Názory k článku
Co se stane s Windows XP připojenými přímo do internetu?

Spomínam si, že raz som pripojil priamo do internetu s verejnou IP, bez akéhokoľvek firewallu, AIX. Ak si dobre spomínam, jediným následkom bolo, že root mal v schránke tisíce spamových správ. Fascinujúca bola rýchlosť s akou sa objavili (rádovo minúty). Evidentne tam číhalo množstvo botov scenujúcich IP adresy a hľadajúcich otvorený sendmail.

To mě úplně nepřekvapuje... přesně tak začala moje Linuxová éra, když jsem tehdy dostal veřejnou IP adresu. A počítač s Win XP během pár hodin šel do BSOD (při odstranění forwarding pravidla na routeru problém zmizel). Jenom tehdy to bylo ještě supportované, ale nefungovalo to úplně stejně :-)

Cítim sa byť starý, keď toto čítam.

"několik minut počkal a nestačil se divit."

Pán bude asi nějakej neználek, protože přesně tohle se dalo čekat....

Takhle se těď píší nadpisy článků. Vědci už nemohou experimentálně ověřit svou teorii. Nyní musí povinně provést experiment a pak být v šoku.

Píše "YouTuber", ne "vědec" :-D

Ano, tohle se stávalo s WinXP až do SP2 nebo možná 3, který už měl FW v okamžiku instalace zapnutý. To se nedalo bez hacknutí na veřejné IP adrese nainstalovat. Jenže to je fakt hodně dávno.
Všechny další verze (Vista, 7, ...) už ten FW mají v okamžiku instalace aktivní a default je, že z venku nic není povoleno.
Do průšvihu vás v této konfiguraci ovšem může dostat třeba SMBv1 nebo cokoliv, to je ale už o něčem jiném.

Pro zajímavost, když do internetu připojíte hodně starý OS, tak vám ho taky nehacknou. Nevyplatí se jim prodlužovat skript kódem, který funguje jen na 0,1 % počítačů.

Na Windows XP jede on-line celá firma, žádný problém neregistrujeme. ..

29. 7. 2024, 16:22 editováno autorem komentáře

A mate to take bez FW a na verejne IP?

Jak jsem psal tak na Windows XP jede celá firma a když se koukám do PC u dodavatelů IT, tak tam vidím opravdu prahistorický software na bázi DOS s tiskem faktur apod. jen na jehličkovou tiskárnu. Pro jednu velkou firmu dokonce udržuji flotylu i386 a nemůžou si je vynachválit, neboť nehrozí zcizení software a nízká spotřeba el. energie. Ale bohužel výrobci software nás tlačí k přezbrojení na soudobější software - viz. můj dotaz v "PORADNĚ" FÓRA ROOT.CZ (odpovídám na otázku: FW, VPN, Antivir NORTON u Windows 7 a u Windows XP IObit hojně používaný v USA a CCCP). V poradně se dotazuji na doporučení soudobějšího OS mimo Windows 11.

Tak dlouho se chodi se dzbanem pro vodu, az se ucho utrhne ;-) Takovejch hrdinu uz bylo... pro priklady nemusime chodit daleko, spitaly staci.

To je asi důvod proč většina ISP blokuje port 139 apod.

Porty 136 až 139 + 445. Ale ani pak nemáte jistotu... ;o)

Tato nastavení moc nechápu, hlavně ne pokud se nedají např. v panelu zákazníka jednotlivě vypnout.

Pokud má ISP takovou starost, mohl by uživatele notifikovat, že má otevřený ten a onen port a že to asi úplně nechce a proto je to standardně blokované. Že by si to měl ve vlastním zájmu nějak ošetřit. Pokud to chce na své nebezpečí povolit, tak si to může ve svém profilu upravit.
Třeba chce někdo dělat honeypot...

Bohužel se to skutečně děje. Stejně tak ISP často bez varování unášejí třeba port 25. A to je snad ještě víc napřesdržku, než tohle.

Pamatuju v začátcích, kdy jste neměli dovoleno odesílat e-maily jinak než přes vašeho poskytovatele internetu. Měli jste často dokonce CD s "instalací internetu". Práce ajťáka, kterého jste si zavolali, byla zde nastavit v Outlooku SMTP vašeho nového poskytovatele internetu.

