Newsgroup: it.comp.sicurezza.unix
Titolo: Itrusione?

Salve a tutti, sono nuovo di questo newsgroup e vorrei
conoscere un paio di cosucce in più riguardo la sicurezza
della mia Linux Box. (Slackware 4.0)
Ho sempre utilizzato Internet per scaricare files o
scambiare messaggi, ma ieri ho ceduto alle insistenze di un
mio amico e ho provato a chattare. Ovviamente non ero root.
Appena mi sono connesso con un server (non ricordo neanche
quale) un programmino che ho aggiunto seguendo le istruzioni
di un amico mi ha dato un allarme. Questo è un estratto di
----------------------------------------
/var/log/messages:
identd[1434]: Connection from 
helios.metalab.unc.edu
identd[1434]: from: 152.19.254.81 ( 
helios.metalab.unc.edu
 ) for: 1137, 21
identd[1446]: Connection from 
helios.metalab.unc.edu
identd[1692]: Connection from 
helios.metalab.unc.edu
identd[1692]: from: 152.19.254.81 ( 
helios.metalab.unc.edu
) for: 1163, 21
identd[1701]: Connection from 
helios.metalab.unc.edu
identd[1701]: from: 152.19.254.81 ( 
helios.metalab.unc.edu
) for: 1165, 21
identd[1446]: from: 152.19.254.81 (
helios.metalab.unc.edu
)
 EMPTY REQUEST
identd[1718]: Connection from 
helios.metalab.unc.edu
identd[1718]: from: 152.19.254.81 ( 
helios.metalab.unc.edu
) for: 1188, 21
identd[1750]: Connection from 
helios.metalab.unc.edu
identd[1750]: from: 152.19.254.81 ( 
helios.metalab.unc.edu
 ) for: 1211, 21
identd[1751]: Connection from 
helios.metalab.unc.edu
identd[1751]: from: 152.19.254.81 ( 
helios.metalab.unc.edu
 ) for: 1218, 21
identd[1752]: Connection from 
helios.metalab.unc.edu
identd[1752]: from: 152.19.254.81 ( 
helios.metalab.unc.edu
 ) for: 1197, 21
identd[1981]: Connection from 
parrot.euronet.nl
identd[1981]: from: 194.134.52.178 ( 
parrot.euronet.nl
 ) for: 1228, 6667
in.intruderdetector[1985]: connect from 206.138.230.8
in.intruderdetector[1982]: connect from 
ro...@204.178.73.175
pppd[1006]: Terminating on signal 15.
------------------------------------------
Cosa significa tutto ciò?
Sono molto ignorante in materia, ma se ho capito bene quel
root@204..... è un tipo che voleva "intrufolarsi"?
E c'è riuscito?
Quell' in.intruderdetecrot è un "programmino" che mi hanno
detto di aggiungere proprio per controllare se qualcuno si
intrufolava. Non so nemmeno se ho fatto bene a metterlo. Il
programmino suddetto non fa altro che informare
l'intruso che la sua connessione sarà loggata e poi
faccio emettere un suono per avvertirmi. Viene richiamato
da:
-----------------------
/etc/hosts.allow:
in.intruderdetector : ALL : spawn (/usr/bin/play /opt/kde/share/sounds/ktalkd.wav)
ALL: local
-------------------------
In /etc/inetd.conf c'è:
---------------------
socks            stream  tcp  nowait  nobody  /usr/sbin/tcpd in.intruderdetector
backorifice      stream  tcp  nowait  nobody  /usr/sbin/tcpd in.intruderdetector
netbus           stream  tcp  nowait  nobody  /usr/sbin/tcpd in.intruderdetector
backdoor-unknown stream  tcp  nowait  nobody  /usr/sbin/tcpd in.intruderdetector
---------------------
E in /etc/services:
---------------------
socks             1080/tcp
backorifice       31337/tcp
netbus            12345/tcp
backdoor-unknown  20034/tcp
---------------------
Ringrazio in anticipo per l'interessamento.
Se poi magari potreste darmi "qualche dritta" su come
rendere il mio sistema ragionevolmente sicuro per un
computer di casa vi sarei grato. Magari qualche rule di
ipchains... Purtroppo non ho troppo tempo per fare letture
approfondite delle documentazioni adatte...
 --
Saluti,
  __
 (__'
 ,__)tefano
 |> Nel campo From: sostituire NO-SPAM con falsetto <|

