Falhas

Definição

Todos os sistemas têm falhas. Elas consistem em pequenos erros na criação dos programas, possibilitando que cracker os utilizem para tomar o controle de alguma máquina. Essas falhas por mais insignificantes que pareçam, podem comprometer a segurança de uma rede inteira. E a maior de todas as falhas é o desinteresse dos muitos administradores de hoje que acham que o termo bug é algum desenho do Walt Disney.

Como surge o bug

O bug, ou falha, surge a partir do momento que o programador comete um erro. Ou seja, indiretamente é um erro humano que gera a falha nos programas. Por serem pequenos erros e não aqueles cabeludos que fazem o compilador até rir do programador, muitas vezes passam despercebidos e só são descobertos por algum hacker ou analista de segurança.

Exemplos de falhas

Algumas falhas são tão bobas que é difícil de acreditar. Como por exemplo novamente o sistema Windows, pois de longe é o que possui mais falhas (claro, todas podem ser corrigidas). O Windows 98 possui muitos erros, mas alguns são interessantes. Um é que não consegue executar nem abrir nenhum link com a url c:\con\con. Se você tentar ir em iniciar e executar, o sistema travará e mostrará a famosa tela azul.

Buffer overflows

O buffer overflow é um ataque usado a muito tempo e que ainda será muito usado. Compreende em lotar os buffers (memória disponível para aplicativos) de um servidor e inclui na lista de processos algum programa tal como um kaylogger ou um trojan. Todos os sistemas são vulneráveis a buffer overflows e a solução é a mesma, procurar se já existem correções existentes. Novos erros desse tipo surgem todo dia, até o XP já têm alguns. Se atualize sempre para não ficar para trás.

Race condition

O race condition consiste em fazer algum programa que rode como root (super-usuário) executar alguma falha que possa lhe enviar para o shell do sistema. O programa que mais teve problemas de race condition até hoje é o sendmail, serviço de e-mails padrão Unix. É possível encontrar falhas até em versões mais recentes.





Descobrindo se algum sistema têm falhas

Para o programador experiente é mais fácil verificar se um sistema têm falhas (se o programador for interessado e tiver boa vontade), utilizando de recursos de debug que checam por erros de buffer overflow e outros. Para o usuário é bem mais difícil descobrir algo, principalmente o usuário comum. O interessante seria visitar páginas especializadas no assunto, que a cada dia publicam novos tipos de erros descobertos. Algumas muito boas são a Security-focus (http://www.security-focus.com/) e a Hacker brasileira (http://www.hacker.com.br/).

Utilizando exploits

Exploits são programas criados para explorar falhas. Um exemplo é um exploit chamado iishack2000.Ele possibilita que somente digitando o IP de algum computador, você consiga acesso direto ao interpretador de comandos (ou shell). Assim podemos fazer o que quiser com o sistema.

Instalando patches

Toda vez que um erro for descoberto, deve-se visitar a página do fabricante do programa e pegar a correção. Isso não pode ser feito de mês em mês, é no máximo de três em três dias. Os erros aparecem muito rápido, e um sistema é composto de muitos softwares. Todos devem ser checados. É interessante também assinar uma lista de discussão sobre segurança, assim toda vez que uma falha for descoberta, você receberá um e-mail.

Scanners

São programas que analisam um sistema ou rede em busca de falhas de qualquer tipo. Existem dezenas de scanners diferentes, cada um com suas vantagens. Aprendendo melhor sobre eles, poderá se proteger melhor e evitar que algum invasor malicioso dê um passa à sua frente.

Descobrindo falhas em um host

Para saber quais portas estão abertas em um sistema remoto, utilizamos o scan de portas. Existem muitos e muitos programas desse tipo. Alguns exemplos são o Cha0scan, o Shadow Scan e o HaKtek.
Funciona da seguinte maneira: vão tentar se conectar a todas as portas de um endereço ip fornecido, mostrando todas as portas encontradas “ativas” e o seu conteúdo. É uma boa tática para encontrar cavalos de tróia sem depender de anti-vírus, já que todos usam portas.

Máquinas ativas da subnet

Esse tipo de scanner é o mais usado quando o objetivo do invasor é determinar todos os hosts ativos da subnet e saber seus nomes (DNS). Assim, supondo que o endereço principal de um provedor é http://www.phela.com.br/. Usamos um ping qualquer, ou o próprio scanner, e descobrindo que o endereço ip é 200.205.215.37.
Com isso conseguimos informações importantes do sistema. Sabemos por exemplo qual é o endereço do roteador, e onde deve ficar informações importantes. Se fosse um site de comércio eletrônico por exemplo, as chances de conseguir os dados era enorme, pois mesmo que o invasor não conseguisse acesso diretamente ao computador 200.205.215.37 (que pode inclusive ser um firewall) ele poderia se conectar a um outro IP da subnet e conseguir os dados a partir dele.

Scanneando o netbios

Netbios é uma espécie de protocolo que facilita a comunicação de uma pequena rede, porém não é roteável. Isso significa que: você pode conseguir invadir o computador e mapear drives de todas as pessoas que estão conectadas no mesmo provedor que você, pois estão na mesma subnet. Agora, se você estiver em um provedor e tentar alguma invasão em outro, ela não será possível com o SMB, apenas com o Netbios por TCP/IP. Alguns cuidados devem ser tomados. Que hacker iniciante nunca ouviu falar de “invasão por IP”, um texto que rola na internet há anos?. Pois é, ele corresponde à invasão por netbios. Para que você esteja protegido quanto a ataques, tome algumas providências:

· Se você não pertence a nenhuma rede ou não precisar de compartilhar arquivos pela Internet, desabilite as opções “Compartilhar arquivos e impressoras” no assitente de rede do painel de controle do Windows. Assim você não será detectado por netbios.
· Caso você precise do protocolo, ao menos quando for compartilhar algum disco, coloque uma senha. Assim dificulta o acesso não-autorizado.
· Corrija os bugs do seu sistema. Especialmente se utilizar o Samba para compartilhar uma conexão netbios entre Linux e Windows. O Windows 98, ME, NT, 2000 também possuem erros graves. Alguns deles possibilita que você possa mapear algum recurso da rede sabendo apenas o primeiro caractere da senha do netbios.
· Utilize algum bom scanner para netbios. Um excelente é o NAT (Netbios Auditing Tool). Ele utiliza um dicionário de senhas para tentar conseguir acesso ao sistema, e ainda checa se o mesmo possui falhas que possibilitem a conexão anônima. Uma outra maneira rápida de checar se o netbios está ativo é usando o comando ndtstat do Windows.

Checando as vulnerabilidades em servidores HTTP e FTP

Tranqüilamente o mais perigoso de todos. Os scanners de servidores HTTP e FTP, chamados de scanners de vulnerabilidades, podem encontrar erros em sistemas em segundos e ainda indica como explorar esses erros. Essa é a principal ferramenta do “Script Kiddie”, típico garoto que quer ser hacker, consegue um software destes e sai fazendo varreduras em diversos sistemas. Mesmo que você não tenha inimigos, pode ser alvo de algum desses indivíduos algum dia, pois ele se diverte em tirar páginas do ar, colocar mensagens bobas e rir das pessoas que o acham um mestre. Não tem interesse de espionagem, é apenas uma criança.
Alguns scanners são tão poderosos que possuem funções de scanneamento de portas, hosts e vulnerabilidade em um só host. Ou seja: descobre os hosts ativos, analiza as portas e analiza as vulnerabilidades encontradas nas portas. E meu amigo, se não tiver uma boa política de segurança, tudo acaba.

Analisando partes físicas

O firewall e o roteador, por também conter falhas, são muito analizados pelos scanners. Alguns deles (Firewalls) são tão sofisticados que enviam vários tipos de pacotes de informação somente para “deduzir” quais deles o firewall barra e quais não, assim descobrimos erros na sua implementação e para onde redirecionam os dados. O Shadow Scan poe exemplo, consegue descobrir o endereço real de um servidor através da grande maioria dos firewalls. Portanto não adianta apenas instalar a sua barreira. Precisa atualizá-la sempre.

Wardialers

Os wardialers ou discadores de guerra, são programas que checam uma lista de telefones procurando por telefones conectáveis. Podem ser bem úteis. Por exemplo, supondo que o telefone comercial de uma empresa seja 829-1122. Mande algum programa (como Toneloc) tentar se conectar a telefones do número 829-1100 a 829-1300. Bom, pode ficar um pouco caro os impulsos mas a chance se você conseguir algum número de modem externo é grande. E geralmente usando sistemas com senhas ridículas (ou até sem senhas).

Passo-a-passo: Scanneando

Scanneado hosts conhecidos de uma rede


Para esse exercício pode ser usado qualquer scanner. Usaremos o haktek.

1. Abra o programa
2. Clique no botãozinho que parece um controle remoto e coloque em range os ips que deseja procurar. Por exemplo: 200.187.0138.1 a 200.187.138.250 (esdereço fictício).
3. Mande ver.

O programa mostrará todos os hosts encontrados (que estão ativos) e mostrara seus respectivos nomes (se tiverem).

Scanneando o NetBIOS

Para realizarmos uma checagens de máquinas com NetBIOS ativa, utilizaremos primeiramente o programa Shadow Scan.

Abra o programa.

1. Clique em Internet Scaner de depois em scaners.
2. Selecione NetBios Scanner.
3. Clique em IP Zone e coloque a subnet que você irá procurar ( de qual a qual endereço ip). Não se esqueça que como o NetBIOS não é roteável você só pode faze-lo no seu provedor ou rede local.

Scanneando à procura de falhas

Nesse teste, utilizaremos algum dos scanners de vulnerabilidade para descobrir falhas em um host. Utilizaremos o TWWWSCAN como exemplo pois ele é bem simples.

1. Abra o prompt do ms-dos.
2. Execute o programa.
3. Após o programa mostrar essa tela, execute-o novamente com o seguinte comando: twwwscan80 –v –t3 –pa -ids

Pedimos ao scanner para utilizar a porta 80 (padrão), -v (mostrar o status), -t3 (utilizar dois tipos de métodos de teste), -pa(tentar erros de unix e de windows) e –ids(tática para conseguir um resultado mais eficiente). O programa irá rodar, testar diversas combinações e lhe fornecer os erros encontrados.

Trojans

Deinição de trojan

O nome trojan é uma alusão à história do antigo cavalo de tróia, em que o governante da cidade de Tróia na antiga Grécia foi presenteado com um cavalo de madeira no qual havia escondido soldados inimigos. Possui muitas características similares aos vírus, tais como: perda de arquivos, falhas na memória, erros em periféricos, etc... A grande diferença é que o trojan pode ser considerado um vírus inteligente, pois é controlado à distância pela pessoa que o instalou. Esse indivíduo então, consegue “enxergar” o seu computador, podendo realizar desde as mais simples tarefas como mexer o mouse à utilização do seu IP como ponte para outros ataques. Conseguem ficar escondidos em arquivos de inicialização do sistema operacional e se iniciam toda vez que a máquina é ligada.

Perigo real

A popularização da Internet e a facilidade de se criar um programa cavalo de tróia fazem com que esse método de invasão seja atualmente o mais perigoso de todos. Ele não depende de falhas no seu sistema, é quase indetectável e pela sua facilidade de uso pode ser operado por crianças de 6 anos. Pode-se esconder um trojan em fotos, arquivos de músicas, aplicativos e jogos. Sendo assim, nunca abra arquivos executáveis enviados por estranhos ou pegos em sites duvidosos.


