home *** CD-ROM | disk | FTP | other *** search
/ The Devil's Doorknob BBS Capture (1996-2003) / devilsdoorknobbbscapture1996-2003.iso / Dloads / SYSOP / TL110.ZIP / TL-USER.DOC < prev    next >
Text File  |  1994-10-09  |  44KB  |  935 lines
  1.  
  2.                               ToneLoc v1.10
  3.  
  4.                                User Manual
  5.  
  6.                                    by
  7.  
  8.                         Minor Threat & Mucho Maas
  9.  
  10.      ToneLoc is short for Tone Locator, and is a bit of a wild thing.
  11. What it does is simple: it dials numbers, looking for some kind of tone.
  12. It can also look for carriers like an ordinary wardialer.
  13.  
  14. It is useful for:
  15.  
  16.    1. Finding PBX's.
  17.    2. Finding loops or milliwatt test numbers.
  18.    3. Finding dial-up long distance carriers.
  19.    4. Finding any number that gives a constant tone, or something
  20.       that your modem will recognize as one.
  21.    5. Finding carriers (other modems)
  22.    6. Hacking PBX's.
  23.  
  24.      Before you even start using ToneLoc, PLEASE PLEASE take the time
  25. to print out and read the docs.  Well, you don't have to print them out
  26. I guess, but at LEAST read them.  ToneLoc is extremely flexible and can
  27. be configured to work on almost any modem under almost any environment.
  28. Unfortunately, flexibility has its price.  There are many options in the
  29. config file that should be set up for your modem.  And there are many
  30. command line switches that are very useful.  Trust us, reading the docs
  31. now will enlighten you to the tons of useful features, and save you
  32. headaches later.  To sum it up, ToneLoc rocks and if you don't read the
  33. docs, you're a LAMER!
  34.  
  35.  
  36. Here are the command line options for ToneLoc:
  37.  
  38. ToneLoc  [DataFile]  /M:[Mask] /R:[Range] /D:[ExRange] /X:[ExMask]
  39.          /#:[Number] /C:[Config] /S:[StartTime] /E:[EndTime] /H:[Hours]
  40.          /T[-] /K[-]
  41.  
  42.     You can use ":" or "-" as a delimiter. If you don't use ":" or "-",
  43. ToneLoc will assume there is no delimiter. Example:  ToneLoc [DataFile]
  44. /M[Mask] ...
  45.  
  46.      When you run ToneLoc you need to give it at least one command line
  47. parameter.  The only required parameter is a data filename; the rest are
  48. optional.  The optional parameters can come in any order.  If you only
  49. provide a filename, the filename is also used as the mask.  A mask tells
  50. ToneLoc what numbers to dial.  A mask will look something like this:
  51. 555-1XXX.  The X's are replaced by ToneLoc with random numbers.  It will
  52. never dial the same random number twice in the same mask.  If you exit
  53. before the mask has been exhausted, ToneLoc will save the array of
  54. numbers dialed and their results in the data file.  You should never
  55. have more than 4 X's in a mask.  ToneLoc will run, but since ToneLoc
  56. uses integer variables, the numbers will be all screwed up, since 5 X's
  57. would have 100,000 possible numbers which is more than 32,768 (integer)
  58. and 65,536 (word).  If you have no idea what I'm talking about, just
  59. trust me and don't put 5 X's in the mask.
  60.  
  61.     The next command line parameter is the Mask (/M).  If you use this,
  62. your data filename can be anything you want, and the mask will be taken
  63. from the string following /M.
  64.  
  65.      The next parameter is the range to dial (/R).  This makes it easier
  66. to specify a range of numbers without having to exclude numbers.  Say
  67. you want to dial from 835-1000 to 835-2000, you would run:
  68. TONELOC 835-XXXX /R:1000-2000.
  69.  
  70.      The next parameter is the range to NOT dial (/D).  Say you want to
  71. dial 345-xxxx, but you know that 345-9000 - 345-9999 are all payphones.
  72. Run:  TONELOC 345-XXXX /D:9000-9999.  ToneLoc would dial everything
  73. except the 9000-9999 range.
  74.  
  75.      Another way to accomplish the same thing would be to use an Exclude
  76. mask.  (/X)  This is a mask of numbers NOT to dial.  To dial the entire
  77. 345 prefix, EXCEPT the 5000-5999 range, you could run:
  78. TONELOC 345-XXXX /X:5XXX
  79. Notice that is "/X:5XXX" and not "/X:345-XXXX".  The Exclude mask must be
  80. a subset of the original mask.  You can specify up to 10 exclude masks.
  81.  
  82.      Excluded numbers (from masks or ranges) are only excluded for the
  83. current run of ToneLoc - the flagging is not permanent.  Between your
  84. dial masks and ranges you should be able to obtain a good degree of
  85. specificity in your scan.
  86.  
  87.      The next command line parameter (/C) is which configuration file to
  88. use (.CFG).  This file contains all of the configuration data for ToneLoc,
  89. such as which COM port to use, the baud rate, window colors, dial string,
  90. etc.  See the configuration file for details.
  91.  
  92.      The next parameter is the starting time (/S).  ToneLoc will wait
  93. until this time to begin the dial scan.  You can use either standard
  94. time notation (5:30p) or military time (17:30) for any time parameter.
  95. You can hit any key to start early.
  96.  
  97.      The next parameter is the ending time (/E).  When this time is
  98. reached ToneLoc will end the current scan.
  99.  
  100.      The next parameter is a useful shortcut (/H).  It specifies an end
  101. time at a certain number of hours and minutes past the start time.  If
  102. you specify a start time and a number of hours (/S:10:00p /H:5:30), the
  103. end time will be the start time plus the number of hours desired (3:30
  104. AM). If you specify both an end time and a number of hours, the number
  105. of hours will take precedence.
  106.  
