать соответствующую
программу: не каждый же день вы эти пароли подбираете! Где нахо­дится пароль — см. ниже, оттуда его и берем. А принцип прост: запус­каем Internet Mail, заходим в Сообщение. Параметры. Сервер.
Запускаем REGEDIT и переходим в
HKEY_CURRENT_USER?Software?Microsoft?InternetMail and News?Mail?POP3?<Bam сервер>:
где и смотрим Password. (*)
Удаляем пароль в Internet Mail. Первый подбираемый символ
влияет на первый и второй байты, второй -- на второй и третий, третий — на третий и четвертый. Теперь подбираем символ так, чтобы
первый байт совпал с оригиналом, а второй или совпал, или был са­мый но меньше оригинала. Аналогично для второго и третьего символов. С подбором третьего символа все четыре байта должны совпасть! Если нет — извините, вы ошиблись. Естественно, после каж­дой замены символа нажимаем Применить.
Результат контролируем переходя выше/ ниже
для обновления информации. Когда первые три символа подобраны, возвращаемся к (*) для следующих трех, и т. д. до конца. Разумеется, байт(ы) 3Dh подбирать не нужно! После некоторой тренировки на все это уходит меньше 15 минут. А где это счастье хранится? И, кстати, ведь кроме логина и пароля еще многое нужно знать, а откуда, не зво­нить же провайдеру? — не надо никому звонить! Все в нем, в USER. DAT.
HKEY_CURRENT_USER?RemoteAccess?Addresses:
и мы имеем список подключений. Да, но там ничего не понятно, ци­фирь...
Правильно! Выбираем байт, которого больше всего, и де­шифруем им все остальные (обычный XOR). В результате, в куче вся­кой ерунды получаем ASCII-строку с номером модемного телефона
провайдера.
HKEY_CURRENT_USER?RemoteAccess?Prof ile -Хподключе-ние>?1Р:
со смещения        четыре байта задом наперед — DNS, за-
тем еще четыре — вторичный, и т. д.
HKEY_CURRENT_USER?RemoteAccess?Profile ->
логин.
HKEY_CURRENT_USER?Software?Microsoft?Window: ->
CurrentVersion?InternetSettings?ProxyServer: Proxy-сервер и порт.
HKEY CURRENT USER?Software?Microsoft?Internet Mail and News?Maii: ?Def aultP0P3Server :
?DefaultSMTPServer:
?SenderEMail:
?Name:
?0rganization: это все и так понятно.
?РОРЗ -г <Р0РЗ-сервер>: ?Account: ЭТО ПОНЯТНО.
?Password:
Ну вот и он, родимый!
А что делать, если пользователь — мазохист и не хранит пароли в компьютере, а вводит их каждый раз с клавиатуры?
И этому горю можно помочь. Существуют программы типа SPY-WIN или HOOKDUMP. Они записывают все действия, производи­мые на компьютере. Достаточно подсадить одну из них и... если вам потом не лень будет разбирать те десятки килобайт, которые будут порождены этими шпионами. Естественно, их можно использовать и для других целей.
В заключение (да минует вас чаша сия!) могу сказать следую­щее: не берите и уж тем более не запускайте у себя всякие «крякеры
Интернета», почерпнутые с BBS и из FIDO. Они могут «крякнуть»
только информацию на вашем винчестере! Ибо тот, кто может взло­мать провайдера, никогда не будет распыляться на такую мелочь, а другие, в лучшем случае, могут подбирать пароли по словарю, а это бесполезно, в худшем — над вами просто хотят посмеяться или, того
хуже, сделать вам гадость (прецеденты уже были).
Расскажем еще об одном прецеденте: о юношах, которые извлекали из виртуальных «троянских лошадок» вполне материаль­ные блага. Рассказ о них мы нашли в свежей московской газете.
«Москва: хакер крал пароли для входа в Интернет, а его сообщник их продавал
Группу интернет-воров, поставивших на поток торговлю крадеными паролями и логинами для входа в Сеть, обезвре­дили на днях сотрудники управления по борьбе с преступле­ниями в сфере высоких технологий (Управление «Р») МВД России. Как утверждают участники операции, 19-летний сту­дент Московского института стали и сплавов и его 27-летний безработный приятель-экономист за полтора месяца украли и продали около тысячи паролей. О существовании хакерских программ типа «Троянский конь», на компьютерном сленге — «трояны», известно давно. Как и о том, что они позволяют де­лать в чужом компьютере что угодно, в том числе красть паро­ли и логины — имена, под которыми зарегистрированные пользователи входят в Интернет. Достаточно отправить поль­зователю по электронной почте письмо с заманчивым пред­ложением (например, бесплатного показа эротических фотографий и т.п., как это делали задержанные), и, если он от­кликнется, через несколько минут его реквизиты — в руках взломщика. Однако до открытой продажи такой добычи хаке­ры, насколько известно, еще не додумывались: до сих пор ук­раденные сведения они использовали только в собственных целях, иногда делясь ими с приятелями. Так что задержанные оперативниками управления «Р» воры вполне могут считать себя первопроходцами: именно им пришла в голову идея тор­говать украденным в том же Интернете, выставляя пароли и логины на открытый аукцион. Прекрасно понимая, что они за­нимаются противозаконным делом, студент и его приятель старались лично с покупателями не встречаться. Плату за проданные пароли — 15 долларов за каждый — они получали с помощью той же Сети, прибегая к услугам работающих через Интернет банков. И лишь однажды изменили своей привычке, что и стоило им свободы. «Покупатель», который предложил продавцам встретиться, чтобы лично передать деньги, рабо­тал под контролем сотрудников управления «Р», тому време­ни уже заснявших на пленку процесс продажи паролей. На встречу к одной из станций столичного метро студент-хакер явился сам, но не успел он получить деньги, как был задер­жан. Чуть позже задержали и его подельника-экономиста. На всю операцию, как говорят в управлении «Р», ушло не больше трех часов.
Если против торговцев украденными паролями и логина­ми будет возбуждено уголовное дело по ст. 273 УК России — "Создание, использование и распространение вредоносных программ для ЭВМ", им грозит до трех лет тюрьмы».
Как защититься от «троянца»?
Во-первых, не забывайте, что вы во Всемирной Паутине «руссо туристо» и держите свое «облико морале». Совершенно точно, что ни­кому не побежит жаловаться посетитель, которому навесили вирус во время захода на порно-сайт, так что решайте сами: развлекаться ли вам, рискуя виртуально или реально (хотя и тут не без риска...).
Во-вторых, неплохо бы проверять все письма, где просят прислать пароль, запустить программу, отдать машину и квартиру, где деньги лежат (знакомые предложения, не правда Однако, когда
на предложения мошенниц быстренько обменять все ваши деньги на новенькие фальшивки с портретом свежеиспеченного Президента со­глашаются дремучие бабульки в сибирских деревнях, это в общем-то понятно. Но непонятно, когда на такие провокации клюют молодые,
образованные пользователи XXI века.
В-третьих, защищаясь от почтовых интернет-мошенников, поль-
зуйтесь почтовой программой «The в которой есть такая особен­ность: когда поле «Reply to» заполнено (по умолчанию оно пусто и программы считают его идентичным «From»), то Бэт всегда покажет его в шапке письма.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика