Messages posted by: Mũ Trắng

Ông này muốn vào máy của ng khác lấy cắp dữ liệu nhưng phịa ra là muốn vào máy của mình, nếu mà đơn giản thế thì cần quái gì mấy thèng hacker nữa

Thấy 500 sub rồi mà ko thấy tut nào open cậu ơi

Bạn cho mình xin trang web đó để nghiên cứu nhé smilie

__ikaZuchi wrote:

Em vừa gửi SYN tới 200,000 server để nó dội ngược trở lại SYN-ACK vào host của em nhưng kỳ lạ host của em
vẫn chả sao cả vì tổng số các request SYN-ACK ấy chưa thấm vào đâu.

Bồ ác nhỉ? Gửi tới 200 000 server cơ đấy? Hỏi khí không phải tí, lấy đâu ra danh sách 200 000 server vậy :p
Theo "ngu" kiến của mình thì bạn chỉ cần thử với 1 server, xong capture gói tin trả về trên host victim. Nếu có syn-ack từ server kia trả về thì lúc đó tính tiếp.

Sài nmap scan random rồi lọc trùng đi bác, 1 tuần có mà 500k host live.

Tất nhiên là mình đã test rất kỹ và chắc chắn 100% là có syn-ack trả về rồi mình mới bắt đầu thực hiện
tấn công với số lượng lớn, khi tấn công mình capture trên host victim rồi, syn-ack về ào ạt nhưng host
vẫn bình thường không có gì gọi là quá tải, mình gửi mỗi giây 1000 request tới 1000 host mà host victim
vẫn chả sao cả.

Bây giờ em mới đọc kỹ lại bài viết của anh sau khi đã thử nghiệm drdos thất bại, em đã không chú ý tới phần
source routing, nghĩa là khi attacker tấn công victim, hắn sẽ không gửi hàng trăm ngàn packet tới hàng trăm ngàn server
mà thực ra nó chỉ gửi vài trăm packet tới vài trăm cái router thôi
nhưng bằng cách nào đó cái router ấy đã kêu gọi toàn bộ dãy ip trong nó gửi SYN-ACK trả về vào ip đã bị attacker giả mạo.

Cứ cho mỗi router có 254 ip bên trong nó (tương đương với 254 máy chủ nhỏ) 100 cái router = 25,400 cái cùng
SYN-ACK một lúc thì cũng mệt lắm.

Như vậy thìmới là khuếc đại được lưu lượng băng thông và mới có thể gửi 1,000,000 packet trong vòng một giờ và victim mới có thể die được.
Chứ nếu attacker tốn công đi gửi SYN tới hàng trăm ngàn server thì thà SYN Flood cho nhanh.

Em vừa gửi SYN tới 200,000 server để nó dội ngược trở lại SYN-ACK vào host của em nhưng kỳ lạ host của em
vẫn chả sao cả vì tổng số các request SYN-ACK ấy chưa thấm vào đâu.

Em cũng đã cố ép server attack gửi 10,000 packet trên giây nhưng bị quá tải nên sập luôn smilie

còn victim vẫn
sống nhăn.

Kết luận: Source routing đã không còn tồn tại nên các router sẽ không bao giờ tự đông kêu gọi các con của nó
để tham gia vào trận tấn công nữa và drdos bây giờ thực sự chỉ là huyền thoại và không còn thực hiện được
nữa smilie

Đó có phải DRDOS không anh conmale?

conmale wrote:

Những thứ em trình bày ở trên không phải là drDoS.

Cần bao nhiêu "máy chủ" bị spoofed để tạo ra DDoS?

Vậy như nào mới là drdos hả anh? Anh giải thích giúp em với! Em đã vừa đọc lại rất kỹ các tài liệu drdos cả
trong HVA và cả tài liệu gốc nữa, những thứ em đang hiểu chính là những điều em vừa nói.

conmale wrote:

- Nếu đã spoof IP nào đó để gởi SYN nhằm tạo SYN-ACK từ IP ấy thì SYN-ACK được tạo ra từ máy bị spoofed chớ không phải máy của mình. Bởi vậy, cho dù có thể tạo SYN-ACK có dung lượng lớn đi chăng nữa, cũng không thể được vì mình không điều khiến máy bị spoofed IP.

