LINUXSOFT.cz Přeskoč levou lištu
Uživatel: Heslo:  
   CZUKPL

> Hakin9 3/2005 (7)

V aktuálním čísle Hakin9u pro květen/červen si přečtete např. o chybách v PHP, útocích metodou SQL injection, generování shellkódů v Pythonu nebo o kompromitujícím záření.

20.4.2005 06:00 | Ondřej Čečák | Články autora | přečteno 9359×

Obálka Hakin9 #7

Hakin9, jak se bránit je polský mezinárodní časopis, který v současné době vychází v 7 jazycích a v papírovém vydání ve více než 18 zemích světa. Je vydáván společností Software-Wydawnictwo Sp. z o.o. a do češtiny je překládán – nejspíše z polštiny. Jako překladatelé jsou v čísle s pořadovým číslem 7 uvedeni Stanislav Gráf, Jaroslav Gregor, Jaroslav Luger, Nina Sajdoková, Svatopluk Vít; jako korektor je uveden David Kredba.

Obsah čísla

Obsah čísla je jako tradičně rozdělen do tří tématických celků – Základy, Útok a Obrana.

  • Úvodní rubriky
    • editorial, obsah
    • ve zkratce
    • hakin9.live – obsah CD
    • nástroje – Ant
  • Základy
    • Úklid pavučiny – zjišťování nelegálního sdílení připojení
    • Nalezení a zneužití chyb v kódu PHP
  • Útok
    • SQL Injection útoky na PHP a MySQL
    • Metody skrývání modulů linuxového jádra
    • Generování shellkódů v Pythonu
    • TEMPEST – Kompromitující záření
  • Obrana
    • Honeypot – past na havěť
  • Závěrečné rubriky
    • Fejeton
    • V příštím čísle mimo jiné najdete

Novinky

Už po otevření časopisu uvidíte pár změn. Tou první je jiná fotka a také podpis u editorialu šéfredaktora – došlo totiž ke změně a novým šéfredaktorem magazínu hakin9 se zřejmě stal Roman Polesek. To ale není vše, na úvodní stránce si můžete všimnout trochu upravené grafiky, což je rozhodně změna k lepšímu. Po otočení si také jistě všimnete nové rubriky Ve zkratce, která formou zpráviček a kratších článků informuje o aktuálním dění. Velice pěkné, doufám, že tato sekce nezmizí s příštím číslem v propadlišti dějin.

To hlavní si ale stále nechávám jako trumf v rukávě. V tomto článku už nebudu muset znovu opakovat předchozí nedostatky – nezvládnutou sazbu do bloku a nadmíru chyb.

Sazba odstavců je totiž v aktuálním čísle zvládnuta s přimhouřením oka na jedničku a i chyb výrazně ubylo. Ano, stále se v textu nepochopitelně objevuje za slovíčkem viz tečka; narazíte na LED diody; různé elementy v časopise se označují velkým písmen (např. "podívejte se na Výpis 1, na Tabulku 2, na Obrázek 3 nebo na Článek 4" – což dle mého názoru není gramaticky správně a hlavně to vypadá docela rušivě), nicméně to už nijak zásadně nebraní v pohodlném čtení.

Zapomenout také nesmím na další novou rubriku s názvem Fejeton na samém konci časopisu. Tedy ne, že by se opravdu jednalo o fejeton ve stylu, jak je psal třeba Jan Neruda, ale autor v něm opravdu subjektivně glosuje určitou věc (v aktuálním čísle se zaměřil na stávající emailové systémy a problémy s tím související).

Podrobněji k obsahu čísla

Dost ale bylo novinek, pojďme se podívat na hlavní obsah čísla. Samozřejmě nechybí tradiční rubriky jako jsou Obsah CD (na které se ještě blíže podíváme později) a Nástroje, kde je popsán Ant – síťový nástroj pro práci s packety.

V sekci Základy je tentokrát článek, jehož název začíná slovy Úklid pavučiny. Sice to zavání novým newspeakem, to ale nic nemění na jeho obsahu. V článku se totiž probírá odhalování nelegálního sdílení připojení (což mohou mít někteří poskytovatelé konektivity zakazáno např. ve smlouvě uzavírané se zákazníky) a představeno je mnoho velice zajímavých, místy až zábavných, ale přesto dle mého názoru naprosto obskurních metod detekce sdílení připojení. Abych to uvedl na pravou míru – i když internet provider podle různých označení webových prohlížečů pozná, že uživatel používá dva různé browsery, stále to není jasný důkaz o nelegální činnosti (často je potřeba používat více prohlížečů, např. při vývoji webových stránek, práci s internetovým bankovnictvím apod.) a podobně to platí i pro ostatní metody (uživatel si může hrát s nastavením sítě nebo mít na počítači víc operačních systémů a střídat je apod.). Nic to samozřejmě nemění na faktu, že článek je zajímavý a některé jeho části mohou být poučné.

