| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 08:08:36 (+0700) | #1 | 17495 |
![[Avatar]](/hvaonline/images/avatar/4dd20f1e87dfb889bc97230e2c87c6a5.png "[Avatar]")
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
Botnet một cái tên nghe rất quen nhưng hầu như còn huyền bí với đa số dân CNTT Việt Nam
Để làm sáng tỏ về botnet và công nghệ tạo một bot hôm nay NoHat xin viết một tutorial về cách tạo một mạng botnet như là kim chỉ nam cho những người muốn hiểu rõ hơn về botnet.
I.Botnet là gì?
Botnet là một mạng gồm từ hàng trăm tới hàng triệu máy tính bị điều khiển hoàn toàn (theo thuật ngữ người ta gọi các máy tính này là Zombie tức các thây ma),chúng bị điều khiển để cùng làm một công việc gì đó theo mục đích của hacker điều khiển chúng vd: tải về cài đặt các chương trình quảng cáo, hay cùng đồng loạt tấn công một trang web nào đó thông qua kĩ thuật DDoS
II.Mạng BotNet đc tạo nên bởi gì ?
Nền tảng của BotNet là một chương trình máy tính đc thiết kế để liên lạc với hacker ,nhận lệnh và thực hiện lệnh của hacker, người ra gọi chương trình này là "Bot" (viết tắt từ robot).
III.Các con bot liên lạc với hacker bằng gì?
Kể từ những phiên bản đầu tiên các bot đã đc thiết kế để nhận lệnh thông qua các IRC server tức các máy chủ Internet Relay Chat một dạng máy chủ chạy dịch vụ chat công cộng (thường các máy chủ này là các máy chủ thuộc họ *nix ) để nhận đc lệnh từ hacker một cách nhanh nhất.
IV.Vậy các con bot đã dùng các server IRC như thế nào ?
Các máy chủ chạy dịch vụ IRC thường lắng nghe trên port 6667 ( một port cao ).Và các chương trình IRC server sử dụng một tập các chỉ thị gọi là lệnh IRC ( IRC commands )
Các bot thực hiện việc tạo một kết nối ( connection ) thông qua giao thức TCP/IP đến port 6667 của máy chủ IRC rồi sau đó dùng tập lệnh IRC để gửi và nhận các tin nhắn tới hacker.
V.Vậy các bot làm thế nào để có thể đc cài vào máy của người sử dụng bình thường ( Normal User ) ?
Các Bot đều có tính năng đầy đủ của một trojan và sự kết hợp nhuần nhuyễn từ virus vì vậy các con bot đều có thể tự lây lan thông qua các lỗ hổng của hệ điều hành và chiếm quyền điều khiển máy của "người dùng bình thường".Ngoài ra một số bot không đc tích hợp tính năng lây lan nên nó cần đc sự hộ tống của một virus ( đây chính là dạng lây lan phổ biến của các bot hiện nay )
VI.Cách tạo một con "Bot":
Với ví dụ này NoHat sẽ dùng ngôn ngữ lập trình Visual Basic để minh họa vì ngôn ngữ này đc nhiều người sử dụng nếu có thời gian NoHat sẽ post thêm bài viết về cách viết bot trên nền ngôn ngữ C++
Con bot này sẽ có tính năng cơ bản là kết nối tới server IRC và trả lời khi hacker hỏi "LiveOrNot"
1.Điều đầu tiên mà bạn phải học là tập lệnh IRC:
Tập lệnh IRC sẽ có sự khác biệt đôi chút khi nó chạy trên các chương trình quản lý IRC server khác nhau
Code:
USER <Real Name> là lệnh thiết lập tên thật cho bot khi nó vào IRC server
NICK <NickName> là lệnh thiết lập nick name cho bot
JOIN <Channel> là lệnh cho bot truy cập vào một "kênh" (channel),channel tương tự như một room chat vậy
PRIVMSG <Channel> : <Message> là lệnh gửi tin nhắn tới hacker
Thứ tự các lệnh từ 1 tới 3 mà NoHat nêu chính là thứ tự các lệnh mà bạn phải gửi tới IRC server
