Newsgroup: it.sport.calcio.milan
Titolo: (ot) Breakbitto

l'altro giorno parlavi  di firewalls...
e dicevi che si puo' fare  un "magheggio" sul pc che il firewall non ti serve e
sei protetto  ( hai detto :"patchare")
ricordi ?
se me vuoi spiegare sta cosa... perchè mi interessa !
thanks buddy
(leccaAss/off)
:))

 :))
LOL!

| Magari fai prima a scaricarti Zone Alarm o Norton Firewall... nulla da dire
| a Breakbitto =) ma cosě non tocchi nulla
ce l'ho ce l'ho :) zone Alarm, ma questi firewall possono essere saltati da
certi individui, e breakbit diceva come risolvere il problema (o almeno in
parte) in modo + efficace :)

 se me vuoi spiegare sta cosa... perchè mi interessa !
Premettendo che parliamo di ambienti domestici...in ambienti corporate o LAN
l'utilita' di un fw e' piu' ampia e quasi imprescindibile.
Venendo a noi "domestici" :
Un Fw serve a inibire determinati tentativi di connessione alla tua
macchina.
Cio' e' cosa buona e giusta, nel momento in cui hai esigenze di ammettere
determinati utenti ad alcuni servizi escludendo gli altri .
Supponiamo tu abbia un server ftp, a cui vuoi essere sicuro che ad accedere
siano solo me ed Axel, che fai?
Sistemi le regole del firewall in modo tale che il mio ip fisso e quello di
Axel siano abilitati ad accedere al server FTP escludendo tutti gli altri ip
(questo a prescindere dalla richiesta di login e password successiva,
semplicemente se arrivi da un ip abilitato non giungi NEMMENO alla richiesta
di login..)
Queste regole si possono implementare per tutti i servizi: volendo posso
ammettere traffico icq (o web, o morpheus o chissa' che altro..) solo verso
il server della mirabilis, in modo da poter usare icq di mio e verso di te e
groover, in quel caso solo voi due potete messaggiarmi mentre gli altri ne
sono impediti.
Altra utilita' dei firewalls: ottimo qualora non sei un "guru" o non te ne
intendi a sufficienza per tenere il tuo sistema a puntino e sospetti di aver
dei programmi o dei servizi di rete, che sono "vulnerabili" ad attacchi da
esterni.
In questo caso il fw puo' essere istruito per bloccare i tentativi degli
"hackers" intenzionati ad abusare della tua macchina.
MA se tu sai che hai installati un totale di 20 programmi raggiungibili da
un utente esterno, che vi accede tramite internet, e di questi 20 solo 2
sono sfruttabili per loschi fini, puoi sempre installare la patch del
produttore (in genere ne esiste una) e scongiurare questo pericolo.
In questo caso, del firewall non te ne fai niente, in quanto la tua macchina
e' si raggiungibile ed accessibile ai tentativi di connessione altrui, ma
questi comunque, non possono arrecare alcun danno.
Personalmente, come altri, non me ne faccio molto nemmeno dell'antivirus,
perche' non lancio nessuno eseguibile che abbia ricevuto via mail, chat,
icq.
E se esce un worm (ad es. code red) aggiorno il software vulnerabile, o lo
configuro in modo tale che il worn diventi inoffensivo...e quindi non possa
prendere virus.
E questi sono i principali (e forse unici) mezzi di prendere un virus.
Per assurdo in 10 anni l'unico virus che ho preso in vita mia e' stato
trasmesso tramite un floppy disk che era stato contaminato inserendolo prima
nel server della scuola in cui ho fatto un corso di informatica, e
successivamente nel mio computer.
Da allora, tramite questi piccoli accorgimenti, non ho mai contratto nulla.
Quindi, secondo me, un firewall, come un antivirus, per un utente "avanzato"
o comunque "attento" a questo genere di cose, sono abb. inutili.
Io li tengo comunque installati e disattivi, un giorno che ho il dubbio,
quelle due volte l'anno...magari mi faccio uno scan, ma tenerli in
esecuzione e' per me, come per altri utenti, abbastanza inutile e fastidioso
(in quanto consumando risorse di sistema, tendono inevitabilmente a
rallentarlo)
Tutto qui :)

 parte) in modo + efficace :)
anche Zone Alarm Pro? non so quante differenze ci siano ma io ho
quest'ultimo...

