SlideShare a Scribd company logo

Catch-me if you can - TOR tricks for bots, shells and general hacking

Jan Seidl, profile picture
Jan Seidl

The TOR network is widely known nowadays but there's plenty of gold in there that is not. This talk is about everything TOR: Popping shells, tunneling tools and commanding your bots over the world's most popular darknet. This presentation was given on October 19th at the 11th H2HC (Hackers 2 Hackers Conference) 2014 at Sao Paulo, Brazil.

Technology
1 of 87
Downloaded 180 times
1
2
Most read
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
CCaattcchh mmee iiff yyoouu ccaann TTOORR ttrriicckkss ffoorr bboottss,, sshheellllss aanndd ggeenneerraall hhaacckkiinngg JJaann SSeeiiddll
WWhhoo?? JJaann SSeeiiddll @@jjsseeiiddll RRiioo ddee JJaanneeiirroo –– BBrraazziill CCTTOO @@ TTII SSaaffee DDCC LLaabbss RReesseeaarrcchheerr FF//OOSSSS ddeevveellooppeerr // ccoonnttrriibbuuttoorr CCooddeess aanndd ggiissttss @@ ggiitthhuubb..ccoomm//jjsseeiiddll ((wwaarrnniinngg:: ccooddee mmaayy ccoonnttaaiinn bbuuggss)) AAuutthhoorr SSeegguurraannççaa ddee AAuuttoommaaççããoo IInndduussttrriiaall ee SSCCAADDAA SSppeeaakkeerr @@ HH22HHCC,, DDeeffccoonn BBaannggaalloorree,, CCeeBBIITT,, FFIISSLL,, VVaalleeSSeecc,, LLaattiinnoowwaarree,, BBrraazziill AAuuttoommaattiioonn **NNIIXX,, BBSSDD ffrreeaakk DDiiggiittaall ttoooollss bbllaacckkssmmiitthh // PPyytthhoonn && CC LLoovveerr GGuuiittaarrrriisstt ooff @@uummiinneebbaanndd CCooffffeeee ddeeppeennddeenntt HHaatteess pprriinntteerrss aanndd ssoocciiaall nneettwwoorrkkss SSeelleeccttiivveellyy--ssoocciiaall
AAggeennddaa 00xx00 WWhhyy TTOORR?? ((oorr aannyy ddaarrkknneett)) 00xx11 EEnnhhaanncciinngg aannoonnyymmiittyy 00xx22 PPrreevveennttiinngg lleeaakkss 00xx33 GGeenneerraall hhaacckkiinngg oovveerr TTOORR 00xx44 PPooppppiinngg sshheellllss iinn tthhee ddaarrkk 00xx55 TTooggeetthheerr iinn tthhee ddaarrkk:: BBoottss uunnddeerr tthhee ssuurrffaaccee 00xx66 QQuueessttiioonnss
WWhhyy TTOORR?? NNoobbooddyy lliikkeess ttoo ggeett ccaauugghhtt:: LLoossiinngg aallll tthhaatt ttiimmee yyoouu ssppeenntt sseettttiinngg uupp ssttuuffff.. LLoossiinngg lloottss ooff mmoonneeyy//ffuunn//gglloorryy ffrroomm uunnaavvaaiillaabbiilliittyy.. LLoossiinngg ffooootthhoolldd oonn yyoouurr ttaarrggeett.. TToooo yyoouunngg ttoo bbeeccoommee ssoommeeoonnee''ss ggiirrllffrriieenndd.. ((aanndd ttoooo cclluummssyy wwiitthh ssooaapp bbaarrss))
WWhhyy TTOORR?? HHooww oouurr ccooooll ssttuuffff ggeettss bblloocckkeedd oorr ttaakkeenn ddoowwnn:: OOuurr IIPP // CC&&CC IIPP ggeettss bbaannnneedd DDNNSS ggeettss bbaannnneedd SSiiggnnaattuurree mmaattcchheess ppoooorr ttrraannssppoorrtt iimmpplleemmeennttaattiioonn PPiivvoott hhoosstt oorr eennddppooiinntt ggeettss cclleeaanneedd uupp
WWhhyy TTOORR?? SSoo lleett''ss ggoo DDAARRKK
WWhhyy TTOORR?? BBeenneeffiittss EEnndd--TToo--EEnndd eennccrryyppttiioonn BBuuiilltt--iinn SSOOCCKKSS55 pprrooxxyy sseerrvveerr AAuuxxiilliiaarryy ssooffttwwaarree ffoorr ttuunnnneelliinngg nnoonn--pprrooxxyy aawwaarree ttoooollss oovveerr SSOOCCKKSS55
WWhhyy TTOORR?? BBeenneeffiittss GGeeoo--sseeppaarraattiioonn && cciirrccuuiitt rroottaattiioonn HHiiddddeennSSeerrvviicceess AAnnoonnyymmoouuss ((OOnniioonn rroouuttiinngg)) EEnnttrryyGGuuaarrddss
WWhhyy TTOORR?? BBeenneeffiittss RRuunnss oonn llooccaallhhoosstt ((nneettwwoorrkk ssccaannnneerrss wwoonn''tt ffiinndd yyoouu)) HHiigghhllyy CCoonnffiigguurraabbllee UUnnlliisstteedd bbrriiddggeess PPlluuggggaabbllee TTrraannssppoorrttss!!
WWhhyy TTOORR?? CCoonnss AAnnoonnyymmiittyy ccoommeess aatt tthhee pprriiccee ooff ssppeeeedd..
WWhhyy TTOORR?? IIss TTOORR bbaadd?? MMaannyy lleeggiitt uusseess ((WWiikkiilleeaakkss,, SSeeccuurreeddrroopp)) CCaann aanndd IISS wwiiddeellyy aabbuusseedd ((ccrriimmiinnaallss//ddrruugg//ppeeddoo//mmaallwwaarree//bboottss)) TTOORR ttrraaffffiicc mmaayy rriinngg uupp ssoommee bbeellllss
EEnnhhaanncciinngg pprriivvaaccyy TTOORR aanndd TTAAIILLSS DDoo nnoott ccoommee ccoonnffiigguurreedd ttoo bbee ffuullllyy uunnddeetteeccttaabbllee oouutt--ooff--tthhee--bbooxx DDeeffaauulltt ccoonnffiigguurraattiioonn iiss pprreettttyy sseeccuurree aanndd aannoonnyymmoouuss ''tthhoouu EEnnttrryy && EExxiitt nnooddeess lliisstteedd iinn ppuubblliicc ddiirreeccttoorriieess ccaann bbee eeaassiillyy bblloocckkeedd TTOORR pprroottooccooll ccaann bbee ddeetteecctteedd aanndd bblloocckkeedd aatt llooccaall nneett oorr IISSPP lleevveell https://github.com/jseidl/TORBlock
EEnnhhaanncciinngg pprriivvaaccyy TTOORR bbrriiddggeess EEnnttrryy nnooddeess nnoott lliisstteedd iinn ppuubblliicc ddiirreeccttoorryy lliissttss.. NNooddee lliissttiinngg aavvaaiillaabbllee:: HHTTTTPP//SS ww// CCAAPPTTCCHHAA && eemmaaiill.. BBee ssuurree ttoo cchheecckk ''eemm ((llooccaattiioonn//oowwnneerr//rreeppuuttaattiioonn)) bbeeffoorree yyoouu uussee.. PPrriivvaattee BBrriiddggeess ccaann bbee sseett uupp https://tails.boum.org/doc/first_steps/startup_options/bridge_mode/index.en.html
EEnnhhaanncciinngg pprriivvaaccyy
EEnnhhaanncciinngg pprriivvaaccyy PPlluuggggaabbllee TTrraannssppoorrtt TTrraaffffiicc ccoonntteenntt AANNDD lleennggtthh oobbffuussccaattiioonn ffoorr TTOORR AAvvooiidd IIPPSS aanndd ootthheerr ccoonntteenntt ffiilltteerrss eevveenn wwiitthh DDPPII RReeqquuiirreess cclliieenntt ssuuppppoorrtt oorr eexxtteerrnnaall ttuunnnneelliinngg bbiinnaarryy https://www.torproject.org/docs/bridges#PluggableTransports https://trac.torproject.org/projects/tor/wiki/doc/AChildsGardenOfPluggableTransports https://trac.torproject.org/projects/tor/wiki/doc/PluggableTransports http://www.deepdotweb.com/jolly-rogers-security-guide-for-beginners/hiding-tor-from-your-isp-part-
EEnnhhaanncciinngg pprriivvaaccyy BBeesstt oobbffuussccaattiioonn pprroottooccoollss 11.. OOBBFFSS33 22.. FFTTEE 33.. SSCCRRAAMMBBLLEESSUUIITT 4.. MMEEEEKK 5.. FFLLAASSHHPPRROOXXYY ((iimmpplleemmeenntteedd oonn TTOORR))
EEnnhhaanncciinngg pprriivvaaccyy TThhrreeeeoobbffuussccaattoorr ((oobbffss33)) aann oobbffuussccaattiioonn llaayyeerr oonn ttoopp ooff TToorr TTLLSS.. IItt nneeggoottiiaatteess sseessssiioonn kkeeyyss aanndd tthheenn eennccrryyppttss eevveerryytthhiinngg bbeettwweeeenn cclliieenntt aanndd sseerrvveerr,, wwiitthh nnoo ppllaaiinntteexxtt hheeaaddeerrss.. TThhee rreessuulltt llooookkss lliikkee aa uunniiffoorrmmllyy rraannddoomm bbyyttee ssttrreeaamm,, wwiitthh nnoo ffiixxeedd bbyyttee ppaatttteerrnnss ttoo mmaattcchh oonn..
EEnnhhaanncciinngg pprriivvaaccyy obfs3 TTOORR PPllaaiinn vvss oobbffss33 TOR Plain Initial handshakes and connection to same resource TOR TLS handshake The darkness of pixels indicates byte values from 0 to 255
EEnnhhaanncciinngg pprriivvaaccyy FFoorrmmaatt--TTrraannssffoorrmmiinngg EEnnccrryyppttiioonn ((FFTTEE)) EEnnccooddeess ddaattaa ttoo mmaattcchh ggiivveenn rreegguullaarr eexxpprreessssiioonn.. FFooccuuss oonn kkeeeeppiinngg uunnddeerr kknnoowwnn--ggoooodd ssiiggnnaattuurreess oonn vveennddoorr ssww && hhww.. TThhee rreessuulltt llooookkss lliikkee aa rreegguullaarr jjuunnkk HHTTTTPP oorr SSSSHH sseessssiioonn.. https://fteproxy.org/
EEnnhhaanncciinngg pprriivvaaccyy FFoorrmmaatt--TTrraannssffoorrmmiinngg EEnnccrryyppttiioonn ((FFTTEE)) $$ fftteepprrooxxyy ----mmooddee cclliieenntt ----uuppssttrreeaamm--ffoorrmmaatt mmaannuuaall--sssshh--rreeqquueesstt ----ddoowwnnssttrreeaamm--ffoorrmmaatt mmaannuuaall--sssshh--rreessppoonnssee $$ fftteepprrooxxyy ----mmooddee sseerrvveerr ----uuppssttrreeaamm--ffoorrmmaatt mmaannuuaall--sssshh--rreeqquueesstt ----ddoowwnnssttrreeaamm--ffoorrmmaatt mmaannuuaall--sssshh--rreessppoonnssee $$ nnccaatt --kk --ll --pp 88008811 $$ nnccaatt 112277..00..00..11 88007799 https://fteproxy.org/
EEnnhhaanncciinngg pprriivvaaccyy https://fteproxy.org/
EEnnhhaanncciinngg pprriivvaaccyy
EEnnhhaanncciinngg pprriivvaaccyy SSccrraammbblleeSSuuiitt AAllssoo llooookkss lliikkee uunniiffoorrmm rraannddoomm bbyytteess.. oobbffss33 ++ rraannddoommiizzaattiioonn ooff tthhee ssiizzee aanndd ttiimmiinngg ooff ppaacckkeettss.. RReessiissttss aaccttiivvee pprroobbiinngg11 bbyy rreeqquuiirriinngg aa sseeccrreett kkeeyy ffrroomm tthhee cclliieenntt bbeeffoorree rreessppoonnddiinngg.. rreessuulltt:: rraannddoomm nnooiissee.. 1http://www.cs.kau.se/philwint/static/gfc/
TOR Plain obfs3 EEnnhhaanncciinngg pprriivvaaccyy PPllaaiinn && oobbffss33 && SSccrraammbblleeSSuuiitt Download of webpage at https://check.torproject.org/ Even with ScrambleSuit being more hard to detect, the increase in payload length makes obfs3 better in the overall cost tradeoff. (YMMV) ScrambleSuit
EEnnhhaanncciinngg pprriivvaaccyy MMeeeekk RReefflleeccttoorr--oorriieenntteedd.. UUsseess ddoommaaiinn--ffrroonnttiinngg tteecchhnniiqquuee.. MMaakkeess iitt llooookkss tthhaatt yyoouu''rree ttaallkkiinngg ttoo GGooooggllee SSeeaarrcchh oorr AAmmaazzoonn AAWWSS,, ffoorr eexxaammppllee.. RReeqquuiirreess bbrroowwsseerr pplluuggiinn.. RReeqquuiirreess mmeeeekk--sseerrvveerr ccaappaabbllee kknnoowwnn hhoosstt.. OOnnllyy ggoooodd iiff aallll ootthheerr mmeetthhooddss ffaaiillss.. https://trac.torproject.org/projects/tor/wiki/doc/AChildsGardenOfPluggableTransports#meek https://blog.torproject.org/blog/how-use-%E2%80%9Cmeek%E2%80%9D-pluggable-transport
