|
| 1.3, Аноним (-), 11:09, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +6 +/– |
Молодец, нечего разработчикам ОС делать вид, что всё до сих пор ок
| | |
| |
| 2.116, Аноним (-), 06:37, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
Линуксоиды пока заняты попытками заткнуть rowhammer в софте. Хоть это и похоже на "ты что. сбил автомобилем вертолет?!", но эти чего доброго еще и смогут.
А так на самом деле легко лечится. Не ставишь себе udev в пингвине, а IP настраиваешь статикой. И у тебя нет плагнплея. Нет сетевого интерфейса. И вообще - если у тебя не было usb-сетевок то даже модуль придется вручную сначала вгрузить. На чем атака и встрянет. Ну в общем безопасность и удобство порой таки оказываются по разную сторону баррикад. В том плане что удобно может оказаться не только пользователю но и атакующим.
| | |
|
| 1.4, A.Stahl (ok), 11:10, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –4 +/– |
 >но так как подсеть задана явно, то подпадающий под эту подсеть трафик уходит через новый сетевой интерфейс независимо от наличия более приоритетного шлюза
Т.е. настройки приоритета недостаточно приоритетны при выборе шлюза? Это, скорее всего, баг.
| | |
| |
| 2.14, Moomintroll (ok), 11:35, 17/11/2016 [^] [^^] [^^^] [ответить]
| +6 +/– |
 > Т.е. настройки приоритета недостаточно приоритетны при выборе шлюза? Это, скорее всего, баг.
Настройки приоритета влияют только на одинакове префиксы. Именно поэтому он не пытается подменить умолчательный шлюз, а замахивается только на половину IPv4.
Т.е. если бы он пытался подменить дефолтный шлюз, то у него бы не получилось из-за приоритета.
| | |
|
| 1.5, Ivan_83 (ok), 11:17, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +9 +/– |
 У меня на фре такое точно не проканает: адаптер то оно подхватит но дхцп клиента на нём не запустит и он будет висеть не сконфигуреный дальше.
Собственно тоже самое было когда я недавно USB сетевуху подключал посмотреть что оно из себя представляет.
| | |
| |
| |
| 3.86, Ivan_83 (ok), 21:11, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Скорее всего как ueХ будет.
Там стандартный драйвер для юзби, оно много где так. Такой же драйвер для всяких 4г модемов в ndis режиме.
| | |
|
| |
| 3.73, анон (?), 18:04, 17/11/2016 [^] [^^] [^^^] [ответить]
| –4 +/– |
тссссс. зачем ты просвещаешь просвещенного адепта фрях научившегося отключать dhcp
| | |
| 3.87, Ivan_83 (ok), 21:12, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Так дистров линуха дохера, указывай конкретно в каком оно не подхватится дхцп клиентом автоматом.
| | |
| |
| 4.91, angra (ok), 23:41, 17/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– |
 В любом, где это не настроено. Или ты не в курсе, что любой дистр линукса можно настраивать и dhcp клиент вообще не запускать? И даже если говорить о дефолтной инсталляции какого-нибудь user friendly дистра, то на этапе установки обычно задается вопрос о настройках сети, где можно указать статический ip без всякого dhcp.
| | |
| |
| 5.111, Ivan_83 (ok), 15:11, 18/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
Тут всё не однозначно.
На этапе установки ты настраиваешь имеющиеся адаптеры, а во время работы настроенной системы у тебя появляется новый адаптер, который ты не настраивал.
Вот на этом моменте я хз как поведут себя разные дистры.
| | |
|
|
| 3.100, Аноним (-), 09:40, 18/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
Во всех номральных осможно отключить dhcp клиент, и что?
Речь о дефолтном состоянии системы. Скорее всего, дефолт на компе у жертвы - вообще не линукс и т д.
ЗЫ: припоминается, что проблема незначительная (и фиксить незачем), т к в реале трудно эксплуатировать. НПусть парень запустит кампанию на кикстартере, может и мотивация у разработчиков ОС появится. Хотя, достаточно слить свои наработки в сеть.
| | |
| |
| 4.104, Аноним (-), 12:55, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
Вы таки совершенно ничего не понимаете в тролинге адептов FreeBSD.
А если серьёзно то просто поставил на место адепта Бзди. Алсо, в венде это тоже всё отключается, просто через одно место. За Вендоз 10 не скажу.
| | |
| |
| 5.112, Ivan_83 (ok), 15:22, 18/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
Что то я сильно сомневаюсь что там можно отключить использование дхцп клиента на всех новых интерфейсах, только отключить дхцп клиента целиком, что не практично.
| | |
| |
| 6.120, Аноним (-), 09:43, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> Что то я сильно сомневаюсь что там можно отключить использование дхцп клиента на всех новых интерфейсах, только отключить дхцп клиента целиком, что не практично.
