Toata comunitatea RST iubeste la nebunie CAnCAn.ro datorita faptului ca fura tot ce prind pe internet si nici macar nu dau sursele. Dupa ce au fost apostrofati de doua ori in aceeasi zi (1, 2), tot nu au avut bunul simt sa isi modifice stilul de a fura/lucra asa ca, cel putin in cazul lor, comunitatea de hacking din Romania nu va tine cont de bun simt.

Superfete.cancan.ro, sau superfete.feel.ro, e inca un jeg de site total inutil la fel ca orice isi leaga numele de publicatia CAnCAn, iar pe langa faptul ca e o prostie facuta pentru toti analfabetii mai e scris si cu picioarele. Doreste cineva sa le vada setarile MySql? User, parola, tot tacamul? Poftiti va rog:

http://pastebin.com/xH19ijpq

Nu este foarte greu sa creeati respectiva eroare. Doar adaugati un apostrof in campurile username/parola si veti ajunge pe pagina http://superfete.feel.ro/Validate/, loc in care veti gasi afisate toate datele necesare.

Nici nu am incercat sa fac mai mult de atat. Probabil se vor distra altii. Have fun.

L.E. – http://superfete.feel.ro/admin/admin.php?page=statice – nu exista parola pentru accesarea contului de administrare asa ca puteti modifica cat vreti. E la liber. Faceti ce vreti.

L.L.E. – baza de date a celor doua site-uri este comuna. Paginile statice sunt puse separat pe cancan.

Odata cu schimbarea anotimpului apar si chestiile interesante in domeniul hacking. Cum frigul ne tine mai mult in casa, iata ca vin si demonstratiile de forta ce de multe ori sunt destul de amuzante.

Astazi cotidianul.ro a fost spart datorita unei vulnerabilitati Sql Injection ce le-a permis atacatorilor sa modifice continutul unei pagini in ceea ce puteti vedea in imaginea mai jos (NSFW).
Read the rest of this entry»

Articol preluat cuvant cu cuvant de la adresa http://rstcenter.com/forum/24854-video-virus.rst
Autor: B7ackAnge7z

Prefață:
Acest articol trebuia să apară pe RST la începutul lunii aprilie, dar cu părere de rău, tot nu găseam timp să-l scriu, iar la un moment dat am crezut ca nici nu mai are rost să o fac. Însă astăzi, observând că eroarea găsită de mine încă e valabilă, am decis ca să public articolul, sperând ca mulți dintre cei care-l vor citi, să găsească ceva interesant, nou, neobișnuit… Mai întâi de toate, vreau să precizez, că articolul a fost scris în limba rusă și publicat pe un site rusesc pe data de 1 aprilie, dar necătînd la faptul că au trecut deja câteva luni, eroarea persistă.

Amintiri:
Totul a început la sfârșitul lunii martie, după ce am citit un post, în care autorul spunea, că dorind să privească una din seriile sitcom-ului american ”The Big Bang Theory”, a descărcat un fișier WMV, și dat fiind faptul ca Light Alloy nu putea reda filmulețul, a încercat să-l deschidă în Windows Media Player, care, l-a rândul lui avea nevoie de o oarecare ”licență”. A acceptat, și… norocul lui a fost, că antivirusul instalat, era unul dintre cele 3 sau 4 programe care putea detecta acel fișier ca fiind un Rootkit TDSS.

Ok. Autorul a avertizat cititorii, într-un comentariu a lăsat link-ul de unde a descărcat fișierul, și, practic au uitat toți de acea întâmplare. Eu însă, citind acel post, mi-am adus aminte de un caz similar, când într-o bună zi, deschizând un fișier de tip MP3, în loc să înceapă redarea fișierului, s-a deschis o pagină WEB pe care o vedeam pentru prima dată. Cel mai interesant este, că pagina a fost deschisă în Internet Explorer (necătînd la faptul ca nu era setat ca browser implicit), și autorul acelei ”compoziții” cu ușurință putea să insereze pe pagină un exploit special pentru IE.

Sincer, în acel moment nu mă gândeam la o pagină exploit-uri, și în loc sa analizez fișierul, pur și simplu l-am șters, iar unicul lucră la care mă gândeam, era că cineva își promovează site-ul într-un mod extrem de original. Au trecut deja câțiva ani de atunci, dar astfel de cazuri nu am mai întâlnit. Iată de ce, citind acel avertisment despre fișierul WMV si Rootkit-ul TDSS, am decis ca măcar de data asta să nu ratez șansa de a afla cît de sigure sunt cele mai inofensive și cele mai răspândite fișiere din lumea virtuală.

