Messages posted by: gsmth

LeVuHoang wrote:

Tui có down thử bản Trial của BKAV về chạy test nhưng bắt nhập key khi quét.
False Positive nhiều quá, nhưng dù sao cũng nên khuyến khích. Hy vọng phiên bản sau sẽ quét chính xác hơn.

Bác không có nhập key để quét sao biết nó FP nhỉ smilie

gsmth cũng đang đợi thằng cháu nó đi holiday về để dụ nó cài Bkav2009 đây (máy nó có bản quyền mà).

đây là rõ ràng là yêu cầu cr*ck software rồi!

tập unpack hay inline patching v.v thì thiếu gì cách. học không đâu xa, như post của mrro @ ở 1 topic khác, xin post lịa link ở đây:
http://vnsecurity.net/Members/thaidn/archive/2009/08/26/wowhacker-ctf-bonus-challenges

Xem cái 2. Challenge 16 ấy

P/S: cái trên nén bằng UPX nó là dạng file có overlay thì dẫu có unpack, chưa chắc là đã chạy đâu..

mrro wrote:

Toàn bộ writeup của team CLGT đang được đưa lên http://vnsecurity.net/blog.

-m

Thanks mrro,

Các bác tiến bộ từng ngày. Chúc các bác mấy ngày sắp tới thành công ở Hàn smilie

Đang tải về test, ủng hộ cho Bkis R&D phát nào. Bởi vì, trong lần ra mắt này hầu hết ý kiến của người dùng (kể cả ykien trên HVA này, như của bác Mai (-PXMMRF)) đều đã có đó chứ

Good job!

P/S: em vừa kiếm được cái hình này ở site khác có liên quan tới BkavPro 2009 ở WITFOR@NCC smilie

thấy em áo cam nom thích nhở, không bù lại em áo xanh tay có sẹo smilie

nhưng nói chung là "ngon" smilie

nói chung là cũng chẳng có gì mới, +có điều thiếu mầu sắc tí thôi, vd cái tên distro cũng chẳng thuần việt gì cả..

mình cũng tìm ra password rồi: ASEC means ... decode cũng mất thời gian phết đấy smilie

)
bạn pdah làm write-up cho nó đê hiii.

nhockryo wrote:

Hì Bộ Dành Cho forum chỉ áp dụng cho mozilla và internet nếu thay sinh ra nhìu lỗi lém

Download Unikey 4.0 - Chương trình gõ tiếng việt tốt nhất và phổ biến nhất :

http://www.3c.com.vn/Uploaded/hieuthien/9/phan%20mem/UniKey4.0.rar

không phải là không biết dùng cái gì để gõ tiếng việt bạn ah. đây là đề nghị cho tiện lợi hơn thôi.

sunrise_vn wrote:

Cho tớ hỏi tại sao tớ dùng trình duyệt Chrome và Safari lại không thể gõ tiếng Việt khi gửi bài viết? Vui lòng hướng dẫn tớ cách khắc phục.
Nếu có thể tớ xin kiến nghị HVA nên hổ trợ gõ tiếng Việt trong chức năng "Tìm kiếm" của diễn đàn vì không phải máy ai cũng có trình gõ tiếng Việt sẵn trên máy.
Xin cảm ơn!

+1
đề nghị bổ sung để khi dùng Chrome gõ được tiếng việt

muadem764 wrote:

Ô la la,làm 2 file có cùng 1 checksum? Hình như cơ hội là 2^xx thì phải.Thế cụ thể là chỉ có một cách patch game client thôi đúng không?Em đang cần tìm hiểu kĩ hơn,bác có thể sơ bộ cho em patch game client như thế nào không?

để patch thì fai hiểu rõ nó hoạt động sao (đọc từng dòng dis-asm) cái này k dễ smilie

đấy là còn k tính nếu game đó dc bảo vệ bởi 1 cái gì đó như Themida smilie

theo mình bạn nên tìm tool nào có thể sửa thông tin trong gói tin trao đổi giưa game client với game server í. nó gọi la MITM attack. mà cái này lại đòi hỏi biết về giao thức nó (game) để nc.

tóm lại là khó đấy smilie

IDA đó bạn có bản free nha. nếu k biết kiểm nó ở đâu thì dừng ý dịnh reverse code đê.

myangel wrote:

mình đang cần tài liệu về squid proxy để nghiên cứu và kết hợp với iptables để xây dựng firewall, bạn nào có tài liệu gì nói về đề tài này vui lòng chia sẻ với mình nha. thanks.

tài liệu thì:

- vô site của squid mà coi xem chứ.

- đặc thù với từng OS thì có lẽ là vào site của OS đó coi thôi (sps FC-Forrum, Gentoo-Forum ấy,...)

