Newsgroup: it.comp.sicurezza.varie
Titolo: [per eseperti] Curiosità su Conseal e altri firewall per winzozz


ICQ #34602650

On 05-Lug-99 09:02:43, Marco Sarti said about [per eseperti] Curiosità su Conseal e altri firewall per winzozz:
 MS> caso di Conseal come si comporta? Chi e come filtra i pacchetti in
 MS> arrivo? Perchè la macchina locale può dirsi "protetta"? Un server sulla
 MS> macchina locale può aggirare il firewall e ricevere comunque connessioni
 MS> esterne, e se no perchè?
A livello di principio e' identico a linux: i pacchetti in arrivo
vengono affidati *subito* ai filtri del firewall e scartati da
questo a seconda delle regole che hai messo.
L'unico dubbio che potresti avere e' l'efficacia del firewall: il
Conseal per esempio ha un paio di bug che lo rendono un'arma a
doppio taglio (lo si puo' attaccare in modo che floodi lui stesso
:)
 MS> piuttosto "sfuggevole" (per me) faccio fatica a considerarli prodotti
 MS> veramente utili alla sicurezza.
Non c'e' nulla di 'sfuggevole'... se hai capito come funziona per
linux :)
Bye
   Wiz
-- 
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@pragmanet.it
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax
Floppy not responding, format Sysop instead?

questi prodotti e forse non li installerò mai...
Funzionano benissimo: SOSTITUISCONO lo strato IP di Windows con il loro,
che si suppone ;-) sicuro.
Girano voci non confermate secondo le quali Conseal non e' 100% OK con i
nuovi drivers di Win2000beta3, dato che (parrebbe) dentro quei files ora
ci sono nuove funzionalita' stronz^H^H^H^H^H addizionali, che Conseal si
guarda bene dall'implementare (come avrebbero potuto saperlo?).
Leonardo
".signature": bad command or file name

:)
Non li ha piu' da tempo. Li aveva fino alla versione 1.2 compresa,
siamo alla 1.38c
Enrico AKA Farge

 Non li ha piu' da tempo. Li aveva fino alla versione 1.2 compresa,
se li ha fino alla 1.2 compresa com'e' che l'ho notato sulla 1.3?
:)
Bye
   Wiz
-- 
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@pragmanet.it
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax
Conosco un tipo cosi' grasso che per mettersi la sciarpa usa il boomerang.

 che si suppone ;-) sicuro.
Eh, già... si suppone :-) 
L'altro aspetto che mi "perplime" è il fatto che questi prodotti siano
(a mio parere facilmente) attaccabili dall'interno. Se per loro è
possibile arrivare a sostituire lo strato IP del sistema, lo è anche per
qualcun'altro. Potrà sembrare una masturbazione mentale, ma visto che
parliamo di difese contro trojani... qualche tempo fa era una
masturbazione mentale anche innalzare difese contro server di controllo
remoto...


remoto...
nessuna masturbazione, anzi. In un sistema in cui chiunque possa sostituire
un file senza problemi di accesso .... se esiste la .dll anti netstat non
vedo perche' non possa essercene una che a livello network lancia un
eseguibile se arriva un pacchetto particolare :) ....
invy 
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

 :)
Perchè non esiste un programma perfetto anche se si corregono 2 bugs nel
frattempo vengono scoperti nuovi bugs
è stato così e così sarà sempre.
E molto probabilmente non state parlando dello stesso bugs.(incomprensione
totale :-) )
P.S.
a me non ha mai dato problemi.


 eseguibile se arriva un pacchetto particolare :) ....
Cosa è la dll anti netstat??????????
--
"I cretini sono sempre piu' ingegnosi delle precauzioni che si prendono per
impedirgli di nuocere" (dalle leggi di Murphy)

