SQL injection e XSS exploiting addons per Firefox

Una azienda canadese, Security Compass sta rilasciando una suite di addons per Firefox dal nome Exploit-me. Al momento sono disponibili due moduli: XSS-me e SQL inject-me.

La prima delle due, quando viene lanciata, esamina la pagina scelta e i form presenti, consentendo di scegliere contro quale campo lanciare gli attacchi presenti nel suo archivio, derivati dalla lista mantenuta da RSnake, (l’autorità assoluta in materia).
Gli attacchi provati sono di tipo1, ovvero “reflected XSS”, presenti in web application vulnerabili perché non effettuano un controllo sulla presenza di contenuti attivi nei parametri di input al browser permettendo all’attaccante di inettare del codice nell’url.

Sono disponibili varie opzioni di configurazione, come la scelta del numero di attacchi da provare, o la possibilità di aggiungerne altri.

La seconda, con un modus operandi molto simile, prova alcune stringhe di SQL injection e restituisce eventuali messaggi di errore dal server (niente di più.. cosa vi aspettavate? :twisted: ).

Nessuna delle due finalizza ovviamente l’attacco a eventuali buchi trovati, (nessun tool magico per script kiddies quindi) ma entrambe possono essere utili ad automatizzare un controllo di sicurezza nelle pagine.

Da provare.

Corso di crittografia online

Alla University of Washington, dipartimento di Computer Science and Engineering è disponibile un corso completo di Crittografia, tenutosi nel Gennaio del 2006 e dal titolo:Practical Aspects of Modern Criptography.

Sono scaricabili o visualizzabili online le slide delle lezioni, in Pdf o Powerpoint, i video delle lezioni in formato wmv, o l’audio in mp3. Sono anche presenti i lavori finali presentati dai partecipanti al corso, con titoli davvero interessanti. Una occasione da non perdere!

Ecco il link.

Come scaricare il Service Pack3 per Windows Xp

Dailyapps suggerisce un modo per installare il Service Pack3 per Windows XP, in barba al rilascio ufficiale, previsto per inizio 2008.

Si tratta di aggiungere alcune righe al registro, così da fare credere a Windows di essere parte del gruppo dei beta testers del suddetto service pack.

Ecco il comando da dare da prompt:

reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\XPSP3 /v RCPreview /t REG_SZ /d 1c667073-b87f-4f52-a479-98c85711d869 /f

Dopodichè dovreste vedere il download nella lista degli aggiornamenti disponibili.

ATTENZIONE: io uso GNU-Linux, per cui non ho provato se funziona, non so se scaricarlo costituisce una violazione dell’EULA , si tratta poi di una release candidate, per cui se vi si frigge il sistema, se vi muore il gatto, se non accedete più a redtube o se Steve Ballmer vi suona alla porta (brutta roba eh!) sono solo cavolacci vostri :)

AGGIUNTA: SpippolAzione mi suggerisce che da una sua prova il giochino non funziona, probabilmente per incompatibilità di versioni di Xp.  Se altri hanno news sono le benvenute.

Ancora TOR

Non lo si dirà mai abbastanza… Tor può essere un grossissimo problema se non lo si usa correttamente..

Dopo i problemi con i nodi di uscita “spia” portati alla ribalta da Dan Egerstad, di cui vi parlavo tempo fa, che gli hanno permesso di ottenere informazioni email di numerose aziende e ambasciate, (e gli sono costate una visita dei signori in divisa), adesso saltano fuori dei nodi che effettuano attacchi di tipo MITM.

Come spiega chiaramente wikipedia, l’attacco dell’uomo in mezzo, meglio conosciuto come man in the middle attack o MITM è un attacco nel quale l’attaccante è in grado di leggere, inserire o modificare a piacere, messaggi tra due parti senza che nessuna delle due sia in grado di sapere se il collegamento sia stato compromesso. In pratica l’attaccante si intrufola nella connessione, cercando di essere trasparente ai due interlocutori ma sniffando tutto il traffico.

E se l’uomo in mezzo fornisce falsi certificati SSL… chissà di che traffico va in cerca..

L’analisi dell’attacco, su MW-Blog, qui.

ATTENTI!!

