Telfast
Aktives Mitglied
- Dabei seit
- 23.01.2006
- Beiträge
- 175
- Reaktionspunkte
- 2
S
SelonScience
MacMark
Aktives Mitglied
- Dabei seit
- 27.02.2005
- Beiträge
- 540
- Reaktionspunkte
- 67
Weder noch.
"Einordnung von userland execve()"
http://www.macmark.de/osx_userland-execve.php
Da ist nichts "random" bei Vistas ASLR. Schau mal Figure 3 an hier:
http://www.symantec.com/avcenter/reference/Security_Implications_of_Windows_Vista.pdf
S
SelonScience
Da ist nichts "random" bei Vistas ASLR. Schau mal Figure 3 an hier:
http://www.symantec.com/avcenter/reference/Security_Implications_of_Windows_Vista.pdf[/QUOTE]
"Microsoft has confirmed Symantec’s research findings and resolved the issue highlighted. These
shortcomings are due to be addressed in Windows Vista SP1."
Aus deinem pdf (zwei Jahre alt ...).
Das traf nur auf Vista 32bit zu, pre SP1, was doch schon lange her ist.
BTW: zwischen nichts random, und erhöhter Wahrscheinlichkeit liegen Welten.
"While ASLR continues to be effective, this reduction does increase the likelihood that an attacker can guess the correct address to target."
http://www.symantec.com/avcenter/reference/Security_Implications_of_Windows_Vista.pdf[/QUOTE]
"Microsoft has confirmed Symantec’s research findings and resolved the issue highlighted. These
shortcomings are due to be addressed in Windows Vista SP1."
Aus deinem pdf (zwei Jahre alt ...).
Das traf nur auf Vista 32bit zu, pre SP1, was doch schon lange her ist.
BTW: zwischen nichts random, und erhöhter Wahrscheinlichkeit liegen Welten.
"While ASLR continues to be effective, this reduction does increase the likelihood that an attacker can guess the correct address to target."
wegus
MU Team
- Dabei seit
- 13.09.2004
- Beiträge
- 19.748
- Reaktionspunkte
- 7.606
so wie ich es verstehe ist es nur ein intelligentes Ausnzutzen bekannter Featues!
(1) Alle Programme werden über ein initiales Startprogramm aktiviert
(2) Es gibt Sicherheits-Level in Betriebssystemen. Bei Intel-CPUs laufen Kernel-Programmteile im sog. RING0, sie haben keinerlei Zugriffs- und Ausführungsbeschränkungen.
(3) Anwendungsprogramme laufen mit Benutzerrechten im äußersten RING (RING3). Hier wirken Schutzmechanismen der CPU die Kompromittierung der inneren RINGs verhindert und somit eben auch den Kernel in RING0 schützt.
(4) Zum Start von Software in RING3 gibt es eine besondere Startmethode. Das ist in jedem OS so ( auch Windows macht diese Unterschiede denn sie werden ja von der Hardware vorgegeben(Intel()).
(5) Die Startmethode für die Benutzerumgebung (Userland nennt man das) in OS X, hat eine Besonderheit. Sie erwartet nicht das ein Programm von der Festplatte geladen wird oder dort irgendwo registriert ist. Man kann einen Speicherbereich "irgendwie" mit einem Programm füllen und es dann mit Userland-Rechten starten.
(6) Genau das passiert in der genannten Lücke hier. Das Programm wird per Netzwerk auf den Mac geladen und dann mit dem Userland-Startbefehl gestartet.
(7) Dazu braucht es ein Pendant auf dem Mac das das Programm entgegen nimmt und dann startet. Es muß also vorher ein Trojaner oder ein anderes Hilfsprogramm vorhanden sein!
(8) Wieder ein gutes Argument als Benutzer nicht immer unbedingt die Rolle des Computer-Administrators zu haben !
Einherjar
Aktives Mitglied
- Dabei seit
- 17.05.2008
- Beiträge
- 813
- Reaktionspunkte
- 56
Ne, sicher ist kaum ein System. Man muß sich jedoch nicht verrückt machen, genauso wenig, wie man sich jedem Mist aus dem Internet installieren muß. Ein vernünftiger Umgang, kontinuierliche Vorsorge und aktuelles Wissen sind m.E. eine gute Basis, um auch künftig ein sauberes System zu nutzen.
Und meine persönliche Meinung: Ich fand dieses versuchte iWork richtig gut bzw. die Idee finde ich gut. Meiner Meinung nach sollte man Raubkopierern oder denen, die meinen anständige Arbeit nicht bezahlen zu müssen, ordentlich auf den Sack klopfen. Vielleicht sehen das nicht alle von Euch so, aber ich finde es richtig, solchen Leuten einen Denkzettel zu verpassen.
below
Aktives Mitglied
- Dabei seit
- 15.03.2004
- Beiträge
- 13.565
- Reaktionspunkte
- 1.092
Wie schon andere gesagt haben: Daran ändert sich gar nichts.
Am iWork Trojaner kann man sehen, dass auch ohne diese userland-exec Technik schaden anzurichten ist.
