Newsgroup: it.comp.os.win.win2000
Titolo: Casa fare per avere ma lassima protezione?

Salve a tutti :-)
In una aula di Informatica ci sono 4 PC con Windows 2000 Prof.
Ho installato il Sp3 e tutti gli altri aggiornamenti disponibili
su Windows Update.
Nonostante questo, uno studente smanettone, è riuscito a sfruttare
qualche BUG di Win2000 per crearsi un account administrator partendo
da un'account di tipo "USER".
Cosa posso fare per limitare queste "interferenze"?
Ringrazio anticipatamente per le risposte.
--
Daniele Pinna  (leva oops. per rispondere) * ICQ "chiedilo"
Sito Web: Il DoCFa in Pillole: 
www.dapinna.com

 Cosa posso fare per limitare queste "interferenze"?
......................
Bella questa, complimenti a M$ !!!
Immediatamente sul da farsi non saprei, se non verificare sul sito di M$ se
ci sono KB in merito.
Poi potresti:
1) Segare le manine allo studente
2) Contattare M$ e chiedere delucidazioni su un bug così grave, spiegando
per filo e per segno quello che ha fatto "il piratello".
Ciao.
--------------------------------
Inviato via 
http://usenet.libero.it

Be io promuoverei lo studentello ad un corso superiore, moolto superiore
cosě te lo levi dai co##@@ni!!!
8-)

 da un'account di tipo "USER".
Ha installato qualche keylogger per trovare la password quando la digiti? o
la password era PippoBaudo (oppure Baudo+Katia)? ;)
Ciao
Matteo

 superiore cosě te lo levi dai co##@@ni!!!
Non male come idea :-))
Purtroppo io non posso decidere "le sorti" degli studenti
C'č qualche sito (oltre a quello M$) che spiega come risolvere
questo tipo di problemi, o magari che spieghi cosa bisogna fare
per rendere un PC con Win2000 "sicuro"?


Io sono il niubbo piu' niubbo di tutti, quasi la definizione di niubbo...ho
quasi timore a parlare, ma a nessuno che sia venuto in mente di chiedere
allo studente come ha fatto...
Segare le manine ad un ragazzo che non fa null'altro che una cosa che gli è
consentita dalla incompetenza di chi ha progettato un sistema pieno di
bachi, e te lo fa pagare fior di €?


Era il lontano Wed, 20 Nov 2002 15:08:26 +0100, mentre cercavo di
sincronizzarmi con l'Eva 01, all'improvviso da un entry-plug saltò fuori
Daniele che mi disse:
 > Nonostante questo, uno studente smanettone, è riuscito a sfruttare
 > qualche BUG di Win2000 per crearsi un account administrator partendo
 > da un'account di tipo "USER".
Non credo proprio.
Secondo me ha usato il solito metodo per cavare il file .sav con la pwd
d'amministratore.
O era su FAT32?
Oppure, ha semplicemente indovinato la password d'amministratore. Era una
password tosta o la solita roba tipo "pippo" o nome della fidanzata o data
di nascita o nome del cane?
Inoltre, sulla macchina era disattivato l'utente GUEST?
Stefano
aka Senbee Norimaki
ICQ# 4243376
droguz-at-libero-punto-it

 Cosa posso fare per limitare queste "interferenze"?
Ad esempio un controllo con MBSA 
www.microsoft.com/technet/security/tools/Tools/MBSAhome.asp
-- 
Lapalissiano
Icq 57269703

 bachi, e te lo fa pagare fior di ?
.............................................
 
Ma guarda che è per il suo bene: meglio una manina segata che la galera per
un futuro in pirateria... :))
 
Sul discorso degli incompetenti in parte sono d'accordo, ma a mio avviso la
debolezza di un sistema come Windows (chi più chi meno ma TUTTE le versioni
esistenti ad oggi), rispetto ad altri sistemi operativi, si vede anche
(soprattutto) da altre cose, come (ad esempio) dall'esistenza del registry e
dai virus: altri sistemi il registry non sanno manco cosa sia (e non si
sognano di saperlo) e col "piffero" che su altri sistemi, se sei un utente
"normale", non amministratore, puoi eseguire operazioni dannose per il
sistema.
 
