THESE PAGES ARE FREE OF

JAVA
FRAMES

STORED ON A LINUX SERVER, AND RUNNING SPACEHAWKS' OWN LINUX BASED VOTING AND MESSAGE BOARD CGI.

NO MICROSOFT RELATED PROGRAMS WERE USED TO CREATE THIS SITE.

SPACEHAWKS WORLDNEWS ISSUE 18
Internetes védekezés és támadás.

Üdv mindenkinek

Van itt egy srác az ircen, Emeric nickre hallgat. (Nem ismerem, de majd megkeresem-Emeric SH) Egyik nap nyílt az chatwindow, és megkérdezte, hogy nincs e kedvem írni egy cikket, minek vmi ilyesmi címe lenne (bocs Eme.. hja a memóriám):
Internetes védekezés és támadás.
Kérte, hogy egy-két egyszerûbb védelmi trükköt pötyögjek be ebbe a régi cedecskébe... Kezdjük az elején: mi is van elõttünk.. hát egy gép.. nade milyen.. nemmindegy ám, ha olyan szép, csillogó-villogó 3D kártyás Vodoo2000-res 128 mega rammal, és PC névre hallgat, akkor a következõ védelmi taktikát javaslom:

deltree windows
format c: /u /all /nounformat nemtommmi
install linux nemtomhányas, nemtommicsoda (nemvagyok linuxos)

most nézzük a másik esetet ha véletlenül egy másik gépünk van, más oprencerrel...

A neten IRC-ezés közben szokott legtöbbször jönni a támadás, hiszen csak akkor veszik észre, hogy létezünk. Namost a támadásnak kétféle módja lehet. Az egyik, ha az irces kapcsolatunkat támadják, a másik, ha közvetlenül a modemes kapcsolatunkat próbálják szétszedni. Itt lenne még a 3. amikor a gépet kívánnák lefagyasztani.. csak ez nem PC, nem win$ és emiatt nincsennek se beépített bugok, se semmi ilyesmi...

Akkor kezdjük az IRC-ssel.

A védekezéssel itt nem lesz nehéz dolgunk... mert , ahogy eddig figyeltem, az AmIRC Kuang 11 scriptje kiváló védelmet nyújt szinte bármiféle támadással szemben. IRC-rõl a legegyszerûbb módom az úgynevezett FLOOD-olással szoktak támadni. Hogy mit is jelent ez tulajdonképpen: hát azt, hogy megpróbálnak nekünk annyi adatot küldeni, amit az IRC server és a gép közötti kapcsolat nem bír el. Minél több adat jön, annál nagyobb a leterheltségünk, és az IRC server nem fog biztosítani nekünk 56k-s sávszélességet, hogy leszedhessük a számunkra érkezett adatokat. Épp ezért, mikor már nem tudunk annyit leszedni, mint a rosszakaró feltesz, akkor szépen az IRC server megválik tõlünk. Ilyenkor szokott a kilépésnél "Excess flood" felírat virítani. Különféle floodok vannak, megpróbálom felsorolni az összeset:

PING, VERSION, FINGER flood - ez a legegyszerûbb, küld az IRC serveren keresztûl egy pinget az illetõ, és mi válaszolunk rá.. namost a mi válaszunk sokkal nagyobb csomag, mint az õ küldése, emiatt megint terheljük saját magunk a adatcsatornánkat. Ez a közkedveltebb..

PRIVMSG flood hát, itt jön a favágó módszer, a srác nekünkesik, és egy scriptel elkezdi tolni az értelmetlen karakterek halmazát, hátha túlterhel

WIN flood nahh. ezt elméletileg szerény személyem találta ki... ez ellen nem véd a Kuang 11-es script, sõt pc-n sem igazán tudok olyat, ami megfogja. A lényege, hogy elkezd eszeveszetten query ablakokat nyitogatni a másik félnél... Amigán azért megáll álltalában 20 nál. Hogy miért pont ennyinél? mert az AmIRC-es bátyók beleépítettek egy olyan funkciót, hogy MAX QUERY WINDOWS és itt általában 20 van. Ez elég is szokott lenni, egy általános irceléshez. (3 éve ircelek, 10 nél több sohasem volt nyitva)

