[youtube=http://www.youtube.com/watch?v=mMhrvKEmyTY&w=480]
Autore: Luigi Rosa
-
THC-Hydra
Come i coltelli, i piedi di porco e le armi da fuoco ci sono molti software che possono essere utilizzati per scopi positivi o negativi.
A differenza delle armi più o meno proprie, i software di attacco possono essere utilizzati per attaccare i propri server senza farsi del male.
THC-Hydra è uno di questi software. È incredibilmente semplice da installare e utilizzare e permette di tentare in parallelo molte coppie di utente/password contro vari tipi di servizi. Se un programma del genere riesce a bucare facilmente la vostra sicurezza, avete sicuramente un problema.
A parte l’utilizzo di password non facilissime da indovinare (p@55w0rd al posto di password non fa oramai nessuna differenza), uno dei metodi di difesa da questi tipi di scanner è sicuramente un software come fail2ban.
-
La fissazione del ranking e il disegno dei siti
Apprendo per vie notevolmente traverse che eDigita, un sito italiano che venderà libri pieni di DRM, andrà online il prossimo 18 ottobre.
Eppure avevo scatenato Google Alert, come mai non è finito nella trappola del motore, malgrado eDigita abbia attivato Google Analytics sul proprio sito?
Vado a vedere il sito rinnovato tre giorni fa: graficamente impeccabile, quasi asettico. Ci vuole poco tempo per capire perché Big-G lo sta snobbando: tutto il testo che si legge a video è contenuto in due file grafici in formato PNG salvate da Adobe ImageReady senza uno straccio di ALT, per giunta.
Ci sono tre PDF realizzati con Adobe Illustrator CS4 che, fortunatamente, contengono del testo indicizzabile, ma (almeno alle 06:00 del 3 ottobre) la pagina principale non contiene una sola parola indicizzabile, nemmeno uno straccio di META DESCRIPTION. Nulla.
Nel 2010 a molti vecchi lupi della Rete questo potrebbe sembrare assurdo, ma purtroppo il caso citato sopra è tutto fuorché isolato.
(altro…) -
Blackberry e iOS: password crackata con 200 €
Elcomsoft Phone Password Breaker è un software venuto a 200 € in grado di eseguire un attacco di forza bruta alle password di
iOS e del Blackberry.Il programma è in grado di utilizzare fino a 32 CPU e 8 GPU ATIAMD o nVIDIA per trovare la password. L’uso dei processori grafici per scardinare la sicurezza informatica non è nuovo: nel 2008 un gruppo guidato da Alexander Sotirov ha creato un finto certificato di sicurezza utilizzando i processori grafici di 300 PlayStation.
La nuova versione del software è in grado di operare anche sui backup di iOS e Blackberry, quindi non è necessario l’accesso fisico al dispositivo per considerarsi a rischio. (via Stefano Quintarelli)
-
Full path disclosure
Full path disclosure (letteralmente divulgazione del percorso completo) è una vulnerabilità di un sito tale per cui, in particolari condizioni di errore, viene rivelato il percorso completo della directory del server in cui si trovano i file di un sito.
Apparentemente potrebbe essere un problema minimale, ma è un dato che facilita molto la vita a chi vuole penetrare nel sistema utilizzando altri punti deboli di un sito.
Immaginiamo che ci sia un sito dinamico che carica le pagine in base ad un parametro passato nell’URL tipo
(altro…) -
Architettura UMA/NUMA
Un mesetto fa un collega mi dice «Nei nuovi server Xxx i banchi RAM sono dedicati ad un singolo processore». La cosa mi sembrava un po’ strana e, infatti, dopo qualche giorno il medesimo collega mi dice «Lascia perdere il fatto della RAM dedicata ai processori».
In realtà c’era un fondo di verità in quello che mi aveva detto, anche se le cose sono un pochino differenti: l’architettura hardware dei PC (nella più ampia accezione del termine) è passata da UMA a NUMA. (altro…)
-
Mandelbulber
Ve lo ricordate Fractint e le interminabili ore ad attendere che il dannato frattale venisse terminato?La nuova frontiera del frattale è il 3D con filmati da togliere il fiato (grazie a Luca per la segnalazione).