2.Một số Sub chính cho bot:
Khai báo hằng và biến:
Code:
Const Server As String = "irc.datviet.net" 'tên channel
Const Port As Integer = 23 'port
Const Channel As String = "NoHat" 'Kênh mà bot sẽ chui vào
Dim Nick As String 'Nick của bot
Bạn tạo môt Form mới và kéo thả vào đó thành phần WinSock đặt thuộc tính name là ws
Code:
Private Sub Form_Load()
ws.Connect Server, Port 'Tạo một kết nối tới server IRC
Nick = "Tester" & LTrim(RTrim(Str(Int(Rnd * 100))))
End Sub
Sub thực hiện việc gời command sau khi kết nối hoàn thành
Code:
Private Sub ws_Connect()
Dim UserName, RealName As String
UserName = Nick
RealName = Nick
ws.SendData "USER " & UserName & " 0 * " & RealName & vbCrLf
ws.SendData "NICK " & Nick & vbCrLf
ws.SendData "JOIN " & Channel & vbCrLf
ws.SendData "PRIVMSG " & Channel & ":" & " Bot chao master" & vbCrLf
End Sub
Sub đáp trả khi bot nhận đc lệnh
Code:
Private Sub ws_DataArrival(ByVal bytesTotal As Long)
Dim strData As String
Dim Pos As Integer
Dim Master As String
ws.GetData strData
DoEvents
If InStr(strData, "liveornot") <> 0 Then
Pos = InStr(1, strData, "!")
Master = Mid(strData, 2, Pos - 2)
ws.SendData Replace(strData, "liveornot", "Live") & vbCrLf
ws.SendData "PRIVMSG " & Master & " " & Replace(strData, "liveornot", "Live") & vbCrLf
End If
EndSub
VII.Điều khiển bot thế nào ?
Để điều khiển bot bạn hãy cho chạy thử con bot trên để làm ví dụ
Sau đó bật một chương trình IRC Client nào đó ví dụ mIRC
Rồi kết nối vào máy server là irc.datviet.net với port 23 ( đáng nhẽ là port 6667 nhưng không hiểu sao đa phần các IRC server của Việt Nam lại dùng port 23 ?! ) với một nick tùy ý
gõ lệnh:
Code:
/JOIN NoHat (phải có dấu "/" vì mIRC .... bắt phải thế chứ IRC server không bắt thế đâu )
là bạn đã có mặt trong cùng channel với bot của bạn
sau đó hãy gõ lệnh:
Code:
LiveOrNot (chú ý viết hoa y chang nếu không con bot nó ngu ra mặt  )
Con bot sẽ trả lời bạn rằng
Code:
-------------------------------------------
Vậy là sau bài viết này NoHat đã đưa ra ánh sáng nền tảng của BotNet cho mọi người cùng tham khảo rồi đọc xong thấy hay thì cổ vũ khen một lời còn không thấy hay thì cũng không seo miễn là đừng có ...... là đc
Chú Ý: Channel thì tùy ý bạn ,khi bạn JOIN vào một channel chưa tồn tại trên IRC server thì channel này sẽ tự đc tạo ngay tức thì. |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
 |
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 08:20:34 (+0700) | #2 | 17500 |
![[Avatar]](/hvaonline/images/avatar/13a949b504127ae160ad59a646422962.jpg "[Avatar]")
|
jamesmr
Member
![[Minus]](/hvaonline/templates/viet/images/minus.gif "[Minus]") |
0 |
![[Plus]](/hvaonline/templates/viet/images/plus.gif "[Plus]")
|
|
Joined: 03/03/2006 06:30:26
Messages: 153
Offline
|
|
vậy nếu admin đó thấy nhiều kết nối lạ vào và denied thì sao nhỉ?ở đây có ai biết irc nào mà cho kết nối thật nhiều máy ko?,thông thường nếu irc server của nước ngoài thấy có khoảng 30 cái kết nối mà cùng một lúc là họ chặn ngay(tôi ko biết họ nhận ra con bot của mình thế nào nữa).và cổng kết nối irc theo tôi cũng không nhất thiết phải là 6667,mà tuỳ thuộc vào irc server.
