2006-09-20
■[security]WindowsXPのパスワードをバイパスする「DreamPackPL」に注意！ 
いわゆるrootkit扱いされるものだと思うもので、自分の財産以外や管理下にないところで試すのは辞めましょう。
ここで紹介するのは、某所にホットエントリーで上がっていたので、そのうち悪用する人がでてきそうなので、管理者の方などにこういうツールが存在するので気を付けましょうという啓蒙が目的です。もしくは、こういったツールをフォレンジックなどの正当な目的での利用もあるかもしれません。
手元のWindowsXP SP2環境で試してみました。あまりにも手軽で怖い。
DreamPackPLのインストール
- まずは、http://www.d--b.webpark.pl/down/dreampackpl_iso.zip をダウンロードして解凍します。解凍すると、中にはISOファイルが入っているので、適当にCDかDVDに焼きましょう。
- 対象となるWindowsXPの端末にそのCDを入れてブートします。起動するとWindows2000 Professionalのセットアップ画面になります。
- Rキーを押して、DreamPackPLのモードに入ります。
- 次の画面で、Cキーを押して、インストールモードに入ります。
- インストールされているWindowsを選択します。デュアルブートとかにしていない限りは、「1: C:\WINDOWS」だと思うので、1を入力して下さい。
- 次にコマンドプロンプトになるので、以下の2コマンドを実行します。（恐らく、キーの入力は英語キーボードの配列になっています。DはCDドライブなので適宜変えて下さい。）
ren C:\Windows\System32\sfcfiles.dll sfcfiles.lld copy D:\i386\pinball.ex_ C:\Windows\System32\sfcfiles.dll
そして、最後にexitでリブートします。CDは抜いておきましょう。
DreamPackPLの実行
リブートすると通常通りWindowsXPが起動するので、パスワードフィールドに「dreamon」と入力しましょうすると、ログイン画面内にDreamPackPLが起動します。
起動時の画面
起動するとアカウント一覧が表示されています。
ロゴグラフィック部分をクリックすると、各種メニューに移ることができます。
メニュー
機能はパスワードに関するものやロガー、ハッシュの計算機、コマンドプロンプト実行などがあります。
その中でも、強力な機能として、コマンドに「God-Password」というのがあり、マスターパスワードみたいな役割を果たします。
メニューから、Commands > Commands settings を選んでいくと、下記の画面になります。
ここのGod-PasswordをEnableにすれば利用することができます。文字列はログイン画面のパスワードフォームに入力する文字列です。
このGod-Passwordを試してみたところ、Administratorアカウントでもあっさりと入ることができてしまいました。あまりにも簡単すぎる。。。
今のところ、アンチウイルスソフトでは検出しないかも知れません。また、ActiveDirectory環境では試していませんので、動作が異なるかも知れません。（効果あるのはローカル環境だけかな？）
インストール後の変更箇所としては、「C:\Windows\System32\sfcfiles.dll」というこのファイルが、通常は1521KBのところ、DreamPackPLが入っていると39KBになっています。また、日時は「2004/08/04 0:55」から「2004/06/19 3:15」に変わっています。
ちなみに、DreamPackPLのメニューからもアンインストールが実行できます。
オンラインウイルススキャンでの検知（コメントより追記：2006/9/26）
しかしSymantecとカスペルスキーのオンラインスキャンでは ちゃんと検知できました。ちと安心。 http://www.kaspersky.co.jp/scanforvirus/ http://www.symantec.com/region/jp/securitycheck/index.html
- http://d.hatena.ne.jp/simh/20060920
- http://d.hatena.ne.jp/simh/20060920
- http://d.hatena.ne.jp/Luffy/20060921
- http://d.hatena.ne.jp/darkmoe/20060922
- http://d.hatena.ne.jp/comiken/20060922
- http://d.hatena.ne.jp/Taiyou-neko/20060923
- http://d.hatena.ne.jp/port445/20060922
- http://d.hatena.ne.jp/Taiyou-neko/20070402
- うさぎ文学日記 - 2007年の人気コンテンツ
- 192 http://www.st.ryukoku.ac.jp/~kjm/security/antenna/
- 78 http://d.hatena.ne.jp/kudzu/20060919/1158647442
- 75 http://pooh.gr.jp/link.html
- 22 http://kikuz0u.x0.com/td/
- 10 http://www.st.ryukoku.ac.jp/~kjm/security/memo/2006/08.html
- 8 http://kikuz0u.x0.com/td/?date=20060921
- 6 http://d.hatena.ne.jp/simh/20060920
- 6 http://images.google.co.jp/imgres?imgurl=http://usagidesign.jp/photo/20060409132155.jpg&imgrefurl=http://d.hatena.ne.jp/sen-u/&h=480&w=640&sz=49&hl=ja&start=64&tbnid=xHeKP3aXUc5qEM:&tbnh=103&tbnw=137&prev=/images?q=%E6%97%A5%E6%9C%AC%E9%
- 5 http://kamo.pos.to/dpoke/willcom-B0CCC3D6BEF0CAF3A5B3A5F3A5C6A5F3A5C4.html
- 5 http://www.google.co.jp/search?sourceid=navclient&hl=ja&ie=UTF-8&rls=GGLD,GGLD:2005-40,GGLD:ja&q=うさぎ javascript
2004 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2005 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2006 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2007 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2008 | 01 | 02 | 03 | 04 |
DreamPackPLでググると2chスレがヒット、なんか2年前からあるようで欝
結構前からあるとは知りませんでした。こういうものの存在も認識しておかなければいけませんね。
http://elgeek.com/2006/09/20/como-hackear-login-de-windows-2000xp-pero-%C2%A1sin-cambiar-la-contrasena/
こちらからは普通にダウンロードできますた。休み明けにでも会社で試してみようと思いまふ(;´▽｀A``
しかしSymantecとカスペルスキーのオンラインスキャンでは
ちゃんと検知できました。ちと安心。
http://www.kaspersky.co.jp/scanforvirus/
http://www.symantec.com/region/jp/securitycheck/index.html