سجاد و سيستمش!

باید در تاریخ نوشت: شاهکار امنیتی مایکروسافت

2011-11-15T01:27:00.001+03:30

هفته پیش مایکروسافت یک وصله امنیتی برای ویندوزهای ویستا، هفت و ۲۰۰۸ منتشر کرد. حفره امنیتی کشف شده واقعا پدیده‌ی باورنکردنی و تاریخی است:

«نفوذگر با ارسال تعدادی بسته UDP خاص به یک پورت بسته می‌تواند کدی را در سطح کرنل ویندوز اجرا کند»

این حفره فوق العاده خطرناک است:

اجرای کد در سطح کرنل، یعنی دسترسی حتی بالاتر از دسترسی ادمین سیستم. یعنی کنترل «کامل» کامپیوتر
هک کردن کامپیوتر از طریق پورت بسته؛ یعنی نفوذگر کاملا از راه دور و بدون نیاز به هیچ کار خاصی (حتی بدون رد شدن از فایروال ویندوز!) قادر به حمله کردن است.

واقعا قرار دادن چنین باگ فجیعی در یک برنامه کامپیوتری نبوغ(!) بالایی می‌خواهد و در نظر اول تا حدی به یک درب پشتی عمدی شبیه است که مایکروسافت درون محصول خودش جاسازی کرده باشد. هر چند جزئیات ماجرا شواهد کافی در اختیار نمی‌گذارد.

اگر چه مایکروسافت گزارش کرده که هنوز سواستفاده از این باگ توسط هکرها مشاهده نشده است، و استفاده از آن را اندکی مشکل می‌دانند، مطمئن باشید که مسابقه آغاز شده، و ظرف چند روز همه به ابزارهای حمله به این آسیب‌پذیری مجهز خواهند شد. پس مراقب باشید!

از من می‌شنوید، با اوضاع جاری در حوزه امنیت کامپیوتر؛ از استاکس‌نت گرفته تا حملات ایرانی‌ها به CAها (هک کومودو) و ... بعید نمی‌دانم که تا سال دیگر شاهد حملاتی به آسیب‌پذیری‌های سطح پایین‌تر مثل خود سی‌پی‌یو و کارت شبکه باشیم. حملاتی که مستقل از سیستم عامل، کامپیوتر هدف را از کار بیندازند و ما را کلا وارد فاز جدید (و ترسناکتری) از حملات سایبری کنند.

پ.ن: جالب اینجاست که این آسیب‌پذیری فقط در ویندوزهای ویستا به بعد (که بسیار بسیار امن‌تر تلقی می‌شوند) گزارش شده و فعلا ایکس پی و ۲۰۰۳ مشکلی نداشته‌اند.

ترفند 10 - چگونه وسط یک اتصال TCP بنشینیم و محتویاتش را ببینیم؟

2011-04-22T18:46:00.000+04:30

تعریف مساله

گاهی اوقات دلمان می‌خواهد ببینیم برنامه‌ها با همدیگر چه صحبتی می‌کنند و چه داده‌هایی بین آنها رد و بدل می‌شود. مثلا من امروز مشغول برنامه‌نویسی بودم و متوجه خطایی در برنامه شدم. می‌خواستم ببینم چه اطلاعاتی بین برنامه من و سرور در حال رد و بدل شدن است تا شاید بتوانم خطا را برطرف کنم. یا ممکن است شما بخواهید اطلاعاتی که بین مرورگر شما و یک سرور رد و بدل می‌شود را ببینید و ...
این مساله زیاد پیش می‌آید؛ و راه‌حل‌های متنوعی هم دارد. مثلا می‌توان با ابزاری مثل WireShark یا WinDump کل بسته‌های اطلاعاتی رد و بدل شده روی شبکه را دید، مربوط به هر برنامه‌ای که می‌خواهد باشد. یا مثلا برنامه‌هایی (مثل مرورگرها) که قابلیت تنظیم پروکسی دارند را می‌توان تنظیم کرد که از یک برنامه پروکسی خاص استفاده کنند که اطلاعات را ذخیره می‌کند و ... که البته این دو راه برای مساله من جوابگو نبودند. چرا؟ چونکه ...
اولا برنامه‌ای که من با آن سر و کار داشتم قادر به استفاده از پروکسی نبود. بنابراین راه حل دوم از دور خارج می‌شود. (که مساله مهمی هم نیست؛ چون راه حلی که خواهم گفت تفاوتی با این راه حل ندارد، فقط عمومی‌تر است)
اما کجا نمی‌توان از WireShark یا WinDump استفاده کرد؟
وقتی - مثل مساله جاری من - هر دو برنامه روی کامپیوتر خودتان اجرا می‌شوند و از آدرس loopback یعنی 127.0.0.1 برای اتصال استفاده می‌کنند این ترافیک برای WinShark و WinDump و مشابه آن قابل رویت نیست. ظاهرا چاره‌ای هم ندارد، مگر اینکه یکسری حرکات آکروباتیک پیاده کنید تا جواب بگیرید ... (اینجا را بخوانید)

... اما راه حل

من احتیاج به یک راه حل سریع، آماده و بدون نیاز به حرکات آکروباتیک داشتم. راه حلی که توضیح می‌دهم می‌تواند روی اتصالات TCP به کار گرفته شود.
خوشبختانه برنامه‌ی ncat روی کامپیوترم موجود بود. (این برنامه همراه با نرم‌افزار ‌nmap نصب می‌شود) برنامه ncat کلا ابزاریست برای «بازی کردن» با اتصالات شبکه و وصل کردن آن‌ها به برنامه‌های مختلف به شیوه‌های مختلف!
فرض کنید یک سرور داریم که روی پورت 8888 منتظر اتصال کلاینت‌ها است. دستور زیر، به کمک ncat یک سرور مجازی روی پورت 9999 راه می‌اندازد، و به محض اینکه اتصالی با آن برقرار شد، با پورت 8888 روی کامپیوتر محلی (127.0.0.1) تماس می‌گیرد و اطلاعات را دست به دست می‌کند. یعنی هر داده‌ای که برای ncat روی پورت 9999 ارسال شود عینا برای سرور روی پورت 8888 ارسال می‌شود و بالعکس.
علاوه بر این به کمک سوییچ x، اطلاعات رد و بدل شده داخل یک فایل (با نام dump) نوشته می‌شود.

> ncat -l 9999 -x dump -e "ncat 127.0.0.1 8888"

شرح مختصر:

-l 9999 باعث می‌شود ncat روی پورت 9999 منتظر دریافت اتصال شود.
-x dump اطلاعات را به صورت hex درون یک فایل ذخیره می‌کند.
نکته: اگر می‌خواهید اطلاعات روی صفحه نمایش نشان داده شوند نام فایل را con بزنید!
نکته: اگر می‌خواهید اطلاعات به صورت خام ذخیره شوند به جای سوییچ x از سوییچ o استفاده کنید.
-e "..." باعث می‌شود ncat به محض برقراری تماس، دستور داخل گیومه را اجرا کند و ورودی/خروجی آن را روی شبکه بفرستد. در اینجا یکبار دیگر ncat جهت اتصال با سرور فراخوانی می‌شود.
متاسفانه در اطلاعاتی که بدین شیوه ذخیره می‌شوند مشخص نیست هر بسته اطلاعاتی از سمت سرور به کلاینت ارسال شده یا بالعکس. که نشان می‌دهد اگر بتوانید از WireShark استفاده کنید، جواب بسیار بهتری می‌گیرید ...
دستور بالا عینا روی لینوکس هم قابل اجرا است، هر چند محدودیت ذکر شده برای WireShark، روی لینوکس وجود ندارد.

مطابق قانون، دسترسی به این عید ممکن نیست!

2011-03-21T00:49:00.000+03:30

می‌خواستم از فیلترینگ غیرمسئولانه و نابخردانه که دامن کلیه وبلاگ‌های وردپرس و بلاگر را گرفته بنویسم، و اینکه چگونه روحیه بروزکردن وبلاگ را گرفته است. وبلاگی که قرار بود صرفا برای نشر دانش اندکم برای هموطنان هم‌زبانم به کار بگیرم.
اما همینقدر هم که نوشتم زیاد نوشتم؛ چرا که وقتی به وضعیت برادران و خواهران ایمانی‌مان در لیبی و بحرین و ... فکر می‌کنم، می‌بینم قاعدتا امسال مسلمین عید ندارند. در مقابل مصائبی که بر آنها می‌رود، گله از یه فیلترینگ کوچک بچگانه است.

امیدوارم سالی خوب، پر برکت، و پر از رشد و هدایت پیش‌رو داشته باشیم.

سجاد نفیسی

ترفند 9 - خاموش کردن خودکار کامپیوتر بعد از تمام شدن کار یک برنامه

2010-12-29T18:33:00.005+03:30

تا حالا شده که بخواین وقتی اجرای فلان برنامه تمام شد کامپیوتر خودبخود خاموش بشه؟ مثلا وقتی که برنامه‌ی محاسبه‌ی عدد پی که نوشته‌اید خاتمه پیدا کرد، یا نصب برنامه‌ای تمام شد، یا وقتی که فرمت کردن هارد دیسک خاتمه یافت یا ...
در این ترفند، یاد می‌گیرید که چطور این کار را خودتون و بدون ابزارهای اضافی انجام بدین: به کمک خط فرمان (command-prompt) ویندوز، یا ترمینال (terminal) لینوکس.
اول روش ویندوزی رو بگم، بعد بریم سراغ لینوکس.

راه ساده، اگر می‌دانستم ...

اول راه ساده‌اش رو بگم: اگر از قبل بدونید که فلان برنامه رو می‌خواین اجرا کنین که طول می‌کشه، و لازمه که کامپیوتر بعد از اجرای برنامه خودبخود خاموش بشه، روش انجام کار خیلی ساده است. کافیه یک اسکریپت دو خطی بنویسید. (توی ویندوز به بچ فایل یا batch file معروفه)

start /wait zamanbar
shutdown -s -f

که zamanbar در واقع مسیر و نام برنامه‌ایست که می‌خواهید اجرا شود و بعد از خاتمه‌اش کامپیوتر خاموش شود. این دو خط را در یک فایل با پسوند bat ذخیره می‌کنید و اجراش می‌کنید. والسلام!