А зачем он нужен, если можно просто "поднять" интерфейс ifup. Или вы так часто суёте в машину новые устройства?
| | |
|
|
|
|
| 2.69, Аноним (-), 16:33, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> У меня на фре такое точно не проканает: адаптер то оно подхватит
> но дхцп клиента на нём не запустит и он будет висеть
> не сконфигуреный дальше.
Wow. Such годный вброс! So many отзывов-подгораний у лапчатых )
| | |
|
| 1.6, Ананас (?), 11:18, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 Чем это лучше просто подключения к сетевухе? Или это нужно только для устройств с вайфаем?
| | |
| |
| 2.82, DmA (??), 20:36, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
действительно, воткнул вместо родного эзернет какой-нибудь ноутбук с 3g и dhcp и пустил через него весь трафик с компа. Когда теперь все знают про такие флехи-компьютеры, то подключение другого кабеля более опасная штука. Заблокировать экран мало теперь прежде, чем выйти из комнаты: нужно ещё usb и сетевые порты отключить, а комп опечатать. Биос думаю у всех давно запаролен и в качестве единственного boot устройства стоит нужный жёсткий диск.
В общем 152 инструкцию фсб-фапси пора расширять...
| | |
| |
| 3.118, Аноним (-), 06:44, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> Заблокировать экран мало теперь прежде, чем выйти из комнаты:
Оптимисты еще не прочитали про чтение экрана даже без его видимости по излучению. А реалисты сделали из бага фичу - какой-то чувак додумался транслировать эпловским монитором AM-радиопередачу, во как.
// заодно програмер теоретически может утащить инфо с любого компа если ему там можно программы запускать, если он достаточно креативен :)
| | |
|
| 2.117, Аноним (-), 06:42, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> Чем это лучше просто подключения к сетевухе?
Тем что это потенциально может сделать вообще любое юсб устройство. Тем более что в большинстве их них есть микроконтроллер и прошивка и оно на самом деле может изображать из себя что угодно. Захочет твоя usb сетевка стать клавиатурой - и станет. И если у тебя был рутовый терминал открыт, а клава подцепилась - ну это залет. PoC нагревающие винду этим методом уже даже были - фэйк клава пытается ребутнуть систему а потом в bios сменить настройки на загрузку. С флешки. Которую после этого и изображает. И вот уже система грузится с клавы, которая уже флешка. В общем, такой себе автомобиль-самолет как у фантомаса.
| | |
|
| 1.7, Аноним (-), 11:22, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
Пора в xscreensaver добавлять блокировку всех новых девайсов при залоченном сеансе
| | |
| |
| 2.93, lamer (??), 00:04, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> Пора в xscreensaver добавлять блокировку всех новых девайсов при залоченном сеансе
То ли дело взять не дешманско-лоховскую флеху в которой сэкономили на всем чем можно, а фирменную какую. Крутую. С эмблемой ХайСекурности. В идеале чтоб вендор было Microsoft или Intel. Им то уж можно доверять, не то что китайским ноунеймам
| | |
| |
| 3.97, Аноним (-), 05:54, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Проблема в том, что приведённое в статье устройство собрано из натурального мусора за три копейки. То есть грань между "купить китайскую флеху за 300р." и "купить брендовую флеху с ПРЕМИУМ троянами от Sony" теперь практически отсутствует. А на компонентах всегда можно сэкономить взвинчивая заявленный объём в 50 раз и сжимая данные каким-нибудь gzip.
| | |
| |
| 4.126, Аноним (-), 23:42, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> объём в 50 раз и сжимая данные каким-нибудь gzip.
На пути этого хитрого плана есть загвоздка: видео, аудио и прочие фоты - не очень жмутся gzip-ом, поэтому на#$ка довольно быстро спалится :)
| | |
|
|
|
| |
| 2.127, Аноним (-), 23:45, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> Слабак. Вот на выключенный ПК - это да.
Intel ME может писюк и включить. И вообще, жил был компьютер. При уходе в suspend to ram - он засыпал. Но иногда ктулху все-таки просыпался. Включая ATX power supply. Сам. Исследование показало что PCI-e нынче бывает под напругой даже в дежурке, поэтому даже китайская сетевка может взять и врубить комп. Чтобы было больше лулзов, в куске китая WOL активен по дефолту и срабатывает на любой уникаст пакет, даже без magic.
| | |
|
| 1.12, Аноним (-), 11:34, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –6 +/– | |
> компьютер жертвы воспринимает его как новую сетевую плату,
Даже на Винде это не прокатит. Или он через usb еще и драйвер скармливает системе?
