Security Hinweise

---

Deine IP-Adresse ist die 38.107.179.210
Dein Browser: CCBot/1.0 (+http://www.commoncrawl.org/bot.html)

Virusscanner Test String

EICAR Antivirus Test String
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
Der String kann in einer .com Datei gespeichert werden.

Microsoft Datenbank Hintertür

Microsoft SQL Server Desktop Engine legt ein Benutzerkonto "sa" auf dem Rechner an, das Kennwort ist leer. Der Datenbankserver nimmt Anfragen über das Netzwerk auf TCP/IP Port 1433 an. Den laufenden MSDE erkennt man am Symbol in der Taskleiste, oder mit "NETSTAT -A". Das Passwort läst sich ändern mit dem Tool \BINN\OSQL -U sa -Q "sp_password NULL, 'geheim'" man wird zunächst nach dem Alten Password für den Benutzer "sa" gefragt, dann wird das Kennwort in "geheim" geändert in der Datenbank.

Apache Web Server 2.0 Leck stopfen

Bis zur Version 2.0.40 hat der Apache Webserver ein Fehler, der tritt nur in den nicht Unix Versionen auf. Der Fehler kann beseitigen werden, indem man in der Datei httpd.conf die Anweisung RedirectMatch 400 "\\\.\." einzufügen, und zwar vor dem ersten Auftreten eines Alias- oder Redirect-Befehls.

Windows Dienste Datenaustausch mit dem Desktop verhindern

eine Sicherheitslücke in Windows, kann ausgenutzt werden um Befehle auszuführen.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Windows]
"NoInteractiveServices"=dword:00000001

SMB-Protokoll Sicherheitslücke unter Windows

der Patch MS02-045 oder Q326830 beseitigen einen Fehler im SMB-Protokoll von Microsoft, der Fehler macht ein Denial of Service Angriff möglich

Kerio Personal-Firewall Einstellung

Um zu verhindern, das Verbindungen ohne aktiver Firewall ins Internet gehen, muss dieser Eintrag in der Registry erstellt werden.
Für W2k und WXP
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\fwdrv]
"AlwaysSecure"=dword:00000001
Für W9x
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VXD\fwdrv]
"AlwaysSecure"=dword:00000001

CoolWebSearch

Bei dem Befall mit CWS verliert der Nutzer die Kontrolle über den Browser, es werden unerwünscht Internetseiten aufgerufen, beim besuch von Google werden Popups eingeblendet oder die Suche auf eine andere Seite umgeleitet, die Startseite des Browsers wird geändert usw., kurz gesagt der Browser ist Entführt (Hijacking).

Tools zur Entfernung:
CWShredder & HijackThis

Webscarab Proxy

Webscarab ist ein Java Proxy auf Port 8008 der die Pakete zwischen Browser und Server mitschneidet. Man kann mit ihm HTTP als auch HTTPS Pakete protokollieren.

WebScarab Download

Webscarab kann man über eine Batch starten, voraussetzung JAVA ist installiert.

java -jar webscarab-selfcontained-20060718-1904.jar

UDP Hole Punching

mit Netcat und HPing2
Scenario ein Rechner LOCAL hinter einer Stateful Firewall die UDP Verbindungen ins INet zulässt.

mit Netcat einen UDP-Listener auf Port 14000 starten

local/1# nc -u -l -p 14000

mit einer zweiten Rechner (REMOTE) im INet versuchen eine Nachricht zu schicken

remote# echo "hello" | nc -p 53 -u local-fw 14000

der erste Versuch mit LOCAL Kontakt aufzunehmen schlägt fehl, da die Firewall keine Verbindungsversuche von ausserhalb annimmt.

auf einer zweiten Console von LOCAL mit HPing2 eine Verbindung initialisieren

local/2# hping2 -c 1 -2 -s 14000 -p 53 remote

REMOTE meldet daraufhin via ICMP "Port Unreachable" zurück, aber die Firewall hat für LOCAL einen Port geöffnet mit dem REMOTE den LOCAL erreichen kann

remote# echo "hello" | nc -p 53 -u local-fw 14000

der Listener von Netcat auf LOCAL meldet daraufhin ein "HELLO", das Paket hat die Firewall passiert und ist zum Rechner dahinter gelangt.

sonstiges

Metasploit Project
Goolag

Metasploit Project

Metasploit Project Page

Metasploit Project ist ein Schwachstellen-Test Framework.

Brutal Force Attacke

db_autopwn -t -p -e -s- b

Goolag

Goolag
Google Hacking Database

mit Goolag läßt sich über Google eine Sicherheitsschwachstellensuche der Domain initialisieren.

Samba Schwachstelle

# smb.conf
[global]
...
wide links = no
...

smbclient //localhost/ -U user%pass