root@204..... è un tipo che voleva "intrufolarsi"?
No. Togli i "programmini" che hai installato e vivrai piu` tranquillo.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 in.intruderdetector[1982]: connect from 
ro...@204.178.73.175
A occhio in.intruderdetector ha fatto il suo lavoro.
-- 
     XO

XO <Hallelui> ha scritto:
:> in.intruderdetector[1985]: connect from 206.138.230.8
:> in.intruderdetector[1982]: connect from 
ro...@204.178.73.175
: A occhio in.intruderdetector ha fatto il suo lavoro.
Che tipo di lavoro? Ha fatto entrare il tipo e poi l'ha cacciato o l'ha
cacciato direttamente?
-- 
Saluti,
  __
 (__'
 ,__)tefano
 |> Per contattarmi togli 'toglimi' dall'indirizzo <|

 cacciato direttamente?
Tu ti saresti aspettato un refused connection ? ;-))
Per funzionare invece la connessione deve essere concessa, in modo 
che venga chiamato in.intruderdetector e possa essere mandato il 
messaggio al lamer, dopo di che il servizio termina.
In host.allow infatti il servizio in.intrudedetector
e' concesso a tutti.
Tecnicamente non e' in.intruderdetector che rifiuta o concede 
la connessione,ma tcpd.
inetd controlla le porte attive e quando arriva una richiesta su una 
qualsiasi di queste passa il controllo a tcpd che valuta (host.allow e
host.deny) se concedere o meno il servizio.
Paradossalmente l'anti intrusione era gia' abilitato sul sistema e si
chiama tcpd ;-))
in.intruderdetector e' un anti NIENTE, serve solo a mandare il msg 
al lamer e ad avvisarti nel caso tu voglia mettere in atto delle 
contro misure.
Oltretutto mi sembra ci sia un errore, ti fa controllare la 31337/tcp
che non 
e' BO.
-- 
     XO

XO <Hallelui> ha scritto:
:> : A occhio in.intruderdetector ha fatto il suo lavoro.
:> Che tipo di lavoro? Ha fatto entrare il tipo e poi l'ha cacciato o l'ha
:> cacciato direttamente?
: Tu ti saresti aspettato un refused connection ? ;-))
Boh? 
: Per funzionare invece la connessione deve essere concessa, in modo 
: che venga chiamato in.intruderdetector e possa essere mandato il 
: messaggio al lamer, dopo di che il servizio termina.
: In host.allow infatti il servizio in.intrudedetector
: e' concesso a tutti.
Aaaaaah, perciò sta in hosts.allow!
: Tecnicamente non e' in.intruderdetector che rifiuta o concede 
: la connessione, ma tcpd.
Si, questo l'avevo capito...
[...]
: Paradossalmente l'anti intrusione era gia' abilitato sul sistema e si
: chiama tcpd ;-))
: in.intruderdetector e' un anti NIENTE, serve solo a mandare il msg 
: al lamer e ad avvisarti nel caso tu voglia mettere in atto delle 
: contro misure.
Che in.intruderdetector è un anti-NIENTE lo si capiva dal fatto che dentro
ci sono solo 4 echo ;-)
Comunque sarei curioso di sapere se aggiungendo questo batch ho diminuito la
"sicurezza" del sistema o il fatto è irrilevante. 
Cioè se durante quel tempo in cui hosts.allow sta chiamando ed eseguendo
intruderdetector il lamer può accedere al mio computer e fare qualche
cosa...
: Oltretutto mi sembra ci sia un errore, ti fa controllare la 31337/tcp
: che non e' BO.
BOH? :-)
Queste cose le ho copiate da non-ricordo-dove... Tu che sei più esperto
dammi un consiglio: che faccio, tolgo tutto e lascio in host.allow solo
ALL: local ?


