Архив новостей (2004-2015 год)

Статус
Закрыто для дальнейших ответов.
Отслеживать
На портале появился новый раздел Крекинг/Реверсинг
http://news.xss.pro/new_rev.gif
Раздел предназначен для воссоздания исходного кода программ, анализа и исследования всех типов защит и упаковщиков, написания keygen'ов, патчей и т.п.

Помните что реверсинг по своей сути является чистой воды программирование высшего класса, виртуозным владением асмом и просто очень увлекательным занятием.
 
Agony
Open source ring0 rootkit
by Intox
как вы уже могли догадаться перед вами находится руткит, предназначен он для виндов от 2000 и старше, написан на C.. собственно что я говорю.. читаем. )
A. Before starting

We all know that some security applications aren't compatible, there may be conflicts between them. For instance, the installation of two recent different firewalls
isn't recommended.
Why? Because those tools hook native APIs at kernel mode level (on the
SSDT) and then, when two tools want to hook the same API, there is a conflit. By starting & stopping them, we can easily provoke a blue screen.

As previously said, This tool can conflict with some security tools, like process guard.
So i advise you to read the readme before you use it, and at least to look how to uninstall it.


I. THE TOOL

1.1 What use is it ?

Agony is a rootkit for Windows 2000 and superiors, able to falsify data returned by the Windows APIs. It can make files and applications invisible on a windows system.

1.2 why "Agony" ?

why not ? smile.gif

1.3 Ring what ?

Under Windows, the applications run under 2 modes: ring3 and ring0, also called respectively user mode and kernel mode. The kernel mode is lower a mode than the user one, wich is the one you usually run under. That means that all the calls made from user mode will interact with kernel level to be executed.
The utility of a kernel mode rootkit is that security tools, working with the user mode, will not notice anything.


1.4 how is it made ?

it is fully coded in C. The rootkit is made of 2 parts: the driver, which runs in kernel mode, and the .exe, which runs in user-mode, it installs the driver and launches commands.
Compile the driver with the DDK, and the .exe with any compiler (including some kernel libraries). I made it with Dev-c++.


1.5 Cool ! This can be usefull smile.gif


This tool was created in order to familiarize myself with ring0. It's for educationnal purpose, and that's why it's open source.
You will be the only one responsible for the use you make of it. In other words, use it at your own risks, I would also decline any responsibility of materials or software damage.


II. THE OPTIONS

Launch the program without arguments to view a small description of Agony features.
Take care, before using them, that this tool is case sensitive.
for instance: agony -p opera.exe will NOT SPOILER Opera.exe process.
Also note that you have to use quotes to SPOILER object with spaces in their names.


2.1 SPOILER a process

cmdline: agony -p process_name.exe

All processes named "process_name.exe" will be hidden.
Note that agony doesn't prevent access to this process, it just SPOILERs it from listing APIs.
example : you can kill this process with his PID, even hidden.


2.2 SPOILER a dir/file

cmdline: Agony -f dir_or_file_name

The hidden file/dir will be not shown in file listings too (eg : explorer).
The content of a hidden dir will not appear on windows research, even if they're not hidden. You can access a hidden dir if you know the path:
For example, you can access C:\hidden_dir after a "agony -f hidden_dir", just by typing "C:\hidden_dir" in the explorer address bar.
All files/dir with the same name will be hidden, so don't try to SPOILER a file named "system32" smile.gif


2.3 SPOILER a reg key/value

Agony can falsify the reg base.

cmdline: agony -k reg_key: SPOILER a reg key
agony -v reg_value: SPOILER a reg value (wow, seriously ?)

Once again, only listing are falsified, the key/values are accessible.
For exemple: if you create a key "SPOILER this shit" with value "C:\start.exe" into Windows\CurrentVersion\Run registry key, you can SPOILER it by launching agony -v "SPOILER this shit". Furthermore, C:\start.exe will be launched at startup biggrin.gif


2.4 Hide a TCP/UDP connexion

w00t, you can SPOILER connexions <:cool:
cmdline: agony -tcp num_port.
agony -udp num_port.
You can use tools like fport to see wich ports are opened by an application you want to SPOILER, and use agony to SPOILER it.


2.5 Hide a sercice

cmdline: agony -s service_name.

Be aware of the fact that service_name is the recording name of the service, not the display name showed by the SC manager.
Here, it works a little bit differently: we have to fetch the list of services in the service.exe process memory to find the service to SPOILER, and SPOILER it.
Hidden services will not be accessible anymore.


2.6 Falsify the remaining disk space

-space option allow you to falsify the remaining space disk on a volume.
If you got 300Mb free on C:\, D:\ and E:\ volume, and you launch:
cmdline: agony -space C:500 D:1000 E:3000
Windows will tell you that you have 800Mb free on C:\, 1300 on D:\ and 3300 on E:\
w00t, isn't it ? You can now SPOILER your 30 GB of pr0n.
If you launch "agony -space C:500" and then "agony -space C:800", there will be only 800 Mb added to the real remaining space disk.


