NASCOSTI

dicembre

DIETRO ALL’ADD-ON
Impedisci ai siti Web di profilarti
N.267

rimandando al mittente i file di tracciamento

w w w. h a c ke r j o u r n a l . i t

Dal 2002 tutto quello che gli altri non osano dirti

Attacco alla
steganografia
Qualcuno ha nascosto dati
dentro un’immagine? Con
la statistica li scopri subito

Doppio schermo
TARIFFA R.O.C. Poste Italiane S.p.A. – spedizione in abbonamento postale – MBPA/LO-NO/125/A.P./2017- ART.1 COMMA1- S /NA

Ti serve un altro monitor

per il PC ma non vuoi
spendere soldi?
Usa un tablet o il televisore
della sala...

Co l p o a l c u o r e
di Windows! Riuscire a bucare il kernel del sistema operativo vuol
il lato oscuro dire avere il controllo completo e accedere a tutti i dati
del metaverso
La nuova frontiera
della Rete è in realtà
il nuovo campo
di gioco dei cyber
pentesting
Usiamo Burp Suite per capire
internet dell’hacker
Viaggia a 2X, non va mai down
criminali. Ecco come fanno i pirati ad aggirare e permette di nascondere le attività
cos’è il darkverse le procedure di login delle Web app svolte in Rete. Ecco come averla anche tu
 IN EDICOLA
DAL 18 NOVEMBRE

Scansiona il QR Code

Acquistala su www.sprea.it/prog
versione digitale disponibile dal 15 novembre
 EDITORIALE
www.hackerjournal.it
In questo numero parliamo di:
kernel Windows, Darkverse, EKS,
steganalisi, Mutillidae, Deskreen,
Decentraleyes, MITRE ATT&CK,
connessione Internet, Adversarial
Machine Learning e molto altro.

C
yberspionaggio, intelligenze artificiali che
disegnano o scrivono, ransomware: leggendo
le notizie dell’ultimo periodo, questi tre temi
sono tra i più caldi. Alcune di queste notizie
le potete leggere anche su queste pagine, nella sezione
delle news. Mentre in Europa la commissione PEGA
(www.europarl.europa.eu/committees/it/pega/about)
cerca di fare chiarezza sul comportamento di alcuni
governi europei che avrebbero usato dei tool di
sorveglianza per spiare giornalisti e politici, scopriamo
che spyware di vario tipo sono stati messi in campo
anche ai danni di alcune minoranze religiose.
Come leggiamo nella newsletter di Carola Frediani
(https://guerredirete.substack.com/), ransomware
e hacking politico preoccupano anche l’autorità federale CONTATTI
tedesca per la sicurezza informatica, mentre le IA come
REDAZIONE
DALL-E 2 o Stable Diffusion (vi abbiamo mostrato
redazione@hackerjournal.it
come installarla nel vostro computer lo scorso numero)
ABBONAMENTI
stanno raggiungendo livelli di sofisticazione davvero E ARRETRATI
abbonamenti@sprea.it
interessanti (ma anche preoccupanti). Ci si domanda, www.sprea.it/digital
quindi, se e quando questi software prenderanno
FACEBOOK
il posto degli artisti, magari occupando degli spazi nel www.facebook.com/
hackerjournal/
Metaverso o nel Darkverse, il “lato oscuro” della Rete
del futuro di cui parliamo a pagina 18. Che ne pensate? SITO WEB
www.hackerjournal.it
 Il prossimo numedro sara
bre
in edicola dal 20 icem

SOMMARIO ABBONATI ALLA

VERSIONE DIGITALE
SOLO PER PC E MAC
A SOLI 19,90 €
DURATA ABBONAMENTO: 1 ANNO
www.hackerjournal.it/abbonamenti

HACKTUALITÀ
News
Notizie e anticipazioni dell’universo hacker................................................................ 06

COVER STORY
Colpo al cuore di Windows
Bucare il kernel del sistema vuol dire accedere a tutto ........................................... 10

Realtà virtuale | Il lato oscuro del Metaverso

I cybercriminali si preparano a invadere anche questo nuovo spazio...........18

Vulnerabilità | Scambio d’identità

Il riconoscimento degli utenti di AWS è un po’ buggato........................................... 20

NOI RISPETTIAMO L’AMBIENTE!

Hacker Journal è stato stampato
su carta certificata PEFC, proveniente
da piantumazioni a riforestazione programmata
e perciò gestite in maniera sostenibile

M IGL IORARE
A I
P
U
R
T
E
A
F
C
EI
RA
I TA!
A T UA R I V ISTA
L .ly/hackerjo
/bit
urnal
Vai su https:/questionario anonimo
e compila il
4
 Il primo manifesto hacker
“... avete mai guardato dietro agli occhi dell’hacker?
Vi siete mai chiesti cosa lo stimola, che forze
lo hanno formato, cosa può averlo forgiato?
Io sono un hacker, entra nel mio mondo...”

isi
Steganal
SICUREZZA
Steganalisi | Attacco alla steganografia
Esaminiamo le tecniche statistiche che consentono di scovare
le informazioni nascoste all’interno di immagini o suoni.......................................... 24
Pentesting | Filtri lato client, terza parte
Aggiriamo i filtri nei form di input per attaccare al cuore le Web app.......................28

> 24

H OW T O
Deskreen | Usa il cellulare come secondo display 40
Non spendere soldi per acquistare un secondo schermo, riusa un tablet o la TV... 36

CDN | Più sicuri e protetti su Internet

Crea una rete personale per distribuire informazioni.................................................................. 40

Connettività | L’Internet dell’hacker

Ecco come tirare su un collegamento alla Rete parallelo a quello primario............ 44
DECENTR
Framework | MITRE ATT&CK, parte seconda ALEYES
Si fa un gran parlare di attaccanti e “avversari”: ma come agiscono nel concreto?..... 52

> 58
HACKULTURE
IA in pericolo | Machine Learning a rischio cracker
I più avanzati modelli di intelligenza artificiale e di riconoscimento biometrico
rappresentano un ghiotto boccone per hacker di tutto il mondo.................................. 58

tt o ri , le risposte de lla redazione > 60

Le do m a n d e d e i le
POSTA
HACKTUALITÀ

NLETETURW
E
S Appartieni a u
na
iosa?
n o r a n z a r e l i g
mi
Allora ti spio!
#SPIONAGGIO Kaspersky ha scoperto una nuova campagna
di spionaggio Android, SandStrike, che prende di mira i Bahá’í,
una minoranza religiosa di lingua persiana

P er convincere le vittime a scaricare gli spyware, i criminali informatici

hanno creato account Facebook e Instagram con più di 1.000 follower
e hanno realizzato contenuti grafici a tema religioso, creando una trappola
che si è dimostrata efficace. La maggior parte di questi account sui social
media contiene un link a un canale Telegram, creato dall’attaccante.
Gli autori della campagnia di spionaggio, chiamata SandStrike, hanno
CYBERSECURITY FOR distribuito un’applicazione VPN apparentemente innocua per accedere
SMALL NETWORKS
a siti vietati in alcune regioni, per esempio contenuti religiosi.
Inoltre, per rendere questa applicazione totalmente funzionante,
Da No Starch Press arriva
gli attaccanti hanno anche realizzato una propria infrastruttura VPN.
una guida, in lingua inglese,
che spiega con un taglio Il client VPN contiene uno spyware operativo con funzionalità che
decisamente pratico le consentono di raccogliere e rubare dati sensibili, compresi i registri
operazioni necessarie ad delle chiamate e gli elenchi dei contatti, nonché di tracciare qualsiasi
hardenizzare una rete locale altra attività svolta dagli utenti colpiti.
casalinga o di un piccolo
ufficio. Per ottenere il
massimo dalle oltre 200
pagine di questo volume è
necessario avere un discreto
background di conoscenze
tecniche, anche se l’autore
non ha trascurato le
spiegazioni teoriche.
Dalla progettazione e
segmentazione della LAN
al monitoraggio, passando
per VPN, proxy, backup e
antivirus, non manca nulla!
https://bit.ly/hj267_libro

6
 NEWS
Anche i server ATTACCO HACKER
alla TV di stato
vanno in pensione iraniana
#VIRTUALIZZAZIONE Oltre 45.000 server VMware ESXi #TELEVISIONE Attivisti
non riceveranno più aggiornamenti manifestano contro la situazione
delle donne in Iran

S econdo una ricerca condotta da

L
Lansweeper, oltre 45.000 server
o scorso 8 ottobre un canale TV
VMware ESXi hanno appena raggiunto
iraniano di proprietà statale è stato
la fine del ciclo di vita (EOL), con
hackerato da un gruppo dissidente.
VMware che non fornisce più
aggiornamenti software e di sicurezza Il notiziario delle nove di sera è stato
a meno che le aziende non acquistino interrotto dall’immagine di una
un contratto di supporto esteso. A partire maschera, seguita da una del leader
dal 15 ottobre scorso, VMware ESXi 6.5 supremo del paese, Ali Khamenei,
e VMware ESXi 6.7 hanno raggiunto la fine circondata da fiamme e con la sagoma
del ciclo di vita e riceveranno solo supporto di un mirino puntata in fronte. Nella
tecnico ma nessun aggiornamento di sicurezza, mettendo il software a parte inferiore dello schermo si sono
rischio di vulnerabilità. L’unico modo per essere sicuri di poter continuare potute vedere le foto di Mahsa Amini,
a usare le versioni precedenti in modo sicuro è richiedere il supporto la giovane di ventidue anni morta
esteso di due anni, che deve essere acquistato separatamente ma che
dopo essere stata in custodia della
non include gli aggiornamenti per i pacchetti software di terze parti.
polizia morale, e di tre altre donne
uccise durante le proteste. In
sottofondo era udibile una canzone
che recitava uno degli slogan delle
manifestanti: “Donna, vita, libertà!”.
In tutto, l’interruzione è durata
Ora i cracker soltanto pochi secondi.

hanno la tua
ID Card!

#IDENTITÀ Per fortuna l’attacco ai database

di un’azienda di telecomunicazione australiana
non ha portato a un pesante furto d’identità l’attacco. Di questi 2,1 milioni di clienti, 1,2 milioni
avevano almeno un numero di una forma

O ptus, la seconda più grande compagnia

di telecomunicazioni in Australia, ha confermato
che 2,1 milioni di clienti hanno avuto numeri
di identificazione del governo compromessi durante
un attacco informatico il mese scorso.
In un comunicato stampa il gestore di telefonia mobile
ha aggiornato le informazioni riguardanti i dati
personali di 9,8 milioni di clienti esposti durante
di identificazione attuale e valida compromessa
e 900.000 avevano numeri ID scoperti ma da
documenti ormai scaduti. “Avendo collaborato con
le agenzie governative per analizzare meticolosamente
i dati per i 9,8 milioni di clienti dell’azienda, Optus può
confermare che le informazioni esposte non
contenevano numeri ID di documenti validi
o aggiornati per circa 7,7 milioni di clienti”.

7
HACKTUALITÀ

LA STAMPA
TEDESCA
È FINITA KO
#RANSOMWARE Un nuovo
gruppo di cybercriminali
è nato dalle ceneri
di BlackMatter e REvil

I l quotidiano tedesco Heilbronn Stimme si è visto costretto a pubblicare un numero di 28 pagine in formato
e-paper dopo che un attacco ransomware ha paralizzato i suoi sistemi di stampa.
Il giornale ha anche pubblicato un’edizione “di emergenza” di sei pagine mentre tutti i necrologi pianificati
sono stati pubblicati sul sito Web. Le comunicazioni telefoniche ed email sono rimaste offline durante il fine
settimana. Ai redattori del giornale è stato detto di lavorare da casa sui loro Personal Computer e sono stati
assegnati loro nuovi indirizzi email. Il gruppo dei media ha poi lavorato con la Polizia per trovare un modo
per risolvere i problemi tecnici il prima possibile, nonché per cercare di identificare gli autori.
“Collaboriamo ufficialmente con la Polizia e con gli esperti della protezione dei dati per poter operare
il più rapidamente possibile con la consueta qualità”.

R IV A D A L D E S KTOP REMOTO
R
IL M A L W A R E A
#CONTROLLO Alcuni criminali informatici hanno creato
un nuovo malware che sta agendo dall’agosto scorso

Il ransomware Venus ha iniziato le sue operazioni nell’agosto

2022, il che lo rende relativamente nuovo.
Tuttavia, proprio come suggerisce il suo nome, “Venus”,
le sue capacità sono decisamente accattivanti. Apparentemente,
i criminali informatici dietro questa campagna prendono di mira
i servizi di desktop remoto (RDP) esposti pubblicamente,
ma c’è di più. Parlando di decrittazione, Avast ha prodotto
uno strumento che decrittografa i file interessati dalle diverse
varianti del ransomware Hades (https://bit.ly/hj267_avast).
Sfortunatamente, poiché Venus è relativamente nuovo,
non c’è soluzione alternativa se i cracker sono riusciti a entrare
in possesso dei file. La campagna è stata segnalata quando
uno sviluppatore (Linuxct) ha contattato MalwareHunterTeam
nella speranza di fare luce sulla questione.

8
HA C K T U A L I TA À
cover story Colpo al cuore di Windows
Riuscire a bucare il kernel del sistema operativo vuol dire avere il controllo completo
e accedere a tutti i dati................................................................................................................................... 10

’
realta virtuale Il lato oscuro del Metaverso
Aziende e persone parlano della nuova frontiera del Web… ma anche la cybercriminalità
si sta preparando a esplorare questo nuovo spazio............................................................................. 18