EEnnhhaanncciinngg pprriivvaaccyy FFllaasshh PPrrooxxyy SShhoorrtt--lliivveedd JJaavvaaSSccrriipptt pprrooxxiieess oovveerr WWeebbSSoocckkeettss SSiimmppllee XXOORR oobbffuussccaattiioonn ((WWeebbSSoocckkeettss ffeeaattuurree)) OOnnllyy wwoorrkkss ffoorr bbrroowwsseerrss https://trac.torproject.org/projects/tor/wiki/doc/AChildsGardenOfPluggableTransports#Flashproxy
EEnnhhaanncciinngg pprriivvaaccyy AAnndd mmoorree!! SStteeggooTToorruuss aann OObbffsspprrooxxyy ffoorrkk tthhaatt eexxtteennddss iitt ttoo aa)) sspplliitt TToorr ssttrreeaammss aaccrroossss mmuullttiippllee ccoonnnneeccttiioonnss ttoo aavvooiidd ppaacckkeett ssiizzee ssiiggnnaattuurreess,, aanndd bb)) eemmbbeedd tthhee ttrraaffffiicc fflloowwss iinn ttrraacceess tthhaatt llooookk lliikkee hhttmmll,, jjaavvaassccrriipptt,, oorr ppddff..
EEnnhhaanncciinngg pprriivvaaccyy AAnndd mmoorree!! SSkkyyppeeMMoorrpphh TTrraannssffoorrmmss TToorr ttrraaffffiicc fflloowwss ssoo tthheeyy llooookk lliikkee SSkkyyppee VViiddeeoo..
PPrreevveennttiinngg lleeaakkss HHaarrddeenniinngg iitt uupp DDrroopp oouuttggooiinngg ccoonnnneeccttiioonnss ttoo aannyytthhiinngg bbuutt TTOORR eennttrryy nnooddeess SSoommee ttoooollss uussee oouutt--ooff--bbaanndd rreeqquueessttss ((lliikkee nnmmaapp''ss ppiinnggss)) tthhaatt mmaayy nnoott bbee rroouutteedd tthhoouugghh TTOORR DDrroopp aallll iinnccoommiinngg ttrraaffffiicc oonn eexxppoosseedd iinntteerrffaacceess ((eetthh00//wwllaann00)) RReessttrraaiinn yyoouurr nneettwwoorrkkeedd aapppplliiccaattiioonnss lliisstteenniinngg oonn llooccaallhhoosstt
PPrreevveennttiinngg lleeaakkss ##!!//bbiinn//sshh ## ddeessttiinnaattiioonnss yyoouu ddoonn''tt wwaanntt rroouutteedd tthhrroouugghh TToorr NNOONN__TTOORR==""119922..116688..11..00//2244 119922..116688..00..00//2244"" ## tthhee UUIIDD TToorr rruunnss aass TTOORR__UUIIDD==""4433"" ## TToorr''ss TTrraannssPPoorrtt TTRRAANNSS__PPOORRTT==""99004400"" iippttaabblleess --FF iippttaabblleess --tt nnaatt --FF iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --mm oowwnneerr ----uuiidd--oowwnneerr $$TTOORR__UUIIDD --jj RREETTUURRNN iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --pp uuddpp ----ddppoorrtt 5533 --jj RREEDDIIRREECCTT ----ttoo--ppoorrttss 55335533 ffoorr NNEETT iinn $$NNOONN__TTOORR 112277..00..00..00//99 112277..112288..00..00//1100;; ddoo iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --dd $$NNEETT --jj RREETTUURRNN ddoonnee iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --pp ttccpp ----ssyynn --jj RREEDDIIRREECCTT ----ttoo--ppoorrttss $$TTRRAANNSS__PPOORRTT iippttaabblleess --AA OOUUTTPPUUTT --mm ssttaattee ----ssttaattee EESSTTAABBLLIISSHHEEDD,,RREELLAATTEEDD --jj AACCCCEEPPTT ffoorr NNEETT iinn $$NNOONN__TTOORR 112277..00..00..00//88;; ddoo iippttaabblleess --AA OOUUTTPPUUTT --dd $$NNEETT --jj AACCCCEEPPTT ddoonnee iippttaabblleess --AA OOUUTTPPUUTT --mm oowwnneerr ----uuiidd--oowwnneerr $$TTOORR__UUIIDD --jj AACCCCEEPPTT iippttaabblleess --AA OOUUTTPPUUTT --jj RREEJJEECCTT
PPrreevveennttiinngg lleeaakkss AAnndd iinn ttoorrrrcc...... VViirrttuuaallAAddddrrNNeettwwoorrkk 1100..119922..00..00//1100 AAuuttoommaappHHoossttssOOnnRReessoollvvee 11 TTrraannssPPoorrtt 99004400 DDNNSSPPoorrtt 55335533
PPrreevveennttiinngg lleeaakkss HHiiddddeennSSeerrvviiccee TTrraaffffiicc oonnllyy TTRRAANNSS__PPOORRTT==""99004400"" DDNNSS__PPOORRTT==""55335533"" iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --pp ttccpp --dd 1100..119922..00..00//1100 --jj RREEDDIIRREECCTT ----ttoo--ppoorrttss $$TTRRAANNSS__PPOORRTT iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --pp uuddpp ----ddppoorrtt 5533 --jj RREEDDIIRREECCTT ----ttoo--ppoorrttss $$DDNNSS__PPOORRTT ## ttoorrrrcc VViirrttuuaallAAddddrrNNeettwwoorrkk 1100..119922..00..00//1100 AAuuttoommaappHHoossttssOOnnRReessoollvvee 11 TTrraannssPPoorrtt 99004400 DDNNSSPPoorrtt 55335533
PPrreevveennttiinngg lleeaakkss MMeettaaddaattaa HHoossttnnaammee aanndd iinntteerrnnaall//eexxtteerrnnaall IIPP aaddddrreesssseess mmaayy bbee eexxppoosseedd bbyy mmiissttaakkee IIff yyoouurr aapppp mmaakkeess aa rreeqquueesstt ttoo aann eexxtteerrnnaall rreessoouurrccee yyoouurr IIPP wwiillll lleeaakk IIff yyoouurr aapppp sseennddss eemmaaiill yyoouurr IIPP wwiillll lleeaakk oonn ““RReecceeiivveedd::”” hheeaaddeerr
PPrreevveennttiinngg lleeaakkss OOooppss...... http://www.thinkdifferentzone.com/2014/09 /need-real-ip-address-of-cloudflare.html
http ://www.wired.com/2014/09/the-fbi-finally-s ays-how-it-legally-pinpointed-silk-roads-server/
GGeenneerraall hhaacckkiinngg oovveerr TTOORR EExxiittNNooddeess eeaavveessddrrooppppiinngg ““ IInn sshhoorrtt,, eevveerryy eexxiitt nnooddee ccaann ssppyy oonn yyoouurr uunneennccrryypptteedd eexxiitt ttrraaffffiicc aanndd eevveenn wwoorrssee,, iinnjjeecctt mmaalliicciioouuss ccooddee iinnttoo tthhee ssttrreeaamm -- bbee aawwaarree ooff tthhiiss..”” TTOORR wweebbssiittee
GGeenneerraall hhaacckkiinngg oovveerr TTOORR SSOOCCKKSS55 PPrrooxxyy--aawwaarree PPooiinntt tthhee ttooooll ttoo TTOORR''ss SSOOCCKKSS55 ppoorrtt EEnnjjooyy yyoouurr MMaarrttiinnii
GGeenneerraall hhaacckkiinngg oovveerr TTOORR NNoonn--SSOOCCKKSS55 PPrrooxxyy--aawwaarree WWeellll,, tthhaatt ssuucckkss.. PPrriivvooxxyy // PPrrooxxyycchhaaiinnss // PPoolliippoo // TToorrssoocckkss aarree hheerree ttoo hheellpp.. http://code.google.com/p/torsocks/ https://trac.torproject.org/projects/tor/wiki/doc/TorifyHOWTO/Polipo http://www.privoxy.org/ http://proxychains.sourceforge.net/
GGeenneerraall hhaacckkiinngg oovveerr TTOORR II ccaann''tt SSOOCCKKSS!! GGiimmmmee HHTTTTPP//SS,, PPrriivvooxxyy!! HHTTTTPP//SS pprrooxxyy CCaann ffoorrwwaarrdd ttoo ootthheerr pprrooxxiieess ((SSOOCCKKSS iinnccll..!!)) GGoooodd ffoorr aapppplliiccaattiioonnss wwiitthh HHTTTTPP//SS pprrooxxyy ssuuppppoorrtt http://www.privoxy.org/
GGeenneerraall hhaacckkiinngg oovveerr TTOORR PPiippiinngg wwiitthh PPrriivvooxxyy $$ eexxppoorrtt HHTTTTPP__PPRROOXXYY==””112277..00..00..11::88111188”” $$ wwggeett hhttttpp::////iiffccoonnffiigg..mmee 7744..112200..1155..115500 1http://securitystreetknowledge.com/?p=283
GGeenneerraall hhaacckkiinngg oovveerr TTOORR II ccaann''tt aannyytthhiinngg!! PPrrooxxyycchhaaiinnss FFTTWW!! EEnnccaappssuullaatteess rreeqquueessttss aanndd DDNNSS llooookkuuppss SSuuppppoorrtt ffoorr mmuullttiippllee pprrooxxyy ttyyppeess ((SSOOCCKKSS44//55,, HHTTTTPP//SS)) CCaann rraannddoommiizzee pprrooxxyy lliisstt ::)) DDiidd II hheeaarr cclluusstteerr bboommbbiinngg?? PPrrooxxiiffiieess nnoorrmmaallllyy uunnpprrooxxiiffiiaabbllee aapppplliiccaattiioonnss ((wwaatt??))
GGeenneerraall hhaacckkiinngg oovveerr TTOORR PPrrooxxyycchhaaiinnss bbaassiicc ccoonnffiigg ## iinn //eettcc//pprrooxxyycchhaaiinnss//ccoonnffiigg ssttrriicctt__cchhaaiinn ## oorr rraannddoomm//ddyynnaammiicc iiff uussiinngg mmuullttiippllee TTOORR iinnssttaanncceess ttccpp__rreeaadd__ttiimmee__oouutt 1155000000 ttccpp__ccoonnnneecctt__ttiimmee__oouutt 88000000 pprrooxxyy__ddnnss [[PPrrooxxyyLLiisstt]] ssoocckkss44 112277..00..00..11 99005500 1http://securitystreetknowledge.com/?p=283
GGeenneerraall hhaacckkiinngg oovveerr TTOORR PPiippiinngg wwiitthh PPrrooxxyycchhaaiinnss $$ pprrooxxyycchhaaiinnss nnmmaapp --PP00 --ssTT --nn --pp 8800 118866..119922..9900..55 ## --ssTT TTCCPP CCoonnnneecctt(()) ttoo ggoo tthhrruu TTOORR ((SSYYNN wwoonn''tt wwoorrkk)),, --nn ddoonn''tt ddoo nnaammee rreessoolluuttiioonnss aanndd --PP00 iiss ttoo aavvooiidd IICCMMPP lleeaakk11 $$ pprrooxxyycchhaaiinnss ppyytthhoonn ssqqllmmaapp..ppyy --uu ""hhttttpp::////wwwwww..eexxaammppllee..ccoomm//vvuullnn..pphhpp??iidd==11"" --ff ----ddbbss ––uusseerrss $$ pprrooxxyycchhaaiinnss ggoollddeenneeyyee..ppyy hhttttpp::////wwwwww..eexxaammppllee..ccoomm 1http://securitystreetknowledge.com/?p=283
GGeenneerraall hhaacckkiinngg oovveerr TTOORR GGeettttiinngg aa nneeww iiddeennttiittyy $$ pprrooxxyycchhaaiinnss ccuurrll iiffccoonnffiigg..mmee 22>> //ddeevv//nnuullll 7744..112200..1155..115500 $$ eecchhoo --ee ''AAUUTTHHEENNTTIICCAATTEE ""ppaasssswwoorrdd""rrnnssiiggnnaall NNEEWWNNYYMMrrnnQQUUIITT'' || nncc 112277..00..00..11 99005511 $$ pprrooxxyycchhaaiinnss ccuurrll iiffccoonnffiigg..mmee 22>> //ddeevv//nnuullll 4466..5599..7744..1155 https://github.com/jseidl/Multi-TOR/blob/master/tor_newid.sh
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk TTuunnnneelliinngg SScchheemmeess VViiccttiimm ((hhoossttss tthhee hhiiddddeenn sseerrvviiccee)) ←← AAttttaacckkeerr ((oovveerr TTOORR)) VViiccttiimm ((oovveerr TTOORR))→→ AAttttaacckkeerr ((hhoossttss tthhee hhiiddddeenn sseerrvviiccee)) VViiccttiimm→→ GGaatteewwaayy ((oovveerr TTOORR)) →→ AAttttaacckkeerr ((hhoossttss tthhee hhiiddddeenn sseerrvviiccee))
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm←← AAttttaacckkeerr MMaallwwaarree ddrrooppss TTOORR cclliieenntt aanndd ccoonnffiigguurraattiioonn ffiillee MMaallwwaarree ssttaarrttss TTOORR wwiitthh pprree--ccoonnffiigguurreedd hhiiddddeenn--sseerrvviiccee MMaallwwaarree lliisstteennss oonn llooccaallhhoosstt oonn pprree--ccoonnffiigguurreedd ppoorrtt - victim side -
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm←← AAttttaacckkeerr AAttttaacckkeerr ssttaarrttss uupp TTOORR aanndd ppooiinntt bbaacckkddoooorr cclliieenntt ttoo HHiiddddeennSSeerrvviiccee oovveerr TTOORR tthhrroouugghh SSOOCCKKSS PPwwnnaaggee.. - attacker side -