И с какой стати, сетевой адаптер должен сбросить текущее сетевое соединение и подключится к это сети?
| | |
| |
| 2.16, Moomintroll (ok), 11:42, 17/11/2016 [^] [^^] [^^^] [ответить]
| +5 +/– | |
> И с какой стати, сетевой адаптер должен сбросить текущее сетевое соединение и подключится к это сети?
Во-первых, не сетевой адаптер, а ОС. А во-вторых, речь-то о HTTP - где там "текущие соединения"?...
| | |
| |
| 3.20, Костик (??), 11:48, 17/11/2016 [^] [^^] [^^^] [ответить]
| –2 +/– |
О-о, батенька. Так ведь HTTP 1.1 уже устареть успел, а не все, как оказывается, знают...
Именно, именно соединения.
| | |
| |
| 4.38, Moomintroll (ok), 13:45, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> Так ведь HTTP 1.1 уже устареть успел, а не все, как оказывается, знают...
> Именно, именно соединения.
Я подозреваю, что Вы намекаете на keep-alive aka переиспользование соединения с сервером для загрузки нескольких компонентов страницы... В таком случае Вы заблуждаетесь, если считаете, что эти соединения живут вечно. Там таймаут от десятков секунд до считанных минут.
| | |
| |
| |
| 6.103, Moomintroll (ok), 12:45, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> а что такое тайм аут?
> точнее, при каких условиях он наступает?
При отсутствии передачи данных в соединении в течение определённого времени, соединение закрывается.
Википедия интереснее пишет про keep-alive: https://en.wikipedia.org/wiki/HTTP_persistent_connection
HTTP 1.0
…
This will continue until either the client or the server decides that the conversation is over, and one of them drops the connection.
Вообще не представляю эту логику. Таймауты логичнее, как в HTTP 1.1:
the default connection timeout of Apache httpd 1.3 and 2.0 is as little as 15 seconds[2][3] and just 5 seconds for Apache httpd 2.2 and above
| | |
|
|
|
|
| 2.18, Аноним (-), 11:44, 17/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– |
Уже есть USB<->Eth девайсы драйвера для которых предустановлены в шиндофсе.
| | |
| |
| 3.22, Аноним (-), 11:51, 17/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ага. Вот и попробуйте.
С драйверами иногда танцевать приходится.
| | |
| |
| 4.125, The User (?), 21:53, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Сами попробуйте, Windows начиная с 7ки RNDIS подхватывает без всяких драйверов и вопросов.
| | |
| 4.128, Аноним (-), 23:47, 19/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> С драйверами иногда танцевать приходится.
Для большинства сетевок подходит стандартный драйвер стандартного класса устройств. На самом деле эти драйверы есть в большинстве ОС.
| | |
|
|
| 2.19, Mikk (??), 11:48, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Там же сказано - сеть задаётся явно.
У более специфичных сетей приоритет выше, чем у дефолта. Так в ip сетях работает маршрутизация.
| | |
| 2.136, Аноним (-), 00:21, 20/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> драйвер скармливает системе?
Стандартный класс устройств - дрова в систему встроены почти везде много лет.
| | |
|
| 1.17, Аноним (-), 11:43, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Мутный способ, нет 100% уверености что удастся что-то полезное вытащить. Ну и selfdestroy coockies - наше все.
И в зоне риска только адреса:
HostMin: 0.0.0.1 0 0000000.00000000.00000000.00000001
HostMax: 127.255.255.254 0 1111111.11111111.11111111.11111110
Хотя никто не мешает поменять диапазон.
| | |
| 1.21, Necrogrinder (ok), 11:50, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 Есть же китайские фейковые флешки с конденсаторами внутри которые сжигают железо разрядом. От таких приколистов ни один софт не поможет.
| | |
| |
| 2.58, Аноним (-), 15:01, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> Есть же китайские фейковые флешки с конденсаторами внутри которые сжигают железо разрядом.
> От таких приколистов ни один софт не поможет.
А смысл? После этого шина сгорает и предположительно даже мосты умирают вкупе со всякими другими устройствами. Так то ты сможешь вытащить оттуда после этого? Ничего? А какой тогда смысл? Насолить разве что?
| | |
| |
| 3.129, Аноним (-), 23:51, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> А смысл? После этого шина сгорает и предположительно даже мосты умирают вкупе
> со всякими другими устройствами. Так то ты сможешь вытащить оттуда после
> этого? Ничего? А какой тогда смысл? Насолить разве что?
