sistema!Na secao que iniciarei sobre virus irei descrever um simples programa que executa umapeticao de senha para o executavel chattr.2.3 - Overflows----------------Existem varios programas e esquemas para se dificultar a exploitacao deum sistema via tecnica de Buffer Overflow.Para maiores detalhes sobre Buffer Overflows recomendo a leitura do meu"Tutorial Basico de Escrita de Exploits p/ Buffer Overflows em Linux".Esta e uma tecnica de exploitacao muito conhecida e de fato ainda e muito eficaz.No mundo Linux temos varias ferramentas que procuram dificultar ao maximo estetipo de exploitacao.Se voce tambem e programador, duas ferramentas devem chamar sua atencao,sao elas o StackGuard e o StackShield.Ambas procuram defender um programa contra exploitacao via buffer overflowsatraves da sua compilacao(acrescentando codigo ao mesmo).Ainda existem outros a caminho como um da poderosa IBM e o PaX.Abaixo seguem links para voce obter infos sobre os mesmos:http://www.securityfocus.com/ -> Procure na Bugtraq.http://pageexec.virtualave.net/Como este texto e mais voltado a administradores, eu recomendaria ouso da LibSafe e de patchs no kernel como o StackPatch do SolarDesigner. Longe de serem uma solucao efetiva, tais programas e patchsdificultam a exploitacao de programas vulneraveis a Stack Overflows!Este patch ainda implementa varios outros esquemas de seguranca queseguem descritos abaixo:* Restringe /proc para que um usuario veja somente os processos que ele esta executando.* Torna o stack nao-executavel tornando assim dificil a execucao de exploits para buffer overflows(smashing the stack).* Restringe links em /tmp* Restringe FIFOs em /tmp* Evita manipulacao indesejada de File Descriptors.Dentre outras coisas. A grande maioria dos script kiddies dificilmenteconseguiriam exploitar um sistema com Stack Patch instalado via buffer overflow.Logico que existem exploits publicos contra isso e tecnicaspara se passar por isso, mas o dominio de tais tecnicas esta aindalimitado a fucadores "nao-kiddies"!Estas ferramentas podem ser encontradas em:http://www.openwall.com/http://packetstorm.securify.com/linux/Nada disso por si so eh solucao, e recomendavel a cada administradorse manter atualizado quanto aos bugs. Cada dia surgem novos esquemas enovas tecnicas, de modo que sua rede pode estar a "merce" de ser alvo deuma tecnica ainda desconhecida pela Comunidade de Seguranca, como deixoubem claro o caso do Format Bugs.E recomendavel diminuir ao maximo o numero de arquivos suid-root, procurarusar chroot() com frequencia, e manter-se sempre atualizado!Podemos tambem evitar a exploitacao remota, ou pelo menos detecta-la como uso de ferramentas IDS, tais como o Snort ja abordado aqui neste artigo.Se definirmos regras capazes de detectar e de barrar exploitacoes comuns,como o uso de NOPs nos argumentos recebidos dos daemons teremos entaodetectado uma tentativa de exploitacao. Abaixo nos podemos ver algunsexemplos de regras do Snort capaz que detectar alguns dos mais conhecidosesquemas de exploitacao remota via Buffer Overflows:--------------------------- overflow-lib -----------------------------alert tcp any any -> 192.168.1.0/24 143 (msg:"IMAP Buffer overflow!"; content:"|90E8 C0FF FFFF|/bin/sh";)alert tcp any any -> $HOME_NET 143 (content:"|9090 9090 9090 9090|"; content:"|E8 C0FF FFFF|"; msg:"IMAP Buffer Overflow!";)# x86 named buffer overflowalert tcp any any -> $HOME_NET 53 (msg:"named Buffer Overflow!";content:"|CD80 E8D7 FFFF FF|"; flags: PA;)# New buffer overflows submitted by Martin Markgrafalert tcp any any -> $HOME_NET 110 (msg:"QPOP Buffer Overflow!"; content:"|E8 D9FF FFFF|"; flags: PA;)alert tcp any any -> $HOME_NET 21 (msg:"FTP Buffer Overflow-1!"; content:"|5057 440A 2F69|"; flags: PA;)alert tcp any any -> $HOME_NET 21 (msg:"FTP Buffer