Come ti rubano l'anonimato
Falsi gnu/linux
Biscotti
change metasploit
Sniffing
Ben tornati su questa rivista, e già siamo al secondo numero. Questo mese è stato un mese pieno di progetti interessanti, uno di quelli a cui sto cercando di dedicare piu tempo è la realizzazione di un nuovo OS dedito alla musica, ovviamente questo OS farà parte di una famiglia di altri OS, tutti ragruppati sotto una nuova software house, ma è ancora presto per parlare di questa nuova software house di cui faccio parte. Nel mese che è appena passato sono state stampate a mio avviso poche riviste interessanti, l'unica che si salva è Chip, con un numero leggibile. Questo mese si è tenuto anche l' hackmeeting 0x11 a Bologna, al quale ho partecipato, trovate lo speciale in fonodo. Ma detto tutto ciò la strada è ancora lunga per far si che in italia ci sia un movimento culturale informatico, pulito, senza menzogne e libero. E che l'utopia di libertà e anonimato sulla rete si realizzi.
“La liberta e la nostra unica bussola” cit. One piece
Capitolo 1
Come ti rubano l'anonimato contenuti: -Rubare ip con script php -Capire Os con script javascript -Rubare mac con script php
Per il nostro anonimato ogni giorno è un 11 settembre. Siti, blog, social network, hanno ogni giorno nuovi strumenti ed escamotage per rubarci la nostra privacy, per questo oggi faremo un esame di come sulla rete vi venga rubato l'anonimato. Partiamo da cose semplici come un indirizzo ip (internet protocol) Facciamo l'esempio di uno script in php che serve per registrare il nostro internet protocol __________________________________________________________________
$ip = getenv("REMOTE_ADDR"); else if (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], "unknown")) $ip = $_SERVER['REMOTE_ADDR']; else $ip = "unknown"; return($ip); } function logData() { $ipLog="log.txt"; $cookie = $_SERVER['QUERY_STRING']; $register_globals = (bool) ini_get('register_gobals'); if ($register_globals) $ip = getenv('REMOTE_ADDR'); else $ip = GetIP(); $rem_port = $_SERVER['REMOTE_PORT']; $user_agent = $_SERVER['HTTP_USER_AGENT']; $rqst_method = $_SERVER['METHOD']; $rem_host = $_SERVER['REMOTE_HOST']; $referer = $_SERVER['HTTP_REFERER']; $date=date ("l dS of F Y h:i:s A"); $log=fopen("$ipLog", "a+"); if (preg_match("/\bhtm\b/i", $ipLog) || preg_match("/\bhtml\b/i", $ipLog)) fputs($log, "IP: $ip | PORT: $rem_port | HOST: $rem_host | Agent: $user_agent | METHOD: $rqst_method | REF: $referer | DATE{ : } $date | "); else fputs($log, "IP: $ip | PORT: $rem_port | HOST: $rem_host | Agent:
$user_agent | METHOD: $rqst_method | REF: $referer | DATE: $date | \n\n"); fclose($log); } logData(); ?> __________________________________________________________________ Questo script è usato per il cookie stealing, ma se riadattato, si puo riutilizzare per prendere l' indirizzo ip del visitatore. E' vero che per attivarlo (in questo caso) bisogna far cliccare un link, ma se si hanno le conoscenze in materia di programmazione.... Un altro esempio interessante è questo script in JS __________________________________________________________________ <script type="text/javascript"> var text_win="windows" var text_mac="apple" var text_linux="Linux" var text_unix="Unix" var text="" var ua = navigator.userAgent.toLowerCase(); if (ua.indexOf("win") != 1) {text=text_win;} else if (ua.indexOf("mac") != 1) {text=text_mac;} else if (ua.indexOf("linux") != 1) {text=text_linux;} else if (ua.indexOf("x11") != 1) {text=text_unix;} else {text=text_unknown;} <script type="text/javascript"> document.write(text) __________________________________________________________________
In questo caso lo script farà comparire una scritta sul sito che dice quale OS stiamo usando, ma se al posto della scritta venisse bloccato o penalizzato un OS? E se per caso un sito importante prendesse accordi con multinazionali come Microsoft o Apple e dicesse che gli utenti gnu / linux non potessero accedervi? Tutto ciò non comprometterebbe la libertà di rete? Ma l'indirizzo ip e il sistema non sono le uniche informazzioni in pericolo, perchè se si puo prendere un ip si puo prendere anche il mac address __________________________________________________________________ __________________________________________________________________ Per ora abbiamo visto come ci possono prendere informazioni come ip, mac, e info sull' OS che usiamo. Detto ciò molti penseranno ad una soluzione come un proxy, purtroppo se pensate che un proxy possa garantirvi quell' anonimato che cercavate, state sbagliando! Non tutti sanno che I nostri router registrano ip e mac del computer collegato, e ancora meno persone sanno che molte delle nuove reti libere sono costantemente monitorate e controllate, quindi se posseggono metodi di controllo che vedono il destinatario del pachetto che transita?