 di login..)
Se NON arrivi da ip abilitato, ovviamente, my mistake  O_O

 parte) in modo + efficace :)
Io li ho tutti e due: Norton e Zone Alerm. Ora, č vero che ci sono persone
in grado di superarli, ma penso che dovrebbero essere talmente in gamba  che
non avrebbero intreresse alcuno a rompere le balle a me. E' un pň come dire:
metto le porte blindate e un allarme collegato ai carabinieri. E' vero che
un professionista, volendo, puň superare entrambi gli ostacoli ma 1) Ci sono
tante case senza questi sistemi di sicurezza da svaligiare, quindi perchč
accanirsi con quella piů difficile?
                                                   2) Se si č cosě bravi a
rubare, perché non ambire ad obiettivi ben maggiori?
Con i firewall si evitano, per restare in metafora, gli "zingarelli" del
furto, quelli che potrebbero avere un reale interesse ad entrare in "casa".

 ha scritto nel messaggio
| Se NON arrivi da ip abilitato, ovviamente, my mistake  O_O
errore CHIAVE ! DECISIVO ! :-P

 quest'ultimo...
Ci sono un sacco di trucchi, che funzionano con alcuni fw e con altri no.
Gia' usando un NMAP (un portscanner per unix) usando determinate opzioni si
riesce a "filtrare" attraverso il fw, non dico per fare un hacking, ma
quantomeno per raccogliere informazioni su quali servizi e programmi girano
sulla macchina bersagliata.
Che poi e' il primo passo per qualunque attacco.
La garanzia totale non esiste nemmeno con un fw, tutto sta a cosa gira sulla
macchina e quanto e' bravo il malintenzionato.
Se nulla di "bacato" e' in esecuzione nemmeno il piu' bravo degli hackers
puo' farci nulla.
Se invece giran diversi programmi sfruttabili per un attacco, non e' detto
che il fw non sia aggirabile.
Anche in questo caso si e' vulnerabili, ma si scende a livelli paranoia
totale volendo vagliare anche i rischi piu' improbabili:  per assurdo, da
una distanza di svariate centinaia di metri, tramite determinate
apparecchiature, si possono "analizzare" le onde elettromagnetiche che
produce il tuo monitor, riproducendo su un altro quanto stai facendo e
vedendo (attacco definito quale "tempest")..ma per quale motivo investire
tanto lavoro e tante risorse per spiare un utente domestico?
Tutto va preso con un po' di grano salis.

 ha scritto nel messaggio
news:a4pkas$24lbu$1...@ID-102438.news.dfncis.de...


e scusate per  aver riportato tutto :((((((((((
preso dal badtrans non ho badato a  rimuovere l'extra !

 Tutto qui :)
Tutto vero, ma da qui a consigliare un uso attento piuttosto che un firewall
o un antivirus. Le persone esperte come te non sono poi tante, credimi.

 o un antivirus. Le persone esperte come te non sono poi tante, credimi.
Non e' che sia un genietto, dove lavoro io sono classificato come un
"lamazzo" =)
Ovviamente quando ho risposto ad Axel, che chiedeva se serve un fw, ho
risposto con un "dipende" dal livello dell'utente.
Dovendo scegliere, tra i due approcci, e' meglio sapere come fare a meno di
un fw ed eliminare le vulnerabilita', in quanto ti esponi a minori rischi
che non ad avere piu' buchi di una scolapasta con una cortina fumogena
davanti a nasconderli e a cercare di filtrarne gli accessi  (questo e' il
firewall).

 Tutto va preso con un po' di grano salis.
Infatti, grazie Brecche!!
Notte

| farlo, ma non me ne frega un cavolo...
| io sono per il "volemose bbene"
si si a te te piace struscià sur leone ! altro che volemose bbene ! ;)

 Tutto va preso con un po' di grano salis.
Esatto. Basta fare qualche scansione con ad-aware ogni tanto e avere un
firewall. Per un utente domestico è già abbastanza !

