Универсальный инструмент для атак на сервера.

Хакеры проводят тщательно спланированные и изощренные атаки не в 100% случаев. Для наведения хаоса или отключения какого-либо интернет ресурса у них есть более универсальное, но не менее эффективное оружие. Знакомьтесь! Это DDOS.


Это слово является сокращением от Distributed Denial of Service, что на русский переводится как распределённый отказ от обслуживания. Мы очень часто слышим о нём из новостей, на форумах или в профессиональных статьях, но почему именно этот метод атаки упоминается так часто? Ответ очень прост: целью для атаки может являться любой общедоступный ресурс вне зависимости от всех его технических аспектов. Единственный способ быть надёжно защищенным от DDOS - закрыть сеть от подключений извне, что, само собой, невозможно, например, для интернет магазина.


Но чего можно добиться подобными атаками? В большинстве случаев с помощью DDOS вызывают "падение" сервера. Состояние, при котором запрашиваемый ресурс перестаёт отвечать на запросы. Хакер каким-либо образом генерирует такое количество запросов, что сервер перестаёт успевать их обрабатывать. Соответственно, когда обычный пользователь попытается подключиться к серверу, находящемуся под атакой, запрашиваемая машина из-за перегрузки не сможет обработать запрос пользователя и выслать ему ответ. Значит для пользователя сервис будет недоступен.

Если атакуется интернет магазин, то отказ обслуживание подрывает доверие пользователей. "Ваш сайт не работает - ну и не надо, мы найдём другой", - думает обычный потребитель. Значит в ходе DDOS атаки на интернет магазины в выигрыше будут его конкуренты.

Так же атакам могут подвергаться ресурсы, информация на которых не угодна хакерам. Роскомнадзор по взмаху волшебной палочки может заблокировать для большинства российских пользователей любой интернет ресурс(чем они, кстати, и занимаются), но хакеры могут нечто круче! "Заблокировать" так, что никакой VPN тебе не разблокирует. Им не нужно ни решение суда, ни сговорчивость провайдера, всё находиться только в их руках. К подобным DDOS атакам прибегают не только хакеры, но, возможно, и гос. органы. Так всем известный WikiLeaks в 2010 году подвергался множественным атакам.

Владельцы большинства значимых интернет ресурсов готовы платить большие деньги, лишь бы остановить атаку и вернуть работоспособность ресурса. Поэтому выгодной целью для атаки может стать не только неугодный ресурс или интернет магазин, но вообще всё что угодно.


Что хакеру нужно, чтобы начать класть сервера?

Нужны ресурсы. Их количество зависит от факторов, которые я сейчас опишу.

1. Нагрузка, создаваемая единичным запросом к серверу. Атака может проводиться в тупую, но если хакер заранее изучил атакуемый сервер, то, зачастую, получается найти способы в разы увеличить нагрузку от одного запроса. Примером может служить атака через NTP протокол(Network Time Protocol). В результате спуфинга хакер отправляет от лица другого пользователя запрос по этому протоколу, а сервер в ответ отправляет сотни IP адресов на подставной адрес. Запрос маленький, а ответ гигантский. Используя этот метод можно вызвать нагрузку на интернет канал в десятки раз больше, чем при обычных методах атаки.

2. Мощность атакуемого сервера. Очевидно, что чтобы положить сервера google надо создать намного бОльшую нагрузку, чем чтобы положить сервер minecraft. Кстати, тут и кроется универсальность DDOS атак: на сколько бы мощной не была атакуемая сеть, если у хакера достаточно ресурсов, она обречена.

3. Наличие или отсутствие средств защиты от DDOS. Большие сайты нередко пользуются подобной защитой. Она заключается в том, что все запросы проходят через прокси сервера, которые пытаются отделить атакующие компьютеры от компьютеров обычных пользователей. Но тут есть 2 нюанса: их отделение не всегда возможно, и мощность атаки может быть настолько велика, что ляжет сам анти-DDOS сервис. Но об этом ниже.

4. Ресурсы, находящиеся в распоряжении атакующей стороны.