’
Vulnerabilita Scambio d ’identita’
Il servizio EKS di Amazon Web Services usa un sistema di identità per gestire
gli utenti che nasconde un punto debole che... .................................................................................... 20
 HACKTUALITÀ
al cuore d
COVER STORY: Colpo
Colpo al cuore
di Windows
In collaborazione con
thehackingquest.net
Riuscire a bucare il kernel del
sistema operativo vuol dire aver
il controllo completo e accedere
a tutti i dati
I
l compito di ogni sistema operativo è quello di
astrarre le risorse hardware e renderle fruibili
al loro utilizzatore. Volendo, potremmo vedere
il sistema operativo come una sorta di
interprete tra la macchina e il suo operatore.
Il kernel è il nucleo centrale del sistema operativo
e ha il compito di fornire ai processi, in esecuzione
sull’elaboratore, un accesso sicuro e controllato
all’hardware. È quindi il primo programma che
viene caricato subito dopo la fase di boot della
macchina. Una volta pronto, controlla e coordina
ogni altro programma e processo, ponendosi come
un “ponte” di collegamento fra le istruzioni che
l’utente impartisce alla macchina e l’hardware.
VARI TIPI DI KERNEL
Esistono varie tipologie di kernel, che si
differenziano per il grado di astrazione
dall’hardware:
• Kernel monolitici – questa tipologia di kernel
contiene in un unico file le diverse funzioni del
sistema operativo e i driver delle varie periferiche.
Per ogni funzione da svolgere e per ciascuna
periferica da gestire, avremo uno specifico modulo.
Un esempio di kernel monolitico è quello
dei tradizionali sistemi UNIX e Linux;
• Microkernel – in maniera opposta alla struttura
10
i Windows
monolitica, i microkernel implementano solamente
funzioni di carattere basilare, come la
comunicazione tra i processi, il multitasking
e la gestione della memoria. Demandano
le altre funzioni a programmi terzi che prendono
il nome di server;
• Kernel ibridi – utilizzati nella maggior parte dei
sistemi operativi commerciali (Microsoft Windows
e macOS) combinano alcune caratteristiche dei
kernel monolitici con quelle dei microkernel.
Difatti, hanno un insieme più ampio di moduli core;
• Esokernel – “mascherano” il livello di astrazione
fra software e hardware, in modo che un
programma non conosca le risorse hardware
a sua disposizione o in quale parte di memoria
è stato allocato.
IL KERNEL DI WINDOWS
Dato che il nostro target è un kernel dei sistemi
operativi Windows, addentriamoci più a fondo
in questa specifica tipologia. Esistono due grandi
famiglie di kernel Windows:
• Windows 9x kernel, usati in Windows 95-98 e ME;
• Windows NT kernel, usati in tutti i sistemi
Windows NT, inclusi Windows NT, 2000, XP, Vista,
7, 8, 8.1, 10 e 11.
Quelli su cui ci concentreremo sono i kernel NT.
Poco fa abbiamo detto che i kernel
commerciali, come quello di Windows,
hanno una struttura ibrida che combina
aspetti del kernel monolitico con quelli
dei microkernel.
L’idea alla base è combinare i punti di forza
delle due tipologie: le performance garantite
dalla struttura monolitica assieme alla
stabilità intrinseca dei microkernel.
L’architettura della famiglia NT è altamente
modulare e si struttura in due layer
principali: user mode e kernel mode.
• user mode – i programmi hanno accesso
solo a determinate risorse del sistema
operativo;
• kernel mode – non ha restrizioni,
godendo di un accesso alla memoria
centrale e ai device esterni.
Terminata la fase teorica, prepariamo ora il
nostro ambiente di laboratorio. Cominciamo
dagli applicativi e script meno comuni,
di cui avremo bisogno: li trovate nel box
La cassetta degli attrezzi. Adesso che
sappiamo cosa serve, procediamo per passi.
La cassetta degli attrezzi
Ecco tutti i programmi che dovete scaricare
per ripetere le operazioni spiegate in questo
articolo. Ricordiamo che tutti i programmi
e le informazioni sono pubblicate a scopo
didattico e non vanno usate su sistemi altrui.
• HackSys Extreme Vulnerable Driver (HEVD)
– è un driver di Windows reso volutamente
vulnerabile per eseguire exploitation a livello
kernel. Lo si scarica dal seguente link:
https://github.com/hacksysteam/
HackSysExtremeVulnerableDriver
• OSR Driver Loader – ci servirà per poter
caricare HEVD all’interno del nostro sistema
operativo, si scarica da www.osronline.com/
OsrDown.cfm/osrloaderv30.zip
• WinDBG – è il debugger kernel dei sistemi
operativi Windows NT. Usando una metafora,
potremmo dire che è il “microscopio”
che ci permetterà di andare ad analizzare
a livello “micro” comandi e chiamate;
• Pykd – ci permetterà di integrare alcuni script
in Python, con WinDBG. Lo trovate all’URL
https://github.com/corelan/windbglib/raw/
master/pykd/pykd.zip
FASE I – PREPARIAMO IL DEBUGGER
Portiamoci sulla nostra macchina virtuale
di analisi. Come prima cosa dobbiamo
installare il nostro debugger, contenuto
nel pacchetto Software Development Kit
di Microsoft (SDK). Scarichiamo l’installer
dell’SDK (winsdksetup.exe) dal seguente
percorso: https://go.microsoft.com/fwlink/
p/?linkid=2196241. Dopo averlo scaricato
eseguiamo il setup, selezioniamo la
directory di installazione (lasciamo pure
quella di default) e facciamo click su Next.
All’apparire del disclaimer della privacy,
scegliamo di non inviare i nostri dati a
Microsoft e poi premiamo ancora Next,
per accettare anche la licenza di utilizzo.
Adesso dobbiamo selezionare quale
componente installare. Installiamo
esclusivamente il Debuggings Tool for
Windows e spuntiamo tutti gli altri.
Clicchiamo su Install [figura #1].
Terminata l’installazione, ci basterà
digitare windbg sulla barra di ricerca
di Windows per eseguire il debugger,
• Windbglib e Mona – Mona è uno script
in Python, che abbiamo già utilizzato
durante il nostro attacco di buffer overflow,
per trovare la DLL non protetta e quindi
vulnerabile: https://thehackingquest.net/
buffer-overflow-attack/ [PARTE IX].
Entrambi ci aiuteranno nella nostra analisi
e potete scaricarli da qui:
- Windbglib – https://github.com/corelan/
windbglib/raw/master/windbglib.py
- Mona - https://github.com/corelan/mona/raw/
master/mona.py
• Vulnserver – l’applicazione vulnerabile
che utilizzeremo per i vari test (anch’essa
già utilizzata nel “buffer overflow”).
https://thegreycorner.com/vulnserver.html
• Come sistema di virtualizzazione
useremo OracleVM che si scarica dall’URL
https://www.virtualbox.org/wiki/Downloads
• La macchina che useremo per l’analisi
dell’attacco sarà una Windows 10 22H2,
avente IP: 192.168.178.189;
• La macchina vittima sarà una Windows 10
22H2, avente IP: 192.168.178.190.
11
 HACKTUALITÀ
al cuore d
COVER STORY: Colpo
figura #1
Dopo aver scaricato il kit di sviluppo di Windows,
ricordiamoci di installare solo gli strumenti
per il debug.
ora presente fra le applicazioni disponibili.
Potremmo adesso voler cambiare la User Interface
(UI) con una a noi più congeniale. Utilizziamo
per esempio windbg-theme: https://github.com/
lololosys/windbg-theme.
Scarichiamo da GitHub il repository in formato
compresso, decomprimiamo il file ed eseguiamo
il file dark.reg, facendo semplicemente
un doppio click su di esso. Ora, riaprendo
il debugger, vedremo l’interfaccia modificata
in favore di una più fruibile [figura #2].
Installiamo un’interfaccia più amichevole per il debugger.
12
i Windows
Dovremo adesso installare Mona e per farlo
abbiamo bisogno di integrare pykd.pyd che ci
permetterà di utilizzare lo script in Python.
INSTALLIAMO PYKD
1 Per prima cosa abbiamo bisogno di installare
Python, nel nostro caso specifico abbiamo utilizzato
la versione 2.7.18 per x86 (Windows x86 MSI
installer), scaricabile al seguente link: https://www.
python.org/ftp/python/2.7.18/python-2.7.18.msi
2 Riavviamo la macchina virtuale.
3 Scarichiamo pykd.zip dal suo repository:
https://github.com/corelan/windbglib/raw/master/
pykd/pykd.zip
4 Estraiamo sul desktop il contenuto di pykd.zip.
5 Clicchiamo rispettivamente con il tasto destro
prima su pykd.pyd e poi vcredist_x86.exe.
Selezioniamo la voce Proprietà, nella scheda
General, e scegliamo Unblock. Qui applichiamo
le modifiche e premiamo OK.
6 Eseguiamo (con privilegi di amministratore)
vcredist_x86.exe, procedendo nell’installazione.
7 Copiamo il file pykd.pyd nel seguente percorso:
C:\Program Files (x86)\Windows Kits\10\
Debuggers\x86\winext
8 Apriamo il prompt cmd (sempre con privilegi di
amministrazione) e digitiamo i seguenti comandi:
figura #2
 figura #3 il file, se necessario, come fatto in
Ecco installato il tool che ci permetterà di integrare
il linguaggio Python.
figura #4
Il debugger ha caricato correttamente il modulo
mona che può essere usato per automatizzare
e velocizzare le ricerche mentre si sviluppa
un exploit.
cd “C:\Program Files (x86)\Common Files\
Microsoft Shared\VC”
regsvr32 msdia90.dll
In risposta apparirà una nuova finestra che
ci informerà che la DLL è stata registrata
con successo [figura #3].
ORA È IL TURNO DI MONA...
Riavviamo la macchina virtuale e scarichiamo
windbglib.py dal seguente percorso: https://raw.
githubusercontent.com/corelan/windbglib/master/
windbglib.py. Salviamo il file appena scaricato nel
seguente percorso: C:\Program Files (x86)\
Windows Kits\10\Debuggers\x86\ (“sblocchiamo”
precedenza al punto 5). Scarichiamo
mona.py dal seguente percorso (“sblocchiamo”
il file, se necessario): https://github.com/corelan/
mona/raw/master/mona.py. Salviamo il file appena
scaricato in C:\Program Files (x86)\Windows
Kits\10\Debuggers\x86\. Al termine della
procedura, verifichiamo di aver installato tutto
correttamente. Per farlo, seguiamo i seguenti passi:
• avviamo il debugger, WinDGB;
• agganciamo al debugger l’applicazione vulnerabile
vulnserver. Cioè, in alto a sinistra clicchiamo
su File, nel menu a tendina che appare scegliamo
Open Executable e poi selezioniamo il file
vulnserver.exe;
• riduciamo a icona la finestra del programma
(che il debugger ha aperto);
• portiamoci sulla barra di comando del debugger,
in basso, e carichiamo il modulo pykd con
.load pykd.pyd
• avviamo Mona utilizzando il comando
!py mona
Se avete seguito la procedura correttamente,
il debugger carica il modulo mona [figura #4].
L ISTATO#1
#!/usr/bin/env python3
from infi.wioctl import DeviceIoControl
DEVICE_NAME = r’\\.\
HackSysExtremeVulnerableDriver’
IOCTL_HEVD_STACK_OVERFLOW = 0x222003
SIZE = 3000
PAYLOAD = (
b’A’ * SIZE
)
HANDLE = DeviceIoControl(DEVICE_NAME)
HANDLE.ioctl(IOCTL_HEVD_STACK_OVERFLOW,
PAYLOAD, SIZE, 0, 0)
13
 HACKTUALITÀ
al cuore d
COVER STORY: Colpo
figura #5 Loader”, OSR, dal seguente link: www.osronline.
Ordiniamo al sistema di caricare il driver
vulnerabile HEVD...
FASE II – DRIVER VULNERABILE
Adesso, dobbiamo simulare l’ambiente da attaccare
sulla macchina vittima. Per prima cosa installiamo
Python, che utilizzeremo più avanti per lanciare
il nostro attacco. Scarichiamo dal sito ufficiale
la release 3 (nel nostro caso abbiamo usato la
3.8.10). Una volta installato, utilizziamo il comando
pip per installare alcuni moduli che useremo
nel nostro script di exploit:
pip install infi.wioctl
Al termine, riavviamo la macchina. Dopo il riavvio,
dovremo caricare il nostro driver vulnerabile: HEVD.
Come prima cosa dobbiamo scaricare il “Driver
14
i Windows
com/OsrDown.cfm/osrloaderv30.zip.
Successivamente recuperiamo HEVD dal suo
repository: https://bit.ly/hj267_hevd. Estraiamoli
entrambi sul nostro desktop. Utilizzando l’OSR
Loader dobbiamo adesso caricare il driver
vulnerabile nella nostra macchina vittima.
Per farlo spostiamoci nella cartella OSR Driver
Loader, al percorso \[cartella_decompressa]\kit\
WNET\AMD64\FRE. Da qui lanciamo l’eseguibile
OSRLOADER.exe con privilegi di amministrazione.
Avviato il loader, clicchiamo sulla voce Driver Path
e facciamolo puntare al driver HEVD scaricato,
al seguente percorso: \[cartella_decompressa]\
HEVD3.00\vulnerable\x64\HEVD.sys. Concludiamo
selezionando in basso Register Service [figura #5].
Controlliamo che il nostro driver sia stato caricato
con successo nella macchina vittima: apriamo cmd
e digitiamo il seguente comando [figura #6]
driverquery | findstr HEVD
A questo punto, per avviare il relativo servizio “HEVD”,
dobbiamo prima disabilitare la “verifica della firma”.
Per farlo, procediamo come segue:
• tenendo premuto il tasto Shift riavviamo la nostra
macchina cavia;
• questa volta, prima del boot del sistema operativo,
ci apparirà un menu che ci chiederà di scegliere una
di tre opzioni. Scegliamo Troubleshoot;
• nella successiva schermata selezioniamo
Advanced options;
• scegliamo ora Startup Settings;
• infine scegliamo Restart.
All’avvio del menu di startup ci verranno presentati
una serie di punti, quello che a noi interessa è il
punto 7: Disable driver signature enforcement,
attivabile digitando F7. A questo punto la nostra
vittima avvierà il sistema operativo senza l’opzione
di “verifica della firma”, che non ci avrebbe permesso
figura #6
… e verifichiamo che sia stato caricato davvero.
 figura #7
Abbiamo fregato Windows, facendolo avviare
senza il controllo delle firme dei servizi
da attivare.
figura #8
Facciamo in modo che il driver HEVD venga
sempre caricato.
di avviare il servizio vulnerabile [figura #7].
Assicuriamoci che il driver venga caricato sempre
dal nostro sistema operativo. Lanciamo cmd con
privilegi di amministrazione e digitiamo [figura #8]
sc config HEVD start=system
FASE III – CONNESSIONE CON IL DEBUGGER
Adesso dobbiamo connettere la macchina vittima
con il debugger. Apriamo quindi il cmd sulla
macchina vittima e digitiamo il seguente comando:
bcdedit /dbgsettings NET
HOSTIP:192.168.178.189 PORT:55555
Il parametro HOSTIP è l’indirizzo IP della macchina
con cui facciamo il debugging; il numero di porta
(parametro PORT) deve essere compreso fra 49151
e 65536. Una volta premuto Invio ci verrà
fornita la key identificativa [figura #9]. Spostiamoci
ora sulla macchina dove abbiamo installato
il debugger e lanciamolo. Una volta aperto,
in alto a sinistra scegliamo File. Dal menu a tendina
raggiungiamo la voce Kernel Debugging. Nella
nuova finestra, alla voce PORT, inseriamo 55555 e
alla voce key incolliamo la nostra chiave; premiamo
OK. Il debugger entrerà in stato di attesa
per ricevere la connessione. Torniamo adesso
sulla macchina vittima e facciamo in modo
che al prossimo restart si riavvii in DEBUG mode.
Digitiamo i seguenti comandi, necessari per
abilitare il debug mode e riavviare la macchina:
bcdedit /debug ON
shutdown -r -t 0
Se abbiamo effettuato tutto correttamente,
al riavvio, la macchina vittima verrà connessa
al nostro debugger [figura #10]. Stabilita la
connessione con il debugger, verifichiamo che il
modulo HEVD sia caricato. Portiamoci sulla macchina
virtuale dove abbiamo configurato il debugger:
nel menu in alto scegliamo la voce Debug > Break.
A questo punto, abbiamo interrotto il flusso
d’esecuzione sul sistema operativo vittima. Adesso
spostiamoci in basso nel debugger e digitiamo
lm m H*
Questo comando mostra tutti i moduli caricati che
cominciano con la lettera H. Dovremmo esserci:
il modulo è stato caricato con successo [figura #11]!
FASE IV – LA VULNERABILITÀ
Solitamente, lo scopo principale degli attacchi
al kernel di Windows è quello di ottenere privilegi
più elevati, per eseguire qualsiasi attività sulla
macchina vittima. L’operazione viene fatta trovando
una vulnerabilità all’interno del codice in esecuzione
nel “kernel-space” e stabilendo una comunicazione
tra l’exploit in “user-mode” e il target in “kernel-
mode” (che è lo spazio dove risiedono i driver).
Poiché Windows viene eseguito in modalità
protetta, le istruzioni dell’utente non possono
15
 HACKTUALITÀ i Windows
al cuore d
COVER STORY: Colpo
figura #9

Questa chiave ci serve per collegare la macchina vittima al debugger.

figura #10
interagire con lo spazio di memoria del kernel.
Ma esiste un’interfaccia, messa a disposizione
dal sistema operativo, che consente di interagire
con i driver: il Device Input and Output Control
(IOCTL). Quando un driver viene installato, per
definire le routine che verranno esposte, viene
utilizzata la chiamata IoCreateDevice. Tali routine
sono fondamentalmente delle funzioni che
interagiscono con altri livelli del sistema operativo,
per manipolare un dispositivo hardware. È possibile
identificare le varie routine attraverso un codice
di controllo I/O (codice IOCTL). In HEVD (il nostro
driver vulnerabile) queste funzioni di routine
interagiscono direttamente a livello kernel,
originando diverse vulnerabilità. Il driver elaborerà
le chiamate a quelle routine utilizzando le strutture
IRP (I/O Request Packets) e imposterà un gestore
che invierà la routine specifica con un dato codice
IOCTL: IrpDeviceIoCtlHandler. Ottimo, la connessione della macchina vittima
è avvenuta con successo!
FASE V – STACK OVERFLOW
Il driver vulnerabile HEVD può essere sfruttato assume il valore decimale 2236419 o 0x222003
per vari attacchi, noi lo utilizzeremo per perpetrare in esadecimale, che è il punto esatto dove effettuare
un attacco DOS. Analizzando il driver, possiamo la chiamata BufferOverflowStackIoctlHandler;
osservare alcune caratteristiche della tabella 2 analizzando la chiamata, osserviamo che esiste
di jump generata attraverso la funzione un controllo che verifica se il pacchetto IRP contiene
IrpDeviceIoCtlHandler: dati forniti dall’utente;
1 viene attivata quando il codice dello IOCTL 3 se esiste, viene attivata la chiamata alla funzione

Da sapere
In questa parte daremo per scontato 247 di HJ e che potete anche leggere al seguente
l’apprendimento della tecnica di attacco link: https://thehackingquest.net/buffer-
overflow, che abbiamo già trattato nel numero overflow-attack .

16

Verifichiamo di nuovo, non si sa mai, che il driver buggato sia stato caricato.
TriggerBufferOverflowStack;
4 la funzione TriggerBufferOverflow presenta
una chiamata a memset(&KernelBuffer, 0, 800h)
che indica la lunghezza del buffer 2048 byte;
5 Al termine di TriggerBufferOverflowStack
viene eseguita una chiamata a
memcpy (&KernelBuffer, &UserBuffer,
SizeOfUserBuffer)
la quale evidenzia che possiamo “controllare” sia
i dati di UserBuffer che quelli SizeOfUserBuffer.
Quindi, se volessimo sfruttare l’attacco di buffer
overflow attraverso la variabile KernelBuffer,
dovremmo iniettare un payload con più di 2048
Il buffer è stato riempito, il nostro script ha avuto successo. Provate a pensare di compilarlo
per ottenere un file exe e inviarlo per email...
figura #11
byte, usando il codice IOCTL 0x222003. Non resta
che provarci! Per il nostro test utilizzeremo il codice
Python visibile in [listato #1], scritto per l’exploit,
che sfrutta la vulnerabilità sopra menzionata,
riempiendo il buffer di lettere “A”.
Riavviamo la macchina vittima. Spostiamoci
sulla macchina di debugging e appena ricevuta
la connessione, mettiamo in stato di running
il debugger (premiamo F5). Non ci resta che fare
doppio click sul file che abbiamo appena creato
(o avviarlo dal cmd). Il risultato sarà il nostro buffer
pieno di lettere A (x41). Abbiamo appena
compromesso il flusso d’esecuzione del nostro
driver e creato le condizioni per un attacco
di Denial of Service [figura #12].
figura #12
17
HACKTUALITÀ
IL L AT O O S C U R O
DEL M E TA V E R S O
o della nuova fron tiera
Aziende e persone parlan ar ando a es plor are qu esto nuovo spazio
a prep
la cybercriminalità si st
È
difficile identificare le
minacce informatiche
di uno spazio che
non esiste ancora
completamente. Ma su una cosa
siamo sicuri: quando arriveranno,
saranno micidiali. Perché
il Metaverso, quella specie di rete
che collega e rende interoperabili
differenti ambienti di realtà
virtuale con l’ausilio di visori
e occhiali VR, oggi sembra una
barzelletta mal riuscita raccontata
da Mark Zuckerberg, ma domani
potrebbe diventare una serie di
ambienti giganteschi e molto reali
dal punto di vista economico
e sociale. E conoscendo la natura
umana, ci sarà chi cercherà di
sfruttarlo per il suo lato oscuro.
18
del Web … ma anche
RICERCA RIVELATORIA
Una delle prime ricerche che
mette in luce quali configurazioni
potrebbe avere questo spazio
virtuale è quella condotta
dall’azienda di cybersecurity
Trend Micro (https://bit.ly/
hj267_metaverso). Ma i ricercatori
non sono gli unici a preoccuparsi:
sono in molti quelli che già
provano a immaginare come
i primi abbozzi di Metaverso
verranno trasformati anche
in luoghi di incontro
e scambio illegale.
CRIMINALI VIRTUALI
I rischi possibili nell’immediato
futuro sono davvero molti.
Il Metaverso prevede l’utilizzo
degli NFT per la regolamentazione
della proprietà, viste le loro
caratteristiche di immutabilità.
Però, proprio come accade
con i furti di Bitcoin e delle altre
criptovalute oggi, gli NFT saranno
oggetto di phishing, furti,
frodi anche in 3D. Non solo.
Le proprietà di “spazi fisici”
virtuali nel Metaverso daranno
la possibilità di riciclare soldi
sporchi con compravendite con
valori artificialmente gonfiati
e generare un’economia parallela
e illegale. Inoltre, la privacy sarà
completamente stravolta, perché
non solo la possibilità di tracciare
i comportamenti degli utenti
è ancora tutta da definire, ma il
tipo di dati e di azioni che possono
 REALTÀ VIRTUALE

