Krótka historia jednego włamania

Arty­kuł opu­bli­ko­wany pod tytu­łem „How Hac­kers Break In… And How They Are Cau­ght” w Scien­ti­fic Ame­ri­can, Octo­ber 1998, pp. 98–105

CAROLYN P. MEINEL

Tłu­ma­czył Andrzej Kadlof

Ory­gi­nał został opu­bli­ko­wany około 10 lat temu, pozwo­li­łem sobie go nieco uwspół­cze­śnić, ponie­waż tech­niki opi­sane w ory­gi­nale wyszły już z uży­cia.
Bog­dan Mizerski

Infor­ma­cje o autorce

CAROLYN P. MEINEL pasjo­nuje się naj­now­szymi tech­no­lo­giami infor­ma­tycz­nymi. Jest autorką książki The Happy Hac­ker: A Guide to (Mostly) Harm­less Com­pu­ter Hac­king (Szczę­śliwy haker: pod­ręcz­nik nie­szko­dli­wego (naj­czę­ściej) haker­stwa; Ame­ri­can Eagle Publi­ca­tions, 1998) i pre­ze­sem orga­ni­za­cji non­pro­fit Happy Hac­ker, Inc., zaj­mu­ją­cej się ucze­niem odpo­wie­dzial­nego i nie­zło­śli­wego haker­stwa. Grupa pre­zen­tuje swoje cele i osią­gnię­cia na wła­snej witry­nie WWW (http://www.happyhacker.org). Meinel uzy­skała sto­pień magi­stra na Wydziale Inży­nie­rii Uni­ver­sity of Ari­zona. Obec­nie razem z Jaso­nem Chap­ma­nem pra­cuje nad książką poświę­coną swoim licz­nym akcjom zwal­cza­nia hake­rów. Autorka składa podzię­ko­wa­nia Micha­elowi i Dia­nie Neu­ma­nom, Damia­nowi Bate­sowi, Emi­lio Gome­zowi, Mah­boud Zabe­tia­nowi i Mar­kowi Schmit­zowi za pomoc w przy­go­to­wa­niu tego artykułu.

Testo­wa­nie por­tów, zrzuty pamięci i prze­peł­nia­nie bufo­rów to zale­d­wie kilka metod z boga­tego arse­nału każ­dego doświad­czo­nego hakera.
Jed­nak żaden z nich nie jest nieuchwytny

Caro­lyn P. Meinel

Od redak­cji Scien­ti­fic Ame­ri­can: Poniż­sza fabu­la­ry­zo­wana histo­ria powstała na pod­sta­wie wielu incy­den­tów, które przy­tra­fiły się gdzieś kie­dyś w cyber­prze­strzeni. Imiona i nazwi­ska ludzi, adresy i inne detale zostały zmie­nione, ale opi­sy­wane tech­niki i pro­gramy ist­nieją. Z wie­loma z przy­to­czo­nych przy­pad­ków autorka zetknęła się oso­bi­ście. Zarówno w kom­pu­te­ro­wym pod­zie­miu, jak i wśród eks­per­tów od bez­pie­czeń­stwa znana jest ze swo­ich zdol­no­ści haker­skich i nie­zli­czo­nych poty­czek z innymi hake­rami. Scien­ti­fic Ame­ri­can dzię­kuje inter­nau­cie Rt66 oraz dostawcy usług inter­ne­to­wych z Albu­qu­erque (Nowy Mek­syk), któ­rzy prze­te­sto­wali więk­szość pro­gra­mów i sprzętu opi­sa­nych w tym arty­kule oraz spraw­dzili sku­tecz­ność wspo­mnia­nych technik.

Któ­rejś nocy, sie­dząc przy domo­wym kom­pu­te­rze, Abde­nago włą­cza się do IRC, cyber­prze­strzen­nego odpo­wied­nika radia CB, na kanale poświę­co­nym potęż­nemu sys­te­mowi ope­ra­cyj­nemu Unix. Obser­wuje na bie­żąco, jak fani nawią­zują kon­takty, two­rzą soju­sze i wymie­niają doświad­cze­nia. Przy­po­mina to wszystko kan­tynę z Gwiezd­nych Wojen.

Paląc się do nawią­za­nia kon­wer­sa­cji — i zadzi­wie­nia innych — Abde­nago czeka, aż ktoś zada pro­ściut­kie pyta­nie; umoż­liwi to roz­po­czę­cie „wojny obelg”, w cza­sie któ­rej wszy­scy obrzu­cają się znie­wa­gami. Aku­rat roz­mówca przed­sta­wia­jący się jako Dogberry zadaje pyta­nie doty­czące pisa­nia pro­gramu obsłu­gu­ją­cego domową sta­cję mete­oro­lo­giczną. Abde­nago dostrzega szansę dla sie­bie. Rzuca: „RTFM”. (Gdyby w Inter­ne­cie uży­wano pol­skich akro­ni­mów, byłoby to „PPP” — „prze­czy­taj pieprz**y pod­ręcz­nik” — przyp. tłum.). Pozo­stali uczest­nicy dys­ku­sji reagują ste­kiem obelg, ale nie pod adre­sem Dogberry’ego. Pyta­nie oka­zuje się znacz­nie trud­niej­sze, niż przy­pusz­czał Abde­nago. Dogberry zwięźle i spo­koj­nie go pod­su­mo­wuje: „żółtodziób”. Upo­ko­rzony Abde­nago poprzy­sięga zemstę.

Korzy­sta­jąc z dostęp­nej w Inter­net Relay Chat komendy „fin­ger”, Abde­nago uzy­skuje adres adwer­sa­rza: Dogberry@refrigerus.com. Zakłada, że skoro Dogberry jest takim eks­per­tem od Unixa, to być może pełni funk­cję admi­ni­stra­tora kom­pu­te­rów w refrigerus.com. Aby potwier­dzić swoje wysyła zapy­ta­nie do bazy whois i stąd dowia­duje się, żeDog­berry jest admi­ni­stra­to­rem sieci.

To tylko pobu­dza jego cie­ka­wość. Uru­cha­mia Strobe, pro­gram usi­łu­jący się połą­czyć z każ­dym z tysięcy wir­tu­al­nych por­tów w refrigerus.com. Ska­ner ma skru­pu­lat­nie reje­stro­wać wszel­kie odpo­wie­dzi od demo­nów, czyli zain­sta­lo­wa­nych użyt­ko­wych pro­gra­mów sys­te­mo­wych, na przy­kład odpo­wie­dzial­nych za obsługę poczty elek­tro­nicz­nej. Abde­nago wie, że każdy port może sta­no­wić tylne drzwi — lub drzwi, które jemu uda się sfor­so­wać — jeśli zdoła wyko­rzy­stać pewne nie­do­sko­na­ło­ści demona tego portu.

KOMPUTEROWEGO WŁAMANIA można doko­nać na wiele roz­ma­itych sposobów…

Strobe tra­fia na prze­szkodę, a dokład­niej na zaporę ogniową (fire­wall) Dogberry’ego. Ten zna­ko­mity pro­gram obronny prze­chwy­tuje każdy nad­cho­dzący pakiet danych, odczy­tuje jego nagłó­wek TCP/IP (trans­mis­sion con­trol protocol/Internet Pro­to­col) i ustala, z któ­rym por­tem ma nastą­pić połą­cze­nie. Następ­nie spraw­dza otrzy­mane żądanie dostępu, posłu­gu­jąc się pre­cy­zyj­nie okre­ślo­nymi zasa­dami dopusz­cza­nia użyt­kow­ni­ków z zewnątrz do sys­temu. W tym przy­padku refrigerus.com decy­duje, że ska­ner Abde­nago zasłu­guje tylko na jedną odpowiedź.

