Newsgroup: it.comp.sicurezza.windows
Titolo: Sottosistemi Win16, Posix, OS/2

Salve a tutti,
si trova praticamente in qualunque manuale di hardening di Win2K il
paragrafo riguardante la necessaria disabilitazione dei sottosistemi
indicati. Nessuno però indica esplicitamente il perché sia necessario.
Capisco l'aderenza pedissequa al principio dell'installazione minima per
un qualunque sistema hardenizzato o presunto tale; capisco che se li
disabilito a fronte di un intrusione non risulta possibile usare
programmi, programmilli e backdoor che necessitano di tali sottosistemi.
Non mi costa nemmeno molto farli disabilitare come mi consigliano da più
parti.
Ma alla fine, c'è qualche rischio tangibile legato alla presenza di questi
sottosistemi, qualche bug noto o simili?
Grazie.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 sottosistemi, qualche bug noto o simili?
Ciao,
Uno dei rischi più tangibili è quello di ritrovarsi con sottodirectory
INCANCELLABILI da windows.
La compatibilità posix / OS2 permette di creare delle cartelle aventi nomi
di periferiche di output che windows non è più in grado di cancellare, ad es
COM1 , oppure nomi di file e cartelle costituiti da spazi vuoti (%20) che
sono solamente linkabili dall'esterno utilizzando il formato unicode nel
link (ad es. 
ftp.miosito.it/pub/COM1/%20%20%20%20/%20=1/test
).
Generalmente questo tipo di directory viene utilizzato dai vari  personaggi
che bazzicano in rete alla ricerca di un server ftp anonimo dove scaricare
tonnellate di materiale warez. Ovviamente l'amministratore di sistema di
quel server  (che non è stato accorto e non ha disabilitato il supporto
posix os/2) si troverà con una serie di cartelle che windows non riesce a
cancellare e a volte nemmeno ad aprire ma che via ftp svelano completamente
il loro contenuto.
Ci sono varie strade per ovviare al problema, ovviamente la prima è quella
di disabilitare il supporto ai due sottosistemi onde evitare guai
successivi.
Se purtroppo ci trovassimo a dover cancellare queste famose directory
incancellabili si possono tentare varie strade (alcune non si riescono a
cancellare in nessun modo), la prima è quella di cancellarle attraverso un
client ftp , la seconda è quella di utilizzare utility a linea di comando
posix compatibili come rm.exe presente nel resource kit di microsoft, oppure
cygwin che tra l'altro è freeware.
Alcune directory si riescono a cancellare anche utilizzando un comando tipo
rmdir \\.\C:\tuadir\dir
Con rm bisogna utilizzare il comando rm -r "//C/tuadir/dir"
Notare che non è possibile utilizzare il formato c:\tuadir\dir ma occorre
sempre utilizzare il formato posix per accedere alle cartelle.
Comunque sia,ricorda che Google è tuo amico ! e che ci puoi trovare un sacco
di materiale a riguardo,soprattutto nei gruppi.
Spero di averti aiutato
Fabio


volevo chiederti : ma cio' e' possibile solo se l'utente ha i permessi di
scrittura nelle cartelle gestite dal servizio FTP, dico bene... ?
Ho provato a cercare "disabilita supporto posix e os/2" ma non ho
trovato nulla concernente Windows 2000 server, soprattutto mi
interesserebbe sapere dov'e' che si puo' disabilitare, ma volevo anche
documentarmi su cosa siano questi sottosistemi e quali siano le loro
funzionalita'.

 INCANCELLABILI da windows.
Il problema non e' tanto che i file non sono cancellabili ma che
1) gli amministratori non li sanno cancellare e che 2) microsoft
non mette le necessarie utilita' nelle installazioni di default.
Come succede spesso, vengono fatte passare per vulnerabilita' le
carenze dei sysadmin e le impostazioni di default inopportune (e
anche qui, a ben vedere, si ricade nel primo caso).
Fabio e le utilita' posix

 non mette le necessarie utilita' nelle installazioni di default.
ma difatti, anche a me pareva strano che non si potessero cancellare,
per questo ho chiesto lumi su dove possa documentarmi... anche
perche' la mia ricerca fatta sia su google che sul sito Microsoft ha
dato risultati un po' difficili da interpretare (al sottoscritto,
naturalmente).

 anche qui, a ben vedere, si ricade nel primo caso).
Beh, direi che in questo caso le impostazioni di default sono inopportune
proprio perchè non mettono a disposizione nelle installazioni standard gli
strumenti per risolvere il problema.
Diciamo che si può parlare di vulnerabilità ogniqualvolta ci si trovi con un
servizio o un software che presenti la possibilità di eseguire codice
dannoso sfruttando alcune lacune o dimenticanze di programmazione. Di norma
tale vulnerabilità richiede l'intervento esterno della casa produttrice
che,preso atto dell'effettiva gravità della vulnerabilità ,rilascia una
patch atta a risolvere il problema.
Fatta questa premessa direi che il bug posix os/2 possa essere considerato a
tutti gli effetti una vulnerabilità in quando permette di eseguire
operazioni dannose. Il problema è che è una vulnerabilità inserita
volutamente e con cognizione di causa da Micro$oft nelle installazioni di
default dei vari SO.
Comunque sia se non fosse una vulnerabilità non sarebbe facile spiegare come
mai tutte le guide di hardening di un sistema W2K o NT hanno come punto
fisso la disabilitazione del sistema di compatibilità os2 posix.
Direi che non si tratta affatto di carenze dei sysadmin ma più che altro di
carenze dell'architettura di sistema MS. Un buon sysadmin conosce il bug
posix e lo elimina ,punto e basta.
Se per carenze intendi dire che alcuni non conoscono il bug e non lo
eliminano è un'altro discorso, ma se ti riferisci anche a chi lo elimina
senza conoscere a fondo il bug in se non sono d'accordo.
E' meglio attuare sempre una politica costrittiva e aprirla a mano a mano se
ne presenti la necessità piuttosto che andare a tappare ogni giorno buchi e
buchetti vari.
Inoltre e non per ultimo ripeto che alcune directory create sfruttando il
bug sono veramente incancellabili, frizzi lazzi e cazzi vari permettendo.
Fabio e le vulnerabilità posix

