- Иду на Винду, или как защититься от
слонов.
Максим СИЛАКОВ (silackov99@mail.ru)
-
Сегодня
речь пойдет о двух довольно
распространенных видах атак: Ping Of
Death (Ping Flood) и Teardrop, особенно не
устойчивы против них Windows 95 и Windows 98.
-
Ping Of Death
В принципе, этот метод атаки
далеко не нов, он "был открыт" еще
во времена WinNuk'a, однако сейчас
становится все более популярным (говорю
по собственному опыту :-)), ведь с его
помощью одинаково успешно "вешаются"
Windows'ы практически всех модификаций, в
том числе и Windows 98.
Если вы читали предыдущую статью,
посвященную Firewall, то наверняка
запомнили, что большинство подобных
программ пропускают ICMP пакеты, они
то и применяются для ping'ования.
Для начала разберемся, что такое ping.
Это небольшая программа, как правило,
используемая для того, чтобы проверить
связь с компьютером в Интернете. Она
отсылает короткое сообщение, на
которое автоматически отвечает другой
компьютер. Таким образом всегда можно
выяснить, существует ли связь с тем или
иным хостом. Однако нашлись злодеи,
придумавшие для ping'а совсем другое
применение - атаковать машины
пользователей Сети. Сущность атаки
состоит в следующем: на машину жертвы
посылается сильно фрагментированный
ICMP пакет большого размера (64 Кб). Windows
системы реагируют на его получение
однозначно - они "повисают".
Программа для атаки широко доступна в
Интернете в виде исходника на C и в виде
запускаемых файлов для некоторых
версий UNIX.
Атаковать с помощью ping'а очень просто,
разве что размер пакета (64 Кб) может
выявить злоумышленника. Но, имея
терпение и устойчивое соединение с
провайдером, никто не помешает "пингонуть"
надоевшего вам в IRC товарища.
Как же защититься от таких атак? Лично я
не знаю конкретных программ для этих
целей, но можно настроить и некоторые
версии Firewall на фильтрацию ICMP. Доступны
и заплатки от Microsoft - для Windows 95 (ftp://ftp.microsoft.com/Softlib/MSLFILES/VIPUPD.EXE),
NT v4.0 (ftp://ftp.microsoft.com/bussys/winnt/winnt-public/
fixes/usa/NT40/hotfixes-postSP3/icmp-fix/icmpfixi.exe) и NT
v3.51 (ftp://ftp.microsoft.com/bussys/winnt/winnt-public/
fixes/usa/nt351/hotfixes-postSP5/icmp-fix/ICMP351I.EXE).
В отличие от практически моментально
вешающего систему WinNuk'a, у ping'a
существуют характерные признаки,
благодаря которым его можно легко
обнаружить. Рассмотрим конкретный
пример. Допустим, вы подключились к
Интернету и в данный момент общаетесь
по ICQ или на канале IRC. И вдруг поток
данных, принимаемых модемом, резко
возрастает (лампочка модема "RD"
непрерывно мигает и не гаснет), а вслед
за этим катастрофически замедляется
работа Windows. В таких случаях надо
немедленно разорвать модемное
соединение (например, выключив) и
перезагрузить компьютер. После
перезагрузки нормальная работа
системы восстановится. После этого
нужно скачать заплатки и установить их
:-).
Teardrop
Teardrop'ом - это программы, посылающие
фрагментированные IP-пакеты с
некорректной служебной информацией.
При получении таких данных ядро
операционной системы пытается собрать
полученные фрагменты в один, но из-за
неверно указанных длин фрагментов
происходит неправильное выделение
памяти. В результате, полностью
прекращается работа операционной
системы - компьютер не реагирует ни на
что, кроме выключения питания.
Такую программу можно скачать в виде
исходника практически на любом крупном
сайте, посвященном безопасности. Windows 98,
в отличие от Windows 95, практически не
подвержена воздействию teardrop. Так
продолжалось до тех пор, пока не
появился newtear. Кроме того, тем, кто
работает под управлением операционных
систем Windows NT и Linux (с версией ядра ранее
2.0.30), следует опасаться teardrop'а.
Защититься от различных модификаций
teardrop можно с помощью хорошо знакомого
нам Firewall, настроенного на блокировку
соединений к UDP и TCP портам, или
же - через официальные заплатки (ftp://ftp.microsoft.com/Softlib/MSLFILES/tearfix.exe).
Словом, правильно защищайтесь и
перестаньте ругать Microsoft за все ее
ошибки.
Удачи
Источник: http://www.mycomp.com.ua/
|