PS:dám cá là you này cũng từng hoặc đang kiểm soát 1 mạng bot nào đó.bài viết thật tỉ mỉ. |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 08:40:36 (+0700) | #3 | 17507 |
ronghoathach
Member
|
|
0 |
|
|
Joined: 18/08/2006 21:03:00
Messages: 1
Offline
|
|
| tui thì mới vào nghề ,bác này chỉ giáo ok lắm,chỉ mong sau có những người chỉ giáo như vậy dẫn đường cho tụi tui biết nhiều thêm về CNTT |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 10:16:32 (+0700) | #4 | 17533 |
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
jamesmr wrote:
vậy nếu admin đó thấy nhiều kết nối lạ vào và denied thì sao nhỉ?ở đây có ai biết irc nào mà cho kết nối thật nhiều máy ko?,thông thường nếu irc server của nước ngoài thấy có khoảng 30 cái kết nối mà cùng một lúc là họ chặn ngay(tôi ko biết họ nhận ra con bot của mình thế nào nữa).và cổng kết nối irc theo tôi cũng không nhất thiết phải là 6667,mà tuỳ thuộc vào irc server.
PS:dám cá là you này cũng từng hoặc đang kiểm soát 1 mạng bot nào đó.bài viết thật tỉ mỉ.
Chả admin nào chặn cả do IRC server là máy chủ chat công cộng admin của nó sẽ chả chặn đâu ( mà chặn cũng không hết ) |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 12:10:04 (+0700) | #5 | 17549 |
|
jamesmr
Member
|
|
0 |
|
|
Joined: 03/03/2006 06:30:26
Messages: 153
Offline
|
|
hackernohat wrote:
jamesmr wrote:
vậy nếu admin đó thấy nhiều kết nối lạ vào và denied thì sao nhỉ?ở đây có ai biết irc nào mà cho kết nối thật nhiều máy ko?,thông thường nếu irc server của nước ngoài thấy có khoảng 30 cái kết nối mà cùng một lúc là họ chặn ngay(tôi ko biết họ nhận ra con bot của mình thế nào nữa).và cổng kết nối irc theo tôi cũng không nhất thiết phải là 6667,mà tuỳ thuộc vào irc server.
PS:dám cá là you này cũng từng hoặc đang kiểm soát 1 mạng bot nào đó.bài viết thật tỉ mỉ.
Chả admin nào chặn cả do IRC server là máy chủ chat công cộng admin của nó sẽ chả chặn đâu ( mà chặn cũng không hết )
vậy you giải thích cái này thế nào:
* Identd request from 66.225.200.63
-
Closing Link: [125.234.71.112] Z:Lined (subnet banned due to Floods and Spam)
-
* Disconnected
lúc trước tôi connect bình thường,tư ngày tăng lên 30 bot thì nó thế này. :?) |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 12:19:23 (+0700) | #6 | 17551 |
![[Avatar]](/hvaonline/images/avatar/6b9c98a0d9c1c97294bf0772ae4dd207.jpg "[Avatar]")
|
nhocbmt
Member
|
|
0 |
|
|
Joined: 26/06/2006 17:55:21
Messages: 75
Location: Ban Mê City
Offline
|
|
Bài viết khái quát 
Nếu viết như bác tôi có thể viết hàng chục bài có tính năng " bot net " như bác !
Port 6667 là port mặt định khi install mirc serv ( hình như vậy ) ! Và nếu có port khác thì chỉ là dự phòng khi port mặt định max connnect !
Như nếu bác nói nếu viết = vb thì vb ko tương tác với IRC ! có nghĩa là pc client phải được chạy cái trình viết = vb ấy trước khi vào irc hoặc do boss cố ý làm điều này khi client connect đến! mà nếu trình đó đã được run trên client trước rồi thì tại sao phải dựa vào IRC để làm công cụ nhĩ ? vd như các bug của IE ta có cho nó connect đến nc mà ta đã listen sẳn ... mọi việc ta làm còn dể hơn nhiều ... !
Nói chung nếu muốn dựa vào bài viết này mà phát triển 1 "mạng bot net " thì rất.... mập mờ... !
