Але перед тим як дати опис тої фігні хотілося б дати опис програм для пошуку точок входу у програму. Для застарілої Windows NT перелік засобів для перегляду реєстра і файлової системи розміщені за адресою http://www.sysinternals.com . Найбільш популярні програми це filemon та regmon. Інший тип програм це АРІ монітори. Ці програми підключаються до певних викликів АРІ і дозволяють визначити, які параметри передаються цим викликам.
Для зміни викликів функцій АРІ можна використати програму Failure Simulation Tool компанії Cigital. Програма FST працює між програмою і DLL за допомогою перезапису таблиці адрес переривань. Завдяки такому підходу видно, які функції АРІ викликаються і які параметри передаються. Програму можна використовувати для генерації рапорту про помилки в програмах. А якщо є помилки – то програма швидше ламається. Цей відступ був для загального розвитку, просто щось собі нагадалось.
Діра яку я зараз опишу має вже 5 років. Відповідно вона вже давно залатана. Але вона гарно може продемонструвати підхід до створення програмних продуктів. А виявили дірку як раз у розпал рекламної кампанії коли компанія Oracle заявила про неможливість взламу її продуктів.
В Oracle 9і є підтримка використання зберігаємих процедур. Однією з можливостей зберігаємих процедур є можливість завантаження бібліотек DLL чи модулів коду і застосування викликів функцій. Це дозволяє створювати зашифровані бібліотеки і давати доступ до цих бібліотек, як до зберігаємих процедур. В сервері Oracle 9i запити передаються на порт 1530. Відповідно порт очікує підключення бази даних Oracle, котра дасть запит завантаження бібліотеки. Для з’єднання не передбачено аутентифікації. . Отже, видаємо себе за базу даних, відправляємо запити, схожі на запити бази даних Oracle і в результаті анонімний користувач може виконати довільний системний виклик на віддаленій системі. Висновок тут один -- не довіряти компаніям, що кажуть про абсолютну досконалість чи захищеність свої продуктів. Користуйтесь люди Вістою, як найзахищенішою операційкою:-)