Newsgroup: it.comp.www
Titolo: Virus da DOS/Win a Unix

 di attacco: 
Il famoso worm  attaccava UN SOLO  tipo di Sun OS (3.5  o giu' di  li,
workstation basate su 680x0) e basta. Non era quindi multipiattaforma.
La tecnica   che  usava per ottenere  una  esecuzione  con ID 0:0  era
sfruttare il  comando DEBUG di sendmail   per arrivare allo sforamento
diello stack del processo e alla sovrascrittura del segmento testo del
processo  stesso.   Il che  implica l'uso  di  assembler, e  quindi la
dipendenza da un ben  determinato hardware e   da una ben  determinata
release del Sistema Operativo. Per non parlare della dipendenza da una
ben determinata  configurazione della macchina    (chi aveva il  debug
disabilitato non  veniva  attaccato).  La  tecnica  di sforamento  dei
buffer tra parentesi  rimane in un  virus di Linux, che pero' funziona
SOLO  con   una  ben  determinata (e    vecchia) release  del  sistema
operativo, solo su  CPU intel  (non  su RISC)  e solo  se  determinati
programmi (di cui e'  nota  la vulnerabilita')  sono "setuid".  Ma qui
siamo gia' fuori dal topic di questo newsgroup.
o   oooooo	Gian Uberto Lauri        "So, are you working on finding
      o    o	
sa...@maya.dei.unipd.it
   that bug *now* or leaving it until
     o o				  later?" - "Yes!" 

 da infettare... famosissimo e' l'esempio dell'internet worm dell'86 (mi
Anche quello  non era multipiattaforma:  attaccava solo delle  Sun 3 (se ben
ricordo) che  avevano inoltre installato un  certo tipo di mailer, con certe
impostazioni  (purtroppo di  default). Il mailer    era sendmail, e usava  i
comandi di debug remoto, cosi` che sulle Sun  riusciva a mandare in overflow
lo stack  e sovrascrivere parte  della  memoria del  processo: guarda  caso,
veniva opportunamente sovrascritta da  codice  eseguibile che costituiva  la
testa di ponte  con cui poi il worm  si replicava sul sistema  attaccato. Di
conseguenza, proprio  a causa di questa parte,  non si puo` parlare di virus
multipiattaforma.
Gli altri metodi (e neanche il worm, ad essere  precisi) non sono in realta`
"virus", sono tentativi di  cracking, eventualmente automatizzati. Un  virus
e` un  pezzo di codice che  per  lavorare deve  essere  collegato ad un file
(eseguibile o altro) a cui si acceda in modo tale  da permettere al virus di
essere eseguito. 
In pratica,  l'unico modo perche' un  virus  attacchi sistemi differenti, e`
che  si tratti di codice interpretato  o al piu` byte-compiled (macro, Java,
Lisp byte-code per Emacs, ...) e che esista il modo in cui tale codice possa
venir eseguito senza espressa volonta` dell'utente.
Saluti,
Luca Polo.
-- 
 / Luca Polo   : 
ja...@gest.unipd.it
    || System administrator          \
| (
http://www.gest.unipd.it/~jake
 for  || Ist. di Ingegneria Gestionale  |
 \ address and phone numbers)          || Universita` di Padova, Italy  /

In un messaggio del 06 Dec 1996 15:17:26 +0100 Luca Polo scriveva:
 >> esempi di virus multipiattaforma in verita' ne abbiamo avuti in
 >> passato, non sono propriamente dei virus, sono definiti worm,
 >> programmi che riescono a diffondersi tramite wan (internet, x25,
[..]
 >> dell'internet worm dell'86 (mi 
 LP> Anche quello  non era multipiattaforma:  attaccava solo delle  Sun 3
 LP> (se ben ricordo) che  avevano inoltre installato un  certo tipo di
 LP> mailer, con certe impostazioni  (purtroppo di  default). Il mailer   
 LP> era sendmail, e usava  i comandi di debug remoto, cosi` che sulle Sun
Pienamente d'accordo: sui sistemi Unix non si puo' parlare di virus nella
accezione usata sulle piattaforme tipo MS-Dog in quanto non si ha un
eseguibile infetto che appena lanciato da' luogo all'infezione bensi' di
codice che sfrutta bug presenti in alcuni programmi (lpr, mount, bash,
sendmail sono quelli + noti) per effettuare azioni tipo sovrascrivere lo stack
ed altre operazioni che si affidano su buchi nella sicurezza (eseguibili suid
ed altro)... e' esattamente cio' che fa il programma di cui parlava Marco
d'Itri nel suo post (chiamarlo virus IHMO e' improprio) di qualche giorno
fa... Come giustamente concludeva lui stesso, questo tipo di worm (piu' che
virus) non ha vita lunga proprio perche' ad es. su una piattaforma come Linux
gli annunci sulla security nelle apposite malilng list sono frequentissimi per
cui il codice per patchare e' disponibile in tempi molto brevi.
-- 
Ciao. Pierluigi (mithr...@Lothlorien.org).
|-> e-mail: 
pde...@mbox.vol.it
 / 
pierluig...@giuda.deis.unical.it
 <-|