Kenyu wrote:

là sao? thì mình chỉ nắm được host nó chứ không có đc admin! nên k biết!

chời, có thể data die thì nó die thôi.

muc đích hắc ám quá. nó đang sống thì để nó sống đi. gây thù oán làm j. smilie

Đúng là đây chỉ là con Downloader bình thường cõng thêm worm, trojan, rootkit, ghi đè file chuẩn (PE virus). RE nó cũng không phức tạp j.

Vấn đề là tất cả các CON trên máy bị nhiễm tớ chứng kiến thì là con KAV đã cập nhật. Con đó chưa tải gì mới về máy tính của nó, vì thằng quán net nó cũng thông minh rút dây mạng ra smilie

)

Tình trạng trên máy đó sau khi cài KAV là máy bị dump, kd lại dump tiếp.. Tớ cũng k hiểu với con Downloader bình thường này mà KAV không làm gì được. Tò mò ngó mấy file dump thì thấy lý do là do driver của KAV (kl*.sys). Gửi sample + dump file cho bọn KAV cả tuần nay mà k thấy hồi âm gì hết trơn. Không biết có phải do tiếng Anh của tớ tệ lắm không loll.

Theo tớ suy đoán thì KAV không diệt được là do không đặt nó vào cùng hoàn cảnh với thằng quán net kia. Vấn đề này nghe dễ nhưng làm được cũng khó phết đấy.

TQN wrote:

Cái này thì đúng, tui dùng KAV, chả thấy mặt mũi con SafeSys đâu cả.

TQN có ra quán net bao giờ k?

Ra quán nét xem tụi nó cài KAV diệt con SafeSys thì KAV nó làm gì với máy đó nhé smilie

Thôi nói luôn, KAV chả làm được gì!

tulu wrote:

Diễn đàn đâu phải là chỗ để bêu rướu bkav. Phần mềm cũng như là công cụ, có người thích có người không thích. Đem lời lẽ thiếu văn hóa đi nói với NTQ là không nên. Ai bảo là NTQ bắt được chàng hacker tấn công ddos. Bao nhiêu người giúp việc chứ bộ.
Với lại máy em bị kaspersky diệt làm log on, log off hoài. Chẳng tin được. Mất niềm tin vào Kaspersky rồi. Chậm vô đối!

bạn tulu này kệ bạn Nowhereman chứ, bạn ấy nói là "ý kiến riêng của tớ" rồi mà.

Ý kiến chung mà qua thật tế tớ chứng kiến, thì Bkav dạo này cập nhật mẫu virus nhanh, đủ loại. Cho nên, Bkav diệt cả loại đơn giản worm lẫn loại phức tạp đa hình hay siêu đa hình đó smilie

Mỗi tội hơi ngốn RAM smilie

nhưng bù lại nó quét nhanh smilie

Bạn Nowhereman, nói y hệt thằng cháu mình. Nó cứ tự ti nói made in VN là thế này thế kia, rồi 1 ngày nọ nó ra nước ngoài du học.. nó đã có một bài học đắt giá. Mình không tiện kể ở đây!

khi3mkp wrote:

Code:
http://www.remote-exploit.org/cgi-bin/fileget?version=bt4-beta-iso
 http://www.remote-exploit.org/cgi-bin/fileget?version=bt4-beta-vm
7d1eb7f4748759e9735fee1b8a17c1d8 <- bt4 iso md5
38acdcbaf6c73d7c55180dfea8641e5d <- bt4-beta-vm-6.5.1.rar MD5

HOPE YOU WILL ENJOY IT

enjoy!

kamikazeq wrote:

maithangbs wrote:

BKAV clear ngay cái đoạn code để jump đến đoạn mã virus rồi thì làm sao mà "con" virus đó thực thi được (mặc dù vẫn còn đoạn mã virus đó trong file). Thế nên khi BKAV clear virus rồi mà vẫn còn antivirus phát hiện ra mẫu virus trong file (của bạn kamikazeq).

Đúng là còn sót lại lè tè vài anh Anti phát hiện.
Vậy một vài Anti đó quá cẩn thận hay tại cái đám Anti nổi tiếng kia không thèm ngó ngàng (khi mã Virus không được gọi tới trong cấu trúc file exe đó) !?

Kam lấy mấy cái ctr nó phát hiện lẻ tẻ đó quét, xem nó chữa file đó thế nào?
smilie

kien_hoi wrote:

Thật ra, [color=#444444]tui thấy thằng BKAV làm ăn cũng được lắm. Ngặt 1 nỗi, không hiểu sao, nhưng con virus china hay vài con virus mà những ctr khách quét không ra mà nó quét ra, thế mới ghê.[/color]
Tui làm bên IT, nên đi sửa máy hoài thôi, hể gặp mấy con quen mặt là lấy BKAV ra quết thôi. Nhiều khi tui nghĩ, không biết mấy con đó có phải BKIS viết ra rồi diệt để đánh bóng tên mình không nữa, vì chỉ có mình nó phát hiện và diệt được thôi....

