Suche Team

[Dresko]

Ich finds traurig dass ich hier nur missverstanden und als unwissend abgestempelt werde. Ich suche nach Leuten die mit mir zusammen eine Leidenschaft teilen. Ich habe nicht vor mich zu bereichern und möchte kein Schaden anrichten. Trotzdem wird hier auf mir rumgehackt.

Ich kann die Argumentation von Bitmuncher und den anderen hier im Thread komplett nachvollziehen.

Du bedenkst in deinem jugendlichen Leichtsinn (das ist nicht abwertend gemeint) nicht, dass dein Übereifer auch Schaden anrichten kann, selbst wenn du das nicht willst oder planst. Doch entweder denkst du nicht daran oder solche Kollateralschäden sind dir schlicht egal. Und aus beiden Gründen gehört dir einfach nur "der Kopf gewaschen".

Ich arbeite bei einem Infrastruktur Anbieter im RZ und hab daher aus beruflicher Sicht mit dem ganzen Krempel, der dich interessiert, zu tun. Seien es Checkpoint Firewalls, Tippingpoint IPS, Cisco ASA, Linuxcluster, VMWare Clouds, usw. usf.
Bei solch komplexen Umgebung und großen Firmen mit weit verzweigten Organisationsstrukturen läuft eh immer etwas so wie es nicht soll. Wenn nun noch übermütige "Penetrationtester" die Infrastruktur abklopfen, bedeutet das u.U. mehr Arbeit für uns oder es geht auch mal was zu Bruch. Das muss man dann Kunden mit sehr strikten SLA erklären, wieso gerade sie angegriffen werden und warum unsere "tollen" Sicherheitsmechanismen nicht greifen. Und leider sitzen am anderen Ende der Leitung selten deren Techniker, die so etwas noch verstehen würden.
Versteh mich nicht falsch. Gefühlte 99,5% aller Angriffe werden automatisch weggefiltert und tauchen danach höchstens in irgendwelchen Reports auf. Doch bei genügend Aufwand und entsprechendem technischen Verständnis wird halt auch ein mehrstufiges Sicherheitskonzept pervertiert und Sicherheits-Hardware für einen 6-stelligen Betrag lächerlich gemacht. Und das schafft u.U. sogar ein Einzelner, da bei jeder Firma einfach irgendwo finanzielle/personelle Grenzen gesetzt sind.

Und wenn nun nur gehackt wird, weil ein paar Leute sich mal austoben wollten, dann find ich das einfach unnötig. Es macht mir mehr Arbeit und schadet unserer Firma und das obwohl wir großen Wert auf IT-Sicherheit legen.

Ok, ich will kein Spielverderber sein. Es gibt auch coole Hacks und in meinen Augen auch notwendige Hacks, aber du machst mir aktuell nicht den Eindruck als ob du sicher weißt, wann es die richtige Zeit für das eine oder das andere ist.

 

[bitmuncher]

Ich kann aber durchaus auch nachvollziehen, warum man sich auch mal "in the wild" ausprobieren will. Nur wenn man sich mit den Sicherheitssystemen, die andere aufgebaut haben, misst, sieht man wie weit die eigene Entwicklung in dieser Hinsicht ist. Von den Grenzen, an die man hardwaretechnisch zwangsläufig stösst, mal ganz abgesehen. Ich schrieb dazu bereits 2008 mal was in meinem alten Blog: Ethical Hacking, oder wie moralisch kann Hacken sein? - Bitmunchers Life Ich hab meine Einstellung diesbezüglich noch immer nicht geändert, trotz dem (oder vielleicht gerade weil) ich Sysadmin bin. Für diverse Software, die wir einsetzen, könnte ich mir privat nichtmal die Lizenzen leisten, von der Hardware gar nicht zu reden. Viel Software ist auch hausintern entwickelt und gibt's nirgendwo öffentlich zugänglich. Unsere Caching-Infrastruktur könnte ich mit eigenen Mitteln kaum nachbauen. Sie ist aber essentielle Bestandteil unserer Sicherheitsarchitektur. Als Admin sehe ich also was ausserhalb eines privaten Netzwerks noch alles möglich ist.

Allerdings denke ich auch, dass man schon ziemlich viel Erfahrung gesammelt hat bis man an den Punkt kommt, wo man nichts mehr im heimischen Netzwerk lernen kann. Mit einem solchen "Grundwissen" kann man dann auch durchaus unentdeckt andere Systeme erforschen, weil man z.B. lernt wie man aus Programm-Namen Rückschlüsse auf ihre Funktion ziehen kann und 'rm -rf' nicht mehr als 'read mail really fast' interpretiert. Weil man lernt was es bei der Anonymisierung alles zu beachten gibt. Weil man lernt wie man "nur schaut" und an welcher Stelle man etwas verändert. Weil man lernt wie man Protokolle so verwenden kann, dass man auch am IDS Daten vorbeischummeln kann. Und so weiter und so fort. Es gibt so vieles, wofür man erstmal keine fremden Server angreifen muss, was man aber als Grundwissen benötigt, wenn man unerkannt und ohne Schaden in Systeme eindringen will. Bis man dieses Wissen hat, vergehen ein paar Jahre intensiven Lernens mit vielen schlaflosen Nächten, übermüdeten Tagen und einigen Kilo Koffein.

1337geek, ich glaube du hast da noch einiges vor dir. Und ich denke, dass dir die Leute hier beim Lernen gern zur Seite stehen falls du mal Fragen hast, die dir Google nicht beantworten kann.

 

[+++ATH0]

Gründe doch eine Firma mit einem Red Team, das Penetration Tests anbietet.
Vorteil: Legales Hacken von echten Strukturen!

 

[bitmuncher]

Gründe doch eine Firma mit einem Red Team, das Penetration Tests anbietet.
Vorteil: Legales Hacken von echten Strukturen!

