Трассировка поддельной почты

На рис. А.7 показан пример того, как послать поддельную почту, соединяясь прямо с сервером e-mail на порте 25. Вы видите, что можно соединяться с помощью telnet прямо с почтовыми серверами и выполнять вручную SMTP-команды HELO, MAIL FROM:, RCPT ТО: и DATA. Эти команды почто­вый сервер понимает и обрабатывает для любого посылаемого сообщения e-mail. Обычно пользователь никогда не видит таких команд, поскольку Net­scape Messenger и другие клиенты e-mail выполняют эти низкоуровневые команды вместо него.

Отметим, что e-mail имеет вид, как будто оно было послано тренером футбольной команды Pittsburgh Steelers Биллом Кауэром. (На самом деле он этого не делал.) Это безобидное послание e-mail, но представьте себе, какой хаос могут вызвать атакующие, посылая поддельную почту от систем­ных администраторов, требующих, чтобы все пользователи сменили свои пароли.

На рис. А.8 показана поддельная почта, полученная от Билла Кауэра. Не существует простого способа определить, что оно поддельное. Полагайтесь на здравый смысл.

Рис. А.7. Как поспать e-mail с помощью telnet

Рис. А.8. Получение поддельной почты

Первый шаг в идентификации и трассировке поддельной почты будет та­ким же, как и трассировка любого сообщения e-mail. Необходимо сначала просмотреть заголовки полученного сообщения e-mail (см. рис. А.9). В этом примере заголовки показывают, что исходным почтовым сервером является snapper.lansters.com. По распоряжению суда можно получить файлы журна­лов из snapper.lansters.com, чтобы определить, кто послал сообщение.

Поддельная почта также используется для внедрения незаконных серверов или вирусов в сеть. В недавнем случае кто-то послал подде­льную почту (которая использовала исходный адрес e-mail системно­го администратора) с приложением в виде исполняемого файла. При­ложение оказалось черным входом удаленного доступа с именем SubSeven. Интересно отметить, что все получатели, которых мы прове­рили, невольно выполнили программу черного хода на своих персональ­ных рабочих станциях.

Дата добавления: 2014-01-07