Если сервер маломощный, и эффективная атака возможна, то сервер можно положить и с одного компьютера(такой вид атаки называется DOS). Хорошим примером может служить атака на реализацию IPv6 в Windows. Создавая запросы на подключение, можно загрузить процессор на 100%. Таким образом одному хакеру удавалось несколько недель держать сервера одной компании под атакой с помощь только одного мобильного телефона!

Но даже если сервер не имеет уязвимостей в ПО, и с одного мобильного или даже компьютера вывести его из строя не представляется возможным, на сцену выходят ботнеты - объединения инфицированных машин, которые управляются по команде хакера. Самые крупные ботнеты способны положить практически любой интернет ресурс. Кстати, я говорил, можно положить даже систему защиты от DDOS. Так вот, Cloudflare(один из подобных сервисов) в феврале 2014 подвергся атаке, мощность которой превышала 400 Гбит/с!


Для атаки могут использоваться абсолютно любые алгоритмы, но вот основные типы атак:

UDP Flood - отправка большого количество запросов по UPD протоколу на разные порты атакуемой машины. В результате сервер будет вынужден отправлять большое количество ICMP-сообщениий «адресат недоступен», что съедает полосу пропускания.

SYN Flood - отправкой большого количества SYN сообщений сервер вынуждают создавать новые соединение, которые закроются только по истечению timeout. Поскольку количество возможных соединений ограничено, у атакуемой машины быстро заканчиваются ресурсы.

Ping of Death - отправляется по частям пакет, размер которого больше максимального размера пакета в IPv4(65535 байт). Это может привести к выводу из строя серверного ПО на машине. Но сейчас с этим типом атаки успешно борются.

Zero Day DDoS - DDOS с использованием только что обнаруженных уязвимостей.

Unintentional DDoS - тот случай, когда хакеры ни к чему не причастны. Это состояние, при котором количество запросов от обычных пользователей настолько большое, что сервер перестаёт справляться.

Application Level Attacks - атака проводится на определённые приложения на сервере. Цель - заставить приложение создать наибольшую нагрузку одним запросом.

Nuke - отправка модифицированного ICMP пакета, в процессе обработки которого сетевым оборудованием или сервером возникает критическая ошибка.


Давайте рассмотрим одни из самых знаменитых атак:

Предвыборный сайт Дональда Трампа был атакован первого апреля 2016 года. Атака была очень короткой по времени, но вызвала большой резонанс. И правда, как президент, который не может защитить свой сайт, защитит целое государство. Кому это было выгодно - сейчас сказать трудно. Но очевидно, что DDOS приковывают большое внимание к себе.

DYN - DNS инфраструктура, атакованная 21 октября 2016 года. DNS сервера служат для преобразования доменных имён в ip адреса. Когда вы набираете адрес любого сайта, компьютер ещё не знает, с каким сервером ему надо связаться. Для того, чтобы это установить, отправляется DNS запрос. В те несколько часов пока длилась атака пользователи DNS DYN буквально потеряли возможность пользоваться интернетом, ведь доменные имена используются везде. Самое примечательное тут, что именно этим DNS пользовался Twitter и Spotify. Поэтому в течении двух часов атаки доступ к этим сайтам был ограничен.


Стоит так же отметить, что атакуемая сторона стараются не заявлять напрямую, что их сервера недоступны из-за атаки. Чаще мы слышим, что просто сервера перезагружались или шёл процесс миграции, что, конечно, далеко от правды. Компании не хотят признавать, что они оказались бессильны перед хакерами.


Но от куда берутся ботнеты и кто за ними стоит? Каждый ботнет принадлежит определённому хакеру, но в даркнете можно найти предложения о сдаче ботнетов в аренду. Вам не правится какой-то сайт или сервер? Не проблема, арендуйте ботнет и сайт ляжет на нужное вам время. Цена вопроса зависит от описанных выше факторов и продолжительности атаки.