На хабре даже пример такого usb-destructor'а был. Идея проста как тапок: девайс накачивает батарею кондеров от 5V питания. Бах разрядом по линиям данных. Пациент готов.
А зачем? Ну например - отличный пранк над "клептоманами". Вот так оставишь флешку, у нее отрастут ноги. В этом случае - приделавший ноги потом будет очень не рад что взял чужое, потому что выбитый чипсет обходится значительно дороже флешки.
| | |
|
|
| 1.23, Меломан1 (?), 11:51, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –10 +/– |
Ну насобирал он печенюшек и урлы, все равно у всех 2-х факторная авторизация настроена, хрен он что получит.
Считаю, что уровень опасности минимальный.
| | |
| |
| 2.59, Аноним (-), 15:02, 17/11/2016 [^] [^^] [^^^] [ответить]
| +2 +/– |
> Ну насобирал он печенюшек и урлы, все равно у всех 2-х факторная
> авторизация настроена, хрен он что получит.
> Считаю, что уровень опасности минимальный.
Ты забыл про хомячков? Некоторые даже, о ужас, записывают все пароли на стикерах, которые потом крепят к монитору... Тут даже ничего подключать не надо.
| | |
| |
| 3.74, Crazy Alex (ok), 18:56, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
 Вот чем дальше - тем больше у меня подозрение, что обеспечить физическую защиту железки и пользоваться стикерами - довольно надёжный и беспроблемный вариант. Во всяком случае, пока речь о всяких шпиёнах не идёт.
| | |
| |
| 4.105, Аноним (-), 12:58, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> Вот чем дальше - тем больше у меня подозрение, что обеспечить физическую
> защиту железки и пользоваться стикерами - довольно надёжный и беспроблемный вариант.
> Во всяком случае, пока речь о всяких шпиёнах не идёт.
В принципе да, я частично согласен. Но опять же - если ни у кого нет прямого доступа к вашему компьютеру. Иначе всё это бесполезно. Лучше уж тогда носить с собой блокнотик в нагрудном кармане.
| | |
|
|
|
| 1.24, Костик (??), 11:51, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Не очень понятно, как он там что из себя будет изображать при повальном переходе на HTTPS.
| | |
| |
| 2.83, DmA (??), 20:45, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> а если у меня драйверов на эту хрень нет?
так в винде(vista+) по умолчанию стоит искать все драйвера на сайте Микрософт. Вы даже не нужны за компьютером. Проверьте свою политику установки драйверов: Пуск -Устройста и принтеры-в Устройствах найдите имя своего компьютера и правой кнопкой мыши на нём щёлкните и выберите "Параметры установки устройств". Скорей всего автоматически идёт поиск драйверов у Микрософта. Другое дело, что есть такой драйвер уже...
Интересно, поможет в таком случае отключение службы Plug and Play или нет. Как вообще бороться с новыми подключениями... Тор конечно выход от таких вещей, но не во всяких корпоративных вещах тор достаточен для работы
| | |
| |
| 3.122, Аноним (-), 14:17, 19/11/2016 [^] [^^] [^^^] [ответить]
| –2 +/– | |
gpedit.msc > Computer Configuration > Administrative Templates > System > Device Installation > Device Installation Restrictions > Prevent installation of devices not described by other policy settings.
А голожопикам не повезло, да.
| | |
| |
| |
| 5.124, Аноним (-), 17:18, 19/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Это был привет из самой глубины этсамой? ;-)
Как скажите. Это относилось ко всякого рода "шарашкиным" конторам, где нету настроенных групповых политик/всем плевать на безопасность. Не сомневаюсь что у онтопика это тоже можно сделать/настроить. Мой комментарий относился к 2.83, про шутки с pnp и прочим. Как оно работает по-умолчанию мало интересно, если это можно поменять штатными средствами.
| | |
| |
| 6.130, Аноним (-), 23:56, 19/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Чтоб ты знал - групповые политики довольно неэффективная и мягкотелая штука. Локальный юзер млжет без проблем на них забить, если они ему не нравятся. И наверное чтобы упомянутый гаджет сработал - локальный юзер должен его притащить и подключить.
| | |
|
|
|
|
|
| 1.26, Аноним (-), 12:09, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
Независимо от используемой ОС? Серьёзно?
Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.
А неприличные оси, которые могут такое делать, и бинари с обычной флэшки "автозапускают"...
Вообще не вижу, в чем проблема.
| | |
| |
| |
| 3.110, Онанимус (?), 14:15, 18/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Ubuntu автоматом поднимает через Network Manager.
