информационная безопасность
без паники и всерьез
 подробно о проекте
Rambler's Top100Все любят медПортрет посетителяСетевые кракеры и правда о деле Левина
BugTraq.Ru
Русский BugTraq
 Модель надежности двухузлового... 
 Специальные марковские модели надежности... 
 Модель надежности отказоустойчивой... 
 Ноябрьский перевыпуск октябрьского... 
 Закопать Flash 
 Октябрьские патчи от MS и перевыпуск... 
главная обзор RSN блог библиотека закон бред форум dnet о проекте
bugtraq.ru / обзор / архив / 1998
АРХИВ
главная
2018
2017
2016
2015
2014
2013
2012
2011
2010
2009
2008
2007
2006
2005
2004
2003
2002
2001
2000
1999
1998
1997




The Bat!

Подписка:
BuqTraq: Обзор
RSN
РВС
БСК



The Bat!

7 июля 1998, #32

Вставка от 9 июля - Внимание, новые троянцы! (Любителям teardrop посвящается ...)

Сайт www.mustdie95.org встречает сообщением о том, что "данные программы по понятным причинами никогда не появятся на www.windows95.com". Далее заинтригованному посетителю предлагается "скачать и опробовать" программки со следующими за себя говорящими названиями: 3dfx-emul.exe, anonmail.exe, icmpflood.exe, icmpwatch.exe, icqpatch.exe, icqsniff.exe, kalikey.exe, massmail.exe, nuke.exe, portfuck.exe, portscan.exe, sping.exe, starkey.exe, tear2.exe, teardrop.exe. Некоторые снабжены увлекательным описанием типа "ICMPWatch - соответвенно для того что бы увидеть кто применяет приведущую прогу или простой ping -f с шела и достойно ответить гаду:) ".

Такова преамбула. Амбула же гораздо интереснее. При ближайшем рассмотрении все эти программы оказываются самораспаковывающимися zip-архивами, в каждый из которых входят одни и те же файлы Install.dl_, 1.exe, Mn.exe, Setup.in_, Data.z, а в некоторые - еще и файл Uninst.ex_, содержимое которого изредка меняется - в большинстве случаев это еще один самораспаковывающийся архив. С ним я еще не разбирался, но и содержимое первых пяти файлов оччень любопытно. Пойдем по порядку:

Install.dl_. Содержит текст mail.compuserve.com q2w3e5@chat.ru ;C;AJsxkwo8myw letter.txt %d 1%ip i?a e%c m Ver 7.01 ,Pleace register your copy! Usage: %s smtp_host file_name your@email.com

1.exe: 1.exe mn.exe uninst.ex_ runme.exe core setup.exe alt.chat.ru core john@ibm.net antivir >> core install.dl_ setup.exe echo Y|temp.exe >> core data.z temp.exe setup.in_ antivir.exe

Setup.in_: Password: Password not found !!! \SYSTEM32\RAS\RASPHONE.PBK Phone number: Name of script: -=-=-=-=-=- Script BEGIN -=-=-=-=-=- -=-=-=-=-=- Script END -=-=-=-=-=- Script not found IP Address: Primary DNS: Secondary DNS: Primary WINS: Secondary WINS: -=- PhoneBook viewer v1.1c -=- -=- Author: COMPLETTER /bAC - =- -=- E-Mail: complet@chat.ru -=- -=- ------------------------ -=- >- System Information: Phone book entry name:

Data.z: There is no security in this crazy world! Win95 PWL viewer v1.01 (c) 1997, 98 Vitas Ramanchauskas http://webdon.com, e-mail: vita s@webdon.com vitas@rocketmail.com, ICQ:3024702 ************ !DISCLAIMER! !This program intended to be us ed for legal purpose only! ************ This program shows cached passwords using standard (but undocume nted) Windows API on local machine for current user (user must be logged in). There is much more powerful version of this program named pwltool is available at http://webdon.com/vitas . But it has larger size.. . You may invoke pwlview in this way: pwlview >> textfile.txt to save passwords in file (don't forget to press enter twice) Press Enter to begin...

Вывод очевиден - под маркой аппетитных утилит подсовывается комплект из достаточно известных программ, занимающихся поиском паролей, логинов и прочей критической информации, что в сочетании с программкой, способной общаться с smtp-сервером, может доставить человеку, их запустившему, немало приятных минут. Счастливого нюканья!


Неприятности, свалившиеся на нас в ночь с четверга на пятницу, к вечеру пятницы вроде бы благополучно закончились. Большая часть информации была восстановлена с backup'а недельной давности. Как водится, именно за время, прошедшее с последнего бэкапа, подошло несколько статей, плюс мне приспичило сделать некие изменения в форуме, но сейчас все уже восстановлено, не считая сообщений в гостевой книге, "Ваших ссылках" и т.д. Можно считать, отделались малой кровью.


