Bị phá làm dis AgentServer

[TruongICT]

Cứ nói luôn là tôi làm đi có gì đâu!

Có 1 số cách cho các bạn
1. Change port
2. C++ Anti packet ( nếu có source)
3. Có người share 1 số ASM fix agent, dùng ollyDB nhồi nó vô
4. Google kiểu gì cũng có

Không nói thật là mình không biết ai. Và cũng chưa dám chắc là ai làm. Có thể câu nói trên thì mọi người sẽ nghĩ là quy chụp luôn. Vậy mình xin lỗi vì nói những điều không chắc chắn
Giờ mình cũng fix được dis Agent rồi. Tuy nhiên không hiểu tool họ phá như nào mà delete toàn bộ User nữa. Chưa tìm ra cái đó

--- Chế độ gộp bài viết ---

vậy đi thuê bác mylove09 fix cho kia 3tr thôi rẻ vl ra ý

Thì người ta bảo là nếu sv tốt người ta giúp.

Còn không tốt thì có cách giải quyết khác mà

[hackluv]

Không nói thật là mình không biết ai. Và cũng chưa dám chắc là ai làm. Có thể câu nói trên thì mọi người sẽ nghĩ là quy chụp luôn. Vậy mình xin lỗi vì nói những điều không chắc chắn
Giờ mình cũng fix được dis Agent rồi. Tuy nhiên không hiểu tool họ phá như nào mà delete toàn bộ User nữa. Chưa tìm ra cái đó

--- Chế độ gộp bài viết ---



Thì người ta bảo là nếu sv tốt người ta giúp.

Còn không tốt thì có cách giải quyết khác mà

injection SQL

bạn để 4rum chung web + server luôn đúng ko ?

[TruongICT]

injection SQL

bạn để 4rum chung web + server luôn đúng ko ?

Không bác. Em để mỗi web quản lý trong server. Còn 4rum em để chỗ khác ạ!

[concucu021]

Cứ nói luôn là tôi làm đi có gì đâu!

Có 1 số cách cho các bạn
1. Change port
2. C++ Anti packet ( nếu có source)
3. Có người share 1 số ASM fix agent, dùng ollyDB nhồi nó vô
4. Google kiểu gì cũng có

Mylove0990 có yahoo ko bạn.................

[mylove09]

Mylove0990 có yahoo ko bạn.................

Có chuyện gì thế cậu
............................

[concucu021]

Có chuyện gì thế cậu
............................

định hỏi cách fix Agent đó mà .............

[mylove09]

000C2FAE 0000 ADD BYTE PTR DS:[EAX],AL
000C2FB0 0000 ADD BYTE PTR DS:[EAX],AL




79.143.190.224
agent v188



0x1005

0x00430440 -> 0x1005 [set retn]


0x004079f0 -> exception handler

0x0042caa0
{
EAX 004C653C AgentSer.004C653C
ECX 0241AE70
EDX 00430440 AgentSer.00430440
EBX 00001005
ESP 034EFEAC
EBP 034EFEE8
ESI 0351E5F0
EDI 00000000
EIP 0042CAA0 AgentSer.0042CAA0
C 1 ES 002B 32bit 0(FFFFFFFF)
P 1 CS 0023 32bit 0(FFFFFFFF)
A 1 SS 002B 32bit 0(FFFFFFFF)
Z 0 DS 002B 32bit 0(FFFFFFFF)
S 1 FS 0053 32bit 7EF8E000(FFF)
T 0 GS 002B 32bit 0(FFFFFFFF)
D 0
O 0 LastErr ERROR_SUCCESS (00000000)
EFL 00000297 (NO,B,NE,BE,S,PE,L,LE)
ST0 empty 0.0
ST1 empty 0.0
ST2 empty 0.0
ST3 empty 0.0
ST4 empty 0.0
ST5 empty 0.0
ST6 empty 0.0
ST7 empty 0.0
3 2 1 0 E S P U O Z D I
FST 0000 Cond 0 0 0 0 Err 0 0 0 0 0 0 0 0 (GT)
FCW 027F Prec NEAR,53 Mask 1 1 1 1 1 1