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→AAttttaacckkeerr MMaallwwaarree ddrrooppss TTOORR cclliieenntt MMaallwwaarree ssttaarrttss TTOORR MMaallwwaarree ccoonnnneeccttss ttoo aattttaacckkeerrss ..oonniioonn aaddddrreessss oovveerr TTOORR tthhrroouugghh SSOOCCKKSS - victim side -
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→AAttttaacckkeerr AAttttaacckkeerr ssttaarrttss rreevveerrssee bbaacckkddoooorr lliisstteenneerr AAttttaacckkeerr sseettss uupp HHiiddddeennSSeerrvviiccee oonn lliisstteenneerr ppoorrtt AAttttaacckkeerr wwaaiittss ffoorr tthhee ccoonnnneeccttiioonn ffrroomm vviiccttiimm BBAAMM!! - attacker side -
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk WWhhaatt iiff mmyy bbaacckkddoooorr cclliieenntt//lliisstteenneerr ddooeess nnoott ssuuppppoorrtt TTOORR nnoorr SSOOCCKKSS55//44AA?? –– OOMMGG!! NNooww wwhhaatt?? –– RReellaaxx,, wwee ggoott tthhaatt ccoovveerreedd tthhaatt ttoooo
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk ssooccaatt iiss oouurr lloorrdd $$ ssooccaatt TTCCPP44--LLIISSTTEENN::11333377,,ffoorrkk SSOOCCKKSS44AA::112277..00..00..11::tthhqqssmmtt7766bb55ffkkvvoonn55..oonniioonn::8800,,ssoocckkssppoorrtt==99115500 SSttaarrttss aa nniiccee TTCCPP ssoocckkeett ggooiinngg ddiirreeccttllyy ttoo oouurr HHiiddddeennSSeerrvviiccee ppoorrtt oonn tthhee ootthheerr eenndd.. CCooooll hhuuhh??
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk ssooccaatt iiss oouurr lloorrdd $$ ssooccaatt TTCCPP44--LLIISSTTEENN::11333377,,ffoorrkk SSOOCCKKSS44AA::112277..00..00..11::tthhqqssmmtt7766bb55ffkkvvoonn55..oonniioonn::8800,,ssoocckkssppoorrtt==99115500 TThhiiss ccaann bbee uusseedd oonn tthhee vviiccttiimm oorr aattttaacckkeerr ssiiddee ((LLiinnuuxx oonnllyy oorr WWiinn oovveerr CCyyggwwiinn)) oorr oonn aa ppiivvoott hhoosstt ttoo mmaakkee hhiimm aacctt aass aa ggaatteewwaayy.. OOMMGG!! SSOO VVEERRSSAATTIILLEE!!
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk BBuutt mmyy ttaarrggeett iiss oonn WWiinnddoowwss aanndd II ccaann oonnllyy ddrroopp tthhee bbiinnaarryy mmaallwwaarree ww//oo SSOOCCKKSS –– AAwwwwww mmaann...... –– WWeellll,, lleett'ss ffiinndd aa ssccaappeeggooaatt tthheenn......
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→GGaatteewwaayy→→AAttttaacckkeerr MMaallwwaarree ddrrooppss iittss rreegguullaarr bbiinnaarryy MMaallwwaarree iiss ccoonnffiigguurreedd ttoo ppooiinntt aatt ggaatteewwaayy aaddddrreessss && ppoorrtt MMaallwwaarree rruunnss nnoorrmmaallllyy - victim side -
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→GGaatteewwaayy→→AAttttaacckkeerr GGaatteewwaayy hhoosstt ggeettss aaccqquuiirreedd ((bboouugghhtt//ppwwnneedd) MMaaggiicc ssooccaatt lliinnee ooff hheeaavveennss ooppeennss uupp aa lliisstteenniinngg ppoorrtt ppiippiinngg ttoo tthhee HHiiddddeennSSeerrvviiccee iinn TTOORR''ss uunnddeerrwwoorrlldd GGaatteewwaayy ssiittss ppaattiieennttllyy tthheerree - gateway side -
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→GGaatteewwaayy→→AAttttaacckkeerr AAttttaacckkeerr ssttaarrttss rreevveerrssee bbaacckkddoooorr lliisstteenneerr AAttttaacckkeerr sseettss uupp HHiiddddeennSSeerrvviiccee oonn lliisstteenneerr ppoorrtt AAttttaacckkeerr wwaaiittss ffoorr tthhee ccoonnnneeccttiioonn ffrroomm vviiccttiimm PPeeww--ppeeww--ppeeww.. - attacker side -
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→GGaatteewwaayy→→AAttttaacckkeerr FFoorreennssiiccss wwiillll ttrraacckk bbaacckk ttoo GGaatteewwaayy AAss tthhee ggaatteewwaayy ttuunnnneellss ttoo TTOORR, tthhee aattttaacckkeerr ccaannnnoott bbee ttrraacceedd TTrraacciinngg eennddss hheerree CC''yyaa,, ffoorreennssiiccaattoorr!! GGGG KKTTNNXXBBYY
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk TThhee eenndd ooff tthhee ttrraaiill IInn eevveerryy ttuunnnneelliinngg sscchheemmee tthhee ttrraaiill iiss lloosstt WWee ddoonn''tt uussee EExxiittNNooddeess aannyyttiimmee iinn oouurr ttuunnnneellss NNoo nnooiissee oonn nneettwwoorrkk ootthheerr tthhaann rraannddoomm oorr ddiissgguuiisseedd ddaattaa OOnnccee ddeeeepp iinn TTOORR rreeaallmmss –– iiff yyoouu ddoonn''tt lleeaakk ddaattaa –– yyoouu''rree ggoonnee
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk
PPooppppiinngg sshheellllss iinn tthhee ddaarrkk DDeemmoo TTiimmee!! MMeetteerrpprreetteerr bbaacckkddoooorrss!! OOvveerr TTOORR!! YYAAYY!! https://www.youtube.com/watch?v=pOfrKhPjEBU
TTooggeetthheerr iinn tthhee ddaarrkk BBrriinngg iinn ddaa BBoottzz HHiiddddeennSSeerrvviicceess eelliimmiinnaattee tthhee nneeeedd ttoo hhaavvee ppoorrttss ooppeenn PPlluuggggaabbllee TTrraannssppoorrttss mmaakkeess hhaarrdd ttoo ddeetteecctt CC&&CC aanndd PP22PP iimmpplleemmeennttaattiioonn aarree ppoossssiibbllee
TTooggeetthheerr iinn tthhee ddaarrkk IInn SSOOCCKKSS wwee ttrruusstt IIff yyoouurr bboott cclliieenntt iiss ssoocckkss aawwaarree, ggoooodd!! BBuutt aaggaaiinn, iiff iitt''ss nnoott, wwee ccaann mmaakkee aa ggaatteewwaayy wwiitthh ssooccaatt ((aass wwee''vvee sseeeenn iinn tthhee pprreevviioouuss sslliiddeess))
TTooggeetthheerr iinn tthhee ddaarrkk WWee hhaavvee ttoo ddeeppllooyy aa TTOORR cclliieenntt oonn tthhee vviiccttiimm OOrr aa hhoommeebbrreeww iimmpplleemmeennttaattiioonn
TTooggeetthheerr iinn tthhee ddaarrkk AAnnttii--vviirruuss aarree ffiinnee
TTooggeetthheerr iinn tthhee ddaarrkk AAlltteerrnnaattiivveess ttoo ddiirreecctt TTOORR bbiinnaarryy aanndd DDLLLLss OOnniioonnKKiitt –– OObbjjeeccttiivvee--CC TTOORR WWrraappppeerr TToorr..FFrraammeewwoorrkk –– CCooccooaa SStteemm –– PPyytthhoonn WWrraappppeerr LLiibbTToorr –– CC iimmpplleemmeennttaattiioonn
TTooggeetthheerr iinn tthhee ddaarrkk WWhhaatt ccaann bbee ppiippeedd oovveerr TTOORR?? WWeellll,, aallmmoosstt aannyytthhiinngg.. HHTTTTPP // IIRRCC // SSMMTTPP // CCuussttoomm PPrroottooccoollss
TTooggeetthheerr iinn tthhee ddaarrkk MMoodduuss ooppeerraannddii DDrroopp TTOORR cclliieenntt oonn hhoosstt DDrroopp SSOOCCKKSS55--ccaappaabbllee mmaallwwaarree oonn hhoosstt CCoonnnneecctt ttoo CC&&CC ..oonniioonn aaddddrreessss CCoonnnneecctt,, iinntteerraacctt,, pprrooffiitt..
TTooggeetthheerr iinn tthhee ddaarrkk WWiinnzz NNoo 33rrdd ppaarrttyy ddeeppeennddeenncciieess PPlluuggggaabbllee TTrraannssppoorrttss ccaann bbee uusseedd ttoo oobbffuussccaattee ttrraaffffiicc NNoo eexxiitt--nnooddeess uusseedd
TTooggeetthheerr iinn tthhee ddaarrkk WWiinnzz CCoommmmuunniiccaattiioonn oonnllyy oovveerr TTOORR nneettwwoorrkk VViirrttuuaallllyy iimmppoossssiibbllee ttoo ttrraacckk aanndd ttaakkeeddoowwnn ((wwaattcchh oouutt ffoorr lleeaakkss)) CC&&CC HHiiddddeennSSeerrvviiccee ccaann bbee sseettuupp iinn aannyy mmaacchhiinnee,, aatt aannyy ttiimmee aannyywwhheerree
TTooggeetthheerr iinn tthhee ddaarrkk CCaavveeaattss PPrreesseennccee ooff TTOORR ttrraaffffiicc oonn nneettwwoorrkk iiff nnoo oobbffuussccaattiioonn uusseedd MMiigghhtt hhaavvee ttoo aadddd SSOOCCKKSS55 ssuuppppoorrtt ttoo mmaallwwaarree oorr ssooccaatt--lliikkee uussee
TTooggeetthheerr iinn tthhee ddaarrkk WWhhoo ddooeess tthhaatt aallrreeaaddyy?? LLoottss ooff mmaallwwaarree.. BBaannkkeerr,, BBoottss,, iinnccll.. ZZeeuuss..
TTooggeetthheerr iinn tthhee ddaarrkk WWhhoo ddooeess tthhaatt aallrreeaaddyy?? ZZeeuuss CChheewwBBaaccccaa ((BBaannkkeerr)) AAttrraaxx MMeevvaaddee https://securelist.com/blog/incidents/58192/chewbacca-a-new-episode-of-tor-based-malware/
TTooggeetthheerr iinn tthhee ddaarrkk WWhhoo ddooeess tthhaatt aallrreeaaddyy?? CCyytthhoossiiaa ((BBoott)) CCTTBB--LLoocckkeerr ((RRaannssoommwwaarree)) AAnnddrroommeeddaa ((BBoott)) https://securelist.com/analysis/publications/64608/a-new-generation-of-ransomware/
TTooggeetthheerr iinn tthhee ddaarrkk
TTooggeetthheerr iinn tthhee ddaarrkk
TTooggeetthheerr iinn tthhee ddaarrkk WWhhoo ddooeess tthhaatt aallrreeaaddyy?? BBaacckkddoooorr..AAnnddrrooiiddOOSS..TToorreecc..aa ((AAnnddrrooiidd –– OOrrbboott TToorr CClleeiinntt mmooddiiffiieedd)) https://securelist.com/blog/incidents/58528/the-first-tor-trojan-for-android/
TTooggeetthheerr iinn tthhee ddaarrkk
TTooggeetthheerr iinn tthhee ddaarrkk
TTooggeetthheerr iinn tthhee ddaarrkk .Net SocksBot hardcoded C&C in Tor network
TTooggeetthheerr iinn tthhee ddaarrkk PPrriivvaattee TTOORR NNeettwwoorrkkss MMaayybbee ffaasstteerr LLeessss ttrraaffffiicc MMaayybbee eeaassiieerr ttoo eennuummeerraattee??
TTooggeetthheerr iinn tthhee ddaarrkk PP22PP NNoott nneeww ppaarraaddiiggmm ((CCoonnffiicckkeerr)) EEaacchh hhoosstt mmuusstt hhaavvee iitt''ss hhiiddddeenn sseerrvviiccee ffoorr ccoommmm ((HHTTTTPP?? IIRRCC??)) MMaannaaggiinngg hhoossttss ccaann bbee aa lliittttllee mmoorree ccoommpplleexx VVeerryy hhaarrdd ttoo bblloocckk oonn eennddppooiinntt ((nnoo lloonnggeerr uunniiqquuee ..oonniioonn UURRLL))
TTooggeetthheerr iinn tthhee ddaarrkk RReemmaaiinniinngg WWeeaakknneessss TTOORR NNeettwwoorrkk ffrraaggmmeennttaattiioonn SSyynncchhrroonniizzaattiioonn iissssuueess TTrraaffffiicc && CCPPUU uussaaggee iinnccrreeaassee
TTooggeetthheerr iinn tthhee ddaarrkk DDeemmoo TTiimmee!! TT11000000 TTOORR BBoottnneett https://www.youtube.com/watch?v=bovRmjx_FBc
QQuueessttiioonnss??
TThhaannkk yyoouu!! jseidl@wroot.org http://wroot.org @jseidl | slideshare.net/jseidl | linkedin.com/in/janseidl | youtube.com/janseidl

