Skype 的後門漏洞

[shenghong]

作者: mus000

有在留意相關新聞的話，大概猜得出這篇後門的文章想幹什麼了。

http://www.pczone.com.tw/vbb3/showthread.php?t=132774
【轉貼】國際電話費率聲聲降

國際話費，將進入一個全新的戰場了。
那些網路轉寄的垃圾信，不過是用來絞殺對手的手段而已。

莫名其妙被扯入
這篇skype漏洞的文章又不是在下我po的
skype的漏洞我也不清楚
我也沒轉寄相關消息
誰能保證自己的軟體沒漏洞?
而且我還去網路追追追報案查證

[mus000]

作者: shenghong

莫名其妙被扯入
這篇skype漏洞的文章又不是在下我po的
skype的漏洞我也不清楚
我也沒轉寄相關消息
誰能保證自己的軟體沒漏洞?
而且我還去網路追追追報案查證

造成您的誤會真是抱歉。
我是想引用您貼文內的新聞資料，才會用此連結的方式。
並不是說您說轉貼就需要負責。這點可能個人見解不同造成誤解。

只是想藉由該篇新聞說明，目前由於 skype 的掘起，已經開始造成固網利基被侵蝕，再加上有新的業者加入網路電話業務的經營，新的競爭才剛要開始。而且這個利基的衝擊是非常大的。

只是想提醒各位，不要被不肖業者的廣告給利用了。

對於您的誤會，再次感到抱歉。 ^_^

[不應有恨]

原來SKYPE也是跑sever-client的方式喔
那這樣的確有可能會有supernode的方式了
目的是為了幫因為防火牆等因素而無法使用的使用者
但是這有什麼關係呢?
第一如果你是所謂的supernode好了
流經你電腦的資料都是SKYPE的封包
那只不過是一些你要轉送語音而已
不會造成你的安全顧慮吧
第二如果你的資料流經其他supernode
那些可能只不過是你和朋友打屁的內容
就算被擷取了,又有何關係捏
更何況你的資料要有流經supernode的可能性
是因為你的使用環境不允許
如果你的使用環境中防火牆不擋頻寬足夠
那應該不至於會由supernode這一層才到你那邊
看起來有點過慮了吧
使用SKYPE應該還算安全

[Hermit]

作者: 不應有恨

使用SKYPE應該還算安全

GSN-CERT/CC>>最新消息>> 弱點通告：網路電話王Skype瀏覽網址就可能受駭

日期：
2004/11/16

事件描述：

網路電話新寵兒Skype正以驚人的速度征服廣大的網友，這項由 KaZaA 團隊所開發號稱近年來〝最具破壞性的通訊技術〞以超低的通話費率與市話的通話品質正要衝擊傳統的電信業。

Skype除了有方便的網路電話，尚包含了即時傳訊軟體的各種功能，諸如瀏覽網頁檔案傳輸、語音視訊、檔案傳輸、搜尋用戶以及不受防火牆限制的強大功能，算是相當引領潮流的通訊軟體。

安全組織今日公佈了該軟體含有一項緩衝區溢位的漏洞，主要是無法處理不當的URI造成，攻擊者可能利用架設惡意網站進行攻擊，只要誘使受害者來瀏覽就可能造成執行任意程式碼的後果，影響不可謂不大。

HiNet SOC建議您盡速上網更新以杜絕所有可能的威脅。

影響平台：

Skype for windows 1.x

弱點詳述：

Skype 挾著優越的網路電話(VoIP)技術以及強勢的行銷來勢沖沖，目前更積極地與硬體設備廠商合作網行動通訊市場發展，宣稱將以超優惠費率與市話般的通話品質顛覆既有的電信模式。

Skype主要具有網路電話、即時傳訊、網站瀏覽、語音視訊、檔案傳輸、搜尋用戶等等功能，更有突破防火牆限制的通訊技術。安全組織今日公佈了該軟體含有一項緩衝區溢位的漏洞，主要是其callto函式無法處理過長的URI造成，攻擊者可能利用架設惡意網站進行攻擊，只要誘使受害者來瀏覽就可能造成執行任意程式碼的後果，影響不可謂不大。

HiNet SOC建議您盡速上網更新以杜絕所有可能的威脅。

解決方法：
HiNet SOC建議您盡速上網更新到Skype1.0.0.100版即可修補此弱點
http://www.skype.com/products/skype/windows/

參考資料：
http://secunia.com/advisories/13191/

[mis339]

Dear All：

　　最近在網路上有在傳以下的這封流言，我的信箱也收到過好幾次，其實在更早以前我就有聽過類似的流言，但它是真的嗎？就我了解和收集它的相關資料後，答案是一半！

　　正確的一半是當你申請使用Skype後，Skype的確會將你當成是一個轉送站(或有人翻譯成一個節點)，也就是底下說的node。Skype也的確會因此而占用你的一點頻寬。

　　但是我認為不是很正確的另一半是，其實它提出來的質疑根本就不能只針對Skype！

1、因為Skype的技術它很清楚的提到它是採用P2P的技術，而大多數的P2P軟體本來就是採用類似Node的技術來達到資源共享和更快下載的目的，例如：BT、eMule……等。所以並不能說因為它採用這種技術就說它不安全！