اما اگر برنامه zamanbar رو اجرا کرده‌اید و بعد از مثلا یک ساعت، تازه متوجه شدید حالا حالاها اجرای برنامه طول می‌کشه و شما مثلا جایی قرار دارید و باید برید، آن وقت چطور؟ آن وقت چه کار می‌کنید که پس از خاتمه اجرای برنامه، کامپیوتر خودش خاموش بشه؟

در ویندوز

خط فرمان (cmd یا همان Commandline Prompt) را باز کنید.
شکلی کلی دستوری که باید اجرا کنید اینه:

for /L %i in (1,0,2) do @(
  ping 127.0.0.1 -n 2 >nul & (
    wmic process where name="zamanbar.exe" list brief | findstr Name
  ) || shutdown -s -f
)

فقط باید عبارت zamanbar.exe را با نام اجرایی برنامه خودتان عوض کنید.
توجه کنید که برای اجرای این کد باید سطح دسترسی Administrator داشته باشید. بنابراین هم باید از یک user با این سطح دسترسی استفاده کنید و هم در ویندوزهای ویستا به بعد، گزینه Run as administrator را موقع باز کردن cmd زده باشید.

هشدار:
قبل از اجرای دستور بالا یکبار دستور
wmic process where name="zamanbar.exe" list brief
را اجرا کنید تا مطمئن شوید نام اجرایی برنامه را درست نوشته‌اید. وگرنه به محض اجرای دستور، عملیات خاموش شدن کامپیوتر آغاز می‌شود و باید بدنبال خر و باقالی‌ها بدوید!
البته خیلی هم سخت نیست: 30 ثانیه فرصت دارید تا بنویسید:
shutdown -a
و عملیات خاموش شدن را لغو کنید. سوییچ a به معنی abort است، خاطرتان باشد!

سوال: چطوری کار می‌کنه؟
چیزی که دیدید برنامه‌ایست که به زبان خط فرمان ویندوز نوشته شده است. هر بخش این برنامه یه کار بخصوص انجام می‌ده:

for /L %i in (1,0,2) do @(...): در واقع یک حلقه بی‌پایان است. کدی که به جای ... در این دستور قرار بگیره مرتبا و پشت سرهم اجرا خواهد شد.
در واقع for /L باعث می‌شه که متغیر %i از عدد 1 آغاز کنه و تا عدد 2 بشماره. منتها این شمارش با گام‌های 0تایی انجام می‌شه. یعنی کامپیوتر به جای اینکه بشماره 1، 2، 3 و هر بار یک گام به جلو بره، مرتب درجا می‌زنه: 1، 1، 1، و به همین ترتیب هرگز به 2 نمی‌رسه: یک حلقه بی‌پایان!
ping 127.0.0.1 -n 2 >nul: این دستور اجرای برنامه را یک ثانیه معطل می‌کنه. یعنی یک ثانیه صبر کن و بعد ادامه بده.
اگر این دستور رو نگذاریم، حلقه بی‌پایانی که نوشتیم مرتبا اجرا می‌شه. نتیجه اینه که سی‌پی‌یو به سقف می‌چسبه و سرعت کامپیوتر پایین میاد. ما نمی‌خواهیم اینطور بشه، پس هر بار به کامپیوتر یک ثانیه استراحت می‌دیم.
ظاهر دستور یه مقدار عجیبه، چون ما از دستور ping استفاده می‌کنیم تا کامپیوتر دوبار خودش رو پینگ (ping) کنه. (شبکه‌ای‌ها می‌دونن پینگ چیه!) چون بین هر دو پینگ یک ثانیه فاصله وجود داره، اجرای دستور یک ثانیه تاخیر ایجاد می‌کنه. عجیبه، ولی توی ویندوز یک ترفند شناخته شده است!
wmic process where name="zamanbar.exe" list brief | findstr Name: اما بخش جالب ماجرا! این در واقع دو دستوره که با عملگر لوله‌کشی | به هم وصل شده‌اند و کارشان تست این است که برنامه‌ی zamanbar.exe در حال اجرا هست یا خیر.
دستور wmic یک دستور همه‌کاره در ویندوزه که جای بحثش نیست. ما در اینجا ازش سوال می‌کنیم چه پروسه‌ها (برنامه‌ها)یی با نام zamanbar.exe در حال اجرا هستند. جواب یا مشخصات اون برنامه است یا عبارت No Instance(s) Available.
بعد برای اینکه بفهمیم جواب چی بوده، از دستور findstr استفاده کردیم. کار findstr این است که یک رشته (در واقع یک عبارت منظم یا regular expression) بگیرد و در ورودی خودش به دنبال آن بگردد. اما ورودی این دستور با عملگر لوله‌کشی به خروجی دستور قبلی وصل شده، یعنی هر چه wmic بنویسه به دستور findstr داده می‌شود. بنابراین به کمک عملگر لوله‌کشی، این دستور در خروجی دستور قبلی به دنبال کلمه Name می‌گرده، اگر بود یعنی پروسه در حال اجرا بوده، و اگر این کلمه وجود نداشت یعنی پروسه‌ی zamanbar.exe کارش تمام شده. (هشدار: در حالت عادی findstr به بزرگی و کوچکی حرف حساس است. پس Name را دقیقا همینطور بنویسید!)
shutdown -s -f: اینهم که مشخصه: به محض اجرای این دستور، ویندوز عملیات خاموش شدن (Shutdown) رو آغاز می‌کنه. سوییچ -s یعنی ما دلمون می‌خواد کامپیوتر خاموش بشه. (با این دستور می‌شه کامپیوتر رو ریستارت هم کرد) سوییچ -f هم که یعنی با زور (force) برو جلو: اگر برنامه‌ای خواست جلوی خاموش شدن رو بگیره، به حرفش گوش نکن!
اما چه چیزی باعث می‌شه که این دستور بی‌موقع اجرا نشه؟ یعنی چرا تا زمانیکه zamanbar.exe در حال اجراست، این دستور اجرا نمی‌شه؟؟
جواب در عملگر || نهفته است. دو دستوری که دو طرف این عملگر نوشته می‌شوند با هم رابطه پیدا می‌کنند: اگر بخش سمت چپ تونست کارش را با موفقیت انجام بده، بخش سمت راست دیگه اجرا نمی‌شه. اما اگر بخش سمت چپ شکست خورد (که در اینجا بخش چپ، همان عبارت داخل پرانتز است، یعنی دو دستور wmic و findstr که شکست خوردنشان یعنی برنامه‌ای با نام zamanbar.exe در حال اجرا نبوده) آن‌وقت، برنامه سمت راست (یعنی shutdown) اجرا خواهد شد.

در لینوکس

بالاخره! می‌رسیم به روش لینوکسی. در اصل نوشتن کل این پست از همین قسمتش شروع شد!!
معمولا در لینوکس به خط فرمان Terminal گفته می‌شه و جاییه که همه بالاخره یکبار گذارشون بهش افتاده!
نمونه کد:

while ps -p 1234; do sleep 1; done; shutdown -h 0

فقط باید 1234 را با شماره پروسه (Process ID) برنامه زمان‌برتان عوض کنید. برای بدست آوردن این عدد می‌تونید از برنامه‌ای مانند System Monitor یا مثلا دستور ps auxw استفاده کنید.
توجه کنید که برای اجرای این کد باید سطح دسترسی root داشته باشید.
سوال: چطوری کار می‌کنه؟

while ???; do ... done;: این یه حلقه است. تا زمانیکه شرط ??? برقرار باشه، دستور ... مرتبا و پشت سر هم اجرا می‌شه. شرط رو به صورت‌های مختلفی می‌شه نوشت، که در اینجا ما از خروجی یک برنامه استفاده می‌کنیم. اگر اون برنامه موفقیت آمیز بود، شرط هم برقراره و اگر شکست خورد، شرط هم دیگه برقرار نخواهد بود.
ps -p 1234: این دستور که در واقع بخش شرطی حلقه while رو تشکیل می‌ده، کارش اینه که تست کنه ببینه برنامه zamanbar در حال اجرا هست یا خیر.
کار دستور ps لیست کردن پروسه‌ها (Process/برنامه‌ها)ی در حال اجراست. انواع شرط رو می‌شه تعیین کرد که چه پروسه‌هایی نمایش داده بشوند یا چه خصوصیاتی از اونها لیست بشه. ما اینجا با سوییچ -p بهش گفتیم فقط پروسه با شماره 1234 را نمایش بده. بنابراین اگر این پروسه پیدا شد (در حال اجرا بود) ps موفق بوده، وگرنه شکست می‌خوره و عبارت شرطی حلقه while برقرار نخواهد بود.
sleep 1: بعید می‌دونم بتونید حدس بزنید کار این دستور چیه! ... کار این دستور اینه که یک ثانیه به کامپیوتر استراحت بده و هیچ کاری نکنه.
دلیل استفاده‌اش رو هم در بخش ویندوزی گفتم: اجرای مرتب حلقه پشت سرهم، کل وقت سی‌پی‌یو رو به خودش اختصاص می‌ده و کامپیوتر رو کند می‌کنه. بهتره هر بار کمی به کامپیوتر استراحت بدیم تا سایر برنامه‌ها بتونند کارشون رو انجام بدهند.
shutdown -h 0: اصل کار! به محض اجرای این دستور، عملیات خاموش شدن (halt) آغاز خواهد شد. سوییچ -h یعنی ما دلمون می‌خواد کامپیوتر خاموش بشه. (مثل ویندوز، با این دستور می‌شه کامپیوتر رو ریستارت هم کرد) سوییچ 0 هم یعنی ما دلمون می‌خواد همین حالا (صفر ثانیه بعد!) این کار انجام بگیره.
توجه کنید که این دستور خارج از حلقه while قرار گرفته. بنابراین تا زمانیکه حلقه در حال اجراست (یعنی تا زمانیکه ps پروسه zamanbar رو پیدا می‌کنه) این دستور اجرا نخواهد شد. بلکه بلافاصله پس از خاتمه حلقه نوبت اجرا بهش می‌رسه.

امیدوارم مطلب براتون مفید بوده باشه.

ترفند 8 » محافظت از حافظه فلش درایو (USB) در برابر کرم‌های AutoRun

2010-11-15T18:19:00.001+03:30

داستان: چقدر ویروس میل دارید؟

هر از چندی گذار آدم به زیراکسی‌ها میفتد تا چیزی را برایش چاپ کنند. من هر وقت سراغ زیراکسی دانشگاه می‌روم تا فایلی را از روی فلش درایو (USB) چاپ بگیرد، علاوه بر کاغذ چاپ شده، چندتا «ویروس» هم داخل فلش درایو «هدیه» می‌گیرم.
قبلا توضیح دادم که چطور می‌شود از ویندوز در برابر کرم‌های autorun.inf محافظت کرد. با این کار دیگر نیازی به نرم‌افزارهای (به زعم من) بی‌مصرفی مثل autorun blocker و anti autorun و غیره ندارید و ویندوز هرگز از این طریق آلوده نخواهد شد. [*]
اما این مانع از این نمی‌شود که ویروس (در واقع، کرم) تلاش نکند خودش را از این طریق منتقل کند. بنابراین، اگرچه کامپیوتر من آلوده نمی‌شود، اما کرم خودش را روی فلش درایو کپی می‌کند. و این یعنی من باید هر بار زحمت پاک کردن این مهمان ناخواسته را بکشم، حواسم باشد تا وقتی کرم پاک نشده، فلش درایو را به کامپیوتر دوستم متصل نکنم و از این دردسرها ... !
اما آیا راهی هست که به کرم بگوییم زحمت نکشد و روی فلش درایو هم کپی نشود؟ بله. تقریبا بله.

