home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / modules / nessus-2.2.8.mo / usr / lib / nessus / plugins / bagle_remover.nasl < prev    next >
Text File  |  2005-01-14  |  2KB  |  64 lines
  1. # 
  2. # (C) Tenable Network Security
  3. #
  4. # Credit:
  5. # From: Joe Stewart <jstewart@lurhq.com>
  6. # To: TH-Research
  7. # Subject: [TH-research] Bagle remote uninstall
  8. # Date: Tue, 20 Jan 2004 17:19:41 -0500
  9. #
  10.  
  11. if(description)
  12. {
  13.  script_id(12027);
  14.  
  15.  script_version("$Revision: 1.9 $");
  16.  
  17.  name["english"] = "Bagle remover";
  18.  
  19.  script_name(english:name["english"]);
  20.  
  21.  desc["english"] = "
  22. The remote host had the bagle virus installed. Nessus probably 
  23. removed it by connecting to port 6777 of this host and use the 
  24. built-in removal command of this virus to clean up the remote host,
  25. however you should make sure that :
  26. - The virus was indeed properly removed
  27. - The remote computer has not be altered in any other way.
  28.  
  29. Solution: Re-install this system from scratch if the virus backdoor has been
  30. used by an intruder
  31. Risk factor : High";
  32.  
  33.  
  34.  script_description(english:desc["english"]);
  35.  
  36.  summary["english"] = "Removes bagle if it is installed";
  37.  
  38.  script_summary(english:summary["english"]);
  39.  
  40.  script_category(ACT_DESTRUCTIVE_ATTACK);
  41.  
  42.  script_copyright(english:"This script is Copyright (C) 2004 Tenable Network Security");
  43.  family["english"] = "Windows";
  44.  script_family(english:family["english"]);
  45.  
  46.  script_require_ports(6777);
  47.  exit(0);
  48. }
  49.  
  50. if ( ! get_port_state(6777) ) 
  51.     exit(0);
  52.  
  53.  
  54. soc = open_sock_tcp(6777);
  55. if ( soc )
  56. {
  57.  send(socket:soc, data:raw_string(0x43, 0xff, 0xff, 0xff, 0x00, 0x00, 0x00, 0x00, 0x04) + "12" + raw_string(0));
  58.  r = recv(socket:soc, length:4096);
  59.  display(hexstr(r), "\n");
  60.  if ( hexstr(r) == "01000000791a0000" ) security_hole(6777);
  61.  close(soc);
  62. }
  63.  
  64.