Copy Link
Add to Bookmark
Report
SET 020 0x10
-[ 0x10 ]--------------------------------------------------------------------
-[ INSIDE WINDOWS 95 ]-------------------------------------------------------
-[ by Maikel]---------------------------------------------------------SET-20-
--------------------------------------------------------------------------------
J U G A N D O C O N W I N D O W S ' 9 5 B Y M A I K E L 1 9 9 9
--------------------------------------------------------------------------------
v 3
INDICE:
PARTE 1
Editando el Explorer.exe del Windows'95 (y 98, creo...Falken me confirma
que tambien funciona en windows NT), y de paso introduccion al mundo de
los editores en hexadecimal.
PARTE 2
Cambiando los graficos de inicio de windows 95...
PARTE 3
Echando un vistazo al archivo c:\msdos.sys
PARTE 4
Jugando con el registro de windows 95 98 y NT
PARTE 5
Los programas que se ejecutan al arrancar en w95. (ej. troyanos)
CONCLUSION:
ANEXO 1:
Sobre los atributos de los archivos en ms-dos y windows
ANEXO 2:
Curiosidades de los navegadores. FTP: HTTP: ABOUT:
ANEXO 3:
Parte legal
(by Falken)
P A R T E 1:
--------------------------------------------------------------------------------
Editando el Explorer.exe del Windows'95 (y 98, creo... Falken me confirma que
tambien funciona en windows NT), y de paso introduccion al mundo de los editores
en hexadecimal.
--------------------------------------------------------------------------------
Como nunca tengo nada que hacer, en vez de estudiar para el examen de
eletronica que tengo dentro de 4 dias (nota: al final lo suspendi :( si es que..)
digo voy a escribir un articulillo con un poco de teoria sobre editores
hexadecimales , utilizando un ejemplo en el cual cambiaras el nombre "Inicio" de
Windows 95 por otro que tu quieras. ¿que para que?...pues yo que se, para
aprender.
¿que por que?
Para no tener que explicar como hacer este truco varias veces a mis amiguetes.
Y si de paso le puede servir a alguien mas, pues eso que ganamos ¿no?.No se como
acabara este texto, ni si sera corto o largo. Si lo estas leyendo es porque al
final lo hice. Lo pondre lo mas facil que pueda ya que en principio va dirigido
a gente muy, muy, novata, y asi de paso que aprendan para que ellos solos hagan
sus "pinitos".
Necesitaremos un editor hexadecimal. ¿que es eso?
Un editor como el edit de ms-dos o el notepad de windows 95, pero que muestra
todos los bytes de los archivos byte a byte en forma hexadecimal (de ahi su
nombre) ademas de en formato ASCII. La verdad es que se podria utilizar
cualquier editor, pero es una lata porque hay editores que formatean el texto
donde no deben, y el hexadecimal en cambio, edita el archivo tal y como es, y
te pone el numero en hexadecimal de todos los bytes, incluso los caracteres que
no se ven en ASCII, ademas asi aprendeis a manejarlo.
Dejemonos de teoria y a conseguir un editor.
Yo uso el Ultra Edit 32 para windows 95. Os podeis bajar la ultima version en:
http://www.ultraedit.com
Este es un editor de ASCII que permite editar en hexadecimal y en modo texto.
Ahora empezaremos a operar, prestad atencion...
-=00=-Operando-=000=-
1. Buscando el archivo clave:
Con el editor hexadecimal en mano abrimos el archivo explorer.exe que esta en
el directorio c:\windows\explorer.exe
1.1 Una vez encontrado haz una copia de seguridad de el archivo. Una copia de
seguridad es simplemente copiar el archivo con otro nombre o extension. Para que
si la cagamos copiemos la copia de seguridad sobre el archivo estropeado.
2. ¿que hemos encontrado?
explorer.exe a parte de ser el explorador de windows, una especie de Comandante
Norton, parece ser que es donde se esconde gran parte del texto del software
de windows.
Es decir lo de abrir, cerrar, Inicio, "El archvo no se ha encontrado"...
Advierto que si os equivocais os podeis cargar el windows. Yo solo explicare
como cambiar el nombre de el menu Inicio. Si tu quieres cambiar algo mas es cosa
tuya. ( Yo tambien tengo cambiado lo de "apagar equipo" -> "txapar ordenata"
y lo de "Ayuda" --> kit!!! ,queria poner kit te necesito, pero petaba el
explorer, todo esto del menu Inicio).
3. Editando...
Ya estamos dentro de ese archivo. Vemos mogollon de caracteres raros.
Los textos que buscamos estan por el final.
Modificando...
Si quieres cambiar el nombre Inicio por el que tu quieras debes de buscar
la palabra Inicio. Puedes leerte todo el archivo a ver si encuentras algo,
o puedes buscar en hexadecimal o en ASCII (hexadecimal recomendado). Seguro
que tu editor tiene la opcion buscar.
