.:: Securnetwork.net Blog – Massimo Rabbi ::.

Una falla nel servizio Microsoft DNS Server consente ad un ipotetico attaccante, in particolari condizioni, di ottenere in maniera remota il controllo completo del sistema.
Stando ad un advisory Microsoft, alcuni tipi di pacchetti RPC modificati “ad arte” causano un buffer overrrun nel servizio DNS, che può consentire di fare injection di codice malevole, poi eseguito dal servizio con i privilegi SYSTEM.
Sempre secondo Microsoft, questo buco è già sfruttato in maniera attiva e nessuna patch non è stata ancora approntata per fixare il bug.
Il DNS Server di Microsoft è una componente di Windows 2000 SP4 e Windows Server 2003 con SP1 e SP2, ma non è attivato di default.
Microsoft avverte gli utenti di disabilitare l’RPC remote management per il servizio DNS Server.
Per fare questo, gli utenti devono creare una nuova entry DWORD con nome RpcProtoocol e assegnarle il valore 4 all’interno di HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters.
Altra raccomandazione è quella di registringere l’accesso di rete dei pacchetti RPC al range di porte TCP 1024-5000 e unicamente da indirizzi IP fidati.

VEDI ANCHE:
- Vulnerability in RPC on Windows DNS Server Could Allow Remote Code Execution (935964), Microsoft advisory

Alcuni ricercatori della Technical University of Darmstadt hanno raggiunto un nuovo traguardo per quanto riguarda il cracking di rete wireless protette da WEP.
Erik Tews, Andrei Pychkine e Ralf-Philipp Weinmann hanno descritto nel loro paper come siano stati in grado di ridurre il numero di pacchetti catturati necessari per un attacco valido.
Una rete wireless protetta con chiave 128-bit WEP può ora essere compromessa in meno di un minuto sfruttando la loro nuova metodologia di attacco.
Dal loro sito web è possibile scaricare un archivio compresso contenente il necessario per aggiungere il nuovo metodo al noto programma di cracking WEP Aircrack.
Fino ad adesso gli attacchi WEP più efficienti richiedevano per lo meno 500.000 pacchetti WEP utili per calcolare la chiave 104-bit usata dal sistema di protezione WEP 128-bit.
Una maniera molto semplice per collezionare pacchetti dati è quello di usare la tecnica dell’ARP reinjection, injection forzata di query ARP crittate.
In questo modo anche una rete wireless poco trafficata può essere compromessa in un tempo variabile dai 10 ai 40 minuti.

I ricercatori sono stati in grado di migliorare l’attacco sviluppato da Klein contro l’algoritmo RC4 usata dal WEP, in maniera che i singoli bytes della chiave possano essere calcolati in maniera indipendente.
Il risultato è che con 40.000 pacchetti WEP c’è il 50% di possibilità di calcolare la chiave corretta.
Con 85.000 pacchetti la percentuale sale al 95%.
Il loro attacco stando a quanto dichiarato dovrebbe funzionare anche con WEPPlus, visto che la loro metodologia non è diretta verso la debolezza degli IVs, cosa che appunto WEPPlus nel tentativo di migliorare la sicurezza evita di utilizzare.

Ricordate il mio post sull’hotspot/access-point Gemtek P-560?
Qualche tempo fa avevo indicato dove trovare online il manuale utente.
Ho notato ora che il link diretto che avevo lasciato al pdf “non funziona”.
Digitate piuttosto questo indirizzo:
http://www.weber-wireless.com/index/Downloads
e poi scaricate direttamente.
In questo post segnalo quali sono username e password di default per questo dispositivo, visto che un utente straniero mi ha chiesto quali fossero.

