Newsgroup: it.comp.sicurezza.varie
Titolo: Era "Una situazione strana" terzo episodio.

Come suggerito da Obiwan ho usato Analyzer per qualche controllo in più.
Ho seguito questi pochi passi: ho lasciato inalterati i filtri verso la rete
interna e ho "sbloccato" il traffico udp entrante sulla porta 53 proveniente
dal modem, i questa maniera sia uno sniffer che il programma sumenzionato
potevano almeno in parte fare il loro mestiere.
Inoltre ho lasciato attive le regole che inibiscono i ping in modo da
forzare i pacchetti udp nel caso fossero stati dei probe come ipotizzato da
Fabio.
Risultato dell'operazione? Ho fatto il giro dei miei soliti siti senza però
ottenere quella ormai famigerata raffica di ping e pacchetti udp sulla 53,
poi nella cronologia ho ripescato per curiosità l'indirizzo di speedera per
saperne di più e BOOM! Le raffiche sono riprese. La cosa è strana perchè
prima di avere il log pieno di questro traffico speedera non sapevo neanche
che esistesse!!.
Arrivando al sodo, tra i parametri del pacchetto mi ritrovo un bell'uno in
corrispondenza di "Request recursive service by the name server" e la
"question" è 78.59.84.82.in-addr.arpa, ovvero una richiesta relativa al mio
ip.
Chi mi spiega il questa query?

 ip. Chi mi spiega il questa query?
BINGO !!
Prima di tentare una spiegazione, dovresti provare quanto segue; modifica
la config di rete in modo da NON usare il DNS locale ma di utilizzare i DNS
del provider .. o in ogni caso configura il DNS locale per usare i DNS del
provider come forwarders, quindi .. cambia l'indirizzo IP e riprova ad fare
accesso al link "incriminato" ... se è come sospetto NON dovresti vedere
quel traffico sulla 53 ... fammi sapere... poi chiarisco cosa sto pensando
:-)


A dire il vero non capisco come l'accesso al sito di speedera possa aver
scatenato l'eventeo, e soprattuto prchè succedeva anche prima che visitassi
il loro link, forse tra le mi ricerche sarò incappato in qualche maglia
della loro rete e poi.....
Cmq sto provvedendo addirittura a disattivare il server dns, tanto al
momento non ho "lavori in corso" sospesi e a lasciare solo gli ip dei dns di
tiscali, poi mi faccio la stessa passeggiata che mi ha permesso di ripetere
l'evento e riferisco.
Ciao ciao

 l'evento e riferisco.
No .. spè .. che disattivare e disattivare !!!
Ti spiego; il mio sospetto è che speedera vedendo una richiesta
DNS diretta (ossia quasi sicuramente proventiente da un DNS)
provi a verificare se quel DNS è pubblicato e nel caso per quale
dominio (ecco il perchè della query PTR) e poi magari lo metta
"in lista" per poterlo usare per il proprio meccanismo di "boost"
Ti quadra ?!?


penso di aver afferato il concetto, allora vedo di configurare come
consigliato il dns e poi mi rimetto col popò di fuori...ops volevo dire mi
rimetto a scorrazzare in rete!
Mi metto all'opera e ritorno con i risultati.


Ok, da un primo giro di giostra sembrerebbe piů che fondato il tuo sospetto,
infatti nelle opzioni del dhcp ho fatto indicare ai client dhcp gli ip dei
dns tiscali, e la stessa passeggiate che prima scatenava la raffica di
pacchetti non si č verificata. Comunque continuo a tenere sott'occhio il
log, non vorrei aver cantato vittoria troppo presto.

 rimetto a scorrazzare in rete!
Si .. in pratica se l'ipotesi č corretta non dovresti piů
vedere quei tentativi .. che perň verranno comunque
fatti .. verso il DNS che starai usando in quel momento

Non vorrei cantare vittoria troppo presto, ma sembrerebbe che la tua ipotesi
effetivamente sia quello che realmente accade.
Cmq tengo ancora sott'occhio il log e continuo a "passeggiare" per la rete e
vediamo che succede.