Đoạn này công nhận. smilie

PXMMRF wrote:

Chú ý là các trình KIS, McAfee... không phát hiện ra virus-trojan này (gọi là Trojan thì đúng hơn) dù áp dụng chế độ On-demand scan và All files scan. Tuy nhiên khi Trojan Remover 6.7.5 phát hiện ra Trojan này và rename các file cơ bản của Trojan để cô lập chúng, thì McAfee lâp tức nhảy ra "ăn theo" và báo hệ thống dính Trojan... Hì Hì.

Tôi đã từng vất vả gần 3 ngày (tháng trước) về con Trojan quái quỷ này.

Trojan Remover 6.7.5 & McAfee nó báo trojan thì tên của trojan đó là gì vậy anh? nếu được thì trên file nào (không phải TDSSxxx.sys chứ đấy chứ?)

ken_shin wrote:

thank mình hiểu về mấy cái quyền đọc ghi và thực thi cho các nhóm rùi.mình ko hiểu ở chỗ trong trường hợp nào thì thuộc nhóm nào.vd theo mình nghĩ thì khi mở = trình duyệt web thì phải là nhóm world nhưng rút cục vì sao con shell đó lại có quyền owner (muốn dùng quyền này bản than mình còn phải đăng nhập = id và pass host ) mình up lên host mình nên mới biết chứ ko có ý định học hack à.ai có thể giải thích cho mình với được không

thì con shell đó vừa có owner lẫn world chứ sao smilie

mẫu hiển thị mới như thế này thích hơn cái cũ vì thoáng đãng. bác có thể thu gọn thông tin joined, massages, location, ... lên thành 1 dòng status => đỡ phải scroll page nhiều smilie

à sao bộ gõ trên diễn đàn không hỗ trợ Chrome?

kamikazeq wrote:

Cách khác:
1. Boot vào DOS or NC.
2. Đổi tên file C:\windows\system32\sethc.exe thành C:\windows\system32\sethc.exe.BAK
3. Copy file C:\windows\system32\Cmd.exe thành C:\windows\system32\sethc.exe
4. RE máy lại.
5. Vào tới màn hình LOGON (chọn tài khoản), nhấn 5 lần phím Shift (thử nhấn cho tới khi màn hình Cmd hiện ra).
6. Gõ vào đó Regedit --> Trình Regedit sẽ hiện ra.
7. Tìm tới khóa HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\ Userinit sửa giá trị của Userinit thành "C:\WINDOWS\system32\userinit.exe,"
8. RE máy.

Vào được Win thì tìm diệt con Virus ấy đi nhé.

PS: nói thật là mình cũng không biết chỉnh REG ở đĩa boot thế nào. Bro nào biết chỉ mình luôn hen

Sao không đổi regedit.exe thành sethc.exe luôn cho rồi smilie

show 1 vài screenshot có tiếng Nga xem nào Fal smilie

ngochoan2003 wrote:

Các bác cho em hỏi là một file đã được Pack bằng AntiDebugLIB Register V2.1 thì có cách nào Unpack được không ?
http://web.1asphost.com/ngochoan2006/AntiDebugLIB%20Register%20V2.1.txt em thử pack bằng phần mềm AntiDebugLIB Register V2.1. Bác nào Unpack nó cái ! ( E đổi đuôi *.exe --> *.txt)

Nếu bạn chịu khó hỏi bạn Gúc 1 tí là tìm được hướng đi ngay smilie

NeOXOeN, Nico wrote:

02-28-2008, 02:07 PM
Well, hooking int 1 and int 3, _only_ to block debuggers is naive and only stops wanabies.
....
since he hooks hook int 1 and int 3 globally the debuger doesnt alwasy stop at eop.. reffering to olly ,,,he thinks he can stop debuging

http://www.woodmann.com/forum/archive/index.php/t-11343.html

LQV0604 wrote:

Mình cũng mới chỉ nghiên cứu về REA. Khi một phần mềm bị nén bởi một packer thì các Entry point sẽ bị dấu đi. Nếu muốn unpack thì phải tìm OEP. Vì vậy mình muốn biết các dấu hiệu để có thể xác định một địa chỉ nào đó có thể là một OEP.

Có 1 số trường hợp có thể dựa vào phần mềm đó được compile bằng compiler nào.. để xác định OEP có thể đặt BP (break point) trên 1 hàm / 1 chuỗi byte nào đó đặc trưng cho compiler đó.

Còn 1 số trường hợp khác, như protector sử dụng copy-mem II thì BP trên API: SetProcessWorkingSetSize

Nói túm lại là cũng tùy hoàn cảnh để tìm OEP smilie