Trojanów ciąg dalszy...

W jednym z pierwszych numerów magazynu INTEREK opisywałem możliwości Netbusa 1.7 - popularnego 'trojana'. Na początek małe przypomnienie dla tych, którzy nie czytali poprzedniego artykułu. Koń trojański, to program, składający się z dwóch części - serwera i klienta. Serwer umożliwia dostęp do komputera z zewnątrz, a klient pozwala nawiązać to połączenie z innego stanowiska oraz najczęściej daje do dyspozycji szereg funkcji, jak na przykład: obsługa dysku, urządzeń peryferyjnych, zarządzanie aplikacjami, ...

Aby nawiązać połączenie potrzebny jest numer IP zainfekowanego komputera. Jeśli jest on połączony z Internetem poprzez łącze stałe, to nie jest to wielki problem, bo wtedy numer IP jest identyczny przy każdym połączeniu. Jeśli jednak 'serwer' łączy się poprzez modem, to za każdym razem zostaje mu przyporządkowany inny IP. Spędzanie godzin na wpisywaniu kolejnych kombinacji numeru IP w poszukiwaniu tego właściwego nie ma większego sensu. W takiej sytuacji z pomocą przychodzą nam skanery portów.

Ale co to takiego?
Są to programy, które przeszukują wszystkie adresy IP w podanym przedziale i sprawdzają listę portów komputera. Lista taka to spis programów (także koni trojańskich) oraz portów, które są przez te programy wykorzystywane. Skaner sprawdza, więc aktywność danego programu pod odpowiednim portem.

Jednym z najlepszych skanerów jest 'SuperScan'. Można się w niego zaopatrzyć na stronie: http://www.achates.prv.pl/

Jest tam też dość spora lista trojanów, antytrojanów, skanerów, ... do ściągnięcia oczywiście. W dalszym opisie będę się opierał o wersję, która jest dostępna na w/w stronie (w wersji 2.06). Program ma dość prosty interfejs i jest całkiem łatwy w obsłudze. Jego część podstawową stanowi sekcja 'IP'. Możemy w niej skonfigurować takie ustawienia jak:

a) początkowy numer IP - ten, od którego rozpocznie się przeszukiwanie
b) końcowy IP - analogicznie ten, na którym wyszukiwanie się zakończy
c) 'Ignore IP zero' - nie sprawdza numerów z zerem na końcu (np. 213.25.255.0)
d) 'Ignore IP 255' - jak wyżej, ale dotyczy numerów z 255 na końcu
e) 'Extract from file' - listę sprawdzanych numerów program pobiera ze wskazanego pliku

Istotnym parametrem przeszukiwania jest 'Speed'. Pozwala ona na regulację szybkości przeszukiwania.

W sekcji 'Timeout' możemy ustalić czas zakończenia (w razie niepowodzenia) operacji 'Ping' (wysłanie sygnału do hosta i oczekiwanie na odpowiedź), połączenia ('connect' - łączenie z hostem) oraz odczytu ('Read').

Sekcja 'Scan type' daje możliwość konfiguracji rodzaju skanowania:
a) 'Ping only' - tylko wysyła sygnał do hosta i oczekuje na odpowiedź
b) 'Every port in list' - przeszukuje wszystkie porty na liście, bez względu na to, czy są one oznaczone do przeszukiwania, czy też nie
c) 'All selected ports in list' - skanuje tylko te porty, które są oznaczone na liście
d) 'All list ports from' - podawane są 2 parametry - numer pierwszego i ostatniego skanowanego portu. Skanowane są wszystkie porty z podanego przedziału, oznaczone na liście.
e) 'All ports from' - także podaje się 2 parametry - numer pierwszego i ostatniego portu. Tym razem program skanuje wszystkie porty z podanego przedziału, bez względu na ich oznaczenie.

Dodatkowo po zaznaczeniu funkcji 'Show host responses' program będzie wyświetlał odpowiedzi hostów. A po zaznaczeniu 'Only scan responsive pings' będzie skanował tylko te adresy, z których otrzyma odpowiedź na sygnał.

Sekcja 'Scan' odpowiada za sterowanie skanowaniem. Pozwala ona na uruchomienie i zakończenie skanowania. Jeżeli zostanie przeskanowany cały obszar adresów IP, to skanowanie zostanie zatrzymane automatycznie. Jeśli jednak to my zatrzymamy proces i wznowimy go, to program rozpocznie od początkowego IP zdefiniowanego w sekcji 'IP'. W tej sekcji wyświetlany jest także numer portu, do którego aktualnie jest wysyłany 'Ping' oraz portu aktualnie skanowanego.

W sekcji 'Hostname Lookup' możemy dokonać skanowania własnych portów ('Me'), przejrzeć informacje o dostępnych interfejsach ('Interfaces') lub uzyskać informacje o hoście wpisując jego nazwę lub numer IP w okienku i klikając na 'Lookup'. Jeśli host odpowie, to w oknie 'Resolved' otrzymamy odpowiedź.

Bardzo ważną częścią programu jest okno, pojawiające się po kliknięciu na przycisk 'Port list setup' w sekcji 'Configuration'. W sekcji 'Helper apps in right-click menu' możemy dokonać wyboru klienta FTP, Telnetu oraz WWW, którymi będzie się można posłużyć podczas pracy z programem. W sekcji 'Port list file' wybieramy listę portów do skanowania, a w sekcji 'Select ports' wybieramy z listy porty, które będą skanowane. Obok numeru portu widnieje także nazwa programu, który ten port wykorzystuje. Po kliknięciu na dowolną nazwę w sekcji 'Change/add/delete port info' pojawiają się bardziej szczegółowe informacje o programie. Wszystkie zapisane tam dane możemy dowolnie edytować.

W dolnej części głównego okna programu wyświetlona zostaje lista hostów, które odpowiedziały na 'Pinga'. Jest też tam licznik hostów, które odpowiedziały ('Active hosts') oraz hostów otwartych ('Open hosts'). Przycisk 'Prune' usuwa z listy hosty tylko aktywne (do których nie możemy się dostać), a pozostawia tylko otwarte. Na liście hostów, otwarte z nich wyróżniają się charakterystycznym dla windowsowych aplikacji 'krzyżykiem'. Po kliknięciu na niego rozwija się lista programów, które zostały wykryte w aktywnym hoście. Jeżeli widnieje tam nazwa np. 'Netbus 1.7' to nie mamy na co czekać, tylko odpalać klienta Netbusa i połączyć się z hostem. Może się zdarzyć, że właściciel komputera, z którym chcemy się połączyć ma założone hasło. To stwarza pewien problem z połączeniem, ale o tym innym razem...

Porty skanował: Norbert "Norby" Boroń