Newsgroup: it.comp.os.dibattiti
Titolo: Una backdoor trallallà...

A quanto pare un certo Steve Gibson ha seriamente
il sospetto che la falla dei WMF sia in realtà
una backdoor:
http://www.groklaw.net/article.php?story=20060113111825193
http://www.grc.com/sn/SN-022.htm


Si si, Microsoft ci spia e ci vuole accoppare il PC da remoto!!!!!


Beh, magari leggere l'SDK di Windows 3.0 relativamente alla parte del WMF 
(incluso il significato dell'acronimo stesso)
chiarirebbe molte cose. Ma ormai viviamo in un mondo di "Mio cuggino mi ha 
detto che la Nonna di un suo amicho ha visto che Bill Gates e Ben Laden sono 
andati a cena insieme...".
A sto punto qualisiasi oggetto programmabile è una backdoor.
Se un appunto c'è da fare a Microsoft è sempre lo stesso:
"Vi volete dare una mossa a togliere la compatibilità con tutto il mondo 9x 
ed a tutte le pugnette OLE?".
Saluti.

"Alberto Monachesi" ha scritto:

Steve Gibson non si è proprio regolato, stavolta. :-)
http://blogs.technet.com/msrc/archive/2006/01/13/417431.aspx
SALUTONI,
WindoM 

Alberto Monachesi ha scritto:

backdoor o errore è comunque una cosa molto pericolosa...MS dovrebbe 
smetterla di giocare che qua già c'abbiamo le banche con le mani lunghe 
poi ci si mette pure zio Bill e la frittata è fatta ;)

"GdG" <nom...@thisaddress.nowhere> ha scritto nel messaggio 
news:dqe98e$1bbr$1...@newsreader1.mclink.it...

ma lasciali perdere questi rosiconix.
creano e credono a tutte le bufale che cuggini dei loro cognati gli 
propinano.
nemmeno se gli fai vedere una bufala e glielo dici, si convincono


Relata refero.
Però, a quanto pare, la falla si attiva come miracolosamente
in seguito a una certa operazione non banale.
Una falla con la serratura? E tutto si è verificato per caso?
Le coincidenze nella vita capitano, ma...
E comunque la nonna dell'amico di mio cuggino ha visto
Bill gates a cena con Ben Laden, però non erano soli,
verso le dieci sono arrivati Fassino e Consorte e si sono
fermati per il caffè e il dessert :-)
Alberto

 Una falla con la serratura? E tutto si è verificato per caso?
Ma che per caso. Funziona proprio cosi.

 nemmeno se gli fai vedere una bufala e glielo dici, si convincono
e stamane quanti, tra brufoli e punti neri hai schiacciato. prima di parlare
perche' non ti dedichi a quello che fa veramente per te: onanismo a tutto
campo.

, la funzione
"incriminata" era necessaria ai tempi degli Win con
multitasking cooperativo.
Saluti

 andati a cena insieme..."
Beh, secondo un quotidiano celebre per la sua assoluta affidabilità,
l'ipotesi non è da escludere:
http://english.pravda.ru/main/2003/01/31/42833.html
Senza contare che Bill e Osama sono probabilmente la stessa persona.
Ecco una foto di Osama da ragazzino. Ditemi se ci sono dubbi sulla sua
vera identità:
http://www.museumofhoaxes.com/EE/images/uploads/binladen_lg.jpg
:-)
(Ok, non si dovrebbe scherzare su queste cose; soprattutto su BG...)
Ciao,
Paolo

 byte successivo:
Questa è una feature, retaggio dei tempi dei Windows 3.0:
"The vulnerability was introduced when all that GDI functionality was 
allowed to be called from metafiles. The potential danger of this type of 
metafile record was recognized and some applications (Internet Explorer, 
notably) will not process any metafile record of type META_ESCAPE, the 
overall type of the SetAbortProc record."
Il problema è che alcune applicazioni helper a cui IE si appoggia (nello 
specifico, Windows Picture and Fax Viewer) processano i META_ESCAPE senza 
eccezioni, ed è per questo che IE diventa un vettore di attacco.
La cosa buffa è che Gibson insiste sul fatto che la vulnerabilità sia 
attivabile solo con un particolare valore scorretto, additandolo come 
interruttore di una backdoor pianificata per chissà quali scopi... La realtà 
dei fatti è che la vulnerabilità si attiva anche per valori corretti:
"Now, there's been some speculation that you can only trigger this by using 
an incorrect size in your metafile record and that this trigger was somehow 
intentional.  That speculation is wrong on both counts. The vulnerability 
can be triggered with correct or incorrect size values.  If you are seeing 
that you can only trigger it with an incorrect value, it's probably because 
your SetAbortProc record is the last record in the metafile. The way this 
functionality works is by registering the callback to be called after the 
next metafile record is played. If the SetAbortProc record is the last 
record in the metafile, it will be more difficult to trigger the 
vulnerability."
Ripeto che è tutto scritto qui:
http://blogs.technet.com/msrc/archive/2006/01/13/417431.aspx
SALUTONI,
WindoM 

> 
http://www.museumofhoaxes.com/EE/images/uploads/binladen_lg.jpg
Azz ... Valentino Rossi si è dato al terrorismo ????

