Hacker und Viren. Rainer W. Gerling Max-Planck-Gesellschaft. Merkregel

Transkript

1 Aktuelles aus der Hacker- und Viren-Szene Rainer W. Gerling Max-Planck-Gesellschaft Merkregel Rasterfahndung 1 Alle guten Hacker Tools sind kostenlos und im Internet für jedermann verfügbar!! Rasterfahndung 2 Seite 1

2 Aktuelle Probleme SirCam ist ein übler Virus Muss den Datenschützer interessieren Verschickt Dateien Adressen aus dem Browser Cache Code Red und Nimda haben zugeschlagen BadTrans (Re:) Bis zu 4000/h auf zentralen Virenscanner Installiert Keyboard-Logger W32/Goner (Hi) Löscht AV-Produkte und Windows Rasterfahndung 3 Viren am Arbeitsplatz Dramatische Zunahme der Viren seit Sommer Absender in der Regel unbekannt Keinen für den Empfänger relevanten Inhalt Gut zentral löschbar Mailunterdrückung!! Rasterfahndung 4 Seite 2

3 Code Red und Nimda in der X GmbH und Y AG /24h Datum Code Red Allgemein: Nimda Code Red/Nimda Firma/ Rasterfahndung 5 TOP 20 Sicherheitslücken I (Quelle: SANS & FBI) G1 Default Installation des Betriebssystems und der Anwendungen G2 Accounts ohne Passworte oder mit schwachen Passworten G3 Nicht-existierende oder unvollständige Backups G4 Eine große Zahl offener Ports G5 Keine Filterung von Paketen auf korrekte Absender- und Zieladresse G6 Nicht-existierendes oder unvollständiges Logging G7 verwundbare CGI Programme Rasterfahndung 6 Seite 3

4 TOP 20 Sicherheitslücken II (Quelle: SANS & FBI) Windows: W1 Unicode Sicherheitslücke (Web Server Folder Traversal) W2 ISAPI Extension Buffer Overflows W3 IIS RDS Sicherheitslücke (Microsoft Remote Data Services) W4 NETBIOS ungeschützte Windows Netzwerk Freigaben W5 Informations Preisgabe via Null Session Verbindungen W6 Schwaches Passworthashing in der SAM (LM hash) UNIX: Rasterfahndung 7 TOP 20 Sicherheitslücken III (Quelle: SANS & FBI) U1 Buffer Overflows in RPC Services U2 Sendmail Sicherheitslücken U3 Bind Sicherheitslücken U4 R Befehle (rlogin, rsh, rcp) U5 LPD (remote print protocol daemon) U6 sadmind und mountd U7 Default SNMP Zeichenketten Rasterfahndung 8 Seite 4

5 KeyGhost KeyGhost installs even when computer is logged out, password protected or turned off. The actual KeyGhost II is injection molded to look exactly like an EMC Balun. KeyGhost Security Keyboard. It contains an internal KeyGhost completely concealed from view! Speichert bis zu Tastaturanschläge Kann einfach ausgelesen werden. Rasterfahndung 9 Zu wissen, was an Ihrem PC passiert: An wen schreibt Ihre Frau Briefe? Was machen Ihre Kinder im Internet? Fragen, die PC Spion mit Leichtigkeit beantwortet! PC Spion ACHTUNG: Für die Nutzung der Funktionen "Tastaturmitschnitt" und "Bildschirm- Mitschnitt" ist das Anbringen des beigefügten Aufklebers gut sichtbar am Monitor oder PC vorgeschrieben! Rasterfahndung 10 Seite 5

6 Wireless LAN Shared Medium, d.h. Sniffen ist kein Problem! Wired Equivalent Privacy (WEP) verschlüsselt und schützt?! Reichweite ist so, daß der Parkplatz meistens mit abgedeckt wird. Viele Artikel und Berichte über Unsicherheiten. Werkzeuge Netstumbler ( Win 2K, ME, 9x Analysiert das Vorhandensein von Funknetzen AirSnort ( WEPCarck ( Knacken WEP-Schlüssel AiroPeek.. Rasterfahndung 11 Rasterfahndung 12 Seite 6

7 WLAN laptop + wireless + GPS + car = War Driving LANguard Network Scanner Rasterfahndung 13 Rasterfahndung 14 Seite 7

8 Unicode Sicherheitslücke Browser als universelle Kommandoshell Patches verfügbar PWS und IIS besser vermeiden ip/scripts/..%c0%af../winnt/system32/cmd.exe?+/c%20+del+/? ip/scripts/../../winnt/... Internet Explorer Rasterfahndung 15 Anstelle von kann auch Die 4 mal 8 Bit werden als 32 Bit Zahl aufgefaßt. Hebelt eventuelle URL-Filter aus IE 4.01, 5.01 und 5.5 ohne Patches stellen Seite die Sicehrheitszone wie Lokales Netz dar. Im Lokalen Netz sind typisch Skriptsprachen und anderes aktiviert. Rasterfahndung 16 Seite 8

9 ARP/RARP (Reverse) Address Resolution Protocol Verbindung IP-Adresse <==> MAC-Adresse Cache hat nur kurze Lebenszeit (Minuten) C:\>arp -a Schnittstelle: on Interface 2 Internet-Adresse Physische Adresse Typ ad-78-c3-f2 dynamisch e0-7d-82-f5-06 dynamisch f a-83 dynamisch C:\>arp -a Keine ARP-Einträge gefunden. ARP Broadcast Protokoll auf MAC-Ebene Antwort als Unicast ARP: suche MAC-Adresse zu IP-Adresse RARP: suche IP-Adresse zu MAC-Adresse (bootp) Rasterfahndung 17 Vorübergehende Speicherung im ARP-Cache auf beiden Seiten. Mittels Manipulationen des ARP-Caches sind interessante Spoofing-Angriffe möglich. Rasterfahndung 18 Seite 9

10 Angriff I Mit arpspoof kann Netzwerkverkehr umgeleitet werden Router Switch Angriff II Rasterfahndung 19 Sshmitm: SSH monkey-in-the-middle. proxies and sniffs SSH traffic redirected by dnsspoof, capturing SSH password logins, and optionally hijacking interactive sessions. Schlüssel überprüfen! Angriffstool für SSL (SSLmitm) existiert auch Rasterfahndung 20 Seite 10

11 Restrisiko Whatever goes through your firewall, be it telnet, HTTP or other TCP/IP connections, or something real weird like DNS queries, ICMP packets, (see mailtunnel, icmptunnel), or whatelse, you can always write a tunnel client/daemon combination, and run a ssh and/or PPP connection through it. Firewall Piercing mini-howto, François-René Rideau Risiken Jedes Loch in der Firewall ist ein Sicherheitsrisiko http-tunnel Mailtunnel ICMP-Tunnel DNS-Tunnel (NSTX) c t, Heft 19/2000, Seite 244 Firewall-Piercing Tool Kit Rasterfahndung 21 Rasterfahndung 22 Seite 11

12 NSTX [daten].[daten].[daten].nstx.xyz.de jedes Feld maximal 63 Bytes Gesamtname 256 Bytes nur A-Z, a-z, 0-9, -, _ ca. 167 Byte Nutzdaten pro Anfrage Anfrage nicht nach IP-Adresse sondern TXT- Resource (TXT-RR, RFC 1035) Durchsatz ca. 4 KByte/sec (ISDN: 7 KByte/sec) Rasterfahndung 23 Rasterfahndung 24 Seite 12