I luoghi oscuri del darkverse

I
l darkverse è il Deep Web portato nel
Metaverso. È uno spazio per gli scambi
clandestini, le comunicazioni criminali
e le attività illegali. Ma com’è fatto?
È diverso dal resto del Metaverso
perché è chiuso e inaccessibile: uno spazio
riservato. Per avere questo tipo di
ambiente nel darkverse bisogna usare
delle configurazioni che non permettano
agli “intrusi” di finirci dentro per caso
rendendolo quindi invisibile alle scansioni
e ai tentativi di intercettazione. Si può,
per esempio, fare in modo che i criminali
possano accedervi solo se si trovano
in un luogo fisico specifico e dispongono
di un token di autenticazione valido.
In questo modo i criminali possono
incontrarsi e commerciare in spazi protetti,
inaccessibili alle forze dell’ordine perché
impossibili da intercettare e da infiltrare.

essere viste è enormemente più
sofisticato e complesso. Infine,
fake news, propaganda e
ingegneria sociale la faranno da
padroni in spazi molto realistici
dove però è tutto generato
digitalmente e quindi tutto
potenzialmente falso.
IL FAR WEST
La base del ragionamento che
viene fatto è che oggi il Metaverso
è ancora sul tavolo da disegno
dei progettisti della Rete.
Meta, cioè Facebook, ma anche
le centinaia di aziende che stanno
cercando il modo di investire
e personalizzare gli ambienti
a loro vantaggio, sono ancora
agli inizi. È, a quanto pare, un
ambiente embrionale dove non
esistono regole e dove sembra
che nessuno le voglia mettere.
Anzi, come la corsa all’Ovest
del vecchio Far West, quando
i coloni sbarcati dall’Europa
potevano correre verso le grandi
pianure e fermarsi per colonizzare
gratuitamente tutta la terra
che fossero stati in grado di
prendere, così nel Metaverso aperti che stanno preoccupando
le aziende oggi stanno cercando i ricercatori e gli esperti.
di acchiappare visibilità e “spazi” E le domande sono tante: come
(rappresentati dagli NFT) saranno moderate le attività degli
in maniera tale da avere utenti e il parlato nel Metaverso?
un vantaggio. Ma, proprio come E chi saranno i responsabili?
nel Far West dell’Ottocento, Come verranno controllate
nel Metaverso troveranno e applicate le violazioni del diritto
casa criminali e truffatori. d’autore? Come faranno gli utenti
E le forze dell’ordine potranno a sapere se stanno interagendo
fare molto poco. con una persona reale o un
bot? Ci sarà un test di Turing
LE DOMANDE APERTE per differenziare le AI dagli
Il vero problema, infatti, non è esseri umani? C’è un modo
soltanto l’insicurezza, ma anche per salvaguardare la privacy
la difficoltà a capire come fare a impedendo che il Metaverso
introdurre delle forme di controllo venga dominato da poche grandi
e di sicurezza credibili. Come fare aziende tecnologiche, come
a sorvegliare i territori virtuali? vorrebbe per esempio Meta?
Come attribuirsi le competenze Sono tutte domande aperte che,
e la giurisdizione? Come ridefinire se non trovano risposta adesso,
i reati quando questi diventano potrebbero diventare problemi
virtuali? Sono molti i problemi cronici del nuovo spazio virtuale.
I ricercatori di Trend Micro studiano
il darkverse e si aspettano che possa
diventare un problema di sicurezza
molto grave nei prossimi anni
19
 HACKTUALITÀ
A cura di Luca Tringali

,
GLOSSARIO
DI BASE
SCAM B I O D I I D E N T I TA
zza il sistema di identità
KUBERNETES
Piattaforma per gestire
rviz io EK S di AW S ut ili
Il se e li traduce nel sistema
container Docker su più
pe r ge st ire gli ut enti
macchine fisiche, AWS IAM
realizzando un cluster
ruoli e pe rm es si tipici di Kubernetes. Questa
sul quale virtualizzare di punto debole che...
ne, pe rò , na sc on de un
tutte le applicazioni
come container.
traduzio

A
NAMESPACE
In Kubernetes, è
mazon Web Services di definire con estrema precisione
possibile separare le è il cloud di Amazon, una quali attività possano essere svolte da
risorse (container con le delle principali piattaforme ciascun utente, rendendo l’ambiente
applicazioni, storage, cloud disponibili sul molto sicuro, perché non è necessario
ecc.) inserendole in mercato. La quantità di servizi che dare a qualcuno più permessi
diversi “namespace”.
offre è enorme, praticamente di quanti ne servano. L’aspetto
Ogni utente può avere
accesso ad alcuni qualsiasi cosa si possa immaginare interessante è che già da prima che
namespace e non ad nel mondo del cloud computing, esistesse Kubernetes, il sistema di
altri, quindi è possibile e sono solitamente indicati con delle autenticazione di Amazon, AWS IAM,
impedirgli di vedere le sigle. S3, per esempio, è un semplice funzionava con la stessa logica.
app di un altro utente. storage cloud. EC2 offre macchine
virtuali. Mentre EKS (Elastic DOVE RISIEDE LA VULNERABILITÀ
CONFIGMAP
Semplici dizionari Kubernetes Service) è Per evitare di dover ripetere tutto
(coppie di dati “chiave: l’implementazione in chiave Amazon due volte, cosa piuttosto complicata
valore”, per esempio di Kubernetes. Naturalmente, nella in aziende con centinaia o migliaia
“rivista: HackerJournal”) logica di Amazon, tutti i vari servizi di dipendenti, Amazon ha deciso
ove memorizzare info sono interconnessi, in particolare per di integrare il proprio IAM con la sua
necessarie per la
quanto riguarda l’autenticazione. implementazione di Kubernetes, così
configurazione delle
applicazioni. Così se si Su Kubernetes è, infatti, presente un è possibile utilizzare le utenze AWS
vuole riconfigurare meccanismo di autenticazione basato preesistenti, magari già in uso
un’app non serve su utenti e ruoli, per cui a ogni utente per accedere a servizi come S3
ricreare tutto il vengono assegnati dei token o CloudFront, per accedere anche
container, basta
identificativi e una serie di alle risorse allocate sul cluster
modificare la
ConfigMap.
autorizzazioni per l’accesso a Kubernetes. È quindi stato pubblicato
specifiche risorse. Questo permette il modulo AWS IAM authenticator

20

for Kubernetes, che permette
l’utilizzo del sistema di
autenticazione di Amazon per
accedere alle risorse di un cluster
Kubernetes (uno qualsiasi, in realtà,
non necessariamente EKS).
Kubernetes è infatti Open Source,
quindi chiunque può realizzarsi un
cluster sul proprio hardware e
Amazon ha rilasciato come Open
Source anche la propria
implementazione, con il nome
di “EKS Anywhere”. E chiunque
può decidere di utilizzare come
autenticatore il servizio IAM
di Amazon, su qualsiasi cluster
Kubernetes. Semplicemente,
Kubernetes continua a gestire i suoi
ruoli e permessi come al solito,
ma per l’autenticazione non
si fa il classico scambio di chiave
direttamente in Kubernetes:
l’utente si autentica su Amazon e
riceve un token di autorizzazione
temporaneo, che viene poi usato
nelle varie chiamate alle KubeAPI
per collegare l’attività all’utente.
Il modulo aws-iam-authenticator
si occupa proprio di mettere in
relazione i ruoli nativi di Kubernetes
con l’autenticazione di Amazon.
Ed è in questa “traduzione” che
è stata trovata una vulnerabilità,
a meno di un anno dalla
pubblicazione di EKS Anywhere.
UN DIZIONARIO
PER LA TRADUZIONE
La procedura di autenticazione
percorre sostanzialmente sei passi.
1 L’utente invia una richiesta
alle API di EKS, per ottenere
delle risorse Kubernetes (per
esempio, “kubectl get pods”).
La richiesta include un token
di autorizzazione nell’intestazione,
che è una stringa base64 di AWS
Security Token Service.
2 Il server riceve la richiesta,
estrae il token, e lo invia nel
corpo della richiesta verso
il server di AWS IAM.
3 Il server di autenticazione di AWS
IAM riceve il token dal server API,
lo decodifica e lo verifica.
Se è corretto, il server IAM
invia la richiesta di autenticazione
firmata da AWS STS.
4 AWS STS riceve la richiesta
e controlla la firma. Se la firma
è valida, poi invia i dettagli
dell’identità IAM dell’utente
come risposta alla chiamata
GetCallerIdentityResponse
(chiamata che IAM fa a STS).
5 L’autenticatore IAM riceve la
risposta della propria chiamata
GetCallerIdentityResponse da STS
e traduce l’identità IAM collegata
a quel token in un serviceaccount
di Kubernetes, basandosi sulle
VULNERABILITÀ
Il problema di AWS
è che il nome utente
viene cercato come
lowercase, quindi è
possibile che due nomi,
che differiscono solo
per le maiuscole,
vengano confusi.
Fonte: https://bit.ly/
hj267_aws1
regole scritte nella ConfigMap
aws-auth. L’identità Kubernetes
che viene riconosciuta grazie
a questa ConfigMap deve
ovviamente essere presente nel
cluster, e avere delle regole RBAC
(controllo d’accesso basato su ruoli)
che le permettano l’accesso a delle
risorse. AWS IAM passa l’identità
Kubernetes corrispondente alla
propria alle API di EKS.
6 Il server delle API riceve l’identità,
controlla i permessi tramite RBAC,
e verifica se la richiesta (“get pods”,
nell’esempio) è autorizzata per
questo serviceaccount. In caso
positivo, esegue la richiesta
e restituisce il risultato
direttamente al chiamante.
Uno dei punti deboli è che è
possibile modificare la ConfigMap,
come si farebbe con una qualsiasi
altra ConfigMap:
kubectl edit configmaps
aws-auth -n kube-system
Se si aggiungesse un elemento di
questo tipo alla sezione mapUsers,
mapUsers: |
- userarn:
arn:aws:iam::000000000000:
user/testuser
username: user:
21
HACKTUALITÀ
sarebbe possibile assegnare
una access key IAM arbitraria
(per esempio la propria) all’utente
testuser. Naturalmente, per poterlo
fare bisogna prima di tutto avere
l’accesso alla ConfigMap
in questione, ma è possibile
che un utente possa accedere
al namespace kube-system
senza avere altri privilegi.
Con questo meccanismo potrebbe
modificare la ConfigMap e
assegnarsi un serviceaccount
Kubernetes che ha maggiori
privilegi, andando quindi
a impersonare un altro ruolo.
Ci si potrebbe chiedere: ma,
se viene mappato un utente già
presente nella ConfigMap, non
dovrebbe generare un errore?
La realtà è che questo non accade
a causa di questo bug nella lettura
della ConfigMap da parte del
sistema di verifica dei token:
queryParamsLower.Set(strings.
ToLower(key), values[0])
Come si può vedere, la chiave
(l’utente) viene trasformata in
minuscolo. È quindi possibile
modificare la ConfigMap per
sostituire l’utente
“amministratore”
con un piccolo
key, selezionerà questa stringa
ma trasformandola in minuscolo,
quindi dando l’accesso al service
account “amministratore”.
ENTITÀ DELLA VULNERABILITÀ
L’impatto di questa vulnerabilità
dipende molto dall’utilizzo
che si sta facendo del proprio
cluster EKS. Se l’RBAC di
Kubernetes è configurato bene,
soltanto gli amministratori
dovrebbero avere accesso al
namespace kube-system. È infatti
possibile per gli altri utenti fare
il deploy di applicazioni anche
avendo accesso solo a namespace
“meno importanti”. Per esempio,
spesso si crea un namespace

LA SOLUZIONE trucco: basta

aggiungere
la propria access
key per l’utente
per una singola applicazione e si
concede agli utenti il permesso
di accedere solo a questo
namespace. Però potrebbe essere

A
mazon ha risolto il problema
semplicemente aggiungendo al
codice una funzione che faccia un vero
controllo dei duplicati, per assicurarsi
che nessuno aggiunga una seconda volta
l’access key per un utente già esistente.
Il nuovo codice è stato caricato su tutte
le istanze EKS gestite da Amazon, e per
quelle installate dagli utenti sul proprio
hardware basta fare un aggiornamento
di EKS Anywhere. A ogni modo, il bug
era presente fin dal 2020 e non sappiamo
se sia stato sfruttato da qualcuno prima
che venisse scoperto e corretto, quindi
conviene assicurarsi che i permessi degli
utenti nel proprio cluster EKS siano rimasti
come previsto. In particolare,
all’amministratore basta controllare
la ConfigMap aws-auth nel namespace
kube-system, per assicurarsi che non ci
siano “duplicati” (pur con differenze tra
maiuscole e minuscole) dei nomi degli account.
“Amministratore”. stato creato qualche utente
Siccome le due “intermedio” che potrebbe avere
stringhe sono accesso ad alcuni namespace
diverse, non particolarmente delicati, come
ci sarà una kube-system, ma non ad altri
sovrascrittura (quello dedicato al load balancer,
e nessun errore per esempio). In questo caso il
nell’inserimento. bug in questione è un problema,
Poi, quando perché questi utenti potrebbero
AWS cercherà guadagnare i privilegi di accesso di
di confrontare un amministratore vero e proprio
le varie access e accedere a tutto il cluster.
Il problema è stato risolto con una nuova
funzione che controlla la presenza di eventuali
utenti duplicati a prescindere da maiuscole
e minuscole, e segnala l’errore.
Fonte: https://bit.ly/hj267_aws2

22
SICUREZZA
steganalisi Attacco alla steganografia
Vi mostriamo come l’uso di alcune metodologie statistiche complesse permetta di
scoprire se un’immagine contiene un messaggio nascosto con la steganografia.... 24

pentesting Filtri lato client, terza parte

Impariamo ad aggirare i filtri lato client per attaccare al cuore una Web app!........... 28
 SICUREZZA
Attacco alla
st e g a n o g r a f i a !
I
Vi mostriamo come l principale obiettivo della
steganografia è quello di
l’uso di alcune nascondere un messaggio
metodologie dentro un “contenitore”. Se
i software steganografici oggi in uso
statistiche rendono non percepibile l’esistenza
complesse di un messaggio nascosto ai sensi
permettono (udito e/o vista) di un soggetto
all’oscuro di tali tecniche, l’analisi
di scoprire statistica può evidenziare le più
se un’immagine sottili anomalie nei file sotto esame.
Sono proprio queste anomalie che
contiene un potrebbero far nascere il sospetto
messaggio nascosto che si è in presenza di una
con la steganografia comunicazione nascosta.
STEGANOGRAFIA SOSTITUTIVA
Possiamo classificare due tipi di
steganografia: quella iniettiva
e quella generativa. Nella realtà,
da un punto di vista pratico,
si suddivide la steganografia in
sostitutiva, selettiva e costruttiva.
Per comprendere un minimo
La steganografia è un metodo per
nascondere le informazioni “in bella
vista”, ma come al solito la scienza
è in grado di svelare il trucco...
24
la steganalisi occorre quanto meno
intuire come sia possibile
nascondere un’informazione
all’interno di un file e per farlo verrà
considerata la tecnica tra le più
diffuse, la steganografia sostitutiva.
Il contenitore più usato è
un’immagine (ma può essere anche
un file audio o video) nel quale il
cambiamento di un certo numero
di bit permette di implementare
ciò che si vuole nascondere. Va da
sé che così facendo viene a essere
alterato il file contenitore,
ma se l’alterazione non è eccessiva
il nostro occhio (l’orecchio se
trattasi di file audio) non riuscirà
a percepire alcuna differenza tra
l’originale e il file stego. La tecnica
più immediata da comprendere per
la steganografia sostitutiva nelle
immagini è l’algoritmo LSB (Least
Significant Bit, letteralmente bit
meno significativo). Occorre sapere
che un’immagine è caratterizzata
da pixel, ogni singolo pixel è
suddiviso in tre canali (o livelli) di
colore, detti subpixel, ognuno dei
quali identifica un colore, di preciso
Rosso, Verde e Blu (RGB, Red-
Green-Blu). L’immagine a colori