Ovviamente il bar sotto casa vostra non possiederà tali requisiti (dipende una volta ne ho trovato uno) ma un aeroporto, o ambienti simili potrebbero possedere tali complicanze.
Una cosa che stà rubano l'anonimato delle persone sono i cookie richiesti dai siti, ma cosa sono? Wikipedia dice: Sono righe di testo usate per eseguire autenticazioni automatiche,tracciatura di sessioni e memorizzazione di informazioni specifiche riguardanti gli utenti che accedono al server, come ad esempio siti web preferiti.
Google dice:
Un cookie è un breve testo inviato al tuo browser da un sito web visitato. Consente al sito di memorizzare informazioni sulla tua visita, come la tua lingua preferita e altre impostazioni.
Quindi con essi I siti possono schematizzare le nostre macchine, questo vuol dire che possono sapere: I siti che abbiamo visto, dove siamo registrati, che lingua parliamo …...
Un' altra cosa è che un cookie ha una data di scadenza, ma ciò non è una cosa positiva, infatti un cookie può persistere all'interno del pc anche per anni. Oltre ai cookie normali che tutti conosciamo esistono anche I flash cookie, essi a differenza dei normali cookie http possono gestire molti più dati: si passa dai 4 KB dei primi ai 100 KB dei secondi. Inoltre i flash cookie NON hanno data di scadenza (di default) ed i più si memorizzano anche in più locazioni, inoltre è anche difficile andarli a recuperare all' interno della nostra macchina, ed in più tutte le impostazioni di sicurezza del nostro browser NON hanno effetto sui suddetti. Anche Bruce Schneier ha dichiarato: I Flash cookie possono essere impiegati per forzare una nuova creatura di un cookie HTTP tradizionale contenente le informazioni che esso ospitava precedentemente. Parliamo anche delle famose chat fatte usando I protocolli irc. In molti canali è possibile vedere l'indirizzo ip di un utente, per vederlo bastera digitare: / dns nomeutente il risultato che ci apparirà è il seguente Resolved nome utente to: Name co3061808 a.eburwd1.vic.optushome.com.au , IP – 203.164.127.151
fortunatamente non tutti, ma molti server nascondono l' indirizzo ip dell' utente. Infatti I server con un alto livello di privacy agli utenti curiosi rispondera 5B26E798.A7F81C6C.2CF41D6B.IP Ma ….
“Nella rete quindi lasceremo sempre delle impronte, e chi di dovere le ricercherà per schematizzarci. Non facciamoci derubare il nostro anonimato!”
Capitolo 2
Falsi gnu/linus OS contenuti: -liee guida gnu -distro false
Molti sistemi detti gnu/linux sono una truffa! Ma prima di dire quali sono e perchè, bisogna parlare delle liee guida per essere una distribuzione free. Completezza: La distro deve essere finita, pronta all' uso. Firmware nonfree: molti sistemi con kernel linux posseggono i cosidetti blob. (codice non free) Tale firmware dovrebbe essere rimosso da un sistema di distribuzione gratuita. Documentazione: Tutta la documentazione deve essere sotto una licenza libera, inoltre in essa non si dovrebbe racomandare software nonfree. Malware: La distro non deve contenere il DRM, non deve avere backdoor e non deve contenere spyware. Nome: il nome non deve fare confusione ad esempio se Foobar Light è una distribuzione gratuita e Foobar è una distribuzione non libera, la cosa potrebbe creare confusione.
