Foro de elhacker.net

  Bueno me decidi husmear en las reds sociales y empece con facebook logrando algo....  :silbar:

  En muchos sitios por alli sobre todo en el blog de YST lei que para intercalar MP en Facebook habria que hookear apis de wininet y  en cierto grado es verdad, si hookeamos la api HttpSendRequestW en IExplorer podemos interceptar las credenciales del facebook antes de pasar por las ssl en el cuarto parametro de la API:

 


  Obtenemos una cadena como esta:


  podemos filtrar esta cadena en el hook buscando señas como "charset_test=" y "email=" y guardarla en un archivo o enviarlas directamente por sockets ..  :silbar:

  Pero este no es mi objetivo mi fin es lograr intercalar una URL maliciosa en un MP  :silbar: .......

  Por lo que despues de debbugear y hookear varias apis de wininet decidi hacerlo a la Chuck Norris: "HOOKEANDO SEND" .....  >:D ....

  En el momento de enviar un MP por el fakebook  :silbar: IExplorer realiza un send enviando una cadena como esta:

  
  Como veran despues de status= esta el mensaje con unos feos %20 que sustituyen los espacios si queremos intercalar algun mensaje tendriamos que crear un buffer asi:


 y le concatenamos la cadena original desde &action= quedando algo asi ....

 
  Y al enviar la cadena lleva la URL intercalada  :silbar: .........

  Con Twetter estaba probando algo con el hook a la api HttpSendRequestW se puede obtener las credenciales filtrando una cadena como esta:

  
  se puede filtrar buscando señas y como veran alli estan las credenciales antes de pasar por las ssl  :silbar: .........

  Iva a intentar intercalar twets maliciosos pero por alguna extraña razon la pagina de twetter tiene problemas  :silbar: ......


  PD: No subo source aqui esta la idea  :silbar: no quiero que algun "experto" propague malware asi no mas sin esforzarce XD  :silbar:


  Saludos..  >:D

Buenísimo tío, en cuanto saque un rato lo pruebo, aunque para ello tenga que hacerme una cuenta de Facebook  ;D. Muy buen trabajo  ;D.

Saludos

Hace tiempo hice algo parecido, el principal problema es que con Firefox no funciona  :P en mis pruebas intentaba hookear el send en Firefox y no me proporcionaba ningún resultado. La respuesta es que firefox no usa Send para enviar datos (PR_Write (https://developer.mozilla.org/en/PR_Write)). Supongo que si se debuggeara esta llamada se podría sacar la API usada del sistema.

Te animo que extiendas tu código a Firefox  :)

Un Saludo  ;)

Hace tiempo, en la versión actual de firefox no se si se puede, se podía hookear  "PR_read" de la libreria nspr4.dll para snifear trafico utilizando el Mozilla Firefox.

De hecho, también leí (no lo pude comprobar) que se podia hookear PR_write y añadir extérnamente las strings que quisíeramos, imagino que la idea debe ser parecida a la de aquello entonces. Muchos gusanos lo utilizavan, sobre todo los relacionados con fraudes de sitios bancarios.

PD: Hendrix, los dos hemos empezado con "Hace tiempo.." xd.

Recuerdo que YST estaba haciendo / hizo algo parecido que funcionaba bien IE y Firefox, con Firefox lo hacía con PR_Write de la NSPR4.DLL, cuya ruta cambia, y el Chrome hay una API similar.

Saludos

Hace tiempo que creo que hay métodos más sencillos y eficientes (tenía que empezar con "Hace tiempo ..." :xD).
Es decir, así estas limitado a que el usuario este conectado, resulta "mejor" obtener las contraseñas de facebook y que el bicho envíe a diestra y siniestra. No obstante, la ventaja que plantea esto es que el envío se hace incrustado en un mensaje legítimo, lo que hace más posible que alguien "caiga" :D (por eso las comillas del mejor)

Saludos

P.D: hacen falta más post como este :D

Lo del "hace tiempo" fue coincidencia  :xD

Lo que comentas lo veo algo más "peregrino", ya que si fuese un virus tendría que realizar una conexión a facebook o al sitio victima, si se tiene un firewall o se monitorizan las conexiones se podría detectar esta conexión.

