Em 23/05/10, Henrique Carvalho<henrique_alves18@...> escreveu:
> Bom dia Pessoal,
>
>             Acabei de montar um lab com o HLBR 1.7, estou precisando do
> exploit tsl.bind.c para fazer um teste de ataque no servidor bind que ainda
> vou fazer, qual a versão do bind que o exploit tsl.bin.c funciona ?

http://www.packetstormsecurity.org/0102-exploits/tsl_bind.c

Recomendo que você leia o source antes de executa-lo.

[]s

Pessoal, alguém já conseguiu testar o hlbr em uma máquina virtual (VMWare,
Virtualbox ou Qemu)?

Sei que o Bertelli e o Pedro usam o UML, mas no meu Ubuntu ele não tá
funcionando (segmentation fault).

Abracos!

--- Em hlbr@..., "oxtroni" <oxtroni@...> escreveu
> Pessoal, alguém já conseguiu testar o hlbr em uma máquina virtual (VMWare,
Virtualbox ou Qemu)?

Depende... O que você quer fazer? Rodar sistemas finais em máquinas virtuais ou
rodar o HLBR em uma máquina virtual? No primeiro caso, seria o mesmo que eu
descrevi sobre UML. Duas máquinas virtuais, com interfaces virtuais distintas e
o HLBR rodando no hospedeiro fazendo a ponte entre as duas interfaces. O segundo
caso, eu nunca tentei.

> Sei que o Bertelli e o Pedro usam o UML, mas no meu Ubuntu ele não
> tá funcionando (segmentation fault).

O que está apresentando segmentation fault, o HLBR ou a tentativa de instanciar
um kernel UML?

Oi Pedro,


--- Em hlbr@..., "pedroarthur.jedi" <pedro.forum@...> escreveu
>
>
>
> --- Em hlbr@..., "oxtroni" <oxtroni@> escreveu
> > Pessoal, alguém já conseguiu testar o hlbr em uma máquina virtual (VMWare,
Virtualbox ou Qemu)?
>
> Depende... O que você quer fazer? Rodar sistemas finais em máquinas virtuais
ou rodar o HLBR em uma máquina virtual? No primeiro caso, seria o mesmo que eu
descrevi sobre UML. Duas máquinas virtuais, com interfaces virtuais distintas e
o HLBR rodando no hospedeiro fazendo a ponte entre as duas interfaces. O segundo
caso, eu nunca tentei.

Eu estava pensando em instalar o HLBR no hospedeiro, fazendo a ligação entre e
internet e uma máquina virtual. Mas gostei da ideia de usar duas máquinas com o
HLBR no hospedeiro. :)


>
> > Sei que o Bertelli e o Pedro usam o UML, mas no meu Ubuntu ele não
> > tá funcionando (segmentation fault).
>
> O que está apresentando segmentation fault, o HLBR ou a tentativa de
instanciar um kernel UML?
>

Quando eu tento instanciar um kernel, não é no HLBR.

Abraço!

Pessoal,

Configurei duas vms, ligadas as placas virtuais br0 e br1, respectivamente.

A vm que está conectada na interface br0 possui o ip 192.168.77.2 e a interface
br0 possui o ip 192.168.77.1.

A vm que está conectada na interface br1 possui o ip 192.168.88.2 e a interface
br1 possui o ip 192.168.88.1.

O meu arquivo hlbr.conf está assim:


<system>
Name=HLBR_1
ID=1
Threads=1
AlertHeader=%ac %m/%d/%y %h:%min:%s %sip:%sp->%dip:%dp
PidFile=/var/run/hlbr.pid
</system>


<interface br0>
Type=linux_raw
Proto=Ethernet
</interface>

<interface br1>
Type=linux_raw
Proto=Ethernet
</interface>

<IPList www>
</list>

<IPList dns>
</list>

<IPList email>
</list>

<IPList firewall>
</list>

<IPList network>
</list>

<IPList others>
192.168.2.50
</list>

<IPList servers>
others
</list>

<action action1>
response=alert file(/var/log/hlbr/hlbr.log)
response=dump packet(/var/log/hlbr/hlbr.dump)
response=drop
</action>

<action action2>
response=alert file(/var/log/hlbr/hlbr-2.log)
response=dump packet(/var/log/hlbr/hlbr-2.dump)
</action>

<action virus>
response=alert file(/var/log/hlbr/virus.log)
response=dump packet(/var/log/hlbr/virus.dump)
response=drop
</action>

<routing>
SBridge(br0, br1)
</routing>

<decoder http>
OPTIONS,GET,HEAD,POST
#CONNECT,PUT,DELETE,TRACE,COPY,MOVE,PROPFIND,PROPPATCH,UNLOCK,LOCK,MKCOL,NOTIFY,\
POLL
#VERSION-CONTROL,REPORT,CHECKIN,UNCHECKOUT,CHECKOUT,UPDATE,LABEL,MERGE,BASELINE-\
CONTROL,MKACTIVITY
#BCOPY,BMOVE,BDELETE,BPROPFIND,BPROPPATCH,X-MS-ENUMATTS,UNBPROP,BPROP
</decoder>

As duas vms conseguem se pingar (parei o hlbr e elas continuam conseguindo se
pingar).

