Mitternachtshacking

Notiz für mich selbst:

Wenn ich das nächste mal Ike-Scan verwende, einfach im RFC 2409 und der IPSec-Registry der IANA nachkucken, welche Transforms welche Bedeutung haben. Dann versteht man auch

–trans=(1=7,14=128,2=2,3=1,4=5)

🙂

Gibt es eigentlich außer der Liste von NTA-Monitor noch eine weitere Vendor-ID Datenbank?

Windows 2000 SP4, aktuelle Service Packs. Nessus (aktuelle Version 3.2.1.1, aktueller Commercial Feed) hat mir folgendes ausgespuckt:

SMB Registry : Autologon

Synopsis :

Anyone can logon to the remote system.

Description :

This script determines whether the autologon feature is enabled. This feature allows an intruder to log into the remote host as DefaultUserName with the password DefaultPassword.

Solution :

Delete the keys AutoAdminLogon and DefaultPassword under
HKLM\SOFTWARE\Microsoft\Window NT\CurrentVersion\Winlogon

Risk factor :

High / CVSS Base Score : 7.2
(CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C)

Hat zufällig einer der Mitleser eine Idee, wie man das aus der Ferne ausnutzen kann? Der Server steht im gleichen LAN in dem ich mich auch befinde. Es gibt keine Firewall dazwischen. Der Zugriff auf Shares ist prinzipiell möglich, scheitert aber an Rechten.

Juniper hat schon seit geraumer Zeit unter dem Titel „JUNOS as a Second Language“ ein Programm laufen, dass Cisco ISO Administratoren vom Umstieg auf JunOS überzeugen soll. Ja, das Programm gibt es schon seit Mitte 2008, ich hab’s aber erst jetzt in einer Juniper-Schulung erfahren.

Ich halte das jedenfalls für eine ganz gute Idee, weil Juniper dabei interessierten Teilnehmern die Möglichkeit gibt, kostenfrei auf ausgewählte Juniper-Schulungsunterlagen zuzugreifen, um sich selbständig auf eine mögliche Zertifizierung vorzubereiten. Natürlich mit dem Hintergrund, mehr Geräte zu verkaufen. Aber Juniper ist der erste Hersteller ist den ich kenne, der so zumindest einige seiner recht guten Schulungsunterlagen kostenfrei als PDF und an allen Schulungsanbietern vorbei anbietet.

Und so geht’s:

Auf der Webseite von Juniper findet man unter dem Fasttrack Programm Informationen zu den Möglichkeiten des Programms. Insbesondere kann man dort die „Web Portal Access Card“ als PDF herunterladen, die man sonst nur von einem Juniper-Partner oder z.B. im Rahmen einer Juniper-Schulung bekommt.

Im Fasttrack Webportal kann man sich mit dem Code auf dieser Karte registrieren und erhält dann die Möglichkeit, einige Schulungsunterlagen zu Juniper-Basiskursen im Routing und Switching herunterzuladen sowie das Online-Flashfilm-Seminar „JUNOS as a Second Language„anzukucken. Das Online-Seminar gibt es in verschiedenen Sprachen wobei die deutsche Übersetzung gelegentlich etwas abenteuerliche Begriffe verwendet. Die englische Fassung wird sogar zum Download angeboten.

Mit dem nötigen Grundwissen kann man dann im Webportal einen Online-Test ablegen, den man gerne auch mehrfach wiederholen darf und nach Bestehen des Online-Tests erhält man einen Prometrics-Gutschein, mit dem der offizielle Prometrics-Test nur noch die Hälfte kostet. Im Grunde bietet das die Möglichkeit, sich mit etwas eigenem Einsatz und wenig Geld (so ab 70-80 Euro dürfte man dabei sein) eine Juniper-Zertifizierung zu erwerben. Nur falls der eine oder andere Arbeitgeber das vielleicht nachfragt. Man weiß ja nie, wie die Zeiten werden.

Einziger (aber gewichtiger) Nachteil: Die eigentlich für mich relevanten Zertifizierungen, nämlich für die ehemaligen Netscreen-Produkte also Firewall, SSL-VPN-Gateway etc. sind leider nicht dabei. Es gibt nur die JunOS-Router und Switches aber nichts zu ScreenOS 🙁

Ach ja, und ich hasse eLearning.

Immer wieder interessant, wie anglozentristisch die IT-Welt ist. Wenn mal ein Franzose was entdeckt, geht das völlig unter. Der Aufbau der ScreenOS Passwort-Hashes ist seit mindestens 23. Juni 2008 allgemein bekannt. Samuel Monux hat an diesem Tag ein Python-Script veröffentlicht, das nach Eingabe von Login und Passwort einen korrekten ScreenOS-Hash erzeugt. Außerdem hat er gleich noch einen Patch für John the Ripper mitgeliefert.

Wichtig, das John the Ripper übergebene Passwort-File muss genau folgendes Format haben:

<username>:<username>$<cryptedpass>

sonst tut es nicht. Der Username wird bei ScreenOS als Salt verwendet, darum taucht er hier ein zweites Mal auf.

Vorsichtshalber lege ich mal Kopien auf meinen Server. Man weiß ja nie, wann die Tools wieder aus dem Internet verschwinden.