Fabio Fioretti - WindoM wrote:
[...]

Ho letto l'articolo che hai linkato, ma proprio sulla questione
dell'ultimo record sono piuttosto perplesso: se l'esecuzione del
codice potenzialmente maligno inizia dal byte DOPO SetAbortProc,
se SetAbortProc è l'ultimo record del metafile che diavolo dovrebbe 
esserci dopo, EOF?
Saluti
Alberto

 esserci dopo, EOF?
Ma l'articolo non dice che il codice potenzialmente dannoso inizia dal byte 
dopo SetAbortProc. Sembra che l'implementazione di SetAbortProc funzioni 
registrando la funzione di callback solo dopo l'esecuzione del record 
successivo, e se non c'è un record successivo, ovvero il record di 
SetAbortProc è l'ultimo, sembra sia difficile attivare la funzione di 
callback che scatena il patatrac, a meno di impostare particolari valori di 
size sballati (il famoso 1 di cui Gibson parla).
Questa roba è stata implementata più di 15 anni fa, quando Internet era poco 
più che un miraggio e la sicurezza non era un requisito fondamentale del 
software... parlare di backdoor è come minimo buffo!
Ha ragione GdG quando dice che certi retaggi del passato sarebbe comunque 
ora di abbandonarli...
SALUTONI,
WindoM 

 
Su questo ha ragione, ormai.
In teoria Win 9x non avrebbe neanche dovuto esistere, nei primi
annunci riguardo a Chicago MS parlava di una versione SOHO di NT
e sarebbe stato tanto meglio.
Quel che è sicuro, MS avrebbe comunque dovuto chiudere con Win 9x
dopo Win 98SE.
In questo momento sto usando, come al solito, Win ME: è la peggior
pubblicità che MS sia mai riuscita a farsi (a parte forse DOS 4.x),
neppure il più forsennato gnulebano potrebbe farle una pubblicità
peggiore.

 peggiore.
Anche secondo me hanno tardato troppo nell'introduzione di NT nel mercato
SOHO. Per quanto mi riguarda, però, WindowsME è stata la più felice
incarnazione con kernel 9x di sempre, ma penso di aver avuto hardware
particolarmente fortunato... ;-)
SALUTONI,
WindoM 

 
Nel mio caso dovrei scindere il problema: quando aveva
avuto ancora poche patch e non sapevo ancora qual'era
il principale colpevole delle sue instabilità (ssdpsrv.exe,
nel mio caso,almeno) sono stato purtroppo costretto a prenderlo,
perché Win 95 non supportava del nuovo HW che mi interessava
e Win 2000 non supportava ancora parte dell'HW che intendevo
continuare a usare.
Ora che più o meno l'ho domato mi toccherà prima o poi abbandonarlo,
perché MS non lo "cura" quasi più e comincia ad esserci troppo
SW "NT only".
E l'instabilità ultimamente sembra leggermente aumentata, forse
i SW più recenti, anche quelli non esplicitamente incompatibili,
sono comunque molto meno testati nell'uso su Win 9x.
(Il principale responsabile dei freeze è comunque già da un
po' Windows Media Player).
Saluti
Alberto
-- 
rimuovere/remove         "Calm yourself!  Man who argue with cow
WLATOPA                      on wall is like plane without wings--
per rispondere/to reply    very soon get nowhere." (Peter Sellers)

 ha scritto nel messaggio 
news:43cb684f$0$1078$4faf...@reader4.news.tin.it...

ho solo descritto il vostro piccolo mondo di creduloni dissacratori
-- 
BluDiesel®
questo tizio sostiene che jingle bells ascoltato al contrario sia un 
versetto satanico:
http://www.yonkis.com/mediaflash/reverse.htm
"..è il link più terrificante di internet.."
La Repubblica
"..è la cosa più orribile che abbia mai visto .."
Il Corriere della Sera
"..VaiAffanCulo.."
La Nazione
".. AAAAAAAAAAAAHHH.. ngul'ammammete"
Il Mattino

 
OK, ora abbiamo anche un parere sicuramente non anti-MS,
ma anche indubbiamente autorevole e potenzialmente molto meno
interessato di quello del programmatore MS.
E' intervenuto Mark Russinovich:
http://www.sysinternals.com/Blog/
(NB l'intervento attualmente è il primo che viene visualizzato,
se non clo fosse più cercate l'intervento del
Wednesday, January 18, 2006)