 log, non vorrei aver cantato vittoria troppo presto.
Occhio ad usare DNS esterni, fallo solo per poco altrimenti
comincerai ad avere problemi di "sfoglia rete" e simili, va
bene sperimentare .. ma non esagerare :-)
Un'idea; se hai un'altro IP pubblico; potrebbe essere quella
di mettere in piedi un DNS su questo altro IP, usare tale DNS
e vedere se nei logs appare la solita "raffica"
Ciao


Vai vai :-) .. uh, a propo.. oddio non c'entra poi molto
con il thread ma potrebbe farti comodo, fai un salto
su questo sito
http://www.commontology.de/pub/adamant/
e scaricati tutto lo scaricabile, in particolare i source
e gli exe relativi a tesseract e netmon; penso che
oltre che utili potrebbero anche essere interessanti
...anche solo a scopo didattico ;-)
Ciao

 potevano almeno in parte fare il loro mestiere.
Non e'  necessario "sbloccare" le porte per poter sniffare il traffico
con winpcap se usi CHX-I (se ho ben capito quello che intendevi).
Fabio

 ha scritto nel messaggio
news:MPG.1afca69931ca685c989a7e@localhost...

 Tu hai capito bene, io invece non lo sapevo, altro tassello in più alla mia
didattica :-))
Comunque da un primo controllo sembra essere tornato tutto nella norma
seguendo le vostre indicazioni, o comunque è stata individuata la causa del
"problema".
Merçi beaucoup, e l'avventura continua!!!

 ha scritto nel messaggio
news:c6tuu8$fgu45$1...@ID-180886.news.uni-berlin.de...

Download in corso..anzi terminato, mi devo ancora abituare all'adsl!!
Rispondendo invece all'altro tuo post, purtroppo no, dispongo di un solo ip
"pubblico" e per di più dinamico, il server dns mi è tornato utile quando ho
creato più siti sotto IIS 5, e anche quello è stato a scopo didattico.
Tra stasera e domani mi spulcio i file che mi hai indicato, hai acceso
ulteriormente la mia curiosità!
Ti tengo informato e grazie di tutto.
Ciao ciao e a presto

Ho variato la configurazione, ho attivato il forwarding verso i dns di
Tiscali, e anche in questo caso non ho ricevuto la sfilza di ping e
pacchetti vari.
Tutto sembra funzionare a dovere, e anche questa volta l'abbiamo spuntata!!
Ragazzi vi devo pizza, birra, caffč e ammazza-caffč!
Grazie ancora e alla prossima!

 Ragazzi vi devo pizza, birra, caffè e ammazza-caffè!
Vabbè ... la prima volta che capito dalle tue parti ... :-)
Uh a propo .. sarei curioso di fare qualche prova, se
potessi postare (o inviarmi in mail - togli il NO-SPAM)
l'url "incriminato" mi faresti un favore ... vorrei indagare
un pochino ... ;-)
Ciao


No problem! Quando ho notato la cosa strana nel log la prima volta non ho
controllato che giro avessi fatto, nelle prove successive fatte con il
vostro aiuto, ripetevo sempre lo stesso giro, ovvero 
www.vodafone.it
,
libero.it
, 
www.speedera.com
.
Quest'ultimo è venuto fuori da un tuo post e ho notato che quando l'ho
visitato per sapere che società fosse la cosa si ripeteva puntualmente ad
ogni reload, ovviamente dopo aver scaricato cache e files temporanei.
Le prove fatte poi sono state:
 - Scheda di rete configurata manualemte con ip statico, gateway e dns di
tiscali (niente pacchetti udp/53)
 - sostituito server dns nelle opzioni ambito del dhcp, ho eliminato l'ip
locale del mio server e ho indicato quelli di tiscali (anche qui niente
pacchetti udp/53)
 - abilitato il forwarding del dns verso i server tiscali, e anche qui è
sparito tutto.
In pratica ricevevo quel traffico quando come server dns per la rete interna
indicavo solo il mio server, quindi niente forwarding e opzioni ambito
ridotte all'osso.
Fammi sapere se viene fuori qualche altra cosa, mi sono incuriosito ma le
mie conoscenze limitano di molto la mia capacità di indagine.
CIao ciao e grazie ancora.
P.S. - Pizza, birra, caffè e ammazza caffè ti aspettano!