Windows'tan NT'ye Saldırı

Konu: Windows'tan NT'ye Saldırı Ptsi Ocak 12, 2009 7:27 pm

Windows'tan NT'ye Saldırı

Önceklikle herkese konumuza başlamadan önce biraz bilgi vermek istiyorum;

-Her sistemin bir açığı vardır.
-Hiç ummadığınız sistemlerde bile(http://www.microsoft.com) çok büyük açıklar
olabilir.
-Hangi sisteme saldıracaksanız o sistemi tercih edin(WinNt'ye
saldıracaksanız WinNt kullanın)
-Eğer yeni bir açık bulmak istiyorsanız önce bu açığı kendi bilgisayarınızda
deneyin.

--Saldırı-1
Öncelikle bir Nt server'a saldıracağız.Bunun için WinNt kullanmanmamız en
doğru olanı ama saldıracağımız
sistemde Windows olduğu için bu seferlik sorun yok.Ayrıca aşağıda
anlatacağım yöntem Microsoft.com
hacklendiği yöntemdir ve Rain Forest Puppy tarafından bulunmuştur.
Bu işlere başlamadan önce bir kaç alet edavat lazım;

-Cgi-Hole-Vulnerability Scanner(whisker tercih edilir.)
-Perl derleyicisi(scanner ve exploit için,Active Perl tercih edilir.)
-RDS exploiti(sadece bu konu için gerekli)
-Internet Explorer 5.x
-Ip Spoofer

IP Spoofer;*********.org,Whisker'ı ve RDS exploitini burdan alabilirsiniz.
Şimdi yapacaklarımızı özetleyelim.Bağlantı kurduktan sonra aldığımız ip
spoofer ile ip'mizi gizliyoruz.Daha sonra
bir kurban belirleyip bunu Cgi Scannerla tarıyoruz.Açığımızı bulduktan sonra
RDS exploitimizi çalıştırıyoruz ve siteyi
hacklemiş oluyoruz.

1-www.activeperl.com adresinden Active Perl'ü download ediyoruz.Bunun nedeni
alacağımız Cgi scanner ve exploit
perl dilinde yazılmış bu yüzden onları derleyeceğiz.

2-Aldığımız ip spoofer ile ip'mizi gizliyoruz ip gizlemenin bir çok yolu
vardır sizde bu yolları biliyorsanız uygulayabilirsiniz.
Bu iş için Wingate scannerla wingate hostları bulup onları
kullanabilirsiniz.Sanırım bazı web sayfalarıda bu işi yapıyor.
Ama bu işin en kolay yolu bir spoofer programı alıp onu kullanmaktır.Hangi
programı aldığınızı bilmiyorum o yüzden
anlatamıyorum ama bu tür programların kullanımı çok zor değildir.Ip'imizi
saklamamızın nedeni sisteme girdikten
sonra iz bırakmamak.Allah korusun herşey olabilir.

3-Ip'mizi gizledik sayıyoruz ve 3. adıma geçiyoruz.Buraya tıklayarak açılan
penceredeki tüm yazıları kopyalayın
daha sonra not defterini açın,oraya yapıştırın.Dosya'dan Farklı kaydedi
seçip açılan pencerede tüm dosyaları seçiyor
ve whisker.pl diye daha önceden yüklediğimiz ve c:\Perl\Bin dizinine
kaydediyoruz.Daha sonra Dos komut sistemini
açıyoruz ve
c:\Windows>cd..
c:\Windows>cd perl
c:\Windows>cd bin
sırasıyla bu komutları giriyoruz.Sonra daha önceden belirlediğimiz kurban
sayfamızı bu şekilde açıklara karşı tarıyoruz.
c:\Perl\Bin>perl whisker.pl -h http://www.kurbansayfa.com yazıyoruz ve enterlıyoruz
bir süre sonra
Hostname:kurbansayfa.com
Server:IIS 4.0
gibi bir şey çıkacaktır.Burada önemli olan ilk şey Server:sonra gelen kısmın
microsoft server'ı olması yani IIS'in(Internet Information Server)
olması.Eğer server buysa şanslıyız ilk olanak tutuyor.2. olanağımız ise
server'ın adminleri tarafından bu açığın kapatılmamasıdır.
Scanner'ımız taramayı bitirdi sayıyorum ve şöyle bir mesaj alıyorum;
+200 GET /whisker.ida
+200 GET /whisker.idq
+200 GET /scripts/tools/newdns.exe
+200 GET /msadc/msadcs.dll