 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Can you repeat the part after "Listen very carefully"? **---

 ALL: local ?
Non sono un esperto, ma ti ripeto, se non ti interessa sapere quando
qualcuno viene a bussare alle tue porte togli pure tutto, disattiva i
servizi che non ti servono e configura host.allow come sopra e host.deny
di conseguenza
ALL: ALL
Ciao
-- 
     XO

 sembri un po' troppo paranoico :-)
:-) Non sono paranoico, è che l'argomento sicurezza mi interessa molto, e
vorrei cominciare a capirci qualche cosa. Penso che questo sia appena
l'inizio...


 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** I'm Not Schizophrenic, And Neither Am I. **---

 per quanto leggero sia sicuro?
Non e'  chiudendo quelle due porte che elimino il rischio di un DoS, 
basterebbe fare ping.....
Per come la vedo io quello non e' aprire una porta,
ma attaccare un campanello.
  .XO

La porta e' comunque aperta. Se non ci metti nulla non c'e' possibilita'
che qualcuno sfrutti un bug del tuo campanello (e non sarebbe la prima
volta che capita) per entrare, a parte la possibilita' di un DoS tipo
spaccarti i timpani suonando il campanello in continuazione che
nell'altro caso non avresti.
Di certo la sicurezza la diminisci, se poi ti diverte stare a vedere i
tentativi di intrusione, beh, sui gusti non si discute.
Ciao
-- 
Simone Piccardi
Microsoft is NOT the answer. Microsoft is the Question.
The answer is: "NO!"

 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** It's a good thing we don't get all the government we pay for. **---

 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** All wiyht. Rho sritched mg kegtops awound? **---

 derivanti dal fatto che il client e' poco sicuro.
Sono d'accrodo con te, ci sono metodi migliori per loggare,
ma da quello che si puo' vedere dal post, quell'affare
(in.intruderdetector) non fa altro che 4 echo, 
la *sicurezza* vera e propria e' cmq affidata a strumenti
del sistema operativo...inetd e tcpd che gli controllano
anche le altre porte....se ti fidi ad affidargli quelle....
Ciao
-- 
  .XO

 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Almost went crazy. Would have been a real short trip. **---

 devo aggiornare un pacchetto bacato...)
Ambeh...sei un diffidente (pigro) per natura ;-)))
-- 
  .XO

 
scrisse:
| Non mi fido praticamente di niente (ma in compenso sono due mesi che
| devo aggiornare un pacchetto bacato...)
A proposito di pacchetto bacato: cosa ne pensi/ate di WuFtpd?
Ho letto di storie strane sul server in questione, mi confermate oppure 
e' una mia "sega" mentale?
Grazie
Bye!

 e' una mia "sega" mentale?
No hai ragione son stati trovati parecchi buffer overflow ultimamente che
concedevano r00t da remoto/locale, ma neanche proftpd e' stato da meglio
;).
Bisognerebbe andare su qualche demone piu' essenziale e piu' sicuro imho
se non si hanno particolari necessita'.
Voi che demone ftp consigliate?
Ciao,
 Emanuele
--
Live free or die, UNIX trademark of BELL labs - 
http://www.bsd.org
 -
Key fingerprint = 5BE2 14E1 A532 680F 57AB  E828 BBF6 92CB BC4C 81A9

Voi che demone ftp consigliate?
E` complicato. Se ti bastano quattro feature in croce troll-ftpd non e`
male, altrimenti e` interessante hftpd.