Сами хакеры набирают ботнеты создавая и распространяя вирусы. Участником ботнета может стать любая инфицированная машина с доступом в интернет. В последнее время не только компьютеры подвергаются заражению, но появляется большое количество инфицированных устройств из IoT(Internet of Things). Это всякие умные приборы с выходом в интернет. Их активное участие в ботнетах обуславливается тем, что на данный момент аспектам защиты уделяется недостаточное внимание, а так же тот факт, то зачастую процесс обновления и исправления уязвимостей в разы сложней, чем на обычном компьютере. Возможно, вы слышали о ботнете Mirai. Он состоит из умных камер наблюдения, видеопроигрывателей и других вещей, которые можно отнести к классу IoT. Его мощность гигантская, именно он использовался в атаках на Dyn DNS.


Поскольку DOS атака производиться с одного компьютера, произвести её можно и без затрат вообще. Есть инструмент, получивший известность благодаря деятельности анонимусов - low orbit ion cannon. Это программа с открытым исходным кодом для организации DOS атак. В одиночку с ещё помощью положить что-то вряд ли удастся, поэтому анонимусы через свои каналы связи просили людей в указанное время начинать атаковать определённый ресурс.

July 7, 2018
by Слава Исмаилов
0
275

Готовая оффлайн схема!


Заниматься мы будем благотворительностью, сбором денег. С помощью ящиков, которые будем устанавливать на точках в вашем городе.

Закупка нужного материала и модернизация его

Для начала нам нужны вот такие ящики


Найти такой ящик в интернете можете по названию:

"Ящик для пожертвований из ударопрочного пластика для уличного применения"

Плюсы этого ящика в том, что он имеет информатор, его сложнее сломать чем обычный пластик, не тяжелый и мобилен, так же в непогоду он защищает деньги (вода не попадает во внутрь)

Размер 230x420x150 мм, такого нам вполне достаточно.

Цена у него в среднем идет 2400-3000 рублей за 1 шт. (без доставки)

По опт. цене от 5 шт - цена ~1900 за 1 шт.

P. S. Можно на Avito найти б. у., но обязательно проверяйте замок и на прочность ящик.

Так же нам нужен велосипедный замок-трос - подойдет Gros FK-308 - цена в среднем 500-700 рублей (или альтернатива)


После того как ящик у нас

Просверливаем сзади два отверстия (вертикально, т. е. один внизу, другой вверху) шириной 8-10 мм (рассчитывать от толщины велосипедного замка-троса)

Продеваем трос через отверстия так, чтобы замок получился снаружи. Делаем это для того, чтобы могли повесить ящик.

По стандарту ящик предназначен для крепления на ровную стену, но так как мы будем крепить на другие места, приходится использовать такую модернизацию ящика

Есть два варианта работы по схеме

Первый вариант работать по-честному (прибыль меньше)

Второй вариант - забирать все себе (тут уже кому как, карма, совесть и так далее)

Первый вариант

Думаю, как вы уже поняли, что мы будем заниматься благотворительностью. Для начала находим в своем городе детский дом (внимательно изучите, посмотрите, не было ли в новостях конфликтов (или подобных неприятных ситуаций - это играет важную роль, поверьте) в этом детском доме).

Записали номер, позвонили, попросили сразу директора. Скажите, что вы хотите помочь детскому дому, спросите, в чем нуждаются. Чаще им нужно по всякой мелочи: канцелярия, хоз. товары, лекарства. При первом походе я закупил все где-то на 5 тысяч рублей. У меня попросили большие мешки для мусора, тетрадки, столовые приборы, лекарства и другое по мелочи. Когда пойдете в детдом возьмите с собой фотоаппарат (объясню ниже зачем), так же подойдет и камера на телефоне. Вас в детском доме встретят с восхищением)

Пообщайтесь с директором, с детьми. Часто проводят экскурсию по детскому дому. Обязательно еще раз спросите, в чем нуждаются. Скажите, что хотите помочь и можете собрать деньги на покупку нужд для детского дома (тут директор может вас чуть не расцеловать, если конечно директор женщина).