  107.      The next few parameters are overrides for the scan type (/T, /K,
  108. /T-, /K-).  This is usually set in the config file, but this parameter
  109. overrides it.  To scan for tones you'd use /T.  To scan for everything
  110. except tones use /T-.  To scan for carriers you'd use /K, to scan for
  111. everything except carriers use /K-.  The inverted scan modes are useful
  112. for hacking a PBX; see below on hacking PBX's.
  113.  
  114.      If you have data files from previous versions of ToneLoc, there is
  115. a utility included with ToneLoc called "TCONVERT" that will bring your
  116. data files up-to-date. There can be as many data files in the directory
  117. as you want.  Don't forget to SAVE your data files, they don't take too
  118. much space, and they are great with Tonemap.
  119.  
  120.      Here are a few example command lines:
  121.  
  122.  ToneLoc 346-XXXX           - Dial 346-0000 to 346-9999 using the
  123.                               default configuration file, saving
  124.                               responses to the data file 346-XXXX.DAT.
  125.  
  126.  ToneLoc 950-5XXX /C:NINE5  - Dial 1000 numbers, from 950-5000 to 950-5999
  127.                               (randomly), and use the configuration file
  128.                               NINE5.CFG. This configuration file might
  129.                               skip rings and have a short wait. This
  130.                               could be used for dialups.
  131.  
  132.  ToneLoc 474-9XXX /X:1XX    - Dial 1000 numbers, from 474-9000 to 474-9999
  133.                               (randomly), using the default configuration
  134.                               file TL.CFG, but exclude 474-9100 to 474-9199.
  135.                   Also see next example.
  136.  
  137.  ToneLoc 474-XXXX /R:9000-9999 /X:91XX
  138.                             - Same as above, but easier to understand.
  139.                               This method is better for another reason:
  140.                               If you scan 9000-9999 now, and later decide
  141.                               to scan the rest of the prefix, this method
  142.                               would keep the whole scan in one data file,
  143.                               rather than having 474-9XXX.DAT  and
  144.                               474-XXXX.DAT.
  145.  
  146.  ToneLoc 474-XXXX /R:9000-9999 /D:9100-9199
  147.                              - Another version of the above.
  148.  
  149.  ToneLoc 836-99XX /C:LOOP /S:21:30
  150.                             - Dial from 836-9900 to 836-9999 (100 numbers)
  151.                               using the config file LOOP.CFG, but waiting
  152.                               until 9:30 PM to begin dialing.
  153.  
  154.  ToneLoc TEST /M555-1XXX /H:5:00 /x:3XX /x:1XX
  155.                              - Dial the numbers from 555-1000 to 555-1999
  156.                                for five hours maximum, saving the dialed
  157.                                numbers to TEST.DAT, and excluding the
  158.                                ranges 1300-1399 and 1100-1199.
  159.  
  160.  ToneLoc 677-8xxx /E:8:30a   - Dial the numbers 677-8000 to 677-8999
  161.                                until 8:30 AM, saving the dialed numbers
  162.                                to 677-8XXX.DAT.
  163.  
  164.  ToneLoc 389-xxxx /#:5000 /H:30:00
  165.                               - Dial the numbers 389-0000 to 389-9999
  166.                                 for thirty hours maximum or 5000 dials,
  167.                                 which ever comes first.
  168.  
  169.      The optional parameters can come in any order, but the name of the
  170. datafile MUST be the first parameter.  If there is no mask specified, the
  171. data file name is used as the mask.
  172.  
  173.      We hope you are impressed by the way the screen looks while dialing.
  174. The screen is split up into 3 major windows.  The first window, called the
  175. Activity Log, takes up the entire left half of the screen.  It tells you
  176. what is going on.  If LOGGING is ON, everything that appears here also
  177. goes to the log file.  The following messages may appear in the message
  178. log:
  179.  
  180.      22:54:09 »
  181.           This is written at the beginning of each run.  It makes it
  182.           easier for you to separate ToneLoc runs in the log file.
  183.  
  184.      22:53:53 ToneLoc started on 10-Mar-94
  185.           This is self explanatory.
  186.  
  187.      22:53:53 Data file:   403-XXXX.DAT
  188.           This shows which file ToneLoc is using to store the dialed
  189.           numbers.
  190.  
  191.      22:53:53 Config file: TL.CFG
  192.           This shows which file ToneLoc has loaded the configuration
  193.           information from.  TL.CFG is the default configuration file.
  194.  
  195.      22:53:53 Log file:    TONE.LOG
  196.           This shows which file ToneLoc is logging the scan to.  This
  197.           file name is set in the configuration file and can be changed
  198.           there.
  199.  
  200.      22:53:53 Mask used:   403-XXXX
  201.           This tells what mask you used for the current run.
  202.  
  203.      22:53:53 Exclude mask 1:  8XXX
  204.           Shows which numbers you AREN'T dialing in the current run.
  205.  
  206.      22:53:53 Initializing modem ...
  207.           ToneLoc is trying to initialize the modem.  It will either
  208.           give a "Done" message or a "Failed" Message.  ToneLoc will
  209.           try 3 times to initialize the modem.
  210.  
  211.      22:53:53 Waiting until 09:30:00
  212.           ToneLoc is waiting until 9:30 AM to start the current scan.
  213.           You can hit any key to start early.
  214.  
  215.      23:30:44 474-5294 - Timeout (1)
  216.           This means the number was dialed, it rang ONCE (notice the '(1)' ),
  217.           and then it timed out without finding anything.
  218.  
  219.      23:30:56 474-5335 - Timeout (3)
  220.           This means the number was dialed, and nothing was found during
  221.           the WaitDelay. The (3) indicates there were three rings.
  222.  
  223.      23:31:00 474-5978 - No Dialtone #1
  224.           This means when ToneLoc tried to dial, there was no dial tone
  225.           found (your dialtone).  When this happens, ToneLoc tries the
  226.           same number again, until it has tried the number of times by
  227.           specified by NoToneAbort in the config file.
  228.  