bunlar sitede bulunan açıkları fakat her açıktan sisteme root
sağlıyamayız.Burada bizim için önemli olan açıklar;
/whisker.ida
/whisker.idq
Bunların ikiside aynı işe yarar amaçları server böyle bir komut göndererek
server'a hata mesajı verdirmesidir.
örneğin
kurban sayfamızın adresini explorer'a girdikten sonra /whisker.ida yada
/whisker.idq yazarsak ki bu whisker
yazılarının hiçbir önemi yok siz istediğiniz gibi birşey yazabilirsnizi.Bu
durumda server'ın bize mesaj şöyle olacaktır.
ERROR IDC FILE NOT FOUND ON:c:\Inetpub\wwwroot\
bu mesaj bize şunu gösterecektir.Bu server'da internette bizim gördüğümüz
sayfaların tümü c:\Inetpub\wwwroot
dizininde bulunuyor.

4-Dördüncü ve son aşamada exploitimizi kullanıcaz.Öncelikle exploitimizi
buraya tıklayarak alıyoruz ve tıpkı yukarıda yaptığımız
gibi not defterini açıp yapıştırıyoruz farklı kaydette msadc2.pl ismiyle
c:\Perl\bin dizinine kaydediyoruz.
Sonra dos'u açıp

c:\Windows>cd..
c:\Windows>cd perl
c:\Windows>cd bin
sonra
c:\Perl\Bin>perl msadc2.pl -h http://www.kurbansayfa.com yazıyoruz o sisteme
bağlanırken sizde Explorer'a geçip
giriş sayfasının ne olduğunu öğreniyorsunuz bunun için
http://www.kurbansayfa.com/index.htm
http://www.kurbansayfa.com/index.html
http://www.kurbansayfa.com/index.asp
http://www.kurbansayfa.com/default.htm
http://www.kurbansayfa.com/default.html

adreslerini deneyin hangisi tutarsa onu aklınızda tutun ben index.htm
olduğunu varsayıyorum.
Tekrar Dos penceremize geri dönüyoruz ve kaşımızda şöyle bir şey görüyoruz
RDS c\
buradan WinNt'de Dos komut sistemine erişim sağladığımızı anlıyoruz.Ve
Ms-Dos'ta Windows'ta windows'ta yapılan
birçok işlemin yapabileceğini biliyoruz(silme,dizin oluşturma,kopyalama...)
RDS c\echo Hacked By bLaCk> c:\Inetpub\wwwroot\index.htm
yazıyoruz bunun açıklaması şudur.
echo:bir dos komutudur komut sisteminde şöyle yazarsanız
echo Selam
bu komut ekrana Selam yazısını basacaktır.Bu komut metin tabanlı bir dosyada
uygulandığında(txt,html,asp..)
o dosyanın tüm içeriğini silip bizim yazdığımız yazıyı yazacaktır.
Hacked By bLaCk:Bu yazı internet sayfası açıldığında ekranda yazacak
yazıdır ve imzadır buraya
istediğinizi yazabilirsiniz yanlız dikkat edin türkçe kelimeler
kullanmayın(ç,ş,ü,ı..)
c:\Inetpub\wwwroot\:bu adresin sonunda whisker.ida yazdığımızda server'ın
bize verdiği dizin dosyalar bu dizinde
tutuluyor siz whisker.ida yazdığınızda başka bir şey çıkmışsa onu
yazın(d:\web\)
Yanlız unutmayın echo Hacked By bLaCk> buradaki > işareti önemli
yazacağınız yazdıktan sonra hiç
ara vermeden onu koyun bu dizin adresine geçildiğini belirtir.
index.htm:sitenin giriş sayfası yani http://www.kurbansayfa.com adresi girildiğinde
çıkacak olan sayfa bunu az önce
yukarıda bulmuştuk.
evet
RDS c\echo Hacked By bLaCk> c:\Inetpub\wwwroot\index.htm
enterladıktan sonra gerisi exploite kalmış bundan sonra Success mesajını
bekliyeceğiz.
Enterladıktan sonra exploitimiz karşı server'da exploitin kullanacağı
dosyayı arıyor bunu her sürücüde tarıyor
bulamazsa kendi oluşturmaya çalışıyor oluşturamazsa server'da exploitin
çalışması için gerekli başka dosyalar arıyor
ve sonunda
Success!
mesajını alıyoruz.adres çubuğuna http://www.kurbanserver.com yazıyoruz ve
karşımızda
Hacked By bLaCk yazısı çıkıyor.
Bu exploitimiz çok amaçlı aslında bu exploitin özelliği değil.Karşı
server'da Dos komutuna bu exploitle geçtikten sonra
gerisi bizim hayal gücümüze ve Dos bilgimize kalmış bu yöntemle sistemde
dosyalar silebilir,dosyaların yerlerini değiştirebilirsiniz.....