Tenemos dos ordenatas y queremos que se comuniken entre ellos. ¿Qué necesitamos?. Pos hardware específico, sean tarjetas de red, sean modems. ¿Solo?. Pues no, necesitamos que, además de un medio físico que los enlace, algo para que se entiendan y pueda establecerse un tráfico de bits entre ellos. Esto lo logramos gracias a los protocolos. El padre de todos es el :
TCP/IP
El Internet Protocol (IP) es el que identifica a todos los pc's de una red con un número (dirección IP). Y lo que hace el Transmission Control Protocol (TCP) es dividir la información en paquetes, numerarlos y añadir un código para saber que la información no se ha corrompido por el camino al ser ensamblada en el receptor. Se numeran para poder reagruparlos en su "aspecto" original. Realmente existen más protocolos distintos a los anteriormente citados, como:
ICMP
(Internet
Control Message Protocol): sirve para proporcionarnos información sobre los
distintos errores que pueden surgir en una comunicación. NetBIOS (NetBios
Service Protocol): para poder usar los servicios de red.ctcp
(Client
To Client Protocol): para comunicar a clientes. IRCP (Internet Relay Chat
Protocol): para el IRC (hace falta decir algo más?). A la hora de comunicar
a dos pc's hace falta algo más a parte de todo esto. ¿El qué?. Pues un
puerto
al que poder dirigir los paquetes que se trasmiten.
Pues
eso, es como un "bugerin" por donde metemos los paquetes que van dirigidos
a un determinado servicio. Por ejemplo:
Un Browser que solicita una página
HTML lo hace al puerto 80
El Telnet accede al puerto 23. El FTP al 21. La
famosa NetBIOS lo hace al puerto 139. Un cliente de IRC abre en nuestro pc
un puerto por encima del 1024 por el cual se producirá el intercambio de
datos.
Sabiendo todo esto es lógico pensar que cualquier ataque tiene que
aprovechar
los defectos y las virtudes que ofrecen todas estas características de una
comunicación, así que a partir de aquí solo queda calentarse un poco la
cabeza
para poder aprovechar esto en nuestro beneficio (o en nuestro perjuicio)
Ataques
por ICMP La misión del ICMP es la de informar sobre los distintos errores
que se pueden producir en la conexión. El ataque consiste en hacer caer a
la victima haciendola creer que se ha producido en su conexión uno de los
siguientes errores:
Net Unreachable: código de error: 0. No se puede alcanzar la red. Host Unreachable: código de error: 1. No se puede alcanzar la dirección del host. Port Unreachable: código de error: 2. Igual que antes pero con el puerto. Fragmentation needed and DF set: código de error: 3. Indica una necesidad de fragmentación. Source route failed: código de error: 4. cuando se produce un fallo en la ruta de origen.
Para realizar el ataque se fabrica un
paquete
ICMP falseado y se envía al puerto que el cliente de IRC (el mIRC por
ejemplo)
abre en el ordenador de la víctima. Bueno, de momento vayamos por partes.
El atake se puede hacer de dos formas distintas:
Nuke por server: Los
paketes
ICMP son enviados al servidor IRC, engañandolo y haciendole creer que ha
habido
un error en una comunicación con el cliente. ¿Qué pasa entonces?, pos que
el server chapa la conexión que habia establecida con ese cliente.
Nuke por
cliente: Los paketes ICMP se envían directamente al cliente, haciendole
creer
que el servidor pasa olimpicamente de él y el mIRC (o el cliente que sea)
chapa la conexión. Encontes el server detecta este cierre por parte del
cliente
y tb cierra la conexión (antes no lo había hecho). No todo es tan bonito
como
parece, si haces un nuke por cliente este puede saber la IP del atakante,
y si lo haces por server será este el que sepa tu IP asin que preparate
para
un posible K/G-Line. Pero hay una cosa que se puede hacer: falsear la IP
origen
de los paketes ICMP. Lo chungo del caso es encontrar ese puerto que abre el
cliente de IRC en el PC de la víctima. Para encontrarlo se hace un barrido
de puertos, desde el 1025 hasta el 4000. Se empieza en el 1025 pq del 0 al
1024 están reservados. Para esto hay programitas muy chulos (como el
port-scan)
que te hacen la vida más facil. Un poco más facil es encontrar el puerto
del
servidor IRC de la víctima. Los típicos son 4400 al 4406, 6665 al 6669,
7000
y 7777. Estos son los típicos que suelen ser reconocidos y reflejados en el
MOTD (Message Of The Day, mensaje del día). Hay otros "privados" que se
suelen
usar para las conexiones entre los servidores de la red... pero esto es
otro
cantar... ¿Como detectarlo?. Chungo. Solo fijandose en la actividad del
modem.
