Newsgroup: it.comp.sicurezza.windows
Titolo: Test sicurezza

Devo effettuare un test di vulnerabilità per il server che gestiamo in
america (via pc anywhere); Il S.O. è un NT 4.0 con sopra installato IIS
Gia ho effettuato questo tipo di test (con Retina) in passato applicando
patch e tutto quanto, l'unica cosa che però ho tralasciato sono i test
relativi ai buffer overflow e ai DoS.
Devo ripetere il test, provando ovviamente anche la sezione relativa a DoS
et similia, ma essendo completamente digiuno sull'argomento non so che
conseguenze possa portare un test di questo tipo.
Ho bisogno di sapere soltanto se una volta subito l'attacco (e di
conseguenza crollato/bloccato/reboottato) il server torna su bello e pulito
come prima senza conseguenze per il S.O. e per i dati (quindi anche i nostri
siti web) oppure se possono verificarsi problemi.
Thanx in advance - aspetto vostre risposte
R E N T S

siti web) oppure se possono verificarsi problemi.
In teoria IMHO un attacco DoS dovrebbe saturare la rete causando il
crash dei servers. Non mi sembra che intacchi il sistema operativo...
Perň potrei sbagliarmi, quindi ti direi di tenere quest'informazione con
le pinze...
Come pensi di portare un attacco DoS?
Ciao!
Davide
-- 
Volontario Anti-Troll (TM) 
SecurFaq: 
http://members.nbci.com/gouldukat/
DocTrolls: 
http://it.geocities.com/roccopapaleo/faq/italiano/Troll.html
Netiquette: 
http://www.inferentia.it/netiquette/dis.html

 crash dei servers. Non mi sembra che intacchi il sistema operativo...
Beh, DoS ha un significato molto generico. anche un format /autotest
potrebbe essere considerato un DoS... Dipende molto da come e' portato,
se utilizza la modifica di certi files di configurazione, etc etc etc...
In ogni caso la maggior parte di essi viene portato saturando risorse,
crashando i demoni, saturando le connessioni, modificando le tabelle di
configurazione... insomma, qualunque cosa che porti un software/servizio
a non poter essere piu' utilizzato senza un intervento esterno o del
s.o. (restart del servizio/sistema)
-- 
Ciao!
HappyCactus

s.o. (restart del servizio/sistema)
Vero, ma quello meno rischioso (per l'attaccante) è senza dubbio il ping
flood (non mi ricordo più se si chiama cosi). L'unico problema è
modificare l'intestazione dei pacchetti icmp.


 Davide


 modificare l'intestazione dei pacchetti icmp.
Ok, a volte sono eccessivamente pignolo...!
Non capisco perche' dovresti modificare l'intestazione... in fondo il
ping flood richiede solamente di inviare un numero spropositato di ping
verso il target... solo che se la banda passante del target e' maggiore
di quella attaccante... sicuramente il test fallisce.
Forse tu ti riferisci allo smurf! nel qual caso hai due problemi:
1) se sei in windows effettivamente non avendo a disposizione i socket
raw non puoi (in maniera semplice) cambiare le intestazioni dei
pacchetti (con linux e altri os. e' facile)
2) dall'Italia e' sempre piu' difficile spoofare i pacchetti per via
dell'applicazione della RFC (di cui non ricordo il nome ne' il numero)
che impone o suggerisce ai border router di filtrare gli indirizzi
sorgenti "impossibili"... Provato da tre o quattro diversi ISP!
-- 
Ciao!
HappyCactus

pacchetti (con linux e altri os. e' facile)
Ti riferisci a win9x/me :)

sorgenti "impossibili"... Provato da tre o quattro diversi ISP!
da quello che ho studiato sull'argomento, basta far uscire una serie di
pacchetti icmp e farli arrivare a destinazione per poi avere un effetto
"rimbalzo multiplo" generato dai tempi di timeout del server. Ho un
libro con un esempio di come saturare una rete a 100Mbit con una
connessione a 56K...
Ciao


del newsgroup sappiate, esiste o è una scemenza come gia ho pensato?!)-
Potresti dirmi come implementarlo? ho anch'io un web-server W2K, e mi
piacerebbe sapere se l'amministratrice di sistema l'ha pachato.


 Ti riferisci a win9x/me :)
Si, scusa... e' che per abitudine (win9x == windows == microsoft ==
winnt)...
E' vero che nel 2k hanno abilitato (se cosi' si puo' dire) l'accesso al
raw socket, e cio' ha innescato anche una serie thread passati sia qui
che altrove...
-- 
Ciao!
HappyCactus

 connessione a 56K...
Si, il problema e' che se non hanno l'indirizzo IP sorgente che il primo
router si aspetta (chiaramente ci sono debite eccezioni), i pacchetti
non giungeranno mai a destinazione. Quello che tu vuoi fare,
probabilmente, e' di indirizzare un pacchetto icmp verso un host,
facendogli credere che il mittente sia la vittima... se il primo router,
sul quale tu esci, filtra i pacchetti che non derivano dalla sua propria
sottorete... beh, non vedo come tu riesca ad ottenere l'effetto
desiderato.
Questo per quanto riguarda attacchi in cui si spoofano il sorgente. 
Altri attacchi di rimbalzo... sinceramente non me ne vengono in mente...
-- 
Ciao!
HappyCactus

 socket raw non sono accessibili o disponibili. 
Non e' vero...:-)
nmapnt funziona, lo dice il nome stesso, anche sotto
NT 4.
Ed e' in grado di spedire paccheti spoofati grazie al
driver sviluppato dal netfroup del Politecnico di Torino
che e' sostanzialmente un porting delle libcap.
-- 
Inviato il gio 02 ago 2001 14:03:23 CEST da 212.177.57.193
[212.177.57.193]
http://www.neuromante.net/

 che e' sostanzialmente un porting delle libcap.
Quindi in pratica va a sostituire le librerie del winsock, dialogando
direttamente con i drivers?
-- 
Ciao!
HappyCactus

 Ciao!
Ciao


 piacerebbe sapere se l'amministratrice di sistema l'ha pachato.
http://www.eeye.com/html/Research/Advisories/AD20010501.html
... e anche -> Advisories/AL20010717.html  -->(ultimo BUG di casa M$)
Ma visto che si è parlato di smurf, DoS, e security scanner commerciali,
come Retina, ISS, RealSecure, allora consiglio vivamente Nessus.
La sua caratteristica opensource lo rende aggiornabilissimo e valido.
....umh, ma forse sono un po' ot.
--
 Saluti
¯massimo_
Non dica di ME, se di ME non sa.
Pensi per SE, e poi di ME dirà. [windows del mese]
                                                          [aggiorna i bug]

 
mandare i dati direttamente sulla memoria allocata per il modem. Questo e' 
regolarmente impossibile in OS decenti, da winnt/2k in su... ma in win9x/me 
e' una bazzecola... si fa per dire... :)
-- 
Pascal-X - mICQ 25553477 - 
www.pascalbrax.com
Responsabile Pubbliche Relazioni del SIACD
Profeta del Sommo C_R_O_S_S__B_O_N_E_S
Nemico dichiarato del Kyle Jordan Klan
Se volete scrivermi, mandate una mail a
spamb...@pascalbrax.com
 :)