3.11 Cambiando el menu Inicio...
Busca Inicio.
Inicio: bueno en realidad no es Inicio esta de la siguiente forma:
En formato ASCII: I n i c i o (lo que hay entre las letras es el caracter Nulo
(00h). ¿que significa 00h? Significa que es el valor 00 en hexadecimal.
Lo mejor que puedes hacer es buscarlo en hexadecimal :
------------------------------busca esto---------------------------------------
49 00 6e 00 69 00 63 00 69 00 6f : I n i c i o
I n i c i o
-------------------------------------------------------------------------------
Si te fijas "I" es 49 e "i" es 69. O sea que hay que diferenciar entre
mayusculas y minusculas.
Yo no me se de memoria las letras en hexadecimal. Pero te vas al final del
archivo que hay mucho texto y miras que numero corresponde a cada letra. Luego
buscas lo que quieras , fijate que entre letra y letra hay siempre un byte
nulo, que es 00 en hexadecimal.
Pues una vez encontrado hay que cambiarlo, te recomiendo que cambies las
letras inicio que son 5 por otra palabra de 5 caracteres.
I n i c i o -> M a i k e l
5 5
La version inglesa solo tiene 4 caracteres:
S t a r t -> M a i k e (l) No se si se le pueden poner mas de 4 o 5.
La verdad es que no lo he probado. Si no eres experto en hexadecimal
y no sabes lo que haces te recomiendo que lo hagas como lo hice yo. Letra X
Letra.
4. Otros textos.
Si quieres cambiar mas cosas ya sabes igual que hemos cambiado lo de Inicio.
Por cierto que hay varios "I n i c i o" cambialos todos.
[ Nota de Falken: La ultima aparicion de la cadena de texto dentro
del fichero es la que causa el efecto, y con esa basta. ]
5. Guardando el archivo modificado. No se puede guardar directamente desde
windows 95, porque el archivo esta siendo ejecutado continuamente y esta
protegido contra escritura por el sistema operativo. Es por eso que tienes
que guardar el archivo con otro nombre. Guardalo en el direcotrio "windows"
por ejemplo con el nombre explorador.new .
Despues hay que reiniciar windows en modo MS-DOS y copiar el archivo que has
guardado sobre el original de la siguiente manera.
Reinicias en modo ms-dos
-----------------------------------------------------
Microsoft(R) Windows 95
(C)Copyright Microsoft Corp 1981-1995.
c:\>cd windows(intro)
c:\windows\>copy explorador.new explorador.exe(intro)
El archivo ya existe...
¿desea sobreescribir el archivo? S/N
S(intro)
------------------------------------------------------
Ya esta reinicias y tachan el menu Inicio se llama Maikel!!!!.
[ Nota de Falken: No hace falta decir que si se trata de una version
en ingles, el fichero se llamara explorer.exe
Ademas, en NT el proceso es ligeramente diferente. Si no esta
accesible la particion NT desde MSDOS, la mejor solucion esta en
finalizar el proceso 'explorer.exe' desde el administrador de
tareas. Ahora ya es posible grabar el fichero, pues ya no esta
siendo usado por el sistema. Seguidamente lanzamos una nueva tarea,
que sera explorer.exe, y listos. No hace falta reiniciar. ]
Pues esto es todo. Ahora ya puedes dejar volar tu imaginacion y hacer tus
pinitos con tu editor hexadecimal, recuerda copias de seguridad siempre.
Fin
maikelnight@bigfoot.com
mayo de 1999
P A R T E II:
--------------------------------------------------------------------------------
Cambiando los graficos de inicio de windows 95...
Cuando enciendes o apagas windows 95 aparecen unos grafiquillos.
Si quieres los puedes cambiar, ahora te explico como.
Este es el grafico que pone "ahora puede apagar el equipo"
c:\windows\logos.sys
Este el de "apagando el equipo, por favor espere"
c:\windows\logow.sys
Y el de iniciando windows95 esta en
c:\logo.sys nota: despues explicare los problemas que este ultimo tiene.
Para cambiar los dos primeros , tan solo utiliza el "paint" de windows o
cualquier porgrama de edicion de graficos. Los abres, los editas y los
guardas con las mismas paletas y numero de colores, 256.
Si quieres cambiar de paleta o utilizar tus propios graficos, recuerda que
los archivos tienen que estar a 320 x 400 y 256 colores 8 BITS.
El tama~o es siempre de 129,078 bytes por si te sirve de algo.
Con el archivo c:\logo.sys tienes los siguientes problemas:
1. Puede no estar.
-Puede estar oculto: (esto esta copiado de un manual de hack pa
principiantes.
