CCC Seminar: Personal Firewalls 19.12.04 Video Mitschnitt

#1 vortrag des Chaos Computer Club ulm vom 19.12. zum thema personal-firewalls als videomitschnitt:

http://archive.5nord.org/chaosseminar/200412-pfw/cs-200412-pfw_video.mp4

der mitschnitt läuft 1:30 std.

Anfang: Kurzeinführung OSI, IP, UDP, TCP

ab Minute 6: Was soll eine PF leisten

ab Minute 12: Angriffe von Außen
-Self DoS auf Norton Personal Firewall, IDS ausgetrickst -> DNS down
-Bufferoverflow in ISS Blackice, Witty-Wurm (warum ist eine
vergrößerte Codebasis schlecht)
-Dienste konfigurieren -> www.ntsvcfg.de Dingens.org

ab Minute 13: Angriffe von Innen (ohne SYSTEM/Adminrechte)
-Windowsmessages
-Autobestätigung von Personalfirewallsicherheitsabfragen
-PFW tunneln mit Fernsteuerung des IE (viel höher entwickelt als das
Demo von Volker Birk)
-Privilege Escalation via shatter attack (leider kein P O C)
-NPF soll vertrauliche Information schützen, das Gegenteil ist der
Fall
-"Stealth"
-Fazit: PFW kann ihre Aufgabe nicht erfüllen, erzeugt neue
Sicherheitslöcher, verändert Systemverhalten, bremst das System aus
-PF überfordert Nutzer

Ab Minute 70:
Q&A

oder hier auch als MP3
http://archive.5nord.org/chaosseminar/200412-pfw/

Greetz Lp

#2 Nochmal zum Verständnis: Wenn ein Programm ein createProcess macht würde eine neuere PFW fragen ob das Programm x, Programm y starten darf? Und was die machen ist mittels Start/Ausführen "iexplore" dieses Konzept zu umgehen? Das find ich einfach herrlich Das Proof of Concept dafür als Code würde mich interessieren.
__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#3 Jo, dieser Demo-Trojaner ist schon ziemlich nett... zumal die Simulation der User-Eingaben über "Ausführen" usw. mit Hilfe die Windows-Messages ja nichtmal der Kern des Tools ist, sondern quasi nur ein "Bonus".

Die Art und Weise, wie die Remote-Kommandos über die URL-Zeile des Browsers kodiert übermittelt werden ist afaik auch neu - auch wenn es "nur" die konsequente Fort- bzw. Umsetzung einer bereits älteren Idee ist... (TooLeaky & Co).

Quellcode gibt's übrigens hier:
http://copton.net/vortraege/pfw/index.html
__________
"Scheinsicherheit" - wie leicht lassen sich Viren- und Trojanerscanner austricksen?