O meu problema é que iniciei o apache na vm conectada na interface br1 e,
através da vm conectada na interface br0, tentei fazer a requisição
http://192.168.10.100/../../etc/passwd, por exemplo, mas o hlbr não registrou
nada no arquivo hlbr.log (também tentei simular os outros ataques exemplificados
no endereço
http://www.vivaolinux.com.br/artigo/Instalando-a-nova-versao-do-HLBR-IPS-invisiv\
el?pagina=11).

Gostaria de saber se, com estas informações, alguém conseguiria me dizer o que
estou fazendo de errado. Minha intenção é apenas testá-lo para poder brincar com
o código dele.

Abraços.

Bom, consegui descobrir o que eu estava fazendo de errado.
Configurei as interfaces br0 e br1 com os ips 127.0.0.2 e 127.0.0.3,
repectivamente, iniciei o HLBR, configurei a rede entre as duas vms (rede
10.0.0.0) e as duas conseguiram se "enxergar" na rede. Tentei parar o HLBR e
elas não se enxergavam mais.
Depois eu simulei um ataque conforme o artigo do Dailson e o HLBR registrou na
log.
Abraços!

Bom dia amigos,

Estou tendo um dificuldade com o HLBR, ele está funcionando apenas como bridge,
não gera nenhum LOG ou mesmo bloqueio, a bridge está aplicada nele e não no
kernel, está instalado em um computador com debian e com os ips 127.0.0.2 e
127.0.0.3 em suas interfaces, ou seja, está com suporte a TCP/IP habilitado.
As configurações estão de forma simples apenas as configurações padrão das rules
e no hlbr.conf coloquei apenas o ip do servidor na seção dos servidores, nada
além disso.
Desde já agradeço a atenção
Tiago

Pessoal,

No arquivo TODO do HLBR tem registrado a criação de um novo decoder.

Que decoder vocês acham que seria relevante criar num primeiro momento?

Ftp, SMTP, SMB, SSH?

[]'s

Pessoal,

Conversando com o Jedi ele me deu a ideia de fazer com que o HLBR, depois de um
determinado momento, perdesse as permissões do usuário root. Ele disse que fazia
tempo que queria fazer isso mas sempre tinha alguma coisa mais importante pra
fazer.

Trabalhei nisso e como eu não consegui falar com ele hoje, estou enviando o
patch para a lista a fim de pedir que alguém com disponibilidade possa me ajudar
com os testes :).

Abaixo seguem os links para o patch [1] e para o tarbal com o patch já aplicado
[2].

A instalação é feita de maneira normal, a única diferença é que é preciso criar
o usuário e o grupo especificados nos campos User e Group do arquivo hlbr.config
(por padrão ambos são hlbr). Após fazer isso e iniciar o hlbr o processo deve
estar rodando com o usuário especificado no campo supracitado:

$ ps aux | grep hlbr
chir0n    7960  0.0  0.1  52844  4684 pts/0    S+   00:10   0:00 vim
engine/hlbr.c
hlbr      8691 14.7  0.5  51632 17048 pts/2    Sl   00:27   4:33 hlbr -c
/etc/hlbr/hlbr.config -r /etc/hlbr/hlbr.rules
chir0n    9468  0.0  0.0  11332   848 pts/2    S+   00:58   0:00 grep
--color=auto hlbr


Nos meus testes simulei um ataque e funcionou normalmente (inclusive registrando
na log).

Abraços.

Bertinatto

Links:

[1] http://ubuntuone.com/p/W07/
[2] http://ubuntuone.com/p/W09/

--- Em hlbr@..., "bertinatto" <bertinatto@...> escreveu
>
> Pessoal,
>
> Conversando com o Jedi ele me deu a ideia de fazer com que
> o HLBR, depois de um determinado momento, perdesse as permissões
> do usuário root. Ele disse que fazia tempo que queria fazer isso
> mas sempre tinha alguma coisa mais importante pra fazer.

Valeu, cara! Patch simples, mas muiiiito importante.

> A instalação é feita de maneira normal, a única diferença é que
> é preciso criar o usuário e o grupo especificados nos campos User
> e Group do arquivo hlbr.config (por padrão ambos são hlbr). Após
> fazer isso e iniciar o hlbr o processo deve estar rodando com o
> usuário especificado no campo supracitado:

Uma opção de CLI também seria bem interessante. Tipo "-uid hlbr,hlbr", mas não é
essencial e pode deixar pra lá se tiver algo mais interessante para fazer.