Durante el barrido el modem parece que se haya hecho una raya de farla...
no deja de parpadear anormalmente. Cuando llega el pakete ICMP, nos
desconectamos
y se observa uno de los siguientes mensajes:
*** Persefone has quit IRC
(Read
error to Persefone[psi36.psico.uniovi.es]: Connection reset by peer) (te
juro
que yo no fui Perse!!!) *** KGB has quit IRC (Read error to
KGB[195.76.37.15]:EOF
from client) *** Kerberos has quit IRC (Read error to
Kerberos[eui015.eui.upv.es]:
Protocol not available) *** Redblind has quit IRC (Read error to
Redblind[info763.jet.es]:
Network is unreachable) *** Wyatt has quit IRC (Read error to
Wyatt[sppx05.sp.ehu.es]:
Machine is not on the network) *** Fer has quit IRC (Read error to
Fer[fil12.afi.upv.es]:
Connection refused) *** sony has quit IRC (Read error to
sony[pcwww10.inforg.uniovi.es]:
No route to host)
Pues con un cortafuegos, eso los filtrará... y si no tenemos .. pues usando puertos raros del server (distintos al 6667).
Ataques Winnuke OOB
Este es probablemente el ataque mas viejo y usado en el
IRC. Los datos OOB (Out Of Band) son datos más prioritarios que los
normales.
Se suelen usar para resaltar condiciones anormales. Pero gracias a un bug
de programación de los sicarios del capullo del señor Puertas los pc's bajo
Güidous petan cuando les llega este tipo de datos ya que el sistema se
desestabiliza
(aunque para mi que el w95 nacio inestable... pero en fins xD). El ataque se
realiza
enviando una cadena de datos del tipo OOB al puerto 139 (la NetBIOS). El
sistema
acepta con normalidad esta cadena, pero cuando comienza la rutina de
excepción
los servicios de red se van a tomar por culo y aparece la asquerosa ventana
de los pitufos (esto en w95), en w3.11 simplemente nos largan al DOS, y en
NT ocurre algo parecido a w95 pero volcando el contenido de toda la memoria
a un archivo temporal.. (y si consideramos que un sistemas con NT tiene
como
mínimo 32 megas de RAM... ya me dirás), para luego resetear el sistema. El
típico mensajín que se ve en estos casos es del tipo: *** Goku has quit IRC
(Ping timeout for Goku[clarisa.tech.arrakis.es]) (juro que yo tampoco
fui!!!
(aunque en este caso no me habría importado }:->
))
Te puedes bajar el parche de la web de microsoft (me niego a poner un link a la página de esos pringaos!), pero yo no te lo recomiendo... no suelen funcionar. También puedes hacer lo que hace todo el mundo, usease, quitar el problema de raiz, vamos mandar a tomar viento levantino al NetBIOS sobre TCP. Así el jodio puerto 139 dejará de dar por culo ya que los paketes dirigidos a él se perderán. Si tienes la suerte de que tu pc no forma parte de una red local esto es lo mejor que puedes hacer: renombrar el c:\windows\system\vnbt.386 a c:\windows\system\vnbt.bak y reiniciar... Si por una de aquellas tu pc forma parte de una red local pruebalo tb. y si ves que no eres capaz de acceder a los recursos compartidos es que en tu red usan la NetBIOS sobre TCP para compartir recursos... así que dejalo como estaba y listo. Lo que también puedes probar es lo siguiente: Cargar c:\windows\regedit.exe Entrar en: HKEY_LOCAL_MACHINE | System | CurrentControlSet | Services | VxD | MSTCP Entrar en el menú: Edición/Nuevo/Valor de Cadena y poner como nombre: BSDUrgent Doble click sobre esta variable creada dandole el valor 0 (cero, no O). Cerramos el regedit y reiniciamos. Si estás en Win 3.1x haz esto otro: Abre el SYSTEM.INI Debajo del apartado [MSTCP] (si no existe lo creas) inserte esta linea: BSDUrgent=0 Si por una de aquellas queremos dejarlo todo como estaba pues con darle a BSDUrgent el valor 1 (uno, no ele) sobra... De todas formas usando un cortafuegos que filtre las conexiones al 139 te librarás de muchos dolores de cabeza...
Este
nuke también es conocido como SSPING, jolt, Winnuke Ping, IceNewk. o "Ping
of Death" Para variar este nuke también es gentileza de los pringaos de
microsoft
que metieron la pata (hasta el fondo) en la implementación del TCP/IP. Se
genera cuando el jodio pc (con güindous 95 y NT) recibe carro y mitad de
paquetes
muy fragmentados y los coloca en orden, entonces el sistema se va de
baretas.
Vamos que deja de pirular... no va nada.. ni el ratón, ni el ctrl+alt+supr,
ni ná de ná... Para este el parche (a dios gracias) si que funciona, así
que
vete a mendigarlo a la web de los del puertas.
