Newsgroup: it.comp.sicurezza.varie
Titolo: Direttamente da Bugtraq: grc.com

Date: Mon, 26 Nov 2001 14:53:16 -0500                                           
From: XXXXXXXXXXXXXX
Subject: Malicious use of 
grc.com
 
To: 
BUG...@securityfocus.com
 
X-Mailer: Microsoft Outlook Express 5.50.4522.1200                              
Greetings:
ShieldsUp(tm) is an application developed by Steve Gibson of Gibson
Research Corporation that allows a web user to request a remote port scan
of their local system via the GRC.Com web site
(
https://grc.com/x/ne.dll?bh0bkyd2
).
The "Probe my Ports" option performs a scan of many common tcp ports
and reports the status of each port back to the user's browser.
 
The development of the application and its method of identifying the
client IP address is quite insecure.  As a result, ShieldsUp! allows the web
user to
perform a port scan against any other machine on the Internet and return the
results to the web user.  The remote system will log the scan as having
originated from one of Steve Gibson's machines.
Gibson has chosen to use a simple hidden tag in the client-side HTML code
to identify the IP address that is passed to the scanning engine.  Though
the client's IP address is hashed, it is trivial to alter the value of the
hidden tag in order to request that a different IP address be scanned.  The
true IP address is never checked in the HTTP header during the scan -
ShieldsUp happily scans the other box while returning the result set into
the
browser of the box that requested the scan.
Fenris, The Wolf, a member of Hammer of God, quickly reviewed
the hash algorithm used to represent the IP address and found it weak;
therefore, one can easily submit requests, via the Shields Up web page,
for specific IP addresses to be scanned.  These findings are not my own,
and I have not included the details of the hash here as it is used to
display a copyrighted page.  The Wolf may post his findings if he chooses
to do so, but I will not make that choice for him.
Instead, we can easily bypass the need to crack the hash by simply using
the "IP Agent" supplied by Gibson.  Over a year ago, a hacked version of IP
Agent was published that allowed one to supply an address to scan-- Gibson
discounted this as a non-issue, but reportedly fixed IP Agent to perform a
check to prevent this from happening.
However, IP Agent now supports multiple client IP addresses.  One simply
needs to bind the targeted IP addresses to a local interface and perform a
scan request.  In this case, ShieldsUp presents friendly command buttons
listing the IP addresses bound to the local interfaces and allows you to
select any one that you want scanned.  Again, no other checking is done,
and ShieldsUp will scan whatever IP address you ask it to and display the
results in your own browser.
According to the scanning page, "Information gained will NOT be retained,
viewed, or used by us in any way for any purpose whatsoever" which
basically invites anyone to use Gibson's site to do port scans of other
people's boxes without fear of detection.
Additionally, multiple post requests can be easily scripted to perform
scans against a site in attempts to perform a denial of service attack
against a host. In these cases, with sufficient requests generated, one
could ask 
grc.com
 to attack another site and it will comply.
One would have hoped that instead of Mr. Gibson spending so much time
expounding on the theoretical DoS capabilities of Raw
Sockets, that he instead had used that time to properly develop his own
application in order to prevent the same.  Those concerned with malicious
attacks from 
grc.com
 should block Gibson's netblock at the border.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

thorin_...@gruppocm-cs.it
 wrote in
news:9tvmdl$8sp$
1...@mordor.gruppocm-cs.it
: 
[...]
Sicuramente Gibson è più uno showman che un buon programmatore (non è 
l'unico mi pare) e la toppata che ha fatto in questo caso è enorme (ma 
perchè deve salvare l'IP nelle pagine e non basarsi sull'origine della 
connessione?).
Questo non toglie che i suoi dubbi sui raw-socket disponibili per tutti 
gli utenti in XP-home siano (IMHO) giustificati e in certa misura 
condivisibili.
-- 
Valter Minute
min...@inwind.it
 (the reply address of this message is invalid)

 wrote in message
news:9tvmdl$8sp$1...@mordor.gruppocm-cs.it...
<cut>
Non so perche', ma la cosa non mi sorprende.
Alla fine si scoprira' che Gibson e' un agente (spia) della CIA o FBI,
considerando gli ultimi eventi a riguardo:
http://www.msnbc.com/news/660096.asp
AMS67
--
"it's not clear to me what it even means to "bind" a raw socket -- Steven
Ahab Gibson"

 condivisibili.
Beh questo bisognerebbe chiederlo a Redmond, sono usi a certe scelte
discutibili in tema di networking e relativa sicurezza :)


discutibili in tema di networking e relativa sicurezza :)
A pierlui, i raw-socket li hai anche su linux, non ti ho sentito
lamentarti su questo..
Ciao
Francesco

 lamentarti su questo..
A France' ti risultano poche le cazzate in tema di sicurezza di Redmond
o che la sicurezza di Uindous sia una cosa seria?


 wrote in
news:psg70uov1pr62lktp...@4ax.com
: 