С этим легко побороться. Достаточно в соединениях Network Manager создать сеть с настройками:
1. на закладке "Параметры IPv4" - способ настройки "Автоматически (DHCP)"
2. на закладке "Ethernet" не был указан MAC адрес
3. на закладке "Общие" снята галочка "автоматически подключаться к этой сети"
4. дать имя соединения, к примеру "DHCP"
Тогда при втыкании RJ45 или usb модема соединение автоматически не устанавливается и него нужно ткнуть мышью под именем сетевой карты.
| | |
|
| 2.36, Admino (ok), 13:07, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
 > Независимо от используемой ОС? Серьёзно?
> Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого
> адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.
> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки
> "автозапускают"...
> Вообще не вижу, в чем проблема.
Для тебя приличная ОС это DOS. надо понимать.
| | |
| |
| 3.84, DmA (??), 20:48, 17/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
>> Независимо от используемой ОС? Серьёзно?
>> Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого
>> адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.
>> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки
>> "автозапускают"...
>> Вообще не вижу, в чем проблема.
> Для тебя приличная ОС это DOS. надо понимать.
просто dhcp зло, всё нужно статиком прописать, не прописал, не работает, а служба dhcp должно быть отключена. правда если используется VPN соединение, то без dhcp оно работать не будет скорей всего.
| | |
| |
| 4.132, Аноним (-), 00:05, 20/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> просто dhcp зло,
Автомобили тоже зло - на них в ДТП попасть можно.
| | |
|
|
| 2.60, Аноним (-), 15:10, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки "автозапускают"...
Wendoz, если не настраивать. Не все же в этом мире компьютерные гики, подумай об обычных пользователях. Для нас с тобой проблем нет, конечно. А вот например для моей бабушки, которая активно пользуется компьютером, проблема есть.
| | |
| |
| |
| 4.133, Аноним (-), 00:07, 20/11/2016 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Вряд ли бабушке угрожает эта атака
А тут сильно завсит от. Бабушки могут запросто таскать через 5 рук непонятные флешки и кликать на всякую фигню. И компьютер с виндой потом получается довольно загаженным, кстати.
| | |
| |
| 5.140, Аноним (-), 06:59, 21/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Угу, как прихожу к ней - 20 вирусов одним AVZ собираю. Причём вирусы то смешные и даже не запускаются, ибо работают только в режиме DOS. Но всё же.
| | |
|
|
|
|
| 1.29, Аноним (-), 12:41, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– | |
Во первых не уверен, что у меня гента сама подхватит эту "сетевуху".
а во вторых - раз есть физический доступ к компу, кто запрещает воткнуться между кабелем и сетевухой? да, у малинки только 1 сетевой порт, но вроде ж были одноплатники с двумя... накрайняк можно и на ардуинке такое запилить - ethernet шилды копеечные, ничего особо делать не нужно - тупо дампить трафик (хоть весь, хоть с простейшим фильтром по порту) на SD карту... думаю, ардуинка справится
| | |
| |
| 2.47, Онофрий (?), 14:26, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Думаю, смысл в том, что такую штуку можно замаскировать под флешку/внешний жёсткий диск.
Хреновина на витой паре подозрительна.
| | |
| |
| 3.50, Khariton (ok), 14:34, 17/11/2016 [^] [^^] [^^^] [ответить]
| +4 +/– |
 > Думаю, смысл в том, что такую штуку можно замаскировать под флешку/внешний жёсткий
> диск.
> Хреновина на витой паре подозрительна.
машина, к которой есть физический доступ для посторонних, не может хранить тайны.
я подошел и вынял винт, подменил машину и т.д.
| | |
| |
| 4.71, Аноним (-), 17:42, 17/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
Никто к тебе не будет подходить — ты сам купишь девайс в соседнем DNS (куда его привезут от первого попавшегося китайского перекупщика, который меньше попросит).
| | |
| |
| 5.76, Crazy Alex (ok), 19:00, 17/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– |
угу, великий заговор производителей флэшек. По факту именно всякая дешёвая дрянь в этом плане наиболее безопасна - там сэкономлено на всём, а масштабы производства таковы, что если приплачивать производителю за то, чтобы ещё что-то напихал - то и Крез разорится.
| | |
| |
| 6.98, Аноним (-), 06:04, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Бизнес по производству физических благ — самый низкоприбыльный. Если уж Microsoft переключился с корпоративного рэкета на торговлю задницей пользователя…
| | |
| 6.134, Аноним (-), 00:08, 20/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> угу, великий заговор производителей флэшек. По факту именно всякая дешёвая дрянь в
> этом плане наиболее безопасна - там сэкономлено на всём,
С другой стороны, недружелюбной фирмвари много то и не надо.
| | |
|
|
|
|
|
| 1.31, Аноним (-), 12:44, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– |
Отсюда вывод -- активные страницы, регулярно подгружающие рекламу -- зло, и подлежат уничтожению. Как, впрочем, и джаваскрипт.
| | |
| 1.32, deadfood (ok), 12:49, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– |
 Тю, это же обычный mitm. Ничего нового, кроме необходимости физического подключения к компу, не изобрели.
| | |
| 1.33, Аноним (-), 12:52, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
а на деактивацию соответственно killall -SIGCONT
| | |
| |
| 2.37, Admino (ok), 13:08, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
> а на деактивацию соответственно killall -SIGCONT
Найдут ещё дырку. Надо делать SIGSTOP на вообще все процессы пользователя.