Nein danke. Bin aktuell in meinem Job ganz zufrieden. Eine Firmengründung bedingt etwas mehr als nur technische Skills und meine sozialen Skills lassen sehr zu wünschen übrig.

 

[1337geek]

Ich verstehe euch (insbesondere dich Dresko) sehr gut. Natürlich ist das unnötig, allerdings wird es immer Leute geben die aus verschiedensten Gründen versuchen in die Infrastruktur anderer einzudringen und da sollten sich Admins glücklich schätzen dass es jemand zum Spaß und nicht mit einem Motiv (Datenklau, etc.) macht. Die meisten Zwischenfälle werden auch schön vertuscht, sollten allerdings Daten missbraucht oder gestohlen werden gibt es keinen Ausweg.

Abgesehen davon ist mir ein RZ noch eine Nummer zu hoch. Die Sachen die ich bisher gestartet habe hatten keinen Einfluss auf den laufenden Betrieb.

Und dieses austoben in the wild ist deshalb so attracktiv, weil man so vieles im Lab getestet und somit nur die Theorie kennt. Die Realität ist meist anders! Zudem lerne ich eine Menge dazu, wenn ich Beispielsweise auf Systemen bin und Konfigurationen vorfinde die ich nicht bis dahin nicht verstanden habe.

 

[chr0n0s]

Und dieses austoben in the wild ist deshalb so attracktiv, weil man so vieles im Lab getestet und somit nur die Theorie kennt. Die Realität ist meist anders! Zudem lerne ich eine Menge dazu, wenn ich Beispielsweise auf Systemen bin und Konfigurationen vorfinde die ich nicht bis dahin nicht verstanden habe.

Wo ist denn da der Sinn?

Ich finde bei meinen Systemen manchmal auch Konfigurationen vor, die ich nicht verstehe

Wissen kann man sich ebenfalls aneignen mit Büchern, Communitys etc., dafür braucht man nicht in irgendwelche fremden Systeme einzudringen - "nur so zum Spass".

Aber das ist wohl dann der Punkt, man findet Config's die man nicht versteht und fummelt dran rum - Peng - Fremdsystem kaputt.

 

[bitmuncher]

Und dieses austoben in the wild ist deshalb so attracktiv, weil man so vieles im Lab getestet und somit nur die Theorie kennt. Die Realität ist meist anders! Zudem lerne ich eine Menge dazu, wenn ich Beispielsweise auf Systemen bin und Konfigurationen vorfinde die ich nicht bis dahin nicht verstanden habe.

Weisst du wie man einen LKM-Trojaner baut und hast dies bereits getan? Hast du bereits ein Tool gebaut mit dem du dir eigene Netzwerk-Pakete generieren kannst, die z.B. manipulierte Protokoll-Header haben? Welche Exploits hast du bereits entwickelt? Hast du jemals einen Webserver mit Loadbalancing eingerichtet? Hast du bereits eine Datenbank-Replikation aufgebaut und versucht diese mittels Angriff zu blockieren? Schonmal versucht an einem Snort-IDS Daten vorbeizuschummeln?

Nein?

Dann hast du auch keinen Grund irgendwas in the wild auszuprobieren. Es gibt dann nämlich noch jede Menge Zeug, das du an deinem eigenen Rechner machen kannst. Dieser Thread dürfte bereits mehr als deutlich gezeigt haben, dass du noch jede Menge Wissenslücken hast, bevor du dich überhaupt trauen solltest irgendwelche kommerziell genutzten Systeme auch nur schief anzuschauen.

 

[SchwarzeBeere]

da sollten sich Admins glücklich schätzen dass es jemand zum Spaß und nicht mit einem Motiv (Datenklau, etc.) macht.

Wenn es hart auf hart kommt, hat es jeder aus Spaß ohne ganz ohne Hintergedanken gemacht. Du wärst nicht der erste, der der Polizei das erzählt und nicht der letzte, der trotzdem bestraft wird, weil das, was du machst, nunmal gegen die Strafgesetzbuch vorhandenen Paragraphen verstößt - völlig unabhängig davon, was dein Motiv ist. Dein Motiv spielt überhaupt keine Rolle, Fakt ist, dass du eine Straftat begehst. Wenn du Daten lesen kannst, dann hast du sie gelesen und es wird schwer für dich, das Gegenteil zu beweisen. Und wenn du Daten veränderst, dann wirds eh schwer für dich, da wieder rauszukommen.

Abgesehen davon ist mir ein RZ noch eine Nummer zu hoch. Die Sachen die ich bisher gestartet habe hatten keinen Einfluss auf den laufenden Betrieb.

Du konntest lange Zeit mit einem einfach modizierten ICMP Paket ganze Server abstürzen lassen. Heutzutage gibt es immernoch genügend Legacy- und SCADA-Systeme, die aus dem Internet erreichbar sind, und die ganz empfindlich auf Latenzschwankungen reagieren, z.B. aufgrund eines einfachen Portscans. Wenn du Pech hast schiesst du mit einem Portscan mehrere Robotersysteme hinter einem Webserver ab und checkst es nichtmal, weil du einfach keine Rückmeldungen bekommst. Du würdest aktuell wahrscheinlich nicht einmal merken, dass du in einer Produktionsumgebung bist.

