The Hackers Blackbook

[Loremaster]

The Hackers Blackbook

Scavenging Bezeichnet eine Technik, bei der Hacker nach offengebliebenen Verbindungen suchen und diese übernehmen. Solche Verbindungen können auftauchen, wenn eine existierende Verbindung, zum Beispiel eines Rechnerabsturzes, einseitig abrupt beendet wird. Smurf Dies ist der Name für einen Exploit, bei dem ein Angreifer eine gespoofte Absenderadresse vortäuscht und von dieser Adresse aus einen Ping-Request an eine Broadcast-Adresse verschickt. Jeder Rechner, der durch die Broadcast-Adresse erreicht wird, antwortet daraufhin mit einem Ping-Reply an den gespooften Rechner, der dadurch mit sehr vielen Antwort-Paketen bombardiert und im schlimmsten Fall überlastet wird. Sniffing Ein Sniffer ist ein Programm, das eine Datenleitung anzapft und den über diese Leitung laufenden Datenverkehr abhört, um geheime Daten wie Passwörter auszuspionieren. Für diese passive Angriffsart muss man einen direkten Zugang zu dem Übertragungsmedium zwischen den bieden auszuspionierenden Kommunikationspartner haben. Dies in in LANs relativ einfach, da in der Regel alle Rechner an einem Ethernet- oder TokenRing-Strang angeschlossen sind. Schwieriger gestaltet sich Sniffing, wenn man die Leitung zwischen einem Heimanwender und dessen ISP abhören möchte. Spoofing Bezeichnet den Vorgang, bei dem sich jemand als ein anderer ausgibt bzw dessen Identität annimmt. Speziell im Netzwerkumfeld bedeutet dies meist das Fälschen der IP-Adresse des Absenders, um dem Empfänger einen seriösen Absender vorzugaukeln. Meist denkt man im Zusammenhang mit Spoofing deshalb sofort an "maskierte Clients". Der umgekehrte Fall - ein Server gibt sich für einen anderen aus und bietet zum Beispiel anstatt der erwarteten Software infizierte Malware zum Download für ahnungslose Clients an - ist genauso bedenklich. SYN Flooding Dieser Typ einer Denial-of-Service Attacke, ist die wohl hinterhältigste überhaupt. Hier wird das Drei-Wege-Handshaking von TCP benutzt, um sog. halboffene Verbindungen herzustellen. Da TCP ein sicheres Übertragungs-protokoll ist gibt es Mechanismen, um eine Verbindung zu synchronisieren. Dies wird über das Drei-Wege-Handshaking von TCP erledigt.Dabei gibt es, wie der Name schon ahnen läßt, drei Schritte, die durchgeführt werden: Der Client sendet eine Synchronisationsnachricht ( SYN ) an den Server Der Server antwortet mit einem entsprechenden Acknoledgment ( ACK/SYN ) Darauf sendet der Client sein Acknoledgement ( ACK ) an den Server Mit diesen drei Schritten ist das Handshaking abgeschlossen. Nach Schritt 2 befindet sich auf dem Server ein Eintrag für die Verbindung, der bestehen bleiben muß, bis der Client seine Antwort gesendet hat. Eine Verbindung in diesem Stadium nennt man halboffen. Ein SYN-Attack nutzt nun die Tatsache aus, daß der Server die halboffenen Verbindungen speichern muß, bis er eine Antwort darauf erhält. Wird diese Antwort allerdings nie gesendet, so muß der Server die halboffene Verbindung trotzdem im Speicher behalten. Tatsächlich hört das Opfer erst nach einiger Zeit auf, auf die Bestätigung zu warten, wodurch natürlich recht schnell die gesamte Bandbreite des Rechners “aufgebraucht” ist.In den Implementierungen von diesem Protokoll wird in der Regel eine Query benutzt, die einen gewissen endlichen Speicher für die halboffenen Verbindungen zur Verfügung stellt. Erstellt nun ein Angreifer eine größere Menge dieser halboffenen Verbindungen, so ist abzusehen, daß der Speicher der Query irgendwann zu Ende ist. An dieser Stelle ist es dem Server nun nicht mehr möglich eine weitere TCP-Verbindung aufzubauen. Er kann somit nicht mehr auf Anfragen seiner Clients reagieren. Im schlimmsten Falle kann es sogar dazu führen, daß der Serverrechner durch den Überlauf der Query abstürzt, wodurch er dann völlig lahmgelegt wäre. Weiterhin tritt bei manchen fehlerhaften TCP-Implementierungen der Fehler auf, daß bei einem weiteren SYN-Paket nicht nur für das gerade empfangene SYN-Paket eine ACK-Anforderung verschickt wird, sondern auch für alle bisher empfangenen. Auf die Weise erzeugt der Empfänger-Rechner recht schnell eine hohe Datenflut und ist für die Zeit komplett ausgelastet. Teardrop Ist wie der Ping of Death ein Exploit, der auf fehlerhaften IP-Fragmenten basiert. Anders als PoD generiert Teardrop IP-Pakete, die sich aus Sicht des Empfängers überlappen, das heißt die Sequenznummern sind nicht korrekt angeordnet. Je nach Implementierung des TCP/IP-Stack kann es dadurch zu Buffer Overrruns kommen mit den bereits beschriebenen Möglichkeiten diesen auszunutzen Trojanische Pferde/Trojaner Ein Trojanisches Pferd ist ein Programm, welches vorgibt, ein nützliches Programm zu sein, jedoch erst beim Aufruf sein wahres Gesicht zeigt und meist mit dem zerstörerischen Werk beginnt. Trojanische Pferde haben normalerweise nicht die Möglichkeit, sich selbst zu vermehren. Zeitweise gab es im Internet viele Trojanische Pferde, z.B. getarnt als neueste Packerversion. Viele Anwender haben dann solche Programme heruntergeladen. Als sie diese dann starteten, stellte sich heraus, daß es in Wirklichkeit ein Trojanisches Pferd war, daß zum Beispiel die Festplatte löschte oder anderes anstellte. Auch kann es sein, daß der Packer tatsächlich dann das Programm ist, welches man haben wollte. Jedoch ist der Packer, dann aber nicht das einzige Programm welches ausgeführt wird Viren Ein Computervirus ist ein Programm, daß die Fahigkeit besitzt, sich selbständig an andere Dateien, meist ausführbaren Programmen anzuhängen. Viren vervielfältigen sich von selbst, was sie von den Trojanischen Pferden und den Logischen Bomben unterscheidet. Im Gegensatz zum Wurm benötigt ein Computervirus einen fremden Programmcode, den sogenannten Wirtscode, in den sich der Virus einnistet. Der Ablauf des Wirtscodes wird meist nicht geändert. Das befallene Programm dient lediglich als Transportmittel. Würmer Ein Wurm ist ein Computervirus, welches sich selbst vervielfältigt, sich dabei jedoch nicht an ein anderes Programm anhängt, sondern eine Kopie von sich selbst erstellt. Würmer können somit nicht Bestandteil anderer Programmabläufe werden und sind meist nur dann eine Gefahr, wenn man ein solches Programm aufruft.