Připomnělo mi to částečně podobnou věc, druhá častá chyba bylo zapojení tiskárny do jiného USB portu a Windows potřeboval, abyste znovu pustil instalátor ovladačů, aby ten se zaregistroval i na nový USB port :-D

Jsem se pár měsíců živil jako ajťák na zavolání. Takže mám dost vzpomínek na BFU :-)

IMHO by ISP vůbec neměl do toho provozu takhle zasahovat. Pokud se připojuji k internetu, měla by ta síť fungovat.
Ještě bych přidal oblíbené blokování tunelových protokolů, které spolehlivě odstřelí nejen VPN, ale IPv6 tunel (kde to ISP neumí...).

Však taky by to neměl dělat ISP ve své síti, ale maximálně na hraničním firewallu zákazníka - to je v podstatě správné místo, kam taková pravidla patří (a kde se dají i snadno vypnout).

• Orinoco WiFi karta v PCMCIA slotu v PC
• tlustý dielektrický kabel na střechu
• velká 24 dB anténa na střeše
• PC s Windows (bylo to 95 nebo 98, už nevím)
• přídavná LAN karta aby Internet fungoval i na druhém PC, pokud to první jelo
• tehdy se to tak běžně provozovalo, ale dnes by to bylo rychle zbořeno útoky z Internetu

Tehdy? V zásadě se to až tolik nezměnil

Tu veřejnou IP rovnou na rozhraní v počítači měli takhle téměř všichni :) Pamatuju si, že až když jsem pak chtěl blbnou s více počítači a sdílet připojení, tak jsem si chvíli hrál s Winproxy, nebo jak se to jmenovalo, a pak před to slavnostně předřadil nějakou šlupku s FreeBSD a s použitím 3com síťovek po coaxu udělal první LAN. Nakonec mě s tím doma stejně vypakovali, protože to další PC pořád hučelo :)

Jinak i dnes se s tím rozhraním s veřejnou IP dá setkat, třeba na notebocích co mají LTE modem, ať už interním nebo přes USB. Akorát už ten default není tak optimistický a je tam aspoň stavový firewall, co nepovoluje příchozí komunikaci.

Na celém pokusu z článku mě vlastně nejvíc překvapilo, že ty skenovací boty pořád detekují systém Windows XP, RPC porty a zneužívají související zranitelnosti. Člověk by si řekl, že už je to víc jak 10 let mrtvý systém, a že už ta pravděpodobnost úspěchu na těchhle obskurních konfiguracích bude relativně malá.

Nooo, chcel by som vediet kolko bankomatov bezi na WinXP. Takze je to stale zaujimavy ciel.

Ale no tak, bankomat není na veřejně dostupné síti (podobně jako spousta jiných průmyslových XP).

Rovnako ako sa ISTO testuje vzorka pre antivir ze? Niekto sa uklikne v nejakej blbej konzole a zrazu sa objavi nejaky bankomat na sieti. Verte mi. Dnesne IT je jeden velky bordel a cloud to este znasobuje.

Nooo, chcel by som vediet kolko bankomatov bezi na WinXP. Takze je to stale zaujimavy ciel.

To sice jo, ale tohle snad nikdy nebylo veřejně dostupné z internetu, ne? Tam jde fakt o peníze a v obecné rovině mi přijde, že třeba banky to zabezpečení braly vážně daleko dřív, než to přišlo i do firem v ostatních sektorech.
Já spíš přemýšlel, že to mám možná zkreslené pohledem z ČR a Evropy, a možná jsou kouty světa, kde můžou mít i po těch letech Win XP nezanedbatelný podíl. Byť celosvětově už to moc nehodí.

30. 7. 2024, 10:56 editováno autorem komentáře

Moc ne, tam jsou většinou ještě nějaká starší NTčka... :-)

možná kvůli auditorům. U nás se taky auditor s oblibou ptá na kterých embedded systémech jsou XPčka a co s nimi uděláme. Na ty CEčka, co tu běží na profesionálních entrprajs zařízeních, se neptá :-)

Tie notebooky s LTE nie su az taky problem.

Na LTE budete by default za CGNAT. Verejne IP su na vyziadanie.

A ked vam aj ISP prideli verejnu IP, tak mnoho LTE modemov nie je bridge, ale interne router a na interface pre pocitac prideli privatnu IP a NAT-uje. Niekedy je to az na slaktrafenie, bud prehovorit modem, nech bridguje, alebo vobec najst taky, ktory sa da takto prepnut.

No a ked uz mame verejnu IP, bridgovanu, tak zistime, ze operator aj tak ma cestou firewall, ktory prepusta zvonka len established, related. Kedze LTE linky su merane, zakaznici asi nie su nadseni nevyziadanym trafficom, ktory treba zaplatit.

