HOME FORUMS MEMBERS RECENT POSTS LOG IN  
× Авторизация
Имя пользователя:
Пароль:
Нет аккаунта? Регистрация
Баннер 1   Баннер 2

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
Вернуться   Форум АНТИЧАТ > ИНФО > Статьи
Перезагрузить страницу Глумимся над µTorrent
   
Ответ
Страница 1 из 2 1 2 >
 
Опции темы Поиск в этой теме Опции просмотра

  #1  
Старый 10.12.2012, 18:18
VY_CMa
Постоянный
Регистрация: 06.01.2012
Сообщений: 913
Провел на форуме:
193811

Репутация: 724


По умолчанию
Начиная с 3-й ветки в µTorrent была добавлена назойливая реклама, которая мне совсем не нравится, и хотя её можно отключить, я решил немного поэксперементировать и посмотреть на это с другой стороны.

Инструментарий:

0) PeID для просмотра упаковщика файла.

1) OllyDbg (можно и без него).

2) Любой редактор позволяющий просматривать hex, я предпочитаю WinHEX.

3) Любой хостинг, включая бесплатные.

4) Анализатор трафика.

Первым делом нужно рассмотреть жертву. На помощь приходит PeID.

​

Как видно файл запакован распространенным пакером Upx, который можно распаковать любым анпакером, к примеру UpxUnpacker. Просто перетаскиваем наш файл в окно программы. Готово, бэкап файла создан, размер увеличился, файл запускается без ошибок.

​

Следующим шагом рассмотрим откуда µTorrent просит рекламу, для этого можно воспользоваться любым анализатором трафика, в данном случае заюзаю HTTP Analyzer.

После запуска анализатора и "подопытного" становится видно, что рекламу он тащит с адреса http://offers.bittorent.com/params...

​

Что ж, рассмотрим под отладчиком, может есть что в открытом виде...

​

Действительно адреса расположены в секции данных.

​

Скопировав последовательность байт адреса, идем в HEX редактор.

​

После поиска шестнадцатеричных значений видим такую картину:

​

И меняем байты адреса на свой, я буду использовать свой тестовый хост http://stackoff.ru/test.php

В результате получается:

​

Если ваш адрес длиннее, начального затираем остатки нулями до символа "j".

Пол дела сделано, теперь нужно подсунуть свои данные и рассмотреть что к чему.

Судя по данным анализатора, в результате обращения мюторрента к серверу рекламы, он ждёт данных в формате "json". Дадим их ему.

Примерная структура ответа такова:

PHP код:
[COLOR="#000000"][COLOR="#0000BB"][/COLOR][COLOR="#007700"]{[/COLOR][COLOR="#DD0000"]"ads"[/COLOR][COLOR="#007700"]:

 {

[/COLOR][COLOR="#DD0000"]"version"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"count"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"ad"[/COLOR][COLOR="#007700"]: [

 {

[/COLOR][COLOR="#DD0000"]"adunitid"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"adunitgroup"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"adid"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"type"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]"image"[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"html"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]""[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"is_fallback"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"creative"[/COLOR][COLOR="#007700"]:[

 {

[/COLOR][COLOR="#DD0000"]"width"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]"188"[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"height"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]"250"[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"alt"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]"{\"loc\":1,\"clickUrlType\":1}"[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"mime"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]"image/png"[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"media"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]"ссылка на изображение"[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"tracking"[/COLOR][COLOR="#007700"]:{

[/COLOR][COLOR="#DD0000"]"impression"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]""[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"inview"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]""[/COLOR][COLOR="#007700"],

[/COLOR][COLOR="#DD0000"]"click"[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#DD0000"]"адрес"

[/COLOR][COLOR="#007700"]}

 }

 ]

 }

 ]

 }

}

[/COLOR][/COLOR] 
Поэксперементировав, было выяснено, что данный набор необходим в полном составе, иначе парсер программы не может работать корректно.

