Warum wird Linux zum angreifen genutzt?

[david19]

Danke Cystasty
vorallem man sieht diese Scripts gar nicht wenn diese in Position -999 sind. Das ist ausserhalb vom bildschirm.
und zag ist man infiziert. Es gibt viele webseiten die infiziert sind, und die meisten seitenbetreiber wissen das nicht mal.
Ihr seit echt top was hilfe anbelangt. Durch euch macht der start unheimlich spaß.
Ich habe in meinen Thread Social Engieer Toolkit noch 2 Fragen geschrieben. Vielleicht kannst du da helfen

[Cystasy]

Danke Cystasty
vorallem man sieht diese Scripts gar nicht wenn diese in Position -999 sind. Das ist ausserhalb vom bildschirm.

Naja, du kannst Scripte auch einfach so schreiben, das sie keine Sau ohne großen Aufwand versteht.
Zusätzlich kannst du Scripte verschachteln, so das ein Script ein anderes läd, was dann wieder ein anderes läd.. und soweiter und so fort.
Und zusätzlich Obfuscadest die einzelnen Scripte noch, dann blickt da kaum noch jemand durch.. da brauch mans garnicht wirklich verstecken.
Vorallem da eh kaum jemand (außer Leute die sich Interessenmäßig damit beschäftigen) anschaut was da an Scripts geladen wird^^

Mal ein Beispiel für Obfuscaten..

Normaler Code:

function Messagebox(nachricht)
{
 alert(nachricht);
 console.log("Nachricht erfolgreich ausgegeben!");
}

Obfucated (By Myself ;P):

function $E2DXQ(ED21H)
{
 var $E2D5Q = [' erfolgreich',alert,'Nachricht',console.log,' ausgegeben!'];
 $E2D5Q[1].call(window, ED21H);
 $E2D5Q[3].call(console, ($E2D5Q[2]+$E2D5Q[0]+$E2D5Q[4]));
}

Wichtig hierbei ist: Beide Scripts die du siehst tun das selbe.
Nur ist beim ersten sehr leicht für außenstehende sichtbar was es tut, beim zweiten schon weniger einfach.

Ist jetzt natürlich nur ein Beispiel (habs mir gespart die Strings usw zu obfuscaten).. man kanns noch viel viel weiter treiben & noch komplexer gestalten.
Beispielweise halt übers verschachteln von Dateien, Laden von Code von externen Servern aus "Bild-Dateien", usw usf..
Das mit den 999 Leeren Zeilen macht Heutzutage aber keiner.. weil man halt einfach runterscrollen kann

p.s: Bei meinem kleinem Code oben lässt sich das ganze noch sehr leicht entwirren, wenn du dann aber mal ein Script hast das hunderte oder tausende Zeilen hat.. wird das ziemlich aufwändig für denjenigen der da die Funktionsweise rausfinden möchte. Vorallem wenn du dann die Variablen Namen noch mehr verschachtelst, und eventuell noch dann länger machst so das es für einen Menschen schwerer wird da durchzublicken was nun welche Variable ist (desto längere Variablen Namen = desto Schwerer / Anstrengender da durchzublicken).

grüße

[david19]

Das ist echt krass, da blickt man echt kaum durch
nein ich meine position high: -999 width:-999 das ist oben links ausserhalb vom bildschirm

Unendlichzeichen	∞

[Cystasy]

Danke Cystasty
vorallem man sieht diese Scripts gar nicht wenn diese in Position -999 sind. Das ist ausserhalb vom bildschirm.

Glaube du hast dich da noch zu wenig Informiert^^
Scripte sind nicht im Browser sichtbar wie Text o.ä.. höchstens eventuell Applets für Java.
Aber egal wie du es löst - bei Java Applets benötigst du die Zustimming des Besuchers der Webseite den Code ausführen zu dürfen.
Da kommt dann eine Messagebox die um erlaubnis frägt Das kannst nicht umgehen indem du das -999px außerhalb des Bildschirms plazierst.
Und bei Javascript hast du garnichts sichtbares wo Leute sehen würden "das ist ein Script".. das wird im Hintergrund ausgeführt.
Solang das Script nichts macht, was irgendwelche Elemente der Webseite beeinflusst (Bilder verändern, Layout ansich usw) siehst du das nicht.