راه حل: هوای فلش درایو را داشته باشید

س: چطوری از فلش درایو خودم در برابر کرم‌ها محافظت کنم؟
ج: اینطوری:

وارد خط فرمان شوید.
از منوی Start گزینه Run را انتخاب کنید. عبارت cmd را تایپ کنید و Enter را فشار دهید تا وارد خط فرمان شوید.
به فلش درایو خود بروید.
فرض کنیم فلش درایو در G: قرار دارد. (تایپ کنید و Enter را بزنید:)
```
G:
```
مطمئن شوید فایلی به اسم autorun.inf وجود ندارد:
```
attrib autorun.inf
```
اگر چنین فایلی وجود داشت باید آن را پاک کنید:
```
attrib -s -h -r autorun.inf
del autorun.inf
```
سپس یک فولدر با نام autorun.inf بسازید:
```
md autorun.inf
```
در داخل این فولدر، فولدر دیگری به نام nul بسازید:
```
cd autorun.inf
md nul\
```

هیچ تضمینی وجود ندارد که این راه حل کار کند، اما با این کار بسیاری از کرم‌ها و ویروس‌ها سرکار می‌روند!

چرا و چگونه؟

س: چطوری کار می‌کند؟
ج: ویندوز اجازه نمی‌دهد فایل‌ها و فولدرها نام یکسانی داشته باشند. بنابراین تا وقتی یک فولدر با نام autorun.inf وجود دارد، کرم نمی‌تواند فایل autorun.inf مطلوب خود را بسازد.

س: اما چرا کرم قبل از ساختن این فایل، فولدر را پاک نمی‌کند؟
ج: به دو دلیل.
اول) اغلب کرم‌ها این کار را نمی‌کنند، همین. شاید چون نویسنده کرم حواسش نبوده که autorun.inf می‌تواند یک فولدر باشد. شاید هم دلش سوخته و خواسته کار شما را ساده‌تر کند. در هر صورت نتیجه همین است که می‌بینید.
دوم) ساختن فولدری به نام nul در ویندوز ساده نیست. (امتحان کنید!) [**] همینطور، پاک کردنش هم ساده نیست. البته غیر ممکن هم نیست. بنابراین اگر کرم حواسش هم باشد که باید فولدر autorun.inf را پاک کند، تا وقتی بلد نباشد چگونه یک فولدر با نام nul را پاک کند، کاری از پیش نخواهد برد!

س: ببینم، یعنی کرم می‌تواند فولدر را پاک کند؟ پس اصلا این کار ما چه فایده‌ای داشت؟
ج: بله یک کرم باهوش می‌تواند فولدر را پاک کند. اما اغلب کرم‌ها اینقدر باهوش نیستند. برای همین تا وقتی با چنین کرم باهوشی برخورد نکرده‌اید و طرف حسابتان همین کرم‌های بازیچه هستند، مشکلی ندارید!

[*] توجه: اسامی نرم‌افزارها ساختگی هستند و هرگونه تشابه با نمونه واقعی انکار می‌شود!
[**] برخی فکر می‌کنند فایلی با نام nul یا con یا ... یک معما است که مایکروسافت هم جوابش را نمی‌داند! که البته علت آن توضیح روشنی دارد.

پست مرتبط:

ترفند 1 » از کار انداختن AutoRun ویندوز

ترفند 7 » امان از دست Spammer ها در Yahoo Groups

2010-10-15T18:29:00.001+03:30

مساله چیه؟

مساله اینه که یکی از رفقا دچارش شده بود: سیل هرزنامه‌ها (Spam) که هر روز در ایمیل یاهو دریافت می‌کرد و هیچ روشی برای متوقف کردنش موثر نشده بود:

خود یاهو قادر نبود این هرزنامه‌ها رو تشخیص بده و بفرسته به فولدر Spam.
هر چقدر هم کلید Spam روی نامه‌های مختلف فشار داده می‌شد باز هم یاد نمی‌گرفت.
ایمیل‌ها از طرف یک گروه یاهو ارسال می‌شد.
ولی تعریف کردن فیلتر بر اساس مشخصات نامه‌ها افاقه نکرده بود.

ضمنا هرزنامه‌ها فارسی بودند. برای همه‌ی اسپمرها، تبلیغاتچی‌ها و کسانی که نامه‌های ناخواسته می‌فرستند دعا می‌کنم که گرفتار یک موجود سمج و بی‌ملاحظه مثل خودشون بشوند. :)

چطوری حل شد؟

وقتی این مشکل با من مطرح شد، یادم اومد که سال‌ها پیش خودم همین مشکل را داشتم و حتی به خاطرش با پشتیبانی یاهو مکاتبه هم کرده بودم! راه حلش گزینه‌ایه که داخل تنظیمات Yahoo Groups به بهترین نحو ممکن مخفی شده بود و شده است.
راه حل:

رفتن به صفحه تنظیمات Yahoo Groups (راستش این مرحله لازم نیست، بلکه یکراست برید مرحله دو :)
پیدا کردن لینک My Email Preferences
دو حالت داره:
الف) اگر تعدادی ایمیل به حساب یاهو اضافه کرده باشید، لیست آنها را در اینجا خواهید دید. یکی را انتخاب کنید و لینک Edit را کلیک کنید.
ب) در غیر این صورت، به مرحله بعدی بروید.
تیک گزینه Allow group moderators to directly add me to their groups را پاک کنید.
پایان! و خداحافظ اسپمرهای یاهو گروپ!

به نظر من نه تنها یاهو نباید به صورت پیشفرض این گزینه رو فعال کنه، بلکه باید در طراحی صفحه تنظیماتش تجدید نظر کنه تا راحتتر بشه این گزینه رو پیدا کرد.
همین. از اونجایی که این تنظیمات اصلا جلوی چشم نیست و حتی ممکنه بسیاری ندونند که مشکلشون از این گزینه ناشی می‌شه، به نظرم اومد به شما هم بگم.

هدف کرم Stuxnet: ایران، نیروگاه اتمی؟ دیگر نشانه‌ها ...

2010-09-29T15:30:00.001+03:30

در پست قبلی از شگفتی‌های کرم کامپیوتری استاکس نت (Stuxnet)، و تئوری حمله به ایران نوشتم:‌ هنگامیکه واقعیت از فیلم سینمایی عجیبتر است! کرم Stuxnet و حمله به ایران
گفتم که چرا Stuxnet پدیده‌ای بسیار نو و بدیع در امنیت کامپیوتر به شمار می‌رود و چرا به احتمال زیاد یک دولت پشت ساخت آن بوده است. در این پست چند نکته دیگر در رابطه با این کرم و اینکه چگونه ممکن است تاسیسات اتمی ایران هدف آن بوده باشد می‌نویسم.

کرمی با یک هدف خاص ولی نامعلوم

برخی نشانه‌ها در کرم Stuxnet نشان می‌دهند که برای یک هدف خاص طراحی شده است:
۱- در بخش صنعتی کرم، حمله منحصرا به سیستم‌های WinCC زیمنس انجام می‌شود.
۲- از انتشار بی‌رویه کرم روی سیستم‌های ویندوزی جلوگیری شده است: یک درایو USB آلوده به این کرم فقط سه سیستم ویندوزی را آلوده می‌کند. (منبع)
۳- کرم به دنبال پیکربندی خاصی در تجهیزات کنترل صنعتی است تا حمله خود را در زمان و محل مشخص انجام دهد. هر پنج دقیقه یک اثر انگشت بسیار دقیق از قربانی خود می‌گیرد و در صورتیکه متوجه شود به پیکربندی هدف خود رسیده است، کدی را درون دستگاه تزریق می‌کند. (منبع)
۴- کرم Stuxnet قرار است ماموریتش را در یک بازه زمانی کوتاه انجام دهد: نویسنده کرم می‌دانسته که بعد از کشف شدن، کدهای آن تحلیل شده و بنابراین تمام تلاش در مخفی نگهداشتن آن انجام شده است. در عوض شبکه کنترل و فرمان این کرم خیلی پیچیده نیست: چون قرار نبوده بعد از کشف شدن خیلی به کار خود ادامه دهد. (منبع)
۵- شیوه انتشار کرم از طریق USB انتخاب شده است تا دقیقا در یک محل جغرافیایی انتشار یابد.
۶- هزینه بالای انجام شده روی کرم نشان می‌دهد هدف اهمیت بالایی برای نفوذگر داشته است.
توجه کنید که هکر چقدر دانش فنی دقیق از کارکرد داخل هدف داشته است. می‌دانسته WinCC زیمنس مورد استفاده است و با اثر انگشت خاص سیستم هدف نیز آشنا بوده است.