Por cierto, los que useis el
Trumpet Winsock para conectar estad trankilos que este nuke no os afecta.
Bueno, para que veais lo bueno que soy aquí teneis los parches (pero que
peazo
corazón que tengo copón)(de momento no estan, xD, disculpat las molestias, los parches y todos los programas esmentados estaran aqui! xD). Una forma de hacerlo: Abre
c:\windows\system\vip.386
con un editor hexadecimal (HEXADECIMAL!!) Buscar la cadena 76 D2 Reemplazar
76 D2 por 48 40 Salvar el fichero Reiniciar Aquí está el parche para WinNT.
Y para Win95 debería estar por aquí.
Este es el atake más
conocido por to dios. Se basa en la implementación realizada sobre el
protocolo
(flood control) para evitar que un usuario acapare todos los recursos de un
servidor mediante un envío masivo de datos en un espacio de tiempo pequeño.
Para evitarlo lo que hace el servidor es "desenganchar" a este usuario: ***
Void has quit IRC (Excess Flood) (este si que fui yo, lo confieso. Lo
siento
Void tio, pero era una tentación muy fuerte... X'DDD )
Existen muchas
formas
de llevarlo a cabo. El genuino es mediante el Ping (a lo que la victima
responde
con el Pong), pero tambien hay otros como los comandos: Version Clientinfo
Userinfo Time Lo usual es cargar un clon (una sesión del mirc corriendo en
paralelo) para así tener la seguridad de que nosotros no seremos los que
nos
"desengancharemos". Si yo mando 40 pings y mi clon otros 40, la víctima
recibirá
80 y nosotros solo 40 replicas (los pongs). Lo ideal sería tener más de un
clon pero los servidores para evitar este abuso solo permiten un máximo de
clones por "línea" (en el hispano 2) prohibiendo la entrada a más clones.
Si se da el caso de que hay más clones de los permitidos entonces el
servidor
"matará" los sobrantes: *** Kerberos has quit IRC (Killed (Clones!)) Si un
administrador de la red IRC quisiera cambiar el máximo de clones permitidos
por "línea" desde una determinada IP para, por ejemplo, permitir el acceso
a universidades o cibercafes que acceden a inet desde la misma dirección,
solo tendría que añadir una I-Line al servidor (una I-Line no es más que
una
entrada en el fichero de configuración del ircd (servidor de irc para unix)
que permite modificar el número máximo permitido de clones desde una
dirección
IP determinada). ¿Como detectarlos?. Echando un vistazo de cuando en cuando
a la pantalla de status. Ahí podremos observar si estamos siendo víctima de
un envio masivo de pings (por ejemplo). Si no estamos protegidos, cuando se
corte la conexión, observaremos el puto "Excess Flood". De todas formas
todos
los scripts que pululan por aki integran protecciones y detectores de flood
Aquí tendría para escribir horas, y
horas,
y horas, y horas (media hora después), y horas... sobre el tema en cuestión
pero este html ya ocupa demasiados k's asin que me limitaré solo a hablar de
las dos puertas traseras más famosas para el w95:
El spoofing no es ningún
atake,
más bien es una técnica para mejorar cualquier tipo de atake, sobre todo esos
que dejan tu dirección IP al descubierto. Lo que hace es "falsear" la IP
origen
del atake haciendo creer a la víctima que el origen de los paketes que está
recibiendo es otro distinto al auténtico. Con esto nos guardamos las espaldas
protegiendo nuestro anonimato, y así poder llevar a cabo cualquier tipo de
atake
(o nuke) haciendo creer a la víctima que es otro el que le esta jodiendo
vivo.
El problema del spoofing es que necesita manejar IP a muy bajo nivel con lo
que, por ejemplo, en sistemas unix necesitaremos privilegios de root. Esto es
muy chungo de explicar bien explicado, asin que si quieres profundizar en el
tema aki te pongo unos links para que te calientes un poco la cabeza:
IPSPOOF.C
http://main.succeed.net/~coder/spoofit/spoofit.html A short overview of IP
spoofing:
PART I. Part of 'The Packet Project' (archivo muy chulo que explica muy
claramente
todo este rollo. En este zip van incluidos fuentes de ejemplo para hacer
todas
estas cosas.
