|
|
 | Exploits... hvad mener man egentlig?
Fra : Anders Tjerke Hansen |
Dato : 17-01-02 22:02 |
|
Når man læser om sikkerhed, læser man ofte om Exploits i programmer
.... hvad mener man egentlig?
Mener man bare fejl eller sikkerhedshuller ?
Med venlig hilsen
Anders T. Hansen
| |
 Kent Friis (17-01-2002)
| Kommentar
Fra : Kent Friis |
Dato : 17-01-02 23:19 |
|
Den Thu, 17 Jan 2002 22:01:59 +0100 skrev Anders Tjerke Hansen:
>Når man læser om sikkerhed, læser man ofte om Exploits i programmer
>... hvad mener man egentlig?
>Mener man bare fejl eller sikkerhedshuller ?
Et exploit er et program der demonstrerer at hullet er reelt.
Mvh
Kent
--
Demokrati er lige som den 29. februar - begge dele forekommer
en gang hver fjerde år.
| |
Daniel Blankensteine~ (17-01-2002)
| Kommentar
Fra : Daniel Blankensteine~ |
Dato : 17-01-02 23:56 |
|
"Kent Friis" <kfr@fleggaard.dk> wrote in message
news:a27ik4$kkd$1@sunsite.dk...
> Den Thu, 17 Jan 2002 22:01:59 +0100 skrev Anders Tjerke Hansen:
> >Når man læser om sikkerhed, læser man ofte om Exploits i programmer
> >... hvad mener man egentlig?
> >Mener man bare fejl eller sikkerhedshuller ?
>
> Et exploit er et program der demonstrerer at hullet er reelt.
Det behøver ikke være et program.
En exploit er bare et hul i noget software, som kan medføre et af følgende:
DoS (Få programmet eller serveren til at gå ned, eller opbruger ressourcer)
Local 2 root (En local exploit skal udføres af en bruger og løfter hans
rettigheder)
Remote 2 root (Dette er den farligeste, her kan alle (også dem der ikke er
oprettet som brugere) benytte exploiten/fejlen, til at løfte deres
rettigheder).
De fleste exploits er efterhånden buffer-overflows............
mvh
db
| |
 Michael Knudsen (18-01-2002)
| Kommentar
Fra : Michael Knudsen |
Dato : 18-01-02 11:07 |
|
Hej Daniel
> > >Mener man bare fejl eller sikkerhedshuller ?
> >
> > Et exploit er et program der demonstrerer at hullet er reelt.
>
> Det behøver ikke være et program.
> En exploit er bare et hul i noget software, som kan medføre et af følgende:
I min terminologi er et exploit et program/script/whatever, der udnytter
(exploits) et hul (vulnerability) i en service, et program etc. Jeg har
egentlig troet, at det var den udbredte opfattelse.
Mvh. Michael
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Daniel Blankensteine~ (18-01-2002)
| Kommentar
Fra : Daniel Blankensteine~ |
Dato : 18-01-02 11:37 |
|
"Michael Knudsen" <mk267673@but.auc.dk> wrote in message
news:3C47F3DA.F8A46371@but.auc.dk...
> > Det behøver ikke være et program.
> > En exploit er bare et hul i noget software, som kan medføre et af
følgende:
>
> I min terminologi er et exploit et program/script/whatever, der udnytter
> (exploits) et hul (vulnerability) i en service, et program etc. Jeg har
> egentlig troet, at det var den udbredte opfattelse.
Ok, det vil sige at følgende eksempel ikke er en exploit:
Du logger ind via FTP
Angiver username
Ændre user
Giver passwordet til den først user og få dermed adgang som den anden user.
Altså:
user daniel
skift til user hans
pass DanielsPassword
og nu har du adgang som hans.
Denne exploit er meget gammel, men kan udføres manuelt.
mvh
db
| |
Michael Knudsen (18-01-2002)
| Kommentar
Fra : Michael Knudsen |
Dato : 18-01-02 11:44 |
|
Hej Daniel
> > I min terminologi er et exploit et program/script/whatever, der udnytter
> > (exploits) et hul (vulnerability) i en service, et program etc. Jeg har
> > egentlig troet, at det var den udbredte opfattelse.
>
> Ok, det vil sige at følgende eksempel ikke er en exploit:
[snip]
> Denne exploit er meget gammel, men kan udføres manuelt.