"haz click en "ver", entonces haz click en "archivos por tipo",
entonces comprueba el apartado de "mostrar ocultos/archivos de
sistema".
-Si aun asi no esta no esta, puede ser que estes utilizando el
doublespace o varios discos duros. Busca el archivo en todos los
directorios raices de tu ordenador. c:\ d:\ e:\ etc.
-Y si despues de todo no esta , entonces debes de crearlo. Es facil,
copia el logow.sys por ejemplo, en c:\logo.sys. Y despues lo modificas.
Esto pasa porque el windows95 comprueba que existe el archivo logo.sys
en c:\ , si no esta usa la copia que tiene dentro de io.sys. Pero
bueno el caso es que si lo creas, utilizara el logo.sys
2. Antes de modficar el archivo c:\logo.sys quitale los atributos de
lectura solo, oculto, y sistema. esto se hace desde ms-dos de la siguiente
manera...
c:\>ATTRIB -R -H -S C:\LOGO.SYS
Nota final sobre el c:\logo.sys, este archivo viene con una animacioncilla
en la parte de abajo del grafiquillo, si, esos cuadrados azules que van cambiando
pero cuando lo editas con el paint, y modificas el archivo te cargas la
animacion, :( , yo no tengo ni idea de como ponerla otra vez , lo siento,
pero si se de la existencia de programas que lo hacen, busca en la red.
(Si lo encuentras me lo dices :9 )
[ Nota de Falken: Veamos como se hace esto en Windows NT.
Hay dos formas. La basica, que es crear nuestra propia imagen de
inicio y sustituir con ella el fichero winnt.bmp que se encuentra
en el directorio \winnt.
Pero la que prefiero es jugando con el registro. La configuracion
que se carga por defecto es la correspondiente al usuario por
defecto. Asi, tan solo hay que cambiar la imagen del escritorio de
este usuario. La llave correspondiente del registro es:
HKEY_USERS\.DEFAULT\Desktop\Wallpaper
Si curioseamos en HKEY_USERS\.DEFAULT\Desktop veremos un monton de
cosas que podremos retocar a nuestro gusto. ]
P A R T E III:
--------------------------------------------------------------------------------
Echando un vistazo al archivo c:\msdos.sys
Primero debemos editar el archivo, advierto que el archivo esta oculto
protegido, y de sistema, o sea que a quitarle atributos con el attrib.
c:\>ATTRIB -R -H -S C:\MSDOS.SYS
Ahora lo editamos y vemos las siguientes lineas:
--------------------------------------------------------------------------------
[Paths]
WinDir=C:\WINDOWS
WinBootDir=C:\WINDOWS
HostWinBootDrv=C
Esto lo dejamos porque no nos sirve de nada, y no queremos estropear windows.
Ademas esta claro lo que hace.
--------------------------------------------------------------------------------
[Options]
BootMulti=1
BootGUI=1
Network=1
La linea BootGUI , quiere decir iniciar con el GUI, que es el "Graphic User
Interface" , o sea con las ventanitas del windows. Si el valor esta =1 ,
iniciara en modo windows, si el valor es =0, iniciara en modo MS-DOS. Cuando
inicias Windows en modo MS-DOS , windows pone a 0 este valor.
Fragmento que encontre en un "manual de hacker" y que puede ser interesante.
"Para desactivar las teclas de funcion durante el arranque, directamente
debajo de [Options] tienes que insertar el comando "BootKeys=0."O, otra
manera de desactivar dichas teclas de arranque, es insertar el comando
BootDelay=0."
Creo que esta claro, pones la linea BootKeys=0 y no funcinara ninguna tecla
cuando pone lo de...
Iniciando windows 95...
-------------------------------------------------------------------------------
DrvSpace=0
DblSpace=0
DoubleBuffer=1
Logo=1
DrvSpace = 0 y DblSpace = 0 le dice a windows si estas usando double space o
drive space, esto no lo toques, si lo usaras estaria a valor 1.
No se para que sirve el DoubleBuffer, pero lo tengo activado, supongo que sera
algun buffer de windows, dejemoslo como esta.
Logo = 1, esta linea indica a windows que al iniciar ponga el archivo logo.sys
del cual ya hemos hablado en este articulo. Si el valor = 1 lo se visualiza
si es = 0 , no lo lee, y asi puedes ver lo que va pasando en el autoexec.bat
y config.sys. Tambien puedes quitar el grafico de iniciando windows 95,
pulsando la tecla ESC cuando sale el grafico.
Bueno esto es todo sobre este archivo. Ya veremos que se me ocurre para ampliar
este documento que ya empieza a ser util y largo.
Maikel mayo 1999
P A R T E IV:
--------------------------------------------------------------------------------
Jugando con el registro de windows.
El registro de windows es una pieza muy importante del corazon de windows 95.
