Firewall Test

dupa ce mi-a dat cateva mesaje de blocare, Sygate-ul a trecut testul.

a doua oara insa s-a descurcat sa se strecoare prin spatele lui.-

Si mai auzi pe unii ca vai nu au virusi ca ei nu iau si le dai un test online si atunci le intra morcovul in fund.

Problema treadului este: Cum blocam aplicatii mai mult sau mai putin sigure sa trimita date fara voia noastra. Exemplu concret.

Aaaaa, cu firewall-ul facut de cei care au facut si leaktest-ul?

Nu va dati seama ca este o chestie pur comerciala si ca in 2 saptamani va apare up update de Sygate, ZA, etc care sa rezolve problema asta?

bye

Seven[BERE said:

O parere de profan, asadar as putea sa fiu total pe alaturi. Din cite am auzit eu este posibil ca o aplicatie malware sa faca bind la un proces care deja ruleaza si sa se ascunda si sa ruleze ca si cum ar fi aplicatia in sine. Adica in task manager sa vezi 2 explorer-uri, unul veritabil si unul fiind aplicatia malware. Problema care se pune acum e care sint regulile dupa care un firewall filtreaza informatia? Process ID, process name, port? Cum? Nu stiu.

Si in al doilea rind, cred ca problema e de blamat nu neaparat la firewall ci mai degraba la OS. Cineva imi spunea ca va testa in win2k3 sa vada daca si asta e vulnerabil la acest tip de atacuri (de unde trag concluzia ca pina la el celelalte sisteme sint vulnerabile). Problema e mult mai adinca decit pare la prima vedere si personal cred ca va da dureri mari de cap celor de la microsoft. Sint sigur ca cei de microsoft cunosc deja problema dar, ca de obicei, pastreaza tacerea . Oricum, ma astept ca sa apara atacuri pe aceasta filiera cit de curind. Ca de altfel si atacuri cu imagini.... cine ar fi zis.. o imagine sa-ti puna pe chituci calculatorul...  

[later edit] ceea ce a aratat Catalin aici este un test pt firewall pt unii, dar pt mine reprezinta un "proof of concept" al tipului de atac pe care l-am schitat mai sus. [/edit]

Editat de cianura, 24 septembrie 2004 - 20:29.

si 2k3 s-a comportat la fel, cu tot cu sygate activ... adica a transmis tot ce se putea

Ati incercat de pe conturi limitate? Windows XP SP2 cu toate update-urile?
Luati si un sniffer sa vedeti cum si ce face. Eu asa o sa fac.

Quote

Ai perfecta drepate.

Eu am vazut ca lumea pune problema ce firewall face fata.
Eu am mers pe site-ul celor care au facut programelul asta si se lauda ca au ei solutia => O solutie exista si sunt gata sa pun pariu ca in max 2 weeks o sa avem un update pt. firewall-ul nostru , oricare ar fi el.

Cum am spus totul este pur comercial ... ce au facut ei este doar sa-si promoveze produsul. Daca nu era o chestie comerciala faceau un bug report ... un patch, ceva.

In mod normal asta ar fi treaba M$ dar de, treaca de la noi ... cum trece si cu virusii... mai trebuie sa castige si altii o paine.

bye

mrproper, on Sep 26 2004, 01:18, said:

LOL ... setati si voi firewallurile alea cum trebuie ... Sygate a trecut!

Inainte de a porni aplicatia, am pornit sygate (asa cum e de la mama lui, doar setarile de securitate facute cum trebuie    ), am pus si un sniffer ... si am asteptat ...

Dupa approx 15 minute (04:07 --> 04:21) a renuntat (cred ca a incerca in timpul cam o data la 20 de secunde !!!)

Atasez si niste poze (trebuie sa mentionez ca a incercat pana si cu refresh-locku' sa se conecteze ...

Partea mai nasoala e ca, DUPA ce l-am inchis, TOT s-a incercat o conexiune catre remote host (209.101.114.44)! Ceva spyware?!

Oricum, monitorizez adresa respectiva si anunt daca apare ceva ...

Pozele!

Tyby, on Sep 26 2004, 04:27, said:

Bun, inseamna ca se poate face fata daca cineva are grija. Dar ce facem cu userii, Tyby? Nici "pozele" cu Anna Kournicova nu s-ar raspindi daca nu ar fi userii care sa dea click-uri, desi stiu si li s-a spus ca nu deschida asa ceva! De-a naibii, sa vada ce se intimpla !

Stim cu totii ca multi nici nu citesc mesajele alea de avertizare. Pur si simplu apasa "OK". Si la multitudinea de programe care ruleaza pe un calculator, sigur un luser va gresi. Oricum daca se gaseste un model al atacului, atunci sa speram ca va fi integrat in firewall-uri cit mai curind. Spor!

Tyby, on Sep 26 2004, 04:27, said:

si ce setari ar trebui sa facem, daca nu te superi sa ne zici si noua?

corect, Tyby.

Nu, nu trece de Sygate decat daca i se permite, iar acesta este deja prevazut cu situatia asta

In principiu la mine s-a agatat de explorer.exe. Instalasi ZoneAlarm. Asta inseamna ca poate fi blocat dar numai program, ar fi un calvar sa blochezi accepti toate ipurile care le vor programele tale. Daca se agata de browser nul mai prinzi decat daca se chioraste firewallu si ii zici ceva de genu, acest program NU se poate conecta la internet prin alte aplicatii.

ZoneAlarm Security Suite ultima versiune full update a lasat sa treaca tot. cred ca o sa dezinstalez de acuma firewallul ca sa nu mai manance resurse degeaba

EndLess_Point, on Sep 26 2004, 13:13, said:

exact! Enable DLL authentication este setarea care trebuie facuta. Sygate intreaba DE FIECARE DATA cand o aplicatie isi schimba executabilul (de ex update, hijack, trojan, etc) sau cand incarca un dll nefolosit pana atunci, sau un dll modificat.

mrproper, on Sep 26 2004, 13:31, said:

se pare ca ZoneAlarm nu stie de treaba asta ... Nu m-am jucat cu ZA de multisor, asa ca nu stiu ce sa-ti zic ...

Mi-am incercat și eu firewallu'(TinyPersonal Firewall 5.5), și surpriza!!!! a trecut testul . Cu mentiunea că, nu mi-am băgat nasul în el și l-am lăsat pe default, cu toate modulele activate . Vă atașez o poză cu ce a mișcat pcaudit-ul timp de aproximativ 8 min .

PS:

The Hacker would have access to the folders, files and e-mails shown below on your Computer.

My documents

1.txt
26.05.reg
back.bmp
book.swf
desktop.ini
doc
dorrhanggers.tif
engine.swf
fla-swf
..........


cum adik ... ?
(si cum ar face asta )

Si care vream eu sa zic. tiny ia md5 si nu lasa alte module la acces.

Dupa lungi ... teste ...

daca ii dai pe ZAp ... ASK la orice program ...  (si le dai deny ... la fiecare in parte)
poti sa treci testu

cred k pcAudit .... se foloseste de fiecare programel care are deja access la internet ...
ca zonealarm nu mi-a scris in log ... (nici Netlimiter nu mi-a adaugat vre-un program nou in lista)

asa ca ... pot sa spun ... super prgr

ps:  pcAudit.JPG   37,53K   70 download-uri