> si si a te te piace struscià sur leone ! altro che volemose bbene ! ;)
m'hai sgamato! =)

 un fw ed eliminare le vulnerabilita'
Certo, ma è anche il metodo più difficile. Da come parlava nel post nn
sembrava molto esperto, quindi è meglio se, per addesso, usa un FW, poi se
impara a proteggersi da solo...meglio. Trovare le patch dei programmi
utilizzabili dagli hackers, tanto per dire, non è cosa che sanno fare
proprio tutti! E poi come si fa a sapere quali dei 20 programmi nel pc sono
quelli utilizzabili per "loschi fini", se non si è esperti?

 quelli utilizzabili per "loschi fini", se non si č esperti?
Basta avere un minimo di cultura informatica, un minimo ripeto, sapere un
pochino di inglese e iscriversi a una mailing list di sicurezza, ad es.
quella del CERT, che ti invia i warning relativi alle nuove vulnerabilita'
scoperte e come sistemarle :)
All'atto pratico saran due mail al mese.
Per darti un esempio questa ti mando la penultima sotto il post, l'ultima e'
sull'snmp che e' un servizio linux di cui penso non freghi molto a nessuno
qui...
Alla fine e' piu' facile di quel che sembra...
Segue, il cert advisory
--
-----BEGIN PGP SIGNED MESSAGE-----
CERT Advisory CA-2002-02 Buffer Overflow in AOL ICQ
   Original release date: January 24, 2002
   Last revised: --
   Source: CERT/CC
   A complete revision history can be found at the end of this file.
Systems Affected
     * AOL Mirabilis ICQ Versions 2001A and prior
     * Voice  Video  &  Games  plugin  installed  with  AOL Mirabilis ICQ
       Versions 2001B Beta v5.18 Build #3659 and prior
Overview
   There is a remotely exploitable buffer overflow in ICQ. Attackers that
   are able to exploit the vulnerability may be able to execute arbitrary
   code  with  the  privileges  of  the  victim  user.  Full  details are
   discussed  in  VU#570167.  An exploit is known to exist, but we do not
   believe  it  has been distributed in the wild. We have not seen active
   scanning  for  this vulnerability, nor have we received any reports of
   this vulnerability being exploited.
I. Description
   ICQ is a program for communicating with other users over the Internet.
   ICQ  is  widely used (by over 122 million people according to ICQ Inc,
   an  AOL Time Warner owned subsidiary). A buffer overflow exists in the
   ICQ  client  for  Windows.  The  buffer  overflow  occurs  during  the
   processing  of  a  Voice  Video  & Games feature request message. This
   message is supposed to be a request from another ICQ user inviting the
   victim to participate interactively with a third-party application. In
   versions prior to 2001B, the buffer overflow occurs in code within the
   ICQ  client.  In version 2001B the code containing the buffer overflow
   was moved to an external plug-in.
   Therefore,  all  versions  prior  to  the  latest  build  of 2001B are
   vulnerable. Upon connection to an AOL ICQ server, vulnerable builds of
   the  2001B  client  will  be  instructed  by the server to disable the
   vulnerable plug-in. Since versions of the ICQ client prior to 2001B do
   not  have  an  external  plug-in  to disable, they are vulnerable even
   after  connecting  to  the server. AOL Time Warner is recommending all
   users  of vulnerable versions of ICQ upgrade to 2001B Beta v5.18 Build
   #3659.
   During  normal  operation,  ICQ clients can exchange messages with one
   another through the ICQ servers or via a direct connection. The buffer
   overflow  specifically occurs during the processing of the Voice Video
   & Games request via a Type, Length, Value (TLV) tuple with type 0x2711
   from the ICQ server, or via a crafted direct connection request.
   Some  versions  of the ICQ client open port 4000/UDP for client-server
   communication.   Other   versions   open   port   5190/TCP   for  this
   communication.  As with the previously reported AIM vulnerability, AOL
   has  modified  the  ICQ  server  infrastructure  to  filter  malicious
   messages  that  attempt  to  exploit this vulnerability, preventing it
   from  being  exploited  through  an  AOL  ICQ  server.  Exploiting the
   vulnerability   through   other   means   (man-in-the-middle  attacks,
   third-party  ICQ  servers,  DNS  spoofing, network sniffing, etc.) may
   still  be  possible.  Also,  since  UDP  packets can be broadcast on a
   network,  a  malicious TLV packet with a spoofed source IP address may
   be accepted as a legitimate server message.
   The ICQ client also listens on a variably assigned TCP port for direct
   connection  requests.  A  person  who  wishes  to  establish  a direct
   connection  can  query  an ICQ server for the IP address and listening
   port of the victim. Versions 2000A and prior accept direct connections
   from  anyone  by  default.  Later versions of ICQ can be configured to
   accept  direct connections from anyone. Since ICQ requests can be sent
   directly  from  one  client  to  another,  blocking requests through a
   central  server  is not a completely effective solution. The effective
   solution  is  to  apply a patch, when available, that fixes the buffer
   overflow,  or  upgrade  to 2001B Beta v5.18 Build #3659 with the Voice
   Video & Games feature disabled.
   This  vulnerability  has been assigned the identifier CAN-2002-0028 by
   the Common Vulnerabilities and Exposures (CVE) group:
 