En el se guarda casi toda la informacion sobre el sistema, sobre los usuarios y
sobre el software instalado."Contiene informacion acerca de la manera en que se
ejecuta su PC" Ayuda de Windows.
Para acceder a el hay que utilizar la utilidad que viene con windows 95 ,"editor
de registro", que se encuentra en: c:\windows\regedit.exe
Operando:
Este tutorial sobre como modificar el editor de registro te va a ense~ar algun
truco, pero ademas pretende que tu descubras por tu cuenta "lo que quieras".
Te vamos a esene~ar a utilizar este programa de forma general.
1) COPIA DE SEGURDAD DEL REGISTRO DEL SISTEMA:
Muy importante es hacer una copia del registro del sistema. Este se encuentra en
los siguientes archivos:
-c:\windows\system.dat (el archivo clave) Esta oculto, protegido contra
escritura , y de sistema o sea +h +r +s. Pero bueno a nosotros eso nos da
igual, simplemete que si esta +h no lo veras pero siempre esta ahi.
Para hacer una copia de seguridad...
copy c:\windows\system.dat c:\windows\system.bak
-c:\windows\user.dat Haz lo mismo que con el archivo anterior.
-c:\windows\system.da0 (este es una copia de seguridad del propio windows), por
si se te olvido hacer copia de seguridad recuerda que windows tiene la suya pro-
pia.
-c:\windows\user.da0 Igual que el anterior es una copia de seguridad de w95.
Para recuperar las copias de seguridad haz:
attrib -h -r -s system.dat
copy system.da0 system.dat
attrib -h -r -s user.dat
copy user.da0 user.dat
Reinicie su equipo.
2) Empecemos a editar.
Ejecutamos el archivo c:\windows\regedit.exe
Estos son los directorios mas importantes.
HKEY_CLASSES_ROOT (tipos de archivos, extensiones...)
HKEY_CURRENT_USER (Informacion personal y otros)
HKEY_LOCAL_MACHINE (Informacion de hardware y software, la mas interesante)
3) Cambiando el nombre del usuario registrado de windows. A veces cuando compras
un ordenador nuevo, tiene preinstalado windows95. El nombre del propietario
puede ser algo asi como USER1. Para ver a que nombre esta tu windows , pon ayuda
en cualquier aplicacion de windows, y luego , acerca de windows 95.
Pues vamos a ver como lo cambiamos. Miramos el nombre de usuario actual, com
acabo de decir. User1 por ejemplo. Nos vamos al Regedit y en buscar ponemos
User1. Despues de unos segundos nos lleva a la siguiente direccion...
Mi Pc\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
!!!!ACABAS DE DESCUBRIR UN SITIO MUY INTERESANTE!!!!
Puedes cambiar desde tu nombre, nombre de windows (ahora yo no tengo windows 95
tengo el Ventanucos 95), la version...¿que os parece?, y solo con buscar el
nombre de usuario. Podria dedicar todo un articulo a esta seccion. Te recuerdo
que te puedes equivocar, asi que ten a mano tu copia de seguridad.
Y si abres esa misma ventana...mas cosas...
Mi Pc\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\*.*
4)Borrando programas fantasma de la opcion de windows desinstalar software. A
veces al desinstalar una aplicacion, o al borrarla windows no elimina el
nombre de la lista de aplicaciones instaladas. No pasa nada esa lista esta en
el registro de windows. Busquemos por ejemplo... Distributed Computing Client.
Es el cliente de el proyecto Bovine :) . Supongamos que lo hemos borrado sin
usar esta opcion de desinstalar, ahora no podemos quitar este programa de la
lista. Busquemos pues...
Mi Pc\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\...
Este es el directorio de la lista de software instalado. Simplemente borra la que
te estorbe.
[ Nota de Falken: Bueno, bueno. Si nos pusiesemos a hablar sobre el
registro en Windows, particularmente en NT, podriamos hacer un
libro entero. De hecho, existe un libro muy bueno de O'Reilly sobre
el registro en Windows 95 y otro sobre NT, que son muy buenos.
De todas formas, que sepais que con el registro de Windows podeis
hacer casi de todo. ]
P A R T E V:
--------------------------------------------------------------------------------
Programas que se ejecutan al iniciar el ordenador en windows 95, 98 y NT
Esta seccion abordara el tema de el software que se ejecuta al iniciar
el ordenador. No siempre se ejecutan aplicaciones que queremos que se ejecuten,
por ejemplo troyanos, o sniffers. Voy a intentar explicaros las zonas basicas
que se deben tener controladas, para saber en todo momento que programas se
estan ejecutando en tu PC.
Una forma de saber lo que se esta ejecutando en tu pc es pulsar
Cntr + Alt + Supr. Entonces windows te mostrara los programas que
estan en ese momento funcionando.