Только тогда пользователь будет ругаться, что музыка заткнулась, но безопасность превыше всего!
| | |
| |
| 3.53, Аноним (-), 14:47, 17/11/2016 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> Только тогда пользователь будет ругаться, что музыка заткнулась
...и торренты встали.
| | |
| 3.115, Анонимный Алкоголик (??), 21:44, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
>> нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
>> а на деактивацию соответственно killall -SIGCONT
> Найдут ещё дырку. Надо делать SIGSTOP на вообще все процессы пользователя.
> Только тогда пользователь будет ругаться, что музыка заткнулась, но безопасность превыше
> всего!
Вот как раз ругаться на продолжающуюся музыку
| | |
|
| 2.63, ryoken (ok), 15:33, 17/11/2016 [^] [^^] [^^^] [ответить]
| +2 +/– |
 > нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
> а на деактивацию соответственно killall -SIGCONT
Проще. Отполз от компа - логофф.
| | |
|
| 1.39, Khariton (ok), 13:47, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Я вот что-то не совсем понимаю вот этот момент:
"На устройстве запускается подставной DNS-сервер, выдающий фиктивные ответы для запросов имён хостов"
А почему это мой запрос по резолвингу имени должен идти на интерфейс 1.0.0.1/8?
Он же не изменял моего /etc/resolv.conf?
А в целом очень красиво...)))
| | |
| |
| 2.40, 1 (??), 13:55, 17/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– |
Не 1.0.0.1/8, а 1.0.0.1/1, что включает в себя, например, 8.8.8.8
| | |
| 2.44, nikosd (ok), 14:19, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
 он не пойдет к Вашему ресолверу если Вы с ресолвером в одной сети. Но запрос может пойти в MITM если в протоколе DHCP указан другой DNS и система обрабатывает изменения /etc/resolv.conf на лету.
| | |
| |
| 3.48, Khariton (ok), 14:33, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> он не пойдет к Вашему ресолверу если Вы с ресолвером в одной
> сети. Но запрос может пойти в MITM если в протоколе
> DHCP указан другой DNS и система обрабатывает изменения
> /etc/resolv.conf на лету.
ну тут проще. не использовать resolvconf и запретить изменение DNS по DHCP. А лучше дать права 444 /etc/resolv.conf
| | |
|
| |
| 3.46, Khariton (ok), 14:21, 17/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Он тебе его запушил
понятно.
а если запретить на хосте сеть через юсб (например перекомпилить ядро и убрать все модули связанные с этим), то по идее атака сдохнет?
| | |
|
|
| 1.41, Нанобот (ok), 14:00, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 а ещё можно сетевой провод перетыкнуть в такую агрессивную сеть, с тем же эффектом
| | |
| 1.42, Аноним (-), 14:03, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
в виндус 10 днс резолвер обращается к днс серверам ТОЛЬКО согласно метрикам интерфейсов.
расходимся.
| | |
| |
| 2.57, lamer (??), 15:00, 17/11/2016 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> в виндус 10 днс резолвер обращается
В индус 10 вопрос безопасности мало кого интересует
| | |
| 2.61, Аноним (-), 15:16, 17/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– | |
В "виндус 10" была (как сейчас - не знаю) вот такая хрень: https://habrahabr.ru/post/264503/
Поэтому, первое что я делаю на маршрутизаторе:
iptables -t nat -I PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports 53
iptables -t nat -I PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 53
Что принудительно заставляет клиентов слать DNS-запросы маршрутизатору, а не какому-то серверу в интернете.
Заодно это защищает и от малвари на клиентских девайсах, которая подменяет настройки DNS, вписывая туда DNS злоумышленника.
| | |
| |
| |
| 4.80, 11111 (?), 20:10, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Знакомтесь, Big Data - она собирается с миллионов "неуловимых" Джо, для последующего майнинга.
| | |
|
| 3.89, DmA (??), 22:04, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
>[оверквотинг удален]
> https://habrahabr.ru/post/264503/
> Поэтому, первое что я делаю на маршрутизаторе:
> iptables -t nat -I PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports
> 53
> iptables -t nat -I PREROUTING -p udp --dport 53 -j REDIRECT --to-ports
> 53
> Что принудительно заставляет клиентов слать DNS-запросы маршрутизатору, а не какому-то
> серверу в интернете.