Phần này anh nói em không hiểu lắm, thực sự cú SYN em gửi đã được trả lời SYN-ACK từ máy chủ về victim rồi
và em nghĩ rằng như vậy là đủ để thực hiện tấn công ánh xạ phân tán "drdos" rồi chứ anh? Chỉ cần gửi nhiều
SYN tới nhiều máy chủ với ip giả mạo victim và các máy chủ ấy SYN-ACK về victim -> victim die.

conmale wrote:

- DrDOS chỉ có thời đầu thâp niên 2000, khi các routers còn cho phép source routing. Ngày nay, chuyện này hầu như không thể được vì hầu như các router theo mặc định đều disable chức năng này.

Ý anh là không thể giả mạo được source IP để gửi SYN phải không anh? Ban đầu em fail quá nhiều nên cũng
nghĩ như vậy, nhưng thật sự em đã rất cố gắng và đã làm được, nếu anh không tin em có thể chứng
minh.

Cảm ơn anh đã reply.

conmale wrote:

Mũ Trắng wrote:

Ko phải SYN flood bác ạ, em làm drdos theo bác thì drdos cỡ nào khiến victim die nhanh? dĩ nhiên là em đã spoof được source ip rồi

- Bị lỗ hổng kiến thức về giao thức.

- Thời buổi này mà còn drdos được sao? Bồ hiểu thế nào là drdos vậy?

Chào anh conmale!

Em xin trình bày mọi thứ em hiểu về drdos trên mức lý thuyết mà em đã đọc rất nhiều + rất kỹ các topic trong
hva những ngày qua.

trước hết em giả mạo ip của mình thành ip của victim sau đó em sử dụng ip giả mạo ấy và gửi SYN request tới
các web server lớn, sau khi các server nhận được SYN request ấy sẽ phản hồi lại SYN/ACK với ip vừa
SYN với mình (tức là sẽ trả lời lại cú SYN đó vào ip của victim).

Về mặt lý thuyết thì em chỉ hiểu như vậy không biết có đúng không anh? Em đã đọc rất kỹ cả tài liệu gốc lẫn
những bản dịch trên hva rồi và cũng biết là cách tấn công này không phải là tấn công vào tài nguyên của server
mà bản chất là tấn công vào router của server đó.

Tuy nhiên em vẫn chưa hiểu làm sao mà victim lại die được với những cú SYN/ACK như vậy?

Em đã rất vất vả hàng tháng trời để xây dựng một gói tin SYN hoàn chỉnh và phần khó nhất - Giả mạo
ip nguồn rồi bây giờ chỉ cần thực hiện drdos nhưng thật sự bây giờ là năm 2013 chứ không còn là năm 2002
khi mà grc.com bị đánh với 200 router, thật sự bây giờ phải cần tới 2,000,000 router chắc là mới có thể
đánh sập được server nào đó.

Cảm ơn anh đã để ý tới topic của em, có gì em chưa đúng mong anh chỉ bảo.

P/S: Mọi thứ em làm cũng chỉ nhằm mục đích nâng cao kiến thức về bảo mật, và thoả mãn đam mê lập
trình chứ không hề có ý muốn phá hoại.

Ko phải SYN flood bác ạ, em làm drdos smilie

theo bác thì drdos cỡ nào khiến victim die nhanh? dĩ nhiên là em đã spoof được source ip rồi smilie

Hi các bạn!

Mình muốn hỏi, khi mình gửi request SYN được gửi tới 19.0.0.0 (gọi là host A) thì host A sẽ gửi SYN/ACK về máy của mình.

Vấn đề là làm thế nào để khi SYN/ACK gửi về thì nó sẽ là một request nặng đòi hỏi host A phải xử lý nhiều?

Thanks mọi ng

Hi all!

sau khi đọc bài viết này /hvaonline/posts/list/156.html của bác Mulan và rất nhiều bài viết khác trong HVA về DRDOS từ tháng 1 năm 2011 mình rất khao khát tìm hiểu tại sao có thể spoofing được source IP mà lại là ip của ISP cấp cho và cũng tự học c/c++/c# và cả python để thực hiện spoofing ip source trên linux và windows nhưng đến giờ gần 2 năm rồi vẫn chưa từng thành công trong việc spoofing hoàn toàn chuỗi IP mà ISP cấp (đã thử nghiệm trên cả Static ip và Dynamics IP với các ISP như FPT, VNPT, VIETTEL).

sau khi đọc tài liệu gốc ở đây về cuộc tấn công DRDOS http://homes.cs.washington.edu/~arvind/cs425/doc/drdos.pdf) mình cũng đã bám sát theo phương thức build socket là raw_socket với mục đích ghi đè source IP trên c/c++ và python nhưng vẫn không thành công, mình cũng đã chuyển qua rất nhiều server linux & windows nước ngoài với nhiều ISP khác nhau nhưng hoàn toàn thất bại.