Hacking iPhone

Rik Farrow, illustra in questo video come sia possibile, utilizzando Metasploit, (una piattaforma open-source per scrivere, testare e usare codici exploit) trasformare un iPhone in una microspia ambientale in grado di registrate ciò che avviene nell’ambiente, o come sia possibile estrarne dati sensibili, quali email, account Gmail, voicemail database e molto altro ancora, semplicemente visitando con il device un url apposita.

L’exploit usato sfrutta un baco ormai corretto da Apple, però il test di Rik porta alla ribalta, come suggerisce il blog di F-Secure, la potenziale vulnerabilità a questo o altri futuri buchi di quanti non possano installare gli aggiornamenti di Apple per avere sbloccato l’iPhone.

E contando che non esistono software di sicurezza per iPhone… se ne avete uno sbloccato, occhio a dove andate!

Merci contraffatte, siti truffa, che si rischia?

Ormai dilagano per la rete siti, per lo più cinesi, che vendono merci di ogni tipo.

Da imitazioni di merci di marca a gadgets elettronici a componentistica per pc, lettori mp3 e simili. Partiamo dal presupposto che non tutti sono truffatori, ma di certo sono acque molto torbide.

Per quanto riguarda i siti che vendono “imitazioni” (e vale anche per le inserzioni su ebay eh!!) c’è intanto da precisare che non sono imitazioni, ma merci contraffatte e la legge ci va giù pesante.

La contraffazione nell’ambito dei marchi, infatti, è oggetto di repressione penale basata sia sul codice doganale sia sul codice di proprietà intellettuale.

Le infrazioni doganali sono punite dall’articolo 14 del codice doganale, che prevede una pena detentiva massima di tre anni, la confisca dell’oggetto della frode, dei mezzi di trasporto, degli oggetti che sono stati utilizzati per mascherare la frode ed una multa da pari al doppio del valore delle merci.

Il primo livello di sanzione previsto dall’articolo L. 716-10 (tre anni di reclusione e 300.000 € di multa) riguarda i casi più correnti, che si tratti ad esempio di detenzione, importazione, vendita di prodotti contraffatti od ancora di imitazione di una marca in violazione dei diritti del suo titolare (dal sito del Ministero delle Finanze).

Per quanto riguarda in genere poi i siti che vendono ammennicoli vari, bisogna usare discernimento, e in grossa dose. Innanzitutto, una indagine sul dominio del sito web, (ad esempio da qui http://www.dnsstuff.com/) potrà fornire informazioni utili.
Il registrant (la persona che ha registrato il dominio) ha dei contatti reali? Probabilmente sarà a Beijing, o Shanghai, per cui di certo non lo trovate su Paginebianche, però…
Se ha un indirizzo email su Hotmail, o servizi simili, se il dominio è stato registrato da poco tempo (in genere nell’ultimo anno), se una ricerca con Google del nome del registrant fa saltare fuori che è collegato a vari altri siti simili, o lo associa a email scam, di certo si può evitare di perdere dei soldi.

Analogamente insospettitevi se vi vengono richiesti metodi di pagamento poco o per nulla tracciabili (pagamenti con western union e money gram o roba del genere) perchè con altissima probabilità si tratta di truffe.

E’ inutile dire che se vi viene anche offerta la possibilità di pagare con carta di credito, il rischio può essere ancora più alto, ovvero quello di trovarsi il conto corrente prosciugato, per cui è bene usarla solo in siti noti, e che usino i debiti accorgimenti di sicurezza.

Nel dubbio è sempre utile fare un salto a Fraudwatchers.

Per un utile approfondimento sulle conseguenze penali della contraffazione:
http://www.giustizia.gov.it/pol_internaz/coop/saffar_ita.htm

Hushmail collabora con le autorità USA

Brutte notizie per i frequentatori dei lati più in ombra della rete.
Hushmail il servizio di email che vantava a gran voce l’inviolabilità dei propri servizi, pare abbia collaborato con le autorità Statunitensi (DEA in particolare) fornendo delle email di alcuni indagati in un traffico di steroidi anabilizzanti belle e masterizzate in cd.
Hushmail ha fatto in questi anni la fortuna vantando:
“Hushmail’s security cannot be broken or weakened by this government sponsored snooping software” e in aggiunta
“The only way to decrypt or unscramble Hush messages is by using your pass-phrase when you open up your Hushmail account. Carnivore cannot decrypt your mail, and is powerless against messages sent between Hush users.”
Per questo motivo il servizio era, fino ad oggi piuttosto in voga presso “trafficanti” vari.
Ma se Hushmail ha fornito veramente i cd significa chiaramente che queste affermazioni sono piuttosto azzardate…
Maggiori informazioni in questo documento .

