[DZ BLOG DAY]

Unpacking UPX 0.89.6

En surfant je suis tombé sur un post illussidant la méthode a utilisé pour pouvoir unpacké les logiciel compréssé avec UPX


Unpacking UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo

la méthode déjà exposé est plus au moin une méthode manuel "d'ou tts le plaisir du reversing :p ) Dans ce poste je voudrai exposer une méthode plus rapide et moin pénible ..Let's G0

Sénario:

Un logiciel nommé "crkme1.exe" qu'on veut cracké

on commence par analysé le soft avec PeiDE






















on remarque qu'il est packeté par UPX 0.86.6


Pour pouvoir l'unpacké commençant par télécharger UPX

Telechargé

apré avoir téléchargé et dezipé l'archive mettez le logiciel a unpacker "crkme1.exe" dans le même dossier que UPX

Ouvrez une fenêtre MsDos et aller dans le répertoire ou se trouve UPX et crkme1.exe

Exemple:
cd c:\Documents and Settings\Administrateur\Bureau\upx307w\upx307w

en suit exécuté la commande suivante :

upx.exe -d crkme1.exe

a présent si on vérifie le crkme1.exe on constate qu'il y'a plus de protection
l'adresse Entrypoint a changer
EP Section afiche .txt au lieu de UPX1
.

Le Forum Algérien de la sécurité informatique

Enfin un forum Algérien dédier a l'informatique sous tous ses aspect: programmation, sécurité, news... etc

Lien: www.dz-board.com

Reverse Code Engineering websites

Une liste de sites web traitant du Reverse-Code-Engineering  (Retro-ingenierie)

Merci a Chevr0sky d'avoir réunit tous ces liens, (j'ai fais du copier coller)

adresse original su sujet : 

http://www.forumdz.com/showthread.php?27302-Liens

 Liens: 

 

http://www.tuts4you.com/ 

http://arteam.accessroot.com/ 

http://ap0x.jezgra.net/ 

http://community.reverse-engineering.net/ 

http://www.reversing.be/ 

ttp://www.woodmann.com/ 

http://crackmes.de/ 

http://www.reteam.org/ 

http://www.jbfonline.net/ 

http://cracklab.ru/  

http://wasm.ru/ 

http://www.dotfix.net/ 

http://pediy.com/  

http://unpack.cn/  

http://blog.threatexpert.com/ 

http://eeyeresearch.typepad.com/ 

http://souriz.wordpress.com/ 

http://reversengineering.wordpress.com/ 

http://azmoaore.wordpress.com/ 

http://evilcodecave.wordpress.com/ 

http://www.nynaeve.net/ 

http://www.hexblog.com/ 

http://sunbeam.bubble.ro/ 

http://kioresk.wordpress.com/ 

http://malwareanalysis.com/Communit...er/default.aspx 

http://old.idapalace.net/ 

http://www.ollydbg.de/ 

http://immunityinc.com/ 

http://forum.immunityinc.com/ 

http://memoryhacking.com/ 

http://www.peid.info/ 

http://navig8.to/diablo2oo2 

http://portal.b-at-s.info/news.php 

http://rozinov.sfs.poly.edu/ 

http://www.reconstructer.org/main.html 

http://deroko.phearless.org/ 

http://forum.virustech.org/ 

http://vx.netlux.org/ 

http://ntcore.com 

http://www.cryptocracking.cjb.net

http://www.debuginfo.com/
http://estetatet.narod.ru/
http://ahteam.org/
http://reversing.kulichki.com/
http://forum.astalavista.ms/
http://www.insidepro.com/kk/019/019r.shtml
http://jdxz.net/default.html
http://immunityinc.com
http://forum.virustech.org
http://blog.csdn.net/linhanshi/archive/2006/06.aspx
http://rudy.mif.pg.gda.pl/~bogdro/inne/
http://www.openrce.org/articles/
http://unpack.cn
http://blog.csdn.net/linhanshi/archive/2006/06.aspx
http://forum.virustech.org
http://unpacking.narod.ru/unpackers.html
http://reversengineering.wordpress.com/
http://sunbeam.bubble.ro/
http://kioresk.wordpress.com/
http://malwareanalysis.com/Community...r/default.aspx
http://blog.threatexpert.com/
http://ntcore.com/
http://portal.b-at-s.info/
http://forum.astalavista.ms
http://eeyeresearch.typepad.com/http://ref.x86asm.net/
http://gmax-blog.blogspot.com/
http://spiritst.narod.ru/Links.html
http://reversengineering.wordpress.com
http://assembly.ifrance.com/
http://asm.developpez.com/cours/ 

Reversing Engineering pour les arabophones, documentation et outils par excellence!

http://www.aoreteam.com/
http://www.at4re.com/ 


Linux

http://www.woodmann.com/collaborativ...Category:Linux
http://www.reverse-engineering.net/v...de267ed185a9b1

Shodan, le moteur de recherche des éléments potentiellement exploitables

Google est parfait pour trouver des sites web mais si on veut
effectuer plus qu'une simple recherche de site ...
une recherche plus précise et plus pointu
tq "cherche les machine utilisant apache"
ou bien "chercher les compte ftp qui accepte le login anonyme"
on peut utilise les google dorks mais on est rapidement confronté a un message disant qu'Il semble que votre ordinateur ou votre réseau envoie des requêtes automatiques" (cliquez pour agrandir l'image)

donc il faut voir ailleurs
et c'est la que SHODAN intervient :D

c'est quoi shodan ?

