Jugando con netcat

D4RIO · 20 Junio 2007, 17:23 PM

Creo que entrar a la config del firewall para hacerle tragar al netcat es innecesario, ya que se puede hacer con el mismo bat a través de net stop...y ponerte como excepcion te pones editando directamente el registro.

Obtener la IP de la persona lo podés hacer de una forma más simple, sin necesitar acudir a una web...AutoIt tiene varias formas de obtener la IP, a parte podés mandarte directamente a un txt la salida de ipconfig /all o cualquier otro método.

Y por último, ponerle otro nombre a netcat no te sirve en realidad de nada: Primero porque cualquier antivirus va a sacar el aviso de que ese archivo, sea cual sea el nombre que tenga, es un RiskWare identificado como NetCat, y ahi te lo delata, a demás si ponés una sintaxis tan obvia de netcat en una rama tan común del registro...mmm

La mejor es mandar un ejecutable que encripte el archivo donde están las órdenes para netcat...y al mismo tiempo usar una llamada más normal desde el registro, algo como Win32 que llame a C:\Windows\System32\WindowsRun.exe que es algo que cualquiera se traga. El netcat lo editas un poco para hacerlo indetectable, y por fin usas el ejecutable para que desencripte las ordenes unicamente al momento de usarlas, y así tu IP o DNS permanece siempre cifrado, ya que a menos que el usuario sepa decompilar el ejecutable que lo descifra jamas obtendrá la contraseña del cifrado...con eso y un clon de las ordenes por si te las borran estás bien hecho. A parte podrías hacer un clon del mismo netcat y mandarlo como dll a System32, haciendo que se confunda entre todos...

Otra cosita útil es cambiarles a todos los atributos para que aparezca como que son archivos que están desde hace rato en la máquina, así los buscadores como ComboFix que sacan en su informe un reporte de los últimos archivos creados, tampoco lo identificarían...eso siendo al extremo precabido XD

R41N-W4R3 · 20 Junio 2007, 17:43 PM

Con respecto al primer punto, no lo entiendo bien, asi que explicame a que te refieres.

Encuanto a lo de sacar la ip con ipconfig jajajajajaj eso te da la ip interna, osea del tipo 192.168.1...... y si pretendes conectarte desde fuera necesitas una ip externa del tipo 80.32.12..... lo que sea....... y yo mando directamente a un txt (en mi ejemplo el out.out) y todo generado con esa consulta a la web...... si sabes cualquier otro método tal y como indicas para conseguir la ip externa por favor indicamelo.

Lo de ponerle otro nombre al netcat, EVIDENTEMENTE no es para engañar al antivirus, es para que pase lo mas inadvertido posible si ves el taskmanager........

Encuanto a lo de cifrar mi ip, etc ... creo que no has leido muy mi post pq en ningun caso pongo mi ip, sino que lo envio a un ftp o web que he creado en un sitio gratis usando TOR para conseguir anonimicidad.

La idea de modificar netcat si es valida para hacerlo pasar mas inadvertido, aunke con la tecnica de ocultarlo con winrar muchos antivirus en modo de instalacion por defecto se lo tragan.

Un saludo y gracias por tus ideas... las comparta o no... que para eso es un foro , para aprender unos de otros.

pitufooo · 20 Junio 2007, 19:50 PM

hola

alguien seria tan amable de explicarme como hacer indetectable el netcat prara panda y norton ????
o pasarme un netcat indetectable para estos antivirus.

gracias

un saludo

DragonSpirits · 20 Junio 2007, 20:06 PM

Hi a todos , Gracias infinitas esto me servira para una venganza xDDD

carlipus · 20 Junio 2007, 22:46 PM

No deberías usar tus "conocimientos" para venganza, eso suele ser mas de lammers.

Saludos.

carlipus · 21 Junio 2007, 12:45 PM

Tengo un problema con el servidor de netcat, por muxo que se conecten las victima a mi conr everse shell...
mi desconexion cuando se cae ya no puedo volver a entrar por shell a mi victima hasta que no reinicia pc.
No puedo subirle archivos con el tftp, me dice tiempo de espera agotado
Y miro a ver si se le ha subido el archivo que le mandado y nada, se le subo un archivo que pone TFTP272 con 0 kilobytes, vamos que eso no es.