  229.      23:39:02 474-5685 - Busy
  230.           This means the number dialed was busy.
  231.  
  232.      00:24:26 474-5989 - ** TONE **
  233.           Holy Shit!  You found a tone.  It is probably either a loop,
  234.           PBX, or dial-up LD carrier.  Now its your job to hack it out
  235.           and use it!
  236.  
  237.      09:14:34 353-0911 - * CARRIER *
  238.           Even better!  You found a carrier.  If you have found logging
  239.           activated, the result will be logged there. If you're lucky,
  240.           it's you DATAKIT dialup.  Otherwise, it could be a BellCore
  241.           unix!  Of course it could be a do-nothing carrier.  Those
  242.           suck.
  243.  
  244.      00:24:26 474-5489 - Voice   (1)
  245.           This means your modem detected a voice answer.  Good modems
  246.           like the USR HST/DS can detect voice.  X5 or X6 in your init
  247.           string will enable this on a HST/DS.  CAUTION: the "VOICE"
  248.           response can be triggered by some dialtones, so you may want
  249.           to disable this if you are scanning for tones. See below.
  250.  
  251.      06:45:43 Ringout (3)
  252.           This means MaxRings (in this case 3) was reached and the dial
  253.           was aborted. See below for a discussion of rings.
  254.  
  255.      15:11:23 474-5555 - * Blacklisted #5 *
  256.           This means the number was found in the BlackList file
  257.           (the 5th entry), so it was not dialed.  This is highly
  258.           recommended for areas with Caller ID and ex-girlfriends.
  259.  
  260.      00:45:01 Autosaving
  261.           This means ToneLoc is backing up the .DAT file after the
  262.           interval set in the config file.
  263.  
  264.      04:53:12 Stopping at 10:00:21
  265.           ToneLoc has reached the stop time specified after /E and is
  266.           exiting the current scan.
  267.  
  268.      03:00:32 All 10000 codes exhausted
  269.           Damn, you dialed every possible number!  3 X's means 1000
  270.           numbers are possible.  4 X's means 10,000 numbers are
  271.           possible, etc.  Like this: 10^X, where X is the number of X's
  272.           in the mask.  Math sucks.
  273.  
  274. Other messages are in response to input:
  275.  
  276.      00:25:31 474-5629 - Speaker ON
  277.           By hitting S you can toggle the speaker on and off DURING a
  278.           scan.  ToneLoc will beep high (ON) or low (OFF) depending on
  279.           the status of the speaker.  ToneLoc waits until it is finished
  280.           with the current dial to toggle the speaker.
  281.  
  282.      00:28:45 474-9091 - Volume set to 3
  283.           By hitting a number 0-9 you can set the volume level with the
  284.           commands defined in the Config file. You can also use them for
  285.           customized commands.
  286.  
  287.      00:25:59 474-5985 - * Noted *
  288.           You can hit N to make a note in the log next to this number.
  289.           Aborts current number.  Use it when you find something
  290.           interesting like a drunk cowboy yelling at you through the
  291.           phone.  Other note keys are:
  292.              C - Carrier
  293.              F - Fax
  294.              G - Girl
  295.              K - Custom note (you can type a note yourself)
  296.              V - VMB
  297.              Y - Yelling asshole
  298.  
  299.      00:27:23 474-5239 - Jumped to DOS
  300.           Hit J to shell to DOS.  Just type EXIT to return.  This will
  301.           abort the current number being dialed, but ToneLoc will redial
  302.           it after you return from DOS.  Be careful to "exit" and not
  303.           to just re-run ToneLoc.
  304.  
  305.      00:27:45 474-5722 - Redialing
  306.           Hit R to redial the current number.  Useful if a number doesn't
  307.           "take" or you want to fuck with that drunk cowboy who answered
  308.           last time.
  309.  
  310.      00:30:45 474-5123 - Escaped
  311.      03:30:45 Dials/hour : 225
  312.      00:30:46 ToneLoc Exiting ...
  313.           Hitting escape will abort the current number and exit the
  314.           program. ToneLoc writes the average number of dials per hour
  315.           to the log file.
  316.  
  317.      00:28:12 474-5756 - Aborted
  318.           Hitting the Spacebar will abort the current number.
  319.  
  320.      00:45:23 454-5365 - Paused
  321.           Pressing P will stop the current dial and wait for another
  322.           keypress before continuing.  Good in case you want to use
  323.           the phone for a sec.
  324.  
  325. A few keys don't have screen responses:
  326.  
  327.   X : Adds 5 seconds to the WaitDelay time for this dial only. Can be
  328.       used repeatedly on the same dial.
  329.  
  330.      Ok, on to the next window.  The top-right corner of your screen is
  331. the modem window.  Everything that is returned from your modem is shown
  332. here.  This isn't very useful, except maybe for debugging, but it looks
  333. neat.
  334.      The last window is in the bottom-right part of the screen.  Its
  335. called the Statistics window.  It shows a bunch of cool stuff like....
  336.  
  337.      ■ The time you began scanning.
  338.      ■ The current time.
  339.      ■ The maximum number of possible numbers,
  340.        based on your mask and negative mask.
  341.      ■ The number of numbers already dialed.
  342.      ■ Number of responses for CD (carriers), Tone, Voice, Busy, & Ringout.
  343.      ■ The average number of dials per hour.
  344.      ■ ETA - Estimated Time to Arrival (or completion).
  345.        This is the number of hours and minutes left in the scan, based
  346.        on your current dials per hour and numbers left.
  347.      ■ The number of rings so far in the current dial.
  348.      ■ Last 5 tones or carriers found.
  349.  
  350.      You'll also notice (you better!) the meter at the bottom right.
  351. Pretty cool huh?  It just shows the progress of the current call.  This
  352. is a graphic representation of the elapsed wait time as set in the config
  353. file.  If you can't stand to look at a still screen, set a fancy meter
  354. wipe option in the config file.
  355.  