More Related Content

PDF
Red Team Methodology - A Naked Look
Jason Lang
 
PDF
Introduction to red team operations
Sunny Neo
 
PPTX
Ethical hacking ppt by shantanu arora
VaishnaviKhandelwal6
 
PPTX
Cse ethical hacking ppt
SHAHID ANSARI
 
PDF
Honeypots e honeynets
Marcos Flávio Araújo Assunção
 
PDF
TOP 100 Vulnerabilities Step-by-Step Guide Handbook
Varun Mithran
 
PDF
Purple Team Exercises - GRIMMCon
Jorge Orchilles
 
PDF
Mapping to MITRE ATT&CK: Enhancing Operations Through the Tracking of Interac...
MITRE ATT&CK
 
Red Team Methodology - A Naked Look
Jason Lang
 
Introduction to red team operations
Sunny Neo
 
Ethical hacking ppt by shantanu arora
VaishnaviKhandelwal6
 
Cse ethical hacking ppt
SHAHID ANSARI
 
Honeypots e honeynets
Marcos Flávio Araújo Assunção
 
TOP 100 Vulnerabilities Step-by-Step Guide Handbook
Varun Mithran
 
Purple Team Exercises - GRIMMCon
Jorge Orchilles
 
Mapping to MITRE ATT&CK: Enhancing Operations Through the Tracking of Interac...
MITRE ATT&CK
 

What's hot (20)

PPTX
Presentation on ethical hacking
Sunny Sundeep
 
DOCX
ethical hacking report
Akhilesh Patel
 
PDF
How MITRE ATT&CK helps security operations
Sergey Soldatov
 
DOCX
Ethical Hacking
Sanu Subham
 
PPTX
Waf bypassing Techniques
Avinash Thapa
 
PDF
SOC Analyst Guide For Beginners SOC analysts work as members of a managed sec...
Varun Mithran
 
PPTX
Ethical hacking a research paper
Bilal Hameed
 
PDF
Ceh v5 module 02 footprinting
Vi Tính Hoàng Nam
 
PDF
Kurumsal Ağlarda Saldırı Tespiti Amaçlı Honeypot Sistemlerin Efektif Kullanımı
BGA Cyber Security
 
PPTX
Ethical hacking
Alapan Banerjee
 
PDF
CS6004 Cyber Forensics
Kathirvel Ayyaswamy
 
PDF
ATT&CKing the Red/Blue Divide
MITRE ATT&CK
 
PDF
Bug Bounty Hunter Methodology - Nullcon 2016
bugcrowd
 
PPTX
Introduction To Ethical Hacking
Raghav Bisht
 
PPTX
Web application security: Threats & Countermeasures
Aung Thu Rha Hein
 
PDF
Practical Malware Analysis Ch13
Sam Bowne
 
PDF
XSS Magic tricks
GarethHeyes
 
PPTX
Play,Learn and Hack- CTF Training
Heba Hamdy Farahat
 
PDF
Extended Detection and Response (XDR) An Overhyped Product Category With Ulti...
Raffael Marty
 
PPTX
Understanding Active Directory Enumeration
Daniel López Jiménez
 
Presentation on ethical hacking
Sunny Sundeep
 
ethical hacking report
Akhilesh Patel
 
How MITRE ATT&CK helps security operations
Sergey Soldatov
 
Ethical Hacking
Sanu Subham
 
Waf bypassing Techniques
Avinash Thapa
 
SOC Analyst Guide For Beginners SOC analysts work as members of a managed sec...
Varun Mithran
 
Ethical hacking a research paper
Bilal Hameed
 
Ceh v5 module 02 footprinting
Vi Tính Hoàng Nam
 
Kurumsal Ağlarda Saldırı Tespiti Amaçlı Honeypot Sistemlerin Efektif Kullanımı
BGA Cyber Security
 
Ethical hacking
Alapan Banerjee
 
CS6004 Cyber Forensics
Kathirvel Ayyaswamy
 
ATT&CKing the Red/Blue Divide
MITRE ATT&CK
 
Bug Bounty Hunter Methodology - Nullcon 2016
bugcrowd
 
Introduction To Ethical Hacking
Raghav Bisht
 
Web application security: Threats & Countermeasures
Aung Thu Rha Hein
 
Practical Malware Analysis Ch13
Sam Bowne
 
XSS Magic tricks
GarethHeyes
 
Play,Learn and Hack- CTF Training
Heba Hamdy Farahat
 
Extended Detection and Response (XDR) An Overhyped Product Category With Ulti...
Raffael Marty
 
Understanding Active Directory Enumeration
Daniel López Jiménez
 

Viewers also liked (16)

