Um hacker deve ser capaz de hackear sem a necessidade de ferramentas. Um hacker deve ser capaz de hackear a partir dos recursos existentes no sistema operacional usado como plataforma de ataque. Um hacker deve ser capaz de hackear usando os recursos presentes na Internet. Um hacker deve ser capaz de hackear usando apenas o cérebro.
Para provar que podemos hackear sem ferramentas, só com o raciocínio, vamos usar como o exemplo o site www.seminarios.com.br. Não temos vínculo algum com o referido site e nem garantimos que as falhas aqui apresentadas continuem lá caso você decida repetir o teste. A importãncia deste tópico é provar minha afir- mação: de que um hacker pode hackear sem ferramentas.
Entrando no site, percebemos na coluna da esquerda áreas de acesso restrito a clientes. Se nós soubermos a senha ou descobrirmos alguma vulnerabilidae, va- mos ter acesso a esta área de acesso restrito. Antes de experimentar usar injeção de SQL, vamos ver qual página do site receberá a senha digitada. Se você não
conhece programação, vou explicar melhor. As páginas com formulário chamam outra página, passando-lhe parâmetros (troca de informações entre uma página e outra). Se você digitar a senha correta, vai ser redirecionado para a página exclu- siva dos clientes. Se a senha digitada estiver errada, você vai ser redirecionado para uma página de aviso. A primeira coisa que precisamos saber é qual página será chamada após clicar no botão OK ou ENVIAR.
○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ fonte de uma página na Internet pode ser visualizado acessando o menu do Internet Explorer Exibir -> Código Fonte:
Ou então, clicar com o botão direito do mouse sobre a página a ter o código fonte exibido e acessar a opção Exibir Código
Fonte. Talvez o botão direito do mouse es-
teja desabilitado pelo programador. Uma for- ma de quebrar esta proteção contra o uso do botão direito é clicar com o botão esquer- do do mouse sobre a página e, sem soltá-lo, clicar também com o botão direito.
O código fonte será exibido no Bloco de
Notas do Windows. No bloco de notas, vá
ao menu Editar -> Localizar ou pressione as teclas de atalho CTRL+F.
O que estamos procurando é a linha onde consta a página a ser carregada depois que o botão OK (ou ENVIAR) for pressionado. O que você precisa fazer agora é digitar na caixa de pesquisa a palavra ACTION, para ver qual AÇÃO será realizada pelo formulário após envio.
Em nosso exemplo, o comando Localizar chegou ao seguinte resultado:
<form name="form1" method="post" action="restrito.asp">
Já podemos ver que a o nome da página a ser chamada após clicar no botão OK ou ENVIAR é restrito.asp. Vamos digitar o endereço completo do site, incluin- do no final o nome da página. A URL ficará assim:
http://www.seminarios.com.br/restrito.asp
Acredite ou não, basta digitar o endereço acima e você terá acesso a ÁREA RESTRITA. O erro que o programador cometeu foi criar uma única página de autenticação e não se preocupou em validar a entrada quando feita diretamente na página restrita. Este é um erro muito comum: validação na página de entrada e sem validação na página restrita. Então se você chamar direto a página restrita, vai conseguir o acesso. O Google também pode ser usado para localizar estas páginas restritas e vamos ver como fazer isto posteriormente.
Ainda no site do exemplo, procurando, encontramos a opção de download para alguns programas. Um deles é o Power Subliminals que, segundo o autor, auxilia no processo de reprogramação mental, através da exibição de mensagens subliminares na tela do micro enquanto você trabalha. Isto realmente funciona e eu recomen- do que você ‘adquira’ este programa.
Ao tentar fazer o download nos deparamos com uma nova janela de autentica- ção, pedindo E-Mail e senha para termos acesso ao programa. Vamos experi- mentar entrar com qualquer E-Mail e se- nha. Também podemos experimentar ape- nas clicar no botão ACESSAR, sem digitar nada. O resultado é uma tela informado que não estamos autorizados a fazer o download.
Neste caso a janela não exibe a barra de menus do Internet Explorer. Isto não é pro- b l e -
ma. Vamos usar o botão direito do mouse para exibir o código fonte e de novo pro- curar pela ação (ACTION) que este peque- no formulário vai executar (a página a ser chamada).
○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ Como resultado encontramos a linha:
<form name="form1" method="post" action="downsub.asp?acessar=sim">
É só copiar e colar em uma outra janela do Internet Explorer. Só que... aconteceu um problema. O acesso foi novamente negado. Nesta página o programador foi mais experto. Mas repare no que está escrito no final da URL download=nao.
Mas... e se mudarmos para sim? Eu não quero estragar a supresa. Mas acho que a imagem diz tudo.
Este programa custava R$ 35 reais em abril de 2004, quando este livro foi lança- do. Mas não pense que acabou. No mesmo site é vendido por R$ 60 reais um programa que promete dobrar a velocidade de leitura em 30 dias. Deve ser bom. Ainda mais para nós que temos tanto coisa pra ler. A página
deste programa é:
http://www.seminarios.com.br/flashreader.asp
No final da página tem a opção de fazer o donwload do pro- grama. É óbvio que este download só será autorizado depois de pagarmos os sessenta reais. Não é mesmo? É o que vere- mos...
Na página onde é feito o download (www.seminarios.com.br/baixarflashreader.asp) chegamos ao seguinte link:
http://www.seminarios.com.br/programas/instflashreaderdemo.exe
Esta é uma versão de demonstração com algum tipo de limitação. Talvez eu nem encontre o crack para liberar o programa. Mas... será que se eu tirar a palavra demo do nome do programa eu consigo fazer o download? Será que o programa- dor foi ingênuo o suficiente a ponto de deixar no mesmo local o programa com- pleto? Não custa nada tentar o seguinte link:
http://www.seminarios.com.br/programas/instflashreader.exe
Mais uma vez não quero estragar a surpresa. A imagem fala por si.
Como foi possível perceber, uma pessoa que pensa como um hacker, explora vulnerabilidaes sem o auxílio de qualquer ferramenta. É claro que existem casos em que o uso da ferramenta é imprescindível, porém de nada adianta a melhor ferramenta nas mãos de alguém que não pense apropriadamente. Já a união da ferramenta a uma mente preparada, é o que mais teme a indústria da informática. Por favor não me olhe com essa cara achando que eu saio por aí em busca de
○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ ○ programas que eu possa baixar sem pagar nada. Entenda esta demonstração como um exercício de curiosidade quanto ao nível de segurança implantado neste site. E não faça a besteira de procurar falhas e depois se oferecer para trabalhar na empresa invadida. Este truque é velho e não cola. Perceba que ao demonstrar as falhas de um sistema, estamos ajudando a empresa a tornar sua rede mais segura e a buscar por profissionais competentes.