Ich stimme dir in einem Punkt völlig zu: Manche Dinge kann man nicht im Lab testen, weil sowohl Hardware, als auch Software, als auch der innere Verbund der Systeme nicht auf bezahlbare Art und Weise abbildbar ist. Dann gibt es immer noch den Ausweg sich Theoriewissen über Bücher, über Artikel und Co. anzueignen oder sich gebrauchte Systeme zu kaufen - oder ein Praktikum in diesem Bereich zu machen oder komplett darin zu arbeiten bzw. zu studieren. Du glaubst garnicht, wie viele Unternehmen Praktikanten wie dich suchen, die Spaß daran haben, auch für Privatleute schwer beschaffbare Dinge auf kontrollierte Art und Weise kaputt zu machen und dich dabei auch tatkräftig dabei als Mentoren zu unterstützen. Dazu muss man nicht in illegale (nein, du bist kein Grey Hat, du bist ein Black Hat, wenn es das verständlicher macht!) Bereiche vorpreschen und durch Unwissen Zerstörung anrichten.

 

[JoelK]

Ich muss sagen, ich habe sehr wenige solcher Beiträge, auch in anderen Foren, gelesen in der so Fair miteinander kommuniziert wird.

Das beweist mir wiedermal das ich das richtige Board ausgesucht habe, auch wenn ich noch am Anfang stehe ;-)

Nochmals Respekt an das HaBo und ich werde euch definitiv treu bleiben ;-)

Gruss

 

[1337geek]

Meeensch ihr findet auch immer wieder neue Gründe.

Ich habe es verstanden, ihr seid alles andere als begeistert von meiner Einstellung.

Es gibt für beide Seiten genügend pro und contras.

Aber ich muss mein Senf zu einigen Kommentaren unbedingt noch loslassen

@ch0n0s: Ich bastele nicht an Konfigs die ich nicht verstehe und teste vieles vorher im Lab weil ich versuche möglichst unauffällig zu bleiben. Und ja man kann sich bis zum totalen Bufferoverflow im Hirn belesen und Labs durchspielen. Man könnte wohl sein Lebenlang lernen ohne jemals ein Device angefasst zu haben.


Es gibt wohl viele Begründungen sich fremde Live-Systeme anzuschauen und keine würde es rechtfertigen, dabei sollten wir es belassen. Ich muss eure Meinungen dazu respektieren, werde aber meine eigenen Erfahrungen machen müssen.

@Schwarzbeere: Wenn es tatsächlich noch Systeme gibt die gegen den "Ping of Death" reagieren oder ähnliche Lücken aufweisen, verstehe ich nicht warum diese dann immernoch Online sind. Wer so instabile Systeme am Leben erhält der hat auch ohne mein zutun schon genug Probleme. Jeder Crawler könnte das System zum Absturz bringen wenn die Situation ungünstig ist. Und was Praktika betrifft ... ich habe einen festen Job und sehe auch sehr viel, leider bekomme ich noch nicht die Aufgaben die mich auslasten und mein Know How fordern. Ich lerne viel im Lab für mich alleine und belese mich permanent. Ich hänge mich in ein Thema rein wenn ich davon noch nicht gehört habe. Manchmal brauche ich auch etwas Abwechslung. (und ja ich weiß, dass berechtigt mich immernoch nicht!)

@bitmuncher: Wenn du mir sagst für was LKM steht kann ich dir das evtl. beantworten. Ich habe mir ncat für Windows Automatisiert um eine Backdoor zu schaffen, ich habe sehr wohl Programme geschrieben die ein manipuliertes Datenpaket rausschickt (einmal als Skript mit Hexedit und einmal mit Java) ... ich habe HSRP-Pakete damit manipuliert, Vlan-Hopping getestet und Trunks erzwungen. Einen Loadbalancer von f5 habe ich auch schon bedient, hatte mich allerdings eher weniger interessiert. (btw: man kann für einfache Web-Server auch mit NAT Loadbalancen), das mit der Datenbank ist etwas zu speziell, ich finde aber bestimmt etwas vergleichbares. Was Snort betrifft habe ich ziemlich zu knabbern gehabt das System aufzusetzen.

Wie ich schon sagte: Man kann so viel machen. Und ich mache auch viel, allerdings schaut man auch gerne mal über den Tellerrand des Labs hinaus ...

Wissenslücken haben wir alle mehr als genug! Leider kann man nicht alles lernen.

Ich kann nicht nachvollziehen wie man nur so vernünftig sein kann. Ich finde immer wieder Sachen auf die man in den seltensten Fällen im Lab trifft. Zum Beispiel heftige BGP-Konfigurationen oder auch Beispiele wie man ein Netz nicht designen sollte ...
(eine Broadcastdomäne, in dieser mind. 4 Netze und knapp 400 User ... Die Aggregation-Switche mit gigabit-Lan an den Core mit FastEthernet angebunden ... und auf den Aggregation-Switch Uplinks eine Last von 60 - 90% ...)

Da repariere ich mehr als ich kaputt machen kann!


Und ja ich möchte mich bedanken, dass man trotz der Meinungsverschiedenheiten noch so vernünftig miteinander schreiben kann! Dafür verdient ihr auf jedenfall auch mein Respekt.

 

[bitmuncher]

@bitmuncher: Wenn du mir sagst für was LKM steht kann ich dir das evtl. beantworten. Ich habe mir ncat für Windows Automatisiert um eine Backdoor zu schaffen,

Nur wirst du ncat auf den meisten Windows-Systemen nicht antreffen, auf Servern schon gar nicht. Ist also zwar interessantes und notwendiges Basis-Wissen, bringt dich in the wild aber nicht weiter.

ich habe sehr wohl Programme geschrieben die ein manipuliertes Datenpaket rausschickt (einmal als Skript mit Hexedit und einmal mit Java) ... ich habe HSRP-Pakete damit manipuliert, Vlan-Hopping getestet und Trunks erzwungen. Einen Loadbalancer von f5 habe ich auch schon bedient, hatte mich allerdings eher weniger interessiert.

Na das ist ja immerhin ein Anfang.