  356. The Black List File:
  357. ~~~~~~~~~~~~~~~~~~~~
  358.  
  359.      This is a file of up to 1000 numbers that ToneLoc should never dial.
  360. Put your own numbers here, your friends numbers, the police department,
  361. fire department, etc.  Each number should be on its own line exactly as
  362. ToneLoc will dial them. For example the entry "555-1212" will only
  363. blacklist the number "555-1212", not "1-555-1212" or "5551212".
  364. ToneLoc matches partial strings. If you blacklist "911", you'll also
  365. blacklist anything that contains the numbers "911": "555-9111", "5911432",
  366. etc. If you really can't trust yourself, blacklist "911-".
  367.  
  368.      If ToneLoc comes up with one of these numbers as a candidate for a
  369. dial attempt, it will skip it and move on to the next number.  Anything
  370. after a semicolon (;) is ignored, so you can comment this file.
  371.  
  372. Rings And The X Parameter:
  373. ~~~~~~~~~~~~~~~~~~~~~~~~~~
  374.  
  375.      This discussion refers in particular to newer USRobotics modems. If
  376. you are using another brand of modem you'll probably have to sort
  377. through the details yourself.
  378.  
  379.      This can get confusing so a little detail is in order. There are
  380. several ways to deal with the RINGING message that your modem can
  381. generate.  The simplest is to simply disable it with the X4 command in
  382. your modem init string.  With X4, RINGING and VOICE will be supressed as
  383. responses.  This is simple enough, but you won't get much diagnostic
  384. detail in your logs or .DAT files, and your scan will take longer
  385. because more of the calls will go all the way until timeout instead of
  386. aborting earlier because of a Ringout or Voice response.  You can enable
  387. these messages with the X6 flag, which will respond with VOICE and
  388. RINGING when it is detected.  Unfortunately, VOICE can give a false
  389. response when you are looking for dialtones.  Of particular importance,
  390. the high pitched 2600hz tone (wink start) which precedes many PBX's
  391. initial dialtone will cause a VOICE response.
  392.  
  393.      X7 supresses the VOICE response, but leaves the RINGING response.
  394. In our experience RINGING is seldom a false response, and any potential
  395. VOICE responses will show up as BUSY's.  If you decide to use X7, you'll
  396. need to adjust the MaxRings parameter in your config file.  Experiment a
  397. little bit to decide how to set it.  If you set it to 0, the number of
  398. rings will be recorded, but ToneLoc will never abort because of rings.
  399.  
  400.      If you are using a USRobotics modem to scan for carriers, however,
  401. you should use the X6 command since the modem will never give a false
  402. response when looking for carriers.  Your scan will go faster, and your
  403. .DAT file will be more detailed.
  404.  
  405. After the Scan:
  406. ~~~~~~~~~~~~~~~
  407.  
  408.     Well now that I have some dial tones, what the fuck do I do with
  409. them?  First, figure out what kind of a number it is.
  410.  
  411.     PBX's usually have a 3-8 digit code, but they can be longer, or they
  412. can have NO code.  If you enter the correct code, you will hear a second
  413. dial tone.  Otherwise you will probably get a reorder (fast busy), busy,
  414. a hangup, or ringing.  Sometimes it will ring the PBX attendant (the
  415. operator - ugh).  But ringing the attendant is a good way to find out
  416. who owns the PBX.  Once you get the second dialtone, dial 9+ACN (sometimes
  417. X+ACN, where X is often 7 or 8, and less frequently other digits) to make
  418. a long distance call.  (NOTE: ACN = Area Code & Number) Some PBX's have
  419. no code, you just need to dial 9.  Sometimes the code will follow the
  420. number in the format 9+ACN+Code. Sometimes you'll need to dial 1 first.
  421. Many will also call international.  Experiment.  See below on hacking them.
  422.  
  423.     It might also be a long-distance extender dial-up.  You'll find many
  424. of them in the prefix 950-xxxx.  Sometimes it is easy to hack a code, but
  425. please be careful!  They are easy to get busted on.  MCI people are dicks.
  426. They get off on busting people, and announcing it to the world.  Sprint
  427. doesn't fuck around either, they'll bust you, but they like to keep it
  428. quiet.  And the little guys are getting smarter too.  Consult with
  429. local phreaks before experimenting with an unfamiliar extender.
  430.  
  431.    Here's a tip.  If you scan 950's you'll find most will give either a
  432. result of Voice, Ring, or Busy. A few will be Tones, but also a few will
  433. be Timeouts.  Investigate these - you may find something interesting,
  434. like a voice-prompted dialup or a modem carrier.
  435.  
  436.     You may also find "Phantoms".  In Mucho's area there are several MCI
  437. dialup ports that are no longer in use since the full implementation of
  438. Equal Access.  Hack all day, you won't find a code.  Try and figure out
  439. what you are hacking before you waste time on a dead end.
  440.  
  441.     Now, for an explanation of loops.  We'll tell you what we know about
  442. them, which ain't a whole lot.  Loops are a pair of phone numbers,
  443. usually consecutive, like 836-9998 and 836-9999.  They are used by the
  444. phone company for testing.  What good do loops do us?  Well, they are
  445. cool in a few ways.  Here is a simple use of loops.  Each loop has two
  446. ends, a 'high' end, and a 'low' end.  One end gives a (usually) constant,
  447. loud tone when it is called. The other end is silent.  Loops don't usually
  448. ring either.  When BOTH ends are called, the people that called each end
  449. can talk through the loop.  Some loops are voice filtered and won't pass
  450. anything but a constant tone; these aren't much use to you.  Here's what
  451. you can use working loops for:  billing phone calls!  First, call the end
  452. that gives the loud tone.  Then if the operator or someone calls the other
  453. end, the tone will go quiet.  Act like the phone just rang and you answered
  454. it ... say "Hello", "Allo", "Chow", "Yo", or what the fuck ever.  The
  455. operator thinks that she just called you, and that's it!  Now the phone
  456. bill will go to the loop, and your local RBOC will get the bill!  Use this
  457. technique in moderation, or the loop may go down.  Loops are probably most
  458. useful when you want to talk to someone to whom you don't want to give
  459. your phone number.