2.7 Survive to reboot

The -r option allows agony to survive a reboot.
All the cmdline containing the -r option will be launched at the start of the computer.
"agony -p backdoor.exe -f backdoor.exe -space C:500 -s backdoor -tcp 88 -udp 5900 -v launchBackdoor -r" will, on startup:
- SPOILER backdoor.exe process
- SPOILER backdoor.exe file
- add 500Mb on C:\ volume remaining disk space
- SPOILER the "backdoor" service
- SPOILER connexions on the 88 tcp port and 5900 udp port
- SPOILER launchBackdoor reg value


2.8 stop Agony:

to stop Agony: agony -stop
This command will stop all agony activity, uninstall service, clean registry and some agony files.

You can also stop agony with this cmdline:
sc delete agony (if you didn't SPOILER the agony service).
then you must delete, in "HKLM\\Software\\Microsoft\\Active Setup\\Installed Components", the following sub keys (if they exist):
{232f4e3f2-bab8-11d0-97b9-00c04f98bcb9}
{256dc5e0e-7c46-11d3-b5bf-0000f8695621}

You can also delete the .sys file and reboot.
But the cleanest way is to use -stop option.


III Next versions

I don't think i will continue this rootkit (maybe for private releases).
If you find a bug in my code, you can send me a mail to Intox7@gmail.com,
i'll fix it as soon as i can.
Those who want to continue the tool can start with my code.
A little TODO:
- find a better startup (start in SERVICE_BOOT_START or SERVICE_SYSTEM_START)
- SPOILER VOLUME.INI files better (in System Volume Information, for example)
- options to SPOILER objects from a specified path
- create a hidden directory, which size will be recalculated every X sec, to falsify space disk better
- etc...


IV Greetz & Shoutz

Greetz:

Lots of people to tank, first:
- holy_father : for his great hookX tuts and his good article (in phrack)
- i.m.weasel : for his method to SPOILER services
- jiurl : for his article about connexion hiding
- greg Hoglund : for his nice tips about MDL flags

my beta-testers:
karate, jhd, pikk_poket, Lord.

And :
Ivanlef0u, akcom, Bigbang, Mattwood, Tolwin, ... (and a lot that i forget)

Community:
- rootkit.com : really great community (80% de ma doc)
- osronline : Inescapable for driver coders
- spiritofhack.net & undergroundkonnekt.net

Thx to lucifer and Lord for the translate.

Shoutz to: kinkey_wizard, BeRgA, P41f0x, Nelio, Del_argm0, Icingtaupe, TiTan, chti_hack, Malicia, ...


Intox (Intox7@gmail.com)
:zns5: Скачать|Download
З.Ы. прочитайте readme перед использованием.
 
Изменена приватная политика портала
Мы с Great и [br] посовещались и решили изменить некоторые особенности приватной зоны сайта.
- Большинство пользователей были исключены изо всех приватных разделов.
- Планка принятия в приватный разделы увеличена на 50 постов
- Приват приобрел многоуровневый характер
- Объявлен перенабор юзеров
- Увеличена жескость мер принятия в приват
Подробности читаем в этой теме.
 
Как стало известно, с недавнего времени в номер, у которого установлены вопросы и ответы и нет primary email, теперь можно его (primary email) вписать . Это делается очень просто, запускаем номер с помощью вашего любимого клиента, вписываем в детали нужный нам email, далее идем на страницу ретрива и проходим процедуру восстановления пароля от номера на этот email. К нам приходит, то самое заветное письмо с кодом. Вставляем его и проставляем на номере два вопросаответа. В итоге это email становится primary этого номера.

Все было бы хорошо, если бы не одно но и 2 бы

В этот номер можно вписать теперь и второй, третий... на-сколько-хватит-терпения primary. Длеается это всё тем же способом, который был описан вышею. Теперь даже, если удалить из деталей номера все email'ы, то всё равно можно выслать код как на первый вписаный email, так и на второй. И уже второй email не отпадёт, то есть он так же будет работать, и по всем этим высланным кодам можно проставить новые вопросы-ответы, а тем самым получить новый пароль. Иными словами, так называемый "принцип лесенки" в иерархии мыл номера больше не действует и у номера теперь может быть 2 и более primary.

Нельзя с уверенностью сказать, что это новые изменения в системе восстановления, возможно, на серверах произошёл какой-либо сбой, но тем не менее в данный момент следует быть внимательнее при покупке видимых номеров и в отношении восстановления уже имеющихся.

