Newsgroup: it.comp.sicurezza.windows
Titolo: morpheus!!!

morpheus bug
andate a vedere su questo sito
http://bismark.caltanet.it/news/articoli/morpheus.html

 
http://bismark.caltanet.it/news/articoli/morpheus.html
Di cosa ti stupisci? a me pare acqua calda
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509

 wrote in message
news:W2%28.23737$ly.7...@twister1.libero.it...


 
http://bismark.caltanet.it/news/articoli/morpheus.html
Non mi pare proprio un bug...
Il fatto che puoi usare un comune browser come client Morpheus non è un baco
software.
Significa solo che è stato utilizzato un protocollo compatibile (e vista
l'elasticità dei browser ci vuole poco).
Quanto al fatto che negli header risulta il tuo user name non mi sembra una
gran cosa... se usi il programma Morpheus puoi cmq venire a conoscenza di
questa informazione. In definitiva il fatto di usare un borwser non ti da'
nessuna informazione/privilegio aggiuntivo (anzi non ti consente di
condividere).
In ultimo, l'attacco DOS.
Lo si può fare verso qualunque programma e viene fatto solo da dementi con
complessi di inferiorità nella vita reale.
Saluti,
Luca Barbetta kck/skd

 Qualcuno lo sa?
Leggi il post qui sotto di Luca, mi ha preceduto :) ciao


 complessi di inferiorità nella vita reale.
Io ho anche provato a far girare il programmillo, ma non mi inchioda molto
il PC. L'ho lanciato da un server Linux in rete con il mio client WinME dove
girava KaZaa. Magari se ne sono accorti da tempo e l'hanno corretto. Non
arriva a 50 connessioni, altro che a mille!! Concordo comunque sul fatto che
il "miniserverweb" di Morpheus/Kazaa potrebbe sempre nascondere qualche baco
da input mal formattato o roba del genere, e il fatto che usi un protocollo
"noto" come HTTP e' una facilitazione per chi vuol fare il malizioso e
cercarlo.
Ciao
 Max

 per chi vuol fare il malizioso e cercarlo.
Non ho visto i sorgenti di Morpheus (dovrebbero essere scaricabili), però ho
scritto applicazioni simili e ho imparato che per rispondere correttamente
ad un browser è sufficiente riconoscere le intestazioni con le richieste che
manda (es. GET, POST, HEAD e così via) e rispondere con il flusso di dati
corrispondente al file richiesto (magari con qualche intestazione per
evitare che il file venga visualizzato sulla pagina anzichè scaricato).
Quasi certamente Morpheus non è un Web server che rispetta tutte le
specifiche della relativa RFC.
I programmatori si saranno limitati a rispondere alle GET, e a fornire un
flusso HTML con la pagina dell'indice dei file nel caso non venga
specificato alcun nome di file.
Inoltre Morpheus non deve gestire linguaggi di scripting, CGI  o altri
meccanismi che possono far perdere il controllo dell'applicazione alla
stessa, per cui i rischi sono limitati.
Poi è chiaro che l'errore è sempre in agguato, ma non è la peculiarità di
rispondere ad un browser che rende un programma più o meno sicuro.
Saluti,
Luca Barbetta kck/skd

Di cosa ti stupisci? a me pare acqua calda
A me morpheus dopo un uso di qualche ora da
un errore DPC (schermata blu con avviso di scaricamento
memoria fisica), non riesco a capire per quale motivo
(os win2000).
-- 
Ciao
     Kluge

 (os win2000).
Si ma non c'entra nulla con l'articolo di cui si parla nel thread..


Si ma non c'entra nulla con l'articolo di cui si parla nel thread..
Quindi non e' la conseguenza di un "attacco"?
-- 
Ciao
     Kluge

 Quindi non e' la conseguenza di un "attacco"?
Ma no dai....per favore :))


 Ma no dai....per favore :))
OT
Non uso morpheus.. pero' non potrebbere una qualche buffer che va in
overflow?
Magari anche a causa di un attacco (oddio... piu' che altro un scassatura di
balle..)
--
 ==> Atlantis <==
Icq # 18752702

overflow?
naaah! non facciamo confusione!
imho e' windows che da i numeri, o morpheus che fa crashare windows
per i cavoli suoi.
Controlla che M. & W. siano aggiornati
HappyCactus che anche i programmi vanno aggiornati (non solo gli
antivirus!)
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus
Cannot delete files, disk full. Try to delete some file.