SIAMO GEEK

Categoria: Software

  • Full path disclosure

    Full path disclosure (letteralmente divulgazione del percorso completo) è una vulnerabilità di un sito tale per cui, in particolari condizioni di errore, viene rivelato il percorso completo della directory del server in cui si trovano i file di un sito.

    Apparentemente potrebbe essere un problema minimale, ma è un dato che facilita molto la vita a chi vuole penetrare nel sistema utilizzando altri punti deboli di un sito.

    Immaginiamo che ci sia un sito dinamico che carica le pagine in base ad un parametro passato nell’URL tipo

    (altro…)

  • Google Blacklist – Le parole che non piacciono a Google Instant

    Avevo già notato che su Google Instant, a volte mettendo delle parole la visualizzazione dei risultati si interrompe bruscamente. Questo articolo pubblicato da 2006.com elenca alcune delle parole inglesi che sono bloccate da Google Instant.

    Questo non significa che non si possono fare ricerche mettendole come parole chiave, bisognerà solo premere esplicitamente il pulsante per ottenere i risultati. Il perché è ovvio, porterebbero a risultati che potrebbero essere controversi, non adatti ai minori o comunque ritenuti offensivi quindi Google si tutela dalle possibili polemiche.

  • Mandelbulber

    Ve lo ricordate Fractint e le interminabili ore ad attendere che il dannato frattale venisse terminato?

    La nuova frontiera del frattale è il 3D con filmati da togliere il fiato (grazie a Luca per la segnalazione).

    Il programma per realizzare immagini tridimensionali still o filmati è Mandelbulber.

    Una volta installato ed eseguito, si può avviare il rendering dell’immagine di default, rappresentata a lato e divertirsi ad esplorarla.

    Un manuale, completo di alcuni esempi grafici, viene in aiuto per la comprensione dei vari parametri di rendering.

  • The Document Foundation

    Dopo una decina d’anni di vita, la comunità di OpenOffice.org diventa The Document Foundation.

    La nuova fondazione si prefigge lo scopo di migliorare ed ampliare la vecchia struttura di OpenOffice.org, per promuovere la nascita di nuovi software e definire uno standard veramente open per lo scambio di dati office.

    Oracle, l’attuale proprietario di OpenOffice.org è stata invitata a donare i marchi correlati ad OOo che ha ricevuto con l’acquisizione di Sun e a partecipare alla fondazione; in attesa di una decisione, la suite gratuita viene rinominata LibreOffice.

    Tra i supporter dell’iniziativa ci sono la Free Software Foundation, Google, OASIS, Novell, RedHat, Canonical (Ubuntu), la GNOME Foundation, Neo-Office e altri.

  • ASP.NET: la cosa si fa seria (aggiornamento)

    [youtube=http://www.youtube.com/watch?v=yghiC_U2RaM&w=480]

    Contrariamente a quanto riportato da Microsoft, sembra che gli attacchi che sfruttano la vulnerabilità di ASP.NET siano non solo fattibili, come mostra il video qui sopra, ma anche in corso.

    La situazione sembra seria e chi amministra un sito esposto a Internet basato su ASP.NET dovrebbe al più presto prendere le contromisure consigliate da Microsoft per mitigare il problema.

    La vulnerabilità in questione permette, di fatto, di passare attraverso la sicurezza del framework ASP.NET senza blocchi in poche decine di minuti. (via Schneier on Security)

    Aggiornamento 28/9/2010 06:15: Microsoft rilascerà oggi un aggiornamento d’emergenza sul Download Center; pare che le contromisure consigliate non siano molto efficaci, quindi l’aggiornamento è d’obbligo.

    Aggiornamento 28/9/2010 19:45: la patch è stata rilasciata.

  • Possibili siti in cima alle ricerche di Google

    Appena dopo l’introduzione di Google Instant, Stefano aveva elencato l’abbecedario di Google.

    Questa mattina per sbaglio ho iniziato a scrivere l’indirizzo di un sito nel campo di ricerca della home page del motore.

