Newsgroup: it.comp.sicurezza.varie
Titolo: Cos'è il PHF?

Ho sentito parlare di PHF, dovrebbe essere tipo il BO, qualcuno sa dirmi
di piů?
grazie
--
"I cretini sono sempre piu' ingegnosi delle precauzioni che si prendono
per impedirgli di nuocere" (dalle leggi di Murphy)
Il mio numero ICQ č:
My ICQ number is:
19546481
In caso di problemi con questo indirizzo email rispondere (evitando di
allegare files) a:
If you have troubles with this address, please reply (without attach
files) to:
david...@usa.net

grazie
Ho sentito parlare di altavista, dovrebbe essere come Lycos e Virgilio,
qualcuno sa dirmi di meno ?! :)
ad ogni modo PHF e' un codicillo CGI-BIN, che non e' un linguaggio di prog.
Bensi' una interfaccia web/server per poter operare sull'input/output tra
client e server www.
Semplicemente il famosissimo e vetusto PHF accetta felicemente oltre ai suoi
parametri anche altre stringhe che possono essere passate al server sottostante
per essere eseguite dalla shell.
invy

 invy
Grazie per la spiegazione, a me interessa particolarmente una cosa: può il phf
essere utilizzato per intrusioni? Eventualmente fosse così, come ci si può
difendere?


impedirgli di nuocere" (dalle leggi di Murphy)
E come dicevano gli antichi:
Contro gli imbecilli, neppure gli dei possono nulla.
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@usa.net

di più?
No, e' un CGI installato con Apache. A causa di un bug, se gli si domandava
con garbo, per esempio
 
http://www.victim.com/cgi-bin/phf?.
..
ti restituiva il contenuto di QUASI qualsiasi file del sistema, compreso il
file delle passwords di Unix.
Il "bug" consisteva nel FIDARSI che la richiesta inviata al PHF fosse buona
e lecita, e nel non elaborarla con la dovuta cautela.
<ESEMPIO NON FUNZIONANTE>
	Diciamo che io prendo un parametro dall'esterno
	QUERY=...(parametro)...
	e poi costruisco una query formattata come
	echo "<PRE>" $QUERY "</PRE>"
	...se qualche furbacchione mi manda come query
	QUERYLEGITTIMA; cat /etc/passwd; echo
	il comando diventa, all'interno del CGI,
	echo "<PRE>" QUERYLEGITTIMA; cat /etc/passwd; echo "</PRE>"
	...che significa: "Invia la query normalmente. Invia anche tutte
	le passwords di sistema. Grazie" ;-)
</ESEMPIO NON FUNZIONANTE>
Attualmente, il PHF standard controlla se la richiesta e' lecita... e se lo
e' risponde normalmente, altrimenti fa qualcos'altro (non saprei cosa; come
minimo logga l'accaduto).
Esistono stringhe di test che si possono usare con i vari CGI per vedere se
sono "sicuri" da questo punto di vista. Dato che il motore FAQ che utilizzo
su LinuxValley l'ho pubblicizzato qui, presumo che il pollastro che qualche
giorno fa ha provato con *quello* ci legga, e possa dirci dove trovarle :-)
Leonardo
".signature": bad command or file name

difendere?
certo che puo'. essenzialmente, se e' disponibile la versione bacata, e'
possibile dare a phf gli stessi comandi che darei se fossi al prompt di una
shell sul server www e vederli eseguiti. Quindi potrei, se il server www gira
con UID 0, manipolare file di configurazione, leggere ogni file (passwd e
shadow), aggiungere dati ed aprire connessioni .....
per difendersi basta cancellare/rinominare/bloccare phf. In quanto invece a
modificarlo per usarlo come trappola non sono d'accordo. E' troppo vecchio come
baco, per questo. Chi lo usasse ancora a caso ricadrebbe nei dementoni :)
Le trappole vanno meglio per i nuovi bachi :)
PHF poverino si merita almeno un banner di ricordo, tipo lapide funeraria ...
invy

d.mali...@flashnet.it
 wrote:
 >Grazie per la spiegazione, a me interessa particolarmente una cosa: può il phf
 >essere utilizzato per intrusioni? Eventualmente fosse così, come ci si può
 >difendere?
Aggiorna il tuo apache. Quelli recenti installano di default una
trappola per sprovveduti (o forse bisogna scommentare delle linee in
httpd.conf, non ricordo).
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

Contro gli imbecilli, neppure gli dei possono nulla.
Oddio, antichi; l'ha detto Schiller, mica Tutankhamon :-)



purtroppo server cosi' non esistono , e se esistono ti sfottono pure
....
La Duchessa che tempo fa si era gasata con altavista e con un
anonymizer
-PhI- ####### P4stina ###### h3aVy ###### Industries ######


allora legge male , xchè credeva che uno dei + ferrati del gruppo 
si sarebbe fatto infinocchiare x cosi' poco...io non credo legga 
questo newsgroup ,oppure cercava lo scoop 


in...@phf.net
 wrote:
 >per difendersi basta cancellare/rinominare/bloccare phf. In quanto invece a
 >modificarlo per usarlo come trappola non sono d'accordo. E' troppo vecchio come
 >baco, per questo. Chi lo usasse ancora a caso ricadrebbe nei dementoni :)
E` per questo che e` giusto infierire.


anonymizer
heheheh occhio che molti anonymizer tengono log di request che contengano
determinate string nella query
invy