  460.  
  461.      As for carriers.. well, we would hope you know what to do with a
  462. carrier by now.  But if you don't, a good place to start is The Mentor's
  463. Guide to Hacking.
  464.  
  465. Carrier Logging
  466. ~~~~~~~~~~~~~~~
  467.  
  468.      Carrier logging isn't terribly hard to understand or use. If you have
  469. Carrier Logging enabled, ToneLoc will log the results of whatever it finds
  470. to the found log file. There are two values you'll need to set for this,
  471. the nudge string and the nudge delay. The nudge string is the string ToneLoc
  472. will send to the carrier, the nudge delay is how long it will log
  473. afterwards. The default nudge string is a series of pauses and returns, but
  474. you can put whatever you like, including control characters (^X sends
  475. control-X).
  476.  
  477. For example:
  478.  
  479.  
  480. 14-Dec-93 17:42:57 565-2351 C: CONNECT 2400/ARQ/MNP
  481.  
  482. Trying CYMK (192.54.21.1)... Open
  483.  
  484.  
  485. Cray UNICOS (cymk) (ttyp007)
  486.  
  487. NOTICE: THIS PRIVATE SYSTEM IS RESTRICTED TO AUTHORIZED USERS.
  488.         UNAUTHORIZED ACCESS OR USE WILL RESULT IN PROSECUTION.
  489.  
  490. login:
  491. login:
  492. login:
  493. login:
  494. login:
  495.  
  496. 15-Dec-93 02:47:07 565-2318 C: CONNECT 1200/NONE
  497.  
  498. DYNIX/ptx(R) V2.1.0
  499. System name: sleeze
  500.  
  501. login: DYNIX/ptx(R) V2.1.0
  502. System name: sleeze
  503.  
  504.  
  505. There are a two kinds of stripping that can affect the output you get
  506. from carrier logging, linefeed and parity. You'll probably want to strip
  507. the linefeed characters, otherwise you'll end up with this:
  508.  
  509.  
  510. 16-Dec-93 05:31:23 565-3202 C: CONNECT 1200/NONE
  511.  
  512.  
  513.  
  514. 
  515. KEYBOARD LOCKED, WAIT FOR LOGIN
  516.  
  517. -[1;24r-[1;1H-[0J
  518. Login:
  519.  
  520. Login:
  521.  
  522. Login:
  523.  
  524. Login:
  525.  
  526.  
  527. Which isn't as clear to read.
  528.  
  529. Parity stripping is usually straightforward. It should be pretty clear
  530. that this is not correct:
  531.  
  532.  
  533. 17-Dec-93 06:09:11 565-5122 C: CONNECT 1200/NONE
  534. ╫╧╥D:áì
  535. ì
  536. ╔NVA╠╔DáUS┼╥NAM┼-PASS╫╧╥DáPA╔╥.ì
  537. ì
  538. US┼╥NAM┼:áì
  539. ì
  540. PASS╫╧╥D:á
  541.  
  542.  
  543. With parity stripping set, it comes in clear:
  544.  
  545.  
  546. 17-Dec-93 06:24:45 565-5122 C: CONNECT 1200/NONE
  547.  
  548. LROLM CBX  MODEL 10, 9030 PROCESSOR  SITE ID: SEARS42343
  549. RELEASE: 9005.2.78  BIND DATE: 17/September/92  Megabytes
  550. Copyright (c) ROLM, A Siemens Company 1992
  551. All rights reserved  -  Property of ROLM
  552. 06:25:38 ON Friday 12/17/1993   26 DEGREES C
  553.  
  554.  
  555. USERNAME:
  556.  
  557. PASSWORD:
  558.  
  559. INVALID USERNAME-PASSWORD PAIR.
  560.  
  561.  
  562. But parity stripping can can be more subtle. This looks like nonsense
  563. at 8N1:
  564.  
  565. 19-Dec-93 14:45:03 565-7832 C: CONNECT 1200/NONE
  566.  
  567. á?Pì
  568.  
  569.       Öá?Pì
  570.  
  571.              Öá?Pì
  572.  
  573.                     Öá?Pì
  574.  
  575.                            Öá?Pì
  576.  
  577.                                   Öá?Pì
  578.  
  579.                                          Öá?Pì
  580.  
  581.                                                 Ö ?A
  582.  
  583. It reveals itself when stripped (E71):
  584.  
  585. 19-Dec-93 15:12:52 565-7832 C: CONNECT 1200/NONE
  586.  
  587. 
  588.    ?A
  589. 
  590.    ?A
  591. 
  592.    ?A
  593. 
  594.    ?A
  595. 
  596.    ?A
  597. 
  598.    ?A
  599. 
  600.    ?A
  601. 
  602.  
  603. ToneMap:
  604. ~~~~~~~~
  605.  
  606.    The best way to learn about the allocation of numbers in a given
  607. prefix is to call each number individually, listen to the result, and
  608. keep careful notes. Since this is impossible for most of us, ToneLoc
  609. has been designed to keep track of it for you.  ToneLoc keeps a very
  610. detailed data file.  It records the response of each number, whether it
  611. was a tone, carrier, voice, timeout, etc, and how many times it rang.
  612. This information is stored in a 10k .DAT file, which ToneMap can read
  613. and display for you as graphic map of the numbers you have scanned.
  614.  
  615.     When shown this way, patterns become evident which might otherwise
  616. remain obscure.  PBX DID (Direct Inward Dial) groups, bands of busy
  617. numbers, ranges of beeper numbers, and more should all show up clearly
  618. defined in your maps if they are present. ToneMap requires a color VGA
  619. display, it uses MCGA (320x200x256). It can also use the mouse if you
  620. have one installed.
  621.  
