Newsgroup: it.comp.sicurezza.windows
Titolo: Sicurezza Windows 2000 (

Ciao a tutti,
 sto testando tutti i meccanismi di intrusione in una macchina con Windows
2000 Professional SP2.
Mi serve un aiuto per valutare le possibilità che ha un utente del gruppo
Guest ad utilizzare la macchina coi diritti Admin.
Premessa :
Esistono 2 Accounts : Administrator (locale) , Pippo (in dominio)
La macchina è in rete. Può fare boot da floppy.
L'Administrator accede alla macchina da locale per manutenzione, ogni
settimana.
Sulla macchina è installato McAfee Viruscan v4.51
Non ci sono cartelle condivise (nemmeno le Admin$)
Una sola partizione NTFS
Non sono installati servers FTP,HTTP,etc.
Supponimao di essere il Pippo della situazione :-)
Come Pippo non posso installare nulla e non ho accesso a parecchie cartelle.
Anche esportando il SAM con boot da floppy (NTFSDOS o similari) non riesco a
processarlo (LC3) per colpa del SYSKEY.
L'unica possibilità sarebbe quella di fare il boot da floppy ed cambiare la
password di Administrator utilizzando Offline NTpw & RegEditor (linux
bootdisk),
ma l'Administrator se ne accorgerebbe
Provando anche con PWDUMP3v2 da remoto, non si riesce a grabbare gli hashes
per via dell'assenza di condivise sul target
L'idea che mi è venuta è questa:
Azzero la password di Admin col bootdisk linux (vedi sopra), installo
FAKEGINA e ne escludo lo scan dal McAfee, attendo le mosse
dell'administrator.
Non mi sembra una soluzione pulita. Dovrei invece trovare la password di
Admin e magari usare comunque FAKEGINA.
Ma come faccio ad installare FAKEGINA senza i diritti di Admin ? C'è un modo
per eseguire l'operazione magari a SYSTEM level ?
N.B. Il Pippo potrebbe smontarsi l'HD e portarselo a casa durante la
settimana.
Non credo che la macchina sia comunque sicura, che ne dite ???
Grazie

 Non credo che la macchina sia comunque sicura, che ne dite ???
Dico che sei un lamer da strapazzo :)
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509
Caccia Carlo of 
www.x-planet.org
 

Non credo che la macchina sia comunque sicura, che ne dite ???
Che hai ragione.
Leonardo

 
Tu sei fissato con i lettori biometrici! Se vuoi te ne vendo uno non ci
sono problemi :)
Pensa che il primo progetto in italia lo aveva fatto um mio caro amico
che lavorava alla DixxCOM.....ciao


sono problemi :)
Tu dammi 5 minuti tete-a-tete con una macchina Windows 2000 SP666 con
possibilita' di local boot, e altri 2 minuti subito dopo che l'admin,
una volta collegatosi con successo con la sua pass, s'e' staccato.
Dopodiche' ti garantisco due cose:
	a) Manco gli spiriti della minchia (tranne forse che usando
	   la polverina per le impronte -- ma posso usare i guanti)
           ti sapranno dire che c'e' qualcosa di strano in quel PC,
	   o che mai ci sia stato;
	b) Io sapro' la pass di admin.
Per ovviare a questo esistono tre metodi, e io ne conosco due: uno e'
quello di cambiare OGNI VOLTA la password - per cui avere la pass non
mi serve a nulla. Tranne che se e' sequenziale, posso "clonare" il PC
(o l'hard disk, a livello binario) PRIMA di grabbare la pass... e poi
ripristinare/scambiare gli hard disks, immettere quella che e' ANCORA
la pass valida, programmare una security piu' comodosa - e riportarmi
via l'hard disk, tempo necessario minuti 20, ma se sei ratto a svitar
viti e cattar piattine, ti ce ne bastano 10.
Il secondo metodo e' quello dell'accesso biometrico, per cui o uso il
metodo Yakuza e ti amputo una falange, oppure non entro. Sempre se il
lettore e' abbastanza vispo: ce n'era uno dove, "preparando" per bene
il lettore, si poteva entrare con l'ID dell'ultimo venuto appoggiando
sul lettore un CD (fece sensazione la dimostrazione, in quanto il mio
collega nonche' complice uso' un CD della SuSE <ahr, ahr>).
Il terzo metodo non credo sia per gli umani, perche' l'ho visto usare
solo una volta e tanto tempo fa, quando commisi il peccato d'orgoglio
di pensare di poter considerare di sognare d'illudermi di essere piu'
fvrbo di Colei Che Tutto Sa e Tutto Puo' ed Avanza Due Lire di Resto,
finendo immerdato (il che porto' il punteggio della nostra gara ad un
poco lusinghiero 79-0... e io non ero quello in vantaggio), in quanto
la password risulto' essere "sorry,leonardo,butitwillnotwork".
Leonardo

