ARP Cache Poisoning o più comunemente ARP Spoofing

Come ben sappiamo i computers all’interno di una rete LAN comunicano tra di loro usufruendo delle schede di rete collegate agli switch o hub.

Lo switch è un dispositivo in grado di instradare i pacchetti di dati in modo logico, ovvero distribuisce al singolo pc i soli dati che ha richiesto (a livello di protocolli), evitando di fatto un invio su tutte le macchine (broadcast) come invece fa un hub.

E’ chiaro che analizzando il traffico di un pc collegato ad un hub, a differenza dello switch, è possibile rilevare dati sensibili destinati ad altri computer della rete.

Per aggirare l’instradamento degli switach è stata creato l’attacco ARP Cache Poisoning.

LFI – Come individuare e proteggersi dalla vulnerabilità Local File Inclusion Part.2

Nella prima parte dell’articolo ho spiegato cosa è la vulnerabilità LFI soffermandomi anche su alcune tecniche di protezione a livello di programmazione, mentre in questo post affronterò l’aspetto sistemistico. Per circoscrivere l’area di lavoro di un applicativo web, e quindi di un eventuale Local File Inclusion, è possibile ricorrere almeno a tre soluzioni: Utilizzo della […]

Filtri command injection: escapeshellarg escapeshellcmd

Proteggere i propri applicativi php è importantissimo sia, per l’integrità dei dati che del sistema.

Nello scorso articolo ho fatto una panoramica sulla vulnerabilità Local File Inclusion, mentre oggi lo scopo dei test sarà quello di applicare al codice php dei filtri command injection, ovvero normalizzare le richieste in input eliminando la possibilità di eseguire comandi non autorizzati.

LFI – Come individuare e proteggersi dalla vulnerabilità Local File Inclusion Part.1

Analizzando pagine web dinamiche di vari siti o ad esempio dei CMS (Wordpress, Drupal, Joomla) è possibile notare come gli sviluppatori ottimizzino il codice distribuendolo su più pagine.

In questo modo i programmatori evitano di creare file (ad esempio php) troppo grandi e di conseguenza meno chiari/flessibili.

Per incorporare il contenuto di una pagina php dentro l’altra, vengono utilizzate le funzioni:

include(‘pagina2.php’);

include_once(‘pagina2.php’);

require(‘pagina2.php’);

require_once(‘pagina2.php’);

Cosa può accadere se il nome della pagine inclusa viene richiamata col metodo GET o POST senza l’inserimento di adeguati filtri?

La risposta è semplice: è possibile leggere file di sistema o scaricare il codice sorgente degli applicativi, questa vulnerabilità viene chiamata LFI Local File Inclusion.

E’ importante precisare due punti per il corretto rilevamento della vulnerabilità:

I files a cui avrà accesso la pagina affetta dal bug, devono avere almeno i permessi in lettura per l’utente Apache (o l’utente di riferimento del demone http)
Il sistemista del web server non ha circoscritto l’area di lavoro dell’applicativo

Come scaricare ed installare gli aggiornamenti critici di Windows XP fino al 2019

Windows Embedded POSReady 2009 è il sistema operativo che si trova in molti dispositivi P.O.S e si basa su Windows XP.
Microsoft ha deciso di prolungare la manutenzione di questo sistema operativo per i prossimi cinque anni, dato che i pos sono utilizzati in esercenti commerciali con presenza di dati sensibili.

E’ stato trovato un piccolo trucco per scaricare gli aggiornamenti di Windows XP modificando il registro.

Creando un semplice file .reg ad hoc è possibile far credere a Windows Update di avere un sistema Windows Embedded POSReady 2009.

Creare un nuovo file di testo dal nome winupdate.txt e inserire le seguenti righe:

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\WPA\PosReady]
“Installed”=dword:00000001
Rinominare il file da winupdate.txt in winupdate.reg.

Infine eseguire il file e acconsentire la modifica al registro di sistema.

A questo punto sarete abilitati a scaricare i Security Update per qualsiasi versione di Windows XP.

Note personali
E’ chiaramente sconsigliato continuare ad utilizzare Windows XP quindi applicate questo workaround solo in caso di estrema necessità!

Chkrootkit – Come installare e schedulare rootkit scanner su Linux

Chkrootkit è una raccolta di script e tools scritti in C che aiutanto gli amministratori di sistema a rilevare eventuali rootkit o LKM maligni installati sui sistemi Linux.

Per installare chrootkit su CentOS 6, basta usufruire del repository EPEL tramite yum.
1) Installare il repository EPEL…

fwknop-client and fwknop-server 2.6.2 packages for IPFire Linux 2.x i386 (Pakfire 2)

fwknop 2.6.2 IPFire Linux addon (unofficial) tested on versions: 2.15 core update 75,76,77 with Pakfire 2.
Download

Fwknop 2.6.2 client: DOWNLOAD (MD5: 11714c99dce5171191eb6735c3a4729a )

Fwknop 2.6.2 server: DOWNLAOD (MD5: 8e1072229f483824d51844c0b84d0b52 )

Come installare BackBox 3.x

Nel precedente articolo ho fatto una panoramica generale della distribuzione BackBox 3.x:

http://www.homelab.it/index.php/2014/05/10/backbox-penetration-testing-made-in-italy/

In questo nuovo post ho inserito due video dove spiego passo passo come installare la distribuzine su VMware Workstation, ma è applicabile anche su pc/notebook fisici.

BackBox – Penetration Testing Made in Italy

Backbox è una distribuzione Linux tutta italiana orientata al Penetration Testing e Vulnerability Assessment and Mitigation.

La distribuzione nasce nel 2010 da un’idea di Raffaele Forte e ai giorni d’oggi vanta lo sviluppo di un’intera community.
Il successo di Backbox è dovuto dovuto alla sua facilità d’uso e le elevate performance, infatti si basa sulla distribuzione Ubuntu e come window manager utilizza XFCE.Al suo interno è possibile trovare una vastissima raccolta di programmi utilizzabili nell’ambito dell’informatica forense e nell’analisi delle reti o applicazioni, il tutto categorizzato sotto il menù “Auditing”….

Nagios NRPE <= 2.15 Remote Command Injection: Analisi, test e fix della vulnerabilità

Nrpe è un agent che viene installato su tutte le macchine monitorare da Nagios e a seconda delle varie personalizzazioni può restituire varie informazioni, come ad esempio lo stato del disco rigido, della memoria, la funzionalità o meno di determinati servizi ecc..

L’agent viene interrogato da Nagios tramite un plugin dal nome “check_nrpe” il quale può richiedere informazioni in due modalità:

Eseguendo i comandi preimpostati sul file di configurazione dell’agent
Personalizzando gli argomenti delle interrogazioni da linea di comando

La vurnerabilità è stata scovata proprio nel secondo caso, ovvero la possibilità di inserire comandi arbitrari da eseguire sulla macchina remota al posto degli argomenti del plugin check_nrpe.