Показано с 1 по 7 из 7

Тема: Как убрать реальное имя хоста из заголовка EHLO/HELO?

  1. #1
    phpp
    phpp вне форума
    Новичок
    Регистрация
    05.06.2004
    Сообщений
    3

    Как убрать реальное имя хоста из заголовка EHLO/HELO?

    источник http://ssz.by.ru/security/articles/thebat2.htm
    1. Введение.

    Отсылая мыло из-за прокси (например с помощью SocksCap/SocksChain), мы обычно преследуем цель скрыть свой IP от получателя. Но TheBat выдаст нас, поставив имя хоста в команду HELO/EHLO. Это будет реальное доменное имя, если наш провайдер поддерживает reverse DNS своих клиентов.


    2. Патч.

    Нижеследующий код найден "с 2х сторон": прослеживанием связей между строками "gethostbyaddr" и "EHLO". "gethostbyaddr", в свою очередь, найден с помощью справки по WinSock и здравого смысла.

    ;Загрузка константы "EHLO"
    0057A61A mov edx, offset _str_EHLO_.Text
    0057A61F lea eax, [ebp+var_4]
    0057A622 call @System@@LStrLAsg$qqrv ; System __linkproc__ LStrLAsg(void)
    ;В конце концов динамически грузится и вызывается gethostbyaddr
    0057A627 lea edx, [ebp+var_8]
    0057A62A mov eax, [ebp+arg_0]
    0057A62D mov eax, [eax-4]
    0057A630 mov eax, [eax+30h]
    0057A633 call sub_4ACE7C
    ;Составление строки "EHLO hostname"
    0057A638 mov edx, [ebp+var_8]
    0057A63B lea eax, [ebp+var_4]
    0057A63E call @System@@LStrCat$qqrv ; System __linkproc__ LStrCat(void)

    Во-первых нужно добавить в ЕХЕшник строку.
    Немного более подробно о строках в Delphi:
    0057A6FA align 4 ; Строки выровнены на 4 байта
    0057A6FC _str_HELO_ dd 0FFFFFFFFh ; _top - счетчик ссылок, для констант = FFFFFFFF
    0057A6FC dd 5 ; Длина
    0057A6FC db 'HELO ',0 ; Text

    Сформируем такую строку в свободном месте (хорошо подходит хвост какой-либо секции, например кодовой).
    0028CFE0: FF FF FF FF-09 00 00 00-6C 6F 63 61-6C 68 6F 73 05 localhos
    0028CFF0: 74 00 00 00-00 00 00 00-00 00 00 00-00 00 00 00 t

    Теперь впатчим её загрузку (работает и без вызова LStrLAsg, так что сделаем просто)
    0057A633 mov edx, 68DBE8h ;Затёрли вызов ненужной функции, ну и х.. с ней.
    0057A638 lea eax, [ebp+var_4]
    0057A63B nop
    0057A63C nop
    0057A63D nop
    0057A63E call @System@@LStrCat$qqrv ; System __linkproc__ LStrCat(void)

    И то же самое сделаем для HELO:
    0057A67C mov edx, 68DBE8h
    0057A681 lea eax, [ebp+var_4]
    0057A684 nop
    0057A685 nop
    0057A686 nop
    0057A687 call @System@@LStrCat$qqrv ; System __linkproc__ LStrCat(void)

    Вот и всё. Пускаем TheBat, отсылаем мыло, смотрим заголовки, радуемся - мы теперь вечный localhost.

    а возможно ли написать патчик???

  2. #2
    X-RAY
    X-RAY вне форума
    Новичок
    Регистрация
    01.06.2004
    Сообщений
    6

    Re:Как убрать реальное имя хоста из заголовка EHLO/HELO?

    Это чё получаеца не скрывает SocksCap IP в Bat без этих модингов в ней

  3. #3
    X-RAY
    X-RAY вне форума
    Новичок
    Регистрация
    01.06.2004
    Сообщений
    6

    Re:Как убрать реальное имя хоста из заголовка EHLO/HELO?

    Что такое reverse DNS и как узнать о поддержке провайдера этого reverse DNS

  4. #4
    phpp
    phpp вне форума
    Новичок
    Регистрация
    05.06.2004
    Сообщений
    3

    Re:Как убрать реальное имя хоста из заголовка EHLO/HELO?

    написал 2 патча всё работает
    1 патч патчит бат .. и вставляет в поле HELO -localhost
    1 патч позволяет в поле HELO EHLO всё что захочешь -)%
    кому надобно обрашайтесь afaf@ukr.net

  5. #5
    postovik
    Guest

    Re: Как убрать реальное имя хоста из заголовка EHLO/HELO?

    Раньше у нас в организации пользовались Оутглюком, сейчас перешли на Мышу.
    Но возник вопрос , в отглюке в значении helo в заголовке письма передавалось буквенное имя компьтера (sasha, masha и т.д.), а у мыша передается IP компьтера.
    Пришлите плиз указаный выше патч.
    Уж очень не хочется возвращаться к отглюку :-\

  6. #6
    postovik
    Guest

    Re: Как убрать реальное имя хоста из заголовка EHLO/HELO?

    Как оказалось патч к версии 1.51. Я такую даже не смог найти в нете :'(
    Может у кого есть патч к последним версиям?? Или может чего-нибудь другое можно сделать?

  7. #7
    aff
    aff вне форума
    Участник
    Регистрация
    07.08.2003
    Сообщений
    1,376

    Re: Как убрать реальное имя хоста из заголовка EHLO/HELO?

    Ещё кое-что тут: http://www.forum.nobat.ru/index.php?topic=167.0

    При прочтении этих двух топиков у меня сложилось (может обманчивое) ощущение что работающий DNS обеспечивает мыша именем вместо IP.

Похожие темы

  1. EHLO/HELO localhost вместо IP-адреса
    от postovik в разделе The Bat!: вопросы и ответы
    Ответов: 9
    Последнее сообщение: 12.06.2012, 18:46
  2. Редактирование поля заголовка
    от a2004 в разделе The Bat!: вопросы и ответы
    Ответов: 0
    Последнее сообщение: 15.01.2012, 00:31
  3. Задать EHLO string в Бате
    от Alya в разделе The Bat!: вопросы и ответы
    Ответов: 0
    Последнее сообщение: 12.08.2007, 21:04
  4. в письме информация из заголовка
    от human в разделе The Bat!: вопросы и ответы
    Ответов: 3
    Последнее сообщение: 15.12.2004, 16:03
  5. Регистрация и отправка на SMTP(helo,ehlo)
    от Varmint в разделе The Bat!: вопросы и ответы
    Ответов: 1
    Последнее сообщение: 26.11.2004, 19:51