Un blog sull’hacking a casa Microsoft

Il titolo è %41%43%45%20%54%65%61%6d .*

Che c’è di strano? Che il blog è in casa Microsoft all”indirizzo http://blogs.msdn.com/hackers/default.aspx e parla di hacking, white hat oriented.

Gli autori sono i membri di Ace Team, ovvero:

The ACE (Application Consulting & Engineering) Team is responsible for application performance, security & privacy engineering @ Microsoft.

Lo scopo sembra essere per lo più divulgativo, con qualche tutorial, non vi aspettate quindi exploit o cracks..

* per chi non capisca cosa significa il titolo, basta andare fra i tools a www.dnsstuff.com, scegliere “deobfuscate urls” e inserire la stringa…

Il Google phone? Non si farà, punto.

E non lo dico mica io, ma il blog ufficiale di Google, con buona pace di tutti quelli che ormai già prevedevano come sarebbe stato fatto.

Google invece annuncia Android, una piattaforma per sistemi mobili (ma sarà una traduzione decente di mobile devices?), comprensiva di sistema operativo, UI e applicativi, sviluppata in cooperazione con la Open Handset Alliance, un gruppo di aziende che conta membri di tutto rispetto, quali China Mobile Communications Corporation, NTT DoCoMo, Inc., Sprint Nextel, Telefónica, Telecom Italia fra i big della telefonia, Broadcom, Intel, NVIDIA, Synaptics fra i big dell’hardware, e HTC, Motorola, LG e Samsung fra i produttori di mobile devices.

Non vedo Nokia nella lista, ovviamente, visto il legame con Symbian…

Se quindi Il G-phone non ci sarà, forse vedremo qualcosa di simile al G-mobile OS..

Sicurezza delle password di Windows: l’hash LM

Ci sono fondamentalmente tre modi per archiviare una password di accesso al sistema:

- salvarla in chiaro
- salvarne una versione cifrata
- salvarne una rappresentazione resa irriconoscibile con un hash

La prima opzione si scarta da sè vista la scarsa sicurezza offerta…
La seconda impedisce al potenziale intruso di vedere in chiaro la password, ma una volta conosciuto l’algoritmo di cifratura permette di decodificarla facilmente.
La terza possibilità prevede l’archiviazione di una versione della password trasformata secondo un hash, ovvero una funzione matematica (irreversibile) che la trasforma in una stringa di caratteri.
Al logon il sistema calcola l’hash della password inserita, lo confronta con quello memorizzato e concede l’accesso se sono uguali.

A partire da Nt 4.0 e nelle versioni di Windows successive, ovvero Windows 2000, Windows XP e Windows Server 2003 le password di accesso al sistema vengono archiviate con due tipi diversi hash: LAN Manager (LM) e l’hash NTLM.

L’algoritmo dell’hash LM esegue una serie di operazioni sull password prima di archiviarla:
-Converte tutti i caratteri minuscoli della password in maiuscoli.
-Allunga la password con caratteri NULL finché non viene raggiunta la lunghezza di 14 caratteri.
-Divide la password in due blocchi da 7 caratteri.
-Utilizza ogni blocco separatamente come chiave DES per crittografare stringhe specifiche.
-Concatena i testi a due cifre in una stringa a 128 bit e archivia il risultato.

Il risultato è memorizzato nel file %systemroot%\system32\config\SAM ed è ulteriormente protetto da Syskey che lo cifra con una chiave a 128 bit.
E però non basta proprio per nulla.. l’hash LM infatti è facilmente estraibile dal sistema (tramite una distribuzione live di Linux o un dischetto di boot) e crackabile tramite bruteforce, con programmi come LC5 (l’ultima versione di L0phtCrack) Saminside, Cain e altri.

E’ consigliabile quindi usare solo l’hash NTLM come spiegato chiaramente qui: http://support.microsoft.com/kb/299656

Ma tornando al metodo per crackare le password LM, un sistema molto interessante, veloce, e semplice è usare le Rainbow Tables (leggetevi il documento qui presente, spiega in maniera esaustiva cosa sono).

Ecco un bel video che illustra come fare: