Newsgroup: it.comp.musica.mp3
Titolo: Morpheus-Kazaa e rischi DoS

Chiedo scusa se già postato, comunque può essere utile...
da:
http://www.itportal.it/developer/Tips/Internet/morpheus/
Chi non resiste alla tentazione di scaricare MP3 dalla rete? La "voglia di
MP3" presenta però a volte qualche rischio, a cui si va incontro in modo del
tutto inconsapevole quando si usano programmi di file-sharing come Morpheus
o Kazaa
È già da tempo che, avendo perduto Napster, sono in continua ricerca di
sistemi di file-sharing alternativi per scaricare musica da Internet e nel
corso delle svariate prove dei vari Gnutella, Bearshare, WinMX, mi sono
imbattuto in Morpheus - prelevabile al sito 
http://www.musiccity.com/
 - e
nel suo fratello gemello Kazaa (due nomi diversi per un programma simile)
che si collegano ad un nuovo, grande network per lo scambio di file
(musicali e non). Questo sistema non si basa (come Napster) su server
centralizzati, ma utilizza un protocollo P2P del tutto nuovo, che fa uso di
supernodiutente. Dopo i primi download di MP3 - riusciti peraltro
correttamente - fui preso dalla voglia di addentrarmi nel client di Morpheus
per studiarne il funzionamento, spinto soprattutto da queste considerazioni:
o quando Morpheus è attivo, è possibile notare sul computer la presenza di
numerose porte TCP/IP aperte, fra le quali spicca la 1214 o mentre sono in
corso download o upload, è possibile intercettare gli indirizzi IP degli
altri utenti con i quali si è connessi mediante il comando NETSTAT di
Windows; o da analisi dei pacchetti inviati e ricevuti fatte mediante uno
sniffer, risulta che le transazioni di Morpheus contengono molte richieste
del tipo "GET" e una serie di header che ricordano i web browser come
Internet Explorer; Mosso dai fatti accertati, sono finito - dopo numerose
ricerche - sulla pagina
http://www.openp2p.com/pub/a/p2p/2001/07/02/morpheus
. html?page=2 che spiega
nei dettagli il funzionamento del protocollo usato da Morpheus/Kazaa e la
sua architettura.
QUELLO CHE NESSUNO VI DICE.
Con mia grande sorpresa, scoprii che il cuore del sistema di scambio è
basato su un normale web-server (sì, proprio come IIS o Apache) che quando
Morpheus è in funzione, viene aperto sulla porta 1214. A questo punto, la
prima cosa che mi venne in mente, fu quella di collegarmi - usando Internet
Explorer - sul mio indirizzo IP alla porta 1214, per vedere cosa apparisse.
Digitando infatti http:// ip_utente_morpheus:1214 è possibile vedere dal
browser l'elenco dei file condivisi da un utente con la loro dimensione ed è
possibile scaricarli usando il browser stesso o anche GetRight, NetVampire,
ecc. E' inoltre facile notare come i file condivisi presenti in
sottocartelle vengano indicizzati dal web-server di Morpheus mediante
particolari codici numerici (non si capisce come sono assegnati) inseriti
nel percorso http:// e gli eventuali spazi presenti nel nome di un file sono
identificati dal codice ASCII "+". Una volta arrivato a queste
considerazioni, non potevo far finta di niente di fronte ai dubbi che via
via nascevano nella mia mente: 1) È giusto che gli utenti siano all'oscuro
di questo fatto? Cioè, è giusto tacere agli utenti che Morpheus apre sui
loro computer un web-server sulla porta 1214? 2) Quanto è sicuro questo
web-server? Cosa succederebbe se col tempo venisse fuori qualche bug (tipo
quelli di IIS) che consentono di uscir fuori dalla "root" del server e di
salire alle cartelle dei livelli superiori? 3) Quali altri dati vengono
scambiati nelle transazioni del web-server di Morpheus? Per la terza
domanda, fu facile trovare una risposta immediata: collegandomi in Telnet su
me stesso sulla porta 1214 (ovviamente mentre Morpheus era in attività) e
digitando il comando "GET", si notava che il web-server riportava alcune
informazioni, tra cui anche il mio username, leggibile in alto sulla riga
X-Kazaa-Username. In pratica è possibile sapere - partendo dall'indirizzo IP
di un computer - se questo PC sta usando Morpheus (basta un test sulla porta
1214) e l'username che quel computer usa sul network di Morpheus.
POSSIBILI ATTACCHI DOS
"Dalla padella nella brace".è il caso di dire! Come era facile prevedere,
vista la complessità dell'oggetto web-server che è un componente delicato da
progettare e che spesso soffre di numerose falle di sicurezza (vedi IIS),
sono passati pochi mesi e già sono in circolazione alcuni DoS rivolti contro
gli utenti di Morpheus. Si tratta di un Denial of Service semplice, che mira
ad esaurire le risorse di rete creando connessioni a ripetizione ed
esaurendo i socket disponibili. Il problema sta nel fatto che Morpheus
riesce a gestire e limitare solo il traffico di connessioni fatto da utenti
che stanno usando a loro volta il programma di file-sharing, quando le
connessioni giungono direttamente alla porta 1214 (via telnet o mediante
programmi che usano i socket) queste non sono né segnalate, né considerate,
quindi è possibile aprirne a centinaia fino a saturare il sistema. L'exploit
riportato è scritto in Perl e può essere lanciato direttamente da Linux o
anche da Windows, usando un interprete Perl. La sintassi è semplice, basta
passare il parametro "-h ip_vittima" allo script e controllare l'andamento
dell'attacco sulla console di sistema. I parametri personalizzabili nello
script sono la variabile $trash, che contiene il buffer-spazzatura
(costituito da 500 sequenze di "A") inviato al web-server e il contatore $i
del ciclo di FOR, che nell'esempio proposto si limita ad eseguire 1000
attacchi. Dall'altra parte - sul computer attaccato - è possibile monitorare
cosa sta succedendo usando il comando NETSTAT che mostra un'impressionante
coda di connessioni in corso oppure usando le statistiche TCP/IP, sempre
mediante il comando "NETSTAT -s -p tcp". Il DoS non rallenta il computer
vittima, ma mira solo ad esaurire le sue risorse di rete e a bloccare
l'accesso a Internet.
--
**********
Ataru®
**********

 l'accesso a Internet.
Vabbe', ammesso che io non abbia firewall (il che e' male) e che
l'attacco sia portato bene (il che e' raro), mi cade la connessione.
Considerando che questo avviene abbastanza spesso un po' per colpa dei
providers un po' per colpa di winzozz, non se ne morira'.
Grosso puntino sulle "i": il tutto per un home-user. Se io fossi "il
capo" e trovassi i miei impiegati che fanno filesharing con la MIA rete
gli annoderei le orecchie.
cmq ne aprofitto: msg subliminale: usate winMX, usate winMX, usate
winMX...
Saluti
Lella usate winMX