E questo perchè il sistema verifica cosa fa un'applicazione, mentre Windows
si "fida" dell'estensione dei file e su "sillogismi" tipo "l'utente è
autorizzato al file e quindi può eseguirlo". Manco per l'anima !!!!
 
E così sono nati i virus.
E così siamo arrivati ad Outlook che (di default) non ti fa deallegare i
file eseguibili e file di tipo .xls, ecc (roba nativa M$).



O forse non sarebbe meglio usare questo per stimolare in lui ancora
maggiormente un'interesse che potrebbe in futuro essergli molto utile, visto
che essere un'Hacker non vuol dire essere un fuorilegge, un clima di scontro
alimenterebbe la sua voglia di "ribellione"... vogliamo che fra 5-6 anni sia
un Hacker, e magari si laurei in Ingegneria Informatica, per poi occuparsi
di Sicurezza Informatica, o che finisca a fare il Cracker? (suppungo
conosciate la diff.)
Stiamo finendo OT... e non voglio che mi si dica che sono un troll...

 per filo e per segno quello che ha fatto "il piratello".
Io non cercherei il bug, ma piuttosto un errore di configurazione, anche se,
ripeto, se vuoi mantenere l'accesso fisico alla macchina (ci mancherebbe, i
pc sono li apposta) e l'usabilità devi arrenderti al fatto che se trovi uno
che ne capisce qualcosa (nemmeno tanto, basta qualche semplice ricerca in
internet) riuscirà a prendersi i diritti di admin in pochi minuti.
Un consiglio per Daniele Pinna? Applica le policy, limita tutto quello che
non è necessario, tieni aggiornato il sistema, fai log del traffico e
dell'utilizzo del pc e fatti il ghost di una macchina "pulita" che
ripristinerai al primo dubbio di macchina compromessa.
Ciao
Fabio

 bachi, e te lo fa pagare fior di €?
E' il prezzo che si paga per la semplicità.
Ciao
Fabio

 conosciate la diff.)
.........................
Ah, beh, "sicuramente", visti i toni del 3D originale, il ragazzo ha
"violato" il sistema per dimostrare che non era sicuro, ed infatti una volta
violato s'è presentato dal responsabile dicendogli "guarda che ho fatto
questo, quello e quell'altro e mi sono creato un'admin nuovo di zecca
partendo da un utente user, cosa che non dovrebbe essere possibile fare"...
L'ha fatto a fin di bene...
... Ed infatti ha mandato il curriculum in M$.
Ma dai, per favore, si sa come agisce uno in questi casi, e lui l'ha fatto
per il puro gusto di violare un sistema, delle regole ben definite, una
restrizione che non gli permetteva di fare quello che voleva.
Poi succede, e spesso aggiungerei, che uno che ha fatto/fa l'hacker faccia
anche il consulente in sicurezza informatica, ma quello è uno "step"
successivo rispetto all'età (e la testa) che può avere un ragazzo poco più
che 20enne.
Oh, ben inteso, tanto di cappello per l'aver scoperto un eventuale bug del
genere, che ripeto è cosa gravissima in un sistema che si vende (e bene)
come uno dei più sicuri al mondo (palle, aggiungo io).