 
scrisse:
Ciao!
| No hai ragione son stati trovati parecchi buffer overflow ultimamente 
che
| concedevano r00t da remoto/locale, ma neanche proftpd e' stato da 
meglio
| ;).
Premetto che non e' molto tempo che lurko su NG Unix/Linux, la mia 
domanda potrebbe essere poco pertinente, ma, in sintesi cosa e' un 
buffer overflow?
Cosa significa tecnicamente?
E' applicabile solo sui bachi del server WuFtd o similaria oppure 
funziona anche su altri servizi come MTA/Sendmail?
bye!

 funziona anche su altri servizi come MTA/Sendmail?
Ogni demone insicuro in listen()/accept() sulla tua macchina e ogni file
suiddato (+s) che non esegua controlli sulla lunghezza dei buffer letti
(tipiche sono le funzioni strcpy(), strcmp(), sprintf() .....). 
Il problema non e' dei soli sistemi UNIX ma anche di quelli win.
Ti consiglio di leggere "Smash the stack for fun and profit" di Aleph1, lo
trovi su 
http://www.dislessici.org
.


 
scrisse:
Ciao Emanuele
| Il discorso non e' semplice e io non sono il piu' adatto a spiegarlo, 
ma
| cmq il 99% degli exploit in giro e' basato sui buffer overflow.
Molto chiaro e circostanziato!
E' possibile che tramite questo tipo di attacco l'aggressore si finga, 
nell'accesso al server FTP, come se fosse l'utente vero e proprio?
Oppure e' possibile che tramite questo tipo di attacco scarichi il file 
/etc/passwd per decodificarlo e poi modificare le pagine Web su spazio 
ftp utente a suo piacimento come se fosse proprio l'utente titolare di 
quell'account FTP?
Certo che una volta acquisito il privilegio di superutente sono problemi
seri....
| Ogni demone insicuro in listen()/accept() sulla tua macchina e ogni 
file
| suiddato (+s) che non esegua controlli sulla lunghezza dei buffer 
letti
| (tipiche sono le funzioni strcpy(), strcmp(), sprintf() .....). 
| Il problema non e' dei soli sistemi UNIX ma anche di quelli win.
Sul sendmail il problema lo posso risolvere filtrando il servizio alla 
sola rete di mia competenza, ma il server FTP mi serve, cosa si puo' 
fare x vivere un po piu' tranquilli? 
Esistono delle soluzioni o dei metoti che permettano di prevenire un 
BufferOverflow?
| Ti consiglio di leggere "Smash the stack for fun and profit" di 
Aleph1, lo
| trovi su 
http://www.dislessici.org
.
Mille grazie x le informazioni.
Ciao!!

 -- Redazione Linux & C.