Tipos de cavalos de tróia

Invasão por portas TCP e UDP

Possuem na sua maioria dois arquivos: um servidor para ser instalado no computador da vítima e em cliente com interface gráfica para manipular o servidor remotamente. O trojan que utiliza portas TCP, estabelece uma conexão como o servidor, atuando diretamente de dentro do sistema. Já o que utiliza portas UDP, comunica-se via pacotes de dados enviados ao host alvo. Não tão confiável como o TCP, não garante a entrega dos pacotes e o recebimento da resposta.

Trojans de Informação

Não é tão usado quanto o de portas mas igualmente (ou até mais) perigoso. Enquanto a maioria das funções dos trojans comuns é apenas para aborrecer (sumir com a barra de tarefas, apagar monitor, desligar Windows, etc...), o trojan de informação se concentra em ficar residente detectando todos os tipos de dados vitais do sistema. Ele consegue toda senha digitada no servidor junto ao endereço ip das máquinas e envia a informação para uma conta de e-mail configurada pelo invasor.


Trojans de Ponte

Consiste em instalar um servidor no seu computador que possibilite que através dele ( e do seu endereço ip) o invasor possa realizar atques de invasão e de recusa de serviço. Então, se um grande site for invadido e baterem na sua porta, procure pois deve haver algum desses no seu sistema.

Rootkits

Esse tipo especial de backdoor é utilizado no Unix e Linux. Ao ser executado pelo operador do sistema ele substitui arquivos executáveis importantes (como o os por exemplo) por versões “infectadas”. Essas versões podem ser tanto trojans de portas quanto de informação.

Trojans comerciais

Alguém já ouviu falar do PcAnywhere? Ou do terminal remoto do Windows 2000 e XP? Esses programas (além de muitos outros) possibilitam que você controle completamente a máquina de alguém, como se estivesse sentado ali. Quer jogar Quake no computador invadido? Clique no botão iniciar dele e faça tudo como se estivesse no seu próprio computador. A vantagem desses programas (já que são comerciais), é que o anti-vírus não pega.

Escondendo o trojan em arquivos confiáveis

Existem muitos programas na Internet que escondem os servidores em arquivos executáveis. Um deles é o The Joiner, que possibilita você juntar o trojan com algum outro executável e criar um terceiro contendo os dois. Além de possibilitar que o coloque em fotos. Um método engraçado muito utilizado hoje pelos que se dizem “hackers”, é renomear algum executável para foto e deixar um largo espaço. Por exemplo: supondo que o nosso servidor é o arquivo server.exe. Então iríamos renomeá-lo para loira.jpg____.exe.
Assim muitos usuários inexperientes caem no truque. Todos os métodos citados anteriormente têm somente uma falha: se você criar um executável pelo The Joiner ou renomear o servidor, qualquer programa anti-vírus logo detectará o arquivo. Para que o anti-vírus não o detecte, é só usar a imaginação. Crie um programa em alguma linguagem e coloque o servidor no meio dos arquivos. Faça com que o programa quando executado renomeie o servidor e o execute. Assim, se o servidor como voodoo.dll passe-o para sysconf.exe e execute. Esse método não é infalível mas engana maioria dos programas de detecção.

Utilizando compressores de executáveis

Consiste em usar um programa compressor de arquivos EXE, que apenas diminua o seu tamanho retirando espaços vazios desnecessários. Um programa comum é o Petite que diminui cerca de 30% ou mais do arquivo original. Um trojan (ou até mesmo um vírus) comprimido é absolutamente indetectável por anti-vírus e scanner. Isso porquê esses programas se baseiam na estrutura do arquivo para identifica-lo. É como se tivesse fotos na memória e as comparasse.
Spoofando uma porta

É muito raro a utilização do spoof em trojans. Isso porquê se a pessoa envia pedido de conexão a um servidor, ela precisa estar usando o seu endereço IP real para receber a resposta. Apenas com o protocolo UDP, que envia comandos sem estabelecimento de conexão, isso é possível. Em quase todos os casos, o endereço IP capturado por um programa anti-trojans é realmente o do invasor. A única exceção é quando se utiliza um trojan de ponte para se conectar a outro (geralmente TCP).

Métodos eficazes e os não eficazes de se retirar o programa

Detecção por portas

Funciona do seguinte modo: os programadores estudam as portas TCP e UDP utilizadas pelos trojans e criam um programa que abre essas portas. Assim, quando um invasor vir a porta aberta e pensar que é um cavalo de tróia que está instalado ali, cairá em uma armadilha tendo o seu endereço IP detectado. Esse método não é muito eficiente pois facilmente podemos mudar as portas que os trojans utilizam. Mas ainda é um método muito usado pois muitas pessoas não se lembram de trocar as portas.

Detecção pelo arquivo

Ele detecta o trojan checando a sua estrutura. Se o arquivo estiver renomeado (sem ser para executável) ou estiver comprimido, esse método se torna inútil. Para ser realmente eficaz, deve ser usado junto à detecção de portas. Assim, mesmo que se
Anti-vírus não encontrou um trojan, o Anti-Trojans pode encontrar.

Detecção por string

Pouco divulgado publicamente, se torna a melhor garantia para se detectar um trojan sem falhas. Isso porquê mesmo que o programa for comprimido ou mude as portas, ele ainda estará usando uma das 65535 portas do sistema e se comunicará com o cliente. A comunicação entre cliente e servidor se dá por uma string(texto) enviada. Por exemplo: O Netbus 1.7 envia uma string assim “Netbus 1.7x” quando alguma conexão for estabelecida. Se for o cliente, ele responderá com outra string. Então para analisar todas as portas do seu sistema e saber quais estão abertas e possuem string, utilize um programa como o Chaoscan ou algum outro scanner de portas que lhe dê essas informações.

Deteção manual
A checagem manual do sistema pelo operador pode facilitar muito a vida. Olhando registros, arquivos de inicialização, conferindo os programas carregados na memória, o tamanho dos arquivos, etc... Todas essas precauções evitam dores de cabeça. Essa política adotada junto aos outros tipos de detecção faz com que você exclua em 100% a chance de uma invasão por cavalos de tróia.

Protocolos

Protocolos são programas e dever ser instalados em componentes de rede que precisam deles. Computadores só podem comunicar-se entre si se utilizarem o mesmo protocolo. Se o protocolo usado por um computador não for compatível pelo usado em outro, eles não podem trocar informações.

Tipos de Protocolos

Dois tipos de protocolos existem hoje: abertos e específicos.

Protocolos Abertos

Protocolos abertos são protocolos feitos para o padrão da indústria. Eles se comunicam com outros protocolos que utilizam o mesmo padrão. Um protocolo aberto não possui dono e todos os sistemas podem fazer implementações livremente.

Protocolos Específicos

Protocolos específicos são feitos para ambiente de rede fechados e possuem dono.

Tipos de Transmissão de dados

Protocolos roteáveis permitem a transmissão de dados entre diversos segmentos de uma rede. O problema é que o grande volume de certo tipo de tráfego deixa a velocidade de conexão muito lenta. A quantidade de tráfego gerada em uma rede, pode ser de três tipos: Unicast, Broadcast e Multicast.

Unicast

Em uma transmissão unicast, uma cópia separada dos dados são enviados de sua origem para cada computador cliente que os requeste. Nenhum outro computador na rede precisa processar o tráfego gerado. No entanto, em uma rede com muitos computadores o unicast não é muito eficiente pois o computador de origem terá que transmitir múltiplas cópias dos dados(resultado, ficará lento). O unicast é bom de ser usado em apenas pequenas redes.

Broadcast

Esse é o tipo de transmissão preferido da turma que gosta de um Denial of Service. Nesse tipo de transmissão, os dados são enviados apenas uma vez mas para toda a rede. Esse processo não é muito eficiente pois faz a velocidade cair bastante já que todos os computadores irão receber os dados. Mesmo os hosts que não fizeram o pedido receberão os dados. Somente não irão processa-los.




Multicast

É uma mistura dos dois. É enviada apenas uma cópia dos dados e somente os computadores que fizeram o pedido os recebem, assim evitando de se causar um tráfego muito intenso e consequentemente um congestionamento no rede.

NetBios

A interface NetBIOS (NetBEUI) foi um dos primeiros protocolos disponíveis para uso em redes compostas de computadores pessoais. Como o próprio nome diz, o NETwork Basic Input Output System, foi designado para ser um protocolo eficiente e pequeno para uso em redes caseiras não roteadas de cerca de no máximo 200 computadores.

IPX/SPX

Internetwork Packet Exchange/Sequenced Packet Exchange (IPX/SPX) é um protocolo desenvolvido especificamente para a estrutura Novell NetWare. O IPX define o endereçamento da rede NetWare e o SPX fornece segurança e confiabilidade ao IPX. (O SPX é como aqueles caras que só se sentem seguros ao lado da esposa).

Apple talk

Protocolo criado pela apple para utilização em redes macintosh para o compartilhamento de arquivos e impressoras. É componente específico, ou seja não é um padrão do mercado.

TCP/IP

Diferentes dos outros protocolos visto aqui, o TCP/IP na verdade é um conjunto de muitos protocolos. Usando uma arquitetura cliente-servidor quase perfeita, esse conjunto de protocolos possibilita praticamente todo tipo de sistema operacional e rede de se comunicarem entre si, possibilitando até a criação da Internet.

IP

O IP (Internet Protocol) é o responsável por rotear e entregar os pacotes contendo as informações que serão enviadas. O endereço IP contém um cabeçalho aonde estão indicados os endereços de redes e de hosts. Esse endereço é representado por quatro bytes separados por pontos. Por exemplo:

200.202.36.251

Portas

Se você quisesse colocar um servidor de homepage e um servidor de jogos em um host tendo um só endereço IP seria impossível. Como o cliente saberia indentificar qual dos servidores precisa conectar? Para isso criaram as portas. Elas indentificam conexões utilizando números de 0 a 65536.

DNS

Já imaginou se você tivesse que decorar o endereço IP de todas as páginas que visita na Internet? No máximo uns 10 você decoraria, mas e o resto? Para acabar com esse problema surgiu o DNS. A sua função é procurar em um banco de dados um nome que corresponda a um IP. Quando digitamos http://www.yahoo.com/ por exemplo, não precisamos saber o endereço IP. O DNS do nosso provedor de acesso vai checar nome em seu banco de dados e se encarregar de nos direcionar ao IP encontrado. Olha que protocolo conzinho J.

SMTP

O Simple Mail Transfer Protocol é o protocolo responsável por entregar mensagens de e-mail a um destinatário. Toda vez que seus e-mails são enviados, um servidor smtp se encarrega de leva-los ao seu destino. O interessante do SMTP é que ao contrário do POP3 (visto a seguir), não é necessário senha para enviar um e-mail. Eu posso abrir o Microsoft Outlook e mandar e-mails como se fosse George Bush ou Tom Cruise. A falta de segurança no envio de mensagens é o ponto de partida para a facilidade da se enviar e-mails anônimos (como visto em anonimidade).

POP3

O POP3 já necessita de senhas para poder habilitar o acesso dos usuários às suas caixas postais, além de saber “re-montar” os arquivos enviados em formato MIME com o SMTP. Uma grande desvantagem dele é que fica muito fácil fazer um ataque de bruteforce pra tentar descobrir as senhas, já que a maioria dos servidores possui falhas que possibilitam softwares maliciosos de ser rodados.

