Newsgroup: italia.bari.discussioni
Titolo: Worm

Ecco l'URL dove potete ammirare la semplicità del worm che ha paralizzato 
la rete per diverse ore:
http://www.digitaloffense.net/worms/mssql_udp_worm/
Il virus è il file 
worm.pl
-- 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~ KiavICQ:61810110 ~ KiavikHOO!:Kiavick ~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

 Il virus è il file 
worm.pl
Non ho capito però perchè
una stringa riesca a incasinare SQLServer.
                        danilo

 una stringa riesca a incasinare SQLServer.
pare che abbia immesso nella rete pacchetti e pacchetti di roba intasando
tutto
chi ha scaricato sql ha avuto problemi, può essere questa una spiegazione?
--------------------------------
Inviato via 
http://usenet.libero.it

 
E' un buffer overflow, in pratica in quella stringa c'è un programmino in 
linguaggio macchina e quando viene spedito alla porta 1434 l'sql server 
lo carica in memoria in una variabile ma essendo la variabile troppo 
piccola per contenere tutta la stringa una parte va a finire in una zona 
della memoria "eseguibile" dove cioè ci sono delle istruzioni, perciò 
l'sql server inizia a generare randomicamente indirizzi IP ed a pingarli 
se qualcuno risponde gli invia il worm e continua a pingarlo generando 
traffico sulla rete. Ma non basta: a causa di un bug nei router cisco se 
il traffico di rete supera una certa soglia questi si spengono, vi lascio 
immaginare con quali risultati...
spero di essere stato chiaro...


 
Per saperne di più sui buffer overflows:
http://searchsecurity.techtarget.com/sDefinition/0,,sid14_gci549024,00.html


 
Che intendi per "chi ha scaricato sql"??


 chi ha scaricato sql ha avuto problemi, può essere questa una spiegazione?
:-O
:-OO
:-OOOOOO
VZ2bis ;-)

 Il virus è il file 
worm.pl
ok.... ma per noi poveri mortali, sarebbe? :-?
--
Ciao
QueloGnurànt :-(

 
E' uno scriptino di 2 righe...



Sei stato chiarissimo, anzi devo dire
che è una cosa vecchiotta, nel senso
che non è la prima volta che si riesce
a mandare in crash un programma tramite
un buffer overflow
            danilo

 E' uno scriptino di 2 righe...
ne so quanto prima :-/
grazie lo stesso ;-)
--
Ciao
QueloGnurant

 
Riformula la tua domanda... che vuoi sapere? 


 
Beh il buffer overflow č uno degli attacchi piů comuni...


 Riformula la tua domanda... che vuoi sapere?
in parole povere, terra terra, anzi sotto.... ;-)
come avviene l'infezione
se è troppo complicato da spiegare, fasc nudd!
--
Ciao
QueloGnurant :-/

 
Ok allora...
questo è lo script:
my $packet = 
"\x04\x01\x01\x01\x01\x01\x01\x01".
"\x01\x01\x01\x01\x01\x01\x01\x01".
[CUT]
Tutta questa stringa, che ho tagliato, contiene il virus vero e proprio, 
i vari \xyy non sono altro che codici esadecimali cioè un byte di dati. 
Tutte le righe della stringa formano il virus. 
print $packet;
Ora questa istruzione stampa la stringa, se tu eseguissi questo comando 
in un command prompt sulla tua macchina avresti una serie di caratteri 
strani e nient'altro. E' come il classico programma Hello world che ti 
fanno fare quando impari un nuovo linguaggio di programmazione.
# for testing in CLOSED network environments:
# perl 
worm.pl
 | nc server 1434 -u -v -v -v
La vera infezione avviene qui:
1. perl 
worm.pl
  # Questa istruzione esegue lo script
2. | nc server 1434 -u -v -v -v  # Questa istruzione invece ridireziona 
l'output dello script sulla porta 1434 del server SQL. Su quella porta 
c'è in ascolto il resolution service, la stringa dello script non fa 
altro che ingannare il servizio del server facendogli credere di 
elaborare una query, in realtà (grazie ad un bug del server) la stringa 
sovrascrive una parte della memoria dove sono residenti le istruzioni del 
servizio con il virus che inizia il suo lavoro di generazione casuale di 
indirizzi IP per infettare altri server SQL... 
E' chiaro adesso?
:-))


