Entwickelt ihr Software oder schreibt Texte mit mehreren Autoren? Dann kennt ihr sicher die Probleme, dass andere eure Ideen überschreiben oder löschen. Ein Versionskontrollsystem schafft Abhilfe. Jörg und Jens sprechen über die Entwicklung von verschiedenen Systemen von RCS über Subversion bis hin zu git und anderen. Schließlich bleiben wir bei git hängen und sprechen über die Funktionsweise von git und erzählen, wie wir damit arbeiten.
Auf eurem Computer befindet sich neben dem Kernel meist Anwendungssoftware, wie ein Browser, ein Mailprogramm und anderes. Alle diese Software muss irgendwann aktualisiert werden. Unter Windows kümmert sich Microsoft um die eigenen Programme. Anwender müssen sich in der Regel um die Programme kümmern, die sie selbst installiert haben.
Linux bringt eine Software mit, die Informationen zu einer großen Auswahl an Software hat. Damit lassen sich verschiedene Programme installieren und wieder löschen. Auch Aktualisierungen werden darüber eingespielt. Dieser Paketmanager übernimmt eine Reihe an Aufgaben und je nach Distribution sieht das ein wenig anders aus.
Wir betrachten in der Sendung verschiedene Lösungen und fangen bei der Verwaltung mittels Archivdateien (tar.gz) an. Danach besprechen wir die Interna bei Debian und gehen auf den RPM Package Manager ein. Gegen Ende müssen wir ein wenig eher aufhören. Daher bleibt für die Ebuilds von Gentoo zu wenig Zeit.
Wurde in der Sendung keine gespielt.
Im Laufe des Jahres sendeten wir verschiedene Beiträge zur IT-Sicherheit. Diese Sendung sollte ein wenig interaktiver verlaufen. Jens installierte dazu auf einem VServer ein Debian GNU/Linux. Dazu kam diverse Serversoftware, wie Apache, MySQL, SSH und anderes, sowie Wordpress, DVWA und kippo. Teile der installierten Software besassen Schwachstellen bzw. DVWA simuliert diverse Schwachstellen.
Die Aufgabe der Live-Hörer war es nun, das System anzugreifen. Zur Koordination der Angreifer richteten wir ein Pad ein. Dort sollten die Teilnehmer ihre Erkentnnisse eintragen und so effektiv arbeiten. Gleichzeitig hat das Pad einen Chat zur Koordination.
Zu Beginn der Sendung ist Jörg damit beschäftigt, die Zeit, die Jens zum Start des Systems braucht, zu überbrücken. Er erzählt einige Details zu Ringstrukturen im Betriebssystem und hält nochmal Rückschau auf die vergangenen Sendungen.
Als die ersten Teilnehmer Hand an das System legen, kommt recht schnell Nmap zum Zuge. Die detaillierte Ausgabe sah folgendermaßen aus:
PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 6.0p1 Debian 4 (protocol 2.0) | ssh-hostkey: 1024 73:76:69:d4:c9:ba:3c:1f:79:23:cc:c1:50:66:44:21 (DSA) |_2048 48:b2:35:16:07:15:87:d9:ed:b5:64:8f:a8:a3:f9:88 (RSA) 80/tcp open http Apache httpd 2.2.22 ((Debian)) |_html-title: Site doesn’t have a title (text/html). 111/tcp open rpcbind? | rpcinfo: | 100000 2,3,4 111/udp rpcbind |_100000 2,3,4 111/tcp rpcbind 2222/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1.1 (protocol 2.0) | ssh-hostkey: 1024 c4:e8:bb:ad:3c:eb:01:47:07:8f:8d:15:f1:72:04:79 (DSA) |_2048 00:5b:b0:39:2d:b1:32:ac:06:85:6f:5f:71:63:52:29 (RSA) 3306/tcp open mysql MySQL (unauthorized) 5222/tcp open unknown 5269/tcp open unknown
Wir diskutieren die Ausgabe des Programmes und weitere Möglichkeiten von Nmap in der Sendung. In obiger Ausgabe fehlt beispielsweise der Port 2222. Dort lief das Programm kippo.