(btw: man kann für einfache Web-Server auch mit NAT Loadbalancen),

..und via DNS oder Caching-Layer oder Webserver-Modul oder Proxy-Software oder ... Aber ich sprach auch von Webserver mit Loadbalancing einrichten. Ist nämlich das üblichste Setup bei Web-Plattformen und man sollte verstehen welche Möglichkeiten es dort gibt, wenn man nichts kaputt machen will.

das mit der Datenbank ist etwas zu speziell, ich finde aber bestimmt etwas vergleichbares.

Nein, das ist keineswegs speziell. Ein Grossteil der Plattformen im WWW arbeiten mit replizierten Datenbanken. Auch hier gilt wieder: Man sollte verstehen wie so etwas funktioniert bevor man sich daran vergreift.

Was Snort betrifft habe ich ziemlich zu knabbern gehabt das System aufzusetzen.

Ist aber eine gute und kostenlose Möglichkeit sich mit den Möglichkeiten eines IDS auseinanderzusetzen.
Ausserdem ist es hilfreich um Rückangriffe von IPS oder Sysadmins, mit denen du dich anlegst, zu erkennen. Also auch eher ein Muss für einen Hacker.

Wie ich schon sagte: Man kann so viel machen. Und ich mache auch viel, allerdings schaut man auch gerne mal über den Tellerrand des Labs hinaus ...

Du solltest erstmal dein Lab ausreizen bevor du dir Sorgen um Dinge da draussen machst. Viele Admins beschreiben ihre Setups in Anleitungen. Diese kann man also problemlos nachbauen. Bei Seminaren von Amazon, Google & Co erfährt man durchaus auch was für Technologien die einsetzen und die meisten davon lassen sich problemlos funktionsidentisch, wenn auch im kleineren Maßstab, mittels virtuellen Maschinen abbilden, an denen man sich dann ausprobieren kann.

Wissenslücken haben wir alle mehr als genug! Leider kann man nicht alles lernen.

Man sollte aber erstmal das lernen, wozu man die Möglichkeit hat, bevor man aufgrund von Wissenlücken das Risiko eingeht die Arbeit anderer zu (zer)stören und sich selbst in den Knast zu bringen. Schon Hausdurchsuchungen, bei denen die ganze Technik beschlagnahmt wird, sind unangenehm genug.

Ich kann nicht nachvollziehen wie man nur so vernünftig sein kann. Ich finde immer wieder Sachen auf die man in den seltensten Fällen im Lab trifft. Zum Beispiel heftige BGP-Konfigurationen oder auch Beispiele wie man ein Netz nicht designen sollte ...

Es geht einfach darum, dass du strafbare Handlungen begehen willst. Das mag 1000 Mal gut gehen, aber die Erfahrung zeigt, dass die Anzahl der Versuche bis zum erwischt werden begrenzt ist. Einige hier haben damit bereits ausreichend Erfahrung gesammelt. Es geht also darum, dass du mit deinem Halbwissen ein enormes Risiko für dich selbst eingehst und dass die meisten Leute hier im Board der Meinung sind, dass sowas unnötig ist, weil es andere Möglichkeiten gibt. Einige davon wurden dir bereits genannt.

Wie auch immer: Solange man sich hier an die Forenregeln hält und auf Anfragen zu illegalen Aktivitäten verzichtet, ist alles im grünen Bereich. Das heisst nicht, dass man hier nicht Technologien besprechen kann, die theoretisch auch für illegale Zwecke genutzt werden können, aber wir legen Wert auf den Erhalt dieses Forums und wollen daher mit solchen Zwecken nichts zu tun haben. Dieses Forum ist in Deutschland gehostet und unterliegt damit der deutschen Gesetzgebung. Dies bedeutet auch, dass Behörden die Möglichkeit haben Daten vom Betreiber anzufordern usw.. Dessen sollte man sich immer bewusst sein.

 

[SchwarzeBeere]

@Schwarzbeere: Wenn es tatsächlich noch Systeme gibt die gegen den "Ping of Death" reagieren oder ähnliche Lücken aufweisen, verstehe ich nicht warum diese dann immernoch Online sind.

Das kann anfangen mit der einfachen Tatsache, dass der Hersteller der Systeme pleite ist, und damit enden, dass ein Update der Systeme zu kostspielig wäre (Kosten für den Ausfall, für das Update, für die Schulung und den Rattenschwanz an Problemen in der Zeit nach dem Update). Weiterhin ist es oft so, dass Produktions-IT nicht das Wissen über Sicherheit haben, welches sie haben sollten, weil es einfach zur Zeit der Implementierung der Systeme viele Bedrohungen noch nicht gab. Sicherheit in der Produktions-IT ist ein großes Thema, welches in Zukunft noch viel Aufmerksamkeit bekommen wird, gerade wegen solch trivialen Problemen.
Auch leben viele Menschen immer noch nach dem Motto "Never change a running system". Zur einfachen Verwaltung sind diese Systeme dann zusätzlich noch online erreichbar, meist über spezielle Techniker- oder Administrationsaccounts, oft sogar ohne VPN. Das hat auch wieder seinen Hintergrund darin, dass die IT-Sicherheit großer Unternehmen zwar in den Büro-Netzwerken und in Serverfarmen ihre Finger spiel hat, nicht jedoch in der Produktion und den Systemen, die nicht der Standard-IT folgen.

Wer so instabile Systeme am Leben erhält der hat auch ohne mein zutun schon genug Probleme.

