[LUG.ro] Una falla en Java pone tu PC en peligro

[Ezequiel Garcia]

2012/8/30 Emiliano Gavilan <emilianogavilan en gmail.com>:
> El día 30 de agosto de 2012 13:58, Ezequiel Garcia
> <elezegarcia en gmail.com> escribió:
>> 2012/8/30 Ezequiel Garcia <elezegarcia en gmail.com>:
>>> 2012/8/30 Emiliano Gavilan <emilianogavilan en gmail.com>:
>>>> El día 30 de agosto de 2012 11:07, Ezequiel Garcia
>>>> <elezegarcia en gmail.com> escribió:
>>>>> 2012/8/30 Emiliano Gavilan <emilianogavilan en gmail.com>:
>>>>>> El día 30 de agosto de 2012 10:35, karurosuros <karurosuros en gmail.com> escribió:
>>>>>>> A pesar que en algunas notas incluyen al Linux. Será corriendo Wine ?
>>>>>>
>>>>>> No, java corre nativamente en linux
>>>>>>
>>>>>
>>>>> yo no sé mucho de seguridad.... pero a menos que corran el navegador como root
>>>>> no veo que puede pasar, que no sea "rm $HOME".
>>>>
>>>> Ponerte un keylogger y robarte contraseñas, monitorear todo lo que haces,
>>>> robarte tu anillo de claves gpg/ssh, y un larguísimo etcétera
>>>>
>>>
>>> Un keylogger? Sin acceso root? Cómo?
>>
>> Cómo dije, yo no sé mucho de seguridad, así que me encantaría que
>> explicarás (de verdad)
>> cómo te parece que se puede vulnerar el equipo, en un caso cómo este.
>
> En X11 es trivial, ya que los eventos pueden ser capturados, enmascarados, etc.
> Para que te des una idea, una aplicación no recibe la combinación de teclas
> Alt-Tab para circular ventanas o Control-Fn para cambiar de escritorios que
> si las intercepta en window manager y las enmascara (no se propagan).
>
> Una aplicación que anda esta aca, es pequeña y se puede estudiar el código:
> http://www.nullsecurity.net/keylogger.html
>

Buena data. Veo que no hace falta ser root.

O sea que si alguien se te mete en la máquina, te descarga el binario,
lo pone en .bashrc,
loguea, y lo manda por mail, te roba los passwords.

La joda entonces es entrar, no importa que sea root o no.

Gracias,
Ezequiel.