Newsgroup: it.comp.sicurezza.varie
Titolo: Considerazioni sul caso Slammer

E' di oggi la notizia che le poste italiane sono state messe in crisi
dal terribile virus che intasa le reti, quel famoso virus "S Q L" (il
giornalista confonde il linguaggio SQL con il virus slammer, cominciamo
bene) che di qui non s'e' visto passare.
Stamane sono andato a leggermi l'analisi del worm, dato che prima d'ora
non mi era minimamente interessato, e che vedo? le vulnerabilita' che
il worm sfrutta sono state patchate dalla microsoft rispettivamente il
24 luglio e il 16 Ottobre. 
Ora, abbiamo tanto da dire che i virus sono una piaga, i pirati una
minaccia, la cyber guerra sara' il futuro eccetera eccetera... ma siamo
sicuri che il problema sia il virus?
Piu' che perseguire chi ha scritto il virus, non sarebbe piu' naturale
che ad essere punito sia il responsabile della sicurezza della rete
delle poste italiane?
E' ancor piu' scandaloso il fatto che ad essere colpiti siano i server
SQL, capisco se ad essere infettate fossero state le workstation, in
mano a gente che spesso ha imparato ad usare il computer per necessita',
gente che la prima volta che ha sentito parlare di posta elettronica si
e' chiesta in quale e-store si comperano i francobolli... un po' come
qualcuno qui che, cosciente che una mail conteneva unm virus, l'ha
aperta per forwardarmela... 
Spero tanto che venga aperta una inchiesta in questo senso, che gli
irresponsabili responsabili EDP siano condannati e mandati a fare cose
piu' utili, lasciando il posto a gente piu' competente.
Purtroppo, si sa', qui in Italia non si puo' sperare a tanto, questo e'
il paese che da' la colpa alla pioggia se ci sono gli allagamenti, ai
greci che hanno costruito la valle dei templi se ci sono gli abusivi con
la villetta fronte-templio, al sole se gli UV passano per il buco
dell'ozono, e via discorrendo.
SIGH.
Scusate l'ot.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 Scusate l'ot.
non č OT.
Saluti
-- 
mik_

 scrive in 
news:20030129101731.68...@vene.ws
:
Se proprio volessero punire l'autore del worm dovrebbero farlo per la sua 
incapacità, visto che il meccanismo usato -teoricamente- non doveva 
funzionare.
La stampa? Basta leggere il caso del computerspentochetispia per 
comprendere il livello di chi scrive.
Siamo al punto in cui le uniche notizie che 'fanno notiSSia' sono i 
disastri e gli annunci di possibili sventure. La politica oramai è 
argomento tabù (va sempre bene tutto) e noi dobbiamo accontentarci di 
guerre, disastri, cacarelle a vento ed isterie di personaggi più o meno 
noti, per di più raccontati da uno che ne sa quanto ne so io del problema 
semantico del basso Burundi.
Un GbC sempre più consapevole...
-> GbC

 (abbiamo dimenticato Code Red I & II nonche' Nimda?), e' mai possibile?
Si, però il traffico totale generato all'epoca di codered e nimda era
tale da rallentare il mondo intero, viceversa, mi pare che pochi oltre a
coloro che se lo sono pigliato abbia avuto modo di apprezzare danni
collaterali dovuti a slapper...
O c'è una carenza di sysadm incompetenti sui vari *nix affetti da slapper
oppure sono troppi quelli su Win32, considerando che nel totale il numero
di installazioni è percentualmente paragonabile...
IMHO...
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 collaterali dovuti a slapper...
http://forums.military.com/1/OpenTopic?a=tpc&s=78919038&f=409192893&m=455198
2416
Se non è apprezzare questo :-)

 2416
Ok, ma io ho scritto Slapper (quello che exploitava ssl su apache) non
Slammer... ;-) 
Quello ne ho avuta la percezione in diretta ;-P
Su 'sto sito trovi anche le stats del periodo slapper?
Provo a fare un giro, ma se hai il link manda che ci vuole meno ;-P


 totale il numero di installazioni č percentualmente paragonabile...
La giusta interpretazione, secondo me, l'hanno data gli autori di
Hacker! 3.0, in uno dei capitoli dedicati all'hacking di NT/2000:
L'interfaccia grafica piuttosto accattivante dei prodotti Win32 fa
credere a chiunque di saper gestire un server, e del resto la
configurazione di default di tali prodotti e' troppo generosa. 
D'altra parte posso con tranquillita' affermare che linux sta prendendo
una gran brutta piega, che di root beoti ce ne sono fin troppi.
HappyCactus che ha visto fin troppi apache 1.3.23 in giro...