GLI ALTRI FORMATI
Nell’articolo si fa riferimento al
formato lossless come il bitmap
BMP. Lossless è anche il formato
GIF per il quale si hanno
procedure differenti che per
motivi di spazio non è possibile
riportare. Per le immagini lossy
(compresse con perdita di
informazioni) le più utilizzate
riguardano il formato JPG la cui
si crea tramite tecnica additiva,
mescolanza di due o più colori, tre
nello specifico, ognuno dei quali
è codificato su 8 bit quindi
su 2^8=256 valori (da 0 a 255)
per un totale di 24 bit (immagini
Truecolor). Chi è avvezzo a
programmi di manipolazione delle
immagini come GIMP, avrà notato
che il colore è rappresentato da
una sestupla esadecimale come
EF16AC nella quale le prime due
cifre a sinistra indicano la
componente del rosso seguita
dalla verde e infine la blu. Un verde
“pieno” sarà rappresentato da
00FF00, il blu da 0000FF e FF0000
per il rosso. Il valore di ogni colore
può quindi variare da 00 (0 in
decimale) a FF (255 in decimale)
per ritrovare il totale dei 256 valori.
Nella sestupla esadecimale si va
da 000000 (colore nero) a FFFFFF
(colore bianco) per un totale
di 16.777.216 colori (256^3).
Provando a cambiare uno solo
di questi valori per esempio,
per il blu, da 0000FF a 0000FE, la
rispettiva variazione in binario sarà
da 11111111 a 11111110; il bit meno
significativo (LSB) della cifra binaria
varierà da 1 a 0 e il nostro occhio
non percepirà alcuna variazione
nella tonalità del colore, provare
per credere! La steganografia
sostitutiva si basa proprio
codifica vede una tecnica
orientata alla frequenza con
l’applicazione della funzione DCT
(Discrete Cosine Transform,
trasformata del coseno discreta)
su blocchi di 64 pixel (8x8) seguita
da un’operazione di
quantizzazione. Procedure
complesse la cui descrizione
esula da questo contesto.
su questo tipo di sostituzione,
alterando le componenti meno
significative (LSB) dei tre livelli
del colore.
NASCONDERE UN DATO
Prendiamo in esame i caratteri
che fanno parte del testo che si sta
leggendo. Essi sono codificati su 8
bit (2^8=256 simboli, tabella ASCII).
Questo vuol dire che per poter
inserire un carattere, per esempio
la lettera A, all’interno di
un’immagine, occorre alterare
tutti e tre gli LSB delle tre
componenti di colore su due pixel
per un totale di 6 bit; i rimanenti
2 bit andranno presi su due
componenti di colore di un altro
pixel coprendo gli 8 bit necessari
per codificare un solo carattere
ASCII. Nulla vieta di prendere più
bit; occorre però fare attenzione
perché significherebbe alterare in
maniera percettibile il contenitore
(leggere il box Dimensioni del
contenitore). Ricercatori
del settore hanno evidenziato
[figura #1] come occorra un
compromesso tra la dimensione
del contenitore (immagine
portante) e quella del messaggio
da implementare, qualunque
formato esso sia. Maggiori sono
i bit utilizzati per codificare il
messaggio segreto, migliore sarà
STEGANALISI
GLOSSARIO
DI BASE
LOSSLESS E LOSSY
La compressione di un file
può avvenire con perdita di
informazioni (lossy) oppure
senza perdita di informazioni
(lossless). La steganografia
a seconda che si tratti
di formati lossy o lossless
presenta dinamiche
differenti. Per esempio,
non è possibile nascondere
un messaggio nel formato
lossless bmp per poi
convertirlo in jpg (lossy),
in questo caso verrebbe
perso il messaggio nascosto.
STEGANALISI
Insieme di tecniche che
vedono l’attacco a uno
stegosistema atte a
individuare la presenza di
messaggi occultati. Una sorta
di inverso della steganografia
con l’obiettivo antiterroristico,
di controspionaggio/
spionaggio anche industriale
e in genere per motivi
commerciali e fini illeciti.
VARIANZA
Quantità di secondo grado
che identifica la dispersione
dei valori di una variabile
nell’intorno del valore medio.
Più tali valori sono
concentrati attorno al valore
medio, minore sarà la
varianza. Viceversa, più
lontano si trovano i valori
maggiore sarà il valore
di varianza.
STEGHIDE
È uno dei programmi più
utilizzati per la steganografia;
lavora a riga di comando
ed è disponibile sia per Linux
che per Windows. Il tool può
essere scaricato da http://
steghide.sourceforge.net.
25
 SICUREZZA
figura #1
Immagine cover vs qualità immagine segreta
in funzione dei bit usati.
la sua risoluzione se si tratta di
un’immagine, al tempo stesso
si avrà un degradamento visibile
dell’immagine portante che farà
nascere qualche sospetto.
Importante anche il “tipo” di
immagine da scegliere per celare
il messaggio; in un paesaggio
“monotono” con deserto e cielo
azzurro una piccola variazione
potrebbe saltare subito all’occhio a
differenza di una fotografia di una
città e/o di un paesaggio tropicale
dove svariate tonalità e sfumature
di colore si fondono.
ATTACCHI ALLA
STEGANOGRAFIA
Come verificare la presenza
di messaggi nascosti? Due sono
le metodologie: attacchi visuali
figura #2
Analisi del file stego con StegDetect.
26
e attacchi statistici. Sebbene
le modifiche indotte da messaggi
incorporati in un’immagine
possano essere impercettibili
ai sensi (a meno di considerare
il watermarking visibile), all’atto
pratico vanno a inficiare la natura
statistica della distribuzione
dei colori del file che dovrà
incorporare la steganografia.
Negli attacchi visuali al presunto
file stego vengono applicati
gli algoritmi che potrebbero essere
stati utilizzati per nascondere
il messaggio. In presenza di
elementi nascosti nel file risultante
risalteranno visivamente i bit
contenenti il messaggio.
Una buona tecnica ma
oggettivamente lenta e onerosa
dal punto di vista temporale
in presenza di svariate immagini
da analizzare. Negli attacchi
statistici vengono invece valutate
e confrontate le distribuzioni dei
colori delle immagini che danno
luogo a un insieme di dati
rappresentabili con un grafico
a barre (istogramma) la cui ascissa
presenta i valori dei colori RGB
mentre l’ordinata il numero
di pixel utilizzati nell’immagine
corrispondenti a quella intensità.
Si possono avere attacchi con
statistiche di primo ordine (media)
che non sempre sono sufficienti
a svelare l’arcano.
DUE ESEMPI PRATICI
Sono state effettuate delle prove
di steganografia utilizzando
Steghide; tramite il comando
steghide embed -ef
SommarioNum264.odt -cf
HJcover264.jpg
è stato nascosto [figura #4] un file
in formato ODT (LibreOffice
Writer) contenente il sommario
del numero 264 di HJ nella sua
stessa immagine di copertina in
formato JPG. Tale software opera
in maniera tale da non modificare
le rispettive frequenze del colore
rendendo così l’incorporamento
resistente ai test statistici del
primo ordine. Usando, invece,
StegDetect (scaricabile da
https://github.com/abeluck/
stegdetect) risulteranno alcuni
falsi negativi [figura #2]
e solo aumentando, nello specifico
ben del 400%, la sensibilità con
l’opzione -s viene rilevato
un messaggio nascosto che,
secondo il programma, è stato
implementato utilizzando JPHide
(https://github.com/h3xx/jphs).

IL SEGUGIO DELLE IMMAGINI
figura #3
Aletheia (https://github.com/
daniellerch/aletheia) è uno
strumento di steganalisi che
presenta caratteristiche avanzate
sugli algoritmi di steganografia
implementati, permette
di stampare valori numerici
a schermo delle distribuzioni e di
ottenere grafici di distribuzione
[figura #3]. Sarà proprio l’uso di
queste informazioni di confronto
tra i valori ottenuti da
un’immagine sospetta e il modello
statistico atteso per un file
steganografato a fornire la
probabilità che il file possa
contenere un messaggio nascosto.
Un ingrandimento di confronto
per i grafici di [figura #3] potrà
mettere in evidenza alcune
discrepanze sul numero di pixel
su alcuni valori di colore. Se siete
interessati ad approfondire
gli argomenti appena toccati
in questo articolo, potete puntare
il browser all’indirizzo https://
figura #4
Originale a sinistra, file stego jpg a destra.
Distribuzione colori file stego in alto, originale in basso.
daniellerch.me/tools-en/. Per chi è
alle prime armi si suggerisce il libro
di Nicola Amato, La steganografia
da Erodoto a Bin Laden: viaggio
attraverso le tecniche elusive
della comunicazione edito da
Italian University Press. Piccola
nota: tutti i software riportati sono
STEGANALISI
stati installati da sorgente in una
distribuzione GNU/Linux Mageia 8.
Per domande e delucidazioni
potete usare il forum HJ (https://
hackerjournal.it/forum/ ).
DIMENSIONI
DEL
CONTENITORE
Per evitare variazioni
apprezzabili del contenitore
che possono far nascere
qualche sospetto, è opportuno
che il file “civetta” in termini
di dimensioni sia
orientativamente (non è una
regola assoluta) 10 volte
superiore al file/messaggio
da nascondere. Questo
accorgimento permetterà di
distribuire più uniformemente
i bit relativi al messaggio
segreto. Per esempio, il
software Steghide si blocca sul
messaggio The cover file is
too short to embed the data
se una siffatta proporzione
non viene rispettata.
27
 SICUREZZA
Filtri l at o c l i e n t
fi lt ri la to client per
ag g ir ar e i
Impa riamo ad
P
roseguiamo il nostro
approfondimento sui
filtri lato client che
proteggono la pagina di
login di Mutillidae da attacchi di
tipo SQL injection. La pagina
oggetto delle nostre attenzioni può
essere raggiunta all’URL http://
www.labpentest.hj/mutillidae/
index.php?page=login.php [figura
#1]. Una volta visualizzata
è sufficiente inserire nel form
di login le stringhe [figura #2] “‘ OR
1=1 -- ” (attenzione a includere
almeno uno spazio dopo i due
La pagina di login di Mutillidae.
28
trattini) nel campo name e
“password” (o un’altra stringa a
vostra scelta) nel campo omonimo
per visualizzare il messaggio
d’errore [figura #3] che Mutillidae
utilizza per bloccare il nostro
tentativo di attacco. Una rapida
occhiata al codice HTML della
pagina [figura #4] ci ha mostrato
senza ombra di dubbio come
il meccanismo difensivo in cui
ci siamo imbattuti sia dovuto
a un’implementazione lato client.
Quando l’utente richiede l’invio
al server delle credenziali di
figura #1
TERZA PARTE
attaccare al cuore
una Web app!
autenticazione inserite, il form di
login provvede infatti a richiamare,
attraverso l’attributo onSubmit
del tag <form>, la funzione di
validazione OnSubmitFormLogin()
che limita gli input accettabili alle
sole stringhe:
• con dimensione non superiore
ai 15 caratteri;
• prive di tutti quei caratteri
(tra cui figurano proprio i simboli
– e ‘ utilizzati nel nostro pattern
d’attacco) considerati “pericolosi”.
CONTROLLI LATO CLIENT...
Si tratta di un metodo semplice
ma (relativamente…) efficace:
in questo modo la pagina complica
la vita agli attaccanti, grazie alla
limitazione della lunghezza
dell’eventuale codice malevolo
inserito e, soprattutto, la rimozione
dei caratteri potenzialmente
impiegabili in un pattern d’attacco.
Come abbiamo visto nell’ultima
puntata, tuttavia, quella di affidarsi
a un meccanismo lato client per la
sanitizzazione dell’input utente non
 PENETRATION TEST
figura #2
Mutillidae
Mutillidae è una Web app
didattica, Open Source e
liberamente installabile da
chiunque intenda migliorare le
proprie capacità di pentester.
Rispetto ad altre Web app
simili si contraddistingue per
il suo approccio basato sulle
vulnerabilità appartenenti
alla lista OSWAP Top 10,
che racchiude le 10 falle
più diffuse in ambito Web.

Il pattern d’attacco...
figura #3 può certo essere definita una
decisione saggia: se è vero che da
un lato si evita di gravare il server
di un’ulteriore incombenza,
riducendo il carico complessivo e
limando la complessità del codice
della Web app, è altrettanto vero
che linguaggi lato client come
… comporta l’attivazione JavaScript (e il browser, ovvero
del filtro! il relativo ambiente di esecuzione)

d i t e s t c o m p l e t o
Un ambiente Rete
Internet 211.100.1.2 Target

Backbone
211.100.1.1 Server
212.100.1.3 FTP
Router
212.100.1.1

210.100.1.2
212.100.1.2
Pentester Server
210.100.1.1 Web

All’URL https://bit.ly/hj_palestra
trovate le istruzioni per creare
la palestra virtuale. 29
SICUREZZA
Una porzione del codice HTML della pagina in cui
appare evidente il ricorso a JavaScript per validare
quanto inserito dall’utente.
rientrano nel pieno controllo
dell’utente, che può disporne
a piacere… anche rimuovendo
(o modificando) il filtro stesso,
senza che la Web application possa
fare nulla per impedirlo (o, peggio,
accorgersene...).
… E LATO SERVER!
Detto in termini più brutali, una
Web application che releghi la
sanitizzazione dell’input utente
figura #5
Il collegamento a Burp Suite
nel menu di Kali.
30
figura #4
esclusivamente a codice lato client
è una Web app vulnerabile: l’unico
modo per scongiurare potenziali
attacchi legati al mancato controllo
dell’input dell’utente – non potendo
verificare in pieno quanto accade
sul browser dell’utente stesso –
è infatti quello di replicare, almeno
in parte, i medesimi controlli anche
nel codice lato server. Come
abbiamo avuto modo di appurare
nell’ultima puntata, la pagina di
Per i nostri scopi vanno benissimo le
impostazioni di configurazione di default.
login di Mutillidae ricade proprio
nella casistica peggiore: il filtraggio
dei caratteri malevoli
eventualmente inseriti dall’utente
è effettuato infatti solo dalla
funzione JavaScript inclusa nel
relativo codice HTML [figura #4]. Di
conseguenza, è possibile aggirare
la validazione (e quindi effettuare
un attacco di tipo SQL injection
sulla pagina) se si modifica
manualmente tale codice in modo
che non richiami più la funzione
di validazione, proprio come fatto
nello scorso numero. Si tratta
di una modifica che possiamo
realizzare replicando il codice della
pagina direttamente sul nostro
hard disk… oppure affidandoci
a un tool specifico che ci consenta
di aggirare il filtro in maniera
più rapida ed efficiente!
BURP SUITE
Possiamo ricorrere a una nostra
vecchia conoscenza, la celebre
Burp Suite: una collezione
di strumenti per le verifiche
di sicurezza in ambiente Web
che costituisce un vero e proprio
must have per chiunque operi
nel settore. La suite è disponibile
gratuitamente, sebbene con
qualche limitazione nelle modalità
figura #6
 PENETRATION TEST
figura #7 La schermata principale
di Burp.

utilizzare, come nel nostro caso,

quello integrato in Burp, che
di uso dei tool, nella sua versione verranno create dal nostro possiamo richiamare cliccando sul
community: nella distribuzione Kali browser. Tutto ciò a patto di pulsante Open browser. Si tratta
installata sulla VM “Pentester” configurare in maniera opportuna di una versione embedded di
troviamo proprio questa versione, il browser stesso… oppure di Chromium: non possiamo non
più che sufficiente per la tipologia
di impiego che prevediamo di
farne. Per avviare Burp Suite è
sufficiente scegliere, dal menu
figura #8
principale della distro, le voci 03
– Applicazioni Web | burpsuite
[figura #5] e accettare i termini
e le condizioni d’uso del software.
Prima di avviarsi, la suite richiederà
la nostra attenzione in merito a:
• il tipo di progetto (temporaneo
o meno);
• le impostazioni di configurazione
da utilizzare [figura #6].
Opzioni per le quali è sufficiente
accettare a scatola chiusa le scelte
di default proposte. Una volta La schermata per la gestione del Brup Proxy.
completate queste incombenze,
avremo accesso alla schermata

figura #9
principale di Burp [figura #7],
profondamente rinnovata rispetto
alle versioni di qualche anno fa.

BURP PROXY
Dei tanti tool che compongono
la suite, l’unico che ci interessa
in questa sede è il proxy a cui
possiamo accedere selezionando
l’omonimo tab. Il pulsante
Intercept is on è selezionato di
default [figura #8]: in altri termini,
il proxy è già attivo e pronto
a catturare (consentendoci di
modificarle a nostro piacimento)
le richieste HTTP che d’ora in poi Il browser embedded in Burp Proxy.

31
SICUREZZA
La cattura della richiesta HTTP da parte del proxy.
Il menu del browser per disabilitare
l’esecuzione di JavaScript.
riconoscerne il familiare look and
feel [figura #9], che si riflette
in un’esperienza d’uso
completamente sovrapponibile
a quella del browser originale.
BROWSER EMBEDDED
Vediamolo subito all’opera,
digitando all’interno della barra
degli indirizzi l’URL della pagina
di login di Mutidillae, ovvero http://
www.labpentest.hj/mutillidae/
index.php?page=login.php
e premendo il tasto Invio. Anziché
mostrarci la pagina, tuttavia,
l’esecuzione del programma trova
32
figura #10 appena inviata dal browser
figura #11
una battuta d’arresto: piuttosto,
è Burp a “prendere il comando”,
mostrandoci la richiesta HTTP
figura #12
L’interfaccia per aggiungere Mutillidae ai siti per
i quali va bloccata l’esecuzione di script JavaScript.
e prontamente catturata dalla
relativa componente Proxy [figura
#10]. In questo caso, tuttavia, non
abbiamo alcun interesse a operare
modifiche sulla richiesta, per cui
è sufficiente limitarsi a cliccare
il tasto Forward per approvarne
l’invio al server Web, che ci
restituirà in risposta la pagina
richiesta. Proviamo a reiterare il
nostro attacco con questo browser:
cosa succede? Niente di diverso
rispetto a quanto visto sinora:
inserendo nel form i valori
• “‘ OR 1=1 -- ” per il campo name;
• “password” (o una qualsiasi altra
stringa a vostra scelta) per il campo
omonimo
la Web app ci restituisce il “solito”
messaggio d’errore già mostrato
in [figura #3].
CLIENT BASED
Ai lettori più attenti, tuttavia, non
sarà sfuggito un particolare: questa
volta, al contrario della richiesta
iniziale, il proxy non è intervenuto
per bloccare la richiesta HTTP
inviata dal browser. Come è
possibile? Semplice: perché il client,
nonostante l’immissione delle
credenziali di autenticazione, non
ha realmente interrogato il server
Web. La pressione del tasto Login,