Ciao,
On Mon, 22 Nov 1999 16:59:23 +0100 (CET), ntf wrote:
|Molti degli exploit x ftpd richiedono un accesso in scrittura sul 
server,
|cosa che nella maggior parte dei casi solo gli utenti hanno (solo i 
siti
|warez lasciano incoming scrivibile da everyone con accesso anonimo ;).
Il quesito applicativo e' questo: Il server Ftp deve fornire accesso in 
sola lettura per fornire agli utenti un'area files, nella directory 
"/pubblica" si dirama tutta l'area files della BBS, a nessun utente 
anonimo e' consentito di scrivere sul disco. 
Solo gli utenti dell'ipotetico gruppo "utentiweb" hanno accesso in r/w e
finiscono direttamente nella loro directory senza poter andare a zonzo e
sopratutto senza avere nessuna shell da usare.
Come ti ripeto non sono un esperto, cerco di rompere il minimo possibile
le balle :), anzi sono alle 
prime armi :) e faccio quel che di poco ho imparato (a dire il vero non 
molto....). Con questa situazione con il BufferOveflow mi/ci si possono 
inserire come RooT? 
Sia l'utente ftp che tutti gli utenti del ipotetico gruppo"utentiweb" 
non hanno una shell valida e tutti gli altri utenti non possono accedere
al server xche' sono stati posizionati nella lista nera di accesso al 
server ftp (ftpusers).
Se si.....allora credo che il problema sia ben piu' ampio di quanto 
possiamo immaginare visto che se il programma va in crash dovrebbe 
offrire la shell autorizzata per quel tipo di utente: ovvero nessuna 
shell e sconnettere l'utente/intruso. Dove sbaglio? Insomma se e' un 
utente anonimo che tenta l'accesso e prova il "bufferoverflow" il crash 
non lo dovrebbe solo sbattere fuori? 
Insomma all'utente ftp e' associata la shell "NoTelnet" cosi' come agli 
utenti del gruppo "utentiweb".
|E' probabile che l'attacker (o cracker) cerchi di ottenere queste 
password
|tramite sniffing o social engineer (sembra impossibile ma molti cascano
al
|classico 
servizio...@HOTMAIL.COM
 ecc. ecc.).
La password deve passare in chiaro e questo puo' avvenire solo 
utilizzando il Browser Web.
tutte le password che passano sul browser web passano in chiaro, una 
dopo l'altra 
sino a quando il browser non viene chiuso. Quindi se ho delle pagine Web
degli utenti protette da passwd faccio in modo di assegnargli password 
diverse. Non ho mai frequentato HotMail, cosa sarebbe sto servizio di 
supporto? So che una persona che conosco si e' divertita a modificare a 
piacimento l'indirizzo di e-mail di un suo amico o meglio la sua 
password. Insomma mi sembra che hotmail non sia proprio il massimo della
sicurezza.
|login e la password possano collegarsi da dovunque pure dalla Tanzania,
|altrimenti potresti settare un firewall o il tcp in modo da concedere
|accesso solo a determinati indirizzi IP e domini.
Il servizio ftp lo posso anche vincolare con i files hosts.deny e 
hosts.allow legandoci un Wrapper. Il problema e' che non ho mai tempo 
:))) Se hanno avuto accesso all'host ed hanno crakkato in qualche modo 
il file delle password possono accreditarsi da qualsiasi luogo del 
mondo, prima si trovano un Wingate e poi fanno quello che vogliono. Con 
questo sistema modificano la pagina Web dell'utente che hanno prescelto.
|Certo, quello e' il minore dei mali, perche' di solito lui aggiunge una
|bella shell trojana in inetd e lo HUPpa, creandosi cosi una bella porta
di
|accesso (quasi mai loggata) e potendo agire indisturbato.
Ma non deve aprire una porta? Se posiziona una shell nel file 
"/etc/inetd" deve utilizzarla aprendo 
una sessione telnet o qualcosa che gli consenta l'accesso da romoto.
Sbaglio?
|Ehehe gia' ;), ma anche se da remoto conquista un account da semplice
|utente, son cazzi ;)
ca**etti....gli altri sono ca**oni :)))) 
xo' mi sembra che tutto sommato chi usa WinDoze sia un'attimino messo 
peggio o sbaglio?
|Spero di esserti stato utile.
Utilissimo....
Ciao e grazie!
n.b.: se sono OT mi sposto sulla casella di e-mail. altrimenti 
continuiamo qui.

 
scrisse:
| E` complicato. Se ti bastano quattro feature in croce troll-ftpd non 
e`
| male, altrimenti e` interessante hftpd.
Hai le URL?
Ciao e grazie!

 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Always draw your curves, then plot the data. **---

ProFTPD Regna. :)
Regna su bugtraq, pare...


 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Barium: what you do with dead chemists. **---

 Key fingerprint = 5BE2 14E1 A532 680F 57AB  E828 BBF6 92CB BC4C 81A9
-- 
Francesco P. Lovergine  
f.lov...@iesi.ba.cnr.it
CNR-IESI                
http://www.iesi.ba.cnr.it
V.Amendola 166/5
I-70126
BARI BA (ITALY)

 wrote in message
news:XZSf2y8VVgZx-pn2-EFcHWjKsGDew@macchina-base...
