Комментарии к демке К.Касперски "Shellcodes uncovered"

Наконец я сел за написание сего текста =).

Скажу просто, книга должна быть хорошая, но надо сделать ее лучше и у нас есть еще шанс.

Теперь за дело:

Первое, что мне не понравилось, та это введение. Крис, ты это вставляешь по ходу в каждую статью о bo.

Второе, люди которые возьмут эту книгу в руки в большинстве своем разбираются в асме не хуже нас и вводный курс в этот чудесный язык я думаю не нужен, ведь это только опугнет читателя.На мой взгляд, шеллкодинг это занятие уже сформировавшихся системных программистов с очень высокой технической подготовкой, конечно этот кусок можно и оставить если забить его больше нечем Но мне кажется, что инфы море которой можно туда напихать.Лучше уж тогда всякие assembly tips & tricks вставить.

Третье. Какое отношение имеют сотовые телефоны и всякая хардварная лабуда к шеллкодингу?

Просто, по тому введению которое ты написал, формируется впечатление, что эта книга а-ля "Script kiddies manual".



Первая часть мне действительно понравилась.

Но все таки надо поговорить о том, что мне не понравилось:

Хотелось увидеть чего-то новенького, а тут как всегда эти две статьи про буферы. Хоть я и читал уже про SEH твою статью, еще раз перечитал, тем более переработанная.Опечатки я не буду здесь приводить, но такие как GDI вместо GDT...Эт нада исправить.

Про IE тоже интересно, только бы такого по больше было.

Кстати, я очень сильно сомневаюсь, что 0x43434343 - это NOP (0x90) в ASCII.Наверное, это 0x0D0D0D0D.Поправить.

Про поиск переполнений тоже ничего.

<quote>Поиск переполняющихся буферов очень трудно формализовать и практически невозможно автоматизировать</quote>

убедился на собственном опыте.Этому надо посвятить всю жизнь.

Короче про поиск дыр человеку который захотел в это въехать очень интересно написано, но по больше бы...

Но вот собсвенно и все.Про 5 главу писать не имеет смысла т.к. она ни коим образом не относится к шеллкодингу.



Мои идеи по поводу книги:

В книге бы я все таки особое внимание уделил таким фичам как alphanumeric и unicode shellcoding, т.к. эта область освящена только двумя статьями и то буржуйскими и одной нашей, которая является компиляцией этих двух. Также очень было бы хорошо рассмотреть реальные эксплоиты для win32 и никсов,экстремальное проектирование эксплоитов на подручных средствах,написание эксплоитов на perl и т.д.



Идей то у меня много, только я вот боюсь, что ты уже все реализовал это в той части книги которую я не видел =(.

 

Крис, и еще:

мне кажется твое увлечение садистскими анимэ перешло границу. Я чуть не выблевал. Какое отношение это имеет к книге?

 

YoungBastard

> Скажу просто, книга должна быть хорошая,

> но надо сделать ее лучше и у нас есть еще шанс.

за сообщение об ошибках спасибо,

еще есть время их исправить, а вот на радикальную

перестойку книги уже времени не остается ;(



> Первое, что мне не понравилось, та это введение.

> Крис, ты это вставляешь по ходу в каждую статью о bo.

мыщъх не любит писать введения,

вот и норовит затнуть его первым,

что попадется под руку...



> ведь это только опугнет читателя.На мой взгляд,

> шеллкодинг это занятие уже сформировавшихся системных

> программистов с очень высокой технической подготовкой,

последние книги собираются из статей,

а статьи в основном приходится ореентировать на начинающих,

вот поэтому и получается такая мозайка...



> Третье. Какое отношение имеют сотовые телефоны

> и всякая хардварная лабуда к шеллкодингу?

в телефонах тоже обнаружили переполнение буфера

так что это чистый шелл-кодинг и есть



> Просто, по тому введению которое ты написал,

> формируется впечатление, что эта книга а-ля "Script

> kiddies manual".