Atake y Defensa [Skream Port Listener]:
Monitoriza y controla
el acceso a un puerto (por defecto el 139), informandote del capullo que está
jodiendotelo a base de OOB's, ya que logea la dirección del atacante. [ICMP
Watch] : Esta utilidad corre en background y monitoriza y logea toda la
información
ICMP enviada a tu máquina. Los nukes suelen ser rápidos y normalmente no te
da tiempo a reaccionar por eso es mejor tener algún programa de detección ya
activo. [NukeNabber 2.9b] : Igual que el ICMP Watch este programa corre en
segundo
plano (background) y monitoriza ataques potenciales. Como cosa adicional
(para
usuarios del mIRC) tiene la novedad de que si detecta un ataque intentará
encontrar
el nick del agresor. Requiere tener el Winsock 2 si eres usuario del w95 (a
los del w98 y NT no les hace falta) [ICMP Monitor] : Pues como los
anteriores.
En esta versión (la 0.92) el autor ya avisa que el detector de ICMP echo no
funciona. [Port Scan 1.1] : Escaner de puertos. [Vai-te já ICMP Toolkit] :
Completo
paquete que incluye un Nuker, un ICMP Bomber, un programa para ataques OOB y
un detector de nukes muy completo. Puedes usar estos programas a pelo o
cargar
en el mIRC el script incluido para su uso por popups. [Raw Clon] : Programa
que desde una consola permite manejar hasta 8 clones de ataque. [ircKill'97]
: GUI para manejar comodamente el sumo, el FB, el mcb y el flash. Programas
típicos de atake en el IRC. [The Unabomber] : ¿mail bombing?... ¿¿mail
bombing??...
¿¿¿MAIL BOMBING???... (sshhhh)... Pues eso... este programa no es que pinte
mucho aquí pero visto que a muchos scripters les ha dado por programar sus
scripts
(valgame la redundundancicerendia como dice mi profe de dibujo técnico xD (se me trabo la lengua)) usando las
caracteristicas
del mirc para facilitar estas funciones... pos aki os pongo el programita
este...
[Crash EggDrop 1.1] : Programilla para petar el EggDrop 1.1 (el botijo para
usuarios que corre bajo unix). No sus preocupeis los del hispano pq estos no
dejan tener botijos, asín que a este lo verás en cualquier parte menos en
ibernet.
[Rhad Package] : Paquete con las utilidades del 7th Sphere. Incluye: Assault:
Atake a base de ICMP echos... Click: Un nukeador. ICMP Watch: Otro detector
de nukes... (es el mismo de arriba) Port Fuck: Eso mismo. Port Scaner: Pos
eso...
un escaner de puertos (el mismo de arriba) Pestilence Windows Anon IRC: A ver
como lo explico.... imagina que te meten un k/g-line y no tienes forma de
volver
a entrar a determinado servidor... ¿qué hacer?... Pues que un colegilla
ejecute
este programa. Pues tu te conectas al colega mientras el colega está conecta
al servidor del que te han largado... Así de facil... ya estás dentro. Y
quién
dice k/g-line dice también ban o cualkier cosa que se te pueda ocurrir...
(para
el que le interese esto es como hacer bouncing) [Kping] : Código fuente para
hacer de una forma más o menos automática lo del ataque +++ATH0. [Nukers] :
Tenía un poco olvidado el linux, así que aki os pongo un archivo comprimido
con los códigos fuente en C de prácticamente todos los atakes explicados
anteriormente.
Los códigos incluidos son: Bonk.c Jolt.c Nestea.c Smurf4.c Winnuke.c Boink.c
Killwin.c Nestea2.c Ssping.c Hanson.c Latierra.c Newtear.c Syndrop.c Para
descomprimirlo:
tar xzvf nukers.tar.gz y, para cada programa, hacer: 1.- gcc -O2
-DCPU=cpu_que_tengas
-o programa programa.c 2.- chmod 4711 programa Ejemplo, si tienes un Pentium
y quieres compilar el bonk: 1.- gcc -O2 -DCPU=586 -m486 -o bonk bonk.c 2.-
chmod
4711 bonk [Click 2.2] : Utilidad para nukear (hace falta decir algo más?...no
verdad? ;)). Por Rhad. Supongo que no hará falta decir que sin el "Güindous
95" y el Winsock 2.0 o superior no tienes nada que hacer. [ConSeal´s PC
Firewall]
: Un cortafuegos muy chulo y efectivo que proporciona una buena forma de
logear
todo tipo de tráfico y exploits. Puedes bloquear cualquier tipo de conexiones
entrante que no apruebes. Monitoriza todas las conexiones hechas sobre tu PC.
Para configurarlo: Lanzar el programilla de marras y darle a la etiqueta que
pone 'Rules' (reglas). Seleccionar 'learning mode' (modo de aprendizaje, y NO
cerrar esta ventana). Ahora conecta con internet de la forma habitual y haz
lo que haces normalmente (no hombre, el tonto no, lo que haces cuando
conectas!!).