Il programma per realizzare immagini tridimensionali still o filmati è Mandelbulber.
Una volta installato ed eseguito, si può avviare il rendering dell’immagine di default, rappresentata a lato e divertirsi ad esplorarla.
Un manuale, completo di alcuni esempi grafici, viene in aiuto per la comprensione dei vari parametri di rendering.
-
The Document Foundation
Dopo una decina d’anni di vita, la comunità di OpenOffice.org diventa The Document Foundation.La nuova fondazione si prefigge lo scopo di migliorare ed ampliare la vecchia struttura di OpenOffice.org, per promuovere la nascita di nuovi software e definire uno standard veramente open per lo scambio di dati office.
Oracle, l’attuale proprietario di OpenOffice.org è stata invitata a donare i marchi correlati ad OOo che ha ricevuto con l’acquisizione di Sun e a partecipare alla fondazione; in attesa di una decisione, la suite gratuita viene rinominata LibreOffice.
Tra i supporter dell’iniziativa ci sono la Free Software Foundation, Google, OASIS, Novell, RedHat, Canonical (Ubuntu), la GNOME Foundation, Neo-Office e altri.
-
ASP.NET: la cosa si fa seria (aggiornamento)
[youtube=http://www.youtube.com/watch?v=yghiC_U2RaM&w=480]
Contrariamente a quanto riportato da Microsoft, sembra che gli attacchi che sfruttano la vulnerabilità di ASP.NET siano non solo fattibili, come mostra il video qui sopra, ma anche in corso.
La situazione sembra seria e chi amministra un sito esposto a Internet basato su ASP.NET dovrebbe al più presto prendere le contromisure consigliate da Microsoft per mitigare il problema.
La vulnerabilità in questione permette, di fatto, di passare attraverso la sicurezza del framework ASP.NET senza blocchi in poche decine di minuti. (via Schneier on Security)
Aggiornamento 28/9/2010 06:15: Microsoft rilascerà oggi un aggiornamento d’emergenza sul Download Center; pare che le contromisure consigliate non siano molto efficaci, quindi l’aggiornamento è d’obbligo.
Aggiornamento 28/9/2010 19:45: la patch è stata rilasciata.
-
Possibili siti in cima alle ricerche di Google
Appena dopo l’introduzione di Google Instant, Stefano aveva elencato l’abbecedario di Google.
Questa mattina per sbaglio ho iniziato a scrivere l’indirizzo di un sito nel campo di ricerca della home page del motore.
Digitando www, questi sono i risultati di Google Instant italiano:
- www.facebook.com
- www.libero.it
- www.inps.it
- www.youtube.com
- www.yahoo.it
- www.meteo.it
- www.virgilio.it
- www.subito.it
- www.ilmeteo.it
- www.poste.it
Mentre con il profilo configurato per la lingua inglese il risultato è:
- www.facebook.com
- www.yahoo.com
- www.hotmail.com
- www.youtube.com
- www.gmail.com
- www.aol.com
- www.yahoomail.com
- www.myspace.com
- www.msn.com
- www.chase.com
Da notare che entrambe le prove sono state fatte senza effettuare il login con un profilo. Se entro con uno dei miei profili configurato per la lingua inglese il risultato è più esiguo:
- www.facebook.com
- www.yahoo.com
- www.youtube.com
- www.aol.com
-
DRM: piove sul bagnato
Exploit Database ha pubblicato la segnalazione di un problema di msnetobj.dll che sarebbe vulnerabile a tre tipi di attacchi (buffer overflow, integer overflow e denial of service).
Questo file, uno dei tanti che popola la directory system32, serve ad implementare il DRM per i contenuti ActiveX e dovrebbe servire a limitare l’utilizzo (salvataggio, stampa, visualizzazione) di alcuni file.
L’attacco a questa DLL viene portato inducendo la vittima a visitare siti con contenuti creati ad arte per sfruttare queste vulnerabilità.