За внешний вид рекламы отвечает секция "creative", в которую мы и подсунем свои данные.

Нам интересны: "type", "alt", "mime", "media" и "click".

Как можно понять "type" - тип, во всех запросах мне кроме "image" ничего не встречалось, но видимо можно работать с video и flash.

"alt" - довольно важный блок, в его состав входят "loc" - он отвечает за расположение блока рекламы, поддерживает два значения - это 1 и 0. 0 - означает верхний баннер, 1 - левый блок. Для наглядности: http://makescreen.ru/i/8445a558339ae...b03a2cde9d.jpg - 0, http://makescreen.ru/i/556484795be6e...60f4c5b608.jpg - 1.

"clickUrlType" - интересная опция, в случае, если выставлена единица, то при клике страница откроется прямо в окне µTorrent'а с использовнием штатных средств IE, в случае двойки - откровется в браузере установленном по умолчанию, у меня это Firefox.

"mime" - контент-тип.

"media" - адрес ресурса, в данном случае изображения.

"click" - адрес перехода по клику на баннер.

Вроде всё. Попробуем выдать результат. в файле test.php у меня такое содержание:

PHP код:
[COLOR="#000000"][COLOR="#0000BB"][/COLOR][COLOR="#007700"]

[/COLOR]{"ads":

 {

 "version": 1,

 "count": 1,

 "ad": [

 {

 "adunitid":0,

 "adunitgroup":0,

 "adid":0,

 "type":"image",

 "html":"",

 "is_fallback":0,

 "creative":[

 {

 "width":"188",

 "height":"250",

 "alt":"{\"loc\":1,\"clickUrlType\":1}",

 "mime":"image/png",

 "media": "http://stackoff.ru/images/VY_CMa.jpg",

 "tracking":{

 "impression":"",

 "inview":"",

 "click":"http://antichat.net/"

 }

 }

 ]

 }

 ]

 }

}

[/COLOR] 
Можно конечно генерировать содержание и выдавать, предварительно обработав результат в json_encode, но в данном случае для примера это голый html.

Результат нашей работы...



​

В случае если "clickUrlType" = 1, после клика на рекламу получим следующее:

​

Для чего это.

Проделав данную работу и пошевелив веществом в черепной коробке можно придумать массу способов для монетизации.

Первое что приходит в голову - это оплата за клики на различных партнерках, реклама своего продукта, либо оплата за показы, ну тут уже решает фантазия.

Раздав данный файл паре друзей можно собрать неплохое количество трафика, ведь кто сейчас не пользуется торрент-клиентами?

Автор не несет ответственность за действия граждан вставших на черный путь и использующих данный материал в корыстных целях, все вышеизложенное только для ознакомления.
 
Ответить с цитированием

  #2  
Старый 10.12.2012, 18:27
-=lebed=-
Флудер
Регистрация: 21.06.2006
Сообщений: 3,193
Провел на форуме:
12702287

Репутация: 4738


По умолчанию
Ждём статью как подменить оригинальный файл на оф. сайте своим.

P.S. Пара друзей как бы некатит.

P.P.S. Второй вариант: самообновление на модифицированный нами клиент. За статью +
 
Ответить с цитированием

  #3  
Старый 10.12.2012, 18:30
VY_CMa
Постоянный
Регистрация: 06.01.2012
Сообщений: 913
Провел на форуме:
193811

Репутация: 724


По умолчанию
Цитата:
Сообщение от -=lebed=-  
Ждём статью как подменить оригинальный файл на оф. сайте своим.
P.S. Пара друзей как бы некатит.
P.P.S. Второй вариант: самообновление на модифицированный нами клиент. За статью +
Оригинальный файл подменять не нужно, не берите на себя грех, довольно много товарищей качают uTorrent с левых варезников, а также с локальных ресурсов стоит только дать нужную рекламу.
 
Ответить с цитированием

  #4  
Старый 10.12.2012, 18:44
-=lebed=-
Флудер
Регистрация: 21.06.2006
Сообщений: 3,193
Провел на форуме:
12702287

Репутация: 4738


По умолчанию
Цитата:
Сообщение от VY_CMa  
Оригинальный файл подменять не нужно, не берите на себя грех, довольно много товарищей качают uTorrent с левых варезников, а также с локальных ресурсов стоит только дать нужную рекламу.
Клиент обновился и писец нашей рекламке

P.S. Поснифай тогда откуда обновляется и подсовывай свеженькую модифицированную версию.
 
Ответить с цитированием

  #5  
Старый 19.12.2012, 03:59
jyjy
Новичок
Регистрация: 24.11.2012
Сообщений: 4
Провел на форуме:
1491

Репутация: 0
По умолчанию
Вообще можно отключить обновления, они не нужны

В каждой новой версии ничего не менятеся только рекламу пихают

Старый был лучше и удобней

каким именно отладчиком пользовались?
 
Ответить с цитированием

  #6  
Старый 19.12.2012, 04:07
VY_CMa
Постоянный
Регистрация: 06.01.2012
Сообщений: 913
Провел на форуме:
193811

Репутация: 724


По умолчанию
Цитата:
Сообщение от -=lebed=-  
Клиент обновился и писец нашей рекламке
P.S. Поснифай тогда откуда обновляется и подсовывай свеженькую модифицированную версию.
Я не преследовал цели более глубокой модификации. Это лишь простой пример. Все адреса лежат в открытом виде и их модификация думаю не вызовет трудностей.

jyjy, отладчик указан в начале.

Инструментарий:

Цитата:
Сообщение от None  
0) PeID для просмотра упаковщика файла.
1) OllyDbg (можно и без него).
2) Любой редактор позволяющий просматривать hex, я предпочитаю WinHEX.
3) Любой хостинг, включая бесплатные.
4) Анализатор трафика.
 
Ответить с цитированием

  #7  
Старый 19.12.2012, 11:44
Sharp.Net
Познающий
Регистрация: 28.07.2012
Сообщений: 39
Провел на форуме:
7224

Репутация: 1
По умолчанию
Можно ещё в host заглушку поставить на ихние URL адреса с офферов, так удобней и проще, чтобы жертве пихнуть..
 
Ответить с цитированием

  #8  
Старый 19.12.2012, 12:43
tester_new
Постоянный
Регистрация: 12.02.2012
Сообщений: 300
Провел на форуме:
108975

Репутация: 24
По умолчанию
Молодец, интересно..
 
Ответить с цитированием

  #9  
Старый 19.12.2012, 13:08
VY_CMa
Постоянный
Регистрация: 06.01.2012
Сообщений: 913
Провел на форуме:
193811

Репутация: 724


По умолчанию
Цитата:
Сообщение от Sharp.Net  
Можно ещё в host заглушку поставить на ихние URL адреса с офферов, так удобней и проще, чтобы жертве пихнуть..
Мне кажется там кроются куда большие возможности, по ходу просмотра файла, пару раз обращал внимание на execute функцию, которая судя по всему дает возможность запуска сторонних программ, а это уже большая дыра.
 
Ответить с цитированием

  #10  
Старый 19.12.2012, 15:20
Sharp.Net
Познающий
Регистрация: 28.07.2012
Сообщений: 39
Провел на форуме:
7224

Репутация: 1
По умолчанию
Цитата:
Сообщение от VY_CMa  
Мне кажется там кроются куда большие возможности, по ходу просмотра файла, пару раз обращал внимание на execute функцию, которая судя по всему дает возможность запуска сторонних программ, а это уже большая дыра.
Это да
 
Ответить с цитированием
Ответ
Страница 1 из 2 1 2 >



« Предыдущая тема | Следующая тема »


Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT ™ © 2001- Antichat Kft.