W chwilę potem pro­gram zain­sta­lo­wany na refrigerus.com zaczyna wysy­łać do kom­pu­tera Abde­nago flood’a, czyli bez­sen­sowne dane, włącz­nie z loso­wymi cią­gami zna­ków alfa­nu­me­rycz­nych, sku­tecz­nie zapy­cha­jąc jego łącze i dyski. W mię­dzy­cza­sie inny demon wysyła pocztą elek­tro­niczną list do dostawcy usług inter­ne­to­wych (Inter­net Service Pro­vi­der — ISP) Abde­nago z infor­ma­cją, że ktoś pró­buje się wła­mać do refrigerus.com. Następ­nie fire­wall odcina cał­ko­wi­cie połą­cze­nia przy­cho­dzące z kom­pu­tera Abde­nago. Po kilku minu­tach konto Abde­nago zostaje zamknięte, ponie­waż jego wła­ści­ciel jest podej­rzany o próbę popeł­nie­nia prze­stęp­stwa komputerowego.

Mimo że Abde­nago został nie­mal bły­ska­wicz­nie zablo­ko­wany — wielu admi­ni­stra­to­rów ISP nie pod­ję­łoby rów­nie szybko tak zde­cy­do­wa­nych kro­ków — nie ma to więk­szego zna­cze­nia. Konto jest tylko jed­nym z kilku, które sam sobie zało­żył po wła­ma­niu się do wspo­mnia­nego ISP. Jed­nak zamknię­cie go powo­duje, że Abde­nago zostaje odłą­czony od kanału IRC w chwili, gdy obrzu­cano go obe­lgami. Dla uczest­ni­ków dys­ku­sji wygląda to tak, jakby Abde­nago bez­ce­re­mo­nial­nie wyrzu­cono z sieci lub, co gor­sza, sam uciekł.

Abde­nago pała żądzą odwetu. Jego kolej­nym posu­nię­ciem jest wypró­bo­wa­nie nie­wi­dzial­nego ska­nera FIN. Pro­gramy takie wyko­rzy­stują zasady dzia­ła­nia IP.

Abde­nago wie, że nie­wi­dzialny ska­ner może wyko­rzy­stać sub­tel­no­ści tego pro­to­kołu, wysy­ła­jąc tylko koń­cowy pakiet z flagą FIN do każ­dego portu bada­nego kom­pu­tera. Zazwy­czaj gdy port jest otwarty, obsłu­gu­jący go demon igno­ruje taki pakiet. Jeśli jest zamknięty, kom­pu­ter odbiorcy wysyła pakiet z flagą RST (ponów). Ponie­waż nie zostaje nawią­zana ofi­cjalna komu­ni­ka­cja (nie doszło do trzy­stop­nio­wego potwier­dze­nia), ode­bra­nie pakietu nie jest noto­wane w rapor­tach aktyw­no­ści sys­temu. Dzięki temu ska­nery FIN mogą w miarę dys­kret­nie testo­wać porty kom­pu­tera. (Mimo to jak dowie się wkrótce Abde­nago, infor­ma­cje zawarte nawet w jed­nym pakie­cie FIN wystar­czają do iden­ty­fi­ka­cji nadawcy).

Abde­nago wcze­śniej już przy­go­to­wał się do tego typu dzia­łań. Zdą­żył opa­no­wać kilka kom­pu­te­rów, na któ­rych poza­kła­dał swoje ukryte konta. Naj­czę­ściej są to kom­pu­tery nale­żące do róż­nych uczelni, któ­rych admi­ni­stra­to­rami są stu­denci trak­tu­jący swoją funk­cję jak pańsz­czy­znę. W związku z tym kom­pu­tery uczel­niane są łatwym łupem dla hakerów.

Abde­nago prze­mie­rza Inter­net w poszu­ki­wa­niu zaawan­so­wa­nego nie­wi­dzial­nego ska­nera por­tów i znaj­duje jeden w pod­ziem­nej witry­nie sieci WWW. Pro­gram ten, jak wiele innych narzę­dzi haker­skich, jest napi­sany w języku C. Abde­nago musi jesz­cze poko­nać pro­blemy z jego mody­fi­ka­cją i kom­pi­la­cją, tak by dzia­łał na domo­wym PC pra­cu­ją­cym pod kon­trolą Linuxa, jed­nego z wielu warian­tów Unixa.

Takie kło­poty nie są niczym nie­zwy­kłym i wyni­kają z oso­bli­wo­ści poszcze­gól­nych odmian sys­temu Unix. Abde­nago, podob­nie jak więk­szość hake­rów, nie ode­brał wykształ­ce­nia infor­ma­tycz­nego. W rze­czy­wi­sto­ści nigdy nie uczył się pro­gra­mo­wa­nia, bo nie musiał. Nie­mal każdy pro­gram, o jakim zama­rzy kom­pu­te­rowy kry­mi­na­li­sta, jest osią­galny gdzieś w Inter­ne­cie, już napi­sany i gotowy do dar­mo­wego pobra­nia i wyko­rzy­sta­nia — jeśli tylko haker potrafi go skompilować.

Młody Dogberry wybrał inną drogę. Zaprzy­jaź­nił się z infor­ma­ty­kiem pra­cu­ją­cym u lokal­nego dostawcy usług inter­ne­to­wych i nauczył admi­ni­stro­wać sie­cią. Wiele czasu spę­dził, bawiąc się z przy­ja­cie­lem w kom­pu­te­ro­wych wła­my­wa­czy i obroń­ców. Korzy­sta­jąc ze swo­ich doświad­czeń, pomo­gli admi­ni­stra­to­rowi ISP pod­nieść poziom bez­pie­czeń­stwa sys­temu. Dzięki temu suk­ce­sowi Dogberry został u niego zatrud­niony na część etatu jesz­cze pod­czas stu­dio­wa­nia informatyki.

Pierw­szym błę­dem Abde­nago jest więc porwa­nie się aku­rat na Dogberry’ego. Ten jest bowiem rów­nież hake­rem (ale pozy­tyw­nym) i wete­ra­nem wielu bata­lii w cyberprzestrzeni.