Siccome non sono un troll e non voglio fare polemiche, ma ho visto dalle
risposte che proprio quello che ho detto non è stato capito, questo sarà il
mio ultimo post (in questo thread per lo meno).
1) Sono sbalordito da chi, incredibilmente, deve ad ogni costo difendere
Windows, anche di fronte all'evidenza.
Non nego che Win sia semplice, ma dire che l'insicurezza sia il prezzo da
pagare, e quella "'na strunzata"... Nel mondo la stragrande maggioranza dei
server sono su sistemi Unix o Unix/Like (Diciamo che nel mondo universitario
la cifra è moolto vicino al 100%), e non credo che un gestore di rete abbia
problemi nel gestire un sistema "complesso" come Linux.
A livello di utente, un qualsiasi diplomato in un liceo scientifico (come il
sottoscritto), con un minimo di interessi informatici, e scarsa conoscenza
di come sia strutturato un sistema operativo, semplicemente comprando
qualche manciata di riviste in edicola, si è installato una Mandrake e
l'unico motivo per cui non ha abbandonato totalmente Win è che esiste
Win2000 che non crasha ogni 2 secondi, e che ha un modem USB per cui non
esistono (spero ancora per poco) i drivers (comunque se avesse qualche
soldino potrebbe comprarsi un modem ethernet e strafregarsene).
2) Il discorso sul ragazzo che diventa Hacker invece di Cracker
evidentemente non è stato assolutamente compreso viste le risposte:
io dico solo ad un Prof. di Liceo (mi pare di aver capito) che invece di
segare le manine, sarebbe il caso di parlare con il ragazzo (che poi non è
escluso che sia una ragazza!).
Infatti sono _certo_ che egli abbia "violato" il sistema per spavalderia,
per dimostrare chissa che cosa... il prof. dovrebbe indirizzare questa
energia, facendogli presente che se trova divertente quello che ha fatto,
effettivamente questo ha implicazioni anche nell'ambito dello studio
informatico... anzi potrebbe diventare lo spunto, che ne so per delle
lezioni sulla sicurezza informatica.

 allo studente come ha fatto...
Purtroppo non so ancora chi è, ma lo studente che gestisce l'aula
informatica
lo conosce, e spero di incontrarlo presto <g>


 sei sicuro fosse un bug?
Ovviamente no :-)
Però se un S.O. abbatsanza consolidato, con tutti gli aggiornamenti
disponibili,
permette ad un utente di tipo "USER" (quindi con delle restrizioni) a
crearsi un
utente Administrator, penso che un piccolo buco della sicurezza dovrebbe
averlo.


 o la password era PippoBaudo (oppure Baudo+Katia)? ;)
la password di Administrator non è molto lunga, solo 5 caratteri.
In realtà ho modificato il nome "Administrator" in "root" per mia
semplicità, non penso che possa causare un problema di sicurezza.


 Inoltre, sulla macchina era disattivato l'utente GUEST?
La password pur essendo di soli 5 caratteri non era banale.
Chiaramente ora la cambierò.
L'utente Guest e disattivato, però gli studenti entrano tutti con
un utente generico abbinato al mome del CP e senza password.


 lezioni sulla sicurezza informatica.
.......................................
Allora:
1) Hai capito malissimo, sono tutto tranne che un prof di liceo.
2) Se dico ragazzo è in generale, non faccio distinzioni di sesso.
3) Hai scatenato un putiferio su una mia affermazione corredata da un bel
":)", ad indicare che era una battuta, nel senso che andava ripreso
"severamente", ma visto che la metti così allora ti seguo nella "polemica":
IMHO uno che ha dai 19 ai 25-26 anni (età media universitaria) è ora che si
svegli (e te lo dice uno che ha 30 anni, non 60), non ha più bisogno della
"mammina" che gli dice "questo è bene, questo non è bene", ma penso sia in
grado di capirlo da solo, altrimenti è scemo, e siccome (nel caso che ha
scatenato il 3D) non credo lo sia presumo l'abbia fatto apposta, conscio di
quello che fa.
4) Mai detto che Win è un sistema eccezionale, anzi, lo trovo tremendamente
obsoleto, solo che Win2000 è il migliore (IMHO) di M$; purtroppo Linux lo
conosco pochissimo per apprezzarlo.
Per entrare nel mio "campo" ti dico che io lavoro su IBM AS/400 e ti
garantisco che su quella macchina fare una cosa analoga è impossibile (of
course, se configurata bene).


 galera per un futuro in pirateria... :))
Concordo :-)
Anche perchè, dato il corso di studi che viene fatto in quella
facoltà, il suo futuro dovrebbe essere la Farmacia :-)


 dubbio di macchina compromessa. Ciao
Ti ringrazio del suggerimento :-)


 lo spunto, che ne so per delle lezioni sulla sicurezza informatica.
Quando (se) lo conoscerò, lo inviterò a cambiare indirizzo di studi ;-))