Das ist eine völlig realitätsferne und vor allem arrogante Einstellung. Viele Probleme haben einen Existenzgrund und sind bekannt, können aber aus vielerlei Gründen nicht behoben werden. Die Risiken waren dazu zum Zeitpunkt der Implementation schlichtweg nicht vorhanden, weswegen viele dieser Systeme auf Funktionalität und nicht auf Sicherheit getrimmt wurden. Die Lage hat sich geändert, die Software und Hardware dahinter leider nicht. Nun kannst du aber die Systeme nicht einfach abschalten - immerhin hängen mehrere 1000 Arbeitsplätze und mit ihnen ganze Unternehmen vom reibungslosen Betrieb solcher Strukturen ab. Damit hast du auf der einen Seite Recht, wenn du sagst, dass der Betrieb fahrlässig gefährdet wird. Die Lösung dieser Probleme ist allerdings weitaus schwieriger, wie du sie dir vorstellst.

Wenn du mir sagst für was LKM steht kann ich dir das evtl. beantworten.

Loadable Kernel Modules.

Ich habe mir ncat für Windows Automatisiert um eine Backdoor zu schaffen

(Rechner1) $ ncat -l 12345
(Rechner2) $ ncat Rechner1 12345 -e "Befehle"

Ein bisschen Bash-Skripting und das Ding funktioniert auch weitgehend automatisiert.

ich habe sehr wohl Programme geschrieben die ein manipuliertes Datenpaket rausschickt

Scapy
Hping - Active Network Security Tool

ich habe HSRP-Pakete damit manipuliert, Vlan-Hopping getestet und Trunks erzwungen. Einen Loadbalancer von f5 habe ich auch schon bedient, hatte mich allerdings eher weniger interessiert.

Alles im Standard definierte Prozeduren, oder? Ist jetzt nichts, was man als Admin nicht schonmal gehört hat.

das mit der Datenbank ist etwas zu speziell, ich finde aber bestimmt etwas vergleichbares.

Datenbankreplikation (und die damit verbundene Konzeption von Business Continuity und Betrachtung von Risiken diesbezüglich) über mehrere Standorte weltweit hinweg sollte eigentlich Pflicht in jedem Unternehmen sein. Beispielsweise nutzen die meisten mir bekannten Systeme im Bereich Access Management Datenbanken zur Speicherung von Passwörtern und Credentials. Fällt ein solches System, beispielsweise ein Privilege Account Management System, aus, ist mal eben der administrative Zugriff auf eine Vielzahl an Servern nicht mehr möglich. Das ist Software, die zu 100% funktionieren muss. Daher ist Datenbankreplikation und Clusterbildung essentiell, auch wenn sie auf den ersten Blick unsichtbar ist.

Ich kann nicht nachvollziehen wie man nur so vernünftig sein kann.

Wenn du ernsthaft mit großen Unternehmen und Behörden zusammen arbeitest, merkst du schnell, dass es für alles einen Grund gibt und die Lösung meist nicht so trivial ist, wie du sie dir vorstellst (und dass es viele Personen gibt, die mehr von deiner Arbeit verstehen, als du selbst ) Es gibt immer, immer, IMMER "room for improvement", das ist nicht der springende Punkt. Du musst aber jedes Mal bedenken, dass eine Lösung auch andere Auswirkungen (Konfiguration weiterer Software, Ausfälle beim Zeitpunkt der Umstellung, ..) besitzen kann, als nur eine Sicherheitslücke zu schliessen. Und hier fängt es dann auch an, richtig interessant zu werden, denn erst jetzt betrachtest du das System als Ganzes, und nicht nur einen oft winzig kleinen Teilaspekt davon.

 

[1337geek]

@bitmuncher: Ncat findet man nicht auf Windows-Systemen aber man kann sie nachladen. Beispielsweise mit phishing ... dazu kann man ein Batch-Skript in eine Exe-Datei umwandeln und in diese Exe-Datei ncat einpacken. Beim auführen wird dann ncat.exe entpackt, in den Autostart gelegt, und ausgeführt ... also doch tauglich für die Wildnis ... allerdings habe ich mich damit nicht weiter beschäftigt, dass es läuft reichte mir dann aus!

Gut gut ich weiß du hast da mehr Hintergrundwissen . Aber mal ehrlich, wusstest du das Nat loadbalancen kann?

Das mit den Datenbanken ist für mich in sofern zu speziell, weil ich mit solchen Systemen nie etwas zu tun hatte und auch in Zukunft vermutlich nichts zu tun haben werde. Und wenn, dann kann ich mich damit immernoch beschäftigen.

Snort hört sich schon sehr attracktiv an, zumal mir das mit den Gegenangriffen ganz neue Visionen eröffnet.


@SchwarzBeere:
Das mit den Industrieanlagen ist ein Thema für sich. Ich möchte mir darüber auch kein Urteil bilden. Ich hatte auch nie behauptet dass ich mich auf solchen Systemen rumtreibe!


Scapy und Hping haben mich nicht interessiert, ich fand es interessanter mit den Hex-Schnipseln aus Wireshark zu spielen und das hat auch ziemlich gut geschult ... zumal du mit fertigen Programmen nicht mehr weiter kommst wenn du das in Java implementieren möchtest um Platformunabhängig zu sein. Dazu kommt ja dass ich das Programm auf ein bestimmtes Netz zugeschnitten habe. Aber keine Sorge ich habe damit ganz sicher keinen Schaden angerichtet! Im Gegenteil ich habe das als Beweis für bestehende Lücken verwendet um diese dann schließen zu lassen.

Ich weiß dass es immer Möglichkeiten gibt sich zu verbessern ... ich würde mich auch nie als "bester" in irgendetwas bezeichnen ... ich versuche mich nur möglichst gut zu entwickeln ... je komplexer desto besser!

Um nochmal auf den Grund zu kommen weshalb ich gerne im Team arbeiten würde: Diese Lückenswissen die ihr mir vorzeigt sind mir kein Geheimnis! Grade aus diesem Grund, weil ich nicht alles weiß und niemals wissen kann, braucht man Leute die einen ergänzen damit ein System nicht gegen die Wand gefahren wird und um Erfolg zu haben.