TELNET

Telnet, ou terminal remoto é um modo de se acessar remotamente sistemas como se você estivesse operando localmente. Por exemplo: usando o telnet (e um trojan instalado) podemos ter acesso ao MS-DOS de qualquer um. Do mesmo modo que poderíamos digitar comandos para listas, copiar e apagar dados, conectados a outro computador também podemos.

FTP

File Transfer Protocol é seu nome real. O protocolo de transferência de arquivos serve única e exclusivamente para ser um banco de software. Não se pode executar programas remotamente como no caso do telnet. Apenas pegar e colocar arquivos. Uma de suas vantagens é, como ele é usado somente para transferência de arquivos, sua velocidade pode chegar a ser muito maior do que pegar arquivos em HTTP (visto mais à frente).





HTTP

O Hyper Text Transfer Protocol é o protocolo responsável de transmitir textos, imagens e multimídia na Internet. Sempre que você abre uma homepage ( mesmo que ele só contenha textos ), você está usando esse protocolo. Quando você for baixar um arquivo, preste atenção no link. É muito provável que de uma página navegada por HTTP, se envie a um servidor FTP.

SNMP

Simple Network Management Protocol. Algo como protocolo simples para manejar a rede. E é exatamente isso o que ele faz. Usando o SNMP você pode obter informações detalhadas sobre contas de usuários, equipamentos de rede, portas e serviços abertos e muito mais.

Anonimidade

Ser anônimo na rede
Anonimidade na rede é algo muito discutido atualmente. Existe alguma maneira de ser
totalmente indetectável na Internet? Existe sim e é bem simples. Muitos programas e
ferramentas prometem tornar seu usuário invisível mas são pura enganação. O que você
precisa é de conhecimento, não de softwares. Um usuário pode conseguir passar em
computadores no Japão, Alemanha e Finlândia antes de atacar um site no Brasil. Aí que se
faz a fama dos “metidos a crackers”. Um cracker pega o seu notebook, vai a um telefone
público, utiliza uma conta roubada de internet, se conecta a cinco computadores pelo mundo
e utilizando-os conecta-se a um sistema de anonimidade. Após isso entra na página do FBI e
apaga alguns arquivos. Nunca, digo nunca realmente com muito ênfase, será pego. Todos os
bons crackers não são pegos, justamente pela facilidade de se esconder. Ou seja, não dependa
de ferramentas de rastreamento, nem da polícia, nem nada. Apenas com a segurança do seu
sistema. É a sua maior garantia.

Usando o anonymizer
O anonymizer é um dos muitos serviços gratuitos de anonimidade na net. Visitando a sua
homepage (www.anonymizer.com) ele possibilita que você digite algum endereço e seja
redirecionado para ele. Exemplo: eu digito www.felainternet.com.br na página do serviço e
ele me redirecionará para o provedor de Internet FELA, só que com o endereço IP do
anonymizer. Ou seja, se os administradores da página consultarem o log, não verão meu real
endereço. Em sua versão básica (gratuita) o serviço possibilita apenas que você abra páginas
HTTP. Ou seja, nada de FTP. Há ainda um serviço pago que pode ser conferido na página.
Último detalhe: não é possível utilizar um anonymizer para conectar-se a outro.

Proxys
O proxy, antigo conhecido de muitas pessoas que mexem com rede, possibilita uma ponte
entre um computador e um servidor. Para exemplificar melhor, imagine que você possui uma
rede local, mas somente um dos seus computadores têm placa fax-modem. Então você se
conecta por ele e utiliza um proxy para que o outro computador da rede faça uma ponte e
acesse a Internet pelo servidor. O endereço IP utilizado será do servidor. Acontece que
existem muitos proxys gratuitos na Internet. Brasileiros ou internacionais, eles possibilitam
que você navegue tranqüilamente e às vezes ficam até mais rápidos do que com a conexão
comum. O proxy também têm uma vantagem: você pode usar um proxy para entrar no
92
anonymizer (assim escondendo seu endereço IP duas vezes). Endereços gratuitos de proxy
podem ser encontrados na página www.cyberarmy.com.

Wingates
O Wingate parece muito com o proxy, mas sua aplicação é um pouco mais perigosa por
dois fatores. Primeiro: o wingate é acessado por telnet, então possibilita a conexão a qualquer
tipo de servidores, sejam telnet, ftp, smtp, pop, ou até algum trojan. Segundo: ao contrário do
anonymizer e do proxy que só pode ser usado uma vez, o wingate não têm limites. Você pode
conectar-se a um wingate chinês, depois utilizá-lo para entrar em um argentino e um italiano.
A cada conexão, você terá um novo endereço IP. Imagine o trabalho para algum
administrador descobrir quem invadiu o sistema. Terá que entrar em contato com a
autoridade de cada país e mesmo assim se ela quiser ajudar. É claro que a cada novo wingate
a conexão vai ficando mais lenta. Só é bom mesmo para quem possui uma conexão de alta
velocidade. Existem alguns scanners que procuram subnets por wingates. Alguns deles
podem ser pegos em ftp.technotronic.com. Para uma lista de wingates, visite o site
www.cyberarmy.com.

Remailers
O Remailer é muito parecido com os outros, mas é somente para se enviar e-mails
anonimamente. Com ele não é preciso utilizar um wingate para se conectar a um servidor
smtp, o próprio remailer já é um servidor anônimo. Mas por via das dúvidas, fique com o
bom e velho wingate pois ele é mais garantido. Antes de sair mandando bombas de e-mail,
saiba que esses serviços geralmente não conseguem manipular muitas mensagens em um
pequeno intervalo. Isso quer dizer que qualquer um que dê uma de esperto e queira inundar a
caixa de e-mails de outra pessoa com centenas de e-mails provavelmente vai ter o seu
endereço IP real revelado.

Shells
Esse é realmente uma mão na roda. Uma vez alguém disse “O bom cracker não é o que
consegue utilizar bem um sistema Unix e invadir uma rede. É o que utiliza Windows e
consegue o mesmo resultado”. Isso é uma verdade. Afinal, o Unix e o Linux podem até ser
mais complicadinhos de se usar mas existem centenas de ótimas ferramentas para eles. É só
pensar que quase todos os exploits disponíveis na Internet hoje são códigod-fonte em C. Já o
Windows não possui tantos recursos assim, o que torna mais difícil alguma invasão usando
esse sistema. Para facilitar existem os shells, máquinas utilizando serviços Unix na Internet
que possibilitam que você se conecte nelas por telnet e ftp e as utilize como se fossem locais.
Execute programas, compile códigos-fonte, utilize o bom e velho VI, use o sendmail e tudo o
mais. Para uma lista de shells consulte a página www.cyberarmy.com ou cadastre-se no
endereço http://cyberspace.org/.

Outdials
Citarei esse método mais como estudo pois ele é bem difícil de ser feito. O Outdial
consiste em se conectar via telnet em algum sistema que possibilite conexão via modem.
Deixe-me explicar melhor: você quer invadir um sistema nos EUA. Não têm dinheiro para se
conectar diretamente (e pagar caro, apesar da prograganda das operadoras), então procura um
outdial, se conecta via telnet e indica o telefone do sistema a ser invadido. O computador que
roda o outdial discará e você conectará no sistema sem pagar absolutamente nada. O
problema é encontrar outdials hoje em dia. Não vai adiantar muito mas se quiser obter uma
lista antiga de outdials, pegue o FAQ da 2600 em www.2600.com.

IP Spoof
A técnica mais antiga e devastadora de invasão de computadores. Trabalha a nível de
protocolo, abaixo da camada dos aplicativos. É como o trojan de ponte, mas bem mais eficaz.
No caso do trojan por exemplo, uma máquina era Windows, o que facilitou a sua instalação.
Mas e uma rede que só existam máquinas Unix, mesmo assim fortemente seguras? Vamos
supor que queremos invadir uma rede militar qualquer com 1000 computadores. O servidor
central aonde ficam os dados confidenciais só se comunica com mais dois computadores,
assim evitando o perigo de acesso pela Internet.
Ora, o erro está aí. Apesar de se comunicar só com duas máquinas, elas têm acesso à rede
externa. Existe então uma relação de confiança entre esses computadores e o servidor. Aí que
entra o IP SPOOF. Ele consiste em estudar com um sniffer as sequencias numéricas do
cabeçalho ip que é enviado à maquina alvo. Supondo que a máquina alvo seja A (a que
queremos invadir) e a que têm relação de confiança com ela seja B. Após aprender a
sequência correta, inundamos a máquina B com pacotes syn malformados (criando um denial
of service para “amordaçá-la”). Então criamos um pacote IP com cabeçalho falso, fingindo
ser a máquina B ( que não pode falar tadinha). Além disso, existem dois tipos de IP SPOOF.

Non-blind spoof
Esse spoof é realizado dentro da própria subnet em que se encontra o atacante. Ele é um
spoof “não cego” pois permite que o atacante receba (usando um sniffer) a resposta da
máquina A para a B após nosso ataque. Supondo que enviamos o comando:
<> >> /etc/rhosts
Esse é um comando para que o computador alvo passe a nos considerar “de confiança” ,
cedendo-nos espaço para quando fizermos um rlogin. Mas como saber se o comando
funcionou? Com o non-blind spoof isso é possível

Criptografia

Do Grego kryptós, "escondido", e gráphein, "escrita") é o estudo dos princípios e técnicas pelas quais a informação pode ser transformada da sua forma original para outra ilegível, de forma que possa ser conhecida apenas por seu destinatário o que a torna difícil de ser lida por alguém não autorizado. Assim sendo, só o receptor da mensagem pode ler a informação com facilidade.

criptografia de chaves pública e privada
A criptografia de chaves pública e privada utiliza duas chaves distintas, uma para codificar e outra para decodificar mensagens. Neste método cada pessoa ou entidade mantém duas chaves: uma pública, que pode ser divulgada livremente, e outra privada, que deve ser mantida em segredo pelo seu dono. As mensagens codificadas com a chave pública só podem ser decodificadas com a chave privada correspondente.
Seja o exemplo, onde João e Marta querem se comunicar de maneira sigilosa. Então, eles terão que realizar os seguintes procedimentos:
1. João codifica uma mensagem utilizando a chave pública de Marta, que está disponível para o uso de qualquer pessoa;
2. Depois de criptografada, João envia a mensagem para Marta, através da Internet;
3. Marta recebe e decodifica a mensagem, utilizando sua chave privada, que é apenas de seu conhecimento;
4. Se Marta quiser responder a mensagem, deverá realizar o mesmo procedimento, mas utilizando a chave pública de João.

PGP

PGP surgiu inicialmente como um produto gratuito, disponível para diversas plataformas. Entretanto, a partir de 2004 o PGP deixou de ser gratuito, o que fez com que muitos usuários de tecnologia migrassem para outros produtos, como o GnuPG (gpg), que é uma versão software livre do PGP, disponível para diversas plataformas. O gpg e o pgp são compatíveis, de modo que, a partir de um dos programas, é possível cifrar, decifrar, assinar e verificar assinaturas entre eles.
O PGP é um programa que utiliza criptografia para proteger a privacidade do e-mail e dos arquivos guardados no computador do usuário. PGP pode ser utilizado como um sistema à prova de falsificações de assinaturas digitais, permitindo comprovação de que arquivos ou e-mails não foram modificados.
O algoritmo de criptografia do PGP utiliza chaves de até 4096 bits. Para um computador tentar "quebrar" a criptografia da mensagem, levaria bastante tempo. Com 1024 a segurança já é muito boa, mas quanto maior o tamanho da chave, mais segura ela será. Só para base de comparação, uma chave de 1024 bits em um algoritmo assimétrico é equivalente a uma chave de 80 bits em um algoritmo simétrico.