Pierw­sze starcie

TRANSMISJE DANYCH w Inter­ne­cie pod­le­gają usta­lo­nym pro­to­ko­łom. Zwy­kle nadawca naj­pierw wysyła powi­talny pakiet zawie­ra­jący flagę SYN, pro­sząc o dane umoż­li­wia­jące syn­chro­ni­za­cję mają­cych nadejść pakie­tów. Odbiorca odsyła pakiet z flagą ACK, potwier­dza­jącą przy­ję­cie wezwa­nia do nawią­za­nia łączno­ści, oraz z flagą SYN i liczbą syn­chro­ni­za­cyjną. Nadawca pakietu z flagą ACK potwier­dza, że jest gotów do trans­mi­sji danych, koń­cząc w ten spo­sób pro­ce­durę trzy­stop­nio­wego potwier­dza­nia. Dopiero teraz może wysłać wła­ściwe wia­do­mo­ści. Wresz­cie prze­syła pakiet z flagą FIN sygna­li­zu­jącą koniec połą­cze­nia. Odbiorca odsyła pakiet z flagą ACK, co osta­tecz­nie zamyka trans­mi­sję. Hake­rzy omi­jają tę pro­ce­durę, od razu wysy­ła­jąc pakiety z flagą FIN. Pechowy odbiorca może na to odpo­wie­dzieć pakie­tem z flagą RST (ponów) (na dole). Odpo­wiedź — lub jej brak — dostar­cza pew­nych infor­ma­cji o bada­nym sys­te­mie, a ponie­waż nie zostało nawią­zane ofi­cjalne połą­cze­nie, przy­by­cie pakietu FIN nie jest odno­to­wane w rapor­tach odbiorcy. Pozwala to hake­rom w miarę nie­po­strze­że­nie i bez­piecz­nie testo­wać upa­trzone komputery.

Nad ranem Abde­nago osta­tecz­nie radzi sobie z kom­pi­la­cją pro­gramu i jest gotów do dzia­ła­nia. W ciągu kilku minut FIN ska­ner dostar­cza mu listę usług ofe­ro­wa­nych przez refrigerus.com jedy­nie użyt­kow­ni­kom o akcep­to­wa­nych adre­sach IP. Szcze­gólną uwagę Abde­nago przy­kuwa demon odpo­wia­da­jący za bez­pie­czeń­stwo sys­temu (kon­kret­nie za metody szy­fro­wa­nia połą­czeń w Inter­ne­cie) oraz ser­wer WWW. Abde­nago nie wie, że fire­wall Dogberry’ego jest już uod­por­niony na tą sztuczkę i poka­zuje tylko to, co admi­ni­stra­tor zde­cy­do­wał się ujawnić.

Nagle serce Abde­nago zaczyna bić moc­niej. Dostrzega on bowiem na liście spo­rzą­dzo­nej przez ska­ner port o nie­ty­po­wym nume­rze 31 659. Czyżby został uprze­dzony przez innego wła­my­wa­cza, który zosta­wił uchy­lone tylne drzwi — tajne przej­ście pozwa­la­jące wkraść się do systemu?

Sygnał komórki wyrywa Dogberry’ego z głę­bo­kiego snu. Ether­Peek, moni­tor zain­sta­lo­wany w refrigerus.com, wykrył ska­no­wa­nie por­tów. Dogberry pędzi do biura, by z kon­soli admi­ni­stra­tora śledzić dal­sze próby ataku. Jego naj­lep­sze pro­gramy obronne mogą być uru­cha­miane tylko z tej maszyny i wyma­gają fizycz­nej obec­no­ści czło­wieka, dzięki czemu są odporne na zdalny atak.

Tym­cza­sem mimo sil­nej pokusy zba­da­nia demona obsłu­gu­ją­cego port 31 659 Abde­nago wstrzy­muje dal­sze dzia­ła­nia. Coś — może haker­ska intu­icja — pod­po­wiada mu, że powi­nien je odło­żyć na kiedy indziej. Tak więc tym razem Dogberry przy­cho­dzi do pracy nie­po­trzeb­nie — nie odkrywa dal­szych prób wtar­gnię­cia do systemu.

Zain­try­go­wany nie­ty­po­wym ata­kiem prze­gląda jed­nak raporty i udaje mu się usta­lić adres nadawcy pakie­tów z flagą FIN. Wysyła e-mail do wła­ści­ciela kom­pu­tera, który po spraw­dze­niu logów odcina dostęp Abde­nago do swo­jej maszyny.

Trzy wie­czory póź­niej Abde­nago pona­wia atak. Gdy jed­nak łączy się ze swoim kon­tem na uni­wer­sy­te­cie X, oka­zuje się, że konta już nie ma. Taki roz­wój wypad­ków ani tro­chę go nie znie­chęca. Prze­ciw­nie, zabiera się do pracy z jesz­cze więk­szą determinacją.

Strata jed­nej opa­no­wa­nej maszyny nieco go zmar­twiła, ale się­gnął po następną. Tym razem jed­nak zacho­wuje więk­szą ostroż­ność. Z nowego konta loguje się na kon­cie, które kie­dyś otwo­rzył sobie u jesz­cze innego ISP (oczy­wi­ście nie­le­gal­nie). Po uzy­ska­niu połą­cze­nia wydaje pole­ce­nie „whois refrigerus.com”. Dowia­duje się, że nazwa domeny należy do Refri­ge­ra­tors R Us — kra­jo­wej sieci skle­pów detalicznych.

Następ­nie pró­buje zalo­go­wać się na refrigerus.com za pomocą komendy „tel­net refrigerus.com 31 659″. Odpo­wiedź jest natych­mia­stowa: „Ty pętaku! Czy naprawdę myślisz, że to są tylne drzwi?!” Jed­no­cze­śnie demon obsłu­gu­jący port 31 659 przy­stę­puje do próby zawie­sze­nia kom­pu­tera Abde­nago, prze­sy­ła­jąc mu serie celowo uszko­dzo­nych pakie­tów, a pocztą elek­tro­niczną wysyła list do ISP, na któ­rym Abde­nago nie­le­gal­nie zało­żył konto, infor­mu­jący o pró­bie popeł­nie­nia prze­stęp­stwa kom­pu­te­ro­wego. Przed upły­wem paru minut połą­cze­nie Abde­nago zostaje przerwane.

Haker nie rezy­gnuje i zamiast ata­ko­wać zaporę ogniową usi­łuje ją teraz po cichu obejść. Korzy­sta­jąc z jesz­cze jed­nego ze swo­ich licz­nych nie­le­gal­nych kont pró­buje ska­ta­lo­go­wać kom­pu­tery nale­żące do refrigerus.com. Używa do tego celu komendy „nslook-up”, prze­szu­ku­ją­cej Inter­ne­tową bazę danych w celu odna­le­zie­nia kata­lo­gów w kom­pu­te­rze o poda­nym adresie.

Ale „nslo­okup” nie dostar­cza żadnych uży­tecz­nych infor­ma­cji. Dogberry tak skon­fi­gu­ro­wał swoją sieć, że każde pyta­nie skie­ro­wane do któ­re­go­kol­wiek z kom­pu­te­rów wewnętrz­nej sieci jest naj­pierw prze­sy­łane do ser­wera nazw, który kie­ruje je do odpo­wied­nich maszyn. Dzięki temu nikt z zewnątrz nie może się niczego dowie­dzieć o kom­pu­te­rach oto­czo­nych zaporą ogniową.

Kolej­nym kro­kiem Abde­nago jest wyko­rzy­sta­nie ska­nera adre­sów IP. Za pomocą „nslo­okup” doko­nuje kon­wer­sji refrigerus.com na adres nume­ryczny, po czym ska­ne­rem IP bada numery więk­sze i mniej­sze. Po chwili ma około 50 rze­czy­wi­stych adre­sów węzłów Inter­netu o zbli­żo­nych nume­rach. Zdaje sobie sprawę, że wcale nie muszą nale­żeć do refrigerus.com, ale z dużym praw­do­po­do­bień­stwem należą.