Jójó, ez mind szép és jó, de felmerül mindenkiben a kérdés, én is egy IRCES vonalon, õ is egy irces vonalon, miért nem terhelõdik túl ugyanúgy a támadó is... hát, most jön a válasz.. mert a támadó scriptje (pl a közismert Shit Down Pro) úgynevezett klónokat hoz fel. A klón annyit tesz, hogy ugyanarról a géprõl vezérelt másik irc-s csatlakozás. néha látjuk is, hogy CLONE DETECTED blablabla. Ez csak annyit jelent, hogy azonos host-ról van két ember ( nick ! id @ host ). Ez lehet azért mert:

1 egy gépról ircelnek
2 két géprõl, de belsõ hálón vannak, és egy csatlakozáson jönnek ki. Ilyenek a sulinetes gyerkõcök is legtöbbször.

Namost.. a mi kis támadó barátunk fogja magát,és felhoz kb 5-6 klónt, és ezzel kezd el minket pingelni. Ez már azért elég szép adag, és az 5-6x támadás+mi visszaüzengetünk, az szépen leterhelNÉ a vonalat. Viszont ilyenkor lép akcióba az u.n. FLOOD Protection.. ezt néha látjuk is. ilyenkor az illetõt IGNORE listára teszi, ezt nevezhetjük úgy is, mint egy csomagszûrési lista. Errõl a listáról pár perc múlva lekapja, mikor elült a vihar.

3 fajta csomagszûrés létezik (ami ha jól számoltam négy - Emeric SH):
- CTCP a CTCP parancsokat szûri ki, ilyenek a fentiek, a PING, a VERSION, a FINGER
- PRIVMSG mindennemû beszélgetést kiszûr az illetõvel
- TEXT a csati szövegeit nem látjuk
- ALL kiszûr minden üzenetet az illetõvel kapcsolatban

Az IGNORE listára is többféleképp lehet bevinni embereket, lássuk hogyan is:

Õ a páciensünk: nick: WinJani id&host: pcuser@Dial090-01.externet.hu. Tehetjük a nevét listára, vagy az id-jét, vagy a hostját. Hát, amit nemigazán tud váltogatni, az a host. Szóval, ha

/IGNORE *!*@Dial090-01.externet.hu +ALL -t

adunk ki, akkor amíg le nem vesszük a srác nem sok mindenre lesz képes holmi irces támadásokkal. Csak a nickjét látjuk a csatilistában, ha fennvan, de semmilyen üzenetet nem kaphatunk tõle.. Azért ez néha zavaró, mert ha a csatin lehülyézik, azt sem vesszük észre.

A Flood Protection a következõt csinálja:
«Flood» CTCP flood from WinJani, ignoring request "PING 4606590".
«Ignore» Now ignoring *!*@Dial090-01.externet.hu [PRIV CTCP].
tehát , nekünk nem sok munka marad, és úgy csinálja, hogy a csatin még látjuk mit ír...
Szóval, ha mi kiszûrjük a srác és klónocskái csomagjait, utána már nem sokat árthat nekünk (50-60 klónnal lehetne, de ennyi nem soknak adatott meg, majd leírom a támadás résznél, hogy miért). A ping és egyéb csomagocskái édeskevések ahhoz, hogy minket leszedjenek az IRC serverrõl. Asszem ennyit az IRC-s védekezésrõl, lássuk a támadási részt, mit régen nagy örömmel fejlesztgettem.