E` per questo che e` giusto infierire.
e daiiii :) e' come sparare sulla croce rossa. Mentre spari a loro, i veri
pericolosi ti ciucciano tempo macchina :)
invy

si sarebbe fatto infinocchiare x cosi' poco...
Invece ha fatto bene. Le minchiate le fanno tutti, e spesso, per pigrizia
o perche' non me ne poteva frega' dde meno, ho messo su dei CGI insicuri,
o peggio. Inoltre... buona parte di quello che so l'ho imparato a mazzate
nel viso (sigh). In piu', so quello che so, ma non so quante cose ignoro,
e sara' una di quelle che ignoro, probabilmente, che mi freghera'.
Leonardo gia' pronto spiritualmente


baco, per questo. Chi lo usasse ancora a caso ricadrebbe nei dementoni :)
Dalle mie parti si dice: "agli storpi... GRUCCIATE!" (o anche "E' sparare
sulla Croce Rossa, ma son sempre cento punti").
Inoltre, preferisco avere dei campanelli d'allarme: anche lo scassinatore
piu' bravo del mondo magari prima tenta di girare la maniglia... putacaso
fosse aperta. A quel punto, so che qualcuno sta tentando di entrare.
Ad avvertirmi dell'intrusione quando ormai e' avvenuta, basta e avanza un
ordinario senso di bruciaulo :-), io vorrei saperlo un tantino _prima_...
Leonardo


e daiiii :) e' come sparare sulla croce rossa.
Te l'ho detto: sono sempre cento punti.
Leonardo (Marco, ma te conosci mica un certo Kurgan?)


>Leonardo (Marco, ma te conosci mica un certo Kurgan?)
  lo 'conoscevi'.
.. da quando gli ho tagliato la testa vado piu' veloce sul tcp!
  ... ne restera' uno solo!

  lo 'conoscevi'.
Dato che ha appena risposto ad un mio messaggio su ICQ, temo che tu
abbia sbagliato vittima.
Ciao da Gibbo
Questo messaggio viene mandato anche in e-mail
alla persona cui sto replicando.

Ciao da Gibbo
 oh Gibbo..   a cultura cinematografica siamo scarsini mi pare!  hi hi hi

in...@phf.net
 wrote:
 >e daiiii :) e' come sparare sulla croce rossa. Mentre spari a loro, i veri
 >pericolosi ti ciucciano tempo macchina :)
Di veri pericolosi in Italia non ne ho ancora trovati.
Tutti quelli (pochi) che ho incontrato hanno l'impermeabile bianco.


Tutti quelli (pochi) che ho incontrato hanno l'impermeabile bianco.
non lo metto in dubbio. L'impermeabile bianco (e quello grigio, anche) sono
MOOOOLTO piu' interessanti di quello nero, nell'hacking informatico :)
Ma d'altra parte, il fatto che tu non ne abbia ancora incontrati vale meno di
zero. A mio avviso, xche' avresti dovuto ?! Dubito che un VERO e BUON e VALENTE
impermeabile nero si faccia pubblicita' o partecipi a gruppi o provi phf in
giro su centinaia di macchine .... magari lavora su commissione. e magari non
se n'e' mai accorta nessuna delle vittime ....
Se intendi solo italiani, non so pericolosi, ma MOLTO piu' preparati della
maggior parte degli admin che conosco si. ne ho incontrati. Ma non vuol dire
che siano pericolosi, ne' che tutti gli admin siano tonti. :)
invy

Oddio, antichi; l'ha detto Schiller, mica Tutankhamon :-)
Allora, si vede che la mia prof di latino, ci faceva tradurre una traduzione
di Schiller, o Schiller scriveva in latino, o io dopo oltre vent'anni, ho la
ram installata tra le orecchie che fa contatto ( e pensare che me lo diceva
sempre mia madre di non overclockare il cervello....) tutto e' possibile :-)
Ciao. roberto


invy wrote:
 >a pacchetto) l'extraterritorialita' e' sovrana. E di esteri in Italia, poi ?!
Quelli esteri probabilmente in Italia non hanno ancora visto bersagli
interessanti.
 >Ma d'altra parte, il fatto che tu non ne abbia ancora incontrati vale meno di
 >zero. A mio avviso, xche' avresti dovuto ?! Dubito che un VERO e BUON e VALENTE
Perche` ogni tanto mi guardo intorno e fiuto l'aria? :-)
 >Se intendi solo italiani, non so pericolosi, ma MOLTO piu' preparati della
 >maggior parte degli admin che conosco si. ne ho incontrati. Ma non vuol dire
 >che siano pericolosi, ne' che tutti gli admin siano tonti. :)
Io in Italia di admin tonti ne incontro ogni momento, basta cercare nei
piccoli provider.
Per Leonardo: si, conosco Kurgan ed e` una grossa perdita che non
frequenti piu` UNIX.ITA da anni...


.. da quando gli ho tagliato la testa vado piu' veloce sul tcp!
Non dicevo _QUEL_ Kurgan. E' che ogni tanto lo stile di Marco mi ricorda
la tipica delicatezza e sensibilita' ;-) di un vecchio amico ...
Leonardo


la tipica delicatezza e sensibilita' ;-) di un vecchio amico ...
 ovviamente... la mia era solo una battuta tardo cinefila!
  cmq preparati anche te Leonardo .. ne rimmarra' uno solo!  hi hi hi

di Schiller, o Schiller scriveva in latino
No, scriveva in tedesco: "Mit der Dummheit ka"mpfen Go"tter selbst
vergebens" (Die Jungfrau von Orleans, III, vi)... Pero' ora che me
lo hai detto mi s'e' accesa una lampadina :-?
...mumble...
...poteva essere "Anche gli Dei lottano invano contro il Fato"?
Leonardo non sicuro