> Nos meus testes simulei um ataque e funcionou normalmente
> (inclusive registrando na log).

Então, funcionalmente está ok. Mas como a alteração de privilégios pode ocorrer
por diversos motivos, tente usar a função "perror" (cabeçalhos em stdio.h e
sys/errno.h) para exibir uma mensagem mais intuitiva. Acho que só um
perror("Privileges Dropping Error") já dá uma luz no problema. Além disso, acho
que esse tipo de erro deveria para o Daemon.

Mais alguém tem mais alguma ideia ou sugestão?

--- Em hlbr@..., "pedroarthur.jedi" <pedro.forum@...> escreveu
> Então, funcionalmente está ok. Mas como a alteração de privilégios
> pode ocorrer por diversos motivos ...

Corrigindo-me:

  ... Mas, como erros na alteração de privilégios podem ocorrer por diversos
motivos, ...

Valeu pelas dicas, Pedro!

Já fiz as alterações (menos a opção de linha de comando, por enquanto).

Era mais ou menos isso [1] que você quis dizer?

Abraço.

Bertinatto

[1] http://ubuntuone.com/p/WWo/

Boa noite pessoal, tenho uso o HLBR há alguns anos e não tenho que me queixar,
gosto muito do grupo apesar de eu não ser muito ativo dentro dele, já li
diversos tópicos sobre o assunto do titulo, e de uma semana pra cá o meu IPS
começou aparecer essa mensagem Unable to allocate packet for reading,tenho ele
atualizado para a versão 1.7.2, tenho uma maquina boa, abaixo segue o cenário de
como ele tá disposto:



                Switch1                    Switch2
       Link1------|                        |---Servidor1
       Link2------|------------IPS---------|---Servidor2
       Link3------|                        |---Servidor3
                                           |---Servidor4


S.O: Slackware 13.1
Redes: eth0-127.0.0.2/24
        eth1-127.0.0.3/24
Tenho uma 3ª placa que as vezes eu ativo ela, somente para atualização ou
confecção de regra, normalmente ela fica desativada

Hardware: Pentium 4 3.2Ghz com 2GiB de memoria DDR2, HD 500GiB
Placas de rede novas 100/1000Mib

Porem o IPS estava funcionando corretamente até uma semana atraz, e não tenho
conseguido resolver esse problema.

Desde já agradeço.

Adriano R. Balani

On 21-03-2011 19:23, Adriano wrote:
  > (...) já li diversos tópicos sobre o assunto do titulo (...)

Então já deve ter tentado algumas propostas de solução.

  > Porem o IPS estava funcionando corretamente até uma semana
  > atraz, e não tenho conseguido resolver esse problema.

Recentemente descobrimos um bug em uma porção de código legada do
Hogwash, mais especificamente na rotina de desfragmentação de pacotes
IP: ao receber uma quantidade excessiva de pacotes fragmentados e
corrompidos (ou seja, conjunto incompleto de fragmentos) o sistema não
devolve os slots de pacotes para que sejam reusados. O sintoma desse bug
é o ocasionamento de deadlocks (logo, DoS) no sistema e aparição da
mensagem citada.

Estamos trabalhando, na medida do possível, na reescrita desse código.
Infelizmente, o tempo está escasso para todos.

--
Pedro Arthur Duarte (aka JEdi)

Valeu Pedro, muito obrigado pela atenção, o meu IPS deu uma estabilizada, mas
qualquer coisa estou aí para poder ajudar.

Abraços.

Adriano R. Balani


--- Em hlbr@..., PEdroArthur_JEdi <pedro.forum@...> escreveu
>
> On 21-03-2011 19:23, Adriano wrote:
>  > (...) já li diversos tópicos sobre o assunto do titulo (...)
>
> Então já deve ter tentado algumas propostas de solução.
>
>  > Porem o IPS estava funcionando corretamente até uma semana
>  > atraz, e não tenho conseguido resolver esse problema.
>
> Recentemente descobrimos um bug em uma porção de código legada do
> Hogwash, mais especificamente na rotina de desfragmentação de pacotes
> IP: ao receber uma quantidade excessiva de pacotes fragmentados e
> corrompidos (ou seja, conjunto incompleto de fragmentos) o sistema não
> devolve os slots de pacotes para que sejam reusados. O sintoma desse bug
> é o ocasionamento de deadlocks (logo, DoS) no sistema e aparição da
> mensagem citada.
>
> Estamos trabalhando, na medida do possível, na reescrita desse código.
> Infelizmente, o tempo está escasso para todos.
>
> --
> Pedro Arthur Duarte (aka JEdi)
>

Bom dia Srs.