ENGLISH:
You can access the configuration panel by entering these information into the browser:
- http://192.168.3.1/a.rg
or
- http://192.168.2.66/a.rg
- Enter the default username and password
USER: admin
PASSWORD: admin01

ITALIANO:
Potete accedere al pannello di configurazione inserendo queste informazioni nel vostro browser:
- http://192.168.3.1/a.rg
o
- http://192.168.2.66/a.rg
- Digitate i seguenti username e password.
USER: admin
PASSWORD: admin01

Sul fatto che la sicurezza bluetooth stia diventando uno dei principali target di studio di ricercatori di sicurezza e di white/black hat, non c’è dubbio.
Al 23esimo Chaos Communication Congress (23C3) a Berlino tenutosi lo scorso dicembre 2006 erano stati presentati due nuovi tool per attacchi bluetooth.
I software in questione BTCrack e Hidattack, permettevano rispettivamente l’hacking della fase di pairing di due dispositivi bluetooth e il controllo remoto di una tastiera bluetooth.
Uno dei ricercatori autori della presentazione ha ribadito pero’ come questo tipo di attacchi non fosse alla portata di tutti vista la necessità di apparecchiature particolari per lo sniffing e software relativo, il cui costo commerciale è decisamente elevato.
Un esempio commerciale di piattaforma dedicata allo scopo è FTS4BT di FrontLine.
Una interessante discussione sul perchè i normalissimi dongle usb che utilizziamo per il bluetooth di tutti i giorni non possono essere utilizzati per il cosiddetto sniffing potete leggerla qui.
E’ tutto qui? Certo che no.
Max Moser, già ideatore della famosa distrubuzione linux per il penetration-testing BackTrack, ha pubblicato recentemente i risultati di una ricerca personale sulla questione.
Stando a quanto scritto da Moser sarebbe possibile trasformare alcuni tipi particolari di dongle Bluetooth dal costo commerciale di una 30 di dollari in dispositivi per lo sniffing.
E’ chiaro che questo apre nuove frontiere per l’hacking, visto che comunque con tool come BTCrack sarebbe possibile craccare il PIN di pairing tra due dispositivi. L’attacante potrebbe cosi’ avere accesso ai dispositivi.
In fondo a ripensarci una cosa molto simile successe con le WLAN considerate sicure fino all’avvento di firmware in grado di supportare il monitor mode e di dar in pasto pacchetti dati a tool come Airsnort, Kismet e compagnia bella.
La modalità RAW mode, per dispositivi bluetooth è un qualcosa di simile alla monitor mode per il wireless.
Il fatto che mettere in atto del bluetooth sniffing richieda dispositivi molto costosi (corredati da apposito software), è molto probabile sia legato anche a limitazioni firmware oltre che a questioni puramente legate all’hardware.
E Moser si è accorto proprio di questo analizzando un software commerciale: ha notato che erano previsti drivers per il chip di tipo Cambridge Silicon Radio. Uno dei pacchetti includeva il firmware col quale Moser è riuscito a flashare un normale stick USB (con chip CSR) e abilitare il RAW mode.
Dai successivi test effettuati con il software commerciale è riuscito a leggere il traffico Bluetooth con il “dispositivo rigenerato”.
Dalle parole dello stesso Max Moser appare chiaro che ora l’unico ostacolo è la disponibilità di uno sniffer gratuito che possa funzionare magari sotto Linux.
Dopo questo studio di Moser sarà interessante vedere quanti altri si cimenteranno nel tentativo di trasformare il proprio dongle in una “vera arma” per la sicurezza Bluetooth.
Non ci sarebbe da stupirsi se quest’anno ci trovassimo a parlare del nuovo fenomeno di “Bluedriving”.

