Newsgroup: it.comp.sicurezza.varie
Titolo: JPEG spoofing

    cruddy 'integration' really means that Internet Explorer won't help you here.
La soluzione (2) funziona. Il trucco impiegato sfrutta una colossale
falla nella sicurezza, che personalmente non vedo bene come si possa
chiudere. Per sfruttarlo, e' sufficiente una mediocre conoscenza del
Visual Basic for Applications. Sono vulnerabili solo gli utenti poco
furbi (che non si accorgono che l'icona non e' quella giusta).
Microsoft e' stata informata. Finche' non rispondono loro, sapere la
natura del problema non aiuta a difendersi.
Per motivi che appaiono ovvi (a me), ho messo un kill filter in mail
su questo thread. I possessori di chiavi OTP valide possono mettersi
in contatto nel solito modo, e cosi' i vari BOFH :-)
Leonardo

 > it's that the icon is the default Windows icon (since it's an executable file, it
Quello che non capisco č come possa avere estensione .jpeg e non avere
l'icona giusta... Io non ho il .jpeg associato a IE ma ad un programma
di grafica, e qualsiasi file, eseguibile o meno, con estensione jpg mi
viene mostrato con l'icona appropriata. Qualsiasi file .jpg sul mio pc
chiama il programma associato, non c'č mezzo di scamparla. Ma forse il
problema riguarda i pc con le jpg associate a Internet Explorer? Resto
trepidamente in attesa di risposte :-)
-- 
dario...@iol.it
http://dario.eyep.net
 (dial-up)
ICQ#: 37438061
The only good Windows is an uninstalled Windows, or maybe Windows2K

trepidamente in attesa di risposte :-)
Per vedere l'estensione jpeg in un file che in realta' e' un exe, devi aver
settato nelle opzioni cartella di NON visuslizzare le estensioni dei file
conosciuti.
In pratica, un file del tipo    sfondami_il_culo.jpeg.exe    ti viebe
visualizzato cone    sfondami_il_culo.jpeg   ma senza l'icona del jpeg.
P.S.     NON INVIARE E-MAIL !!!!  L'indirizzo e' fasullo...
P.P.S.   E' fatto apposta per inchiodare il PC a chi mi vuole rompere
         gli zebedei !!!!
--------
Ciao...
Una cipolla al giorno, leva il medico di torno.
Un aglio al giorno, leva amici, nemici e fidanzata di torno! !

 visualizzato cone    sfondami_il_culo.jpeg   ma senza l'icona del jpeg.
Ok, questo sě, ma Leo parlava di un semplice file .jpeg, non
.jpeg.exe...


 Ok, questo sì, ma Leo parlava di un semplice file .jpeg, non


 steganografia?
No, qui si tratta di un file aprimi!.jpeg che non è affatto un jpg, ma
nonostante l'estensione .jpeg non ne porta l'icona giusta... il che mi
sembra strano. Cmq non riesco a riprodurre tal fenomeno (se *qualcuno*
mi mandasse in mail il suddetto file... :-) )


 mi mandasse in mail il suddetto file... :-) )
Leo ha messo un kill su questo thread.
Non conosco affatto VBS, ma questa cosa rischia di provocare
discrete catastrofi a breve, IMO.
Soprattutto se qualcuno (e qui, non sapendo nulla di VBS,
passerei la parola a chi lo conosce), riuscisse ad associare
a questo tipo di eseguibile un'icona tipica jpg.
Penso che mi daro' allo studio del VBS, nei prossimi giorni,
perche' voglio capire bene questa storia...

 perche' voglio capire bene questa storia...
Tutto sommato ne vale la pena, non è bruttissimo :-)
*****
[1] Cosa che non funzionerebbe in questo caso, ma NON capisco come.
Perchè mai windows dovrebbe bypassare l'estensione .jpeg e dare la
bandierina, quando di solito si basa solo sull'estensione.



===============================================
John Hopfield		   
Hopf...@freemail.it
"Some of these days
	You'll miss me honey"
===============================================

 >Office application to open the file.
Ok, ma Leo parlava di un file con estensione .jpeg, non senza.