Aber es erlaubt eben -- auch das wurde im Thread schon oft genug gesagt -- zum Beispiel Daten vom Netz nachzuladen und als Prozess auszuführen.
Es verringert also die Möglichkeit, Schadcode auf einem "toten", also einem nicht-laufenden System zu entdecken. Nicht mehr, und nicht weniger.
Alex
B
babapapa
ich bin schon illegal in tausende gesicherte macs und auch andere hochleistungsrechner eingedrungen.
natürlich immer ohne spuren zu hinterlassen.
bin aber wirklich mal gespannt was dabei rauskommt.
p.s.: ein Virenscanner bringt nix, weil der Exploit sich nicht auf der Festplatte einnistet.
Momentan kann man nur Abwarten, bis der Mensch weitere Informationen preis gibt und sein Beispielprogramm veröffentlicht.
Niemand dringt in ein gesichertes System ein.
Hauptprobleme sind fahrlässiger Umgang mit Passwörtern, installation von Software aus Zweifelhaften Quellen und halt Mails unbekannter Herkunft. Die Masse der Anwender geht jedenfalls mit ihren Rechnern um, da könnten sie genauso gleich die Haustüre daheim offen stehen lassen.
Wenn ich das nicht will, kommt keiner in mein System. Und ich surfe auch in der Hölle (schon rein aus beruflichen Gründen).
Und ein Virenscanner bringt schon was. Die Frage ist halt, was er kann.
grünspam
Aktives Mitglied
- Dabei seit
- 21.02.2004
- Beiträge
- 2.907
- Reaktionspunkte
- 16
Um mal den Ursprung wieder zu finden:
http://www.heise.de/security/news/f...sehr-ernst-an/forum-151079/msg-16194732/read/
Sollte ebenfalls interessant sein
http://www.heise.de/security/news/f...sehr-ernst-an/forum-151079/msg-16194732/read/
Sollte ebenfalls interessant sein
below
Aktives Mitglied
- Dabei seit
- 15.03.2004
- Beiträge
- 13.565
- Reaktionspunkte
- 1.092
Rischtisch! Die vorgestellte Methode verhindert (EDIT: erschwert) eben, dass der Schadcode im laufenden System gefunden wird.
Das erschwert zum Beispiel den Virenscan mit einer Linux Boot-CD oder so. Das wird ja gerne gemacht, gerade wenn der dringende Verdacht eines Befalls besteht. Da will man die Kiste ja nicht hochfahren.
Alex
Zuletzt bearbeitet:
MacMark
Aktives Mitglied
- Dabei seit
- 27.02.2005
- Beiträge
- 540
- Reaktionspunkte
- 67
Um mal den Ursprung wieder zu finden:
http://www.heise.de/security/news/f...sehr-ernst-an/forum-151079/msg-16194732/read/
Sollte ebenfalls interessant sein
Ursprung? Das ist nicht der Ursprung.
Interessant? Eher zum Totlachen.
Um es klar und einfach auszudrücken: Heise schreibt da kompletten Unfug.
"Einordnung von userland execve()"
http://www.macmark.de/osx_userland-execve.php
S
SelonScience
falscher fred, aber ja. Sollte.
MacMark
Aktives Mitglied
- Dabei seit
- 27.02.2005
- Beiträge
- 540
- Reaktionspunkte
- 67
Hast du den nicht "interessanten" Link auch geklickt, bevor du ihn kritisierst? Der Link verweist nicht auf den Heise-Artikel, sondern auf einen Kommentar, der den Artikel ebenfalls relativiert.
Ich habe nur realisiert, daß es um den entsprechenden unrecherchierten Artikel von heise geht. ;-)
Der Kommentar ist zwar korrekt, aber nur ein kleiner Teil des Puzzles. Viele Kommentare bei heise unterbieten oft noch das Niveau der Meldungen, daher bin ich nicht ganz so grell darauf
Der Großteil der Online-Presse kopiert wieder mal nur Schlagzeilen mit irreführendem Inhalt ohne sich auch nur ansatzweise die Mühe zu machen, herauszufinden, was wirklich Sache ist.
Das würde natürlich auch der Schlagzeile/Werbe-Klick-Rate schaden, weil die Wahrheit zwar technisch interessant, aber nicht beunruhigend ist (nochmals aktualisiert):
http://www.macmark.de/osx_userland-execve.php
MacMark
Aktives Mitglied
- Dabei seit
- 27.02.2005
- Beiträge
- 540
- Reaktionspunkte
- 67
Gut wofür?
Für das Thema hier im Thread überhaupt nicht, weil ClamXav auf der Festplatte rumsucht und nicht im Hauptspeicher.
Als Virensucher für Windows-Viren ja, denn da kennt er viele.
Als Virensucher für OS X-Schädlinge nein, denn er kennt nicht einen.
Apple verwendet ClamXav in der OS X-Serverversion als Teil des Mailservers, um Windows-Viren aus Emails rauszufischen.
Ähnliche Themen
