Newsgroup: it.comp.sicurezza.unix
Titolo: Come hanno fatto a scoprire le password?

Qualche settimana fa abbiamo avuto un'attacco su un sistema linux
Redhat 7.3. Avendolo scoperto abbiamo provveduto a formattare il disco
con i files di sistema e ad installare una nuova versione di RedHat
linux. 
Abbiamo mantenuto il vecchio file /etc/passwd e la shadow. Non ci
siamo preoccupati di cambiare le password perche` stavamo usando solo
protocolli criptati ssh e imaps. 
Ora pero` abbiamo scoperto che sono entrati di nuovo usando ssh e
utilizzando tranquillamente le nostra password.  Ma io mi chiedo, come
hanno fatto a decrittare le password?  
Pensate che sono riusciti anche ad entrare su un seconda macchina con
una password diversa.  E` probabile che l'utente si sia collegato sempre
e solo con ssh dala prima alla seconda macchina nel periodo in cui la
prima era vulnerabile.
E` possibile che abbiamo "sostituito" l'ssh in modo da leggere
le password prima che siano criptate?
Qualcuno mi sa dare una altra spiegazione plausibile?
Grazie
Stefano

 Qualcuno mi sa dare una altra spiegazione plausibile?
No, avendo formattato no.
-- 
Ciao da Villo    -    GPG public key available
                      Ferrara LUG 
http://ferrara.linux.it
        Remove "+settanta" for email replies
Protect your Freedom: 
http://www.againsttcpa.com/index.shtml

 hanno fatto a decrittare le password?  
Probabilmente perche' e' una password del menga. Magari non l'hanno
nemmeno 'decriptata', l'hanno semplicemente indovinata.
Davide
-- 
All software sucks.  Everybody is considered a jerk by somebody.  The sun
rises, the sun sets, the Sun crashes, lusers are LARTed, BOFHs get drunk.
It is the way of things.
--Steve Conley

 No, avendo formattato no.
Beh, potrebbero averlo fatto tra l'attacco e la formattazione...
Se il demone era stato sostituito, alla prima login come root per controllare
se il sistema era davvero stato violato la password e' stata inviata ai
cracker di turno.
Ciaotutti,
*
--
A: Because it messes up the order in which people normally read text.
Q: Why is top-posting such a bad thing?
A: Top-posting.
Q: What is the most annoying thing on usenet and in e-mail?

hanno preso la stringa in /etc/passwd e l'hanno forzata.
-- 
Non serve un martello per inchiodare Windows95 !

 hanno fatto a decrittare le password?  
Non sei a conoscenza del fatto che esistono tooletini da 2 soldi che ti 
decriptano le password shadow (anche quelle difficilette) in pochissimi 
secondi?
Se non lo sapevi ti dico io dove puoi trovare il tool in questione:
http://www.brandonhutchinson.com/john_the_ripper.html
ciao
Massimiliano.

 
john the ripper.
Ti sgama tutte le password in un attimo.

 
http://www.brandonhutchinson.com/john_the_ripper.html
Magari pochi secondi!
Ho fatto una prova con una password non banale (lettere e numeri, case
diversi) e dopo 37 giorni di calcolo non l'aveva ancora indovinata (Athlon
XP 2600). Ho lasciato perdere nella convinzione che a meno che non usino
un cluster sara` dura da decrittare, ma quasi quasi per curiosita` lo
faccio riprendere (john si salva lo stato del ripping, per fortuna).
Bye.

 XP 2600). 
Poniamo il caso che Stefano Leonardi non avesse della password come 
quella che tu hai tentato di decriptare ...
Se ti va, posso di postare la password che hai tentato di decriptare?
--
Massimiliano.

 Se ti va, posso di postare la password che hai tentato di decriptare?
correzione: posso chiederti di postare la password che hai tentato di 
decriptare (non l'hash, la password)?
Non e che per caso era per caso una roba tipo  --> 
a/(sd&(/&`}lkjfg@#@#@³³!!££$%%fjkfhv9uit543jofj9834vf?^^^^43543543
<g>
--
Massimiliano.

 ancora non ha rotto la pass di root del file fornitogli.
che cazzo t'e' preso?
sei per caso innamorato di DeRosa e non vuoi che te lo tocco?
--
Massimiliano.

 protocolli criptati ssh e imaps. 
Li' sta IMHO l'errore.
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 ciao, f.
Perchč, root non č una buona scelta come password ? :-]
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 hanno fatto a decrittare le password?  
ci sono sistemi con cui si possono decrittare, e anche sistemi con cui 
non ce n'e' bisogno (la macchina non è mai stata usata da console? 
Keylogger, anyone? :-))
dopo anche solo un sospetto di violazione le password vanno cambiate SEMPRE.
-- 
Fabrizio "Hermooz" Ermini


Proprio un'attimo non direi ... voglio dire un MD5 non sara' il massimo 
della sicurezza ma non e' nemmeno qualcosa da abbandonare.
Il problema risiede sempre tra la tastiera e la sedia ... di che 
password stiamo parlando? quanti caratteri ? quali regole/limitazioni ?
Con una buona politica di Passwords e Shadow/MD5 io mi sento abbastanza 
al sicuro.
Ciauz


Anche perche' , aldila' del fatto che ti abbiano "decryptato" la 
password e del modo in cui lo hanno fatto, se ormai le tue password le 
hanno ... che senso ha reinstallare tutto con le stesse password? tanto 
valeva lasciare la vecchia macchina, gli risparmiavi il fastidio di 
scriverla di nuovo ;)
Ciauz
P.

 
Più che altro perchè john lavora a brute force ed a dizionario, quindi 
scopre ben poco



Ciao, Alberto

In 
pan.2004.11.06....@hotmail.com
, Stefano Leonardi,


secondo me hanno utilizzato uno spoofing arp con un tunnling ssh.. detto in
due parole: CAIN !