I raw-socket ci sono anche su NT/2000, ma possono essere utilizzati 
solo dall'administrator (e in linux credo solo da root).
In XP home tutti gli utenti possono utilizzarli.
Un worm che si diffondesse su questa piattaforma (che andrà a 
sostituire windows 9x sui PC "domestici") potrebbe generare un DDos 
infettando un numero di PC relativamente basso, mentre oggi su 9x 
dovrebbe utilizzare le connessioni TCP (e richiedere quindi parecchi 
più PC) oppure installare un driver (più complesso da sviluppare e da 
installare sul PC "infettato").
Ovviamente la stessa cosa sarebbe vera per un worm NT/2000 o linux 
che fosse in grado di essere eseguito da root (eventualità un po' più 
improbabile, però...).
Gibson esagera quando dipinge questo problema come probabile causa di 
collasso per tutta internet, ma ha sicuramente ragione quando dice 
che rimuovere in toto la gestione della sicurezza senza considerare 
funzioni potenzialmente delicate per realizzare una versione "home" 
del s.o. è un grave errore da parte di ms (soprattutto dopo nimda e 
code-red).


 lamentarti su questo..
Premesso che la polemica di Gibson sui raw socket
e' per molti versi incomprensibile, vorrei precisare
che, a differenza di quanto accade per la versione home
di xp, in Unix i raw sockets sono accesibili solo da root.
-- 
Not in my name, bloody war pigs!

 di xp, in Unix i raw sockets sono accesibili solo da root.
Appunto...


connessione?).
proxy
Leonardo mdaieutico
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 In XP home tutti gli utenti possono utilizzarli.
Davvero? Casco dalle nuvole.
Mi sembrava che la M$ avesse assicurato il contrario, proprio in
risposta all'articolo di Gibson
Un HappyCactus piuttosto perplesso.
-- 
Keyboard not present or keyboard error
Press F1 to resume

 Appunto...
E anche fosse il contrario...
Quanti utenti WinNT/2k casalinghi usano un utente diverso da admin?
BTW: Qualcuno sa se in WinNT esiste un comando per aprire una sessione
admin senza doversi ri-loggare? una specie di "su" o "sudo", per
intenderci...
Un HappyCactus sempre piu' perplesso


 intenderci...
No AFAIK.. NT queste cose non le concepisce.


 
Ci ho pensato, ma se un PC passa per un proxy è abbastanza improbabile 
che sia poi accessibile direttamente dall'esterno (se non per chi usa i 
proxy per navigare in modo "anonimo", ma in questo caso difficilmente 
si farà fare un port scan dal sig. Gibson).


intenderci...
Mi sembra che col resource Kit di NT/2000 ci fosse proprio il comando
'su' a riga di comando.

HappyCactus <happycactus...@desert.nowhere> wrote in
news:3C04AB6D...@desert.nowhere: 

Da explorer puoi selezionare il file e poi cliccarci con il tasto 
destro tenendo premuto shift. Appare un'opzione "Run as..." 
selezionando la quale ti verrà chiesto il login da utilizzare per 
l'esecuzione.


intenderci...
Resource Kit :)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

 Quanti utenti WinNT/2k casalinghi usano un utente diverso da admin?
oopss.. avevo risposto solo all'ultima parte...
Molti utenti NT utilizzano un utente con diritti di administrator o 
comunque diritti di accesso molto ampi (me compreso), ma il problema è 
che gli utenti "casalinghi" con NT/2K sono una minoranza (me escluso, 
visto che sul PC domestico utilizzo soprattutto linux :)), mentre XP-
home andrà a rimpiazzare (o dovrebbe andare a rimpiazzare) win 9X/ME, 
maggioranza dei PC casalinghi, al momento sprovvisti di raw-sockets (se 
non tramite driver).
E' anche vero che su NT/2000 è sempre possibile passare per le funzioi 
di remote control fornite da IIS :)


 l'esecuzione.
Ho appena provato sul mio NT 4 (ospite in Vmware della mia Linux box)
con Notepad.EXE: al massimo esce un View Depencencies ma nessuna voce
nel menu relativa alla esecuzione.


 'su' a riga di comando.
Si, ho controllato, esiste (ho il RK sul mio NT 4) ma siamo sempre li',
occorre andare a parare su tools esterni per sopperire alle varie
mancanze.


 
ariooopss... mi riferivo a win 2000, scusami.


 ariooopss... mi riferivo a win 2000, scusami.
Aaaah ok..


 proxy
E se sono dietro un NAT? grc riceverebbe il mio IP interno...
HappyCactus e il perche' il grc crashava il mio WinProxy su NT4SP6


 intenderci...
Win2k/xp ha il comando 'runas'...per NT non credo che si possa fare un 'SU'
senza fare prima un logoff....
my 1p
AMS67
--
For a sysadmin, surprise is bad. Excitement is _VERY_ bad, unless it comes
from unpacking new toys. Boring is good.

si farą fare un port scan dal sig. Gibson).
E' una buona domanda. Se l'e' posta anche Gibson:
	And machines with only one IP address can have it effectively
	"hidden" or "masqueraded" if the connection passes through any
	sort of firewall, proxy server, or other buffering agent
...dandosi, come vedi, una risposta tragicamente sbagliata.
Leonardo


In XP home tutti gli utenti possono utilizzarli.
Si, ma il vero problema e che gli utenti home per disinformazione
useranno il sistema per lo piu' come administrator con tutti i rischi
del caso.
Se usi il sistema con l'user con provilegi limitati puoi fare bene
poco ed un eventuale worm avrebbe vita difficile.
Il fatto e' che spiegare il concetto di sicurerzza legati agli utenti
a certa gente e sfiato sprecato.
Ciao
Francesco