[Outofthebox] Metasploit, ALSR, SEH e agriturismi vari...

[Angelo Dell'Aera]

On Tue, 16 May 2006 20:55:21 +0200
shezzan <shezzan a olografix.org> wrote:

> Ora, data questa premessa, la domanda spontanea e': perche'?
> o ancora meglio: perche', basta l'apparenza ad incassare ?

Forse perche' chi ti commissiona non si sa neanche di cosa si sta
parlando ed e' fermamente convinto che quando uno viola un sistema sul
suo monitor si veda un tunnel animato in 3D in cui finiscono i dati con
tanto di porta del Paradiso illuminata a festa quando entri? O forse
perche' spesso un report nel cassetto funziona come una sorta di
garanzia? O forse perche' in alcuni casi (ed esistono stanne
tranquillo) quando notifichi di una rete assolutamente sventrabile i
risultati dell'attivita' vengono taciuti e vengono tirati fuori al
momento opportuno magari per scopi non propriamente nobili? 

> la risposta per quanto banale inizia a primo impatto a profilarsi in
> questi termini: perche' i sistemi NON LI BUCA NESSUNO.

Ah si'? A me risulta il contrario. Il vero guaio delle grandi aziende
e' che quando ti commissionano un pentest ti indicano anche quali
sistemi testare, sistemi che sono di solito quelli di maggiore
visibilita'. I motivi per cui questo venga fatto leggili nelle mie
righe poco sopra. Il punto e' che un attaccante serio e motivato
di solito sceglie piuttosto sistemi quasi dimenticati e non sistemi
che vengono continuamente patchati. Alzi la mano chi ha avuto la
fortuna di lavorare con un cliente che ha commissionato un pentest
dicendogli "il mio dominio e' supercazzola.it fatti gathering da solo
e regolati tu sul da farsi". Perche' non si fa? Costa troppo. Semplice
no? E si torna al discorso iniziale...
 
> Ci sono miriadi di sistemi e macchine ( ed io personalmente ne ho
> avuti sottomano alcuni niente male ) che hanno forte visibilita', che
> sono letteralmente dei colabrodi ANNIENTABILI, al terzo link di google
> dal piu' inetto kiddie, che NON VENGONO TOCCATI per anni. E ripeto,
> PER ANNI.

Di solito non mi chiedo se un sistema verra' toccato perche' ogni
sistema viene toccato prima o poi. E' soltanto questione di tempo. Ma
queste sono convinzioni personali.

> le macchine oggi non vengono piu' bucate in maniera massiccia se non
> qualche sfigato per qualche bnc o processino stupido. ci sono altre
> vie ( vedi worm/zombie per win etcetc ) per cui non serve proprio a
> nulla un pentest. Non c'e' reale timore, spesso nemmeno nei molti
> casi in cui bisognerebbe averne, ed in effetti non c'e' reale
> minaccia pare. 

Ti contraddico ma tutti gli esempi che mi vengono alla mente di pentest
che potrei citarti in cui bucare e' stato davvero utile per il cliente
sono sotto NDA...


Saluti,

-- 

Angelo Dell'Aera 'buffer' 
Antifork Research, Inc.	  	http://buffer.antifork.org
Metro Olografix

PGP information in e-mail header


-------------- parte successiva --------------
Un allegato non testuale è stato rimosso....
Nome:        signature.asc
Tipo:        application/pgp-signature
Dimensione:  191 bytes
Descrizione: non disponibile
Url:         https://www.olografix.org/mailman/private/outofthebox/attachments/20060517/f85aca8f/attachment-0001.bin