Du misforstår min pointe. I min terminologi er exploitet det program,
script eller den teknik(hørte ind under 'whatever'), man benytter for at
udnytte en vulnerability. Sikkerhedshullet er vulnerabilitien, exploitet
er måden at udnytte det på. Hvorvidt exploitet er placeret i
scriptkiddietool_001.c, evilscript.pl eller 2600_howto_001.txt er jeg
egentlig ligeglad med.
Mvh. Michael
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Daniel Blankensteine~ (18-01-2002)
| Kommentar
Fra : Daniel Blankensteine~ |
Dato : 18-01-02 11:51 |
|
"Michael Knudsen" <mk267673@but.auc.dk> wrote in message
news:3C47FC7C.552828DF@but.auc.dk...
> Du misforstår min pointe. I min terminologi er exploitet det program,
> script eller den teknik(hørte ind under 'whatever'), man benytter for at
> udnytte en vulnerability. Sikkerhedshullet er vulnerabilitien, exploitet
> er måden at udnytte det på. Hvorvidt exploitet er placeret i
> scriptkiddietool_001.c, evilscript.pl eller 2600_howto_001.txt er jeg
> egentlig ligeglad med.
Ok, så er vi enige....
mvh
db
| |
Kasper Dupont (18-01-2002)
| Kommentar
Fra : Kasper Dupont |
Dato : 18-01-02 11:53 |
|
Michael Knudsen wrote:
>
> Hej Daniel
>
> > > >Mener man bare fejl eller sikkerhedshuller ?
> > >
> > > Et exploit er et program der demonstrerer at hullet er reelt.
> >
> > Det behøver ikke være et program.
> > En exploit er bare et hul i noget software, som kan medføre et af følgende:
>
> I min terminologi er et exploit et program/script/whatever, der udnytter
> (exploits) et hul (vulnerability) i en service, et program etc. Jeg har
> egentlig troet, at det var den udbredte opfattelse.
Jeg tror egentlig, ordet exploit bruges i flæng om
både hullet og programet, der udnytter hullet.
--
Kasper Dupont
For sending spam use mailto:u972183+6138@daimi.au.dk
| |
Daniel Blankensteine~ (18-01-2002)
| Kommentar
Fra : Daniel Blankensteine~ |
Dato : 18-01-02 12:43 |
|
"Kasper Dupont" <kasperd@daimi.au.dk> wrote in message
news:3C47FEA4.76E726DC@daimi.au.dk...
> > I min terminologi er et exploit et program/script/whatever, der udnytter
> > (exploits) et hul (vulnerability) i en service, et program etc. Jeg har
> > egentlig troet, at det var den udbredte opfattelse.
>
> Jeg tror egentlig, ordet exploit bruges i flæng om
> både hullet og programet, der udnytter hullet.
Tja, det kan det vel også godt.
mvh
db
| |
Michael Knudsen (18-01-2002)
| Kommentar
Fra : Michael Knudsen |
Dato : 18-01-02 12:43 |
|
Hej Kasper
> Jeg tror egentlig, ordet exploit bruges i flæng om
> både hullet og programet, der udnytter hullet.
Det er nok ikke helt forkert, men jeg gør ikke. Jeg kalder hullet/fejlen
for vulnerability, da det reelt er, hvad det er.
Mvh. Michael
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Kasper Dupont (18-01-2002)
| Kommentar
Fra : Kasper Dupont |
Dato : 18-01-02 13:17 |
|
Michael Knudsen wrote:
>
> Hej Kasper
>
> > Jeg tror egentlig, ordet exploit bruges i flæng om
> > både hullet og programet, der udnytter hullet.
>
> Det er nok ikke helt forkert, men jeg gør ikke. Jeg kalder hullet/fejlen
> for vulnerability, da det reelt er, hvad det er.
Det har du ret i. Men muligvis er det ord for svært
for de fleste mennesker. 
--
Kasper Dupont
For sending spam use mailto:u972183+6138@daimi.au.dk
| |
Michael Knudsen (18-01-2002)
| Kommentar
Fra : Michael Knudsen |
Dato : 18-01-02 16:32 |
|
Hej Kasper Dupont wrote:
> > Det er nok ikke helt forkert, men jeg gør ikke. Jeg kalder hullet/fejlen
> > for vulnerability, da det reelt er, hvad det er.
>
> Det har du ret i. Men muligvis er det ord for svært
> for de fleste mennesker.
Vudne.. vulneva.. =)
Mvh. Michael
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Klaus Ellegaard (18-01-2002)
| Kommentar
Fra : Klaus Ellegaard |
Dato : 18-01-02 14:18 |
|
Michael Knudsen <mk267673@but.auc.dk> writes:
>Det er nok ikke helt forkert, men jeg gør ikke. Jeg kalder hullet/fejlen
>for vulnerability, da det reelt er, hvad det er.
