SHA1 È STATO

www.hackerjournal.it N.241 Febbraio

CRACKATO!!!
È un algoritmo vecchio e superato...
eppure il suo hack nasconde un pericolo

Dal 2002 tutto quello che gli altri non osano dirti

Linux nello
TARIFFA R.O.C. Poste Italiane S.p.A. – spedizione in abbonamento postale – MBPA/LO-NO/125/A.P./2017- ART.1 COMMA1- S /NA

smartphone
Installiamo Kali su Android...
senza bisogno di root!

Usa il battito
cardiaco come
password
Chiavi d’accesso
e impronte non bastano:
ecco un progetto che rende
inespugnabili i tuoi dati

Sfida da hacker
Capture the flag
Scova bug e vulnerabilità nelle palestre online
e batti sul tempo migliaia di esperti
zetun,genio
del carding
Le avventure di un
ragazzino divenuto
Pentesting simulare le reti
Reflected Cross Site Scripting: Con GNS3 ricreiamo in laboratorio
milionario rubando come attaccare una pagina Web il network di computer e server
carte di credito grazie a un campo di input che dobbiamo colpire o proteggere
 IN EDICOLA

Scansiona il QR Code

Acquistala su www.sprea.it
anche in versione digitale
 EDITORIALE
www.hackerjournal.it
In questo numero parliamo di:
Capture The Flag, Pentesting, pfSense,
Riccardo Meggiato, SHA-1, Andronix,
Encrypt Buddy, Cross Site Scripting,
attacchi offline alle password, Zetun,
previsioni per il 2020 e molto altro

L’
Italia alza le difese cyber. È quanto è emerso
da ITASEC 2020, la conferenza italiana
sulla cybersecurity organizzata dal Cini
Cybersecurity National Lab (tra gli altri).
Dalle parole di Angelo Tofalo, sottosegretario alla Difesa,
scopriamo infatti che il Ministero per cui lavora ha creato
il Comando delle operazioni in Rete (Cor) che coordinerà
le attività cyber del Ministero e di tutte le forze armate.
Sono previste ben 300 nuove assunzioni nel prossimo
futuro. Motivo in più per affinare le proprie capacità
e conoscenze con un bel Capture The Flag (CTF).
È l’argomento principale di questo numero: un CTF
CONTATTI
non è altro che una sfida di hacking in cui i partecipanti
passano di livello in livello trovando e sfruttando REDAZIONE
redazione@hackerjournal.it
vulnerabilità, decifrando codici, scrivendo script e tante
epabuqtewhqc@mailchuck.
altre cose belline e divertenti. Con la nostra guida com (BitMessage)
riuscirete a muovere i primi passi in questo fantastico ABBONAMENTI
mondo e sarete pronti ad affrontare le tantissime abbonamenti@hackerjournal.it
www.sprea.it/digital
competizioni che si trovano online (tutti i dettagli
ARRETRATI
a partire da pagina 12). E ovviamente non mancano arretrati@hackerjournal.it
gli altri punti forte classici: il nostro corso per pentester,
FACEBOOK
le curiosità della sezione Hackulture (con le previsioni www.facebook.com/
hackerjournal/
cyber per quest’anno) e un’intervista di Riccardo
Meggiato, uno dei più noti esperti di sicurezza italiani. SITO WEB
www.hackerjournal.it
 ro sara
Il prossimo numile2
in edicola 0 marzo

SOMMARIO ABBONATI ALLA

VERSIONE DIGITALE
SOLO PER PC E MAC
A SOLI 19,90 €
DURATA ABBONAMENTO: 1 ANNO

HACKTUALITÀ
www.hackerjournal.it/abbonamenti

News
Notizie e anticipazioni dell’universo hacker...................................................................... 6

COVER STORY
Sfida da hacker: Capture the Flag!
Scova bug nelle palestre online e batti sul tempo migliaia di esperti.............. 12

Intervista | Confessioni di un pentester

Riccardo Meggiato ci spiega i lati nascosti del suo lavoro........................................20

Crittografia | SHA -1 deve morire

GnuPG, CAcert e OpenSSL a rischio per colpa di un buco nella cifratura........24

FOCUS ON...
Pentesting
DVWA,
Continuiamo a studiare > 36
r
l’applicazione creata pe
in un
imparare l’hacking Web
lizzato!
pratico ambiente virtua

M IGLIO RARE
A I U
P
TA
R
C
E
I
F
A
E R I TA!
A
LA TUA RIVIST it.ly urnal
/hackerjo
ttps:// b
Vai su h questionario
anonimo
e compila il
 4
 Il primo manifesto hacker
“... avete mai guardato dietro agli occhi dell’hacker?
Vi siete mai chiesti cosa lo stimola, che forze
lo hanno formato, cosa può averlo forgiato?
Io sono un hacker, entra nel mio mondo...”

> 28
SICUREZZA
Firewall | Alziamo le difese, parte 2
Simuliamo una rete locale da attaccare o difendere................................................28

Andronix | Kali su Android, perché no?

Trasformiamo uno smartphone senza root in una macchina da pentest.... 32

Pentesting | Cross-site scripting

Alla scoperta di un’altra vulnerabilità di DVWA............................................................ 36

GSN3
HOW TO 44

Maker e biometria | La password è il tuo battito

Encrypt Buddy, un hack che trasforma il tuo cuore nella chiave d’accesso...........44

Hacking con Kali | Craccare le password, parte 3

Come ottenere l’accesso al sistema anche da offline.............................................................. 48
dy
Encrypt Bud

HACKULTURE > 54
Zetun | La storia di giovane pirata
Un ragazzino timido di giorno, un hacker spietato di notte.................................. 54

Low tech hacking | Truffe low tech

Ecco come si fregano i dilettanti del Web.........................................................................56

2020 a rischio | Sicurezza sempre più in pericolo

Il numero di attacchi è destinato a crescere. Ecco perché..................................... 58

tt o ri , le risposte de lla redazione > 60

Le do m a n d e d e i le
POSTA
 HACKTUALITÀ

NLETTUERE WS e
650 siti violati, cremones acker”
h
a processo: “non sono un
#HACKED Stefano Barca è accusato di introduzione abusiva
e danneggiamento a sistemi informatici, ora rischia 8 anni di carcere

Un 34enne di Cremona è accusato di aver violato i codici di oltre 650 siti Web,
tra cui anche quello del tribunale di Milano. L’imputato ha però negato il suo
coinvolgimento e ha chiarito di essere solo “un abile programmatore che non
per forza fa del male”. Stefano Barca ha ammesso, invece, di essere entrato
RED TEAM - DEVELOPMENT in una chat mondiale dedicata all’informatica e all’hackeraggio, perché
AND OPERATIONS interessato all’argomento. È nella stessa chat che un utente ha dichiarato
di aver colpito il sito del tribunale e sempre lì sono stati diffusi i link degli hack.
Lavorare nel Red Team di Dell’introduzione abusiva al sito del tribunale, l’imputato ha ammesso di averne
un’azienda è il sogno di molti parlato con un altro utente chiamato “Deadman” e racconta: “Lui si vantava
aspiranti hacker. Essere
all’interno della chat e ha pubblicato il link della violazione. Purtroppo non ho
autorizzati ad attaccare gli
utenti per cercare di fregarli cancellato le conversazioni, ma ho salvato questi link per poter riuscire a vederli
non ha prezzo! Per farlo però tutti. È come se un appassionato di falegnameria avesse salvato articoli
servono notevoli conoscenze sul tema”. Di link sul suo PC ne sono stati trovati 700. Ma non solo: sul computer
e qualcuno che sappia c’erano anche elenchi di titolari di carte di credito, codici di bancomat
guidare un team di questo e password. Tra le accuse contestate all’imputato c’è ora anche quella
tipo. Proprio per dare
di phishing. Scopriremo il suo destino al ritorno in aula, previsto per il 30 marzo.
indicazioni pratiche su come
funziona l’operativita di un
Red Team e su come gestirlo,
i due autori di questo volume
hanno deciso di raccontare
su carta la loro esperienza
sul campo. Ci sono piaciuti
in particolare gli esempi,
davvero utili per chi deve
costituire un nucleo
di hacker di questo tipo.
Questo volume, in inglese,
costa 18,74 € e lo trovi
su Amazon all’indirizzo
https://amzn.to/31w6wUr

 6
 NEWS
Un centro di Trend Micro:
possiamo
Cybersecurity difenderci!

a Milano L a tecnologia ci offre continuamente

nuove opportunità ma ci mette anche
di fronte a rischi importanti.Eppure
#CISCO Il Cybersecurity Co-Innovation Center di Cisco è il primo dal report La nuova normalità:
tra i 12 centri eurpoei dell’azienda dedicato alla sicurezza previsioni Trend Micro sulla sicurezza
per il 2020 (scaricabile da http://bit.
Ospitato all’interno del Museo Nazionale della Scienza e della ly/2tzv0Qs) emerge anche una nota
Tecnica, nasce con l’obiettivo di seguire quattro direttrici positiva: difendersi è possibile!
principali: Research, Educate, Innovate e Connect. Per Enrico
Mercadante, South Specialist and Innovation Leader di Cisco, IL REPORT IN BREVE
l’obiettivo è quello di fare ricerca costante sulla sicurezza
ad ampio spettro, educare i cittadini, soprattutto le nuove 1) Il futuro è complesso
generazioni, illustrare gli ambiti innovativi degli strumenti di I criminali informatici non avranno
protezione e, infine, rappresentare un polo di collaborazione tra problemi ad aggirare patch
aziende, enti governativi e persone. La realizzazione del centro e configurazioni incomplete
milanese rientra nel piano triennale Digitaliani (http://bit. e approssimative; i deepfake creati
ly/2GKz8A5) elaborato dall’azienda, per cui ha investito già oltre con l’AI saranno la nuova frontiera
100 milioni di dollari. Un progetto importante, visto che i dati delle frodi aziendali e i malware
sensibili sono ormai considerati più preziosi del petrolio e l’Italia colpiranno sempre più spesso.
è una delle nazioni più colpite, sia per la forte presenza di piccole
e medie imprese, sia per la grande quantità di brevetti che le 2) Il futuro è esposto
aziende italiane possiedono. “Il compito di proteggere tutto L’IoT e il 5G faciliteranno gli attacchi
adeguatamente è complesso e coinvolge un numero molto a scopo di estorsione, spionaggio o furto;
grande di produttori e aziende, per questo nasce il nostro centro”. le infrastutture critiche saranno sempre
più vulnerabili; gli ambienti home office
rischiano di diventare una nuova via

Proteggi il cloud!!
per gli attacchi alla supply chain.

3) Il futuro è mal configurato

#NUVOLA La National Security Agency (NSA) ha pubblicato Le vulnerabilità dei container (una
nuove linee guida per la protezione dei dati archiviati nel cloud particolare forma di virtualizzazione)
saranno tra i principali problemi
Con il rilascio delle linee guida (http://bit.ly/2OcA3gx), la NSA intende di sicurezza; le piattaforme serverless
aiutare le organizzazioni a migliorare la sicurezza dei loro servizi aumenteranno la superficie di attacco
di archiviazione online. Rivolte prima di tutto alle agenzie governative, a causa di errori e bug: le piattaforme
ma applicabili anche nelle piccole realtà aziendali. Il documento cloud subiranno attacchi basati sulle loro
si concentra su quattro punti fondamentali: una panoramica dei vulnerabilità come gli SQL iniection,
componenti di base generalmente forniti dai provider di servizi cloud attraverso librerie di terze parti.
(CSP), la responsabilità condivisa, un’analisi dei principali attori delle
minacce cloud e una descrizione delle principali vulnerabilità e delle
4) Il futuro è difendibile
loro mitigazioni. Proprio la responsabilità condivisa diventa
Bisogna ridurre il gap nelle competenze
essenziale: “Le aziende devono essere consapevoli del fatto che
di cybersecurity (anche mediante
i fornitori di servizi cloud sono responsabili della loro sicurezza
e dell’infrastruttura sottostante. Ma la responsabilità della sicurezza le certificazioni) e aumentare l’attenzione
nel cloud, inclusi dati, applicazioni eccetera, è a carico delle aziende”. alla sicurezza; bisogna affidarsi a enti
esterni specializzati.

7 
 HACKTUALITÀ
Il bug di sudo
LICENZA #ADMIN Un ricercatore Apple ha scoperto

ABBATTE una vulnerabilità nella utility sudo, utilizzata

dai sistemi Linux e macOS, per lanciare comandi

MICROSOFT
con privilegi elevati (root) nei sistemi coinvolti

La vulnerabilità (CVE-2019-18634) consente l’escalation

di privilegi e deriva da un problema di buffer overflow
#FUNNY   Microsoft Teams in down
effettuabile nelle versioni di sudo precedenti
per circa tre ore a causa del mancato
alla 1.8.26. Il bug può essere sfruttato quando
rinnovo di un certificato di sicurezza
l’opzione pwfeedback è abilitata nel file
di configurazione sudoers. Questa funzione

S arebbe stato un errore umano quello

che ha causato un blocco per tutti
gli utenti di Microsoft Team. I responsabili
hanno infatti dimenticato di rinnovare
un certificato di sicurezza. Non è però
il primo caso in cui un’azienda scorda degli
aggiornamenti: era già successo a Mozilla,
che aveva lasciato scadere i certificati
usati per firmare le estensioni,
causando enormi disagi.
si occupa di sostituire con degli asterischi
la password digitata dagli utenti nel terminale.
Il problema è che quando il comando è
abilitato, può essere innescato da qualsiasi
utente, anche se non ha i permessi
di utilizzare sudo. In caso di buffer
overflow un malintenzionato
potrebbe passare una serie
di comandi a sudo e quindi
agire come amministratore.

C O N H A C K E R J OURNAL
A SCUOLA
#SCHOOL   Ebbene sì!
Il nostro amato HJ diventa
materiale didattico
per imparare l’arte
dell’hacking!

Succede all’ITI G.B. Lucarelli

di Benevento, dove il Professore Carlo
Mazzone ha scelto di usare la sua
collezione personale (dal primissimo
numero!) per insegnare informatica
ai suoi ragazzi. Siete il nostro orgoglio!

FOTO: la classe e il Prof. con le nostre

riviste nel loro laboratorio Linux.

 8
ABBONATI
ABBONATI SUBITO!
SUBITO!
NEWS

33 ,90€ invece
T ITA
GARAN
80€ di 46,
RO
R R I VA ENT
TI A 8 ORE
4 Potrebbero interessarti anche:

VERSIONE
DIGITALE IN Abbonamento Il mio Oggetti
Computer Idea 39,90€ Connessi
OMAGGIO! sconto del 13% 9,90€ su www.sprea.it

PERCHÉ ABBONARSI: COUPON DI ABBONAMENTO

• Prezzo della rivista bloccato per un anno
• Sicurezza di ricevere tutti i numeri Sì! Mi abbono ad Hacker Journal
Tagliare lungo la linea tratteggiata - Puoi anche fotocopiarlo per non rovinare la rivista

Riceverò 12 numeri a soli 33,90 euro anziché 46,80 euro con lo sconto del 27%

SCEGLI IL METODO PIÙ ❏ Inviate Hacker Journal al mio indirizzo:

Cognome e Nome
COMODO PER ABBONARTI:
Via N.
CHIAMACI E ATTIVEREMO INSIEME
Località
IL TUO ABBONAMENTO CAP Prov.
•TELEFONA al N. 02 87168197
Tel. email
Dal lunedì al venerdì dalle ore 9,00 alle 13,00 e dalle 14,00 alle ❏ Scelgo di pagare così:
18,00. Il costo massimo della telefonata da linea fissa è pari a Con bonifico IBAN IT40H0760101600000091540716 - intestato a Sprea S.p.A.
una normale chiamata su rete nazionale in Italia. Con il bollettino intestato a Sprea S.p.A. Via Torino 51, 20063 Cernusco S/Naviglio (MI)
conto postale N° 000091540716
•ONLINE www.hackerjournal.it/abbonamenti
Con carta di credito: Visa Diners Mastercard
•FAX invia il coupon al N. 02 56561221 Numero
•POSTA Ritaglia o fotocopia il coupon seguendo le Codice di tre cifre che appare
istruzioni a lato e inviacelo insieme alla copia della ricevuta di Scad. (mm/aa) sul retro della carta di credito
pagamento via fax o mail (abbonamenti@sprea.it). Firma
• CONTATTACI VIA WHATSAPP ❏ Regalo Hacker Journal (quindi non speditelo al mio indirizzo sopra) a:
Cognome e Nome
3206126518 (Valido solo per i messaggi) Via N.
Località CAP Prov.
Informativa ex Art.13 LGS 196/2003. I suoi dati saranno trattati da Sprea SpA, nonché dalle società con essa in rapporto
di controllo e collegamento ai sensi dell’art. 2359 c.c. titolari del trattamento, per dare corso alla sua richiesta di abbona- Tel. email
mento. A tale scopo, è indispensabile il conferimento dei dati anagrafici. Inoltre previo suo consenso i suoi dati potranno
essere trattati dalle Titolari per le seguenti finalità: 1) Finalità di indagini di mercato e analisi di tipo statistico anche al
fine di migliorare la qualità dei servizi erogati, marketing, attività promozionali, offerte commerciali anche nell’interesse
Il beneficiario del tuo abbonamento riceverà una mail dove gli verrà comunicato il regalo
di terzi. 2) Finalità connesse alla comunicazione dei suoi dati personali a soggetti operanti nei settori editoriale, largo
consumo e distribuzione, vendita a distanza, arredamento, telecomunicazioni, farmaceutico, finanziario, assicurativo,
automobilistico e ad enti pubblici ed Onlus, per propri utilizzi aventi le medesime finalità di cui al suddetto punto 1) e Compila, ritaglia e invia questo coupon in busta chiusa a:
2). Per tutte le finalità menzionate è necessario il suo esplicito consenso. Responsabile del trattamento è Sprea SpA via
Torino 51 20063 Cernusco SN (MI). I suoi dati saranno resi disponibili alle seguenti categorie di incaricati che li tratteran- Sprea S.p.A. - Servizio abbonamenti - Via Torino 51, 20063 Cernusco Sul Naviglio (MI)
no per i suddetti fini: addetti al customer service, addetti alle attività di marketing, addetti al confezionamento. L’elenco
aggiornato delle società del gruppo Sprea SpA, delle altre aziende a cui saranno comunicati i suoi dati e dei responsabili
potrà in qualsiasi momento essere richiesto al numero +39 0287168197 “Customer Service”. Lei può in ogni momento
oppure invialo via mail
e gratuitamente esercitare i diritti previsti dall’articolo 7 del D.Lgs.196/03 – e cioè conoscere quali dei suoi dati vengono
trattati, farli integrare, modificare o cancellare per violazione di legge, o opporsi al loro trattamento – scrivendo a Sprea Accetto di ricevere offerte promozionali e di contribuire Accetto che i miei dati vengano comunicati
SpA via Torino 51 20063 Cernusco SN (MI). con i miei dati a migliorare i servizi offerti (come specificato a soggetti terzi (come indicato al punto 2
al punto 1 dell’informativa privacy): ❏ SI ❏ NO dell’informativa privacy): ❏ SI ❏ NO

OFFERTA VALIDA SOLO PER L’ITALIA

 HACKTUALITÀ
nde i nostri dati
Avast rive
#SICUREZZA  Il servizio antivirus è stato
beccato con le mani nel sacco. Ecco come

È quanto ha dimostrato il blogger Wladimir Palant:

Avast e la sua sussidiaria AVG, sono stati sorpresi
a vendere i dati dei clienti ad aziende terze sfruttando
i programmi antivirus gratuiti. Avast, infatti, quando
è attivo, raccoglie i dati relativi alla navigazione
degli utenti (dall’intera cronologia al tracking dei
comportamenti online) passandoli alla controllata
Jumpshot che, a sua volta, li mette a disposizione
di una vasta schiera di aziende. Spuntano nomi come
Google, Yelp, Microsoft, McKinsey, Pepsi, Sephora,
Home Depot, Condé Nast, Intuit e molte altre.
A oggi, gli utenti che utilizzano i servizi dell’azienda
sono più di 400 milioni, tutte potenziali vittime.
L’indagine è disponibile al link http://bit.ly/2RIqTe5.

FARHAN UL ARSH
Conspiracy to Comm AD
it Wire Fraud; Cons
Computers; Wire piracy to Gain Unau
Fraud; Unauthori thorized Access to
zed Access to Comp
uters

#NICK Farhan Arshad, Farhan Ul, Farhan Ularshad.

#DATA DI NASCITA E NAZIONALITÀ 22 luglio 1973, pakistano.
#ACCUSA Accusato di cospirazione, frode bancaria e accesso
non autorizzato a sistema informatico. Aliases: Farhan Arshad, DESCRIPTION
Farhan Ul, Farhan Ularshad
Date(s) of Birth Used:
July 22, 1973
Hair: Black Place of Birth: Karachi,
Pakistan
Height: 5'10" Eyes: Brown

Farhan Ul Arshad è ricercato per il suo presunto coinvolgimento

Sex: Male Weight: 170 pounds
Occupation: Farhan Race: White (Middle
Ul Arshad has worked Eastern)
telecommunications as a salesman and
manager. a Nationality: Pakistan
i

in un sistema internazionale che ha frodato individui, società ed enti

NCIC: W495547706

The FBI is offering

a reward of up to REWARD
$50,000 for informa

governativi, oltre che grandi società di telecomunicazioni, sia negli Stati

tion leading to the
arrest of Farhan Ul
Arshad.
Farhan Ul Arshad was
last known to be in REMARKS
and/or Pakistan. He Malaysia, but may also
speaks Urdu and English. travel to the United
Arab Emirates, Canada,

Uniti che all’estero. Tra il novembre 2008 e l’aprile 2012, è accusato

Germany, the United
Kingdom,
Farhan Ul Arshad is
wanted for his alleged CAUTION
individuals, compan involvement in an internat
ies, and government ional telecommunicat
November of 2008 entities, to include ions scheme that defraud
large telecom compan

di aver commesso truffe per un valore di 50 milioni di dollari. Il sistema

and April of 2012, Farhan ies, in both the United ed unsuspecting
ultimately defrauded Ul Arshad is alleged States and abroad.
victims of amounts to
extended into Pakistan in excess of $50 million. have compromised computer systems Between
, the Philippines, Saudi The international scheme and conducted the
Arabia, Switzerland, involved members scheme which
Spain, Singapore, Italy, of a criminal organiza
and Malaysia, among tion that
On June 29, 2012, a other nations.

ha colpito in Malesia, nelle Filippine, in Arabia Saudita, in Svizzera,

federal arrest warrant
New Jersey, after he was issued for Farhan
was indicted for Conspira Ul Arshad in the United
and Unauthorized Access cy to Commit Wire States District Court,
to Computers. Fraud; Conspiracy to District of New Jersey,
If you have any informa Gain Unauthorized Newark,
Access to Computers;
Consulate. tion concern ing this person, please Wire Fraud;
contact your local

in Spagna, a Singapore, in Pakistan e anche in Italia.

FBI office or the nearest
Field Office: Newark American Embass
y or

5 milioni di dollari di ricompensa! Se avete delle informazioni,

contattate l’ambasciata USA più vicina:
https://it.usembassy.gov/it/embassy-consulates-it/

Tutti uniti: vediamoci qui

Data Nome Luogo Sito

4 aprile 2020 Malware Analyst Conference Padova http://bit.ly/2u6wlyj

29 luglio - 2 agosto 2020 IHC 2020 Padova https://www.ihc.camp/

 10
HA C K T U A L I TA À
cover story Sfida da hacker: Capture the Flag!
Scova bug nelle palestre online e batti sul tempo migliaia di esperti............................................. 12

intervista Confessioni di un pentester

Riccardo Meggiato ci spiega i lati nascosti del suo lavoro................................................................ 20

crittografia SHA-1 deve morire

GnuPG, CAcert e OpenSSL a rischio per colpa di un buco nella cifratura..................................... 24
 HACKTUALITÀ d a hacker
COVE R STO RY: Sfi d a

 12
 sha1 è stato

Febbraio
crackato!!!

www.hackerjour nal.it N.241

superato...
è un algoritmo vecchio e
un pericolo
eppure il suo hack nasconde

osano dirti
Dal 2002 tutto quello che gli altri non

Linux nello

ART.1 COMMA1- S /NA

smartphone

postale – MBPA/LO-NO/125/A.P./2017-
Installiamo Kali su Android...
senza bisogno di root!

Usa il battito

S.p.A. – spedizione in abbonamento

cardiaco come
password

TARIFFA R.O.C. Poste Italiane

Chiavi d’accesso
e impronte non bastano:
rende
ecco un progetto che
inespugnabili i tuoi dati

r
Sfida da hacke
Capture the flag
Scova bug e vulnerabilit
à nelle palestre online
di esperti
e batti sul tempo migliaia
zetun,genio
del carding simulare le reti
Le avventure di un Pentesti ng ricreiamo in laboratorio
Con GNS3
ragazzino divenuto Cross Site Scripting:
Reflected
Web il network di computer e
server
milionario rubando come attaccare una pagina che dobbiamo colpire o
proteggere
grazie a un campo di input
carte di credito
06/02/20 09:49

1
001_HJ241_cover.indd

Sfida da hacker
Capture The Flag
Scova bug e vulnerabilità nelle palestre
online e batti sul tempo migliaia di esperti

A
vete mai sentito parlare di Capture
The Flag? Non ci stiamo riferendo
alla versione inglese del nostro
ruba bandiera, bensì ai CTF intesi
come competizioni – o giochi che dir si
voglia – che consistono nella ricerca di una
vulnerabilità presente in sistemi e software
messi a disposizione dagli organizzatori
della competizione. Un CTF si può affrontare
in solitaria oppure, come capita molto
spesso, in team. Troviamo i CTF online,
oppure durante le manifestazioni legate
al mondo della sicurezza.
di Capture The Flag; tra queste le più
conosciute sono Jeopardy, Boot2Root
e Attack/Defense. Anche se solitamente
i CTF si limitano a queste tre categorie sono
noti alcuni casi di formati misti, come dei
Boot2Root + Jeopardy, che non rientrano
in nessuna delle categorie sopraelencate.
In questo articolo cercheremo di fare
chiarezza sulle varie tipologie di CTF,
vi sveleremo quali sono i principali
portali o raccoglitori di CTF presenti
in Rete e vi mostreremo alcuni esempi
pratici. Buona lettura!

COME SI VINCE?
Per vincere in questo gioco è necessario
trovare e sfruttare il maggior numero di Partecipare a un CTF
falle possibili, collezionando le cosiddette è il modo migliore per
flag (bandiere) nascoste all’interno del
sistema bersagliato. Alcuni degli obiettivi
apprendere concetti
consistono, invece, nella risoluzione di come reverse engineering,
puzzle logici o nella ricerca di un modo OSINT, steganografia
efficace per riuscire ad abusare di un
sistema. Esistono diverse tipologie o analisi forense

13 
 HACKTUALITÀ d a hacker
COVE R STO RY: Sfi d a

Le tipologie di CTF
JEOPARDY BOOT2ROOT

È senza ombra di dubbio la tipologia di CTF

più diffusa, probabilmente perché si adatta
perfettamente alle competizioni online.
In un CTF di tipo Jeopardy, gli organizzatori forniscono
ai partecipanti una serie di prove che, una volta
superate, consentono di ottenere le cosiddette
“flag”, utilizzate per confermare l’avvenuto
superamento dei singoli “challenge”.
A ogni flag vengono assegnati un numero di punti
direttamente proporzionale alla difficoltà della prova
superata. Una volta trascorso il tempo prestabilito,
il giocatore o il team che avrà ottenuto il maggior
numero di punti, porterà a casa la vittoria.
Di norma, quando si tratta
di CTF Jeopardy, si preferisce
la partecipazione a squadre,
piuttosto che singola, in modo
da assegnare prove differenti
a ciascun membro, o a coppie,
per aumentare le probabilità
di successo e velocizzare la
risoluzione dei vari challenge.
A l contrario dei
Jeopardy, i
CTF di tipo
Boot2Root sono
omunemente
affrontati da
partecipanti singoli. Questi Capture The
Flag servono principalmente da
esercitazione per coloro che vogliono
cimentarsi in uno scenario simile alla
realtà, simulando un vero e proprio
attacco. Nei Boot2Root l’organizzatore
mette a disposizione una VM (virtual
machine) da scaricare, per poi chiedere
ai partecipanti di accedervi con diritti da
amministratore (root), sfruttandone le
vulnerabilità. Si tratta di un formato che,
a differenza di Jeopardy, non prevede
l’assegnazione di punti o scadenze
temporali. I Boot2Root si svolgono offline
e non c’è nessun vincitore, si tratta solo
di esercitazioni fini a se stesse.

ATTACK/DEFENSE

I l terzo e ultimo formato convenzionale di CTF è Attack/Defense, ovvero attacco e difesa. In questi casi
si lavora principalmente a squadre, a ognuna delle quali viene assegnata una virtual machine
messa a disposizione dagli organizzatori. A differenza dei casi visti in precedenza, non si tratta solo
di trovare le vulnerabilità e attaccare, bensì bisogna difendere i servizi esposti ad attacchi presenti
sulle macchine virtuali senza comprometterne la disponibilità. A mettere in pericolo i suddetti servizi
sono proprio i team avversari, che, così facendo, innescano
un meccanismo di attacco e difesa all’interno
del quale ognuno dovrà contemporaneamente
attaccare e difendere le virtual machine presenti.
A ogni attacco o difesa portata a termine
con successo corrispondono dei punti calcolati
in base al numero di flag sottratte o conquistate
da uno specifico servizio. Alla fine del tempo
prestabilito, la squadra che ha portato
a casa più punti viene proclamata vincitrice.
Per organizzare questo tipo di eventi
è richiesta una certa preparazione e, trattandosi
di operazioni complesse, le competizioni
Attack/Defense vengono svolte offline.

 14

Hack The Box
S
iete esperti di
informatica e volete
avvicinarvi al mondo
del Capture The Flag
e magari cimentarvi in qualche
challenge? Come avrete capito,
il modo migliore per farlo
è accedere ad Hack The Box
(www.hackthebox.eu). Si tratta
di una piattaforma online che vi
permette di testare e migliorare
le vostre abilità nel Penetration
Testing e nel mondo della
cybersecurity. Hack The Box
contiene numerosi CTF che
vengono aggiornati
continuamente per consentire
agli utenti iscritti di affrontare
nuove sfide. Alcune di queste
simulano scenari reali, mentre
altre sono Capture The Flag fini
a sé stessi, pensati per testare
le abilità dei partecipanti.
Si tratta, a tutti gli effetti, della
piattaforma ideale (seppur
non l’unica) per migliorare
le vostre abilità e mettervi
alla prova, soprattutto se siete
alle prime armi e volete
avvicinarvi a questa realtà.
figura #2
figura #1
COME CI SI REGISTRA
Questa procedura potrebbe
rivelarsi più complessa
di quanto credete: provando
a registrarvi sul sito di Hack The
Box, vi verrà richiesto un codice
d’invito da inserire per
completare la registrazione.
Molti, a questo punto,
potrebbero pensare che si tratti
di una piattaforma esclusiva,
magari riservata ad addetti
ai lavori o membri di comunità
scientifiche, ma per fortuna
sha1 è stato
Febbraio
crackato!!!
www.hackerjour nal.it N.241
superato...
è un algoritmo vecchio e
un pericolo
eppure il suo hack nasconde
osano dirti
Dal 2002 tutto quello che gli altri non
Linux nello
ART.1 COMMA1- S /NA
smartphone
postale – MBPA/LO-NO/125/A.P./2017-
Installiamo Kali su Android...
senza bisogno di root!
Usa il battito
S.p.A. – spedizione in abbonamento
cardiaco come
password
TARIFFA R.O.C. Poste Italiane
Chiavi d’accesso
e impronte non bastano:
rende
ecco un progetto che
inespugnabili i tuoi dati
r
Sfida da hacke
Capture the flag
Scova bug e vulnerabilit
à nelle palestre online
di esperti
e batti sul tempo migliaia
zetun,genio
del carding simulare le reti
Le avventure di un Pentesti ng ricreiamo in laboratorio
Con GNS3
ragazzino divenuto Cross Site Scripting:
Reflected
Web il network di computer e
server
milionario rubando come attaccare una pagina che dobbiamo colpire o
proteggere
grazie a un campo di input
carte di credito
06/02/20 09:49
1
001_HJ241_cover.indd
ISCRIZIONE
La prima
sfida è capire
come ci si
iscrive ad
HTB. Quale
sarà mai
il codice
d’invito?
non è così. Vediamo passo
per passo come procedere.
Innanzitutto dovrete accedere
al sito https://www.hackthebox.
eu/. Scorrendo l’homepage
in basso, troverete la voce
JOIN, cliccateci sopra.
A questo punto si aprirà
la schermata di login, ma come
anticipato in precedenza
vi verrà chiesto il codice d’invito
(che per ora non avete) [figura
#1]. Cliccate con il tasto destro
sulla pagina e selezionate
la voce Ispeziona Elemento.
Se utilizzate Chrome potete
accedere agli Strumenti
per gli sviluppatori premendo
Ctrl + Shift + i. Qui troverete
una lista di script nella sezione
Elements [figura #2].
Scorrete la lista fino a trovare
uno script che contiene la
IL PRIMO INDIZIO
La pagina di richiesta del codice
d’invito nasconde l’indirizzo di uno
script che si rivelerà molto utile...
15 
 HACKTUALITÀ d a hacker
COVE R STO RY: Sfi d a

SCOPRIAMO L’URL CIFRAT0

Inserendo makeInviteCode() nella
console del browser, scoviamo
le parole che andranno decifrate.

e cercate un decoder ROT13

stringa /js/inviteapi.min.js.
Inserendo nella barra di ricerca
del vostro browser l’URL https://
www.hackthebox.eu/js/inviteapi.
min.js, comparirà un file JS. Al
suo interno la scritta
makeInviteCode è l’indizio utile.
Ora potete tornare nella sezione
https://www.hackthebox.eu/
invite; aprite la console e digitate
figura #3
makeInviteCode();
Fatto? Allora premete il tasto
Invio. Riceverete un messaggio
di conferma (200) come
mostrato in [figura #3]
Nel nostro caso, il tipo di codifica
era ROT13. A questo punto
dovrete decodificare
il messaggio che avete ottenuto.
Aprite una nuova scheda
(per esempio, potete utilizzare
il sito Web rot13.com): copiate
i dati ottenuti nel box di testo,
selezionate la voce ROT 13 (A-Z,
a-z) e infine cliccate su decode.
Decodificando il messaggio
comparirà l’istruzione che
vi farà ottenere il codice d’invito
tanto desiderato: per generare
un codice valido per accedere
ad Hack The Box dovrete
effettuare una richiesta di tipo
POST /api/invite/generate.
Aprite il prompt dei comandi
(se utilizzate Windows) o il
terminale se siete su Linux
o macOS e inserite il comando

Un universo in espansione
S e pensate che il Capture The Flag sia un’attività
destinata esclusivamente ad hacker intenti a
portare a casa premi e riconoscimenti, vi sbagliate.
che li vedono impegnati nella risoluzione di CTF
di vario tipo, mentre la seconda parte è dedicata
ai talk che ogni anno vengono tenuti da alcuni dei
Questa tipologia di eventi, sempre più diffusa più affermati esperti nel settore della sicurezza
a livello globale, viene utilizzata frequentemente informatica. I prossimi eventi in programma
in contesti universitari nell’ambito della ricerca; si terranno ad Amsterdam nel mese di aprile,
durante questi eventi, team appartenenti a diverse a Singapore in luglio e infine ad Abu Dhabi,
facoltà informatiche si cimentano in challenge in concomitanza con l’Expo di novembre 2020.
che li vedono competere con colleghi provenienti
da tutto il mondo. Non a caso, ogni anno, si
organizzano diverse conferenze sul tema; una
delle più importanti, che raccoglie un gran numero
di professionisti e ricercatori esperti di IT security,
è HITB Security Conference (https://conference.
hitb.org/). Nel corso della conferenza vengono
trattati e discussi principalmente argomenti
che riguardano le future minacce alla sicurezza
dei sistemi informatici mondiali. La conferenza si
divide in due tranche da due giorni ciascuna. Nella
prima parte i partecipanti si cimentano in training

 16
 sha1 è stato

Febbraio
crackato!!!

www.hackerjour nal.it N.241

superato...
è un algoritmo vecchio e
un pericolo
eppure il suo hack nasconde

osano dirti
Dal 2002 tutto quello che gli altri non

Linux nello

ART.1 COMMA1- S /NA

smartphone

postale – MBPA/LO-NO/125/A.P./2017-
Installiamo Kali su Android...
senza bisogno di root!

Usa il battito

S.p.A. – spedizione in abbonamento

cardiaco come
password

TARIFFA R.O.C. Poste Italiane

Chiavi d’accesso
e impronte non bastano:
rende
ecco un progetto che
inespugnabili i tuoi dati

r
Sfida da hacke
Capture the flag
Scova bug e vulnerabilit
à nelle palestre online
di esperti
e batti sul tempo migliaia
zetun,genio
del carding simulare le reti
Le avventure di un Pentesti ng ricreiamo in laboratorio
Con GNS3
ragazzino divenuto Cross Site Scripting:
Reflected
Web il network di computer e
server
milionario rubando come attaccare una pagina che dobbiamo colpire o
proteggere
grazie a un campo di input
carte di credito

SECONDA CONVERSIONE
06/02/20 09:49

1
001_HJ241_cover.indd

Dal primo indizio, cifrato con ROT13,

si passa al secondo, che usa Base64...
figura #4
e via con un’altra conversione!

visibile anche in [figura #4]:

curl -XPOST https://www.

hackthebox.eu/api/invite/
generate

In questo modo otterrete

finalmente il codice, ma si tratta
nuovamente di un codice
crittografato. Per utilizzarlo
dovrete decodificarlo, questa
volta scegliendo un decoder comando POST che avete codice. Tornate nella sezione
di tipo Base64, per esempio inserito nel box di testo, Join e inserite il codice, il gioco
https://www.base64decode.org/: premete Invio e finalmente è fatto. Ora procedete con
inserite il codice ottenuto dal otterrete il tanto agognato la registrazione e entrate.

,
Let s hack!
A
ll’interno di Hack The Queste challenges a loro volta ma niente di più). Lo scopo
Box un comodo menu sono divise per categorie. di questo tipo di sessioni
ci accompagnerà è quello di violare le macchine,
nelle varie sessioni • Machines ottenerne la flag contenuta
di hacking; in particolare Qui troviamo le macchine all’interno di un file (user.txt)
saranno due le voci da bucare. Le sfide, a differenza nella cartella /home della
su cui ci concentreremo. delle challenges, non offrono macchina. La sfida si può definire
(quasi) nessun indizio (spesso completa solo quando, oltre
• Challenges un “pizzico” di aiuto è fornito questo file, si ottengono
In questa pagina troveremo dal nome della macchina stessa, i permessi di root.
le sfide “offline”, o comunque
che non richiedono – quasi figura #5
mai – interazioni con server
della rete. Si tratta spesso
di indovinelli, file zippati,
immagini o documenti
da scaricare e da elaborare
per risolvere gli enigmi.

CERCHIAMO L’ILLUMINAZIONE
La sfida che affronterete si chiama Illumination.
Per prima cosa, scaricare un banale file Zip...
 HACKTUALITÀ d a hacker
COVE R STO RY: Sfi d a
CHALLENGE, CHE PASSIONE!
La sfida su cui ci siamo
concentrati è molto semplice
(troverete il grado di difficoltà,
indicato dagli utenti stessi
che lo hanno risolto, affianco
ogni nome dello stesso),
si chiama Illumination
e al momento è una challenge
attiva – ricordiamo che spiegare
una challenge attiva va contro
la buona etica di HTB – tuttavia,
essendo anche documentata
ampiamente in Rete,
ci solleveremo da questo
peso morale.
Per una maggiore “immersione”
consigliamo prima di provarci
da soli :). Il primo indizio
che riceviamo è che il file zippato
contiene del codice scritto
da un programmatore junior
e che la risoluzione prevede
di estrarne il token. Estraendo
il file .zip riceveremo una struttura
di cartelle e alcuni file di
configurazione [figura #5],
che tuttavia tenderanno a essere
più delle false piste che altro.
La vera perla in questo challenge
è la presenza di un folder nascosto
(.git) che contiene lo storico
dei commit sul repository
che contiene il programma [figura
#6]. Per estrarre tali log useremo
il comando [figura #7]
 18
figura #6
$ git log
Da qui verificheremo la presenza
dell’hash in cui è contenuto il log,
quindi lo mostreremo con:
$ git show [hash]
come si può vedere in [figura
#8]. Ci verrà mostrato il token
(in formato BASE64). Utilizzando
la regola di decodifica vista nella
risoluzione dell’Invite Code,
provvederemo a decifrare
l’hash di risoluzione (in formato
HTB{soluzione}) per poi inserirlo
nel form della challenge.
A questo punto inseriremo
ESTRAIAMO I DATI NASCOSTI
Con il comando git si riesce a trovare l’ennesimo codice cifrato
che si frappone tra noi e il successo...
LA CARTELLA MISTERIOSA
I creatori della challenge sono dei
furbetti... hanno salvato i dati che
ci servono in una cartella nascosta.
una difficoltà e invieremo la
nostra risposta [figura #9]. Fatto!
MACCHINE, CHE SFIDA!
Le macchine sono più incentrate
sugli attacchi APT veri e propri
e richiedono maggiori
conoscenze di tecniche d’attacco
e di strumenti in live. Inoltre,
per potervi accedere, sarà
necessario collegarsi alla VPN
di Hack The Box, con cui ci verrà
assegnato un IP e con cui
potremo interagire anche con
le altre macchine [figura #10].
Al momento la macchina più
semplice (OpenNet) prevede un
grado di difficoltà molto basso,
tuttavia non è stata documentata
in Rete e dunque lasceremo
al lettore la sfida. Di seguito,
però alcuni consigli (se non
volete rovinarvi il gioco non
proseguite nella lettura).
La macchina può essere violata
in diversi modi: nel nostro caso
figura #7
 sha1 è stato

Febbraio
crackato!!!

www.hackerjour nal.it N.241

superato...
è un algoritmo vecchio e
un pericolo
eppure il suo hack nasconde

osano dirti
Dal 2002 tutto quello che gli altri non

Linux nello

ART.1 COMMA1- S /NA

smartphone

postale – MBPA/LO-NO/125/A.P./2017-
Installiamo Kali su Android...
senza bisogno di root!

Usa il battito

S.p.A. – spedizione in abbonamento

cardiaco come
password

TARIFFA R.O.C. Poste Italiane

Chiavi d’accesso
e impronte non bastano:
rende
ecco un progetto che
inespugnabili i tuoi dati

r
Sfida da hacke
Capture the flag
Scova bug e vulnerabilit
à nelle palestre online
di esperti
e batti sul tempo migliaia
zetun,genio
del carding simulare le reti
Le avventure di un Pentesti ng ricreiamo in laboratorio
Con GNS3
ragazzino divenuto Cross Site Scripting:
Reflected
Web il network di computer e
server
milionario rubando come attaccare una pagina che dobbiamo colpire o
proteggere
grazie a un campo di input
carte di credito
06/02/20 09:49

VISUALIZZIAMO L’HASH
1
001_HJ241_cover.indd

Ancora git in nostro soccorso: con

l’opzione show troviamo il token
in Base64 che ci farà arrivare
vittoriosi al traguardo.

MISSIONE COMPIUTA!
Scovato il token, è sufficiente copiarlo
nel campo di testo della challenge,

figura #8
indicare il livello di difficoltà secondo
noi e premere Submit.

siamo riusciti ad accedervi sia

tramite un precedente attacco figura #9
(l’attaccante aveva lasciato
un telnet avviato) sia tramite
reverse shell – e da lì un Privilege
Escalation. Dato che il telnet
non sempre è presente – ogni
user può chiedere un reset della
macchina una volta risolta
– possiamo anzitutto
scannerizzare il Web host.
Con dirb, per esempio,
carichiamo una wordlist di path
utili (li troverete all’interno di una
qualunque distro di pentesting
o in Rete) fino a scoprire che
esiste un’installazione di
OpenNetAdmin (da lì, il nome figura #10
della macchina). La versione in
uso è molto vecchia e ci permette
di utilizzare un exploit che ci
permette di accedere tramite
utente www-data nella CLI
(interfaccia a caratteri) del server. DALLE CHALLENGE
Da qui in poi... in bocca al lupo! ALLE MACCHINE
Cambiamo menu del sito
e la sfida diventa
più complessa...
RISORSE
ONLINE

HTTPS://CAPTURETHEFLAG.IT/ HTTPS://CTFTIME.ORG/ HTTPS://HACK.ME/

Un sito in Italiano che raccoglie
notizie, risorse e varie challenge
per chi desidera mettersi alla prova
con un CTF. Ha anche un gruppo
Telegram, https://t.me/CapTheFlag.
Un enorme archivio di CTF
e un’ottima fonte di informazioni,
classifiche dei migliori team
ed elenchi delle prossime sfide
in programma in tutto il mondo.
Un progetto comunitario
sponsorizzato da eLearnSecurity.
Troviamo un gran numero di
applicazioni Web vulnerabili,
esempi di codice e molto altro.

19 
SICUREZZA

Con f e s s i o n i
di un p e n t e s t e r
i, p er m es ti er e, ce rc a di superare
a ch
Come passa la giornat delle aziende?
le difese informatiche , uno dei massimi
a R ic ca rd o M eg g ia to
Lo abbiamo chiesto security
esperti italiani di cyber
 INTERVISTA

C
hi non ha mai sognato
di potersi guadagnare
da vivere violando
sistemi informatici,
bucando reti aziendali
e intrufolandosi nei Wi-Fi
aziendali? Probabilmente
questo è il sogno, nemmeno
troppo segreto, di molti lettori
di Hacker Journal: poter seguire
la propria passione,
guadagnarci e non dover
correre il rischio di finire
al gabbio per essersi infilati
là dove non si poteva.
NON BASTANO GLI STRUMENTI
Abbiamo avuto modo
Kali Linux, pur non perfetta, è un’ottima soluzione per un pentester. Ma Riccardo
di parlare con qualcuno che ci avverte: “gli strumenti non sono così importanti. Bisogna sapere cosa fare”.
questo sogno lo ha realizzato,
Riccardo Meggiato. Ho imparato a programmare materiale dalle BBS (Internet era
in linguaggio binario a 9 anni, poco sviluppato) divenni vittima di
Giornalista, pentester, per un caso fortuito. Siccome ero un banale virus. Caso volle che in
esperto di sicurezza... chi è grassottello, in classe ero piuttosto quel periodo stessi testando delle
e cosa fa Riccardo Meggiato? isolato e quindi arrivavo sempre routine che si occupavano di una
Un’ottima domanda. Non saprei ultimo a scegliere un libro dalla rudimentale modalità multiplayer
definirmi, però posso dirti una biblioteca di classe. I libri “migliori” del gioco a cui stavo lavorando.
cosa: seguo tutto ciò che mi fa venivano sempre presi dagli altri, Virus, codice, architettura delle
battere il cuore. La mia fortuna quindi me ne capitò in mano uno, reti… scoccò la scintilla.
credo che risieda nel fatto impolverato e mai letto da
che il mio cuore ha sempre nessuno, che parlava del codice Quali strumenti usi quando
battuto per attività che invece altri binario con la metafora di bruchi ti occupi di pentesting?
ripudiavano: cybersecurity, digital e mele. Non avevo ancora Adotti distribuzioni come Kali
forensics, sviluppo di videogame un computer ma mi innamorai Linux (o simili) o degli
o di software per la ricerca. della possibilità di comunicare strumenti realizzati da te?
La mia carriera è iniziata molto con appena due numeri, 0 e 1. Dirò una cosa controcorrente:
presto ed è oggi diversificata. Da lì, e faccio un salto temporale nel pentesting i tool non c’entrano
notevole, mi trovai a proprio nulla. Devi avere
Come ti sei avvicinato al programmare videogame innanzitutto molto ben chiaro
mondo della cybersecurity? e quando si trattò di scaricare cosa vuoi testare. Negli ultimi

Chi è Riccardo Meggiato?

, software
Esperto di fama internazionale nel campo delle analisi forensi su dispositivi elettronici
Tecnico d’Ufficio e Consulent e Tecnico della difesa (CTP e CTPO),
e telefonia. Consulente
ha maturato oltre 15 anni di esperienza, operando su svariati casi in Italia e all’estero.
do
Nato a Dolo (VE), nel 1976, ha iniziato a programmare a 9 anni, apprendendo e sviluppan
permesso di essere uno dei primi esperti italiani
tecniche di hacking e analisi che gli hanno
tore
nel settore della digital forensics. Autore di oltre venti libri best-seller, tra i quali: L’investiga
o; Facebook Hacking; Il Lato Oscuro della Rete; L’hacker dello smartpho ne.
informatic

21 
 SICUREZZA
UNA MINACCIA AL SECONDO... O ANCHE PIÙ
Fare il pentester vuol dire, tra le altre cose, riuscire
a fare in modo che un’azienda non cada vittima
dei tantissimi tentativi di attacco quotidiani
vent’anni ho svolto pentesting
in realtà davvero molto diverse
fra loro e, benché esistano degli
standard e dei protocolli,
è sempre un po’ come partire
da zero. Mi è capitato, per
esempio, di fare pentesting su
navi: è incredibile la quantità di
tecnologia presente su una nave
e quanta progettazione occorra
per eseguire dei test efficaci per
ciascuna. Solo quando ho bene
in mente con cosa ho a che fare,
quando ho sviscerato ogni
tecnologia, decido come agire
e in ultima battuta, con cosa farlo.
A mio modesto parere, ci si deve
concentrare più sul cosa fare che
sullo strumento in sé. Pensiamo
a Kali Linux, è un insieme di tool
che possono essere utilizzati
anche singolarmente, ma occorre
conoscerli approfonditamente,
altrimenti il rischio di distrarsi
Per diventare un abile pentester
servono passione, determinazione,
capacità cognitive e quindi logiche
 22
e perdere il focus è elevato. Anche
BlackArch è un ottimo progetto,
ma molti tool li realizziamo da noi:
possono essere in Python o Perl,
ma anche in C e Assembly.
Quali sono le difficoltà
del tuo lavoro dal punto
di vista legale e burocratico?
In questo lavoro si ha sempre
l’impressione di giocare come
battitori liberi. Le difficoltà sono
enormi e non solo tecniche. Faccio
un esempio: sembra assurdo, ma
un pentester deve tenere conto
della possibilità che il cliente
ti possa accusare di intrusione
informatica. Per questo è
necessario aggiornarsi e lavorare
di concerto con un ottimo legale.
Dobbiamo, inoltre, prestare
un’attenzione maniacale
per protocolli e procedure:
nell’informatica forense occorre
seguire metodologie molto
precise per non inficiare
il reperto digitale.
Come viene percepita
la cybersecurity dalle
aziende italiane? Agiscono
in maniera proattiva oppure
tendono a chiamarti
quando il danno è fatto?
Purtroppo nel 95% dei casi è la
seconda opzione. Ma ho capito che
fa parte dell’essere umano. Le
aziende hanno l’errata percezione
che risolvere un problema costi
meno che prevenirlo, ma non
è assolutamente così. Oltre a
sistemare il danno nell’immediato,
infatti, dovrebbero considerare
le conseguenze sul breve-medio
termine, che possono essere
devastanti. La colpa, però, non è
solo delle aziende. Molte realtà che
si occupano di cybersecurity, fino
a oggi, si sono approfittate del loro
ruolo e della scarsa informazione
per propinare listini fuori scala.
Puoi essere il consulente più bravo
del mondo, ma se il preventivo
mensile per la protezione costa
il 50% del fatturato, nessuna
azienda potrà mai sostenerlo.
Dobbiamo venirci incontro,
ma il primo passo credo
vada fatto proprio da chi
si occupa di sicurezza. E scusatemi
se sono poco diplomatico,
è una mia caratteristica.
In un tuo recente post su FB
hai scritto che l’attività
di pentesting nella pratica sia
molto meno eccitante di come
può apparire: puoi farci un
esempio di una giornata tipica?
Diciamolo: è una palla spaventosa.
O meglio, lo è rispetto a ciò che si
immagina. Per me resta e rimane

Un hacker indiano ha sviluppato uno
dei malware per smartphone più
evoluti che abbia visto in vita mia
eccitante come qualsiasi cosa
a cui mi dedico. Descrivere una
mia giornata tipo è complicato
dato che non faccio solo il
pentester, ma posso dire quali
sono i miei personali elementi
imprescindibili. Innanzitutto,
sto attentissimo all’alimentazione.
Questo mi consente di rimanere
lucido in ogni momento della
giornata. Poi svolgo attività fisica
ogni giorno: 45-50 minuti di
palestra. Così scarico la tensione
e tengo alto il livello di endorfine,
che contribuiscono a mantenere
elevato l’ottimismo, la positività
e la lucidità. Dedico almeno
un’ora, ogni giorno, a provare
qualche nuova tecnica o tool.
È importante notare che quando
dico “ogni giorno” intendo sette
giorni su sette, anche a Natale
e Ferragosto. Non perché
sia asociale, ma perché ho degli
obiettivi da perseguire e sono
obiettivi che richiedono dedizione
e rinunce. E quando raggiungo un
obiettivo me ne pongo di nuovi. Gli
obiettivi sono tutto, nella mia vita.
Potresti raccontarci qualche
aneddoto curioso? Sei
incappato in qualche hacker
particolarmente brillante
o, al contrario, incredibilmente
sprovveduto?
Ne avrei moltissimi, ma ne scelgo
uno recente. Un rapporto
clandestino tra il manager
di un’azienda e una collega
diventano oggetti di un maxi
ricatto. In pratica, qualcuno
mandava loro foto dei flirt
in ufficio (flirt spinti, diciamo),
ripresi tempo addietro, e chiedeva
ingenti somme per non diffondere
quelle foto all’esterno.
Le foto venivano inviate tramite
email. Indovinate? Venivano
spedite da Outlook, dal medesimo
ufficio. Per la precisione,
dall’amministratore di sistema,
CONFESSIONI
INTERVISTA
senza alcuna forma di protezione.
Indirizzo IP, MAC et voilà.
Non credo fosse un gran
sistemista, a pensarci bene.
Se devo pensare a qualcuno,
al contrario, di abile, penso a un
hacker indiano che ha sviluppato
uno dei malware per smartphone
più evoluti che abbia visto
in vita mia. Solo un reverse
engineering lungo e tedioso
ci permise di capire con cosa
avevamo a che fare.
Si parla molto di ATP: nella
tua carriera ti è capitato
di avere a che fare con
attacchi sponsorizzati
da governi o simili?
Negli attacchi ATP, al contrario
di quel che si legge in giro,
la geolocalizzazione è davvero
difficile da stabilire. Puntare
il dito contro un paese può essere
davvero pericoloso e temo che
ultimamente lo si faccia troppo
spesso. Detto questo sì, mi è
capitato spesso di essere chiamato
ad analizzare attacchi di questo
tipo, ma per ovvie ragioni
non ne posso parlare.

Vuoi imparare? Ecco cosa fare

Quali strade consiglieresti a chi vuole intraprendere una
carriera nella cybersecurity? Dal punto di vista dei linguaggi
di programmazione, quali è fondamentale conoscere
per questo tipo di attività?
Occuparsi di cybersecurity è un po’ come fare il medico:
se non sei mosso da vera passione, rischi di fare grossi danni
o di dedicare la tua vita a compilare ricette e basta.
Capire se è la strada giusta è molto semplice: studiate, subito,
cose difficili. Provate a imparare a programmare in Assembly
e in Perl, smanettate con Debian, studiatevi come fare il reverse
engineering del firmware del vostro router. A Kali ci penserete
dopo, nel caso. Se e solo se vi appassionerete agli argomenti
più difficili, allora la cybersecurity fa per voi. E in quel caso,
tra l’altro, avrete già un’ottima base.

23 
 HACKTUALITÀ

V E M O R I R E
SHA-1 DE SL po tr eb be ro es se re a rischio grazie
GnuPG, CAcert e OpenS ll ’a lg or it m o di cifratura SHA-1
op er to ne
a un nuovo baco sc

S
ecure Hash Algorithm COSA SONO LE COLLISIONI? complicata e lunga anche per gli
è un protocollo La sicurezza degli attuali elaboratori, e il fatto che a ogni
crittografico sistemi crittografici si basa hash – ogni password cifrata
sviluppato dalla NSA prevalentemente su due fattori: – corrisponda solo una parola.
nei primi anni 90 e utilizzato la complessità matematica Quando quest’ultima condizione
come standard federale negli della fattorizzazione dei non viene soddisfatta, si parla di
USA. Con il tempo si è evoluto numeri primi, un’operazione collisione hash. Praticamente,
in SHA-2 (che include quattro
varianti: SHA-224, SHA-256,
SHA-384 e SHA-512) e oggi
Google insiste per rimuovere SHA-1 dai protocolli
è ormai considerato ormai
supportati su Internet dal 2017, da quando
molto anziano. ha dimostrato le prime vulnerabilità del protocollo
Per questioni di compatibilità realizzato dalla NSA.
con i sistemi legacy, però,
non è mai stato del tutto
abbandonato e questo
rappresenta un problema
dal momento che si è rivelato
essere poco sicuro.
Il fatto che soffra di serie
vulnerabilità, in realtà, è noto
fin dal 2017, quando alcuni
ricercatori di Google
dimostrarono la prima collisione
hash, evidenziandone quindi
l’inaffidabilità, almeno sulla carta.

 24

Le applicazioni che mostravano
i maggiori rischi sono state patchate
per mitigare il problema, per fortuna
per decifrare un messaggio
c’è più di una password valida.
Insomma, fin dal 2017 sappiamo
che SHA1 è bacato ma se non ha
ottenuto lo stato di deprecated
è per due motivi: è poco usato
(come abbiamo visto, la stessa
NSA negli anni lo ha aggiornato)
e, in ogni caso, l’exploit teorico
reso pubblico dai ricercatori era
estremamente difficile da
mettere in pratica dal punto
di vista tecnico, a causa della
potenza di calcolo richiesta.
Per Google non è stato
un grande problema
concentrare momentaneamente
gli sforzi della sua enrome
infrastruttura cloud per calcolare
9 quintilioni di hash SHA-1
(9,223,372,036,854,775,808,
a essere precisi), ma per un
comune attaccante ci sarebbe
voluto un anno intero di calcoli
per un cluster di 110 GPU.
Sino al momento prima della
scoperta, l’unica alternativa
era un approccio brute force.
Per ottenere la soluzione nello
stesso periodo di tempo, un
anno, sarebbero state necessarie
12 milioni di GPU. L’approccio di
Google, insomma, è 100.000 volte
più veloce rispetto al brute force.
Niente male come passo avanti.
2020: SHA-1 CRACCATO
VELOCEMENTE
Gaëtan Leurent e Thomas Peyrin
sono i due ricercatori che hanno
recentemente pubblicato
lo studio SHA-1 is a Shambles
(https://sha-mbles.github.io),
CRITTOGRAFIA
crearne una identica,
permettendo a un attaccante di
violare la cifratura, a partire da
qualsiasi input, rendendolo di
fatto utilizzabile in un numero
dove dimostrano come sia molto maggiore di scenari. Oltre
possibile velocizzare a essere molto versatile, l’attacco
ulteriormente i calcoli. Il metodo descritto nello studio è
chosen-prefix che hanno relativamente economico da
sviluppato è molto più efficace portare avanti. Basandosi sui
rispetto a quello usato prezzi di Amazon Web Service,
in precedenza e offre a un gli autori stimano che usando
potenziale attaccante un’enorme l’approccio di Google, l’attacco
flessibilità: aggiungendo dei costerebbe fra i 110.000
caratteri alle hash, è possibile e i 560.000 dollari, a seconda
Il cluster usato dai ricercatori
per gli esperimenti
Trattandosi di un progetto di ricerca finanziato dall’Università, Leurent
e Peyrin non avevano cifre enormi da investire per i loro esperimenti.
Invece di affidarsi a risorse di calcolo come quelle offerte da AWS,
hanno scelto di appoggiarsi a gpuservercentral.com, che mette a
disposizione cluster di GPU a un prezzo molto competitivo, 5 cent (di
dollaro) per ogni CUDA core. Il sistema messo in piedi era basato su
150 computer ciascuno dotato di 6 GPU. Queste ultime erano tutte
GeForce GTO 1060, alcune da 3 GB, altre da 6 GB. A coordinare il tutto
ci pensava un master node basato su un Core i7 e due hard disk da 2
TB in RAID. Fatta eccezione per il master node, che doveva essere
potente per coordinare il lavoro del cluster, tutti gli altri nodi non
richiedevano CPU particolarmente potenti (il carico di lavoro veniva
gestito dalle sole GPU), tanto che si è optato per economici
processori Pentium o Celeron con due soli core.
Il costo di un simile giocattolo? I ricercatori
hanno negoziato un prezzo di 37.800
dollari al mese e usato il cluster
per due mesi.
Affittare un cluster di
centinaia di GPU non
ha un costo proibitivo
25 
 HACKTUALITÀ
di quanto tempo si vuole
impiegare per portarlo a termine.
Leurent e Peyrin sono riusciti
a replicare i risultati spendendo
circa 75.000 dollari per il noleggio
di risorse computazionali
in cloud. Sostengono anche
che ai tempi del test, l’algoritmo
non fosse ancora ottimizzato
al meglio. Con le loro ultime
modifiche il costo scenderebbe
a 45.000 dollari. La stima è che
entro il 2025, un chosen-prefix
collision attack su SHA-1 potrebbe
arrivare a costare meno di 10.000
dollari, arrivando davvero
alla portata di chiunque.
QUALI APP SONO A RISCHIO?
SHA-1 fortunatamente non viene
più utilizzato, pur essendo
ancora disponibile come metodo
alternativo per dispositivi
o applicazioni legacy. Per citare
alcune app che ancora lo
prevedono, troviamo GnuPG,
CaCert, OpenSSL. Potrebbero
non essere le uniche e alcuni
sistemi potrebbero ancora
basarsi su certificati SHA-1 per
l’handshake tramite protocolli
TLS o SSH, così come potrebbero
essere vulnerabili alcune chiavi
PGP. Il problema è che,
nonostante siano supportati
di default protocolli più recenti
e sicuri, un hacker potrebbe
Il nuovo attacco a SHA1 è 100.000 volte più veloce (ed economico) rispetto a quelli
descritto da Google tre anni orsono. Fa impressione notare che un algoritmo come
MD5, creato nel ‘91 e ancora usato, sia craccabile in 30 secondi con uno smartphone.
 26
Il metodo per craccare SHA-1
è 100.000 più veloce rispetto
a un approccio brute force
tentare di fare un downgrade
del protocollo in fase di attacco,
forzando il più debole e quindi
applicando questo particolare
attacco. Gli autori della ricerca
hanno naturalmente avvisato
gli sviluppatori dei software
potenzialmente coinvolti, che si
sono già adoperati per mettere
delle pezze. I programmatori di
GnuPG lo hanno aggiornato così
da non accettare alcuna forma
creata con SHA-1 a partire
da gennaio 2020. I responsabili
di CAcert e gli sviluppatori
di OpenSSL invece non hanno,
al momento della stesura
dell’articolo, una soluzione,
sebbene stiano adottando
contromisure. I primi hanno
esplicitato l’intenzione di
abbandonare SHA-1, mentre
i secondi stanno valutando di
disabilitarlo nei casi in cui la
sicurezza è una priorità. Non sono
gli unici a essere affetti dal
problema e l’unica soluzione,
a detta dei ricercatori, è quella
di rimuovere del tutto il supporto
di questo protocollo in ogni
contesto. Esattamente quello che
Google consiglia, ormai dal 2017.
GLI HACKER POTREBBERO
APPROFITTARNE?
Gli autori della ricerca sono
consci dell’impatto che potrebbe
avere la loro scoperta e in via
precauzionale non hanno
pubblicato il codice sorgente
necessario per sfruttare l’exploit,
né diffuso tutti i dettagli relativi
alla loro scoperta.
Questo naturalmente non
fermerà a lungo i malviventi
che, essendone a conoscenza,
faranno di tutto per riuscire
a sfruttare la vulnerabilità
quanto prima. La posta in gioco
del resto è molto elevata: chi
non sogna di compromettere
una chiave crittografica
investendo cifre tutto sommato
basse (per un’organizzazione
criminale o governativa).
In ogni caso, meglio non
preoccuparsi troppo nonostante
MD5 sia da tempo fallato,
è ancora uno standard attuale,
usato pochissimo e solo
per sistemi legacy, ma per
quanche motivo non viene
eliminato del tutto. Possiamo
illuderci che sarà diverso
per quanto riguarda SHA-1?
SICUREZZA
FIREWALL Alziamo le difese, parte 2
Impariamo a simulare una LAN da attaccare o difendere ............................................. 28

andronix Installiamo Kali su Android

Trasformiamo uno smartphone senza root in una macchina da pentest.................. 32

pentesting Cross-site scripting

Alla scoperta di un’altra vulnerabilità di DVWA................................................................... 36
 SICUREZZA

SECONDA
PARTE

GLOSSARIO
LAN
DI BASE Alziamo le difese un a rete locale usando
Acronimo di Local
Im pa ria m o a si m ul are
Area Network.
tool gratito
Fa riferimento a un
contesto di rete
la virtualizzazione e un pratico

N
locale. Solitamente
la rete LAN ha el precedente articolo operativo utilizzato, nel nostro caso
un proprio schema
abbiamo installato e Microsoft Windows;
di indirizzamento
IP privato.
configurato il firewall pfSense • avviare il processo di installazione;
[figura #1]. A questo punto, • Installare tutti i componenti
WAN per rendere più realistica la nostra aggiuntivi che saranno richiesti
Sta per Wide Area simulazione, effettueremo e necessari al funzionamento
Network e si riferisce l’integrazione con un software che del software, tra cui WinPCAP,
a una rete globale
ci permetterà di realizzare scenari Wireshark e Solar – Putty;
in cui lo schema di
indirizzamento IP relativamente alle architetture di rete; il • avviare GNS3.
è quello pubblico. software in questione si chiama GNS3 Se la procedura è stata effettuata
La rete WAN più nota (www.gns3.com). L’installazione non correttamente, apparirà la schermata
è Internet. è particolarmente complessa e GNS3 iniziale dello strumento [figura #2].
è liberamente
SWITCH
Il compito di questo
utilizzabile. I passi figura #1
dispositivo è di da eseguire sono:
instradare i pacchetti • accedere al sito
all’interno della ufficiale;
stessa sottorete. • effettuare
Al suo interno è la registrazione
presente una tabella
inserendo la
(CAM Table)
che contiene propria mail;
l’associazione • scaricare il file
tra MAC Address eseguibile in base
e indirizzo IP. al sistema Interfacce di rete definite all’interno del firewall pfSense

 28

Schermata iniziale di GNS3 a installazione completata.
Per migliorare le performance
di GNS3 e aver la possibilità
di simulare scenari più articolati,
è caldamente consigliato l’ausilio
di una macchina virtuale di
supporto che è possibile installare
successivamente. Dato che noi
effettueremo un’integrazione
con il nostro firewall pfSense
procederemo proprio in tal senso:
• su Google digitare:
“gns3 virtual machine”.
• si ha la possibilità di scaricare
la macchina virtuale per Oracle
Virtuabox, Vmware Workstation,
Fusion o ESXi;
• selezionare Oracle Virtualbox,
in quanto pfSense è già
in esecuzione proprio tramite
questo virtualizzatore;
• la VM sarà scaricata in un file Zip
che va decompresso;
• appena scaricata, basta
effettuare un doppio click
e automaticamente si avvierà
Virtualbox e l’operazione
di “Import Virtual Appliance”;
• aumentare la quantità di RAM
in base alle risorse che si hanno
a disposizione lato “host”
(la macchina fisica), 8 GB (8048
MB) è un buon compromesso;
• lasciare invariate le altre
impostazioni e cliccare su
“Import”;
• attendere che il processo
arrivi a termine.
figura #2
Siamo quindi pronti a utilizzare
la macchina virtuale di GNS3
[figura #3]. Tale macchina non va
avviata direttamente tramite
il pulsante “Start” di VirtualBox,
bensì si torna su GNS3 e in
particolare sul Setup Wizard –
GNS3 VM accessibile dal menu
in alto a sinistra. A questo punto
si seleziona come virtualization
Operazione di “import” della
macchina virtuale GNS3
completata con successo.
Cos’è GNS3?
È un software di simulazione
delle reti avanzato (www.gns3.
com). Uno dei suoi punti di forza
è la possibilità di scaricare
delle immagini di dispositivi
di terze parti e di poter così
rendere la simulazione ancora
più efficace. Per esempio,
possiamo scaricare l’immagine
di un router Cisco e inserire
FIREWALL
software proprio VirtualBox
e, dopo aver premuto il pulsante
Refresh dovrebbe apparire
il nome della VM GNS3
precedentemente importata.
Alla voce vCPU cores lasciamo
il valore 1, in quanto poco
significativo per la nostra
simulazione. Per la RAM size
impostiamo 8048 MB, che è la
quantità di RAM che abbiamo
destinato alla VM, clicchiamo
su next e poi su finish.
La macchina virtuale si avvierà
automaticamente, come si può
verificare dall’interfaccia di VB.
INTEGRIAMO TUTTO
Adesso che GNS3 è configurato
correttamente e la macchina
virtuale di appoggio è in
figura #3
quest’ultimo all’interno dei nostri
progetti. All’interno della
documentazione ufficiale troviamo
delle ottime guide in tal senso
che ci permetteranno, in poco
tempo, di essere padroni di
questo strumento. Utilissimo
anche per chi volesse cimentarsi
nell’ottenimento della
certificazione Cisco CCNA.
29 
 SICUREZZA
Configuriamo la rete di test
N odo CLOUD, componente
che permette l’integrazione
con il “mondo esterno”, tra cui
il nostro firewall pfSense.
• Clicchiamo su All devices ->
Installed Appliances -> Cloud.
• Trasciniamo il nodo CLOUD
all’interno del progetto,
specificando come server
GNS3 VM.
• Confermiamo con OK.
• Apriamo il menu contestuale
con il tasto destro del mouse
e scegliamo Configure.
• Spuntiamo la voce Show special
Ethernet Interfaces
• Selezioniamo Virtualbox
Host-Only Network che non
è altro che l’interfaccia di rete
virtuale di VirtualBox che stiamo
utilizzando come rete locale (LAN)
sul nostro firewall pfSense.
• Premiamo Add.
figura #4
esecuzione, possiamo avviarlo
e procedere con la definizione
di un nuovo scenario. Clicchiamo
su File, New blank project
e assegniamo un nome al nuovo
progetto. Gli elementi che saranno
necessari a realizzare la nostra
simulazione e che quindi
andranno aggiunti al progetto
sono un nodo detto CLOUD,
due PC virtuali e uno switch che
 30
• Confermiamo con OK.
Due VirtualPC (VPCS)
che simuleranno dei
generici endpoint.
• Clicchiamo su All devices ->
Installed Appliances -> VPCS.
• Trasciniamo gli elementi
all’interno del progetto,
specificando come server
GNS3 VM.
Un switch Ethernet che
permetterà la comunicazione
tra il firewall pfSense (tramite il
nodo cloud definito in precedenza)
e i due VirtualPC generici.
• Clicchiamo su All devices ->
Installed Appliances ->
Ethernet switch.
• Trasciniamo l’elemento all’interno
del progetto, specificando come
server GNS3 VM.
Assegnamento
di indirizzo IP,
subnetmask e
default gateway
all’interno
di PC-2
li collega. Nel box
Configuriamo la
rete di test troviamo
le istruzioni per
la configurazione
di questi elementi.
Seguiamo quelle
istruzioni e poi torniamo a questo
punto. Ora dobbiamo mettere
in comunicazione gli elementi
aggiunti finora: premiamo
sull’icona Add a Link ed
effettuiamo i collegamenti
direttamente sul progetto
come indicato:
• PC-1 (Ethernet0) <->
Ethernetswitch-1 (Ethernet0).
• PC-1 (Ethernet0) <->
Ethernetswitch-1 (Ethernet1).
• Nodo CLOUD (Virtualbox
Host-Only Network) <->
Ethernetswitch-1 (Ethernet2).
TEST DI FUNZIONAMENTO
È arrivato il momento di verificare
se il progetto realizzato con GNS3
e l’integrazione con il firewall
pfSense sta funzionando
correttamente. Assicuriamoci
di aver avviato tutti i nodi:
se qualche nodo fosse di colore
rosso è necessario selezionarlo
e cliccare sul pulsante verde start
posizionato nel menu in alto.
Perciò: controllare che tutti gli
elementi siano in esecuzione,
altrimenti il test di funzionamento
non avrà esito positivo. Il passo
successivo è l’assegnamento
degli indirizzi IP dei due VirtualPC.
Dato che stiamo effettuando
l’integrazione con il firewall
pfSense, tali indirizzi IP dovranno
appartenere alla rete locale (LAN)
gestita da quest’ultimo:
• rete LAN -> 192.168.56.0/24;
• indirizzo IP interfaccia LAN
del firewall -> 192.168.56.10.
Inoltre, i due VirtualPC dovranno
avere come default gateway,
l’indirizzo IP dell’interfaccia interna
(LAN) del firewall che è appunto
192.168.56.10. Tale configurazione
permette al firewall di poter
effettuare il filtraggio e il controllo
dei pacchetti di rete relativamente
al nostro progetto GNS3.
Posizioniamoci sull’icona del PC-1,
facciamo doppio click così da
avviare la console (Solar-Putty,
il componente precedentemente
installato) e digitiamo
il seguente comando:
ip 192.168.56.11 255.255.255.0
192.168.56.10

figura #5
efinizione di una nuova regola sul firewall pfSense.
Premiamo Invio e verifichiamo con
il comando sh ip che i parametri
siano stati effettivamente
assegnati. Se tutto è a posto,
posizioniamoci sull’icona del PC-2
e ripetiamo l’operazione
precedente cambiando però
l’indirizzo IP usato [figura #4]:
ip 192.168.56.12 255.255.255.0
192.168.56.10
Così facendo i due VirtualPC
hanno un proprio indirizzo IP
privato appartenente alla
sottorete 192.168.56.0/24 che è la
stessa sottorete interna utilizzata
dal firewall pfSense; inoltre,
hanno come default gateway
l’indirizzo IP dell’interfaccia interna
di quest’ultimo.
Accediamo adesso all’interfaccia
di gestione del firewall pfSense,
in particolare alla parte di
definizione e gestione delle regole.
Nel menu Firewall scegliamo
Rules. Troviamo due tab:
• LAN che permette la gestione
e la segmentazione del
traffico inerente all’interfaccia
interna LAN;
• WAN che permette le gestione/
segmentazione del traffico
inerente all’interfaccia
esterna WAN.
Definiamo una nuova regola
che permette o meno il flow
(flusso) dei pacchetti di tipo ICMP
(Internet Control Message
Protocol). Ricordiamo che questi
pacchetti si generano tramite
l’utilizzo del comando ping
all’interno del sistema operativo
considerato. Perciò eliminiamo
le ultime due regole presenti
(Description: Default allow LAN
to any rule e Description:
Default allow LAN IPV6 to any
rule) utilizzando il tasto Delete,
posizioniamoci sul tab “LAN” (in
quanto dobbiamo definire tale
tipologia di regola) e clicchiamo
su Add per aggiungere una nuova:
• Action: Pass.
• Interface: LAN.
• Protocol: ICMP.
Lasciamo il resto con i valori di
default e salviamo le impostazioni
premendo Save. Apparirà a
questo punto un nuovo pulsante
Apply Changes, premiamolo
FIREWALL
Regole di
un firewall
L a definizione di nuove
regole è uno degli aspetti
fondamentali nella gestione
di un firewall. Le regole, infatti,
permettono di filtrare il traffico
in entrata e in uscita all’interno
delle reti presenti.
Una regola si compone
dei seguenti elementi:
• Indirizzo IP sorgente.
• Indirizzo IP destinatario.
• Porta.
• Azione da eseguire.
Precisiamo che i firewall
attuali (Next Generation
Firewall) permettono
ulteriori possibilità.
per confermare la definizione
della nuova regola [figura #5].
Ci manca un ultimo passo:
accedere nuovamente a GNS3,
nello specifico alla console di PC-1,
e digitare il comando
ping 192.168.56.10
In questo modo verifichiamo se
siamo in grado di effettuare con
successo il ping verso l’interfaccia
interna del FW. Se l’esito è
positivo, modifichiamo la regola
del firewall, questa volta
specificando Action: Block.
Eseguendo nuovamente il ping,
per esempio dal PC-2, il comando
non dovrebbe riuscire a inviare
i pacchetti verso il target. Abbiamo
così dimostrato che i due
VirtualPC sono sotto il controllo
e l’azione del firewall pfSense.
31 
 HOW TO
Kali su Android.
,
PerchE no?
Per trasformare uno smartphone o un tablet Android in uno
strumento per pentester non servono più i privilegi di root...
U
sare uno smartphone
IN BREVE 
Android di ultima
Installiamo la distro Kali
generazione con 6 GB
sul nostro smartphone
di memoria RAM
o tablet Android senza
i privilegi di root e schermo AMOLED da 6 pollici
e oltre solo per telefonare o per
DIFFICOLTÀ
i social è uno spreco. Viste le sue
potenzialità di elaborazione,
paragonabili a quelle di un PC di fascia
media, sarebbe comodo poter
utilizzare un software di modellazione
3D Open Source come Blender oppure
un ambiente di sviluppo come IntelliJ
IDEA. Per non parlare di tutte le app
di hacking integrate in una distro Linux
come Kali. Tutto ciò è possibile anche
con uno smartphone senza privilegi
di root: basterà installare AndroNix,
un emulatore di terminale e ambiente
Linux e un’app per il controllo remoto.
COME FARE
Installare una distro Linux su
un telefono Android su cui gira
un processore di tipo ARM
(i modelli che usano quelli
con x86 dovrebbero diventare
compatibili a breve) è tutto
sommato semplice. Certo,
i migliori risultati si avranno
con un tablet da 10 pollici
e oltre, ma anche su un
classico smartphone
 32
da 6 pollici siamo riusciti a gestire
senza problemi una distro come Kali
Linux grazie alle gesture integrate che
permettono di usare le dita al posto
del mouse (se poi abbiamo un tablet
e vogliamo collegarci un mouse
Bluetooth tanto meglio!).
COSA SERVE
Per prima cosa occorrerà cercare nel
PlayStore l’app AndroNix, installarla
e selezionare la distro che ci interessa
tra le otto disponibili. Siccome
i comandi vanno inseriti in un emulatore
di terminale, dovremo averne uno e tra
i tanti il migliore resta Termux. Se,
però, cerchiamo esperienze grafiche
più rilassanti, il consiglio è di installare
un Desktop Environment a scelta tra
Xfce, LXQt, LXDE o MATE. Una volta
configurato il sistema, potremo usare
i classici repository e sfruttare tool
come Aircrack-ng o John the Ripper
e Metasploit Framework
direttamente dallo smartphone.
IL GRUPPO SU TELEGRAM
Per parlare con la community che cura
la manutenzione dell’app Andronix,
dovremo iscriverci al Gruppo AndroNix
su Telegram dove troveremo anche
video e documenti relativi all’app, oltre
ai consigli di altri 700 appassionati.
 ANDRONIX
Installare Kali Linux su Android
Gratis dal Play Store Il miglior emulatore
L’app AndroNix Oltre ad AndroNix
è disponibile come è necessario avere
progetto Open un emulatore
Source sul Play di terminale
Store di Google per esegue i comandi
ed è stata a oggi necessari
scaricata più all’installazione.
di 50.000 volte. Gli sviluppatori
Gli unici due dell’app consigliano
requisiti richiesti di installare Termux
sono la presenza che è uno dei più
di una versione potenti e completi
di Android dalla disponibili sul Play
5.1 in su e di un Store. Dopo averlo
chipset ARM nel installato, consigliamo
dispositivo. Oltre, di controllare
naturalmente, la presenza
a un display di di eventuali
grandi dimensioni aggiornamenti
per facilitare inserendo
il movimento il comando
#1 sul desktop. #2 pgk upgrade.

Scegliere la distro Installazione veloce

Terminata Una volta scelta
l’installazione la distro che fa per
di AndroNix, nella noi, per installarla
homepage non dovremo fare
visualizzeremo altro che incollare
la schermata il codice che avremo
con tutte le distro copiato all’interno
di Linux disponibili. di Termux. Se
Noi naturalmente volessimo scaricare
abbiamo scelto Kali offline la distro
Linux, ma sono dovremo registrarci
disponibili anche alla versione
Manjaro, Ubuntu, Premium di AndroNix,
Debian, Parrot OS, che comunque non
Fedora e Arch costa molto, 1,99$.
Linux. Oltre Attenzione: è
a quattro versioni possibile ottenere
moddate dagli gratuitamente la
stessi sviluppatori versione Premium
e ottimizzate dando una mano a
per i dispositivi tradurre i contenuti
mobili. in italiano.
#3 #4

33 
 HOW TO
Copia e incolla
La procedura
necessaria
all’installazione della
distro Kali Linux
è semplicissima.
Basterà fare tap
su Copy e poi
su Termux,
dopodiché
si aprirà
l’emulatore di
terminale (che nel
frattempo dovremo
avere già installato
sul nostro
dispositivo).
Se qualcosa non
dovesse esserci
chiaro, in fondo
alla schermata c’è
comunque il link
#5 al video tutorial.
, ,
Con il desktop giusto e tutto piu facile
Scegliamo un DE
Gli smanettoni
potranno cavarsela
con l’emulatore
di terminale e con
la linea di comando.
Volendo, però,
si può installare
un Desktop
Environment.
Noi abbiamo scelto
Xfce, ma ce ne sono
altri tre disponibili.
Selezioniamo quello
che fa per noi
facendo tap sulla
sua voce, passiamo
di nuovo a Termux
e incolliamo
il comando che
si è copiato
quando abbiamo
#7 selezionato il DE.
 34
Un po’ di pazienza
Una volta fatto tap
su Termux, si aprirà
l’app e noi dovremo
tenere premuto vicino
alla riga di comando
fino a quando
non comparirà la voce
Copy/Paste/More.
Selezionando
Paste il comando
sarà inserito
automaticamente.
Noi dovremo solo
dare Enter da tastiera
e attendere.
Al termine, scriviamo
./start-kali.sh per
avviare Kali in
modalità testuale,
dopodiché torniamo
all’app AndroNix
#6 per procedere.
Serve VNC Viewer
Per visualizzare
l’ambiente grafico
che abbiamo
installato, servirà VNC
Viewer. Scarichiamolo
dal Play Store,
installiamolo
e quindi registriamoci
per poter tenere
in memoria i dati
che inseriremo.
Potremo usare
VNC Viewer anche
per collegarci
a computer remoti
sui quali girino
Windows, Mac
o Linux e per
controllarne
il funzionamento
direttamente
#8 dallo smartphone.

Impostare VNC
Dopo avere
installato il DE
(potrebbe essere
un’operazione
lunga, della durata
di più di mezz’ora,
e richiede circa 2 GB
di spazio; al termine
scegliamo una
password non
troppo corta),
dovremo collegare
VNC Viewer alla
nostra versione di
Kali, esattamente
come se fosse su
un’altra macchina.
Per farlo, basterà
inserire l’indirizzo
localhost:5901
e il nome che
#9 abbiamo scelto. #10
Salvare la password
Visto che di solito
la connessione
avviene su un
computer remoto,
non è consigliabile
salvare la password.
Nel nostro caso
però, siccome
la connessione
riguarda una
macchina presente
sul nostro device,
potremo decidere
di salvarla, in modo
da velocizzare
le operazioni di
connessione. Prima
di ciò, apparirà
una finestra con le
gesture necessarie
per muoversi
#11 sulla scrivania. #12
E ora... buon hacking!!
ANDRONIX
Scheda remota
Una volta inseriti
i dati richiesti
all’interno di VNC
Viewer, verrà creata
una scheda
su cui dovremo fare
tap per aprire
la nostra versione
di Kali.
Da qui potremo
scegliere il livello
di resa grafica
(se abbiamo
uno smartphone
non molto recente
sarà meglio optare
per Low) e decidere
se vogliamo
che vengano
aggiornati ogni volta
i dati relativi
al desktop.
Piccolo schermo
Noi abbiamo installato
Linux Kali su uno
smartphone con
schermo da 6 pollici,
perciò abbiamo usato
spesso le dita
per muoverci sulla
scrivania.
Il suggerimento
comunque è quello
di utilizzare
la visualizzazione
orizzontale che
permette di avere
a disposizione più
spazio sul desktop.
In assoluto, la scelta
migliore sarebbe
quella di lavorare
su un tablet,
così da lavorare
più comodamente.
35 
 SICUREZZA

a vu ln er ab ili tà di DV WA: questa volta,

Un’altr
pi am o di R ef le ct ed Cross Site Scripting!
ci occu

E
ccoci tornati al penetration
test della nostra “palestra
per pentester”, costruita
sfruttando la
virtualizzazione. Da qualche figura #1
puntata abbiamo spostato
la nostra attenzione sulla
componente applicativa
del servizio Web usando Damn
Vulnerable Web Application.
Forti della piena proprietà
dell’infrastruttura testata,
abbiamo avuto la possibilità L’homepage del server Web.
di testare e sfruttare a nostro
vantaggio la vulnerabilità nota
come RCE (Remote Command dei controlli sull’input utente, di exploiting. Che si tratti di una
Execution), riuscendo a ottenere riesce a utilizzare codice lato client vulnerabilità stored o piuttosto
addirittura una shell sulla (tradizionalmente JavaScript, ma reflected, la procedura d’attacco
macchina Web Server della nostra anche altri linguaggi si prestano è tutto sommato la stessa.
palestra. In questa puntata avremo perfettamente allo scopo) per 1 L’attaccante fornisce
modo di esplorare un’altra creare un effetto malevolo di tipo all’applicazione (per esempio, nella
vulnerabilità molto diffusa permanente o temporaneo. Nel casella di testo per la ricerca di
in ambito Web, denominata primo caso, l’attacco è detto stored contenuti presente praticamente
Cross Site Scripting (XSS). XSS, mentre nel secondo (di cui ci nella totalità delle Web app) un
occuperemo in questa puntata) input malevolo, costituito da codice
VULNERABILITÀ DEL WEB è detto reflected. Entrambe le per l’esecuzione di una qualche
Si tratta di una tecnica nella quale tipologie di Cross Site Scripting, attività (per esempio, il codice
l’attaccante, facendo leva comunque, condividono – di per sé innocuo – <script
sull’assenza (o sull’inadeguatezza) le medesime cause e tecniche type=’text/javascript’>alert(‘xss’);

 36

</script>, che si limita a visualizzare
una finestra di dialogo a video);
2 L’applicazione non effettua una
sufficiente validazione dell’input
fornito dall’attaccante, e si limita
a usarlo così com’è, provvedendo
alla sua esecuzione in tempo reale
(se abbiamo una vulnerabilità
di tipo reflected) oppure
all’inserimento permanentemente
in una delle proprie pagine
dinamiche (XSS di tipo stored);
3 A questo punto, l’attaccante
dispone di un URL, relativo a una
pagina della Web app vittima,
in grado di eseguire il codice
malevolo iniettato: può usarlo,
per esempio, per rubare i cookie
di sessione di utenti legittimi,
assumendone l’identità.
LOGIN A DVWA
Piuttosto che proseguire con
la descrizione teorica della
vulnerabilità, è senz’altro più
d i t e s t c o m p l e t o
Un ambiente
Internet
Backbone
211.100.1.1
210.100.1.2
PENETRATION TEST
interessante vedere l’attacco dal
vivo. A tal fine occorre effettuare
innanzitutto il login all’applicazione,
selezionando il relativo link
presente sull’homepage del server
Web [figura #1], oppure digitando
nella barra degli indirizzi del
browser l’URL http://www.
labpentest.hj/dvwa. Verrà
visualizzata la schermata di login:
come visto nelle scorse puntate,
per scoprire le credenziali da
utilizzare è sufficiente scorrere
sino al fondo la pagina (username
admin e password password).
Una volta completata questa
operazione, possiamo selezionare
il livello di sicurezza desiderato
(iniziamo con quello più semplice
da attaccare, ovvero il livello low),
modificando l’opzione di default
che invece è high. A tal fine
è necessario:
• cliccare sulla voce DVWA
Security nel menu posto nella
211.100.1.2
Router
212.100.1.1
Pentester
210.100.1.1
parte sinistra della pagina;
• selezionare il livello di sicurezza
low nell’apposito menu a tendina;
• premere il pulsante Submit per
confermare la scelta e verificare
che l’indicatore del livello di
sicurezza dell’applicazione
(Security Level), ben in evidenza
nell’angolo in basso a sinistra
di ciascuna pagina di DVWA,
si modifichi di conseguenza.
ESAME DELLA WEB APP
Come di consueto, prima di
lanciarci nell’attacco è importante
dedicarsi innanzitutto allo studio
della Web application. La pagina
relativa alla vulnerabilità è
raggiungibile mediante il link
reflected XSS, posto nel menu
di navigazione visibile a sinistra
dell’homepage di DVWA.
Il funzionamento sembra semplice:
la pagina accetta una stringa come
input (nelle intenzioni dello
Rete
Target
Server
212.100.1.3 FTP
212.100.1.2
Server
Web
37 
 SICUREZZA
sviluppatore, il nome di battesimo
dell’utente), che utilizza per
presentare un messaggio di saluto
personalizzato. Per esempio, se
digitiamo nella casella di testo
la parola prova [figura #2],
l’applicazione ci restituisce il
messaggio Hello prova [figura
#3]. Si tratta, potenzialmente,
del migliore scenario possibile
per sferrare un attacco XSS: l’input
utente viene passato a una pagina
del sito Web, da cui viene trasferito
al browser dell’utente per la sua
visualizzazione e/o esecuzione
(qualora si tratti di codice
figura #2
Inserimento dell’input
nella Web application.
eseguibile lato client, come
JavaScript). In assenza di filtri
specifici, quindi, potrebbe essere
sufficiente inserire il nostro
codice malevolo nella casella
di testo per vederlo eseguito
dal browser degli utenti…
PROVA DI FATTIBILITÀ
Per verificarlo, non ci resta che
provare a fornire all’applicazione
un vettore di attacco di per sé
inoffensivo, ma in grado di
confermare l’esistenza della
vulnerabilità. Stiamo parlando,
cioè, di quella che in gergo
si chiama proof-of-concept:
la dimostrazione inequivocabile
della presenza di una falla e della
possibilità di sfruttarla per scopi
illeciti, ottenuta senza ricorrere
a un vettore d’attacco in grado
di danneggiare concretamente
il bersaglio. Nel nostro caso,
possiamo utilizzare come
proof-of-concept la stringa
<script>alert(“prova”);</script>
che, qualora eseguita, si limita
a visualizzare a video una finestra
di dialogo contenente la stringa
“prova”. Per quanto possa
sembrare strano, si tratta di una
minaccia tutt’altro che innocua:
un esito positivo della nostra
verifica si tradurrebbe nella
possibilità di poter eseguire codice
JavaScript arbitrario nel browser
dell’utente finale, con risultati
limitati solamente dalla creatività
dell’attaccante.
Procediamo quindi a inserire
la stringa all’interno della casella
di testo [figura #4] e clicchiamo
sul pulsante Submit: al posto

DVWA, dannatamente vulnerabile!

Damn Vulnerable Web Application (http://www.dvwa.
co.uk/) è un’applicazione Open Source sviluppata in PHP,
e costituisce un ottimo punto di partenza per chi volesse
apprendere le basi dell’attività di pentesting in ambiente
Web. Consente di confrontarsi con le principali
vulnerabilità rilevabili nel mondo reale, offrendo all’utente
un percorso di difficoltà crescente. Per ciascuna
vulnerabilità di cui è intenzionalmente affetta, DVWA
dispone (nella versione presente nativamente nella
VM Metasploitable impiegata sul nostro server Web)
di tre diversi livelli di difficoltà, direttamente proporzionali
alla complessità del relativo processo di attacco:
• il livello low consente di familiarizzare con la
vulnerabilità senza alcun filtro e rappresenta il punto
di partenza per i meno esperti, ai quali mette
a disposizione un ambiente ideale per familiarizzare
con la vulnerabilità stessa, con le tecniche per rilevane
la presenza e, soprattutto con i pattern d’attacco;
• il livello medium, al contrario, offre
un’implementazione (sebbene parziale) di alcune delle
contromisure pensate per evitare gli attacchi diretti
contro la vulnerabilità, e rappresenta pertanto una sfida
più complessa e stimolante. In questo modo
l’attaccante, nel vedere frustrati gran parte degli
attacchi andati a segno nel livello precedente
(se non tutti), è costretto a ideare nuovi stratagemmi
per sfruttare la vulnerabilità, confrontandosi di
conseguenza con situazioni e contesti più vicini a quelli
riscontrabili nel corso di un vero penetration test;
• infine, il livello high mette in campo difese più
elaborate che, nelle intenzioni degli sviluppatori,
dovrebbero eliminare la vulnerabilità di cui sono
affetti i livelli precedenti. Rappresenta un esempio
di applicazione ben progettata e implementata,
dinanzi alla quale – a meno di bug non intenzionali
– non c’è attacco che tenga.

 38

del messaggio di saluto visto
in precedenza, verrà visualizzata
una finestra di dialogo che
presenta, per l’appunto, il testo
“prova” [figura #5].
ATTACCARE
L’AUTENTICAZIONE
Una volta provata l’esistenza della
vulnerabilità, non ci resta che
sfruttarla per qualcosa di più
interessante che un semplice
messaggio di prova. Le funzionalità
offerte da JavaScript ci offrono
diverse opzioni; in questa sede,
tuttavia, opteremo per un attacco
rivolto alla sessione utente. Come
visto all’inizio di questa nostra
verifica, prima ancora di iniziare
il solo esame della Web app,
la prima operazione che abbiamo
eseguito è stato il login. Solo
successivamente abbiamo potuto
visualizzare le pagine per la
selezione del livello di sicurezza di
Damn Vulnerable Web Application
e quelle relative alla vulnerabilità
XSS, poste all’interno dell’area
privata dell’applicazione. Se ci
pensiamo bene, tuttavia, dopo
il login iniziale non è stato più
necessario fornire le nostre
credenziali d’accesso: ciò significa
che la Web application “ricorda”
la nostra identità. Ma in che modo?
PENETRATION TEST
figura #3
L’esecuzione
del proprio compito
da parte della
Web application.
Contrariamente a quanto
potremmo immaginare,
l’associazione non avviene tramite
indirizzo IP: possiamo verificarlo
richiedendo la visualizzazione della
pagina relativa alla vulnerabilità
XSS attraverso un download
manager, come wget.
Se eseguiamo il comando
# wget http://www.labpentest.
hj/dvwa
che, per l’appunto, richiede
la visualizzazione della pagina
in questione, il risultato è quello
rappresentato in [figura #6].
Il server Web ci restituisce
l’homepage di DVWA perché,
evidentemente, non ha alcuna
traccia della nostra identità
e pertanto ci richiede di procedere
con l’autenticazione.
COOKIE DI SESSIONE
Possiamo quindi escludere
che il metodo per l’identificazione
dell’utente si basi sull’indirizzo IP:
ma allora, qual è la tecnica
impiegata? La risposta è semplice:
Secondo una ricerca di precisesecurity.
com, quasi il 40% di tutti i cyberattacchi
del 2019 sono stati di tipo XSS
si tratta dei cosiddetti cookie di
sessione, che vengono impiegati
nell’ambito del colloquio tra client
e server. Nello specifico, il processo
per tener traccia dell’identità
di un utente a seguito del login
si compone di più fasi:
1 l’utente inserisce le proprie
credenziali nella schermata di login
della Web application;
2 la Web app verifica la correttezza
delle suddette credenziali e, in caso
positivo, consente l’accesso,
generando un apposito cookie
di sessione che d’ora in poi
identificherà l’utente;
3 il cookie viene trasmesso
al browser dell’utente unitamente
alla prima pagina dell’area protetta;
4 ciascuna richiesta successiva
inviata dal browser dell’utente
contiene il cookie di sessione,
consentendo così al server
di identificare l’utente stesso
senza necessità di chiedere
nuovamente l’inserimento
delle relative credenziali.
Trattandosi di una Web app
realizzata in PHP, i cookie
di sessione assumono il poco
fantasioso nome di PHPSESSID:
è proprio questo il valore
che cercheremo di visualizzare
con il nostro attacco.
L’ATTACCO XSS
Eccoci giunti al momento
dell’attacco vero e proprio.
La stringa da inserire non è molto
diversa da quella utilizzata in
precedenza: come in occasione
della nostra proof-of-concept,
cercheremo di visualizzare una
39 
 SICUREZZA
figura #4 • il cookie security, con valore low,
evidentemente utilizzato dalla Web
app per tenere traccia dell’attuale
livello di sicurezza impostato;
• il cookie PHPSESSID, l’unico a cui
siamo realmente interessati, il cui
valore – come visto – identifica
la sessione dell’utente.
Un lettore particolarmente
diffidente potrebbe obiettare che
la mera visualizzazione dei cookie
di una sessione relativa al nostro
Il testo stesso utente non costituisce,
dell’attacco... in fin dei conti, un grande risultato.
In realtà le cose non stanno

figura #5
esattamente così: poter
visualizzare i cookie di sessione
mediante ricorso a Cross Site
Scripting costituisce il preludio
– come vedremo nella prossima
puntata – ad attacchi più
dirompenti, in grado di mettere
nelle mani di un attore ostile
la sessione di un utente
inconsapevole, e con essa tutti
… e il suo risultato! i suoi privilegi e le sue informazioni.

finestra di dialogo utilizzando la PHPSESSID=d6472da785b FURTO DI SESSIONE

funzione JavaScript alert(). L’unica 75ab232a732a1c09e21a0 Per adesso, possiamo
differenza sta nell’argomento accontentarci di un esempio
fornito a tale funzione: non più una Si tratta proprio dei cookie tangibile degli effetti che un attacco
stringa fissa come “prova”, quanto di sessione dell’utente. XSS è in grado di provocare.
piuttosto il valore document. Per la precisione, sono due: Ricordate l’esempio precedente
cookie, che in JavaScript
restituisce, per l’appunto, il valore
dei cookie associati al dominio
corrente. L’argomento da inserire
nella casella di testo della Web app
diventa [figura #7]
figura #6
<script>alert(document.
cookie);</script>

Come risultato, verrà visualizzata

una finestra di dialogo con un testo
un po’ oscuro [figura #8]: Senza l’invio dei cookie di sessione,
è impossibile accedere all’area protetta
security=low; della Web application attraverso wget.

 40

con wget? Come visto, nonostante
la sessione stabilita attraverso
il browser, usando questo tool
non è stato possibile visualizzare le
pagine dell’area protetta della Web
application. Il server, infatti, ci ha
chiesto di effettuare nuovamente
il login, in quanto non ha
“riconosciuto” l’accesso eseguito
in precedenza tramite browser.
Questo comportamento, che in
precedenza ci era apparso
contraddittorio, può essere
spiegato alla luce delle conoscenze
appena acquisite: banalmente,
il server non ha “riconosciuto”
la nostra identità perché wget non
ha provveduto a comunicargliela,
non avendo trasmesso i cookie
di sessione. Adesso che siamo
in possesso della corretta chiave
di lettura, non è difficile porre
rimedio a questo inconveniente:
Ecco i cookie di sessione: attacco riuscito!
PENETRATION TEST
\
figura #7
Il testo dell’attacco per
ottenere i cookie
di sessione.
basta istruire wget a trasmettere,
unitamente alla richiesta della
pagina, anche il valore corrente
dei cookie security e PHPSESSID.
Possiamo specificare tali valori
con l’argomento --header di wget:
# wget --header=“Cookie:
security=low; PHPSESSID=
d6472da785b75ab232a732a1c09e21a0”
http://www.labpentest.hj/dvwa
richiede per l’appunto la
visualizzazione della stessa pagina
che ci è stata negata in precedenza,
con l’accortezza dell’invio del valore
dei cookie di sessione. La pagina
scaricata coincide con quella vista
nel corso della verifica, un risultato
di tutto rispetto, eppure gli attacchi
XSS possono fare di più: per
scoprirlo non vi resta che
attendere il prossimo numero.
figura #8
Tre anni
di galera
Chiunque abusivamente
si introduce in un sistema
informatico protetto da misure
di sicurezza ovvero vi si
mantiene contro la volontà
espressa o tacita di chi ha il
diritto di escluderlo, è punito
con la reclusione fino a 3 anni.
Cosa significa questa frase, vista
nell’ottica di un penetration
tester? La risposta è semplice:
per quanto buone possano
essere le vostre intenzioni, mai
eseguire un penetration test
(o anche solo una parte di esso)
su sistemi che non siano di
vostra proprietà, a meno che
non disponiate di un apposito
permesso scritto da parte di tutti
i proprietari dell’infrastruttura
da testare. Ovviamente, per
“permesso scritto” non stiamo
parlando certo di una semplice
mail (soluzione che qualcuno
potrebbe proporvi), ma piuttosto
di un documento formale
(la cosiddetta manleva) in cui si
stabilisce, tra l’altro, quali siano
i sistemi da testare, che tipo
di test effettuare e i vincoli
a cui dovete attenervi. È questo
documento (e il rispetto dei
relativi termini) che differenzia
un penetration tester (ovvero
un professionista) da un volgare
pirata informatico.
41 
 SICUREZZA
.1 quale gateway
nsmallinux.org/ • l’indirizzo 211.100.1
all’URL http://www.dam 210.100.1.0/24
per accedere alla rete

Costruire download.htm l);

Rete: due schede di ret
e, la prima

la palestra #4
a di nome
connessa alla rete intern
“intnet”, la seconda alla rete interna Server Web
ux
di nome “intne t1”; Sistema operativo: Lin
tuito e: eseguire
L’ambiente di test è costi Configurazione di ret
una shell
(Linux 2.4 a 32 bit);
uite i seguenti comandi da RAM: 256 MB;
da macchine virtuali eseg con i privilegi di root: Disco fisso: selezionare
l’opzione
nel e esistente”,
in modalità Live (da ISO “Usa disco fisso virtual
con estensione
so no quindi scegliere il file
nostro caso). Di seguito #ifconfig eth0 up
.100.1.2 “vmdk” posto all’ int ern o de l file
ni di #ifconfig eth0 210
riassunte le impostazio netmask 255.255.2
55. 0 compresso scarica to all’ind irizzo
ione /pr cts/
creazione e di configuraz
oje
#ifconfig eth 1 up https://sourceforge.net
virtuale: .100.1.1 metasploitable/;
per ciascuna macchina #ifconfig eth1 211
55.0 Rete: una scheda di ret
e, connessa
netmask 255.255.2
v4.ip_forward=1 ern a di no me “intnet2”;
#sysctl -w net.ip alla rete int
e: eseguire
.100.1.0/24 Configurazione di ret

#1
#route add -net 212
Pentester gw 211.100.1.2 i seguenti comandi
roo
da
t:
una shell

ux con i privilegi di
Sistema operativo: Lin
(Ubuntu a
RAM: 1024 MB;
64 bit);
#3 Router
Sistema operativo: Lin
ux
#sudo ifconfig eth
255.255.255.0
0 212.100.1.2

Disco fisso: nessuno; #sudo route add def

ault gw
gere, a creazione (Other Linux - 32 bit );
Archiviazione: aggiun 212.100.1.1
ntroller IDE RAM: 256 MB;
avvenuta, un nuovo Co
alla macchina virtuale,
ins erendovi Disco fisso: nessuno;

#5
per la macchina
re all’URL Archiviazione: come
Server FTP
(da sca rica
l’ISO di Kali Linux ezi on ando l’ISO
.ka li.o rg/ do wn loa ds/); Pentester, ma sel
https://www rica re all’URL
e, con ssa
ne di Zeroshell (da sca ux
Rete: una scheda di ret et/download/); Sistema operativo: Lin
alla rete interna di nome
“intnet”; http://www.zeroshell.n (Linux 2.4 a 32 bit );
ret e, la prima
Configurazione di ret e: eseguire Rete: tre schede di RAM: 64 MB;
e “so lo host” vboxnet0
i seguenti com and i da un a shell connessa alla ret Disco fisso: nessuno;
parametri per la macchina
con i privilegi di roo t: per l’impostazione dei Archiviazione: come
restanti
di configurazione delle Backbone;
alla rete interna e, connessa
# ifconfig eth0 210
.100.1.1/24 interfacce, la seconda Rete: una scheda di ret
t1” , la ter za alla rete “intnet2”;
# route add default gw di nome “intne alla ret e intern a di no me
no me “in tne t2” ; e: eseguire
210.100.1.2 interna di Configurazione di ret
e: dall’interfaccia
Configurazione di ret i seguenti comand i da un a shell
ibil e dal browser
Web di Zeroshell (fru ep orr e sem pre

#2
ricordando di ant
indirizzo
Backbone della macchina
http://19 2.1 68.
fisi
0.7
ca,
5, pre
all’
via i privilegi di roo t:

Sistema operativo: Lin

ux rname admin
autenticazione con use #ifconfig eth0 up
(Linux 2.4 a 32 bit); ell) , im postare:
e password zerosh #ifconfig eth0 212
.100.1.3
RAM: 64 MB; .10 0.1 .2 e netmask
• l’indirizzo 211 netmas k 255.255.255.0
Disco fisso: nessuno; 5.2 55. 0 pe r l’in ter faccia ETH01;
255.25 te add default gw
per la macchina tmask # rou
Archiviazione: come • l’indirizzo 212.100.1
.1 e ne
212.100.1.1
, ma sel ezionando l’ISO r l’in ter fac cia ETH02;
Pentester 255.255.255.0 pe
scaricare
di Damn Small Linux (da

op erto ch e i com pu te r Dell erano soggetti

sc
Lo scorso maggio si è ln erab ilità ne l softw are di assistenza
a di una vu
ad attacchi RCE a caus entiv a di in st al la re ed eseguire malware
e cons
remota SupportAssist ch

 42
HOW TO
maker e biometria La password e il tuo battito
,

Encrypt Buddy, un hack che trasforma il tuo cuore nella chiave d’accesso...................................... 44

hacking con kali Craccare le password, parte 3

Come ottenere l’accesso al sistema anche da offline.................................................................................48
 HOW TO
La password
E il tuo battito! , un hack che trasforma il tuo cuore
nella chiave d’accesso al PC o agli hard disk cifrati
IN BREVE 
Costruiamo un sistema
di protezione biometrico
basato sul cuore
DIFFICOLTÀ
LO SCHEMA
DEL PROGETTO
I ragazzi del team
Inquisicion.sh sono partiti
da un Arduino e da un
sensore di battito cardiaco.
 44
G
arantire un accesso sicuro
a servizi online, hard disk
cifrati o altri device non è
proprio una passeggiata.
Le password vengono scoperte
(come si può intuire seguendo gli
articoli che siamo facendo in merito,
vedi pagina 48), i sistemi biometrici
non sono poi così impossibili da
hackerare… e via dicendo. Allora,
non appena abbiamo visto uno dei
progetti finalisti della tappa torinese
del Campionato Universitario
Makers (https://campunimakers.it/)
abbiamo pensato che, pur essendo
un “embrione” di progetto, possa
interessare ai nostri lettori.
BIOMETRIA
Stiamo parlando
di Encrypt
Buddy, un
meccanismo
pensato per
sbloccare
dischi cifrati,
casseforti o
altri device.
La normale password serve sempre,
ma ad essa si aggiunge una feature
aggiuntiva (da qui il nome Buddy)
che integra un ulteriore livello
di protezione alle altre misure
di sicurezza messe in campo. Il tutto
è pensato in modo da permettere
il trasporto sicuro di informazioni
sensibili (da qui il nome Encrypt).
Il device si collega a una porta USB
ed è composto da diversi dispositivi
elettronici, tra cui un sensore di
impronte digitali e un sensore di
battito cardiaco, con un programma
di decriptazione incorporato che può
essere eseguito su diversi sistemi
operativi. Esso decripta le
informazioni presenti sul computer
tramite l’impronta digitale dell’utente
(usata come token) e il battito
cardiaco come requisito aggiuntivo,
distruggendo i dati in caso di accesso
non autorizzato. Lo scopo è disporre
di un token portatile, unico per ogni
persona, che non permetta lo sblocco
di informazioni sensibili né tramite
repliche delle impronte né forzando
la persona stessa.

I CAMPI DI UTILIZZO
Il lettore si immagini il seguente
scenario: una compagnia
tecnologica affida a un impiegato
il trasporto di merci di grande
valore dal quartier generale
a un altro centro specializzato
in ricerca e sviluppo.
La tecnologia in questione
è completamente nuova e
potrebbe dare alla compagnia
il primato sul libero mercato.
Se un’azienda rivale volesse
giocare sporco e cercare di
mettere le mani su tale risorsa
non potrebbe, in quanto
il contenitore, oltre a essere
bloccato in modo sicuro,
avrebbe bisogno che la persona
incaricata si trovi in uno stato
di tranquillità. Il lettore potrebbe
però obiettare: “L’altra
compagnia non potrebbe
estrarre le informazioni con
la forza?”. Se fosse eseguito
un attacco di tipo brute force,
si attiverebbe il protocollo
di sicurezza andando a popolare
i dati con bit casuali, rendendoli
così inutili. Questo dispositivo,
inoltre, potrebbe essere usato
in altre aree professionali che
trattano dati sensibili come
SENSORE ECONOMICO
Il KY-039 usato in questo prototipo
costa poco più di un euro.
MAKER E BIOMETRIA
società di revisione contabile,
operazioni governative
o individui come avvocati
specializzati in brevetti, ecc…
MA COME FUNZIONA?
Ci siamo fatti spiegare il
funzionamento di Encrypt Buddy
direttamente dai ragazzi
che lo hanno realizzato.
«Il nostro prototipo consiste
di varie parti elettroniche di
serie, le quali si sono però
rivelate inaffidabili durante
i test, ma che hanno funzionato
abbastanza bene come
compromesso per mostrare
la nostra idea. Inoltre, per far
funzionare il dispositivo, è stata
introdotta un’implementazione
semplificata dell’impronta
digitale come metodo di
autenticazione. Il circuito,
abbastanza semplice, consiste
in un sensore di battito cardiaco
KY-039 e un Arduino che legge la
sua uscita in modo analogico
(lettura della tensione). Il KY-039
è un sensore elettronico che
consiste di un LED a infrarossi,
una resistenza e un fotoresistore
(transistor che permette
il passaggio di corrente in base
a quanta luce lo colpisce)».
«Il principio di funzionamento
è il seguente: il LED a infrarossi è
alimentato e diretto esattamente
contro un pezzo di plastica con
due terminali. Il dito dev’essere
messo esattamente sotto questa
plastica che ha, al suo interno,
un fotoresistore che, in base
a quanta luce il dito riflette,
permette un passaggio
di corrente che porta a una
variazione di tensione.
Il quantitativo di luce riflessa
Team
Inquisicion.sh
S
copriamo chi sono i ragazzi
del team che ha ideato
e creato questo ingegnoso hack.
Adrian Sager La Ganga
Sono nato in Spagna. Fin da
piccolo mi sono interessato
all’ottimizzazione di compiti
usando automazioni, o nel
mettere in pratica
fantastiche idee usando
algoritmi artigianali e un po’
d’immaginazione. Ricordo le
giornate passate con i miei amici a
giocare PvP in un server Minecraft,
mentre io passavo tutto il tempo
nella base facendo magia nera con
la Redstone. Frequento il corso di
Laurea Triennale in Computer
Engineering al Politecnico di Torino.
Samuel Oreste Abreu
Sono nato e cresciuto in
Venezuela. Il percorso in cui
mi sto immergendo si basa
sulla convinzione che il
ragionamento umano può
essere modellato in modo
matematico e successivamente
emulato, e come tale mi si
potrebbe chiamare accolito
o sostenitore dell’Intelligenza
Artificiale Generale (AGI, vedi per
esempio https://it.wikipedia.org/
wiki/Intelligenza_artificiale_forte).
Frequento il corso di Laurea
Triennale in Computer Engineering
al Politecnico di Torino.
Jacopo Marino
Sono nato a Cuneo.
Fin da piccolo ho avuto una
passione verso la tecnologia.
Ricordo i primi tempi passati
su Internet usando un
modem a 56K e le modifiche
fatte al mio computer fisso.
Sostenitore dell’utilizzo dei
computer per migliorare la vita alle
persone e per rendere il mondo un
posto migliore, frequento il corso
di Laurea Triennale in Ingegneria
Informatica al Politecnico di Torino.
45 
 HOW TO
CUORE DA MAKER
Arduino è l’anima di ogni
progetto elettronico creato
dagli artigiani digitali
cambia in
base a come
il sangue fluisce
all’interno del dito».
«Nella creazione del programma
per Arduino le cose cominciano
a diventare complesse:
com’è risaputo, essendo
un microcontrollore, ogni
informazione che riceve
dal mondo reale è interpretata
come digitale (nel nostro caso
CAMPIONATO
UNIVERSITARIO
MAKERS
È il primo torneo itinerante italiano
di realizzazione di progetti
dell’Internet of Things (IoT) del
mondo Maker, dedicato agli studenti
universitari. L’edizione 2020 partirà
il 6 marzo da Bari. campunimakers.it
 46
la differenza di potenziale
letta alla porta analogica
è comparata con la tensione
di riferimento della scheda,
ottenendo come risultato
un numero compreso
tra 0 e 1023 in base alla tensione
letta). Questa informazione
deve essere elaborata e quindi
diventa necessario disporre
di un modello matematico.
I dettagli implementativi
del codice verranno omessi,
ma il flusso di lavoro eseguito
è il seguente:
1 Setup iniziale di Arduino
(setup del monitor seriale,
attivazione delle porte digitali
e analogiche, ecc…).
2 Un certo numero di misure
è effettuato e successivamente
ne viene calcolata la media,
in modo tale da ridurre l’errore
di lettura (filtraggio dei dati).
3 Usando il modello sopra citato,
le misurazioni vengono tradotte
in un valore BPM (battiti
al minuto).
4 I dati ottenuti vengono
processati dal programma
in Python (si veda il paragrafo
successivo).
5 Vengono iterati i passi 2, 3 e 4.
Le password che usiamo sono uno
dei nostri talloni d’Achille in termini
di sicurezza. La biometria può aiutarci
SENZA IL TOKEN
La scheda Arduino viene
associata al computer tramite
collegamento USB e ha l’obiettivo
di criptare un insieme di dati.
Nel nostro caso è stata usata
la criptazione SHA256 testata
su dei file, anche se può essere
usato direttamente su una
partizione di un hard disk.
Il codice del prototipo risulta
semplice ed è stato
implementato con il linguaggio
di programmazione Python.
Il token viene trasmesso dalla
porta seriale dell’Arduino e, una
volta ricevuto, il programma
presente sul computer si
occuperà di decriptare i dati.
Per la comunicazione seriale tra
il computer e Arduino abbiamo
usato l’estensione pyserial 3.4,
mentre per la crittografia è stato
usato il toolkit pycrypto 2.6.1.
Dopo un certo numero di
tentativi errati, dipendente dalla
sicurezza voluta, il programma
provvede a popolare i dati con
dei bit casuali, rendendoli di
fatto irrecuperabili. Ciò avviene
nel caso l’utente abbia un
numero di pulsazioni al minuto
che differisce di molto rispetto
al suo valore a riposo; questa
condizione è considerata come
dovuta a un possibile stato
di shock (oppure da attribuire
a una copia del dito!). Il codice
si può guardare online al link
https://gitlab.com/
adriansagerlaganga/
cryptobuddy.

IL CODICE CHE DECIFRA
Inizialmente, si importano
i moduli necessari (serial – per
la comunicazione via USB con
Arduino, time – per controllare
la serializzazione del codice,
crypt – per cifrare e decifrare
il filesystem) e si inizia la
comunicazione con Arduino
usando la funzione Serial
MAKER E BIOMETRIA
dell’omonima libreria. filename
sarà il file codificato da decriptare.
La variabile PWDSIZE è impostata
al valore 32 in quanto SHA256
fa uso di 256 bit, cioè 32 byte.
pwdbytes, invece, impostato con
32 byte uguali a 0x00, è usato per
indicare il token. Si legge l’input
da Arduino con arduino.read:
se si trova questa sequenza
di 32 byte uguali a 0x00
si recupera il token basato
sull’impronta digitale e il battito
cardiaco, inviato da Arduino via
seriale. Quindi si usa il token per
decriptare il file con decrypt(key,
filename). Se l’impronta digitale
non è corretta oppure il battito
non è giusto, i dati “decrittati”
non saranno leggibili.

L’ESPERIENZA CON CAMPUNIMAKERS

A bbiamo chiesto ai tre protagonisti di questo articolo
di raccontarci com’è andata la loro esperienza alla
tappa torinese del Campionato Universitario Makers.
Ecco cosa ci hanno raccontato.
Abbiamo iniziato la giornata pronti per affrontare
la sfida. Il tema di quest’anno era “Security”. Semplice,
no? Bene, abbiamo avuto diverse idee, ma nel momento
in cui ci siamo trovati con l’Arduino e le sue componenti
tra le mani abbiamo iniziato a discutere quale potesse
essere la soluzione migliore. Il primo problema
da affrontare era il seguente: “Security” significava
prevenire dei danni all’utente o tenere segreti i dati
sensibili di un’azienda? Subito siamo partiti dalla prima
via e le idee sono cominciate a fluire. Un dispositivo
che permetta di chiamare aiuto autonomamente in caso
di anomalie nei valori di temperatura, per esempio
per evitare un incendio, poteva essere un’ottima idea,
ma esiste già. Un sensore in grado di rilevare
un’intrusione sarebbe potuta essere la strada da seguire
ma, come prima, non sarebbe stato niente di originale.
Oltre a ciò, avevamo un secondo problema: alcune
componenti erano più dispendiose di altre…
Per ottenere le componenti a noi necessarie avevamo
dei crediti utilizzabili come moneta di acquisto,
perciò dovevamo scegliere in maniera oculata
le risorse da utilizzare ed eravamo bloccati.
cardiaco avrebbe aiutato a prevenire accessi non
autorizzati. Nel caso la vittima si trovi in stato di shock,
il dispositivo da proteggere è reso inutilizzabile. Siamo
andati avanti con la messa in opera della nostra idea
usando l’hardware fornito e un computer, una macchina
con sopra installato Arch Linux. Ci siamo divisi il lavoro
in modo tale da avere un compito a persona. A questo
punto, il terzo problema era ovvio: il tempo. Ad appena
mezz’ora dalla consegna non eravamo ancora riusciti
a pensare alla presentazione. Quando il tempo era finito,
la nostra unica opzione era quella di improvvisare
il nostro discorso. Ovviamente ciò non ha permesso
di trasmettere agli investitori presenti i vantaggi
del nostro prototipo. In aggiunta, non potevamo
neanche connetterci al proiettore a causa di
incompatibilità di connettori, perciò niente slide.
Alla fine, nonostante tutto, non siamo stati delusi
in quanto abbiamo visto sin dall’inizio il Campionato
Universitario Makers come un’opportunità per sfidare
noi stessi. E così abbiamo fatto. È stato anche molto
bello l’ambiente che si è creato con gli altri team
e con gli organizzatori dell’evento, nonché questo
tuffo per alcune ore in una sorta di contesto lavorativo
quasi reale.

USARE IL BATTITO COME PASSWORD

Vedendo che non stavamo facendo progressi,
abbiamo deciso di seguire la seconda strada. L’idea
era quella di rendere sicuri dati sensibili usando
la nostra migliore arma: la conoscenza tecnica.
Così, un blocco elettronico è diventato un sensore
di impronte digitali, che a sua volta è diventato
un dispositivo USB portatile. Ma non era ancora
abbastanza originale. Nessun problema: abbiamo
subito notato che aggiungere un sensore di battito

47 
 HOW TO
RTE
TERZA PA

Craccare le password!
Hai un sistema GNU/Linux e pensi che nessuno ci possa entrare?
Ecco come ottenere l’accesso al sistema anche da offline!

N
IN BREVE  ei numeri precedenti
abbiamo approfondito
Continuiamo a
il tema degli attacchi di tipo
studiare le tecniche
e gli strumenti usati online alle password.
dagli hacker per Siamo passati dagli attacchi di forza
attaccare le nostre bruta a quelli del dizionario, sino agli
chiavi d’accesso attacchi di tipo password spray:
DIFFICOLTÀ tecniche diverse, caratterizzate da punti
di forza e tempi d’esecuzione differenti.
Nonostante le diversità, tuttavia, i
metodi visti condividono il medesimo
denominatore: perché l’attacco possa
essere lanciato è necessaria
un’interazione diretta con il bersaglio.
ATTACCHI OFFLINE
Ciò si traduce in una certa “rumorosità”,
che può favorire il rilevamento
dell’attacco da parte della vittima.
Le probabilità che l’attività malevola
GLOSSARIO sia individuata, naturalmente, risultano
DI BASE tanto più alte quanto maggiori (e più
CARATTERI
SPECIALI
Usati nelle parole
d’ordine per renderle
più difficili da craccare,
sono i caratteri non
alfabetici, per esempio
!, $, #, %, _, -.
serrati) sono i tentativi di login
effettuati, ma entrano in gioco anche
fattori sui quali l’attaccante non ha
alcun controllo, come la quantità, la
qualità e la tipologie di contromisure
adottate dal sistema target. Se questi
inconvenienti sembrano eccessivi,
l’unica alternativa è quella di affidarsi
a un approccio completamente diverso.
Stiamo parlando degli attacchi offline,
che al contrario non richiedono ulteriori
interazioni con i sistemi target.
Questo tipo di attacchi, infatti, si muove
in una dimensione completamente
differente, consentendo di superare
la necessità di interrogare il sistema
target a ogni tentativo di login.
PREREQUISITI
L’idea alla base è alquanto semplice,
sebbene la sua realizzazione risulti
tutt’altro che banale: ogni sistema
figura #1
Una porzione del file
/etc/passwd utilizzato
nei nostri esempi.

WORDLIST
È un file di testo
contenente una
possibile password
per ogni riga. Questo
file viene impiegato
negli attacchi detti
“a dizionario”.

 48

che adotta un meccanismo
di autenticazione basato su
credenziali deve necessariamente
conservare in un apposito
“contenitore” (tipicamente un file
o, nei sistemi più complessi, un
database) le coppie username
e password assegnate agli utenti.
Perché, allora, non impossessarsi
di questo contenitore e provare
a “recuperare” le password
direttamente da lì? Si tratta di un
approccio che può riservare ottimi
risultati, sebbene richieda come
prerequisito l’aver stabilito – in un
momento precedente l’attacco
vero e proprio – una connessione
con il sistema target, attraverso
la quale esfiltrare il “contenitore”
delle password.
In altri termini, se gli attacchi
online sono utilizzati, per lo più,
per ottenere il primo accesso,
quelli offline consentono di
raggiungere l’obiettivo della
persistenza in un sistema al quale
l’attaccante abbia già l’accesso.
ATTACCHI A SISTEMI LINUX
Supponiamo, per esempio,
di aver ottenuto i diritti di root
su un sistema GNU/Linux.
HACKING CON KALI
Una porzione del
file /etc/shadow
utilizzato nei nostri
esempi.
figura #2
In uno scenario del genere
possiamo far ricorso agli attacchi
offline per garantirci di mantenere
l’accesso anche nel caso in cui
la vulnerabilità sfruttata venga
patchata, o se vogliamo recuperare
le password attualmente in uso
nella speranza tutt’altro che priva
di fondamento – che possano
essere adottate anche in altri
sistemi della medesima rete.
Quali che siano i nostri scopi,
per effettuare un attacco offline
dobbiamo innanzitutto
impossessarci di quello che
abbiamo definito il contenitore
delle password. Nei sistemi GNU/
Linux ciò significa accedere ai due
file /etc/passwd e /etc/shadow.
Esercitarsi in sicurezza
P rima di iniziare le nostre
sperimentazioni, è doverosa
un’avvertenza: quelli che stiamo
per illustrarvi sono strumenti
che, adoperati al di fuori della
necessaria cornice di sicurezza,
potrebbero danneggiare
infrastrutture in esercizio o farvi
passare per un vero e proprio
I FILE DELLE PASSWORD
Sì, avete capito bene: sebbene
nell’accezione comune il
contenitore venga visto, per lo più,
come un’entità unica, nei sistemi
GNU/Linux le credenziali sono
suddivise, per motivi di sicurezza,
in due diversi file. Per la precisione:
• il file /etc/passwd, accessibile
in lettura a tutti gli utenti, contiene
le informazioni di base su ciascun
account definito nel sistema,
separate dal carattere ; (punto e
virgola). Si tratta di informazioni di
natura tecnica e “anagrafica”, che
spaziano da dettagli intimamente
connessi al funzionamento del
sistema (userID, tipo di shell
associata, percorso della home
directory) a quelli relativi
all’identità personale dell’utente
(i cosiddetti campi GECOS, tra
i quali ricordiamo il nome
completo dell’utente, il suo
numero telefonico e altri recapiti);
• il file /etc/shadow contiene invece
le password di ciascun utente,
in un particolare formato offuscato
e non invertibile che avremo modo
di approfondire nella prossima
puntata. È un file accessibile
in lettura e scrittura solo agli utenti
con diritti di root, i quali tuttavia
possono limitarsi
attaccante. Se volete
evitare di essere
invischiati in beghe legali (di tipo
civile o, peggio penale!) è bene fare
esperimenti unicamente su sistemi
di vostra proprietà, magari facendo
ricorso a una macchina virtuale
(come descritto nell’articolo
sul penetration testing).
49 
 HOW TO
Il comando unshadow al lavoro.
solamente a modificare
le password in uso, senza riuscire
a ricavarne il valore attuale
(operazione resa impossibile,
per l’appunto, dalla tipologia
di offuscamento utilizzata).
Per i nostri test utilizzeremo
i file /etc/shadow e /etc/passwd
tratti dalla macchina virtuale
Metasploitable2 (https://
sourceforge.net/projects/
metasploitable/), che oltre
a fornire un certo numero di
utenze già definite, ci garantiscono
di poterci esercitare senza alcun
timore delle conseguenze penali
previste per coloro che attaccano
sistemi informatici altrui, come
descritto nel box Esercitarsi
in sicurezza.
PASSWORD CRACKER
Una volta in possesso dei due file,
la prima cosa da fare è effettuarne
una copia, che chiameremo – con
poca fantasia – shadow [figura
#1] e passwd [figura #2].
A questo punto, tutto è pronto
per il nostro attacco offline,
che effettueremo utilizzando
un tool appartenente alla classe
dei password cracker. Stiamo
parlando di John the Ripper,
 50
figura #4
Il risultato del
comando
unshadow
avviato
in figura 3.
che non a caso rientra tra gli
strumenti messi a disposizione
dalla distribuzione Kali Linux, che
utilizziamo nei nostri esperimenti
quale macchina attaccante.
Nato in ambienti UNIX, questo tool
si è poi diffuso anche nei sistemi
Windows, forte di un crescente
successo che lo ha portato
a essere uno degli strumenti più
utilizzati nel panorama della
security. I motivi del suo successo
sono probabilmente da ricercarsi
nella sua potenza e versatilità; non
a caso questo software consente
di effettuare il cracking offline
delle password adoperando
approcci diversi, modulabili
a seconda delle esigenze
La modalità single crack di John the Ripper in azione.
figura #3
e dei contesti d’uso. I valori delle
possibili password, infatti, possono
essere recuperati da un apposito
dizionario (modalità wordlist),
prodotti calcolando tutte le
possibili combinazioni di un certo
insieme di caratteri, al pari di ciò
che avviene in un attacco di forza
bruta (modalità incremental),
o ancora sfruttando le informazioni
dell’utente (username e campi
GECOS) ricavabili dal file
/etc/passwd (modalità single
crack). La documentazione di John
the Ripper consiglia di iniziare
proprio da quest’ultima opzione,
in quanto presenta due vantaggi
da non sottovalutare:
• è l’unica delle tre opzioni a
utilizzare le informazioni personali
di un utente per ricavare la relativa
password (quanti di voi hanno mai
utilizzato come chiave d’accesso
il proprio nome, il proprio
username o, peggio ancora,
il proprio numero di telefono?);
• è considerevolmente più rapida
delle restanti modalità, e può
quindi essere utilizzata per
una prima “scrematura” degli
account, in modo da affidare
figura #5

Dopo aver avviato John in modalità single crack,
rimangono ancora quattro password da craccare.
alle opzioni wordlist oppure
incremental solo le password
più complesse da scoprire.
JOHN THE RIPPER
Prima di avviare il tool in modalità
single crack, tuttavia, è necessaria
ancora un’ultima operazione
preliminare. John the Ripper,
infatti, si attende come argomento
un singolo file, dato dalla
combinazione degli archivi
/etc/shadow e /etc/passwd.
Per ottenere il file in questione,
possiamo affidarci al comando
unshadow [figura #3]:
# unshadow passwd shadow >
da_craccare.txt
Come possiamo notare [figura #4],
questo comando riesce ad
associare ogni account utente
presente nel file /etc/passwd con
la relativa password (offuscata)
indicata in /etc/shadow,
semplificando di conseguenza
il lavoro del password cracker.
A questo punto, possiamo
finalmente chiedere a John
the Ripper di lavorare
in modalità single crack:
# john --single da_craccare.
txt
OBIETTIVO RAGGIUNTO!
Nel nostro specifico caso [figura
#5], il risultato è a dir poco
eccellente: il tool riesce infatti a
individuare ben quattro password,
HACKING CON KALI
figura #6
relative ad altrettanti utenti.
Spesso, tuttavia, l’output del tool
non è immediatamente
comprensibile come in questo
esempio. Per tale motivo, il modo
migliore per conoscere gli
account craccati con successo
è quello di invocare John the
Ripper con l’argomento --show:
# john --show da_craccare.
txt
In questo modo, [figura #6],
il tool ci restituisce l’elenco delle
password individuate e dei relativi
account di appartenenza, nonché
il numero complessivo degli
account violati e di quelli per i quali
non è stato possibile scoprire
la password. Nel nostro caso,
gli account inviolati (sui quali
torneremo tra poco) ammontano
a quattro. Prima di proseguire
la nostra sessione di cracking,
tuttavia, è opportuna una
riflessione sulle password
individuate, appartenenti agli
utenti user, postgres, msfadmin
e service. Si tratta di utenti
per i quali sono state adottate,
in maniera a dir poco sprovveduta,
password identiche al relativo
ATTACCHI ONLINE
G li attacchi online, che ri-
chiedono un’interazione di-
retta con il sistema target,
si suddividono in:
• attacchi di forza bruta,
nei quali l’attaccante prova a
sottoporre al sistema tutte le
possibili combinazioni di carat-
teri, sino a individuare la pas-
sword di un determinato utente;
• attacchi a dizionario,
che ricercano la password
dell’utente in apposite collezio-
ni – i cosiddetti dizionari – co-
struite cercando di prevedere la
parole (o sequenze di caratteri)
sulle quali più spesso ricade la
scelta degli utenti;
• attacchi di tipo pas-
sword spray, in cui si ribalta
il punto di vista: anziché cerca-
re la password scelta da un cer-
to utente, si stabilisce una de-
terminata password, verificando
se qualcuno degli utenti l’abbia
scelta come propria.
username: una scelta banale
e del tutto sconsigliata, ma
difficilmente rilevabile adottando
esclusivamente un approccio (a
prima vista più completo) basato
su wordlist o sul bruteforce.
Se infatti una password come
Qui sfruttiamo la modalità wordlist
di John the Ripper.
figura #7
51 
 HOW TO
“user” può costituire una scelta
abbastanza inflazionata – e quindi
suscettibile di essere inclusa in un
dizionario – non si può certo dire
lo stesso di una password come
msfadmin, che peraltro costituisce
il bottino più prezioso della nostra
sessione di cracking in quanto
è relativa a un account con privilegi
di sudo, ovvero in grado di
effettuare operazioni con privilegi
di amministratore.
MODALITÀ WORDLIST
In una verifica di sicurezza
o, peggio, in un attacco reale,
conseguire un tale risultato
costituirebbe la “pietra tombale”
dell’attività, in quanto ci
consentirebbe di prendere il pieno
controllo del sistema. Nel nostro
caso, però, non vogliamo
accontentarci: piuttosto, proviamo
a vedere se la modalità wordlist
è in grado di migliorare il bottino
appena acquisito. Prima di avviare
nuovamente il tool dobbiamo
individuare il dizionario di
potenziali password da fornire in
pasto a John: la distribuzione Kali
ci mette a disposizione, nella
directory /usr/share/wordlists,
numerose wordlist in grado di
 52
Nonostante i nostri tentativi, ci sono
ancora due password da individuare.
venire incontro a tutte le esigenze.
A seconda delle nostre necessità
e del contesto in cui ci muoviamo,
possiamo utilizzare un dizionario
particolarmente corposo come
quello denominato rockyou
(accessibile, inversione compressa,
al percorso /usr/share/wordlists/
rockyou.txt.gz) oppure uno più
snello e mirato, come il dizionario
adobe_top100_pass.txt. Per il
nostro prossimo test utilizzeremo
una via di mezzo, la wordlist
burnett_top_1024.txt, che
provvediamo innanzitutto
a copiare nella directory corrente
# cp /usr/share/wordlists/
metasploit/burnett_top_1024.
txt password.txt
A questo punto, possiamo avviare
John the Ripper in modalità
wordlist, con il comando
#john --wordlist=password.txt
da_craccare.txt
Il risultato, [figura #7], premia
i nostri sforzi: abbiamo individuato
altre due password (nello specifico,
123456789 e batman) associate
agli utenti sys e klog.
figura #8
MIGLIORARE I RISULTATI
Con gli ultimi due account violati,
abbiamo portato a sei il nostro
bottino complessivo. Rimangono
tuttavia ancora due password
da scoprire, come ci conferma
lo stesso tool [figura #8]:
# john --show da_craccare.txt
Se non vogliamo accontentarci
dei risultati conseguiti, ci sono
due possibili strade da seguire:
ricorrere nuovamente alla
modalità wordlist, scegliendo
stavolta un dizionario diverso
o magari più corposo, oppure
provare la modalità incremental.
Se quest’ultima idea dovesse
stuzzicarvi, allora sappiate che
dovete armarvi di parecchia
pazienza. Per un attacco di forza
bruta effettuato utilizzando
esclusivamente caratteri alfabetici,
il comando da eseguire è:
# john --incremental=alpha
da_craccare.txt
Provate a lanciarlo prima di uscire
di casa, chissà che al vostro ritorno
non troviate qualche bella
sorpresa…
figura #9
La modalità incremental di
John the Ripper in azione.
hackerjournal.it

Il punto di riferimento per chi fa dell’hacking

una filosofia di vita
La crew di Hacker Journal ti aspetta ogni giorno sul suo nuovo sito Web, il ritrovo della sua ricca comunità
hacker. Troverai anticipazioni degli articoli, news dal mondo della (in)sicurezza, contest, offerte speciali e
un forum che vuole essere il punto di riferimento per chiunque voglia diventare un esperto di sicurezza.
In un periodo storico in cui governi e multinazionali si divertono a spiare tutto e tutti, sulle
pagine della rivista e sul suo sito scoprirai come difenderti e contrattaccare. #HJisBACK

Scopri il sito e la comunità di Hacker Journal

Forum: iscriviti subito e inizia a dialogare con la redazione e la comunità di HJ
• News: le ultime notizie su cyberintrusioni, furti
di credenziali, bug, malware e altro ancora
• Contest: metti alla prova le tue conoscenze
con i giochi e le sfide della redazione
• Collezione HJ: i vecchi numeri della rivista,
in PDF, da scaricare
• Invia un articolo: ti piace scrivere e hai un’idea
originale per un articolo? Inviacela e la valuteremo!
 HACKULTURE
LA STOR I A D I Z E T U N
Ra g a zi gior no,
z i n o t i m i d o d
s p i e t a t o d i n o t t e
h a c ke r
N
icolas (nome
di fantasia), in Rete
sotto i nick “Theeeel”
o “Zetun”, è stato uno
dei più giovani hacker francesi
e sicuramente uno dei più abili
al mondo nella falsificazione
di carte di credito. Parte
di un gruppo di hacker sparsi
IL MANIFESTO
HACKER
N el numero 7 di Phrack (http://
phrack.org/issues/7/3.
html#article), la rivista underground
dedicata al mondo hacker, Loyd
Blankenship, conosciuto come The
Mentor, pubblica il suo breve saggio
intitolato The Hacker Manifesto
(ribattezzato poi “La coscienza di un
hacker”). The Mentor lo pubblica
dopo essere stato arrestato per una
cyberintrusione. È uno dei testi più
importanti della cultura digitale
underground, diventa uno dei più
diffusi e importanti testi degli anni
Novanta per i giovani che scoprono
che con i computer si possono fare
moltissime cose, non solo usare
Excel. Nel film del 2010, The Social
Network, che racconta la storia
di Mark Zuckerberg, un poster
con il testo del manifesto
è appeso nella camera di Mark
nel dormitorio di Harvard.
 54
in tutto il mondo (dall’Ucraina
al Brasile), è stato beccato
a Parigi nel 2007 per colpa
di un piccolo, quasi irrilevante,
dettaglio: è andato online
con il suo vero indirizzo IP.
UN RAGAZZO COME TANTI
Nicolas nasce alla fine del 1989
e vive nella “banlieue” di Parigi.
I genitori sono due persone
comuni: uno lavora negli affari,
l’altro è consulente scolastico.
Timido e introverso, si avvicina
al mondo hacker a soli sei anni,
quando legge l’Hacker
Manifesto in un numero
della rivista Phrack. Da quel
momento il computer e
l’hacking diventano le due cose
più importanti nella sua vita.
L’HACK A CARAMAIL
Gli anni passano e le sue
capacità migliorano a vista
d’occhio. Un pomeriggio dopo
la scuola riesce a bucare
CaraMail, un importante
servizio di Webmail francese,
utilizzando un semplice
privilege escalation: “bastava
accedere al codice sorgente
e quando arrivavi
all’autenticazione, cambiavi
il codice in ‘Admin = 1’
per diventare amministratore”
afferma in un’intervista. Proprio
nella chat del forum di CaraMail
incontra un utente chiamato
Dadoo, che gli parla di carte
di credito rubate e gli spiega come
sfruttarle. Ne prende una e la usa
per comprarne altre online.
LA NASCITA DEL GRUPPO
Comincia così a frequentare
forum sul Dark Web come
Mazafaka (dove vennero
reindirizzati molti degli utenti attivi
in ShadowCrew dopo la sua
chiusura), Carder e MyBazaaar,
tutti siti utilizzati da pirati di mezzo
mondo per i loro loschi traffici
(dalla vendita di carte false allo
smercio di droga). È lì che fa
amicizia con “Lord Kaisersose”,
“Maksisk”, “Junkee Funkee”
e “Drondon”, tutti hacker più
anziani di lui e che diventeranno
suoi complici. Infatti, nel 2003,
a 13 anni, quello delle carte
di credito rubate e falsificate
diventa un lavoro vero. Il gruppo
è compatto e sparpagliato
nel mondo: smerciano decine
di migliaia di carte, ottenute
hackerando siti di e-commerce
a cui sottraggono i dati dei clienti.

Colpiscono soprattutto utenti
con conti gold o platinum,
sia perché ritengono più facile
fregare i ricchi, sia perché non
vogliono colpire chi è povero.
SHOPPING FOLLE
Gli affari vanno a gonfie vele
e la soffitta di casa sua diventa
un grande magazzino: televisori
costosissimi, tutte le console
sul mercato e decine di giochi,
montagne di gadget e abiti firmati.
Ma lui vuole di più: acquista online
per 500 euro un enconder
MSR206, uno strumento per
leggere e scrivere dati sulle bande
magnetiche, insieme a un attrezzo
che permette di incidere in rilievo
I pirati del nostro tempo
Due libri che parlano degli hacker della nostra epoca
Ci sono due libri che raccontano
parte della storia di Nicolas
e dei suoi colleghi. Il primo
è una raccolta di saggi scientifici
curata da Kevin F. Steinmetz
e Matt R. Nobles che analizza
i cambiamenti sociali che hanno
portato all’emergere della
criminalità digitale: si intitola
“Technocrime and
Criminological Theory”.
Il secondo è stato scritto
dal giornalista d’inchiesta Misha
numeri e ologrammi sulle carte.
Inizia così a fabbricarle lui stesso,
un’attività decisamente più
remunerativa. Nicolas in questo
momento guadagna 50mila euro
al mese. A sedici anni ne ha già
messi via più di un milione, che
investe nella criptovaluta E-gold,
ma la moneta digitale scoppia
come una bolla e lui perde tutto.
Ma non è grave perché continua
a guadagnare cifre folli.
BECCATO DALLA MADRE
Aprendo un album di fotografie,
la madre scopre un centinaio
di carte. Nicolas le butta via e le
promette di smettere, ma mente.
Continuerà anche dopo che
il dirigente della sua scuola lo
convoca, pregandolo di smettere,
qualsiasi cosa stia facendo, perché
lo stanno cercando.
L’ERRORE FATALE
A maggio del 2007, a 17 anni,
è a casa della sua ragazza quando
si ricorda che deve chiudere una
transazione da 80mila euro.
Lo fa dal computer di lei, che non
Glenny (autore di “McMafia”)
e si intitola “DarkMarket: How
Hackers Became the New
Mafia”. È l’unico libro che
racconta seriamente la
contraddizione dei cybercriminali
nella nostra società: da un lato
vengono perseguiti in tutti i modi
possibili, dall’altra i governi
cercano di sfruttare al massimo
le loro competenze digitali.
Entrambi i libri attualmente sono
disponibili solo in inglese.
ZETUN
è protetto come il suo, e viene
individuato. Errore fatale: il Secret
Service americano, che si occupa
di reati valutari online, da tempo
era sulle sue tracce e ora
finalmente ha un IP “vero”.
In pochi giorni scoprono tutto
su di lui e i suoi compagni.
A giugno, con un blitz congiunto
franco-americano lo arrestano.
SALVO PERCHÉ MINORENNE
Rischia 14 anni di galera per aver
falsificato oltre 28mila carte di
credito e rubato circa 12,5 milioni
di euro. La sua unica fortuna?
Essere ancora minorenne. Gli
danno 12 mesi di riformatorio
e l’obbligo di pagare una sanzione
di 45mila euro, con la classica
richiesta di redimersi davanti
a un giudice. “Cosa vuol fare da
grande?” gli chiedono al processo.
“L’hacker etico”. Entrerà in una
scuola d’élite, studierà ingegneria
informatica e andrà a lavorare
prima per il ministero della
Difesa francese e poi per società
di consulenza, per le quali
si occupa oggi di fare pentest.
55 
 HACKULTURE
TRUFF E L O W T E C H
Ecco come si freganoeb
i dilettanti del W
M
achine learning,
blockchain,
container.
Le tecnologie
sono diventate sempre più
complesse e la cybersecurity
– soprattutto grazie agli
hacker etici – ha fatto enormi
passi in avanti. Eppure, anche
se i metodi di difesa si sono
evoluti, i criminali continuano
a fregarci e per farlo usano
le solite, vecchie truffe.
CYBERDIFESE PIÙ POTENTI
Secondo le indagini realizzate
da una società britannica
che si occupa di sicurezza
per le grandi banche, c’è
un cambiamento evidente
nella scena della tecnologia.
I nuovi metodi hi-tech (sistemi
di AI per apprendere i pattern
di spesa degli utenti e bloccare
le transazioni fuori dal modello,
oppure l’uso della blockchain
 56
per alcuni tipi di pagamento)
hanno innalzato notevolmente
il livello tecnico richiesto a chi
vuole penetrare un sistema.
Ha contribuito molto anche
il lavoro di tutti gli hacker etici
e le decine di migliaia di pentest
che hanno condotto,
rafforzando e tarando in modo
fine i sistemi di difesa.
Risultato? Per operare in Rete
occorrono delle competenze
molto al di sopra di quelle
basiche degli script kiddies.
MA IL CRIMINE NON SI FERMA
Questo non è abbastanza
per fermare i delinquenti
di Internet. Incentivati
sicuramente dal fatto
che trafugare un database
da un sito mal protetto è ancora
considerato un reato meno
grave di una rapina in banca
e, a seconda del paese dove
viene compiuto, viene punito
in maniera molto diversa,
sempre che venga punito.
In mancanza di strumenti
e conoscenze, quindi, come
si sono organizzati?
RITORNO AL LOW TECH
In risposta a metodi di difesa
sempre più sofisticati,
la mossa più efficace è tornare
agli strumenti low-tech
per colpire i greggi di “utonti”
che pascolano in Rete.
Infatti, secondo il rapporto
Consumer Payments Survey
della società britannica
GlobalData, la tipologia
di attacco perpetrata
ai conti online dei loro clienti
è estremamente variegata
e si tratta nella maggior parte
dei casi delle solite truffe,
cioè quelle che richiedono
un coinvolgimento della
 LOW TECH HACKING

tecnologia molto limitato
e che puntano tutto
sull’ingenuità degli utenti.
IL PHISHING TORNA DI MODA
È il motivo per cui ingegneria
sociale, phishing vecchio stile
e addirittura la richiesta esplicita
delle credenziali di accesso alla
vittima sono tornate di moda.
«Il paradosso dei meccanismi
di difesa sempre più avanzati
dei sistemi di pagamento è che
le frodi vengono effettuate con
vecchi metodi low-tech», dice
Vlad Totia, Payments Analyst
di GlobalData. Ecco quindi che
ritornano le truffe via email
che non contengono nessuna
ERRORI BANALI.
La sicurezza delle
credenziali dipende
soprattutto
dal modo
in cui vengono
conservate.
minaccia informatica
ma sfruttano solo la credulità
delle persone. Dal classico
Nigerian Scam alla truffa del
Tocomocho, diffusa soprattutto
in Sudamerica, che consiste nel
far credere alle vittime di poter
incassare i biglietti vincenti della
lotteria vinti da altri. Ma ci sono
anche truffatori che si fingono
operatori di telefonia mobile,
di banche, di sistemi di gestione
dei pagamenti, e che utilizzano
la Rete praticamente solo per
trovare i contatti telefonici
(servendosi di database
comprati nel Dark Web)
e per fare chiamate VoiP non
tracciabili gratuite (o quasi).
ANCHE L’IPNOSI
Tra i metodi più assurdi c’è chi
usa l’ipnosi per farsi consegnare
le credenziali di accesso oppure
per convincere gli utenti a fare
acquisti online. O almeno, così
sostengono le vittime fregate
da venditori di amuleti o altri
porta fortuna, che in realtà
hanno acquistati dei calzini
riempiti di carta straccia. Altri
attacchi si basano sull’utilizzo
dell’ingegneria sociale e del
pretexting: spedire SMS
o email facendo finta di essere
l’amministratore delegato di
una grande azienda che ordina
al “suo” direttore finanziario di
fare con urgenza un pagamento
a una società estera
VITTIME PER ECCELLENZA
Il problema, purtroppo,
è sempre lo stesso: non c’è
alcuna blockchain che possa
bloccare la stupidità umana.