Mediante un hook a PR_Write y a PR_Read se podría enviar el texto malicioso modificando los datos en PR_Write y ocultarlo al usuario que lo envió mediante PR_Read (para que no vea una URL extraña en el mensaje que el mismo escribió).

Se posdría hacer un modulo bastante interesante con estas ideas  :)


Pues si  :)

Lo que cambia es la posicioin de memoria osea no siempre se carga en la misma direccion al contrario del general


Respecto al tema dejo un codigo que hacia un hook a firefox , es un experimento que hice ya hace mucho tiempo a si que no lo critiquen xD

Pues a ver si te explicas mejor por MSN, no hay quien te entienda  :xD. Se me ocurrió que igual se puede hacer de una forma universal para todos los navegadores, tal vez interceptando alguna API como wsprintf o VirtualAllocEx se pueden obtener esos mismos datos antes de lo de SSL, no probé, pero igual funciona.

Saludos

Hace tiempo creo que hice un Hook parecido pero para obtener contraseñas de Hi5... pero fue Hace tiempo, cuando esa Red Social no era un pueblo fantasma.

  Pues me alegro que les haya gustado ya logre interceptar myspace y mi red social favorita: "TAGGED" es de pago pero es super  :) con myspace hay que parcear con precision de cirujano por que el mensaje esta en el medio de la cadena enviada por send ....... Mañana subo el concepto .....  :silbar: y el lunes voy con firefox  :xD ........


   Saludos .....  :D

  PD: Al parecer lo unico que pasan por las ssl son las credenciales  >:D

E estado programando este método para Facebook, lo tengo todo listo, me detecta el mensaje, me incrusta el texto que yo quiera y le hace el hook al send (probado en IE). El problema es que los de facebook no son tontos del todo y me dicen que no puedo enviar el mensaje modificado.

Lo primero que pensé es que debe de haber algún CRC del mensaje que detecta que el mensaje está modificado. supongo que es un campo que se envía junto con todo el paquete de datos que se tiene que generar en el momento en que se va escribiendo el mensaje, de lo contrario es imposible que sepan que el texto ha sido modificado  :-\ Algún script?? Que alguien investigue un rato, luego por la tarde me pongo yo  ;)

Creo que el campo a vigilar es &composer_id=

Ya que es el único que me cambia.

Saludetes  :)

Mod:

No iba tan mal encaminado, aquí tienen un poco más de info:

http://my.opera.com/quakerdoomer/blog/fbcontroller-facebook-controller-the-ultimate-facebook-controller-without-the-pa

 Hombre si funciona :silbar: lo probe en IEXPLORER 6 y 8 y funca :xD ......

 Enviando un mensaje:
 (http://img841.imageshack.us/img841/7039/fakebook1.jpg)


 Luego me logie en la otra cuenta y mire :P

 (http://img17.imageshack.us/img17/5291/fakebook2.jpg)

 Ahora una cosa es pinchar una cadena al mensaje y otra muy diferente es meter una URL :xD Fakebook filtra las url y si son sospechozas simplemente no envia el mensaje y aparece un feo cartel diciendo que el mensaje ha sido denunciado como ilegal ... :P .... Esto para el que quiere meter una URL con lycos u algun dominio NO-IP simplemente no se puede enviar >:( pero se me ocurrio que se puede crear un blog y alli alojar la URL con bastante ingenieria social ..... y spradear la url del Blog ... :silbar: asi funciona, waledac y koobface hacen algo similar ellos te direccionan por varios sitios hasta infectarte .... :silbar: .....

 A la tarde te envio el source por MP esta algo cutre :-[ pero funciona :) .... Asi le hechas un vistazo en el momento de cerrar IEXPLORER aparecen unas feas exepciones  :(

Pero eso no son Mensajes de correo, yo lo hago desde el correo, me lo envío a mi propia cuenta, si no están modificados me permite enviarlos y los recibo, si están modificados me da error.

  Son Mensajes Personales  :) enviados desde el mismo Facebook lo que he planteado es interceptar estos mensajes desde la misma interfaz de facebook y añadirles un trozo malicioso ..... !No entiendo lo de los correos¡  :-( ...


  El link que colocaste esta Super Gracias ....  :D