Newsgroup: it.comp.sicurezza.varie
Titolo: Caso di exploit?

Ciao, ho scaricato un file da Kazaa, un file .wma solo che non appena lo
seleziono mi sbatte a questa url, che ovviamente mi viene detto che non
esiste, o che la pagina non è disponibile.....
E' per caso un exploit?
http://ts.altnet.com/drm/drm.aspx?pcode=ShaneAugust&liccode=Johnny_Virgil&pg
ateway=
http://www.altnet.com/partners/shaneaugust/Johnny_Virgil/gateway.asp&
action=redirect&origfile=For%20you%20and%20I.wma&challenge=AAEAAZkkzDElVThuR
n0aPkSqCsyXOe2FISKn1tr0ftmuJOHEsPFrJOtWpWHIinhEXi9vQzZi4WNhQUhsmkcQeYXL8EkPk
dv4DbgGJeJQoGLf1Toxo4FmE7vr0wVau76rzdcJGkSTvmF5vG31b!3BMMYYmLVQMxSUmbZfNOOCb
W1n0acdYCBnljXv3Py0LpfoTDStIZRxMF!zsEeinGjQ*kXFFHJxffA1S0eZeBp*rrdY1T32TwqBh
99eDB8JZCv2YVpqe3evfJm4&filename=file:///C:/Programmi/KaZaA%20Lite/My%20Shar
ed%20Folder&embedded=true
Ciao!

 wrote in message
news:au2264$dt5$1...@news.ngi.it...

Nel bollettino di sicurezza MS02-072 Microsoft descrive la falla come un
buffer overflow presente nella funzione che permette alla Windows Shell,
ossia la struttura che sta dietro all'interfaccia utente nota come Explorer,
di leggere e interpretare gli attributi dei file audio MP3 e WMA. Ad un
utente basta soffermare il puntatore del mouse su uno di questi tipi di file
per innescare, nel caso questi siano stati creati con scopi malevoli,
l'esecuzione di comandi.
Ecco la risposta..........porco cane. Che comandi avrebbe eseguito
st'affare?


Se non sbaglio la stessa falla dovrebbe essere presente in winamp, se
ne discute anche su punto informatico, eccoti il link
http://punto-informatico.it/p.asp?i=42572
Ciao
--------------------------
Conosco la mia sorte. Un giorno sarą legato al mio nome il ricordo di
qualcosa di enorme
una crisi quale mai si era vista sulla terra [...].
F. Nietzsche

 Ciao
Grazie. Ho letto sta cosa proprio da PI.
Mi chiedevo che razza di comando avesse eseguito sto file............MA
PENSA TE....che cosa non si fa con la M$.

Nel messaggio (news:au2264$dt5$
1...@news.ngi.it
) 
/*songohan*/ scriveva: 
[...] 

Il link funziona perfettamente e porta a questa pagina:
Johnny Virgil.com (con relativa foto)
thanks for downlauding my music
this is a limited free play license
e 2 link: "license terms" e "more info"
Dunque niente exploit, tutto regolare. Il link che si rileva dalla pagina è questo:
http://www.altnet.com/partners/payment4/gateway.asp?Userid=a0d49c53-a1bd-471a-be8e-cd67da655e6f&liccode=Johnny_Virgil&DRMVer=1&action=PROCESS&acquistionURL=http://ts.altnet.com/drm/drm.aspx&sessionid=yflv1b45xwhzui2krstigs55&filename=For%20you%20and%20I.wma&retcode=0&message
-- 
     * b *
   *   y   *
 *   Piero   *

Il link funziona perfettamente e porta a questa pagina:
Johnny Virgil.com (con relativa foto)
thanks for downlauding my music
this is a limited free play license
e 2 link: "license terms" e "more info"
Dunque niente exploit, tutto regolare. Il link che si rileva dalla pagina è
questo:
Diciamo che exploit c'è stato ma si è limitato a portarmi a quella pagina
(che io per'altro non visualizzavo).
Infatti come sfioravo il file col mouse, senza selezionare, il link partiva.
Ed era un file .wma..................

 Ed era un file .wma..................
C'è una patch relativa a quel problema, fossi in te provvederei. ;-)


 wrote in message
news:au5gmd$4lhi6$1...@ID-84454.news.dfncis.de...

Non sono bravo a trovare patch.......che url la contiene?
Grazie :-)

 Non sono bravo a trovare patch.......che url la contiene?
Intanto leggiti questo:
http://www.foundstone.com/knowledge/randd-advisories-display.html?id=339
dove trovi anche:
Microsoft has issued a fix for this vulnerability, it is available at:
http://www.microsoft.com/technet/security/bulletin/MS02-072
.


 st'affare?
Ho avuto un po' di tempo che mi ha  permesso di esaminare a fondo la tua
richiesta.  Sostanzialmente il lungo link che hai postato si può ridurre
a questo:
http://ts.altnet.com/drm/drm.aspx?pcode=ShaneAugust&liccode=Johnny_Virgil&pgateway=http://www.altnet.com/partners/shaneaugust/Johnny_Virgil/gateway.asp&action=redirect&origfile=For%20you%20and%20I.wma&challenge=file:///C:/Programmi/KaZaA%20Lite/My%20Shared%20Folder
che se vuoi puoi trasformare, senza che nulla cambi, in:
http://ts.altnet.com/drm/drm.aspx?pcode=ShaneAugust&liccode=Johnny_Virgil&pgateway=http://www.altnet.com/partners/shaneaugust/Johnny_Virgil/gateway.asp&action=redirect&origfile=For%20you%20and%20I.wma&challenge=DA_QUI_IN_POI_PUOI_SCRIVERE_TUTTE_LE_CAZZATE_CHE_VUOI_keasicxvouijdksuehdndls12568djf5864dfjtdd54kdgr54785nyufasdo8i7sdfiuuidfsiudnosd9udsnioi8sen9diuo8dsan09dsaR09MFDESA09ISDIONNIADSIUFDSANNP9SADNCVXIPIDSVINUINUIUNiufdsnoiidfsifdbiinfvbdifdsbkllifvbdifdvb_FINO_A_QUI=file:///C:/Programmi/KaZaA%20Lite/My%20Shared%20Folder
entrambi portano alla  stessa pagina e puoi  notare che il link sparisce
dalla barra di stato.
Il comando che tentava di eseguire (*tranquillo!*) è visibile al termine
del link:
file:///C:/Programmi/KaZaA%20Lite/My%20Shared%20Folder
in sostanza tentava di scaricare, nella cartella  "My Shared Folder", il
contenuto del file .wma.  Questo si rileva anche dal messaggio che viene
proposto all'apertura della pagina:
Enabling your content... Please wait
Ora mi chiederai per quale motivo il link è stato taroccato in quel modo
aggiungendo oltre 255 caratteri assolutamente inutili, ma che riescono a
provocare un buffer overflow in IE. Presumo che l'autore conoscendo quel
bug abbia cercato di sfruttarlo  in modo da farti scaricare il contenuto
del file .wma  senza il tuo consenso,  cioè senza la  tua autorizzazione
per il download e/o per superare certi  settaggi che lo avrebbero potuto
impedire.
Anche se il buffer overflow è stato realizzato con intenzioni, di sicuro
_non malevoli_, tuttavia ritengo quello dell'autore un comportamento ben
poco corretto. Ovviamente IMHO.