Następ­nie uży­wa­jąc komendy „whois”, pyta, czy Refri­ge­ra­tors R Us pod­le­gają jakieś inne kom­pu­tery. Wykrywa jesz­cze jeden kom­pu­ter, któ­rego adres refrigeratorz.com jest nume­rycz­nie odle­gły od refrigerus.com. Ska­ner IP wkrótce podaje mu kolej­nych pięć adre­sów kom­pu­te­rów w Inter­ne­cie o nume­rach bli­skich refrigeratorz.com.

ZRZUT PAMIĘCI może posłu­żyć hake­rom do uzy­ska­nia taj­nych infor­ma­cji. Jeśli dzia­ła­jący na danym kom­pu­te­rze pro­gram się zawiesi, cza­sem powo­duje to zapi­sa­nie na dysku obrazu frag­men­tów pamięci ope­ra­cyj­nej w chwili awa­rii. Haker może celowo spo­wo­do­wać awa­rię, by następ­nie prze­szu­kać obszar pamięci mogący zawie­rać ważne dane, takie jak hasła dopusz­cza­jące do kon­kret­nych kont w systemie.

Abde­nago podej­muje dal­sze środki ostroż­no­ści. Za pomocą komendy „tel­net” łączy się z kolej­nym swoim pirac­kim kon­tem. Stąd loguje się na jesz­cze jed­nym nie­le­gal­nym kon­cie, szy­ku­jąc się do ponow­nego sko­rzy­sta­nia ze ska­nera FIN. Te dodat­kowe kroki zmu­szą każ­dego ściga­ją­cego go przed­sta­wi­ciela prawa do uzy­ska­nia zgody na współ­pracę aż trzech insty­tu­cji, co utrudni śledztwo.

Dodat­kowo posta­na­wia ukryć swoją obec­ność w trze­cim z opa­no­wa­nych węzłów, umiesz­cza­jąc wśród pro­gra­mów zarzą­dza­ją­cych głów­nym kata­lo­giem sto­so­wany przez hake­rów pro­gram — konia tro­jań­skiego, który oprócz swo­ich nor­mal­nych dzia­łań usuwa wszel­kie ślady dzia­łal­no­ści hakera z rapor­tów o nie­ty­po­wej aktyw­no­ści sys­temu. Pro­gram ten blo­kuje także pro­gramy wyszu­ku­jące zmiany w pli­kach sys­te­mo­wych danego kom­pu­tera. Ukryje nawet przed ope­ra­to­rami fakt, że Abde­nago się zalo­go­wał i korzy­sta z jakichś programów.

Tak zabez­pie­czony Abde­nago ska­nuje jeden po dru­gim porty kom­pu­te­rów nale­żą­cych do refrigerus.com i refrigeratorz.com. Ska­ner Fin prze­śli­zguje się wprost do każ­dego z nich. Te dzia­ła­nia wykrywa jed­nak Ether­Peek i ponow­nie wysyła sms do Dogberry’ego.

Nie­wy­spany Dogberry po dotar­ciu do biura szybko ustala adres nadawcy pakie­tów FIN i alar­muje admi­ni­stra­tora trze­ciego węzła spe­ne­tro­wa­nego przez Abde­nago. Ale koń tro­jań­ski speł­nia swoje zada­nie i ukrywa obec­ność hakera przed zdez­o­rien­to­wa­nymi ope­ra­to­rami. Abde­nago śmiało kon­ty­nu­uje swoją pracę. Prze­łą­cza się z nie­wi­dzial­nego ska­nera na Strobe, poszu­ku­jąc adresu IP kom­pu­tera nie chro­nio­nego przez zaporę ogniową.

Osiąga jedy­nie tyle, że zapora ogniowa refrigerus.com wypluwa stru­mień bez­sen­sow­nych danych. Nie­spo­dzie­wany ładu­nek uświa­da­mia wresz­cie admi­ni­stra­torce sys­temu Abde­nago, że ktoś fak­tycz­nie nie­le­gal­nie wyko­rzy­stuje jej węzeł. Decy­duje się ona na dra­styczne posu­nię­cie, cał­ko­wi­cie odci­na­jąc sys­tem od Inter­netu. Z chwilą gdy łączność zostaje zerwana, Abde­nago zdaje sobie sprawę, że ele­gancka metoda obej­ścia zapory ognio­wej nie istnieje.

W poszu­ki­wa­niu pracoholika

PRZEPEŁNIANIE BUFORÓW polega na wyko­rzy­sty­wa­niu sła­bo­ści nie­któ­rych pro­gra­mów, na przy­kład pisa­nych w języku C i uru­cha­mia­nych w sys­te­mie Unix. W celu wymu­sze­nia prze­peł­nie­nia bufo­rów haker wyko­nuje kilka czyn­no­ści. Uru­cha­mia na kom­pu­te­rze ofiary wła­sny pro­gram napi­sany w języku C (a). Pro­gram zapi­suje dane do bufora, tym­cza­so­wego miej­sca w pamięci ope­ra­cyj­nej (b). Następ­nie apli­ka­cja kopiuje dane z miej­sca 1 do 2 i 3. Ale haker tak skon­stru­ował pro­gram, że cały czas wymaga on dostępu do danych w miej­scu 1. Z powodu braku pamięci przy­dzie­lo­nej pro­gra­mowi sys­tem prze­miesz­cza je z miej­sca 1 do 4 dzie­lo­nego z innymi pro­gra­mami (d). Haker może wyko­rzy­stać to do insta­la­cji w pamięci ope­ra­cyj­nej wła­snego kodu (e), który umoż­li­wia mu uzy­ska­nie wyso­kich przy­wi­le­jów w kom­pu­te­rze ofiary.

Abde­nago domy­śla się, że z kilku tuzi­nów kom­pu­te­rów Refri­ge­ra­tors R Us pod­łą­czo­nych do Inter­netu korzy­sta praw­do­po­dob­nie wiele innych maszyn sto­ją­cych spo­koj­nie na biur­kach pra­cow­ni­ków. Czy jest szansa — zasta­na­wia się kilka dni póź­niej — by wśród setek zatrud­nio­nych zna­lazł się jakiś pra­co­ho­lik, który obcho­dząc fir­mową zaporę ogniową, nocami łączy się tele­fo­nicz­nie ze swoim kom­pu­te­rem służ­bo­wym i wyko­nuje „nie cier­piące zwłoki” zada­nia? To naprawdę nie pro­blem dla kogoś, kto kupi sobie modem, pod­łą­czy do służ­bo­wego kom­pu­tera i, wycho­dząc z pracy, zostawi sys­tem włączony.

Zakła­da­jąc, że w każ­dej pra­wie więk­szej fir­mie znaj­duje się co naj­mniej jeden nie zgło­szony prze­ło­żo­nym modem, Abde­nago uru­cha­mia pro­gram Shok­Dial (tele­fo­nicz­nego wojow­nika) łączący się z każ­dym nume­rem wewnętrz­nym w Refri­ge­ra­tors R Us. Nocny straż­nik w sie­dzi­bie zarządu firmy sły­szy, że dzwo­nią cią­gle tele­fony, ale nie wzbu­dza to jego podejrzeń.

