Подмена информации

Модификация передаваемого кода

Другим видом модификации может быть модификация передаваемого кода. В процессе проведении семантического анализа перехваченной информации при знании особенностей реализации сетевого обмена в конкретной КС или особенностей, присущих конкретным типам исполняемых файлов в данной локальной операционной системе, ложный объект способен выделять из потока данных исполняемый код. (Не смотря на то, что известный принцип неймановской архитектуры гласит, что не должно быть различий между данными и командами.)

Выделяют два различных по цели вида модификации кода:

· внедрение вредоносных программ (вирусов);

· изменение логики работы исполняемого файла.

При внедрении вредоносных программ исполняемый файл модифицируется по вирусной технологии, то есть к нему одним из известных способов дописывается тело вируса, и точка входа изменяется таким образом, чтобы она указывала на начало кода внедренного воздействия. Такой способ практически ничем не отличается от стандартного заражения вирусом, за исключением того, что файл оказывается зараженным вирусом в момент передачи его по сети. Такое возможно только при использовании системы воздействия, построенной по принципу "ложный объект".

Конкретный вид вредоносных программ, их цели и задачи в данном случае не имеют значения. Так в качестве вредоносных программ ложный объект может использовать сетевой червь или анализатор сетевого трафика (снифер - от англ. "sniffer"). Во втором случае происходит модификация исполняемого кода с целью изменения логики его работы. Данное воздействие требует предварительного исследования работы исполняемого файла. Так, при запуске на сервере программы идентификации пользователей распределенной базы данных ложный объект способен модифицировать код этой программы таким образом, что появится возможность беспарольного входа в базу данных с наивысшими привилегиями.

Ложный объект позволяет не только модифицировать, но и подменять перехваченную им информацию. Если модификация приводит к частичному искажению информации, то подмена информации приводит к ее полному изменению. При возникновении в сети определенного контролируемого ложным объектом события одному из участников обмена посылается заранее подготовленное дезинформирующее сообщение, которое может быть воспринято им либо как исполняемый код, либо как данные.

Рассмотрим на примере. Предположим, что ложный объект контролирует подключение пользователя к серверу. В этом случае взломщик ожидает, например, запуска соответствующей программы входа в систему. При запуске программы исполняемый файл передается на рабочую станцию. Ложный объект получает сообщение и вместо того чтобы переслать его на рабочую станцию передает код заранее написанной специальной программы – захватчика паролей. Эта программа выполняет те же действия, что и настоящая программа входа в систему, например, запрашивает имя и пароль пользователя. Запрашиваемые сведения посылаются на ложный объект, а ложный объект посылает пользователю сообщение об ошибке. Пользователь, предположив, что он неправильно ввел пароль (пароль обычно не отображается на экране), снова запустит программу подключения к системе и со второго раза получит доступ. Результат такой атаки – имя и пароль пользователя, сохраненные на ложном объекте.

Дата добавления: 2014-01-07