> Заодно это защищает и от малвари на клиентских девайсах, которая подменяет настройки
> DNS, вписывая туда DNS злоумышленника.
При установке Google Chrome( сам его не использую) на Винде в дополнительных параметрах брандмауэра во входящих соединениях для файла Chrome.exe появляется включённое правило "Google Chrome (mDNS-In)" для протокола UDP и порта 5353. Пока не очень понимаю зачем гуглу,чтобы кто-то лез на мой компьютер на порт 5353 за днс запросами...
Предполагаю, что сам chrome лезет сам к себе с dns запросами на порт 5353, а вот затем эти запросы редиректятся к какому-то из сервисов гугл, не обязательно по порту 53 доступным, а возможно это другие порты. Скорей всего Гугл хочет, чтобы при использовании Chrome все dns запросы с него шли на сервера Google (например публичный днс гугла 8.8.8.8). Чтобы знать о всех днс запросах пользователях(есть конечно чудаки, которые сами делают подарок гуглу и прописывают в настройках TCP их днс сервер 8.8.8.8)
| | |
| |
| 4.135, Аноним (-), 00:15, 20/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
5353 - это порт mDNS (aka multicast DNS). Механизм публикации и поиска ресурсов в локалке такой. Вредность умеренная. Полезность тоже. Впрочем, если кто пользуется виндой - его такие мелочи вообще колыхать не должны. Зачем тебе прочные рамы для окон, если у тебя в доме дверь отсутствует? :)
| | |
|
|
|
| 1.49, Аноним (-), 14:33, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
Мне нравится, что современные ОС, считают, что "1.0.0.1 с сетевой маской 128.0.0.0" является стандартной практикой при раздаче по DHCP =)
Что он будет делать, этот чел, для IPv6? Замаскирует биллиард адресов? Впрочем, все те же грабли. Кривое, раскривое DHCP, которое давным-давно надо было переизобрести. Поттерингу.
| | |
| |
| 2.65, Andrey Mitrofanov (?), 15:57, 17/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– |
> все те же грабли. Кривое, раскривое DHCP, которое давным-давно надо было
> переизобрести. Поттерингу.
Слыхала я, он уже. avahi. Мож, и обманули меня, конечно.
---Эппле шагает впреди, и Леннарт, та-а-акой маладой, ...
| | |
|
| 1.51, ABATAPA (ok), 14:38, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 Старо. Атаке через FireWire уже несколько лет, причём, всё готово для практического применения.
| | |
| |
| 2.96, User from a Company (?), 03:29, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Атаки через firewire уже N лет как неактуальны, во-первых из-за отмирания fireware, во-вторых из-за появления iommu. Современная ОС отсечёт все поползновения непонятной железки копаться в памяти.
| | |
|
| 1.54, Андрей (??), 14:55, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
А в firefox есть возможность запретить слать куки от HTTPS через HTTP? Т.е. форсировать флаг SECURE?
| | |
| |
| 2.70, Аноним (-), 16:42, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
> А в firefox есть возможность запретить слать куки от HTTPS через HTTP?
> Т.е. форсировать флаг SECURE?
HTTPS everywhere
| | |
| |
| 3.72, Андрей (??), 17:46, 17/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
Так ведь не поможет: этот троянский USB сам подставляет HTTP URL.
| | |
| |
| 4.106, Аноним (-), 13:02, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– | |
> Так ведь не поможет: этот троянский USB сам подставляет HTTP URL.
Так ведь какой вопрос такой ответ :) Если более глобально - man iptables.
| | |
|
|
|
| |
| 2.94, Led (ok), 02:21, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
 > В нормальных ОС порты USB заблокированы по дефолту
... по причине отсутствия драйверов в этих BSD^Wнормальных ОС
| | |
| 2.107, Аноним (-), 13:04, 18/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> В нормальных ОС порты USB заблокированы по дефолту.
...запрещена возможность выхода в интернет, запуска программ, кроме рекомендованных чёрным властелином. И вообще всё..
| | |
|
| |
| |
| 3.90, DmA (??), 22:07, 17/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
> USB firewall
> накорябать не слишком то и сложно, если что.