 Slammer... ;-)
Scusa, non ci ho fatto caso perché Slapper col "danno" che ha fatto manco me
lo ricordavo :-)

 HappyCactus che ha visto fin troppi apache 1.3.23 in giro...
Ecco, appunto... io dovrei aggiornare un server 1.3.19 (appena installato),
peccato che quando ci provo mi mandi affangoogle. Affangoogle ci sono
andato, e ne ho ricavato che tutti i moduli DSO sono compilati per un server
che supporti le EAPI mentre la 1.3.27 che ho compilato io supporta solo le
API standard...
Qualcuno ha idee per uscire da 'sto pasticcio? Ho almeno una dozzina di .so,
e vorrei scrivere una procedura per l'eventuale reinstallazione che non
includa l'affidarsi a San Gennaro...
TIA,
*

 Qualcuno ha idee per uscire da 'sto pasticcio? 
Che distro?


 Che distro?
Red Hat 7.1.
Il messaggio di errore e':
Syntax error on line 210 of /etc/httpd/conf/httpd.conf:
API module structure `vhost_alias_module' in file
/etc/httpd/modules/mod_vhost_alias.so is garbled - perhaps this is not an
Apache module DSO?
Secondo google e' dovuto appunto al fatto che il modulo e' nato per un
server con supporto EAPI mentre il server corrente (ricompilato) non lo
possiede. L'unico accenno a come cavolo si fa a spiegare al server comesi
supportano le EAPI e' relativo al modulo ssl per apache - solo che non ho
capito se l'inclusione del modulo aggiunga il supporto EAPI o ne sia un
prerequisito!
Un RPM di aggiornamento sarebbe un gran lusso :)
TIA,
*

 
Quelli che stanno qua li hai provati?
http://updates.redhat.com/7.1/en/os/SRPMS/
HTH, bye!
-- 
Fabrizio "Hermooz" Ermini

 Un RPM di aggiornamento sarebbe un gran lusso :)
non c'e'?!?
<... dopo una ricerca disperata in quel cesso di sito che e'
www.redhat.com...>
http://rhn.redhat.com/errata/RHSA-2002-222.html
ftp://updates.redhat.com/6.2/en/os/i386/apache-1.3.27-1.6.2.i386.rpm
ftp://updates.redhat.com/6.2/en/os/i386/apache-devel-1.3.27-1.6.2.i386.rpm
ftp://updates.redhat.com/6.2/en/os/i386/apache-manual-1.3.27-1.6.2.i386.rpm
HTH


 HTH, bye!
L'RPM e' quello dei sorgenti, che ricompilati danno esattamente lo stesso
errore...
Ciaotutti,
*

 
Sorry, pensavo che ci fossero dentro anche i sorgenti dei moduli e che 
quindi si potesse fare un rebuild generale.


 bene) che di qui non s'e' visto passare.
E che risate mi sono fatto ieri quando su Metro (un quotidiano
distribuito gratuitamente nelle stazioni della metropolitana di
Milano) quando ho letto che girava il pericolosissimo virus
"SQ Hell", in un primo tempo ho pensato ad un qui pro quo (qualcuno
che dettava via telefono) poi perň stanotte su raitre (rainews 24
o giů di lě) hanno chiamato il virus allo stesso modo... č lě mi č
venuto l'atroce dubbio che potesse essere il nome vero... potenza
della TV !
"Microsoft SQ Hell Server", non suona male... :-)

 "Microsoft SQ Hell Server", non suona male... :-)
Anche io l'ho sentito nominare cosě, ma alla radio (non ricordo quale)...
Solo per sminuire la potenza della TV ;-)


 bene) che di qui non s'e' visto passare.
-cut-
Il ragionamento non fa una piega...
Conosco alcune persone che amministrano server anche per le poste. Dovete
sempre pensare che in questo paese si ragiona sempre a scompartementi
stagni, e c'è la tal ditta che si aggiudica gli appalti per la gestione dei
sistemi.
Ex: ASL > gestione IBM  > quando c'era un minimo problema si collegavno con
il carbon copy alla sede centrale ..:O
Una rete come quella delle P.I. non e' come quella di casa vostra ;) ....La
cultura informatica in alcuni luoghi lavorativi rasenta lo zero... e questi
tipi di "casini" potrebbero ancora succedere.
bye byez
--
--
bismark
admin c
www.bismark.it
# Italian Security Portal
---
Outgoing mail is certified Virus Free.
Checked by NAV anti-virus system

 essere irrilevante.
Si, hai ragione.
Ma se tanto mi da' tanto...