Me ha salido a mi en este momento...
UltraEdit32 <----- El programa que utilizo para escribir el articulo.
Explorer <----- El explorer.exe , archivo del que ya hemos hablado.
Systray <----- Pues no se que es, supongo que algo interno de
windows, voy a darle "finalizar tarea" a ver que pasa.
Me ha dado un mensaje de error y me lo ha cerrado...
ahora esto funciona sin ese programa, ¿que diantres
sera? En la ayuda de windows no dice nada... olvide-
moslo, siempre ha estado aqui y no creo que sea un
troyano.¡¡¡Ya se lo que es!!! Es el enchufe que me
salia en la barra de tareas. Es para controlar la pila
del portatil...
[Daemon: Esquina inferior derecha, es la bandeja donde se instalan las
aplicaciones residentes. Control de sonido, bovine, pgp...
systray viene precisamente de System Tray]
[Falken: Exacto. De hecho hay programas para acceder a todas las tareas
desde un icono en el System tray, y un monton de pijadas mas. ]
Pero hay mas cosas instaladas en memoria, por ejemplo lo que hay en la
parte derecha de la barra "inicio" ("maikel").
Hay un relojillo...
Una especie de altavoz...que es lo de mi tarjeta de sonido...
Y un enchufe...que se supone que es para el estado de la bateria de los
portatiles, pero que a mi me sale y no consigo quitarlo...
(nota de utlima hora eso es el programa
c:\windows\system\SysTray.exe)
Tambien hay una cara de vaca...esto es el programa de RC-5 bovine...
Pues esto es todo lo que hay supuestamente cargado en memoria, pero
por supuesto hay mas cosas, que no se pueden ver tan facilmente. Normalmente
los troyanos y los sniffers se escapan a simple vista, aun asi hay algunos
sniffers que se ponen un nombre raro como el keylog2 que se oculta llamandose
WinMem. Si al apretar cntr + alt + sup te aparece winmem, chungo. Los programas
que se inician en ms-dos al arrancar suelen estar ocultos, es el caso de los
drivers para ms-dos del cd-rom, el raton para ms-dos que realmente estan
ocupando memoria. Los sniffers y cosas asi tambien se ocultan.
Lo que haremos sera buscar en las zonas clave donde los programas se
inician. Es decir que los localizaremos buscando sentencias de ejecucion.
NIVEL 1 de EJECUCION: La manera mas simple de ejecutar un programa
al iniciar es colocando un acceso directo en el menu de inicio, dentro
de la subcarpeta Inicio, que en la version inglesa se llama Startup. Esto
es importante porque hay programas que en vez de colocarse en inicio se
creen que es la version inglesa y te crean la carpeta startup para meterse
en ella. ¿Como mirar lo que hay en esa carpeta? . Le das al boton de...
Inicio -> programas -> inicio
En mi ordenador pone carpeta vacia,, pero tambien puedes encotrar...
Microsoft Fast Cache --> que era de el winword...
tunderbyte antivirus --> Hay antivirus que usan este sistema para
iniciarse al arrancar...
Tu tambien puedes ejecutar el programa que quieras, tan solo debes introducir
un link. para introducir o modificar tienes que hacer...,
Inicio -> Configuracion -> barra de tareas -> programas de el menu inicio ->
-> opciones avanzadas.
Entonces se abrira el explorador y podras modificar todo el menu inicio.
Explora en -> programas y busca inicio.
Tambien puedes directamente utilizar el explorador de windows, y entrar en:
c:\windows\menu inicio\
Es lo mismo. Una vez dentro modifica a tu antojo. Lo ideal es que sepas
para que sirve cada programa que se ejecuta al iniciar.
NIVEL 2 DE EJECUCION: El registro de windows. En el registro de windows
tambien hay una seccion dedicada a los programas que se van a ejecutar al
iniciar windows 95. A este nivel se puede encontrar por ejemplo...
El cliente de DISTRIBUTED.NET para el proyecto bovine....
tu tontea, a lo mejor algun amiguete te lo ha metido,
y le estas procesando bloques para el...
EL troyano NetBUS tambien lo podemos encontrar aqui, si lo tuvieramos
con borrar la entrada de este ya no lo tendriamos al iniciar otra vez.
Como ya he explicado en otra parte de este paquete sobre windows,
abrimos el editor de registro regedit...Como no me acuerdo de donde
era exactamente , busco distributed.net...que se que se inica al arrancar...
espero...mi 486 es mas lento que el caballo de los indios en las pelis
de vaqueros...me encuetra cosas pero no es lo que busco... le doy a siguiente.
no me lo ha encontrado... buscare el directorio, pongo buscar...
C:\ARCHIV~1\DISTRI~1.NET\ espero...lo encontre!!!! Trabajo que os ahorro...