Most mi leszünk a kis gonosz, és a gonosz PC usereket fogjuk lekaparni az IRC serverrõl.. Bár sajnos nem mindig hajlandóak leszállni. PC-n rengeteg védelmi script van, nemúgy, mint amigára, de ott a fele hibás is... bár az utóbbi idõben kezdik elérni a K11 szintjét. Mi sem tudunk mást csinálni mint õk, PING flood, PRIVMSG flood, meg ami éppen van. Az AmIRC-el elég egyszerû klónozni, hiszen csak rányomunk egy serverre és Connect Thread, és jön is a klón, de a következõkre kell figyelnünk:
- 1 IRC serveren nem lehet végtelenszámú klón max 1-2, ezért ha Too many host connected Local felíratot látunk, próbálkozzunk egy másik serverrel.
- az egész IRC hálózaton nem lehet egy hostról 5-6 klónnál több, ezért ha Too many host connected Global-t látunk, elégedjünk meg azzal, amink van. Bár, ez így nem teljesen igaz, mert az ELTE mindenképpen megenged 3 klónt (mármint eddig így volt), ezért javasolt ezt a servert legutoljára hagyni.

Itt egy IRC serverlista:

irc.extra.hu 6667
irc.elte.hu 6667,6668 (,6669 mostanában nincs nyitva)
irc.sote.hu 6667
irc.bme.hu 6667,6668

Én ennyirõl tudok, ezek kb 5-6 klónra elegendõek, ami elég is, ha így nem jönnek le, akkor úgyis be vannak védve vmi hülye scriptel. (Értem. Ha meg bírja védeni õket, az minden bizonnyal hülye script-Emeric SH) Nem kell mindig a maximumot felhozni, legtöbbször elég 2-3 klón is, ha már van célpont lehet nyugodtan próbálkozni.

Ha megvannak a klónok, illik velük nevet váltani, fõleg, hogy ha olyan lamer, és nincs fenn script, akkor ha nevet váltunk, már nem is fogja tudni, hogy mi vagyunk. A 2. dolog, a klónok ne legyenek semmilyen csatornán, több okból se. 1. mert lassítják a csatornák a klónok vonalát. 2. mert ha azon vannak, akkor a gyerek megnézheti, és feljöhet megkeresni a klóngazdát, meg odajöhet anyázni, ami nem éppen egészséges. Esetleg ha kemény fiú, takeoverelheti is a csatit, ami nemcsak neked, de a csatin lévõknek is nagyon rossz, és nagyon, de nagyon morcosak lesznek rád.

Ha mindennel készen vagyunk akkor jöhet a kérdés, namost hogy küldjünk mi szerencsétlennek 40-50 pinget úgy, hogy ne egyesével kelljen felnyíl+ENTER kombinációval elõidézni a PING parancsot. Erre szolgál a következõ kis AREXX sciptem amit a rexx könyvtárba dobtam:

/* Repeatscript - by /MakkMarci/ */
/* This little script repeat your txt */
arg db txt
if db='' | txt='' then do
"echo P="d2c(27)"b«Repeat» Arguments: /repeat <num> <txt> !"
exit
end
Count=0
Do until count=db
"say "txt
Count=count+1
end
end
"echo P="d2c(27)"b«Repeat» Repeat complete."
exit

most nem szeretnék belemerülni az Arexx programozás rejtelmeibe, úgyhogy a kód magyarázatát elhagyom. A lényeg, hogy a txt helyére bármilyen AmIRC sort beilleszthetünk, jelen esetben a /ping WinJani parancsot is:
/rx repeat.rx 10 /PING WinJani

Egymásra helyezzük a klónok ablakait, mindegyikbe bemásoljuk ezt a sort, és hajrá. Nem véletlenül írtam 10-et, ha többet küldünk, akkor lehet, hogy a server válik meg tõlünk. Vmi oknál fogva ha sok ping megy egyszerre a server minket vág ki excess floodal.. érdemes figyelni a lagometert a mûvelet közben. Amíg nem villog mehetnek a tizes csomagok. ha /VERSION parancsot adunk, akkor mehetnek bátrabban is a csomagok, pl 40-esével. Ha /MSG -t adunk, ne felejtsünk el a Nick után szöveget írni. fel is lehet idegesíteni szegénykét, pl egyfolytában azt a szöveget kapja, hogy "húzz a francba", és ha ebbõl kap pl 300-at, az elég idegesítõ. Ha scriptje van (amit egy sima /VERSION parancsal könnyen megnézhetünk) (Vagy nem, értelmesebb scripteknél lehet állítani a version szöveget-Emeric SH), akkor mindezek fentebb leírt támadások nem igazán mûködnek. Persze köztük is van lamer, aki rosszul configolja be és szépen kipottyan 20 ping után, de ez a ritkábbik eset.
Annyit szeretnék még itt az IRC-es csatához hozzáfûzni, hogy említettem az 50-60 klónt. Ez tudtommal 2 féleképpen lehetséges:

1. az illetõnek van egy csomó netes ACCOUNT-ja, amivel más hostokról képes klónokat felhozni.
2. olyan hostja vagy ACCOUNT-ja van, mirõl nincs limitálva a klónok száma.