- Thân ! nhocbmt ! |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 21:46:26 (+0700) | #7 | 17598 |
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
jamesmr wrote:
hackernohat wrote:
jamesmr wrote:
vậy nếu admin đó thấy nhiều kết nối lạ vào và denied thì sao nhỉ?ở đây có ai biết irc nào mà cho kết nối thật nhiều máy ko?,thông thường nếu irc server của nước ngoài thấy có khoảng 30 cái kết nối mà cùng một lúc là họ chặn ngay(tôi ko biết họ nhận ra con bot của mình thế nào nữa).và cổng kết nối irc theo tôi cũng không nhất thiết phải là 6667,mà tuỳ thuộc vào irc server.
PS:dám cá là you này cũng từng hoặc đang kiểm soát 1 mạng bot nào đó.bài viết thật tỉ mỉ.
Chả admin nào chặn cả do IRC server là máy chủ chat công cộng admin của nó sẽ chả chặn đâu ( mà chặn cũng không hết )
vậy you giải thích cái này thế nào:
* Identd request from 66.225.200.63
-
Closing Link: [125.234.71.112] Z:Lined (subnet banned due to Floods and Spam)
-
* Disconnected
lúc trước tôi connect bình thường,tư ngày tăng lên 30 bot thì nó thế này. :?)
Bạn đọc chưa kĩ subnet banned due to Floods and Spam hỉu không tức là bạn đã gửi rất nhiều messange toi IRC server qua một nick |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 21:50:54 (+0700) | #8 | 17603 |
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
nhocbmt wrote:
Bài viết khái quát
Nếu viết như bác tôi có thể viết hàng chục bài có tính năng " bot net " như bác !
Port 6667 là port mặt định khi install mirc serv ( hình như vậy ) ! Và nếu có port khác thì chỉ là dự phòng khi port mặt định max connnect !
Như nếu bác nói nếu viết = vb thì vb ko tương tác với IRC ! có nghĩa là pc client phải được chạy cái trình viết = vb ấy trước khi vào irc hoặc do boss cố ý làm điều này khi client connect đến! mà nếu trình đó đã được run trên client trước rồi thì tại sao phải dựa vào IRC để làm công cụ nhĩ ? vd như các bug của IE ta có cho nó connect đến nc mà ta đã listen sẳn ... mọi việc ta làm còn dể hơn nhiều ... !
Nói chung nếu muốn dựa vào bài viết này mà phát triển 1 "mạng bot net " thì rất.... mập mờ... !
- Thân ! nhocbmt !
Đây là bài viết ví dụ,vậy cho tớ hỏi nếu như không có bài viết này bạn có thể rõ đc nền tảng của bot hay không mà đòi viết nhiểu chức năng
Thứ 2 với câu
Như nếu bác nói nếu viết = vb thì vb ko tương tác với IRC ! có nghĩa là pc client phải được chạy cái trình viết = vb ấy trước khi vào irc hoặc do boss cố ý làm điều này khi client connect đến! mà nếu trình đó đã được run trên client trước rồi thì tại sao phải dựa vào IRC để làm công cụ nhĩ ? vd như các bug của IE ta có cho nó connect đến nc mà ta đã listen sẳn ... mọi việc ta làm còn dể hơn nhiều ... !
bạn đã hoàn toàn hiểu sai về bot và botnet nếu bạn truy cập bot qua IE vồi bug của IE và telnet bằng NetCat thì bạn chỉ điểu khiển đc 1 bot trên 1 máy mà thôi,còn botnet mục đích là điểu khiển nhiều máy.