PDF
aleph - Malware analysis pipelining for the masses
Jan Seidl
 
PDF
Jericho Attack Technique
Jan Seidl
 
ODP
NSA-Proof communications (mostly)
Jan Seidl
 
PDF
Reducing attack surface on ICS with Windows native solutions
Jan Seidl
 
PPTX
Global privacy research
bbw1984
 
PPT
Conley Group Operational Security Presentation
guest019923
 
PPTX
Opsec & sns for distro (no vid)
Naval OPSEC
 
PPT
Opsec for families
Lindy Kyzer
 
PPT
OPSEC for Kids
Department of Defense
 
PPT
OPSEC for Families
Department of Defense
 
PPTX
Social Media - Privacy and Settings
Vanguard Leadership
 
PDF
Personal Data Ecosystem - NSTIC Privacy Workshop
Kaliya "Identity Woman" Young
 
PPTX
FB Privacy Settings Jan 2015
Naval OPSEC
 
KEY
OPSEC for hackers
grugq
 
PPT
OPSEC Vulnerabilities And Indicators
Department of Defense
 
ODP
Super Effective Denial of Service Attacks
Jan Seidl
 
aleph - Malware analysis pipelining for the masses
Jan Seidl
 
Jericho Attack Technique
Jan Seidl
 
NSA-Proof communications (mostly)
Jan Seidl
 
Reducing attack surface on ICS with Windows native solutions
Jan Seidl
 
Global privacy research
bbw1984
 
Conley Group Operational Security Presentation
guest019923
 
Opsec & sns for distro (no vid)
Naval OPSEC
 
Opsec for families
Lindy Kyzer
 
OPSEC for Kids
Department of Defense
 
OPSEC for Families
Department of Defense
 
Social Media - Privacy and Settings
Vanguard Leadership
 
Personal Data Ecosystem - NSTIC Privacy Workshop
Kaliya "Identity Woman" Young
 
FB Privacy Settings Jan 2015
Naval OPSEC
 
OPSEC for hackers
grugq
 
OPSEC Vulnerabilities And Indicators
Department of Defense
 
Super Effective Denial of Service Attacks
Jan Seidl
 

Similar to Catch-me if you can - TOR tricks for bots, shells and general hacking (20)

PPT
Cyber Security Innovation IMHO v4
W Fred Seigneur
 
PPT
Cyber Security Innovation IMHO v4
W Fred Seigneur
 
ODP
State of devops and drupal 2014
Kris Buytaert
 
PPT
Consumer behaviour & likeonomics
Pankaj Soni
 
ODP
Open Source Monitoring in 2014, from #monitoringssucks to #monitoringlove and...
Kris Buytaert
 
ODP
7 Years of Puppet Horror Stories
Kris Buytaert
 
PPT
Securing PHP Applications
Reggie Niccolo Santos
 
POT
Synapseindia reviews
saritasingh19866
 
PDF
Dess isps
Rabah HELAL
 
PPT
Aqua Eagles Presentation August 25th 2014
amandaleaallen
 
PPT
ITC - FMCG
Anchit Vijaywargiya
 
PDF
A preparation - for sea
Rabah HELAL
 
ODP
Puppet and Icinga 101
Kris Buytaert
 
PPS
Networks
Joseph Zacharia
 
PPT
19 human research 2
emmavan
 
PPT
Creative commons and the ethical use of images in language instruction shelton
Donna Shelton
 
PPT
Websphere classes in mumbai
Vibrant Technologies & Computers
 
PDF
Obstacles connaissement
Rabah HELAL
 
PPT
ITU-consegi-final
Andrea Manara
 
PPT
Cyber securityinnovationimho v3
W Fred Seigneur
 
Cyber Security Innovation IMHO v4
W Fred Seigneur
 
Cyber Security Innovation IMHO v4
W Fred Seigneur
 
State of devops and drupal 2014
Kris Buytaert
 
Consumer behaviour & likeonomics
Pankaj Soni
 
Open Source Monitoring in 2014, from #monitoringssucks to #monitoringlove and...
Kris Buytaert
 
7 Years of Puppet Horror Stories
Kris Buytaert
 
Securing PHP Applications
Reggie Niccolo Santos
 
Synapseindia reviews
saritasingh19866
 
Dess isps
Rabah HELAL
 
Aqua Eagles Presentation August 25th 2014
amandaleaallen
 
ITC - FMCG
Anchit Vijaywargiya
 
A preparation - for sea
Rabah HELAL
 
Puppet and Icinga 101
Kris Buytaert
 
Networks
Joseph Zacharia
 
19 human research 2
emmavan
 
Creative commons and the ethical use of images in language instruction shelton
Donna Shelton
 