Naja anyway, du kannst Scripte auch einfach so schreiben, das sie keine Sau ohne großen Aufwand versteht.
Zusätzlich kannst du Scripte verschachteln, so das ein Script ein anderes läd, was dann wieder ein anderes läd.. und soweiter und so fort.
Und zusätzlich Obfuscadest die einzelnen Scripte noch, dann blickt da kaum noch jemand durch.. da brauch mans garnicht wirklich verstecken.
Vorallem da eh kaum jemand (außer Leute die sich Interessenmäßig damit beschäftigen) anschaut was da an Scripts geladen wird^^

Mal ein Beispiel für Obfuscaten..

Normaler Code:

function Messagebox(nachricht)
{
 alert(nachricht);
 console.log("Nachricht erfolgreich ausgegeben!");
}

Obfucated (By Myself ;P):

function $E2DXQ(ED21H)
{
 var $E2D5Q = [' erfolgreich',alert,'Nachricht',console.log,' ausgegeben!'];
 $E2D5Q[1].call(window, ED21H);
 $E2D5Q[3].call(console, ($E2D5Q[2]+$E2D5Q[0]+$E2D5Q[4]));
}

Ist jetzt natürlich nur ein Beispiel.. man kanns noch viel viel weiter treiben & noch komplexer gestalten (verschachteln von Dateien, Laden von Code von externen Servern aus "Bild-Dateien", usw).

grüße

[wacked]

ich hab jetzt lange kein windoof mehr benutzt deswegen bin ich mir über die aktuellen versionen nicht sicher, jedoch ist ein wesentlicher vorteil von linux gegenüber windows in sachen sicherheit die strikte rechte unterteilung. somit können sich auch irgendwelche schädlichen geschichten viel schwerer bis gar nicht im normalen desktop betrieb (ohne root) einschleichen bzw. installieren.

Ich kann ohne root rechte .bashrc verändern und versteckte Dateien in ~ anlegen. Viel besser versteckt sich auch Windows malware nicht. Die Rechteverteilung von Linux bringt da gar nichts (ganz abgesehen davon das Windows mit ACL ja auch eine sehr gute Rechteverwaltung anbietet).

Aufgrund dessen ist auch der Code öffentlich einsehbar und potenzielle Backdoors können sehr zeitnah erkannt und beseitigt werden.

Könnten. Linux ist schon sehr groß, wenn ich mich jetzt mit dem Ziel hinsetzen würde Sicherheitslücken zu finden würde das exakt gar nichts bringen. Ich behaupte nicht das Hobbycoder niemals in Linux Sicherheitslücken finden aber die festangestellten Experten bei Microsoft und Google Project Zero finden auch genug.

Doch, ist möglich.
Gabs schon öfters, und wird noch öfters vorkommen.
Vorallem jetzt, wo mittlerweile immer komplexere Implementierung mittels Javascript vorgenommen werden (komplexe 3D Games usw) - dort könnten sich dann auch wieder mit steigender Komplexität ganz nette Bugs auffinden lassen denke ich mal.

(Ich beschäftige mich intensiv mit Javascript.. ist quasi mein Haupt-Gebiet womit ich mich beschäftige.. und es gab schon öfters Fälle wo Javascript das Einfalltor war und dann Shellcode per JS auf PC's gelangt war. Gibt / Gab auch Proof of Concepts wo als Beispiel des Exploits nur der Windows Taschenrechner geöffnet wurde oder der Rechner zum Absturz gebracht wurde..

Naja, es wurde nicht wirklich ein Fehler in der Javascript Implementierung ausgenutzt sondern JS wird genutzt um einen Heapspray zu machen und dann einen Bug in der HTML engine auszunutzen.