Newsgroup: it.news.net-abuse
Titolo: poco [OT] - proxy

 Una informazione tecnica, please!
Ho letto la guida di Collinelli ed ho incontrato concetti nuovi che ho
altrove approfondito. Non capisco però una cosa dei proxy. Servono, ho
capito, a conservare le pagine web (mi riferisco ai proxy http) per un più
agevole reperimento delle stesse. Solo che se mi connetto a quel determinato
proxy ecco che lui girerà la mia richiesta di connessione al sito X
sostituendo al mio ip il suo. Io non capisco il perchè di tanta "generosità"
verso alcuni malintenzionati. Inoltre leggo che ci sono proxy anonimi e
proxy non anonimi: forse alcuni fanno la scelta (più o meno consapevole) di
garantire un certo anonimato a chi vi ci si connette?
Grazie

 garantire un certo anonimato a chi vi ci si connette? 
ma va là :) Tutta altra storia.
-- 
Ciao, Dmitry
Posted from X-Privat Free NNTP server - 
www.x-privat.org

 C'e' poco da capire: o sono mal configurati o sono honeypot
                                                     ^^^^^^^^
http://www.tracking-hackers.com/solutions/honeyd/


 la richiesta di provenienza, ovvero il tuo IP.
Quiindi questa sarebbe la differenza tra proxy anonimi e proxy non
anonimizzanti?
Ciao e grazie

 C'e' poco da capire: o sono mal configurati o sono honeypot
Cosa significa, in breve, che sono "honeypot"?
Quindi stai dicendo che abbiamo:
- proxy che anonimizzano nel senso che mascherano il tuo ip volutamente
- proxy mal configurati
- proxy honeypo (che non so cosa siano)
- proxy che non mascherano l'ip
Grazie e ciao

 - proxy che non mascherano l'ip
Ovvero, solo ed esclusivamente proxy, senza la pretesa di anonimizzare
nulla.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 E quelli che non lo sono a cosa servono?
Proxy di filtro, ad esempio.
Io giro con doppio proxy: privoxy che filtra le richieste, e solo quelle
che rispondono ai criteri, le gira a squid.
Squid ha la cache, privoxy la potrebbe avere, ma l'ho settato senza.
Oppure semplicemente proxy di transito, utili per far uscire le
richieste di navigazione da una rete locale in modo piu' *pulito*, 
semplificando la configurazione dei firewall.
Ovvio, di solito, la cache ha una sua importanza nel limitare le
esigenze di banda della rete, ma possono esistere anche senza cache.


 server gironzolando a suo piacimento.
No, ormai da parecchio tempo la maggior parte dei proxy sono attivati
da trojans - o worms arrivati via mail, oppure attivati dall'utilizzatore
della macchina mediante un "click" usando un browser.
Il possessore della macchina e' del tutto inconsapevole di quello
che fa il suo PC, e una gran parte di essi - una volta resi
consapevoli dell'accaduto ad esempio dal proprio provider - non muovono 
un dito per modificare lo stato dello cose in quanto probabilmente
nemmeno capiscono vagamente quanto viene loro spiegato.
[ In un certo senso giustamente: sono anni che l'industria cerca
  di vendere il PC come un elettrodomestico, e alla fine in molti
  lo hanno comprato come se fosse un elettrodomestico, aspettandosi
  un livello di complessita' moderato.   Permettendo ad un utilizzatore
  qualsiasi la facile apertura di servizi affacciati alla rete, Windows 
  e' uno degli errori di ingegneria piu' clamorosi che siano mai stati 
  effettuati, e i nostri nipoti lo verranno citato sui libri in modo 
  simile al celeberrimo Takoma bridge ].
furio ercolessi

