View Full Version : Pwn2Own 2009
sampei.nihira
19-03-2009, 14:49
]Amici utenti di questa sezione vi linko la notizia.
Charlie Miller buca Safari su MAC OSX.
E' il primo browser ad essere violato alla manifestazione:
http://dvlabs.tippingpoint.com/blog/2009/03/18/pwn2own-2009-day-1---safari-internet-explorer-and-firefox-taken-down-by-four-zero-day-exploits
http://www.engadget.com/2009/03/19/the-pwn2own-trifecta-safari-ie-8-and-firefox-exploited-on-day/
Naturalmente voi approfondirete la notizia,mio scopo è solo l'informazione.
Spero di fare cosa gradita.
Saluti. :)
10 secondi per bucare Safari. Esattamente vero.
Peccato che, come Miller abbia dichiarato, ha passato i mesi precedenti a studiare il tutto.
Oltretutto anche IE8 ha ceduto in pochi secondi. :D
Amici utenti di questa sezione vi linko la notizia.
Charlie Miller buca Safari su MAC OSX.
E' il primo browser ad essere violato alla manifestazione:
http://dvlabs.tippingpoint.com/blog/2009/03/18/pwn2own-2009-day-1---safari-internet-explorer-and-firefox-taken-down-by-four-zero-day-exploits
Naturalmente voi approfondirete la notizia,mio scopo è solo l'informazione.
Spero di fare cosa gradita.
Saluti. :)
Grazie. E adesso? Immagino che avrai fatto lo stesso post nella sezione windows parlando di IE8, vero?
No ho controllato, non l'hai fatto. Strano eh?
Dai bambini, l'asilo è più in là..
Dai bambini, l'asilo è più in là..
I http://shayari4sms.files.wordpress.com/2008/11/645px-love_heart_svgsvg.png you
patanfrana
19-03-2009, 17:47
A me la cosa che ha lasciato basito è che abbiano attaccato Safari, IE e Firefox, ma nulla sulla piattaforma Linux, nonostante sapessero come fare.. :mbe:
Oggi mi pare si passerà alle versioni mobile.. vediamo come andrà..
DarkTiamat
19-03-2009, 18:01
A me la cosa che ha lasciato basito è che abbiano attaccato Safari, IE e Firefox, ma nulla sulla piattaforma Linux, nonostante sapessero come fare.. :mbe:
Oggi mi pare si passerà alle versioni mobile.. vediamo come andrà..
magari x lo stesso motivo x cui l'anno scorzo non hanno bucato linux x rispetto dell'open surce
cmq bel gruzzoletto si è fatto Nils, 15k dollai e un vaio, mica male
patanfrana
19-03-2009, 18:10
Rispetto sarebbe lasciarlo credere inviolabile? A me sembra un cattivo servizio: dimostrate che anche Linux è violabile e poi comunicate/risolvete il problema.. :rolleyes:
La verità è che Linux non lo voleva nessuno... Cioè, se l'avessero voluto l'avrebbero scaricato comodamente a casa senza sbattimenti :asd:
Il ragionamento subisce un crollo pensando alla ricompensa monetaria e al note... Bah...
sampei.nihira
19-03-2009, 21:11
Grazie. E adesso? Immagino che avrai fatto lo stesso post nella sezione windows parlando di IE8, vero?
No ho controllato, non l'hai fatto. Strano eh?
Ho solo fatto informazione.
I.E.8 l'ho installato solo oggi e lo userò al massimo 1 volta al mese (come le versioni precedenti) quando farò gli update Microsoft.
Solitamente uso Opera e questo anche sotto Linux.
Ma non disdegno l'uso di FF.
Solitamente frequento la sezione "Antivirus e Sicurezza" lì invece potrai trovare, questa info, in più 3D.
E' anche in questo modo che possiamo prevenire eventuali problemi di sicurezza.
Tu naturalmente non ne hai bisogno.....le mie scuse per il disturbo.
Scusate ma che senso ha una gara di hacking in cui si può studiare il software da bucare prima della gara? Si fa una corsa a chi è più veloce a scrivere sulla tastiera?
patanfrana
19-03-2009, 22:12
Ma d'altronde, come fai a proibire ai concorrenti di prepararsi durante l'anno? ;)
La gara non è sul primo che ce la fa. Vincono tutti quelli che riescono a crackare il browser. Tant'è che Safari l'hanno bucato in 2 persone diverse con 2 crack diversi, e hanno vinto entrambi i 5mila$.
Che ci metti 10 secondi o 2 ore è ininfluente… metterci meno tempo fa solo "più figo" :rolleyes:
E infatti quello che ci ha messo 8 secondi non ha praticamente fatto niente: si era già preparato nei mesi precedenti il suo bel sito ad-hoc, e l'unica cosa che ha dovuto fare è stato scrivere l'indirizzo e cliccare un link per attivare il codice "maligno".
Ma di preciso cosa devono riuscire a fare per considerare "bucato" il sistema? E cosa - teoricamente - potrebbero fare con un exploit del genere?
Ma di preciso cosa devono riuscire a fare per considerare "bucato" il sistema? E cosa - teoricamente - potrebbero fare con un exploit del genere?
bucare un sistema può significare tante cose. nell'accezione più comune, è ottenere una shell di root, o particolari privilegi su qualcosa.
a norma via browser sia ottiene un buffer overflow, che permette di eseguire dello shellcode "via browser", sovrascrivendo lo stack allocato al browser stesso dal s.o.
le possibilità sono circa infinite, dipende dalla realizzazione e da come l'allocazione per quella istanza del sw sia gestita.
Da regolamento (http://cansecwest.com/post/2009-03-18-01:00:00.PWN2OWN_Final_Rules)
non erano ammessi s.o. Linux e Opera
Da regolamento (http://cansecwest.com/post/2009-03-18-01:00:00.PWN2OWN_Final_Rules)
non erano ammessi s.o. Linux e Opera
Come mai? C'è un motivo ufficiale?
Come mai? C'è un motivo ufficiale?
Non costituiscono piattaforme rilevanti nell'ambito desktop. :)
Non costituiscono piattaforme rilevanti nell'ambito desktop. :)
ha fatto la battuta.... :D
l'anno scorso Linux c'era ed è stato l'unico sistema operativo a non essere bucato .... anche se poi hanno messo in giro la voce che non hanno voluto hackerarlo
quest'anno invece hanno tagliato la testa al toro :)
ha fatto la battuta.... :D
l'anno scorso Linux c'era ed è stato l'unico sistema operativo a non essere bucato .... anche se poi hanno messo in giro la voce che non hanno voluto hackerarlo
quest'anno invece hanno tagliato la testa al toro :)
La mia non era affatto una battua.
Lo scorso anno Ubuntu era tra i sistemi operativi presi in considerazione e sarebbe caduta se il regolamento del contest avesse permesso di utilizzare le falle cross-platform (quella utilizzata per bucare Windows Vista ed Internet Explorer 7 lo era) per più di un sistema operativo.
Inoltre, si dice che Ubuntu non sia stata attaccata di proposito lo scorso anno quindi in un modo o nell'altro sarebbe potuta cadere.
Ribadisco, secondo me Ubuntu (o qualsiasi altra distribuzione di Linux) non è stata presa in considerazione per il contest perché non riveste un ruolo importante nel panorama dei desktop.
innominato5090
20-03-2009, 17:37
la cosa mi sconcerta, e non poco... triste che i principali browser siano stati distrutti in questo modo... non ci si sente più sicuri!
macfanboy
20-03-2009, 18:25
la cosa mi sconcerta, e non poco... triste che i principali browser siano stati distrutti in questo modo... non ci si sente più sicuri!
La cosa è sicuramente inquietante, ma devi considerare che affinché entrino nel tuo computer devi visitare una pagina appositamente scritta in un certo modo.
Nessuno è riuscito ad entrare mai su Mac dal semplice collegamento internet attivo.
La cosa è sicuramente inquietante, ma devi considerare che affinché entrino nel tuo computer devi visitare una pagina appositamente scritta in un certo modo.
Nessuno è riuscito ad entrare mai su Mac dal semplice collegamento internet attivo.
perché nessuno te l'ha mai detto, evidentemente :asd:
La mia non era affatto una battua.
Lo scorso anno Ubuntu era tra i sistemi operativi presi in considerazione e sarebbe caduta se il regolamento del contest avesse permesso di utilizzare le falle cross-platform (quella utilizzata per bucare Windows Vista ed Internet Explorer 7 lo era) per più di un sistema operativo.
Inoltre, si dice che Ubuntu non sia stata attaccata di proposito lo scorso anno quindi in un modo o nell'altro sarebbe potuta cadere.
Ribadisco, secondo me Ubuntu (o qualsiasi altra distribuzione di Linux) non è stata presa in considerazione per il contest perché non riveste un ruolo importante nel panorama dei desktop.
l'importante è che tu sia ben convinto...:D
in ogni caso visto la figura grama che hanno fatto tutti i browser e tutti i s.o. (windows 7 e Mac) una prova con sistemi Linux e Opera l'avrei fatta...
tanto per curiosità :p
l'importante è che tu sia ben convinto...:D
Mostrami possibili motivazioni che mi facciano cambiare idea e sarò ben contento di farlo.
Rimane il fatto (certo) che lo scorso anno Ubuntu sarebbe caduta se il bug cross-platform utilizzato per Windows Vista fosse stato utilizzato anche su Ubuntu (purtroppo il regolamento non lo permetteva).
Quindi, una motivazione: "non hanno incluso Linux nel contest perché sapevano di non poterlo bucare" non sono valide. ;)
Quoto sirus, Linux è un po' triste... l'abbiamo anche in università, e non mi ci trovo affatto bene... sembra di carta :D
A parte gli scherzi, la possibilità che abbiano deciso che non sia diffuso e perciò non l'hanno inserito non è così remota...
sampei.nihira
20-03-2009, 19:18
Sarebbe invece interessante sapere quali browser usano personalmente Nils e Miller.
Mostrami possibili motivazioni che mi facciano cambiare idea e sarò ben contento di farlo.
Rimane il fatto (certo) che lo scorso anno Ubuntu sarebbe caduta se il bug cross-platform utilizzato per Windows Vista fosse stato utilizzato anche su Ubuntu (purtroppo il regolamento non lo permetteva).
se gentilmente mi posti il link dove c'è scritto che il bug cross-platfom utilizzato per vista non poteva essere usato per ubuntu....
grazie
macfanboy
20-03-2009, 22:15
perché nessuno te l'ha mai detto, evidentemente :asd:
Pare che abbiano offerto dei soldi per farlo, e nessuno è riuscito a prenderli...
l'importante è che tu sia ben convinto...:D
in ogni caso visto la figura grama che hanno fatto tutti i browser e tutti i s.o. (windows 7 e Mac) una prova con sistemi Linux e Opera l'avrei fatta...
tanto per curiosità :p
Ascolta ma invece che insistere con questo tono da saputello, perchè non rispondi alla mia umile domanda? Ho solo chiesto, senza polemiche ma solo per curiosità, perchè Linux e Opera siano stati esclusi dal contest, qual' è la motivazione ufficiale. Poi se per te Linux è il non plus ultra, massimo rispetto, io campo di lusso coi miei Mac e i miei PC Win.