Mình cũng đã thử cách là cắm trực tiếp cáp quang (hoặc cáp điện thoại) kết nối internet vào thẳng PC và không đi qua router nữa nhằm mục đích tránh việc router drop packet vì sai MAC nhưng cũng vẫn thất bại? Có lẽ nào chính ISP đã chặn những packet có ip source bị sai đối với ip được cấp phát? Nếu như vậy thì khả năng của DRDOS và spoofing ip có còn khả thi?

Mình cũng đã đầu tư router sài open source controlpanel như CISCO, Lynksis vv.. để cấu hình lại router cho phép gửi raw packet nhưng cũng thất bại toàn tập.

Mục đích của việc tấn công DRDOS là giả mạo IP của victim và gửi TCP SYN đến những server khác để các server đó SYN, ACK về máy chủ của victim nhưng giờ việc giả mạo IP của victim gần như không thể.

Mình đã đọc rất nhiều bài viết hỏi đáp về drdos của HVA cũng như tất cả những topic nói về tấn công ddos đến HVA, học hỏi được rất nhiều và có vẻ như SYN Flood with spoofing IP source là gần nhất với kiểu tấn công drddos nhưng đã không còn sử dụng được nữa.

Các cao nhân ở HVA có ý kiến gì giúp đỡ mình có thể spoofing IP SOURCE của ISP được không? (chỉ cần idea ko cần code, source gì cả)

P/S: Hva giờ vào khó lắm các bác ạ, vào chỉ được 1-2 phút là lại lăn ra ko vào đc, change IP khác thì lại được nhưng cũng chỉ một lúc là lại failed smilie

Xin cảm ơn

Thử addons Hackbar trong Firefox xem có đc ko nhé bạn smilie

Hi các pro.
Mình là một script kid và vừa đọc bài này của Mulan "DRDOS":

/hvaonline/posts/list/156.html

Mình rất muốn làm một tools với C# để xem làm thế nào mà có thể forging source ip với raw socket được nhưng chắc C# không thể làm được có phải không?

http://www.linuxquestions.org/questions/programming-9/%5Bc%5D-raw-socket-set-source-ip-to-0-0-0-0-0-a-712267/
I'm not sure whether it's affecting you, but MS locked the possibility of "forging" packets using Socket API, to prevent kids from writing spoofing tools easily

The move is plainly stupid, because you can still forge packets using lower-level access to the network driver (NDIS - in case of Windows)
Well... that's what NIC is for... creating packets... Don't ask me to explain Microsoft's reasoning....

Ky0 wrote:

Chạy ổn định là như thế nào?
Trên windows 7 muốn chạy các chương trình thoải mái thì tắt User Account Control (UAC). Đồng nghĩa với việc tắt UAC thì máy bạn nguy cơ nhiễm Virus nhiều hơn.

Cảm ơn anh đã để tâm đến câu hỏi, ý em là có file autorun nào đó mà nội dung của nó có thể chạy trên các phiên bản hệ điều hành khác nhau của windows như XP, 7, Vista vv..

Em coppy file autorun.inf với nội dung như trên và đưa vào USB thì nó ko chạy khi double click hay right click tuy nhiên khi đưa vào CD và double click thì nó hoạt động bình thường, không biết em sai chỗ nào mong cách anh chỉ giùm.

Em tìm hiểu khá nhiều và lấy được cũng rất nhiều ví dụ nhưng khi tạo file autorun.inf trong usb của em thì click double cũng ko chạy, right click cũng ko chạy.

[AutoRun]
;ythOum xuNxeh jmdPk
;AYwGOv QMuy
Shell\expLorE\ComMAnd=autorun.exe
;anyAnoxHvx kpuIuaeYg
opEn= autorun.exe
sheLl\open\DeFault=1
;
sheLL\oPEn\cOmmaNd =autorun.exe

;
ShelL\AUtOPLay\CoMmanD= autorun.exe

Chạy trên windows 7 pro nào biết cách có thể cho autorun chạy ổn định thì chỉ em với.

shankstocdo wrote:

google search! cònig spynet! cực kì chi tiết đó!
mà nâng cấp phiên bản đê!
1.8 cũ quá rồi

Em search google mỏi mắt mà ko thấy link down an toàn.
Bác cho em cái toạ độ download được ko ạ smilie