چرا ایران؟ و چرا نیروگاه اتمی بوشهر یا سایت نطنز؟

این بخش از بحث صرفا یک فرضیه است و هنوز مدرک کاملی برای آن وجود ندارد.
شاید بهترین مدرک این باشد که از طرف خود نیروگاه اتمی بوشهر یا سایت نطنز اعلام شود که دستگاه‌های PLC آنها دارای همان اثر انگشتی هستند که کرم بدنبالش است یا خیر. (البته اعلام رسانه‌ای این موضوع نیز می‌تواند خطرناک باشد)
تئوری ۱) حمله به نیروگاه بوشهر
۱- اولین بار ویروس روی یک کامپیوتر ایرانی کشف شده است: بله، شرکت VirusBlokAda که اولین بار این کرم را یافت آن را روی کامپیوتر مشتری ایرانی‌اش یافته بود.
۲- هنگام کشف کرم، ایران، هند و اندونزی بیشترین آلودگی به این ویروس را داشتند. و ایران در بسیاری گزارش‌ها در صدر حدول آلودگی بود. (درباره این آمار، خواندن پست قبلیم را توصیه می‌کنم)
۳- نیروگاه اتمی بوشهر از سیستم WinCC استفاده می‌کند و این موضوع در یک عکس فوریه 2009 از سایت‌های خبری واضح است! (عکس پیغام خطای لایسنس!) که بدتر، نشان می‌دهد نرم‌افزار لایسنس نیز نداشته که اگر عکس معتبر باشد، نشانه بی‌توجهی محض به امنیت یک نیروگاه اتمی است.
۴- احتمال می‌رود آلودگی از طریق شرکت روسی طرف قرارداد با نیروگاه بوشهر منتقل شده باشد. (گاردین)
تشریح بیشتر این نظریه در اینجا
تئوری ۲) حمله به سایت تاسیسات اتمی نطنز
۱- در این تئوری می‌توان احتمال داد عکس مورد ۳ در واقع از نطنز برداشته شده است. (یک کاربر ذیل این خبر پیشنهاد کرده که عکس بیشتر به تاسیسات غنی‌سازی شبیه است تا نیروگاه اتمی)
۲- چندی پیش ویکی‌لیکز (WikiLeaks) سایتی که اسناد محرمانه فاش شده دولت‌ها را روی وب قرار می‌دهد؛ اعلام کرد احتمالا یک خرابی در سایت نطنز رخداده است. (+)
۳- همزمان استعفای رييس سازمان انرژي اتمي (+) و کاهش 15 درصدی غنی‌سازی سایت نطنز رخ داده‌اند. (منبع در پایین همین لیست)
۴- عجیب‌تر این مقاله روزنامه اسرائیلی است که در مورد جنگ سایبری با ایران، به خاطر تاسیسات اتمی است که حتی به USB آلوده نیز اشاره کرده است! این مقاله یک سال قبل از شناسایی اولیه Stuxnet نوشته شده است. و یک روز بعد از استعفای رییس سازمان انرژی اتمی.
۵- سایر ادعاهای نظریه‌پرداز را در لینک زیر بخوانید.
تشریح کامل این نظریه در اینجا

آیا Stuxnet به هدفش دستیافته است؟

برخی - با تکیه بر زمانی بودن حمله - استدلال می‌کنند حمله موفقیت آمیز بوده است و تاخیر در راه‌اندازی نیروگاه بوشهر، یا کاهش 15 درصدی تولید سایت نطنز نشانه‌ای از موفقیت حمله است. اما اگر چنین است، چرا نفوذگران دو ماه پیش یک گواهی دیجیتال جدید را رو کردند؟
دو سوال دیگر درباره کرم:
۱- چگونه ممکن است متخصصان امنیتی شرکت‌های آنتی‌ویروس چندین ماه این ویروس را نشناسند تا سرانجام توسط یک شرکت گمنام بلاروسی آن را بیابد؟
۲- چگونه پس از کشف و شهرت خاصی که این ویروس به هم زد، باز هم ماه‌ها طول کشید تا مشخص شود تنها حفره ناشناخته مورد استفاده Stuxnet، حفره LNK نبوده و سه حفره ناشناخته دیگر نیز استفاده می‌کرده است؟

نگاهی دقیقتر به ردپای نفوذگر: منظور از Myrtus و Guava چیست؟

image: wikipedia

چه کسی می‌داند؟ صحبت کردن در این وادی آنقدر مشکل و بدون مدرک است که معمولا کسی واردش نمی‌شود و آن را به تخیل خواننده وامی‌گذارد. با توجه به اینکه اصلیت نفوذگر و فرهنگ و تفکر وی مشخص نیست و با توجه به اینکه معمولا برای پروژه‌های اینچنینی از نامی استفاده می‌شود که ارتباط دوری با موضوع داشته و آن را فاش نکند، مشخص است که چقدر حتی اشاره به این موضوع برای نویسنده سخت است. اما به ناچار به یک «احتمال» هولناک اشاره می‌کنم، و خواننده را تشویق می‌کنم آن را تنها توضیح ندانسته خود در پیش خود قضاوت کند:
نام دیگر myrtus همان myrtle است. (جمله اول ویکی‌پدیا) همچنین myrtle نام دیگر Esther است (بازهم از ویکی پدیا):
استر (Esther)، عروس یهودی یک پادشاه ایرانی است که موفق می‌شود با قانع کردن وی به کشتن هامان وزیر، یهودیان را از کشته شدن نجات دهد. (هامان قصد داشته کلیه یهودیان را فتل عام کند) در عوض به یهودیان اجازه داده می‌شود دشمنانشان و خانواده‌های آن‌ها را بکشند که موجب کشتار بیش از 75 هزار ایرانی می‌شود. این داستان مبنای جشن پوریم است که هر ساله یهودیان برگزار می‌کنند.

بیشتر درباره کرم استاکس نت (Stuxnet)

تحلیل جالب و فنی عملیات کرم روی PLC و احتمال حمله به ایران
مقاله PCWorld درباره این کرم و احتمال حمله به ایران
خواندنی درباره احتمال هدف بودن ایران، و اینکه نیروگاه بوشهر هدف بوده است.
باز هم درباره احتمال هدف بودن ایران
پست قبلی من درباره کرم Stuxnet و شگفتی‌های آن

هنگامیکه واقعیت از فیلم سینمایی عجیبتر است! کرم Stuxnet و حمله به ایران

2010-09-28T15:32:00.006+03:30

بروزرسانی:‌ پست جدید من در مورد استاکس نت و تئوری حمله به تاسیسات اتمی ایران

هنگامیکه کرم کامپیوتری استاکس نت (Stuxnet) نخستین بار در ژوئن 2010، توسط شرکت VirusBlokAda شناسایی شد هیچ کس نمی‌دانست که با چه پدیده نو و شگفتی مواجه شده است. کرمی که ماه‌ها (و شاید یکسال) بود ناشناخته مانده بود!

درباره عجایب این کرم کامپیوتری همین بس که سیمانتک می‌گوید: «اگر یک ماه پیش کسی درباره چنین چیزی با ما صحبت می‌کرد، می‌گفتیم از لحاظ تئوری ممکن است، ولی بیشتر به سناریوی یک فیلم سینمایی شبیه است» (نقل به مضمون)
با توجه به پیچیدگی‌های کرم Stuxnet، اهدافش و سایر نکاتی که در ادامه می‌آید، بسیاری معتقدند که این نه یک بدافزار معمولی یا تجاری، بلکه در واقع نوعی جنگ بر علیه تاسیسات صنعتی یک کشور بوده است. و ایران، کشوری‌ست که بیشترین آلودگی به این ویروس در آن گزارش شده است. بخوانید و خودتان قضاوت کنید.

شگفتی‌های کرم Stuxnet

این کرم از جهات مختلفی در تاریخ امنیت کامپیوتر بی‌نظیر است. هر یک از نکات زیر را که می‌خوانید به تنهایی می‌توانست یک کرم را مشهور کند:

۱- اولین کرمی که قادر به برنامه‌ریزی تجهیزات کنترلی صنعتی/نظامی است.
مقصود، تجهیزات صنعتی است که در کارخانه‌ها، نیروگاه‌ها، پالایشگاه‌ها و سایر مراکز مهم صنعتی یا نظامی برای کنترل دستگاه‌ها استفاده می‌شود. این کرم به صورت بالقوه قادر است کنترل این تجهیزات را بدست گیرد یا اطلاعات آنها را به بیرون مخابره کند.

۲- اولین کرمی که از چهار حفره ناشناخته (zero-day) ویندوز بهره می‌گرفت.
حفره ناشناخته (zero-day یا 0-day) به آسیب‌پذیری‌ای گفته می‌شود که قبل از اینکه شرکت سازنده آن را بشناسد یا بسته‌ای برای آن منتشر کند، مورد استفاده قرار می‌گیرد. چنین حفره‌ای بسیار خطرناک است: چرا که دفاع در برابر یک آسیب‌پذیری ناشناخته ناممکن یا بسیار سخت است.
اما حتی استفاده از یک حفره ناشناخته ویندوز در یک بدافزار هم پدیده‌ای نادر است، چه برسد به حضور چهار حفره در یک بدافزار که کاملا بی‌سابقه است!
الف) در مورد یکی از این چهار حفره قبلا نوشته بودم: حفره LNK ویندوز
ب) حفره دیگر در سرویس اشتراک پرینتر است و خطرناکتر از اولی، اجازه آلوده شدن سیستم از راه دور را می‌دهد. (MS10-061)
ج و د) دو حفره دیگر هنوز بسته امنیتی آنها منتشر نشده است.
عجیبتر اینکه حداقل دو حفره اول روی تمام نسخه‌های ویندوز از XP و Vista تا Seven و 2008 وجود دارند!
با وجودی که به محض کشف شدن Stuxnet، این کرم به خاطر همان حفره LNK معروف شد و مایکروسافت با عجله بسته امنیتی مربوط به آن را منتشر کرد؛ تا مدتی قبل سه حفره دیگر ناشناخته باقیمانده بودند!!

۳- اولین روت‌کیت دستگاه‌های PLC
روت‌کیت (rootkit) یکی از بدترین انواع بدافزار به شمار می‌رود که با دستکاری توابع اصلی سیستم، حضور خود را پنهان می‌کند. در خطرناک بودن این بدافزار همین بس که از لخاظ تئوری می‌توان روت‌کیتی نوشت که حین کار سیستم به هیچ عنوان قابل شناسایی نباشد. (بیشتر درباره rootkit)
و PLC دستگاه‌های کامپیوتری هستند که برای کنترل صنعتی استفاده می‌شوند.

۴- استفاده از دو گواهی امضای دیجیتال معتبر
گواهی امضای دیجیتال کاربردهای متفاوتی دارد که یکی از این کاربردها مشخص کردن مبدا یک برنامه است. به این ترتیب که سازنده برنامه‌های خود را امضا می‌کند تا همه بدانند مبدا برنامه فلان شرکت معتبر بوده و بنابراین کد مخربی داخل آن وجود ندارد.
کرم Stuxnet هنگامی کشف شد که از یک گواهی معتبر شرکت Realtek استفاده می‌کرد و به همین علت ماه‌ها از زیر دست آنتی‌ویروس‌ها فرار کرده بود. بعد از باطل کردن گواهی Realtek، نسخه دیگری از کرم، این بار امضا شده با یک گواهی از شرکت JMicron نیز مشاهده شد.
دزدیدن (یا در اختیار داشتن) یک گواهی امضای دیجیتال به نوبه خود برای یک بدافزار رویایی است، چه برسد به دو گواهی!