Pare che abbiano offerto dei soldi per farlo, e nessuno è riuscito a prenderli...
www.secunia.com
www.securityfocus.com
http://www.google.it/search?q=buffer+overflow&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:en-US:official&client=firefox-a
Ascolta ma invece che insistere con questo tono da saputello, perchè non rispondi alla mia umile domanda? Ho solo chiesto, senza polemiche ma solo per curiosità, perchè Linux e Opera siano stati esclusi dal contest, qual' è la motivazione ufficiale. Poi se per te Linux è il non plus ultra, massimo rispetto, io campo di lusso coi miei Mac e i miei PC Win.
non mi sembra proprio di aver avuto un tono da saputello :eek:
anzi ...non stavo proprio parlando con te ma con Sirus....a cui ho posto una semplice domanda
comunque, umilmente, cerco di rispondere alla tua domanda:
probabile che non abbiamo provato Linux e Opera per le quote di mercato in ambito desktop ma questo era un test sulla sicurezza dei browser e dei s.o. dove questi browser girano e quindi secondo me un test lo potevano fare...l'anno scorso Ubuntu era in concorso :D
p.s.
mai detto che Linux è superiore a Mac o Win..quindi non metterti in bocca parole non mie
le os war mi annoiano :D
macfanboy
21-03-2009, 08:30
www.secunia.com
www.securityfocus.com
http://www.google.it/search?q=buffer+overflow&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:en-US:official&client=firefox-a
Quindi?
Un conto è mettere un hacker con LE MANI SUL COMPUTER e comprometterlo.
Un conto è compromettere il computer in remoto.
In questo contest hanno visto che nel primo caso hacker abili riescono a compromettere TUTTI i browser (tranne Chrome).
Nel secondo caso... beh solo windows viene regolarmente compromesso (troppi zero-day exploit esistono e sono esistiti SOLO PER WIN), ad OS-X non è mai successo.
se gentilmente mi posti il link dove c'è scritto che il bug cross-platfom utilizzato per vista non poteva essere usato per ubuntu....
grazie
Link (http://blogs.zdnet.com/security/?p=993). Viene citato il regolamento del CanSecWest (conferenza a capo del Pwn2Own). ;)
Quindi?
Un conto è mettere un hacker con LE MANI SUL COMPUTER e comprometterlo.
Un conto è compromettere il computer in remoto.
Questo è certo.
In questo contest hanno visto che nel primo caso hacker abili riescono a compromettere TUTTI i browser (tranne Chrome).
Chrome molto probabilmente non è stato compromesso non perché sia più sicuro della concorrenza ma perché è da poco tempo che si trova sul mercato quindi nessun hacker si è ancora concentrato sul prodotto.
La stessa cosa capiterà probabilmente con Android. ;)
Nel secondo caso... beh solo windows viene regolarmente compromesso (troppi zero-day exploit esistono e sono esistiti SOLO PER WIN), ad OS-X non è mai successo.
Ti sbagli di grosso.
Lo scorso anno le fasi del Pwn2Own erano differenti. Nel primo giorno di contest non era possibili neppure accedere alla macchina per cliccare su un link, l'unica possibilità di violare le box era un attacco remoto e nessuno dei sistemi operativi (Windows compreso) è stato violato. ;)
Dire che non esistono 0-day su sistemi operativi diversi da Windows significa non essere per nulla informati sulla sicurezza del software. Su Windows fino a qualche anno fa il gioco è stato molto semplice perché qualsiasi attacco si rivelava efficacia poiché una ristretta minoranza delle persone applicava i giusti criteri di sicurezza. Con Windows Vista le cose sono notevolmente migliorate, infatti, alcuni dei bug che vengono scovati richiedono la disattivazione di tecnologie come UAC e IL per poter funzionare (eg. il bug 0-day che riguardava la libreria che gestisce i cursori animati era del tutto innocuo con la configurazione di default di Windows Vista, quindi come vedi anche uno 0-day può non rappresentare un problema per un sistema operativo configurato in modo corretto).
Interessante intervista (http://blogs.zdnet.com/security/?p=2941).
A quanto pare Chrome è un mastino. :D
Quindi?
Un conto è mettere un hacker con LE MANI SUL COMPUTER e comprometterlo.
Un conto è compromettere il computer in remoto.
In questo contest hanno visto che nel primo caso hacker abili riescono a compromettere TUTTI i browser (tranne Chrome).
Nel secondo caso... beh solo windows viene regolarmente compromesso (troppi zero-day exploit esistono e sono esistiti SOLO PER WIN), ad OS-X non è mai successo.
beh hai chiarito abbastanza bene quale sia la conoscenza dalla quale obietti le affermazioni altrui, non serve altro :)
patanfrana
21-03-2009, 11:18
Quindi a quanto dice lui il problema non è Safari (quindi WebKit, cosa che condivide anche Chrome), ma Leopard stesso.. grave questa cosa.
Dice che su MacOsX è più facile trovare gli exploit, tanto che votando l'altro concorrente che ha preso il controllo tramite tre browser, ha dato 2 all'exploit su Safari, mentre 9 a quello su IE8 e 10 a quello su Firefox.. :rolleyes:
macfanboy
21-03-2009, 11:37
Lo scorso anno le fasi del Pwn2Own erano differenti. Nel primo giorno di contest non era possibili neppure accedere alla macchina per cliccare su un link, l'unica possibilità di violare le box era un attacco remoto e nessuno dei sistemi operativi (Windows compreso) è stato violato.