In un messaggio del 06 Dec 1996 15:44:30 +0000 Gian Uberto Lauri scriveva:
 >> esempi di virus multipiattaforma in verita' ne abbiamo avuti in
 >> passato, non sono propriamente dei virus, sono definiti worm,
[..]
 GUL> Il famoso worm  attaccava UN SOLO  tipo di Sun OS (3.5  o giu' di 
 GUL> li, workstation basate su 680x0) e basta. Non era quindi
 GUL> multipiattaforma. La tecnica   che  usava per ottenere  una 
 GUL> esecuzione  con ID 0:0  era sfruttare il  comando DEBUG di sendmail  
Cioe' assumeva UID/GID di init ? Non era init che aveva tali valori essendo il
primo processo avviato in assoluto alla partenza del sistema ?


 primo processo avviato in assoluto alla partenza del sistema ?
DI init e di root ;)


 Che bello ! Sai quante cose carine puo' fare in questo modo... ;-)
Infatti.   Non  per niente  essere    un *BUON* system  administrator/
operator e' tutt'altro che facile... Proprio per l'esistenza di queste
piacevolezze...


In un messaggio del 10 Dec 1996 15:00:15 GMT Dino Termini (alias Core Dumped)
scriveva:
 U> : Se ne sentono dire di tutti i colori sui virus, si arriva a dire
 U> che : entrano nella CMOS... : :-> 
 U> e allora dovresti sentire alcuni miei amici che usano il computer
 U> solo per scriverci testi e una volta mi hanno detto che gli era
 U> entrato un virus nella batteria del bios ... che poverina si era solo
 U> scaricata!!! 
ROFL !


In un messaggio del Wed, 11 Dec 1996 19:58:51 +0100 flare scriveva:
 >> Non era init che aveva tali  >> valori essendo il primo processo
 >> avviato in assoluto alla partenza  >> del sistema ?  F> nel caso del
 >> fingerd l'uid viene impostata durante lo spawn dei  F> daemon a
[..]
 >> Maronn... una volta che ha i permessi di root puo' effettivamente
 >> fare *tutto* senza alcuna limitazione !! Da me per es. e' lanciato
 >> cosi' nell'inetd.conf: 
[..]
 F> 	  ~~~~~~ in genere il fingerd e' lanciato come nobody, non gli
 F> servono altri privilegi, tutto quello che fa e' fare il parsing
 F> dell'input su porta 79 e lanciare un finger locale, riuscendo a
 F> sfruttare bug quindi, al piu' si riescono a lanciare processi come
Ma essendo stato lanciato come nobody acquisisce dei diritti di root
sfruttando bug tipo quellil di cui abbiamo parlato relativamente a sendmail,
lpr ecc ? Di solito, ammesso che nel sistema non sia installato il pacchetto
delle shadow passwords cosa puo' fare una persona esperta sul file /etc/passwd
? Le shadow danno un livello di sicurezza maggiore oppure e' sempre relativo
il tutto ? Poi, avevo anche sentito parlare di quel programma che dovrebbe
servire a testare l'inattaccabilita' di un sistema ovvero Satan... cosa mi
dici in proposito ? Funziona ?
 >> BTW dove lo trovo questo tuo articolo ? Mi interesserebbe
 >> approfondire la cosa: leggo anche le mailing list sulla security e
 >> non mi dispiace apprendere cose nuove (vabbe' che con Linux non si
 >> finisce mai di imparare, eheheh) 
 F> Phrack Newsletter e' la piu' prestigiosa rivista underground del
 F> pianeta, viene letta regolarmente dalla cia, fbi, cert ecc.. che
 F> hanno abbonamenti a pagamento, tutti gli altri possono scaricarsela
Hai capito i signori come si interessano di queste cose... :-) Magari poi sono
loro stessi che se ne vanno in giro a crackarsi fra di loro i sistemi e danno
la colpa a qualcun altro... 8-))
 F> gratuitamente sulla rete, fai una ricerca su altavista, ti consiglio
 F> anche la mailing list 8lgm (
www.8lgm.com
) 
Perfetto... provvedero' al + presto: 'azie per le info !
 >> Gia'... bash, lpr ed altri sono statia lcuni esempi di piccoli
 >> security holes che potevano dare i diritti di root a qualcuno in
[..]
 F> a mio parere l'unico metodo efficace per evitare intrusioni e'
 F> scollegare la lan da inet, non c'e' altro verso, soprattutto con i
 F> metodi che sfruttano debolezze e bug del protocollo tcp/ip quali:
 F> ip-spoofing, session hijacking, ethernet sniffing se poi aggiungiamo
 F> i DOS tipo icmp bomb o il syn flooding e teniamo conto di errori di
Ma purtroppo questo non e' sempre possibile... nel caso di aziende con sistemi
distribuiti non si puo' prescindere dal collegamento in rete... Mi rendo conto
che quel "capolavoro" di Explorer e' in grado di mettere in difficolta' la
sicurezza di un sistema alla pari di Satan ma penso che un accorto sysadm che
sta sempre all'erta, aggiorna costantemente il sw leggendo gli annunci
relativi alla security ha meno probabilita' di subire un attacco da parte di
malintenzionati... Puo' essere che mi sbagli, maturalmente, e' solo una mia
idea che potrebbe essere falsata dal fatto che non ho molta esperienza nel
settore della security...