Por ejemplo, entra en el IRC, haz tu telnet matutino, y entre cafe y cafe
revisa
el email, navega una rato por las paginas guarras (marrano! :P puajjj)...
vamos,
lo que haces normalmente. Cuando hayas hecho tus actividades normales clikea
en el OK de aquella ventanuca que abriste al inicio de la sesión (sí hombre,
la del cortafuegos). Bueno, pues le das al OK de la ventana de 'rules' para
salvar todas las reglas que se han ido creando. Recomendación de la casa:
desactivar
los modos de aprendizaje. Pos ya esta configurao. Aunque tb. puedes añadir
reglas
para permitir DCC's por ejemplo (un dcc a través del cortafuegos es MUY
lento,
tu mismo). Si en cualquier momento tienes algún problema y piensas que no ha
sido un atake, entonces activa el modo de aprendizaje (otra vez) y repite lo
que estabas haciendo cuando surgio el problema. Así se crearán nuevas reglas
para permitir la situación. Pero si por el contrario el problema ha sido un
atake, entonces puedes borrar la ultima regla creada (será la primera de la
lista de reglas). Desde aquí te puedes bajar un archivo de ' rules' para que
tengas una buena preconfiguración del conseal y no tengas que hacer el rollo
de arriba. De todas formas si con este archivo tienes problemas si tendrás
que
hacer el rollete susodicho. [AtGuard] : Utilidad que monitoriza el tráfico
entrante
y saliente de la red hacia/desde el PC. Puede intervenir las conexiones y
bloquear
(incluso falsear) datos por nosotros preestablecidos. Más concretamente:
Bloquea
imagenes (ej.: banners de las webs) q no te salga del pito ver (banners de la
timo?? ;) Acelera la velocidad de carga de las páginas. Bloquea cookies.
Aumenta
la privacidad de tu navegación bloqueando los campos "User-agent" y "From"
enviados
al servidor por tu navegador. Impide la ejecución de applets Java, JavaScript
y ActiveX. Detiene las GIF's animadas para reducir el trasiego de la cache de
disco. Muestra estadísticas de la actividad de la red. Previene
comunicaciones
de tu PC con ordenadores remotos sin tu consentimiento o permiso. Incluye un
cortafuegos con la posibilidad de aplicar "reglas" para una lista o rango de
servicios, con la capacidad de notificar en caso de producirse algún evento
que choque con alguna de las reglas definidas. etc... La verdad es q para
elegir
un cortafuegos me quedo mil veces antes con este que con el conseal... pero
bueno... si quieres usar este aquí tienes el crack para la versión 3.1( pronto...). Para
versiones sucesivas a buscar por astalavista q para eso esta, o no? :p Aparte
de todas estas utilidades tan chulas, el jodio güindous 95 trae con él alguna
que otra cosa interesante que sirve para algo más que para que se te cuelgue
el pc. Por ejemplo, el programa para hacer ping's puede servir para algo más,
y sino... ¿pq no pruebas a hacer INICIO | EJECUTAR | ping -l 65510
ip.de.la.víctima?,
o más facil todavía... ¿pq no tecleas desde el mIRC /run ping -l 65510
ip.de.la.víctima.
(pone -l (ele) y no -1 (uno)). Esto congelará o reseteará el sistema de la
víctima.
Víctimas con el kernel del Linux desde el 2.0.7 hasta el 2.0.20 y 2.1.1,
AIX4,
OSF, HPUX 10.1 y DUnix 4.0 petarán. Y las vícitmas con sistemas OSF/1, 3.2C,
Solaris 2.4 x86 son reseteados. También puedes probar lo mismo pero con estos
otros parametros ping -t -l 256 ip.de.la.víctima (ele y no uno) y haciendolo
como unas 15 veces (en ventanas distintas, por ejemplo). Bajo Unix un comando
parecido seria algo como: ping -s host Realmente ningúno de los programas
anteriores
haría mucha falta si supieramos usar como dios manda el comando NETSTAT del
güindous. A continuación interaré explicar (dentro de lo mal que yo me
explico)
como hacer pirular en nuestro beneficio este programilla.
Gracias a
este programa podremos saber los puertos que tenemos abiertos, el estado de
nuestras conexiones y las estadísticas de nuestras comunicaciones. Si
ejecutamos:
netstat -a, vemos el protocolo (Proto), la dirección y el puerto local (Local
Address), la dirección y puerto remoto (Foreign Address), y por último el
estado
en el que se encuentra esa conexión (State).