Ma questi "zero-days" sono esistiti per Win. Che poi in quel contesto Windows era abbastanza rattoppato e gli hacker non sono riusciti a bucarlo questo non significa che altri prima e dopo non lo abbiano fatto ripetutamente.
Su OS-X ancora questa cosa non è mai successa.
Quindi a quanto dice lui il problema non è Safari (quindi WebKit, cosa che condivide anche Chrome), ma Leopard stesso.. grave questa cosa.
Dice che su MacOsX è più facile trovare gli exploit, tanto che votando l'altro concorrente che ha preso il controllo tramite tre browser, ha dato 2 all'exploit su Safari, mentre 9 a quello su IE8 e 10 a quello su Firefox.. :rolleyes:
beh è normale: in campo di sicurezza moltissimo è basato sull'esperienza maturata in merito dal produttore. Chiaramente i costi son molto maggiori, quindi fintanto che non son necessari si evita di sostenerli, almeno completamente.
OsX è ancora molto immaturo come sistema operativo, sopratutto da un punto di vista di mercato.
macfanboy
21-03-2009, 11:44
beh hai chiarito abbastanza bene quale sia la conoscenza dalla quale obietti le affermazioni altrui, non serve altro :)
Secondo me sei tu che non capisci di cosa si sta parlando.
I link da te postati, ad es., erano ridicoli e completamente fuori contesto.
macfanboy
21-03-2009, 11:45
OsX è ancora molto immaturo come sistema operativo, sopratutto da un punto di vista di mercato.
Conferma di quanto sopra.
OS X è basato su Unix BSD, niente di più maturo in campo di sicurezza da SEMPRE.
Secondo me sei tu che non capisci di cosa si sta parlando.
I link da te postati, ad es., erano ridicoli e completamente fuori contesto.
Conferma di quanto sopra.
OS X è basato su Unix BSD, niente di più maturo in campo di sicurezza da SEMPRE.
si :banned:
secunia ridicola :asd: fuori contesto sulla sicurezza :rotfl:
oddiooddio :rotfl:
ehm, la sicurezza in osx si basa in percentuale notevole sul kernel Mach, non il bsd :asd:
http://en.wikipedia.org/wiki/Mach_(kernel)
oddiooddio :rotfl:
Ma questi "zero-days" sono esistiti per Win. Che poi in quel contesto Windows era abbastanza rattoppato e gli hacker non sono riusciti a bucarlo questo non significa che altri prima e dopo non lo abbiano fatto ripetutamente.
Certo, gli 0-day (ma non solo gli 0-day) come qualsiasi altro bug vengono sfruttati; molti degli utenti di Windows disabilitano le funzionalità di sicurezza integrate nel sistema operativo e soprattutto non si premurano di aggiornarlo.
Risultato, si diffondono malware che spesso e volentieri si basano su bug già patchati da Microsoft. :rolleyes:
Su OS-X ancora questa cosa non è mai successa.
A mio modo di vedere non c'è ancora sufficiente interesse attorno a Mac OS X quindi i bug vengono scoperti, patchati e non sfruttati.
Il vincitore di quest'anno sostiene che bucare Mac OS X sia piuttosto semplice (lui usa un Mac), questo mi convince che la mia idea (condivisa da molti) sia valida.
Datevi una calmata, possibile che si arrivi sempre a usare frecciatine, sarcasmo, battute acide, e generica assenza del rispetto per gli altri?
Comunque, se ho capito bene, questo pwn2own non è in realtà un indicatore preciso di quanto un sistema operativo o un browser siano sicuri, giusto?
A chi può interessare, ho trovato questo articolo sulla presenza (o assenza) di virus su mac: http://www.theapplelounge.com/software/os-x/i-virus-su-mac-non-arriveranno-con-laumento-del-market-share/.
Io non c'ho capito nulla, ma rimane il fatto che ho OSX da un anno e di virus, spyware, malware, antivirus, antispam, antinonnatroppoaffettuosa non c'è manco l'ombra.
Se vi sentite più sicuri con windows usate quello, fine.
A chi può interessare, ho trovato questo articolo sulla presenza (o assenza) di virus su mac: http://www.theapplelounge.com/software/os-x/i-virus-su-mac-non-arriveranno-con-laumento-del-market-share/.
Io non c'ho capito nulla, ma rimane il fatto che ho OSX da un anno e di virus, spyware, malware, antivirus, antispam, antinonnatroppoaffettuosa non c'è manco l'ombra.
Se vi sentite più sicuri con windows usate quello, fine.
credimi, non ha capito nulla nemmeno quel pistola che l'articolo l'ha scritto. è un marasma di porcate, scritte male e fuorviuranti.
Da ms che copia apple nell'architettura di sistema (una procata gigantesca, ma GIGANTESCA -- NULLA dell'architettura di windows assomiglia all'architettura di osX), alla linearità tra espansione di mercato e aumento dei virus (una legge che si è evitentemente inventato lui, che non conosce probabilmente parabole ed iperboli), alla questione delle basi unix più solide (w00t????).
Non so come certe fonti siano ritenute affidabili, porca miseria.
Intervista a Nils (http://blogs.zdnet.com/security/?p=2951).
tutti gli anni la solita buffonata. :rolleyes:
Questo contest è solo un esercizio di stile e poco o nulla ha a che vedere con la reale sicurezza di browser e sistemi operativi.
Tanto più che l' UNICO sistema operativo realmente sicuro è un s.o. chiuso e non connesso a nulla.
Ehilà Max chi si rivede :D
tutti gli anni la solita buffonata. :rolleyes:
Questo contest è solo un esercizio di stile e poco o nulla ha a che vedere con la reale sicurezza di browser e sistemi operativi.