Да просто настроить правильно Firewall, чтобы только оттуда-то и только на такие порты шли коннекты. Допустим на сетевой карте такой-то ip - вот и нужно разрешить коннекты во вне только с этого ip . В случае поднятия других сетей(bluetooh или USB-LAN) коннекты них не пройдут никуда.
| | |
| |
| 4.99, DmA (??), 08:16, 18/11/2016 [^] [^^] [^^^] [ответить]
| +/– |
А если в этой новой сети у платы будет точно такой же ipшник, что и в Firewall? Сам предложил решение, сам его отверг.Опять предложу - в Firewall должно прописано имя интерфейса, тогда точно даже при совпадении ip-шника в новой сети с основным трафик не пойдёт через новую сеть, даже если попытается.
В Винде нет привязки правил брандмауэра к сетевому интерфейсу . Но можно все новые сети считать "общественными", а для них запретить любые входящие и исходящие исключения(отключить все активные правила), а в правилах по умолчанию для всех пакетов выставить, что всех исходящие и входящие соединения по умолчанию запрещены.В дополнительных параметра брандмауэра это можно сделать. Ну или через netsh.
| | |
| 4.113, Ivan_83 (ok), 15:25, 18/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Ты не понял.
Я бы даже пошёл дальше и написал Device Firewall - те чтобы при подключении новых устройств их можно было блокировать - не выделять ресурсы, запрещать DMA.
Собственно в данном случае оно прикидывается сетью и это фигня.
В другом случае у тебя могут быть случаи гораздо сложнее, когда мышка вдруг станет ещё и клавой и флешкой и вайфле адаптером и тп.
Или вот уже упоминавшаяся атака с чтением памяти через фаерварь.
| | |
| |
| 5.139, 111 (??), 00:53, 21/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
Проблем несколько - сколько будет стоит создание и просто компоненты такого устройства?
Скажем чтобы мог обрабатывать со скоростью USB-2.0 (не говря уже про 3.0), напр.для HDD. Кто это создаст? Для дешевизны нужна ведь массовость... Не положит ли он сам туда backdoor? Не пролезил ли сам в прошику или vhdl компиляцию - с компа разработчика.
Более того, можно сказать что для удешевления и упрощения - будут использованны готовые USB модули в микросхеме, а значит к гадалке не ходи - там уже backdoor для такого случая. Впрочем, и без готового USB модуля - никаких гарантий... Скорей наоборот.
| | |
|
|
|
|
| 1.101, Лютый жабист (ok), 09:57, 18/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
 Про "любую ОС" загнули. В типичном линухе, но не бубунте-максималочке, даже сетевой адрес не появится на интерфейсе.
А у меня в арчике даже сетевуха не взлетит, т.к. я обновил ведро, но ещё не ребутнулся - модули недоступны. 8)))))
| | |
| |
| 2.108, Аноним (-), 13:07, 18/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> не ребутнулся
Сразу видно арчевода.
man modprobe
man dhclient | ifup
> В типичном линухе
Только у тебя. Если нравится каждый раз ручками всё делать - флаг тебе в руки.
| | |
|
| |
| 2.121, lamer (??), 10:44, 19/11/2016 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Надо практику СБЕРа распространять - эбокситку во все разъемы.
Лол. На сколько практика широка?
| | |
|
| 1.137, Нечестивый (ok), 08:17, 20/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 Хорошо, только надо срочно установить Network Manager или хотя бы Systemd, а то коллеги снова начнут говорить что на Линуксе у меня ничего не работает...
| | |
| 1.138, 111 (??), 00:44, 21/11/2016 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Наверняка все эти backdoor - заложенны специально, причём специально не сильно сложно эксплуатируемо: нашедшие хакеры - рады и пользуются, молча, антихакеры тоже рады и тщеславятся что нашли или законструировали, на ура я сделал рабочий тест-руткит - останавливаются, и считают что всё нашли и всё исправимо.
А, создатели USB протокола и оборудования потирают руки - успешно отвлекли внимание все тех от более глубинных backdoor, в очередной раз.
| | |
| |
| 2.141, Аноним (-), 07:04, 21/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– |
Причём тут USB? Это можно было и 20 лет назад через какой-нибудь COM сделать.
| | |
| |
| 3.143, 111 (??), 10:11, 21/11/2016 [^] [^^] [^^^] [ответить]
| –1 +/– | |
В них насколько не было заложенно настолько наглых, настолько публично доступных backdoor, я про приккинулся клавиатурой или мышкой или сетвухой и - готово!
Но чатью верно. Вставил какой-нибудь COM/LPT-брелок или соответсвенно COM-модем
- активировав backdoor ЦПУ и мостов материнки, загрузил с того свою ОСь, тут же [удалённо]скопировал всё что нужно и/или изменил/подложил. Так, я же совсем не про это говорил.
| | |
|
|
|