O 2.57 tele­fo­niczny wojow­nik tra­fia na aktywny modem i Abde­nago widzi na swoim moni­to­rze powi­talny ekran kom­pu­tera Sili­con Gra­phics: „Dział han­dlowy Refri­ge­ra­tors R Us, Irix 6.3″. Wspa­niale! Cie­szy się, ponie­waż Irix jest wer­sją sys­temu Unix, co ozna­cza, że chyba zna­lazł tylne drzwi do kró­le­stwa Dogberry’ego.

Następ­nie Abde­nago, korzy­sta­jąc z pro­gramu, który raz za razem dzwoni do kom­pu­tera z sys­te­mem Irix, pró­buje zgad­nąć hasło dostępu do „root’a”, naj­wyż­szego w hie­rar­chii konta (zazwy­czaj zare­zer­wo­wa­nego dla admi­ni­stra­tora), z któ­rego można wyda­wać dowolne komendy i uzy­ski­wać wszel­kie infor­ma­cje doty­czące danego kom­pu­tera. Ma nadzieję, że wła­ści­ciel kom­pu­tera, zaga­niany jak wielu pra­co­ho­li­ków, nie­ostroż­nie pozo­sta­wił moż­li­wość zdal­nego dostępu do maszyny.

Zga­dy­wa­nie roz­po­czyna się od pospo­li­tych słów i imion, by w dal­szej kolej­no­ści przejść do mniej oczy­wi­stych haseł. Jest to powolny i męczący pro­ces: spraw­dze­nie wszyst­kich słów z wiel­kich słow­ni­ków, wszyst­kich nazwisk z ency­klo­pe­dii i lokal­nych ksią­żek tele­fo­nicz­nych trwa cza­sem mie­siące, a nawet lata. Ale tym razem Abde­nago ma szczę­ście. Około pią­tej nad ranem oka­zuje się, że hasło brzmi po pro­stu: „nancy”.

„Mam cię!” — krzy­czy Abde­nago i loguje się jako root, skąd może wyda­wać z zaata­ko­wa­nego kom­pu­tera dowolne komendy. Następ­nie zabez­pie­cza zdo­byty przy­czó­łek. Insta­luje za pomocą FTP (file trans­fer pro­to­col) w swo­jej ostat­niej ofie­rze konia tro­jań­skiego, ukry­wa­ją­cego jego obec­ność w sys­te­mie, oraz moni­tor kla­wia­tu­rowy skon­fi­gu­ro­wany tak, by reje­stro­wał wszyst­kie sekwen­cje zna­ków wpro­wa­dza­nych z kla­wia­tury i wszel­kie zdalne reje­stra­cje. Zdo­byte infor­ma­cje ma prze­cho­wy­wać plik o nie­win­nej nazwie znaj­du­jący się bez­po­śred­nio na niczego „nie­świa­do­mej” maszy­nie. W ciągu kilku minut Abde­nago two­rzy dodat­kowe wej­ście do sys­temu — konto dla użyt­kow­nika „zemsta” z hasłem: „GiNd0gB”.

Ostat­nie zada­nie tego ranka jest pro­ste. Aby usta­lić adres inter­ne­towy opa­no­wa­nego kom­pu­tera, Abde­nago wpro­wa­dza pole­ce­nie „who” i otrzy­muje odpo­wiedź, że „zemsta” pra­cuje na kom­pu­te­rze picasso.refrigeratorz.com. Gdy po kilku godzi­nach peł­no­prawny użyt­kow­nik kom­pu­tera picasso wcho­dzi do sys­temu, nie dostrzega oznak prze­ję­cia przez kogo­kol­wiek kon­troli nad jego maszyną. Pro­gramy Abde­nago dobrze wyko­nują swoje zadania.

Z kolei Dogberry z rapor­tów o aktyw­no­ści sys­temu dowia­duje się jedy­nie, że wcze­snym ran­kiem ktoś pró­bo­wał przez Inter­net dostać się do refrigeratorz.com. Nie­po­koi go to, bo cią­gle pamięta o nie­daw­nym ataku ska­nera FIN. Ma jed­nak za mało infor­ma­cji, by pod­jąć kon­kretne działania.

Dwie noce póź­niej Abde­nago dzwoni i łączy się z picasso, by przej­rzeć raporty swo­ich moni­to­rów. Roz­cza­ro­wany stwier­dza, że wszyst­kie komu­ni­katy prze­sy­łane w sieci są szy­fro­wane. Naj­cen­niej­szy oka­zuje się raport moni­tora kla­wia­tu­ro­wego. Ktoś z picassa zalo­go­wał się na kom­pu­te­rze o nazwie „fan­ta­zja”. Abde­nago zna teraz nazwę użyt­kow­nika i hasło dostępu do fan­ta­zji. Seza­mie, otwórz się!

Abde­nago odkrywa, że jest to sta­cja robo­cza SPARC słu­żąca do obróbki ani­mo­wa­nych obraz­ków, praw­do­po­dob­nie na potrzeby reklamy tele­wi­zyj­nej. Ponie­waż maszyna jest naj­pew­niej ser­we­rem wielu innych kom­pu­te­rów, Abde­nago przy­stę­puje do poszu­ki­wa­nia pliku haseł. Ma nadzieję, że nie­które z nich pozwolą mu na wej­ście do innych kom­pu­te­rów pod­łą­czo­nych do wewnętrz­nej sieci. Znaj­duje odpo­wiedni plik, ale w miej­scach, gdzie powinny być zaszy­fro­wane hasła, wid­nieją same iksy. Naj­wy­raź­niej infor­ma­cje, któ­rych szuka, muszą znaj­do­wać się gdzie indziej, w jakimś ukry­tym pliku. Abde­nago uśmie­cha się do sie­bie i uru­cha­mia pro­gram FTP. Zna­nym sobie tri­kiem zmu­sza go, aby się zawie­sił. Bingo, nastą­pił zrzut pamięci!

Fan­ta­zja zostaje zmu­szona do ujaw­nie­nia czę­ści swo­jej pamięci ope­ra­cyj­nej (RAM). Szczę­śli­wie dla Abde­nago odkryta infor­ma­cja — raport o sta­nie pamięci ope­ra­cyj­nej — ląduje w jego katalogu.

Nor­mal­nie zrzuty pamięci służą pro­gra­mi­stom do ana­lizy stanu sys­temu i zna­le­zie­nia przy­czyn zawie­sza­nia się pro­gra­mów. Ale Abde­nago dosko­nale wie, że zrzut pamięci można wyko­rzy­stać rów­nież do innych celów. Sys­tem ukry­wa­nia haseł cza­sami je prze­cho­wuje w zaszy­fro­wa­nej postaci w pamięci ope­ra­cyj­nej. Gdy użyt­kow­nik reje­struje się w sys­te­mie, kom­pu­ter, sto­su­jąc algo­rytmy jed­no­stron­nej zapadki, szy­fruje podane przez niego hasło i porów­nuje z zaszy­fro­wa­nym hasłem z ukry­tego pliku. Jeśli są iden­tyczne, użyt­kow­nik uzy­skuje dostęp do maszyny.