Det er jo ligesom hacker/cracker. Selvom jeg vil give dig ret i din
opfattelse af vulnerability vs. exploit.
Mvh.
Klaus.
| |
Daniel Blankensteine~ (18-01-2002)
| Kommentar
Fra : Daniel Blankensteine~ |
Dato : 18-01-02 15:10 |
|
"Klaus Ellegaard" <klaus@ellegaard.dk> wrote in message
news:a2979s$4av$1@katie.ellegaard.dk...
> Michael Knudsen <mk267673@but.auc.dk> writes:
>
> >Det er nok ikke helt forkert, men jeg gør ikke. Jeg kalder hullet/fejlen
> >for vulnerability, da det reelt er, hvad det er.
>
> Det er jo ligesom hacker/cracker. Selvom jeg vil give dig ret i din
> opfattelse af vulnerability vs. exploit.
Ja, eller ligesom Internet vs internet
mvh
db
| |
Michael Knudsen (18-01-2002)
| Kommentar
Fra : Michael Knudsen |
Dato : 18-01-02 16:41 |
|
Hej Klaus
> Det er jo ligesom hacker/cracker. Selvom jeg vil give dig ret i din
> opfattelse af vulnerability vs. exploit.
Fornuftigt =)
Jeg er af den holdning, at hvis noget er forkert, skal man prøve at
overbevise folk om at bruge det rigtige. Kan dette ikke lade sig gøre
(hacker/$MEDIABUZZWORD), er det meningsforstyrrende, bør man bruge et
andet (attacker, intruder). En lille kommentar til dette. Hacker er
egentligt intetsigende. Man kan ikke vide, om han har haft adgang eller
ej. Ordet kan allerhøjst bruges (hvis man absolut skal) om en person,
der ønsker at skaffe sig illegal adgang til et system.
Det må være OT nok for denne tråd. =)
FUT: dk.snak.off-topic
Mvh. Michael
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Daniel Blankensteine~ (18-01-2002)
| Kommentar
Fra : Daniel Blankensteine~ |
Dato : 18-01-02 17:01 |
|
"Michael Knudsen" <mk267673@but.auc.dk> wrote in message
news:3C484216.D0F900AD@but.auc.dk...
> Ordet kan allerhøjst bruges (hvis man absolut skal) om en person,
> der ønsker at skaffe sig illegal adgang til et system.
Lad os nu ikke tage den diskution igen, men jeg er ikke enig!
mvh
db
| |
Michael Knudsen (18-01-2002)
| Kommentar
Fra : Michael Knudsen |
Dato : 18-01-02 17:41 |
|
Hej Daniel
> > Ordet kan allerhøjst bruges (hvis man absolut skal) om en person,
> > der ønsker at skaffe sig illegal adgang til et system.
>
> Lad os nu ikke tage den diskution igen, men jeg er ikke enig!
Jeg gider heller ikke tage diskussionen, derfor FUTtede jeg. Hvorfor
skriver du iøvrigt, hvis du ikke er enig men ikke gider tage
diskussionen? Lad være med at skrive en anden gang.
FUT: dk.snak.off-topic
Mvh. Michael
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Daniel Blankensteine~ (18-01-2002)
| Kommentar
Fra : Daniel Blankensteine~ |
Dato : 18-01-02 18:32 |
|
"Michael Knudsen" <mk267673@but.auc.dk> wrote in message
news:3C485009.6C118FB5@but.auc.dk...
> > Lad os nu ikke tage den diskution igen, men jeg er ikke enig!
>
> Jeg gider heller ikke tage diskussionen, derfor FUTtede jeg. Hvorfor
> skriver du iøvrigt, hvis du ikke er enig men ikke gider tage
> diskussionen? Lad være med at skrive en anden gang.
Fordi vi for 1 eller 2 måneder siden, havde denne diskution i denne gruppe.
db
| |
Jan Boegh (18-01-2002)
| Kommentar
Fra : Jan Boegh |
Dato : 18-01-02 16:33 |
|
"Michael Knudsen" <mk267673@but.auc.dk> wrote in message
news:3C480A5A.6B484DA5@but.auc.dk...
> Det er nok ikke helt forkert, men jeg gør ikke. Jeg kalder hullet/fejlen
> for vulnerability, da det reelt er, hvad det er.