Algun solucion?

DragonSpirits · 21 Junio 2007, 14:21 PM

Cita de: carlipus en 20 Junio 2007, 22:46 PM
No deberías usar tus "conocimientos" para venganza, eso suele ser mas de lammers.

Saludos.

Jajajaja es verdad , pero no puedo recistir la tentacion xD , aparte esta bueno para aprender

pitufooo · 21 Junio 2007, 19:21 PM

hola

tengo acceso a un pc mediante poison 2.3.0 pero keria tener una shell por si acaso y por aprender.
He seguido el manual de la primera pagina, y he subido el carnada.exe con el poison, pero cuando le he dado para k s intalase, por medio de captura d pantallas del poison , he visto k le a saltado el panda diciendo k habia un virus, y luego a saltado una shell.

No s k he podido hacer mal o k puedo hacer para k el panda no m detecte.

luego he abbierto yo una shell y he puesto

nc -vv -L -p 80

y m sale esto

me podeis echar una manita por favor.

gracias

un saludo

D4RIO · 22 Junio 2007, 06:59 AM

Holass....primero, para R41N-W4R3:
Mi primer punto, usar los siguientes comandos desde un bat, o cualquier cosa que ejecute comandos en la consola de comandos de Windows, sea vbs, ejecutable, o lo que quieras:

net stop SharedAccess
net stop "Firewall de Windows/Conexión compartida a Internet (ICS)"
net stop "Windows Firewall/Internet Connection Sharing (ICS)"

Mediante esos nos aseguramos de detener el Firewall, y luego metemos en esta rama del registro lo que queremos que el firewall exceptúe:

reg add HKLM\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\Authorize

Ahora, ipconfig /all nos tira todas las configuraciónes de IP, y si la sabes buscar la pública está...yo me acabo de fijar en la mía y adiviná qué me encontré...

Lo de cifrar la IP o prefijo DNS es porque lo necesitarás mandar en la orden a netcat para una conexión inversa, o una pipeada, para hacerte de buenos recursos, la encriptas con RC4 con un buen pass a nivel 1 para que no haga alarde el trabajo del procesador y listo...era más un Tip, no tenía que ver en realidad con tu Rta...XD

Y respecto a lo de WinRar ¿Como lo haces pasar inadvertido? Cuando un autoextraible necesita ejecutar algo comprimido en su interior lo descomprime en una carpeta temporal, y ahi el antivirus salta, yo lo he intentado, pero no sale...el tema está en cambiarlo, y creo que ya dije que creo que es OpenSource por lo que buscan el SourceCode en la web, lo editan, recopilan y chauu....eso si, no anden distribuyendo esas ediciones porque en seguida se van a enterar los de las compañías antivirus...

Estuve viendo en la Ayuda de AutoIt que podés crear aplicaciónes de consola ahi, y tiene funciones de TCP y UDP así como varias para el manejo de Inet, así que vamos a ver que tanto jugo le podemos sacar...MuejejejejeXDXD

Ah, otra cosa!
A fijarse que nc -vv -L -p 80 solo pone el puerto 80 a la escucha muy atento y con Very Verbose, eso significa que no solo la victima sino cualquiera que se conecte por el 80 nos saldrá...a mí me salió el foro.elhacker, pero eso no significa que tengas la shell, ya que eso va en la conexión del otro lado, espero explicarme, byebye...

R41N-W4R3 · 22 Junio 2007, 09:57 AM

Ya entiendo lo de la primera parte. Es una buena solucion tambien, pero no creo q aporte mejoras a la mia, aunke me ha gustdo el apunte.

Encuanto a lo del ipconfig /all sigo sin ver mas que mascara de red, p interna y puerta de enlace (lo hago en xp), asi q dime como demonios ves la ip externa asi ejejjeje

Encuanto a la ocultación de netcat, solo funciona con la mayoria de antivirus en su instalacion por defecto. El unico modo que veo posible de realizar esa ocultación es o bien cambiando el fuente o tambien realizando una ocultación de ese fichero en una extension no escaneable por los antivir, habiendo previamente preparado el sistema para ser capaz de ejecutar esa nueva extension.
Gracias por el apunte del nc. No suelo poner todo el codigo o comandos q pegue correcto en el foro general, solo en privado para evitar mal uso de lamer.