Попросите разрешения сфотографировать детей. Фото нам понадобится для запуска. Обязательно запишите ФИО директора, телефон, адрес и название детского дома. После этого уходим из детского дома со списком нужных вещей, с доверием и поддержкой директора, с желанием запустить работу)

Второй вариант

После того как у нас есть фото из детского дома (или просто скаченная с сайта или с интернета) Мы его фотошопим (или отдаем на фриланс). Нам нужна альбомная ориентация фото (формат А5), я делал надписи "Поможем сиротам вместе", "Они нуждаются в тебе".

После этого скидываем готовый файл на флешку и идем в типографию, заказываем печать ее на виниловой наклейке -пленке ( прозрачная, глянец, размер А5 210-148 мм) + делаем ламинацию (по желанию). Одна такая наклейка стоит от 400 до 800 руб. После этого - наклейку наносим на информатор ящика.

Теперь у нас есть готовый ящик для приема денег). Теперь нам надо найти точки, куда будем прикреплять наши ящики. Мой выбор выпал на трамвайные остановки, где присутствуют вот такие подобные ограждения


Их мы и будем использовать!

Что бы найти такие остановки - достаточно проехаться на трамвае (или пешком, если погода позволяет), записать себе в блокнот остановки (в будущем поможет для составления маршрута)

Так же обращайте внимание где больше людей стоит, как часто трамваи ходят. (

Сильно не зацикливайтесь на этом, я расскажу позже как можно будет отследить эффективность.

Почему трамвайные остановки?

Большое количество людей. Люди пока ждут трамвай, видят ящик, и ради любопытства подходят, большинство из них кидает мелочь железную: помочь детишкам и заодно от мелочи избавиться, а то гремит, тяжесть и так далее.

Так же на остановке не проявится вандализм к отношению нашего ящика. Потому что надо быть совсем без головы, чтобы попытаться сломать, а еще хуже украсть ящик с деньгами, который предназначен для сирот при публике. Максимум что может случиться, это всякое барахло (листочки от объявлений, фантики от конфет) школьники могут засунуть, но замечал, что и они кидают монету в ящик.

Ящики размещенные на таких точках, показали результат во много раз больше чем ящики установленные на арендных местах в торговых центрах. (Для ТРЦ нужно очень много возни + оплата аренды, да и люди там не очень обращают внимание на ящики)

Запуск работы

У нас есть готовый ящик, выписаны нужные нам остановки, можно приступать к работе.

Самое оптимальное начало это в 06.30-10.00 утра (в это время люди едут на работу) и в 16.00-19.00 (люди возвращаются домой) Т. е. вешаем ящик на ограждение в 06.30 (это время подходит для тех, кто очень стеснительный или не хочет сильно светить своим лицом), забираем около или после 10.00, потом снова вешаем в 16.00 и снимаем в 19.00. Конечно, вы можете оставить на весь день ящик

Но я начинал с первого варианта, так как деньги в оборот пускал. Нам одного ящика ведь мало будет, поэтому с прибыли заказываем еще ящики. Могут быть случаи, что спросят вас, что это такое - не пугайтесь, спокойно отвечайте, что вы просто наемный рабочий-курьер и вам дали такую работу (для анонимов или параноиков).

Могут попросить дать телефон тех, кто этим занимается - тут можете сказать: телефон забыл дома (снова для анонимов или параноиков) или приобрести левую симку и потом принимать звонки (Обычно звонят редко, спрашивают куда деньги собирают, чем можно помочь. А мы спокойно говорим, что в этот детский дом, можем дать номер директора пусть позвонят убедятся. По факту у меня 1 человек только позвонил директору, а так как у нас есть поддержка директора - то все хорошо)

После того как собрали деньги из ящика, сразу часть откладывайте (я убирал 20-30%) на детский дом. Если конечно вы работаете по первому варианту, а если по второму, то забираете все себе .

Через некоторое время, когда накопится достаточная хорошая сумма, закупаем все что, нам сказал директор и едем в детский дом. Не забудьте фотоаппарат!

Возможно, придется заполнить документ, о том, что вы подарили (не во всех домах, правила у них такие). Так же вам могут сделать благодарственное письмо, нелишний плюсик для вас.

Сделали фото как дарите детишкам вещи, попили чай с директором, попрощались до следующей встречи. Я бы посоветовал приезжать один-два раза в месяц в один детский дом.