 Fabio e le vulnerabilità posix
Se pensi che si tratti di una vulnerabilita' direi che potresti postarla
su bugtraq, cosi' ti fai un nome :-)
Fabio
[1] se proprio vuoi lasciare l'accesso in scrittura al mondo intero.

 > posix e lo elimina ,punto e basta.
Ma si dai, che poi scusa eh, se fosse tutto perfetto e chi lo paga piu' un
sysadmin... ? ;-)


http://www.sikurezza.org/webbit02/Secure_IIS_5_1.pdf
http://www.sikurezza.org/webbit02/Secure_IIS_5_2.pdf
http://groups.google.com/groups?q=removing+posix+subsystems&hl=it&lr=&ie=UTF
-8&oe=UTF-8&selm=399BA181.614BDDDD%
40aquila.ro
&rnum=1
Ciao
Fabio

 interesserebbe sapere dov'e' che si puo' disabilitare
Lo devi fare a manina:
1) Cancellare key e subkeys:
Hive 	HKEY_LOCAL_MACHINE\SOFTWARE 
Key 	\Microsoft\OS/2 Subsystem for NT 
Hive 	HKEY_LOCAL_MACHINE\SYSTEM 
Key 	\CurrentControlSet\Control\Session Manager\Environment 
Name 	Os2LibPath 
Hive 	HKEY_LOCAL_MACHINE\SYSTEM 
Key 	\CurrentControlSet\Control\Session Manager\SubSystems 
Name 	Optional, Posix e OS/2 
Hive 	HKEY_LOCAL_MACHINE\SYSTEM 
Key 	\CurrentControlSet\Control\WOW 
2) Cancellare la directory %Systemroot%\system32\os2
 
3)Cancellare i files:
%SystemRoot%\system32\psxdll.dll	POSIX component
%SystemRoot%\system32\psxss.exe	POSIX component
%SystemRoot%\system32\posix.exe	POSIX subsystem
%SystemRoot%\system32\os2.exe	OS/2 subsystem
%SystemRoot%\system32\os2ss.exe	OS/2 component
%SystemRoot%\system32\os2srv.exe	OS/2 component
%SystemRoot%\system32\os2 (directory)	Vari files per OS/2
%SystemRoot%\system32\ntio.sys	Equivalente al DOS io.sys
%SystemRoot%\system32\ntdos.sys	Equivalente al DOS dos.sys
%SystemRoot%\system32\
command.com
	Interprete dei comandi DOS
%SystemRoot%\system32\ntvdm.exe	Win16 VDM subsystem
%SystemRoot%\system32\krnl386.exe	Win16 VDM component
In generale è possibile evitare momentaneamente la cancellazione 
impedendo la loro esecuzione per mezzo della rimozione dei permessi a 
tutti gli utenti (Administrator locale compreso).
-- 
wtf

 Ciao,
[cut]
Ok, grazie mille.
Fra le altre cose un server ftp messo cosě l'ho anche visto lo scorso anno 
(NT4), avrei potuto arrivarci da solo, effettivamente.
-- 
wtf

 ie=UTF-8&oe=UTF-8&selm=399BA181.614BDDDD%
40aquila.ro
&rnum=1
Qui c'e' scritto come si rimuove, non perche', ne si conferma qualche
bug del sottosistema.
Fabio

 disabilita in Windows 2000 il sistema di compatibilita' os2 posix. 
Come con nt.
Fabio

>il sistema di compatibilita' os2 posix. Giuro.
Ciao
Fabio

 Non ho mai detto di voler postare qualcosa su bugtraq.
Scusa, mi sono dimenticato la faccina... :-)
Fabio

 si puo' trovare nella kb di microsoft o su altri siti, comunque.
In realtà quello che dici non è corretto.
E' vero che si trovano parecchi thread a riguardo ma è anche vero che quasi
praticamente nessuno spiega come cancellare quelle directory che ritornano
un "access denied" con qualsiasi tool utilizzi per cancellarle.
Non è nemmeno possibile impostare le ACL da windows ,in quanto a accade
anche che il tab security in proprietà del file non sia presente e tantomeno
è possibile utilizzando Cacls o altri tools simili.
L'unica cosa che risolve il problema è utilizzare il comando TAKEOWN
(presente sempre nel resource kit) con i nomi in 8.3 (dir /X).
rm e tutti gli altri ammenicoli non servono assolutamente a nulla nei casi
sopra descritti se prima non si utilizza TAKEOWN.
Comunque sia,domani vi posto il documento che spiega tutto.
Ciao
Fabio

 Comunque sia, domani vi posto il documento che spiega tutto.
Bravo.
Fabio (l'altro)
PS: chiedo perdono per il possibile wrapping alla pen di veltro. Colpa
      del web-newsreader di iol.
--------------------------------
Inviato via 
http://usenet.libero.it