  622.     Run ToneMap like this: "TONEMAP <datfile>" and press Enter. To view
  623. a series of DAT files at once, run ToneMap with a wildcard:
  624. "TONEMAP *.DAT", for example. If you wish to view a specific set of
  625. .DAT files, create a file with the full name of each .DAT file on a line
  626. by itself. Then run "TONEMAP @<filename>".
  627.  
  628.      To move around use the arrow keys on the cursor pad; diagonals work
  629. too. Ctrl-Home takes you to 0000, Ctrl-End takes you to 9999. If you are
  630. viewing a series, Ctrl-Pgup and Ctrl-Pgdn will take you to the previous
  631. or next file. To use the mouse, position the cursor where you wish to be
  632. then click. A few features are only available with a mouse. To dim all
  633. but a selected class of responses, click on the desired color box in the
  634. key. Try clicking on the timeout box; you can highlight individual
  635. ringout numbers to illustrate subtle patterns. To edit a response,
  636. select it with your cursor, then click its color box in the lower right
  637. hand corner. You will be prompted to choose the color to change to;
  638. click the color box in the key of the response you wish to change it to.
  639. Doing this to a ringout(X) response increases the value of X by 1 each
  640. time.
  641.  
  642.     We've included 12 sample DAT files.  Have a look at one of them.
  643. You should see a square of colors that takes about 2/3 of the screen,
  644. and a key to the colors on the right.  Each square represents a response
  645. type of a single phone number in the prefix.  It starts at the top left
  646. (0000) and works down and to the right (9999).  Each vertical column is
  647. 100 numbers.
  648.  
  649.     Here's an explanation of the colors:
  650.  
  651.     BLACK        = Undialed (Not yet dialed by ToneLoc)
  652.     GREY         = Timeout (Lighter = more rings before timeout)
  653.     ORANGE/RED   = Busy number.
  654.     DARK BLUE    = Blacklisted number.
  655.     DARK GREEN   = RingOut. (Rang too many times)
  656.     LIGHT GREEN  = Tone
  657.     LIGHT YELLOW = Carrier
  658.     CYAN         = NOTED Number ('N' was pressed)
  659.     DARK RED     = Aborted (spacebar pressed)
  660.  
  661.      There are other colors too, as you can see in the key, but the ones
  662. above are the important ones. Use the cursor keys or mouse to move the
  663. white cursor around the map. The number on the bottom right corner will
  664. change and you'll see the result type and color for that number.
  665.  
  666.      You can get a little or a lot from a .DAT map.  If the exchange is
  667. a rural or residential one you'll probably see an even distribution of
  668. result codes, with a certain level of each major result code.  Besides a
  669. different number of timeouts, ringouts, or busys, most residential
  670. exchanges look very similar - an even distribution with no pattern.
  671.  
  672.      In a business exchange you are much more likely to find patterns.
  673. You may find a string or cluster of modems, a large range of similar
  674. timeouts or voice responses, etc.  Ranges that are busy could be
  675. permanently busy, or some message which the modem detects as a busy.  A
  676. series of ringouts could indicate part of a PBX's DID (Direct Inward
  677. Dial) group.  It varies widely, and your best bet is to always check it
  678. out manually - you never know what you'll find.
  679.  
  680.      It behooves you to scan your prefixes and study your results.  It
  681. is best to scan a prefix in one big scan (555-xxxx rather than 555-0xxx,
  682. 555-1xxx, etc) so you can see the whole prefix at once.  We would love
  683. to have a look at your results and have a look at your .DAT files - try
  684. to get in touch with us!  Who knows ... maybe your ToneMap will end
  685. up on a T-shirt someday!
  686.  
  687. Hacking PBX's:
  688. ~~~~~~~~~~~~~~
  689.  
  690.      If the PBX code is 4 digits or less you can use ToneLoc to hack it.
  691. The simplest way is to use ToneLoc to look for an internal dialtone.
  692. Lets say you found a 3 digit PBX at 555-9999 which hangs up on you after
  693. you enter a bad code.  You'd use ToneLoc like this:
  694.  
  695. ToneLoc Example1 /m:555-9999Wxxx
  696.  
  697. (EXAMPLE1.DAT will be the .dat file, /m: specifies the mask.)
  698.  
  699.      This will produce dialing strings like this:  ATDT 555-9999Wxxx W;
  700. ToneLoc will dial the number, wait for a dialtone, try a code, then wait
  701. for a second dialtone.  If you get the right code, you'll get the second
  702. dialtone, otherwise you'll just get a timeout.
  703.  
  704.     Some PBX's have alert tones for invalid codes which the W command
  705. will hear as a dialtone.  You can't look for a second dialtone directly
  706. with the W command on these PBX's, but ToneLoc has a scan mode designed
  707. specifically for this problem.  Set the scan mode to look for everything
  708. except tones, either in the config file or on the command line, and use
  709. ToneLoc like this:
  710.  
  711. ToneLoc example2 /m:555-8999WxxxW1
  712.  
  713.     This will produce dialing strings like this: ATDT 555-8999WxxxW1 W;.
  714. ToneLoc will dial the number, wait for the first dialtone, dial the
  715. code, wait for a dialtone, dial 1, then wait for a dialtone.  If the
  716. code is invalid, the second W command will hear the alert tones as a
  717. dialtone and dial 1.  The tones should keep playing, and the third W
  718. will respond to the alert tones too, giving a final response of Tone.
  719. If the code is valid, the second W command will hear the internal
  720. dialtone and the 1 will immediately quiet it since 1xx or 1xxx is a
  721. valid extension on most PBX's.  This would give a final response of
  722. Timeout since the third W command won't find a tone - and voila, you
  723. have your code.  Are you confused yet?
  724.  
  725.      This method might not work if 1xx or 1xxx isn't a valid extension
  726. on the PBX you are trying to hack, since some PBX's will immediately
  727. give an alert tone if you dial the first digit of an invalid extension.