Ataque SYN Flood:
Las e-zines
2600
y Phrack han posteado información relativa a este tipo de atake. Texto de
Christopher
Klaus. Incluye una "solución". 2600, Verano, 1996, pp. 6-11. FLOOD WARNING
por
Jason Fairlane IP-spoofing Demystified by daemon9 / route / infinity de
Phrack
Magazine ( en español) Ataque Teardrop También conocido como tear, TCP/IP
fragment
bug, o overlapfrag bug. Si tu sistema ya está patcheado contra los winnuke y
los ssping pero todavia peta y tienes que reiniciarlo seguramente estarás
siendo
atacado por este nuke. Es parecido al ssping en el sentido de que tb se basa
en un error al intentar reensamblar paketes fragmentados. La pila TCP/IP es
la que se hace la picha un lio intentando ensamblar paketes fragmentados que
se solapan entre ellos. Para solucionar el asunto si estás usando el Linux
bastará
con que actualices tu kernel al 2.0.32 o superior. Para güindous mendiga por
aquí. Ataque Teardrop modificado Pos eso, este es una variante del teardrop
(a ke no os habiais dado cuenta??). Este manda paketes UDP fragmentados a
puertos
aleatorios de la víctima. ¿Qué estais parcheados contra el teardrop?... pues
a joderse pq el parche no funciona con esta variante... Ataque Syndrop Otra
variante del Teardrop. Este una mezcla del basado en secuencias con el flag
SYN y el Teardrop.
Ataque Overdrop:
Este no es que sea muy agresivo la verdad,
es más que nada molesto y solo afecta al kernel 2.0.33 de Linux. Lo único que
hace es mandar paketes incorrectos para que el kernel de la víctima produzca
los correspondientes mensajes de error logeandolos en ficheros. Así que lo
único
que se consigue es petar los dispositivos de almacenamiento o la consola del
pringao de marras con mensajes de error.
Ataque Bonk (Boink)
Este atake es
como
un Teardrop, pero trabajando con paquetes UDP. También he visto una copia más
reciente q. tb. encubre su IP (spoofing). Esto lo combierte casi en dos
atakes
en uno, una combinación del land y del teardrop usando solo el protocolo UDP.
Creo que el parche de microsoft no detiene esta segunda variante que envia un
malformado paquete con el tamaño incorrecto desde su computadora spoofeada
(toma
castellanismo!) a la computadora de la víctima. Bueno, volviendo al bonk
original.
Lo que hace es que el offset del fragmento sea mayor que la longitud de la
cabecera,
entonces al intentar reensamblarlo el pc de la víctima se va a tomar por
culo.
Ataca al puerto 55 de la víctima. Hay una variante llamada Boink que hace un
barrido de puertos, pero esencialmente hace lo mismo. Para protegerte
aplicate
el parche de rigor (no hombre!!, los de nicotina no, esos son para dejar de
fumar, los que hay al final de esta página!!). También puedes colocar un
cortafuegos
que filtre los paquetes UDP desde host desconocidos. También sería buena idea
si corres un cortafuegos, bloquear todos los paquetes entrantes que vengan
desde
tu propia dirección del host (255.255.255.255), ya que el segundo tipo que he
explicado antes tb. te puede ser enviado spoofeado con tu dir. IP. (Nestea2) Ale, vamos, venga... otra nueva variante del teardrop para el
cazo...
La versión 2 de Nestea no es más que la 1 pero con colorines y pijadas
varias.
Ataque Land Pa explicarlo de una forma llana lo que hace este nuke es engañar
a la máquina víctima haciendola creer que quiere realizar una conexión sobre
ella misma (mediante paquetes spoofeados) normalmente a los puertos 139 y/o
113.. Esto cuelga la máquina víctima o en otros casos sobrecarga la CPU de
una
forma anormal. Para protegerse de este nuke pos parcheas el w95, te aseguras
de no tener puertos abiertos (ejecutando el portscan sobre ti mismo, o/y
colocas
un cortafuegos que bloquee todas las conexiones 255.255.255.255 locales sobre
los puertos 113 y 139, desde el host local 0.0.0.0 (ummh, creo que me he
liado)
Ataque Smurf A ver como lo explico. Este atake consiste en mandar paketes
ICMP
del tipo echo request (como los de un ping) con la dirección de origen
falseada
y apuntando a la IP de la víctima a un broadcast. ¿Qué pasa entonces?, pues
que al haber mandado el pakete a una dirección de difusión (el broadcast)
este
llegará a muchas máquinas distintas las cuales enviarán sus paketes de
respuesta
a la dirección de origen del pakete ICMP que estaba falseada y apuntando a la
máquina de la víctima (joer que lio no?). El resultado es que la víctima
recibe
carro y mitad de paketes IP llegando a colapsar la máquina (sería algo
parecido
a un ping pero a lo bestia). ¿La verdad?, poco puedes hacer contra esto (por
no decir nada), todo depende de lo buenos que puedan ser los operadores de
las
máquinas para evitar estas situaciones. Ataque
Nestea:
Ataque Hanson:
Mandando cadenas más
largas
de las que el buffer interno del mIRC adminte se consigue que la versión 5.3x
con el puerto 113 (ident) abierto se vaya de baretas ralentizando el sistema
o incluso matando el programa.