Ukryty plik haseł, który Abde­nago odna­lazł w zrzu­cie pamięci fan­ta­zji, był zaszy­fro­wany. Do pracy włą­cza się jego pro­gram łamiący hasła. Jest to jed­nak żmudny pro­ces mogący trwać kilka dni lub nawet tygodni.

Zbyt nie­cier­pliwy, by cze­kać, Abde­nago przy­stę­puje do kolej­nej czyn­no­ści — wyko­rzy­stuje powszech­nie znany słaby punkt sys­temu Unix. Jeśli jakiś pro­gram dzia­ła­jący w tym sys­te­mie ope­ra­cyj­nym nad­mier­nie anga­żuje bufory (tym­cza­sowe miej­sca prze­cho­wy­wa­nia danych w pamięci), nad­wyżka infor­ma­cji może być umiesz­czona w innych obsza­rach pamięci z dostę­pem do nich.

Efekt prze­peł­nie­nia bufo­rów posłuży Abde­nago do zain­sta­lo­wa­nia swo­ich pro­gra­mów na maszy­nie SPARC. Dodat­kowe pro­gramy umoż­li­wiają mu wyda­wa­nie dowol­nych pole­ceń i uru­cha­mia­nie dowol­nych pro­gra­mów za pomocą wła­snego inter­pre­tera pole­ceń. Zado­wo­lony z sie­bie Abde­nago insta­luje konia tro­jań­skiego ukry­wa­ją­cego jego obec­ność i moni­tory aktyw­no­ści sys­temu. Ponie­waż te pierw­sze dzia­łają dopiero po uru­cho­mie­niu, resztę czasu spę­dza na ręcz­nym usu­wa­niu śladów swo­jej wcze­śniej­szej dzia­łal­no­ści pod­czas pra­co­wi­tej nocy.

Pozo­stało jesz­cze jedno zada­nie. Czy ktoś ma upraw­nie­nia, by łączyć się z fan­ta­zją z Inter­netu? Abde­nago wystu­kuje komendę „last”, by zoba­czyć listę osób, które łączyły się ostat­nio z fan­ta­zją. Aż pod­ska­kuje na krze­śle, gdy oka­zuje się, że użyt­kow­nicy van­go­gha i nancy łączyli się z nią z kom­pu­tera „adagency.com” poło­żo­nego za zaporą ogniową Refri­ge­ra­tors R Us.

Abde­nago nie może tej nocy zasnąć. Wzrósł mu poziom adre­na­liny. Wie, że Refri­ge­ra­tors R Us wkrótce będzie jego.

Ostat­nie starcie

OGŁUPIANIE IP umoż­li­wia hake­rom ukry­cie wła­snego adresu. Począt­kowo haker wysyła serię pakie­tów z flagą SYN, by uzy­skać pakiety ACK/SYN z kolej­nymi licz­bami syn­chro­ni­za­cji. Na pod­sta­wie odpo­wie­dzi czę­sto potrafi odgad­nąć wzo­rzec two­rze­nia cią­gów tych liczb. W naszym przy­kła­dzie każdy kolejny numer jest więk­szy od 128 000. Gdy haker to odkryje, wysyła pakiet SYN potwier­dza­jący nawią­za­nie łączno­ści z kom­pu­te­rem akcep­to­wa­nym przez ofiarę. Ata­ko­wany kom­pu­ter ode­śle pakiet z fla­gami ACK/SYN do zaufa­nego kom­pu­tera. Cho­ciaż haker nie otrzyma odpo­wie­dzi, może kon­ty­nu­ować kore­spon­den­cję z odbiorcą, tak jakby odpo­wiedź dostał: wysyła pakiet z flagą ACK wraz odgad­nię­tymi licz­bami syn­chro­ni­za­cji i nawią­zuje upraw­nioną łączność z kom­pu­te­rem ofiary. Odtąd wszel­kie pakiety przy­cho­dzące od hakera będą trak­to­wane i reje­stro­wane jako nad­cho­dzące z god­nego zaufa­nia komputera.

Następ­nego wie­czora Abde­nago szyb­ciutko wła­muje się do adagency.com.
Wyko­rzy­stuje trik z ogłu­pia­niem IP i skła­nia ten kom­pu­ter, by w swo­ich rapor­tach błęd­nie noto­wał jego adres. Odpo­wiedni pro­gram wysyła pakiety SYN w celu wymu­sze­nia w odpo­wie­dzi pakie­tów ACK/SYN zawie­ra­ją­cych m.in. serię liczb syn­chro­ni­zu­ją­cych dal­sze trans­mi­sje. Na pod­sta­wie tych sekwen­cji pro­gram Abde­nago odga­duje wzo­rzec, a z niego można wywnio­sko­wać, jakie będą kolejne ciągi liczb syn­chro­ni­zu­ją­cych. Wystar­cza to do ukry­cia praw­dzi­wego adresu. Następ­nie w adagency.com insta­luje moni­tor i za pomocą pro­gra­mów powłoki bez­pie­czeń­stwa two­rzy szy­fro­wane łącze z fantazją.

Będąc już w fan­ta­zji, komendą „net­stat” spraw­dza, które kom­pu­tery są aktu­al­nie aktywne w sieci. Odkrywa maszynę, którą wcze­śniej prze­oczył. Jej nazwa: „admin.refrigerus.com”, jest bar­dzo obie­cu­jąca. Czyżby z tego kom­pu­tera Dogberry zarzą­dzał całym systemem?

W mię­dzy­cza­sie bez prze­rwy pra­cuje pro­gram do łama­nia haseł. Ile­kroć Abde­nago odkrywa kolej­nego użyt­kow­nika i jego hasło, pró­buje za ich pomocą zalo­go­wać się na innych kom­pu­te­rach. Nie­stety, żadne z nich nie dzia­łają poza fan­ta­zją, a do niej dostęp już ma.

Nagle szczę­ście się do niego uśmie­cha. Dwu­krot­nie. Na fan­ta­zji Abde­nago prze­chwy­tuje ciąg zna­ków wpro­wa­dza­nych przez użyt­kow­nika van­go­gha, gdy ten aktu­ali­zo­wał fir­mową witrynę WWW. Teraz Abde­nago zna hasło potrzebne do wła­ma­nia się do fir­mo­wego ser­wera WWW. Dodat­kowo jego moni­tor zain­sta­lo­wany w picas­sie odkrywa, że nancy zadzwo­nił do tego kom­pu­tera i z niego zare­je­stro­wał się na taj­nym kon­cie z upraw­nie­niami admi­ni­stra­tora w admin.refrigerus.com.

Zaraz po nancy wśli­zguje się tam Abde­nago. Stąd pró­buje łączyć się z kolej­nymi kom­pu­te­rami w Refri­ge­ra­tors R Us. Oka­zuje się jed­nak, że Dogberry jest wyjąt­kowo prze­zorny. W sieci Refri­ge­ra­tors R Us nawet użyt­kow­nik z przy­wi­le­jami admi­ni­stra­tora nie może zare­je­stro­wać się na innych kom­pu­te­rach bez poda­nia odpo­wied­nich haseł.

Tro­chę tylko roz­cza­ro­wany Abde­nago ponow­nie wraca do ser­wera WWW i loguje się w nim, korzy­sta­jąc z dopiero co zdo­by­tego hasła. Następ­nie ściąga z domo­wego kom­pu­tera nową wer­sję strony domo­wej Refri­ge­ra­tors R Us, którą tego dnia sam przygotował.