 zero... e questi tipi di "casini" potrebbero ancora succedere.
Che c'entra? se hanno degli obblighi per legge (e' un pubblico servizio,
e trattano dati personali) devono rispettarli. Se gli admin sono degli
incapaci, che li mandino a casa, cosi' si creano posti di lavoro,
lazzo...


 delle poste italiane?
Si. 
Nel gergo popolare, si dice che è ladro chi ruba e chi para il sacco. E chi 
fa il palo. E anche chi lascia la chiave sulla porta della casa che non è 
sua, e l'aveva in custiodia.

 
ftp://updates.redhat.com/6.2/en/os/i386/apache-1.3.27-1.6.2.i386.rpm
IOU1 :)
Ciaotutti,
* - che negli ultimi due giorni ha tempi di reazione bradipali :)

 "Microsoft SQ Hell Server", non suona male... :-)
ROTFL!
MCM.

 SQL, capisco se ad essere infettate fossero state le workstation, in
<cut>
La parte relativamente comica e' che i server SQL di M$ sono sati
colpiti...della serie: M$ attuera' un politica di sviluppo dei software
dedita alla sicurezza...B Gates.
http://nl2.vnunet.com/News/1138312
Tony

 ROFL
Un altro articolo su Slammer in casa MS con corredo di mail interne
(Microsoft confidential) lo potete leggere su The Register:
http://www.theregister.co.uk/content/56/29073.html

 incapaci, che li mandino a casa [...]
...ma non prima di avergli somministrato 10 frustate e un giro
di chiglia e, se sopravvivono al trattamento, non li manderei più
nemmeno a casa perché probabilmente avrebbero fatto tesoro
dell'esperienza e presterebbero molta più attenzione a "dettagli
insignificanti"
Andrea "che deve stare attento a suggerire certi metodi educativi
se no prima o poi si trova la schiena piena di cicatrici..."

 
http://www.theregister.co.uk/content/56/29073.html
Interessante il link esterno:
http://www.nextgenss.com/advisories/mssql-udp.txt
Cito due brani illuminanti:
This is one of the reasons why the SQL
Server process access violates if the colon is missing. The code does
not check to see if a valid pointer has been returned before passing it
to another function call, atoi():
char *ptr=NULL;
int num=0;
..
ptr = strtok(string,":");
num = atoi(ptr); // ptr is used without being validated
Questo pezzo di codice meriterebbe un due alla scuola professionale per
analisti programmatori.
Ma questa che segue e' la parte migliore, IMHO:
This 'ping' is a single byte UDP packet - 0x0A. By spoofing a packet
from one SQL Server, setting the UDP port to 1434, and sending it the a
second SQL Server, the second will respond to the first's UDP port 1434.
The first will then reply to the second's UDP port 1434 and so on. This
causes a storm of single byte pings between the two servers. 
HappyCactus chi gioca in prima base?


 "Microsoft SQ Hell Server", non suona male... :-)
Ieri all' una su tg2 "blah blah solito virus blah blah prontamente
bloccato dagli antivirus di tutto il mondo blah blah virus chiamato "HELL
ES CHIU'", cioe' l' inferno dei server"
Oltre ad arrestare gli "amministratori quadrumani", come dice happy,
bisognerebbe mandare a scavare in miniera molti giornalisti.
No, non funzionerebbe lo stesso.
Per certi giornalisti sarebbe troppo complicato anche lavorare in miniera.
Per questo trovano lavoro alla Rai.
A.
icq# 18752702
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 ROFL
LOLLONE!!!!!! :-DDD

 ha scelto uno sotto al metro e cinquanta.
ROTFL.