}



0x00457b33 -> 0x1005
0x0045ab37 -> 0x1005
0x00484f8e -> 0x1005







{
0x6303 -> 0x00430400 - TESTING [server startup], made straight-forward
0x600d -> 0x00430450 - NOT
0x2311 -> 0x00430350
0x631d -> 0x004303b0
}

common
{
set "retn" at addr 0x004488c0
}

0x631D opcode fix
{
0042BEF4 90 NOP
0042BEF5 90 NOP
0042BEF6 90 NOP
0042BEF7 90 NOP
0042BEF8 90 NOP
0042BEF9 90 NOP
0042BEFA 90 NOP
0042BEFB 90 NOP
0042BEFC 90 NOP
0042BEFD 90 NOP
0042BEFE 90 NOP
0042BEFF 90 NOP
0042BF00 90 NOP
0042BF01 90 NOP
0042BF02 90 NOP
0042BF03 90 NOP
0042BF04 90 NOP
0042BF05 90 NOP
0042BF06 90 NOP
}


0x6303 opcode fix
{
0x0042d339 -> 0x90
0x0042d33A -> 0x90
//////////////////
0x0042d36c -> 0x90
0x0042d36d -> 0x90
//////////////////
0x0042d374 -> jmp
}


//---------------------------------------------------------

0042D31C CC INT3
0042D31D CC INT3
0042D31E CC INT3
0042D31F CC INT3
0042D320 . 83EC 08 SUB ESP,8
0042D323 . 53 PUSH EBX
0042D324 . 55 PUSH EBP
0042D325 . 8B6C24 14 MOV EBP,DWORD PTR SS:[ESP+14]
0042D329 . 83BD 48100000 >CMP DWORD PTR SS:[EBP+1048],0
0042D330 . 56 PUSH ESI
0042D331 . 57 PUSH EDI
0042D332 . 8BF9 MOV EDI,ECX
0042D334 . C64424 13 02 MOV BYTE PTR SS:[ESP+13],2
0042D339 90 NOP ----
0042D33A 90 NOP ----
0042D33B . 8D4424 14 LEA EAX,DWORD PTR SS:[ESP+14]
0042D33F . 50 PUSH EAX ; /Arg1
0042D340 . 8BC5 MOV EAX,EBP ; |
0042D342 . E8 99A7FDFF CALL AgentSer.00407AE0 ; \AgentSer.00407AE0
0042D347 . EB 0C JMP SHORT AgentSer.0042D355 ----
0042D349 > 8D4C24 14 LEA ECX,DWORD PTR SS:[ESP+14]
0042D34D . 51 PUSH ECX ; /Arg1
0042D34E . 8BC5 MOV EAX,EBP ; |
0042D350 . E8 EBA7FDFF CALL AgentSer.00407B40 ; \AgentSer.00407B40
0042D355 > 8B17 MOV EDX,DWORD PTR DS:[EDI]
0042D357 . 8B5C24 14 MOV EBX,DWORD PTR SS:[ESP+14]
0042D35B . 8B82 B4000000 MOV EAX,DWORD PTR DS:[EDX+B4]
0042D361 . 53 PUSH EBX
0042D362 . 8BCF MOV ECX,EDI
0042D364 . FFD0 CALL EAX
0042D366 . 84C0 TEST AL,AL
0042D368 . 884424 1C MOV BYTE PTR SS:[ESP+1C],AL
0042D36C 90 NOP ----
0042D36D 90 NOP ----
0042D36E . 0FB6C3 MOVZX EAX,BL
0042D371 . 83E8 01 SUB EAX,1 ; Switch (cases 1..2)
0042D374 EB 09 JMP SHORT AgentSer.0042D37F
0042D376 . 83E8 01 SUB EAX,1
0042D379 . 75 13 JNZ SHORT AgentSer.0042D38E
0042D37B . 6A 04 PUSH 4 ; Case 2 of switch 0042D371
0042D37D . EB 02 JMP SHORT AgentSer.0042D381
0042D37F > 6A 05 PUSH 5 ; Case 1 of switch 0042D371
0042D381 > 8B0D 249B4E00 MOV ECX,DWORD PTR DS:[4E9B24] ; AgentSer.0052ABE0
0042D387 . 8B11 MOV EDX,DWORD PTR DS:[ECX]
0042D389 . 8B42 4C MOV EAX,DWORD PTR DS:[EDX+4C]
0042D38C . FFD0 CALL EAX
0042D38E > C64424 13 01 MOV BYTE PTR SS:[ESP+13],1 ; Default case of switch 0042D371
0042D393 > A1 609A4E00 MOV EAX,DWORD PTR DS:[4E9A60]
0042D398 . 8B08 MOV ECX,DWORD PTR DS:[EAX]
0042D39A . 8B51 48 MOV EDX,DWORD PTR DS:[ECX+48]