Tanto più che l' UNICO sistema operativo realmente sicuro è un s.o. chiuso e non connesso a nulla.
Ma da quando sei "tornato"?:D
Comunque, io non ci capisco molto, qualcuno può rispondere alla mia domanda?
Comunque, se ho capito bene, questo pwn2own non è in realtà un indicatore preciso di quanto un sistema operativo o un browser siano sicuri, giusto?
Comunque, se ho capito bene, questo pwn2own non è in realtà un indicatore preciso di quanto un sistema operativo o un browser siano sicuri, giusto?
Come qualsiasi gara/contest non può essere indicativo, tuttavia le opinioni di coloro che partecipano sono interessanti.
Per esempio, Nils sostiene che trovare bug su Windows è piuttosto semplice contrariamente a quanto succede per Mac OS X, è tuttavia più semplice scrivere un exploit per Mac OS X piuttosto che un exploit per Windows (opinione ribadita da tutti i vincitori).
Personalmente ritengo che questa sia la conclusione più interessante del contest. ;)
innominato5090
23-03-2009, 21:48
ma la soluzione a tutti questi mali può essere l'uso di una sandbox (chrome ne è esempio)? alla fine, a meno che non esistano bug nella struttura di questa, si dovrebbe essere protetti in ogni caso (e anche se ci sono bug per questa, sono pur sempre 2 errori da scovare al posto di uno!)
allora perchè questa soluzione non è usata in ambito browser e altre apps in modo più massiccio?
perdonate il linguaggio da autodidatta del tutto carente di solide basi teoriche :stordita:
Internet Explorer su Windows Vista e Windows 7 fa uso di una specie di sandbox grazie agli Integrity Level ed infatti è ritenuto più complesso da bucare rispetto ad altri concorrenti (Microsoft si è subito dimostrata interessata alla bug scoperto per effettuare l'exploit su Windows).
Chrome ha estremizzato questo concetto ed i risultati si vedono, alcuni sviluppatori hanno detto di avere a disposizione una serie di bug di Chrome ma di non essere ancora in grado di scrivere un exploit completo visto e considerato che una volta sfruttato il bug si trovano nella sandbox.
aslr e sandbox son obiettivi di sviluppo che apple aveva promesso, ma che evitentemente non son stati realizzati veramente.
una controprova di come i sistemi di sicurezza di leopard siano almeno lacunosi.
nel 2009 un sistema operativo che non allochi memoria ai procesi con indirizzamento randomico (vista lo fa, anche se l'allocazione è prevedibile in un range), che non implementi delle DEP decenti (o che non lo faccia del tutto), e che ignori le sandbox è piuttosto disarmante.
per non parlare dell'esecuzione di codice bloccata solo per lo stack :|
da utente mac sono rimasto abbastanza basito a leggere le dichiarazioni dei vincitori del contest ... apple effettivamente è rimasta un pò indietro sul versante sicurezza, speriamo che con snow leopard le cose cambino :)
sarei curioso di sapere quale vulnerabilità è stata sfruttata in safari, l'anno scorso era un buco in una libreria open source (nn ricordo il nome) usata da apple
macfanboy
24-03-2009, 12:55
ehm, la sicurezza in osx si basa in percentuale notevole sul kernel Mach, non il bsd :asd:
http://en.wikipedia.org/wiki/Mach_(kernel)
oddiooddio :rotfl:
Bello, la parte di sicurezza di OS-X, networking, permessi la gestisce la parte BSD del kernel. Mach si occupa delle cose di livello inferiore. Prima di aprire la bocca collega il cervello e documentati.
Bello, la parte di sicurezza di OS-X, networking, permessi la gestisce la parte BSD del kernel. Mach si occupa delle cose di livello inferiore. Prima di aprire la bocca collega il cervello e documentati.
abbassa i toni. per il resto, dal microkernel mach son prese, a quanto mi risulta, tutte le politiche di accesso e gestione di moduli (compresi quelli ereditati da bsd); da bsd si eredita parte della gestione del networking (certo, comprese alcune soluzioni di pack analysis e firewall come ipfw), ma che influenzano l'accesso al sistema solo una volta gestite dall'utente (leggi: ipfw te lo devi configurare, e sei pregato di non tirar fuori l'interfaccia applicativa nelle preferenze di sistema :asd:) e comunque non direttamente correlate con la gestione del sistema, e dunque al suo accesso, da remoto o meno.
io temo tu non abbia ben chiaro cosa significhi "bucare" un sistema.
macfanboy
24-03-2009, 17:14
esatto, quello che preoccupa e' che su Osx i bug del software come il browser si riescono ad exploitare come fossero noccioline al contrario di windows
Mah, sarà pure. Ma tutti questi exploit non si vedono in giro. Anzi non c'è n'è manco l'ombra. Forse perché è praticamente impossibile bucarlo in primo luogo?
Poi tutte quelle cose tipo stack randomization non le le avevano messe anche su Leopard? Forse è Safari che non le usa?
Miller continua poi evidenziando come l’exploit di Firefox su Windows operato da Nils sia anche più impressionante di quello di IE: “Tra tutti i browser sui vari sistemi operativi, l’obiettivo più difficile è Firefox su Windows. Con Firefox su Mac OS X puoi fare quello che ti pare”.
Nils ha bucato Firefox su Mac OS X (vedi link che ho postato), lo stesso bug sfruttato su Windows avrebbe richiesto molto lavoro per costruire un exploit veramente affidabile.
