Стратегия.
Итак, задача получения доступа в инет за чужой счет сводится к получению
логина/пароля провайдера, что дает dial-up доступ.
Логин/пароль, если не рассматривать очень доверчивых пользователей, можно
получать двумя способами - перехватывать при вводе и добывать из парольного кэша.
Содержимое парольного кэша можно, опять же, получить достав сам кэш (методами
социальной инженерии, с помощью трояна или же через общие ресурсы) либо выпросив
его содержимое у системы (при наличии физического доступа или опять же с помощью
трояна). Подробно я остановлюсь на методах, использующих любезно предоставленный
пользователями доступ к общим ресурсам.
Возможная тактика.
Самый простой способ - просканировать подсеть определенного провайдера, чтобы
найти те самые 3-5% пользователей, при этом автоматически известно логин/пароль
какого провайдера получен. Схема действий при этом выглядит следующим образом:
Выбираем в своем городе какого-нибудь провайдера; с помощью сервиса whois или из
других источников (www.google.com.ru)
узнаем диапазон принадлежащих ему ip;
сканируем весь либо часть диапазона с помощью сканера общих ресурсов, находим
пользователей с открытым диском C:.
Пароль, естественно, существенной преградой не является;
сливаем файлы *.pwl и system.ini на случай, если имя пользователя превышает 8
символов (Не тратьте время на копирование и просмотр файлов Rna.pwl . В этом
файле вы ничего не найдёте, кроме параметров модема. И ещё нам не нужны файлы .pwl
размером меньше 720 байт. Потому что в них нету паролей. От 688 до 719 байт это
файлы pwl тех юзеров, которые не ставят галочку в окошке "запомнить пароль")
расшифровываем кэш и получаем требуемые логины/пароли.
Ищем файл tree.dat из пакета программы CuteFTP 4.x В данном файле хранятся
пароли от тех сайтов к которым пользователь имеет доступ через данную программу
(расшифровывается программой PwlTool 6.5x)
Также ищем папку ICQ/200хb. В данной папке хранятся файлы *.dat, из которых ты
можешь достать пароли к UIN`ам данного пользователя. (расшифровывается
программой ICQr Information v1.5 или Advanced ICQ Password Recovery (вторая
работает быстрее), на сегодня лучшая Icq History Reader)
Еще если у жертвы стоит Trillian 0.7* или 1.*, то берем из папки Trillian\users\*
файлы aim.ini(хранятся данные о AIM и ICQ) и msn.ini и ищем строку
password=<зашифрованный пароль> и расшифровываем его при помощи TrillKill, как
следствие получаем логин и пароль пользователя от любого сервиса которым данный
пользователь обладает.
Также можно получить доступ ко всем сайтам жертвы, если жертва использует
Windows Commander он же Total Commander, для этого нужно уносить с диска жертвы
файл wcx_ftp.ini обычно он расположен в папке Windows, но иногда может
находиться в папке с самой программой. После того как вы скопировали файл к себе
на диск, вы должны им заменить ваш файл при условии что вы используете win
commander, или же можно открыть файл wcx_ftp.ini и добавить оттуда строки в ваш
файл. После этого вы сможете коннектиться к сайтам жертвы и делать с ними всё
что хотите. Возможно у вас появился вопрос, как узнать пароль от фтп?, для этого
смотрите раздел Теория>Борьба со звездочками.
Вариант тактики.
Если обнаруженый диск открыт на запись, то машину можно заразить трояном
который, например, отсылает пароли по почте. Эта вариация работает в меньшем
числе случаев, но действует наверняка - не требуется расшифровывать pwl, это
проделает Windows.
Нестандартные звонилки.
Также некоторые пользователи используют нестандартные звонилки, например Edialer,
так что стоит интересоваться их конфигурационными файлами. Тот же Edialer хранит
логины и пароли в файле %WINDIR\Edialer.ini в зашифрованом виде, но
алгоритм шифрования прост до безобразия: например, пароль 11111 в закодированом
виде выглядит как 12345. Многие звонилки cами расшифруют пароль и покажут его,
правда, в виде звездочек.
Медицынский блог
©
Халявский интернет