Newsgroup: it.comp.sicurezza.varie
Titolo: tcpdump

Si possono acchiappare le password usando il tcpdump,
ovvero, piu' che le password la chiave hash ?
Ho visto che quando un server NT parte
cerca di connettersi a mezzo mondo ... :-)



yep si puo' ..... aumenta lo snaplen pero' .... altrimenti non vedi na cippa.
il mio consiglio ovvio e' di codare qualcosa di piu' mirato. Uno sniffit
con log esadecimale e' altrettanto valido.
invy che bello tornare 
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

invy che bello tornare 
bene bene :)
Bentornato!
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.xoom.it/buttha/
-----------------------------------------------------------------------

 cerca di connettersi a mezzo mondo ... :-)
Se e' tanto fesso da mandarle in chiaro direi di si... ma penso che
non si possa essere tanto fortunati...
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 invy che bello tornare 
E bentornato fra noi :-))


>> NetBeui Packet
Type=0x4 Length=3588 Signature=0xFF00 Command=0xEF
Unknown Netbios Command Data: (3583 bytes)
[000] 16 0C 00 00 01 00 28 00  0C 6E FF 53 4D 42 73 00  ......(.
n.SMBs.
[010] 00 00 00 10 00 00 00 00  00 00 00 00 00 00 00 00  ........
.......
[020] 00 00 00 00 BB 16 01 00  02 1F 0D 75 00 83 00 68  ........
..u...h
[030] 0B 32 00 00 00 00 00 00  00 18 00 00 00 00 00 00  .2......
.......
[040] 00 05 00 00 00 46 00 11  D1 23 70 F5 53 79 78 8B  .....F..
#p.Syx.
[050] 9B 52 0F BF 47 F1 F1 59  25 27 15 7A 2F 33 FE 4C  .R..G..Y
%'.z/3.L
[060] 45 4F 4E 41 52 44 4F 00  4D 45 44 49 54 45 52 52  EONARDO.
MEDITERR
[070] 41 4E 45 41 00 57 69 6E  64 6F 77 73 20 34 2E 30  ANEA.Win dows
4.0
[080] 00 57 69 6E 64 6F 77 73  20 34 2E 30 00 04 FF 00  .Windows
4.0....
[090] 00 00 00 00 01 00 15 00  00 5C 5C 4B 55 4E 44 52  ........
\\KUNDR
[0A0] 59 5C 49 50 43 24 00 3F  3F 3F 3F 3F 00 68 FF 0B  Y\IPC$.?
????.h..
[0B0] 02 4B 55 4E 44 52 59 00  6D 6F 20 6F 6B 09 32 09  .KUNDRY. mo
ok.2.
[0C0] 30 09 33 09 31 09 34 32  34 30 35 39 36 30 09 30  0.3.1.42
405960.0
[0D0] 30 3A 35 36 3A 32 30 09  30 37 2F 30 31 2F 30 30  0:56:20.
07/01/00
[0E0] 09 09 09 09 34 09 72 32  09 0A 37 09 6E 61 64 69  ....4.r2
.7.nadi
[0F0] 61 09 4E 45 57 09 32 09  30 09 33 09 31 09 34 37  a.NEW.2.
0.3.1.47
[100] 38 34 36 37 35 30 09 30  32 3A 30 38 3A 33 33 09  846750.0
2:08:33.
[110] 30 37 2F 30 31 2F 30 30  09 09 09 09 34 09 72 32  07/01/00
...4.r2
[120] 09 0A 38 09 6E 61 64 69  61 09 4E 45 57 09 32 09  ..8.nadi
a.NEW.2.
[130] 30 09 33 09 31 09 34 37  38 34 38 30 39 31 09 30  0.3.1.47
848091.0
[140] 32 3A 32 33 3A 32 38 09  30 37 2F 30 31 2F 30 30  2:23:28.
07/01/00
Quel "nadia.NEW" e' una immagine di una certa Nadia, che vive si' sul
server NT, ma _NON_ e' stata messa dal PC "LEONARDO", _anzi_, sarebbe
una santa cosa che il PC "LEONARDO" non ne sapesse niente.
Suppongo che sia il risultato di un imperfetto svuotamento di buffer.
In effetti, in altri pacchetti dello stesso genere trovo i pezzi d'un
file BMP. E si tratta di un pacchetto indirizzato al LEONARDO, non e'
che io sto leggendo volontariamente i cazzi degli altri.
Quanto alla password, NT la manda in broadcast con hash. E l'hash e',
se non ricordo male, stato crackato dalla l0pht Heavy Industries :-)
Leonardo
".signature": bad command or file name