Mah, sarà pure. Ma tutti questi exploit non si vedono in giro. Anzi non c'è n'è manco l'ombra. Forse perché è praticamente impossibile bucarlo in primo luogo?
Considerando che con bucare si intende scrivere un exploit che sfrutta un bug "praticamente impossibile bucarlo" fa a botte con le dichiarazioni degli hacker che sostengono l'opposto. ;)
La parte problematica pare essere scovare dei bug che sembrano essere in quantità inferiore su Mac OS X rispetto a Windows.
Perché non si vedono exploit se sono così semplici da scrivere? Credo che questa sia l'ennesima prova a favore dell'ipotesi secondo cui la diffusione e la quantità di exploit sono strettamente correlati.
Poi tutte quelle cose tipo stack randomization non le le avevano messe anche su Leopard? Forse è Safari che non le usa?
Se scrivo un programma per Windows e lo compilo con Visual Studio (uno qualsiasi dei compilatori integrati nel IDE) il mio programma sfrutterà - a sua insaputa - l'ASLR. Non credo che Apple di sua spontanea volontà non abbia utilizzato una tecnologia di sicurezza disponibile.
Stando alla documentazione fornita da Apple, Leopard rende lo stack non eseguibile per i processi Intel ma non per i processi PPC e rende lo heap non eseguibile per i processi Intel 64 bit (al momento una ristretta minoranza, quasi nessuno generalmente); sempre riferendosi alla documentazione ufficiale, Leopard utilizza l'ASLR unicamente per le shared library (le DLL di Windows). L'implementazione di queste tecnologie è piuttosto parziale al momento.
EDIT: avevo scritto che lo heap era non eseguibile per i processi Intel 32 bit mentre in realtà lo è unicamente per i processi Intel 64 bit.
Se scrivo un programma per Windows e lo compilo con Visual Studio (uno qualsiasi dei compilatori integrati nel IDE) il mio programma sfrutterà - a sua insaputa - l'ASLR. Non credo che Apple di sua spontanea volontà non abbia utilizzato una tecnologia di sicurezza disponibile.
Stando alla documentazione fornita da Apple, Leopard rende lo stack non eseguibile per i processi Intel ma non per i processi PPC e rende lo heap non eseguibile per i processi Intel 32 bit (al momento una ristretta minoranza, quasi nessuno generalmente); sempre riferendosi alla documentazione ufficiale, Leopard utilizza l'ASLR unicamente per le shared library (le DLL di Windows). L'implementazione di queste tecnologie è piuttosto parziale al momento.
esattamente. aggiungi politiche DEP nulle, l'heap eseguibile, la previdibilità degli indirizzi di ritono alla funzione, e la frittata è fatta. scrivere un bof per leopard è una porcata da 30 righe di c, commenti compresi.
Vladimiro Bentovich
24-03-2009, 19:07
Questa notizia ha invaso la rete :)
E' una piacevole dimostrazione dell'ovvietà spesso trascurata che ogni sistema è vulnerabile a patto di avere le giuste competenze (non si parla di uno script kiddie dell'ultima ora :asd: ).
Dal'altra parte ai fini pratici è un dato di fatto che l'osx resti decine di volte meno soggetto ad attacchi di lamerozzi per cui anche se fosse (non ho le competenze per dire se lo è davvero) meno sicuro di windows il tutto è fortunamente bilanciato dalla scarso rischio reale.
Il che è ottimo visto che per me (come per molti altri) è una spanna sopra gli altri per semplicità,appeal e stabilità :)
macfanboy
24-03-2009, 19:11
Considerando che con bucare si intende scrivere un exploit che sfrutta un bug "praticamente impossibile bucarlo" fa a botte con le dichiarazioni degli hacker che sostengono l'opposto. ;)
La parte problematica pare essere scovare dei bug che sembrano essere in quantità inferiore su Mac OS X rispetto a Windows.
Era lo scovare i bug che intendevo per bucare.
Lo stack tcp-ip e i tool di networking di OS-X stanno lì da decenni e sicuramente sono a prova di bomba. Evidentemente possono entrare solo su bug delle applicazioni. Ma questo è sufficiente per infiltrarsi poi nell'OS? Boh
Se fosse così facile comunque qualcosa si sarebbe visto. Se non altro per la "fama" di essere il primo a riuscirci. Ormai OS-X c'è da 10 anni ed è su milioni di computer. Non è poi così di nicchia.
Cioè i virus c'erano sugli Atari ST che avevamo in 3.
Anzi peggio, il primo virus l'ho visto su un EMULATORE Mac dell'Atari. E girava solo sotto quello!
macfanboy
24-03-2009, 19:13
esattamente. aggiungi politiche DEP nulle, l'heap eseguibile, la previdibilità degli indirizzi di ritono alla funzione, e la frittata è fatta. scrivere un bof per leopard è una porcata da 30 righe di c, commenti compresi.
Facci vedere queste 30 righe (commenti inclusi) visto che sei così bravo... :rolleyes:
Era lo scovare i bug che intendevo per bucare.
Lo stack tcp-ip e i tool di networking di OS-X stanno lì da decenni e sicuramente sono a prova di bomba. Evidentemente possono entrare solo su bug delle applicazioni. Ma questo è sufficiente per infiltrarsi poi nell'OS? Boh
Sul fatto che sia a prova di bomba perché è sviluppato da molto tempo non sarei sicuro; di funzionalità ne sono state aggiunte e per ogni aggiunta è possibile (certo?!) che vengano introdotti nuovi bug.
Inoltre, qualsiasi applicazione con un minimo di esposizione ad Internet è sufficiente per bucare un sistema operativo.