Megemlítenék még 1-2 csati támadási formát is, amit nemigazán tudunk kivitelezni, és már csak az olyan csatik ellen jó, ahol lamerek botjai vannak. Ezek:

NICKFlood -felhoznak kb 15-20 klónt(ez alatt nemigazán érdemes) és elkezdik gyorsan változtatni a klónok neveit.. ilyenkor mindenki hullik a csatiról, és nemigazán tudok ellene védelmet.. hagyd el a csatit amíg lehet...
PARTFlood - ide még több, szerintem 30-40 klón is kell, a csatiról a klónok ki-be ugrálnak, és így írtanak ki mindenkit...

Mindkét támadási formát a botok 99% ismeri, és kivédi egy egyszerû bannal, illetve látni, hogy a csatornán a LIMIT-et mindig állítják.. Hát most már tudjuk, hogy emiatt.

Akkor kezdõdjön a 2. rész amiben a közvetlen támadások ellen védekezünk, és mi támadunk, bár az utóbbi elég körülményes, mivel nem sok minden van a kezünkben, fõleg ha modemmel rendelkezünk.

Az elsõ amit megnézünk az a modemkatt lesz.. mindeki jókat szokott káromkodni, mikor csak annyit hall, hogy KATT... aztán a ledek kialszanak, és modemünk alaphelyzetbe kerül, a Linuxos srác pedig jót röhög... (win alá nemigen láttam..). A pc-sek körében ezt modem blitz-nek hívják, ne kérdezzétek miért...

A támadás úgy jön létre, hogy kapunk egy bizonyos ICMP csomagot, ami egy PING csomag (húú de ismerõs, de ez nem az a ping) és abban egy speciális jelsorozatot küldtek el nekünk, méghozzá olyat, ami ha BÁRMELYIK modemen átmegy, ami nincs levédve, akkor azt lekattintja. Persze amit lekattint, az az utolsó. Nem más ez, mint egy modem parancs. Szegény modem azt hiszi, hogy mi kértük, hogy kattanjon, és teszi is a dolgát.

Az ICMP PING csomgaról annyit kell tudni, hogy a legakaratosabb csomag a világon. Szinte mindenen átmegy a lokális hálót kivéve. És ez a csomag nem egy bizonyos nyitott adatcsatornán megy, mint az IRC, vagy a WWW. Néha eltéved egy kicsit a világhálón, de mindig megtalálja, akit keres. A védekezés úgy néz ki, hogy átállítjuk modemünket, hogy ne azzal a parancssorral lehessen programozni, mint az átlag modemeket. Nem szeretnék nagyon szájbarágós lenni, de asszem így lehet a legérthetõbben leírni mi is a teendõ. Akkor lássuk a gyakorlatban a a védekezést:

Miami felhasználóknak:

- indít miami
- belép modem settings
- Init string

ha idáig eljutottunk, akkor most jön a lényeg. Látunk ott vmi ilyesmit: AT&F&K3&C1&D0\r - nemmindenkinek ezvan... a védelem pedig az, hogy beírunk ide még pár karaktert: S2=255 namost a 255 helyett bármi lehet 128-255 ig. én a végére tettem, és most így néz ki: AT&F&K3&C1&D0S2=255\r
Eezzel meg is volnánk, de ez csak akkor él, ha újratárcsázunk, addig sajnos nem. Akkor vegzi ezt el mikor a miami írja: Resetting modem.

MiamiDX felhasználóknak:
- indít DX -
belép Hardware definition
- kiválaszt Serial, EDIT
- belép Modem settigns

Innentõl a miaminál leírt módon járunk el, és betesszük az S2=255-öt. Figyelem, ha véletlenül nem jönne össze a dolog (pl nem tárcsáz), akkor próbáljuk áthelyezni a stringet, vagy pedig & jellel elválasztani. NE tegyük a \r után.

Van a második eset.. ugye itt is, mint fentebb olvashattuk lehet PING csomagocskákat küldözgetni, aminek nagyon nem örülünk, ha sokat kapunk. A Miami-ban viszont be lehet kapcsolni egy nagyon jó funkciót: Ping flood protection. Ez mindig legyen benyomva.

Miami és DX felhasználóknak egyaránt:
- indit miami
- belép ppp/
- itt ixel Ping flood protection

Most senki se higgye, hogy ezzel 100%-os védelmet ért el. Mint az IRC-nél, itt is igaz az elv, hogy ha nagy a sávszélesség, nagyobb a támadás erelye. A Ping flood protection csak annyit tesz, hogy nem válaszol a géped, ha sokat kérnek tõled, és kiírja a támadó IP számát, hogy vissza tudj lõni rá. Ha 10, vagy 100Mbitrõl jönnek a pingek, esélyed szinte semmi a túlélésre(ha modemrõl vagy). Ki lehet védeni majd ezt is, nemsokára írom is, hogy hogyan.

Ha ezzel is megvolnánk akkor jön a következõ. Nemcsak ICMP PING csomaggal lehet támadni, hanem úgy is, hogy hozzád "becsatlakoznak" egy portra, és elkezdik gyûrni a gépedet. Szegényke pedig csak generálja, generálja és tolja ki a portra a válaszokat, holott nem is biztos, hogy van ott vki, aki fogadja.

Ez ellen a következõt tehetjünk: Fogjuk szépen, és bezárjuk az összes portot, nem kell hogy nyitva legyen semmi sem, hiszen, majd ha mi szeretnénk vmit, akkor nyitunk kapcsolatot, de csak azzal, akivel akarunk. Lássuk, hogy zárjuk be a kapukat:

Miami és DX felhasználóknak egyaránt:

-indít Miami
-belép database
-a cycle gadget-et InetD-re kapcsoljuk
-és itt szépen mindent Disable állásra teszünk

Semmilyen hátrányunk nem származik ebbõl, csak már nem leszünk olyanok, mint a kivilágított céltábla...
Itt természetesen már nem kell újraconnectálni, a miami, ahogy nyomjuk a disable gombot, úgy zárja a portot.
Ha az auth(113-as) port eddig nyitva volt, és most zárjuk, akkor észrevesszük, hogy használható lett az AmIRC-ben az egyik string-gadget, az Username. Ez kerül a kukac elé, ha beírjuk, viszont elé kerül még egy ~ jel, úgyhogy ne anyázzunk , ha a botok egybõl nem kapcsolnak.

Most jön a legjobb védelem, ami sajna nemmindenkinek adatik meg, meg nem is mindig jó: ha szerzünk egy ACCOUNT-ot, és egy nagyobb sávszélességû serveren keresztûl megyünk fel a NET-re. Mivel, ha nem tudják a hostunkat, vagy az IP-nket, akkor már lõhetnek ránk bármit, hozzánk nem jut el, csak a nagy servert lövik, amit elég nehéz. Ennek vannak bizonyos hátulütõi is:
- a DCC nem igazán akar menni, és a játékok sem
- néha NAGYON lassú az a szuperserver, amire ACCOUNT-tunk van
Szerintem jó ha van ACCOUNT-unk, de csak akkor használjuk, ha nem szeretnénk nagyon letöltögetni, hanem inkább IRC-zünk..,

Asszem ennyi lenne a védelemrõl, az AMIGA-t elég nehéz kilõni, mivel nem tudok beépített bugokról, ellenben a m$-os gépekkel. Biztos hat rá pár trükk, de engem eddig a 10Mbites Floodon kívûl nemigen vitt le más. (Ja meg egyszer a kutyus fennakadt a telefonzsinorban :-) )

Lássuk a támadás részét.

Hát itt már nehezebb dolgunk van, nem lehet csak úgy scriptecskéket írkálni, itt legtöbbször már C programokról van szó, és nemigen adják ki a kezükbõl az illetékesek. Mindenesetre itt is van 1-2 trükk amit elárulhatok: Kezdjük a Linuxot használó pc-sek kedvenc trükkjével a modem katt(blitz)tal. ehhez nem kell semmilyen extra program. Pinget mi is tudunk küldni, mivel a Miami-hez adnak egy progit, a neve: MiamiPing, és a Miami: on található. A lényege a dolognak a modemparancs, mi így néz ki: +++ATH0
Hhûha.. mindenki másra számított? vagy már ismertétek? nanembaj:) Szóval, ez a pár karakter mondja modemnek, hogy kattanj, megyünk aludni.

Ezt nekünk hexába kell megadnunk PING pattern-ként:
MiamiPing -p 2b2b2b415448300d host v. ip

namost, a pingetõ progi elindúl, és mennek a csomagok, ha 5 másodpercen belül nem érkezik vissza csomag, akkor nyertünk, vagy pedig elnyelte, ha visszaérkezik (írja hogy ping reply 1524 ms) akkor ez a támadás hatástalan ellene, ne is próbálkozzunk tovább.

Arra azért figyeljünk, hogy ha kiesik így, az IRC-n a nickje NEM fog egybõl eltünni, hanem majd kicsit késõbb (1-2-3 perc) fog kiesni Ping timeout-al, és ez általában igaz a többi gyilkolászós dologra is, amit nem az ircen végzel. Ez a támadás azért is jó, mert ha nem sikerül, akkor az illetõ nem szerez tudomást a támadásról, hiszen nem voltunk aggresszívak.

Ha "nagy" a sávszélességünk, vagy van pár haverunk, akkor lehet a favágó módszert alkalmazni, essünk neki PING csomagokkal. Itt szintén a fentebb említett progit fogjuk használni, hiszen nem vagyunk programozók...

MiamiPing -f -c 30 -s 1000 host v. IP

A -f a floodot jelenti, a -c a csomagok számát, a -s a csomag méretét. Hát.. itt már veszélyes a helyzet, mivel nem az IRC serverrõl,hanem a szolgáltató serverérõl eshetünk le... ami ugye nem egészséges...

Van még a winnuke, de az már nem mûködik, úgyhogy azzal nem foglalkozom, ill. van új, de nincs meg nekem. Szóval, itt a fõ elv a sávszélesség. Persze vannak win$-t akasztó programok, és ezek a neten C forrásban meg is találhatók. Csak három gond van velük:

1. tele vannak Antilammer bugokkal
2. ki fogja "amigásítani?", ha meg is teszi, ki fogja e adni a kezébõl?
3. a Miami nemcsak elõny, hátrány is, sok killer stufa a miami miatt nemmegy...

Hát, asszem ennyi lenne amit eme témában le tudtam írni, biztos vannak benne hibák, vagy vki jobban tudja. Ha kérdés lenne, azt az mmlada@freemail.hu-ra várom, szívesen válaszolok.

Jajj... majdnem kihagytam a legfontosabbat!!

Ugye most senki sem áll neki poénból öldökölni, mert akkor azt én fogom leöldökölni!!! Sokszor volt már, hogy poénból öldökölték a PC-seket, mert unatkoztak a csatin az emberek... Ennek két vége lehet:

1. jönnek és takeover #amigahu aminek nagyon nem örülnék
2. ha fennakadsz egy keményebb fickón úgy kivág, hogy a lábad se éri a földet (K-LINE rulez-Emeric SH), szóval mindenki csak végszükség esetén használja ezeket a dolgokat...

Én amondó vagyok, jobb beégetni a gyereket 10 csaj elõtt, mint látni, ahogy lepottyan, szerintem sokkal nagyobb mulatság...

Hát akkor ennyi voltam, adios amigos, és biztonságos netezést mindenkinek!

MakkMarci of TFF