Профит

Наверно самая приятная часть, посчитаем все.

Вложения на 1 точку

Ящик - 3000 рублей

Трос - 700 рублей

Наклейка - 800 рублей

Итого - 4500 рублей

Вложения посчитаны "грубой" ценой (так как есть цены на материал дешевле + опт) Так же сюда можно привести одноразовые вложения на первых поход в детский дом (от 1000 до 5000 рублей, зависит от вашего желания, но я советую!)

Прибыль с одной точки (зависит от самой остановки: масса людей, ожидание трамвая) = минимум 1000± рублей в день (по статистике я считаю такую остановку очень слабой).

Средняя прибыль с хорошей точки - выходит в среднем 2000-3000 рублей.

При большем количестве ящиков - можете сами посчитать сколько будет прибыль.

Советы, расширение работы и увеличение дохода, автоматизация

В среднем рекомендую заиметь 10 ящиков и выписать для себя 20-30 "точек". И чередовать месторасположение ящиков на этих точках.

Пример: Сегодня ящик №1 мы поставили на остановку "Московская", завтра ящик №1 ставим на остановку "Питерская", а на "Московскую" возвращаемся через 1-2 дня.

Эта система дает нам вести статистику, отбирать точки где прибыль больше (я все записывал в excel, формула: время (утро, вечер) /деньги, так же учитывал будни, выходные, на некоторых остановках прибыль больше чем в другом месте и актуально использовать именно в этот день точку).

Для автоматизации можно нанять школьников (или студентов, но первые более согласны работать за минимальную оплату), найти их можно вконтакте в группах "подработка" в своем городе или дав объявление на досках (Avito и т. п.).

Обязательно записывайте полностью данные человека (а лучше скан сделать), где живет, учится.

Я выдавал 1 ящик на одного человека (для начала лучше так, потом можно и больше выдать). Объяснил суть работы, задачу, что говорить если спросят (давал им листок-подсказку, где указаны данные о детском доме, текст, телефоны), давал свой "рабочий" номер. Оплату можно назначить 50-100 рублей за установку-снятие ящика или же сделать процент с собранных денег (я делал оплату 100 рублей). Если не доверяете человеку, то закупите пломбы и прикрепите на ящик (2-4 рубля одна пломба). Пломба даст вам знать, вскрывали ящик или нет. При мне ни разу такого не было (хотя хитрожопых везде хватает)

Выдал человеку ящик, завтра он установил, снял - вечером приезжаешь и забираешь деньги. Для больше доверия можно закупить футболки (накидки) с печатью и выдать нашим рабочим (что бы при установке-снятии ящика, одевали эти футболку). Идея дополнительного заработка: можно сделать сайт для благотворительности (тут нам как раз и фотоотчёты с детского дома и нужны) и ссылку указывать на информаторе (подключаем агрегатор онлайн платежей). Но тут вам решать самим, собирать все себе в карман или реально помогать нуждающимся.

Так же ограждения такие бывают и на автобусных остановках, их можно тоже в работу включить.

Ящики можно разместить так же столбах, деревьях (тут уже делаем отверстия горизонтально и подбираем другие велосипедные тросы по размеру). Выбираем конечно же проходимые места (кроме территории Гор. Думы и другие гос. Учреждений конечно же)

Тестировал на территории жд вокзала - показал очень хороший результат.

July 7, 2018
by Слава Исмаилов
0
272

Как стереть себя из интернета

Вы когда-нибудь задумывались о том, что в Google могут искать лично вас? Даже если вы не известная медийная персона, в мире существует немало людей, которые хотели бы узнать о вас больше. Ну, скажем, HR-специалист из компании вашей мечты, который как раз сейчас рассматривает ваше резюме на открытую вакансию. Интересно, какие результаты он получит, если введет ваше имя в строку поиска?

Можете быть уверены, неистребимая иллюзия анонимности в интернете испортила жизнь очень и очень многим. Сегодня большинство из нас уже понимает, что онлайн-репутация неотделима от реальной жизни, а все, что появилось в интернете, остается в интернете. Но как быть, если осознание этого пришло слишком поздно? Как заставить интернет раз и навсегда забыть ваши «ошибки молодости»?

