Newsgroup: it.comp.os.dibattiti
Titolo: Sicurezza IIS

reboot?
Già proprio un unico reboot... parli proprrio a vanvera.
ciao
---------------
    beep beep Roby
PS: togliere Le XXX per rispondere via mail.
PS: delete XXX to mail reply

 Già proprio un unico reboot... parli proprrio a vanvera.
Tu dovresti smetterla di farti.. 10 minuti ti ci vogliono solo per
cercare ognuna delle patch, hotfix e SP da applicare e te l'hanno detto
anche altri per cui smetti qui di scrivere stupidaggini. Riguardo ai
reboot beh sai, puo' anche darsi che li faccia e tu non te ne accorgi
visto che sembri provenire da un altro mondo <VBEG>
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

visto che sembri provenire da un altro mondo <VBEG>
Ha ragione lui.
Con l'apposito tools MS si possno applicare n fix tutte in colpo e
riavviare una sola volta.
Ciao
Francesco

 riavviare una sola volta.
Si ma che si aggiustino tutti i buchi in 10 minuti e' una cazzata
galattica..


galattica..
Quello e' quello che ci vuole ad applicare i fx se li hai gia' in
mano.
Se devi andarti a documentare suibuchi di sicurezza, leggere i
workaround, prelevare i fix certo che ci vuole molto di piu'.
Ciao
Francesco

 workaround, prelevare i fix certo che ci vuole molto di piu'.
Appunto: siccome tu sei una persona intelligente hai capito cosa volessi
dire. Se si conoscono gia' tutti i buchi (e gia' questo e' abbastanza
difficile visto quanti ne escono), si sono scaricati gia' sul disco i
vari SP, hotfix, patch e si e' creato lo script che esegue il tutto
nella sequenza giusta (e questo e' ancora piu' difficile del passo 1)
forse (e non e' neanche detto considerate le incognite relative
all'ordine con cui vanno eseguite - tu ce l'hai la palla di cristallo?
Oppure la danno con il Technet?) nemmeno puoi averne la piena certezza
ergo il nostro amico sta trollando oppure non si rende conto che il
cazzatometro potrebbe esplodere da un momento all'altro.


 Oppure la danno con il Technet?)
Se non sbaglio, per amor della verita', mi sembra diano anche i cluster di patch
(come fa la sun). Solo che non sono riuscito a trovarli...
bye G.L.

 (come fa la sun). Solo che non sono riuscito a trovarli...
Saranno accuratamente nascoste e rivelate solo ai veri figli di Bill.


 Saranno accuratamente nascoste e rivelate solo ai veri figli di Bill.
Quando dico che adoro i siti in puro html, con qualche pagina attraverso cgi-bin/perl,
magari mi ridono pure dietro...  :-(
bye G.L.
p.s. sono un minimalista, lo ammetto...  ;-)

 magari mi ridono pure dietro...  :-(
Certo perche' per i veri figli di zio Bill i siti devono avere le
porcherie in Kiavascript o ActiveX che non sai cosa andranno a fare
sulla tua macchina se non hai un Exploder adeguatamente protetto, che ci
vuoi fare, per loro gli strani saremmo noi :-/


 vuoi fare, per loro gli strani saremmo noi :-/
E ci mancherebbe altro... arriviamo a sostenere che il computer funziona 
senza dare problemi... oppure che si potrebbe mettere su un webserver in 
meno di due ore col solo cd di installazione, e che basti un editor di 
testo per riparare un pc con la configurazione a donnine, davvero speriv 
che non ci prendano per visionari? :)
-- 
                Davide "gatto feroce" Inglima
   " gli Dei cessano di esistere quando nessuno li venera piu' "
      ( citando RaistlinFantasy su it.hobby.giochi.gdr.dnd )
 
http://digilander.iol.it/nekochan/

 che non ci prendano per visionari? :)
Purtroppo si.. l'importante e' che a noi le cose continuino a funzionare
come hanno sempre fatto :)


 Saranno accuratamente nascoste e rivelate solo ai veri figli di Bill.
Sono accuratamente nascoste a tutti i sistemisti con l'intelligenza di una
cozza con la meningite. Basta avere l'intelligenza di una cozza senza
meningite e ci si arriva. Ho appena fatto la prova e, sapendo un po di
inglese, si parte da 
www.microsoft.com/security
 e con 2 click (contati) si
arriva alla lista delle patch, che annovera due bei "cumulative patch", uno
per IIS ed uno IE. E sulla mia macchina affacciata ad Internet non ho mai
avuto una intrusione pur avendo attacchi abbastanza continui.
Saluti
Massimo

 cozza con la meningite. Basta avere l'intelligenza di una cozza senza
Evidentemente tu devi essere una vongola (quindi ad un livello piu'
infimo di una cozza) se sei cosi' stupido da credere che una
cumulative patch metta a posto magicamente tutti i problemi di IIS.


