Подключим - поиграем!

Хаштамов Адиль (adi1@ok.kz)

Хакер, номер #082, стр. 082-064-4

Обязательно обрати внимание на значения ключей, которые находятся там. Червь обычно маскируется под названиями csm.exe и botzor.exe. Бинарный микроб открывает свой ftp-сервер на 33333 порту и удаленный шелл на 8888 порту. Зараза также соединяется с IRC-сервером. Еще червь блокирует стандартный виндовый файрвол путем модификации реестра и запрещает доступ к сайтам, модифицируя hosts-файл в директории Windows. Я думаю, ты уже догадался, как удалить эту тварь. Во-первых, нужно убить процесс червя. Для этого нужно использовать не стандартный «Диспетчер задач», а утилиту, которая убивает процессы в режиме System Debug. За примером такой тулзы далеко ходить не надо, возьмем к примеру утилиту, написанную моим хорошим знакомым, которая называется Process Hunter. После того, как ты кильнул заразный процесс, нужно отыскать поганый бинарник и снести его.

Если же ты все еще не подцепил заразу, то лучшим способом будет закрыть файрволом от внешних адресов 135 и 445 порты. Данный метод универсален и он спасет тебя от всех последующих атак, которые реализуются через эти tcp-порты. Также полезным будет установить патч от Microsoft, который лежит на нашем диске.

[сплоит от houseofdabus]

Спустя один день после публикации sl0ppy, на свет появился эксплойт от уже ставшего знаменитым эксплойтера houseofdabus'а. Его реализация, как мне кажется, базировалась на первом эксплойте, он просто внес туда некоторые изменения. HoD добавил в свой эксплойт возможность исполнять код, плюс разместил сам шеллкод в середине между NOP'ами. Это было сделано для того, чтобы при неудачном эксплуатировании сервис не падал и тем самым не перезагружал удаленную машину. Также данный эксплойт являлся универсальным за счет того, что во всех системах Windows 2000 адрес pop eax, pop eax, ret (эти инструкции используются для борьбы с SEH) был одинаковым в уязвимой библиотеке umpnpmgr.dll, которую юзает бажный P'n'P. Особенно следует отметить тот факт, что ни один из выпущенных сплоитов не предназначается для систем Windows XP, поскольку в них не реализована функция авторизации на удаленном хосте. Впрочем, приделать такую возможность не составляет большого труда.

[использование сплоита hod]

Расскажу о том, как пользоваться этим сплоитом. Прежде всего, скачать версию сплоита houseofdabus'а можно здесь: www.securityinfo.ru/www/upload/HOD-ms05039-pnp-expl.c, либо взять с нашего диска. Собрать ее можно под любой платформой, где можно установить компилятор C. Я собирал этот сплоит под freebsd и никаких затруднений возникнуть не могло: gcc www.securityinfo.ru/www/upload/HOD-ms05039-pnp-expl.c -o sploit и все дела. Что касается запуска отмычки, то и тут все очень просто: требуется банально указать адрес уязвимой машины и порт, на котором требуется забиндить cmd.exe. Все это прекрасно проиллюстрировано на скрине, так что вопросов возникнуть не должно