 una volta collegatosi con successo con la sua pass, s'e' staccato.
Inutile....non ti si può prendere sul serio....:)


la password risulto' essere "sorry,leonardo,butitwillnotwork".
Questa deve essere davvero un tipo che vale la pena conoscere, anche
se ho idea che _dopo_ il mio ego sarebbe pari a quello di una pulce.
Ciao
Francesco

 fvrbo di Colei Che Tutto Sa e Tutto Puo' ed Avanza Due Lire di Resto,
... e magari la manda Don Pasquale il fotografo?
S&G,
Kiko.

Inutile....non ti si può prendere sul serio....:)
Con ampia possibilita' di prova, e ci posso fare su una scommessina. Va
da se' che la password deve essere immessa da tastiera e ci deve essere
su la Gina (quella *****) standard, senza trucchi sconci, tipo fare una
analisi del ritardo fra due tasti consecutivi.
Il necessario me lo porto io: mi basta una scatolina di 3.5" di lato di
quelle da dieci floppy, vuota per ben nove decimi, praticamente cartone
e aria. Eh? Saro' EROE(TM)?
Su un PC bello moderno posso scendere a 3 minuti prima e 1 dopo.
Leonardo e il suo motorazzo (a pile)

... e magari la manda Don Pasquale il fotografo?
No, "la veniva di terra di Francia".
Leonardo

 Leonardo e il suo motorazzo (a pile)
1 - E nell'unico dischetto rimanente che ci sta?
2 - Ci devi poter fare il buttostrappo?
3 - 3+1 mi sembrano davvero pochi.
4 - Salutami Clem.
Kiko e la sua moto (in fibra di lupino).

 b) Io sapro' la pass di admin.
Tu dammi la password di Admin che io . . . .
ma che discorsi sono ?
Ci riesci alle seguenti condizioni ?
1) server chiuso sotto chiave;
2) trovi la chiave della portsa ma il server non ha ne il floppy ne il
lettore CD (si, puo' capitare anche questo :->> )
3) password bios;
4) allarme, su un PC client, non appena il server và giu'
5) e tanto, tanto, tanto altro ancora !
saluti.

> Con ampia possibilita' di prova, e ci posso fare su una scommessina. Va
La vuoi fare con me una scommessina ?
Io faccio il responsabile della Sicurezza e tu fai l'hacker ( se vuoi
possiamo anche farlo virtualmente);
Ci scomettiamo dei bei cannoli ? (qui giu' in Sicilia li fanno fanno molto
buoni)
Fra i lettori biometrici e la tua 'realta' ci stanno tanti livelli intermedi
molto poco costosi e tanto, tanto efficaci.
Nino che i lettori biometrici li fa comprare alla CIA.
Saluti.

molto poco costosi e tanto, tanto efficaci.
Siamo d'accordo. Tanto piu' che, se il Pippo ha accesso fisico alla
macchina, anche badge, smartcard, accesso biometrico e simili, alla
fin fine, non servono a niente.
Quindi, il metodo meno costoso e piu' efficace e' quello d'impedire
l'accesso alla macchina. A quel punto basta anche la tastiera.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

5) e tanto, tanto, tanto altro ancora !
Non puoi domandarmi cosa farei in una situazione sconosciuta. Ti
potrei rispondere solo se sapessi di essere onnipotente. Faresti
prima allora a domandarmi "Sei tu forse un Dio?" [1]
Leonardo
[1] 
http://www.personal.psu.edu/users/s/e/seb203/sounds/sayyes.wav


 Nessun problema, e il PC client non dara' l'allarme.
No, dai, non dire cazzate ! come fai a far girare un applicativo C/S se il
Server è giù ? ?
Qui siamo alla fantascienza.
Guarda che 'Mission: impossible' era un FILM non realtà.

prima allora a domandarmi "Sei tu forse un Dio?" [1]
...e se ti capita, ricorda di rispondere si! ;)
HappyCactus a caccia di fantasmi
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus
Cannot delete files, disk full. Try to delete some file.


Be' . . non direi visto che potrei portarmene una in tasca (si in tasca, hai
letto bene :-P ).
Bisogna proprio impedire l'accesso fisico al server;
Saluti.

