home *** CD-ROM | disk | FTP | other *** search
/ Hackers Handbook - Millenium Edition / Hackers Handbook.iso / library / hack99 / arcserve_nt_agents.txt < prev    next >
Encoding:
Internet Message Format  |  1999-03-24  |  1.7 KB
  1. Date: Sun, 21 Feb 1999 21:19:42 -0500
  2. From: Weld Pond <weld@L0PHT.COM>
  3. To: BUGTRAQ@netspace.org
  4. Subject: Severe Security Hole in ARCserve NT agents (fwd)
  5.  
  6. ---------- Forwarded message ----------
  7. Date: Sun, 21 Feb 1999 17:44:55 -0500
  8. >From: ELVIS <LEEEEEECH@msn.com>
  9. To: news@rootshell.com
  10. Cc: hotnews@l0pht.com, CAI <support@cai.com>, security@microsoft.com
  11. Subject: Severe Security Hole in ARCserve NT agents
  12.  
  13.  
  14. This is absolutely pathetic.
  15.  
  16. You can obtain user names and passwords used by ARCserve NT agents when an
  17. NT system is backed up over a TCP/IP network.  Usually, for complete access
  18. to the system, these accounts will be granted administrator rights.  This
  19. only affects the "stock" NT agents.  The Exchange and SQL backup agents
  20. appear to use NTLANMAN authentication (which has its own problems).  There
  21. are probably similar exploits available over IPX/SPX and NetBEUI, but this
  22. note only covers TCP/IP.
  23.  
  24. Set your sniffer (Network Monitor from Systems Management Server will do)
  25. to listen for TCP/IP packets directed to port 6050 (17A2 hex).  This will
  26. be the ARCserve server connecting to the remote client.  The third packet
  27. you get is the one you want.
  28.  
  29. The user name will be at offset 0x00EE in clear ASCII text.
  30.  
  31. The password will be at offset 0x011E.  Simply XOR these bytes with the
  32. ASCII values of the string "Ambuf1,et(0,21)", minus quotes of course, to
  33. get the PLAIN TEXT password!
  34.  
  35. ACK!  YOU THOUGHT MICROSOFT WAS BAD!!!!  GAG!  BARF!  These people SHOULD
  36. BE ASHAMED OF THEMSELVES!!!!
  37.  
  38. If you bother to search, you will find "Ambuf1,et(0,21)" in no less than 17
  39. ARCserve EXE's and DLL's.
  40.  
  41. It is suggested that all ARCserve customers cease using the NT agents
  42. immediately if not sooner.
  43.  
  44.