Suppongo che sia il risultato di un imperfetto svuotamento di buffer.
Errare e' umano, perseverare e' diabolico, ed essi ne sono maestri
incontrastati: Mai provato ad andare di hex editor su un file di word?
Ci trovi anche la ricetta della torta di mele di nonna papera scritta nel
lontano '65 dalla zia carolina.
Ciao.roberto
--
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

incontrastati: Mai provato ad andare di hex editor su un file di word?
Quello l'hanno risolto definitivamente in Office 98. Qui parlo di un
NT con tutti i service pack da qui alla galassia di Andromeda (e non
del povero NT macellato che sa Pierluigi, che _quello_ se fa cosacce
non e' colpa sua, poveretto).
E soprattutto qui i dati sono spediti in broadcast su una rete. Mica
per altro - ma ho scoperto che 'sto stronzolo usa pkt con dimensioni
FISSE, cavolo, io devo spedire tre bytes e me ne spara otto K.
Poi mi meraviglio che il transfer rate faccia onco a' bai: per forza
lo fa, se c'e' una sessione NBT attiva solo i keepalives si mangiano
il 5% della banda. Metticene venti: non ti restano neanche gli occhi
per piangere :-(
(N.B. per onesta', NBT e' licenziato "per piccole reti", 20 sessioni
attive comincia ad averle una rete MEDIA)
Tra l'altro, rogna teribbile per la fault tolerance: Linux manda SMB
on-demand, niente keepalive a meno che il client non voglia metterci
del suo, o almeno cosi' pare a me e a tcpdump(8). Se stacco server e
hub a sistema attivo, connessioni aperte ma idle, e lo riattacco nel
giro di 10 secondi (es. perche' all'hub s'e' fermata la ventola e io
gli ho affiancato un hub gemello, accendendolo), posso fare swapping
a caldo senza che il sistema faccia un plisse'.
Se ci provo con un server NT ed un keepalive mi casca, se va bene il
client relativo perde la connessione, i file aperti e i dati, ma, se
va male (e Murphy garantisce che ANDRA' male), muore il thread NT, e
mi rimane li' a mangiarsi RAM per omnia saecula saeculorum od almeno
per 15 minuti, poi mi sono rotto e l'ho riavviato.
A questo punto, dei vari protocolli MS-N* mi fido quanto mi fido del
mago Otelma - che se non altro ha una pubblicita' che mette di umore
migliore - e il fatto che mandi le passwords in chiaro o con hash di
tipo elementare e' solo il ricciolo sulla zotta.


con log esadecimale e' altrettanto valido.
Io purtroppo non ho tempo per queste cose altrimenti sarei diventato un mostro
per la passione che ho.
Volevo vedere un po' come funzionava NT quando partiva ... adesso capisco
perche' va cosi' piano ... :-)
Si, si loggando tutto ho visto delle sequenze che rassomigliano alle chiavi
hash, adesso mi dovro' studiare in quale dei pacchetti della sequenza
vengono inviate :-)

tipo elementare e' solo il ricciolo sulla zotta.
Ok, ma in quale pacchetto della sequenza di connessione manda la chiave ??

se non ricordo male, stato crackato dalla l0pht Heavy Industries :-)
Si, crakkarla e' una cazzata. E' piu' facile della password di Unix
mi pare.
La metti in un file e quello fa il resto.

Ok, ma in quale pacchetto della sequenza di connessione manda la chiave ??
Il terzo e il settimo, credo. Non chiedermi perche' due volte. Certe
volte, meno se ne sa e piu' contenti si vive.


".signature": bad command or file name
(in tuo onore, notasi la giustificazione rigorosamente manuale e voluta. :-)


(in tuo onore, notasi la giustificazione rigorosamente manuale e voluta. :-)
<faccina commossa>


vicissitudini aerodinamiche subite in fase di atterraggio.
Si' ci ero andato vicino, ma non troppo, sai, per la puzza......
In pratica, un pacchetto in uscita di back-orifice; Ah, questi hacker!
Adesso riescono a fare il ricciolo anche ai frame IP.


 Un centinaio dovrebbero andar bene.
^^^^^^^^^^^^^^
ROTFL!
Valerio
--
"Microsoft Outlook Express: cosa vuoi postare
postare postare oggi?"



>>tipo elementare e' solo il ricciolo sulla zotta.
Questo lo puoi evitare col syskey e disabilitando la compatibilita'
lanmanager (solo se hai solo NT sulla rete pero', se hai win9x ciccia,
non lo puoi attivare).
Ciao
Francesco