Server è giù ?
Non ricordo di aver detto che il server fosse giu'. Nel caso, se tu o un
altro foste cosi' gentili da indicarmi il message-id... O:-)
Comunque, visto che su questo m'avete sgamato, rinuncio alla pretesa che
il server abbia un CD-ROM, o un floppy, o debba essere riavviato.
A questo punto, il metodo e' talmente ovvio, che il punteggio per chi me
lo enuncia bello piatto piatto e' ridotto a un terzo :-)
Leonardo


 "Sei tu forse un Dio?" [1]
No, solo un Mastro di Chiavi...;)

 Leonardo e il suo motorazzo (a pile)
Io punto su di te...;)

Allora, scusami, riepiloghiamo:
1) Il server è acceso e rimane acceso;
2) Vi è l'accesso fisico sia prima che dopo il Login dell'Admin;
3) Il server NON ha Floppy nè lettore CD;
4) Il server, prima del tuo intervento, è pulito (Trojan etc.).
5) Il server non è in rete;
6) L'admin, quando finisce, e quindi prima del tuo secondo intervento,
effettua un logoff;
7) Sistema operativo Win 2000 (Server o pro);
8) Tu sei a conoscenza di un account di tipo User;
9) Non hai con te alcun tipo di Software o Hardware;
Sono queste le condizioni di partenza ?  :)
Se è no dimmi quali punti cancellare.

 il server abbia un CD-ROM, o un floppy, o debba essere riavviato.
Ok.

letto bene :-P ).
Scusa, mi sono espresso male. Intendevo dire: una volta impedito
l'accesso fisico al server, puo' anche bastare una tastiera, per
autenticarsi.
Leonardo

Se č no dimmi quali punti cancellare.
8 e 9. Come dicevo, "una scatola da dieci floppy, piena per un
decimo" :-)
Leonardo

penso che local boot voglia dire shutdown e bootstrap;
Ovviamente stavo fuorviando. Io chiedo la POSSIBILITA', ma non ho detto
che intendo avvalermene :-)
Del resto, tutti sappiamo che il mestiere del net-admin ha qualcosa del
prestidigitatorio :-)
Leonardo

...e se ti capita, ricorda di rispondere si! ;)
Ho bookmarkato quel WAV apposta.
Leonardo

 decimo" :-)
.....mmmm, mi sfugge qualcosa?
Saluti & Ghiande,
Kiko.

 decimo" :-)
Mi sfugge qualcosa: il server non ha il floppy nè il lettore CD;
L'unico modo per operare in queste condizioni penso sia un intervento di
tipo hardware (magari dietro il connettore della tastiera :) );
o sbaglio ?


spero che prima o poi la soluzione vera' pubblicata... pure la
settimana enigmistica lo fa... per gli studenti meno brillanti,
intendo :-\
ciao
-- 
Seti@Home Java Applets
http://maruko.cjb.net/

Ho bookmarkato quel WAV apposta.
Sai com'e', non avendo scheda sonora sul PC.... ;)


 autenticarsi.
Concordo.
Avevo capito male :)

 :-)
...ma non c'e' un floppy...;) 
(o mi sfugge qualcosa?)
whiplash che sarebbe bello fare una sorta di
compilation di test cases del genere...

o sbaglio ?
<grin> [1][2]
Leonardo
[1] e ora non venitemi a dire che quando vi loggate come supervisor,
    controllate che il cavo della tastiera sia intatto [3]
[2] alcuni BIOS hanno una funzione anti-intrusione per cui, staccata
    e rimessa la tastiera, quella nuova non riceve nemmeno corrente,
    rendendo impossibile al 'logging dongle' di funzionare.
    Sfortunatamente a quel punto bisogna riavviare alla brutta :-(
[3] ma nel caso, vi insospettireste se trovaste una tastiera diversa
    e, magari, in un angolo quella vecchia con qualche tasto esploso
    fatto a dire "oops, si e' rotta, l'abbiamo cambiata"?


spero che prima o poi la soluzione vera' pubblicata...
Lo e' gia'. 
http://www.keyghost.com




E sempre per la serie "Leo, ma dormire di piu' no, eh?", ovviamente
intendasi "impedito l'accesso fisico al server A TUTTI *TRANNE* CHE
ALL'AMMINISTRATORE": altrimenti la tastiera non basta, perche' come
ci arrivi a toccarla? :-)
Leonardo dazed & confused


...ma non c'e' un floppy...;) 
No, infatti c'e' un cilindrotto grosso quanto un pollice, di massa piu'
o meno pari a quella di un floppy, con connettori DIN ad ambo i lati.


     fatto a dire "oops, si e' rotta, l'abbiamo cambiata"?
. . purtroppo no;
anche se comunque, qualora vi siano già dei sospetti . . ., ci allarmeremmo
un pò.