2、關於網路安全這部份，各位應該知道，當你要使用網路上的某種服務時，你的電腦就必需開放某些通訊埠，例如要上WWW就得開80埠，要收信就得開110埠…之類的。而為了傳遞更大量的資料或封包，因此Skype勢必得開更多的通訊埠，它在使用說明上也有提到，只是有多少人去看過它？同樣的，很多軟體都有用到這個技術，最簡單的，大家最常用的Msn Messenger或Yahoo Messenger，也都是用這種方式，如果你只開某些埠，你可能可以文字聊天，但卻不能玩語音、視訊或傳檔，對吧！

3、至於提到很多公司禁止員工安裝Skype的事，呵∼那大家可以去問一下這些公司，他們能不能裝Msn Messenger、Yahoo Messenger或ICQ之類的通訊軟體！如果真的要安全的話，很多公司甚至規定員工不得私自安裝任何軟體呢！

4、另外網路上傳的防範方法其實也不是很正確！因為如果真的怕的話，那就全都不要裝！那有什麼裝個一兩台或是還特別申請專門的ADSL來給它用，唉∼

5、網路本身就是不安全的，上WWW也會中毒或被入侵，收E-mail也有可能中毒……重點是本身的資訊安全觀念是否正確！上網時出訊的視訊不要亂按Yes或Next，不要接收或開啟來路不明的信件，定時更新病毒碼、安裝簡易的防火牆或寬頻分享器…等。而企業要小心的話，就是要有完善的資訊安全人員和規劃！

總之，老話一句，安全和方便有時是很難兩全的！

相關網路流言有這些：

當免費的電子郵件出現時……就有人傳提供免費郵件的目的是為了竊取大家的帳號、密碼、機密和信件內容！
當免費的電子報出現時……就有人傳電子報中的HTML或Flash含有病毒或木馬程式！
當微軟提供免費的線上更新時……就有人傳微軟會透過它收集你的資料，來控告你使用非法軟體！
　　：
　　：
太多了啦，你覺得……這會是誰放出來的？呵∼

Alan


Skype技術說明 (底下有提到 node的簡易說明)
http://skype.pchome.com.tw/qa3.htm


Skype的使用條款及隱私權政策 (上面是英文，但底下有中文)
http://skype.pchome.com.tw/policy.htm



P.S.下次對網路流言有疑問時，可以先上戰警急先鋒或Pczone的網站逛逛！



--------------------------------------------------------------------------------

不知道下列文章是不是真的，不過，給大家參考
至少網路上有在流傳這種消息囉~~~


Dear all:
使用skype請大家注意下列訊息.
盡可能降低連線數量,但最好有防火牆設備(一般的NAT是沒用的)或不要用它.

若真的要使用它,請注意建議事項
1.本身使用的電腦(包括notebook)不要有重要資料,如銀行網路帳號或機密資料等
2.本身使用的電腦(包括notebook)基本防毒要更新及防毒程式也要更新(昇級)
3若是公司使用盡可能不要與企業正常網際網路專線混用.
若要使用請新申請獨立撥接adsl線路,配合寬頻分享器(NAT)設備,
就可供應多人同時使用skype.
4.不用時請關閉skype,公司內部留一兩台做為聯絡用或通知skype使用者,
5.請做好防範,將可能的危險降低.
故網路防火牆或NAT設備要做適當調整,如下
outgoing tcp 關閉,
http proxy 將incoming 關閉(無www網站)
https 將incoming 關閉

以上建議可降低風險,但防火牆的性能要注意.

下列為skype的技術網站,提供大家參考:
http://www.skype.com/help/faq/technical.html

skype的問題在下列有說明:

******* Skype後遺症，你不可不知
Skype很好用，但或許你不知道Skype可會為你的PC帶來危機。

Skype是利用User的電腦資源和網路頻寬來建立通信平台；簡單的說，只要你開啟
Skype軟體，你就可能成為Skype的平台（Super Node），來幫助其他User提供通話
的服務。

當你成為Super Node時，你可能會面臨CPU資源被佔用和Internet頻寬阻塞的情
況；同時，更危險的是，你還有被駭客入侵的危機，您的PC可能會在完全不知
情的情況下中毒或被竊取機密資料。

為何Skype的通話品質會比其他Voip的軟體來的好,因為它會藉由頻寬較大而且
是使用public ip的Super node,幫你把voice packet轉送出去,所以很多Super node多在
大學裡面,你只要使用類似personal firewall,port exproler,..........或直接於DOS執行
netstat -a -n就會發現妳會連到某大學的一台super node

另外，如果你不是Super Node時，你的隱私權就有可能會被侵犯；當你使用
Skype時，你的通話紀錄及基本資料等私人訊息有可能會在Super Node居心不良的情
況下全然曝光。

最讓人非議的是，Skype的用戶協議書全是英文，當你下載安裝時只要按下”
同意”，即代表你同意成為Skype的Super Node，日後如果你有任何損失，Skype
將概不負責。

根據了解，目前有許多企業已明令禁止員工在PC上安裝Skype軟體，其原因何
在，請你三思。

[shenghong]

網路追追追有報導了
http://www.ettoday.com/2004/12/17/91-1728388.htm

[cwy]

我的電腦常出現跳出視窗，警告skype企圖連線(norton防毒），可是我明明都已設定允許skype了，不知是不是就是有人把我當跳板？