infatti, è stata catturata dal già
citato attributo onSubmit del tag
<form> [figura #4], che provvede
a richiamare la funzione di
validazione JavaScript prima di
inoltrare le credenziali al server.
In altri termini, siamo riusciti
a “toccare con mano” come il
meccanismo di validazione della
pagina agisca esclusivamente in
ambito client: il problema è come
aggirare questo filtro…
DISABILITARE JAVASCRIPT
La prima idea che ci potrebbe
venire in mente è quella più
banale: se la validazione si basa
su codice JavaScript, perché non
disabilitare l’esecuzione di script
all’interno del browser? Come
abbiamo avuto modo di rimarcare
nelle scorse puntate, uno dei punti
deboli della validazione client-
based è proprio nel fatto che il
browser è sottoposto al completo
controllo dell’attaccante: perché
non provare a sfruttare questo
aspetto a nostro vantaggio?
Accediamo al menu di Chromium
cliccando sull’icona dei “tre pallini”
posta in alto a destra proprio sotto
la barra degli indirizzi, quindi
selezioniamo la voce Impostazioni.
L’interfaccia per rimuovere il blocco appena
impostato sull’esecuzione di JavaScript.
PENETRATION TEST
Disabilitando JavaScript, il form di login
non viene mostrato.
All’interno del campo di ricerca
inseriamo la stringa “javascript”:
il browser evidenzierà le voci
al percorso Impostazioni sito
| JavaScript sino a condurci
a una schermata in cui è possibile
impostare impostazioni
personalizzate sito per sito [figura
[11]. Cliccando sul pulsante
Aggiungi è possibile inserire
l’indirizzo del sito (www.labpentest.
hj – [figura #12]) all’elenco degli
URL per i quali l’esecuzione
di JavaScript non è consentita.
Una volta completata questa
procedura, tuttavia, quello che
si presenta dinanzi agli occhi
non è esattamente il risultato che
avevamo immaginato: piuttosto,
figura #14
figura #13
non potendo più interpretare il
codice JS presente nella pagina,
Chromium ci mostra ora una
schermata di login priva del form
di autenticazione [figura #13]...
MODIFICARE LA RICHIESTA
Di fronte a questo risultato, non ci
resta che rimuovere l’impostazione
appena aggiunta a Chromium (è
sufficiente tornare alla medesima
schermata delle impostazioni
e scegliere dal menu contestuale
associato alla voce www.
labpentest.hj l’opzione Rimuovi
– [figura #14]) e cercare una
soluzione alternativa. Visto che non
è possibile disabilitare JavaScript
(in modo da “tagliare” la funzione
di validazione) e che non ci
interessa modificare il codice della
pagina (come in occasione della
scorsa puntata) abbiamo bisogno
di trovare un modo per aggirare
il filtro. Quello che cerchiamo
non è, tuttavia, un workaround
per ingannare il meccanismo
di validazione (il cui codice non
sembra presentare molti appigli
per un attacco di questo tipo),
quanto piuttosto una tecnica per
escludere, o rendere innocuo, tale
processo. Può sembrare qualcosa
di particolarmente complesso, ma
33
SICUREZZA
La richiesta HTTP corrispondente all’invio
di un form completamente vuoto.
in realtà le cose non stanno così:
non ci serve guardare lontano
o cercare ulteriori tool, perché
la risposta al nostro problema è
proprio nelle funzionalità di Burp
Proxy. Sinora ci siamo limitati
ad approvare il passaggio delle
richieste HTTP generate dal
browser senza operarvi alcuna
modifica, ma – come sottolineato
– il proxy può fare molto di più:
editare ogni aspetto della richiesta,
prima di approvarne l’inoltro
al server.
FUNZIONI AVANZATE
Torniamo alla nostra pagina
di login e proviamo ad accedere
senza inserire alcun valore nei
figura #16
Ecco l’errore che si ottiene se non si forniscono
credenziali valide a Mutillidae.
34
figura #15
campi name e password: il proxy
visualizzerà la solita schermata
[figura #15] che siamo abituati
a congedare frettolosamente
mediante il pulsante Forward.
Questa volta, tuttavia, prendiamoci
qualche istante per esaminarla
meglio: quella che abbiamo
di fronte è l’intera richiesta HTTP
prodotta dal browser a seguito
dell’interazione dell’utente.
Possiamo inoltrarla così com’è al
server Web… oppure modificarla
a nostro piacimento. Se optiamo
per la prima scelta, ci ritroveremo
dinanzi al messaggio
“Authentication error: Bad
username or password” [figura
#16] con cui Mutillidae ci segnala
Configurare
la Web app
Mutillidae dispone di diversi
livelli di sicurezza, che
corrispondono a una diversa
difficoltà di exploiting da parte
dell’utente. Al livello di
sicurezza di default, 0, non è
presente praticamente alcuna
contromisura: viceversa,
perché gli esempi di questa
puntata possano funzionare
correttamente, dobbiamo
impostare un livello di
sicurezza maggiore. Avviamo
il browser sulla VM “Pentester”
e digitiamo l’URL del sito Web
della rete target, ovvero http://
www.labpentest.hj.
Selezioniamo quindi dalla
homepage il link relativo
a Mutillidae: il banner della
pagina che appare ci segnalerà
che la stiamo consultando al
security level 0. Per innalzare
tale livello è sufficiente cliccare
sul link Toggle security in modo
da passare al security level 1.
l’impossibilità di effettuare il logon
con le credenziali fornite. Ma cosa
accade se, invece, proviamo
a modificare la richiesta HTTP
dalla schermata del proxy?
ALL’ATTACCO!
Per scoprire la risposta a questa
domanda, torniamo nuovamente
alla pagina di login e inseriamo
delle credenziali arbitrarie,
come [figura #17]:
• “innocuo” per il campo name;
• “prova” per il campo password;
quindi premiamo il pulsante Login.
Come al solito, verrà visualizzata
la schermata del proxy: ancora
una volta, non dobbiamo essere
frettolosi nel mandare avanti
la richiesta così come è stata

generata dal browser. Spostiamoci
piuttosto sui valori delle credenziali
di autenticazione: sono stati
trasmessi con il metodo POST
e si trovano pertanto in coda alla
richiesta HTTP, subito dopo gli
header [figura #18]. Quello che
dobbiamo fare, per portare avanti
il nostro attacco di SQL injection,
non è altro che sostituire il valore
del campo username con il pattern
d’attacco utilizzato
precedentemente. In altre parole,
la stringa
username=innocuo&password=
prova&login-php-submit-
button=Login
figura #17
Forniamo le credenziali nel form di login...
figura #18
... e le ritroviamo nella richiesta HTTP
catturata dal proxy.
PENETRATION TEST
della richiesta HTTP originaria deve
diventare:
username=’ OR 1=1 -- &password=
prova&login-php-submit-
button=Login
dell’invio al server della richiesta
HTTP: la modifica appena
apportata, pertanto, non può
essere intercettata dalla
validazione lato client.
È sufficiente premere il pulsante
Forward del proxy per goderci
il risultato: complimenti,
abbiamo appena ottenuto
i privilegi di admin
della Web app!
\
Tre anni
di galera
Chiunque abusivamente
si introduce in un sistema
informatico protetto da misure
di sicurezza ovvero vi si
mantiene contro la volontà
espressa o tacita di chi ha il
diritto di escluderlo, è punito
con la reclusione fino a 3 anni.
Cosa significa questa frase, vista
nell’ottica di un penetration
tester? La risposta è semplice:
per quanto buone possano
essere le vostre intenzioni, mai
eseguire un penetration test
(o anche solo una parte di esso)
su sistemi che non siano di
vostra proprietà, a meno che
non disponiate di un apposito
permesso scritto da parte di tutti
i proprietari dell’infrastruttura
da testare. Per “permesso scritto”
non stiamo parlando di una
semplice email (soluzione che
qualcuno potrebbe proporvi),
ma piuttosto di un documento
formale (la cosiddetta manleva)
in cui si stabilisce, tra l’altro, quali
siano i sistemi da testare, che
tipo di test effettuare e i vincoli
a cui dovete attenervi. È questo
documento (e il rispetto dei
relativi termini) che differenzia
un penetration tester (ovvero
un professionista) da un volgare
pirata informatico.
35
HOW TO
Usa il cellulare come secondo display
Ecco un modo semplice per poter visualizzare i contenuti del monitor
del vostro PC sul browser del vostro cellulare, tablet o laptop
N
on sempre c’è lo spazio sulla
IN BREVE
scrivania (o il budget) per
Ecco come evitare
aggiungere un secondo
di spendere soldi per
un secondo schermo, monitor, ma averlo può
riutilizzando un tablet rivoluzionare il modo in cui usate il PC.
o anche una Smart TV. Deskreen risolve il problema
DIFFICOLTÀ permettendovi di convertire altri
dispositivi, come cellulari, tablet, laptop
e persino Smart TV, in un display
aggiuntivo per il vostro computer.
Può riprodurre tutta la scrivania
consentendovi di monitorare il
computer in remoto oppure potete
usarlo per vedere i contenuti di uno
specifico programma. Con le giuste
conoscenze (vedi box a pagina 38)
potete persino fargli estendere il vostro
desktop. Deskreen supporta sia X
sia Wayland e trasmette i contenuti
del vostro display ai dispositivi mobili
sulla vostra rete locale, con o senza fili,
usando il protocollo WebRTC.
La maggior parte del carico di lavoro
ricade sul PC quindi potete usare anche
cellulari e tablet meno recenti, purché
abbiano un browser che supporta
WebRTC. In Android, basta avere
Deskreen vi permette di monitorare una singola applicazione o l’intera
scrivania del vostro computer su un dispositivo mobile.
36
Chrome 28, Firefox 22 o le versioni
successive. Se volete sfruttare un
vecchio iPhone o iPad, deve avere
almeno iOS 11. Potete scaricare
Deskreen come file .deb o AppImage
(che non richiede installazione) da www.
deskreen.com. Dopo il download fate
doppio click sul file .deb per installarlo
con Ubuntu Software, o fate click con il
tasto destro sul file AppImage, scegliete
Properties > Permissions e spuntate
Allow executing file as a program.
Al primo avvio compare la finestra
principale del programma e dovete
confermare la lingua e scegliere il tema.
Nel box a fianco trovate come fare la
prima connessione al browser remoto.
CONTROLLARE LA CONNESSIONE
Il browser del secondo display mostra
la finestra dell’applicazione o la
scrivania. Se lo usate per monitorare
un singolo programma che è nascosto
sul vostro desktop potete controllarlo
solo portandolo in primo piano nello
schermo principale con il mouse
o la tastiera, mentre il desktop viene
fedelmente riprodotto. In alto trovate
il logo di Deskreen e alcuni controlli.
Potete sospendere la connessione con
il pulsante di pausa, fare click su quello
delle impostazioni per ruotare lo
schermo o regolare la qualità del display
se la connessione di rete o l’hardware
fanno fatica. C’è anche un’opzione a
schermo intero. Anche se non potete
interagire sul cellulare con gli elementi
visualizzati potete zoomare con le dita
per facilitare la lettura. Trovate infine
l’opzione Default Video Player, che

COLLEGATE IL TABLET O IL CELLULARE A DESKREEN
#1
Scansite il codice o inserite un URL.
Aprendo Deskreen vedete la pagina Connect che
mostra un QR code e un indirizzo Internet. Potete
scansire il QR code con un’app dedicata sul vostro
tablet o cellulare (nel qual caso vi rimanda a un link
su cui fare click) oppure copiare direttamente il
collegamento nel browser del vostro dispositivo mobile.
#3
Scegliete cosa condividere.
Potete scegliere se condividere l’intero schermo o la
finestra di una singola applicazione. Nel primo caso
potete specchiare il monitor (per estendere il vostro
display fate riferimento al box nella pagina accanto)
mentre nel secondo dovete scegliere la finestra
di un programma usando le miniature come guide.
DESKREEN
#2
Confermate la connessione.
Il browser del dispositivo mobile vi comunicherà
che dovete fare click su Allow in Deskreen. Tornate al
desktop, che mostra ora informazioni sulla connessione
per il vostro dispositivo, indicandone tipo (tablet,
desktop o cellulare), indirizzo IP, browser e sistema
operativo. Dopo aver verificato i dati, fate click su Allow.
#4
Confermate ed è tutto pronto!
Visionate il secondo dispositivo e lo schermo o l’app
condivisi. Fate click su Confirm se va tutto bene
o su No, I need to share other things se volete fare
modifiche. Dopo aver confermato, vedrete un
messaggio relativo. Passate al dispositivo mobile dove
apparirà la vostra condivisione.
RACCOLTA
PDF
HACKER
JOURNAL
Acquista la raccolta
PDF digitale del 2021
9 numeri a soli 7,90 €
anziché 35,10 € vai su
www.hackerjournal.it/raccoltapdf2021
HOW TO

ESTENDERE IL VOSTRO DISPLAY CON DESKREEN

Come impostazione predefinita, quando condividete grafiche Nvidia devono però adottare un approccio
l’intero schermo Deskreen lo specchia, il che è utile diverso: seguite il collegamento in fondo al file
se volete tener d’occhio in remoto dei compiti in readme per trovare le indicazioni per utilizzare
esecuzione. Se la scheda grafica del vostro PC ha più l’opzione TwinView di questo produttore.
porte, potete spingervi oltre collegando un adattatore
Virtual Display in un socket HDMI o DisplayPort libero.
Quando lo fate, il computer pensa di avere a tutti gli
effetti un secondo monitor e potete vederlo sul vostro
dispositivo mobile con Deskreen. Aggiungere
un secondo display in questo modo vi permette
di estendere il vostro desktop, consentendovi di
trascinare finestre dal monitor del computer allo
schermo del dispositivo mobile, dove potete vederlo
e controllarlo direttamente attraverso il mouse e la
tastiera. L’utilizzo di un adattatore è il metodo più
semplice per estendere il desktop, ma se non avete
problemi a lavorare con uno script in Bash, potete
provare Virtual Display Linux (https://github.com/ Gli sviluppatori di Deskreen sono al lavoro per
dianariyanto/virtual-display-linux). Gli utenti di schede supportare Virtual Display senza adattatore.

funziona solo con il browser predefinito

del dispositivo (Chrome in Android o
Safari in iOS) e vi serve solo se volete
ruotare lo schermo. Uno dei punti di
forza di Deskreen è che potete usarlo
con più display remoti. Dopo aver
impostato la prima connessione, fate
click su Connect New Device per
crearne altre. Naturalmente questo
comporta un maggior carico per il
vostro PC e siete anche limitati dalla
velocità della vostra connessione
di rete. Al termine della procedura
usate il pulsante Connected Devices
per vedere quali finestre sono condivise
con quali dispositivi e per terminare una
o più connessioni. L’uso più popolare
di Deskreen su cellulare o tablet è come
display dedicato per utility specifiche
che volete seguire ma che non
richiedono interazioni. Potete per
esempio tener d’occhio l’utilizzo delle
In questo articolo abbiamo usato la versione Linux di Deskreen,
ma il tool è disponibile anche per macOS e Windows. risorse o seguire i progressi di una
Potete scaricare la versione che vi serve da questo indirizzo Web: sezione di codifica in HandBrake
https://bit.ly/hj267_deskreen mentre lavorate ad altro sul PC.

38
hackerjournal.it

Il punto di riferimento per chi fa dell’hacking

una filosofia di vita
La crew di Hacker Journal ti aspetta ogni giorno sul suo nuovo sito Web, il ritrovo della sua ricca comunità
hacker. Troverai anticipazioni degli articoli, news dal mondo della (in)sicurezza, contest, offerte speciali e
un forum che vuole essere il punto di riferimento per chiunque voglia diventare un esperto di sicurezza.
In un periodo storico in cui governi e multinazionali si divertono a spiare tutto e tutti, sulle
pagine della rivista e sul suo sito scoprirai come difenderti e contrattaccare. #HJisBACK

Scopri il sito e la comunità di Hacker Journal

Forum: iscriviti subito e inizia a dialogare con la redazione e la comunità di HJ
• News: le ultime notizie su cyberintrusioni, furti
di credenziali, bug, malware e altro ancora
• Contest: metti alla prova le tue conoscenze
con i giochi e le sfide della redazione
• Collezione HJ: i vecchi numeri della rivista,
in PDF, da scaricare
• Invia un articolo: ti piace scrivere e hai un’idea
originale per un articolo? Inviacela e la valuteremo!
HOW TO
’
PIU SICURI E PROTETTI
IN BREVE
SU internet Ecco un’estensione per browser capace di
Ecco come utilizzare
l’add-on per browser
Decentraleyes per
navigare sul Web
al riparo da occhi
indiscreti.
DIFFICOLTÀ
GLOSSARIO
DI BASE
CDN
Acronimo di Content Delivery
Network, ovvero una rete per
la distribuzione dei contenuti,
formata da un insieme
di server distribuiti
in più aree geografiche.
PROFILAZIONE
Si tratta di un’attività
di raccolta e analisi di dati
inerente i gusti degli utenti,
al fine di suddividerli in
gruppi per poi indirizzare
meglio le promozioni.
COOKIE
Sono dei piccoli file di testo
salvati sui dispositivi
degli utenti quando questi
navigano mediante l’utilizzo
del browser.
40
rendere la navigazione migliore: all’insegna della
sicurezza, della riservatezza e della celerità
D
ecentraleyes è un
componente aggiuntivo
per browser che
consente di navigare
aggirando le principali CDN
presenti online. Come quella
di Google, Amazon, Meta
e via discorrendo.
Non sapete cos’è una CDN?
Beh, il concetto è semplice...
CDN è l’acronimo di Content
Delivery Network, in altre
parole una rete per la
distribuzione dei contenuti.
Un insieme di server,
tecnicamente, distribuiti
in più aree geografiche
che – mediante la memorizzazione
sui PC di piccoli file, velocizza
la navigazione degli utenti.
Ma allo stesso tempo memorizza
informazioni personali,
come le ricerche in base ai gusti
e alle preferenze manifestate
in Rete. In parole povere,
svolge la cosiddetta attività
di profilazione.
Ecco quindi l’importanza
di un software come
Decentraleyes, in grado di
aggirare tutto questo e garantire
una protezione della privacy
e, al contempo, di velocizzare un
po’ il caricamento delle pagine.
Come? Vediamolo subito...
COME FUNZIONA?
Decentraleyes non fa altro che
emulare i file di tracciamento,
riproponendo agli utenti quelli
più diffusi e presenti sul Web.
In pratica, l’add-on memorizza
al suo interno le librerie e quando
intercetta una richiesta da parte
di un sito di una di queste,
la fornisce direttamente,
così che nessun altro sito venga
più contattato per scaricarla.
Crea, cioè, una sua personale
CDN. Ciò, inizialmente, non
apporta grandi agevolazioni,
ma con il passare del tempo
evita che gli utenti scarichino
altri file di tracciamento
non richiesti.
Protegge così la privacy
e, indirettamente, accelera
la navigazione. Decentraleyes è
un add-on che fa parte dell’ormai
nota “Cassetta degli attrezzi
anticensura” di cui abbiamo
scritto nei numeri scorsi. Nei
prossimi passi vi facciamo vedere
come si utilizza in pratica.
 CDN

COSA OFFRE L’INTERFACCIA

Dopo l’installazione, Decentraleyes mostra una schermata principale scarna ma essenziale,
che racchiude tutti gli strumenti utili al suo funzionamento.

1 SITO ATTIVO
Il sito che si sta navigando viene messo
in bella vista e cambia a ogni pagina visitata.
1 2
3 2 ATTIVAZIONE
Il pulsante d’accensione e spegnimento
4 consente di attivare o disattivare l’add-on.

3 REPORT
Questa sezione riporta il numero
di bloccaggi fatti e costituisce un po’
la “vostra” CDN.

4 IMPOSTAZIONI
Il pulsante che consente di entrare
nelle impostazioni.

’
QUESTO SI, QUESTO NO... UNA SOLUZIONE DA
INTEGRARE CON...
Decentraleyes consente di creare una whitelist personale,
ovvero una serie di siti sui quali non viene eseguito alcun La soluzione offerta da Decentraleyes
bloccaggio. Per farlo, bisogna entrare nelle Impostazioni per la salvaguardia della privacy
cliccando un tasto degli ingranaggi posto in basso a destra è consigliata soprattutto a chi
della schermata principale. In tale sezione trovate non ama che i propri dati vengano
un campo in cui inserire appunto i siti che si desidera profilati. Questo add-on, tuttavia,
non controllare. Per inserire più di uno è necessario non rappresenta la soluzione
separare i domini con un punto e virgola. ottimale per poter dire addio
una volta per tutte alle pubblicità.
Eludendo le grandi CDN, infatti,
si argina la profilazione ma non si
esclude l’apparire delle promozioni.
Una soluzione ottimale potrebbe
essere affiancare a Decentraleyes
un software capace di bloccare
la pubblicità visiva, come uBlock
Origin (ne abbiamo parlato in dettaglio
sul numero 265 di HJ a pagina 46), che
potete scaricare dall’indirizzo Internet
https://ublockorigin.com/.