Mi Pc\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Aqui es donde esta la lista de programas que se ejecutan al iniciar en este
nivel. Os pongo la mia...
[predeterminado] valor no establecido <-esto no es nada...
bovwn32 C:\ARCHIV~1\DISTRI~1.NET\RC5DESG.EXE -guistart <- el programa bovine
SystemTray SysTray.Exe <- otra vez el programa de antes...¿que sera?
¡¡¡ya lo se!!! es para controlar la pila de el
portatil, como esto no es un portatil, fuera. Ya
sabia yo que algun dia sabria lo que es...
Tbav for Windows 95 C:\TBAVW95\TBLOAD32.Exe /AutoStart <- mi antivirus no sabia
que tambien estubiera por aqui. Lo quitare que
me gasta procesador.
WinHacker 95 "" <- juer macho, ¿que hace esto por aqui? Que programa mas plasta
ya os hable de el en la conclusion. Fuera que me molestas!!
Nbserver (o algo asi) <- si tuvieras esto por ejemplo seria el netbus, lo borras.
Pues esto es todo aqui. espera...¿que es esto que veo por aqui?
Mi Pc\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
Mi Pc\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
Mi Pc\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
Parece ser que hay programas que los pones en RunOnce y se ejecutan una sola vez,
supongo que sera para instalaciones y cosas asi. No te olvides de echar un
vistazo en RunServices que tambien puede haber algo sospechoso.
[ Nota de Falken: Simple:
- RunOnce -> Se ejecuta tan solo una vez y se autoelimina del
registro.
- Runservices -> Mientras que Run y RunOnce se ejecutan una vez
Se ha entrado a nivel de usuario, RunServices lanza la
aplicacion como servicio del sistema, durante la inicializacion
del mismo. Esta es una buena prueba para comprobar lo consume
recursos que llega a ser Windows. Probad a colocar hay
cualquier programa y comprobad el resultado.
- RunServicesOnce -> Pues a RunServices como RunOnce es a Run. ]
NIVEL3: Programas que se instalan en memoria cuando windows esta
leyendo los archivos autoexec.bat y config.sys
Los archivos autoexec.bat y config.sys eran los centros neuralgicos
de nuestros antiguos pc, cuando utilizabamos ms-dos. En ellos estaban la
informacion necesaria para cargar el raton, el cd, la tarjeta de sonido, el
ansy.sys, que tiempos aquellos. Windows 95 es compatible todavia con
ms-dos. Esos archivos son respetados por windows. Ademas los programas
que se carguen en esos archivos permaneceran en memoria, y no saldran por
ningun sitio. Es por eso que lo que debeis hacer es editarlos y comprobar
que todo lo que se ejecuta es conocido.
Yo os pongo algunas cosas que hay en mis dos archivos por si os puede ser
util, para no sospechar de cosas normales.
config.sys (todo estas lineas son normales si las tienes no las borres,
no copies esto en tu congif.sys porque yo estoy poniendo trozos)
[menu]
menuitem=win,Windows95
menuitem=Musica,Musica
menuitem=Emuladores,Emuladores
menuitem=XMS
menuitem=CD,Discos Compactos
[conmon]
device=C:\WINDOWS\setver.exe
[win]
[XMS]
DEVICE=C:\CDPRO\VIDE-CDD.SYS /D:MSCD001 /P:1F0,14 /P:170,15 /P:1E8,12 /P:168,10
DOS=UMB
DOS=HIGH,umb
FILES=40
DEVICE=C:\WINDOWS\himem.sys
[Musica]
device=C:\WINDOWS\setver.exe
DOS=UMB
DOS=HIGH,UMB
set loadhidata=C:\QEMM\LOADHI.RF
DEVICE=C:\QEMM\QEMM386.SYS RAM SH:N RF EMS
DEVICEHIGH=C:\WINDOWS\COMMAND\DRVSPACE.SYS /MOVE
DEVICE = C:\IOMEGA\ASPIatap.SYS Info Country=034
DEVICE = C:\IOMEGA\SCSICFG.EXE /L=034 /V
DEVICE = C:\IOMEGA\SCSIDRVR.SYS /L=E
DEVICE=C:\CDPRO\VIDE-CDD.SYS /D:MSCD001 /P:170,15
autoexec.bat
Path C:\WINDOWS;C:\WINDOWS\COMMAND;c:\utils\un;C:\QEMM;c:\utils\comp;...