 :-))
boh! ...francamente a me non tanto ....:-)
a prescindere dalla confusione che i mass media hanno fatto tra linguaggio
SQL e virus Slammer .....
della serie
iosparolanotiziapiu'grossaechisenefrega
poiche' riconosco  che tu sei piu' esperto,  vedi cosa ho trovato e dimmi
cosa ne pensi
www.theregister.co.uk/content/56/29073.html
www.nextgenss.com/advisories/mssql-udp.txt
con due due brani illuminanti:
This is one of the reasons why the SQL
Server process access violates if the colon is missing. The code does
not check to see if a valid pointer has been returned before passing it
to another function call, atoi():
ciao Carlo

 iosparolanotiziapiu'grossaechisenefrega
Si purtroppo è così io sento un sacco
di notizie specie quelle sui virus
che sono puttanate autentiche.
Considera che su TG a livello nazionale
io ho sentito parlare di attacco
ad SQL. SQL è un linguaggio standard
di interrogazione per interagire con i
database, nel caso in questione si parlava
di SQLServer che è un programma della
Microsoft già qui non si capisce il perchè.
A sentire parlare i MassMedia, sembra poi che
i virus siano potentissimi e facciano tutto
da soli.
Se non c'è qualcuno di regola un pollo che
iniza a scatenare l'infezione non c'è verso
che tenga il virus non parte o comunque non
si diffonde con quella velocità e aggressione
di cui parlano.
Se poi lasciamo perdere i virus e parliamo
di sicurezza informatica allora è meglio
non ascoltare i telegiornali ed è meglio
non leggere i giornali non parliamo dei film.
Ho visto una scena in un film in cui un uomo
in 2 minuti con una pistola alla tempia e con
una donna che contemporaneamente gli faceva
un pompino violava l'archivio centrale
dell'FBI.
Ma andate a cagare.
Come ultima cosa perchè non voglio
essere prolisso ti mando questo link,
probabilmente hai sentito parlare di
Panerai.
Ha scritto un articolo su Panorama
parlando di internet, del mondo
informatico in generale.
Ti giuro che se prendevamo una scimmia
e le facevamo battere a caso i tasti
della tastiera avrebbe formato parole
con un maggior senso logico
Leggitelo è veramente meglio di una barzelletta.
http://www.clarence.com/contents/tecnologia/penne/panerai/
                danilo


 E' solo un esempio per spiegare perchè
succede il casino.
In pratica nel codice di SQLServer che
utilizza i byte ricevuti sulla porta
attaccata dal virus, manca un semplicissimo
che avrebbe bloccato il problema.
                    danilo

 dell'FBI.
codice swordfish? ;-)
--
Ciao
Quelo
p.s. erano 60 secondi, per la precisione.... :-/

 E' chiaro adesso?
bhà....
poco (ma mooolto poco...) più di prima,
ma quello che non hai detto, o non ho capito, è
come lo script abbia iniziato, cioè era legato ad una mail?
o è stato eseguito navigando su qualche sito?
o....? :-?
--
Ciao
QueloGnurant

 codice swordfish? ;-)
Si non ricordavo il titolo
perchè avevo rimosso dalla mente
il dolore dei soldi persi
nell'affito del dvd e delle 2 ore
impiegate per fare il divx.
        danilo

 impiegate per fare il divx.
ehm.....
e tu hai fatto la copia di un film che
non ti piace? :-O
o prima l'hai copiato e poi l'hai visto? :-?
--
Ciao
Quelo

 o prima l'hai copiato e poi l'hai visto? :-?
Io affitto i film dal distributore
automatico, se lo affitto per sei ore mi
costa 1,9 euro, se lo affitto per 24 ore
mi costa 3,10 quindi io lo copio sul pc
lo riconsegno entro sei ore,
lo trasformo e lo vedo, a volte
li affitto e poi li vedo giorni dopo.
I film poi le li tengo perchč cosě
li scambio.
Ieri sera ho avuto Vieni avanti cretino
ad esempio in cambio di Era mio Padre.
                danilo

> e tu hai fatto la copia di un film che non ti piace? :-O


facevi prima a dire: "la seconda che hai detto!" ;-)
--
Ciao
Quelo-Breve-e-Conciso

 Che intendi per "chi ha scaricato sql"??
non fare domande indiscrete kiavic:)


 :-OOOOOO
che dire...
recepito in qualche modo e riportato in un altro, che mica tutto ciň che si
ascolta poi viene assimilato benissimo:)



Ammesso che quello che si ascolta sia
giusto a sua volta.
    danilo

 
Senza andare troppo lontano nel film The Net sandra Bullock cercava di 
connettersi ad un Pc che aveva un IP tipo 210.135.354.87.
Chi mi sa dire che c'è di sbagliato in questo IP?


 Chi mi sa dire che c'è di sbagliato in questo IP?
354?? :-O
Tutan
ps
ho vinto i biglietti di Rossana Doll??

 --
Ovviamente il 354, ma in questo caso posso capirlo
avrebbero sbagliato in ogni caso.
A) non potevano dare un indirizzo pubblico (*)
B) se utilizzavano un indirizzo privato del tipo 10.0.35.x
        oppure 192.168.x.y o 127.0.0.1 ci sarebbe stato
        l'errore in ogni caso.
(*)altrimenti facevano la fine di striscia la notizia
        che è in causa con una persona di novara
        (ecco perchè so il fatto) perchè in una puntata
        hanno  utilizzato un numero di telefonino
        di esempio che esisteva veramente ed era
        di questo tizio di novara che ha dovuto cambiare
        numero!!