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-0028
II. Impact
   An  attacker  can  execute  arbitrary  code with the privileges of the
   victim user.
III. Solution
   All  users  should  upgrade  to  version 2001B Beta v5.18 Build #3659.
   There is currently no patch available for the ICQ plug-in for 2001B or
   versions  of  the  ICQ client prior to 2001B. Version 2001B Beta v5.18
   Build  #3659's  installer  will  delete  the  vulnerable  plug-in.  In
   addition,  for  users  who log in to the server with versions of 2001B
   prior to Beta v5.18 Build #3659, access to the vulnerable plug-in will
   be  disabled.  Users  with  versions  prior  to  2001B must upgrade to
   mitigate this vulnerability.
Block ICQ/SMS requests at the firewall
   Blocking  connections  to  
login.icq.com
 and access to ports 4000/UDP,
   5190/TCP  and  the  TCP port that your client chooses to listen on may
   prevent  exploitation  of this vulnerability. Note that the client may
   establish  a  new  listening  port each time it is run. Note also that
   this  does  not  protect you from attacks within the perimeter of your
   firewall.
Block untrusted messages
   ICQ  permits  the  user to deny direct connections from anyone without
   authorization  or  accept direct connections from known peers only. We
   recommend    denying    direct   connections   from   anyone   without
   authorization.  By  accepting direct connections from known peers, you
   may  still be vulnerable to attacks that originate from known peers if
   the peer has been compromised.
Appendix A. - Vendor Information
   This  appendix  contains  information  provided  by  vendors  for this
   advisory.  When  vendors  report  new  information  to the CERT/CC, we
   update this section and note the changes in our revision history. If a
   particular  vendor  is  not  listed  below, we have not received their
   comments.
   AOL Time Warner
     See 
http://web.icq.com/help/quickhelp/1,,117,00.html
   _________________________________________________________________
   The CERT Coordination Center thanks Daniel Tan and AOL Time Warner for
   their assistance in discovering and analyzing this vulnerability.
   _________________________________________________________________
   Author: Jason A. Rafail
   _________________________________________________________________
Appendix B. - References
    1. 
http://www.kb.cert.org/vuls/id/570167
    2. 
http://www.securityfocus.com/bid/3813
    3. 
http://web.icq.com/help/quickhelp/1,,117,00.html
   ______________________________________________________________________
   This document is available from:
 
http://www.cert.org/advisories/CA-2002-02.html
   ______________________________________________________________________
CERT/CC Contact Information
   Email: 
ce...@cert.org
          Phone: 
+1 412-268-7090
 (24-hour hotline)
          Fax: 
+1 412-268-6989
          Postal address:
          CERT Coordination Center
          Software Engineering Institute
          Carnegie Mellon University
          Pittsburgh PA 15213-3890
          U.S.A.
   CERT/CC   personnel   answer  the  hotline  08:00-17:00  EST(GMT-5)  /
   EDT(GMT-4)  Monday  through  Friday;  they are on call for emergencies
   during other hours, on U.S. holidays, and on weekends.
Using encryption
   We  strongly  urge you to encrypt sensitive information sent by email.
   Our public PGP key is available from
 
