Все описанные выше атаки могут сильно испортить нервы беспечного Web-путешественника, но, как правило, дело только этим и ограничивается - реаль¬ный вред с помощью загруженных с Web-страницей враждебных аплетов и сце¬нариев нанести достаточно сложно. Подобные атаки практически не опасны, если защита Web-браузера настроена на блокирование не сертифицированных элемен¬тов ActiveX, и не выполняет в автоматическом режиме загруженные сценарии.
Однако имеется другая разновидность хакинга, основанная исключительно на мошенничестве, и ориентированная на извлечение финансовых средств у всех тех личностей, которые, стремясь идти в ногу со временем, обзаводятся кре¬дитными карточками, счетами в Интернет-банках, используя их для покупок в Интернет-магазинах и т.д. При этом мало кто из счастливых обладателей
Интернет-карточек представляет, как работает механизм, обслуживающий их
покупки. Многие вообще не интересуются, как будут использоваться владель¬цами виртуального магазина переданные им совершенно конфиденциальные данные - номер и другие платежные реквизиты кредитной карточки.
78
Все это - сущий клад для хакера, поскольку все что нужно сделать для обмана покупателей - это создать Web-сайт, копирующий внешний вид электронного магазина известной фирмы. Далее, распространив ссылки на этот сайт по всему Интернету, хакер может без проблем продавать виртуальный воздух и снимать деньги со счетов доверчивых посетителей.
Другая возможность, которую открывает для хакеров фальсификация Web-страниц - предоставление возможностей для загрузки злонамеренных про¬грамм. Например, вместо загрузки нового пакета обновления системы Windows с Web-сайта Microsoft вы можете загрузить и запустить троянского коня напо¬добие уже упоминавшейся программы NetBus.
Сейчас мы опишем технику фальсификации имитирующего виртуаль-
ный по продаже «виртуального воздуха» всем богатеньким и тупым
мерам». Эта техника достаточно проста и заключается в помещении на Web-странице злоумышленника ссылки на сценарий, генерирующий прямо на компь¬ютере пользователя фальсифицированный ресурс. В листинге 8.7 приведен при¬мер кода HTML, реализующего фальсифицированный Интернет-магазин.
Листинг 8.7.
Пример фальсификации документа HTML

<Т1ТЬЕ>Фирма Bubliki&Baranki предлагает своим посетителям
ВСЕ!!!!!

ToBap VirtualAir
79
Всемирно известная фирма Bubliki&Baranki предлагает Вашему вни-
манию продукт который сделает вашу жизнь гораздо
лучше! Просто <А HREF=« javascript:var a;" onclick="f alsify()-
onMouseOver="window.status= 'http://www.Bubliki&Baranki.com';
return "window,status=""> щелкните здесь,
и перейдите к страничке заказа фирмы Bubliki&Baranki!

При загрузке кода из листинга 8.7 браузер IE 5 отобразит страницу, представ¬ленную на Рис. 5.3.
Обратите внимание на отображае¬мый в строке состояния адрес ссыл¬ки - http://wwvv.Bubliki&Baranki.com
и на текст заголовка окна браузера -Фирма Rog&Kopito предлагает.
Посетитель Web-сайта компании Rog&Kopito может заинтересоваться новым программным продуктом из-вестной компании Bubliki&Baranki, но покупка программы с Web-сайта компании Rog&Kopito может вы¬звать у него смутные подозрения. (Надеюсь, вы понимаете, что назва¬ния компаний здесь и в последую¬щих главах не имеют отношение к реальным фирмам и придуманы только для иллюстрации.) Поэтому посетителю предоставляется ссылка, якобы приглашающая его перейти на Web-сайт компании Bubliki&Baranki. После щелчка мышью на ссылке встроенный в страничку сценарий ото¬бражает фальсифицированную Web-
страничку, представленную на Рис. 5.4.
Фальсифицированная Web-страничка на Рис. 5.4 предлагает посетителю
ввести свои идентификационные
данные вместе с номером кредитной карточки для оплаты покупки по Ин-тернету. Щелчок на кнопке Отпра¬вить отсылает эти очень вкусные
^ фирме HoytKopilQ предлагает своим посетмтемим/ ВС. MSI13
File Edit Vtevt Favwile* Tooti НЫр
Товар VirtualAir
Всемирно из2$ст*з ад фирма ВиЬЩй&Ваа'^йа предлагает В^шзгму вниманию продукт ViitualAir, который сделает вашужшкь гораздо лучше! Просто шелкните зщр. и перейдите к страничке заказа, фирмы Bubliki&Baiaula!
Рис. 5.3. Web-страница компании Rog&Kopito
'^Электронный м.н ii-.лмч фирмы Bubhkr&Bardnki - Midosof,.
Mi
File View Tools Help
Address us) aboutrlnlemei-Marasun -BublikitBeianki-
Заказ товара VirtualAir
Укажите свое имя
Укажите свой адрес электронной почты
Укажите номер своей кредитной карточки
D Я хочу купить Virtimi/Ur
0
1Р°
Рис. 5.4. Web-страиичшзаказа продукта VirtualAir от компании Bubliki&Baranki
80
данные как это видно из тега формы в сценарии
Web-странички, помещенной на сервере компании Rog&Kopito:
METHOD >
Если пользователь не обратит внимания на мелкую деталь - строку Адрес (Address) с несколько странным содержимым, он может и не заметить подмены реального магазина фальсифицированным «Шопом», в результате которой но¬мер его кредитной карточки перекочует в базу данных злоумышленников со всеми, как говорится, вытекающими последствиями.
f
Другой, не менее интересный способ перехвата конфиденциальных данных, которыми обменивается Web-браузер с сервером - это снифинг сетевых соеди¬нений. Перехватывая передаваемые по сети пакеты с номерами кредитных кар¬точек, паролями и прочими интересными сведениями, хакеры могут достичь очень многого, о чем мы еще расскажем далее в этой сайте.