SAÍDAS ALTERNATIVAS

Se o que você quer é apenas esconder alguns arquivos na sua máquina para que ninguém os utilize ou encontre, há algumas saídas interessantes. Crie diretórios usando caracteres ALT (capítulo sobre 9, sobre DOS). O Windows não consegue acessar esses diretórios. Esconda arquivos comprimindo-os com GZIP ou TAR e renomeando-os (mude a extensão para DLL e coloque no diretório SYSTEM do Windows, quero ver quem vai encontrar). O que manda, mein freunds, é a imaginação. Tanto que a maioria dos hackers têm mais imaginação do que conhecimentos.

http://www.acmesecurity.org/
http://br-linux.org/artigos/
http://www.gta.ufrj.br/
http://cartilha.cert.br/
http://pt.wikipedia.org/
www.rnp.brhttp://www.clubedohardware.com.br/

Denial of Service

De acordo com a definição do CERT (Computer Emergency Response Team), os ataques DoS (Denial of Service), também denominados Ataques de Negação de Serviços, consistem em tentativas de impedir usuários legítimos de utilizarem um determinado serviço de um computador. Para isso, são usadas técnicas que podem: sobrecarregar uma rede a tal ponto em que os verdadeiros usuários dela não consigam usá-la; derrubar uma conexão entre dois ou mais computadores; fazer tantas requisições a um site até que este não consiga mais ser acessado; negar acesso a um sistema ou a determinados usuários.
Os ataques do tipo DoS mais comuns podem ser feitos devido a algumas características do protocolo TCP/IP (Transmission Control Protocol / Internet Protocol), sendo possível ocorrer em qualquer computador que o utilize. Uma das formas de ataque mais conhecidas é a SYN Flooding, onde um computador tenta estabelecer uma conexão com um servidor através de um sinal do TCP conhecido por SYN (Synchronize). Se o servidor atender o pedido de conexão, enviará ao computador solicitante um sinal chamado ACK (Acknowledgement). O problema é que em ataques desse tipo, o servidor não consegue responder a todas as solicitações e então passa a recusar novos pedidos.
Outra forma de ataque comum é o UPD Packet Storm, onde um computador faz solicitações constantes para que uma máquina remota envie pacotes de respostas ao solicitante. A máquina fica tão sobrecarregada que não consegue executar suas funções.

Danos sem invasõesPor ser um ataque apenas voltado para o consumo de memória ou do processamento, o DoS não é usado para invasão. A intenção do DoS é só chatear. Mesmo assim em grandes empresas o prejuízo pode ser grande. Quando a Amazon.com foi tirada do ar por exemplo, chegou a ficar apenas poucos minutos desligada, mas nesse tempo perdeu muito dinheiro em compras.

Utilizando o broadcast como arma

O broadcast é uma tecnologia que, entre outras coisas, permite transmissão ao vivo pela Web. Para fazer um Ataque DOS , pode-se utilizar vários tipos de programas e softwares zumbis para fazê-lo. Às vezes nem é preciso um programa adicional. Sites como Yahoo e Altavista utilizam webspiders (programa utilizado para procurar informações pulando de link em link) para checar o conteúdo de homepages. Muitos webspiders checando o mesmo servidor ao mesmo tempo pode levá-lo ao colapso. Causar um DoS em algum servidor de e-mail é ainda mais fácil. Utilizando um programa de e-mail bomba (software que envia milhares de e-mails para o mesmo endereço) ou cadastrando o e-mail alvo em serviços de spam (como mensagens de anjos, piadas, notícias e outros) pode encher a sua caixa postal e travar todo o sistema. Ou mande um e-mail para alguém que tenha serviço de resposta automática , utilizando o próprio endereço da pessoa. É assim: mande uma mensagem para fulano@provedor.com.br usando esse e-mail (como se fosse o seu, já que pra mandar e-mails não se precisa de senha). A resposta automática da caixa postal do Fulano mandará mensagens para ele mesmo, travando sua caixa postal. O endereço de broadcast de redes geralmente é o com final 255 (exemplo: 200.202.243.255). A solução para o problema do e-mail é mais simples. Apenas use um bom filtro ou algum programa que impossibilite que se receba mais de três e-mails enviados da mesma origem (endereço IP) durante um certo intervalo de tempo.


SYN flood ou ataque SYN

É uma forma de ataque de negação de serviço em sistemas computadorizados, na qual o atacante envia uma seqüência de requisições SYN para um sistema-alvo.
Quando um cliente tenta começar uma conexão TCP com um servidor, o cliente e o servidor trocam um série de mensagens, que normalmente são assim:
· O cliente requisita uma conexão enviando um SYN (synchronize) ao servidor.
· O servidor confirma esta requisição mandando um SYN-ACK de volta ao cliente.
· O cliente por sua vez responde com um ACK, e a conexão está estabelecida.
Isto é o chamado aperto de mão em três etapas (Three-Way Handshake).
Um cliente malicioso pode não manda esta última mensagem ACK. O servidor irá esperar por isso por um tempo, já que um simples congestionamento de rede pode ser a causa do ACK faltante.
Esta chamada conexão semi-aberta pode ocupar recursos no servidor ou causar prejuízos para empresas usando softwares licenciados por conexão. Pode ser possível ocupar todos os recursos da máquina, com pacotes SYN. Uma vez que todos os recursos estejam ocupados, nenhuma nova conexão (legítima ou não) pode ser feita, resultando em negação de serviço. Alguns podem funcionar mal ou até mesmo travar se ficarem sem recursos desta maneira.
Algumas contra-medidas para este ataque são os SYN cookies. Apenas máquinas Sun e Linux usam SYN cookies.
Ao contrário do que muitos pensam, não se resolve negação de serviço por Syn flood limitando conexões por minuto (como usar o módulo limit ou recent do iptables), pois as conexões excedentes seriam descartadas pelo firewall, sendo que desta forma o próprio firewall tiraria o serviço do ar. Se eu, por exemplo, limito as conecões SYN a 10/seg, um atacante precisa apenas manter uma taxa de SYNs superior a 10/s para que conexões legítimas sejam descartadas pelo firewall. O firewall tornou a tarefa do atacante ainda mais fácil. Em "Iptables protege contra SYN Flood?" tem uma boa descrição dos motivos pelos quais uma configuração de firewall não resolve.
Um ataque de Syn Flood é feito com os ips forjados (spoof), para que o atacante não receba os ACKs de suas falsas solicitações. Mas é mais difícil de ocorrer o travamento do que o ataque por syn.

OOB

Ataque Out-of-Band ou popularmente conhecido como WinNuke. Consiste em mandar pacotes malformados para uma porta Netbios do Windows. Geralmente usado nas portas 135, 137 e 139, essa última sendo a mais usada. O sistema não consegue lidar com os pacotes, trava e mostra a famosa tela azul de erro. No Windows 95 esse ataque era mais eficaz, agora está se tornando obsoleto.
Smurf
Envia pacotes ICMP (protocolo que informa condições de erro) spoofados para centenas, talvez milhares de sites. Envia-se os pacotes com o endereço IP da vítima, assim fazendo com que ela receba muitos pacotes ping de resposta ao mesmo tempo, causando um travamento total. Ainda não existe uma proteção eficaz contra esse tipo de ataque. Um programa bom (para Windows) que realiza o smurf é o WinSmurf.

Softwares Zumbis

Programas que automatizam o processo de causar um DoS em alguma máquina. São instalados em computadores estratégicos (como universidades, centros de pesquisa e outros) que possuem conexão rápida à Internet e configurados para atacar ao mesmo tempo. Um programa muito utilizado para isso é o Tribal Flood Network. Trojans também são largamente usados para esse fim.
Agora um pouco sobre o programa “Tfn é composta de clientes e programas demónio, que implementar um rede de negação de serviço distribuído ferramenta capaz de travar ICMP cheias, inundações SYN, UDP inundação, estilo e Smurf ataques, assim como fornecendo uma "on demand" raiz shell vinculado a uma porta TCP.”

Diminuindo o impacto causado pelos ataques

O melhor procedimento para se adotar é procurar os sites do fabricante do sistema operacional e pegar atualizações para as falhas. Como é o caso do OOB(Winnuke). A Microsoft já colocou um patch de correção em sua homepage. Evitar o máximo de uso desnecessário da memória, assim dificultando um pouco os ataques. E sempre que puder, aumentar a capacidade de processamento e a memória RAM do sistema. Isso não vai impedir os ataques pois alguns não têm solução, mas só funcionam mesmo quando utilizados em larga escala. O Smurf por exemplo, para derrubar um computador pessoal é fácil, mas um grande host para cair seria preciso muitas pessoas realizando o ataque ao mesmo tempo. Ou a utilização do software zumbi. A não ser que tenha comprado briga com alguns crackers, pode ficar tranqüilo.


Bibliografia

Livro Guia do Hacker
Cd: do aluno
www.peer1.com
http://pt.wikipedia.org/
staff.washington.edu
http://www.forum-invasao.com.br/
http://josevalter.com.br/
http://www.google.com.br/
http://www.cade.com.br/
http://www.forum-invasao.com.br/
http://josevalter.com.br/

Ferramentas TCP/IP

Programas úteis:

São muitos programas úteis para TCP/IP, muito vem ate no Windows e também roda no Linux e no Unix que são bastante úteis para configura, alterar o protocolo e ate invadir sistemas operacionais e servidores. Segue alguns exemplos de programas:
· DirectUpdate 3.5.8
Automaticamente atualiza o IP so servidor DNS para o seu próprio IP, mesmo que seja dinâmico, pois checa periodicamente, e assim que detecta um novo IP, atualiza seu nome de domínio.
· Gerenciadores de Conexão e Medidores de Velocidades >>>
VitalSuite,
Vital Agent IT,
Traffic Quota
· Verificação de bloqueios de Portas
PortDetective
Port Probe
Shields Up
· Teste seu Farewall
Mycio
Webtrens Security Analyser
· Traçadores de Rota
Analogx
NeoTrace
VisualPoute

ARP (Address Resolution Protocol):

O ARP é outro protocolo essencial, porém pouco conhecido, que trabalha em conjunto com o TCP/IP. O ARP (Address Resolution Protocol) é uma forma simples de descobrir o endereço MAC de um determinado host, a partir do seu endereço IP e altera-los também. Sem ele, diversos serviços, incluindo o DHCP, não funcionariam, Exemplos:
· arp –a [endereçoIP] [-N IPÌnterface]
· arp –s endereçoIP endereçoMAC [IPInterdace]
· arp –d endereçoIP [IPInterface]

Parâmetros:

EndereçoIP: Especifica o endereço IP a resolver ou alterar.
EndereçoMAC: Especifica o endereço MAC a acrecentar ao cache do ARP. O endereço MEC é composto por 6 Bytes separados por hífen.
IPInterface: Especifica o endereço IP da placa de rede cuja tabela ARP deverá ser alterada.
-a: Exibe as entradas de cache do ARP.
-g: Exibe as entradas de cache do ARP.
-d: Exclui do cache do ARP o Host especificado por endereçoIP. Se IPIterface for especificado, exclui o host do cache da placa de rede indicada.
-s: Apresenta ao cache do ARP uma associação entre endereçoMAC e endereçoIP. Se IPInterface tiver sido Especificado, acrescenta a associação no cache do ARP da placa de rede indicada por IPInterface.
-N: Especifica o endereço IP da placa de à qual o comando se aplica.