piu' utili, lasciando il posto a gente piu' competente.
Scherzi, quelli daranno la colpa ai prodotti MS, "tanto non sono
sicuri si sa" ;-)) e salveranno il culo :-(
Piuttosto, sentita ieri alla  radio (RDS o 105 non ricordo), Andrea
Pelizzari che telefona a Tim in diretta perche', secondo una mail che
aveva ricevuto, c'e' un giro un sms che, una volta ricevuto mandava
automaticamente una altro sms a tutti i numeri trovati in rubrica con
ovvio danno economico.
Comiche le risposte delle operatrici e ancora piu' comico il consiglio
finale del buon Andrea: "mi raccomando, se ricevete un sms da uno
sconosciuto cotenente -avviso importante- (o simile) non apritelo,
cancellatelo subito.."
bha..
Ciao
-- 
Francesco

 lazzo...
Verisismo,
ma e' pure vero che anche il primario o l'infermiere che ti lascia le
"pinze nella panza" ha gli obblighi per legge, pure lo scambista che causa
il disastro ferroviario ce li ha, per non parlare dell'assessore e del
politico etc. etc, eppure ognuno di loro ci ha sempre tutto un "clan" di
colleghi pronto a priori a difenderli a spada tratta. A ben guardare mi
pare che solo gli ingegneri e gli informatici siano i piu' "puri", pronti
a condannare per primi chi di loro mostri incompetenza o negligenza,
atteggiamento certamente nobile e giusto, ma che nel contesto italiano mi
pare sfiori l'idealismo.
Stammi bene,
b.

 generazione...<g>
Come ti capisco!
Io ho uno di quei nuovi telefonini che possono scricare anche software 
Symbian.. mi sono reso conto che e' come avere un mini PC sempre 
attaccato alla rete telefonica..
Con un programma (virus o troian) malizioso si potrebbe inviare 
preticamente di tutto a chiunque (pure a mie spese): contatti in 
rubrica, la mia voce, la mia posizione in base alla cella GSM in cui 
sono loggato.. ce ne' per tutti i gusti.. senza contare i mitici dialer!
Ve lo immaginate: costretti ad installare il norton pure sui cellulari! :)
MCM.

bene) che di qui non s'e' visto passare.
anch'io inizialmente ho frainteso, ma poi ho letto il titolo della
notizia:
SQHELL
--
Ciao!
Davide
[DAOC PG]Armorgod Troll Sciamano - Midgard Vortigern[/DAOC PG]

 > errore...
Prova a dare un  occhiata al file .spec del .src.rpm da lģ puoi passare le
opzioni al configure (puoi togliere il -DEAPI e o dare altre opzioni che
possono tornarti utili).
Ciao Alessio

 dedita alla sicurezza...B Gates.
Non fu sempre lui a dire che 640k di RAM erano sufficienti per fare
qualsiasi cosa? <g>
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 151WU/8422hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/


Il 3/2/03 sull'inserto 'Affari&Finanza' di Repubblica ho letto un articolo
sull'argomento intitolato "Dubbi e leggende: tante domande e un legittimo
sopspetto" che mi ha fatto un po' pensare...
Se a qualcuno interessasse riporto l'indirizzo per trovarlo in rete:
http://www.repubblica.it/supplementi/af/2003/02/03/attualita/012maicrosoft.html
Regards,
 Mattex
--------------------------------
Inviato via 
http://usenet.libero.it

 
http://www.repubblica.it/supplementi/af/2003/02/03/attualita/012maicrosoft.html
Se fosse vero, sarebbe abberrante.
Coincidenza con la venuta in Italia del Padrone Bill?
Speriamo sia solo una coincidenza.
-- 
HappyCactus - Linux User #209744 - YAGF 
http://www.google.com
 
http://pngstego.sourceforge.net


Nei prossimi mesi la multinazionale di Bill Gates rilascerà una nuova
release di Sql >Server, la "2003", indicata come risolutiva non solo di
tutti i problemi di sicurezza, >ma anche di quelli di gestione della Rete.
ma comunque io non ci credo.


Se e' per questo non ci credo neppure io.
La MS che scatena un pandemonio planetario per fare un contratto con le
poste italiane mi sembra assurdo.
Chissa' se pero' gli autori del worm immaginavano che in Italia avrebbe
avuto anche questi effetti conclusivi...
L'accordo invece penso sia notizia vera e non mi pare sia stata troppo
pubblicizzata; non e' che cosi' la sperimentazione di software open souce
auspicata dal governo italiano negli apparati pubblici va un po' a pallino
nel caso delle Poste? Chi e' che decide queste mosse?