RIFERIMENTI UTILI:
- Busting The Bluetooth Myth, Paper di Max Moser
- Promiscuous mode for HCI Devices
- BTCrack in action, video-sample dell’utilizzo di BTCrack
- Bluetooth Hacking Revisited, la registrazione video della presentazione tenuta da Kevin Finistere e Thierry Zoller al 23C3 dello scorso dicembre

Cisco ha segnalato alcune vulnerabilità nel software di telefonia IP di alcuni suoi prodotti, che possono portare a malfunzionamenti dei devices.
I componenti interessati dai problemi sono il Cisco Unified CallManager (CUCM) e il Cisco Unified Presence Server (CUPS).
Il servizio Skinny Call Control Protocol (SCCP) può essere mandato in crash inviando una serie di pacchetti “modificati”; lo stesso di casi per Secure SCCP.
Il bug è stato riscontrato in CUCM 3.x, 4.x e 5.0 ma non in CUPS.
Tuttavia sia i sistemi CUCM 5.0 che CUPS 1.0 possono essere mandati in crash attraverso l’invio di un numeroso eccessivo di pacchetti di PING.
In più un bug nell’IPSec Manager può portare ad un crash del servizio quando un particolare pacchetto UDP viene inviato alla porta 8500.
Questo problema influisce sul forwarding delle chiamate ma non sulle normali operazioni di telefonia.
Anche qui i prodotti vulnerabili sono CUPS 1.0 e CUCM 5.0.
Non c’è alcun tipo di workaround per evitare i problemi in questioni, tuttavia resta una buona idea limitare e filtrare gli accessi al sistema.
Sono comunque disponibili gli updates per risolvere le vulnerabilità sopra descritte.

Altri riferimenti:
- Multiple Cisco Unified CallManager and Presence Server Denial of Service Vulnerabilities, Cisco security advisory

Stando ad un advisory di sicurezza apparso su Full Disclosure, i telefoni Cisco 7940 e 7960 possono essere riavviati con un particolare messaggio INVITE preparato ad arte.
La vulnerabilità è alquanto fastidiosa specialmente se l’attaccante la utilizza durante una chiamata da parte dell’ignaro utente.
Il problema sembra legato all’analisi di un campo sipURI nell’INVITE message da parte di un altro utente.
I devices che utilizzano il firmware P0S3-07-4-00 sono interessati dal problema: la vulnerabilità è stata rimossa con la versione POS8-6-0.
A questa pagina trovate il security advisory in cui è contenuto anche un esempio pratico di exploit costituito da poche righe di codice scritte in linguaggio Perl.

E’ uscita la nuova versione dei drivers MadWifi, la 0.9.3 appunto.
MadWifi è il diminutivo per Multiband Atheros Driver for Wifi. In altre parole si tratta del progetto che fornisce i device driver per far funzionare schede wireless basate su chipset Atheros.
Il driver funziona in maniera tale da far risultare la scheda WLAN come una normale interfaccia di rete del sistema.
Questo consente di configurare il dispositivo usando i tools più comuni come: ifconfig, iwconfig e similia.

L’HOME PAGE del progetto dove reperire i drivers.

Le caratteristiche principali: Leggi il resto dell’articolo »

Se per caso vi capita tra le mani questo gioiellino di dispositivo e state cercando il manuale utente, allora forse posso darvi qualche indicazione.
Il Gemtek P-560 Plus è un hotspot access-point dalle eccellenti caratteristiche.
A riprova di ciò, qualche tempo fa Telecom Italia per ampliare la propria rete wireless ha stipulato un contratto con Urmet TLC per la fornitura di centinaia di questi dipositivi, proprio per piazzare in luoghi pubblici queste soluzioni “hotspot-in-a-box”.

Tempo fa per l’appunto mi è capitato sotto mano uno di questi P-560 e dovevo riconfigurarlo dopo un reset completo.
Non avendo gran che voglia di registrarmi sul sito Gemtek unicamente per sapere user e pass di default mi sono messo a googlare un po’ e dopo qualche tentativo ho recuperato on-line un manuale in pdf per il dispositivo.
Si tratta della revision 1.2 datata dicembre 2005.
Per poter scaricare il pdf cliccate qui: Gemtek P-560 User’s Guide.