FTP (File Transfer Protocol)
É uma forma bastante rápida e versátil de transferir arquivos (também conhecido como ficheiros) de um ou para um computador remoto. Exemplo:
· ftp [ -v] [-d] [-i] [-n] [-g] [-s:nomearq] [-a] [-w:tamanho] [computador]

Parâmetros:

-v : Elimina as mensagens de resposta do servidor. –d: Ativa o modo de depuração, exibindo os comandos FTP enviados e recebidos. –i: Desativa a confirmação para a transferência de cada arquivo em operações com múltiplos arquivos. –n: Elimina o login automático na conexão inicial. –g: Desativa o globbing, que permite o uso de caracteres de máscara (*, ?) em nomes de arquivos.
–s: Especifica um arquivo de texto contendo os comandos FTP a serem executados automaticamente. –a: Utiliza qualquer placa de rede para estabelecer a conexão com o servidor FTP.
–w: Define o tamanho do buffer de transferência (o default é de 4 KBytes).

IPCONFIG
Exibe todos os valores de configuração de rede TCP/IP atuais e atualiza as definições do protocolo de configuração. Utilizado sem parâmetros exibe endereços de IP, máscara de seub-rede e gatewy. Exemplo:
· ipconfig [/? /all /release [adaptador] /renew [adaptador]]

Parâmetros:/all: Exibe informações detalhadas de IP para as placas de rede instaladas. Além do endereço IP, da máscara de sub-rede e do default gateway,são exibidos também os endereços dos servidores DHCP, WINS e DNS./release: Libera o endereço IP obtido para uma placa de rede através de um servidor DHCP. Se a placa de rede não for especificada, libera os endereços IP obtidos para todas as placas de rede do computador. /renew: Renova um endereço IP obtido para uma placa de através de um servidor DHCP. Se a placa de rede não for especificada, renova os endereços IP obtidos.
Adaptador: Especifica uma placa de rede na renovação ou liberação de um endereço IP obtido através de um servidor DHCP. Para saber os nomes associados às placas de rede, utilize o comando Ipconfig sem parâmetros.
/flusshdns: Esvazia e repõe o conteúdo da cache de resultado do cliente de DNS.
/redisterdns: Inicia o registro dinâmico manual dos nomes de DNS e endereços IP configurados num computador.

NBTSTAT
Exibe as estatísticas do protocolo NetBIOS através do TCP/IP, tabelas de nomes de NetBIOS para o computador local e para computadores remotos e a cache de nomes de NetBios. Exemplo:
· nbtstat [-a hostname] [-A endereço IP] [-c] [-n] [-R] [-r] [-RR] [-S] [-s] [intervalo] [-?]

Parâmentros:
-a: Exibe a tabela de nomes NetBIOS registrados em um computador (determinado pelo hostname). -A: Exibe a tabela de nomes NetBIOS registrados em um computador remoto (determinado pelo endereço IP). -c: Exibe a lista de nomes NetBIOS (e endereços IP) do cache NetBIOS do computador.
-C: Exibe a lista de nomes NetBIOS (e endereços IP) do cache NetBIOS do computador para cada placa de rede.
-n: Exibe os nomes NetBIOS e os serviços registrados no computador local.
-r: Exibe os nomes NetBIOS resolvidos através de WINS ou mensagens broadcast. -R: Recarrega o cache de nomes NetBIOS utilizando as entradas no arquivo LMHOSTS com o parâmetro #PRE.
-RR: Envia pacotes de liberação de nomes ao WINS e atualiza a lista de nomes. -s: Exibe as sessões TCP/IP estabelecidas no computador (usando nomes de host do arquivo HOSTS). –S: Exibe as sessões TCP/IP estabelecidas no computador (usando endereços IP).
Intervalo: Especifica o tempo (em segundos) de pausa intermediária para reexibir as informações selecionadas. Pressione Ctrl+C para interromper a exibição.

PING
Utilizado para testar a conexão com outro host. O Ping envia uma mensagem ao host remoto e aguarda uma resposta contendo a mesma mensagem (echo). Se essa resposta chegar, presume-se que o host esteja ligado ou funcionando. Exemplo:
· ping endereçoIP hostname [chaves]

Parâmetros:

-a: Realiza a resolução DNS reversa, informando o hostname do host. -n número: Define o número de comandos Ping que serão executados.
-l tamanho: Define o tamanho da mensagem utilizada no comando Ping (default=32 bytes).
-f: envia a mensagem sem fragmentá-la. -i ttl (Time To Live): Define o máximo número de hops pelos quais os pacotes podem passar (1-255).-j hosts: Rota de origem livre usando as entradas em hosts. -k hosts: Rota de origem restrita usando as entradas em hosts.
-r número: Registra a rota dos pacotes. Define quantos hops serão armazenados (máximo=9).-s número: Timestamp do número de hops especificado. -v TOS: Especifica o tipo de serviço a ser utilizado.
-t: Emite comandos Ping continuamente até ser interrompido. Normalmente Ctrl+C é utilizado para interromper. –w: Define o tempo máximo que o comando aguardará por uma resposta (timeout).

TELNET (Protocolo de Terminal Virtual)
É o protocolo Internet para estabelecer a conexão entre computadoreas. Através dessa conexão remota, pode-se e executar programas e comandos em outra máquina. Programas para Telnet:

· CommNet
· NetTerm
· NCSA Telnet

TRACERT
Verifica quantos e quais computadores os nossos dados passsam até chegar a um destino especifica. Exemplo:
· tracert google.com

Parâmetros:

-d: Não converte os endereços em nomes de host. -h: Número máximo de hops (TTL) para encontrar o destino. -j: Rota de origem livre com a listahops. -w: Timeout, ou tempo máximo para resposta (em milissegundos). destino: Nome do host de destino (ou endereço IP).

NETSTAT
Apresenta ligações TCP ativas, portas em que o computador está. Se for utilizado sem parâmetros, o netsat apresenta ligações TCP ativas. Exemplo:
· netstat[-a] [-e] [-n] [-o] [-pProtocolo] [-r] [-s] [intervalo]



Parâmetros:

-a: todas as ligações TCP ativas e as portas TCP e UDP em que o computador está
-e: estatísticas de ethernet, tais como o número de bytes e pacotes enviados e recebidos.
-n: mostra as ligações TCP ativas, embora os endereços e números de partas sejam expressas numericamente e não se tente determimar nomes.
-o: mostra ligações TCP ativas e inclui o ID do processo de cada ligação.
-p Protocolo: mostra as ligações para o protocolo especificado por Protocolo. O Protocolo pode ser tcp, udp, tcpv6 ou udpv6 e ip.
-s: apresenta estatísticas por protocolo.
-r: apresenta o conteúdo da tabela de encaminhamento IP.Intervalo: Volta a apresentar as informações selecionadas a cada Intervalo de segundos.

Definições de segurança da Informação

Estamos seguros?
A fragilidade dos sistemas informatizados não é nenhuma novidade. A décadas, celebridades como Robert Morris Jr, Capitão Crunch, Kevin Poulsen e Kevin Mitnick, esses últimos dois mais recentes, fazem com que as pessoas se preocupem e tenham um medo maior do computador. Esse medo virou pânico em pleno século XXI. Piratas novamente existem, mas sua arma não é mais a espada, é o fax-modem. Graças à essa maravilha do mundo moderno, dados podem navegar por linhas telefônicas, cabos e satélites, diminuindo as distâncias entre os povos e iniciando a nova era digital. Ladrões assaltam bancos confortavelmente no Havaí enquanto desviam o dinheiro para a Suíça. A espionagem industrial é um dos problemas agravados. Ela sempre existiu, mas com a facilidade de acesso à Internet, qualquer pessoa pode conseguir dados confidenciais e vendê-los para concorrentes.
Diariamente, páginas e páginas são tiradas do ar por piratas digitais. Grupos de hackers e crackers brasileiros, como Prime Suspectz e Inferno.br (esse último já extinto), junto a outros centenas pelo mundo realizam façanhas extraordinárias, como invadir vários sites da Microsoft, a Nasa, FBI, Interpol e muitos outros. Os grupos brasileiros atualmente são os que mais invadem homepages em todo o mundo, fazendo com que a própria Nasa restrinja acesso ao Brasil em algumas de suas páginas. Mas nem todos são ruins. Existem grupos que se especializam em criar ferramentas e ajudar usuários comuns, como o UHOL. Toda essa fama já criou até um novo termo no mundo da segurança: o Backer. Ou seja, Brazilian Hacker (Hacker Brasileiro). Isso demonstra a fragilidade da situação. Respondendo à pergunta do tópico: estamos seguros? Com certeza que não.

Características de um sistema inseguro
A segurança de sistemas existe por um conjunto de fatores. Engana-se quem pensa que somente por utilizar uma plataforma Unix ao invés de Windows está seguro. Ou que é só colocar um anti-vírus e um firewall na sua empresa que está tudo bem. A proporção do problema é bem maior. Geralmente os sistemas mais vulneráveis da rede possuem dois pontos em comum:

Administrador
O ponto chave e essencial para qualquer sistema de computador é o administrador. Ele é responsável por fazer com que tudo corra perfeitamente. Checa os dados, administra usuários, controla servidores, checa logs, tudo todos os dias. Acontece que a grande maioria dos administradores hoje não se preocupa com a segurança como deve. Logo terá problemas com o seu sistema, não importa qual seja. É como se fosse mãe e filho. Se uma mãe alimenta seu filho, cuida dos seus deveres de casa, compra roupas novas, dá brinquedos mas não é capaz de comprar um seguro de vida, ou pior, zela tão pouco pela segurança dele que ao sair de casa deixa as portas ou janelas abertas. Essa não pode ser uma boa mãe. Mesmo que uma rede utilize um sistema operacional que contenha muitas falhas, os bons administradores todo dia estarão checando por falhas descobertas e corrigindo-as. Já os outros provavelmente vão ficar em algum chat comendo sanduíches.
Sistemas operacionais
Como eu disse anteriormente, não há realmente um sistema que seja melhor que o outro. Existem vantagens e desvantagens de cada um. Tudo bem que alguns possuem erros muitos grandes, mas podem facilmente ser corrigidos. A intenção do sistema também importa. Não adianta ter uma rede e utilizar Windows 98 ou ME. Os recursos de segurança deles são muito escassos, pois foram feitos para o usuário comum e não para o ambiente empresarial. Não adianta também instalar o
Digital Unix, FreeBSD ou AIX se o seu administrador só possui experiência em Lantastic. O sistema também vai depender do tipo de rede que você terá. Se você terá um servidor Web ou algum tipo de acesso externo, seria melhor utilizar o Linux ou o Windows NT. Se for uma rede interna somente, utilize Novell Netware, que ainda não fez a sua história quanto à Internet, mas ainda é insuperável nas redes locais.
A segurança ao longo da história
Anos atrás, os operadores de um computador ENIAC se depararam com uma coisa curiosa. Um inseto havia ficado preso dentro da máquina e estava atrapalhando o funcionamento da mesma. Daí surgiu o termo bug (inseto) que virou sinônimo de falha. Hoje quando se descobre um erro em algum programa, se diz: "novo bug descoberto". De lá pra cá, as coisas evoluíram muito, mas os bugs continuam a existir. Muitos deles são frutos da história do próprio programa ou sistema. O Windows por exemplo. O Windows NT foi construído a partir do zero, mas o Windows ME não. Desde o início da criação de sua primeira interface gráfica, a Microsoft vêm tendo problemas com erros graves em seu sistema operacional. Já o sistema Unix, foi criado pelos desenvolvedores da linguagem C, para ser um sistema versátil e poderoso. Para conhecer melhor sobre a história de cada sistema, leia a seção sistemas operacionais .
A Internet também têm seus problemas ligadas à história de sua origem. Desde que se chamava Arpanet e foi criada pelo exército americano para resistir à guerra fria, a rede evoluiu muito e foram criados novos serviços como E-mail, World Wide Web, Gopher, Wais e outros. Milhões de computadores se juntaram a ela e seus recursos são cada vez mais sofisticados. Mas alguns problemas bem antigos ainda prejudicam hoje. Uma falha na implementação do TCP/
IP( conjunto de protocolos em que a Internet se baseia) por exemplo, possibilita que o ataque de Spoof aconteça.

