Newsgroup: it.comp.sicurezza.varie
Titolo: Nukare?!?

E' da un po di tempo che provo (su di me) programmi tipo: MSnuke, Wnuke95,
Bug Exploit, etc.. Ma non riesco ad ottenere risultati. Mi viene segnalato
l'accesso sulla porta 139 da parte di NN, ma la connessione continua
regolarmente, anzi non mi accorgerei di niente se non avessi il NN attivo.
Perchč? Inoltre ho provato con il Telnet sulla 139, ma la connessione (sulla
139) si interrompe quasi subito!
Grazie
Sante Caserio

139) si interrompe quasi subito!
Questo perche' TELNET non parla il protocollo NetBEUI (a proposito... io
uso 'NetBEUI', 'NetBIOS', 'SMB' e 'LANManager' intercambiabilmente, e in
modo nel 99.99% dei casi scorretto. Ritenetevi avvisati ;-) ).
Il server si accorge che non sta parlando con un SMB client, e lo caccia
fuori.
Leonardo
".signature": bad command or file name


Probabilmente hai Windows 98, o magari le patch installate per ovviare ai
problemi dei nuke vari. Per cui quando ti auto-nukki il sistema non ne
risente
perche' riesce a gestire correttamente quei dati che mandi.
Saluti
                              __
                             |    |
                          \_|__|_/
                           (6   6)
/------------o00--(__)--00o----------------------------\
| Davide Ferrari                                                  |
| Nickname : Black Shark                                 |
| Correct e-mail : 
black...@writeme.com
  |
| ICQ number : 5301833                                   |
| Home page : 
http://i.am/blackshark
               |
| Abbasso la TUT! : 
http://notut.ml.org
             |
\-------------------------------------------------------------/


Comunque se vuoi provare a vedere se le protezioni che hai sono
sufficenti contro i nuke, posta qui il tuo IP quando sei on line,
vedrai che qualche "buon samaritano" ti aiuterà volentieri.


Soluzione???
Non ricordo chi mi aveva detto che nukava sempre con il Telnet e sopratutto
ottenendo sempre successi. Forse le sue vittime erano esclusivamente
BOserverizzati? (Scusa se ho detto una boiata!).
Ciao
Sante Caserio


No grazie! Questa è ormai una sfida tra me e me stesso!
Purtroppo, per ora, "me stesso" è riuscito a non farsi nukare, ma "me" è
proprio messo male se non riesce a nukare nemmeno il suo alterego!
Per risolvere il problema e per darmi un po' di serenità, qualcuno sa
consigliarmi qualche programmino più sofisticato? (come mi disse qualcuno. .
.)
(vi faccio un'esempio stupido. Giuro che non voglio dare problemi a nessuno)
Se qualcuno mi pinga la 31337, e voglio dargli una "risposta", come potrei
fare, almeno a fargli cadere la connessione? Scusate, ma è una questione di
principio, ormai mi sono messo sta cosa in testa e devo riuscirci, così dopo
mi calmo e non ci penso più!
Saluti
Sante Caserio

ottenendo sempre successi.
Con il TELNET di Windows 95, che e' character buffered, non ci credo neanche
se me lo controfirma il Padreterno. Be', magari esiste qualche nuke diverso,
che funziona anche con quell'aborto di telnet li'; ma mi pare improbabile.
Con il TELNET di Linux di sicuro si puo' fare (c'e' una stringa standard, si
taglia e si incolla... no, non so quale sia, spiacente! <grin>), ma equivale
ad usare netcat o roba simile ("echo "$NUKE" | telnet ..."). Quel tizio cosa
usava: Win95 o altro? E usava il TELNET standard o un altro? (perche' esiste
un telnet migliore anche per Win95, che supporta pure i colori e un sacco di
altre bellezze. Lo usavo prima di winssh, e se interessa magari riesco anche
a ritrovare l'URL).