Websphere classes in mumbai
Vibrant Technologies & Computers
 
Obstacles connaissement
Rabah HELAL
 
ITU-consegi-final
Andrea Manara
 
Cyber securityinnovationimho v3
W Fred Seigneur
 

Catch-me if you can - TOR tricks for bots, shells and general hacking

  • 1. CCaattcchh mmee iiff yyoouu ccaann TTOORR ttrriicckkss ffoorr bboottss,, sshheellllss aanndd ggeenneerraall hhaacckkiinngg JJaann SSeeiiddll
  • 2. WWhhoo?? JJaann SSeeiiddll @@jjsseeiiddll RRiioo ddee JJaanneeiirroo –– BBrraazziill CCTTOO @@ TTII SSaaffee DDCC LLaabbss RReesseeaarrcchheerr FF//OOSSSS ddeevveellooppeerr // ccoonnttrriibbuuttoorr CCooddeess aanndd ggiissttss @@ ggiitthhuubb..ccoomm//jjsseeiiddll ((wwaarrnniinngg:: ccooddee mmaayy ccoonnttaaiinn bbuuggss)) AAuutthhoorr SSeegguurraannççaa ddee AAuuttoommaaççããoo IInndduussttrriiaall ee SSCCAADDAA SSppeeaakkeerr @@ HH22HHCC,, DDeeffccoonn BBaannggaalloorree,, CCeeBBIITT,, FFIISSLL,, VVaalleeSSeecc,, LLaattiinnoowwaarree,, BBrraazziill AAuuttoommaattiioonn **NNIIXX,, BBSSDD ffrreeaakk DDiiggiittaall ttoooollss bbllaacckkssmmiitthh // PPyytthhoonn && CC LLoovveerr GGuuiittaarrrriisstt ooff @@uummiinneebbaanndd CCooffffeeee ddeeppeennddeenntt HHaatteess pprriinntteerrss aanndd ssoocciiaall nneettwwoorrkkss SSeelleeccttiivveellyy--ssoocciiaall
  • 3. AAggeennddaa 00xx00 WWhhyy TTOORR?? ((oorr aannyy ddaarrkknneett)) 00xx11 EEnnhhaanncciinngg aannoonnyymmiittyy 00xx22 PPrreevveennttiinngg lleeaakkss 00xx33 GGeenneerraall hhaacckkiinngg oovveerr TTOORR 00xx44 PPooppppiinngg sshheellllss iinn tthhee ddaarrkk 00xx55 TTooggeetthheerr iinn tthhee ddaarrkk:: BBoottss uunnddeerr tthhee ssuurrffaaccee 00xx66 QQuueessttiioonnss
  • 4. WWhhyy TTOORR?? NNoobbooddyy lliikkeess ttoo ggeett ccaauugghhtt:: LLoossiinngg aallll tthhaatt ttiimmee yyoouu ssppeenntt sseettttiinngg uupp ssttuuffff.. LLoossiinngg lloottss ooff mmoonneeyy//ffuunn//gglloorryy ffrroomm uunnaavvaaiillaabbiilliittyy.. LLoossiinngg ffooootthhoolldd oonn yyoouurr ttaarrggeett.. TToooo yyoouunngg ttoo bbeeccoommee ssoommeeoonnee''ss ggiirrllffrriieenndd.. ((aanndd ttoooo cclluummssyy wwiitthh ssooaapp bbaarrss))
  • 5. WWhhyy TTOORR?? HHooww oouurr ccooooll ssttuuffff ggeettss bblloocckkeedd oorr ttaakkeenn ddoowwnn:: OOuurr IIPP // CC&&CC IIPP ggeettss bbaannnneedd DDNNSS ggeettss bbaannnneedd SSiiggnnaattuurree mmaattcchheess ppoooorr ttrraannssppoorrtt iimmpplleemmeennttaattiioonn PPiivvoott hhoosstt oorr eennddppooiinntt ggeettss cclleeaanneedd uupp
  • 6. WWhhyy TTOORR?? SSoo lleett''ss ggoo DDAARRKK
  • 7. WWhhyy TTOORR?? BBeenneeffiittss EEnndd--TToo--EEnndd eennccrryyppttiioonn BBuuiilltt--iinn SSOOCCKKSS55 pprrooxxyy sseerrvveerr AAuuxxiilliiaarryy ssooffttwwaarree ffoorr ttuunnnneelliinngg nnoonn--pprrooxxyy aawwaarree ttoooollss oovveerr SSOOCCKKSS55
  • 8. WWhhyy TTOORR?? BBeenneeffiittss GGeeoo--sseeppaarraattiioonn && cciirrccuuiitt rroottaattiioonn HHiiddddeennSSeerrvviicceess AAnnoonnyymmoouuss ((OOnniioonn rroouuttiinngg)) EEnnttrryyGGuuaarrddss
  • 9. WWhhyy TTOORR?? BBeenneeffiittss RRuunnss oonn llooccaallhhoosstt ((nneettwwoorrkk ssccaannnneerrss wwoonn''tt ffiinndd yyoouu)) HHiigghhllyy CCoonnffiigguurraabbllee UUnnlliisstteedd bbrriiddggeess PPlluuggggaabbllee TTrraannssppoorrttss!!
  • 10. WWhhyy TTOORR?? CCoonnss AAnnoonnyymmiittyy ccoommeess aatt tthhee pprriiccee ooff ssppeeeedd..
  • 11. WWhhyy TTOORR?? IIss TTOORR bbaadd?? MMaannyy lleeggiitt uusseess ((WWiikkiilleeaakkss,, SSeeccuurreeddrroopp)) CCaann aanndd IISS wwiiddeellyy aabbuusseedd ((ccrriimmiinnaallss//ddrruugg//ppeeddoo//mmaallwwaarree//bboottss)) TTOORR ttrraaffffiicc mmaayy rriinngg uupp ssoommee bbeellllss
  • 12. EEnnhhaanncciinngg pprriivvaaccyy TTOORR aanndd TTAAIILLSS DDoo nnoott ccoommee ccoonnffiigguurreedd ttoo bbee ffuullllyy uunnddeetteeccttaabbllee oouutt--ooff--tthhee--bbooxx DDeeffaauulltt ccoonnffiigguurraattiioonn iiss pprreettttyy sseeccuurree aanndd aannoonnyymmoouuss ''tthhoouu EEnnttrryy && EExxiitt nnooddeess lliisstteedd iinn ppuubblliicc ddiirreeccttoorriieess ccaann bbee eeaassiillyy bblloocckkeedd TTOORR pprroottooccooll ccaann bbee ddeetteecctteedd aanndd bblloocckkeedd aatt llooccaall nneett oorr IISSPP lleevveell https://github.com/jseidl/TORBlock
  • 13. EEnnhhaanncciinngg pprriivvaaccyy TTOORR bbrriiddggeess EEnnttrryy nnooddeess nnoott lliisstteedd iinn ppuubblliicc ddiirreeccttoorryy lliissttss.. NNooddee lliissttiinngg aavvaaiillaabbllee:: HHTTTTPP//SS ww// CCAAPPTTCCHHAA && eemmaaiill.. BBee ssuurree ttoo cchheecckk ''eemm ((llooccaattiioonn//oowwnneerr//rreeppuuttaattiioonn)) bbeeffoorree yyoouu uussee.. PPrriivvaattee BBrriiddggeess ccaann bbee sseett uupp https://tails.boum.org/doc/first_steps/startup_options/bridge_mode/index.en.html
  • 15. EEnnhhaanncciinngg pprriivvaaccyy PPlluuggggaabbllee TTrraannssppoorrtt TTrraaffffiicc ccoonntteenntt AANNDD lleennggtthh oobbffuussccaattiioonn ffoorr TTOORR AAvvooiidd IIPPSS aanndd ootthheerr ccoonntteenntt ffiilltteerrss eevveenn wwiitthh DDPPII RReeqquuiirreess cclliieenntt ssuuppppoorrtt oorr eexxtteerrnnaall ttuunnnneelliinngg bbiinnaarryy https://www.torproject.org/docs/bridges#PluggableTransports https://trac.torproject.org/projects/tor/wiki/doc/AChildsGardenOfPluggableTransports https://trac.torproject.org/projects/tor/wiki/doc/PluggableTransports http://www.deepdotweb.com/jolly-rogers-security-guide-for-beginners/hiding-tor-from-your-isp-part-
  • 16. EEnnhhaanncciinngg pprriivvaaccyy BBeesstt oobbffuussccaattiioonn pprroottooccoollss 11.. OOBBFFSS33 22.. FFTTEE 33.. SSCCRRAAMMBBLLEESSUUIITT 4.. MMEEEEKK 5.. FFLLAASSHHPPRROOXXYY ((iimmpplleemmeenntteedd oonn TTOORR))
  • 17. EEnnhhaanncciinngg pprriivvaaccyy TThhrreeeeoobbffuussccaattoorr ((oobbffss33)) aann oobbffuussccaattiioonn llaayyeerr oonn ttoopp ooff TToorr TTLLSS.. IItt nneeggoottiiaatteess sseessssiioonn kkeeyyss aanndd tthheenn eennccrryyppttss eevveerryytthhiinngg bbeettwweeeenn cclliieenntt aanndd sseerrvveerr,, wwiitthh nnoo ppllaaiinntteexxtt hheeaaddeerrss.. TThhee rreessuulltt llooookkss lliikkee aa uunniiffoorrmmllyy rraannddoomm bbyyttee ssttrreeaamm,, wwiitthh nnoo ffiixxeedd bbyyttee ppaatttteerrnnss ttoo mmaattcchh oonn..
  • 18. EEnnhhaanncciinngg pprriivvaaccyy obfs3 TTOORR PPllaaiinn vvss oobbffss33 TOR Plain Initial handshakes and connection to same resource TOR TLS handshake The darkness of pixels indicates byte values from 0 to 255
  • 19. EEnnhhaanncciinngg pprriivvaaccyy FFoorrmmaatt--TTrraannssffoorrmmiinngg EEnnccrryyppttiioonn ((FFTTEE)) EEnnccooddeess ddaattaa ttoo mmaattcchh ggiivveenn rreegguullaarr eexxpprreessssiioonn.. FFooccuuss oonn kkeeeeppiinngg uunnddeerr kknnoowwnn--ggoooodd ssiiggnnaattuurreess oonn vveennddoorr ssww && hhww.. TThhee rreessuulltt llooookkss lliikkee aa rreegguullaarr jjuunnkk HHTTTTPP oorr SSSSHH sseessssiioonn.. https://fteproxy.org/
  • 20. EEnnhhaanncciinngg pprriivvaaccyy FFoorrmmaatt--TTrraannssffoorrmmiinngg EEnnccrryyppttiioonn ((FFTTEE)) $$ fftteepprrooxxyy ----mmooddee cclliieenntt ----uuppssttrreeaamm--ffoorrmmaatt mmaannuuaall--sssshh--rreeqquueesstt ----ddoowwnnssttrreeaamm--ffoorrmmaatt mmaannuuaall--sssshh--rreessppoonnssee $$ fftteepprrooxxyy ----mmooddee sseerrvveerr ----uuppssttrreeaamm--ffoorrmmaatt mmaannuuaall--sssshh--rreeqquueesstt ----ddoowwnnssttrreeaamm--ffoorrmmaatt mmaannuuaall--sssshh--rreessppoonnssee $$ nnccaatt --kk --ll --pp 88008811 $$ nnccaatt 112277..00..00..11 88007799 https://fteproxy.org/
  • 23. EEnnhhaanncciinngg pprriivvaaccyy SSccrraammbblleeSSuuiitt AAllssoo llooookkss lliikkee uunniiffoorrmm rraannddoomm bbyytteess.. oobbffss33 ++ rraannddoommiizzaattiioonn ooff tthhee ssiizzee aanndd ttiimmiinngg ooff ppaacckkeettss.. RReessiissttss aaccttiivvee pprroobbiinngg11 bbyy rreeqquuiirriinngg aa sseeccrreett kkeeyy ffrroomm tthhee cclliieenntt bbeeffoorree rreessppoonnddiinngg.. rreessuulltt:: rraannddoomm nnooiissee.. 1http://www.cs.kau.se/philwint/static/gfc/
  • 24. TOR Plain obfs3 EEnnhhaanncciinngg pprriivvaaccyy PPllaaiinn && oobbffss33 && SSccrraammbblleeSSuuiitt Download of webpage at https://check.torproject.org/ Even with ScrambleSuit being more hard to detect, the increase in payload length makes obfs3 better in the overall cost tradeoff. (YMMV) ScrambleSuit
  • 25. EEnnhhaanncciinngg pprriivvaaccyy MMeeeekk RReefflleeccttoorr--oorriieenntteedd.. UUsseess ddoommaaiinn--ffrroonnttiinngg tteecchhnniiqquuee.. MMaakkeess iitt llooookkss tthhaatt yyoouu''rree ttaallkkiinngg ttoo GGooooggllee SSeeaarrcchh oorr AAmmaazzoonn AAWWSS,, ffoorr eexxaammppllee.. RReeqquuiirreess bbrroowwsseerr pplluuggiinn.. RReeqquuiirreess mmeeeekk--sseerrvveerr ccaappaabbllee kknnoowwnn hhoosstt.. OOnnllyy ggoooodd iiff aallll ootthheerr mmeetthhooddss ffaaiillss.. https://trac.torproject.org/projects/tor/wiki/doc/AChildsGardenOfPluggableTransports#meek https://blog.torproject.org/blog/how-use-%E2%80%9Cmeek%E2%80%9D-pluggable-transport
  • 26. EEnnhhaanncciinngg pprriivvaaccyy FFllaasshh PPrrooxxyy SShhoorrtt--lliivveedd JJaavvaaSSccrriipptt pprrooxxiieess oovveerr WWeebbSSoocckkeettss SSiimmppllee XXOORR oobbffuussccaattiioonn ((WWeebbSSoocckkeettss ffeeaattuurree)) OOnnllyy wwoorrkkss ffoorr bbrroowwsseerrss https://trac.torproject.org/projects/tor/wiki/doc/AChildsGardenOfPluggableTransports#Flashproxy