Invasores digitais
Todos os dias surgem notícias sobre piratas digitais na televisão e na Internet. Um pirata invadiu o computador de um sistema de comércio eletrônico, roubou os números de cartão, comprou Viagra e mandou entregar na casa do Bill Gates. Outro conseguiu derrubar sites famosos como YAHOO, CNN, AMAZON e ZDNET. Mais recentemente um grupo estrangeiro conseguiu tirar mais de 650 sites do ar em um minuto. Para entender como se organiza a hierarquia virtual da Internet, vamos estudar seus principais integrantes:
Hackers
Na verdade, os hackers são os bons mocinhos. Para os fãs de Guerra nas Estrelas, pensem no hacker como o cavaleiro jedi bonzinho. Ele possui os mesmos poderes que o jedi do lado negro da força (cracker) mas os utiliza para proteção. É um curioso por natureza, uma pessoa que têm em aprender e se desenvolver um hobby, assim como ajudar os "menos prevalecidos". Um bom exemplo real foi quando o cracker Kevin Mitnick invadiu o computador do analista de sistemas Shimomura. Mitnick destruiu dados e roubou informações vitais. Shimomura é chamado de hacker pois usa sua inteligência para o bem, e possui muitos mais conhecimentos que seu inimigo digital. Assim facilmente montou um honeypot (armadilha que consiste em criar uma falsa rede para pegar o invasor) e pegou Kevin. Infelizmente a imprensa confundiu os termos e toda notícia referente a baderneiros digitais se refere à hacker.
Crackers
Esses sim são os maldosos. Com um alto grau de conhecimento e nenhum respeito, invadem sistemas e podem apenas deixar a sua "marca" ou destruí-los completamente. Geralmente são hackers que
querem se vingar de algum operador, adolescentes que querem ser aceitos por grupos de crackers (ou script kiddies) e saem apagando tudo que vêem ou mestres da programação que são pagos por empresas para fazerem espionagem industrial. Hackers e crackers costumam entrar muito em conflito. Guerras entre grupos é comum, e isso pode ser visto em muitos fóruns de discussão e em grandes empresas, as quais contratam hackers para proteger seus sistemas.
Phreakers
Maníacos por telefonia. Essa é a maneira ideal de descrever os phreakers. Utilizam programas e equipamentos que fazem com que possam utilizar telefones gratuitamente. O primeiro phreaker foi o Capitão Crunch, que descobriu que um pequeno apito encontrado em pacotes de salgadinhos possui a mesma freqüência dos orelhões da AT&T, fazendo com que discassem de graça. Um programa comum utilizado é o blue box, que gera tons de 2600 pela placa de som, fazendo com que a companhia telefônica não reconheça a chamada. Outra técnica muito usada principalmente no Brasil é a de utilizar um diodo e um resistor em telefones públicos. Ou de cobrir o cartão telefônico de papel alumínio para que os creditos não acabem. Técnicas como essas são utilizadas no mundo inteiro. O phreaker é uma categoria à parte, podem ser hackers, crackers ou nenhum dos dois. Alguns phreakers brasileiros são tão avançados que têm acesso direto à centrais de telefonia, podendo desligar ou ligar telefones, assim como apagar contas. Um dos programas muitos usados para isso é o ozterm, programinha de terminal que funciona em modo dos. Por sinal, muito difícil de encontrar na net.
Funcionários
Outro problema grave. 60% das invasões hoje acontecem de dentro da própria empresa, por funcionários insatisfeitos ou ex-funcionários que querem vingança. Utilizam-se do conhecimento adquirido e
arrasam com dados do sistema. Copiam coisas do seu interesse (como o banco de dados que possui o telefone da loira do setor B) ou instalam joguinhos em rede que podem comprometer a segurança, pois com certeza não se preocupam em passar anti-vírus. Utilizam trojans, scanners e sniffers para capturar o que lhes interessa. Firewall é ineficaz contra eles. Afinal, do que adianta a grande muralha da china se algum soldado é o traidor?
Mitos e fantasias
O maior mito existente na Internet é que o cracker pode invadir qualquer computador na hora que quiser. Não é bem assim. Invasões por ICQ por exemplo, pura besteira. Só era possível em versões antigas e mesmo assim se o servidor web que vêm com o programa estivesse ativo. Isso porquê para conseguir acesso ao interpretador de comandos do sistema por alguma porta, têm de existir um serviço próprio para isso. Para se invadir um computador pessoal, só existem duas maneiras: trojans e netbios. A não ser que seja um computador que rode muitos serviços (FTP, Web, Telnet), o perigo é mínimo.
Outro mito é o que o hacker e o cracker são vistos como gênios da informática. Bom, os de antigamente realmente eram e ainda existem alguns poucos mas a grande maioria que se diz "hacker" hoje em dia se aproveita das ferramentas encontradas na Internet. Nem programar sabem. São os famosos Script Kiddies, sub-categoria de crackers. Não têm um alvo certo, vão tentando invadir tudo que vêm na frente. Pior que eles só os Lamers, aqueles que chegam nos chats anunciando "vou te invadir, sou o melhor" mas acaba desistindo pois não consegue descompactar nem um arquivo ZIP.
Engenharia social
A engenharia social é uma tática muito usada pelos crackers, desde o início dos tempos. É o que a lei chama de estelionato. Consiste em enganar uma pessoa para se conseguir vantagens. Como no caso do indivíduo que liga para o provedor e pergunta: "Por favor, perdi minha senha de Internet. Poderia olhá-la para mim?". Alguns provedores pedem documentação para comprovar que é o dono da conta, outros (com funcionários insatisfeitos em sua maioria) não ligam, passam até o número do cartão de crédito de algum usuário se lhe pedirem. Esse método é utilizado também para conseguir informações sobre
uma certa pessoa.
Vá a uma companhia telefônica e peça a segunda via de um telefone qualquer. Na grande maioria das vezes não lhe pedem documento e você consegue o endereço residencial de qualquer pessoa. Alguns filmes como Hackers e Caçada Virtual mostram bastante essa técnica.
Como conseguir uma política eficiente de proteção
Leia muito sobre as novidades do mundo da segurança. Veja se o seu administrador realmente se preocupa com a proteção do sistema ou contrate alguém somente com essa função. Faça sempre backup dos logs e varredura do sistema por falhas. Cheque o computador dos funcionários procurando por programas escondidos e passe um bom anti-vírus neles. Se for usar algum programa de segurança, como firewalls, detectores de invasão e outros, dê preferência para aqueles mais conhecidos e confiáveis. Tenha certeza de que quando despedir alguém, mudar as senhas de acesso ao sistema. Nunca discuta com um cracker (para o seu próprio bem). E o mais importante: saiba que apesar de tudo isso, nunca vai estar totalmente seguro. Nenhum sistema é 100% à prova de falhas. Mas pelo menos você pode diminuir muito o risco.

Footprinting

Footprinting é a arte de obter informações sobre um sistema alvo usando táticas “seguras”, sem perigo de detecção, e que pode dar muitas informações sobre ele. Tais como visitar o site da empresa em que se quer invadir e ler as seções para ver se encontra algo de interessante.
O footprinting é o nome dado ao ato de realizar comandos remotos ao alvo, ou sistema remoto, com objetivo de recolher informações tais como, qual Sistema Operacional usa, qual portas ficam abertas para entrada, qual sistema de defesa usa, entre outros.E para realizar o footprinting, você deve usar todas as ferramentas de comandos remotos que seu SO disponibiliza, os sistemas UNIX possuem muitos, os win3.11, win95, win98, winME, possuem poucos, o winNT e win2000 possuem um service que podem ser instalado separadamente, que possue ótimas ferramentas para realizar footprinting.Existe duas ótimas ferramentas que ajudam muito a realizar o footprinting em SO linux, que são o SATAN e o nmap. O SATAN é uma ferramenta que foi construída para axiliar na análise de sistemas remotos, que pode ser usado tanto para previnir quando para ajudar a atacar, pois ajuda a fazer o footprinting. Bem, o que o SATAN faz é simplesmente executar vários (pra não dizer quase todos) comandos remotos que o linux tem, no sistema alvo e depois mostrar o resultado, assim facilida muito, em vés da pessoa ter que ficar dando whois, finguer, ping, tracert, entre outros, executa o SATAN no host alvo e pronto. O nmap, é simplesmente uma ferramenta indispensável para quem faz footprinting através de sistamas linux, ele é um super scan, capaz de identificar o SO do host, e conseguir outros dados importantíssimos. Mais informações sobre o sistema podem ser obtidas através de uma técnica muito boa que é a engenharia social, que é apenas usufruir de talentos como mentira e cara-de-pau, para conseguir informações, tipo, você pode revirar o lixo da empresa a ser invadida, ou criar mentiras, mandar e-mails falsos se fazendo passar por alguém importante e pedindo dados do sistema, (use algum sistema de anonimato), e tentar descobrir algo, isso não se ensina, cada um aprende sozinho.
http://www.vips_ma.kit.net/

Whois
O Whois é excelente para obtermos informações sobre sites. Bancos de dados como o Internic (www.internic.org) mantêm informações interessantes sobre os domínios, tais como nome do dono, endereço e telefone. No Brasil, o orgão responsável por essa tarefa é a Fapesp e podem ser feitas pesquisas no seguinte endereço: http://www.registro.br/.

Análise de homepages
Consiste em entrar no site, ler tudo quanto é página, homepages pessoais de funcionários (se for uma empresa), absolutamente tudo. Parece incrível, mas muitos lugares mostram até configurações da rede em suas páginas. O código em html também deve ser analisado a procura de comentários. Muitos deles podem ser extremamente úteis. Cheque todos os links, observe os endereços em que as páginas se posicionam. Já dá para começarmos o montar um
mapas da rede (antes de fazer um ataque direto scanneando mais tarde).

Pesquisa geral
Use ferramentas de busca como o Altavista para descobrir outras páginas com o nome do domínio atacado. Pesquise em jornais notícias em jornais e revistas sobre o “inimigo”, tais como se ele já foi atacado, se já sofreu algum tipo de invasão, etc. Tente conhecer pessoas que trabalham lá, ter uma noção de quantos empregados existem tomando conta daquele servidor. Enfim, quanto mais você puder descobrir na pesquisa geral, mas fácil o seu trabalho ficará depois.