Qui di seguito invece trovate alcune delle principali features del Gemtek P-560 Plus: Leggi il resto dell’articolo »

Symantec ha presentato un’analisi approfondita delle funzioni di rete di Vista: in particolare viene preso in esame lo stack TCP/IP, che è stato in gran parte riscritto.
Gli esperti di sicurezza hanno guardato anche ai nuovi protocolli e hanno tentato di stilare una lista delle implicazioni di queste nuove soluzioni.
Una prima analisi basata sulla beta di Windows Vista Beta era già stata presentata da Symantec a metà dello scorso anno.
Stando a Symantec, il protocollo Teredo per il tunneling IPv6 attraverso reti IPv4 è potenzialmente vulnerabile.
Il protocollo Teredo descrive un metodo per accedere ad una rete IPv6 dietro a un NAT router che non supporta IPv6.
Visto che attualmente non c’è virtualmente alcun firewall o IDS che supporti Teredo, questo consentirebbe di aggirare le misure di sicurezza.
In aggiunta Vista possiede protocolli come Link Layer Topology Discovery Protocol (LLTD), Web Service Discovery, Link-Local Multicast Name Resolution (LLMNR), Peer Name Resolution Protocol (PNRP) e altri, che non sono stati studiati in dettaglio e che potrebbero far trapelare informazioni sulla topologia di rete interna all’esterno.

Il link al paper di 116 pagine è qui: scarica documento.
LINK LOCALE: document repository.

Linko una manciata di siti che possono tornare comodi qualora ci si trovi a dover mettere mano a degli apparati e non si abbiano sottomano pdf o manuale utente in cui sono specificate user e pass di default.
Situazione classica che si presenta magari dopo un reset alle impostazioni di fabbrica, necessario visto che l’amico o cliente di turno ha dimenticato la password impostata al momento della prima configurazione.
I dispositivi sono delle marche tra le più disparate: Dlink, Zyxel, Lucent, Cisco, Alcatel, 3Com, Linksys, Netgear etc.etc.

- Phenoelit Default Password List
- Virus.org Default Password Database
- CyberPunkCafe Password List
- Cirt.net Password List
- Default Router Passwords

Dalle pagine del System Status di Dyndns si legge che nella giornata di venerdì 9 marzo alle ore 17.00 UTC, members.dyndns.org è stato oggetto di una serie di attacchi di tipo Distributed Denial of Service.
Gli amministratori hanno fatto di tutto per cercare di mitigare gli effetti dei DDoS e nella giornata del 10 marzo, sono state messe in atto alcune contromisure per cercare di “mettere al riparo” il sito principale, www.dyndns.com.
E’ per questo motivo che gli amministratori hanno avvertito gli utenti del servizio che potrebbero riscontrare problemi di connettività verso i servers e non riuscire quindi ad aggiornare correttamente i propri hostnames.

Segnalo e riporto un articolo comparso su Wireless-Italia, dove Stefano Ramponi, moderatore tecnico del forum di Wireless-Italia, ha realizzato una guida dove vengono rivelati molti segreti riguardo l’hardware ed il software dell’ottimo e notissimo Access Point della Dlink il DWL-2100AP.
Sono davvero molte le capacità di questo dispositivo e conoscendolo a fondo e’ possibile sfruttarlo al meglio. Stefano, autore del testo, ricorda che le informazioni prodotte in questa guida sono rilasciate unicamente a scopo didattico, di approfondimento delle conoscenze riguardo al prodotto, e richiedono un livello di istruzione tecnica molto alta in quanto l’errata applicazione di alcune nozioni puo’ portare alla distruzione del device. Il nostro consiglio di base rimane comunque sempre quello di non applicare mai modifiche sui prodotti originali, pena perdita della garanzia, omologazione, e riduzione della vita media del prodotto stesso.

LINK REMOTO: clicca qui
LINK LOCALE: clicca qui

Non di rado accade di dover adattare le impostazioni di rete del proprio portatile al posto in cui ci si trova, dovendo magari cambiare ip, subnet mask, dns, gateway e altre voci.
E’ vero che si può ovviare al problema mediante un semplice script che sfrutti netsh, tuttavia questo tool viene in aiuto anche a chi non è molto pratico con la riga di comando.
NetSetMan è un tool che nella versione freeware (per usi non commerciali) consente di configurare fino a sei profili, consentendo di switchare facilmente dall’uno all’altro a seconda che ci si trovi a casa, all’università, a casa dell’amico o in ufficio.

