Newsgroup: it.comp.sicurezza.windows
Titolo: Divertente!!!!

Che bel giochino!!!
http://keir.net/firehole.html

 
http://keir.net/firehole.html
Dalle mie parti si dice "sputa che indovini..." e devo aver sputato bene
quando dicevo che questi pseudo firewall fanno pieta'.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *


Scusate ma forse c'è qualcosa che non capisco. Questo prog non si connette a
Internet, apre l'explorer e ci sbatte dentro un ip! Se ho capito (e
ribadisco *se*) anch'io ho appena scritto un software per bucare un firewall
personale, ecco il sorgente:
iexplore 
http://www.google.com/
Ora, sicuramente ci sarà qualcosa che mi sfugge, ma a questo punto chiedo a
chi è + esperto di me:
1) Cosa mi sfugge?
2) In che maniera un firewall "vero" bypassa una cosa di questo tipo?
Grazie a chi mi vorrà rispondere.

 quando dicevo che questi pseudo firewall fanno pieta'.
Con Tiny Firewall questo giochino non funziona  :-)
ciao

 2) In che maniera un firewall "vero" bypassa una cosa di questo tipo?
Non lo fa. IMHO nessun FW _esterno_ al tuo PC può controllare
quale sia l'applicazione che sta richiedendo l'accesso alla rete.
In teoria, un Personal Firewall , proprio perché è residente sullo
stesso PC, può (potrebbe) controllare quale sia l'applicazione che
tenta l'accesso alla rete, e concederlo o negarlo.
E' proprio questo che in quel sito (e in quello di Gibson) si afferma:
che un PF che controlla le applicazioni uscenti può essere più o
meno facilmente ingannato, "facendo finta" in un modo o in un altro,
di essere una delle applicazioni sicuramente autorizzate ad uscire.
*************************************
Il discorso di fondo rimane il solito: su un sistema monoutente come
Win, un prog _qualunque_ può fare _quello che vuole_.
Corollario 2: se vuoi essere sicuro di quello che fanno i prog sul tuo
PC, o ne hai il sorgente, o devi fidarti di chi li ha scritti. ;-))
E in ogni caso, dovresti sempre sapere quali sono i programmi che
girano. Peccato che fra i programmi, in questo caso, si debbano
comprendere anche le DLL, i VXD, gli OCX, i DRV, i......................
Attenzione, non parlo delle "applicazioni" o dei task, quelle cose
che si vedono con AVP System Watcher o WinTop, ma anche del
"resto" che di solito non si vede.
Prova a lanciare un programmino tipo MSInfo32, e guarda sotto
"moduli attivi" quanta roba è caricata e gira su un win normale. :-((((((
Bye, G.

 Con Tiny Firewall questo giochino non funziona  :-)
"Quello" no...
Bye, G.

 2) In che maniera un firewall "vero" bypassa una cosa di questo tipo?
Settando qualsiasi firewall (come ZA) per richiedere sempre 
l'autorizzazione ad ogni processo che intende accedere ad internet, 
per esempio. Il metodo è un po' palloso ma perlomeno è più sicuro 
dell'autorizzazione automatica.
-- 
XP Firewall> Intrusion detected: can I format disk? (Yes/Of course/Retry)
News2000 1.5ß Version 
http://socket2000.8m.com

 2) In che maniera un firewall "vero" bypassa una cosa di questo tipo?
Ci sarebbe anche un altro metodo per impedire ad un programmillo 
virus di usare IE per esplorare internet all'insaputa del firewall: 
Fare una copia di iexplore.exe e chiamarla per esempio 
mioexplorer.exe dopodichè si utilizza sempre mioexplorer.exe per 
navigare al posto del vero iexplore, autorizzando solo lui ad 
accedere ad internet automaticamente. Qualunque trojan boccalone 
vedrà nel registro di sistema come nome di IE iexplorer.exe , 
pertanto richiamerà quello che però non è autorizzato nel firewall...


 Fare una copia di iexplore.exe e chiamarla per esempio
[CUT]
Non funzionerebbe, purtroppo.
Il trucco usato è quollo di usare una funzione delle API che, detto
MOLTO alla buona[1], rimane in memoria, e rilevare gli altri
programmi che vengono lanciati, agganciandosi al loro spazio di
memoria. Riconoscere un browser in quel caso dovrebbe essere
più o meno banale.
More info:
http://msdn.microsoft.com/library/en-us/winui/hooks_7vaw.asp
[1] Non fate i pignoli ;-)
Bye, G.

 Non funzionerebbe, purtroppo.
Funziona funziona. Io ho abilitato sul firewall la COPIA di IE 
chiamata in altro modo dal classico Iexplore.exe (che è invece 
bloccato dal firewall), il povero FireHole tenta di connettersi 
usando, purtroppo per lui, proprio quello...


 usando, purtroppo per lui, proprio quello...
Intendo dire che volendo si può scavalcare anche questo trucchetto.
FireHole è dichiaratamente una "dimostrazione di concetto":
"This program isn't perfect. It was written quickly just to prove a
point, so if it fails [cut] it could be for several reasons..."
ma il principio rimane. Volendo _si può_ rilevare se un programma
appena caricato è un browser e "parassitarlo".
Certo, rendere la vita difficile ai trojan è sempre cosa buona e giusta...
Bye, G.

all'insaputa dell'utente. 
non se ie è stato configurato bene.
--
Ciao!
Davide

 non se ie è stato configurato bene.
Il problema è che parecchi IE sono configurati male.



a me invece purtroppo funziona :-(
potresti postare la rule che lo blocca per favore?

Con Tiny Firewall questo giochino non funziona  :-)
neanche con sygate... e spero che non sia solo questo a non funzionare
:)
-- 
Francesco