«Можно ли стереть себя из интернета, уничтожив все следы своего пребывания в глобальной Сети?», — таким интересным вопросом задались эксперты PC Pro. Не то чтобы автор статьи Джой Мартин (Joe Martin) призывал всех и каждого совершить виртуальное самоубийство. Но ситуации, когда хочется начать свою виртуальную жизнь с чистого листа, не так уж редки, как может показаться. Что, если в интернет просочилась ваша личная переписка или откровенные фотографии?

Как удалось выяснить Джою Мартину, большинство социальных сетей и других популярных веб-сервисов приложат все усилия, чтобы не дать вам удалить всю информацию о себе. К примеру, ссылку на удаление профиля в Facebook почти невозможно найти, и даже если вы разберетесь, в чем разница между деактивацией и удалением, в соцсети сохранится некоторая часть ваших персональных данных. А после удаления аккаунта в Google группы, в которых вы состояли, по-прежнему смогут присылать письма на ваш другой электронный адрес, утверждает PC Pro.

К счастью, существуют специализированные сервисы, которые могут значительно облегчить вашу жизнь, заставив интернет «забыть» о некоторых неприятных моментах вашего прошлого или совсем «стереть» вас из Сети.

Accountkiller

На сайте Delete Your Online Accounts - Popular | accountkiller.com можно найти прямые ссылки и инструкции по удалению аккаунтов во всех популярных сервисах. Некоторые из них занесены в «черный список» — это те сервисы, которые практически не оставляют пользователям шанса «убить» свой аккаунт. В их числе — Skype, Evernote, Wordpress и World of Warcraft. К счастью, существует и «белый список».

Reputation.com

Компания из Силиконовой Долины, основанная в 2006 году, управляет онлайн-репутацией с помощью эксклюзивных запатентованных технологий. Reputation.com готова помочь как компаниям, так и индивидуальным клиентам. Инструменты Reputation.com позволяют сделать негативную информацию о компании или о человеке менее заметной на просторах Сети за счет продвижения позитивной информации.

Компания также обещает удалить нежелательную информацию из множества онлайн-источников, используя как свои технологические возможности, так и партнерские соглашения с различными агрегаторами данных. Кроме того, Reputation.com проводит постоянный мониторинг, чтобы своевременно удалять негативную или персональную информацию о своих клиентах в случае ее появления в Сети.

DeleteMe

DeleteMe обещает удалить информацию о вас из крупнейших баз данных, уничтожить любую контактную, персональную и социальную информацию, а также фотографии вас, вашей семьи и вашего дома. Каждые 3 месяца компания отправляет своим клиентам детализированный отчет. Правда, стоит это удовольствие недешево: 129 долларов на человека за год.

Remove Your Name

Сервис Remove Your Name примечателен не только высокой стоимостью своих услуг (если хотите вернуть свое честное имя, будьте готовы выложить около 1 000 долларов), но и наличием гарантий. Компания утверждает, что будет работать до тех пор, пока ваше имя не исчезнет из выдачи крупнейших поисковых систем, а если этого не произойдет, вам вернут деньги.

В зависимости от того, какой пакет услуг вы выберете, негативные упоминания о вас исчезнут с первой страницы выдачи Google (Personal Basic), с первых двух страниц Google, Yahoo, Bing and AOL (Personal Plus) или с первых трех страниц Google, Yahoo, Bing and AOL (Personal Advanced).

Web 2.0 suicide machine

А этот сайт создан специально для тех, кто устал от соцсетей и мечтает вернуться в реальную жизнь. Чтобы совершить виртуальное самоубийство, нужно лишь выбрать социальную сеть и авторизоваться под своей учетной записью.

Вот и все: теперь можно смотреть, как машина безжалостно удаляет сначала сообщения, потом фотографии, а затем и друзей. Вся долгая виртуальная жизнь промелькнет у вас перед глазами.

May 23, 2018
by Слава Исмаилов
0
211
Show more