 >
[CUT]
A un'altra chicca!!
Sulla rai facevano un telefilm penoso: NIKITA.
La biondona protagonista salvava milioni
di persone fermando un missile tramite computer.
Riusciva a bloccare il missile con un comando
di consolle Unix:
            kill -9
Adesso che lo sapete tutti voi potete
salvare il mondo dalla catastrofe.
                    danilo

 
Per iniziare l'infezione lo script è stato eseguito da qualcuno che su una 
macchina linux o Unix ha lanciato il comando 
perl 
worm.pl
 | nc server 1434 -u -v -v -v
dove perl è l'interprete che legge il file .pl e lo esegue, nc è il comando 
che ridireziona l'output sulla porta del server SQL, server è l'ip o il 
nome del server da infettare, 1434 è la porta del server e tutti gli altri 
parametri non so a che servono...
il "|" serve per concatenare i due comandi, per dart un esempio concreto 
prova ad eseguire questo comando in un prompt di msdos:
dir | find /i "doc"
dir dovresti conoscerlo se hai conoscenze di dos server per elencare le 
cartelle presenti sul tuo HD, find server per trovare una stringa, /i dice 
al comando find di cercare in maniera case insensitive cioè senza badare 
alle maiuscole/minuscole, "doc" è la stringa da cercare ma può essere 
quello che vuoi, mi raccomando alle virgolette però.


 
Perchč sarebbe stato un'errore? molte aziende usano l'indirizzamento 
privato con un proxy che le fa uscire su internet, sarebbe stato piů 
realistico.


 
ma... vabbè... non si può.... potevano almeno farle fare un kill -9 rckt 
che non ha senso lo stesso perchè il -9 vuole un PID numerico ma almeno 
era appena appena più realistico...


 realistico.
 Scusa ma lei non si collegava all'interno di una lan, ma
cercava di entrarci.
Come vedi c'è sempre qualcosa che non va.
Ripeto che però posso considerarla
una specie di licenza poetica, quello che non
arrivo proprio a capire è la presa per il cullo di
Independence day che sicuramente avrai visto.
I terrestri salvano la terra introducendo nei computer
alieni un virus scritto in codice C, come se
l'hardware alieno fosse uguale al nostro, basato
sul sistema binario, poi voglio capire con che
compilatore l'hanno compilato il codice C del virus
che tra l'altro in pochi secondi piega tutta la flotta
aliena diffondendosi a velocità incredibile.
                    danilo
(come cazzo fa poi a collegarsi alla flotta aliena?
hanno un indirizzo ip pubblico? io qui non riesco nemmeno
a collegarmi al server che ho accanto)
                    danilo

 era appena appena piů realistico...
Forse ricordo male io e il pid c'era
magari lo trovava con un
ps -a | grep missile
che ne pensi?
                        danilo

 era appena appena piů realistico...
Infatti!! :-|
Tutan

 hanno un indirizzo ip pubblico?
www.spacenavy.astr.et
:-D
--
Ciao
Quelo
_________________________________
Saddam ha l'atomica.
Bush ne è sicuro e mostrerà le prove:
sono le ricevute di quando gliel'ha venduta....

 ho vinto i biglietti di Rossana Doll??
ii  biglieetti per Rossana Doll non.ce.li.abbiaaamoooo!!!! >:-(
;-)


 parametri non so a che servono...
quindi ha infettato un server SQL (tralasciamo cosa sia....  ;-)
e da qui.... tutti quelli che hanno usato il server? :-/
--
Ciao
QueloGnurant


 
Vabbèquello non l'ho voluto neanche nominare, non merita neanche di essere 
preso in considerazione... quel film è solo megalomania americana...


 
Da quello che io ricordo l'IP l'hanno fatto vedere quando lei era nel suo 
vecchio ufficio dal quel era stata cacciata per sabotare il tutto... ma 
mnon ne sono sicuro...


 e da qui.... tutti quelli che hanno usato il server? :-/
Non è stato necessario "usare" il server, una volta infettato è stato il 
server stesso a cercare altri server da infettare generando 
randomicamente indirizzi IP.


 specie di Access su larga scala
Definizione da brivido, la microsoft potebbe citarti per
questo.
(mi sa che hai ragione)
p.s.
dovrei essere un dba oracle

 
Meh dai ho detto access perchè quasi tutti lo conoscono, è per far capire 
che è sto SQL server...


 capire che è sto SQL server...
parla per te...
...mia figlia mi ha spiegato tutto un mese fa...
Taita

 
quella di 3 anni? 
con i disegnini?


 con i disegnini?
no no con parole sue...quella ti fa ragionamenti che non immagini
oltre a mettere a posto il bios da sola
;-)
Taita

 ;-)
No i disegnini non per lei ma per far capire a te.
                                    danilo

 No i disegnini non per lei ma per far capire a te.
no le parole le capisco....basta non parlare troppo velocemente....
Taita