fare, almeno a fargli cadere la connessione?
Non puoi: Back Orifice non usa connessioni. Non puoi fare cadere una connessione
che non c'e', ti pare?
Se invece intendi "la connessione col suo provider", non esiste un modo generale
per farlo, benche' sia teoricamente possibile (dipende dal SO che usa e da quale
provider usa; Microsoft+TIN = si', Microsoft+IOL = no, Macintosh+chiunque = no e
cosi' via... ma non e' detto che le mie info siano aggiornate).
Infine, una qualsiasi connessione TCP puo' essere fatta saltare, se si conoscono
gli indirizzi sorgente e destinazione - e se una delle due estremita' del canale
usa uno stack TCP-IP Male Studiato. Non Tutti sono cosi' sfigati.
Disclaimer: riporto voci di corridoio di fonti incerte (che so, rootshell ;-) ),
non ho a disposizione sorgenti di prova, garantisco freschezza ma non verita'...
Leonardo "aspettami, babbo Geppetto!"


non verita'...
hehehehe immagino immagino .... ad ogni modo per magno cum gaudio dei provetti
nuovi nukatori in erba ecco a voi ........ NO NIENTE SORGENTE. Fatevelo da
soli :P
Pero' almeno qualche guida.
Ad esempio circolano vari nuker che usino l'errore ICMP PORT UNREACH.
In pratica mando un pacchetto spoofando il server in cui dico al client che
la porta TCP che il client cercava sul server non e' aperta. Prima che tutti
mi sommergiate con: ICMP NON USA PORTE TCP, vi diro' che un msg ICMP per esser
considerato deve riportare dopo un header IP ed uno ICMP, anche una copia del
headerIP del client e dell'header UDP o nel caso di TCP dei primi 8 byte che
contengono, guarda caso, le porte :)
Cosi' il client si vede negata la porta e magari se lo floodiamo di questi ICMP
crede davvero che la porta del server sia chiusa e molla la connessione dopo
un timeout.
A che servono le copie degli header ? Quella IP server per far capire, allo
stack ICMP, come processare gli 8byte che seguoo (UDP o parte di TCP ?!) e al
client per capire che le sue richieste cozzano contro il nulla :)
Oppure nelle connessioni TCP facciamo del sano spoofing ed utilizziamo con
amorevole cura le flags RST o FIN/ACK per disintegrarle :)
Come capira' chiunque non e' cosi' facile .... nel caso di ICMP dobbiamo sapere
da quale porta TCP/UDP parli il client, altrimenti come potremo forgiare le
copie degli header ? Per la porta destinazione e' spesso una well known sul
server. Nel secondo caso invece dovremo avere sott'occhio, al solito nel
TCP spoofing, i numeri di sequenza seq e ack_seq il che ne fa un attacco 
raro (su LAN e pochi HOP) anche se estremamente efficace (~100%).
invy

a ritrovare l'URL).
CRT? Lo trova su 
Muccastereo.iol.it

chi incazzarsi, stante che l'attacco era spoofato per definizione...}
questo per il fatto, meno male, che non basta un errore di quel tipo per
chiudere la connessione, se nel frattempo arrivano altri pacchetti dal vero
server. Per questo ho tirato in ballo di floodare con quell'ICMP.
invy 'che parla sempre con piacere a chi lo segue cosi' bene :)))'

yeah, quello e' il bello (per un nuker)
A questo punto aggiungiamo anche che i servers TIN non sono gran che
resistenti a questo scherzo. O cosi' dicono <grin>.
Leonardo


mi calmo e non ci penso piů!
Il bospy manda messaggi al bogui.
Ciao
Togliere "CIAO" per rispondere
Remove "CIAO" to reply
~~~~~~~~~~~~~~~~~
Davide Veneziano
dveneziano#
pelagus.it
   # = @
dvene#
usa.net
ICQ# 14047537
~~~~~~~~~~~~~~~~~
Devi avere il cervello per fare certe cose,
ma altre volte dimenticare di averlo altrimenti
non le faresti.                                Pantani M.

resistenti a questo scherzo. O cosi' dicono <grin>.
ohhhh. cosi' si. full disclosure. :)
invy

L.S...@agora.stm.it
 wrote:
 >A questo punto aggiungiamo anche che i servers TIN non sono gran che
 >resistenti a questo scherzo. O cosi' dicono <grin>.
Solaris? Non credo.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