Lasciamo perdere. Se non vuoi capire non capisci, IIS, se mantenuto in
maniera decente, č sicuro come e quanto un Apache che fa le stesse cose
(ovvero che abbia almeno il supporto per JSP e Corba, gli equivalenti dei
servizi che IIS mette a disposizione di Default con ASP e COM) mantenuto
allo stesso modo. Se paragoni IIS ad un server che pubblica solo pagine Html
statiche (e che puoi scrivere con neanche 1000 righe di C) stai paragonando
due cose divere, visto che assicurare 1000 righe di C da bachi e problemi
rispetto ad un oggetto che fa un mondo di cose in piů (e che quindi ha molto
piů codice da assicurare) č una cosa diversa.
Che una patch non metta a posto *tutti* i problemi č vero per qualunque
ambiente.
Saluti
Massimo


 (ovvero che abbia almeno il supporto per JSP e Corba, gli equivalenti dei
ROFL ! Fai il confronto su Bugtraq fra le segnalazioni riguardanti
Apache e quelle su IIS poi fra 2 anni quando avrai finito torna pure
qui.


 statiche (e che puoi scrivere con neanche 1000 righe di C)
Guardando la diffusione e gli utilizzi di Apache verrebbe da dire che forse 
1000 righe di C valgono piu' di quanto sembri...
See you,
        Silver Drake

 wrote in message
news:9tda08$1q0v0$1...@ID-34448.news.dfncis.de...


 meningite e ci si arriva.
Quindi e' un sistema per le cozze (con o senza meningite)? ;-P


To: 
bug...@securityfocus.com
From: 
onesem...@onesemicolon.cjb.net
Subject: IIS logging issue
Status: RO
Content-Length: 2965
Lines: 77
TOPIC: Microsoft IIS is vulnerable to log faking.
ADVISORY NR: 200103
DATE: 18-11-01
VULNERABILITY FOUND AND WRITTEN BY: 1; (One Semicolon)
CONTACT INFORMATION
http://onesemicolon.cjb.net
m...@onesemicolon.cjb.net
STATUS
Microsoft was contacted on September 18, 2001 by emailing
sec...@microsoft.com
. A reply was received saying Microsoft was unable to
reproduce this using Notepad. I had only given the hex codes for
Edit in MS-DOS. After letting this sit for a while I got the hex codes for
another text editor. So I sent that to Microsoft on November 12, 2001.
I did not receive a reply to this yet.
DESCRIPTION
Microsoft IIS is a web server. duh. ;)
This vulnerability was tested to work using Windows 2000 and IIS 5.0 without
changes to the logging settings.
VULNERABILITY
Log entries in the IIS logfile have the hex codes in a request translated
to a character.
/index%2easp becomes /index.asp and is shown as that in the logfile.
The problem is that %0A becomes translated to a new line and %FF to what
looks just like a space. Using these two you can successfully create two
perfectly real looking log entries.
/index.asp%FF200%FFHTTP/1.1%0A00:52:11%FF198.116.142.34%FFGET%FF/evilplaces
here the request for /index.asp is ended with a 200 notice and HTTP/1.1
showing what version has been used HTTP wise. Then a new line (%0A) is
started.
At first I thought that getting the time right would become a difficult
one. It turns out I was wrong. All logging is done using Greenwich time.
All one needs to do is figure out the current time in London and they are
done.
Then the IP of the person who you wish to use follows. Then whatever you
think they should be caught asking for.
The %FF and %0A works when using MS-DOS's Edit.
To make this work in WordPad which more likely will be used to view logs,
replace %FF with %09.
FIX
No fix has been released for this problem as far as I know.
PLEASE
Maybe administrators of computers that use different webserver software
could try all hexcodes and find out if their particular server is
vulnerable to the same issue and then proceed to contact their manufacturer?
I have already found another company's server software to be vulnerable to
the same issue. Rather than people going around issuing many advisories for
the same issue but different software company, it would be nice if the
seperate companies could just be notified and be able to issue a patch for
their particular program.
FINAL NOTES
These days logs are used very often to prove illegal activity. When logs
cannot be trusted there is a serious problem: how else do you prove
illegal activity?
IIS 5.0 lets you set different logging formats. I used the settings that
were put there by the IIS installation. For me this was W3C Extended
Log File Format, which logged the following things:
- Time (time)
- Client IP Address (c-ip)
- Method (cs-method)
- URI Stem (cs-uri-stem)
- Protocol Status (cs-status)
- Protocol Version (cs-version)
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-


meningite e ci si arriva. Ho appena fatto la prova e
Quindi, sei una cozza senza meningite. Si vede che le cure hanno fatto
bene...
Obelix

 p.s. sono un minimalista, lo ammetto...  ;-)
E io ancora di piu`, credo :-) 
-- 
Renato 'Hitman' Salzano / e-posta: sonicblast (at) 
inwind.it
"Giusto. Soprattutto, non pensare. Mai. Pensare fa male, e se Dio
avesse voluto che tu pensassi, Bill Gates ti avrebbe venduto un
cervello." - Obelix, a proposito degli utonti di Windows.