 nemmeno capiscono vagamente quanto viene loro spiegato.
MI domnado, a questo proposito: ma la legge davvero può punire per
negligenza un tale utilizzatore? Se ad esempio il suo proxy viene utilizzato
per un atto criminoso e questi non è in grado, ovviamente, di loggare nessun
traffico che lo "attraversi", potrebbe essere ritenuto responsabile? Eppure
sto poveretto ha la *sola* colpa di essere ignorante!
Infine, in un caso come quello sopra citato, non si potrebbe indagare presso
il mio provider? Nei suoi log non dovrebbe risultare che un  utente si è
connesso alla porta 80 del mio inconsapevole proxy server per poi riuscire
su  internet verso quel determinato tyarget? O i provider non loggano tutto
ciò (gli ip  dei siti che visito o degli utenti che, in qualche modo mi
"visitano"?
Grazie

 tale filosofia, grazie. :-)
ce ne sono anche di un altro tipo che son l'ideale per qualche bischerata
basta non farla troppo grossa, perche' di certo non posson correre dietro a
un bischero qualsiasi e daltronde non posson nemmeno chiudere. Sono proxy
aperti mai blacklistati da alcuno (il che la dice lunga) che abbondano
dalle parti di taiwan ma anche in altre parti del pianeta; di chi siano e a
cosa servano alla Vs fervida immaginazione :)
Il rat-man ne ha utilizzato uno per un po' poi e' sparito - che l'abbiano
soppresso no, ma il proxy belle che aperto e' ancora li (e rat-man no ma
questo e' un dettaglio) ;).

 essere ignorante!
La legge non ammette l'ignoranza. Sussistera', al limite, una condizione
attenuante, che mitighera' l'eventuale pena.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

 "visitano"?
No, i provider non loggano le connessioni entranti verso IP di
clienti, salvo in caso di investigazioni "mirate" su determinati IP.
Il volume di dati associato a logging generalizzato sarebbe immenso; 
gli investimenti da fare sui routers e sullo storage considerevoli; se un 
ISP si mettesse a fare questo andrebbe o in bancarotta o fuori mercato (a 
seconda di cosa decide di fare sul listino) nel giro di qualche mese.
furio
PS le porte usate dai trojans sono random e coprono tutto il range
1024-65535.  Proxy aperto su porta 80 (o 8080, o 3128) e' ormai molto 
raro, gli spammers li hanno consumati tutti l'anno scorso.

 raro, gli spammers li hanno consumati tutti l'anno scorso.
Allora come si fa a sapere se il proprio pc ospita o meno un server proxy
(http, socks, ecc)? In altre parole, firewalling a parte, se ho un ip ed una
porta, come faccio a sapere se il mio pc funziona da proxy per qualche
malintenzionato?
Grazie

Sgranocchiando il cranio di Daniele, vi trovai inciso:

purtroppo non c'è una risposta facile...
l'unica soluzione è imparare a capire cosa la tua macchina stia facendo.
C'è software che indubbiamente aiuta (firewall, antivirus, ids... ognuno
previsto nella variante "personal" -chissà che vorrebbe dire- dai vari
produttori) ma il rischio di usarli senza capire cosa fanno, come
funzionano, ecc. è quello iniziare, invece, a sparare in modalità
raffica a ogni cosa si muova...
i frequenti flame su it.comp.sicurezza.varie dovrebbero esere da monito,
ma pare non vada di moda...
Ciao...
-- 
Afterlife confessions
Tell me who you used to be
Looking on in wonder
As I show you it was me

 malintenzionato?
Secondo gli ISP consumer che se ne occupano (alcuni non se ne occupano
proprio..) sembra che in pratica l'unica metodologia che porta a dei
risultati e' quella di staccare l'utente, o ancor meglio chiuderlo in
una "intranet felice" (per gli altri) da dove puo' scaricare solo tools 
di disinfezione e accedere a 
www.microsoft.com
.
Credo che Telia si stia muovendo in questa direzione e probabilmente
lo faranno in tanti nel corso dell'anno, essendo che il tasso di
crescita delle infezioni sta aumentando (vedo che ad esempio DSBL
sta ora superando i diecimila IP al giorno in termini di tasso di
crescita).
furio

 di disinfezione e accedere a 
www.microsoft.com
.
Ma come rilevano gli host abusati? Solo in base alle segnalazioni o...
Fabio