   Wiz
Dipende da che effetto hai notato :>
L'unico bug serio conosciuto e' che fino alla 1.2 l'effetto di flood
da IP address random, da&per porte random, sul learning mode/logging
di Conseal portava al crash del picci' per esaurimento risorse. Adesso
il bug risulta fixato e l'unica cosa che si esaurisce presto e' la
pazienza di chi, avendo il learning mode attivo,  deve spiegare al
firewall cosa farsene di ogni singolo  pacchetto in arrivo.
Consiglio: il learning mode puo' risultare utile le prime volte, poi
e' decisamente il caso di disabilitarlo. Per il logging impostate il
safe mode, se proprio non potete farne a meno.
Enrico AKA Farge

 ha scritto:
:> Ma questo non e' un aspetto inerente i prodotti, ma il so.
:> Win9x non implementa le autorizzazioni quindi e' chiaro che un trojan
:> ha in ogni caso via libera, 
E' chiaro perchè ormai sappiamo che è così. In realtà non è poi così logico che un sistema operativo possa permettere la sostituzione di parti vitali senza fiatare. Le autorizzazioni c'entrano fino ad un certo punto.
-- 
Marco Sarti 
marco...@dada.it
-------------------------

punto.
Appunto, tutto il guaio sta nella definizione di *sistema operativo*[*],
dalla quale, a mio parere, win si discosta parecchio.
IL problema e' proprio quello della monoutenza del sistema operativo, e la
conseguente mancanza di concetti come l'amministratore di sistema in
contrapposizione all'user.
Finche' non esiste un superutente con poteri di vita e di morte sul s.o,
tutti hanno la possibilita' di sostituire tutto quello che gli pare.
Anche in sistemi piu' evoluti, se sei superuser, puoi piallare anche tutta
la tavola delle partizioni mentre il sistema lavora, ottenendo un
bell'effetto pirotecnico al primo reboot.
Se al contrario sei utente, puoi far danno solo nella parte che il superuser
ha deciso sia di tua competenza.
Ciao.roberto
--
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

 di Conseal portava al crash del picci' per esaurimento risorse. Adesso
No, quello che e' presente anche nella 1.3 e' la vulnerabilita'
al "Firewall kill 2" del 'Meliksah nuke': da quanto ho visto
sembra uno scan port (ma ci deve essere il trucco, altrimenti
il conseal e' proprio un cesso :)
Quando il conseal e' colpito da quell'attacco, per un po' lo
subisce senza far nulla, poi gli parte la malsana idea di tentare
di collegarsi all'IP dell'attaccante, provando dalla porta 1
per finire alla 65535.
Inutile dire che se ti attacca qualcuno con una banda maggiore
della tua ti butta giu' come niente, altrimenti ti satura la
banda comunque.
Attivare/disattivare il learning mode non cambia nulla: quando
capita l'unica e' chiudere il conseal (sperando che non caschi la
linea), aspettare che l'attaccante si stufi e poi riaprirlo.
'nsomma... non e' una bella cosa per un firewall :)
Bye
   Wiz
-- 
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@pragmanet.it
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax
Crash: (v.) to terminate a program in the usual fashion.

banda comunque.
Ovvio. Questo vale sempre, non si basa su bug del Conseal.
Enrico AKA Farge

il conseal e' proprio un cesso :)
Quello che ho io (mi sono scaricato una quantita' ributtante di 'ste
stronzate, per vedere come reagiva iplogd: c'e' una breve nota sulla
pagina, 
http://www.linuxvalley.com/~lserni/iplogd.html
) invia giusto
giusto un pacchettino TCP con flags SYN seguito da PUSH ACK URG. Non
capisco come cio' possa fottere un firewall... e difatti Linux se ne
strafrega (un errore implementativo in iplogd, ancora non ben capito
dall'autore, fa si' che il Meliksah si inchiodi con Win95OSR2 WS1; a
chi capitasse, rammento di installare la patch WS2 o di passare alla
nuova versione di Windows 98).
La versione che ho usato per le prove e' il Meliksah Nuke v2.5 con i
vari Firewall Kill 1, 2, 3, e il risultato e'
Thu Jul  8 00:10:24 1999:4: TCP |SYN| to port 135/tcp from windoze:1024
Thu Jul  8 00:10:24 1999:8: Suspected anti-WindowsNT-nuke
Thu Jul  8 00:10:24 1999:4: TCP |SYN|PSH|ACK| to port 135/tcp from windoze:1024
Thu Jul  8 00:10:24 1999:8: Suspected anti-WindowsNT-nuke (HPTL or VTJ nuke?)
Quello che per ora passa e' il PortFuck - che pero' fotte ENTRAMBI i
sistemi, il mio e quello del bischero che attacca... e le risorse le
esaurisce prima lui (si puo' configurare ipchains, per esaurire solo
le sue <grin>, almeno credo)