http://www.cert.org/CERT_PGP.key
   If  you  prefer  to  use  DES,  please  call the CERT hotline for more
   information.
Getting security information
   CERT  publications  and  other security information are available from
   our web site
 
http://www.cert.org/
   To  subscribe  to  the CERT mailing list for advisories and bulletins,
   send  email  to 
majo...@cert.org
. Please include in the body of your
   message
   subscribe cert-advisory
   *  "CERT"  and  "CERT  Coordination Center" are registered in the U.S.
   Patent and Trademark Office.
   ______________________________________________________________________
   NO WARRANTY
   Any  material furnished by Carnegie Mellon University and the Software
   Engineering  Institute  is  furnished  on  an  "as is" basis. Carnegie
   Mellon University makes no warranties of any kind, either expressed or
   implied  as  to  any matter including, but not limited to, warranty of
   fitness  for  a  particular purpose or merchantability, exclusivity or
   results  obtained from use of the material. Carnegie Mellon University
   does  not  make  any warranty of any kind with respect to freedom from
   patent, trademark, or copyright infringement.
     _________________________________________________________________
   Conditions for use, disclaimers, and sponsorship information
   Copyright 2002 Carnegie Mellon University.
   Revision History
   January 24, 2002:  Initial release
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8
iQCVAwUBPFBhSKCVPMXQI2HJAQH5HAQAgW7wzSjezC68o+q8fDGgokZzgEK8+28I
9PS9W4/Ah48+6LEnIW1gE0yfqTnt/vIONFZf0Wy2hfgUTJbLAj3kA5lGiCIu7aog
XSUwSnY7YOYa7i6tEWL0OoFWVtAWDlCf6ty1bt5UQqVAiLZcMzJlCehnLK/WHYq8
FrCx65d/sR0=
=DlDC
-----END PGP SIGNATURE-----

 Alla fine e' piu' facile di quel che sembra...
III. Solution
   All  users  should  upgrade  to  version 2001B Beta v5.18 Build #3659.
   There is currently no patch available for the ICQ plug-in for 2001B or
   versions  of  the  ICQ client prior to 2001B. Version 2001B Beta v5.18
   Build  #3659's  installer  will  delete  the  vulnerable  plug-in.  In
   addition,  for  users  who log in to the server with versions of 2001B
   prior to Beta v5.18 Build #3659, access to the vulnerable plug-in will
   be  disabled.  Users  with  versions  prior  to  2001B must upgrade to
   mitigate this vulnerability.
Semplicissimo :-)))))
Dai, a parte l'inglese, non č cosě facile. Mettiti nei panni di chi (tanti),
non sanno neanche come vedere la versione installata? Insomma, non
impossibile, ma neanche cosě facile e alla portata di tutti.

 impossibile, ma neanche cosě facile e alla portata di tutti.
Certo, ma stringi stringi e' alla portata di ben piu' gente di quanto si
creda, no?

 Time: 18/02/2002 2.56.42
Questo non significa molto.
Significa che qualcuno ha controllato se tu hai il subseven (un trojan) e il
fw ha bloccato il tentativo di accesso.
Se ce l'avessi probabilmente subito dopo avrebbe provato ad accedervi e fare
le sue cose.
L'abuser sicuramente non ha controllato solo te, ma tutto il range di
indirizzi su cui sei, per cui almeno 255 persone, perche' cosi' si fan
queste cose.
In fin dei conti il subseven e' un exploit ben conosciuto, di quelli
definiti banali e antelucani, e si prende tramite eseguibile contaminato
ricevuto da terze parti e lanciato con leggerezza.
Ecco perche' bastano 4 o 5 norme generali, per dormire sonni tranquilli, fw
e antivirus installati o meno.