Nên suy nghĩ và đọc kĩ những gì mình chưa hiểu nếu không bạn sẽ bỏ qua rất nhiểu thứ quý giá cho bạn
Thân NoHat |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
24/08/2006 22:51:44 (+0700) | #9 | 17638 |
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
| Xin nhắc lại một lần nữa,bài viết này NoHat viết chỉ là để truyền đạt kiến thức vầ botnet chứ không phải làm sẵn một con botnet với đầy đủ tính "độc" để những người kém ý thức mang đi phá làng phá xóm |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
25/08/2006 03:58:57 (+0700) | #10 | 17735 |
|
jamesmr
Member
|
|
0 |
|
|
Joined: 03/03/2006 06:30:26
Messages: 153
Offline
|
|
hackernohat wrote:
jamesmr wrote:
hackernohat wrote:
jamesmr wrote:
vậy nếu admin đó thấy nhiều kết nối lạ vào và denied thì sao nhỉ?ở đây có ai biết irc nào mà cho kết nối thật nhiều máy ko?,thông thường nếu irc server của nước ngoài thấy có khoảng 30 cái kết nối mà cùng một lúc là họ chặn ngay(tôi ko biết họ nhận ra con bot của mình thế nào nữa).và cổng kết nối irc theo tôi cũng không nhất thiết phải là 6667,mà tuỳ thuộc vào irc server.
PS:dám cá là you này cũng từng hoặc đang kiểm soát 1 mạng bot nào đó.bài viết thật tỉ mỉ.
Chả admin nào chặn cả do IRC server là máy chủ chat công cộng admin của nó sẽ chả chặn đâu ( mà chặn cũng không hết )
vậy you giải thích cái này thế nào:
* Identd request from 66.225.200.63
-
Closing Link: [125.234.71.112] Z:Lined (subnet banned due to Floods and Spam)
-
* Disconnected
lúc trước tôi connect bình thường,tư ngày tăng lên 30 bot thì nó thế này. :?)
Bạn đọc chưa kĩ subnet banned due to Floods and Spam hỉu không tức là bạn đã gửi rất nhiều messange toi IRC server qua một nick
Tôi ko biết trình độ của anh bạn như thế nào ,tôi chỉ thử hỏi vậy thôi chứ anh bạn trả lời chẳng đâu vào đâu cả.Vậy cho hỏi anh bạn có lập được mạng botnet nào chưa mà dám viết tut thế.
Tôi cho anh bạn biết chính xác là tôi chỉ mới connect tới irc server mà nó đã cấm ko cho connect chứ tôi chưa gửi cái message gì cả.Mà làm gì có con bot nào ngu đến nỗi chỉ đặt một nick chứ(chưa nói đến irc không cho join khi trùng nick).pó chiếu. |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
25/08/2006 04:04:03 (+0700) | #11 | 17736 |
|
jamesmr
Member
|
|
0 |
|
|
Joined: 03/03/2006 06:30:26
Messages: 153
Offline
|
|
nhocbmt wrote:
Bài viết khái quát
Nói chung nếu muốn dựa vào bài viết này mà phát triển 1 "mạng bot net " thì rất.... mập mờ... !
- Thân ! nhocbmt !
Hoàn toàn chính xác,cái này dành cho những ai chưa biết đọc hiểu là chính. |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
25/08/2006 11:34:07 (+0700) | #12 | 17841 |
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
jamesmr wrote:
nhocbmt wrote:
Bài viết khái quát
Nói chung nếu muốn dựa vào bài viết này mà phát triển 1 "mạng bot net " thì rất.... mập mờ... !
- Thân ! nhocbmt !
Hoàn toàn chính xác,cái này dành cho những ai chưa biết đọc hiểu là chính.
còn bạn thì sao ???? đã có kinh nghiệm chưa,nếu có cho phép NoHat thỉnh giáo :wink: |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
25/08/2006 13:32:31 (+0700) | #13 | 17868 |
mfeng
Researcher
|
Joined: 29/10/2004 15:16:29
Messages: 243
Offline
|
|
Mô hình hoạt động của một botnet như sau:
- Các auto-bot (thường là virus, trojan...) sau khi đã lây nhiễm vào một máy tính của người sử dụng nào đó, sẽ kết nối tới một IRC channel định sẵn trong mã lệnh, tại một IRC server nào đó. Các auto-bot này thực chất là một IRC client, sử dụng http://www.irchelp.org/irchelp/rfc/rfc2812.txt để join vào channel (thường là có đặt password).
- Khi người nắm quyền điểu khiển channel cũng join vào channel này, anh ta có thể gửi một thông điệp nào đó cho các client đang join tại đây (là các bot trên các máy tinh zombie). Tuỳ theo giao thức đã quy ước trước mà bot nhận được thông điệp nào sẽ làm công việc tương ứng: Ping, Get System Info, Update, remove, get key logs... Như vậy, thông qua IRC channel, một người có thể điều khiển toàn bộ các máy tính zombie bị cài đặt bot.