Link per il download: HOME PAGE

Elenco completo delle funzionalità: Leggi il resto dell’articolo »

Molto spesso capita di dover creare dei diagrammi, degli screenshot di configurazioni di rete o comunque di scenari che richiedano l’uso di icone di apparati di rete.
Quello che fa al caso nostro è Network Notepad 4.5.3: si tratta di un software freeware che permette di creare linked diagrams e flow chart, ma cosa importantissima proprio diagrammi che possono far comodo ai sysadmin o a chi magari sta scrivendo qualche guida e/o tutorials.

Il programma è disponibile per il download direttamente da qui.
Alla stessa pagina potete trovare disponibile per il download anche il set di icone Cisco, ricavato direttamente da quelle rese disponibili a tutti sul sito di Cisco Systems.
Il software, grazie al file delle lingue, è disponibile anche in italiano e per cominciare a prendere confidenza col programma consiglio di dare una letta alla seguente pagina di help.

LINK HOMEPAGE: Network Notepad

Cisco Systems Inc. ha avvertito di come ben 77 modelli delle proprie linee di prodotti sia potenzialmente vulnerabili ad un tecnica denominata “drive-by pharming”.
Questo tipo di attacco è stato per la prima volta scoperto e descritto nel dettaglio da un ricercatore della Symantec Corp. e da due ricercatori universitari dell’Indiana.
Il loro lavoro è riportato nel seguente paper.
A questo indirizzo è invece disponibile l’advisory rilasciato da Cisco sui modelli di routers interessati dal problema.
Il primo consiglio è quello naturalmente di cambiare username e password di default richieste per accedere alla configurazione del router e di disabilitare il servizio HTTP del dispositivo.

Nei tipi di attacco di pharming tradizionale avviene per lo più che l’attaccante rediriga l’utente che sta tentando di visitare un sito web, verso un sito fasullo/malevole appositamente creato, magari per rubare dati sensibili o installare malware sul computer dell’ignaro utente. Il pharming tipicamente viene messo in pratica procedendo ad una modifica del file host locale o comunque manipolando il meccanismo di funzionamento del DNS.
Il Drive-by pharming invece è un’evoluzione molto più subdola di questo tipo di attacco, in cui qualora un utente visiti un sito web malevole, un attaccante può essere in grado di modificare le impostazioni DNS di un router broadband o di un access point.
E’ chiaro che questo può quindi avere un effetto su tutti gli altri pc collegati alla stessa LAN e che usano il router per uscire all’esterno su Internet.
Naturalmente questo tipo di attacco ha successo quando i router non sono protetti da password o comunque mantengono le password di default (pratica molto comune).
Il Drive-by pharming fa uso del Javascript per modificare i settaggi del router: quando un utente clicca su un link malevole, viene eseguito del codice Javascript che consente di modificare come dicevamo le impostazioni DNS del router dell’utente.
Da quel momento in poi quindi, tutte le risoluzioni di nomi DNS verrano gestite e passeranno attraverso l’attaccante, che come è molto probabile le userà per rubare password d’accesso a siti bancari, e-commerce o di altri tipo.

Nella giornata di ieri mi è capitato di leggere l’articolo su Punto Informatico relativo agli innumerevoli disservizi verificatisi in questi giorni sulla rete Telecom… puntalmente segnalati dagli utenti ma quasi mai presi in considerazione dalla mamma di Alice.
Dopo aver letto ho detto… “Ah ma non ero solo io allora a notare la cosa…”
In queste ultima settimana e mezza abbondante ho notato numerosi problemi di connettività… ping con tempi di risposta altissimi…
Siti irrangiungibili o sui quali si navigava a singhiozzo… altri che invece funzionavano normalmente…
Di primo acchitto avevo pensato potesse trattarsi della mia linea… che fosse “sporca”.. dopo la lettura dell’articolo mi son reso conto che la cosa era ben piu’ estesa
Che dire… val la pena prenderla sul comico… come letto da alcuni commenti sul forum…
“Adesso che abbiamo detto alla donna delle pulizie di non staccare la spina del server backbone per attaccare l’aspirapolvere, vedrete che non ci saranno più problemi.“