۶- استفاده از حفره‌هایی در سیستم‌های طراحی صنعتی
خب، با توجه به مورد اول این مورد دیگر طبیعی است، ولی توضیحش جالب است. یکی از این حفره‌ها وجود یک پسورد پیش‌فرض روی سیستم‌های زیمنس است. بدتر آنکه به علت اشتباه فاحش برنامه‌نویس اگر این پسورد پیش‌فرض را - برای جلوگیری از انتشار کرم - تغییر دهید، سیستم از کار می‌افتد!
حفره دیگری در نرم‌افزار Step 7 استفاده شده است که برای طراحی و برنامه‌ریزی همین تجهیزات صنعتی استفاده می‌شود. کرم با آلوده کردن پروژه‌ها و فایل‌های این نرم‌افزار، منتظر می‌ماند تا پروژه‌ها به هر کامپیوتر دیگری منتقل شدند آن را نیز آلوده کند. (منبع)

۵- استفاده از دو روت‌کیت.
علاوه بر روت‌کیت PLC که اشاره شد، یک روت‌کیت ویندوز نیز برای پنهان شدن در این سیستم عامل جزئی از این کرم بوده است.

سایر موارد جالب:

۶- هر USB فقط سه کامپیوتر را آلوده می‌کرد. (ظاهرا تلاش برای پنهان ماندن و نشانه‌ای از اینکه محل خاصی هدف قرار داده شده بوده است)

۷- تمام این «قابلیت‌ها» در نیم مگابایت جا گرفته بود.

۸- قابلیت شبکه P2P برای انتقال دستورات و فرامین از هکرها به ماشین‌های آلوده.

با توجه به آنچه گفتیم، مشخص است که این حمله توسط یک تیم بسیار با تجربه و با صرف هزینه و زمان بسیار به نتیجه رسیده است. انجام آن نیاز به آشنایی بالا با ویندوز، و نیز تجهیزات کنترل صنعتی، و نرم‌افزار طراحی و کنترل آنها داشته است. استفاده از دو گواهی امضای دیجیتال مختلف نیز نشان از سرمایه گذاشته شده در این راه دارد.

تئوری حمله به ایران؟

مطابق اولین آمارهای منتشره توسط شرکت‌های آنتی‌ویروس، ایران در صدر آلودگی به این ویروس قرار داشت. (آمار سیمانتک: 60%)
البته آمارها را از دو جهت باید دقیقتر نگریست: اولا) انتشار از طریق USB یکی از راه‌های اصلی نشر کرم بوده و بنابراین آلودگی اصولا به صورت محلی منتشر می‌شود. ثانیا) هر شرکت آنتی‌ویروس فقط می‌تواند از جاهایی مطلع باشد که نرم‌افزارش در آنها در حال استفاده است. بنابراین باید بازار آنتی‌ویروس‌ها را هنگام خواندن امارشان در نظر گرفت.
در هر صورت سه کشور ایران، هند و اندونزی (با ترتیب‌های مختلف) در بیشتر آمارهای اعلام شده جایگاه اول را داشته‌اند. (symantec, kaspersky, eset)
ولی اینکه آیا هدف ویروس ایران (یا هر یک از سه کشور) بوده است یا خیر مشخص نیست، چرا که میزان آلودگی فاکتورهای مختلفی را در بر گرفته و شاید فقط این کشورها آسیب‌پذیرتر بوده‌اند. برخی رسانه‌ها حمله را به اسرائیل نسبت داد‌ه‌اند (skynews, cnet) در حالیکه برای اظهار نظر در این باره هنوز زود است.

امروز ما یک نشانه از هکرها در اختیار داریم: رشته «b:\myrtus\src\objfre_w2k_x86\i386\guava.pdb» در یکی از فایل‌های این کرم وجود داشته که شاید نام پروژه را نزد هکرها مشخص می‌کند. گواوا (guava) یا زیتون محلی نام گیاهی گرمسیری از رده میرتاسه (myrtus) است، بومی آمریکای مرکزی و جنوبی، کشورهای برزیل، مکزیک و پرو است.

در ضمن آخرین گزارش‌ها نشان می‌دهد ایران تا حد خوبی موفق به کنترل آلودگی این کرم شده است. (kaspersky)
اگر چه مشخص نیست این کرم واقعا به هدف یا اهدافش رسیده است یا خیر ...

خواندنی در این باره

مقاله فنی و جالب Infoworld
در مورد زمان تولد کرم
ویکی‌پدیا درباره کرم، و برخی واکنش‌های بین‌المللی
مشخصات فنی کرم به نقل از سیمانتک
از سری مقالات Myrtus and guava کسپراسکای درباره کرم و هدف آن
از eset آنتی ویروس Nod32 درباره کرم و هدف آن

مطالب مرتبط سجاد و سیستمش:
میان‌برنامه - درباره Rootkitها و ناگفته‌هایی از پرونده 1
میان‌برنامه - حفره داغ LNK ویندوز
بروزرسانی:‌ هدف کرم Stuxnet: ایران، نیروگاه اتمی؟ دیگر نشانه‌ها ...

کلمات کلیدی: iran, israel, stuxnet, worm

ترفند 6 » ISP شما هم با https مشکل پیدا کرده؟

2010-09-02T12:56:00.004+04:30

از دیشب سرویس‌دهنده اینترنت (ISP) من با SSL مشکل پیدا کرده و صفحات https را باز نمی‌کند. طبیعتا راه حل چنین مشکلی این است که بتوان به طریقی از یک محل دیگر متصل شد. به چنین ابزارهایی proxy (واسط) گفته می‌شود که متاسفانه این واژه در ایران بار منفی پیدا کرده است.

توجه: این پست به کار کسی که دنبال دور زدن چیزی(!) باشد نمی‌خورد. فقط برای وقتی که ISP مشکل پیدا می‌کند و https را رد نمی‌کند به کار می‌آید.
برای این ترفند باید از قبل یک «واسط» آماده داشته باشید.

نکته این پست ساده است: لازم نیست کل ترافیکتان را از «واسط» عبور دهید که گاهی سرعتش کم است. احتمالا می‌دانید که می‌شود به مرورگر گفت فقط روی HTTPS از «واسط» استفاده کند، ولی مثل من حواستان نبوده :)

راه حل FireFox

بخش تنظیمات واسط در فایرفاکس: Options\Advanced\Network\Settings
کافیست تیک Use this server for all protocols را بردارید، و آدرس ip و port کادر HTTP (و سایر پروتکل‌ها) را حذف کنید و فقط در کادر جلوی SSL، همان ip و port را قرار دهید.

راه حل Internet Explorer

بخش تنظیمات واسط در اینترنت اکسپلورر: Options\Connections\Lan Settings
باید اول گزینه Advanced را انتخاب کنید. سپس کادر مربوط به همه‌ی پروتکل‌ها را پاک کنید و فقط در کادر Secure مقدار ip و port مناسب را بنویسید.

ترفند 5 » رنگ آمیزی خط فرمان لینوکس

2010-08-30T14:25:00.000+04:30

در پست قبلی در مورد تاکید خط فرمان لینوکس بر رنگی بودن گفتم و نحوه رنگ آمیزی دستور grep را نوشتم. این بار جالبتر است!
دوست دارید رنگ سطری که دستور را در آن می‌نویسید با بقیه ترمینال متفاوت باشد؟
این کار چند فایده دارد:
اول) وقتی دستوری مثل cat یا grep خروجی زیادی تولیدی می‌کند، خود دستور گم نمی‌شود. راحت معلوم است که ابتدای خروجی کجاست و آخرش کجا.
دوم) با کمی سلیفه می‌توانید کاری کنید که حالت‌های مختلف رنگ‌های مختلف داشته باشد: مثلا من برای کاربر عادیم رنگ آبی، برای کاربر root (یا sudo) رنگ قرمز و برای کاربری راه دور (با ssh) رنگ سبز گذاشته‌ام.

روش انجام

کافیست خطوط زیر را در محل مناسبی از فایل .bashrc در شاخه home کاربری‌تان اضافه کنید: (بگردید و آن را بعد از تمام خطوطی که PS1 در آن به کار رفته بگذارید)

#!/bin/bash
promptcolor="2;34"
if [[ $EUID -eq 0 ]]; then
    promptcolor="2;31"
fi
PS1="\[\e[${promptcolor}m\]$PS1\[\e[0m\]"

یادتان باشد که لازم است یکبار دیگر ترمینال را باز کنید تا (.bashrc اجرا شده و) تغییرات را در پنجره جدید ببینید.
عدد 34 رنگ آبی و عدد 31 رنگ قرمز را مشخص می‌کند. (جدول رنگ) عدد 2 هم تاثیراتی بر میزان روشن بودن یا حتی درشت (bold) شدن متن دارد که بهتر است تغییر دهید و ببینید.
شرح کامل اینکه PS1 چیست و معنی این دستورات اجق وجق را در همان لینک جدول رنگ پی بگیرید.

کلمات کلیدی: ،shell ،terminal رنگی، رنگ آمیزی، لینوکس، اسکریپت، ترفند، پوسته، حط فرمان.

ترفند 4 » رنگ آمیزی دستور grep در لینوکس

2010-08-29T16:09:00.005+04:30

یکی از تفاوت‌های خط فرمان لینوکس با ویندوز در تاکیدی است که روی رنگارنگ بودن دارد!

grep رنگی

اولین بار به طور اتفاقی با لینوکسی مواجه شدم که هنگام استفاده از grep، عبارات پیدا شده را با رنگ متفاوت نشان می‌داد.
این کار ساده و کم‌شناخته است. کافیست از سوییچ --color=auto استفاده کنید:

grep --color=auto {بقیه خط فرمان}

دوست داشتید؟ خب پس خطوط زیر را به محل مناسبی از فایل .bashrc در شاخه home کاربری‌تان اضافه کنید تا همیشه grep این کار را خودبخود انجام دهد و لازم نباشد هربار سوییچ را تایپ کنید: (این فایل پنهان است و برای دیدنش شاید لازم باشد گزینه نمایش فایل‌های پنهان را فعال کنید Ctrl+H)

alias grep='grep --color=auto'
alias fgrep='fgrep --color=auto'
alias egrep='egrep --color=auto'

با این کار یک alias برای grep و مشتقاتش تعریف کردید تا هر بار آنها را صدا می‌زنید این سوییچ فعال شود.

بروزرسانی: پست بعدی در مورد رنگ آمیزی خط فرمان لینوکس

کلمات کلیدی: shell، terminal، grep، رنگی، رنگ آمیزی، لینوکس، اسکریپت، ترفند، پوسته، حط فرمان.

ترفند 3 » تحریم ایران در SourceForge و راه حلی برای دانلود آسان!

2010-08-08T14:00:00.003+04:30

برای: هر مرورگر مدرن و هر سیستم‌عاملی
سطح: مبتدی	مواد لازم: سی ثانیه وقت!

مدتی است که سایت سورس فورج (Sourceforge.net) ایران را تحریم کرده است. بسیاری از پروژه‌های متن‌باز (opensource) در این سایت توسعه می‌یابند و منبع خوبی برای برنامه‌های رایگان به شمار می‌رود. البته مدیر هر پروژه در سورس فورج می‌تواند انتخاب کند که دسترسی به آن پروژه برای کشورهای تحریم شده مسدود باشد یا خیر.

راه حل

راه ساده دور زدن این تحریم - بدون استفاده از پروکسی و ... - را در زیر می‌خوانید:

این لینک تصحیح SourceForge را بکشید و در نوار Bookmarks مرورگرتون اضافه کنید. (برای اینترنت اکسپلورر کلیک راست و Add to Favorites)
هر وقت خواستید از سورس فورج چیزی دانلود کنید، کافیه قبل از کلیک کردن روی لینک دانلود، این بوک‌مارک رو کلیک کنید تا لینک دانلود رو به صورت مستقیم در بیاره.
این بوک‌مارک بیشتر جاها باید جواب بده. ولی اگر به صفحه اول پروژه در خود سایت سورس فورج، یا صفحه دانلود آن بروید قطعا جواب خواهد داد. :)
گاهی اولین تلاش نتیجه نمی‌دهد و با کلیک روی لینک تصحیح شده پیغام 404 Not Found می‌گیرید. این مشکل به خاطر اینه که گاهی همه سرویس‌دهنده‌های سورس فورج بروز نیستند و فایل را ندارند. در این صورت کافیست یکبار دیگه بوک‌مارک را کلیک کنید تا سرویس‌دهنده دیگری انتخاب بشه.

آزمایش

برای تست به این صفحه بروید. در حالت عادی کلیک روی دکمه Download به صفحه تحریم منجر می‌شود. اما اگر قبل از کلیک کردن روی آن از بوک‌مارک «تصحیح SourceForge» استفاده کنید و سپس دکمه Download را کلیک کنید مستقیما فایل را دریافت خواهید کرد.

این بوک‌مارک با فایرفاکس 3.6 و اینترنت اکسپلورر 8 تست شده است. اگر مشکلی داشتید خبر بدهید.

تاریخچه

قبل از این دوستم هدایت در وبلاگش یک اسکریپت را معرفی کرده بود و اون رو برای استفاده بهبود داده بود. من هم این بوک‌مارک را با سهولت استفاده با کمک و توسعه همان اسکریپت نوشتم.

توضیح بیشتر رو می‌توانید در ادامه مطلب بخوانید:

چگونه کار می‌کند؟

به منظور کاهش بار روی سرورها و پخش شدن هزینه‌های نگهداری این سرویس رایگان، سورس فورج تعدادی همکار داوطلب از کشورهای مختلف دارد که فایل‌های پروژه‌ها را نگهداری می‌کنند و هر بار که شما فایلی را دانلود می‌کنید، فایل از یکی از این همکارها یا آیینه‌ها (mirrors) دریافت می‌شود. از آنجاییکه این آیینه‌ها در کشورهای متفاوت و قوانین متفاوتی قرار دارند همه به یک صورت با تحریم برخورد نمی‌کنند.

در نتیجه اگر شما لینک دانلود مستقیم فایل از یکی از این آیینه‌ها را داشته باشید، معمولا می‌توانید بدون دردسر فایل خود را دانلود کنید. کار این بوک‌مارک هم همین است.
در عین حال همه آیینه‌ها همزمان بروز نمی‌شوند و گاهی فایل یک پروژه روی برخی از آنها وجود ندارد. به همین علت لازم می‌شود گاهی بوک‌مارک را چندبار استفاده کنید. (من در استفاده از خود سورس فورج هم بارها با این مساله برخورد داشته‌ام و مشکل مختص این بوک‌مارک نیست)

تفاوت این بوک‌مارک با اسکریپتی که هدایت در وبلاگش معرفی کرده بود:

مزیت: اسکریپت هدایت نیاز به نصب افزونه GeaseMonkey روی مرورگر فایرفاکس دارد، در حالیکه این بوک‌مارک باید همه‌جا کار کند.
عیب: اگر کسی GeaseMonkey را نصب کرده باشد با استفاده از آن اسکریپت دیگر نیازی نیست هر بار بوک‌مارک را کلیک کند، بلکه عملیات تغییر لینک به صورت خودکار انجام می‌شود.
مزیت: در عوض این بوک‌مارک در تشخیص لینک‌ها اندکی بهتر عمل می‌کند و بخصوص در برخورد با بروز نبودن آیینه‌ها فقط کافیست یکبار دیگر آن را فشار دهید تا لینک جدیدی تولید شود.

کلمات کلیدی: دور زدن, راه حل, تحریم, ایران, دانلود, دریافت فایل, سورس فورج, فایرفاکس, اینترنت اکسپلور, متن باز, Download, Direct Download, SourceForge, SourceForge.net, sf.net, Sanction, Iran, FireFox, IE, Internet Explorer, Open Source

میان‌برنامه - حفره داغ LNK ویندوز

2010-07-29T14:48:00.009+04:30

این در واقع یک خبر است و نه یک پست و فقط به دلیل اهمیت موضوع درج می‌شود.

اولین بار سه چهار روز پیش در وبلاگی نام حفره امنیتی LNK ویندوز را شنیدم که در تمامی نسخه‌های آن از XP و Vista گرفته تا 7 موجود است.
امروز که فرصت یافتم کمی درباره آن بیشتر بررسی کنم، به نکات زیر برخورد کردم:

این حفره بعد از این کشف شد که به صورت گسترده توسط بدافزارها مورد استفاده قرار گرفته بود. پس از کشف نیز توجه زیادی را جلب کرده و به سرعت بدافزارهای جدیدی به کمک آن منتشر می‌شوند.
این حفره در تمامی نسخه‌های ویندوز موجود است و تاکنون مایکروسافت برای رفع آن بسته‌ای منتشر نکرده است. (+)

هشدار:
بنابراین حتی اگر ویندوزتان بروز هم باشد در خطر هستید.
برای جلوگیری از آلوده شدن کامپیوترتان و تا زمانیکه مایکروسافت بالاخره بسته مناسب را منتشر می‌کند، می‌توانید از نرم‌افزار Windows Shortcut Exploit Protection Tool (در کنار آنتی‌ویروس‌تان) بهره بگیرید که دیروز توسط تیم امنیتی آنتی‌ویروس Sophos منتشر شده است.
با بهره‌گیری از این حفره، کد مخرب هنگامیکه ویندوز صرفا بخواهد شمایل (Icon) یک فایل lnk (فایل‌های میانبر) را نمایش دهد اجرا می‌شود. بدین ترتیب کافیست شما شاخه‌ای را که فایل مخرب در آن قرار دارد «رویت» کنید تا کامپیوترتان آلوده شود.

این شاخه می‌تواند یک حافظه USB یک شاخه به اشتراک گذاشته شده در شبکه یا حتی اینترنت باشد. همچنین ممکن است فایل مخرب داخل فایل doc ورد یا مانند آن جایگذاری شده باشد.

منبع و اطلاعات بیشتر

بروزرسانی 1389/5/12: مایکروسافت patch امنیتی مرتبط با این حفره را منتشر کرد. (MS10-046)
بنابراین اکنون می‌توانید نخست ویندوزتان را بروز کنید و سپس نرم‌افزار Windows Shortcut Exploit Protection Tool را پاک کنید. :)

کلمات کلیدی: AntiVirus, LNK, Shortcut, Exploit, Rootkit, Windows, آنتی ویروس, امنیت, روت کیت, ویندوز, میان‌برنامه, میانبر, حفره

میان‌برنامه - درباره Rootkitها و ناگفته‌هایی از پرونده 1

2010-07-18T01:45:00.004+04:30

تعریف مساله

مدتی پیش در مورد کرم کانفیکر (کیدو) مطلبی نوشتم. یکی از موضوعاتی که به منظور طولانی نشدن مطلب از پرداختن به آن خودداری کردم و فقط اشاره‌ای به آن شد، توضیحی در مورد روت‌کیت (Rootkit) بودن این کرم بود.
روت‌کیت در اصطلاح امنیت نرم‌افزار، به نوعی بدافزار (Malware) گفته می‌شود که با دستکاری کردن برخی توابع سیستم‌عامل، تلاش می‌کند حضور خود را از دید پنهان کند و یا در کار آن خللی ایجاد کند. روت‌کیت در واقع از شوم‌ترین انواع بدافزار است، چرا که در تئوری اگر کامپیوتری مبتلا به یک روت‌کیت قوی شود هرگز و با هیچ ابزاری از درون سیستم‌عامل نمی‌توان از وجود روت‌کیت مطلع شد یا آن را از بین برد. (البته همواره می‌توان از خارج از سیستم‌عامل و به کمک یک سیستم‌عامل سالم و بدون روت‌کیت، آن را شناسایی کرد)
به عنوان مثال: یک روت‌کیت می‌تواند فایل‌های مربوط به خود را از چشم سیستم‌عامل و تمامی برنامه‌ها (مثل آنتی‌ویروس) پنهان کند.
اما در عمل شناخت روت‌کیت از درون سیستم‌عامل میسر است، چرا که روت‌کیت‌ها عملا قادر به شبیه‌سازی کلیه توابع مرتبط سیستم‌عامل نیستند و فقط برخی از متداول‌ترین آنها را تغییر می‌دهند. از این رو می‌توان با مقایسه رفتار توابع مختلف سیستم و یافتن ناهمگونی در آنها به وجود روت‌کیت پی برد. بر همین اساس برنامه‌هایی وجود دارند که کارشان تشخیص روت‌کیت‌ها (شناخته شده و حتی ناشناخته) است.
در همان مثال قبل: معمولا می‌توان با رفتن به سراغ توابع سطح پایین کار با هارد دیسک، و مطابقت دادن ساختار فایل‌سیستم با آنچه سیستم‌عامل نشان می‌دهد ناهماهنگی‌ها را کشف و به وجود روت‌کیت پی برد.

مثال واقعی

کرم کانفیکری که در پرونده 1 با آن برخورد داشتیم نیز دارای یک بخش روت‌کیت بود که، با دستکاری توابع سیستمی، از ارتباط با سایت‌های امنیتی جلوگیری می‌کرد. اتفاقا نحوه کشف آن بسیار جالب بود که در ادامه مطلب می‌خوانید:
هنگامیکه متوجه شدم کامپیوتر سایت microsoft.com را نمی‌آورد، برای فهمیدن علت از دستور ping استفاده کردم. نتیجه چنین بود:

> ping microsoft.com
Ping request could not find host microsoft.com. Please check the 
name and try again.

که نشان می‌دهد مشکلی در سرویس DNS وجود داشته و موفق نشده است آدرس سایت را پیدا کند. بنابراین با دستور nslookup موضوع را بررسی کردم و با کمال تعجب با پاسخی مانند زیر روبرو شدم:

>nslookup microsoft.com
Server:  google-public-dns-a.google.com
Address:  8.8.8.8

Non-authoritative answer:
Name:    microsoft.com
Addresses:  207.46.197.32, 207.46.232.182

وقتی یکبار دیگر ping را اجرا کردم و باز همان پاسخ قبلی را دریافت کردم یقین پیدا کردم که موضوع از بدافزاری غیرعادی نشات می‌گیرد. بسیاری از بدافزارها مانع دسترسی به سایت‌های امنیتی می‌شوند، اما این کار معمولا با دستکاری فایل hosts و برگرداندن یک آدرس جعلی انجام می‌گیرد. در حالیکه در اینجا ping اصلا آدرسی را پیدا نمی‌کرد و این نشان می‌داد این تغییر به نحو هوشمندانه‌تری (و احتمالا با تغییر توابع سیستمی) انجام شده است.
نهایتا هنگامیکه برنامه Kido Killer مشغول پاکسازی کرم بود، پیغامی را مبنی بر پاکسازی یکی از توابع سرویس DNS نمایش داد که تاییدی بر تردیدهای قبلی بود.

کلمات کلیدی: Conficker, Kido, Rootkit, Windows, Worm, امنیت, روت کیت, ویندوز, کانفیکر, کرم, کیدو

ترفند 2 » جابجا کردن فایل در SVN به شیوه صحیح

2010-07-04T18:43:00.020+04:30

تعریف مساله

اگر نمی‌دانید SVN چیست بی‌خیال این پست بشوید و در عوض اینجا یا اینجا را بخوانید.

اگر تا به حال برای مدیریت فایل‌های پروژه از نرم‌افزار SVN (SubVersioN) استفاده کرده باشید، احتمالا به این موضوع برخورد داشته‌اید که یک فایل را جابجا کرده‌اید یا نامش را تغییر داده‌اید و سپس هنگامیکه می‌خواستید تغییرات را ارسال (commit) کنید، متوجه شده‌اید که به جای اینکه از دستورات svn برای جابجا کردن فایل استفاده کنید، از دستورات سیستم فایل استفاده کرده‌اید.

در این حالت SVN به مشکل برمی‌خورد: SVN نمی‌تواند بفهمد که شما فایل را جابجا کرده‌اید، بنابراین این جابجایی را به صورت دو تغییر می‌بیند: اولا فایل اصلی گم‌شده است. دوما فایل جدیدی اضافه شده است که تحت مدیریت نسخ قرار ندارد.

شما می‌توانید این تغییرات را ارسال کنید که معادل یک حذف/اضافه شدن یک فایل جدید به مخزن (Repository) است. اما این وضعیت با یک جابجایی(move) متفاوت است، چرا که در جابجایی سابقه تغییرات فایل حفظ می‌شود ولی در یک حذف/اضافه دو فایل به همدیگر هیچ ارتباطی ندارند و سابقه آنها از همدیگر مستقل است.

راه‌حل ویندوزی

این وضعیت به کمک TortoiseSVN در ویندوز به سادگی قابل حل است:
کافیست در پنجره ارسال، دو فایل قدیم و جدید را انتخاب کنید و از منوی کلیک راست، گزینه Repair Move را انتخاب کنید. شرح بیشتر

راه‌حل لینوکسی

در لینوکس اما وضعیت اندکی متفاوت است. حقیقتش من هیچ رابط کاربری دلچسبی برای SVN در لینوکس سراغ ندارم. با اینکه در حال حاضر SVN جزء لاینفک برنامه‌نویسی متن‌باز است و خودش نیز زاده این فرهنگ است و طبیعتا انتظار می‌رود برنامه‌های مناسبی برای آن در لینوکس موجود باشد؛ و با اینکه برنامه‌های بیشماری در این رابطه برای لینوکس نوشته شده‌اند، به نظر من هیچ یک کارایی TortoiseSVN را ندارند. برنامه‌هایی مثل: RabbitVCS, RapidSVN, SmartSVN, Subclipse و …

از طرف دیگر معلوم نیست امکان Repair Move در کدامیک از این برنامه‌ها وجود دارد یا خیر. نتیجه اینکه تصمیم گرفتم برای حل این مشکل دست به کار شوم و یک اسکریپت ساده بنویسم. حاصل کار اسکریپت svnfixmove است که از طریق خط فرمان قابل استفاده است.

فراخوانی اسکریپت بسیار شبیه استفاده از دستور svn move است. مثلا اگر اسکریپت را در فولدر خانه (home) خود قرار دهید:

~/svnfixmove oldfile newfile

اول بررسی می‌کند که فایل oldfile در وضعیت Missing باشد و فایل newfile نیز در وضعیت Unversioned قرار داشته باشد و فقط در این صورت، وضعیت فایل را «تصحیح» می‌کند.

برای استفاده از اسکریپت کافیست متن آن را از کادر زیر کپی کنید و در یک فایل ذخیره کنید. سپس فایل را به عنوان فایل قابل اجرا علامت بزنید:

#!/bin/sh
#
# By: Sajjad Naficy (2010/Jul/4)
#
# This work is in public domain. You may use/modify/redistribute 
# it anyway you want. However a mention of the original creator 
# is appreciated.
# 
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.
#

(svn st $1|grep "^\!") >/dev/null
if [ $? -ne 0 ]; then
  echo "$1 must be missing." 
  exit 1
fi
(svn st $2|grep "^\?") >/dev/null
if [ $? -ne 0 ]; then
  echo "$2 must be unversioned." 
  exit 2
fi

mv $2 $1
svn move $1 $2

کلمات کلیدی: Linux, script, subversion, svn, svn move, TortoiseSVN, Windows, اسکریپت, ترفند, لینوکس, ویندوز

ترفند 1 » از کار انداختن AutoRun ویندوز

2010-06-19T23:55:00.011+04:30

برای: ویندوز - همه نسخه‌ها (از 95 تا XP تا Vista تا ویندوز هفت)
سطح: متوسط	مواد لازم: دو دقیقه وقت!

بسیاری از بدافزارهای امروزی از طریق درایوهای USB منتقل می‌شوند. چنین رفتاری کرم USB نامیده می‌شود. برای پیشگیری از این نوع بدافزارها نیاز به هیچ برنامه خاصی نیست؛ شما می‌توانید AutoRun ویندوز را از کار بیاندازید تا دیگر از طریق حافظه USB آلوده نشود:

برنامه Notepad را بازکنید و کد زیر را عینا درون آن کپی کنید:

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

از منوی File گزینه Save as را انتخاب کنید.
کادر انتخاب واقع در پایین پنجره را از Text Files به All Files تغییر دهید. (این تغییر لازم است وگرنه فایل با نام صحیح ذخیره نخواهد شد)
فایل را با نام مثلا DisableAutoRun.reg ذخیره کنید.
فایل را اجرا کنید. به پیغام‌هایی که داده می‌شود جواب مثبت بدهید.

عوارض جانبی: با این کار ویندوز هرگز به سراغ فایل autorun.inf نمی‌رود. بنابراین دیگر سی‌دی‌ها نیز خودبخود اجرا نخواهند شد و باید به صورت دستی آنچه می‌خواهید را از روی آنها فراخوانی کنید. همچنین احتمالا شکلک مخصوص هر سی‌دی نیز دیگر قابل رویت نخواهد بود. حواستان باشد!

تمام شد؛ اما اگر می‌خواهید می‌توانید اطلاعات بیشتر را در ادامه مطلب بخوانید:

چگونه کار می‌کند؟

با اجرای فایل بالا، یک کلید جدید با نام autorun.inf و مقدار پیش‌فرض Sys:DoesNotExist در مسیر زیر به رجیستری ویندوز افزوده می‌شود:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\IniFileMapping\

این مسیر در رجیستری ویندوز از اوایل پیدایش آن به یادگار مانده است. قبل از اینکه رجیستری در ویندوز معرفی شود، تنظیمات برنامه‌ها و سیستم در تعدادی فایل (عمدتا ini) ذخیره می‌شد. هنگامیکه رجیستری به ویندوز اضافه شد و این تنظیمات به آنجا منتقل شدند، روشی نیاز بود تا برنامه‌های قدیمی در جستجوی تنظیمات دچار مشکل نشوند. در مسیر بالا به ازای هر فایل ini دلخواه مشخص می‌شود که اطلاعات آن در کدام زیرشاخه رجیستری قرار گرفته‌اند.

اما از آنجاییکه autorun.inf نیز از فرمت ini استفاده می‌کند، با ساختن یک کلید و ارجاع آن به مسیری بی‌ربط در رجیستری که اصلا وجود خارجی ندارد، در واقع مانع خوانده شدن این فایل شده‌ایم.

منبع ترفند: How to Disable Autorun

نکات اضافه

با جستجو در اینترنت روش‌های دیگری برای از کار انداختن AutoRun ویندوز نیز پیدا می‌شود. این روش‌ها پیچیده‌تر و وابسته به نسخه ویندوز هستند و درجه اطمینان کمتری نیز دارند.
دقت کنید که در این ترفند ما AutoPlay ویندوز را از کار نیانداخته‌ایم، چرا که AutoPlay بدون AutoRun خطری ندارد.
AutoPlay همان پنجره‌ایست که با بررسی محتویات رسانه متصل شده (سی‌دی/USB/یا...) به کاربر اجازه می‌دهد برنامه دلخواه برای کار با آن را انتخاب کند. اما AutoRun به برنامه‌نویس (و بدافزارنویس!) اجازه می‌دهد مشخص کند چه گزینه‌هایی در AutoPlay (و البته منوی کلیک راست) نمایش داده شوند. همچنین گزینه پیش‌فرض برای اجرای خودکار یا دوبارکلیک روی درایو را تعیین می‌کند.

به امید خدا در آینده درباره محافظت از حافظه USB در برابر این نوع کرم‌ها هم خواهم نوشت.

بروزرسانی: پست جدید ترفند 8 » محافظت از حافظه فلش درایو (USB) در برابر کرم‌های AutoRun

کلمات کلیدی: autoplay, autorun, autorun.inf, usb, Windows, Worm, ترفند, ویندوز, کرم

پرونده 1 » چراغی که مدام در حال چشمک زدن بود

2010-06-15T18:06:00.011+04:30

اولين نشانه‌ها

ديشب متوجه شدم چراغ کارت شبکه کامپيوتر يکي از بچه‌هاي اتاق مدام در حال چشمک زدنه. اين در حالي بود که کامپيوتر فعاليت شبکه‌اي خاصي هم نداشت. وقتي به نشانگر شبکه (کنار ساعت) دقت کردم، متوجه شدم کامپيوتر فقط در حال ارساله و چيزي دريافت نمي‌کنه.

