Newsgroup: it.comp.sicurezza.varie
Titolo: Come fa a entrare dai port?

Non ho capito come fa il malware a entrare dai port aperti dal browser 
Internet o dal gestore di posta. Cioe' mi pareva che quando IE o OE sono 
connessi a un sito, i msg che si scambiano a livello protocollo dovrebbero 
avere in testa degli identificativi che impediscono a qualunque altro di 
intrufolarsi. Anche perche' il malware dovrebbe essere scartato da IE o OE 
in quanto incoerente. Se qu mi schiarisce le idee, meglio con dettagli....
il barbi 

 ha scritto:

 La porta o le porte (es: la porta 80 comunenemente usata per il web)
 servono per il *trasporto* dei pacchetti. Nello strato successivo
 della pila tcp-ip, il contenuto di questi pacchetti viene interpretato
 dagli applicativi. Se il codice e' malevolo sfruttando bugs o cattive
 implementazioni del software, allora succede il patatrac per dirla con
 un termine tecnico.  
-- 
If you have 1000 monkeys, and let them type on 1000 typewriters for 1000
years, one of them will have duplicated all of Shakespeare's works.



Leggi le SecurFaq 
http://www.securfaq.usenet.eu.org
 e le HumourFaq
http://web.archive.org/web/*/http://www.securfaq.usenet.eu.org/HumourFAQ.txt
-- 
Tiziano "Lapalissiano" Marmiroli
Microsoft MVP - Office System

 ha scritto nel messaggio 
news:6ju8r2pcovdt11c5q...@4ax.com...

avevo gia' tentato di leggerlo ma e' per specialisti non per banali utenti
cioe' se IE o OE mi aprono dei port non capisco come attraverso di essi il 
malware possa leggere o scrivere sul mio HD
se per es. parliamo di un port attraverso cui si riceve la posta e mi arriva 
il malware nel testo della email o in un allegato, allora sono cavoli miei 
nel senso che devo avere un antivirus e non aprire email sospette e non 
lanciare allegati
poi c'e' il discorso degli script nelle videate dei siti ma anche li' li 
posso controllare
cioe' sono rimasto all'idea che qualunque cosa mi arriva da qualunque port 
e' perche' c'e' sul mio PC qualche applicazione che lo riceve e lo puo' 
controllare
ditemi dove sbaglio
il barbi 

 ditemi dove sbaglio
Non è molto chiaro ma non mi sembra sbagliato. Un conto sono le
vulnerabilità dei programmi usati, un altro trojan e worm. 



la domanda seguente potrebbe essere: come ha fatto il worm urdvxc.exe a
copiarsi in c:\windows e a creare due entry nel registry che lo attivano,
senza che io abbia fatto niente per lasciarglielo fare?
il barbi

il barbi ha scritto:

Perché il servizio/programma oggetto di attacco gli ha fatto fare quelle cose..
Il buon gromozon si propaga tramite explorer o altri programmi che usano la 
(vecchia e bacata) libreria wmf, gli worm che si mascherano da plugin di 
mediaplayer vengono eseguiti da mediaplayer medesimo
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
L'America e' un Paese che e' passato dalla barbarie alla decadenza senza
passare per la civilizzazione.
		-- John O'Hara

 di mediaplayer vengono eseguiti da mediaplayer medesimo
Se consideri, poi, che la maggioranza degli utenti Windows usa account 
con diritti amministrativi capirai quanto sia probabile l'ingresso di 
sofware malevolo.
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa 
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco


per approfondire, questo ha a che fare con l'esecuzione degli script, che 
puo' essere bloccata in IE?
il barbi 

 (vecchia e bacata) libreria wmf
Gromozon utilizza molti exploit. Quello dei file wmf e' solo uno
di questi, ce ne sono molti altri. Non so da dove salti fuori questa
storia del "gromozon=wmf exploit", ma assolutamente non e'
cosi': patchare solo quella vunlerabilita' non vuol dire affatto
fermare gromozon, vuol solo dire fermare UNO di una decina
di exploit che gromozon ha usato o continua ad usare.

TNT ha scritto:

Era per fare un esempio..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Finalmente sono giornalista anch'io adesso, e i fatti non mi interessano
piu'.
		-- Pat Buchanan

il barbi ha scritto:

No, l'esecuzione degli script si riferisce a js/vbs mentre in questo caso il 
programma, per un suo errore di progettazione, va in palla ed esegue quello 
che gli si para davanti senza curarsi di cosa sia effettivamente quel codice
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it


 ha
scritto:

Te l'ha spiegato pocanzi Willie. Il tuo browser opera sulla porta 80 del
server, il tuo sistema operativo non risponde da quella porta, bensì apre
una socket logica random (prevista dalle funzioni del software IE), per
accogliere le risposte del server. Le risposte in arrivo dal server verso la
tua macchina, riguardo la parte malware, sfruttano debolezze presenti sul
codice del software IE, e quello permette al malware di essere assorbito poi
dal tuo SO come nuovi eseguibili. Uguale vale per OE
Un esempio pratico:
Supponiamo che nel codice del browser IE sia presente un errore riguardo
un'eventuale allocazione di memoria (porzioni di disco che vengono scritte
temporaneamente dall'applicazione per poter svolgere alcune operazioni utili
al proprio funzionamento), un attacker che conosce questa debolezza scriverà
un codice malevolo che farà assorbire al tuo Browser e manderà in
saturazione l'allocazione di memoria pocanzi citata, creando così un 'buffer
overflow' che aprirà la possibilità al codice malevolo di installare tra le
applicazioni in avvio un certo tipo di virus-applicazione che farà danni
ecc. ecc. (non esistono solo buffer overflow mirati all'escalation di
privilegi su sistemi Unix ecc.)Ho banalizzato ma c'ho provato a spiegartelo
eh.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/