dato il volume di traffico implicato in uno spam run, anche senza
considerare le segnalazioni alla mailbox abuse, credo che sia
possibile avere delle ragioni suficienti per chiudere il cliente in
gabbia semplicemente analizzando i log del traffico tcp/ip e
DNS. Picchi di pacchetti SYN in uscita sulla porta 25, traffico in
entrata sulle porte sospette, traffico DNS, soprattutto reverse (dato
che il reverse lookup al client SMTP viene fatto frequentemente dai
server durante una transazione SMTP) dovrebbero essere tutti dei bei
campanelli di allarme, almeno per una indagione più accurata, nmap
alla mano.
-- 
ciao | Con servizi di redirect tipo 
http://tinyurl.com
 
http://snurl.com
 
cf   | 
http://makeashorterlink.com
 puoi accorciare le URL. Includi però
-----+ anche i Message-ID degli articoli archiviati a cui punti, perché 
altrimenti se questi servizi dovessero sparire la referenza verrà persa  

 alla mano.
Non ho una grande conoscenza di questi troiani, ma non ne potrebbero 
esistere tipi che anziché aprire una porta in ascolto e attendere la 
chiamata tentino attivamente di connettersi al master?
In questo modo una scansione con nmap non potrebbe rilevare nulla di 
sospetto.
Ciao
  David
-- 
<d.santinoli presso mi. flashnet. it>

 più accurata, nmap alla mano.
Certo sono indizi, alcuni dei quali anche tipici di alcuni p2p. Le "porte 
sospette" potrebbero essere molto difficili da identificare. Il problema
e' passare dagli indizi ad una identificazione certa nel rispetto delle
norme vigenti e del contratto con l'utente.
Fabio


Uno scanning puo' essere fatto a scopo di prevenzione (e molti lo
fanno, vedi ad esempio 
http://sec.rr.com/probing.htm
 ).
Una volta che un proxy aperto viene abusato, arriva un flusso di
segnalazioni (soprattutto da SpamCop, AOL[se si vuole] e Hotmail)
come un torrente (vedi ad es. 
http://listserv.nic.it/listserv/abuse.html
 )
e dunque la questione e' del tutto banale.
Se un ISP le ignora, e' perche' ha fatto una scelta in questo senso.
furio ercolessi

 sospetto.
Infatti, e' proprio cosi'.  Ce n'e' anche di questi.
E' anche per questo motivo che stiamo catalogando tutto lo spazio IP
e bloccando tutte le aree identificate come consumer-no servers:
ho l'impressione che le liste proxies diverranno via via
sempre meno utili nel corso dell'anno.  Tuttavia vanno ancora
alla grande perche' la maggior parte degli spammers usa trojans "passivi".
furio ercolessi

 Se un ISP le ignora, e' perche' ha fatto una scelta in questo senso.
Il solito, insomma ;-) Chi e' causa del suo mal...
Fabio
[1] magari ci sono e non li ho visti.

 host che eseguon la scansione.
Sono ben nascosti nel titolo della pagina:
"Why did 
securityscan.sec.rr.com
 probe me?"
:-)


 :-)
Be', l'avevo messo in nota, eh? :-)
In ogni caso, proprio a voler esser pignoli, scommetto che anche
questi ci mettono del loro per le rispettive aree di competenza:
fscan.sec.rr.com
fscan1.sec.rr.com
customerscan.sec.rr.com
ma non sono indicati.
Fabio distratto

 si parlasse di cio', nello specifico).
Scusate l'ignoranza, ma non ho ben capito come funziona questo scanning.
Qualcuno gentilmente me lo spiegherebbe?
Grazie

 essere ignorante!
Se io non so guidare e non ho la patente, eppure salgo su una
macchina e metto sotto qualcuno, la mia è *solo* ignoranza ?
Perché un "atto criminoso" commesso con un'automobile
dovrebbe essere diverso da uno commesso con un PC ?
Bye, G.