  728. If you fail the first time around, and think you might have this
  729. problem, have a look at the phone number for the PBX indial.  For
  730. example, if the PBX indial is 555-6444, it's a good bet that some valid
  731. DID extensions are in or near 4xx.  Therefore, 4 is probably going to be
  732. the first digit of a valid extension, making it a good candidate for
  733. your terminal digit.
  734.  
  735.      Apparently some PBX's will respond with a carrier blast to an
  736. invalid code, although we've never found one.  You can use the
  737. everything-but-a-carrier scan mode for these, or just look for an
  738. internal dialtone since carriers don't appear as tones to the W command.
  739.  
  740. Cautions & Usage Notes:
  741. ~~~~~~~~~~~~~~~~~~~~~~~
  742.  
  743.      We do not have personal experience scanning 1-800 exchanges with
  744. ToneLoc but we recommend that you exercise caution.  For a classic
  745. example, see the Fall 1992 issue of 2600 magazine.  There is a letter
  746. in there that Minor Threat received once after dialing about 100
  747. 1-800 numbers by HAND sequentially!  First of all, if you are are
  748. looking for tones you may not get much.  Many of the PBX's or extenders
  749. you would be looking for will answer with a short tone, about the length
  750. of a ring.  That's how ToneLoc will perceive those tones - as a ring.
  751. Many of the PBX's may also answer with silence, and need # or 9 to
  752. activate their tone.  Local PBX's can answer like this as well, however
  753. the 800 exchanges are more likely to have better security since they
  754. are under constant pressure from call-sell operations as well as every
  755. code abuser in the nation.  Second, MCI and Sprint can get irritated when
  756. someone makes thousands of calls into their 800 exchange, and, unlike a
  757. local number, they WILL have easy access to at least your area code and
  758. exchange, and probably your entire phone number.  Since each 800 call
  759. costs somebody money, and you aren't conducting legitimate business during
  760. these calls, it might also be considered theft of service.
  761.  
  762.      Hacking an 800 system of any kind, be it a computer, long distance
  763. extender, PBX, or even a VMB system, can be extremely risky.  We urge you
  764. to use good judgment.  Find a local PBX and divert your call through it.
  765.  
  766.      If you live in an area with the Call Return, Call Trace, or
  767. Caller ID active, you will definitely experience some call returns with
  768. ToneLoc.  Politely explain to anyone who calls back that you dialed a
  769. wrong number - don't provoke them into a Call Trace.  Who knows, you
  770. may even meet a fellow hacker (Its happened to us - TWICE!).  If Caller
  771. ID is active, use more caution - they could have your phone number and
  772. scanning could be construed as harrassment, especially if it happens at
  773. 3:00 am.
  774.  
  775.      In any case, please use some intelligence if you are scanning a
  776. range that belongs to a large company.  Often the same operator will have
  777. to answer dozens of incoming phone numbers, and your strange hangups may
  778. get tiresome enough in the course of the day that he or she might decide
  779. to do something about it.  Listen in on ToneLoc to figure out what kind
  780. of an exchange you are scanning.  If it is principally a business exchange,
  781. consider only scanning at night when the affected businesses are closed.
  782. If it is mostly residential you might want to scan during the day.  Make
  783. intelligent use of the exclude mask to eliminate ranges that will most
  784. likely be unproductive - unused ranges, pager numbers, answering services,
  785. cellular phones, etc.  If you want an overview of your local exchanges,
  786. first try the yellow pages.  You will quickly discover where promising
  787. exchanges are.  If you want greater depth, go to your local public library
  788. and ask at the reference desk for the criss-cross directory.  A section
  789. of this directory is a listing of the telephone numbers in an exchange.
  790. It does not list unlisted or nonpublished numbers (PBX's will not show up,
  791. although the PBX billing number might), but it will show you if the
  792. exchange is a residential one or not.  Ten minutes of thought can save
  793. you 50 hours of scanning.
  794.  
  795.      When hacking a PBX, have some sense and do it late at night when
  796. nobody is using the PBX.  Have a little patience; you'll be glad you did.
  797. Make sure you hack RANDOMLY - sequential hacking is always a good
  798. way to get noticed (although it probably won't make a difference in this
  799. case), and besides ToneLoc has a better chance of finding the code sooner.
  800.  
  801. Scanning through an outdial
  802. ~~~~~~~~~~~~~~~~~~~~~~~~~~~
  803.  
  804.      Someone once suggested that I make ToneLoc configurable enough
  805. to where it could scan through an internet outdial.  This was a great
  806. idea, and it works.  ToneLoc can scan through an internet outdial.  It's
  807. kinda tricky, but definitely possible (I've done it).  It works like this:
  808. You must first call your outdial modem using a comm program, then you run
  809. ToneLoc, and it will initialize the (outdial) modem, and begin scanning!
  810. ToneLoc doesn't "know" it is scanning on a remote modem.. it doesn't care.
  811.      This is a pretty advanced topic, and requires some unusual config-
  812. uration changes.  You must first change your modem's "escape" character.
  813. Most modems default to "+", as in "+++" when hanging up.  Since you will
  814. be going through an outdial, your (local) modem will remain connected
  815. the entire scan session.  So, for ToneLoc to drop carrier on the remote
  816. modem, it cannot just drop DTR, because that would hangup YOUR modem,
  817. not the remote modem.  ToneLoc must use the "old" hangup method of sending
  818. "+++", waiting, and then sending "ATH0", and waiting for carrier to drop.
  819. This is slower than a DTR drop, but it is required for outdial scanning.
  820. Anyway, the important thing is HOW to do this.  On most modems, it is
  821. set with the S2 register.  Typing "ATS2?" will usually return a number.
  822. This is the ASCII code of your modem's escape character.  A "+" has an
  823. ASCII code of 43.  You need to change this to something else.  Try to
  824. pick something unsual.  For this example, I will use "@".  "@" has an
  825. ASCII code of 64, so you would type "ATS2=64 <enter>"  To verify the
  826. change, type "ATS2?" again and see if it returns "64".  Good.. on
  827. to the next part.
