Вышла бета-версия Trillian под Linux

11.10.2013 08:04 #343013

"Sonic" написал:
Каким образом сторонняя программа знает, что я зашел на LF?

ну в Linux это делается так:

text

drb@amilo:~$ lsof -i
COMMAND  PID USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
firefox 6493  drb   74u  IPv4 301648      0t0  TCP amilo:40018->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  100u  IPv4 112621      0t0  TCP amilo:39121->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  110u  IPv4 112622      0t0  TCP amilo:39122->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  112u  IPv4 112623      0t0  TCP amilo:39123->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  122u  IPv4  88406      0t0  TCP amilo:58853->190.93.244.58:http (ESTABLISHED)
firefox 6493  drb  150u  IPv4 293058      0t0  TCP amilo:39975->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  151u  IPv4 302290      0t0  TCP amilo:40041->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  155u  IPv4 312677      0t0  TCP amilo:46855->178.248.232.27:http (ESTABLISHED)
firefox 6493  drb  156u  IPv4 312678      0t0  TCP amilo:46856->178.248.232.27:http (ESTABLISHED)
firefox 6493  drb  157u  IPv4 310958      0t0  TCP amilo:40091->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  164u  IPv4 312681      0t0  TCP amilo:46862->178.248.232.27:http (ESTABLISHED)
firefox 6493  drb  165u  IPv4 310959      0t0  TCP amilo:40092->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  166u  IPv4 310960      0t0  TCP amilo:40093->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  167u  IPv4 310961      0t0  TCP amilo:40094->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  168u  IPv4 310962      0t0  TCP amilo:40095->linuxforum.ru:http (SYN_SENT)
firefox 6493  drb  169u  IPv4 312686      0t0  TCP amilo:40097->linuxforum.ru:http (ESTABLISHED)
drb@amilo:~$ ps uax | grep '649[3]'
122:drb       6493 18.6 18.0 543352 182288 ?       Ssl  Oct10 109:22 /home/drb/bin/firefox/firefox
124:drb       8791  2.8  2.0 163972 21136 ?        Sl   Oct10  14:44 /unsecure/drb/bin/firefox/plugin-container /home/drb/.mozilla/plugins/libflashplayer.so -greomni /unsecure/drb/bin/firefox/omni.ja -appomni /unsecure/drb/bin/firefox/browser/omni.ja -appdir /unsecure/drb/bin/firefox/browser 6493 true plugin

"Sonic" написал:
Куки вообще никакого отношения не имеют к моим посещениям сайта. Вот сейчас я на сайте, что там происходит с моей кукой? Она как была раз поставлена, так и не меняется до момента, когда сам сайт ее не изменит.
К тому же, я думаю, эти файлы как-то защищены для доступа из вне, хотя это дело техники.

кука имеет САМОЕ ПРЯМОЕ отношение.

Да, с ней ничего не происходит. Происходит вот что:

1. ты заходишь на LF, вбиваешь логин/пароль
2. сервер создаёт куку 1234567890ASDFGH, и её запоминает, и отправляет ТЕБЕ (т.к. только ТЫ знаешь пароль)
3. твоё браузер запоминает 1234567890ASDFGH
4. в следующий раз ты уже НЕ вводишь пароль, а отсылаешь 1234567890ASDFGH
5. сервер тебя пускает без вопросов, ибо 1234567890ASDFGH есть ТОЛЬКО У ТЕБЯ.

кука ограничена по времени, и по IP (и может ещё по чему-нить), что-бы её было тяжелее украсть.

НО ВСЕ ЗАЩИТЫ БЕССИЛЬНЫ, если атака направлена С ТВОЕГО компьютера, и ОТ ТВОЕГО ИМЕНИ

И да, система не имеет значения. Венда, мак, линукс -- ни какой разницы.

"Sonic" написал:
И какое это отношение имеет к тому, что эта аська показывает что я на сайте, на котором находишься и ты.

это доказывает, что эта аська шпионит за тобой и за мной. Я не зря про унитаз вчера писал...

11.10.2013 08:08 #343014

"Sonic" написал:
Я не понимаю как можно назвать это фичей программы, когда это явный функционал трояна.

ДЫК И Я О ТОМ!

"Sonic" написал:
А что с шифрованием, если например защищено соединение, как тогда программе этой быть?

оно "там" защищено. Посередине. А вот внутри твоего компьютера -- всё открыто. Ну в линуксе можно пользователей наделать, но ты же таким не страдаешь?

"Sonic" написал:
И потом, вот отправил я пакеты на сервер вместе с кукой, получил ответ, но как узнать там ли я или уже давно в нибытие?

а оно как движок твоего форума работает.

11.10.2013 09:29 #343021

"Sonic" написал:
И потом, вот отправил я пакеты на сервер вместе с кукой, получил ответ, но как узнать там ли я или уже давно в нибытие?

это интересный момент.

Фишка в том, что этого и твой сервер не знает. Сервер рассуждает так: если ты 3 минуты назад БЫЛ здесь, то ты ЕЩЁ здесь. Т.е. это неизвестно и серверу. Именно этим и пользуются злоумышленник -- как только шпионская программа фиксирует контакт с сервером, она просто перехватывает все данные, и когда обмен заканчивается, его ПРОДОЛЖАЕТ. Для сервера это неотличимо от той программы, которой можно. При этом, шпионская программа использует всё тоже самое, что и нормальная. Т.е. куки, ключи ssl, и прочее и прочее. ВСЁ это вполне доступно внутри периметра.

Теоретически мог-бы помочь фаервол, проблема только лишь в том, что трафик сейчас ОГРОМЕН, и анализировать его попросту невозможно для человека в реальном времени. Да и не будет никто вчитываться в Over9000 строчек этого трафика.

11.10.2013 09:36 #343022

"Sonic" написал:
К тому же, я думаю, эти файлы как-то защищены для доступа из вне

в том-то и опасность таких программ. ИЗ ВНЕ. А вот это маздайное поделие ты запускаешь ИЗНУТРИ. Система тут бессильна, если она конечно не обладает AI. Защита только ОДНА: программисты ОБЯЗАНЫ предъявлять свой код. Будешь-ли ты его смотреть -- это уже дело десятое. Если ты туда шпионский модуль внедрил, это всё равно рано или поздно вскроется.

Вот например в этой программе шпионский модуль ЕСТЬ, и это -- факт. Как он работает? за чем именно следит? Что из добытого воровством сливает и кому? Я не знаю.

Решать вам.