Newsgroup: it.comp.sicurezza.varie
Titolo: Aggressor

1) Chi mi puo' spiegare che effetto hanno i seguenti exploit?
NesTea
Suffer3
Boink
Land
Oob
Smurf
Portscan
2) In aggressor ho visto che si puo' specificare il Source IP: vuol
dire che l'attacco sembra arrivare dall'IP specificato e non dal
proprio?
Buttha
-----------------------------------------------------------------------
* Il giudice disse: "Figliolo, cos'hai da dire a tua discolpa?"
  "Cinquantasette canali, e niente da vedere."
* Per rispondere rimuovere niente
* PGP Key available with fingerprint:
  7772 5C72 7392 538B  34B8 A189 13BC 867A

proprio?
Si. Ogni pacchetto IP che venisse loggato o ispezionato dal remoto, avrebbe
quell'indirizzo invece di quello da dove effettivamente spari tali packets.
Questo e' possibile per la modalita' stessa di funzionamento di IP.
invy

...e chi mi puo' spiegare bene che tipo di programma e' aggressor???
							LdEX'

Questo e' possibile per la modalita' stessa di funzionamento di IP.
Ma gli ISP non firewall-ano bloccando i pacchetti IP in uscita che non hanno
indirizzo sorgente appartenente al range del ISP stesso?
----------------------------------------------------------------------
Marco Coletti
Network Administrator, Webmaster, Computer Consultant
PGP public key:
http://keys.pgp.com:11371/pks/lookup?op=get&exact=on&search=0x96A79061
Fingerprint: 9F E5 80 61 F6 9F 05 2D  EA 53 6F 2D 82 8B C7 C2
----------------------------------------------------------------------

...e chi mi puo' spiegare bene che tipo di programma e' aggressor???
e' un exploit generator.
Fondalmentalmente gli dai un IP a cui inviare i malefici pacchetti, e
la vittima si ritrova con il PC incasinato (si blocca, si resetta,
ecc..).
Altro non so.


 indirizzo sorgente appartenente al range del ISP stesso?
Quanti?
Allo stesso modo dovrebbero negare i pacchetti in entrata che hanno ip che
dovrebbero essere gia' dentro. 
Mentre credo di ricordare che i dos che sfruttano questo ultimo aspetto
abbiano (o abbiano avuto) un discreto successo.
Ciao
Lele

Altro non so.
per malefici pacchetti cosa intendi?
Dei files speciali oppure gli mandi un centinaio di mega e quindi va
in palla?
LdEX' che copia le firme da Buttha per dirvi che non sa veramente una
beata mazza! ;-)

Quanti?
Appunto, la mia era una domanda.
Mi stupisce che gli ISP non lo facciano; gli access routers usati per es. da
TIN non hanno questa capacita' basilare di filtering?



E' un programma che genera pacchetti malformati, secondo certe regole che
consentono di "ammazzare" dei sistemi remoti.
Per esempio, un pacchetto con una sesta word tale che, in AND con 0x0FE0,
ti da' un valore diverso da zero, Windows non lo gestiva. Bum!
Per ovviare al fatto che, sotto Windows, non si possono inviare pacchetti
"raw", Aggressor implementa un proprio sistema di controllo del flusso di
dati. Abbastanza ingegnoso, come sistema.
I proprietari di sistemi Linux possono spiare l'operato di Aggressor solo
con programmi complicatissimi (Aggressor mi pare sia meno di un mega), ad
esempio il seguente.
#!/bin/sh
case $1 in
        eth0)
        ;;
        eth1)
        ;;
        ppp0)
        ;;
        ppp1)
        ;;
        *)
                # Don't know. Might not work. Could be a typo. CPD.
                echo "Interface \"$1\" not supported. Try with \"$0 ppp0\" or
\"$0 eth0\"."
                exit 0;
        ;;
esac
WINNUKE="(tcp[12:2] & 0x0FE0 != 0)"
ICMPTAK="(icmp[0]   & 0x00F7 != 0)"
IPPROTO="(ip[9]!=1 && ip[9]!=6 && ip[9]!=17)"
# Nestea, Jolt, SSPING, Coke, NewTear, Teardrop sono tutti presi dal kernel
# Poprooter lo intercetta qpop2.2p
# Synflood lo identifica il kernel, ICP ipfwadm.
# Rimangono scoperti i nuke classici, i flood ICMP e le bestie strane, per
# le quali si usa tcpdump.
tcpdump -lvi $1 "$WINNUKE or $ICMPTAK or $IPPROTO" >> /var/log/tcpdump.log &
tail -f /var/log/tcpdump.log /var/log/messages
exit 0
Leonardo
".signature": bad command or file name