Se fosse così facile comunque qualcosa si sarebbe visto. Se non altro per la "fama" di essere il primo a riuscirci. Ormai OS-X c'è da 10 anni ed è su milioni di computer. Non è poi così di nicchia.
Cioè i virus c'erano sugli Atari ST che avevamo in 3.
Anzi peggio, il primo virus l'ho visto su un EMULATORE Mac dell'Atari. E girava solo sotto quello!
Se un esperto del settore mi dice che bucare Mac OS X è più semplice che bucare Windows Vista direi che non ho motivo di dubitare delle sue affermazioni, tanto più se tali affermazioni sono le stesse di altri sui "pari grado".
Impossibile essere il primo visto e considerato che più di qualche ricercatore ha mostrato exploit funzionanti, sono loro i primi. Fortunatamente solo i ricercatori sono interessati a bucare Mac OS X (almeno per il momento), loro di certo non rilasceranno nessun malware che faccia uso delle vulnerabilità che scoprono.
Ad ogni modo stiamo pur sempre parlando di milioni di Mac su miliardi di PC, rimane una percentuale piuttosto contenuta (meno del 10%).
Facci vedere queste 30 righe (commenti inclusi) visto che sei così bravo... :rolleyes:
Ovvio che 30 righe sono un'esagerazione (giusto per sottolineare il concetto)... ad ogni modo, lo scorso anno è stato rilasciato un exploit per Linux che otteneva i privilegi di root in meno di 300 righe di codice, commenti inclusi. ;)
CaFFeiNe
24-03-2009, 20:18
La mia non era affatto una battua.
Lo scorso anno Ubuntu era tra i sistemi operativi presi in considerazione e sarebbe caduta se il regolamento del contest avesse permesso di utilizzare le falle cross-platform (quella utilizzata per bucare Windows Vista ed Internet Explorer 7 lo era) per più di un sistema operativo.
Inoltre, si dice che Ubuntu non sia stata attaccata di proposito lo scorso anno quindi in un modo o nell'altro sarebbe potuta cadere.
Ribadisco, secondo me Ubuntu (o qualsiasi altra distribuzione di Linux) non è stata presa in considerazione per il contest perché non riveste un ruolo importante nel panorama dei desktop.
scusate, ma mi sembra la soluzione piu' semplice del perchè linux non sia stato provato è semplice
che senso ha trovare una falla in software opensource?
il codice è li' visibile a tutti (sia cracker, che riparatori) la sfida è nel bucare un software chiuso....
tralaltro vedo tanti bla bla bla....
" Rispetto sarebbe lasciarlo credere inviolabile? A me sembra un cattivo servizio: dimostrate che anche Linux è violabile e poi comunicate/risolvete il problema.."
si un sistema linux configurato con SElinux è almeno 10 volte piu' inviolabile di macosx e windows.
e il discorso sopra... è questo il rispetto... inutile mostrare quanto sono bravo ad entrare in una casa di cui posso studiarmi la topografia, i materiali, la composizione etc...
la sfida è riuscire ad entrare in una casa di cui non si sa nulla
che senso ha trovare una falla in software opensource?
il codice è li' visibile a tutti (sia cracker, che riparatori) la sfida è nel bucare un software chiuso...
Non sono affatto d'accordo. Trovare un bug può essere semplice, ancor più in un software opensource, scrivere un exploit per un bug è tutto un altro discorso. ;)
. inutile mostrare quanto sono bravo ad entrare in una casa di cui posso studiarmi la topografia, i materiali, la composizione etc...
la sfida è riuscire ad entrare in una casa di cui non si sa nulla
Non so quanto sia voluto il tuo esempio, pero' coglie perfettamente quella che e' la mia opinione di queste persone.
E' come se istituissero un premio annuale in cui mettono in palio soldi al ladro che riesce a rubare piu' velocemente un dipinto al Louvre..... certo il ladro lo fa per far vedere ( dietro compenso ) alla direzione del museo dove ha sbagliato ad installare gli antifurto, ma e' sempre un ladro.
Buona continuazione a tutti.
Non so quanto sia voluto il tuo esempio, pero' coglie perfettamente quella che e' la mia opinione di queste persone.
E' come se istituissero un premio annuale in cui mettono in palio soldi al ladro che riesce a rubare piu' velocemente un dipinto al Louvre..... certo il ladro lo fa per far vedere ( dietro compenso ) alla direzione del museo dove ha sbagliato ad installare gli antifurto, ma e' sempre un ladro.
Buona continuazione a tutti.
Non ho capito la tua obiezione. Ti infastidisce che ci siano ricercatori che si fanno pagare per scovare falle e scrivere exploit?
Se è così non sono affatto d'accordo con te. Le software house di grosse dimensioni hanno interi reparti che si occupano di scoprire bug e si tratta di reparti pagati. Non vedo perché un ricercatore/gruppo autonomo debba fare lo stesso lavoro di un reparto interno senza ricevere nessun premio.
È anche vero che questo discorso non è applicabile a tutte le software house, a quanto pare c'è chi premia i ricercatori/gruppi autonomi e c'è chi non lo fa, nel secondo caso è normale che si attendano contest come questo per ricavare qualche $.
Facci vedere queste 30 righe (commenti inclusi) visto che sei così bravo... :rolleyes:
per avere un'idea della facilità di certi exploit e delle conseguenze architetturali e implementative di leopard, cercati il codice di tsf o ard, smettila di fare il saccente, e studia qualcosa prima di parlare. se hai già studiato, meglio un bel ripasso.
per il resto dei commenti, quoto sirus. la sfida quasi mai è confinabile nel trovare il bug, il problema è exploitarlo. che sia sw opensource o meno, la questione non è facile a livello tecnico.
avere in mano il codice di windows faciliterebbe molto poco l'exploit di molti bachi, poiché è quasi tutto deciso ad execution time. per referenze leggersi i post precedenti su aslr & co. la documentazione online poi è vastissima.
oltretutto ricordo che bucare un sw è PRINCIPALMENTE una questione di bucare il s.o., quindi exploitare il sw è possibile solo exploitando il s.o., in quasi tutti i casi.