 stack ad inviare pacchetti in risposta (visibili dal Conseal stesso?
Non penso. Tutti i pacchetti in uscita sono diretti alla porta
1024 di chi ti attacca (con una regola che blocca i pacchetti in
uscita verso la 1024 si puo' neutralizzare l'attacco... ma anche
bloccare cose utili).
I motivi per cui dico che e' un bug del Conseal sono:
1. senza Conseal non succede nulla: ti ritrovi un po' la banda in
   entrata occupata dal flood, ma in uscita non parte nulla
2. c'e' scritto nei doc del Meliksah :)
   "Meliksah Nuke use OOB Bug and ConSeal Firewall Bugs. A lot
    of nuke programs use OOB Bug but Conseal Firewall Bug was
    only used by Meliksah Nuke v2.5
    [...]
    * If user use another firewall, maybe this program don't work.
    * If user don't use firewall, this program don't work."
Bye
   Wiz
-- 
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@pragmanet.it
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax
Che Dio ce la mandi buona e soprattutto disponibile.

On 08-Lug-99 06:56:46, Leonardo Serni said about Re: [per eseperti] Curiosità su Conseal e altri firewall per winzozz:
 LS> capisco come cio' possa fottere un firewall... e difatti Linux se ne
le vie dei bug sono infinite...
 LS> Quello che per ora passa e' il PortFuck - che pero' fotte ENTRAMBI i
non e' la prima volta che lo sento: di preciso che fa?
Bye
   Wiz
-- 
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@pragmanet.it
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax
Gesu' ti ama, ma tutti gli altri pensano che tu sei un idiota...

>non e' la prima volta che lo sento: di preciso che fa?
SyNfl00Da

non e' la prima volta che lo sento: di preciso che fa?
La prima versione usava connect(), la seconda SYN floods. La prima schiantava
se la macchina attaccata era un Linux o similare (indovinate perche' ;-) ), e
la seconda provoca una reazione tipo
	SYN flood from a.b.c.d: sending cookies
e null'altro, tranne un bello spreco di banda.


Cosa è la dll anti netstat??????????
netstat e programmi similari usano inetmib1.dll per il loro lavoro... basta
che manometti quella e ottieni dei programmi "poco affidabili"... quanto
"poco affidabili"? Dipende da quante porte gli nascondi ;-)
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.xoom.it/buttha/
-----------------------------------------------------------------------

 fiatare. Le autorizzazioni c'entrano fino ad un certo punto.
vallo a dire ai moduli kernel sotto BSD e linux :) ... se arrivi a root, puoi
sostituire parti vitali dell'OS e fare un bel casotto ....


 "poco affidabili"? Dipende da quante porte gli nascondi ;-)
Grazie per la risposta.
Ho un'altra domanda: come ci si parano le chiappe da una eventualità del
genere?