  828.      Now you need to run TLCFG (ToneLoc Configuration Program).  Under
  829. the "ModemStrings | Modem Commands" menu, make the following changes:
  830.  
  831.     Normal Hangup       -      ~~~+++~~~ATH0|~
  832.     Carrier Hangup      -      ~~~+++~~~ATH0|~
  833.     Tone Hangup         -      ~~~+++~~~ATH0|~
  834.  
  835. The rest of the ModemStrings options can remain the same.  Since you
  836. will be going through an outdial, you may have to increase some of the
  837. delay times under the ModemOptions menu.  Just experiment here.  Once
  838. this is setup, you are ready to scan.
  839.      Use your favorite communications program to dial into your outdial
  840. modem.  Once you're connected with the outdial modem, type "AT <enter>"
  841. to make sure you're talking to the modem correctly.  If it responds "OK",
  842. then you're in business.  Next, go run ToneLoc, and watch it carefully.
  843. It should start scanning.
  844.      The advantages to outdial scanning are: 1. You aren't scanning with
  845. your OWN phone line, and 2. You can scan long distance for free.  I have
  846. never heard of ANYONE actually using ToneLoc to do this, but I have done
  847. it (but not for very long).  If you want to scan through an outdial, and
  848. are havng problems, contact us (our internet address is somewhere in
  849. this doc file).  We'll try to help.
  850.  
  851. Is Scanning Illegal?  (Who cares)
  852. ~~~~~~~~~~~~~~~~~~~~
  853.  
  854.      We don't know.  We've heard it is legal to scan during business
  855. hours when the call would not be harrasment.  We've heard it's not
  856. illegal if you only call once.  We've heard that scanning with intent to
  857. hack is illegal, as if such a thing could be proven.  (Some people
  858. suggest not using the same phone line for hacking and scanning).
  859. Remember, the most important thing is not whether it is illegal, but
  860. whether you piss someone off or attract attention.
  861.  
  862. Here's what the staff at 2600 magazine have to say about wardialing:
  863.  
  864.      "In some places, scanning has been made illegal.  It would be hard,
  865. though, for someone to file a complaint against you for scanning since
  866. the whole purpose is to call every number once and only once.  It's not
  867. likely to be thought of as harassment by anyone who gets a single phone
  868. call from a scanning computer.  Some central offices have been known to
  869. react strangely when people start scanning.  Sometimes you're unable to
  870. get a dialtone for hours after you start scanning.  But there is no
  871. uniform policy.  The best thing to do is to first find out if you've got
  872. some crazy law saying you can't do it.  If, as is likely, there is no
  873. such law, the only way to find out what happens is to give it a try."
  874. [2600, Spring 1990, Page 27.]
  875.  
  876. (They're right about scanning being illegal some places. Thanks to the
  877. dedication of our beta testers in Boulder, Colorado, scanning now
  878. appears to be illegal there.)
  879.  
  880. Problems?  (Or; Why doesn't ToneLoc work with my modem?)
  881. ~~~~~~~~~
  882.  
  883.      ToneLoc's tone scanning mode may not work for everyone's modem.
  884. ToneLoc looks for tones by dialing strings like this: "ATDT 555-1234 W;".
  885. This tells the modem to dial the number 555-1234, wait for dialtone, and
  886. then return to the command line.  ToneLoc then waits for a result code.
  887. If it gets Ringing, Voice, Busy, etc. it moves on to the next number.
  888. If it gets nothing, the modem never heard a dialtone, so ToneLoc hangs
  889. up and moves on - this is a timeout.  If it gets "OK" as a result code
  890. the modem has heard a tone (W waits for a dialtone) and returned to
  891. the command line (semicolon (;) returns to the command line).
  892.  
  893.      ToneLoc won't work if your modem isn't discriminative.  Some cheap
  894. modems "detect" dial tones just fine, but they also "detect" everything
  895. else - rings, busys, even silence.  Other modems won't wait long enough,
  896. and will move from W to ; very quickly.  If you have a problem that
  897. doesn't stem from either of these, let us know and we'll see what we can
  898. do to help.
  899.  
  900.      We hope you find this program useful. Give it to anyone and
  901. everyone who deserves to have it.  If you think it is very cool and
  902. useful, try to contact us somehow.  If you think it is a piece of shit
  903. and the directions totally misguided, try to contact us anyway.  Our
  904. handles are Minor Threat and Mucho Maas.  Our internet address is
  905. mthreat@paranoia.com.  Should that address bounce, try
  906. mthreat@ccwf.cc.utexas.edu.  Or look for "mthreat" on IRC in #hack.
  907.  
  908.  
  909.      ToneLoc is written in C and assembly.  Assembled by Turbo
  910. Assembler, and compiled by Borland C++.  Window routines are from
  911. CXL v5.2.  The built-in SERIAL routines are based on code from an
  912. excellent book called "Serial Communications in C and C++".
  913.  
  914. Minor Threat Sez:
  915.  
  916.      Thanks to Alexis Machine and Marko Ramius for getting me started
  917. phreaking.  Thanks to our beta testers, and thanks Alexander Bell for
  918. inventing the telephone.  I know he had us in mind.
  919.  
  920. Mucho Maas Sez:
  921.  
  922.      Thanks to Minor Threat for helping me work on ToneLoc.  It should be
  923. noted that the lion's share of the original programming was done by
  924. him.  Credit for the PBX hacking technique described here goes to an
  925. old text file by Steve Dahl. Thanks again to the beta testers for
  926. putting up with our bullshit.
  927.  
  928. ------------------------------------------------------------------------------
  929. One last quote: from a newspaper editorial in the 1870's
  930.  
  931. '... carrying human voice over copper wires is impossible, and even if
  932.  it was possible, the thing would have no practical use.'
  933.  
  934.  HA!
  935.