Cisco ha pubblicato di recente tre advisories di sicurezza riguardo alcuni problemi al proprio IOS.
Forgiando ad arte alcuni pacchetti, come un particolare ping, ci sarebbe la possibilità di eseguire attacchi di tipo Denial-of-Service o addirittura intervenire direttamente sul codice del programma.
Errori nelle funzioni di processing dei pacchetti ICMP, PIMv2, PGM e URD che hanno portato a inserire opzioni IP non previste da Cisco negli headers, sono in grado di causare il crash del router o addirittura l’esecuzione di codice previa injection.
Sempre secondo Cisco, un ulteriore problema nel processing di routing headers IPv6 del layer IP consentirebbe la sovrascrittura di alcune strutture dati in memoria. Questo può portare a iniettare codice malevole all’interno dei router usando pacchetti IPv6-TCP,UDP o ICMP con header manipolato.
Leggi il resto dell’articolo »

E’ stata resa disponibile in data 24 gennaio l’ultima versione del fantastico tool PuTTY a distanza di più di un anno e mezzo dall’ultima release (la 0.58 fu rilasciata il 5/04/2005).
Per chi non lo conoscesse, volendo descrivere PuTTY in due parole, si tratta di un client telnet e ssh. In realtà è molto di più
Tra le novità introdotte in questa release 0.59beta, da notare i classici bug fixes, tra cui anche i problemi di funzionamento IPv6 su Vista, miglioramenti all’implementazione/supporto di SSH-2 e anche la possibilità di utilizzarlo per comunicare con le porte seriali.

Per consultare il changelog clicca qui.
Per scaricare il software clicca qui.

La Wi-Fi Alliance ha certificato i primi prodotti compatibili con la nuova metodologia semplificata per la configurazione delle reti wireless home.
Questa “certificazione” porta il nome di Wi-Fi Protected Setup ed è basata sulle specifiche elaborate dalle compagnie che fanno parte dell’Alliance così da consentire in maniera facile e veloce agli utenti home di configurare e mettere in sicurezza le proprie reti wireless in pochi passaggi.

La prima release supporterà il funzionamento tramite la tecnica push-button e l’inserimento di un PIN per mettere in rete i dispositivi Wi-Fi.
Il supporto per Near-Field Communication, tecnica usata anche nei micropagamenti per intenderci, è molto probabile verrà introdotto nel secondo semestre del 2007.
Leggi il resto dell’articolo »

Al via i corsi di studio di AreaNetworking per le certificazioni CISCO

AreaNetworking, uno dei maggiori punti di riferimento per quanto concerne la documentazione ICT e il più grande Cisco Users Group ufficiale in Italia promuove una nuova iniziativa: i gruppi di studio per il conseguimento di certificazioni Cisco.

Essi si basano sull’uso di mailinglists dedicate e sulla disponibilità vicendevole degli stessi iscritti.
Oltre a questi ultimi, vi è la supervisione e l’assistenza diretta dello staff di AreaNetworking che può vantare la presenza di certificati CCNA, CCDA, CCDP, CCNP, CCSP, CCIP, istruttori Cisco certificati CCAI e CCSI, Cisco Firewall Specialist, Cisco VPN Specialist, Cisco IDS Specialist, Cisco Optical Specialist, Cisco IP Telephony Design e Operations Specialis, Wireless LAN Support specialist, Cisco Wireless LAN design specialist, Cisco Wireless LAN Sales Specialist e CCIE pending in via di preparazione dell’esame di laboratorio.
Leggi il resto dell’articolo »