|
|
|
 |
Пакет ICMP выглядит как ping и ping-response29.02.2020Reverse WWW Shell позволяет атакующему получить доступ к машине с командной строкой в вашей внутренней сети, даже если она защищена брандмауэром. Инструмент создан ван Хаузером (van Hauser), автором THC-Scan - боевой программы дозвона, и доступен на thc.pimmel.com. Атакующий должен установить (или заставить сделать это одного из ваших пользователей) на машине в вашей сети простую программу - сервер Reverse WWW Shell. Регулярно, обычно каждые 60 с, внутренний сервер будет пытаться обратиться к внешней системе-хозяину, чтобы получить команды, по существу звоня домой. Если атакующий ввел что-то на машине-хозяине во внешней системе, такая команда получается и выполняется во внутренней системе. Дальнейшее сообщение от внутреннего агента будет нести результаты данной команды и запрос следующей команды. Это и есть «обратная» часть Reverse WWW Shell: слуга-сервер обращается к хозяину, чтобы вытянуть команды, выполняет их и проталкивает результаты обратно. Следовательно, мы просто вытолкнули доступ в терминальном режиме - выразительный подвиг, но ни в коем случае не революционный, верно? Хотите испыть удачу? Делайте ставки на игровые автоматы вулкан ставка и выигрывайте. Но подождите - это еще не все! С сетевой точки зрения внутренняя машина- жертва кажется занимающейся просмотром Web-страниц. Сервер Reverse WWW Shell использует стандартные сообщения HTTP, посланные через сеть внешней системе атакующего, где запущен хозяин Reverse WWW Shell. Получив доступ к хозяину, сервер Reverse WWW Shell выталкивает приглашение командной строки сервера, туннелированное в запросах и ответах HTTP. Поэтому внутренний агент похож на браузер, просматривающий Web-страницы. Внешний хозяин напоминает Web-сервер. Все исходящие данные передаются из порта источника с большим номером (превышающим 1024) в ТСР-порт 80. Все ответы возвращаются из ТСР-порта 80 в порт с большим номером. Таким образом, эти пакеты имеют характеристики HTTP. Но, что еще хуже, данные оболочки отформатированы как команда GET HTTP. Поэтому даже полномочный брандмауэр, который обеспечивает использование HTTP на ТСР-порте 80, тщательно прочесывая протокол, чтобы удостовериться, что это HTTP, будет обманут. Брандмауэр и другие сетевые компоненты рассматривают этот трафик как стандартный исходящий HTTP, что разрешается большинством сетей. В действительности же тайный канал является входящим трафиком оболочки, позволяя атакующему выполнить любую команду во внутренней системе.
| ||||||||||||||||||||||||||||||||