41
HOW TO
CREATE LA VOSTRA CDN PERSONALE
#1
Installazione.
Installate l’add-on per Firefox
collegandovi all’indirizzo
https://addons.mozilla.org/it/
firefox/addon/decentraleyes/
e cliccando su Aggiungi a
Firefox; oppure su Aggiungi
se adoperate Google Chrome,
o ancora su Ottieni per Edge.
Premete il pulsante Installa
e aspettate qualche secondo.
#4
Le impostazioni.
Entrate adesso nelle
impostazioni dell’add-on
cliccando sul tasto degli
ingranaggi riportato in basso
a destra della schermata
principale. Dalla schermata
che si apre potete scegliere
tra quattro opzioni.
Il consiglio, comunque,
è quello di lasciare
tutto invariato.
42
#2
Anche in finestre anonime?
Al termine dell’installazione,
apparirà un messaggio in alto
a destra che vi consentirà
di impostare questo add-on
anche per le finestre anonime
del browser. Se volete attivare
questa funzione mettete una
spunta sul messaggio e,
infine, cliccate il pulsante OK.
#5
Un altro test.
Per vedere le risorse che
Decentraleyes ha bloccato
finora, cliccate con il tasto
destro su una qualsiasi parte
vuota di un sito e scegliete
Analizza. Poi entrate nella
scheda Rete e scorrete
il listato che vi appare. Da qui
è possibile constatare che
alcune librerie sono servite
all’istante senza nemmeno
che ci sia una richiesta.
#3
Un test.
Per provare l’add-on appena
installato, il produttore ha
inserito (in basso a sinistra
della schermata principale) un
link dedicato alla realizzazione
di un test. Cliccate quindi su
decentraleyes.org/test.
Vedrete che il componente
bloccherà un paio di risorse e
mostrerà il numero 2. Provate
ora a disabilitarlo cliccando
sul tasto di accensione...
#6
Rimuoverlo.
Come detto, l’efficacia di
Decentraleyes la si apprezzerà
di più con il passare del
tempo. Se però non siete
soddisfatti del suo
funzionamento o non volete
aspettare, per rimuovere
l’add-on vi basta cliccare
con il tasto destro sul simbolo
in alto a destra e scegliere
Rimuovi estensione.
 ABBONATI
ALLA TUA RIVISTA PREFERITA
TE LA SPEDIAMO APPENA STAMPATA!

CONSEGNA GARANTITA ENTRO 48H

Con l’abbonamento
cartaceo la versione
digitale è in OMAGGIO!

Riceverai 12 numeri a soli

DISPONIBILE ANCHE SOLO
IN VERSIONE DIGITALE

-28% -57%
CARTACEO DIGITALE
12 numeri 12 numeri
solo 33,90€ solo 19,90€
invece di 46,80€ invece di 46,80€

Scansiona il QrCode per abbonarti oppure contattaci

Telefono online email WhatsApp
02 87168197 www.sprea.it/hackerjournal abbonamenti@sprea.it 329 3922420
Solo messaggi
Informativa ex Art.13 LGS 196/2003. I suoi dati saranno trattati da Sprea SpA, nonché dalle società con essa in rapporto di controllo e collegamento ai sensi dell’art. 2359 c.c. titolari del trattamento, per dare corso alla sua richiesta di abbonamento. A tale scopo, è indispensabile il conferimento dei dati anagrafici. Inoltre
previo suo consenso i suoi dati potranno essere trattati dalle Titolari per le seguenti finalità: 1) Finalità di indagini di mercato e analisi di tipo statistico anche al fine di migliorare la qualità dei servizi erogati, marketing, attività promozionali, offerte commerciali anche nell’interesse di terzi. 2) Finalità connesse alla comunica-
zione dei suoi dati personali a soggetti operanti nei settori editoriale, largo consumo e distribuzione, vendita a distanza, arredamento, telecomunicazioni, farmaceutico, finanziario, assicurativo, automobilistico e ad enti pubblici ed Onlus, per propri utilizzi aventi le medesime finalità di cui al suddetto punto 1) e 2). Per tutte
le finalità menzionate è necessario il suo esplicito consenso. Responsabile del trattamento è Sprea SpA via Torino 51 20063 Cernusco SN (MI). I suoi dati saranno resi disponibili alle seguenti categorie di incaricati che li tratteranno per i suddetti fini: addetti al customer service, addetti alle attività di marketing, addetti al
confezionamento. L’elenco aggiornato delle società del gruppo Sprea SpA, delle altre aziende a cui saranno comunicati i suoi dati e dei responsabili potrà in qualsiasi momento essere richiesto al numero +39 0287168197 “Customer Service”. Lei può in ogni momento e gratuitamente esercitare i diritti previsti dall’articolo 7
del D.Lgs.196/03 – e cioè conoscere quali dei suoi dati vengono trattati, farli integrare, modificare o cancellare per violazione di legge, o opporsi al loro trattamento – scrivendo a Sprea SpA via Torino 51 20063 Cernusco SN (MI).
HOW TO
L’INTERNET DELL’HACKER
Viaggia a 2X, non va mai down e permette di nascondere le
attività svolte in Rete. Vi diciamo come crearne una da zero
P
IN BREVE ensate che la vostra
La guida per unire connessione a Internet
in automatico sia troppo lenta? Allora
le connessioni che raddoppiatela! Doppia
avete già in casa e connessione uguale doppia velocità e
raddoppiare la banda.
problema risolto. Elementare, Watson!
DIFFICOLTÀ Quello che sembrerebbe una boutade
è invece una soluzione geniale anche
per chi una connessione veloce ce l’ha,
ma sperimenta sempre quei fastidiosi
“buchi”, che proprio sul più bello
interrompono il download di contenuti
dalla Rete o che vi buttano fuori dal
server del videogame che vi apprestavate
a utilizzare con tanta voglia.
ECCO IL PUNTO DI PARTENZA
Per questo progetto siamo partiti dal
caso più svantaggiato possibile:
nessuna ADSL e nessuna connessione
in fibra disponibile; soltanto una
connessione 4G su rete mobile
ottenuta da una SIM di un qualunque
operatore telefonico. In una situazione
del genere, qualsiasi tentativo di
scaricare qualcosa mentre si naviga
e si guarda un film in streaming
diventerebbe ben presto un’esperienza
frustrante perché le connessioni su
rete mobile non sono stabili e hanno
dei ping piuttosto elevati.
TUTTO IL NECESSARIO
Vi starete certamente chiedendo cosa
serve per realizzare una doppia
connessione. Il tutto dipende dalla
situazione di partenza; in questa guida
44
vi faremo vedere come procedere
partendo da una connessione mobile,
ottenuta da un router con modem LTE
integrato, andando poi ad aggiungerne
un’altra sfruttando un secondo router
con modem LTE. Quello che vedrete
può essere applicato a qualunque altra
configurazione di rete: ADSL o fibra
abbinata a una mobile oppure due
ADSL o una ADSL e una fibra. La cosa
da tenere bene a mente, però, è che
tutti i modem/router utilizzati per le
connessioni Internet devono avere la
connessione Wi-Fi disabilitata perché
d’ora in avanti per voi sarà come se
non esistessero. Il router che consente
di unire le connessioni è un Ubiquiti
EdgeRouter X, pensato per gestire
addirittura fino a tre connessioni in
entrata. A questo verranno affiancati
due modem/router LTE con all’interno
delle SIM con connessioni mobile dati.
Il router Ubiquity, oltre a permetterci
di unire più connessioni in una sola,
consente anche di gestire due funzioni
particolarmente importanti: il Load
Balance e il Fail Over (leggete il box
Load Balance VS Fail Over).
L’IMPORTANZA DEL QOS
Avere una doppia connessione
a Internet potrebbe non apportare
i vantaggi sperati se questo boost
in velocità non è adeguatamente
supportato da una serie di tecnologie
che ricadono sotto l’acronimo QoS,
ovvero Quality of Service. Le tecnologie

di QoS permettono di gestire
al meglio la banda disponibile
e distribuirla tra i vari dispositivi
collegati in rete in base a priorità
che possono essere stabilite
dall’utente o lasciate decidere
in autonomia al router.
Solitamente, le regole predefinite
sono leggermente sbilanciate
verso il multimediale, dando
priorità ai flussi audio/video
rispetto, per esempio, ai download
di file. Ecco un esempio per farvi
comprendere meglio: immaginate
di avere un’autostrada a tre corsie,
la prima delle quali occupata da
un camion lento e le altre due da
auto che viaggiano al doppio della
velocità dei camion. In assenza
di controlli (quindi se non si abilita
il QoS), in un momento di buco,
un camion potrebbe occupare
una delle corsie precedentemente
occupata dalle auto rallentandone
così il flusso. In casi estremi un
terzo camion potrebbe occupare
anche la terza corsia, rallentando
così tutto il traffico sull’autostrada
e creando code chilometriche fino
a quando almeno un sorpasso
TUTTO L’OCCORRENTE PER IL PROGETTO
ROUTER LINUX
EDGEROUTER X SFP
Quanto costa: a partire da 82 €
Sito Internet: https://bit.ly/edgerouterx
CAVI LAN
4 CAVI LAN CATEGORIA 6A
Quanto costa: 3 € cad. (2 metri)
Sito Internet: https://bit.ly/cavicat6
CONNESSIONE PRIMARIA
MIKROTIK LHGG LTE 6 +1 SIM CARD WINDTRE FLAT LTE
Quanto costa: 167,53 € (solo router)
Sito Internet: https://bit.ly/lhgglte6
CONNETTIVITÀ
LOAD BALANCE VS FAIL OVER
Il Load Balance (letteralmente “bilanciamento del carico”) è una funzione
particolarmente importante perché permette di evitare il sovraccarico
di una delle due connessioni Internet collegate all’Ubiquity, bilanciando il carico
tra le due. In pratica, se sulla Smart TV riproducete un film in streaming,
su un computer scaricate una distribuzione Linux e sul tablet avviate una
videoconferenza, il router Ubiquity instraderà le richieste di dati per fare
in modo da ripartire il carico sulle due connessioni più o meno equamente
evitando così che una delle due sia quasi scarica e l’altra sia utilizzata al massimo
delle sue possibilità. Avere due connessioni, oltre a garantirvi la possibilità di
scaricare a velocità doppia, vi offre anche un secondo, importante, vantaggio:
poter disporre di un collegamento stabile a Internet anche quando una delle due
connessioni utilizzate dovesse essere down. Ciò viene garantito dalla funzione
Fail Over. Il router Ubiquity gestisce il Fail Over in modo completamente
automatico: nel momento in cui una delle due connessioni dovesse
improvvisamente venire a mancare per una qualunque causa, tutto il traffico
di rete verrebbe instradato sull’altra. Verrebbe a mancare la doppia velocità,
ma potremo comunque continuare a navigare tranquillamente fino a quando
l’altra connessione verrà ripristinata.
non sarà concluso. Se ci fosse sicuro che nessuna auto possa
un controllo costante, invece, sopraggiungere fino al termine
i camion verrebbero autorizzati a del sorpasso. Siete pronti per
occupare una o entrambe le altre “tuffarvi” nel tutorial e attivare
corsie solo nel momento in cui il la meravigliosa doppia
controllore fosse assolutamente connessione? Buona lettura.
ROUTER 4G+ (PER LA CONNESSIONE SECONDARIA)
MIKROTIK - RBD53G
Quanto costa: 232,89 €
Sito Internet: https://bit.ly/mikrotikhardware
ABBONAMENTO 4G
HO MOBILE
Quanto costa: 7,99 € (al mese)
Sito Internet: https://www.ho-mobile.it/
ACCESS POINT WIRELESS
XIAOMI AIOT ROUTER AX3600
Quanto costa: 105,65 €
Sito Internet: https://bit.ly/xiaomiax3600mesh
45
HOW TO
‘
COSI NASCE UNA
SUPER INTERNET
Per unire due connessioni
4G e avere così un
raddoppio di banda
occorre applicare
un escamotage come
illustrato in questo grafico.

A) PREPARARE IL ROUTER PRINCIPALE

#1 #2

INSTALLATE IL TOOL WINBOX. CONNESSIONE AL ROUTER PRINCIPALE.

Da https://mikrotik.com/download scaricate il tool
WinBox che verrà utilizzato per cambiare IP sul
router principale Mikrotik LHGG LTE6. Al termine
del download avviate il programma facendo
doppio click sul file WinBox64.exe o WinBox.exe
(a seconda della versione di Windows installata).
#4
#3
Dalla finestra principale di Winbox, alla voce
Connect To, inserite l’IP del router principale
(192.168.88.1). Nel campo Login digitate admin
mentre in Password inserite la vostra chiave
di accesso. Cliccate il pulsante Connect.

INDIRIZZO IP DA IMPOSTARE.
Cliccate su Quick Set (menu a sinistra).
Nella finestra che appare spostatevi nella
sezione Local Network e nella parte relativa
all’IP Address impostate l’indirizzo 192.168.88.1
e controllate che il DHCP Server sia abilitato.
Cliccate Apply e OK.
RIAVVIATE IL ROUTER
Dopo aver apportato le modifiche appena viste,
occorre riavviare il router. Per farlo basta andare
sul menu verticale a sinistra e cliccare sulla voce
System e poi su Reboot. Sulla finestra che appare
confermate la scelta con Yes.

46

B) PREPARARE IL ROUTER SECONDARIO
#1
MANO AI COLLEGAMENTI.
Tramite un cavo di rete collegate il vostro
computer alla Porta 1 del router secondario
e inserite la SIM card del gestore telefonico scelto
(nella guida è stata utilizzata una SIM di Ho
Mobile) nell’apposito alloggiamento. Infine
collegate il cavo di alimentazione.
#3
IMPOSTATE L’INDIRIZZO IP.
Dopo aver cliccato su Quick Set (menu a sinistra)
spostatevi in Local Network e nel campo IP
Address digitate 192.168.87.1. Controllate
che ci sia il segno di spunta in corrispondenza
delle voci DHCP Server, Firewall Router, DHCP
Server e NAT. Cliccate Apply e poi OK.
#5
QUALITÀ DELLA CONNESSIONE.
Cliccate Interface, prima voce a sinistra.
Procedete con un doppio click sulla voce lte1
e dalla finestra che si apre spostatevi sul tab
Cellular. Da questa sezione potete vedere tutte
le informazioni necessarie per la connessione.
Le barre verdi significano che è tutto ok.
CONNETTIVITÀ
#2
RAGGIUNGETE IL ROUTER SECONDARIO.
Utilizzate sempre Winbox per collegarvi al vostro
router secondario. Nel campo Connect To inserite
l’indirizzo 192.168.88.1, alla voce Login digitate
admin e lasciate vuoto il campo Password.
Cliccate su Connect per collegarvi al router.
#4
UN PROFILO PER L’OPERATORE
Cliccate Interfaces (menu di sinistra) e poi scegliete
la scheda LTE. Cliccate su LTE APNs e
successivamente su +. Digitate in Name un nome per
la connessione. Su APN inserite quello del gestore
(per esempio web.ho-mobile.it). Togliete la spunta
da Use Network APN, cliccate Apply e quindi OK.
#6
DISABILITATE IL WI-FI.
Dall’interfaccia di Winbox cliccate Interfaces
(menu a sinistra) e dalla finestra che verrà aperta
selezionate le interfacce wlan1 e wlan2 che sono
quelle relative alla funzione del Wi-Fi. Cliccate
sulla X rossa per disabilitare il segnale wireless.
47
HOW TO
C) IMPOSTARE UN IP STATICO SUL PC
#1 #2

IMPOSTAZIONI DELLA SCHEDA. IP STATICO.

Cliccate con il tasto destro sul menu Start di
Windows e scegliete Esegui. Digitate Ncpa.cpl e date
Invio. Cliccate con il tasto destro sulla connessione
Ethernet e da Proprietà selezionate Protocollo
Internet versione 4 (TCP/IP v4). Infine cliccate su
Proprietà.
Cliccate su Utilizza il seguente indirizzo IP. Inserite
il seguente IP: 192.168.1.20. Su Subnet mask
mettete 255.255.255.0. Su Gateway predefinito
l’indirizzo 192.168.1.1. Per concludere e
confermare le impostazioni dovete cliccare sul
pulsante OK per due volte.

#3 #4

ACCESSO VIA BROWSER.

COLLEGAMENTO VIA CAVO.
Avviate il browser e digitate http://192.168.1.1.
Collegate un cavo LAN dal vostro PC alla porta eth0
Ignorate eventuali avvisi e fate in modo di
dell’Edgerouter X. Siete pronti per collegarvi
proseguire. Per accedere usate user e password di
all’interfaccia Web del router e iniziare la
default che risultano essere ubnt. Se dopo il login
configurazione dei vari parametri.
vengono aperte delle finestre dovete cliccare su No.

COME AGGIORNARE EDGEROUTER X SFP

Potete scaricare il firmware aggiornato per l’Edgerouter
X SFP dall’indirizzo Internet https://www.ui.com/
download/edgemax/edgerouter-x-sfp/er-x-sfp.
Al termine del download accedete all’interfaccia
dell’Edgerouter X SFP e cliccate sulla voce System
che si trova in basso a sinistra. Dalla successiva
finestra selezionate la voce Upgrade System Image
(si trova in basso a destra). Cliccate sul pulsante
Upload a file. Selezionate il file che avete scaricato
e confermate con OK. Attendete fino alla richiesta
del riavvio e date conferma.

48

D) ATTIVARE LA DOPPIA BANDA
#1
LA SEZIONE WIZARDS.
Dalla Dashboard, una volta che vi siete loggati
nuovamente all’Edgerouter X, dovrete spostarvi
nella sezione che prende il nome di Wizards,
la trovate nella parte alta del menu sulla destra.
#3
CONFIGURAZIONE FINO AL TERMINE.
Staccate ora il cavo dalla eth0 e inseritelo nella
porta eth4. Collegate il cavo del router primario
alla porta eth0, mentre il cavo proveniente dal
router secondario va inserito nella porta eth1
dell’Edgerouter X. Ecco come appare l’interfaccia
Web dopo aver effettuato i collegamenti.
#5
TORNA L’IP AUTOMATICO SUL PC.
Cliccate con il tasto destro sul menu Start
di Windows e scegliete la voce Esegui.
Digitate Ncpa.cpl e date Invio. Cliccate con il tasto
destro sulla connessione Ethernet e da Proprietà
scegliete Protocollo Internet versione 4
(TCP/IPv4). Cliccate su Proprietà.
CONNETTIVITÀ
#2
PORTE LAN DA CONFIGURARE.
Da Setup Wizards (menu a sinistra) cliccate su
Load Balancing. Scegliete eth0 e spuntate DHCP.
Su eth1 spuntate la casella DHCP. Nella sezione
User setup (in basso) spuntate la voce Keep
existing users. Cliccate sul pulsante Apply.
#4
MANO A DHCP E DNS.
Dalla Dashboard dovete accedere alla sezione
Services (tab in alto). Cliccate su Action (nella parte
destra dell’interfaccia) e dal menu a discesa
scegliete View Details. Ora impostate i valori
per i DNS; inserite quindi su DNS 1: 8.8.8.8
e su DNS 2: 1.1.1.1 Confermate con Save.
#6
IP E DNS SENZA ASSEGNAZIONE.
Cliccate sulla voce Ottieni automaticamente un
indirizzo IP in modo da ottenere un IP
automaticamente dal vostro Edgerouter X. Stessa
cosa dovrete fare per i DNS. Infine confermate
con OK. Siete pronti a navigare a doppia banda.
49
HOW TO

E) CONNESSIONE OTTIMIZZATA CON IL QOS

#1 #2

I VALORI PER LA CONNESSIONE PRIMARIA. I VALORI PER LA CONNESSIONE SECONDARIA.

Dalla Dashboard dell’Edgerouter X spostatevi nella
sezione QoS e successivamente su Smart Queue.
Su Policy name assegnate un nome alla regola (per
esempio wan1). Su WAN Interface scegliete eth0.
Su Upload e Download rate impostate i valori
massimi ottenibili dalla vostra connessione.
Cliccate su + Add Smart Queue. Ripetete le
operazioni del passo precedente impostando
in Policy name il nome wan2. Selezionate la porta
eth1 e impostate questa volta i valori massimi
sia in download che upload della connessione
di backup. Cliccate su Apply.

CONFIGURARE L’ACCESS POINT

Ora che avete configurato l’Edgerouter X con le due
connessioni non vi resta che integrare nel sistema un Access
Point (per esempio il modello AIOT ROUTER AX3600) in modo
da poter navigare in casa utilizzando il Wi-Fi. In fase di
installazione dell’Access Point dovete tener conto solamente
del suo indirizzo IP che dovrà essere diverso dal 192.168.1.1
(indirizzo che avete assegnato all’Edgerouter X).
Quindi collegatevi all’interfaccia Web dell’Access Point
e impostate un nuovo indirizzo IP: per esempio 192.168.1.2.
Selezionate la modalità Access Point e salvate le
impostazioni. Ora che avete cambiato l’IP all’AP potete
collegare quest’ultimo a una delle porte LAN rimaste libere
sull’Edgerouter X e navigare a tutta birra.

SE AVETE LA FIBRA TIM 100% ANONIMI SUL WEB

Nel caso in cui la connessione principale è una fibra TIM,
basterà per esempio cambiare l‘IP del router principale.
Dalla Home dell’interfaccia Web del router (192.168.1.1),
andate su Il mio MediaAccess Gateway e spostatevi nella
sezione DHCPv4. A questo punto dovete modificare l’IP
192.168.1.1 inserendo un nuovo indirizzo, per esempio
192.168.2.1. In ogni caso ricordate che l’IP dovrà sempre
essere qualcosa di diverso dal 192.168.1.1.
Prima di uscire confermate le modifiche apportate.
Una VPN, acronimo di “Virtual Private Network”,
non è altro che una rete privata virtuale che crea
una connessione sicura tra voi e Internet.
In pratica, vi fornisce un ulteriore livello di privacy
e anonimato per nascondere le attività che svolgete
in Rete o la vostra posizione su Internet, evitando così
di essere tracciati e rintracciati. Una VPN, tra l’altro,
vi permette di navigare liberamente senza vincoli
e censure imposti da governi e provider.

50
REGALA (O REGALATI!)
UN CALENDARIO
Per appuntare impegni, Della stessa collana:
visite mediche, CALENDARI-AGENDA
formato LONG
compleanni, eventi...
Tutto quello che ti serve
sempre sotto ai tuoi occhi!

VERSIONE
SPECIA
CALENDARIO LE
CARTACEO
LAVAGNETTA+
MAGNETICA
A SOLI
9,90 €

GENNAIO 2023 Enrico Isabella

Francesco Paola

chiamare
ore 15:30

la banca
visita oculista
VERSIONE I 2
CON 15 MdaEsuSbito! gini
arla fin e
Puoi utilizztie festa con i cu
ch lla

no zia
Con ne an da zia Gabrie

complean
mbre
ottobre, nove e 2 022 3
e dice m br

* ricorda regalo!
4
ella
portare Isab
o
a pattinaggi
alle 18:30
5

Disponibili sullo store online e in edicola!

Telefono online email WhatsApp
02 87168197 www.calendariagenda.it abbonamenti@sprea.it 329 3922420
Solo messaggi
 HOW TO

MITRE ATT&CK
Continuiamo ad approfondire il framework ATT&CK: in questo
SE CO N DA PA RT E

numero esaminiamo tattiche e tecniche!

N
IN BREVE ella scorsa puntata abbiamo
introdotto il framework
Studiamo
ATT&CK di MITRE (https://
e classifichiamo
i comportamenti dei attack.mitre.org/, [figura
criminali informatici #1]), una vera e propria enciclopedia
in base alle omnicomprensiva pensata
osservazioni del per illustrare nel dettaglio i
mondo reale. Tutto comportamenti dei cybercriminali,
grazie al framework
ponendosi al contempo quale
ATT&CK.
concreto supporto per tutti coloro
DIFFICOLTÀ che abbiano la necessità di difendere
i propri asset dagli attacchi informatici.
Attacchi che, come ci insegna il nome
stesso del security framework
(ATT&CK è infatti l’acronimo
figura #1
L’homepage del framework MITRE ATT&CK, un incredibile
database di tecniche e tattiche usate dai criminali informatici
per attaccare le loro vittime.
di Adversarial Tactics, Techniques
and Common Knowledge), sono
condotti mediante l’utilizzo di apposite
TTP (Tactics, Techniques
and Procedures), dove:
• le tattiche (tactics) sono gli obiettivi
di ampio respiro perseguiti
dall’attaccante;
• le tecniche (techniques)
rappresentano i “mezzi” – o, più
propriamente, i meccanismi tecnici
– che l’attaccante adopera
per raggiungere lo specifico
obiettivo rappresentato dalla tattica;
• le procedure (procedures)
coincidono con le specifiche
implementazioni delle tecniche
impiegate.
Attraverso l’analisi di un’ingente
quantità di documenti specialistici
(dump, report di singoli attacchi,
documentazioni prodotte dai team
di sicurezza e/o dai ricercatori
e svariate altre risorse) disponibili
su fonti aperte, i ricercatori di MITRE
(l’organizzazione no-profit statunitense
a cui si deve la paternità del
framework [figura #2]) sono riusciti
a realizzare una vera e propria
kwnoledge base, in grado non solo
di armonizzare dati provenienti
da fonti eterogenee ma anche
– e soprattutto – di organizzarli
in modo da semplificarne la fruibilità
per l’utente finale, rendendone
facile e immediata la consultazione
e la comprensione.

52

L’homepage di MITRE, l’organizzazione no-profit che gestisce
il framework ATT&CK.
LE MATRICI
Come? Inserendo tutti questi dati
all’interno di tre diverse matrici:
• ICS – Industrial Control
Systems – per gli ambienti
omonimi;
• Mobile per i dispositivi mobile
Androis/iOS;
• Enterprise per le piattaforme
desktop, i sistemi cloud e i device
di rete), a cui si aggiunge
la matrice PRE-ATT&CK,
che riepiloga le TTP utilizzate
dai cybercriminali nelle fasi
precedenti l’attacco
vero e proprio.
Tutte le matrici presentano
un numero fisso di colonne, nelle
quali sono riportate le tattiche
adoperate dagli attaccanti
e un numero variabile
di righe associate a ciascuna
colonna che rappresentano
le diverse tecniche impiegabili
per cercare di conseguire
la corrispondente tattica.
figura #2 persistente nella rete target,
MATRICE ENTERPRISE
Per esempio, la matrice Enterprise
(sulla quale punteremo la nostra
attenzione in queste puntate)
è dotata di 14 colonne [figura #3],
corrispondenti alle seguenti
tattiche:
• Reconnaissance – l’attività
propedeutica di ricerca delle
informazioni sul target che sono
necessarie a una corretta
pianificazione ed esecuzione
dell’attacco vero e proprio;
• Resource Development –
l’acquisizione di tutte quelle risorse
utili/necessarie a supportare
l’attacco vero e proprio;
• Initial Access – il primo accesso
nella rete target, da cui sviluppare
tutte le fasi successive dell’attacco;
• Execution – l’esecuzione
di codice malevolo all’interno
dell’infrastruttura attaccata;
• Persistence – la creazione
e il mantenimento nel tempo di
una vera e propria “testa di ponte”
FRAMEWORK
in modo da riservarsi la possibilità
di accedere successivamente
ai sistemi violati senza dover
realizzare una nuova intrusione;
• Privilege Escalation –
l’incremento delle autorizzazioni
in capo all’attaccante, al fine
di ottenere il completo controllo
sul sistema violato;
• Defense Evasion – il tentativo
di sfuggire al rilevamento da parte
dei legittimi owner della rete;
• Credential Access – il furto
di credenziali legittime per
l’accesso alla rete target;
• Discovery – il rilevamento
di ulteriori sistemi nell’ambito della
rete attaccata in modo da allargare
la portata dell’attacco;
• Lateral Movement – il passaggio
da un sistema all’altro all’interno
della rete target, con conseguente
ampliamento dell’entità
dell’attacco;
• Collection – la ricerca
e l’individuazione, all’interno
dei sistemi attaccati, dei dati
d’interesse;
• Command and Control
– la realizzazione di un canale
di comunicazione dedicato
tra i sistemi di controllo remoti
dell’attaccante e le macchine
compromesse, al fine di consentire
il controllo remoto delle attività
dei software malevoli;
• Exfiltration – il furto dei dati
memorizzati nella rete target;
• Impact – la manipolazione,
l’interruzione o la distruzione della
rete target e dei relativi dati.
DA DOVE INIZIARE?
Di fronte a una tale vastità di
contenuti, il quesito più comune
che si pone un neofita di ATT&CK
53
HOW TO
Rappresentazione grafica della figura #3
matrice Enterprise, che
riguarda gli attacchi alle
piattaforme tradizionali, come
Windows, Linux, macOS,
sistemi cloud e genericamente
dispositivi collegati in rete.

è: da dove inizio? Ci sono

differenti risposte a questa
domanda, a seconda del livello
della preparazione tecnica
di chi la pone e dalle sue priorità
in ambito cybersecurity:
quali che siano le vostre
competenze e necessità,
partire dall’esame delle singole
tattiche e di ciascuna tecnica
presente nella matrice
rappresenta senz’altro un buon
punto di partenza.

figura #4

La pagina del framework relativa alla matrice Enterprise che andrete a studiare in questa serie
di articoli, https://attack.mitre.org/matrices/enterprise/.

54
 FRAMEWORK
figura #5

All’URL https://attack.mitre.org/tactics/TA0043/ trovate la pagina d’approfondimento della tattica

Reconnaissance.

Puntiamo il browser all’indirizzo Reconnaissance: la basilare su di essa [figura #4],

Web https://attack.mitre.org/ rappresentazione della matrice elencando in particolare
matrices/enterprise e iniziamo che stiamo visualizzando ci il numero di tecniche associate
a esaminare la prima tattica, fornisce qualche informazione e un link per ciascuna di esse.

figura #6

Una delle tecniche della tattica Reconnaissance si chiama Active Scanning. All’URL https://attack.mitre.org/
techniques/T1595/ ne trovate tutti i dettagli.

55
HOW TO
Le pagine delle tecniche sono divise in varie sezioni, eccone un esempio.
PAGINE DELLE TATTICHE
Se tuttavia desideriamo qualche
dettaglio in più, possiamo
cliccare sul nome stesso della
tattica, al fine di accedere alla
pagina dedicata [figura #5], che:
• illustra nel dettaglio la tattica,
descrivendo gli scopi che
l’avversario si prefigge di
ottenere nel metterla in atto;
• evidenzia l’ID univoco (TA0043
nel caso specifico) che ATT&CK
assegna alla tattica per
consentire riferimenti rapidi;
• elenca le tecniche associate alla
tattica, fornendo per ciascuna
di esse il relativo ID univoco, una
concisa descrizione e le eventuali
sottotecniche.
È esaminando pagine come
questa che si può “toccare con
mano” il grandioso lavoro svolto
dagli analisti di MITRE,
56
imparando a distinguere tra
il concetto di tattica e quello
di tecnica e appurando come
la medesima tecnica possa
essere impiegata efficacemente
per perseguire scopi differenti.
PAGINE DELLE TECNICHE
Quando riteniamo di aver
esplorato a sufficienza questo
livello della matrice, possiamo
passare al prossimo: le tecniche.
La tattica che abbiamo
esaminato (Reconnaissance)
è associata a ben 10 tecniche,
la prima delle quali è quella
denominata Active Scanning.
Cliccando sul relativo link,
possiamo accedere alla pagina
dedicata [figura #6], divisa
– al pari delle altre tecniche
– in diverse sezioni, come visibile
in [figura #7]:
figura #7
• la parte iniziale, recante
la descrizione della tecnica,
l’ID univoco associato, l’elenco
delle relative sottotecniche
e delle tattiche che possono
beneficiarne;
• Mitigation, l’elenco – anch’esso
comprensivo di ID univoco, di
una breve descrizione e di un link
di approfondimento – delle
contromisure implementabili
per mitigare l’impatto sui propri
sistemi della tecnica
in questione;
• Detection, i metodi utilizzabili
per rilevare l’utilizzo della tecnica
da parte di un attore ostile;
• References, le note
bibliografiche utilizzate nella
stesura dei contenuti della
pagina, utilizzabili per
approfondire ulteriormente
gli argomenti trattati.

UN ESEMPIO CONCRETO
Una volta chiariti questi concetti
base, non ci resta che tuffarci
nel framework andando a
esaminare un esempio pratico.
Vediamo nel dettaglio la tecnica
che abbiamo appena citato,
Active Scanning: si tratta
di un buon esempio di partenza,
vista la relativa semplicità
che la contraddistingue rispetto
ad altre tecniche più sofisticate.
Che informazioni ci fornisce
ATT&CK al riguardo e qual
è il valore aggiunto che
un difensore può ottenere
consultando ATT&CK?
Per rispondere a queste
domande dobbiamo esaminare
con attenzione i contenuti
della relativa pagina del
framework [figura #6], scoprendo
– tra l’altro – che:
• l’Active Scanning è una tecnica
di ricognizione che comporta
Le tre sottotecniche della tecnica Active Scanning.
un’interazione diretta con
la rete target;
• può assumere differenti forme
e/o comportare il ricorso a diversi
tipi di protocollo – tra i quali è
citato esplicitamente il protocollo
ICMP – a seconda della tipologia
di informazioni ricercate
dall’attaccante;
• presenta tre diverse
sottotecniche [figura #8],
cioè Scanning IP Blocks,
Vulnerability Scanning
e Wordlist Scanning,
di cui sono forniti i relativi link
di approfondimento;
• non dispone, ahinoi, di misure
di mitigazione sufficientemente
robuste, ma in compenso può
essere rilevata abbastanza
facilmente mediante l’analisi
del traffico veicolato all’interno
della nostra rete, con particolare
riferimento a quello proveniente
da Internet.
FRAMEWORK
CONOSCENZA È POTERE
Tirando le somme, un ipotetico
difensore che fosse
completamente a digiuno (o non
sufficientemente preparato) sulla
materia, può trovare nella pagina
della tecnica (e nei relativi link)
tutto quanto gli serve per
difendersi e rilevarne un utilizzo
all’interno della propria
infrastruttura. È proprio questo
uno dei punti di forza del
framework: quello di supportare
i difensori – grazie al lavoro di
sintesi e analisi che MITRE ha
messo a disposizione liberamente
per tutti – fornendo la possibilità
di colmare sia le lacune relative
alle conoscenze e competenze dei
singoli, sia le eventuali debolezze
nei meccanismi di difesa adottati
dalle organizzazioni più articolate.
E non finisce qui: ma per gli
ulteriori utilizzi di ATT&CK dovrete
aspettare il prossimo numero...
figura #8
57
HACKULTURE
MAC H IN E LE AR NIN G
A RISC HIO CR AC K ER
m od e lli d i in tellig en za
I piu‘ avanzati o sc im ento
artif iciale e di ric on
e se n ta n o u n gh iot to
biometrico rappr di tutto il mondo
boccone per hacker
N
ella vita di tutti i giorni
dipendiamo dalle più
differenti applicazioni
di Machine Learning.
Basti pensare ai sistemi di
riconoscimento biometrico,
oppure alle pubblicità
personalizzate che appaiono
sui social o anche alle stesse
soluzioni antimalware e
antispyware che si basano su
modelli di Intelligenza Artificiale.
Sempre più spesso succede di
non capire se le chat di assistenza
a cui ci rivolgiamo siano presidiate
da persone oppure da bot e prima
che ci venga autorizzato un
prestito o un finanziamento sarà
sempre l’Intelligenza Artificiale ad
avere l’ultima parola. Da qualche
tempo però i modelli di Machine
Learning possono essere utilizzati
non solo dalle aziende, ma anche
Per alterare il riconoscimento delle
Reti Neurali Profonde, può bastare
l’inserimento di un solo pixel
58
da semplici appassionati grazie
alla disponibilità di speciali librerie
come SciKit, Numpy,
TensorFlow, PyTorch, e
CreateML che permettono di
risolvere problemi complessi che
solo qualche anno fa avrebbero
richiesto l’intervento di un
esperto. Come accade
regolarmente nei settori in
continua crescita, parallelamente
agli avanzamenti tecnologici
appaiono minacce e attacchi
portati da pirati informatici
che in molti casi riescono ad agire
senza essere individuati, fin
quando non è troppo tardi.
MACHINE LEARNING
SOTTO ATTACCO
Gli Adversarial Attack sono
attacchi informatici compiuti
ai danni dei vari modelli di
Intelligenza Artificiale con
l’obiettivo di ingannare
il modello di Machine Learning,
in modo da alterarne il risultato.
Un esempio concreto è
rappresentato dai Pixel Attack
che funzionano applicando
modifiche minime, anche di un
solo pixel, come ha dimostrato
l’abstract dei ricercatori Jiawei
Su, Danilo Vasconcellos Vargas
e Kouichi Sakurai (https://arxiv.
org/pdf/1710.08864.pdf ).
I risultati forniti dalle Reti
Neurali Profonde, (Deep
Neural Network) possono
essere facilmente alterati
modificando in maniera
umanamente impercettibile il
vettore iniziale con l’inserimento
di un solo pixel alterato. In
questo modo fino al 74% dei
risultati viene completamente
corrotto, fornendo risultati
inaffidabili. Nell’abstract appena
citato sono mostrati diversi
esempi di immagini modificate
in un solo pixel che una volta
 IA IN PERICOLO
DA GATTO A CANE
Come ha dimostrato il paper del
ricercatore Goodfellow e dei suoi
colleghi alla RSA Conference,
è bastato inserire un pixel
nell’immagine di un felino per
farlo riconoscere come cane da
un sistema di Machine Learning.

analizzati dai sistemi di Machine
Learning producono risultati
completamente differenti.
In un caso, come riferito dal
Washington Post, è bastato
modificare un solo pixel
di un’immagine per alterare
normalmente utilizzato nel
linguaggio di programmazione
Python. Questo formato viene
usato anche per i modelli di
Machine Learning e permette a
un’attaccante di
eseguire del codice malevolo
utilizzando uno strumento Open
Source chiamato Fickling, come
è ben noto alla community
di sicurezza internazionale.

ni
La riscossa dei Cylo
complessi modelli di
compravendita azionaria
con risultati disastrosi.