shodan est un moteur de recherche qui permet de trouver une varieté de serveurs,des périphériques (imprimantes) ,des routeurs, ou dreambox et bien d'autre
le principe c'est  d’inspecté les baniers, ( metadata )

que les serveurs renvoient au clients
et de sa il récupér les informations qui peuvent nous être utiles

comme avec les google dorks on peut effectuer une recherche en combinant le nom d'une application avec le numéro de sa version et de cette manier
Il nous est possible de récupère par exemple :

l'ensemble des adresses IP relatives aux serveurs avec des versions vulnérables du protocole SSH . ou les versions faillibles de VNC
Shodan référence par ailleurs un grand nombre d'interfaces HTTP autorisant l'accès à des périphériques de type Webcams, matériels/routeurs Cisco ADSL

Quelques filtres utilisable avec shodan

os: permet de limité les recherche au système d'exploitation détermine

exemple : iis server sur windows 2003

       microsoft-iis os:"windows 2003"

port: permet d’effectuer une recherche d'un service spécifique, les valeurs possible sont 80,21,22,23 et 80

exemple: chercher les banier FTP pout ProFTPd 

              proftpd port:21

country: permet d’effectuer des recherche par paye

exemple:chercher les machine utilisant apache en galerie

             apache country:DZ

NB: pour utiliser les filtres il faut s'enregistrer

site web: http://www.shodanhq.com
Documentation: http://www.shodanhq.com/help

Outils Back|Track & Ubuntu 10.04

BackTrack est une distribution Linux,  qui a comme objectif fournir une distribution regroupant l'ensemble des outils nécessaires aux tests de sécurité d'un réseau.

La dernier version de BackTrack est la version 4 , elle est baser sur Ubuntu contrairement au 3 versions précédente baser sur Slackware

étant donné que la version 4 est baser sur Ubuntu on peut utilisé les puissants logiciels de BackTrak sur Ubuntu, pour cela on doit suivre ces étapes :

1~ On commence par récupéré la signature numérique:

# wget -q http://archive.offensive-security.com/backtrack.gpg -O-| sudo apt-key add -ok-

2~ On ajoute l'adresse du dépôt dans la liste des sources 

# sudo echo "deb http://archive.offensive-security.com pwnsauce main microverse macroverse restricted universe multiverse" > /etc/apt/sources.list

3~ Pour finir on met a jours la liste des paquets

# apt-get update

4~ Maintenant en utilisant le gestionnaire de paquets Synaptic

(Systéme=>Administration=>Gestionair de paquets synaptique)
vous remarquez que vous avez  les applications Backtrack il ne vous reste qu'a télécharger ce dont vous avez besoin

Nmap & Tor

on vas parler de l'utilisation de Nmap et de Tor et sur comment combiner les performances du premier a l'anonymat du deuxième sur Linux..

Bon, une petit présentation pour les néophyte ;)

Tor (littéralement : le routage en oignon) est un réseau mondial décentralisé de routeurs, organisés en couches,(nœuds ) dont la tâche est de transmettre de manière anonyme des paquets TCP. C’est ainsi que tout échange Internet basé sur TCP peut être rendu anonyme en utilisant Tor.

il est disponible pour Windows, Linux et Mac

+ site officiel: http://www.torproject.org

Nmap est un scanner de ports open source créé par Fyodor et distribué par Insecure.org ,Il est conçu pour détecter les ports ouverts, identifier les services hébergés et obtenir des informations sur le système d'exploitation d'un ordinateur distant. Il est disponible sous Windows, Mac OS X, Linux, BSD et Solaris..

+site officiel http://www.Insecure.org

Notre objectif est de scanner notre serveur avec Nmap sans laisser de traces (adresse ip) sur les fichiers logs de la machine distante (serveur) pour cela on vas faire passer les connections effectuer par Nmap par le réseau Tor,en utilisant l’outil Proxychains.

il faut noter que Tor ne fait passer que les connections TCP autrement dit on ne peut rendre anonyme que ce protocole ce qui limite notre champs d'action avec Nmap (on ne peut pas effectuer une reconnaissance UDP ou ICMP par exemple).

+Il faut commencer par 

1- installer TOR : http://www.torproject.org/documentation.html.fr

2- installer Nmap : http://nmap.org/download.html

3- installer Proxychains: http://proxychains.sourceforge.net/

 [ Proxychains est configuré par défaut pour faire passer les connections a travers le réseau TOR ]

et pour pour effectuer le scan :

proxychains nmap -PN -sT -sV -n -p 80,21,146,111 64.233.181.191

quelques explications s'impose :p

 avec Nmap on a utiliser -PN pour ne pas envoyer de pings au serveur (Non prise en charge du protocole ICMP par Tor)

-sT : pour un scan en mode TCP connect()

-sV :détection de version

-n : ne pas effectuer de résolution DNS

-p : les ports distant a scanner

et pour finir l'adresse ip du serveur a scanner

au final on obtiens ce résultat 

ProxyChains-3.1 (http://proxychains.sf.net)
Starting Nmap 5.21 ( http://nmap.org ) at 2010-06-26 21:33 CET
|S-chain|-<>-127.0.0.1:9050-<><>-64.233.181.191:21-<--timeout
|S-chain|-<>-127.0.0.1:9050-<><>-64.233.181.191:80-<><>-OK
|S-chain|-<>-127.0.0.1:9050-<><>-64.233.181.191:111-<--timeout
|S-chain|-<>-127.0.0.1:9050-<><>-64.233.181.191:146-<--timeout
Nmap scan report for 64.233.181.191
Host is up (14s latency).
PORT    STATE  SERVICE VERSION
21/tcp  closed ftp
80/tcp  open   http    Google httpd 2.0 (GFE)
111/tcp closed rpcbind
146/tcp closed iso-tp0
Service Info: OS: Linux
____


NB: il faut avoir une bonne connexion (car les timeout peuvent causé un résultat faux négatif)