Inoltre la gnu ci da una lista di parole da evitare, nelle dichiarazioni e presentazioni del nostro software. (http://www.gnu.org/philosophy/wordstoavoid.html)
Bene ma ora veniamo alla dichiarazione iniziale, quali sono questi falsi gnu/linux OS? e perchè? Partiamo con la carellata: Arch
Arch ha i due problemi: non c'è una politica chiara riguardo al software che può essere incluso e firmware non liberi vengono forniti con il kernel Linux. Arch non ha nemmeno una politica per evitare la distribuzione di software non libero tramite i propri canali normali.
Proseguiamo con Ubuntu Ubuntu ha i seguenti problemi: Ubuntu fornisce repository specifici di programmi non liberi Canonical promuove e raccomanda programmi non liberi La versione del kernel Linux inclusa in Ubuntu contiene blob binari La politica sui marchi di Ubuntu impedisce la redistribuzione commerciale di copie esatte di Ubuntu
Ubuntu invia dati personali sulle ricerche degli utenti a un server di Canonical, che risponde con pubblicità di prodotti Amazon.
Non tutto è quello che sembra, o che ci vendono
Continuiamo ora con una carellata delle altre distro Mint mint ha i seguenti problemi: Mint non ha linee guida contro l'inclusione di software non libero Nel kernel sono presenti blob Include persino codec proprietari
Open Suse open suse ha i seguenti problemi: offre ai suoi utenti l'accesso a un repository di programmi non liberi Fedora Fedora ha I seguenti problemi: La sua licenza è molto chiara e dice: la maggior parte dei programmi e tutti i caratteri siano disponibili sotto una licenza libera, ma fa eccezione per un certo tipo di firmware non libero Slackware Slackware ha I seguenti problemi: Non c'è una politica chiara riguardo al software che può essere incluso e firmware non liberi che vengono forniti con il kernel Linux Include anche xv Esiste un elenco di tutti I programmi non free (http://freeslack.net) Capitolo 3
Biscotti
contenuti: -Cosa sono? -Esempio di biscotto -conclusioni
Che cosa sono questi biscotti? Wikipedia dice: Sono righe di testo usate per eseguire autenticazioni automatiche, tracciatura di sessioni e memorizzazione di informazioni specifiche. Windows dice: I siti Web utilizzano i cookie per personalizzare l'esplorazione degli utenti e raccogliere informazioni sull'utilizzo del sito. In molti siti i cookie vengono inoltre utilizzati per archiviare informazioni
Quindi questi biscotti possono memorizzare tutto? In teoria no, essi dovrebbero essere soggetti a norme di privacy (Legge italiana), però se da un lato si parla di privacy dall' altro molti si lamentano che non venga "identificato" in modo accurato l'utente.
I cookie sono virus? Allora iniziamo col dire che un cookie non è un programma, ma un blocco di dati, incapaci da soli di compiere azioni sul computer, detto ciò come già detto nel articolo precedente, possono rappresentare una minaccia. Ma come è fatto un cookie? Un biscotto è composto da: Nome: variabile, nonch'è campo obligatorio. Scadenza: attributo opzionale che ne indica una data di scadenza. Modalità accesso: rende il cookie invisibile a javascript ed altri linguaggi clientside presenti nella pagina. Sicurezza: indica se il biscotto deve usare protocolli come https Ok ora facciamo un esempio scritto in js
__________________________________________________________________ <SCRIPT LANUAGE="JavaScript"> http://www.site.com/cookies/cookie.txt var today = new Date(); var expiry = new Date(today.getTime() + 365 * 24 * 60 * 60 * 1000);
function getCookieVal (offset) { var endstr = document.cookie.indexOf (";", offset); if (endstr == 1) { endstr = document.cookie.length; } return unescape(document.cookie.substring(offset, endstr)); } function GetCookie (name) { var arg = name + "="; var alen = arg.length; var clen = document.cookie.length; var i = 0; while (i < clen) { var j = i + alen; if (document.cookie.substring(i, j) == arg) { return getCookieVal (j); } i = document.cookie.indexOf(" ", i) + 1; if (i == 0) break; } return null; }
grazie ad un cookie modificato, Facebook sa dove siete online anche quando non siete loggati dentro Facebook.
