DOS attack su tonylog

by

Ringrazio tutti coloro che hanno tentato (non riuscendoci) di fare un DOS attack su tonylog, mi hanno permesso di colmare molte lacune che la piattaforma wordpress che stavo usando aveva, si infatti aveva perche’ il flaw e’ stato riparato ma non solo, ho anche fatto un gigantesco upgrade del sistema, adesso spiegazione di cosa e’ successo e come si puo fare un ‘attacco DOS.

Che cosa e’ e come fare un attacco DOS

DOS dall’inglese Denial Of Service e’ un tipo di attacco che fa parte della famiglia dei brute-force, che poi di forza bruta ne hanno ben poca. In due parole i DOS attack cercano di far crashare il server che hosta il tuo sito sovraccaricandolo. I sovraccarichi possono essere generati in due modi principalmente:

  1. Pingando a martello con centinaia di macchine virtuali il server contemporaneamente, per questo bisogna avere un bel po di CPU e RAM.
  2. Oppure creando uno spider che martella un sito, cioe’ che lo invoca fino a quando non si esauriscono le risorse (database queries o traffico).

In ambedue i casi i DOS sono praticati raramente in quanto e’ una delle meno raffinate pratiche hacker. Un hacker che si rispetti in genere non cerca di spegnere un sito, sarebbe da stupidini, bensi’ cerca di sfruttarlo al meglio per se stesso. Ma sopratutto prima di lasciare il sito…. cancella i LOG!!! :)

Come puo fare un attacco dos

Per fare un attacco dos prima di tutto bisogna conoscere i limiti di una piattaforma, nel caso di un sito hostato bisogna conoscere i limiti del servizio hosting, in genere e’ abbastanza inutile pingare o martellare un sito con 80 quad core XEON configurati in redundant, perche’ per quanto potente il tuo computer possa essere non superera’ mai il livello di workload che il server puo’ sopportare (a meno che tu non abbia una farm :P ). Come seconda fase di un DOS attack bisogna creare uno script che martelli un sito (ho ignorato gli attacchi DOS fatti con il sistema al primo punto nella lista in quanto molte macchine virtuali crasherebbero il piu’ robusto sistema anche se redundant), in genere PHP o python sono usati da hackerini che vogliono un DOS di qualche minuto (secondo quanti log vogliono lasciare :) ) in php si puo’ semplicemente chiamare con un loop infinito un file remoto (che nel nostro caso sara’ la home page del sito attaccato), da ricordarsi che ogni chimata un log, quindi se volete fare un attacco DOS armatevi di pazienza e cancellate tutti i log anzi meglio usate un proxy se non volete essere beccati.

Ovviamente fare un’attacco DOS e’ una pratica illegale che puo’ essere e normalmente viene perseguita a norma di legge, specialmente nel caso ci siano dei log con degli IP ci si puo’ rivolgere ad ISP che intervengono tagliandovi internet e contattando gli organi competenti, per l’italia in genere la polizia postale. In Italia un log Unix con una valida firma e’ considerato come un documento scritto e firmato se l’IP e’ il vostro o e’ riconducibile a voi quindi, spendete meglio il vostro tempo no? .

Risorse:

PHP is not lazy, developers are!

by

After reading the article on perlbuzz.com I was seriously distressed by the arrogance of the author. The fact that he could not read 6 million record lines in Postgre-SQL made him stressed and there you go… He started pointing his finger on the php team saying that php as a programming language wasn’t trustable and that it “encouraged sloppy coding”. I would say that php is not a programming language in the first place is a scripting language apart from that have you ever opened a reference book about php and Postgree-SQL (I know you haven’t), there are built-in functions that allow you to do far more than a basic pg_fetch_row() .

Resourses:

The Security support for Debian 3.1 is to be terminated on march 31st

by

The debian project developers have announced that on the 31st of March the security support for Debian 3.1 will be terminated. One year after the release of Debian etch and three (3) years after the release of sarge, the security support for the 3.1 is coming to an end at the end of this month. The debian community is great at supporting systems after a long time and after a new release comes out. Well we can say that we have had enough time to upgrade….( :) )

For any information about security issues on your debian systems: contact the debian security team.

New update for our beloved Debian Etch 4.0

by

Debian 4.0 etch, linux distro for desktop use

The debian project developers have today announced that a new update for the 4.0 (etch) version of the linux distibution is now available. The main packages influenced by this update are going to be unstable and/or non-free packages that do not give support for security.

Packages removed:

  1. Bandersnatch – too buggy
  2. Flash plugin non free – Closed source and it doesn’t give security support
  3. Flyspray – too buggy does not support upstream
  4. ipxripd – non compatible with etch kernel
  5. jags – too buggy
  6. unacee non free – broken on big endian and 64-bit systems

The detailed list of packages that have been modified can be found in the official debian project website.

For any other info either contact me or debian forums.