home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #16 / NN_1992_16.iso / spool / comp / security / misc / 814 < prev    next >
Encoding:
Text File  |  1992-07-25  |  1.8 KB  |  41 lines
  1. Newsgroups: comp.security.misc
  2. Path: sparky!uunet!munnari.oz.au!manuel!coombs!avalon
  3. From: avalon@coombs.anu.edu.au (Darren Reed)
  4. Subject: Re: unhappy about overloading finger
  5. Message-ID: <avalon.712067691@coombs>
  6. Lines: 30
  7. Sender: news@newshost.anu.edu.au
  8. Organization: Computer Services Centre, Australian National University
  9. References: <1992Jul24.100650.9235@nntpd.lkg.dec.com> <dag.712016415@ossi.com> <1992Jul25.023851.482@news.iastate.edu>
  10. Date: 25 Jul 92 12:34:51 GMT
  11.  
  12. john@iastate.edu (John Hascall) writes:
  13.  
  14. >dag@ossi.com (Darren Alex Griffiths) writes:
  15. >}coar@Nephi.Enet.DEC.Com (Rodent of Unusual Size) writes:
  16. >}>    So what's supposed to happen?  I'm running a system with standard ULTRIX
  17. >}>    (other than modified FTP), and all this does is a full finger of the
  18. >}>    passwd file of the remote system.  Is that the screwup? ...
  19. >}It's definately a major screwup.  This allows the pond scum who try and 
  20. >}break into systems to get a list off all users and then attempt to crack the
  21. >   ...
  22. >}Instead it should complain about the bogus user not existing.
  23.  
  24. >I like our fix better, try: finger @@iastate.edu
  25. >(a bunch of gotta-try-it students doing this on a system with 7000 passwd
  26. >entries convinced us to fix this in a hurry before system meltdown).
  27.  
  28. If you have problems with people using "@@", get a fingerd source (or
  29. write your own :) and include '@' with the white space separators such
  30. as \t, \n, ' ', etc.
  31.  
  32. Also stops people doing "finger @host1@host1@host1@host1@host1..." and
  33. some other similar things.
  34.  
  35. For systems with large /etc/passwd files there should be a version of
  36. getpwuid() & getpwnam() which look for information in hashed versions
  37. on the passwd file (should be regenerated after any vipw or changes
  38. to the /etc/group file).  I'm sure I've seen this implemented somewhere.
  39.  
  40. darren
  41.