[C] Extracteur de panel iStealer

[C] Extracteur de panel iStealer - Version imprimable

+- N-PN White-Hat Project (https://dev.n-pn.fr/forum)
+-- Forum : Programmation (https://dev.n-pn.fr/forum/forumdisplay.php?fid=72)
+--- Forum : Langages compilés (https://dev.n-pn.fr/forum/forumdisplay.php?fid=25)
+--- Sujet : [C] Extracteur de panel iStealer (/showthread.php?tid=1914)

Pages : 1 2

[C] Extracteur de panel iStealer - supersnail - 15-02-2012

RE: Extracteur de panel iStealer - fr0g - 16-02-2012

Nice dude , bon boulot Smile

RE: Extracteur de panel iStealer - InFamouZz - 18-02-2012

merci beaucoup je me fais chier a decompiler en hexa les serveurs a chaque fois pour essayer de relancher les logs Blush

ce tool va me servire
merci beaucoup Smile

RE: Extracteur de panel iStealer - fr0g - 20-02-2012

Tiens , histoire de compléter le sujet, un petit script bidon envoyant des requêtes au panel iStealer pour le blinder de spams en tous genres:

[EDIT] dans le cas présent mon code parcours une wordlist et envoie le contenu de la wordlist au panel.

Code Python :

Code PHP :
#coding=utf-8
import urllib


# la variable j est limitée à 18 car istealer gere 18 logiciels differents
# pour ses logs, 0 est egal a un logiciel, 1 a un autre (exemple : 10 = firefox)



url = "votre_url_de_panel"     # Url du panel iStealer

f = open("list.txt","r")        # nom de la wordlist (un mdp par ligne)
i = 0                    # declaration de i et initialisation a 0
for line in f:                # pour chaque ligne dans le fichier f (la wordlist)
    j = 0                # declaration et initialisation de j a 0
    while j <= 18:            # tant que j est plus petit ou egal à 18
        urllib.urlopen(url+"/?action=add&a="+str(j)+"&p="+line+"&u="+line+"&c="+line+"&l="+line) # requete GET avec en paramètres la ligne de la wordlist
        print "Req num : "+str(i)                                 # affichage du numero de la requete
        j += 1                                                
        i += 1                                            # incrementation de i & j 

RE: Extracteur de panel iStealer - supersnail - 20-02-2012

Uep, j'en avais codé un à l'arrache en JS, mais en py c'est plus classe :þ

Par contre, iStealer a une (minable) protection contre le flood, mais il faut mettre une valeur qui change sur au moins l'un des champs Wink

RE: Extracteur de panel iStealer - fr0g - 24-02-2012

J'ai modifié ça, pour que les infos changent régulièrement (wordlist ^^) (le code à été édité Smile

)

pi j'ai rendu ça plus propre Smile

RE: Extracteur de panel iStealer - Kiwazaru - 08-03-2012

Super boulot, çà me donne encore plus envie de continuer mon ascension dans le langage C ! Big Grin

RE: Extracteur de panel iStealer - sakiir - 23-09-2012

ahhh pas mal ! bon boulot

RE: [C] Extracteur de panel iStealer - sakiir - 23-10-2013

Un ptit up ! j'aimerais savoir comment tu sais si c'est un exe istealer ?
j'ai pas bien compris ça :

Code C :

  //Check if executable is istealer (weak checking)

    printf(" [+] Checking if executable is a iStealer stub... \r\n");

    if(memchr((void*)exe_ptr, 0x454d5201, 0x40000) == NULL) {

        printf (" [-] Not an iStealer program (maybe encrypted?)\r\n");

        return 0;

    }

RE: [C] Extracteur de panel iStealer - gruik - 23-10-2013

(23-10-2013, 15h15)sakiir a écrit : Un ptit up ! j'aimerais savoir comment tu sais si c'est un exe istealer ?
j'ai pas bien compris ça :

Code C :

//Check if executable is istealer (weak checking) printf(" [+] Checking if executable is a iStealer stub... \r\n"); if(memchr((void*)exe_ptr, 0x454d5201, 0x40000) == NULL) { printf (" [-] Not an iStealer program (maybe encrypted?)\r\n"); return 0; }

en fait tout est dans la fonction memchr()
il cherche dans les 0x4000 premiers octets du buffer exe_ptr la signature 454d5201, si il ne la trouve pas il part du principe que ce n'est pas un executable iStealer

RE: [C] Extracteur de panel iStealer - thxer - 23-10-2013

Yop si j'ai bien suivit :
http://manpages.ubuntu.com/manpages/raring/fr/man3/memchr.3.html
'La fonction memchr() examine les n premiers octets de la zone mémoire pointée.'
Donc il cherche 'c' soit : 0x454d5201 dans le .exe
Donc si il n'y a pas cela iStealer ne doit pas être présent, à moins qu'il soit packed.

J'espère avoir bien compris :p

Edit : j'étais en train de rédiger ... XD bah cf gruik (ça fait un peu bête du coup)

RE: [C] Extracteur de panel iStealer - sakiir - 23-10-2013

Mais alors est-ce que c'est hazard que je trouve 4000 en Hexa dans l'editeur ASCII environ à l'adresse 0x454d5201 ?

(23-10-2013, 16h53)gruik a écrit :
(23-10-2013, 15h15)sakiir a écrit : Un ptit up ! j'aimerais savoir comment tu sais si c'est un exe istealer ?
j'ai pas bien compris ça :

Code C :

//Check if executable is istealer (weak checking) printf(" [+] Checking if executable is a iStealer stub... \r\n"); if(memchr((void*)exe_ptr, 0x454d5201, 0x40000) == NULL) { printf (" [-] Not an iStealer program (maybe encrypted?)\r\n"); return 0; }

en fait tout est dans la fonction memchr()
il cherche dans les 0x4000 premiers octets du buffer exe_ptr la signature 454d5201, si il ne la trouve pas il part du principe que ce n'est pas un executable iStealer

Et je ne coprend pas vraiment ce que tu appelles Signature ?? :/

RE: [C] Extracteur de panel iStealer - thxer - 23-10-2013

Oui je pense Smile

, ce n'est pas la signature on cherche 45 4d 52 01

Si tu ouvres un éditeur hexa et que tu cherche la valeur : 45 4d 42 01 cela revient au même.
et c'est 40 00 que tu dis or toi tu as 04 00 00. Soit en hex : 40 00 00 != 04 00 00.

RE: [C] Extracteur de panel iStealer - sakiir - 23-10-2013

Mais alors comment supersnail à eu l'idée de faire se bout de code ? comment a t'il sut que c'etait ca qu'il fallais utiliser ?

RE: [C] Extracteur de panel iStealer - thxer - 23-10-2013

Tiens Wink

http://www.garykessler.net/library/file_sigs.html

Exemple signature d'un JPEG : FF D8 FF E0
C'est grâce à cela que tu sais que c'est une JPEG et que tu la lis comme il faut.

Mais ici c'est pas pareil, mais le principe est là.
Une suite Hexa qui permet d'identifier en tant que ...