 [...]
ciao Leonardo,
	ho provato il tuo programma per rilevare l'operato dell'aggressor sulla
rete locale ed ho beccato uno "sfracello" di pacchetti. Ora la mia
domanda č: "ma questo script intercetta tutti e _soli_ i pacchetti
prodotti da aggressor? O potrebbero esistere degli usi leciti?"
Confidando nel tuo buon cuore (anche se comprenderň un eventuale tuo
rifiuto) ti allego l'output raccolto in pochi secondi in tcpdump.log...
Se puň essere utile la tecnologia di base č token ring.
Grazie!
A proposito, ma gli ultimi messaggi (quelli che ti ho rispedito) li hai
ricevuti?
ciao
-- 
ing. Massimiliano Pagani          |phone: +39-2-90347548
ABB Elettrocondutture S.p.A.      |  fax: +39-2-90347533
email: 
Massimili...@abb.it
 |

 ciao
Anche io ho provato il programmetto (a proposito... l'operatore && non
piace a Digital Unix.. l'ho sostitutito con ") or (" per farlo
funzionare) e ho trovato una marea di pacchetti per la condizione
IPPROTO (ho splittato il tcpdump in tre e messo un -c 100 su ognuno). Ad
una prima occhiata, pare che siano tutti paccchetti diretti a terminali
X. Le altre due condizioni... beh e' piu' di un'ora che girano e
producono pochissimi pacchetti. Non li ho ancora guardati.
E' cosi' anche per te?
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

X. 
Okay, ho capito. Stasera faccio un taglia & incolla dalla lista dei
protocolli IP conosciuti, cosi' ciascuno ci mette i suoi :-)))
Forse, quando ho dato per scontato che tutti avessero solo tcp, udp
e icmp, sono stato un tantino frettoloso <blush>


 indirizzo sorgente appartenente al range del ISP stesso?
SOLO MOLTO POCHI IN ITALIA :) e comunque se io settassi il sourceIP come
www.nasa.gov
 l'ISP che fa ? Mi filtra anche quello ? :)
Non ho mica parlato di attacchi di source routing, ho solo detto che per
come funzica il meccanismo di routing di IP e' possibile che arrivino
pacchetti con qualunque sorgenteIP da quasi ogni direzione (ovviamente
esterna). Se poi lo vuoi settare uguale al targetIP beh quelli sono fatti
del filter dell'ISP ....
invy

Se puň essere utile la tecnologia di base č token ring.
ARG! E tu mi vai a fare un dump Ethernet da una Token Ring? Dilinguente!
Modifica IPPROTO cosi' e speriamo in bene:
IPPROTO="(ip[0:2]!=0xaaaa && ip[9]!=1 && ip[9]!=6 && ip[9]!=17)"
Come vedi ho aggiunto quell'aaaa. L'ho fatto a caso: non so come funzioni
la Token Ring! :-)
...ma, scusa, su che macchina fai le prove? Non sapevo ci fossero drivers
Token Ring per Linux (o forse quello che me l'ha detto si riferiva ad una
specifica scheda. Boh. Chiedero').
(Ho ricevuto il messaggio, ma non ho ancora risposto)


know as "nestea.c" and can be found on Rootshell.  The ROUTERmate will also
crash with the similar bugs "bonk.c" and "newtear.c".  After these attacks
the router will reboot then function normally unless hit with the attack
again.