Unter anderen ist zu sehen, dass ein Webserver läuft. Das heißt, mit Hilfe eines Browsers kann man verschiedene Verzeichnisse und Dateien probieren. Automatisiert lässt sich dies auch mit w3bfukk0r durchführen. Dabei fanden sich die Unterverzeichnisse wordpress und dvwa.
Das installierte Wordpress war veraltet und hätte dem Angreifer ein paar Schwachstellen geboten. WPScan schaut sich eine Wordpress-Installation an und berichtet wahrscheinliche Schwachstellen.
DVWA steht für Damn Vulnerable Web Application. Die Software bietet eine Vielzahl von klassischen Web-Schwachstellen wie SQL Injection, XSS usw. zum Ausprobieren.
Wir kommentierten die verschiedenen Funde und das wahrscheinliche Vorgehen. Einige Hörer wünschten sich später mehr solche Live-Hacks. Wir werden uns mal Gedanken dazu machen und vielleicht später wieder eine Sendung in der Richtung machen.
In der Sendung gab es das Lied Last War von Platinum Sky.
Die Shownotes müssen noch geschrieben werden. 
In der letzten Sendung sprachen wir über Sicherheitsschwankungen bei Software. Dabei kam uns die Idee, einzelne Probleme aufzugreifen und in einer eigenen Sendung zu besprechen. Der neunzehnte Datenkanal macht den Anfang mit Buffer Overflows oder zu deutsch Pufferüberläufen.
Am Anfang der Sendung kamen wir von leichtgewichtigen und simplen Protokollen zur Erschaffung einer besonders kleinen ELF-Datei. Die Brücke zum eigentlichen Thema bildete der Free-Your-Android-Workshop im Krautspace. Wir erklärten den Aufbau des Stapelspeichers (Stacks) und nutzten dieses Bild, um Pufferüberläufe zu erklären. Denn letztlich werden im Speicher Kisten aufeinander gestapelt. In den Kisten lagern nach unserem Bild Blätter. Die werden beschrieben und wenn der Schreiber nicht aufpasst, kleckst die Tinte bzw. er übermalt Blätter. Geschicktes Übermalen bzw. Klecksen legt die Grundlagen für einen erfolgreichen Exploit. Das Bild sollte schön klar machen, wie ein Buffer Overflow funktioniert. Wir schweifen an einigen Stellen immer mal auf diverse C-Funktionen und anderes ab.
Der Schutz vor derartigen Schwachstellen ist im letzen Viertel dran. Wir starten mit Kanarienvögeln und arbeiten uns über ASLR zum NX-Bit. Der Ausflug ist wieder ein wenig technischer. Aber mit dem obigen Erklärungen sollte das gut zu verstehen sein.
Im Rahmen der Sendung sprechen wir über die Datei /proc/self/maps. Unten finden ihr eine Beispielausgabe mit dem Befehl less. Ich habe die Speicheradressen mal in Rot eingefärbt. Das Feld rechts daneben sind die angesprochenen Zugriffsrechte.