• John the Ripper 1.7.3.1 (ZIP)
• John the Ripper 1.7.3.1 Diff für Netscreen-MD5 (ZIP)
• Netscreen Python Passwort-Hash Generator (ZIP)

Ach ja … wenn ihr mir nicht traut ladet lieber die Originalversion von Openwall. Trojaner sind schnell eingebaut 😉

Das UK „Centre for the Protection of National Infrastructure“ in Person von Fernando Gont hat ein hervorragendes Dokument über die Schwachstellen in TCP veröffentlicht:

„During the last twenty years, many vulnerabilities have been identified in the TCP/IP stacks of a number of systems. Some of them were based on flaws in some protocol implementations, affecting only a reduced number of systems, while others were based in flaws in the protocols themselves, affecting virtually every existing implementation. Even in the last couple of years, researchers were still working on security problems in the core protocols.

For some reason, much of the effort of the security community on the Internet protocols did not result in official documents (RFCs) being issued by the IETF (Internet Engineering Task Force). This basically led to a situation in which ‚known‘ security problems have not always been addressed by all vendors. In addition, in many cases vendors have implemented quick ‚fixes‘ to the identified vulnerabilities without a careful analysis of their effectiveness and their impact on interoperability.“

Das sind 130 Seiten, die vom CPNI heruntergeladen werden können. Das ist ein „must read“ für alle Penetrationstester, die sich mit Portscans, Denial-of-Service Angriffen, TCP/IP Fingerprinting oder Session Injection Angriffen beschäftigen. Das Dokument enthält Beispiel-Source-Code, Erklärungen und Hintergrundinformationen die ich in dieser Form und Tiefe weder aus dem Stevens noch aus dem Comer kenne. Nehmt euch die Zeit, so zwei bis drei Stunden um das zu lesen und so gut wie möglich zu verstehen. Und wenn ihr weder den Stevens noch den Comer kennt, kauft euch einen von den beiden. Ich persönlich bevorzuge den Stevens aber das ist mehr so eine Geschmacksfrage.

Sowas würde ich gerne mal vom deutschen Bundesamt für Sicherheit in der Informationstechnik sehen und nicht immer nur die alte Leier vom Grundschutz.

Ich habe den Security Kalender 2009 mal auf den neuesten Stand gebracht. Die Troopers 2009 sowie die HAR in den Niederlanden sind nachgetragen, außerdem die Termine der IT-Underground sowie der IT-SA, die ja die verschiedene Systems ersetzt korrigiert.

Über Hinweise auf weitere Termine würde ich mich sehr freuen.

Wie durch die Medien bekannt, wurde die Webseite phpbb.com neulich gehackt. Die Angreifer haben Zugriff auf alle Passworthashes bekommen und diese analysiert:

Die Top 20 Liste der verwendete Passwörter:

• 3.03% „123456“
• 2.13% „password“
• 1.45% „phpbb“
• 0.91% „qwerty“
• 0.82% „12345“
• 0.59% „12345678“
• 0.58% „letmein“
• 0.53% „1234“
• 0.50% „test“
• 0.43% „123“
• 0.36% „trustno1“
• 0.33% „dragon“
• 0.31% „abc123“
• 0.31% „123456789“
• 0.31% „111111“
• 0.30% „hello“
• 0.30% „monkey“
• 0.28% „master“
• 0.22% „killer“
• 0.22% „123123“

Die Länge der Passwörter verteilt sich wie folgt:

• 1 character 0.34%
• 2 characters 0.54%
• 3 characters 2.92%
• 4 characters 12.29%
• 5 characters 13.29%
• 6 characters 35.16%
• 7 characters 14.60%
• 8 characters 15.50%
• 9 characters 3.81%
• 10 characters 1.14%
• 11 characters 0.22%

Und weiter in der Statistik:

• 16% of passwords matched a person’s first name
• 14% of passwords were patterns on the keyboard
• 5% of passwords are pop-culture references
• 4% are variations of the word „password“
• 4% of passwords appear to reference things nearby
• 3% of passwords are „emo“ words
• 3% are „don’t care“ words
• 1.3% are passwords people saw in movies/TV
• 1% are sports related

Psychologe müsste man sein. Oder nee, lieber doch nicht. 🙂

Mehr dazu bei DarkReading.

Die BackTrack 4 Beta wird von Max und Co. zum Download angeboten. Diesmal als DVD-Image, auf eine CD passen die diversen Tools schon lange nicht mehr drauf. 854 MB hat das ISO-Image, sogar 1 GB das VMware-Image. Na dann Happy Downloading 🙂

Dieses Urteil ist anscheinend an mir vorbeigegangen, daher hier der Nachtrag:

Störerhaftung des WLAN-Netzbetreibers – Der Betreiber eines WLAN-Netzes haftet erst ab Kenntnis konkreter Missbrauchsfälle und nicht bereits wegen der abstrakten Gefahr einer rechtswidrigen Nutzung durch beliebige Dritte. Sicherung des WLAN-Netzes nur im verhältnismäßigen Umfang erforderlich.
OLG Frankfurt a.M, Urteil vom 01.07.2008 – Az. 11 U 52/07

mehr bei Medien, Internet und Recht.

Ich muss mir hier mal wieder einen Link merken (und ich brauche eine BinNavi Lizenz). Die Juniper Firewalls will ich mir eh schon länger mal anschauen. Wie die Admin-Hashes bei ScreenOS gebildet werden weiß anscheinend auch noch niemand so genau.