مشخصه که مساله مشکوکه؛ چون ارسال حجم بالايي از اطلاعات بدون دريافت؛ اونهم زماني که کامپيوتر مشغول کار خاصي نيست عجيبه. اولين چيزي که به ذهن من رسيد اين بود که ممکنه با يه کرم کامپيوتري (Worm) مواجه باشم که در تلاشه کامپيوترهاي ديگه شبکه رو آلوده کنه...

بررسي بسته‌ها

اما اين فعلا يک فرضيه است و بايد آزمايش بشه. قدم بعدي براي کشف موضوع اين بود که سعي کنم ببينم کامپيوتر در حال ارسال چه بسته‌هايي است. براي اين کار مي‌شه از ابزارهاي ثبت ترافيک (موسوم به Packet Capture) استفاده کرد که تمام بسته‌هاي ارسالي و دريافتي کامپيوتر رو نشون مي‌دن. (مثلا WireShark)

از اتفاق دوستم اين برنامه رو داشت و براي همين باهاش يه نگاهي به ترافيک انداختم. چيزي که مشخص بود تعداد زيادي اتصال TCP با پورت 445 (SMB) و ارسال ميزان زيادي بسته UDP به پورت‌هاي 137(NetBios) و 67 (Bootps) و 1900(UPnP) بود. خب اين‌ها هيچکدام پورت‌هاي عجيبي نيستند، بلکه متداولترين پورت‌هاي باز روي يه کامپيوتر ويندوزي هستند. از طرفي، پراکندگي بالاي ipهايي که با آنها تماس گرفته شده بود؛ به رفتار يه کرم شبيهه.

يافتن مجرم

قدم بعدي اينه که متوجه بشيم کدام برنامه در حال ارسال بسته‌هاست. اين کار خارج از حيطه ابزار ثبت ترافيکه. اما خوشبختانه در مورد اتصالات TCP نياز به هيچ ابزار اضافه‌اي نيست و ويندوز خودش دستوري داره که نشون مي‌ده کدام برنامه اتصالي رو باز کرده، يا در حال انتظار براي اتصال است و غيره.

براي اين کار کافيه cmd را باز کنيد و دستور زير رو اجرا کنيد:

netstat -ano

بدون اينکه وارد جزئيات و گزينه‌هاش بشم؛ اين دستور ليستي از پورت‌هاي باز (TCP و UDP) کامپيوتر رو همراه با اتصالات (TCP) موجود نشون مي‌ده. در عين حال شماره پروسه‌ي مربوطه هم نمايش داده مي‌شه.

در زير بخش مرتبط (فقط پورت 445) و سانسور شده (با خط تيره -) خروجي اين دستور رو مي‌بينين:

Proto  Local Address          Foreign Address        State           PID
TCP    ---.---.---.---:7704   --.---.-.---:445       SYN_SENT        1556
TCP    ---.---.---.---:7705   ---.--.--.--:445       SYN_SENT        1556
TCP    ---.---.---.---:7706   --.--.---.--:445       SYN_SENT        1556
TCP    ---.---.---.---:7707   ---.---.--.-:445       SYN_SENT        1556

ستون PID در این جدول، شماه پروسه (Process ID) رو نشون می‌ده. با کمک Task Manager مشخص شد که شماره پروسه مزبور به svchost.exe متعلقه. متهم رديف اول!
svchost.exe نام يک پروسه اساسي ويندوزه که سرويس‌هاي مختلفي ذيل اون اجرا مي‌شه. در واقع ميزبانيست براي انواع سرويس‌هايي که خودشون يه پروسه جدا ندارند. در يک ويندوز XP عادي ممکنه چندين نسخه از اين پروسه در حال اجرا باشه که هر کدام چندين سرويس متفاوت رو اجرا کنند. البته بسيار متداوله که ويروس‌ها هم پروسه‌اي با همين نام يا نام مشابه (مثلا svohost.exe) اجرا کنند، ولي در اين مورد پروسه مزبور همان پروسه اصلي ويندوز بود.

نشانه‌هاي جديد

وقتي شک خودم رو با دوستم در ميان گذاشتم، اظهار کرد که از وجود بدافزار (Malware) روي کامپيوترش مطلعه! پرسش بعدي اين بود که آيا بدافزار از طريق USB هم منتقل مي‌شه؟‌ (يعني اگه يه درايو USB به کامپيوتر بزنيم خودبخود روي اون کپي مي‌شه؟) و جواب خوشبختانه بلي بود.
همانطور که ايده اصلي يک کرم شبکه، يعني تلاشش براي آلوده‌سازي بقيه کامپيوترهاي شبکه باعث شده بود وجودش کشف بشه، ايده اصلي يک کرم USB يعني تلاشش براي آلوده کردن بقيه کامپيوترها از طريق USB رو هم مي‌شه برعليه خودش استفاده کرد. کافيه خيلي ساده يه حافظه USB به کامپيوتر آلوده وصل کنيم تا کرم خودش رو کپي کنه. بعد با اتصال حافظه به کامپيوتري که يه انتي‌ويروس بروز شده روي اون وجود داره مي‌تونيم نوع کرم رو تشخيص بديم. با داشتن اسم کرم، مي‌شه اطلاعات اون رو از طريق يه جستجوي اينترنتي ساده پيدا کرد. و البته روش حذف اون و احتمالا يک برنامه که اين کار رو انجام بده.

هشدار:
در انتقال USB بايد دقت شود که مبادا همين کار موجب انتقال کرم به کامپيوتر جديد بشه.
در عمل کردن به دستورالعمل‌هاي اينترنتي نيز بايد مراقب بود: همانطور که دارو بايد با تجويز پزشک مصرف شود، قبل از عمل به اين دستورالعمل‌ها بايد مطمئن شوید اولا دستورالعمل به مشکل شما مربوط است و دوما، اون رو از افراد مطمئني دريافت کرده‌ايد.
بخصوص دانلود کردن برنامه‌ها از اينترنت بايد با ملاحظه و از محل‌هاي معتمد صورت بگيرد، مبادا که ويروس يا بدافزار ديگري همراه برنامه دانلود شود.

شايان ذکره که دوستم روي کامپيوترش - شايد بعد از آلوده شدن به ويروس - آنتي‌ويروس AVG نصب کرده بود، ولي آنتي‌ويروس از تشخيص کرم ناتوان بود. (اصولا آنتي‌ويروس‌ها در تشخيص بدافزارها پس از آلوده شدن سيستم مشکلاتي دارند. به خصوص اگر - مثل موضوع ما - بدافزار مربوطه از نوع Rootkit نيز باشد)
اينکه بعد از اين همه تلاش، راه‌حل به اين سادگي جهت تشخيص مشکل پيدا شود خودش حکايتي است! شايد برخي بگويند بايد قبل از بررسي‌هاي مفصل خيلي زودتر از دوستم در اين باره پرسش مي‌کردم.البته، معما چو حل گشت آسان شود؛ ولي در هر حال اين تلاش‌ها خودش لذت بخش و آموزنده است و دقيقا نکته‌ايست که از ابتدا موجب علاقمندي و پيگيري من شده بود.

نتيجه و رفع آلودگي

خب، نتيجه همين آزمايش ساده با آنتي ويروس Avast کامپيوتر ديگر، نام کرم رو مشخص کرد: Kido.IH.40

نام ديگر اين کرم Conficker است که کرم بسيار معروف و شناخته شده‌ايست. اين کرم از يک حفره نسبتا قديمي (سال 2008) در RPC ويندوز براي انتشار خودش در شبکه استفاده مي‌کنه. با اينکه اين حفره همون موقع توسط مايکروسافت برطرف شده، به علت اينکه بسياري از ويندوزها به روز نيستند کرم همچنان قرباني مي‌گيره.

روش رهايي از دست اين کرم را مي‌توانيد به نقل از Microsoft بخوانيد.

من از روش زير استفاده کردم، ولي به خاطر داشته باشيد مسئوليت انجام هر کاري با خود شماست:

دانلود برنامه Killer مربوطه که توسط شرکت Kaspersky تهيه شده بود: (بسياري از شرکت‌هاي آنتي‌ويروس چنين برنامه‌اي براي اين کرم ارائه داده‌اند)
دانلود از اينجا
دانلود patch از مايکروسافت، براي اينکه کرم موفق به آلوده کردن مجدد کامپيوتر نشود:
MS08-067 ،Ms08-068 ،MS09-001
اطمينان از اينکه کلمه عبور قوي‌اي براي کامپيوترتان انتخاب کرده‌ايد. (لااقل 6 کاراکتر شامل حروف کوچک/بزگ، اعداد و کاراکترهاي ويژه)
بروزکردن آنتي‌ويروس و جستجوي سيستم براي وجود فايل‌هاي ويروس.
اطمينان از اينکه سرويس بروزرساني ويندوز (Windows Update) فعال است تا ديگر کامپيوتر به چنين کرم‌هايي آلوده نشود.

توجه: وقتي کرم Conficker کامپيوتري را آلوده مي‌کند ممکن است از اتصال کامپيوتر به سايت‌هاي آنتي‌ويروس و مايکروسافت جلوگيري کند. به همين علت ممکن است مجبور شويد از يک کامپيوتر ديگر براي دانلود کمک بگيريد. اما لينک برنامه Killer که در بالا ارائه دادم از يک سايت دانلود نرم‌افزار است که اصولا توسط ويروس بلوکه نمي‌شود.
ضمنا برخي گونه‌هاي Conficker بدافزارهاي ديگري را دانلود و نصب مي‌کنند که رهايي از آنها نياز به روش خودش را دارد.

من توصيه مي‌کنم autorun ويندوز را نيز از کار بيندازيد تا کرم‌هاي USB نتوانند از اين طريق منتقل شوند. بزودی درباره autorun نیز خواهم نوشت

بروزرسانی 1389/3/30: درباره از کارانداختن autorun این پست را بخوانید.
بروزرسانی 1389/4/27: اندکی توضیح درباره Rootkitها و ارتباطشان با این پرونده را در این پست بخوانید.

کلمات کلیدی: AntiVirus, Conficker, Kido, Rootkit, Virus, Windows, WireShark, Worm, آنتی ویروس, امنیت, روت کیت, ویروس, ویندوز, پرونده, کانفیکر, کرم, کیدو

پیشگفتار!

2010-06-13T00:39:00.002+04:30

به نام آنکه نامه نانوشته خواند

من، سجاد نفیسی، با توکل به خدای متعال، آغاز به کار این وبلاگ را اعلام می‌دارم! :)