I casi di studio son quindi tantissimi, ma "passare oltre" le difese del s.o. è sempre l'ostacolo maggiore. E come abbiam visto, passare oltre quelle dei leopard è piuttosto facile.
Non ho capito la tua obiezione. Ti infastidisce che ci siano ricercatori che si fanno pagare per scovare falle e scrivere exploit?
Se è così non sono affatto d'accordo con te. Le software house di grosse dimensioni hanno interi reparti che si occupano di scoprire bug e si tratta di reparti pagati. Non vedo perché un ricercatore/gruppo autonomo debba fare lo stesso lavoro di un reparto interno senza ricevere nessun premio.
È anche vero che questo discorso non è applicabile a tutte le software house, a quanto pare c'è chi premia i ricercatori/gruppi autonomi e c'è chi non lo fa, nel secondo caso è normale che si attendano contest come questo per ricavare qualche $.
Mi infastidisce il fatto che la "spettacolarizzazione" di certi contest, porti la gente a credere che l'opera di entrare nei computer degli altri sia meritevole di premi e ricompense. Mi spiace che poi siano dei poveri ricercatori che per arrivare a fine mese aspettino questi eventi.
Mi infastidisce il fatto che la "spettacolarizzazione" di certi contest, porti la gente a credere che l'opera di entrare nei computer degli altri sia meritevole di premi e ricompense. Mi spiace che poi siano dei poveri ricercatori che per arrivare a fine mese aspettino questi eventi.
Trovare bug e scrivere exploit fa parte della ricerca in ambito informatico, non vedo cosa ci sia di male ad essere pagati per il lavoro svolto.
Trovare bug e scrivere exploit fa parte della ricerca in ambito informatico, non vedo cosa ci sia di male ad essere pagati per il lavoro svolto.
Nulla, infatti non ho detto questo. Mi sembra di essere stato chiaro nelle mie considerazioni.
Nulla, infatti non ho detto questo. Mi sembra di essere stato chiaro nelle mie considerazioni.
Credo di aver capito cosa intendi; secondo me, parlare di questi contest può far capire alla gente che qualsiasi sia il PC che utilizzano c'è la possibilità di essere compromessi, il fatto che la vittoria del contest comporti la vincita di un premio non credo che porti la gente a pensare che penetrare un PC sia una buona azione.
A riprova di ciò, mi è sembrato di leggere molte notizie che parlano delle vulnerabilità dei browser e dei sistemi operativi e nessuna notizia che pone un forte accento sui premi.
Come qualsiasi gara/contest non può essere indicativo, tuttavia le opinioni di coloro che partecipano sono interessanti.
Per esempio, Nils sostiene che trovare bug su Windows è piuttosto semplice contrariamente a quanto succede per Mac OS X, è tuttavia più semplice scrivere un exploit per Mac OS X piuttosto che un exploit per Windows (opinione ribadita da tutti i vincitori).
Personalmente ritengo che questa sia la conclusione più interessante del contest. ;)
è sempre interessante entrare in questo genere di discussioni, ma il vero problema è quando, come in questo caso, si cerca di strumentalizzare un esercizio di stile facendolo passare per un indicativo sulla sicurezza di un s.o. e del suo ambiente
Frasi come "ci hanno messo 30 secondi a bucare Mac OSX" quando dietro ci sono settimane/mesi di preparazione fanno solo titolo sul web, ma chiunque abbia competenza REALE in materia si rendo conto di quanto stupide siano
è sempre interessante entrare in questo genere di discussioni, ma il vero problema è quando, come in questo caso, si cerca di strumentalizzare un esercizio di stile facendolo passare per un indicativo sulla sicurezza di un s.o. e del suo ambiente
Frasi come "ci hanno messo 30 secondi a bucare Mac OSX" quando dietro ci sono settimane/mesi di preparazione fanno solo titolo sul web, ma chiunque abbia competenza REALE in materia si rendo conto di quanto stupide siano
Ma questo è ovvio, se trovare un bug e scrivere l'exploit che lo sfrutta richiedesse veramente 30 secondi inizierei a preoccuparmi seriamente. :D
Le conclusioni più interessanti infatti si possono trarre leggendo una serie di articoli ed evitando di limitarsi ai soliti titoli scandalistici. ;)
Intervista a Charlie Miller (http://www.tomshardware.com/reviews/pwn2own-mac-hack,2254.html). ;)
macfanboy
26-03-2009, 18:59
Comunque ci saranno miglioramenti lato sicurezza su Snow Leopard.
Da AppleInsider:
"Snow Leopard security
While Apple did implement some support for NX and ASLR in Mac OS X, Leopard retains dyld, (the dynamic loader responsible for loading all of the frameworks, dylibs, and bundles needed by a process) in the same known location, making it relatively trivial to bypass its ASLR. This is slated to change later this year in Snow Leopard.
With the much larger address space available to 64-bit binaries, Snow Leopard's ASLR will make it possible to hide the location of loaded code like a needle in a haystack, thwarting the efforts of malicious attackers to maintain predictable targets for controlling the code and data loaded into memory. Without knowing what addresses to target, the "vast majority of these exploits will fail," another security expert who has also won a high profile Mac cracking contest explained to AppleInsider. "
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.