  • 27. EEnnhhaanncciinngg pprriivvaaccyy AAnndd mmoorree!! SStteeggooTToorruuss aann OObbffsspprrooxxyy ffoorrkk tthhaatt eexxtteennddss iitt ttoo aa)) sspplliitt TToorr ssttrreeaammss aaccrroossss mmuullttiippllee ccoonnnneeccttiioonnss ttoo aavvooiidd ppaacckkeett ssiizzee ssiiggnnaattuurreess,, aanndd bb)) eemmbbeedd tthhee ttrraaffffiicc fflloowwss iinn ttrraacceess tthhaatt llooookk lliikkee hhttmmll,, jjaavvaassccrriipptt,, oorr ppddff..
  • 28. EEnnhhaanncciinngg pprriivvaaccyy AAnndd mmoorree!! SSkkyyppeeMMoorrpphh TTrraannssffoorrmmss TToorr ttrraaffffiicc fflloowwss ssoo tthheeyy llooookk lliikkee SSkkyyppee VViiddeeoo..
  • 29. PPrreevveennttiinngg lleeaakkss HHaarrddeenniinngg iitt uupp DDrroopp oouuttggooiinngg ccoonnnneeccttiioonnss ttoo aannyytthhiinngg bbuutt TTOORR eennttrryy nnooddeess SSoommee ttoooollss uussee oouutt--ooff--bbaanndd rreeqquueessttss ((lliikkee nnmmaapp''ss ppiinnggss)) tthhaatt mmaayy nnoott bbee rroouutteedd tthhoouugghh TTOORR DDrroopp aallll iinnccoommiinngg ttrraaffffiicc oonn eexxppoosseedd iinntteerrffaacceess ((eetthh00//wwllaann00)) RReessttrraaiinn yyoouurr nneettwwoorrkkeedd aapppplliiccaattiioonnss lliisstteenniinngg oonn llooccaallhhoosstt
  • 30. PPrreevveennttiinngg lleeaakkss ##!!//bbiinn//sshh ## ddeessttiinnaattiioonnss yyoouu ddoonn''tt wwaanntt rroouutteedd tthhrroouugghh TToorr NNOONN__TTOORR==""119922..116688..11..00//2244 119922..116688..00..00//2244"" ## tthhee UUIIDD TToorr rruunnss aass TTOORR__UUIIDD==""4433"" ## TToorr''ss TTrraannssPPoorrtt TTRRAANNSS__PPOORRTT==""99004400"" iippttaabblleess --FF iippttaabblleess --tt nnaatt --FF iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --mm oowwnneerr ----uuiidd--oowwnneerr $$TTOORR__UUIIDD --jj RREETTUURRNN iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --pp uuddpp ----ddppoorrtt 5533 --jj RREEDDIIRREECCTT ----ttoo--ppoorrttss 55335533 ffoorr NNEETT iinn $$NNOONN__TTOORR 112277..00..00..00//99 112277..112288..00..00//1100;; ddoo iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --dd $$NNEETT --jj RREETTUURRNN ddoonnee iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --pp ttccpp ----ssyynn --jj RREEDDIIRREECCTT ----ttoo--ppoorrttss $$TTRRAANNSS__PPOORRTT iippttaabblleess --AA OOUUTTPPUUTT --mm ssttaattee ----ssttaattee EESSTTAABBLLIISSHHEEDD,,RREELLAATTEEDD --jj AACCCCEEPPTT ffoorr NNEETT iinn $$NNOONN__TTOORR 112277..00..00..00//88;; ddoo iippttaabblleess --AA OOUUTTPPUUTT --dd $$NNEETT --jj AACCCCEEPPTT ddoonnee iippttaabblleess --AA OOUUTTPPUUTT --mm oowwnneerr ----uuiidd--oowwnneerr $$TTOORR__UUIIDD --jj AACCCCEEPPTT iippttaabblleess --AA OOUUTTPPUUTT --jj RREEJJEECCTT
  • 31. PPrreevveennttiinngg lleeaakkss AAnndd iinn ttoorrrrcc...... VViirrttuuaallAAddddrrNNeettwwoorrkk 1100..119922..00..00//1100 AAuuttoommaappHHoossttssOOnnRReessoollvvee 11 TTrraannssPPoorrtt 99004400 DDNNSSPPoorrtt 55335533
  • 32. PPrreevveennttiinngg lleeaakkss HHiiddddeennSSeerrvviiccee TTrraaffffiicc oonnllyy TTRRAANNSS__PPOORRTT==""99004400"" DDNNSS__PPOORRTT==""55335533"" iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --pp ttccpp --dd 1100..119922..00..00//1100 --jj RREEDDIIRREECCTT ----ttoo--ppoorrttss $$TTRRAANNSS__PPOORRTT iippttaabblleess --tt nnaatt --AA OOUUTTPPUUTT --pp uuddpp ----ddppoorrtt 5533 --jj RREEDDIIRREECCTT ----ttoo--ppoorrttss $$DDNNSS__PPOORRTT ## ttoorrrrcc VViirrttuuaallAAddddrrNNeettwwoorrkk 1100..119922..00..00//1100 AAuuttoommaappHHoossttssOOnnRReessoollvvee 11 TTrraannssPPoorrtt 99004400 DDNNSSPPoorrtt 55335533
  • 33. PPrreevveennttiinngg lleeaakkss MMeettaaddaattaa HHoossttnnaammee aanndd iinntteerrnnaall//eexxtteerrnnaall IIPP aaddddrreesssseess mmaayy bbee eexxppoosseedd bbyy mmiissttaakkee IIff yyoouurr aapppp mmaakkeess aa rreeqquueesstt ttoo aann eexxtteerrnnaall rreessoouurrccee yyoouurr IIPP wwiillll lleeaakk IIff yyoouurr aapppp sseennddss eemmaaiill yyoouurr IIPP wwiillll lleeaakk oonn ““RReecceeiivveedd::”” hheeaaddeerr
  • 34. PPrreevveennttiinngg lleeaakkss OOooppss...... http://www.thinkdifferentzone.com/2014/09 /need-real-ip-address-of-cloudflare.html
  • 36. GGeenneerraall hhaacckkiinngg oovveerr TTOORR EExxiittNNooddeess eeaavveessddrrooppppiinngg ““ IInn sshhoorrtt,, eevveerryy eexxiitt nnooddee ccaann ssppyy oonn yyoouurr uunneennccrryypptteedd eexxiitt ttrraaffffiicc aanndd eevveenn wwoorrssee,, iinnjjeecctt mmaalliicciioouuss ccooddee iinnttoo tthhee ssttrreeaamm -- bbee aawwaarree ooff tthhiiss..”” TTOORR wweebbssiittee
  • 37. GGeenneerraall hhaacckkiinngg oovveerr TTOORR SSOOCCKKSS55 PPrrooxxyy--aawwaarree PPooiinntt tthhee ttooooll ttoo TTOORR''ss SSOOCCKKSS55 ppoorrtt EEnnjjooyy yyoouurr MMaarrttiinnii
  • 38. GGeenneerraall hhaacckkiinngg oovveerr TTOORR NNoonn--SSOOCCKKSS55 PPrrooxxyy--aawwaarree WWeellll,, tthhaatt ssuucckkss.. PPrriivvooxxyy // PPrrooxxyycchhaaiinnss // PPoolliippoo // TToorrssoocckkss aarree hheerree ttoo hheellpp.. http://code.google.com/p/torsocks/ https://trac.torproject.org/projects/tor/wiki/doc/TorifyHOWTO/Polipo http://www.privoxy.org/ http://proxychains.sourceforge.net/
  • 39. GGeenneerraall hhaacckkiinngg oovveerr TTOORR II ccaann''tt SSOOCCKKSS!! GGiimmmmee HHTTTTPP//SS,, PPrriivvooxxyy!! HHTTTTPP//SS pprrooxxyy CCaann ffoorrwwaarrdd ttoo ootthheerr pprrooxxiieess ((SSOOCCKKSS iinnccll..!!)) GGoooodd ffoorr aapppplliiccaattiioonnss wwiitthh HHTTTTPP//SS pprrooxxyy ssuuppppoorrtt http://www.privoxy.org/
  • 40. GGeenneerraall hhaacckkiinngg oovveerr TTOORR PPiippiinngg wwiitthh PPrriivvooxxyy $$ eexxppoorrtt HHTTTTPP__PPRROOXXYY==””112277..00..00..11::88111188”” $$ wwggeett hhttttpp::////iiffccoonnffiigg..mmee 7744..112200..1155..115500 1http://securitystreetknowledge.com/?p=283
  • 41. GGeenneerraall hhaacckkiinngg oovveerr TTOORR II ccaann''tt aannyytthhiinngg!! PPrrooxxyycchhaaiinnss FFTTWW!! EEnnccaappssuullaatteess rreeqquueessttss aanndd DDNNSS llooookkuuppss SSuuppppoorrtt ffoorr mmuullttiippllee pprrooxxyy ttyyppeess ((SSOOCCKKSS44//55,, HHTTTTPP//SS)) CCaann rraannddoommiizzee pprrooxxyy lliisstt ::)) DDiidd II hheeaarr cclluusstteerr bboommbbiinngg?? PPrrooxxiiffiieess nnoorrmmaallllyy uunnpprrooxxiiffiiaabbllee aapppplliiccaattiioonnss ((wwaatt??))
  • 42. GGeenneerraall hhaacckkiinngg oovveerr TTOORR PPrrooxxyycchhaaiinnss bbaassiicc ccoonnffiigg ## iinn //eettcc//pprrooxxyycchhaaiinnss//ccoonnffiigg ssttrriicctt__cchhaaiinn ## oorr rraannddoomm//ddyynnaammiicc iiff uussiinngg mmuullttiippllee TTOORR iinnssttaanncceess ttccpp__rreeaadd__ttiimmee__oouutt 1155000000 ttccpp__ccoonnnneecctt__ttiimmee__oouutt 88000000 pprrooxxyy__ddnnss [[PPrrooxxyyLLiisstt]] ssoocckkss44 112277..00..00..11 99005500 1http://securitystreetknowledge.com/?p=283
  • 43. GGeenneerraall hhaacckkiinngg oovveerr TTOORR PPiippiinngg wwiitthh PPrrooxxyycchhaaiinnss $$ pprrooxxyycchhaaiinnss nnmmaapp --PP00 --ssTT --nn --pp 8800 118866..119922..9900..55 ## --ssTT TTCCPP CCoonnnneecctt(()) ttoo ggoo tthhrruu TTOORR ((SSYYNN wwoonn''tt wwoorrkk)),, --nn ddoonn''tt ddoo nnaammee rreessoolluuttiioonnss aanndd --PP00 iiss ttoo aavvooiidd IICCMMPP lleeaakk11 $$ pprrooxxyycchhaaiinnss ppyytthhoonn ssqqllmmaapp..ppyy --uu ""hhttttpp::////wwwwww..eexxaammppllee..ccoomm//vvuullnn..pphhpp??iidd==11"" --ff ----ddbbss ––uusseerrss $$ pprrooxxyycchhaaiinnss ggoollddeenneeyyee..ppyy hhttttpp::////wwwwww..eexxaammppllee..ccoomm 1http://securitystreetknowledge.com/?p=283
  • 44. GGeenneerraall hhaacckkiinngg oovveerr TTOORR GGeettttiinngg aa nneeww iiddeennttiittyy $$ pprrooxxyycchhaaiinnss ccuurrll iiffccoonnffiigg..mmee 22>> //ddeevv//nnuullll 7744..112200..1155..115500 $$ eecchhoo --ee ''AAUUTTHHEENNTTIICCAATTEE ""ppaasssswwoorrdd""rrnnssiiggnnaall NNEEWWNNYYMMrrnnQQUUIITT'' || nncc 112277..00..00..11 99005511 $$ pprrooxxyycchhaaiinnss ccuurrll iiffccoonnffiigg..mmee 22>> //ddeevv//nnuullll 4466..5599..7744..1155 https://github.com/jseidl/Multi-TOR/blob/master/tor_newid.sh
  • 45. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk TTuunnnneelliinngg SScchheemmeess VViiccttiimm ((hhoossttss tthhee hhiiddddeenn sseerrvviiccee)) ←← AAttttaacckkeerr ((oovveerr TTOORR)) VViiccttiimm ((oovveerr TTOORR))→→ AAttttaacckkeerr ((hhoossttss tthhee hhiiddddeenn sseerrvviiccee)) VViiccttiimm→→ GGaatteewwaayy ((oovveerr TTOORR)) →→ AAttttaacckkeerr ((hhoossttss tthhee hhiiddddeenn sseerrvviiccee))
  • 46. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm←← AAttttaacckkeerr MMaallwwaarree ddrrooppss TTOORR cclliieenntt aanndd ccoonnffiigguurraattiioonn ffiillee MMaallwwaarree ssttaarrttss TTOORR wwiitthh pprree--ccoonnffiigguurreedd hhiiddddeenn--sseerrvviiccee MMaallwwaarree lliisstteennss oonn llooccaallhhoosstt oonn pprree--ccoonnffiigguurreedd ppoorrtt - victim side -
  • 47. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm←← AAttttaacckkeerr AAttttaacckkeerr ssttaarrttss uupp TTOORR aanndd ppooiinntt bbaacckkddoooorr cclliieenntt ttoo HHiiddddeennSSeerrvviiccee oovveerr TTOORR tthhrroouugghh SSOOCCKKSS PPwwnnaaggee.. - attacker side -
