Categoria: Internet

  • Attraversamento delle directory con Majordomo2

    Sitewatch ha pubblicato un articolo che parla di un un serio problema di attraversamento delle directory delle versioni fino alla 20110131 esclusa di Majordomo2.

    Il problema riguarda tutte le interfacce di Majordomo2, inclusa la mail.

    Quindi inviando un messaggio all’account amministrativo di Majordomo2 (per esempio majordomo@example.com) con un testo tipo

    help ../../../../../../../../../../../../../etc/passwd

    se si indovina la profondità corretta del file system si ottiene come risposta il contenuto di /etc/passwd

    Ovviamente il trucco vale per qualsiasi file di testo di cui si conosca o si riesca ad indovinare il path.

  • Addio IPV4

    Dopo lunga agonia lo spazio IPV4 è venuto a mancare (anche gli ultimi 5 netblock /8 sono stati assegnati da IANA ai registri locali….)

    La comunità internet ha accolto incredula il triste annuncio ( http://www.nro.net/news/ipv4-free-pool-depleted).

  • hiybbprqag mbzrxpgjys indoswiftjobinproduction

    È più o meno il rumore delle unghie degli sviluppatori di Bing che si arrampicano sui vetri.

    Google aveva il concreto sospetto che i risultati delle ricerche di Bing venissero… migliorati attraverso una ricerca supplementare su Google.

    Un primo sospetto era venuto quando cercando una parola come torsoraphy su Google appariva il risultato ipotizzando che l’utente cercasse tarsorrhaphy e avesse sbagliato a scrivere. Su Bing, invece, cercando torsoraphy apparivano i risultati di tarsorrhaphy, ma senza che l’utente venisse avvisato dell’errore di digitazione.

    Insospettiti, i tecnici di Google hanno fatto quello che ogni SysAdmin farebbe al loro posto: hanno creato una serie di honeypot.

    Cercando mbzrxpgjys, per esempio, Google dava come primo risultato il sito di RIM, il produttore del BlackBerry. Bing ci è cascato in pieno e anche lui dava come primo risultato il sito di RIM, finché la storia non è stata resa pubblica. (via search engine land)

  • Copiare messaggi tra mail client incompatibili

    Capita spesso di avere la necessità di copiare dei messaggi di posta elettronica tra client tra cui non è prevista una procedura di migrazione.

    Anziché passare per conversione esotiche che finiscono per causare perdite o degrado di informazioni, ho visto che c’è una soluzione comoda e lineare: IMAP.

    Tutti i client di posta elettronica, chi bene e chi male, supportano il protocollo IMAP.

    Per migrare i messaggi è, quindi, sufficiente utilizzare un account IMAP, come un account gmail o account di un server IMAP creato ad hoc su un computer.

    La procedura è banale: dal client sorgente si copiano tutti i messaggi sull’account IMAP, da cui vengono in seguito copiati sul mail client destinatario.

    È l’uovo di Colombo, ma spesso ci si infila in pericolosi cul de sac cercando programmi o procedure di conversione che non fanno quasi mai quello che promettono.

  • Qualità del servizio ADSL e diritti dell’utente

    L’Autorità per le Garanzie nelle Comunicazioni (AGCOM) ha messo a disposizione un sito che contiene gli strumenti necessari per testare la qualità della propria connessione, nonchè una serie di informazioni che possono supportare l’utente nell’arduo compito di far valere i suoi diritti con l’operatore che fornisce il servizio.

    Le misure effettuate sono “certificate” e costituiscono prova sufficiente per  inoltrare reclamo e, nel caso non venga ripristinata la giusta qualità del servizio, per recedere immediatamente senza penale dal contratto.

    Mah!

  • Giornata mondiale IPV6

    Come riportato da più fonti (p. es http://isoc.org/wp/worldipv6day/), il prossimo 8 giugno si terrà la giornata mondiale dell’IPV6.

    Alcuni dei principali gestori di servizi (google, facebook. yahoo…) offriranno i loro contenuti  anche attraverso IPV6 per 24 ore.

    Si tratta sicuramente di un’iniziativa utile, ma che fa sorridere i tecnici. Infatti dal punto di vista tecnico l’utilità è quasi nulla. Solo lo 0,22% dei navigatori internet ha accesso a indirizzi IPV6 e nessuno vietava i gestori di effettuare i loro test silenziosamente ed in maniera assolutamente non invasiva.  Da notare che google offre già i suoi contenuti su http://ipv6.google.com/ da diverso tempo. Youtube credo sia già attivo in IPV6.   Io stesso ho attivato il nuovo spazio di indirizzamento su diversi domini e posso garantire di non aver mai riscontrato nessun problema.

    Fa sorridere, inoltre, il limite temporale delle 24 ore dichiarato dall’evento: se funziona lasciatelo attivo e basta!.

    La vera utilità è dell’iniziativa è nascosta dietro alla vera natura della stessa: credo si tratti infatti di un evento mediatico il cui scopo è quello di iniziare a far conoscere al navigatore occasionale alcuni aspetti tecnici relativi al futuro assetto di internet. E soprattutto di far capire al navigatore medio che, contrariamente a quanto insinuato da alcuni articoli apocalittici relativi all’esaurimento dello spazio IPV4, non ci sarà alcun trauma per l’eventuale futuro passaggio alla nuova tecnologia.