понятно, учту на будщее. буду писать серьезнее.



> Но все таки надо поговорить о том, что мне не

> понравилось:

вот этого я и жду!



> Хотелось увидеть чего-то новенького,

> а тут как всегда эти две статьи про буферы.

есть там и новый материал,

хотя какая-то часть взаимствуется и из старого



> Про IE тоже интересно, только бы такого по больше было.

на вкус и цвет...

а вот меня, напротив, конкретные уязвимости

не очень привлекают...



> Кстати, я очень сильно сомневаюсь, что 0x43434343 - это

угу, здесь мыщъха конкретно проглючило



> Короче про поиск дыр человеку который захотел в это

> въехать очень интересно написано, но по больше бы...

так ведь это только часть книги!

примерно 1/4 по объему!



> Про 5 главу писать не имеет смысла т.к. она ни коим

> образом не относится к шеллкодингу.

а вот некоторым про внедрение вирусов в BIOS

очень даже понравилось!



> В книге бы я все таки особое внимание уделил таким

> фичам как alphanumeric и unicode shellcoding, т.к. эта

про alphanumeric я писал,

только не помню в какой именно части,

unicode shellcoding - а что об этом писать?

просто строка становится нечувствительной

к нулевым символам, что слегка упрощает шеллкодинг



> Идей то у меня много, только я вот боюсь,

> что ты уже все реализовал это в той части

> книги которую я не видел =(.

просто у меня одновременно выходят:

- шеллкодинг

- записки исследователя вирусов 2

- техника отладки



вот и приходится тассовать имеющийся материал

между тремя книгами со всеми вытекающими отсюда ;(



> мне кажется твое увлечение садистскими анимэ перешло

> границу. Я чуть не выблевал.

> Какое отношение это имеет к книге?

в оставшейся части книги картинки еще круче,

правда в бумажное издание они увы, не попадут.

хм, а вообще наверное надо будет выложить книгу

в двух вариатах: uncensored и censored



а за отзыв большое спасибо,

я кое-что взял себе на заметку

 

2ALL

кто еще хочет высказаться?

не держите критику в себе, выпустите пар наружу!

особенно меня интересует пункт на счет аниме.

 

А льзя ли где-нибудь увидеть хотя бы оглавление "Записок исследователя КВ - 2"?

 

iamlamer

а отзывы будут?

оглавление еще не подготовил,

демка (с бонусом) уже лежит

типа uncensored или мыщъх разбушевался

вопрос насчет "садистсикх" анимэ

по-прежнему сильно волнует

если народ проголосует "против",

я их уберу

 

kaspersky

Будут.



Сразу самое главное замечание, надо было: "kris kaspersky aka nezumi aka мыщх aka kpnc aka... aka... aka...".

 

мне тоже!

ну, у rix'а очень большая статья.Просто, это ща реально актуально. Всякое там типа:void main(int argc,char *argv){char buf[100];strcpy(buf,argv[0]);}

не катит, т.к. в реальности таких знаний хватит только для обучения студентов (у нас так ща и преподают, студенты больше знают, чем преподы =(((().По юникоду можно много чего написать! Реальные примеры применения, не такие как в IE, а там где надо забыть пол ассемлеба и юзать только instruction set =).

не знаю, не знаю...Может быть только с unescape() =)

Я бы с удовольствием почитал и всю книгу перед выходом

 

Кстати, ты в книге говорил, что типа ща мы займемся оптимизацией нашего шеллкода (шеллкод от Skylined), и не занялся.

Крис, я это все не в обиду, я хочу, что бы книга получилась действительно хорошей, а не демо-наработкой.



Кстати, если уж об эксплоитах, то почему бы не осветить такие ващи как web-sploiting,а?

Ведь, sql injection и xss очень интересный вещи и с помощью них можно удаленно переполнить буфер.

 

spy.isp.nsc.ru - это кто?

посковик или человек?