www.nasa.gov
 l'ISP che fa ? Mi filtra anche quello ? :)
Forse non hai capito.
Se un pacchetto IP proveniente (via link PPP) da un PC collegato via modem a un
access router del PoP TIN di Verona contenesse come IP address sorgente
198.116.116.10 (che corrisponde a 
www.nsi.nasa.gov
), allora io TIN potrei
zapparlo con tutti i diritti e senza provocare alcun disservizio; non c'e'
motivo per cui un pacchetto che arriva all'access router (dalla parte dei
modem) possa contenere un IP address sorgente che non rientra nel range
associato al PoP (di solito del tipo 212.216.34.*).
I pacchetti che invece arrivano dall'altra parte (interfaccia CDN) non vanno
sottoposti a questo tipo di filtraggio; invece, se vogliamo, essi dovrebbero
essere filtrati in modo da bloccare i pacchetti con IP destinazione non
rientrante nel range del PoP (ma questo e' sostanzialmente inutile, visto che
in tal caso quei pacchetti non sarebbero mai arrivati li', nemmeno col source
routing che non viene accettato da molti routers).


 routing che non viene accettato da molti routers).
Semplicemente xche' la maggior parte dei vostri cari nukers che popolano
le notti brave su IRC e co. non vi nukkano dal loro account col loro ISP
che dovrebbetrare (E CHE COMUNQUE IN POCHI FANNO) ma da account in rete su
macchine con tanta banda e pochi router intelligenti :)
gli stessi tuoi router e gateway che filtrano possono andare incontro a
malfunzionamento o sovvertimeno per problemi di host security non noti al
momento del setup, ma scoperti in seguito magari. Tanto per dirne una.
Piu' che non capito davo per scontato che NESSUNO PENSASSE che tutti i
nukers agiscano dai loro *tin e *iol :)))
invy
un neozelandese che fa senza capire (miracolo ;))

associato al PoP (di solito del tipo 212.216.34.*).
allora guardo il mio IP attuale e ne uso uno simile ma diverso:
se ho un IP dinamico 212.216.34.A 
vedro' di mettere un sourceIP 212.216.34.B.
Se lo faccio in ora di punta, magari mi va bene.


Se lo faccio in ora di punta, magari mi va bene.
Giusto.
Pero' non ti procuri un anonimato assoluto, perche' comunque il sysadmin
dell'host che attacchi risale al PoP TIN di Gorizia (magari con l'aiuto di TIN)
e poi TIN, comparando i dati di tempo forniti dal sysadmin con il log del PoP
di Gorizia, puo' restringere i sospetti a 5 o 6; se poi sei recidivo, per
intersezione il gruppo degli account sospetti puo' ridursi anche a 1.
Solo che TIN e' peggio di un mulo ostinato quando si tratta di fornire
collaborazione per individuare gli hackers.


collaborazione per individuare gli hackers.
  ah perche' gli hacker devono essere "individuati"?
      un po' come i pedofili insomma?

intersezione il gruppo degli account sospetti puo' ridursi anche a 1.
questo sempre se vale l'ipotesi che TIN filtri gli IP in uscita.
Come faccio a verificarlo? Devo autonukkarmi?
Oppure prendo di mira un boservizzato, lo nukko e vedo come reagisce
il suo sistema? (non lo faccio, ovviamente)


 wrote:

No, c'e' differenza fra pedofili e hackers. ;-)
I primi sono di solito ritenuti moralmente condannabili, anzi, sono considerati
peggio degli assassini.  Pero' un pedofilo, per definizione, non commette
necessariamente reati. (e' reato lo sfruttamento sessuale dei minori, e certi
comportamenti sessuali con i minori, non la pedofilia che per definizione e'
"solo" attrazione sessuale per i bambini)
I secondi sono di solito tollerati e ispirano pure simpatia.  Pero' un hacker,
per definizione, in Italia oggi non puo' dirsi tale senza commettere reati
(accedere a un sistema contro la volonta' del gestore e' gia' di per se' un
reato).
Dunque, se un hacker mi rompe le scatole, perche' non dovrei cercare di
individuarlo e magari poi denunciarlo?
Pure io ho commesso atti da vero hacker, e gli attaccati hanno cercato di
risalire a me attraverso TIN (che non gli ha manco risposto); non posso certo
biasimarli per come hanno cercato di difendersi.


 biasimarli per come hanno cercato di difendersi.
:) ti han sparato contro ?!
invy

:) ti han sparato contro ?!
No, mi riferivo al fatto che non si sono limitati a cercare di tappare le
falle, ma hanno cercato di risalire a me contattando TIN (avevo commesso un
paio di errori per cui mi sono lasciato dietro l'indirizzo IP).


 paio di errori per cui mi sono lasciato dietro l'indirizzo IP).
bah :) mai usare allora il proprio account su ISP, anche se di altri ...
cercare sempre dei gateway ....
invy

 (non per culo pero'); se sa programmare, meglio, ma non e' necessario.
hmmm e allora come potra' fare a scoprire le falle nei sistemi di
autenticazione, in demoni, nel kernel etc etc se non sa programmare ?
Probabilmente leggendo BUGTRAQ e co. dove diventera' un buon script kid
usando exploit preconfezionati da altri E NON SOLO DOS preconfezionati.
invy

csf...@polaris.it
 wrote:
 >  ah perche' gli hacker devono essere "individuati"?
 >      un po' come i pedofili insomma?
Se qualcuno cerca di bucare un mio sistema sara` mio piacere fare il
possibile perche` venga processato. O tu hai la massima tolleranza e
magari incoraggi chi ti viene a pisciare sulla porta di casa?
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

skaz...@VEcryogen.com wrote:
 >>  Riguardo, invece allo smurf  (cioe'  puffo)
 >il prog chiama, a casaccio una marea di altri server, e, in tutte le richieste
 >mette l' indirizzo della vittima come origine.
No, smurf funziona facendo il ping (con IP sorgente quello della
vittima) di indirizzi di broadcast. Infatti se i router fossero
configurati correttamente (ah!) non ci sarebbero problemi.
 >Il vantaggio e' che, passato l' attacco chi riesce a risalire all' indirizzo del
 >colpevole leggendo i log di sistema, che, dopo un attacco del genere sono stati
 >sommersi di dati di connessioni e sconnessioni merita un premio !
No, non restano log (a meno che qualcuno non attivi una access list
proprio per questi pacchetti) e quando l'attacco e` finito non c'e` piu`
modo di trovare il colpevole.


invy <in...@eCheLoN.net> wrote:

Uffa! :))
Ma sei proprio privo di fantasia! :)
Io per esempio qualche mese fa ho girato in lungo e in largo su un paio di
sistemi Sparc Solaris, anche se di Unix non sono certo un esperto, e non ho mai
programmato una riga di C (in quell'occasione); mi sono servito al massimo di
un paio di script sh scritti da me (e anche piuttosto male) come appoggio per
quello che dovevo fare che era
- sfruttare una... eccessiva programmabilita' di un certo web server per
modificare il file di configurazione del web server stesso, in modo da far
girare il relativo processo come root
- una volta avuto l'accesso parziale come root (non una shell, ma comandi del
liguaggio di programmazione del web server), modificare /etc/services e
/etc/inetd.nonricordocomesichiama per impiantare un servizio "nascosto" che
invocava una copia modificata di telnetd che a sua volta invocava direttamente
csh invece che login (un semplice patch binario)
- rinominare copie dei vari eseguibili di cui sopra con nomi corrispondenti a
processi di uso comune su quel host (in modo da suscitare meno sospetti nel
sysadmin quando usava ps)
- una volta che il sysadmin ha sgamato che qualcuno stava spippolando e quindi
ha chiuso sul firewall tutte le porte TCP eccetto 80 (che era necessaria per
l'accesso al web), scrivere uno script sh che invocasse nc (netcat), il quale
ascoltava sulla porta 80 di un ip address non usato e alla connessione remota
del mio client telnet lanciasse a sua volta la copia modificata di telnetd, che
invocava csh etc... tutto cio' invece che modificare ancora /etc/inetd.conf per
impiantare un servizio sulla porta 80 (cosa impossibile con quel OS perche'
inetd non riusciva ad allocare la 80 su un ip diverso da quello su cui il web
server aveva gia' allocato la 80)
- eccetera...
Tutta roba che non era affatto ricalcata su vari exploit presi da 
rootshell.com
o cose del genere, ma semplicemente derivante dal ragionamento e dalla voglia
di imparare (infatti ero piuttosto arrugginito di Unix e mi e' servito per
rinfrescarmi un po'... adesso sono di nuovo mezzo arrigginito :)
Per esempio, il buco del web server che ho sfruttato credo non lo conoscesse
nessuno (nemmeno gli autori, ho constatato); ci sono arrivato in base alla mia
esperienza con quel particolare web server.
Comunque non ho fatto danni e dopo un po' me ne sono andato... in fondo non
vale la pena di correre rischi stupidi per un po' di divertimento puerile...
O no? :))


Marco Coletti (marco....@REMOVEeurofin.it) wrote:
[ snip ]
: Un hacker e' semplicemente chi ha le conoscenze necessarie per entrare in
: alcuni sistemi (poco protetti) e che e' entrato in un sistema almeno una volta
: (non per culo pero');
ROFL
E questa cos'e', la prova di iniziazione del Giovane Hacker ? 8-D
: >> Pure io ho commesso atti da vero hacker, e gli attaccati hanno cercato di
[ snip ]                         ^^^^^^^^^^^
: No, mi riferivo al fatto che non si sono limitati a cercare di tappare le
: falle, ma hanno cercato di risalire a me contattando TIN (avevo commesso un
: paio di errori per cui mi sono lasciato dietro l'indirizzo IP).
                                 ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
ROFLASTD
Un 'vero hacker' che si 'lascia dietro l'indirizzo IP' 8-D
Ciao ciao
Andrea
-- 
"...Unix, MS-DOS, and Windows NT (also known as the Good, the Bad, and 
 the Ugly)."
(by Matt Welsh)

 O no? :))
mah :) dipende sempre. Certo, non per il solo divertimento ...
invy

 magari incoraggi chi ti viene a pisciare sulla porta di casa?
se piscia non mi piace .... ma tutti i tuoi sistemi sono come casa tua ?
e se fossero come il garage (vuoto) ? e se non modificassero nulla ne
rubassero alcunche, xche' erano ragazzini che volevano provare l'ebrezza
del "rubare le mele" ?
di solito prima chiudo le falle, poi seguo, magari invito con esche ...
conosco e poi decido ....
d'altro canto non tutti ne han tempo o voglia :(
invy

Un 'vero hacker' che si 'lascia dietro l'indirizzo IP' 8-D
Ma che bravo che sei a trinciare giudizi, eh?
Tu errori non ne commetti mai immagino...
Auguri.


 specifica scheda. Boh. Chiedero').
Nella distribuzione RH (dalla 4.2 in avanti) ci sono i driver standard
per la Token Ring IBM e derivate. Inoltre la Olicom fornisce (sul suo
sito) le patch per kernel 2.0.34 (va bene anche per il 2.0.35) e kernel
sperimentali per le sue OpenToken.
ciao
-- 
Max

 Network Administrator, Webmaster, Computer Consultant
in un gruppo di sicurezza suona quanto meno pomposa :) o stai cercando
lavoro ?! <g>
invy
P.S. non followuppare neanche se non sei dotato di ironia :)

Per l'ennesima volta ...VAI A RIVEDERTI LA DEFINIZIONE DI HACKER e scoprirai
che hacker e' uno che passa tutto il giorno a leggersi il source kernel di
linux e non a distruggere reti altrui

Un hacker ha altro da fare che venire qui a spiegare a certa gente chi o
cosa e' un hacker.....