Do đặc điểm hoạt động, khi một zombie phát hiện ra bị cài đặt bot, một reverser có thể dò tìm ra mạng botnet nào mà zombie bị điều khiển, khả năng của bot, các lệnh mà bot nhận được.. , bằng các kĩ thuật RE & sniffer packet. Các thông tin này sẽ có ích để xử lý, ngăn chặn botnet.
Theo một nghiên cứu của honeynet cách đây vài năm, đã ghi nhận được một số botnet có khoảng 250000 zombies  .
jamesmr wrote:
vậy you giải thích cái này thế nào:
* Identd request from 66.225.200.63
-
Closing Link: [125.234.71.112] Z:Lined (subnet banned due to Floods and Spam)
-
* Disconnected
lúc trước tôi connect bình thường,tư ngày tăng lên 30 bot thì nó thế này.
To jamesmr:
Có thể một số IRC server, để tránh nguy cơ "tiếp tay" cho việc điều khiển botnet, đã giới hạn số client kết nối tới server thông qua IP của cùng một subnet. Điều này là dễ hiểu, vì khi một subnet (trong LAN chẳng hạn, kết nối internet qua NAT) bị nhiễm virus botnet, thì thường số lượng lớn máy tinh của subnet tiến hành kết nối tới một IRC server, tăng số lượng kết nối đạt mức tới hạn cho phép của IRC server, và tình huống bị từ chối kết nối sẽ diễn ra.
Thân mến. |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
25/08/2006 20:44:45 (+0700) | #14 | 17916 |
|
jamesmr
Member
|
|
0 |
|
|
Joined: 03/03/2006 06:30:26
Messages: 153
Offline
|
|
hackernohat wrote:
jamesmr wrote:
nhocbmt wrote:
Bài viết khái quát
Nói chung nếu muốn dựa vào bài viết này mà phát triển 1 "mạng bot net " thì rất.... mập mờ... !
- Thân ! nhocbmt !
Hoàn toàn chính xác,cái này dành cho những ai chưa biết đọc hiểu là chính.
còn bạn thì sao ???? đã có kinh nghiệm chưa,nếu có cho phép NoHat thỉnh giáo :wink:
có mới dám nói,nhưng đây ko cần khoe. |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
25/08/2006 20:53:39 (+0700) | #15 | 17920 |
|
jamesmr
Member
|
|
0 |
|
|
Joined: 03/03/2006 06:30:26
Messages: 153
Offline
|
|
light.phoenix wrote:
Mô hình hoạt động của một botnet như sau:
- Các auto-bot (thường là virus, trojan...) sau khi đã lây nhiễm vào một máy tính của người sử dụng nào đó, sẽ kết nối tới một IRC channel định sẵn trong mã lệnh, tại một IRC server nào đó. Các auto-bot này thực chất là một IRC client, sử dụng http://www.irchelp.org/irchelp/rfc/rfc2812.txt để join vào channel (thường là có đặt password).
- Khi người nắm quyền điểu khiển channel cũng join vào channel này, anh ta có thể gửi một thông điệp nào đó cho các client đang join tại đây (là các bot trên các máy tinh zombie). Tuỳ theo giao thức đã quy ước trước mà bot nhận được thông điệp nào sẽ làm công việc tương ứng: Ping, Get System Info, Update, remove, get key logs... Như vậy, thông qua IRC channel, một người có thể điều khiển toàn bộ các máy tính zombie bị cài đặt bot.
Do đặc điểm hoạt động, khi một zombie phát hiện ra bị cài đặt bot, một reverser có thể dò tìm ra mạng botnet nào mà zombie bị điều khiển, khả năng của bot, các lệnh mà bot nhận được.. , bằng các kĩ thuật RE & sniffer packet. Các thông tin này sẽ có ích để xử lý, ngăn chặn botnet.
