Ume li M$ da napravi kursor?

Ako je installer pisan za usermode instalaciju, moze, ali vecina danasnjih nije. Dakle ocekuju da izvrse update ili naprave DLL-ove u SYSTEM32 direktorijumu, mada isti mogu biti i u direktorijumu gde je sama aplikacija. Isto tako, modifikacija registry ne bi bila moguca u usermode instalaciji, npr. za asocijaciju za fajlovima.

mulaz
u linuxu je moguce bez problema skompajlati program (i staticki) i drzati ga u ~/bin
video sam i par installera za to na internetu (automatski ./configure,...)

user mode instalacijom anuliras prednosti DLL

@xtraja:
daj čoveče ajd idi na neki drugi forum.. ono, zlo je više i čitati kakve besmislice pišeš. Koji đavo si uopšte i došao ovamo? Da nam pričaš svi znamo koje priče o BSODu, Russinovichu za koga si čuo verovatno ovih dana i slično.. ne mi nismo znali za Russinovicha i NT.. jooooj. Dosadan si, da bar umeš da nasmeješ.. nego ni to. Koga interesuju tvoji mobilni telefoni..

cynque:1. Još se nije pojavio nijedan pouzdani exploit koji radi na x64 Visti. Svi mnogo nešto seru kao je teoretski moguće (teoretski je moguće i karati Angelinu Jolie), ali nitko da sjedne i napiše jedan koji zaobilazi NX+ASLR. Vrlo je izvjesno da se i neće, jer nijedan već objavljen ne zaobilazi ni obični hardverski XP DEP (prolistajte malo komentare na mailing listama). Već sam napomenuo jedno 100 puta, ali nikako izgleda da dopre do pingvinskih ušesa - svrha proaktivnih zaštita jest da učine eksploataciju dovoljno nemogućim pothvatom, ako one uopće postoje, ne da ih eliminira.

Šteta je što /GS nije aktivan na stack-allocated struct-ove, već samo obične nizove. Mnijem da će se to nakon ovog gafa (u Vista SP1 ili nešto) vrlo hitno ispraviti ;) Da je /GS bio aktivan, od ove cijele farse ne bi bilo ništa :/

ASLR je dostupan i za obične smrtnike na win2k/XP:

http://www.wehnus.com/products.pl

Štoviše, Wehntrust je nešto agresivniji i od Vistinog ASLR-a, i ima drukčiji algoritam randomizacije, pa ste sa njim možda čak i sigurniji nego na x32 Visti.

2. Ako mislite da ne postoje sigurnosni propusti ovakve kategorije na svetim kravama linuxu/solarisu/Mac etc., onda zaista selektivno percepirate stvarnost. Koga boli q za npr. libpng vuln exploitabilan iz Firefoxa kad je alternativa OS sa > 90% tržišta? U konačnici, po broju otkrivenih vulnova, Vista će i dalje biti nekoliko puta ispred RHEL/Mac OS, to uopće nije upitno.

3. Već je spomenuto, ali postoji već nekolicina neslužbenih patcheva, izgleda da je to novi trend otkad je Guilfanov objavio onaj svoj za WMF flaw:

http://research.eeye.com/html/alerts/zeroday/20070328.html

http://zert.isotf.org/advisories/zert-2007-01.htm

Zapakirano u MSI, trivijalno deployable preko group policya. Cijeli je patch dovoljno trivijalan da baš nikakvih problema ne bi ni u teoriji mogao učiniti (in-memory patchiranje, traženje nekoliko signatura..).

4. Cijela je ova situacija jako slična WMF ranjivosti (oba su 0day, exploitabilna tek posjetom na stranicu/otvaranjem e-maila, oba zatekla MS nespremna). Aftermath za in-the-wild WMF exploite je bio otprilike sljedeći:

http://news.com.com/Antivirus+...F+bug/2100-1002_3-6018696.html

Svi AV-ovi prve klase (dakle ne g**** kao što su AVG ili ClamAV) su detektirali sve od uhvaćenih 200-ak varijanti WMF exploita. Što to znači? Znači da sa instaliranim jednim od takvih AV-ova (BitDefender, Computer Associates eTrust-VET, F-Secure, Kaspersky Lab, McAfee, Eset Nod32, Microsoft OneCare, Sophos, Symantec) je za korisnika vulgaris (to je onaj što ni ne zna što je to exploit, već samo instalira AV i nada se najboljemu) ranjivost nije ni postojala. Bio je siguran u MladenIsakovic smislu.

Ova pojava je jednostavno posljedica činjenice da je sigurnost MS-ove platforme previše važna da bi se pustila samo MS-u na kontrolu.

5. Većina HIPS-eva već ima generičke definicije koje onemogućuju eksploataciju ANI ranjivosti. Neki od njih su čak i besplatni, npr.

http://www.eeye.com/html/produ...k/neighborhoodwatch/index.html

Također postoje i trivijalne definicije za Snort i sl. alate (sve što treba jest provjeriti duljinu jednog polja u headeru).



Što to sve znači summa summarum?

Za one koji žele i jedino priznaju patch koji 100% radi bez popratnih pojava kao jedini siguran način otklanjanja propusta - imaju izbor.

Za one koje ne zanima security i sve što žele jest instalirati neki AV/HIPS i ovaj i sve buduće ovakve strke prepustiti nekom trećem na razmišljanje - imaju izbor.

Za one žele security kao prebuilt feature u OS-u, bez 3rd party dodataka, a usto su spremni platiti za dovoljno napredan hardver (x64 Vista) - imaju izbor.

Sve u svemu, kako bi rekao čika Shakespeare, mnogo vike nizašto ;)

Ugodan dan pingvini!

i to radi i u firefox-u zaobilazeci IEov protected mode

Researchers at eEye Digital Security found a .ANI flaw in Microsoft's Windows back in 2004 and reported it to the company, said Andre Protas, a director at eEye, in an interview. Microsoft released a patch for it on Jan. 11, 2005.

"If they had simply looked for other references for the same piece of code when they originally dealt with it a few years ago, they would have found this and patched it in 2005," said Craig Schmugar, a threat researcher with McAfee. "It would have saved a whole lot of people a lot of time, money, and effort."