Era il lontano Wed, 20 Nov 2002 19:05:55 +0100, mentre cercavo di
sincronizzarmi con l'Eva 01, all'improvviso da un entry-plug saltò fuori
Daniele che mi disse:
 > Non era su NTFS.
Ecco quindi come ha fatto!
Un Win2000 su FAT32 è esattamente come un Win98, perché FAT32 è un sistema
che non supporta i permessi: tutti possono vedere le cartelle degli altri..!
 > Qual è questo metodo del file .sav?
Basta partire con un dischetto di DOS e cancellare i file .sav nella
cartella c:\winnt\system32\config che poi sono i file che contengono le
password (anche quella d'amministratore). Così al riavvio Win2000 ti chiede
la nuova password per l'amministratore...
Se invece sei su NTFS, il disco non è visibile anche se parti con un
dischetto DOS.
Capirai che un sistema su FAT32 è come chiudere il caveau della banca con
una porta di cartone.
 > Come si può ovviare?
Vai in prompt di dos e digita:
convert c: /FS:NTFS e premi invio. Ti trasforma il sistema in NTFS. Questo
metodo però ha il grosso problema che poi Win2000 ti imposta tutti i
permessi su "everyone" quindi devi andarti tu a cambiare a mano tutte le
policy: consiglio quindi molto vivamente la reinstallazione del sistema
(all'inizio, ti chiede se vuoi formattare il disco in NTFS o in FAT32).
 > L'utente Guest e disattivato, però gli studenti entrano tutti con
 > un utente generico abbinato al mome del CP e senza password.
Anche questa è una bella debolezza: da' a ognuno il suo account (corredato
di foglio con dichiarazione da firmare sulla segretezza della password) e
decidi tu delle password anche complicatucce per ognuno di loro. E fai in
modo che non se le possano cambiare.
Saluti,


 lezioni sulla sicurezza informatica.
No comment.
Ciao
Fabio

 .... per esempio la cosiddetta "ingegneria sociale".
Ad esempio?


 ognuno di loro. E fai in modo che non se le possano cambiare.
Era la mia idea iniziale, solo che il collega con cui faccio assistenza
era contrario per "non complicarci la vita" e perchè "tanto non capiscono
nulla" (riferito agli studenti).
Seguirò sicuramente il tuo consiglio...
Dato che i PC sono 4 e che dovrei inserire User e PWD degli studenti
in tutti i PC, c'è qualche sistema per esportare queste info da un PC
all'altro senza doverle ridigitare?


 Ad esempio?
Buon giorno, sono il responsabile del vostro provider internet.
Per motivi interni necessitiamo che modifichiate temporaneamente le
vostre password di accesso nel seguente modo...
[credici o no, c'e' gente che ci casca...]
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
   URL: 
http://www.delymyth.net/
 ~ E-Mail: 
DEly...@despammed.com
            => ICQ#: 8761263 - MSN: 
dely...@msn.com
 <=
          => FREE! Hardware Anti-Virus!!! - /dev/brain <=

Era il lontano Thu, 21 Nov 2002 19:19:59 +0100, mentre cercavo di
sincronizzarmi con l'Eva 01, all'improvviso da un entry-plug saltò fuori
Daniele che mi disse:
 > Più o meno quello che ho fatto. Solo che la conversione è partita
 > all'accensione del sistema con un countdown che mi chiedeva di
 > premere un tasto per fermarla. Ovviamente l'ho fatta fare, e ho
 > impostato alcune policy; probabilmente avrei dovuto farlo anche su
 > altre cartelle.
Infatti la cartella da proteggere è soprattutto quella con i file di sistema
e le password. Proteggi c:\winnt e tutte le subcartelle e i file: così non
dovresti più avere problemi.
 > Dato che i PC sono 4 e che dovrei inserire User e PWD degli studenti
 > in tutti i PC, c'è qualche sistema per esportare queste info da un PC
 > all'altro senza doverle ridigitare?
In realtà sarebbe molto meglio avere almeno un Win2000server e impostare un
dominio: in questo modo gli utenti sono definiti sul server, che terrai
chiuso (per chiuso intendo fisicamente blindato in una stanza di cui solo tu
hai le chiavi!)
Altrimenti, che io sappia, non c'è modo di copiare i profili locali da un pc
all'altro. C'è un "copia profilo" sotto "utenti e password", però non so se
funziona da un PC all'altro. Altri ti sapranno rispondere meglio (consiglio:
posta la domanda in un nuovo thread)
Ciao ciao,