Theo một nghiên cứu của honeynet cách đây vài năm, đã ghi nhận được một số botnet có khoảng 250000 zombies .
jamesmr wrote:
vậy you giải thích cái này thế nào:
* Identd request from 66.225.200.63
-
Closing Link: [125.234.71.112] Z:Lined (subnet banned due to Floods and Spam)
-
* Disconnected
lúc trước tôi connect bình thường,tư ngày tăng lên 30 bot thì nó thế này.
To jamesmr:
Có thể một số IRC server, để tránh nguy cơ "tiếp tay" cho việc điều khiển botnet, đã giới hạn số client kết nối tới server thông qua IP của cùng một subnet. Điều này là dễ hiểu, vì khi một subnet (trong LAN chẳng hạn, kết nối internet qua NAT) bị nhiễm virus botnet, thì thường số lượng lớn máy tinh của subnet tiến hành kết nối tới một IRC server, tăng số lượng kết nối đạt mức tới hạn cho phép của IRC server, và tình huống bị từ chối kết nối sẽ diễn ra.
Thân mến.
@light.phoenix
thông thường khi kết nối =nat trong lan tới một irc server thì chỉ khoảng được từ 3đến 4 kết nối là irc server ko cho kết nối nữa(tôi hiểu cái này chứ).
Nhưng đây là 30 con bot trên 30 máy bất kì trên internet (có thể là họ sử dụng viettel,fpt,vnn) nhưng vẫn bị thông báo lỗi ở trên bởi vậy tôi mới ngạc nhiên tại sao họ phát hiện được. |
|
|
|
|
| [Question] Mạng BotNet Nền tảng và Cách tạo một con "Bot" cho mọi người |
25/08/2006 23:20:38 (+0700) | #16 | 17977 |
|
xnohat
Moderator
|
Joined: 30/01/2005 13:59:19
Messages: 1210
Location: /dev/null
Offline
|
|
jamesmr wrote:
light.phoenix wrote:
Mô hình hoạt động của một botnet như sau:
- Các auto-bot (thường là virus, trojan...) sau khi đã lây nhiễm vào một máy tính của người sử dụng nào đó, sẽ kết nối tới một IRC channel định sẵn trong mã lệnh, tại một IRC server nào đó. Các auto-bot này thực chất là một IRC client, sử dụng http://www.irchelp.org/irchelp/rfc/rfc2812.txt để join vào channel (thường là có đặt password).
- Khi người nắm quyền điểu khiển channel cũng join vào channel này, anh ta có thể gửi một thông điệp nào đó cho các client đang join tại đây (là các bot trên các máy tinh zombie). Tuỳ theo giao thức đã quy ước trước mà bot nhận được thông điệp nào sẽ làm công việc tương ứng: Ping, Get System Info, Update, remove, get key logs... Như vậy, thông qua IRC channel, một người có thể điều khiển toàn bộ các máy tính zombie bị cài đặt bot.
Do đặc điểm hoạt động, khi một zombie phát hiện ra bị cài đặt bot, một reverser có thể dò tìm ra mạng botnet nào mà zombie bị điều khiển, khả năng của bot, các lệnh mà bot nhận được.. , bằng các kĩ thuật RE & sniffer packet. Các thông tin này sẽ có ích để xử lý, ngăn chặn botnet.
Theo một nghiên cứu của honeynet cách đây vài năm, đã ghi nhận được một số botnet có khoảng 250000 zombies .
jamesmr wrote:
vậy you giải thích cái này thế nào:
* Identd request from 66.225.200.63
-
Closing Link: [125.234.71.112] Z:Lined (subnet banned due to Floods and Spam)
-
* Disconnected
lúc trước tôi connect bình thường,tư ngày tăng lên 30 bot thì nó thế này.
To jamesmr:
Có thể một số IRC server, để tránh nguy cơ "tiếp tay" cho việc điều khiển botnet, đã giới hạn số client kết nối tới server thông qua IP của cùng một subnet. Điều này là dễ hiểu, vì khi một subnet (trong LAN chẳng hạn, kết nối internet qua NAT) bị nhiễm virus botnet, thì thường số lượng lớn máy tinh của subnet tiến hành kết nối tới một IRC server, tăng số lượng kết nối đạt mức tới hạn cho phép của IRC server, và tình huống bị từ chối kết nối sẽ diễn ra.