Non ci capisco molto, ma il FW di norton mi ha segnalato un tentativo di
attacco con questo Trojan, mi è sembrato, non una scansione innocente per
controllare se ce l'ho.

 controllare se ce l'ho.
Il fw ti segnala proprio quello: il tentativo, non puo' fare molto altro.
Senno' occorre usare un ids (intrusion detection system) che raccoglie piu'
informazioni circa quanto avviene sulla tua macchina in relazione ad accessi
dall'esterno.
Comunque, credimi, trovo ben arduo che tu possa avere il subseven, e' un
trojan che "andava" 2 o 3 anni fa' e quasi estinto.

 trojan che "andava" 2 o 3 anni fa' e quasi estinto.
Non penso di averlo anzi, conto di non essere stato infettato. Ma devo
ringraziare il FW o sbalgio?

 trojan che "andava" 2 o 3 anni fa' e quasi estinto.
Aggiungo: nessuno si prende la briga di controllare una sola macchina
perche' e' altamente improbabile che sia exploitabile (ossia vulnerabile a
un singolo attacco).
Quindi la tattica e il metodo consiste nel controllare cento o anche mille o
anche diecimila computer per una vulnerabilita' e poi lavorare su quelle 10
bacate.

 Ci sono un sacco di trucchi, che funzionano con alcuni fw e con altri no.
mi sai dire perchč da quando ho installato ADSL e router non ho piů nemmeno
una segnalazione dal firewall?
mi sembra strano che abbiano smesso di fare scan e cercare trojan...

 ringraziare il FW o sbalgio?
Il fw ti ha solo detto che qualcuno ci ha provato. Se tu non sei infetto da
subseven, con o senza Fw, chi ci ha provato non avrebbe potuto tirarti alcun
brutto scherzo.
Devi ringraziare il fw di saperlo, non dell'esito finale negativo.

 mi sembra strano che abbiano smesso di fare scan e cercare trojan...
Perche' probabilmente l'unico ip pubblico della tua rete e' sul router adsl
e la tua macchina ha un ip privato, quindi non raggiungibile direttamente da
internet.
Il router avra' alcune porte tcp/ip girate sull'ip privato della tua
macchina, mentre le altre sono "chiuse".
Supponiamo che il tuo router abbia la 80 (web) e 21 (ftp) girate sull'ip
della macchina interna: questa ricevera' solo connessioni per questi
servizi, le altre verranno filtrate dal router.
E' questa la tua situazione?


Beh, per fortuna nn l'ho pagato, allora ! :-) Grazie Groover, SEMPRE !!!

 E' questa la tua situazione?
non so :)))))
e vale la pena usare il proxy?
ho capito come impostarlo su explorer, ma su flashget per esempio, come lo
setto?? se inserisco il proxy non si connette a nulla...

 Snort? Ok, proverň a cercarlo
ARIS Extractor 1.6 win32
Questo? Com'č?

 setto?? se inserisco il proxy non si connette a nulla...
Strana sta cosa del proxy in uscita.....
Prova ad es. Allegro Surf, che tra gli shareware e' il mio preferito.
Puoi abilitarlo per tutte le porti che vuoi, alcune son predefinite, altre
van inserite a mano.

 van inserite a mano.
gli darò un'occhiata... è compatibile con winXP?
ciao

 gli darò un'occhiata... è compatibile con winXP?
Si, lo uso anch'io in XP :)
Pero' non so a te a che possa servire, avevo capito male io il proxy del
quale parlavi...

 Non mi serve specificare un proxy pero'....
non č obbligatorio...
volevo provare e capire se č piů "sicuro" per fare upload...

 č cosě...
mi correggo... sul router ho 192.168.1.1 e sul PC uso il 2 sulla stessa
classe di IP
in ufficio č come mi hai indicato tu, ma a casa č diverso...
che differenze ci sono?

 che differenze ci sono?
Nel primo caso temo che sia router che computer vengono proxxati da un
server centrale che offre il servizio di gateway verso l'esterno a tutti i
clienti della tua zona, un po' come avviene per fastweb.
Nel secondo invece il router ha un ip pubblico e ti fa da gateway personale.
Tra le due e' meglio la seconda.
Io addirittura, per non aver problemi, ho richiesto un classe di indirizzi e
ho assegnato un ip pubblico anche alla mia macchina, che pertanto, e' su
internet direttamente.