Téměř polovinu celého časopisu zabírá sekce Útok, ve které si přijdou na své nejenom začínající programátoři PHP, které budou zřejmě zajímat první dva články. Ten první popisuje možnosti nalezení a zneužití chyb v PHP a rovnou je demonstruje na příkladech skutečných programů dostupných různě po webu ke stažení. Dozvíte se útocích na nekontrolovaný vstup, o použití metod cross-site scripting a HTML injection, SQL injection, přenos souboru PHP a v neposlední řadě se také dozvíte, jaké máte možnosti při zabezpečení PHP.

Druhý článek se zaměřuje více na jednu z dříve představených metod; a totiž na SQL injection. Z článku se dozvíte vše potřebné o této metodě a dojde také na praktický příklad útoku na jedno diskuzní fórum.

Následující stať navazuje na povídání z minulého čísla o jaderných modulech, resp. o rootkitech. Z článku se dozvíte, jak váš hotový modul (zřejmě nějaký rootkit, ovšem to je v tomto případě zcela vedlejší) v jádře skrýt. Naučíte se, jak ho vymazat ze seznamu načtených modulů a nebo jak modul slinkovat s jiným (a zajistit tak jeho opětovné načtení po rebootu jádra).

Další celkem 19 stránkový článek popisující generování shellkódů v Pythonu je nejdelším návodem v celém časopisu a díky němu se snadno naučíte, jak vytvořit shellkód pro váš exploit s pomocí knihovny InlineEgg. Všude kolem textu je hodně schémat, výpisů a tabulek, které vám pomohou lépe pochopit probíranou látku. Postupně se prokousáte problémy s prvním generováním a nakonec byste měli být schopni vytvoření funkčního shellkódu dle vlastní potřeby.

Posledním článkem v sekci Útok je popis TEMPEST, metody, která je známa také díky vědci Wim van Eckovi. Dozvíte se o metodách, o kterých se zatím pouze velice obecně mluvilo v souvislosti s profesionální špionáží. Článek ovšem představuje také praktické využití a konstrukci špionážního zařízení pracující na principu odchytávání emitovaného záření. Některé pojmy sice nejsou úplně stejné jako ty, které znám z hodin fyziky, každopádně i díky anglickým ekvivalentům snadno pochopíte, o co se jedná.

Sekce Obrana, která následuje, tentokrát obsahuje pouze jediný článek a tím je představení dalšího z honeypotů, Honeyd. Naučíte se, jak připravit hrnec s medem obsahující klidně celou virtuální sít tak, že se do něj budou chytat červi (jejichž typické chování je v článku také představeno) a jak případně provést protiútok.

Přiložené CD

CD naleznete vlepené na jedné ze stránek časopisu. V datových stopách média se skrývá bootovatelná live distribuce hakin9.live 2.5 založená na Aurox Live 10.1 a mimo jiné také tutoriály a materiály k probrané látce v časopisu. Novinkou je další přiložená dokumentace, na CD byste měli najít dokumenty RFC, free knihy v PDF a HTML (anglicky) a v časopise nepublikované články (také anglicky).

Při startu systému jsem si všiml, že poměrně dlouho zdržuje start nessusd, což je pochopitelné, protože musí načíst všechny pluginy. To se mi ale zdá docela zbytečné, protože ne pokaždé je nessus potřeba a navíc lze snadno spustit ručně (a se systémem při čekání na jeho start klidně pracovat), než aby zdržoval při bootování, když to můžete tak leda sledovat výpis dalších startujících služeb.

Závěr

Konečně se zdá, že se časopis začíná měnit k lepšímu. Po opravách sazby a části chyb je čtení odborných článků zaměřených na bezpečnost pohodou. Navíc se dle mého názoru obsahově v pořadí už sedmé číslo časopisu hakin9 opravdu povedlo.

Na stránkách časopisu by měl být ukázkový článek, bohužel jsem ho ale v době psaní recenze nemohl najít.

Časopis "hakin9, jak se bránit" s podtitulem "Hard Core IT Security Magazine" vychází každé dva měsíce, má 80 stran a s přiloženým CD si ho můžete koupit za 199 Kč (359 Sk) např. v Linux CD Shopu nebo v internetovém obchodě vydavatele.