&copy;Ka$ta
 
KIMS
KIMS is an AV Multi-scanner created by Thor from www.remotecontrolstudio.net.
:screenshot:
Скриншот|Screenshot
[New$paN]KIMS поддерживает аннглийский и испанский языки и сканирует файл 20 разными антивирусами.

KIMS Online
Server 1: http://conexion-inversa.no-ip.org:81/kims.php
Server 2: http://conexion-inversa-eng.no-ip.org:8081/kims.php
всё опенсорс, исходники(и описание) в архиве.
:zns5: Скачать|Download
 
Cyberfolio File Inclusion Vulnerabilities
Дата Выпуска: 2006-11-06
Уровень: Высоко критический
Решение: Неисправленно
Software: Cyberfolio 2.x
Описание:
Входящие данные в параметре "av" в view.php, inc_message.php, inc_envoi.php, и другие, должным образом не проверяются на внешний инклуд. Это может эксплуатироваться, чтобы заинклудить произвольный скрипт.
Примеры:
Код: 
http: // [host]/portfolio/msg/view.php?av=
http: // [host]/portfolio/msg/inc_message.php?av=
http: // [host]/portfolio/msg/inc_envoi.php?av=
http: // [host]/portfolio/admin/incl_voir_compet.php?av=
Успешная эксплуатация требует, чтобы "register_globals" был включен.
 
phpDynaSite - File Inclusion Vulnerabilities

Дата Выпуска: 2006-11-06
Уровень: Высоко критический
Решение: Неисправленно
Software: phpDynaSite 3.x
Описание:
Входящие данные, в параметре "racine" в function_log.php, function_balise_url.php, и connection.php должным образом не проверяются перед инклудом. Это может эксплуатироваться, чтобы заинклудить произвольный скрипт.

Примеры:
Код: 
http://[host]/function_log.php?racine=
http://[host]/function_balise_url.php?racine=
http://[host]/connection.php?racine=
Успешная эксплуатация требует, чтобы "register_globals" был включен.

Источник: secunia.com
 
If-CMS - XSS
Дата Выпуска: 2006-11-06
Уровень: Менее критический
Решение: Неисправленно
Software: If-CMS 1.x, If-CMS 2.x

Описание:
Входящие данные в параметре "rns" в index.php, должным образом не проверяются перед возвращинием их пользователю. Это может эксплуатироваться, чтобы выполнить произвольный HTML и код XSS на сессии браузера пользователя в контексте уязвимого движка.

Пример:
Код: 
http://[host]/index.php?rns=XSS
Источник: secunia.com
 
phpComasy - Cross Site Scripting
Дата Выпуска: 2006-11-08
Уровень: Менее критический
Решение: Неисправленно
Software: phpComasy 0.x

Описание:
Входящие данные в параметрахк "username", и "password" в index.php должным образом не проверяются перед возращением пользователя. Это может эксплуатироваться, чтобы выполнить произвольный HTML и код XSS на сессии браузера пользователя в контексте уязвимого сайта.

Примеры:
Код: 
http://[host]/index.php?username=XSS&password=XSS
Источник: secunia.com
 
PHP Classifieds - SQL Injection
Дата Выпуска: 2006-11-08
Уровень: Умеренно критический
Решение: Неисправленно
Software: PHP Classifieds 7.x

Описание:
Входящие данные в параметре "user_id" в detail.php, должным образом не проверяются перед SQL запросом. Эта уязвимость позволяет управлять запросами, вводя произвольный код SQL.

Примеры:
Код: 
 http://[host]/detail.php=user_id=SQL
Источник: secunia.com
 
logo_hp.jpg
Как сообщает группа ZDI в программе America Online ICQ 5.1 была обнаружена уязвимость, позволяющая выполнить произвольный код на целевой системе без вмешательства пользователя.
Данная уязвимость вызвана ошибкой в компоненте ActiveX
ICQPhone.SipxPhoneManager, точнее - в функции DownloadAgent
CLSID компанента: 54BDE6EC-F42F-4500-AC46-905177444300

Уязвимая функция принимает одиночный аргумент - URI файла для скачивания и выполнения с правами текущего пользователя. Специально сконструированный аватар может позволить выполнить произвольный код, для чего потребуется просто отправить сообщение потенциальной жертве.

Корпорация AOL исправила уязвимость 10/31/2006 и предоставляет автоматическое обновление при подключении к серверам ICQ.

Уязвимость обнаружил Peter Vreugdenhil.

Источник: http://www.zerodayinitiative.com/advisories/ZDI-06-037.html
 
Надеюсь, все помнят что 12 ноября нашему сайту исполняется 2 года. 2 года для такого проекта - срок немалый. Собственно, как всегда вас ждет много интересного. Поздравлять пока рано, для этого непосредственно в воскресенье будет заведена отдельная тема. Итак, что же нас ждет? А ждет много чего:
- Серия поинтов по стране
- Много различных конкурсов для любого уровня интеллекта. Начиная от банально простых конкурсов, квест на смекалку и конкурс для спецов с уровнем повыше.
- Пару сюрпризов от администрации, касающихся приятными изменениями на сайте
- проведем рейтинговую амнистию - несколько минусов рейтинга будут прощены в случае если лицо исправило свое положение относительно стабильным поведением.