    Digitando www, questi sono i risultati di Google Instant italiano:

    • www.facebook.com
    • www.libero.it
    • www.inps.it
    • www.youtube.com
    • www.yahoo.it
    • www.meteo.it
    • www.virgilio.it
    • www.subito.it
    • www.ilmeteo.it
    • www.poste.it

    Mentre con il profilo configurato per la lingua inglese il risultato è:

    • www.facebook.com
    • www.yahoo.com
    • www.hotmail.com
    • www.youtube.com
    • www.gmail.com
    • www.aol.com
    • www.yahoomail.com
    • www.myspace.com
    • www.msn.com
    • www.chase.com

    Da notare che entrambe le prove sono state fatte senza effettuare il login con un profilo. Se entro con uno dei miei profili configurato per la lingua inglese il risultato è più esiguo:

    • www.facebook.com
    • www.yahoo.com
    • www.youtube.com
    • www.aol.com

  • Stuxnet e la protezione dei sistemi industriali

    Stuxnet è un malware molto anomalo.

    Si propaga con i sistemi standard dei worm, ma non invia spam, non cancella i file, non inserisce il nome della ex nel sistema… Stuxnet è stato creato per assumere il controllo di alcuni sistemi SCADA e, opzionalmente per riprogrammare i PLC.

    (altro…)

  • DRM: piove sul bagnato

    Exploit Database ha pubblicato la segnalazione di un problema di msnetobj.dll che sarebbe vulnerabile a tre tipi di attacchi (buffer overflow, integer overflow e denial of service).

    Questo file, uno dei tanti che popola la directory system32, serve ad implementare il DRM per i contenuti ActiveX e dovrebbe servire a limitare l’utilizzo (salvataggio, stampa, visualizzazione) di alcuni file.

    L’attacco a questa DLL viene portato inducendo la vittima a visitare siti con contenuti creati ad arte per sfruttare queste vulnerabilità.

  • Ma chi vuoi che…

    «Ma chi vuoi che venga ad hackerare proprio il nostro sito?»

    Questa è la reazione di molte persone (indifferentemente singoli cittadini e responsabili di aziende o enti pubblici) che hanno o gestiscono un sito web  quando viene segnalata loro l’importanza della sicurezza.

    (altro…)

  • Aggiornamenti per Flash

    Adobe ha aggiornato l’advisory con cui segnala un baco di Flash e di Acrobat Reader.

    Da oggi sono disponibili gli aggiornamenti di Flash Player.

    Diversamente da quanto annunciato, gli aggiornamenti che correggono il problema di Acrobat Reader saranno disponibili nella settimana del 4 ottobre p.v. (via F-Secure)

  • Problema di sicurezza di Linux a 64 bit

    Ben Hawkes ha scoperto un problema nella gestione della sicurezza del layer di compatibilità a 32 bit di Linux a 64 bit.

    Il baco permette ad un attaccante di guadagnare i privilegi di root; l’attacco deve avvenire eseguendo un’applicazione sul sistema da attaccare. È disponibile il sorgente C che sfrutta questo baco.

    Se non girano applicativi a 32 bit è possibile disabilitare il layer di compatibilità con questo comando suggerito nella mailing list Full Disclosure:

    echo ':32bits:M:0:\x7fELF\x01::/bin/echo:' > /proc/sys/fs/binfmt_misc/register

    che dice al kernel di eseguire /bin/echo al posto di qualsiasi applicativo a 32 bit.

    Una patch è già stata trovata e probabilmente verrà inclusa nella prossima release del kernel. (via Slashdot)

  • Vulnerabilità di ASP.NET – Aggiornamento

    Secondo Microsoft sembrerebbero non esserci ancora stati attacchi basati sulla vulnerabilità di ASP.NET segnalata qualche giorno fa; lo stesso articolo di Microsoft elenca in dettaglio i sistemi coinvolti e propone una modifica alla configurazione che potrebbe mitigare l’impatto del problema.

    Anche Scott Guthrie consiglia di modificare i medesimi parametri per ridurre gli effetti del problema e segnala uno script VBS che analizza il server locale e verifica se ci sono applicazioni con la pagina di errore personalizzata. (via SANS)