Thân mến.
@light.phoenix
thông thường khi kết nối =nat trong lan tới một irc server thì chỉ khoảng được từ 3đến 4 kết nối là irc server ko cho kết nối nữa(tôi hiểu cái này chứ).
Nhưng đây là 30 con bot trên 30 máy bất kì trên internet (có thể là họ sử dụng viettel,fpt,vnn) nhưng vẫn bị thông báo lỗi ở trên bởi vậy tôi mới ngạc nhiên tại sao họ phát hiện được.
chắc tụi nó chặn luôn khi thấy quá nhiều connection từ một subnet nên nó chặn tất ,mà một subnet thì chặn cả một mạng rùi còn gì |
|
iJust clear, "What I need to do and how to do it"/i
br
brBox tán gẫu dời về: http://www.facebook.com/hvaonline |
|
|
|
|
![[Rule]](/hvaonline/templates/viet/images/icon_mini_rule.gif "[Rule]"){kind=icon}
![[Home]](/hvaonline/templates/viet/images/icon_mini_groups.gif "[Home]"){kind=icon}
![[Portal]](/hvaonline/templates/viet/images/icon_mini_portal.gif "[Portal]"){kind=icon}
![[Members]](/hvaonline/templates/viet/images/icon_mini_members.gif "[Members]"){kind=icon}
![[Statistics]](/hvaonline/templates/viet/images/icon_mini_stats.gif "[Statistics]"){kind=icon}
![[Search]](/hvaonline/templates/viet/images/icon_mini_search.gif "[Search]"){kind=icon}
![[Reading Room]](/hvaonline/templates/viet/images/icon_mini_book.gif "[Reading Room]"){kind=icon}
![[Register]](/hvaonline/templates/viet/images/icon_mini_register.gif "[Register]"){kind=icon}
Register![[Login]](/hvaonline/templates/viet/images/icon_mini_login.gif "[Login]"){kind=icon}
Login [
Thảo luận virus, trojan, spyware, worm...
![[Profile]](/hvaonline/templates/viet/images/en_US/icon_profile.gif "[Profile]"){kind=icon}
![[PM]](/hvaonline/templates/viet/images/en_US/icon_pm.gif "[PM]"){kind=icon}
![[Email]](/hvaonline/templates/viet/images/icon_email.gif "[E-mai]"){kind=icon}
![[WWW]](/hvaonline/templates/viet/images/icon_www.gif "[www]"){kind=icon}
![[Yahoo!]](/hvaonline/templates/viet/images/icon_yim.gif "[YIM]"){kind=icon}
![[MSN]](/hvaonline/templates/viet/images/icon_msnm.gif "[MSN]"){kind=icon}
![[Locked]](/hvaonline/templates/viet/images/en_US/reply_locked.gif "[Locked]")
![[Up]](/hvaonline/templates/viet/images/en_US/icon_up.gif "[Up]"){kind=icon}
![[Print Copy]](/hvaonline/templates/viet/images/en_US/icon_print.gif "[Print Copy]"){kind=icon}
) xin hay pm nick yahoo zdsiegel1 de biet them chi tiet![[Avatar]](/hvaonline/images/avatar/3ff92975ec58fc21611d0480f4205633.jpg "[Avatar]")
![[Avatar]](/hvaonline/images/avatar/089f41810321eefc3f4eef5d4a388e42.png "[Avatar]")
) không hiểu bạn hỏi gì hết, mà hình như là hơi lạc đề.![[digg]](/hvaonline/templates/viet/images/digg.gif "[digg]")
![[delicious]](/hvaonline/templates/viet/images/delicious.gif "[delicious]")
![[google]](/hvaonline/templates/viet/images/google.gif "[google]")
![[yahoo]](/hvaonline/templates/viet/images/yahoo.gif "[yahoo]")
![[technorati]](/hvaonline/templates/viet/images/technorati.gif "[technorati]")
![[reddit]](/hvaonline/templates/viet/images/reddit.gif "[reddit]")
![[stumbleupon]](/hvaonline/templates/viet/images/stumbleupon.gif "[stumbleupon]")