Newsgroup: it.comp.sicurezza.windows
Titolo: IRC security

Mi interesserebbe sapere se è possibile che un malintenzionato possa in
qualche modo (sfruttando le varie vulnerabilità dei SO microsoft o di
qualche programma tipo mirc) ottenere un controllo totale di un PC di un
utente remoto.
Con totale intendo che possa utilizzare, per esempio, un programma come
mirc, chattare a nome dell'utente ignaro ed avviare sessioni dcc. Tutto
ovviamente facendo risultare che le varie operazioni siano avvenute dall'IP
della vittima.
Ovviamente metodi documentati che sfruttino falle conosciute.
Grazie mille.

utente remoto.
Ampiamente possibile, si va dal social engineering, ai buchi del RPC, ai
link a pagine Web maligne, ai problemucci del Java...
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

 Leonardo
Ma le funzionalità delle quali si poù impadronire riguardano solo operazioni
semplici tipo: disconnettere l'utente da irc server, modifica e
cancellazione file, formattazione HD (tutte cose che ho trovato documentate
su vari bollettini...CERT, Symantec, etc...) o può addiritura chattare al
posto della vittima e utilizzare sessioni DCC per mandare file?
Grazie


:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).

 Leonardo
Hai qualche riferimento? Un posto, un sito, un bollettino, un libro un
articolo che confermi questo?
Qualcosa di ufficiale o almeno di tecnico.
Grazie

 articolo che confermi questo?
...se te lo dice Leonardo è vero, fidati :-)))
-- 
email: 
whites...@despammed.com
www  : 
http://www.photorate.org/search.php?search_user=terepo

Qualcosa di ufficiale o almeno di tecnico.
   Un esempio a caso:
| 
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html
   Questo virus fa, addirittura in maniera automatica, questa cosa,
sfruttando una vulnerabilita` di alcuni sistemi windows [1]:
"5. Uses Cmd.exe to create a hidden remote shell process that will
listen on TCP port 4444, allowing an attacker to issue remote commands
on an infected system."
   Se lo fa un virus, quindi un programma, in maniera automatizzata,
puo` farlo anche un malintenzionato, eventualmente con l'ausilio di
programmi scritti allo scopo, da lui o da altri.
   E` facile convincersi che, con un prompt dei comandi disponibile -
per altro eseguito con account amministrativo, l'aggressore puo` far
scaricare e installare qualunque software sulla macchina vittima,
anche un proxy o un redirector anonimo (che potrebbe poi utilizzare
per connettersi dove vuole, facendo sembrare che la connessione
origini dalla macchina compromessa).
   Nel caso irc, che ponevi tu, se ha la pazienza di configurare bene
il proxy che installa, fara` in modo che questo non accetti
connessioni dal server irc al quale intende accedere, in modo da
superare i controlli sugli "open-proxy" che alcuni di questi server
fanno.
[1] Oggi non funziona piu`, sui sistemi aggiornati.
-- 
S.L.

 
HAHA...mi sono accorto subito che e' molto esperto...
ma non posso dire: "beh, come dice Leonardo..." :-))

    Un esempio a caso:
[CUT]
Sei stato gentilissimo. Non tanto per il link ma perchè sei entrato nel
tecnico...
Grazie

Qualcosa di ufficiale o almeno di tecnico.
Ufficiale no, ma con Google qualcosa trovi.
Tecnicamente si fa in vari modi, ma per esempio come cosi':
1. Installi sul PC vittima un software di controllo remoto abbastanza
   scafato da vedere a quale server IRC si connette di solito.
2. Gli modifichi il file HOSTS in modo che quel server sia mappato su
   127.0.0.1, chiudendolo dentro
3. Installi PortHijack oppure anche un tunnel SSH, ad esempio appunto
   SSHTunnel, oppure un software francese che non ricordo quale fosse
   (mi pare se ne parlasse su ICSVarie con Carlo Luciano Bianco, vedi
   su Googlegroups...), per cui la porta locale 6667 viene sparata al
   _tuo_ server sulla porta 16667
4. Installi un finto server IRCD sulla tua macchina e lo configuri in
   modo che sembri il server IRC remoto (stessi banner, ecc.) usando,
   che so, ircd o altro software similare sulla porta 16667
5. Con potente attacco man-in-the-middle (o "MiM") catubi la password
   dello sventurato, allorche' si autentifica in quello che CREDE sia
   il server IRC reale, ma invece e' il TUO che ti rivela tutto;
6. Dallo stesso tunnel del punto (3) ma usato all'incovercio, fai si'
   che la porta locale 6667 del tuo desktop esca dal SUO PC e diretta
   verso la porta 6667 del server reale.
7. Con la password e il nick appena furtati ti colleghi al server IRC
   "localhost", e, con un nick uguale a quello di qualcuno sul server
   reale, ti colleghi al tuo server finto in locale.
La scena e' ora come segue (ti serve la font Courier New per leggere)
VITTIMA       SERVER IRC FALSO      TUO DESKTOP       SERVER IRC VERO
              victim                victim
	      debborah              *debborah
                                    *victim           *victim
                                    joe               joe
				    debborah          debborah
Tu qui sei *victim (e parli con i veri joe e debborah) e *debborah (e
parli con victim fingendoti debborah).
La cosa lussuosa e' che la connessione di *victim (che sei TU) viene,
in realta', dalla macchina di victim, ergo, parecchi controlli che si
possono fare li hai gia' fottuti in precedenza.
Addirittura, si puo' dare il caso seguente:
Finestra verso il server vero               Finestra sul server finto
DEBBORAH chiede query privata
	                                    *DEBBORAH richiede query
                                            victim concede query
*victim concede query
				            victim: Che c'e'?
*victim: Che c'e'?
debborah: Sei davvero tu?
					    *debborah: Sei davvero tu?
				            victim: certo!
*victim: certo!
debborah: dimostralo. Come ero
  vestita ieri? Che orologio avevo?
					    *debborah: dimostralo (ecc.)
					    victim: avevi la gonna di
						Pierre Gardčn e lo Swatch
						rosa che ti ho regalato!
						E quel profumo di Dior che
						mi fa impazzire ;)
*victim: avevi la gonna di Pierre Gardčn... quella
   che ti fa sembrare una baldracca da poco prezzo
   e lo swatch rosa che ti ho rifilato dopo averlo
   preso nell'uovo di Pasqua, e il profumo di Dior
   che mi veniva da vomitare (pareva l'incendio di
   una porcilaja).
=====
In uno scenario del genere, ben difficilmente Debborah dubitera' che chi
le sta parlando sia davvero victim.
Inutile dire che dopo dieci minuti di questa cura, qualsiasi speranza di
un chiarimento e' da abbandonare, e la parola va al mattarello.


 un chiarimento e' da abbandonare, e la parola va al mattarello.
/me segnala a Max per le HFAQ.
Bye, G.