2. c'e' scritto nei doc del Meliksah :)
Ce lo potevo scrivere anch'io sul mio programma in basic per la lista
della spesa :) Comunque, hai visto mai, puo' sempre essere un bug che
si manifesta solo in determinate condizioni oppure presente  solo fino
alla ver  <1.37, che non ha fatto una piega.
Se qualcuno sa qualcosa di piu' (odio chi scrive "sfrutto un bug ma
non ti dico qual e' ") o ha tempo da buttare per fare altri test,  e'
ben accetto :)
Enrico AKA Farge

se la macchina attaccata era un Linux o similare (indovinate perche' ;-) ), e
Perche` la /tua/ macchina aveva servizi senza un rate limit sulle
connessioni.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 alla ver  <1.37, che non ha fatto una piega.
probabile che l'abbiano sistemato allora: ero rimasto alla 1.3
Bye
   Wiz
-- 
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@pragmanet.it
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax
BASIC programmers never die, they GOSUB and don't RETURN.

genere?
cosi', su due piedi, l'idea che mi viene e' questa:
prendi il netstat.exe originale, lo apri con un hexeditor e cerchi la
stringa "inetmib1.dll". Cambi questa stringa in "CFantani.dll" e salvi
questo netstat modificato con il nome n.exe, o quello che vuoi.
Ora copi anche le inetmib1.dll e rinomini la copia in CFantani.dll.
Avrai cosi' n.exe e CFantani.dll: per fare netstat scriverai n.exe, e
questo n.exe chiamera' CFantani.dll invece che inetmib1.dll.
Ho provato e funziona.
ciao
Buttha.dll



Idea grandiosa!!!!!!!!!


 ha scritto:
:> vallo a dire ai moduli kernel sotto BSD e linux :) ... se arrivi a root, puoi
:> sostituire parti vitali dell'OS e fare un bel casotto ....
Vero. Ma sotto NT puoi arrivarci anche da un account quasiasi.
E' vero che un sistema ben configurato non lo permette, ma si da il caso che per default NT *non* sia ben configurato in quanto alla M$ hanno sempre pensato che la sicurezza sia opzionale. 
Il 99.9% degli NT in circolazione è facilmente attaccabile. Non conosco nessuno, ad esempio, che lavora usando un account che non può accedere al registro di configurazione. Questo significa che durante il normale lavoro queste persone possono eseguire dei trojan che senza fatica si registrano per essere eseguite con tutti i privilegi al successivo boot.  
Purtroppo la sicurezza è un fatto culturale che viene dal sistema operativo. Sotto NT per cambiare utente devi chiudere la sessione e riavviare, con gli *nix basta che usi 'su' (o un'altra consolle). Il risultato è che l'utente NT lavora *normalmente* come amministratore o si crea un account di lavoro con dei priviliegi che non dovrebbe avere, altrimenti ogni volta che deve fare una banale operazione amminisrtrativa deve mettersi l'animo in pace, chiudere tutto e riavviare (con conseguente, naturale e prorompente gonfiamento di genitali). Viceversa, un utente linux col cazzo che lavora con i privilegi di superuser. Non è questione di furbizia, l'utente linux se lo può permettere perchè ha degli strumenti che l'utente NT non ha.


netstat e programmi similari usano inetmib1.dll per il loro lavoro...
Il netstat usa solo la inetmib1.dll oppure necessita di qualche altro
file per funzionare? Insomma: se volessi essere "sicuro" (le virgolette
stanno ad indicare che non e' da intendersi in senso assoluto) di poter
veramente  monitorare le porte aperte, mi basterebbe ripristinare
netstat.exe e inetmib1.dll (usando delle copie di origine
ragionevolmente non dubbia) oppure dovrei metter mano a qualcos'altro?
Ciao
Red Fab

connessioni.
...e poteva aprire senza patirci troppo molti piu' sockets di Windows.
Prova ad aprirne circa 3000 (Win95 OSR2 WS1), e' divertente.
(Da non farsi con documenti inestimabili aperti e non salvati... se no
il divertimento diminuisce molto)