//----------------------------------


0x1005 fix

0x004c2fac -> cmp byte ptr ds:[0x4c2ff8], 1



0x004c2ff8 -> 0x00 (default)

00430442 E9 652B0900 JMP AgentSer.004C2FAC


returning to (after codecave finished, if byte at 0x004c2ff8 = 0 (setting it to 1 before dat)
00430442 . FFA0 88000000 JMP DWORD PTR DS:[EAX+88]







//----------------------------------------------------

004C2FAC 803D F82F4C00 00 CMP BYTE PTR DS:[4C2FF8],0 ; comparing current value with 0
004C2FB3 74 15 JE SHORT AgentSer.004C2FCA ; hould initialize
004C2FB5 90 NOP
004C2FB6 90 NOP
004C2FB7 90 NOP
004C2FB8 90 NOP
004C2FB9 EB 1D JMP SHORT AgentSer.004C2FD8 ; already initialized
004C2FBB 90 NOP
004C2FBC 90 NOP
004C2FBD 90 NOP
004C2FBE 0000 ADD BYTE PTR DS:[EAX],AL
004C2FC0 0000 ADD BYTE PTR DS:[EAX],AL
004C2FC2 0000 ADD BYTE PTR DS:[EAX],AL
004C2FC4 0000 ADD BYTE PTR DS:[EAX],AL
004C2FC6 0000 ADD BYTE PTR DS:[EAX],AL
004C2FC8 0000 ADD BYTE PTR DS:[EAX],AL
004C2FCA C605 F82F4C00 01 MOV BYTE PTR DS:[4C2FF8],1 ; Initialize
004C2FD1 FFA0 88000000 JMP DWORD PTR DS:[EAX+88]
004C2FD7 90 NOP
004C2FD8 C2 1000 RETN 10 ; no initialization
004C2FDB 90 NOP
004C2FDC 0000 ADD BYTE PTR DS:[EAX],AL
004C2FDE 0000 ADD BYTE PTR DS:[EAX],AL
004C2FE0 0000 ADD BYTE PTR DS:[EAX],AL
004C2FE2 0000 ADD BYTE PTR DS:[EAX],AL
004C2FE4 0000 ADD BYTE PTR DS:[EAX],AL
004C2FE6 0000 ADD BYTE PTR DS:[EAX],AL
004C2FE8 0000 ADD BYTE PTR DS:[EAX],AL
004C2FEA 0000 ADD BYTE PTR DS:[EAX],AL
004C2FEC 0000 ADD BYTE PTR DS:[EAX],AL
004C2FEE 0000 ADD BYTE PTR DS:[EAX],AL
004C2FF0 0000 ADD BYTE PTR DS:[EAX],AL
004C2FF2 0000 ADD BYTE PTR DS:[EAX],AL
004C2FF4 0000 ADD BYTE PTR DS:[EAX],AL
004C2FF6 0000 ADD BYTE PTR DS:[EAX],AL
004C2FF8 0000 ADD BYTE PTR DS:[EAX],AL ; DATA SEGMENT FOR CODECAVE
004C2FFA 0000 ADD BYTE PTR DS:[EAX],AL
004C2FFC 0000 ADD BYTE PTR DS:[EAX],AL
004C2FFE 0000 ADD BYTE PTR DS:[EAX],AL



80 3D F8 2F 4C 00 00 74 15 90 90 90 90 EB 1D 90 90 90 00 00 00 00 00 00 00 00 00 00 00 00 C6 05
F8 2F 4C 00 01 FF A0 88 00 00 00 90 C2 10 00 90 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00


004C2FAC




original entry point [agentserver + hyperfilter dll (hyperfilter_as.dll)]
0048D8E5


new ep: 0x004c2f70

Dùng OllyDB Patch nó vào Agent nhé

[saophainghi]

Dùng OllyDB Patch nó vào Agent nhé

thế mà lúc đầu bác đòi 3 tr
Bây giờ chia sẻ luôn à

[haiphong1102]

Kiểm tra lại Firewall trong Windows xem có On hay không, nếu Off thì phải On lên và chỉ allow những port cần thiết. Nếu Firewall Off chẳng khác nào allow all port, từ đó dẫn đến dễ bị flood port làm dis ứng dụng không mong muốn.

a ơi e cũng bị rồi .........................

--- Chế độ gộp bài viết ---

Dùng OllyDB Patch nó vào Agent nhé

bạn ơi bạn có dùng facebook hay yahoo không zậy :\

[tapchoisro]

Dùng OllyDB Patch nó vào Agent nhé

bác hướng dẫn em cách patch được không