Пятница вообще была довольно бурной. Досталось сайту президента Белоруссии. То, что видели его посетители в течение двух дней, вы можете заценить здесь. Судя по всему, имел место взлом DNS - сейчас, например, www.president.gov.by указывает на 204.166.102.30, что на самом деле соответствует irc14.jerky.net, раньше же скорее всего ему, как и president.gov.by, соответствовал 194.226.121.202.


Группа MilW0rm, известная своей атакой на индийский научный центр, опять у всех на слуху. В пятницу стало известно, что с помощью группы Ashtray Lumberjacks ей удалось заменить главные страницы 325 сайтов.


Прояснилось дело с багом Нетскейповского и О'Рэйлиевского серверов. Воспользоваться им можно было, добавив %20 к url скрипта. По крайней мере Нетскейп уже выпустил исправление.

Синхронно были обнаружены дырки в IIS всех версий, приводящие к тому же результату при добавлении к url скрипта ::$DATA, в случае если искомый файл лежит на разделе с NTFS и доступен для чтения (на самом деле считается таким образом любой файл, но для скриптов - ASP, ColdFusion и т.п. это гораздо актуальнее). Объяснения/исправления - здесь. 6 июля появился hotfix и для IIS 4.0


Насчет взлома доски Мэтта Райта (ну и не только ее). Для определения ее паролей замечательно подходит старый добрый John the Ripper - схема-то используется одна и та же. И небольшое терминологическое отступление. Если цепляться к словам, юниксовые пароли не взламываются - по крайней мере, если под взломом понимать восстановление пароля из его зашифрованного представления. Та строка, что лежит в заветном файле /etc/passwd (если вообще там лежит) и выглядит примерно как qtKlOhKxmIfBg, на самом деле представляет собой односторонний хэш, восстановить по которому пароль в принципе невозможно. В этом принципиальное отличие зашифрованных паролей от зашифрованного текста - в последнем случае все-таки подразумевается возможность восстановления при наличии ключа. Это все довольно широко известно, но путаница встречается сплошь и рядом.

Поэтому, говоря о "взломе пароля", как правило имеют в виду его подбор - либо по словарю, либо методом "грубой силы". Сгенерированный кандидат на пароль хэшируется, после чего сравнивается с хэшем оригинального пароля. И так много-много раз подряд, пока не повезет. Чтобы усугубить ситуацию, схема хэширования включает в себя так называемые salts. В случае Unix salt - это первые два символа из 13-ти в том самом "зашифрованном" пароле, которые так же как и сам пароль принимают участие в хэшировании. Что приводит к возникновению 4096 возможных хэшей для каждого пароля. Так что если взломщик рассчитывает воспользоваться для ускорения работы заранее подготовленным зашифрованным словарем, ему придется хранить все эти варианты. И если необходимо определить несколько паролей, использование salt приводит к тому, что для каждого пользователя каждый раз приходится хэшировать пароль - при условии различных salts, конечно.


Со мной поделились сомнениями по поводу страницы http://www.chat.ru/~mihm/. Москвичам всего за 50 рублей предлагается информация о провайдере, предоставляющем доступ к бесплатной почте. Связь отличная из любого района Москвы, могут дать инструкцию на дискетке или выехать и настроить. За дополнительные деньги, конечно.

Не знаю, как вам, а мне подобные проекты помимо почившего Extranet'а в Москве пока что неизвестны. На мой взгляд, вариантов разной степени легальности тут может быть несколько - от института с халявной выделенкой, поднятым dial-up'ом и отрубленным доступом ко всему, кроме почты, до подсовывания за 50 новых инструкции по подключению к МТУ (стартового кредита в 25$ при работе с почтой может хватить надолго). Если у кого-то есть более подробная информация - прошу поделиться ей в Форуме.

«     »



анонимность клоуны конференции спам уязвимости .net acrobat activex adobe android apple beta bgp bitcoin blaster borland botnet chrome cisco crypto ctf ddos dmca dnet dns dos dropbox eclipse ecurrency eeye elcomsoft excel facebook firefox flash freebsd gnome google gpl hp https ibm icq ie intel ios iphone java javascript l0pht leak linux livejournal mac mcafee meltdown microsoft mozilla mysql netware nginx novell ny open source opera oracle os/2 outlook password patch php powerpoint pwn2own quicktime rc5 redhat retro rip router rsa safari sco secunia server service pack shopping skype smb solaris sony spyware sql injection ssl stuff sun symantec torrents unix virus vista vmware vpn wikipedia windows word xp xss yahoo yandex youtube



Rambler's Top100
Рейтинг@Mail.ru





  Copyright © 2001-2018 Dmitry Leonov   Page build time: 0 s   Design: Vadim Derkach