Tình hình là up shell lên được 1 site, /etc/passwd ra hết các user có dạng như
Code:

stmcrcom:x:1088:1088::/home4/stmcrcom:/bin/noshell:
hydroxyc:x:1089:1089::/home5/hydroxyc:/bin/noshell:
joshbogd:x:1090:1090::/home5/joshbogd:/bin/noshell:
bookspot:x:1091:1091::/home5/bookspot:/bin/noshell:
canwehel:x:1092:1092::/home5/canwehel:/bin/noshell:
libbyfra:x:1093:1093::/home5/libbyfra:/bin/noshell:
ssgarden:x:1095:1095::/home5/ssgarden:/bin/noshell:
prosped5:x:1096:1096::/home5/prosped5:/bin/noshell:
musecolo:x:1097:1097::/home5/musecolo:/bin/noshell:
headligh:x:1099:1099::/home5/headligh:/bin/noshell:
howtodo1:x:1100:1100::/home5/howtodo1:/bin/noshell:
cloverl1:x:1101:1101::/home5/cloverl1:/bin/noshell:
coveredw:x:1102:1102::/home5/coveredw:/bin/bash:
hakingco:x:1103:1103::/home5/hakingco:/bin/bash:
jimhashi:x:1104:1104::/home5/jimhashi:/bin/noshell:
anchieta:x:1105:1105::/home5/anchieta:/bin/noshell:
fightba2:x:1108:1108::/home5/fightba2:/bin/noshell:
mumloved:x:1109:1109::/home5/mumloved:/bin/noshell:
brennanp:x:1110:1110::/home5/brennanp:/bin/noshell:
sungreen:x:1111:1111::/home6/sungreen:/bin/noshell:
caitiema:x:1112:1112::/home6/caitiema:/bin/noshell:
abarchit:x:1113:1113::/home6/abarchit:/bin/noshell:
menoflei:x:1114:1114::/home6/menoflei:/bin/noshell:
webtetco:x:1115:1115::/home6/webtetco:/bin/bash:
landsbur:x:1116:1116::/home6/landsbur:/bin/bash:
myrevome:x:1118:1118::/home6/myrevome:/bin/noshell:
friened9:x:1119:1119::/home6/friened9:/bin/noshell:

Thư mục làm việc
/home5/hydroxyc/public_html
muốn local qua
/home5/joshbogd/public_html

nhưng

Can't open folder (/home5/joshbogd/public_html)!

Câu hỏi đặt ra!
Tại sao lại như vậy? Làm thế nào để có thể local?

P/S: Thông tin server
Là một server chạy plesk (Asp, dot net, PHP)

26-02-2010 09:43:13 [ The main survey ] [ SQL ] [ phpinfo ] [ php.ini ] [ cpu ] [ mem ] [ users ] [ tmp ] [ delete ]
safe_mode: OFF PHP version: 5.2.11 curl: ON MYSQL: ON MSSQL: OFF PostgreSQL: ON Oracle: OFF
Disable functions: NONE
HDD Free : 98.09 GB HDD Total : 293.34 GB
Register globals: OFF open_basedir: OFF

* Đã thông báo cho chủ website và họ Share cho mình cái code nhờ vá lỗi, vá lỗi đã xong như cái này đúng là chưa gặp bao giờ, cũng nhau thảo luận nhỉ?

cho đến tận bây giờ vẫn chưa ai biết bug nó như thế nào!

có check được invisible đâu bạn smilie

em đã upload shell lên sever của em, nhưng mà có những site như
abc.com
xyz.om
nhưng abc.com khi user trong sever /home/???/pubplic_html
Câu hỏi:
làm thế nào để biết user trên sever?
Em dùng shell C99 #16 khổ cái cứ truy cập vào là nó treo cpanel nó lock IP luôn!
up con R57 rồi, ai biết chỉ em với

là jpg,zip,rar thì đọc thế quái nào được? ví dụ http://victim.com/shell.jpg <~~ ra trang trắng póc vì nó đọc là JPG chứ có phải php quái đâu nhỉ smilie

ok! Mình hiểu rồi, google làm gì smilie

Ngay trong HVA cũng có, mỗi tội chả biết dùng kiểu gì ko được, cái Burp Suite ý, ai biết chỉ mình nha smilie

dangminh4 wrote:

Cho mình hỏi muốn để burp suite bên dưới trình duyệt FF có chũ P on/off giống của seamoun thì làm thế nào vậy

EM cũng muốn hỏi! Ai làm được giải thích dùm với smilie

nếu như đã có quyền admin của một site mà chỗ upload nó gắn script hạn chế định dạng! Ko cho upload shell như .php chỉ cho upload .jpg thì phải làm sao?