Ataque +++ATH0:
Este ataque es muy utilizado
para
colgar un modem. Los modems utilizan una serie de comandos (Hayes) para
recibir
ordenes del exterior y ejecutar acciones. Por ejemplo, el comando ATDT055
serviría
para marcar el número de infovía (ATentionDialTone 055 = marcar por tonos el
055). Para tener una información mucho más amplicada sobre los comandos hayes
entra aki. El comando que nos será de utilidad ahora será el "ATH0"
(ATentionHookOn).
La respuesta del modem a este comando es que rompe la conexión actual, o sea,
"cuelga el teléfono" (el opuesto sería ATH1 que nos da tono para marcar
(descuelga
el tfno)). Entonces el objetivo es lograr que el pringao de rigor mande este
comando a su modem para que el solito cierre su conexión (sin darse cuenta
claro).
Pero el problema es que los modems son muy pijos y no aceptan comandos así
como
así, tenemos que predisponerlos para ello ya que solo aceptan comandos cuando
entran en "modo terminal" (tb. llamado "modo local"). El problema es que
cuando
el modem tiene una conexión abierta NO está en modo terminal (está en modo
datos).
Así que antes de nada tenemos que conseguir que el modem de la víctima de
marras
entre en este modo especial y esto se consigue normalmente con la secuencia
+++ (código de escape). Y una vez en este estado el modem ya esta preparado
para recibir comandos, con lo que la secuencia entera que debemos conseguir
que el pringao de rigor mande contra su propio modem es +++ATH0 Para hacer
que
el bobo de marras lance esa cadena a su modem tenemos que aprovechar ciertas
caracteristicas del protocolo PPP (el q. usa to dios pa conectar con su
proveedor)
ya que este no suele comprimir los paquetes IP y si la víctima manda un
paquete
que contenga la cadena susodicha entonces al llegar al modem dicho paquete
este
(el modem no el paquete) interpretara la cadena +++ como el cambio a modo
terminal
y ATH0 como el comando que cuelga la conexión. Y como nosotros, personas
malas
xD, podemos hacer que el bobo haga todo esto para que se caiga???... pues de
una forma práctica con cosas como hacer un telnet al puerto ftp de la máquina
víctima y entrar como usuario +++ATH0. Qué es lo que pasa entonces?? pues que
el servidor ftp reponde con "331 Password required for +++ATH0.", lo que
significa
que la víctima ha mandado la famosa cadena a su modem y este ha colgado:
[malo@malote]#
telnet bobo.pardillo.pobre.victima 21 Trying bobo.pardillo.pobre.victima...
Connected to bobo.pardillo.pobre.victima. Escape character is '^]'. 220 foo
FTP server (Version wu-2.4.2-academ[BETA-15](1) Fri Apr 9 01:31: USER +++ATH0
^] telnet>
close Connection closed. [malo@malote]# telnet bobo.pardillo.pobre.victima
21 Trying bobo.pardillo.pobre.victima... telnet: Unable to connect to remote
host: Network is unreachable [malo@malote]# Otro ejempo práctico podría ser
mandar un ping con el pattern 0x2b2b2b415448300d que es la codificación
hexadecimal
del +++ATH0 [malo@malote]# ping -p 2b2b2b415448300d -c 5 xxx.xxx.xxx.xxx
PATTERN:
0x2b2b2b415448300d PING xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx): 56 data bytes [...
aquí salen mogollón de estadísticas del ping ...] 5 packets transmitted, 0
packets
received, 100% packet loss [malo@malote]# Los ejemplos anterios eran todos
desde
una máquina Unix (linux), un ejemplo desde el mIRC podría ser: //raw NOTICE
Nick : $+ $chr(1) $+ PING +++ATH0 $+ $chr(1)
Bueno, y como podemos
protegernos
de este ataque???:. Pues sencillamente cambiando el código de escape por
defecto
(un 43, o sea el '+'), por un valor distinto. Para algunos modems bastará un
valor por encima del 127. El comando a mandar al modem para hacer este cambio
será el ATS2=255, 255 u otro número. S2 es el registro del modem donde se
almacena
este código. Para estar seguros de que este comando se ejecuta siempre antes
de conectar con internet se podría meter en la cadena de inicicialización del
modem.