Z kolei w Refri­ge­ra­tors R Us Dogberry do póź­nej nocy stu­diuje raporty. Zauważa, że pra­cow­nicy działu han­dlo­wego zaczęli wyjąt­kowo czę­sto łączyć się z adagency.com. Posta­na­wia naza­jutrz poroz­ma­wiać z nimi oso­bi­ście i wyja­śnić, co się naprawdę dzieje. Zadzwoni rów­nież do admi­ni­stra­tora w adagency.com, kolegi, któ­remu kie­dyś pomógł zain­sta­lo­wać nowe oprogramowanie.

Dogberry ma już po cięż­kim dniu pracy wycho­dzić do domu, gdy w jego gabi­ne­cie dzwoni tele­fon. Jakiś obu­rzony klient twier­dzi, że w witry­nie WWW Refri­ge­ra­tors R Us pre­zen­to­wany jest film por­no­gra­ficzny ze scen­kami na lodówce. Dogberry pod­rywa się i po spraw­dze­niu, że strona została zmo­dy­fi­ko­wana, wyrywa z gniazdka kabel Ether­net, odci­na­jąc całą sieć firmy od Internetu.

Abde­nago dener­wuje się, widząc, jak szybko jego obsce­niczne arcy­dzieło zostaje usu­nięte z Sieci. Boi się rów­nież, że pozo­sta­wił zbyt wiele śladów. Korzy­sta­jąc z modemu, łączy się z picas­sem — przez wej­ście do sys­temu, o któ­rym Dogberry jesz­cze nic nie wie. Zyskuje na cza­sie, for­ma­tu­jąc na nowo dysk admi­ni­stra­tora, blo­ku­jąc wewnętrzną sieć i w ten spo­sób cza­sowo unie­moż­li­wia­jąc Dogberry’emu szcze­gó­łową ana­lizę ataku.

Dogberry pędzi do admi­ni­stru­ją­cego kom­pu­tera w nadziei, że zdoła go uru­cho­mić z kon­soli. Nie­stety, jest już za późno. Całe opro­gra­mo­wa­nie trzeba insta­lo­wać od początku. (Abde­nago nie miał poję­cia, że dzia­ła­jący na sto­ją­cym obok Macin­to­shu Ether­Peek rów­nież zapi­sy­wał raporty.)

Zawie­dziony nie­po­wo­dze­niem z witryną WWW Abde­nago doko­nuje ostat­niego wyczynu tej nocy: zalewa refrigerus.com pakie­tami danych. Nie­długo potem Dogberry odbiera tele­fon od zroz­pa­czo­nej przed­sta­wi­cielki han­dlo­wej, która ze swo­jego pokoju hote­lo­wego bez­sku­tecz­nie usi­łuje za pomocą lap­topa i linii tele­fo­nicz­nej dostać się do ser­wera pocz­to­wego w Refri­ge­ra­tors R Us i ode­brać nie­zwy­kle ważne wiadomości.

Następ­nego ranka wyczer­pany Dogberry błaga wice­pre­zesa o zgodę na wyczysz­cze­nie kom­pu­te­rów w fir­mie, ponowną insta­la­cję opro­gra­mo­wa­nia i zmianę wszyst­kich haseł. Choć pro­po­zy­cja jest roz­sądna, wiąże się z zamknię­ciem całego sys­temu na kilka dni — Dogberry’ego spo­tyka odmowa.

W tym momen­cie zło­śli­wość i destruk­cyj­ność poczy­nań Abde­nago znacz­nie wykro­czyła poza gra­nice dopusz­czal­nego haker­stwa. Ale FBI, cier­piące na brak ludzi, jest zajęte docho­dze­niami w spra­wie kilku ostat­nich wła­mań do kom­pu­te­rów woj­sko­wych i rzą­do­wych na tere­nie USA. Dogberry sam musi zebrać wię­cej dowodów.

Ponie­waż wła­my­wacz był aktywny w sys­te­mie po fizycz­nym odłą­cze­niu sieci od Inter­netu, Dogberry domy­śla się, że gdzieś w budynku jest zain­sta­lo­wany nie­le­galny modem. Uru­cha­mia wła­snego tele­fo­nicz­nego wojow­nika i wykrywa wino­wajcę. Będzie musiał w dziale han­dlo­wym zro­bić małą awanturę!

Dogberry ładuje czy­stą wer­sję sys­temu do swo­jego kom­pu­tera admi­ni­stra­tora. Następ­nie na ser­we­rze Win­dows XP, o któ­rym wie, że nie był ata­ko­wany, insta­luje T-sighta — zaawan­so­wany pro­gram anty­ha­ker­ski, który może zdal­nie moni­to­ro­wać każdy kom­pu­ter fir­mo­wej sieci.

Następ­nie Dogberry przy­go­to­wuje pułapkę. T-sight czyha na kolejne połą­cze­nie wła­my­wa­cza z admin.refrigerus.com, by skie­ro­wać go do spe­cjal­nego kom­pu­tera: „wię­zien­nej celi”. Tutaj wino­wajca może być śledzony. Aby go nie wystra­szyć, Dogberry każe gru­pie pro­gra­mi­stów skon­fi­gu­ro­wać kom­pu­ter tak, by wyglą­dał nie jak wię­zie­nie, ale jak maszyna z działu księ­go­wo­ści, pełna kuszą­cych zesta­wów danych finan­so­wych (oczy­wi­ście spreparowanych).

Nie­chlubny koniec

Dwie noce póź­niej przy­cza­jony Dogberry o 20.17 zauważa, że ktoś zare­je­stro­wał się na admin.refrigerus.com. Jest to Abde­nago. Dla­czego wró­cił tak szybko? Roz­ra­do­wała go wia­do­mość, że jego por­no­gra­ficzny wyczyn jest tema­tem dys­ku­sji w haker­skim pół­światku. Nawet CNN poświę­cił incy­den­towi krótką wzmiankę. Zain­te­re­so­wa­nie publiczne i wła­sna aro­gan­cja dają Abde­nago taką pew­ność sie­bie, że czuje się bezkarny.

Tej nocy bez­czel­nie wkra­cza do sieci Refri­ge­ra­tors R Us, nie zacho­wu­jąc zwy­kłej ostroż­no­ści. Dzwoni na konto gościa na ISP, a następ­nie pro­gra­mem „tel­net” bez­po­śred­nio łączy się z adagency.com, by szyb­ciej dotrzeć do fantazji.

Z admin.refrigerus.com zostaje prze­nie­siony przez T-sighta do wię­zien­nej celi. Z tru­dem opa­no­wuje pod­nie­ce­nie, bada­jąc dane, które uznaje za ważne infor­ma­cje finansowe.

Dogberry rów­nież jest bar­dzo zajęty. Szybko ana­li­zu­jąc dane z T-sighta, odkrywa hasło Abde­nago na fan­ta­zji — „GiNd0gB” — i może już śledzić powrót wła­my­wa­cza do adagency.com. Dogberry łączy się z page­rem admi­ni­stra­torki tego kom­pu­tera. Nie ma jej już w pracy, ale natych­miast oddzwa­nia z restau­ra­cji i pomaga w dal­szym pościgu za Abdenago.