Solaris? Non credo.
Non credi che reggano o non credi che non reggano? Da Agora', riesco
senza problemi a far saltare una connessione TIN (uno dei lati e' un
Linux 2.0.35 Sat Nov 21 23:12:47 MEST 1998 i586 unknown e l'altro e'
irc.tin.it
). Non funziona, se spedisco un po' di pacchetti extra dal
Linux, ma questo era prevedibile. Come dire che, su un canale pieno,
non funzionera' neanche se ci prova il Padreterno :-)
Lo "scherzo" per troncare la connessione invece funziona (*male*) se
e solo se uno dei lati e' un Windows 95. Io ci ho provato con Agora'
(l'account su Agora' ce l'ho solo su Windows 95, pppd mi ha dato dei
fastidi e non ho ancora trovato il tempo di sistemarlo).



Se ti riferisci al CRT, è già installato, ma oltre ai colori, le altre
bellezze si riferiscono a potenzialità tecniche???
Ciao e grazie
Sante Caserio

:?

L.S...@agora.stm.it
 wrote:
 >> >A questo punto aggiungiamo anche che i servers TIN non sono gran che
 >> >resistenti a questo scherzo. O cosi' dicono <grin>.
 >>Solaris? Non credo.
 >Non credi che reggano o non credi che non reggano? Da Agora', riesco
Non ricordo che solaris sia vulnerabile a qualche nuke, ma se mi parli
dei terminal server che usano allora e` piuttosto plausibile.
 >senza problemi a far saltare una connessione TIN (uno dei lati e' un
 >Linux 2.0.35 Sat Nov 21 23:12:47 MEST 1998 i586 unknown e l'altro e'
 >
irc.tin.it
).
Umh.  Non ricordo bene a che attacco ti riferisci, si tratta di
falsificare un RST? Se si tratta di questo allora solaris e` anche
facilmente suscettibile al connection hijacking (che ha interessanti
risvolti non solo applicato a rsh, ma anche a IRC).
(Giuro che uno di questi giorni trovo il tempo per scrivere il manifesto
di it.comp.sicurezza.windows. Io pero` mi vergogno un po' a presentare la
RFD a nome mio, mi faresti da prestanome? :-) )


bellezze si riferiscono a potenzialità tecniche???
Si'. 8-bit clean, e line buffering. Il che significa che via Internet va
quella dozzina di volte piu' veloce, cosa che fa assai piacere :-), e le
stramaledette frecce, caratteri estesi, sequenze di controllo FUNZIONANO
anziche' fare finta come succedeva con il telnet "di serie".
"Gia' installato" che vuol dire? Windows 98 adesso lo forniscono con una
emulazione migliore? Era anche l'ora.
Leonardo che finalmente gli ha trovato un pregio, a Win98.


RFD a nome mio, mi faresti da prestanome? :-) )
abbiamo trovato un candidato .... lo trovi all' URL
http://members.wbs.net/homepages/e/d/u/eduardofreni.html
invy

all'hijacking con RST sono suscettibili TUTTE LE CONNESSIONI TCP/IP fino
prima che qualcuno chieda cosa c'entra RST con hijack :) vi dico che ho usato
il termine hijack in senso lato, intendendo l'hijack dei numeri di sequenza
TCP e non della connessione (come usato nell'attacco attivo a telnetC, etc etc etc)
:) invy

"No ,attualmente rispondiamo solo noi per telefono"
Fischiando per emulare i 300 baud?
Leonardo


RFD a nome mio, mi faresti da prestanome? :-) )
Mi vergogno anch'io. Ma se non ci sono volontari, sia.



