Выявить наличие трансляторов сетевых адресов несколько сложнее, но все-таки возможно. Для этого необходимо проследить за номерами локальных портов, характер назначения которых позволяет выявить не только наличие транслятора, но также его тип и загруженность узла (т.е. сколько других TCP/IP-соединений осуществляется за единицу времени). Впрочем, техника выявления NAT – это отдельная большая тема.

А вот еще один интересный факт. Операционные системы семейства Windows имеют довольно слабый DNS stub (не путать с DNS-клиентом, который вообще может быть отключен). Генерируя довольно предсказуемые номера UDP-портов и идентификаторов (при активном DNS-клиенте, который в Windows 2000 и выше включен по умолчанию, UDP-порт вообще постоянен), они допускают возможность «подмятия» DNS. Хакер генерирует подложный ответ, который тем не менее воспринимается системой как правильный и… последствия не заставляют себя ждать. Единственная проблема в том, что в отличие от DNS-серверов рабочие станции не генерируют большое количество DNS-запросов в единицу времени, и послать подложный ответ, опередив настоящий DNS, достаточно трудно. Если только… не напичкать письмо кучей ссылок на картинки! Тогда… а вот тогда… даже страшно сказать, что произойдет. Ну если жертва выходит в Сеть со своего домашнего ПК, то атака провалится, даже не начавшись, поскольку штатные клиенты генерируют не более трех GET-запросов одновременно. И хакеру будет очень трудно успеть послать подложный запрос. А вот если это корпоративная сеть с кэширующим proxy или антиспам-фильтром, то картинки загружаются общим скопом, и вероятность того, что поддельный DNS-отклик будет воспринят как правильный, значительно повышается (естественно, все картинки должны быть расположены на разных узлах).

Допустим, хакер подделал DNS-отклик. Что тогда? А то, что антивирус загрузит совсем не ту картинку, на которую указывает ссылка. И если исходная картинка содержит в себе вирус, антивирус его не поймает, зато его поймает жертва, открывающая письмо!

Обращаю внимание читателя, что во всех вышеописанных случаях ответа получателя на хакерское письмо не требуется!

От идеи до модели, или Лабораторная работа №1

Заканчиваем с теорией и вплотную переходим к практическим экспериментам. Мы будем использовать почтовые программы Outlook Express и The Bat. К сожалению, штатным образом ни одна из них не позволяет вставлять ссылки на картинки без присоединения самой картинки к письму (что, естественно, не входит в наши планы). Отсутствие встроенного HTML-редактора препятствует элементарной правке полей, однако… не нужно быть гением, чтобы обойти все эти ограничения.

Хорошо, берем Outlook Express, создаем новое письмо в HTML-формате и вставляем гиперссылку в текст сообщения (именно гиперссылку, а не картинку!). Сохраняем его на диск через меню «Файл -> Сохранить как…» и получаем вполне текстовой .eml, который можно править в текстовом редакторе.

Листинг 1. Письмо, созданное Outlook Express, сохраненное на диск

и открытое в текстовом редакторе (все e-mail-адреса в заголовке — недействительные)

From: "Kris Kaspersky" <kpnc@sendmail.ru>

To: <kpnc@aport.ru>