Sniffers

Os sniffers ou farejadores são o tipo de programas mais usados para conseguir senhas em uma rede. Eles ficam residentes na memória como um cavalo de tróia, analisando todo o tráfego que ali passa. Qualquer entrada ou saída de dados é capturada, seja em um servidor FTP, uma página de chat ou um e-mail digitado. Sempre foram mais usados em sistemas Unix, mas ultimamente todos os outros sistemas contam com poderosos sniffers. Desde sniffers comercias como o excelente Íris até sniffers mais simples, como o tcpdump e sniffers de trojans.

Sniffers variam significamente em funcionalidade e projeto. Alguns analisam somente um protocolo, enquanto outros podem analisar centenas.
Como uma regra geral, sniffers mais modernos analisarão pelo menos os seguintes protocolos:

* Ethernet padrão (Ethernet é uma tecnologia de interconexão para redes locais - Local Area Networks (LAN) - baseada no envio de pacotes )
* TCP/IP
* IP
* DECNet (DECnet é o nome coletivo para os produtos de comunicação (software e hardware) que permite a um sistema operacional DIGITAL participar em uma rede.)

Em redes locais os dados trafegam de uma máquina para outra ao longo do cabo em pequenas unidades chamadas frames. Esses frames são divididos em seções que carregam informações específicas. Os sniffers impõem um risco de segurança por causa da forma como os frames são transportados e entregues. Cada estação de trabalho em uma rede local tem seu próprio endereço de hardware. Esse endereço identifica de maneira exclusiva essa máquina em relação a todos os outros na rede. Quando se envia uma mensagem através da rede local, os pacotes são enviados para todas as máquinas disponíveis (broadcast)
Sob circunstâncias normais, todas as máquinas na rede podem "ouvir” esse tráfego, mas somente elas responderão aos dados endereçados especificamente a elas. (Em outras palavras, a estação de trabalho A não irá capturar dados destinados à estação de trabalho B. Em vez disso, a estação de trabalho A simplesmente ignora esses dados.)
Se uma interface de rede da estação de trabalho está em modo promíscuo(é um tipo de configuração de recepção, na qual todos os pacotes que trafegam pela rede ao qual o receptor está conectado são recebidos pelo mesmo, não recebendo apenas os pacotes endereçados ao próprio), entretanto, ela pode capturar todos os pacotes e frames na rede. Uma estação de trabalho configurada dessa forma (e o software sobre ela) é um sniffer.
Os sniffers representam um alto nível de risco, porque:
* Os sniffers podem capturar senhas
* Os sniffers podem capturar informações confidenciais
* Os sniffers podem ser utilizados para abrir brechas na segurança de redes vizinhas ou ganhar acessos de alto nível.
De fato, a existência de um sniffer não autorizado em sua rede pode indicar que seu sistema já está comprometido.
Os sniffers capturarão todos os pacotes na rede, mas na prática, um atacante tem de ser altamente seletivo. Um ataque de sniffer não é tão facil. Ele requer algum conhecimento de rede.
Simplesmente configurar um sniffer e deixá-lo trabalhando levará a problemas porque mesmo uma rede de cinco estações transmite milhares de pacotes por hora. Dentro de um breve tempo, o arquivo de saída de um sniffer pode facilmente encher uma unidade de disco rígido (se você capturar todos os pacotes)
Para superar esse problema, os crackers geralmente farejam somente os primeiros 200-300 bytes de cada pacote. Os nomes de usuário e senha estão contidos dentro dessa parte, o que é realmente tudo que a maioria de crackers querem.
A tecnologia de segurança desenvolveu-se consideravelmente. Alguns sistemas operacionais agora empregam criptografia no nível de pacote e, portanto, mesmo se um ataque de sniffer consiguir obter dados valiosos, esses dados são criptografados. Isso representa obstáculo adicional a ser ultrapassado somente por aqueles com conhecimento mais profundo de segurança, criptografia e rede, ou um motivo de desistência para outros.

Filtrando pacotes na rede
Muitas pessoas pensam que o sniffer pode ser usado em seu computador para capturar pacotes do seu provedor. Não é bem assim. O programa têm de estar instalado no computador central de uma rede em que se quer capturar pacotes. Utilizando o exemplo do provedor, todos os seus usuários realizam o processo de autenticação em um servidor antes de conectarem-se à rede. Assim, primeiro é necessário conseguir invadir o servidor e depois colocar o sniffer. Ele irá monitorar absolutamente tudo, às vezes até informações pessoais dos usuários, como endereço e telefone. Como são muitos os pacotes em uma rede, o farejador é
configurado para obter somente o essencial e importante: as senhas.

Capturando senhas
A principal preocupação de um operador é ou pelo menos deveria ser, as senhas. Afinal, por mais seguro que o sistema seja, uma senha adquirida maliciosamente é sempre perigosa. O único interesse dos crackers é capturar logins e senhas. Nem se encontrar um e-mail de sua namorada para o amante o cracker deixará de se concentrar em sua tarefa. Existem algumas opções que ainda possibilitam filtrar os tipos de pacotes recebidos. Vamos supor que eu quero descobrir todas as senhas que comecem com “C”. Após configurar o sniffer e esperar, ele começa a enviar os pacotes recebidos já “selecionados” com o que desejou.

Sniffers em trojans
Alguns trojans como o Back Orifice possuem sniffers como plug-ins (partes extras que podem ser anexadas ao programa). O Buttsniffer, um dos melhores plug-ins para o BO monitora absolutamente tudo no sistema Windows. Além de ter um arquivo executável à parte, podendo funcionar sem depender do Back Orifice. Alguns outros trojans mais novos já possuem o sniffer embutido. A tendência do sniffer e do trojan é de se tornarem uma ferramente apenas, já que ambos têm características parecidas. O trojan de e-mail k2ps é um bom exemplo disso. Ele monitora e envia todo tipo de senha importante por e-mail (na verdade, alguns o consideram um keylogger que é um programa que loga tudo que se escreve no teclado, eu não o considero assim pois ele é seletivo: só envia coisas importantes).

Roteadores
Alguns sniffers conseguem obter dados direto do roteador. Mesmo que seja instalada uma proteção eficaz no sistema operacional, como um anti-sniffer, não adiantaria de nada se o programa estiver pegando os dados diretamente roteados. A correção têm de ser feita atualizando-se o próprio roteador. O ideal seria procurar a página do fabricante e verificar se existe alguma dica ou informação sobre o assunto. Afinal, o seguro morreu de velho.

Anti-Sniffers
Como o próprio nome diz, são programas que detectam tentativas de sniffing. Ficam residentes na memória como um anti-trojans, aguardando o invasor tentar algo. Há vários tipos de anti-sniffers, alguns bem ruinzinhos e outros muito bons. Uma boa opção dos softwares são fingir o envio de dados, para que o cracker engane-se e pense que realmente está conseguindo as senhas. Se você têm sofrido muitas invasões, certificou-se de não ser por falhas ou trojans, monte um honeypot com um anti-sniffer. Com certeza deve pegar alguma abelhinha.




http://penta.ufrgs.br/rmariano/r1.html
http://www.forcehacker.kit.net/snif.html
http://pt.wikipedia.org/wiki/Ethernet
Guia-do-Hacker-Brasileiro

Conceito de crackear

Crackear no mundo da segurança significa se utilizar de alguma técnica ou ferramenta para se descobrir algum dado criptografado ou uma senha. Atualmente é muito comum o“cracking”.Sistemas simples de criptografia também são fáceis de serem quebrados. O Windows 3.11utilizava o Trumpet Winsock para a conexão com a Internet. Após cerca de duas horas brincando com ele, descobri como sua criptografia funcionava. Os antigos joguinhos de DOS que precisavam de senhas, tal como Prince of Pérsia e Stunts são também facilmente crackeados. E por aí vai. O maior problema relacionado à segurança é com o descobrimento de senhas. É extremamente fácil de se descobri-las devido ao constante aumento da velocidade dos computadores e dos cada vez mais frágeis sistemas operacionais. Um simples trojan ou um sniffer podem conseguir quebrar uma senha facilmente. Existem também alguns outros recursos utilizados por crackers, como utilização de wordlists e bruteforce.
Wordlists
São listas de palavras criadas especialmente para se descobrir senhas. Quando você têm em mãos um arquivo de senha do UNIX com o sistema de criptografia DES, por exemplo. A criptografia é inquebrável, mas você pode utilizar programas como o famoso Cracker Jack ou mesmo o Shadow Scan. Eles pegam um arquivo criado por você com listas de palavras comuns (geralmente utilizadas como senhas, tal como alien3, tricolor, secreta, 101010 e outras) o criptografa utilizando o mesmo sistema das senhas de Unix (DES) e compara os
arquivos. Se o programa encontrar algum usuário em que a criptografia tenha ficado exatamente igual, o nome lhe é informado.
O processo de bruteforce
O método da força bruta é muito demorado. Pode levar horas, e as vezes dias. Mas continua sendo de longe o mais eficaz. Utiliza-se um programa que tenta conectar-se a um sistema utilizando todas as combinações possíveis de letras e números. Para um cracker que possui uma conexão de 56 kbps e utiliza um Pentium III 800, é improvável que consiga descobrir a senha. Para se ter alguma chance deve-se utilizar uma conexão dedicada (à cabo, via rádio e outras) e vários computadores. Tendo 20 computadores rápidos trabalhando cada um em um setor (um tentando descobrir senhas começadas por a, outro por b, outro por c, etc...) o tempo para se conseguir o prêmio diminuirá consideravelmente. Existem alguns
casos em que a força bruta é mais rápido, como quando se tenta quebrar um arquivo de senhas localmente. Pode ser um passwd do Unix ou um mais fácil de se quebrar ainda, o PWL do Windows. O programa CAIN ,ShadowScan, Brutus e NAT (Netbios Auditing Tool) são bons programa para realizar o processo de bruteforce.
Senhas padrões
Senhas padrões são senhas que já vêm configuradas com o sistema ou algum utilitário de atualização as configura. Existem não só nos sistemas operacionais mas também em dispositivos de hardware como roteadores. Use-a para checar se o seu sistema está vulnerável ou crie uma wordlist com as senhas padrões mais usadas de todos os sistemas. De qualquer maneira, tenho certeza que esses dados lhe serão muito interessantes.

Multi-bruteforce
Existem muitos programas de bruteforce específicos, como o WebCrack (que quebra senhas de páginas web). Mas há também excelentes programas que conseguem quebrar senhas de vários tipos diferentes, como senhas de e-mail, netbios, web, unix, enfim, quase tudo. Já citei o Shadow Scan, mas mostrarei dois outros programas ótimos nessa tarefa: Brutus: Excelentes programas de bruteforce. Rápido e com uma configuração muito específica, produz excelentes resultados. Até senhas de netbus ele quebra. E salva as sessões. Unsecure: Mais rápido que o brutus, esse excelente bruteforce é um dos mais usados para
o Windows. Sabendo a porta do servidor (ftp, telnet, etc...), o programa faz o serviço para você.
Política de senhas não-crackeáveis

Não existe mistério para que se possa ter uma senha segura. Se você utilizar o sistema Unix, crie uma combinação não-lógica de letras e números. Como por exemplo: FqTp78nH. Apesar de ser mais difícil de se decorar do que senhas normais, a boa combinação dificulta muito que se consiga crackear a senha. Nunca coloque seu nome como senha, número de telefone, data de aniversário ou coisas assim. Seja precavido.