function DeleteCookie (name,path,domain) { if (GetCookie(name)) { document.cookie = name + "=" + ((path) ? "; path=" + path : "") + ((domain) ? "; domain=" + domain : "") + "; expires=Thu, 01Jan70 00:00:01 GMT"; } } function SetCookie (name,value,expires,path,domain,secure) { document.cookie = name + "=" + escape (value) + ((expires) ? "; expires=" + expires.toGMTString() : "") + ((path) ? "; path=" + path : "") + ((domain) ? "; domain=" + domain : "") + ((secure) ? "; secure" : ""); } <SCRIPT LANGUAGE="JavaScript"> Welcome, ' + (getName != '' ? getName : 'Anonymous user') + '' + 'This is your first visit.');
SetCookie('user_id', (getName != '' ? getName : 'Anonymous user'), expiry); SetCookie('hit_count', '2', expiry); } else { var getName = GetCookie('user_id'); var getHits = GetCookie('hit_count'); document.writeln('Welcome Back, ' + getName + '
' + 'You have visited ' + getHits + ' times.'); getHits = parseInt(getHits) + 1; SetCookie('hit_count', '' + getHits + '', expiry); } //> __________________________________________________________________
Pericolosità Bhe che I cookie siano pericolosi per la nostra privacy, lo abbiamo già detto in questo articolo e quello precedente. No ora trattiamo di un altro pericolo legato ai nostri amati biscotti, ed è quello della sicurezza dei nostri account. Cosa centrano I nostri account con I biscotti? Quando voi salvate una password sul browser o l'accesso, avrete un biscotto, se io prendo questo biscotto e lo inietto nel mio browser accedo al vostro account.
Capitolo 4
personalizziamo metasploit contenuti: -aggiungiamo un exploit -cambiamo banner
Inizziamo aggiungendo un exploit al nostro metasploit da terminale dirigetevi nella cartella msf4, quindi digitate cd .msf4 dopo di che da qui dirigetevi in modules con il comando cd modules ora digitate mkdir exploit bene ora dirigetevi nella cartella creata con cd exploit ora da qui, nel mio caso faccio una seconda cartella quindi digito mkdir tutorial bene ora,aprite un secondo terminale con nano digitando
nano ora scrivete l’exploit e salvatelo nella cartella exploit in formato .rb ora se lo volete usare con metasploit basta accedere a metasploit e digitare use exploit /tutorial/nome exploit allora nel mio caso dopo la cartella exploit ho messo tutorial ma voi mettete la vostra cartella e nel exploit va messo solo il nome non ad esempio se l’exploit è banana.rb scrivi use exploit /tutorial/banana e cosi aggiungete i vostri exploit per metasploit.
Ora invece personalizziamo il banner di metasploit
innanzitutto dirigiamoci in: msf/lib/msf/ui/banner.rb aprendo con nano banner.rb ci apparira: _______________________________________________________________ # * coding: binary * module Msf module Ui ### # # Module that contains some most excellent banners. # ### module Banner Logos = %w{ wakeupneo.txt cowhead.txt r7metasploit.txt figlet.txt iheartshells.txt brandedlonghorn.txt cowsay.txt 3komsuperhack.txt missilecommand.txt nullpointerderef.txt metasploitshield.txt ninja.txt workflow.txt }
# # Returns a random metasploit logo. # def self.readfile(fname) base = File.expand_path(File.dirname(__FILE__)) pathname = File.join(base, "logos", fname) fdata = "<< Missing banner: #{fname} >>" begin raise ArgumentError unless File.readable?(pathname) raise ArgumentError unless File.stat(pathname).size < 4096 fdata = File.open(pathname) {|f| f.read f.stat.size} rescue SystemCallError, ArgumentError nil end return fdata end def self.to_s if ENV['GOCOW'] case rand(3) when 0 self.readfile Logos[1] when 1 self.readfile Logos[5] when 2 self.readfile Logos[6] end else self.readfile Logos[rand(Logos.length)] end end end end end
La parte che intressa noi e: ___________________________________________________________________ Logos = %w{ wakeupneo.txt cowhead.txt r7metasploit.txt figlet.txt iheartshells.txt brandedlonghorn.txt cowsay.txt 3komsuperhack.txt missilecommand.txt nullpointerderef.txt metasploitshield.txt ninja.txt workflow.txt } ___________________________________________________________________ i file .txt, che sono i banner che metasploit andrà ad aprire e mostrare all' avvio (da terminale msfconsole) quindi ora aggiungiamo il nostro banner. Creaiamo un banner e salviamolo .txt e dopo spostiamolo in: msf/lib/msf/ui/logos cosi facendo ora avremo il nostro banner nella cartella logos, invece nel codice metteremo
%w{ nostro logo.txt #dovrete aggiungere solo questo wakeupneo.txt cowhead.txt r7metasploit.txt figlet.txt iheartshells.txt brandedlonghorn.txt cowsay.txt 3komsuperhack.txt missilecommand.txt nullpointerderef.txt metasploitshield.txt ninja.txt workflow.txt }
bene ora digitiamo: msfconsole e poi: banner scrivendo banner, cambierà il banner di metasploit, facciamolo finche non spunta il nostro
Capitolo 5
Pacchetti di rete in pericolo contenuti: -Cosè lo sniffing -Sniffer in python -Wireshark
I nostri pacchetti sono in pericolo, per via dello sniffing Cosè lo sniffing? wikipedia dice: Si definisce sniffing l'attività di intercettazione passiva dei dati che transitano in una rete telematica ma quanto è facile fare operazioni di sniffing?