 Wednesday, January 18, 2006)
Si noti che Russinovich ritiene che Gibson sia stato indotto
a pensare male perché fuorviato proprio dalla documentazione
scritta da MS:
"[...] Steve’s belief that WMF files should not support the SetAbortProc 
API comes from the documentation for how Windows calls an abort 
procedure registered via SetAbortProc:
'It [the abort proc] is called when a print job is to be cancelled 
during spooling.'
[...]
WMF files can be directed at a printer, however, and not only that, but 
the abort procedure documentation is misleading. Its correct description 
is in the Microsoft documentation that describes the basic steps for 
writing code that prints to a printer:
'After the application registers the AbortProc abort procedure, GDI 
calls the function periodically during the printing process to determine 
whether to cancel the job.'
[...]".
Certo, uno potrebbe pensare male lo stesso, perché in fase di
progetto del formato WMF sarebbe comunque stato possibile
prevedere di far registrare dall'applicazione la procedura di 
interruzione della stampa solo nel caso che una stampa venisse
lanciata, anziché registrare comunque la procedura e lanciarla 
periodicamente durante il lavoro di stampa.
"Further, his (di Gibson, nota mia) tests showed that Windows calls the 
abort procedure registered by a WMF file immediately, when there’s no 
apparent cause for cancellation."
Per Russinovich "Thus, the abort procedure really works both ways, 
providing Windows a way to notify an application of printing errors and 
the application a way to notify Windows that it wants to cancel 
printing. With this interpretation Windows’ execution of the abort 
procedure immediately after one is registered makes sense: Windows is 
calling the procedure to ask it if the playback of the rest of the 
procedure should be aborted.", ma effettivamente, specie sulle macchine
del tempo di Win 3.x, quando 8MB di RAM erano già un lusso, avrebbe 
avuto decisamente senso registrare la procedura solo in caso di lancio 
di una stampa.
A voler pensar male, quindi, la controargomentazione di Russinovich
rende molto meno sospetta MS ma non la scagiona completamente.
D'altra parte neanche gli argomenti di Gibson sono una prova
schiacciante a carico, perché in mancanza di altri fatti sta
processando le intenzioni, una prova schiacciante sarebbe trovare
un WMF fatto da MS e contenente codice per accessi illeciti.


 
http://www.sysinternals.com/Blog/
Un intervento, quello di Russinovich, che mette davvero una pietra tombale
sulla questione. La mia impressione è che quelli trascorsi siano stati
giorni di imbarazzato silenzio da parte della comunità scientifica per le
rivelazioni azzardate di Gibson. Nessuno avrebbe mai voluto sconfessare
pubblicamente un autorevole collega... Ho letto altrove (ma proprio non
riesco a ricordare dove) un'opinione/smentita simile a quella di Russinovich
da parte del Kaspersky Lab, e commenti a mezza bocca un po' da tutte le
parti.
A mio modo di vedere, Gibson ha quantomeno peccato di leggerezza nel
lanciarsi in certe dichiarazioni, e il tonfo che ha fatto dall'alto della
sua autorevolezza si è sentito tutto.
SALUTONI,
WindoM

 un WMF fatto da MS e contenente codice per accessi illeciti.
Gibson semplicemente non ha argomenti validi: la sua analisi è stata 
pericolosamente approssimativa e l'exploit da lui confezionato ha messo in 
mostra una certa ignoranza relativamente contesto in cui andava ad operare 
(WMF, SetAbortProc, ecc.).
SALUTONI,
WindoM 

 
Sicuro? Non si poteva prevedere in fase di progetto di WMF che il lancio 
della stampa includesse come operazione preliminare, prima cioè
dell'effettivo lancio della stampa, la registrazione della procedura di 
interruzione?
Perché è questo che intendevo, se per caso non sono stato chiaro.

 interruzione?
Penso vadano considerate due cose:
1) dall'interno di un WMF č consentito solo fare semplici chiamate a 
funzioni di GDI, a mo' di script, sequenzialmente, immagino... per 
progettare WMF come dici tu, avrebbero dovuto stravolgere l'API di GDI...
2) parliamo, scusa la ripetitivitŕ, di un'epoca e di un contesto applicativo 
in cui tutto per definizione veniva considerato trusted.
Detto questo, le cose possono essere sempre fatte meglio. :-)
SALUTONI,
WindoM 

 
Sono d'accordo, in effetti l'unico modo semplice che mi viene in mente
per fare quello che dico io è che "Stampa" fosse una macro contenente
l'istruzione di registrazione della procedura d'interruzione e dopo
quella di inizio stampa,ma a quel punto, forse, ci sarebbe stato il
problema che questo avrebbe reso probabilmente possibile creare WMF
malfatti con la sola sottoistruzione di stampa, rendendo questa non
interrompibile.
Saluti
Alberto