trepidamente in attesa di risposte :-)
Allora, ci sono differenze di comportamento fra IE5.0 e IE5.5; in
particolare il primo si fa fottere da files JPEG e GIF, e facendo
vedere l'icona di un file JPEG o GIF (!!!), mentre il secondo non
lo fa, cioe' l'icona e' quella default.
Ovviamente si fa fottere lo stesso.
Il motivo e' che questo infame ammasso di macerie radioattive NON
SI BASA COMPLETAMENTE sull'estensione, ma per alcuni files, e VBS
e' di questi, LEGGE IL CONTENUTO. Quindi:
*EXPLORER* (non INTERNET EXPLORER) vede il file e gli da' l'icona
che le DLL di sistema ritengono adatta
*WSH* o chi ne fa le feci - OSA, per esempio - legge il file, NON
manda notifica ad Explorer, e LO ESEGUE.
Causa probabile: per motivi noti solo a Satana e Bill Gates, IE5*
e/o Office* installano degli "hooks" di sistema, per catturare al
volo i propri files, per farci poi Ahriman solo sa che cosa.
Suppongo velocizzare dello 0.02% l'esecuzione, tipo FastFind.
Facendo ulteriori esperimenti, ho scoperto che se quel file funge
da "sfondo" per una email in HTML, un orrore che Outlook adora...
Leonardo bah
".signature": bad command or file name

Ok, ma Leo parlava di un file con estensione .jpeg, non senza.
C'e' un... tr?cco.
Leonardo


>This does not prove true for Microsoft Office documents.
  ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
BINGO. La funzione viene installata da Office 97, 98 e 2000. Office 95
non attiva la JPEG assassina.
Tra l'altro, questo mi spiega una serie di stranezze nelle letture via
rete di cartelle. Le macchine con Office 2000 sono molto piu' lente. E
ora so perche'. QUEL FIGLIO DI * SI LEGGE GLI HEADERS DI TUTTI I FILES
o qualcosa del genere.
Adesso cerchero' di vedere se il fottutone e' comandabile da Registry.
Del virus me ne frego, ma ho una 10Mbit affogata e forse riesco a fare
un "upgrade" a costo zero [1].
Leonardo
[1] per me. Per il cliente e' un altro discorso. Lo so, sono cinico.


 C'e' un... tr?cco.
. jpeg?

. jpeg?
No. Vedo che la codepage mi impedisce di farti vedere il trUcco che
si puo' fare con i jpEg.
Funzionerebbe anche . jpeg, comunque.


 Funzionerebbe anche . jpeg, comunque.
Claro, ora...:-)

si puo' fare con i jpEg.
Temo di non aver compreso...

 si puo' fare con i jpEg.
Sarà stupido, sarà forse troppo intelligente, ma il mio Win+IE5.01+WSH
non fa differenza tra jpeg e jpEg. Fa invece differenza tra j
minuscola e punto esclamativo rovesciato, che con il carattere
microsoft sono molto simili, o tra la g e la q, che con la
sottolineatura dei link dell'active desktop sono identici :-)
Se Win con IE5.5 fa differenza tra jpEg e jpeg... allora è proprio
fetuuuso!!! :-)


 attivata.
Si chiama OLE Automation. Da questo punto di vista, Word e' un server
pilotabile da altre applicazioni, che espone certe funzionalita' come
l'apertura/editing di un documento. IE "sa" che i file di un certo tipo
(aka con certi header) sono da aprire con Word perche' illo si e'
registrato nel sistema per offrire quei servizi.
-- 
Attenzione: questo messaggio ti e' arrivato dalla rete e
in qualche modo si e' insinuato nel tuo hard disk...
SecurFaq             : 
http://members.xoom.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

fetuuuso!!! :-)
No, usavo un carattere nazionale molto simile ad una "e", ma che "e"
non era. Pero' Agent non lo invia, boh.
Leonardo con problemi di CP


 Ovviamente si fa fottere lo stesso.
Comunque non sono riuscito a riprodurre il bug (nel computer che avevo
testato c'è Office 2000 e IE5.5), pur mettendo degli script VBS (che
funzionano sia da soli che inclusi in una pagina html) rinominati jpg
e associando questi ultimi a IE. IE mostra una croce rossa (quella
dell'immagine non valida) e non esegue nulla (né richiama Word per
fare tale esecuzione).
Qual è la tua configurazione su cui il .jpeg ha funzionato (versione
Win, versione OFFICE, versione IE, versione...)?
Bye Krmel
<HTML>
<SCRIPT LANGUAGE="VBScript">
url="
http://www.altavista.it
"
window.open(url)
</SCRIPT>
</HTML>
Se vi si è aperta una pagina su Altavista leggendo questo articolo
il vostro Outlook è aperto come una voragine

Win, versione OFFICE, versione IE, versione...)?
Windows NT 4 Workstation, Word 97 SR-1, IE 5.0.2314.1003CO/56bit.
In realta' ha funzionato (ma senza icona) su NT4WKS/O2000/IE55, solo che
ora per darti le versioni dovrei aprire quella work station, e non mi fa
voglia :-)
Leonardo