Jo s tím CGNATem máte dneska samozřejmě pravdu.
Ale asi bude i dost záležet na operátorovi, případně typu smlouvy. Hodně jsem tyhle věci řešil během corony, zařizoval vzdálené přístupy z chalupy atp. a setkával se s rozličnými konfiguracemi u různých lidí. A byly tam i třeba i zmíněné LTE modemy (integrované v NTB) s veřejnou adresou, šlo např. o firemní účet a SIMky.

Ale můj hlavní point v předchozím postu byl spíš v tom, že nehledě na připojení se i Windows za tu dobu od XP (naštěstí) posunuly a pokud tam necháte výchozí nastavení, tak to máte jako public network, kde je z venku zafiltrovaný i ping.

Co je to "dielektrický kabel" ;-) ?

no nevede :)

Opticke vlakno?

Toto zkoušeli dvacet let zpátky, ne-li déle.

A ne nějak ledabyle. Připojili k Internetu celou LAN plnou kompů s různými OS a různě málo zabezpečenými (otevřené porty apod.)

A hleděli...

Tehdy ještě ale to překvapení (nad prvními přístupy v řádu minut, padlými stroji v řádu hodin) trochu chápu.

Žádné překvapení. Před nějakými 19 lety jsem měl notebook s dualbootem WinXP a linux. Jednou jsem na FI MU potřeboval pustit něco ve Widlích a tak jsem po nějakých 2 měsících přebootoval na školní síti do WinXP. Ani ne za 15 minut mi přišel mail, že mám teď nevím jestli na měsíc nebo na 3 měsíce zablokovaný přístup do školní sítě, protože můj stroj skenoval porty... Od té doby jsem na fakultě Widle už nikdy nenabiotoval...

Vsak bolo treba oponovat ze to bola priprava na diplomovu pracu 'etickeho hackingu' ale ze nabuduce pouzijete arp poisoning na vedlajsi stroj ak im to tak vadi.

Windows XP byl poslední operační systém Microsoftu, kde výrobce předpokládal že uživatel je kompetentní. Ve Windows Vista nastala velká změna - Microsoft si konečně uvědomil, že uživatel je velmi často zcela nekompetentní a celý systém tomu postupně začal přizpůsobovat. Proto se nelze divit, že Windows XP ( aktuálně 10 let bez podpory ) jsou takhle děravý.

Pokud by tam ta závislost byla, tak spíš opačná – kompetentní uživatel si nepořídí děravý systém.

Každopádně to, že se systém připojí do internetu (plnohodnotně, na veřejné IP adrese a bez firewallu) a bez problémů to ustojí, má být normální. Samozřejmě nemusí ustát nějaký DDoS na kapacitu sítě nebo výkon systému. Ale nemá být náchylný na to, že se někam dostane uživatel, který k tomu nemá oprávnění, nebo nějaká podvržená data způsobí nějaké spuštění kódu, získání dat, pád služby a něco takového.

Ten systém byl vydán v roce 2001. V tu dobu jsem měl doma 28.8kbps modem a v práci nás asi 8 sedělo na 64kbps ISDN a právě v roce 2001 se to navyšovalo na 128kbps. Dnes máme jiné potřeby a taky jiná očekávání ohledně bezpečnosti, ale je potřeba to vnímat v kontextu doby, kdy ten systém vznikl. V tu dobu nebylo běžně připojení k internetu ani ve firmách, natož v domácnostech. Bezpečnost nebylo téma …. v tu dobu se prakticky nešifrovalo - i na servery se tehdy běžně přihlašovalo telnetem a ssh byla úplná novinka

Pokud se bavíme o bezpečném systému, tak jedna věc je samozřejmě jeho architektura ( kde byl Microsoft objektivně horší ), ale klíčové jsou aktualizace. Hejtit tu víc jak 20 let starý systém z pohledu bezpečnosti je jednoduše nesmysl. Je to stejné jako vystrčit takhle ven standardní nezqbezpečenou instalaci Debianu Woody a pak být překvapen, že to někdo hacknul. Jediné co by takovou instalaci ochránilo je paradoxně stáří, nikde už taková věc nejspíš neběží a tak nikdo ani nezkouší exploity, protože je to ztráta času. Oproti tomu podíl instalací s unsupported Windows je hodně a chytráků s vypnutými aktualizacemi ještě víc.

Myslím, že to máte trochu posunuté, Windows XP byly systém, který s internetem jednoznačně musel počítat a počítal. Připojovat se tenkrát na server telnetem by mne vůbec nenapadlo, ani v lokální síti.

Ale souhlasím s tím, že tenkrát ještě nebylo tak samozřejmé, jako dnes, že každý operační systém musí být hned v základu zabezpečený, že to není žádná volitelná vrstva, která se přidá dodatečně, pokud je potřeba.