Man kan vel komme et stykke ved blot at se på, hvad de to udtryk betyder:
vulnerability = sårbarhed
exploit = udnytte (har også andre betydninger)
Så om det er et program, en vejledning eller hvad det nu kan være, der kan
udnytte en sårbarhed, ja så må det alt sammen være omfattet af glosen
'exploit'.
mvh
Jan
| |
Asbjorn Hojmark (18-01-2002)
| Kommentar
Fra : Asbjorn Hojmark |
Dato : 18-01-02 23:37 |
| | |
Michael Knudsen (19-01-2002)
| Kommentar
Fra : Michael Knudsen |
Dato : 19-01-02 00:49 |
|
Hej Asbjorn
> > Jeg kalder hullet/fejlen for vulnerability, da det
> > reelt er, hvad det er.
>
> Jeg plejer at bruge "sårbarhed".
Jeg er ikke helt konsekvent mht. dette ord, for jeg bruger også det
danske. Mht. 'exploit' bruger jeg vist kun det engelske.
Mvh. Michael
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Thomas Damgaard (17-01-2002)
| Kommentar
Fra : Thomas Damgaard |
Dato : 17-01-02 23:29 |
|
> Når man læser om sikkerhed, læser man ofte om Exploits i programmer
> ... hvad mener man egentlig?
> Mener man bare fejl eller sikkerhedshuller ?
Sædvanligvis, ja.
To exploit something, betyder at udnytte noget.
| |
Mogens Meier Christe~ (17-01-2002)
| Kommentar
Fra : Mogens Meier Christe~ |
Dato : 17-01-02 23:30 |
|
"Anders Tjerke Hansen" <ingen-spam@anderstjerkehansen.dk> wrote in message
news:qUH18.1192$Eu2.122107@news010.worldonline.dk...
> Når man læser om sikkerhed, læser man ofte om Exploits i programmer
> ... hvad mener man egentlig?
> Mener man bare fejl eller sikkerhedshuller ?
Ja: Fejl der kan udnyttes (exploit'es) som et sikkerhedshul :)
--
Mvh. Mogens
www.momech.dk
| |
ASKF (18-01-2002)
| Kommentar
Fra : ASKF |
Dato : 18-01-02 11:19 |
|
Mogens Meier Christensen ytrede sig i <a27kt3$2gjl$1@news.cybercity.dk>
med dette:
>"Anders Tjerke Hansen" <ingen-spam@anderstjerkehansen.dk> wrote in message
>news:qUH18.1192$Eu2.122107@news010.worldonline.dk...
>
>> Når man læser om sikkerhed, læser man ofte om Exploits i programmer
>> ... hvad mener man egentlig?
>> Mener man bare fejl eller sikkerhedshuller ?
>
>Ja: Fejl der kan udnyttes (exploit'es) som et sikkerhedshul :)
Behøver ikke at være fejl, kan også være features som er forkert opsat
som default, eller ikke helt gennemtænkte, så de kan benyttes til andet
end formålet.
--
Mvh
Bibliotekar D.B./Stud. Sci. Bibl.
Allan Stig Kiilerich Frederiksen
| |
Kasper Dupont (18-01-2002)
| Kommentar
Fra : Kasper Dupont |
Dato : 18-01-02 11:58 |
|
ASKF wrote:
>
> Mogens Meier Christensen ytrede sig i <a27kt3$2gjl$1@news.cybercity.dk>
> med dette:
>
> >Ja: Fejl der kan udnyttes (exploit'es) som et sikkerhedshul :)
>
> Behøver ikke at være fejl, kan også være features som er forkert opsat
> som default,
Du har ret i, at fejlen lige så godt kan ligge i opsætningen af
programmet som i programkoden.
> eller ikke helt gennemtænkte, så de kan benyttes til andet
> end formålet.
Det vil jeg betragte som en fejl i programmet. Men der er
muligvis ikke tale om en fejl ved implementationen men derimod
en fejl i designet.
--
Kasper Dupont
For sending spam use mailto:u972183+6138@daimi.au.dk
| |
Christian E. Lysel (19-01-2002)
| Kommentar
Fra : Christian E. Lysel |
Dato : 19-01-02 00:02 |
|
Anders Tjerke Hansen wrote:
> Når man læser om sikkerhed, læser man ofte om Exploits i programmer
> ... hvad mener man egentlig?
Det er en svaghed/sårbarhed.
Hvad er så en svaghed/sårbarhed...jo det er når noget ikke opfører sig
som forventet/tilsigtet/designet.
| |
|
|