 

[bitmuncher]

Aber mal ehrlich, wusstest du das Nat loadbalancen kann?

Ja. Loadbalancing mittels NAT wurde bereits vor >10 Jahren im Linux NAT Howto beschrieben, das damals quasi das Standard-Werk für NAT unter Linux war.

Ja, ich weiss... ich bin alt.

 

[SchwarzeBeere]

@bitmuncher: Ncat findet man nicht auf Windows-Systemen aber man kann sie nachladen. Beispielsweise mit phishing ... dazu kann man ein Batch-Skript in eine Exe-Datei umwandeln und in diese Exe-Datei ncat einpacken. Beim auführen wird dann ncat.exe entpackt, in den Autostart gelegt, und ausgeführt ... also doch tauglich für die Wildnis

Jedes HIDS hätte dich jetzt bereits ertappt. Jedes NIDS hätte dich im nächsten Schritt ertappt - wenn du überhaupt durch die Firewall kommst. Selbst die Windows-Firewall könnte man hier problemlos gegen dich einsetzen.

Das mit den Industrieanlagen ist ein Thema für sich. Ich möchte mir darüber auch kein Urteil bilden. Ich hatte auch nie behauptet dass ich mich auf solchen Systemen rumtreibe!

Ok, ich zitiere:
"Ich weiß sehr gut was Informations- und IT-Sicherheit bedeutet."
"Ich möchte diese Macht haben in nahezu alle Systeme einzudringen wenn ich es nur möchte."
"Es ist viel mehr das "besser" sein als der andere und die Verantwortung die man an sich reißen kann. Hierbei geht es um technische Expertise."

Daraus ergeben sich einfache Ableitungen:
1) Du weisst nicht, was IT-Sicherheit bedeutet, wenn du nur einen Ausschnitt davon kennst.
2) Du willst in nahezu alle Systeme "eindringen", kennst aber nichtmal einen Bruchteil der online-verfügbaren Systeme, geschweige denn der Netzwerke, die nicht am Internet hängen.
3) Technische Expertise ist etwas, dass du nicht erlangst, wenn du kategorisch Bereiche ausschliesst und dich auf etwas konzentrierst, das jeder lernen kann - und inzwischen auch von den meisten bis zu einem gewissen Grad beherrscht wird.

Scapy und Hping haben mich nicht interessiert, ich fand es interessanter mit den Hex-Schnipseln aus Wireshark zu spielen und das hat auch ziemlich gut geschult ... zumal du mit fertigen Programmen nicht mehr weiter kommst wenn du das in Java implementieren möchtest um Platformunabhängig zu sein.

Aha. Du installierst also Java auf der gehackten Maschine, damit du deine Programme ausführen kannst. Und wenn es bereits installiert ist, nutzt du natürlich die vorhandene Java-VM und erwartest gleichzeitig nicht entdeckt zu werden. Ist klar

Um nochmal auf den Grund zu kommen weshalb ich gerne im Team arbeiten würde: Diese Lückenswissen die ihr mir vorzeigt sind mir kein Geheimnis! Grade aus diesem Grund, weil ich nicht alles weiß und niemals wissen kann, braucht man Leute die einen ergänzen damit ein System nicht gegen die Wand gefahren wird und um Erfolg zu haben.

Das schaffst du aber nicht in einem Team, sondern nur durch jahrelange Arbeit, z.B. auch im Rahmen einer Community, in dem du dich z.B. mit den Problemen von anderen beschäftigst und nicht nur auf deinen eigenen Fame aus bist. Das schaffst du, in dem du mit vielen Personen über interessante Themen redest und dich austauscht, Wissen nicht einfach so annimmst, sondern auch mal hinterfragst.

 

[1337geek]

Die Ncat-Geschichten sind Spielereien gewesen und sollten keinen vollwertigen Trojaner ersetzen. Abgesehen davon sehe ich kein Problem darin, warum ich nicht durch eine Firewall kommen sollte?! Ncat kann eine Reverse-Connection aufbauen, das war die erste Anforderung um durch die Nat zu kommen. Und die NIDS müsste dementsprechend eingerichtet sein und ließe sich dank der flexibilität von Ncat genauso gut überlisten. Ich bin da nicht ganz im Bilde und lasse mich auch gerne eines besseren belehren, aber würde es nicht reichen wenn man z.B. die tcp-Pakete wie ein HTTP-Paket gestaltet und den Datenverkehr einfach wie eine HTTP-Session aussehen lässt? Sich im Datenverkehr unsichtbar zu machen ist nach meinem aktuellen Wissensstand (welcher nicht unbedingt richtig sein muss) keine Herrausforderung!

Was deine Ableitungen betrifft ... ich weiß mich denke ich nicht richtig auszudrücken ...

Was verstehst du denn unter IT-Sicherheit und was denkst du habe ich daran nicht verstanden?

In alle Systeme eindringen zu können ist denke ich auch unmöglich weil man die Masse an Technologien nicht einmal überblicken kann ... (leider)

Und von welchen Sachen sprichst du da wenn es um Sachen geht die jeder erlernen kann? Natürlich kann sie jeder erlernen und ja die meisten wissen auch über viele Themen Bescheid weil es einfach Grundlagen sind. Und welche Bereiche schließe ich denn kategorisch aus?

Was die Java-Sache betrifft: Ich hatte nie vor das Programm auf gehackten Systemen zum laufen zu bringen, ich wollte damit nur bezwecken, dass ich nicht jedes mal eine VM installieren und hochfahren muss um die manipulierten Pakete rauszuschicken.