Fișierul video:
Așa cum am mai spus, autorul postului a lăsat adresa de unde puteam descărca acel fișier video, un .torrent, care împreună cu mine, era descărcat și de alți ~15 utilizatori, cărora, la sigur nici nu le trecea prin gând ce lecție de securitate îi așteaptă…

Eu însă, după ce am descărcat fișierul, știind ca nici un alt media-player nu-l poate reda, l-am deschis în Windows Media Player, iar primul lucru pe care l-am văzut, a fost mesajul «Download media usage rights»

După aceea, a apărut un mesaj mult mai convingător, propunându-mi să descarc un oarecare fișier de tip ”License-Installer” , care printre altele, a fost deja verificat de un program Antivirus:

Privind cu atenție mesajul, am apăsat pe butonul «Download Now», și în așteptarea vreo unei reacții din partea programului Antivirus, am văzut un mesaj ”des întâlnit”, care se oferea să descarce fișierul Setup.exe, de pe serverul license.compress.to:

Și iată în acest moment, a apărut prima întrebare, dacă primul mesaj spunea că fișierul se descarcă de pe serverul free-license.imgpop.com, atunci de ce fișierul se afla pe serverul license.compress.to? Pentru a găsi răspuns la această întrebare, am analizat ambele site-uri, dar, așa și cum era de așteptat, nu am găsit nimic interesant.

Protecția DRM:
Următorul pas pe care l-am făcut, a fost deschiderea fișierului de 150 MB, într-un HEX-redactor, dar nici nu mă așteptam ca va fi atât de simplu. În primele rânduri am găsit următorul text:

Am deschis pagina http://free-license.imgpop.com/venuf.php?id=Movie_0001.wmv, care automat m-a redirecționat (HTTP/1.1 302) spre pagina http://free-license.imgpop.com/venuf/index.htm, unde, am văzut o imagine cunoscută deja, doar că era ”puțin” mai mare, și plus la aceasta… era o pagină WEB:

Apoi, dorind să experimentez puțin, am încercat să editez adresa URL din fișier, dar — fără succes, căci, nici WMP nu mai dorea să deschidă fișierul video. Așa că, ”l-am întrebat” pe Google, dacă nu știe ce reprezintă această linie de cod: [I]WRMHEADER version=’2.0.0.0′[/I], care pe lângă multe altele, am găsit-o cu ajutorului HEX-redactorului:

Răspunsul de la Google, a fost scurt și clar ca lumina zilei — aveam de-a face cu Protecția DRM a fișierelor video. Astfel, mi-am dat seama că cu ajutorul unor metode legale și destul de convingătoare, un atacator poate răspândi cu succes fișiere malware fără teama de a da greș: deoarece, în primul rând nici un program Antivirus nu v-a detecta malware-ul, iar în al doilea rând, majoritatea utilizatorilor au încredere in programele Microsoft și cu siguranță vor rula astfel de fișiere.

Plus la aceasta, Windows Media Player nu este singurul player care poate reda fișiere protejate cu ajutorul DRM. Nu am găsit lista tuturor programelor care pot reda astfel de fișiere, însă știu cu exactitate că Nero ShowTime suportă DRM, doar că spre deosebire de WMP, e mai prudent,si preîntâmpină utilizatorul despre pericol (problema totuși, persistă, dacă se acceptă, pagina v-a fi deschisă în IE și nu se v-a ține cont de faptul, că alt browser e setat ca implicit):

Trebuie de remarcat faptul, ca dacă se schimbă extensia fișierului din .wma în .asf sau .wma, nimic nu se schimbă, fișierul în continuare e redat cu succes, și ce e cel mai periculos, este că în majoritatea cazurilor, fișierele .wma, vor fi automat deschise în WMP. Și apropo, am uitat să spun, după ce am deschis fișierul în HEX-redactor, am eliminat octeții ”inutili” — și am obținut un fișier ce avea mărimea egală cu 5.31KB.

Internet Explorer:
Probabil mulți cred că: «Nu există nici un pericol! Pur și simplu nu o să descarc nici o licență! Și apoi, ce legătură există între Internet Explorer, Windows Media Player și fișierele WMV?». La început, și eu credeam la fel, doar este butonul «Cancel» cu care poți anula descărcarea fișierului. Dar, cum acuși o să vă dați seama, acest buton nu va salva pe nimeni dacă fișierul a fost deschis în WMP. Cât despre IE — e o aplicație software, cu ajutorul căreia se poate de navigat pe internet…

Am găsit informație precum că Protecția DRM poate fi compromisă, însă eu nu am făcut acest lucru. În primul rând nu eram sigur că o să pot modifica adresa URL, iar în al doilea — am ales o cale mult mai ușoară: în fișierul hosts din folder-ul \Windows\System32\drivers\etc\, am adăugat următoarea linie: 127.0.0.1 free-license.imgpop.com