Conceito de crackear

Conceito de “crackear”
Crackear no mundo da segurança significa se utilizar de alguma técnica ou ferramenta para se descobrir algum dado criptografado ou uma senha. Atualmente é muito comum o cracking. Sistemas simples de criptografia também são fáceis de serem quebrados. O Windows 3.11 utilizava o Trumpet Winsock para a conexão com a Internet. Após cerca de duas horas brincando com ele, descobri como sua criptografia funcionava. Os antigos joguinhos de DOS que precisavam de senhas, tal como Prince of Pérsia e Stunts são também facilmente crackeados. E por aí vai. O maior problema relacionado à segurança é com o descobrimento de senhas. É extremamente fácil de se descobri-las devido ao constante aumento da velocidade dos computadores e dos cada vez mais frágeis sistemas operacionais. Um simples trojan ou um sniffer podem conseguir quebrar uma senha facilmente. Existem também alguns outros recursos utilizados por crackers, como utilização de wordlists e bruteforce.

Wordlists
São listas de palavras criadas especialmente para se descobrir senhas. Quando você têm em mãos um arquivo de senha do UNIX com o sistema de criptografia DES, por exemplo. A criptografia é inquebrável, mas você pode utilizar programas como o famoso Cracker Jack ou mesmo o Shadow Scan. Eles pegam um arquivo criado por você com listas de palavras comuns (geralmente utilizadas como senhas, tal como alien3, tricolor, secreta, 101010 e outras) o criptografa utilizando o mesmo sistema das senhas de Unix (DES) e compara os arquivos. Se o programa encontrar algum usuário em que a criptografia tenha ficado exatamente igual, o nome lhe é informado.

O processo de bruteforce
O método da força bruta é muito demorado. Pode levar horas, e as vezes dias. Mas continua sendo de longe o mais eficaz. Utiliza-se um programa que tenta conectar-se a um sistema utilizando todas as combinações possíveis de letras e números. Para um cracker que possui uma conexão de 56 kbps e utiliza um Pentium III 800, é improvável que consiga descobrir a senha. Para se ter alguma chance deve-se utilizar uma conexão dedicada (à cabo, via rádio e outras) e vários computadores. Tendo 20 computadores rápidos trabalhando cada um em um setor (um tentando descobrir senhas começadas por a, outro por b, outro por c, etc...) o tempo para se conseguir o prêmio diminuirá consideravelmente. Existem alguns casos em que a força bruta é mais rápido, como quando se tenta quebrar um arquivo de senhas localmente. Pode ser um passwd do Unix ou um mais fácil de se quebrar ainda, o PWL do Windows. O programa CAIN ,ShadowScan, Brutus e NAT (Netbios Auditing Tool) são bons programa para realizar o processo de bruteforce.

Senhas padrões
Senhas padrões são senhas que já vêm configuradas com o sistema ou algum utilitário de atualização as configura. Existem não só nos sistemas operacionais mas também em dispositivos de hardware como roteadores. Use-a para checar se o seu sistema está vulnerável ou crie uma wordlist com as senhas padrões mais usadas de todos os sistemas. De qualquer maneira, tenho certeza que esses dados lhe serão muito interessantes.

Multi-bruteforce
Existem muitos programas de bruteforce específicos, como o WebCrack (que quebra senhas de páginas web). Mas há também excelentes programas que conseguem quebrar senhas de vários tipos diferentes, como senhas de e-mail, netbios, web, unix, enfim, quase tudo. Já citei o Shadow Scan, mas mostrarei dois outros programas ótimos nessa tarefa: Brutus: Excelentes programas de bruteforce. Rápido e com uma configuração muito específica, produz excelentes resultados. Até senhas de netbus ele quebra. E salva as sessões. Unsecure: Mais rápido que o brutus, esse excelente bruteforce é um dos mais usados para o Windows. Sabendo a porta do servidor (ftp, telnet, etc...), o programa faz o serviço para você.

Política de senhas não-crackeáveis
Não existe mistério para que se possa ter uma senha segura. Se você utilizar o sistema Unix, crie uma combinação não-lógica de letras e números. Como por exemplo: FqTp78nH. Apesar de ser mais difícil de se decorar do que senhas normais, a boa combinação dificulta muito que se consiga crackear a senha. Nunca coloque seu nome como senha, número de telefone, data de aniversário ou coisas assim. Seja precavido.

Livro Guia do Hacker Brasileiro

Sniffers

Sniffers
Definição
Os sniffers ou farejadores são o tipo de programas mais usados para conseguir senhas em uma rede. Eles ficam residentes na memória como um cavalo de tróia, analisando todo o tráfego que ali passa. Qualquer entrada ou saída de dados é capturada, seja em um servidor FTP, uma página de chat ou um e-mail digitado. Sempre foram mais usados em sistemas Unix, mas ultimamente todos os outros sistemas contam com poderosos sniffers. Desde sniffers comercias como o excelente Íris até sniffers mais simples, como o tcpdump e sniffers de trojans.

Sniffers variam significamente em funcionalidade e projeto. Alguns analisam somente um protocolo, enquanto outros podem analisar centenas.
Como uma regra geral, sniffers mais modernos analisarão pelo menos os seguintes protocolos:

* Ethernet padrão (Ethernet é uma tecnologia de interconexão para redes locais - Local Area Networks (LAN) - baseada no envio de pacotes )
* TCP/IP
* IP
* DECNet (DECnet é o nome coletivo para os produtos de comunicação (software e hardware) que permite a um sistema operacional DIGITAL participar em uma rede.)

Em redes locais os dados trafegam de uma máquina para outra ao longo do cabo em pequenas unidades chamadas frames. Esses frames são divididos em seções que carregam informações específicas. Os sniffers impõem um risco de segurança por causa da forma como os frames são transportados e entregues. Cada estação de trabalho em uma rede local tem seu próprio endereço de hardware. Esse endereço identifica de maneira exclusiva essa máquina em relação a todos os outros na rede. Quando se envia uma mensagem através da rede local, os pacotes são enviados para todas as máquinas disponíveis (broadcast)
Sob circunstâncias normais, todas as máquinas na rede podem "ouvir” esse tráfego, mas somente elas responderão aos dados endereçados especificamente a elas. (Em outras palavras, a estação de trabalho A não irá capturar dados destinados à estação de trabalho B. Em vez disso, a estação de trabalho A simplesmente ignora esses dados.)
Se uma interface de rede da estação de trabalho está em modo promíscuo(é um tipo de configuração de recepção, na qual todos os pacotes que trafegam pela rede ao qual o receptor está conectado são recebidos pelo mesmo, não recebendo apenas os pacotes endereçados ao próprio), entretanto, ela pode capturar todos os pacotes e frames na rede. Uma estação de trabalho configurada dessa forma (e o software sobre ela) é um sniffer.
Os sniffers representam um alto nível de risco, porque:
* Os sniffers podem capturar senhas
* Os sniffers podem capturar informações confidenciais
* Os sniffers podem ser utilizados para abrir brechas na segurança de redes vizinhas ou ganhar acessos de alto nível.
De fato, a existência de um sniffer não autorizado em sua rede pode indicar que seu sistema já está comprometido.
Os sniffers capturarão todos os pacotes na rede, mas na prática, um atacante tem de ser altamente seletivo. Um ataque de sniffer não é tão facil. Ele requer algum conhecimento de rede.
Simplesmente configurar um sniffer e deixá-lo trabalhando levará a problemas porque mesmo uma rede de cinco estações transmite milhares de pacotes por hora. Dentro de um breve tempo, o arquivo de saída de um sniffer pode facilmente encher uma unidade de disco rígido (se você capturar todos os pacotes)
Para superar esse problema, os crackers geralmente farejam somente os primeiros 200-300 bytes de cada pacote. Os nomes de usuário e senha estão contidos dentro dessa parte, o que é realmente tudo que a maioria de crackers querem.
A tecnologia de segurança desenvolveu-se consideravelmente. Alguns sistemas operacionais agora empregam criptografia no nível de pacote e, portanto, mesmo se um ataque de sniffer consiguir obter dados valiosos, esses dados são criptografados. Isso representa obstáculo adicional a ser ultrapassado somente por aqueles com conhecimento mais profundo de segurança, criptografia e rede, ou um motivo de desistência para outros.

Filtrando pacotes na rede
Muitas pessoas pensam que o sniffer pode ser usado em seu computador para capturar pacotes do seu provedor. Não é bem assim. O programa têm de estar instalado no computador central de uma rede em que se quer capturar pacotes. Utilizando o exemplo do provedor, todos os seus usuários realizam o processo de autenticação em um servidor antes de conectarem-se à rede. Assim, primeiro é necessário conseguir invadir o servidor e depois colocar o sniffer. Ele irá monitorar absolutamente tudo, às vezes até informações pessoais dos usuários, como endereço e telefone. Como são muitos os pacotes em uma rede, o farejador é configurado para obter somente o essencial e importante: as senhas.

Capturando senhas
A principal preocupação de um operador é ou pelo menos deveria ser, as senhas. Afinal, por mais seguro que o sistema seja, uma senha adquirida maliciosamente é sempre perigosa. O único interesse dos crackers é capturar logins e senhas. Nem se encontrar um e-mail de sua namorada para o amante o cracker deixará de se concentrar em sua tarefa. Existem algumas opções que ainda possibilitam filtrar os tipos de pacotes recebidos. Vamos supor que eu quero descobrir todas as senhas que comecem com “C”. Após configurar o sniffer e esperar, ele começa a enviar os pacotes recebidos já “selecionados” com o que desejou.

Sniffers em trojans
Alguns trojans como o Back Orifice possuem sniffers como plug-ins (partes extras que podem ser anexadas ao programa). O Buttsniffer, um dos melhores plug-ins para o BO monitora absolutamente tudo no sistema Windows. Além de ter um arquivo executável à parte, podendo funcionar sem depender do Back Orifice. Alguns outros trojans mais novos já possuem o sniffer embutido. A tendência do sniffer e do trojan é de se tornarem uma ferramente apenas, já que ambos têm características parecidas. O trojan de e-mail k2ps é um bom exemplo disso. Ele monitora e envia todo tipo de senha importante por e-mail (na verdade, alguns o consideram um keylogger que é um programa que loga tudo que se escreve no teclado, eu não o considero assim pois ele é seletivo: só envia coisas importantes).

Roteadores
Alguns sniffers conseguem obter dados direto do roteador. Mesmo que seja instalada uma proteção eficaz no sistema operacional, como um anti-sniffer, não adiantaria de nada se o programa estiver pegando os dados diretamente roteados. A correção têm de ser feita atualizando-se o próprio roteador. O ideal seria procurar a página do fabricante e verificar se existe alguma dica ou informação sobre o assunto. Afinal, o seguro morreu de velho.

Anti-Sniffers
Como o próprio nome diz, são programas que detectam tentativas de sniffing. Ficam residentes na memória como um anti-trojans, aguardando o invasor tentar algo. Há vários tipos de anti-sniffers, alguns bem ruinzinhos e outros muito bons. Uma boa opção dos softwares são fingir o envio de dados, para que o cracker engane-se e pense que realmente está conseguindo as senhas. Se você têm sofrido muitas invasões, certificou-se de não ser por falhas ou trojans, monte um honeypot com um anti-sniffer. Com certeza deve pegar alguma abelhinha.



http://penta.ufrgs.br/rmariano/r1.html
http://www.forcehacker.kit.net/snif.html
http://pt.wikipedia.org/wiki/Ethernet
Guia-do-Hacker-Brasileiro