    Se volete avere un riscontro delle preoccupazioni dell’utente medio date un’occhiata ai commenti in calce all’ articolo su tom’s hardware relativo all’evento: qualcuno si preoccupa addirittura di uno stallo nazionale  della connettività internet legata al passaggio a IPV6.

    Speriamo che, grazie alla grande visibilità di questa iniziativa garantita dai grossi nomi coinvolti, sia fatta chiarezza una volta per tutte.

  • Siete stati in Tunisia ultimamente?

    Siete stati in Tunisia per le ferie estive o invernali e vi siete collegati ad Internet da là? In caso positivo, potreste avere un problema e sarebbe meglio cambiare le password che avete utilizzato.

    La connettività tunisina è in mano ad una singola organizzazione, ATI, che fa capo al Ministero delle Telecomunicazioni.

    L’ATI applica una censura discrezionale sul traffico Internet, ma il vero problema è che inietta anche un codice JavaScript nelle pagine di login di molti siti per catturare le credenziali degli utenti. Sono stati pubblicati alcuni esempi del codice utilizzato per rubare le credenziali di Gmail, facebook e Yahoo!

    Ci sono prove dell’esistenza del codice a partire dallo scorso luglio, ma non è dato sapere quando sia iniziata esattamente questa pratica.

    Il furto di credenziali funziona solamente con il protocollo http; purtroppo il ATI ha bloccato l’accesso via https ad alcuni siti.

    Dovendo andare in Tunisia, sarebbe opportuno usare Internet il meno possibile e, se si utilizza il proprio computer, considerare l’utilizzo di una VPN. (via Tech Herald)

    Modifica 7/1/2011 22:50 – Anche Global Voices Advocacy riporta i dettagli sull’iniezione di codice JavaScript per rubare le password a Gmail.

  • Social Engineering Toolkit 1.1

    Le tecniche descritte in questo articolo sono dei REATI. Lo scopo di quello che segue non è l’istigazione a compiere degli illeciti, ma serve ad aumentare la consapevolezza di come sia facile cadere vittima di questi tipi di attacco.

    È stata rilasciata la versione 1.1 di SEC.

    Il kit, di cui abbiamo già parlato, è una raccolta di script in python che permettono di confezionare degli attacchi mirati basati sulle tecniche di social engineering.

    La diffusioni di questo tipo di programmi rende facile a molte persone mettere a punto attacchi di social engineering: l’attenzione quando si ricevono mail che chiedono dati o con allegati sospetti deve, quindi, essere massima.

  • Breccia nell’anonimato di Tor

    Al Chaos Communication Congress è stato rivelato un problema limitato dell’anonimato di Tor.

    Un computer con installato Tor che possa analizzare il traffico della vittima potrebbe confrontare le signature dei siti che sta visitando la vittima con una serie di signature di siti presenti in un archivio che l’attaccante si è creato.

    Questo non comporta che l’attaccante possa analizzare tutto il traffico ed è comunque un problema limitato, ma potrebbe costituire una tessere di un mosaico più ampio che l’attaccante vuole realizzare. Per poter compiere questo tipo di analisi è necessario poter intercettare il traffico della macchina da attaccare. (via ars technica)

  • THC-IPV6

    THC-IPV6 è una raccolta di tool che permette di sfruttare le debolezze del protocollo IPV6.

    Il kit viene distribuito in formato sorgente e richiede Linux 2.6.x a 32 bit per funzionare senza modifiche.

    (altro…)

  • Vulnerabilità 0day per Internet Explorer

    Abysssec ha pubblicato un video in cui dimostra l’esistenza di una vulnerabilità nella gestione dei CSS di Internet Explorer 8 su un sistema Windows 7 o Vista completamente aggiornato.

    La vulnerabilità bypassa DEP e ASLR, fa crashare Internet Explorer e permette di eseguire del codice arbitrario (nel video viene eseguita la calcolatrice di Windows).

    Microsoft ha pubblicato una nota tecnica in merito: il problema può essere mitigato se si utilizza EMET. Fermin Serna ha pubblicato un articolo su Technet in cui spiega alcuni dettagli tecnici del baco.

    Per il momento, non si hanno notizie di malware che sfruttino questa vulnerabilità. (via SANS)

  • Vulnerabilità 0day del servizio FTP di IIS 7.5

    Matthew Bergin ha scoperto una vulnerabilità del servizio FTP di Internet Information Services di Windows 7.

    Il problema interessa IIS versione 7.5.7600.16385,  non è ancora noto se il problema possa verificarsi su altre piattaforme simili.

    La vulnerabilità può essere evidenziata con uno script in python che Matthew ha pubblicato assieme alla notizia della scoperta. Dal momento che il problema si verifica prima dell’autenticazione, è bene tenere d’occhio tutti i servizi FTP di IIS esposti ad Internet

    Per ora lo script provoca solamente un denial of service e non esistono ancora patch di Microsoft per questo baco. (via SANS)