Newsgroup: it.comp.sicurezza.varie
Titolo: se io lascio il mio ftp aperto sono a rischio?

salve a tutti.
Sono un novello del ng, e ho un quesito da porre
io lavoro su una LAN aziendal formata da 4 pc. Sono connesso a Internet da
una ADSL con IP dinamico
Ieri sera ho avuto un problema, da cui prende spunto il mio post. Dovevo
upladare un file molto pesante, una settantina di mega circa. Ho pensato di
aprire il programma di ftp (uso cute ftp 3.0), mandare l'upload a andarmene
a dormire, lasciando lavorare il computer da solo. Sottoline che l'upload
avveniva verso un'area di lavoro che la mia azienda possiede presso un
provider, e che contiene molti progetti aziendali. Ora, il mio dubbio č: se
lascio il mio ftp acceso per molte ore, rischio che qualcuno possa
introfolarsi?

 rischio che qualcuno possa introfolarsi?
Risposta veloce: si'.
Il rischio c'e', eccome, soprattutto se il server ha qualche
vulnerabilita' exploitabile, se hai creato utenti con password facili da
scoprire, e cosi' via.
Se l' ftp ti serve solo per appoggiare ogni tanto qualche file, ti
conviene farlo partire al momento del bisogno e fermarlo quando hai
finito: lasciandolo attivo aumenti la possibilita' che qualche
"malintenzionato"  si accorga che sulla tua macchina c'e' un ftp e che
questo malintenzionato provi a bucarti.
A.
icq# 18752702
 
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 scoprire, e cosi' via.
Lui sta parlando di un *client* ftp, non un server.
Quindi problemi non ne avra', almeno non piu' gravi di quelli in cui puo'
imbattersi navigando normalmente.
-- 
Saluti,
Leonardo

 questo malintenzionato provi a bucarti.
in realtà io non lasci o sempre acceso l'ftp.
Io intendevo: se lascio il programma di ftp acceso per, mettiamo, 10 ore di
seguito (tipo lancio l'uploada, me ne vado a dormire e arrivo in ufficio il
mattino dopo) corro qualche rischio?

 che qualcuno possa introfolarsi?
Vediamo un po'...
Con un attacco man in the middle, l'attaccante puo' inserirsi nella
sessione di controllo ed eseguire comandi che verranno eseguiti sul
server con le tue credenziali.
Con lo stesso tipo di attacco, l'attaccante potrebbe generare falsi
PORT, con la possibilita' di aprire porte arbitrarie da/per la rete
interna, a seconda della posizione dell'attaccante, delle modalita'
con cui il firewall/router e' configurato e da eventuali bachi.
Sono scenari piuttosto improbabili, nel complesso. In ogni caso e'
piuttosto probabile che lato server venga gestito un timeout sulla
attivita' dei canali di controllo e data che, dopo un po', termina
la sessione; quindi la finestra temporale per condurre l'attacco a
questa connessione sarebbe solo quella tra il termine del download
(sessione data) e lo scadere del timeout. Se l'attacante entra nel
canale della sessione di controllo entro questi tempi puo' poi far
durare a piacimento la connessione, resettando il timer del server
con invii periodici di comandi.
Ovviamente sono attacchi potenzialmente eseguibili qualsiasi siano
le modalita' con cui viene gestita la sessione ftp ma se questa e'
"unattended" hanno probabilita' assai elevate di passare del tutto 
inosservati.
Fabio

 canale della sessione di controllo entro questi tempi puo' poi far
a connessione (sulla 21, no?) gia' completata? A parte ISN
prevedibili....
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

mgz999 wrote:

Ok capito male O_o.
Se l' ftp non ti droppa la connessione dopo tot secondi di inattivita'
(noop a parte) credo che potrebbe esserci un problema nel caso qualcuno
prenda remotamente controllo del tuo pc, ad esempio.