No, no, mi sa che devi ricrederti sul Win98. Intendevo dire che IO l'ho già
installato! ;-)
Io ho il Win95, cmq non credo che il Crt sia incluso con il 98.
Ma con sto Crt, al contrario del telnet ci si può collegare ad una porta di
qualche cristiano?!?
Saluti
Sante Caserio

in...@nuke.it
 wrote:
 >>falsificare un RST? Se si tratta di questo allora solaris e` anche
 >>facilmente suscettibile al connection hijacking (che ha interessanti
 >>risvolti non solo applicato a rsh, ma anche a IRC).
 >all'hijacking con RST sono suscettibili TUTTE LE CONNESSIONI TCP/IP fino
 >a quando i numeri seq e ack_seq non saranno protetti da hash criptografici
 >basati su scambio di chiavi tra gli host (v. IPSEC).
"teoricamente suscettibile" e` diverso da "suscettibile".
Per esempio linux e openbsd sono teoricamente suscettibili, ma le
probabilita` di riuscirci sono bassine.
Un unix di cinque anni fa o NT dell'anno scorso (forse anche di
quest'anno :-) ) e suscettibile perche` ci si riesce dopo un numero di
tentativi abbastanza piccolo da essere pratico.


qualche cristiano?!?
No. CRT e' un telnet: come capacita' di rete, sono identici. Se una porta
e' chiusa e' chiusa, e nessuno dei due si collega. Se e' aperta e' aperta
- e ci si possono collegare entrambi.


 RFD a nome mio, mi faresti da prestanome? :-) )
L'ho fatta io! (che vergona pero' :o) )
-- 
Buone Feste!
Grazie e ciao,
Giglio
E-mail: 
gig...@poboxes.com
Homepage: 
http://fly.to/giglio/
ICQ: 12385960



Of course,
Hanno provato a emulare i 33k6, mangiando quantita' industriali
di fagioli con le cotiche, ma poi gli e' venuta la gastrite e 
allora hanno dovuto limitare la banda a 300 baud...
Motivi di salute. [Era TIN vero ??]
Ciauz,
-- 
Andrea


http://members.wbs.net/homepages/e/d/u/eduardofreni.html
ROFL !! Si, penso che io che lui sarebbe ben felice di farlo,
sollevando Marco da questa terribile incombenza che non lo farebbe
dormire per 2 mesi :-)

:?


Scusa l'ignoranza, ma se con il NN controllo la porta XY, posso collegarmici
con il Telnet?
Ciao e grazie!

 wrote:

Si'... per farti mandare affan*** dal NN, pero' :-)


>Si'... per farti mandare affan*** dal NN, pero' :-)
 come si dice..  si adopero' per  "ascoltare" ma erano morti tutti gli
"interlocutori". ;-)


Beh, meglio di niente!!!

tentativi abbastanza piccolo da essere pratico.
questo nel caso di spoofing cieco. NT fino a SP4 usa una variante della 64k
per la gestione dell'ISN e quindi e' altamente passibile di compromissione.
Anche OS/2 fino alla 4 ha questo problema. Esistono svariate librerie in C
che giocano con questo tipo di ISN; ed alcune anche con gli ISN piu' seri.
invy

in...@hijack.net
 wrote:
 >quasi nulle. In effetti pero' hai, scusami, usato male il termine. Per
 >hijacking di una connessione TCP, se inteso COME ATTACCO, si intende una
 >applicazione di spoof vedente. Ovvero con parsing, sniffing, visione dei
 >numeri di sequenza. In questo caso, su LAN o route, SONO TUTTI SUSCETTIBILI
 >laddove seq e ack_seq non siano protetti criptograficamente come in IPSec.
Nulla da eccepire su questo, ma noi stavamo discutendo di connessioni
tra un server su una rete sicura e una porta dialup presumibilmente non
sniffabile.


sniffabile.
ah :) errore mio. Ma mi sembrava di aver sentito anche la parola IRC. In
quel caso non moltissimi usano lo stesso server del provider (senza contare
che non tutti i provider hanno un ircd) quindi mi riferivo a questo caso.
Ed e' divertente inserire frasi all'uopo :)
invy


Ma e` lo stesso, come fai a sniffare via PPP? :-)


Ma e` lo stesso, come fai a sniffare via PPP? :-)
<che palle gli esami>
eccomi di nuovo a voi :)
</che palle gli esami>
e chi sniffa via PPP ?! ;-)
ovvio che se volere giocare, un pochino rischiare .......
o meglio conoscere qno che lavori su un gateway :))))
invy

in...@hijackers.net
 wrote:
 >o meglio conoscere qno che lavori su un gateway :))))
Allora e` ovvio che si puo` intercettare una connessione.