 Ringrazio anticipatamente per le risposte.


 sei sicuro che win fosse montato bene,
Grazie a questa "chiaccherata" ho scoperto di no.
Il tutto era dovuto alla conversione da FAT32 a NTFS
ed a una non corretta impostazione delle Policy


 rispondere meglio (consiglio: posta la domanda in un nuovo thread)
Grazie :-))


 La password pur essendo di soli 5 caratteri non era banale.
5 caratteri *è* banale. Deve essere di *almeno* 8 caratteri
E ora non ricordo di preciso come, ma se la rete è tutta Windows 2000 
devi disattivare le credenziali compatibili all'indietro (meno sicure - 
alcuni protocolli pretendono addirittura le password in chiaro), perchè 
gli hash delle password LanManager, nelle vecchie versioni, erano una 
bazzecola da crackare: la password veniva allungata a 14 caratteri con 
dei caratteri nulli, poi veniva trasformata in tutta maiuscole, divisa 
in due parti da 7 caratteri, le due parti venivano "ingrassate" a 8 
byte con un bit vuoto extra per carattere, e le due parti venivano 
hashate con 3DES, e i due hash appiccicati assieme
Ovviamente era facilissimo scoprire se la password era di meno di 7 
caratteri, perchè la seconda metà era l'hash 3DES di 8 caratteri nulli 
(il riempimento), e il 3DES è piuttosto ridicolo confrontato, ad 
esempio, con l'MD5
Esiste una serie di attacchi a LanManager, detti di "downgrade", in cui 
un programma dice, appunto, di usare una versione vecchissima di 
LanManager, e l'altro lato della connessione ci casca e gli passa un 
hash più vulnerabile o addirittura una password in chiaro. E' tutto 
documentato fino allo schifo nella Knowledge Base, nelle guide di 
Technet e in qualsiasi guida all'hardening di terze parti
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.20. C, C++ and ASM developers
                              and beta testers are welcome!


altrimenti hai dei computer che sparano in rete hash da cui è 
facilissimo risalire alla password completa


 In una aula di Informatica ci sono 4 PC con Windows 2000 Prof.
male. E' un workgroup, vero? non è il massimo per la sicurezza. Se puoi 
permettertelo, metti su un Windows 2000 Server, sennò un BSD o Linux 
con Samba può anche andar bene
e poi, hai messo su un tantino di auditing? chi entra e chi esce e a 
che ora eccetera?


 E così sono nati i virus.
terza iterazione: che #a##o stai dicendo?
Windows *ha* dei *veri* problemi, *anche* di design, *anche* relativi 
al registro. Però non ne hai azzeccato nemmeno uno


 info da un PC all'altro senza doverle ridigitare?
aha! allora è un workgroup? considerate la possibilità di mettere su un 
controller di dominio. Se serve solo per l'autenticazione, basta uno 
Unix con sopra Samba (la versione 3, perchè quelle precedenti usano il 
vecchio protocollo, meno sicuro), e magari DHCP per la configurazione 
automatica del TCP/IP sui client. Sopporta la spesa extra di un nuovo 
computer (anche vecchio e usato, se è solo per autenticazione e DHCP 
basta poco) e un CD di FreeBSD, ne vale la pena


 ognuno di loro. E fai in modo che non se le possano cambiare.
i template possono configurare automaticamente anche questo


 al registro. Però non ne hai azzeccato nemmeno uno
però devi ammettere che ha parlato molto bene "per sentito dire" :)
Davide

 basta poco) e un CD di FreeBSD, ne vale la pena
abbi pazienza... sono anni che non uso + freebsd...  potrebbe usare uno dei
PC Pentium 133 che ha sostituito sulla lan?
cosa ne pensi?
cioè per autenticazione e DHCP quale è la config minima decente per un
server BSD?
io ai tempi usavo dei P166 ma erano lo stato dell'arte....
ciao e grazie
Davide