Esto es el path no es nada malo.
lh=C:\amouse\amouse <- el raton para ms-dos
lh=c:\windows\alsinit.exe <- la tarjeta para ms-dos
C:\WINDOWS\COMMAND\MSCDEX /D:MSCD001 /V /L:D <- el cd-rom
Todo lo que viene ahora es para el teclado en espa~ol...
mode con codepage prepare=((850) C:\WINDOWS\COMMAND\ega.cpi)
mode con codepage select=850
keyb sp,,C:\WINDOWS\COMMAND\keyboard.sys
Si ves algo como c:\windows\system\sniffer.exe pues lo borras. Esto es
todo espero que te hayas deshecho de los troyanos. No se si habran mas
lugares sospechosos de poder ocultar programas autoarrancables.
C O N C L U S I O N:
--------------------------------------------------------------------------------
Bueno espero que os haya servido de algo este peque~o paquete de trucos para
windows. Son muy basicos lo se, pero siempre hay gente que esta empezando y
no los conoce. Ademas no he visto mucho sobre este tema en los e-zines que he
leido. Mi principal intencion no era la de ense~aros el truko del almendruko
para tal aplicacion, sino ense~aros a descubrir por vosotros mismos/as.
Si ademas aprendeis a manejar un editor hexadecimal, y cuatro cosas mas pues
mejor. Para realizar este articulo he utilizado: ayuda de windows, ultraedit 32,
paint de windows, comandante norton, alguna paginilla de internet con info,
el segundo numero de GUIA DEL HACKING (mayormente) INOFENSIVO de Carolyn Meinel.
Tambien me he basado en el "winhacker 2.0", que es un programa que
hace muchas de las cosas que he comentado en este articulo, pero las hace auto-
maticamente, no te dice como, pero bueno yo tomaba nota de "que" se podia hacer
y despues intentaba saber el "como". Ademas los muy pajaros del winhacker lo
venden, como si hacer lo que os he explicado fuera algo tan dificil como para
necesitar un programa. Ademas le ponen el nombre de "hacker", para que ademas
te sientas un gran "hacker" por cambiar, sin tener ni idea de "como", la
palabra "inicio" de windows por "paquito". Pero en fin ¿no hay gente que se ha
hecho rica vendiendo software que no vale para nada?.
Resumiendo, no estudiar, comprender, no memorizar, entender.
Un saludo Maikel 30 de mayo de 1999
--------------------------------------------------------------------------------
--------------------------------------------------------------------------------
A N E X O I S O B R E L O S A T R I B U T O S D E A R C H I V O S
E N MS-DOS Y E N WINDOWS '95 '98
--------------------------------------------------------------------------------
Explicacion adicional sobre que son los atributos. (especialmente dedicado a
los usuarios que desde siempre han utilizado windows ). El sistema operativo no
trata todos los archivos por igual, los hay normales, o sea que se pueden
escribir, leer, modificar etc, y un poco menos normales. Todos tienen sus
atributos , que se pueden asignar o quitar a casi voluntad con el attrib en
ms-dos , o haciendo click en el boton derecho, propiedades, atributos, en w95
(a veces el S.O. se pone cabezon). Yo recomiendo desde ms-dos porque es mas
potente que los ventanucos de windows.
Pon c:\>attrib.exe y veras los atributos del direcotrio c:\>
a = (archive?), que indica?
r = Read only , son de solo lectura
h = Hide , son ocultos
s = System , de sistema , mejor no tocarlos.
Para quitar atributos hay que utlizar el attrib de la siguiente manera:
attrib archivo -lo que sea , por ej -r -h -s
Y para ponerle atributos...
attrib archivo -(lo que sea) , por ej +r +h +s
Muchas veces cuando grabas de un cd al disco duro, lo programas empiezan a
fallar. Es muy probable que eso se deba a que todos los archivos de los cd-rom
estan puesto modo +R, o sea solo lectura, y cuando los copias , lo haces
con los modos incluidos. Es por esto que los programas no pueden modificar su
configuracion, y cosa asi, y a veces ni funcionan. Cuando te pase esto, entra
en el directorio donde hayas guardado el programa desde ms-dos, y pon...
c:\juegos\pepe99\attrib -r *.*
Y ya esta casi seguro que funciona. Es le ha pasado a mucha gente con los
emuladores, y no pueden cambiar la configuracion de las teclas y cosas asi.
--------------------------------------------------------------------------------
A N E X O II C O S I L L A S D E L O S N A V E G A D O R E S
--------------------------------------------------------------------------------
(Todo esto ha sido probado en Netscape 3.0 y 4.0, no se si todo funcionara en el
resto de navegadores de el mercado)
FTP:
Algunas personas no saben que se puede utilizar la lineas de comandos del
navegador para mas cosas ademas de para hacer http. Tambien se puede hace ftp.
Cuando tu pones ftp://ftp.microsoft.com , lo que haces es conectarte al ftp de
microsoft con el login: anonymous y el pass: tuemail@tuservidor.com
Pero tambien te puedes conectar a un servidor con el password y login que
quieras de la siguiente forma:
ftp://superlogin:superpass@ftp.todoa100.com:69
^ ^ ^ ^ ^
a b c d e
a: indicas que es una sesion de ftp
b: es el nombre de usuario o login
c: es el password
d: el servidor
e: el puerto al que te quieres conectar (si no indicas puerto se conecta al
que se usa por defecto, el 80 creo.)