Un hacker ha altro da fare che venir qui a spiegare a certa gente chi o
cos'e' un hacker......

P.S. non followuppare neanche se non sei dotato di ironia :)
Ma se mettessi un indirizzo di e-mail magari?  Cosi' ti si puo' rispondere in
privato invece che consumare banda per niente sui news server.
Poi 'sta mania del nickname non la capisco...
Per quanto riguarda la sig, mi spiace ma e' quello che faccio... mica posso
cambiare sig a seconda del NG.

Marco Coletti (marco....@ZZZeurofin.it) wrote:
: 
big...@fokhouse.tin.it
 (Andrea Foco) wrote:
: >ROFLASTD
: >
: >Un 'vero hacker' che si 'lascia dietro l'indirizzo IP' 8-D
: Ma che bravo che sei a trinciare giudizi, eh?
: Tu errori non ne commetti mai immagino...
Ne commetto un sacco ;)...ma non mi definisco 'un vero hacker' 8-P


cosa e' un hacker.....
E allora cosa fai qui? :)

 wrote:

Quotare no eh?
Uhm... qual'e' il sacro testo che riporta la definizione standard di hacker?

marco....@ZZZeurofin.it wrote:
 >Uhm... qual'e' il sacro testo che riporta la definizione standard di hacker?
Il Jargon File, ovviamente:
:hacker: /n./  [originally, someone who makes furniture with an
   axe] 1. A person who enjoys exploring the details of programmable
   systems and how to stretch their capabilities, as opposed to most
   users, who prefer to learn only the minimum necessary.  2. One who
   programs enthusiastically (even obsessively) or who enjoys
   programming rather than just theorizing about programming.  3. A
   person capable of appreciating {hack value}.  4. A person who is
   good at programming quickly.  5. An expert at a particular program,
   or one who frequently does work using it or on it; as in `a Unix
   hacker'.  (Definitions 1 through 5 are correlated, and people who
   fit them congregate.)  6. An expert or enthusiast of any kind.  One
   might be an astronomy hacker, for example.  7. One who enjoys the
   intellectual challenge of creatively overcoming or circumventing
   limitations.  8. [deprecated] A malicious meddler who tries to
   discover sensitive information by poking around.  Hence `password
   hacker', `network hacker'.  The correct term for this sense is
   {cracker}.
   The term `hacker' also tends to connote membership in the global
   community defined by the net (see {network, the} and
   {Internet address}).  It also implies that the person described
   is seen to subscribe to some version of the hacker ethic (see
   {hacker ethic}).
   It is better to be described as a hacker by others than to describe
   oneself that way.  Hackers consider themselves something of an
   elite (a meritocracy based on ability), though one to which new
   members are gladly welcome.  There is thus a certain ego
   satisfaction to be had in identifying yourself as a hacker (but if
   you claim to be one and are not, you'll quickly be labeled
   {bogus}).  See also {wannabee}.


sperimentali per le sue OpenToken.
Miiii, se mi ricordo giusto allora c'e' uno che al saperlo avra' una
mezza estasi. Ha una carriolata di Token Ring di risulta, credo ;-)
Leonardo che mai una volta fosse sicuro... eh?
".signature": bad command or file name

hacker?
The Hackers's Dictionary 3ed.
ne trovi anche una versione in WWW ... cerca sugli engine .. un URL lo
trovi nella pagina di 
amazon.com
 relativa alla versione cartacea
invy

cosa e' un hacker.....
E chi posta due righe, senza quotare , usando autluk e senza firmarsi in 
modo decente in che categoria rientra : hacker o semplice fesso??
-- 
Warning!
Don't send any mail for me at my from: or replayto: addresses ;
I just kill the mail over there without reading!