genere?
Hackeri NETSTAT.EXE e gli fai usare la librerie INETCAZZ.DLL, che crei con
il comando
	COPY INETMIB1.DLL INETCAZZ.DLL
...a questo punto il trojan ti stronca si' NETSTAT, pero' tu hai una copia
che si chiama BUNGA.EXE, e il trojan dovrebbe indovinare:
	a) Come hai rinominato NETSTAT
	b) Come hai rinominato INETMIB1
a meno che faccia ricerche token-string su TUTTE le DLL di Windows, e nota
che tu potresti avere la DLL segreta altrove insieme al nuovo NETSTAT: che
cerca le sue DLL prima nella directory corrente, poi altrove.
Ah, se il trojan te lo manda il Mago Otelma, ti frega lo stesso perche' ha
visto i nomi nella palla di cristallo :-) - se no, no.
(BTW, questo comportamento di Windows e' tristissimo per la sicurezza - se
pensi che alcuni programmi tipo antivirus Outlook li lancia dalla cartella
di posta, dove potresti avere inviato un attachment con estensione .DLL: e
appena carichi l'antivirus per verificare "CICCIO.DLL", l'antivirus carica
CICCIO.DLL per se', e tu provi un improvviso e intenso bruciore da retri).
(Versione per i poveri dell'ultima scoperta di BUGTRAQ: il login di NT, se
e' presente una shell nella directory dell'utente, carica quella ignorando
qualsiasi policy di sicurezza stabilita dall'amministratore. HIT IT!)
(Il mio problema con NT non sono i bugs. Se uno voleva scrivere a==b e poi
scrive a=b, io lo capisco, succede anche a me. Io non scrivo SO da 2 pali,
ma e' un altro discorso. Mi incazzo quando uno scrive "exec pippo" perche'
vuole eseguire pippo, e crede che ci sia solo %system%pippo, a tiro. Anche
se, detto da chi si e' appena fatto disattivare il sito Web per una storia
di paths, cio' suona un po' ridicolo, j'ammett).




 qualsiasi policy di sicurezza stabilita dall'amministratore. HIT IT!)
Si l'ho letta... che tristezza... ho riso molto per coloro che usano NT.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

ragionevolmente non dubbia) oppure dovrei metter mano a qualcos'altro?
direi che bastano quei due file.
Se proprio non ti fidi, puoi sempre utilizzare qualche "netstat" che
utilizza dei file suoi, come per esempio il "netstat" incorporato in
@guard.
ciao
Buttha


Prova ad aprirne circa 3000 (Win95 OSR2 WS1), e' divertente.
Mi sa che abbiamo trovato un nuovo nuke. Quanti servizi tipici di
windows hanno il rate limiting?


windows hanno il rate limiting?
...nessuno, che sappia io. Ah, dici "Cosa succede se mi collego alla
porta 139 a grandine"? Boh... non ho mai provato...
Leonardo e un improvviso prurito alle dita... sara' un'allergia?


 Buttha.dll
Tu hai sempre il dono della chiarezza .Ho capito perfino io!!!! :)
Solo una cosa dove trovo un'editor esadecimale? Magari gratis spero di non
doverlo pagare l'ira di Dio.
Peccato che il tuo sito......... Ma che cos'e' quel programma volante che
sembravo karatè kid che cerca di prendere le mosche con le bacchette!!!
Ciao
Antonio

 Leonardo

sembravo karatè kid che cerca di prendere le mosche con le bacchette!!!
e' il tuo browser :)


@guard.
Sempre se le eventuali .dll che usa sono "sane".......  ]:->
Ciao e grazie ancora.
Red Fab (ogni tanto un po' paranoico)

Cosa intendi con "shell"?
When a user logs into an NT machine, there are a few processes that are
started automatically, including explorer.exe. These programs are normally
in %winroot% or %winroot%\system32. The problem is that NT will look for
these programs first in the user's home directory. If no user folder is
specified, it will look in the root of the system drive. Only if the
program it is looking for is not found in that location will it look in
the 'normal' location. This allows any user to rename any executable and
have it run at login, effectively bypassing many policy restrictions. The
list of currently known filenames that will work is: explorer.exe,
nddeagnt.exe, taskmgr.exe and userinit.exe .
To test this: Log in as a normal user. Copy 
command.com
 to your home
directory and rename it explorer.exe. Log out and log back in.
Ben Greenbaum
SecurityFocus
www.securityfocus.com