W cza­sie gdy haker ściąga duży plik z fik­cyj­nymi nume­rami kart kre­dy­to­wych, Dogberry insta­luje swój moni­tor w adagency.com. Może nawet wejść nie zauwa­żony na konto Abde­nago, bo ten z leni­stwa wszę­dzie zasto­so­wał to samo hasło. W kilka minut po zakoń­cze­niu trans­mi­sji pliku z fik­cyj­nymi nume­rami kart kre­dy­to­wych Dogberry’emu udaje się wyśle­dzić, dokąd ten plik został prze­słany, czyli namie­rzyć kom­pu­ter ISP, na któ­rym Abde­nago ma konto.

Uzy­skana przez Dogberry’ego infor­ma­cja wystar­cza do zaalar­mo­wa­nia FBI. Jego pra­cow­nicy następ­nego dnia kon­tak­tują się z ISP, aby na pod­sta­wie logów z routera ziden­ty­fi­ko­wać Abde­nago. Wobec tylu dowo­dów, włącz­nie z bar­dzo pre­cy­zyj­nymi rapor­tami Ether­Peek z Macin­to­sha, pro­ku­ra­tor zezwala na rewizję.

Nie­ba­wem agenci FBI wkra­czają do domu Abde­nago i kon­fi­skują kom­pu­ter. Twardy dysk ujaw­nia szcze­góły. Abde­nago usi­ło­wał się zabez­pie­czyć i kaso­wał wszel­kie pliki mogące zdra­dzić jego nocne wyprawy. Mar­twi go, gdy się oka­zuje, że FBI potrafi odczy­ty­wać dane z twar­dych dys­ków nawet po ich wyma­za­niu i kil­ka­krot­nym zapi­sa­niu w to miej­sce innych. Wkrótce w labo­ra­to­rium zostają odkryte wszyst­kie szcze­góły eska­pad, łącznie z wła­ma­niem do dużego banku.

Mega­bajty obcią­ża­ją­cych danych są wystar­cza­ją­cym dowo­dem, by oskar­żyć Abde­nago o prze­stęp­stwa kom­pu­te­rowe z co naj­mniej kilku para­gra­fów. Na jego nie­szczę­ście sędzina przy­dzie­lona do tej sprawy jest znana z nie­ustę­pli­wego sta­no­wi­ska wobec prze­stęp­ców kom­pu­te­ro­wych. Za radą adwo­kata Abde­nago przy­znaje się do winy, cho­ciaż jak wielu prze­kra­cza­ją­cych gra­nice prawa hake­rów utrzy­muje, że jego postę­po­wa­nie — kosz­tu­jące samą tylko Refri­ge­ra­tors R Us tysiące dola­rów — było tylko żartem. Ska­zany na dwa lata wię­zie­nia Abde­nago odsia­duje teraz wyrok.

Słow­ni­czek

Abde­nago — biblijny Izra­elita prze­trzy­my­wany w nie­woli babi­loń­skiej, który poko­nał zaporę ogniową i przeżył.

ACK — patrz wyżej.

Demon — auto­ma­tycz­nie uru­cha­miany użyt­kowy pro­gram kom­pu­te­rowy pra­cu­jący w tle.

Dogberry — poli­cjant ze sztuki Wil­liama Shakespeare’a Wiele hałasu o nic.

FIN — patrz wyżej.

FTP — powszech­nie sto­so­wany pro­to­kół oraz nazwa pro­gramu do prze­sy­ła­nia pli­ków w Internecie.

Inter­pre­ter pole­ceń — powłoka pro­gra­mowa two­rząca inter­fejs pomię­dzy użyt­kow­ni­kiem a sys­te­mem ope­ra­cyj­nym komputera.

IP — pro­to­kół niskiego poziomu do prze­sy­ła­nia pakie­tów w Internecie.

ISP — dostawca usług internetowych.

Konie tro­jań­skie — pro­gramy insta­lo­wane przez hakera w celu ukry­cia jego aktyw­no­ści w systemie.

Root — naj­wyż­szy poziom uprzy­wi­le­jo­wa­nia w kom­pu­te­rach z sys­te­mem Unix.

Liczba syn­chro­ni­za­cyjna — numer słu­żący do koor­dy­na­cji kolejno nad­cho­dzą­cych pakie­tów trans­mi­sji IP.

Moni­tor — pro­gram reje­stru­jący wewnętrzną i sie­ciową aktyw­ność komputera.

Moni­tor kla­wia­tu­rowy — pro­gram reje­stru­jący wszel­kie tek­sty wpro­wa­dzane za pomocą klawiatury.

Ogłu­pia­nie IP — patrz wyżej.

Port — połą­cze­nie lub kanał dostępu do komputera.

Prze­peł­nia­nie bufo­rów — patrz wyżej.

RAM — pamięć operacyjna.

RST — patrz wyżej.

Ska­ner — pro­gram usi­łu­jący wykryć słabe strony kom­pu­tera ofiary przez wie­lo­krotne wysy­ła­nie roz­ma­itych pytań.

SYN — patrz wyżej.

TCP — pro­to­kół trans­mi­sji umoż­li­wia­jący wysy­ła­nie i otrzy­my­wa­nie pli­ków Internetem.

Tele­fo­niczny wojow­nik — pro­gram, który auto­ma­tycz­nie łączy się przez modem z nume­rami tele­fo­nicz­nymi z poda­nego zakresu.

Tel­net — komenda sys­temu Unix pozwa­la­jąca na zdalne reje­stro­wa­nie się na innych komputerach.

Tylne drzwi — metoda wcho­dze­nia do kom­pu­tera z pomi­nię­ciem stan­dar­do­wych pro­ce­dur bezpieczeństwa.

Unix — roz­bu­do­wany sys­tem operacyjny.

Zapora ogniowa — silne pro­gramy obronne blo­ku­jące dostęp intruzów.

Zrzut pamięci — ilu­stra­cja powyżej.

Lite­ra­tura uzupełniająca

ESSENTIAL SYSTEM ADMINISTRATION. Wyd. II. _len Frisch; O’Reilly & Asso­cia­tes, Seba­sto­pol, Calif., 1995.

INTERNET FIREWALLS AND NETWORK SECURITY. Wyd. II. Chris Hare i Karan­jit Siyan; New Riders Publi­shing, India­na­po­lis, 1996.

MAXIMUM SECURITY: A HACKER’S GUIDE TO PROTECTING YOUR INTERNET SITE AND NETWORK. Praca ano­ni­mowa; Sams Publi­shing, India­na­po­lis, 1997.

THE GIANT BLACK BOOK OF COMPUTER VIRUSES. Wyd. II. Mark Ludwig; Ame­ri­can Eagle Publi­ca­tions, Show Low, Ariz., 1998.

Dodat­kowe infor­ma­cje można zna­leźć w sieci WWW pod adre­sami http://www.geek-girl.com/bugtraq, http://ntbugtraq.ntadvice.com/, http://rootshell.com/ i http://www.happyhacker.org/.

Szcze­góły doty­czące pro­gra­mów Ether­Peek oraz T-sight można zna­leźć odpo­wied­nio w witry­nach http://www.aggroup.com/ i http://www.engarde.com/.