YoungBastard

sql injection я рассматривал,

о web-sploiting в "программисте" писал уже давно,

правда, в книгу это не вошло

 

Крис! Согласен с YoungBastard! Анимэ, на мой взгляд, мешают :о( .

 

Пробежал глазами по диагонали за 15-20 минут. Будет время - посмотрю внимательней. А пока - ниже не обязательно глюки, просто места, которые сразу царапнули по по глазам. Может быть, про них надо подробней, или другими словами, или просто обсудить здесь и прийти к общему знаменателю. (Просматривал в хаотичном порядке, так что искать в тексте конкрентные места придется самому. Вообще, там еще опечаток море, но это редактор поправит.).



у Award это последовательность LHA-архивов, разделенных контрольными суммами

1) Требует пояснения, по крайней мере, что же такое LHA - это LZSS+Huffman от Харуясу Йошизаки? 2) Если это архивы, то в какой памяти они хранятся и когда и куда распаковываются?



Windows NT 4.х вообще не отображает код BIOS'а на свое адресное пространство, Windows 2000 и XP отображают, но лишь потому

Может быть верно, а может быть и нет. Сразу возникает вопрос - откуда в ntvdm появляется образ bios-а при запуске dos-программ?



(100h - sum) & 0xFF

А может быть (0х100 - sum) & FFh? Намек понятен?



Windows не использует INT 13h

Windows NT/2000/XP



Последовательно сканируя сектора, находим сектор с сигнатурой "MZ" в начале. Смотрим, если за концом EXE-заголовка, расположена "PE"-сигнатура, значит, это PE-файл и мы можем внедряться в него любым приемлемым способом. Внедряться лучше всего в PE-заголовок, поскольку файл может быть фрагментирован и не факт, что все последующие сектора принадлежат ему, а не какому ни будь другому ни в чем не повинному файлу.

Лукавый абзац. Ключевое слово "любым приемлимым способом". В качестве такового _в_этих_условиях_ приходит в голову только изменение точки входа на свой ну очень малюсенький код, размещенный где-нибудь между ДОС-стубом и ПЕ-хеадером.



CL/CLD/MOV AX,CS/MOV SS,AX

Надо CLI.



Вирусы, внедряющиеся в bios

Вот уже и Крис, подобно распоследним чайникам, называет "вирусами" что ни попадя.



Для просмотра содержимого памяти уязвимой программы можно воспользоваться спецификаторами "%X", "%d" и "%c".

А %u ?



Автору приходилось сталкиваться с вопиюще небрежными листингами, которые работали как часы, потому что были сконструированы настоящими профессионалами,

Значит, это были "непрофессионалы."



Идея была позаимствована из Фортрана, создатели которого учли главный недостаток его предшественника - Алгола

Очень спорное заявление. Вряд ли Алгол предшественник Фортрана.



В классическом Паскале и других "правильных" языках указали отсутствуют... Современный Паскаль (раньше ассоциируемый с компилятором Turbo Pascal, а теперь еще и DELPHI) также немыслим без указателей/b]

А почитать авторскую спецификацию Паскаля религия не позволяет? Указатели были в Паскале всегда!!!



Страустрапа вообще Дохлым Страусом обозвали

Чтобы была понятная игра слов - тогда уж "Страуструпа".



Для совершения набегов на мирные пастбища Интернета как минимум потребуется холодное пиво и хороший эксплоит... Еще нам потребуется принтер, пиво и остро заточенный карандаш.

Два раза "пиво", конечно, кул. Но и листочек бумажки не помешал бы в пару к карандашу.



Выпивать микросхему...

Кто про что, а Крис опять про пиво! ))



По анимэ. Я скорей "за", чем "против". Прикольно и эротично. Но надо бы их все самостоятельно перевести в серую гамму и посмотреть - смотрятся или нет. А то, боюсь, некоторый процент после печати превратися в набор грязных пятен.



Кстати, в доке листинги оформлены курьером, а в книжках - кам-то узеньким моноширинным шрифтом без засечек, что-то типа ариала. Никто не в курсе, что за фонт?