(Todos mis conocimientos sobre flood, serán expuestos de una forma mas amplia en un único pero extenso documento, los que me conozcais ya sabeis a que me refiero xDDDD)Puertas Traseras (Back Doors)
el Back Orifice y el
NetBus. Realmente estos se pueden considerar puertas traseras de una forma relativa,
más que nada pq realmente son herramientas de administración remota. Pero
claro,
depende (todo depende... de según como se mire todo depende (ejem, ejem))...
depende del uso que le demos a la aplicación en cuestión. Si tenemos muy mala
leche se pueden hacer maravillas (XD). Los dos programas funcionan de forma
parecida como una aplicación cliente/servidor. El pardi de marras ejecuta la
aplicación servidor en su mákina (con plug-in's como el Silkrope se puede
hacer
esto sin que el pringao se entere (creamos un troyano)). Y entonces nosotros
desde nuestra mega chula conexión a la red usamos la aplicación cliente para
conectarnos con el tontin del experimento y asi poder hacer el gamba con su
disco duro... el límite es tu imaginación... puedes editar, añadir y borrar
entradas de su archivo de registro, capturar la pantalla de su monitor en un
momento dado, copiar/buscar/borrar archivos, logear las pulsaciones del
teclado,
ver los procesos en ejecución, y mil chorradas más... Por defecto el BO abre
el 31337 como puerto de comunicaciones y se instala como " .exe" dentro de
c:\windows\system,
y añade al registro la línea
Hkey_local_machine\software\microsoft\windows\currentversion\runservices\
.exe. Pero todo esto es configurable asi que nada es seguro. Para detectar y
eliminar la presencia del BO puedes usar esto o hacer un netstat -an | find
"UDP" y si vemos algo como esto: UDP 0.0.0.0:31337 entonces es que lo tenemos
instalado y bastará con borrar el .exe (con alguna utilidad como el diskedit
del norton) o buscar la cadena "bofilemap-pingkey" dentro de todos los
archivos
del pc si el nombre del BO server es distinto de .exe. Si quieres un consejo
desinstalalo a mano, más que nada pq se están distribuyendo muchos programas
que presuntamente detectan y eliminan el BO pero realmente son un troyano,
vamos,
son el propio BO camuflado. Algunos plug-in's conocidos: · Speakeasy: entra
en un canal de un servidor de IRC (ej. #bo_owned) anunciando su infectión. ·
Silk Rope: "camufla" el BO dentro de cualquier programa. · Saran Wrap:
parecido
al Silk Rope. · Butt Trumpet: te manda por email la IP de la máquina
infectada
para que puedas conectar con ella más facilmente. El NetBus es más de lo
mismo
pero un poco más avanzado que el BO. Por ejemplo, tiene funciones como abrir
o cerrar CDROM, mandar cuadros de diálogo para hacer chat con el sistema
atacado,
escuchar su micrófono... etc... Usa los puertos 12345 y 12346. El programa
servidor
se llama "patch.exe". Si sabemos que lo tenemos instalado, para eliminarlo
bastará
con hacer un telnet sobre nosotros mismos (telnet localhost) y en las
opciones
del programa elegir: Server Admin y luego Remove server. Esto en las
versiones
más recientes, si se trata de versiones más viejas y lo de antes no furula
podemos
probar con esto o esto otro. Si os decidis a usar una chorradita de estas
para
hacer "maldades" por ahi tener cuidadin pq los del Cult of the Dead Cow (los
autores del BO) son unos señores cabroncetes y su backdoor tiene a su vez una
backdoor. Me explico, pos que cuando se instala el BO server para "espiar"
mákinas
remotas, la aplicación cliente (la q. usamos nosotros para comunicarnos con
la aplicación servidor) es a su vez una puerta trasera para que los del cDc
trasteen con tu disco duro. Pa saber más entra aquí (muy pronto estará el enlace.. paciencia chicos...xD). DoS desde el mIRC y el
vIRC La verdad es que no se si vale la pena crear un apartado solo para
contar
esta chorrada, pero en fin... Pues bueno, la denegación de servicio a través
del IRC se basa en que cualquier usuario puede tomar como nick com1, com2,
...,
lpt1, etc... Entonces si cualkiera de estos capullines con uno de estos nicks
nos manda un query, y somos tan hábiles de contestarle veremos como perdemos
el dispositivo que tengamos conectado al puerto serie en cuestión (modem,
ratón,
la chufa xD). Lo que esta pasando es que al contestarle estamos haciendo un
/msg com1 (por ejemplo) y esto lo que hace es escribir directamentee en el
dispositivo
en cuestión con lo que el susodicho se nos va a tomar por culo. Solución??,
pues muy facil... formatear a bajo nivel el disco duro (X'DDD). No, en serio.
Pues con añadir a la lista de ignore las siguientes entradas ta todo
arreglado:
com1*@* com2*@* com3*@* com4*@* (esto si tienes 4 puertos como yo, sino con
los dos primeros sobra) lpt1*@* lpt2*@*
Spoofing NETSTAT :
Esto sigue colegas pero no hay tiempo... xDDDD, ja lo iré poniendo (peerdonad por las faltas de ortografia xDDDD)