Uso o hlbr a muito tempo, mas tenho enfrentado esse problema nos últimos
tempos...

Uso ele sobre um RHEL5 e estava usando 2 bridges chamando o processo 2 x com
arquivos diferentes conforme a orientação passada pelo PedroArthur JEdi.

Temos previsão de sanar esse erro? Pois aqui comigo acontece a cada 5 ou 6 horas
e cai toda a conexão com a net.

A máquina é zero bala da IBM com 6 interfaces sendo 4 para as bridges, 1 para
administração e outra "sobrando"...

Desde já agradeço.

Sds
Diego

--- Em hlbr@..., "Adriano" <adrianobalani@...> escreveu
>
> Valeu Pedro, muito obrigado pela atenção, o meu IPS deu uma estabilizada, mas
qualquer coisa estou aí para poder ajudar.
>
> Abraços.
>
> Adriano R. Balani
>
>
> --- Em hlbr@..., PEdroArthur_JEdi <pedro.forum@> escreveu
> >
> > On 21-03-2011 19:23, Adriano wrote:
> >  > (...) já li diversos tópicos sobre o assunto do titulo (...)
> >
> > Então já deve ter tentado algumas propostas de solução.
> >
> >  > Porem o IPS estava funcionando corretamente até uma semana
> >  > atraz, e não tenho conseguido resolver esse problema.
> >
> > Recentemente descobrimos um bug em uma porção de código legada do
> > Hogwash, mais especificamente na rotina de desfragmentação de pacotes
> > IP: ao receber uma quantidade excessiva de pacotes fragmentados e
> > corrompidos (ou seja, conjunto incompleto de fragmentos) o sistema não
> > devolve os slots de pacotes para que sejam reusados. O sintoma desse bug
> > é o ocasionamento de deadlocks (logo, DoS) no sistema e aparição da
> > mensagem citada.
> >
> > Estamos trabalhando, na medida do possível, na reescrita desse código.
> > Infelizmente, o tempo está escasso para todos.
> >
> > --
> > Pedro Arthur Duarte (aka JEdi)
> >
>

Boa tarde, pessoal.

Desculpa a demora na resposta.

Infelizmente, não existe um prazo para que o problema seja sanado.
Caso alguém da lista possua conhecimentos de C e redes e deseje
voluntariar-se para resolver tal problema, pode entrar em contato
direto comigo. Já possuo uma parcela da solução pronta, faltando
apenas mais duas ou três funções a serem implementadas.

--

Desculpe a todos a demora para responder.

--- Em hlbr@..., "dygger2011" <dbbitencourt@...> escreveu:
> Temos previsão de sanar esse erro? Pois aqui comigo acontece a
> cada 5 ou 6 horas e cai toda a conexão com a net.

A reposta curte é: não, não temos previsão.

O HLBR atualmente é formado apenas por voluntários. Logo, ninguém consegue se
dedicar integralmente ao projeto. De fato, todos estamos muito ocupados e
estamos trabalhando pouquíssimo nele.

Contudo, possuo parcialmente a solução. Resta ainda codificação de três ou
quatro funções. Claro, também faltam a realização de testes e implantação
assistida.

Caso alguém conheça a linguagem C e deseje voluntariar-se para solucionar esse
problema, pode entrar em contato comigo. Posso ajudar no "caminho das pedras".

--
Pedro Arthur Duarte (aka JEdi)

Hi all!!!!

HLBR Project has demands for fixing bugs and developing new features.
Thus, we are looking for new developers to join the team. The basic
requirements for joining HLBR’s developers team is C language and
TCP/IP knowledge. If you are interest, please contact eriberto at
eriberto.pro.br (project leader) AND pedroarthur.jedi at gmail.com
(development leader), and use “HLBR – reply to call” as subject of
your mail message.

Thanks in advance!

O Projeto HLBR necessita corrigir bugs e desenvolver novas
funcionalidades. Assim, precisamos de dois novos desenvolvedores na
equipe. O requisito básico para integrar a equipe de desenvolvedores é
conhecimentos sobre a linguagem C e redes TCP/IP. Se você estiver
interessado, por favor contacte eriberto at eriberto.pro.br (líder de
projeto) E pedroarthur.jedi at gmail.com (líder de desenvolvimento),
usando “HLBR – reply to call” como assunto da mensagem de email.

Agradecemos antecipadamente!

• Carro movido a hidrogênio percorre 3.000 km (2004)
• Inventor de garagem constrói carro movido a água (2008)
• O carro movido a água (1972)
• O carro movido a água (2006)
• Abasteça o seu carro com água do mar
• Carro hidrogenado
• Projeto Chambrin (1980)
• Carro movido a água já existe (2008)
• Carro movido a água e gasolina (1903)