Mit Jahrelanger Erfahrung wird man das aber auch nicht schaffen!
Was ich von einem idealen Team erwarten würde wäre: Dass es einen Programmierer gibt der so tief in seiner Materie steck,dass er in der Lage ist Reverse Engineering zu betreiben und Exploits zu entwickeln, dass ein Linux, Mac und Windows-Experte gibt der ein breiteres Wissen rund um Applikationen (SQL,DNS,Webserver) hat und jemand der sich mit Webapplikations auskennt. Dann noch jemand der sich mit dem Netz allgemein auskennt und auch im Bereich IPS fit ist. ... ich habe mit Sicherheit noch einiges vergessen was man an Know How benötigt ... und das kannst du alles nicht in 100 Jahren Berufserfahrung erlernen.

 

[bitmuncher]

und das kannst du alles nicht in 100 Jahren Berufserfahrung erlernen.

Was zu beweisen wäre. Ich kenne jedenfalls Leute, die das Gegenteil bereits bewiesen haben.

 

[SchwarzeBeere]

Die Ncat-Geschichten sind Spielereien gewesen und sollten keinen vollwertigen Trojaner ersetzen. Abgesehen davon sehe ich kein Problem darin, warum ich nicht durch eine Firewall kommen sollte?! Ncat kann eine Reverse-Connection aufbauen, das war die erste Anforderung um durch die Nat zu kommen. Und die NIDS müsste dementsprechend eingerichtet sein und ließe sich dank der flexibilität von Ncat genauso gut überlisten. Ich bin da nicht ganz im Bilde und lasse mich auch gerne eines besseren belehren, aber würde es nicht reichen wenn man z.B. die tcp-Pakete wie ein HTTP-Paket gestaltet und den Datenverkehr einfach wie eine HTTP-Session aussehen lässt?

Jap, du versteckst deine Daten in einer Plaintext-HTTP-Session. Das wird reichen. *scnr*

Die Spielchen mit "ich verstecke meine Daten einfach in den nicht genutzten Flags eines TCP-Pakets" sind zwar ganz nett, aber inzwischen schreiben wir das Jahr 2013 und fast alle großen, kommerziellen Produkte können das von Haus aus. Du kannst aber weiterhin gerne den Rechner meines Opas mit ncat angreifen, wenn dir das Spaß macht.

Sich im Datenverkehr unsichtbar zu machen ist nach meinem aktuellen Wissensstand (welcher nicht unbedingt richtig sein muss) keine Herrausforderung!

Das Erkennen auch nicht.

Was verstehst du denn unter IT-Sicherheit und was denkst du habe ich daran nicht verstanden?

IT-Sicherheit bedeutet für mich sowohl die ganzheitliche Betrachtung der Sicherheit aller IT-Systeme im Verbund, als auch die Betrachtung der Sicherheit einzelner Komponenten hinsichtlich ihrer Schutzziele. Meiner Ansicht kannst du das Spezielle auch nicht ohne das Ganzheitliche betrachten - umgekehrt wäre das allerdings möglich, wobei ich hier noch auf der Suche nach Beweisen für diese Thesen bin. Gleichzeitig stellt die IT-Sicherheit einen Teilaspekt der Informationssicherheit dar, was ebenfalls in eine Definition einfliessen muss.

Du dagegen versteifst dich auf ein spezielles System, schiesst dich auf dieses ein und willst von den anderen scheinbar nichts wissen, geschweige denn von der ganzheitlichen Betrachtungsweise. Du schliesst kategorisch IT-Systeme aus, wobei du gleichzeitig behauptest, dass du Expertise in Feldern hättest, die diese Systeme aber wieder einschliessen. Paradox.

Darüber hinaus schliesst du essentielle Grundlagen aus, beispielsweise Kenntnisse über die interne Funktionsweise von Betriebssystemen, was du lieber bei deinen Teammitgliedern sehen willst. Allerdings spielt auch hier Netzwerktechnik eine große Rolle und daher ist auch dieses Wissen essentiell für dich, wenn du dich als Experte bezeichnen möchtest.

Worauf ich hinaus will: Alles hängt irgendwo voneinander ab und es ist nicht möglichsinnvoll, alles einzeln voneinander zu betrachten. Durch deinen Ausschluss und deine Versteifung auf bestimmte Themen beweist du daher schon paradoxerweise, dass du keine Expertise in diesen Themen haben kannst.

Mit Jahrelanger Erfahrung wird man das aber auch nicht schaffen!
Was ich von einem idealen Team erwarten würde wäre: Dass es einen Programmierer gibt der so tief in seiner Materie steck,dass er in der Lage ist Reverse Engineering zu betreiben und Exploits zu entwickeln, dass ein Linux, Mac und Windows-Experte gibt der ein breiteres Wissen rund um Applikationen (SQL,DNS,Webserver) hat und jemand der sich mit Webapplikations auskennt. Dann noch jemand der sich mit dem Netz allgemein auskennt und auch im Bereich IPS fit ist. ... ich habe mit Sicherheit noch einiges vergessen was man an Know How benötigt ... und das kannst du alles nicht in 100 Jahren Berufserfahrung erlernen.

Natürlich ist das möglich, auch wenn du nicht ein Crack in jedem dieser Gebiete werden wirst. Das ist aber auch garnicht notwendig. Jeder hat seine Spezialgebiete, in denen er sich auskennt. Du bist mit deiner Idee vom Team soweit nicht entfernt. Allerdings heissen die Gebiete nicht Netzwerktechnik, Programmieren, Betriebssysteme, Applikationen und Web-Security. Kenntnisse in all diesen Bereichen besitzt normalerweise jeder halbwegs interessierte "Hacker", jeder Studierende und jeder technisch orientierte Professional.

 

[1337geek]

Was zu beweisen wäre. Ich kenne jedenfalls Leute, die das Gegenteil bereits bewiesen haben.