Verze pro tisk

pridej.cz

 

DISKUZE

"nelegální" sdílení připojení 25.4.2005 02:38 Jan Houštěk
  L Re: "nelegální" sdílení připojení 25.4.2005 16:01 Ondřej Čečák




Příspívat do diskuze mohou pouze registrovaní uživatelé.
> Vyhledávání software
> Vyhledávání článků

14.11.2017 16:56 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Zajímá tě DIY, CNC, SDR nebo morseovka? Přijď na sraz spolku OpenAlt – tradičně první čtvrtek před třetím pátkem v měsíci: 16. listopadu od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5).
Přidat komentář

12.11.2017 11:06 /Redakce Linuxsoft.cz
PR: 4. ročník odborné IT konference na téma Datová centra pro business proběhne již ve čtvrtek 23. listopadu 2017 v konferenčním centru Vavruška, v paláci Charitas, Karlovo náměstí 5, Praha 2 (u metra Karlovo náměstí) od 9:00. Konference o návrhu, budování, správě a efektivním využívání datových center nabídne odpovědi na aktuální a často řešené otázky, např Jaké jsou aktuální trendy v oblasti datových center a jak je využít pro vlastní prospěch? Jak zajistit pro firmu či jinou organizaci odpovídající služby datových center? Podle jakých kritérií vybrat dodavatele služeb? Jak volit součásti infrastruktury při budování či rozšiřování vlastního datového centra? Jak efektivně spravovat datové centrum? Jak eliminovat možná rizika? apod.
Přidat komentář

13.9.2017 8:00 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Zajímá tě DIY, CNC, SDR nebo morseovka? Přijď na sraz spolku OpenAlt – tentokrát netradičně v pondělí: 18. září od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5).
Přidat komentář

3.9.2017 20:45 /Redakce Linuxsoft.cz
PR: Dne 21. září 2017 proběhne v Praze konference "Mobilní řešení pro business". Hlavní tématy konference budou: nejnovější trendy v oblasti mobilních řešení pro firmy, efektivní využití mobilních zařízení, bezpečnostní rizika a řešení pro jejich omezení, správa mobilních zařízení ve firmách a další.
Přidat komentář

15.5.2017 23:50 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Zajímá tě DIY, CNC, SDR nebo morseovka? Přijď na sraz spolku OpenAlt, který se bude konat ve čtvrtek 18. května od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5).
Přidat komentář

12.5.2017 16:42 /Honza Javorek
PyCon CZ, česká konference o programovacím jazyce Python, se po dvou úspěšných ročnících v Brně bude letos konat v Praze, a to 8. až 10. června. Na konferenci letos zavítá např. i Armin Ronacher, známý především jako autor frameworku Flask, šablon Jinja2/Twig, a dalších projektů. Těšit se můžete na přednášky o datové analytice, tvorbě webu, testování, tvorbě API, učení a mentorování programování, přednášky o rozvoji komunity, o použití Pythonu ve vědě nebo k ovládání nejrůznějších zařízení (MicroPython). Na vlastní prsty si můžete na workshopech vyzkoušet postavit Pythonem ovládaného robota, naučit se učit šestileté děti programovat, efektivně testovat nebo si v Pythonu pohrát s kartografickým materiálem. Kupujte lístky, dokud jsou.
Přidat komentář

2.5.2017 9:20 /Eva Rázgová
Putovní konference československé Drupal komunity "DrupalCamp Československo" se tentokrát koná 27. 5.2017 na VUT FIT v Brně. Můžete načerpat a vyměnit si zkušenosti z oblasti Drupalu 7 a 8, UX, SEO, managementu týmového vývoje, využití Dockeru pro Drupal a dalších. Vítáni jsou nováčci i experti. Akci pořádají Slovenská Drupal Asociácia a česká Asociace pro Drupal. Registrace na webu .
Přidat komentář

1.5.2017 20:31 /Pavel `Goldenfish' Kysilka
PR: 25.5.2017 proběhne v Praze konference na téma Firemní informační systémy. Hlavními tématy jsou: Informační systémy s vlastní inteligencí, efektivní práce s dokumenty, mobilní přístup k datům nebo využívání cloudu.
Přidat komentář

   Více ...   Přidat zprávičku

> Poslední diskuze

15.12.2017 15:11 / Petit
freehold nj

15.12.2017 15:06 / Petit
nj freehold

5.12.2017 11:50 / Thomas
kitchen renovations

18.9.2017 14:37 / Rojas
high security vault

15.9.2017 7:33 / Wilson
new zealand childcare jobs

Více ...

ISSN 1801-3805 | Provozovatel: Pavel Kysilka, IČ: 72868490 (2003-2017) | mail at linuxsoft dot cz | Design: www.megadesign.cz | Textová verze