[Daemon: Por defecto al 80 si se trata de web.
Que puerto es?: Recurrid a la memoria o bien 'grep ftp /etc/services'.]
Fijate que entre b y c hay dos puntos, que entre c y d una arroba , y entre
d y e otros dos puntos.
Que yo sepa solo se pueden bajar archivos y no se pueden subir, pero bueno
para eso consigue un programa de ftp. Que esto es un poco en plan chapuza
para emergencias.
HTTP:
Esto tambien es muy util para entrar en las paginas http que te piden password.
Por ejemplo yo tengo una cuenta en www.globalaudit.com, y cada vez que quiero
conectarme a la pagina de estadisticas debo introducir mi pass y mi login.
Pues en vez de hacer eso cada vez, pongo:
http://juanjo99:superpass@www.globalaudit.com/users/perico2/
Y luego lo a~ades en los bookmarks y es como una web mas. Cuidado con esto
porque todo el que mire en vuestros bookmarks conocera directamente vuestro
pass y login.
[ Nota de Falken: No es preciso indicar la clave. Al intentar acceder
a la pagina y ver que requiere autorizacion, sacara una ventanita
de esas tan monas para introducir la clave y que muestra asteriscos
en pantalla. Que potito. ]
ABOUT:
About es una cosa interna de los navegadores (por lo menos de los netscape)
y que hace cosas muy curiosas, no se si utiles.
Poner lo siguiente en la linea de URL del navegador:
about:mozilla -> una rayada de los programadores.
about:cache -> para ver lo que hay en la cache de disco. Tiene su utilidad.
about:license -> para que te salga la licencia del navegador.
about:plugins -> para saber los plugins que hay instalados.
about:logo -> te sale el logotipo de netscape
[ Nota de Falken: Tambien puedes probar con:
about:image-cache
about:memory-cache
about:global
Hay algunos mas que son enlaces a paginas dentro de Netscape que
guardan algunas sorpresas. En este articulo, aunque no lo
parezca, teneis material de sobra para averiguarlos por vosotros
mismos. Aqui va un adelanto:
about:jwz
about:jeff
about:mlm
(...)
Otras curiosidades son:
Ctrl+Alt+S -> Elimina la barra de estado.
Ctrl+Alt+T -> Informa sobre las conexiones activas. ]
Si te quieres rayar pon about: <h1> Hola <h1> y te das cuenta de que sale
hola en tama~o html h1. Pues si tienes paciencia te puedes currar un link
que sea una pagina html. Por ejemplo...(todo seguido)
about:<HEAD><TITLE>Maikel link page</TITLE> <BODY bgcolor="#800000"
text="#FFFFFF"></head> <body><I> <CENTER><br><p><center><h1> Super pagina
en forma de LINK </h1> <br> <h2> Maikel </h2> </center> </i></body>.
Bueno esto es todo, hay mas servicios que desconozco, no se si se puede
acceder a cuentas mail por el navegador o cosas asi. Esto es todo amigos.
Maikel martes 8 de junio de 1999.
--------------------------------------------------------------------------------
A N E X O III - A P A R T A D O L E G A L
--------------------------------------------------------------------------------
Quizas uno de los aspectos al que menos importancia solemos darle cuando
se habla de modificacion de archivos es el aspecto legal.
Pues bien, de lo que se ha comentado aqui tan solo hay un apartado que roza
lo ilegal, y es por lo absurdo de algunas leyes.
Se trata de la modificacion de un fichero ejecutable, aunque sea para uso
personal.
Resulta que esta terminantemente prohibido modificar los contenidos de un
fichero binario sin autorizacion expresa de su autor, por mucho que hayamos
pagado la dichosita licencia.
Vamos, como si fuera delito realizar una anotacion en los margenes de un libro
aunque lo hayamos comprado, porque hay que garantizar integridad del copyright.
Y es mas, leeros la licencia de Microsoft sobre la modificacion de los archivos
que distribuyen con sus aplicaciones. Parecen sacadas de un cuento de terror.
En definitiva, que modificar los binarios de un programa, a no ser que este
expresamente permitido, esta implicitamente prohibido por ley.
Nada mas queria dejar claro eso. Que nadie va a ir casa por casa mirando si
habeis modificado el texto del menu inicio de vuestro Windows, e incluso si lo
vieran no creo que emprendieran acciones legales. Seria ridiculo. Pero que
sepais que hay un papel por ahi que dice que eso es delito.
Os habia dicho ya lo que me encanta el proyecto GNU? ;-)