Nicméně já jsem ani tak nechtěl kritizovat mizerné výchozí zabezpečení Windows. Šlo mi spíš o to, že i dnes má spousta lidí mylnou představu (asi právě po historických zkušenostech s Windows), že použitelný operační systém je nutné po instalaci nějak zabezpečovat. Každou chvíli se někde někdo zeptá, jak má nastavit firewall. A když odpovím, že to musí vědět on jako správce, podle toho, jaké tam chce provozovat služby, a že pokud to neví, tak žádný firewall nepotřebuje – a vždycky se na mne spousta lidí dívá jako na blázna, jak by mohl fungovat počítač bez firewallu.

Chtěl jsem tedy říct to, že je normální, že po instalaci operační systém nepotřebuje žádný firewall, například i proto, že tam neběží žádné síťové služby. I nějaké SSH či RDP by se mělo automaticky startovat jenom tehdy, pokud jsem to při instalaci explicitně vybral. Samozřejmě pak pořád zůstane ještě útokům vystaven samotný síťový stack operačního systému, ale tam už těch chyb v historii nebylo tolik.

Nemyslím že to mám posunuté. První stable release openssh byl začátkem roku 2000. V roce 2001 rozhodně nebylo připojení na server přes ssh standard, protože kromě nejnovějších systémů tam ta podpora nebyla. Ostatně mám pocit, že do nějakých serverů se SuSE a RedHatem jsem to tenkrát dokompilovával.

Ano XP počítalo s připojením k internetu, ale určitě ne v režimu na veřejné IP bez firewallu. A ano, je chyba Microsoftu, že tam by default startovaly některé služby naslouchající ven a bez restriktivního firewallu. Ale ten problém byl z mého pohledu mnohem palčivější u Windows serveru 2003, kde se běžně stávalo, že než stihl člověk nainstalovat záplaty a trošku to zabezpečit, tak často nebyl jediným adminem systému - a u serverové edice se samozřejmě s během na veřejné IP počítat mělo. Naštěstí si tuhle chybu pánové z Microsoftu uvědomili, takže novější systémy tímhle problémem netrpí. Zkušenost prostě nelze ničím nahradit.

"Windows XP byl poslední operační systém Microsoftu, kde výrobce předpokládal že uživatel je kompetentní."

To musím dost nesouhlasit.

95, 98 i XP se právě snažili dělat hromadu věcí za uživatele nebo za jeho zády. A skrývat před ním důležité věci.

Takže strategie MS mohla být cokoli jiné, ale toto tam určitě nehrálo důležitou roli.

Standardně byl uživatel admin, Vista a novější mají UAC. Kdykoliv se něco potřebuje admin práva, tak je to vidět.

Zábavná představa... Microsoft nikdy nepředpokládal kompetentního uživatele, naopak celý svůj marketing kolem Windows i Office od začátku staví na tezi, že počítač může používat naprosto kdokoliv, aniž by se musel cokoliv učit.

Nabúral s Feliciou a čudoval sa, že mu nevystrelili airbagy...

Lebo tam žiadne neboli (obvykle! mal som kedysi jednu aj s 2 airbagmi, ale to bol dovoz z Nemecka. V ČR/SR tak drahú výbavu nikto nekupoval).

Edit: spomínam si, že takéto články o rýchlom napadnutí Win XP napriamo pripojených do Internetu som čítal už mnoho rokov dozadu. Takže toto tu je len niečo ako overovanie, že vyfukovaním cigaretového dymu do vody zlato naozaj nevzniká.

30. 7. 2024, 12:47 editováno autorem komentáře

tady jde spis o overeni, ze porad se deji utoky na zranitelnosti winxp, i presto ze by se dalo ocekavat ze winxp uz hackery zajimat nebude, kdyz je 10 let po zivotnosti.

To by bylo právě zajímavé zjistit, zda jsou to útoky specifické pro Windows XP, nebo jestli jsou to nějaké zranitelnosti, které byly i v dalších verzích (třeba i Windows 10 či 11), akorát tam na něj existují záplaty.

Ony to budou spíš útoky na Windows (obecně) - ale ta XP-čka holt nejsou obrněná.

Ja by som to ani nenazval utoky. Ved sa mu vypli vsetky bezpenostne prvky.
Je to ako dat na otvorene ssh meno a heslo root admin a potom sa divit nad tym ako je debian zle zabepeceny.

Ja by som to ani nenazval utoky. Ved sa mu vypli vsetky bezpenostne prvky.
Je to ako dat na otvorene ssh meno a heslo root admin a potom sa divit nad tym ako je debian zle zabepeceny.

XPcka maji integrovany firewall, jen ho musis rucne zapnout, kdyz to udelas, vsadim si, ze to nikdo jen tak nehackne. Ale neudela se to samo.

I u win 7 byly bydefault do site otevreny smb, rpc ... a dalsi porty. Tzn opet to snadno napadnes, pokud to nekdo rucne nezmeni.

Od w10 se sudruhovia alespon ptaji, jestli chces nebo nechces. Typickej BFU to ale povoli, a tudiz je lze napadnout uplne stejne. Jen tam pribyla pravidla na tema "jen lokalni sit" (coz je neco co win stejne nepoznaj).

Jakejkoli "utok" zacina tim, ze cuchometr ocucha co je tam za system. A pak zacne testovat co se stim pripadne da nebo neda delat. Vetsina systemu i aplikaci na sebe praskne zdaleka nejen nazev, ale i spoustu dalsich informaci vcetne verzi, takze aplikovat spravny script na spravnou diru je jen o jeho vyberu.

Typickej BFU to ale povoli,...
Typickej BFU to povolí buď hned, nebo až ve chvíli, kdy mu něco nepůjde a poradí mu to podpora jeho oblíbeného VoD operátora.

Je to jinak: vlezl do Felicie, vymontoval airbagy, potom tu Feldu naboural a divil se, že mu nevystřelili airbagy.

Protože, kterej normální člověk vypne firewall u jakýhokoli stroje!

Scenka zo zivota: dieta sa chce hrat po LANke doma na PC hru a nejde to. Vypnutie FW zazracne problem riesi.

Mozte sa zamysliet nad risk analyzou odovodnujucou naklad spocivajuci v hladani, ako FW spravne nakonfigurovat.
(to PC takto ostalo roky bez ujmy :) )

To nemusi hrat po LAN a nemusi mit winXP .... ve FAQ kazdy jedny hry kazdyho jednoho dementniho tvurce najdes na prvnich trech mistech "vypnete firewall" a "pustte to as admin".

Kazda jedna aplikace kterou do widli nainstalujes si pak typicky pridava do firewallu svoje pravidlo, povolujici prichozi porty, ackoly je ta vec uplne offline, a pokud vubec nejak komunikuje, tak smerem ven.

Tuhle "objevnou" zprávu jsem viděl už před několika měsíci. Okurková sezóna si vyžádala její exhumaci?

Aktivně provozuji ještě celou smečku XPček a občas, pro zajímavost některé sjedu live antivirem. Posledních 15 let jsem na nic zajímavého nenatrefil. A to uvnitř těch XPček neběží žádný runtime antivir.

Nicméně, ta XPčka jsou velmi výrazně upravena už před instalací, pomocí nLite a pak jsou tam tam stovky dalších úprav ve službách, registrech, politikách. Samozřejmostí je Admin vs (ne power) User účet.

Nemají veřejku, většina je za Turrisem, nebo jiným Linuxovým FW/GW.
Nemají zapnutou službu server, ani takové bazmeky jako "sdílenou síťovou schránku".
Většina běží jako virtuál nad Linuxem a slouží především pro spouštění výukových programů, které je problém uchodit na čemkoliv jiném.

Ale kdybych chtěl dělat "senzaci", tak bych věděl jak to udělat, aby je za pár minut někdo prostřelil.

A ted ruku na srdce... kolik lidi podobne veci poctive udela? ;-) Drtiva vetsina tech chytraku se vydesi, kdyz treba regedit uz jen spusti... natoz aby v tom neco lovili.

Mě je vcelku jasné, že takový tunning těm XPčkům dělá málokdo. Ty úpravy se postupně skládaly spoustu let a mnohdy se při tom nástroje ze Sysinternals pěkně zapotily.

Především jsem chtěl sdělit můj pohled, že ten odkazovaný experiment je provedením hlavně PR záležitost, než něco smysluplného a že i XPčka jdou provozovat bezpečně i dnes. Samozřejmě s některými omezeními, které vás mohou, ale i nemusí, trápit.

V obecne rovine je to vzdy o nejake akceptaci rizika a prijmuti adekvatnich opatreni. Sam treba priznivcem provozu "skanzenu" moc nejsem. Ano, jde prijmout vhodna opatreni a i ten skanzen ukocirovat - ale to fakt musi delat clovek, co fakt vi co dela... a neni uplne optimalni se obecne tvarit, ze to jde "v pohode"... kdyz v realu je to pomerne slusny opruz. V mnoha lidech to muze vzbudit falesny pocit bezpeci.