00400000-00421000 r-xp 00000000 fe:01 58740 /bin/less 00620000-00621000 r--p 00020000 fe:01 58740 /bin/less 00621000-00625000 rw-p 00021000 fe:01 58740 /bin/less 00625000-0062a000 rw-p 00000000 00:00 0 01531000-01552000 rw-p 00000000 00:00 0 [heap] 7f1d90aa8000-7f1d90c28000 r-xp 00000000 fe:01 60787 /lib/x86_64-linux-gnu/libc-2.13.so 7f1d90c28000-7f1d90e28000 ---p 00180000 fe:01 60787 /lib/x86_64-linux-gnu/libc-2.13.so 7f1d90e28000-7f1d90e2c000 r--p 00180000 fe:01 60787 /lib/x86_64-linux-gnu/libc-2.13.so 7f1d90e2c000-7f1d90e2d000 rw-p 00184000 fe:01 60787 /lib/x86_64-linux-gnu/libc-2.13.so 7f1d90e2d000-7f1d90e32000 rw-p 00000000 00:00 0 7f1d90e32000-7f1d90e57000 r-xp 00000000 fe:01 14369 /lib/x86_64-linux-gnu/libtinfo.so.5.9 7f1d90e57000-7f1d91056000 ---p 00025000 fe:01 14369 /lib/x86_64-linux-gnu/libtinfo.so.5.9 7f1d91056000-7f1d9105a000 r--p 00024000 fe:01 14369 /lib/x86_64-linux-gnu/libtinfo.so.5.9 7f1d9105a000-7f1d9105b000 rw-p 00028000 fe:01 14369 /lib/x86_64-linux-gnu/libtinfo.so.5.9 7f1d9105b000-7f1d9107b000 r-xp 00000000 fe:01 60790 /lib/x86_64-linux-gnu/ld-2.13.so 7f1d910e8000-7f1d9125f000 r--p 00000000 fe:02 388520 /usr/lib/locale/locale-archive 7f1d9125f000-7f1d91262000 rw-p 00000000 00:00 0 7f1d91278000-7f1d9127a000 rw-p 00000000 00:00 0 7f1d9127a000-7f1d9127b000 r--p 0001f000 fe:01 60790 /lib/x86_64-linux-gnu/ld-2.13.so 7f1d9127b000-7f1d9127c000 rw-p 00020000 fe:01 60790 /lib/x86_64-linux-gnu/ld-2.13.so 7f1d9127c000-7f1d9127d000 rw-p 00000000 00:00 0 7fff5c705000-7fff5c726000 rw-p 00000000 00:00 0 [stack] 7fff5c7ff000-7fff5c800000 r-xp 00000000 00:00 0 [vdso] ffffffffff600000-ffffffffff601000 r-xp 00000000 00:00 0 [vsyscall]
Wir waren bei der Sendung so in unser Gespräch vertieft, dass wir keine Musik spielten. Jedoch würde wahrscheinlich das Lied »Buffer Overflow« von Under The Hat ganz gut passen.
In der aktuellen Sendung haben wir über Sicherheitsprobleme und zum Teil allgemein Programmierfehler bei Software gesprochen. Über die Themen Pufferüberlauf und Code Injection kamen wir zu den Paketen des Todes. Damit ist nicht der Ping of Death gemeint, sondern eine Schwachstelle, die eine bestimmte Kombination von Mainboard und Netzwerkkarte angreift. Wir streifen die Themen Honeypots und Virenanalyse ein wenig. Schließlich fragen wir uns, wie man mit gefundenen Schwachstellen umgehen kann.
Letztlich haben wir mit der Sendung ein wenig an der Oberfläche gekratzt. Direkt in der Sendung haben wir daher beschlossen, dass wir einzelne Themen in den folgenden Sendungen vertiefen wollen.
Wundert euch nicht über den abrupten Start in die Sendung. Der Recorder im Studio hatte meine erste Einleitung nicht aufgenommen. Daher habe ich den Anfang ein wenig gekürzt.
In der nächsten Woche startet die 18. Sendung des Datenkanals. Jörg und ich unterhalten uns über Sicherheitsschwankungen bei Software. Wir wollen verschiedene Software besprechen und erklären, welche eventuellen Probleme es gab. Vielleicht auch, wie diese gelöst wurden. Wenn euch im Vorfeld eine besprechenswerte Software einfällt, hinterlasst bitte einen Kommentar.
Die Grafik unten stammt vom Veracode-Blog. Die Autoren haben sich so genannte Bug-Bounty-Programme angeschaut. Diese zahlen Geld, wenn ein Bug gefunden und gemeldet wird.
Continue reading "Ankündigung: Sendung 18 zu Sicherheitsschwankungen bei Software"