  • 48. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→AAttttaacckkeerr MMaallwwaarree ddrrooppss TTOORR cclliieenntt MMaallwwaarree ssttaarrttss TTOORR MMaallwwaarree ccoonnnneeccttss ttoo aattttaacckkeerrss ..oonniioonn aaddddrreessss oovveerr TTOORR tthhrroouugghh SSOOCCKKSS - victim side -
  • 49. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→AAttttaacckkeerr AAttttaacckkeerr ssttaarrttss rreevveerrssee bbaacckkddoooorr lliisstteenneerr AAttttaacckkeerr sseettss uupp HHiiddddeennSSeerrvviiccee oonn lliisstteenneerr ppoorrtt AAttttaacckkeerr wwaaiittss ffoorr tthhee ccoonnnneeccttiioonn ffrroomm vviiccttiimm BBAAMM!! - attacker side -
  • 51. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk WWhhaatt iiff mmyy bbaacckkddoooorr cclliieenntt//lliisstteenneerr ddooeess nnoott ssuuppppoorrtt TTOORR nnoorr SSOOCCKKSS55//44AA?? –– OOMMGG!! NNooww wwhhaatt?? –– RReellaaxx,, wwee ggoott tthhaatt ccoovveerreedd tthhaatt ttoooo
  • 52. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk ssooccaatt iiss oouurr lloorrdd $$ ssooccaatt TTCCPP44--LLIISSTTEENN::11333377,,ffoorrkk SSOOCCKKSS44AA::112277..00..00..11::tthhqqssmmtt7766bb55ffkkvvoonn55..oonniioonn::8800,,ssoocckkssppoorrtt==99115500 SSttaarrttss aa nniiccee TTCCPP ssoocckkeett ggooiinngg ddiirreeccttllyy ttoo oouurr HHiiddddeennSSeerrvviiccee ppoorrtt oonn tthhee ootthheerr eenndd.. CCooooll hhuuhh??
  • 53. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk ssooccaatt iiss oouurr lloorrdd $$ ssooccaatt TTCCPP44--LLIISSTTEENN::11333377,,ffoorrkk SSOOCCKKSS44AA::112277..00..00..11::tthhqqssmmtt7766bb55ffkkvvoonn55..oonniioonn::8800,,ssoocckkssppoorrtt==99115500 TThhiiss ccaann bbee uusseedd oonn tthhee vviiccttiimm oorr aattttaacckkeerr ssiiddee ((LLiinnuuxx oonnllyy oorr WWiinn oovveerr CCyyggwwiinn)) oorr oonn aa ppiivvoott hhoosstt ttoo mmaakkee hhiimm aacctt aass aa ggaatteewwaayy.. OOMMGG!! SSOO VVEERRSSAATTIILLEE!!
  • 54. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk BBuutt mmyy ttaarrggeett iiss oonn WWiinnddoowwss aanndd II ccaann oonnllyy ddrroopp tthhee bbiinnaarryy mmaallwwaarree ww//oo SSOOCCKKSS –– AAwwwwww mmaann...... –– WWeellll,, lleett'ss ffiinndd aa ssccaappeeggooaatt tthheenn......
  • 55. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→GGaatteewwaayy→→AAttttaacckkeerr MMaallwwaarree ddrrooppss iittss rreegguullaarr bbiinnaarryy MMaallwwaarree iiss ccoonnffiigguurreedd ttoo ppooiinntt aatt ggaatteewwaayy aaddddrreessss && ppoorrtt MMaallwwaarree rruunnss nnoorrmmaallllyy - victim side -
  • 56. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→GGaatteewwaayy→→AAttttaacckkeerr GGaatteewwaayy hhoosstt ggeettss aaccqquuiirreedd ((bboouugghhtt//ppwwnneedd) MMaaggiicc ssooccaatt lliinnee ooff hheeaavveennss ooppeennss uupp aa lliisstteenniinngg ppoorrtt ppiippiinngg ttoo tthhee HHiiddddeennSSeerrvviiccee iinn TTOORR''ss uunnddeerrwwoorrlldd GGaatteewwaayy ssiittss ppaattiieennttllyy tthheerree - gateway side -
  • 57. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→GGaatteewwaayy→→AAttttaacckkeerr AAttttaacckkeerr ssttaarrttss rreevveerrssee bbaacckkddoooorr lliisstteenneerr AAttttaacckkeerr sseettss uupp HHiiddddeennSSeerrvviiccee oonn lliisstteenneerr ppoorrtt AAttttaacckkeerr wwaaiittss ffoorr tthhee ccoonnnneeccttiioonn ffrroomm vviiccttiimm PPeeww--ppeeww--ppeeww.. - attacker side -
  • 59. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk VViiccttiimm→→GGaatteewwaayy→→AAttttaacckkeerr FFoorreennssiiccss wwiillll ttrraacckk bbaacckk ttoo GGaatteewwaayy AAss tthhee ggaatteewwaayy ttuunnnneellss ttoo TTOORR, tthhee aattttaacckkeerr ccaannnnoott bbee ttrraacceedd TTrraacciinngg eennddss hheerree CC''yyaa,, ffoorreennssiiccaattoorr!! GGGG KKTTNNXXBBYY
  • 60. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk TThhee eenndd ooff tthhee ttrraaiill IInn eevveerryy ttuunnnneelliinngg sscchheemmee tthhee ttrraaiill iiss lloosstt WWee ddoonn''tt uussee EExxiittNNooddeess aannyyttiimmee iinn oouurr ttuunnnneellss NNoo nnooiissee oonn nneettwwoorrkk ootthheerr tthhaann rraannddoomm oorr ddiissgguuiisseedd ddaattaa OOnnccee ddeeeepp iinn TTOORR rreeaallmmss –– iiff yyoouu ddoonn''tt lleeaakk ddaattaa –– yyoouu''rree ggoonnee
  • 62. PPooppppiinngg sshheellllss iinn tthhee ddaarrkk DDeemmoo TTiimmee!! MMeetteerrpprreetteerr bbaacckkddoooorrss!! OOvveerr TTOORR!! YYAAYY!! https://www.youtube.com/watch?v=pOfrKhPjEBU
  • 63. TTooggeetthheerr iinn tthhee ddaarrkk BBrriinngg iinn ddaa BBoottzz HHiiddddeennSSeerrvviicceess eelliimmiinnaattee tthhee nneeeedd ttoo hhaavvee ppoorrttss ooppeenn PPlluuggggaabbllee TTrraannssppoorrttss mmaakkeess hhaarrdd ttoo ddeetteecctt CC&&CC aanndd PP22PP iimmpplleemmeennttaattiioonn aarree ppoossssiibbllee
  • 64. TTooggeetthheerr iinn tthhee ddaarrkk IInn SSOOCCKKSS wwee ttrruusstt IIff yyoouurr bboott cclliieenntt iiss ssoocckkss aawwaarree, ggoooodd!! BBuutt aaggaaiinn, iiff iitt''ss nnoott, wwee ccaann mmaakkee aa ggaatteewwaayy wwiitthh ssooccaatt ((aass wwee''vvee sseeeenn iinn tthhee pprreevviioouuss sslliiddeess))
  • 65. TTooggeetthheerr iinn tthhee ddaarrkk WWee hhaavvee ttoo ddeeppllooyy aa TTOORR cclliieenntt oonn tthhee vviiccttiimm OOrr aa hhoommeebbrreeww iimmpplleemmeennttaattiioonn
  • 66. TTooggeetthheerr iinn tthhee ddaarrkk AAnnttii--vviirruuss aarree ffiinnee
  • 67. TTooggeetthheerr iinn tthhee ddaarrkk AAlltteerrnnaattiivveess ttoo ddiirreecctt TTOORR bbiinnaarryy aanndd DDLLLLss OOnniioonnKKiitt –– OObbjjeeccttiivvee--CC TTOORR WWrraappppeerr TToorr..FFrraammeewwoorrkk –– CCooccooaa SStteemm –– PPyytthhoonn WWrraappppeerr LLiibbTToorr –– CC iimmpplleemmeennttaattiioonn
  • 68. TTooggeetthheerr iinn tthhee ddaarrkk WWhhaatt ccaann bbee ppiippeedd oovveerr TTOORR?? WWeellll,, aallmmoosstt aannyytthhiinngg.. HHTTTTPP // IIRRCC // SSMMTTPP // CCuussttoomm PPrroottooccoollss
  • 69. TTooggeetthheerr iinn tthhee ddaarrkk MMoodduuss ooppeerraannddii DDrroopp TTOORR cclliieenntt oonn hhoosstt DDrroopp SSOOCCKKSS55--ccaappaabbllee mmaallwwaarree oonn hhoosstt CCoonnnneecctt ttoo CC&&CC ..oonniioonn aaddddrreessss CCoonnnneecctt,, iinntteerraacctt,, pprrooffiitt..
  • 70. TTooggeetthheerr iinn tthhee ddaarrkk WWiinnzz NNoo 33rrdd ppaarrttyy ddeeppeennddeenncciieess PPlluuggggaabbllee TTrraannssppoorrttss ccaann bbee uusseedd ttoo oobbffuussccaattee ttrraaffffiicc NNoo eexxiitt--nnooddeess uusseedd
  • 71. TTooggeetthheerr iinn tthhee ddaarrkk WWiinnzz CCoommmmuunniiccaattiioonn oonnllyy oovveerr TTOORR nneettwwoorrkk VViirrttuuaallllyy iimmppoossssiibbllee ttoo ttrraacckk aanndd ttaakkeeddoowwnn ((wwaattcchh oouutt ffoorr lleeaakkss)) CC&&CC HHiiddddeennSSeerrvviiccee ccaann bbee sseettuupp iinn aannyy mmaacchhiinnee,, aatt aannyy ttiimmee aannyywwhheerree
  • 72. TTooggeetthheerr iinn tthhee ddaarrkk CCaavveeaattss PPrreesseennccee ooff TTOORR ttrraaffffiicc oonn nneettwwoorrkk iiff nnoo oobbffuussccaattiioonn uusseedd MMiigghhtt hhaavvee ttoo aadddd SSOOCCKKSS55 ssuuppppoorrtt ttoo mmaallwwaarree oorr ssooccaatt--lliikkee uussee
  • 73. TTooggeetthheerr iinn tthhee ddaarrkk WWhhoo ddooeess tthhaatt aallrreeaaddyy?? LLoottss ooff mmaallwwaarree.. BBaannkkeerr,, BBoottss,, iinnccll.. ZZeeuuss..
  • 74. TTooggeetthheerr iinn tthhee ddaarrkk WWhhoo ddooeess tthhaatt aallrreeaaddyy?? ZZeeuuss CChheewwBBaaccccaa ((BBaannkkeerr)) AAttrraaxx MMeevvaaddee https://securelist.com/blog/incidents/58192/chewbacca-a-new-episode-of-tor-based-malware/
  • 75. TTooggeetthheerr iinn tthhee ddaarrkk WWhhoo ddooeess tthhaatt aallrreeaaddyy?? CCyytthhoossiiaa ((BBoott)) CCTTBB--LLoocckkeerr ((RRaannssoommwwaarree)) AAnnddrroommeeddaa ((BBoott)) https://securelist.com/analysis/publications/64608/a-new-generation-of-ransomware/
  • 78. TTooggeetthheerr iinn tthhee ddaarrkk WWhhoo ddooeess tthhaatt aallrreeaaddyy?? BBaacckkddoooorr..AAnnddrrooiiddOOSS..TToorreecc..aa ((AAnnddrrooiidd –– OOrrbboott TToorr CClleeiinntt mmooddiiffiieedd)) https://securelist.com/blog/incidents/58528/the-first-tor-trojan-for-android/
  • 81. TTooggeetthheerr iinn tthhee ddaarrkk .Net SocksBot hardcoded C&C in Tor network
  • 82. TTooggeetthheerr iinn tthhee ddaarrkk PPrriivvaattee TTOORR NNeettwwoorrkkss MMaayybbee ffaasstteerr LLeessss ttrraaffffiicc MMaayybbee eeaassiieerr ttoo eennuummeerraattee??
  • 83. TTooggeetthheerr iinn tthhee ddaarrkk PP22PP NNoott nneeww ppaarraaddiiggmm ((CCoonnffiicckkeerr)) EEaacchh hhoosstt mmuusstt hhaavvee iitt''ss hhiiddddeenn sseerrvviiccee ffoorr ccoommmm ((HHTTTTPP?? IIRRCC??)) MMaannaaggiinngg hhoossttss ccaann bbee aa lliittttllee mmoorree ccoommpplleexx VVeerryy hhaarrdd ttoo bblloocckk oonn eennddppooiinntt ((nnoo lloonnggeerr uunniiqquuee ..oonniioonn UURRLL))
  • 84. TTooggeetthheerr iinn tthhee ddaarrkk RReemmaaiinniinngg WWeeaakknneessss TTOORR NNeettwwoorrkk ffrraaggmmeennttaattiioonn SSyynncchhrroonniizzaattiioonn iissssuueess TTrraaffffiicc && CCPPUU uussaaggee iinnccrreeaassee
  • 85. TTooggeetthheerr iinn tthhee ddaarrkk DDeemmoo TTiimmee!! TT11000000 TTOORR BBoottnneett https://www.youtube.com/watch?v=bovRmjx_FBc
  • 87. TThhaannkk yyoouu!! jseidl@wroot.org http://wroot.org @jseidl | slideshare.net/jseidl | linkedin.com/in/janseidl | youtube.com/janseidl