I testi sgrammaticati degli scammer

C’è un motivo se le email di scamming sono che non trovano niente di strano nell’idea che la figlia
generalmente scritte male. Ed è più semplice di un ex dittatore africano abbia bisogno di un anticipo
di quanto non sembri: i testi pieni di errori grammaticali per far uscire una fortuna da un paese devastato dalla
che paiono totalmente privi di logica vengono utilizzati rivoluzione promettendo laute ricopense a chi riuscirà
dagli scammer per preparare il mercato. Dal punto di ad aiutarla. Purtroppo, approfittarsi dei più semplici
vista di chi organizza una truffa online (come il famoso è un gioco da ragazzi per i truffatori del Web.
Nigerian Scam), mandare milioni di email non ha
un costo diretto: basta prepararne una, comprare un
database di indirizzi e poi spedirle con un paio di click.
È molto diverso, invece, gestire il flusso delle risposte:
a ognuna deve essere assegnato un “operatore” che
deve avere tempo e modo di lavorarci. È fondamentale,
quindi, filtrare subito quelle che potrebbero andare
a buon fine. Tendenzialmente, gli utenti più abili
ignorano questo tipo di messaggi, gli utenti che
rispondono, invece, sono persone che hanno poca
dimestichezza con la tecnologia e quindi nuove
potenziali vittime. Utenti ingenui, insomma,

57 
 HACKULTURE

SICUREZZA
, SEMPRE

Con oltre venti miliardi

PIU A RISCHIO
di dispositivi connessi,
di attacchi è destinato quest’anno il numero
a crescere sia nel pubb
lico che nel privato

A
ncora il 2019
non era giunto
al termine che già
in Rete circolava
un’avvertimento, per molti
banale, ma tanto banale non
è: ogni volta che si scrive una
data su un assegno o su un
documento è meglio non
abbreviare l’anno con “20”,
ma inserire la cifra completa
“2020”. Accorciando l’anno
chiunque potrebbe aggiungere
due cifre e così retrodatare
una fattura o una nota
di pagamento. Si tratta
chiaramente di una furbata
innocente rispetto a una
qualsiasi notizia di pirateria
informatica, ma dimostra come
la psicosi per possibili truffe
stia crescendo di giorno
in giorno. Gli appassionati
di tecnologia avranno
certamente notato come
nell’ultimo anno praticamente
tutte le aziende del settore
informatico abbiano messo
a punto dei programmi di Bug
Bounty, cioè di ricompensa
per chi individua bug o possibili
hack di ogni tipo. Se questo
da una parte contribuisce
a stimolare la crescita della
ricerca e della divulgazione
etica, dall’altra mostra come
il timore per possibili intrusioni
sia ormai globale.
HACKER DI STATO
Non è certo una novità
che sia in corso ormai da anni
una guerra cibernetica tra
le principali nazioni di tutto
il mondo. Un conflitto che sarà
fatalmente destinato a
raggiungere il suo culmine
a novembre di quest’anno,
in occasione delle elezioni
presidenziali americane. Infatti,
il gruppo di hacker Shadow
Brokers (che secondo alcuni
ha forti legami con il governo
russo) ha dimostrato come
la NSA, National Security
Agency americana, utilizzi
regolarmente tool hacker
ed exploit 0-day all’interno

  58
 2020 A RISCHIO
B
GITHUB SECURITY LA
ecurity lab.github.com/
All’URL https://s
l per la verifica
troviamo CodeQL, too
nei codici sorgente.
della presenza di VCE

ha dimostrato come la maggior

di software e APT (Advanced
Packing Tools) che gestiscono
l’installazione di pacchetti
e distro Linux e Windows.
Le stesse accuse di Trump,
che ha deciso di mettere
al bando dispositivi
e infrastrutture Huawei negli
USA, sono probabilmente
veritiere, ma la responsabilità
dei governi nelle cyberwar
non è certo esclusiva di quello
cinese. In questi ultimi anni
i progressi tecnologici hanno
permesso di ottimizzare le
tecniche di DeepFake e anche
questo potrebbe rappresentare
un grosso problema
in occasione soprattutto delle
prossime elezioni americane
di novembre. Già nel 2016
l’utilizzo da parte di Trump
degli “esperti” di Cambridge
Analytica ha, secondo alcuni
esperti, spostato una grossa
percentuale di voti e la
tecnologia dell’epoca era
decisamente meno avanzata
rispetto a quella attuale.
STARTUP SOTTO TIRO
Gli anni ‘20 di questo secolo
vedranno un enorme aumento
delle startup FinTech che allo
stesso tempo risulteranno
maggiormente vulnerabili agli
attacchi di phishing a causa
della mancanza di protocolli
abbastanza solidi per garantire
la sicurezza e la protezione
dei dati. Un’indagine realizzata
da BitDefender nel 2019
parte dei siti Web delle startup
FinTech non superi i test
di conformità PCI DSS, mentre
i backend delle app mobile
hanno mostrato in oltre il 50%
dei casi grossi problemi
di privacy o gravi errori
di configurazione legati alla
crittografia e all’insufficiente
rafforzamento della sicurezza
dei server Web. Pochi mesi fa,
dei cybercriminali sono riusciti
a dirottare 1 milione di dollari
da una società di venture
capital a una startup israeliana
semplicemente usando delle
mail contraffatte e domini falsi.
Si tratta di quelli che vengono
definiti attacchi BEC (Business
Email Compromise)
che potrebbero non solo
esporre i dati dei clienti
ma anche compromettere
grandi quantità di denaro.
L’unica soluzione praticabile
rimane quella di investire
sempre maggiori risorse
nel settore della sicurezza.

d
La minacciapiùèspintini a uticlizlozareule risorse in Rete, ma saranno sicure?
re
Gli utenti vengono semp uzioni
ispensabile che le sol
Rete. Per questo è ind oS
utilizzeranno sempre di sicurezza integrino
tecnologie di DD
I criminali informatici nacce are
ud per diffondere mi nn o come obiettivo il mitig
più spesso i servizi clo Sar an no Mitigation che ha
tip o Dis tri bu ted
le vitt im e. attacc o di
e controllare da remoto sviluppo le conseguenze di un viz io
rtic ola rm en te a ris chio le piattaforme di Denial of Service ind
irizzato verso un ser
pa e di un
e GitHub, che con tin ua
rte de ll'infrastruttura di ret
Web più popolari com ta critico facente pa evo li visto
ma nie ra impetuosa e viene usa cliente. A GitHub devon
o essern e con sap
a crescere in o bizioso
da azi en de de l cal ibr piedi un progetto am
regolarmente anche che hanno messo in già
soft, NASA, Facebook rity Lab che a oggi ha
di Go og le, Ap ple , Mi cro come il GitHub Secu iliti es
i servizi cloud legittimi rilevato oltre 100 CVE
(Common Vu lne rab
e Twitter. Abusare de ar tem a).
inali di sfuggire dal rad and Exposures, cioè le
vulnerab ilità di sis
consente ai cybercrim dp oin t e de lla
zza de gli en
delle soluzioni di sicure

59 
 N E@ H AC KE RJ O U RN A L .i t
REDAZIO
REPLY
GLOSSARIO
DI BASE
CRACKER
Appassionato di informatica,
esperto di sistemi
e di sicurezza informatica
in grado di introdursi
in reti di computer senza
autorizzazione allo scopo
di danneggiarle.
Da non confondere con
gli hacker che sono
contraddistinti da una
cultura e un’etica legata
all’idea del Software Libero
UDP
Protocollo di rete di tipo
connectionless molto rapido
(non c’è latenza per riordino
e ritrasmissione dei
pacchetti) ed efficiente per le
applicazioni “leggere” o time-
sensitive. Usato spesso per la
trasmissione di informazioni
audio-video in real-time
come nel caso di quelle VoIP.
Fornisce solo i servizi base
del livello di trasporto.
BOOTLOADER
Programma che, nella fase
di avvio (boot) del computer,
carica il kernel del sistema
operativo dalla memoria
secondaria (come un hard
disk) alla memoria primaria
(generalmente la RAM),
permettendone l’esecuzione
da parte del processore
e il conseguente avvio
del sistema.
 60
Condividi i tuoi dubbi co
a nuove idee e suggeri
vedere sulla rivista: re
ATTACCHI BRUTE FORCE
Volevo capire se, vista
la sempre maggiore presenza
dei servizi di sicurezza a
doppia verifica, hanno ancora
senso gli attacchi brute force
per craccare le password.
La mia intenzione è quella
di dimostrare a un cliente
quanto siano deboli le sue
difese informatiche (ho avuto
modo di conoscere alcune
delle password che utilizza).
Quale servizio mi consigliate
di usare per la mia
dimostrazione?
Renato
In effetti oggi un attacco
del tipo Forza Bruta, che
cerca di craccare la password
di un account provando quante
più combinazioni di caratteri
possibile, ha meno possibilità
di riuscita rispetto a qualche
anno fa. Questo a causa dei
nuovi standard di sicurezza dei
server su cui vengono salvate
le password e grazie anche
a una maggiore attenzione
da parte degli utenti finali.
Risultati leggermente migliori
si ottengono con gli attacchi
a dizionario in cui il cracker
sfrutta un elenco di password
più deboli e diffuse, oppure un
database specifico, comprato
nel Dark Web. Tra i tool più
n la redazione insieme
rresti
menti su quello che vo
al.it
dazione@hackerjourn
diffusi spiccano Hydra, John The
Ripper e Hashcat che possono
essere trovati facilmente con una
ricerca mirata nel Web. Hydra
in particolare utilizza in maniera
intensiva gli attacchi a dizionario
attraverso moduli aggiornati
di frequente ed è perfetto
per dimostrare le potenzialità
del sistema brute force
a un possibile cliente.
VOGLIO FARE LA SPIA
Sono da sempre
affascinata dal mondo delle
spie, soprattutto da quelle
che utilizzano la tecnologia.
Mi rendo conto però
che non è possibile pubblicare
un annuncio per cercare
una posizione di questo tipo
e per questo mi rivolgo a voi:
so che esiste la Polizia Postale,
ma vorrei sapere quali altri
enti governativi ricercano
figure di questo tipo. Spero di
essermi spiegata e vi ringrazio.
Francesca
Nella tua lettera non hai
specificato quali sono
le tue competenze ed esperienze
nel settore della sicurezza.
Il nostro consiglio è quello
di seguire prima corsi
specializzati e di proporti quindi
a una delle tante aziende
di consulenza sulla sicurezza
 M S E N Z A R O O T
UNA NUOVA RO
Ho uno smartphone Pixel di Google che funziona benissimo
ma da qualche mese non riceve più il supporto da parte di
Google in quanto sono passati più di tre anni dalla sua presentazione.
Vorrei sapere se è possibile installare una ROM alternativa,
e se possibile aggiornata regolarmente, senza dovere per forza avere
i privilegi di root che metterebbero a rischio la sicurezza del device.
Gianni

Non è indispensabile avere i privilegi di root per installare una nuova
ROM sul proprio smartphone, quello che serve, invece, è lo sblocco del
bootloader che avviene da PC attraverso comandi ADB. Con alcuni dispositivi,
per motivi di sicurezza, lo sblocco del bootloader è vietato o comunque
difficile, nel caso dei Pixel di Google, invece, basta il classico comando
fastboot oem unlock. Occorre però prima consentire lo Sblocco OEM dalle
Opzioni Sviluppatore delle Impostazioni e attivare il Debug USB. Sbloccare
il bootloader provoca però la formattazione completa del dispositivo.

controllo del numero. Il servizio

Quasi tutti i governi del mondo
è a pagamento, i prezzi partono
pubblicano periodicamente annunci di dai 10 $ e sono accettati i bitcoin.
ricerca per esperti di sicurezza informatica.
COSA È IL DRDOS?
Sono richieste competenze di alto livello Ho letto di un attacco
effettuato con DrDos
informatica. Solo in un secondo BYPASSARE LE VERIFICHE ma non riesco a trovare info
tempo potresti provare con Esiste un modo affidabile al riguardo. Mi potete aiutare?
Polizia Postale e servizi segreti e possibilmente gratuito per Andrea
che periodicamente sono alla evitare le verifiche telefoniche
ricerca di personale. Proprio nel dirette o via SMS che vengono Un DrDOS (Distributed
2019 è stato pubblicato un bando richieste da alcuni gestori per Reflection Denial of Service)
dal Ministero della Difesa italiano registrarsi sui loro account? è un attacco rimbalzante che
per cercare figure interessate Pierpaolo sfrutta un gran numero di server
a lavorare nei servizi segreti. utilizzando il protocollo UDP
Per entrare nella Polizia Postale, Ci sono diversi servizi (User Datagram Protocol).
invece, dovrai prima superare del tipo che ti interessa, Attraverso UDP è possibile
un concorso di assunzione tra i più affidabili c’è GetSMSCode utilizzare l’indirizzo IP di una terza
generico alle Poste (https://www.getsmscode.com/) persona per far rimbalzare
e successivamente renderti che mette a disposizione numeri i pacchetti e nascondere la fonte
disponibile a incarichi telefonici temporanei cinesi (+86), dell’attacco. Grazie all’effetto
di sicurezza. In qualunque ambito cambogiani (+855), vietnamiti moltiplicatore dato dalle
comunque è indispensabile aver (+84), indonesiani (+62), filippini ritrasmissioni dei server
maturato esperienza nel settore (+63), thailandesi (+66), degli USA contattati, si entrerà in un circolo
della sicurezza e avere il maggior (+1) e di HongKong (+852), proprio vizioso che vedrà esaurirsi in
numero possibile di certificazioni. con l’obiettivo di superare il breve le risorse del bersaglio.

61 
 Nel prossimo IN EDICOLA IL 20 MA
RZO
numero
Boicottiamo
Mr.Amazon si e
Google Mcoap s fatto hackerare
l’attacco
L’arte diventa hack: ec
dei 99 telefoni che ing
annano Big G l iPhone!
Fuoriuscivano grandi
quantità di dati dallo
smartphone di Jeff
Bezos... e si è scoperto
Rafforzi la Web app? che era tutta colpa
La buco lo stesstaocc! hi
re gli at
di un video
Continuiamo a studia
Cross Site Scripting

HackeriafremgaonoYouTube
gli influencer
Ecco come si

ADVERTISING, SPECIAL PROJECTS & EVENTS Direttore responsabile: Luca Sprea

Mensile - prezzo di copertina 3,90 €
www.hackerjournal.it
redazione@hackerjournal.it
Realizzazione editoriale a cura di: Sprea S.p.A.
Coordinamento redazionale: Massimiliano Zagaglia
Redazione: Giorgia Avallone
Hanno collaborato: Stefano Novelli, Guglielmo Pensabene, Alberto Falchi, Eugenio
Fontana, Maurizio Russo, Antonio Dini, Adrian Sager La Ganga, Samuel Oreste Abreu,
Jacopo Marino
Sprea S.p.A.
Sede Legale: Via Torino, 51 20063 Cernusco Sul Naviglio (Mi) - Italia
PI 12770820152- Iscrizione camera Commercio 00746350149
Per informazioni, potete contattarci allo 02 924321
CDA: Luca Sprea (Presidente), Mario Sprea (Vice Presidente), Maverick Greissing,
Alessandro Agnoli
Marketing: Mauro Fabbri - maurofabbri@sprea.it
Segreteria: Emanuela Mapelli - Tel. +39 0292432244 emanuelamapelli@sprea.it
Events Production: Giulia Sprea - giulia@sprea.it
SERVIZIO QUALITÀ EDICOLANTI E DL
Sonia Lancellotti, Virgilio Cofano: tel. 02 92432295/440
distribuzione@sprea.it
ABBONAMENTI E ARRETRATI
Abbonamenti: si sottoscrivono on-line su www.hackerjournal.it/abbonamenti
Mail: abbonamenti@hackerjournal.it
Fax: 02 56561221 - Tel: 02 87168197 (lun-ven / 9:00-13:00 e 14:00-18:00)
Il prezzo dell’abbonamento è calcolato in modo etico perché sia un servizio
utile e non in concorrenza sleale con la distribuzione in edicola.
Arretrati: si acquistano on-line su www.hackerjournal.it/arretrati
Mail: arretrati@hackerjournal.it
Fax: 02 56561221 - Tel: 02 87168197 (lun-ven / 9:00-13:00 e 14:00-18:00)
www.sprea.it
FOREIGN RIGHTS
Gabriella Re: tel . 02 92432262 - international@sprea.it
SERVIZI CENTRALIZZATI
Art director: Silvia Taietti
Grafici:
Marcella Gavinelli, Alessandro Bisquola, Nicolò Digiuni, Tamara Bombelli, Luca Patrian
Coordinamento: Gabriella Re, Silvia Vitali , Ambra Palermi, Alessandra D’Emilio,
Roberta Tempesta, Elisa Croce, Laura Vezzo, Laura Galimberti, Michela Lampronti,
Federica Berzioli, Francesca Sigismondi, , Tiziana Rosato, , Massimiliano Zagaglia
Amministrazione: Erika Colombo (responsabile), Irene Citino, Sara Palestra,
Danilo Chiesa, Désirée Conti- amministrazione@sprea.it
Hacker Journal, registrata al tribunale di Milano il 27/10/2003 con il numero 601.
ISSN: 1594-5774
Distributore per l’Italia: Press-Di Distribuzione stampa e multimedia s.r.l.
20090 Segrate
Distributore per l’Estero : SO.DI.P S.p.A. Via Bettola, 18 - 20092 Cinisello Balsamo (MI)
Tel. +390266030400 - Fax +390266030269 - sies@sodip.it - www.sodip.it
Stampa: Arti Grafiche Boccia S.p.A.- Salerno
Copyright : Sprea S.p.A.
Informativa su diritti e privacy
La Sprea S.p.A. titolare esclusiva della testata Hacker Journal e di tutti i diritti di pubblica-
zione e di diffusione in Italia. L’utilizzo da parte di terzi di testi, fotografie e disegni, anche
parziale, è vietato. L’Editore si dichiara pienamente disponibile a valutare - e se del caso
regolare - le eventuali spettanze di terzi per la pubblicazione di immagini di cui non sia
stato eventualmente possibile reperire la fonte. Informativa e Consenso in materia di trat-
tamento dei dati personali (Codice Privacy d.lgs. 196/03). Nel vigore del D.Lgs 196/03 il Ti-
tolare del trattamento dei dati personali, ex art. 28 D.Lgs. 196/03, è Sprea S.p.A. (di seguito
anche “Sprea”), con sede legale in Via Torino, 51 Cernusco sul Naviglio (MI). La stessa La in-
forma che i Suoi dati, eventualmente da Lei trasmessi alla Sprea, verranno raccolti, trattati
e conservati nel rispetto del decreto legislativo ora enunciato anche per attività connesse
all’azienda. La avvisiamo, inoltre, che i Suoi dati potranno essere comunicati e/o trattati
(sempre nel rispetto della legge), anche all’estero, da società e/o persone che prestano
servizi in favore della Sprea. In ogni momento Lei potrà chiedere la modifica, la correzione
e/o la cancellazione dei Suoi dati ovvero esercitare tutti i diritti previsti dagli artt. 7 e ss. del
D.Lgs. 196/03 mediante comunicazione scritta alla Sprea e/o direttamente al personale
Incaricato preposto al trattamento dei dati. La lettura della presente informativa deve
intendersi quale presa visione dell’Informativa ex art. 13 D.Lgs. 196/03 e l’invio dei Suoi
dati personali alla Sprea varrà quale consenso espresso al trattamento dei dati personali
secondo quanto sopra specificato. L’invio di materiale (testi, fotografie, disegni, etc.) alla
Sprea S.p.A. deve intendersi quale espressa autorizzazione alla loro libera utilizzazione da
parte di Sprea S.p.A. Per qualsiasi fine e a titolo gratuito, e comunque, a titolo di esempio,
alla pubblicazione gratuita su qualsiasi supporto cartaceo e non, su qualsiasi pubblica-
zione (anche non della Sprea S.p.A.), in qualsiasi canale di vendita e Paese del mondo.
Il materiale inviato alla redazione non potrà essere restituito.
 IN EDICOLA

Scansiona il QR Code

Acquistala su www.sprea.it
anche in versione digitale
 PU BBLICITÀ
100% INDIPENDENTE! NO

T utto quello
ch e g l i a l t r i
n o n o s a n o d i r t i !

IN QUES T O N U M E R O
INTERVISTA | Confessioni di un pentester
Abbiamo scambiato quattro chiacchiere con Riccardo Meggiato, uno
degli esperti di sicurezza più noti in Italia, per capire meglio il suo lavoro

FIREWALL | Alziamo le difese, parte seconda

Impariamo a simulare una rete locale usando il pratico tool
GNS3 e l’utilissimo virtualizzatore VirtualBox

LOW TECH HACKING | Truffe poco tecnologiche

Le cyberdifese sono sempre più robuste ed efficaci... ma ci sono
criminali poco tecnologici che riescono a fregare gli utenti meno esperti

LETTERE | Una nuova ROM senza root

Le domande dei lettori, le risposte degli esperti della redazione.
Anche online sul nostro sito: https://hackerjournal.it

HACKER JOURNAL • N. 241 • MENSILE • 3.90 €

P.I. 21-02-2020 - Febbraio