Mal im Ernst, wenn man wirklich tief in einem Thema steckt, kann man sich nicht noch um 10 andere genauso kümmern und Erfahrungen sammeln! Ein breit gefächertes Wissen zu haben mag möglich sein, aber in allem auch noch gut zu sein ist alleine zeittechnisch unmöglich.
Vielleicht reden wir aneinander vorbei oder/und haben in unseren Jobs verschiedene Anforderungen was den Wissensstand eines Gebietes betrifft

Ich weiß nur, dass ich wenn ich mal nicht meine 2 Wochen habe in denen ich Unfug treibe, nur am lernen bin und dass seit Jahren. Und ich wette ich habe nichteinmal in meinen Fachgebieten 30% von dem was ich noch wissen könnte. Ich gebe zu ich bin nicht der schnellste aber dass gleiche ich mit der Zeit aus die ich dafür opfere.

@Schwarzbeere: Wenn ich Daten über ein Netz bekommen möchte, dann schaffe ich es auch. Die Software heutzutage mag vielleicht unglaublich intelligent sein, allerdings ist die menschliche Kreativität weitaus mächtiger. Ich muss dafür nichtmal ein Krypto-Experte sein! Wenn wir mal ncat aussen vor lassen (es ist nunmal kein Trojaner und stellt einfach nur eine TCP-Session her) und wenn so ein IDS es tatsächlich versuchen sollte dort Auffälligkeiten aufzuspüren, kann man sich eine Art Kodierung in Sachtexten ausdenken (nur mal zum Beispiel) ... das wäre mein Erster Ansatz, andere haben vermutlich wiederrum andere Ideen die auch ihre Wirkung hätten. Abgesehen davon braucht man doch einfach nur HTTPS zu verwenden. Würdest du das unterbinden wollen, wäre normaler Traffic stark beeinflusst.
Wie willst du denn Traffic als auffällig einstufen wenn dieser sich vom normalen HTTP-Traffic kein bisschen unterscheidet?

Du versuchst mir zu sagen, dass ich zu wenig Ahnung in anderen Gebieten habe, dem kann ich so nicht widersprechen aber auch nicht zustimmen. Ich habe ein für mein Alter sehr breites Wissen, nur die Tiefe in den jeweiligen Gebieten fehlt. Ich habe mich mit sehr vielen Sachen beschäftigt und weiß wie diese ineinanderspielen, dass was deiner Meinung nach bei mir fehlt! Mein Gesamtwissen ist vielleicht nicht so ausgeprägt wie bei euch erfahreneren aber dennoch vorhanden. Ich versuche lieber gut einem Gebiet zu werden und die anderen belasse ich auf einem unterem Niveau.

Wenn ich woanders fit werden muss weil es die Arbeit fordert oder ich an einer anderen Stelle meiner privaten Projekte nicht weiterkomme, kann ich mich darin immernoch weiterbilden.


BTW: Ich hänge mit meinem Projekt nun an einer Stelle wo es anfängt interessant zu werden. Nachdem wir jetzt festgestellt haben das wir andere moralische Ansichten haben, wäre es unangebracht das Technische hier im Forum zu diskutieren?

 

[bitmuncher]

Wie willst du denn Traffic als auffällig einstufen wenn dieser sich vom normalen HTTP-Traffic kein bisschen unterscheidet?

Eine Webapp weiss, welchen Traffic sie sendet und das IDS kann durchaus Regelsätze beinhalten, die Ausbrecher aus dem erwarteten Content registrieren. Was du beschreibst, nennt sich im weitesten Sinn Covert Channel oder auch Traffic-Steganographie. Das Thema hatten wir erst kürzlich hier im Forum. Einfach mal die Suche nutzen. Anlässlich der Diskussion hatte ich auch einen Blog-Eintrag geschrieben, der dir evtl. mal ein paar der Möglichkeiten moderner IDS aufzeigt: Covert Channel aufdecken | Bitmunchers TechBlog Ich hoffe, dass dir dadurch klar wird, dass das Verstecken von Traffic gegen gute IDS nicht so einfach ist, wie du es dir vorstellst. Spiel einfach mal eine Weile mit Snort rum, dann wirst du verstehen was ich meine.

Ich versuche lieber gut einem Gebiet zu werden und die anderen belasse ich auf einem unterem Niveau.

Damit wirst du zum Fachidioten und nicht zum Hacker. Die Hacker, die ich als solche bezeichnen würde, zeichnen sich dadurch aus, dass sie ein sehr breites Wissensspektrum haben und sich binnen kurzer Zeit sehr tief in einzelne Bereiche davon einarbeiten können. Will man dieses breite Wissensspektrum auf eine Crew verteilen, führt der Ausfall eines Crew-Mitglieds dazu, dass elementares Wissen fehlt. Das ist also nicht nur ineffizient sondern auch reichlich blöd. Das wäre wie ein Team von Sysadmins, wo jeder Sysadmin nur bestimmte Server im Netzwerk verwalten kann, weil nur er den Zugang dazu hat. Fällt einer der Sysadmins aus, könnten seine Server nicht mehr verwaltet werden. SO funktionieren Teams NICHT. Sinn von Crews ist u.a. das Knowhow-Sharing. Wenn sich einer durch dicke Bücher zu einem Thema gequält hat, kann er das gesammelte Wissen den anderen in kurzer und ggf. praktischer Form vermitteln. Gemeinsam lernen spart nunmal Zeit.

BTW: Ich hänge mit meinem Projekt nun an einer Stelle wo es anfängt interessant zu werden. Nachdem wir jetzt festgestellt haben das wir andere moralische Ansichten haben, wäre es unangebracht das Technische hier im Forum zu diskutieren?

Wie bereits gesagt: Es ist kein Problem Technologien hier zu besprechen, selbst wenn diese theoretisch für illegale Angriffe genutzt werden können. Wir wollen aber mit illegalen Absichten nichts zu tun haben.