Questo è un semplice script in python ___________________________________________________________________ #Packet sniffer in python for Linux #Sniffs only incoming TCP packet import socket, sys from struct import *
#create an INET, STREAMing socket try: s = socket.socket(socket.AF_INET, socket.SOCK_RAW, socket.IPPROTO_TCP) except socket.error , msg: print 'Socket could not be created. Error Code : ' + str(msg[0]) + ' Message ' + msg[1] sys.exit() # receive a packet while True: packet = s.recvfrom(65565) #packet string from tuple packet = packet[0] #take first 20 characters for the ip header ip_header = packet[0:20] #now unpack them :) iph = unpack('!BBHHHBBH4s4s' , ip_header) version_ihl = iph[0] version = version_ihl >> 4 ihl = version_ihl & 0xF iph_length = ihl * 4 ttl = iph[5]
protocol = iph[6] s_addr = socket.inet_ntoa(iph[8]); d_addr = socket.inet_ntoa(iph[9]); print 'Version : ' + str(version) + ' IP Header Length : ' + str(ihl) + ' TTL : ' + str(ttl) + ' Protocol : ' + str(protocol) + ' Source Address : ' + str(s_addr) + ' Destination Address : ' + str(d_addr) tcp_header = packet[iph_length:iph_length+20] #now unpack them :) tcph = unpack('!HHLLBBHHH' , tcp_header) source_port = tcph[0] dest_port = tcph[1] sequence = tcph[2] acknowledgement = tcph[3] doff_reserved = tcph[4] tcph_length = doff_reserved >> 4 print 'Source Port : ' + str(source_port) + ' Dest Port : ' + str(dest_port) + ' Sequence Number : ' + str(sequence) + ' Acknowledgement : ' + str(acknowledgement) + ' TCP header length : ' + str(tcph_length) h_size = iph_length + tcph_length * 4 data_size = len(packet) h_size #get data from the packet data = packet[h_size:] print 'Data : ' + data print
che usandolo ci restituirà questo:
___________________________________________________________________
Version : 4 IP Header Length : 5 TTL : 56 Protocol : 6 Source Address : 74.125.236.85 Destination Address : 192.168.1.101 Source Port : 443 Dest Port : 38461 Sequence Number : 2809673723 Acknowledgement : 3312567259 TCP header length : 5 Data : 2X???@???0? ???k?/&???=?5Hz??>5QBp0?O???Z???$?? Version : 4 IP Header Length : 5 TTL : 56 Protocol : 6 Source Address : 74.125.236.85 Destination Address : 192.168.1.101 Source Port : 443 Dest Port : 38461 Sequence Number : 2809673778 Acknowledgement : 3312567259 TCP header length : 5 Data : ? ??j?!I??*??*??Z???;?L?]Y Version : 4 IP Header Length : 5 TTL : 52 Protocol : 6 Source Address : 173.192.42.183 Destination Address : 192.168.1.101 Source Port : 80 Dest Port : 52813 Sequence Number : 1202422309 Acknowledgement : 3492657980 TCP header length : 5 Data : HTTP/1.1 502 Bad Gateway Server: nginx Date: Tue, 11 Sep 2012 08:56:00 GMT ContentType: text/html ContentLength: 568 Connection: close
502 Bad Gateway 502 Bad Gateway
nginx