DATA POISONING
La modalità di attacco
Adversarial si fonda sui classici
sistemi basati su algoritmi come
quelli di data poisoning
(inquinamento dei dati) e
inference attack. Solo che in
questo caso l’attaccante sceglie
di colpire la modalità di
archiviazione e di distribuzione
dei modelli. Anche se i modelli
di Machine Learning vengono
percepiti come una tecnologia
talmente evoluta da essere
difficilmente analizzabile da un
non addetto ai lavori, in realtà
vengono utilizzate le stesse
modalità in uso con normali
software con tanto di ricerca di
vulnerabilità che possano essere
sfruttate dall’attaccante.
È questo il caso del formato di
archiviazione Pickle che viene
Sempre più spesso vengono
pubblicati rapporti sui potenziali
rischi dell’Intelligenza Artificiale
senziente e non vorremmo
certamente passare per paranoici
che temono l’arrivo di robot
coscienti in grado di minacciare la
nostra civiltà, come avveniva con
i Cyloni nella serie fantascientifica
Galactica. Ci riferiamo solo
alla necessità di prendere
in considerazione i rischi relativi
alla sicurezza, allo sviluppo
e all’implementazione dei modelli
Machine Learning, soprattutto
osservando l’influenza sempre
maggiore che rivestono nella vita
delle persone. Anche se al momento
la minaccia di un attacco
alle Reti Neurali può
sembrare ai più argomento
Nella serie Galactica del 2003,
da fantascienza, dobbiamo
i robot Cyloni furono creati dagli
domandarci se non sia il
caso di intervenire prima umani per rendere la vita più facile
che il danno diventi sulle 12 colonie. Tutto andò bene
difficilmente riparabile. fino al giorno in cui i robot decisero
di sterminare i loro padroni.

59
 N E@ H AC KE RJ O U RN A L .i t
REDAZIO
REPLY
GLOSSARIO
DI BASE
PENTESTING
Processo di valutazione della
sicurezza di un sistema o di
una rete, che simula l’attacco
di un utente malintenzionato.
L’analisi comprende più fasi
e ha come obiettivo quello
di evidenziare le debolezze
della piattaforma, fornendo
il maggior numero possibile
di informazioni sulle
vulnerabilità che hanno
permesso l’accesso
non autorizzato.
FILE HOSTING
Servizio di archiviazione
su Internet progettato
per ospitare i file degli
utenti, permettendo loro
di caricare file che possono
poi essere scaricati
da altri utenti.
Tipicamente il servizio
permette l’accesso tramite
protocollo HTTP o FTP o
tramite software di terze parti.
MAIL BOMBING
Invio di enormi volumi
di email a un indirizzo
di posta elettronica,
con l’obiettivo di mandare
in overflow la casella
postale dell’indirizzo
email o di superare
il server in cui l’indirizzo
email è ospitato per
effettuare un attacco
di tipo Denial of Service.
60
Condividi i tuoi dubbi co
a nuove idee e suggerime
vedere sulla rivista: reda
AD BLOCKER
COMBINA GUAI
Per eliminare un po’ di
pubblicità mentre navigo,
ho scaricato AdGuard
e da quel momento è diventato
praticamente impossibile
accedere al mio provider
di posta (Libero.it) per
controllare le email. Per
poterle visualizzare sono stato
costretto a disinstallare
AdGuard. A quanto pare si è
creato un conflitto di sistemi,
per cui usando AdGuard non
vanno le mail. Cosa posso fare
per non avere pubblicità e una
casella email accessibile? Non ho infatti la possibilità di
 Pier
Abbiamo provato a
riprodurre la tua situazione,
ma non ci siamo riusciti.
Inizialmente Libero Mail ci ha
fatto effettivamente apparire un
pop-up che indicava che era stato
rilevato il blocco delle pubblicità,
ma ci è bastato chiuderlo per
avere accesso alle nostre email.
Esiste comunque una soluzione
definitiva per i tuoi problemi.
Dovrai andare nelle
Impostazioni di AdGuard e
quindi alla voce Blocca-Annunci.
Qui dovrai scendere nella pagina
fino ad arrivare alla sezione
Specifico della lingua e
individuare la lista EasyList Italy.
n la redazione insieme
nti su quello che vorresti
it
zione@hackerjournal.
Clicca sull’icona a forma di
ingranaggio che c’è sulla destra
e scegli la voce Modifica per
accedere al contenuto di questa
lista. Dalla sezione Cerca regola
potrai cercare Libero e quindi
disattivare le voci relative
al dominio di Libero.it.
HACKER CON WINDOWS
Mi sto appassionando al
mondo hacker e vorrei sapere
se è possibile iniziare a fare
qualche esperimento di
Penetration Test partendo
da Windows, possibilmente
da chiave USB o disco esterno.
acquistare un altro computer
e la macchina che sto usando
non è mia e non posso creare
una partizione con una distro
Linux come Kali.
Archimede
Per chi vuole iniziare con
il pentesting e non dispone
di distro Linux, consigliamo
di provare PentestBox, https://
pentestbox.org/it/, un progetto
Open Source che fornisce
un ambiente portatile per il
penetration testing su Windows.
PentestBox include infatti
una vasta gamma di tool
per il pentesting, utilizzabili
nativamente su Windows.
È completamente portatile,
 N A L E P E R A N D R O ID
CLOUD PERSO
Non mi fido più di Google Drive e degli altri servizi americani
di cloud. Mi potete consigliare un modo semplice per realizzare
un servizio di file hosting personale in cui possa archiviare i miei file
privati e a cui possa collegarmi anche dallo smartphone?
Primo

Realizzare un proprio servizio di file hosting personale oggi è più semplice

rispetto al passato, sia perché i costi dell’archiviazione sono notevolmente
diminuiti, sia perché esistono diverse soluzioni facilmente implementabili. Una
delle applicazioni Open Source più diffuse e semplici, che mette a disposizione
anche un client per Android, è ownCloud, https://owncloud.com/. Il suo cuore
è l’applicazione ownCloud X, installabile su qualsiasi server. L’utilizzo della RAM
e lo spazio su disco fisso necessari dipenderanno chiaramente dall’utilizzo
che ne faremo. Dopo aver installato e configurato il server ownCloud, potremo
caricare i file ricorrendo al client desktop. Dal sito sono scaricabili quelli per
macOS, Windows e Linux, insieme alle app per dispositivi mobile Android e iOS.

SBLOCCARE UN PDF
Avere a disposizione la maggior parte
Non trovo più la password
delle utility per il Penetration Testing su di un documento PDF che devo
di una chiave USB permette di simulare assolutamente consultare.
Ho visto che esistono diversi
attacchi anche dalla piattaforma Windows tool, ma mi chiedono anche
più di 50 € e ho paura che
potrai quindi montarlo su una ancora più cattivo, pensavo siano truffe. Non conoscete
PenDrive USB senza curarti di a un mail bombing. Mi potete un software Open Source
dipendenze o configurazioni indicare un’app che non che faccia al caso mio?
particolari. Contiene la maggior contenga virus e che possa Sergio
parte delle utility Linux, come usare?
bash, cat, chmod, curl, git, gzip, Paola Effettivamente gran parte
ls, mv, ps, vim, ssh, sh, uname degli strumenti disponibili
e molte altre. Tenendo sempre presente per craccare la password dei
che si tratta di un’operazione documenti PDF sono delle truffe.
SCHERZI DA HACKER assolutamente illegale, esistono Esiste in realtà un vecchio tool
Un amico mi ha installato comunque degli eseguibili che Open Source che funziona da riga
sul computer a mia insaputa sono stati messi a disposizione di comando e utilizza il metodo
un programmino che ha online per motivi di studio. Così BruteForce per individuare la
modificato completamente per esempio su GitHub potrai password. Verranno cioè cercate
il funzionamento della tastiera, trovare Email Nuker, https:// tutte le possibili combinazioni
mandandomi nel panico prima github.com/bagarrattaa/email- di lettere e numeri, con tempi
di rendermi conto che si nuker, un eseguibile per Windows che possono essere molto lunghi.
trattava di uno scherzo. A che permette di inviare fino a 500 Si chiama PDFCrack e lo puoi
questo punto vorrei vendicarmi email contemporaneamente alla scaricare da https://sourceforge.
con uno scherzo da hacker casella della vittima. net/projects/pdfcrack/

61
 Il prossimo nu mero d icembre
0
sa ra‘ in ed icola da l 2
Investigatori
nel cloud cloud
one
Usare il software di gesti
forensi
come tool per le analisi

PDF “casgasnoagrfoafirt e”
co per
Un metodo ste
i segreti nei PDF
nascondere messagg

Flipper,
Attacco
il passpar tout
dal canale lateraleti deg li hani diccaknceelrli
ezio
Come gli hacker posson
o ottenere da Può scardinare le prot
a, per esempio to rn el li de lla metro, reti Wi-Fi
senza accedere al sistem el et tr ic i,
adoperando una fotocam
era termica e molto altro ancora

Mensile - prezzo di copertina 3,90 €
www.hackerjournal.it - redazione@hackerjournal.it
La Divisione Informatica di Sprea edita anche:
WIN MAGAZINE ✦ LINUX PRO ✦ UBUNTU FACILE
MAC IDEA!✦ APP JOURNAL ✦IL MIO COMPUTER IDEA
Business Unit Manager: Massimiliano Zagaglia
Cover: Luca Patrian
Impaginazione: Alessandro Buonaiuto
Hanno collaborato: Antonio Dini, Francesco Pensabene, Maurizio Russo, Noemi Chierchia,
Vincenzo Digilio
Servizi editoriali: Backdoor di Gianmarco Bruni
Sprea S.p.A.
Sede Legale: Via Torino, 51 20063 Cernusco Sul Naviglio (Mi) - Italia
PI 12770820152- Iscrizione camera Commercio 00746350149
Per informazioni, potete contattarci allo 02 87168197
CDA: Luca Sprea (Presidente), Alessandro Agnoli (Amministratore Delegato),
Giulia Spreafico (Divisione digital), Stefano Pernarella (ADV & PR)
SERVIZIO QUALITÀ EDICOLANTI E DL Distributore per l’Estero: SO.DI.P S.p.A. Via Bettola, 18 - 20092 Cinisello Balsamo (MI)
Sonia Lancellotti, Luca Majocchi: Tel. 02 92432295 Tel. +390266030400 - Fax +390266030269 - sies@sodip.it - www.sodip.it
distribuzione@sprea.it 351 5582739
Stampa: Arti Grafiche Boccia S.p.A.- Via Tiberio Claudio Felice, 7- 84131 Salerno
ABBONAMENTI E ARRETRATI Copyright: Sprea S.p.A.
Abbonamenti: si sottoscrivono on-line su www.sprea.it/hackerjournal
Informativa su diritti e privacy
abbonamenti@sprea.it La Sprea S.p.A. titolare esclusiva della testata Hacker Journal e di tutti i diritti di pub-
Tel. 02 87168197 (lun-ven / 9:00-13:00 e 14:00-18:00) blicazione e di diffusione in Italia. L’utilizzo da parte di terzi di testi, fotografie e dise-
Il prezzo dell’abbonamento è calcolato in modo etico perché sia un servizio gni, anche parziale, è vietato. L’Editore si dichiara pienamente disponibile a valutare -
utile e non in concorrenza sleale con la distribuzione in edicola. e se del caso regolare - le eventuali spettanze di terzi per la pubblicazione di immagini
Arretrati: si acquistano on-line su www.sprea.it/arretrati di cui non sia stato eventualmente possibile reperire la fonte. Informativa e Consenso
abbonamenti@sprea.it in materia di trattamento dei dati personali (Codice Privacy d.lgs. 196/03). Nel vigore
Tel. 02 87168197 (lun-ven / 9:00-13:00 e 14:00-18:00) del D.Lgs 196/03 il Titolare del trattamento dei dati personali, ex art. 28 D.Lgs. 196/03,
329 3922420 è Sprea S.p.A. (di seguito anche “Sprea”), con sede legale in Via Torino, 51 Cernusco sul
Naviglio (MI). La stessa La informa che i Suoi dati, eventualmente da Lei trasmessi
FOREIGN RIGHTS alla Sprea, verranno raccolti, trattati e conservati nel rispetto del decreto legislativo
Paolo Cionti: Tel. 02 92432253 - paolocionti@sprea.it ora enunciato anche per attività connesse all’azienda. La avvisiamo, inoltre, che i Suoi
dati potranno essere comunicati e/o trattati (sempre nel rispetto della legge), anche
all’estero, da società e/o persone che prestano servizi in favore della Sprea. In ogni
SERVIZI CENTRALIZZATI
Art director: Silvia Taietti momento Lei potrà chiedere la modifica, la correzione e/o la cancellazione dei Suoi
dati ovvero esercitare tutti i diritti previsti dagli artt. 7 e ss. del D.Lgs. 196/03 mediante
Grafici: Alessandro Bisquola, Tamara Bombelli, Nicole Bombelli, Nicolò Digiuni,
comunicazione scritta alla Sprea e/o direttamente al personale Incaricato preposto al
Marcella Gavinelli, Luca Patrian
trattamento dei dati. La lettura della presente informativa deve intendersi quale pre-
Coordinamento: Chiara Civilla, Tiziana Rosato, Roberta Tempesta, Silvia Vitali
sa visione dell’Informativa ex art. 13 D.Lgs. 196/03 e l’invio dei Suoi dati personali alla
Amministrazione: Erika Colombo (responsabile), Silvia Biolcati, Irene Citino, Sprea varrà quale consenso espresso al trattamento dei dati personali secondo quanto
Desirée Conti, Sara Palestra - amministrazione@sprea.it sopra specificato. L’invio di materiale (testi, fotografie, disegni, etc.) alla Sprea S.p.A.
Ufficio Legale: Francesca Sigismondi deve intendersi quale espressa autorizzazione alla loro libera utilizzazione da parte di
Sprea S.p.A. Per qualsiasi fine e a titolo gratuito, e comunque, a titolo di esempio, alla
Hacker Journal, registrata al tribunale di Milano il 27/10/2003 con il numero 601. pubblicazione gratuita su qualsiasi supporto cartaceo e non, su qualsiasi pubblicazio-
ISSN 1594-5774 ne (anche non della Sprea S.p.A.), in qualsiasi canale di vendita e Paese del mondo.

ADVERTISING, SPECIAL PROJECTS & EVENTS Direttore responsabile: Luca Sprea

Segreteria: Emanuela Mapelli - Tel. 02 92432244 - emanuelamapelli@sprea.it Distributore per l’Italia: Press-Di Distribuzione stampa e multimedia s.r.l. - 20090 Segrate Il materiale inviato alla redazione non potrà essere restituito.
 N
O
V
IL MAGAZINE A FUMETTI CULT

IT
NEL MONDO FINALMENTE ANCHE IN ITALIA

A
IN EDICOLA DAL 25 OTTOBRE

Scansiona il QR Code

Acquistala su www.sprea.it/heavymetal
versione digitale disponibile dal 22 ottobre
 PU BBLICITÀ
100% INDIPENDENTE! NO

T utto quello
ch e g l i a l t r i
n o n o s a n o d i r t i !

IN QUES T O N U M E R O
VULNERABILITÀ | Scambio di identità
Il servizio EKS di Amazon Web Services utilizza un sistema di identità
degli utenti che nasconde un punto debole...

CDN | Più sicuri e protetti su Internet

Ecco un’estensione per browser capace di rendere la navigazione migliore:
all’insegna della sicurezza, della riservatezza e della celerità

FRAMEWORK | MITRE ATT&CK, seconda parte

Continuiamo ad approfondire il framework ATT&CK:
in questo numero esaminiamo tattiche e tecniche!

LETTERE | Cloud personale per Android

Le domande dei lettori, le risposte degli esperti della redazione.
Anche online sul nostro sito: https://hackerjournal.it

NUMERO 267 • MENSILE • 3.90 €

P.I. 22-11-2022 - Dicembre

Prezzi esteri: AUT € 7,50 - BE € 7,00 - LUX € 6,50 - F+PM € 9,50 FR + € 10,50 PM - ES € 6,00 - PT (Cont.) € 5,50 - CH Tedesca CHF 8,3 - CH Ticino CHF 7,3 - OLANDA € 7,50