+ будет офигенная халява. Тот кто сможет поделиться чем интересным - милости просим. Все самое интересное будет 12-го ноября вечером (гдето в 17-18) по московскому времени. Поздавлять можно начинать где-то сутра, как только будет заведена отдельная тема.

Убедительная просьба, известите всех ваших друзей, кто с ДЛ, так как рассылки в этот раз организовать не получилось.
Ждем всех желающих. Желающие предоставить свои услуги в помощи в организации праздника - милости прошу в асю (в подписи).[New$paN]
 
GRP Web-Shell 2.0 release
Первая релиз-версия моего шелла.
Отличия от беты:
  • Возможность закачки файлов на сервер
  • Возможность скачки файлов с сервера
  • Система модулей. В виде модуля вынесен из скрипта браузер (модуль весит 9,4Кб), размер ядра составляет 15,8Кб
  • Исправлены некоторые недочеты в коде
Насчет системы модулей. Сорсы модулей находятся по адресу http://xss.pro/files/scripts/grp_mod/. Пока что там лежит только один модуль - browse (браузер файлов + закачка файлов).
При загрузке модуля он устанавливается автоматически. При этом создается бекап скрипта и скрипт для восстановления. Если установка сорвалась, то можно вызвать файл grp_repair.php (или нажать Repair) и он восстановит предыдущую версию скрипта. Если установка прошла успешно, можно нажать "Delete Repair" для удаления бекапа и восстановочного скрипта.
Сверху есть табличка со списком установленных модулей, кнопками "Repair" и "delete repair" (появляются после установки новых модулей и исчезают после удаления бекапа) и кнопкой "Load more" для открытия страницы со списком доступных модулей и линками на установку.
В списке модулей, открываемом по странице "Load more" доступные модули отмечаются зеленым цветом, недоступные - красным. Например, модуль browse будет отмечен зеленым, в то время как предусмотренный скриптом модуль mysql - красным (он пока не установлен на сервере и недоступен для скачивания).

Ядро:
 
Hack-search
logo.jpg

Проект создан в Ноябре 2006 года. Идея проекта принадлежит Timofei'ю. Проект призван помочь вам найти все необходимое на сайтах определенной тематики. Многие спросят чем хуже yandex или rambler я вам обьясню поиск идет по узкому кругу сайтов. Если вам нужно купить определенный софт или заказать какую то услугу вам не придеться перечитывать все форумы, достаточно ввести в поисковике Нужный вам запрос И вы увидите все предложения которые были на форумах, а главное сравнить и выбрать лучшее. В поиске можно искать людей по никам icq. Поисковик может вам стать надежной шаргалкой, в нем проидексированны самые популярные статьи по безопасности в рунете. Если у вас есть свой сайт или страничка на которой вы предлагаете свои услуги то мы совершенно бесплатно ее проиндексируем. Поисковик может заменить и сушествующую на данный момент базу кидал, вы сможете прочитать все посты человека на популярныйх форумах, посмотреть отзывы о нем и сделать свой вывод. На данный момент это единственный в рунете поисковик определенной тематики. Сама идея Проекта еще сыра и нова но при вашей помощи мы сможем создать действительно удобный и необходимый ресурс
:zns2: Hack-search[New$paN]
 
Pinch 3 Builder
http://news.xss.pro/pinch3.jpg
Подарок от нашего пользователя Vaska к дню рождения портала.
Билдер создает билды версии 2.96, только с опцией SMTP. + к тому в архиве лежит последний на данный момент парсер.
Если кто может дать более новый билд - пишите на vaska_@mail.ru
Закачка далее>>>[New$paN]
:zns5: Скачать pinch3
:zns3: Пароль: xss.pro/__file_09987_142742__DaMaGeLaB_from_Vaska
 
nic — newest invisibility checker
http://news.xss.pro/nic.gif
Новый чекер инвиза, весьма извращенный, но всеже. Для работы чекера придется зарегистрировать имя в AOL
Способ анонимен, но есть вероятность, что клиент распознает имя в АОЛ, поэтому регайте акк не на себя а на васю пупкина из мухосранска - пусть думают что Вася и чекает. Точность программа не гарантирует, но большая вероятность что определит на инвиз точно.
Один акк расчитан на определенное число чеков и в конце концов дохнет, так что не злоупотребляйте. Закачка далее ->>[New$paN]
:zns5: Скачать NIC + Sources в одном архиве
 
Статус
Закрыто для дальнейших ответов.
Верх