 
Ma se la sessione è già instaurata non hai bisogno di prevederlo, l'ISN,
ma prevedi l'SN. Avendo possibilità di sniffare l'SN dei pacchetti in
transito, non sarebbe neanche difficile: aspetti che ci sia un attimo
propizio (fine set di comandi, server in attesa, nessun nuovo comando in
transito...), generi un pacchetto che corrisponda a quello che il server
si aspetta (i valori si SN e ACK li sai perchè hai appena visto passare
l'ack precedente), falsificando ovviamente tutti i dati di ip e porta, e
sei a posto.
La difficoltà sta nel mettersi ad ascoltare... per il resto falsificare
un datagramma e scriverci dentro quello che ti pare non è impossibile...
Così, a spanne, detto da uno che non tocca C da una vita...
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)


Praticamente un po' come se, quando sto andando a casa e passo
sotto i piloni del viadotto dell'autostrada, una macchina sbandasse,
sfondasse il guard rail e mi cascasse in testa proprio mentre passo
di li... paragone pertinente...? :-)
Danny e la pubblicita'-mito di quel chewingum

 prevedibili....
Se l'attaccante stava gia' ascoltando tutte le sessioni sulla rete 
puo' farlo in qualsiasi momento. In alternativa dovrebbe aspettare
di veder passare un ACK sulla sessione di controllo. Ovviamente si
dovrebbe trovare anche in una posizione assai favorevole, che, nel
caso di una tipica connessione ad internet aziendale ed escludendo 
attaccanti molto motivati e con fondi ingenti, si riduce ad essere
una macchina sulla lan o su uno dei router/firewall aziendali. Nel
primo caso non sarebbe un problema, per un attaccante interno. Non
ho detto che e' un giochetto, comunque... erano solo dei possibili
scenari di attacco. Ognuno, poi, gli dia il peso che ritiene.
L'ACK storm causato dalla desincronizzazione passerebbe poi, quasi
certamente, inosservato pure di giorno, nella maggioranza dei casi
... figuriamoci di notte.
Fabio

 di li... paragone pertinente...? :-)
Guarda... non credo piu' alla fola delle probabilita' quasi inesistenti
da quando una mia amica s'e' fatta un ragazzo americano su una spiaggia
americana, uno del tutto sconosciuto... e questo era un lontano parente
della famiglia di suo marito, che in un viaggio in italia sette od otto
mesi dopo, ha ben visto di tirare fuori una fotografia con un "...e poi
guarda che gnocca che mi sono fatto...".
A parte tutto...  in uno scenario di attacco dall'interno non mi sembra
poi cosi' inverosimile come scenario. In qualche realta' potrebbe anche
essere da considerare. Probabilmente non nella sua.
Fabio

 Così, a spanne, detto da uno che non tocca C da una vita...
O, be'... il necessario e' gia' tutto bello che pronto. Devi solo
digitare $ ettercap con gli adeguati parametri e...
Fabio

 una macchina sulla lan o su uno dei router/firewall aziendali.
Ecco, questo passaggio mi interessa parecchio, se non altro per
tentar di capirci qualcosa.
Quindi, se uno e' "esterno" , non puo' sniffare il traffico in entrata
ed uscita dall' IP pubblico statico di un determinato server, dico bene...?

 bene...?
Beh, no...
deve essere in un punto (esterno o interno che sia) posizionato sulla
linea di transito dei pacchetti. Per questo motivo è più facile che sia
interno, vista la vastità e la variabilità delle possibili linee di
transito.
Ma non è escluso che possa farlo anche in un altro punto... come diceva
fabio, dipende dalla determinazione/capacità/disponibilità-di-fondi di
chi attacca...


 essere da considerare. Probabilmente non nella sua.
no, infatti. FTP aperto, ma azienda chiusa. E visto che siamo in 4 in una
stanza...

 
No, in quanto tu usi un client, del resto il server FTP della tua 
azienda potrebbe cmq essere compromesso, ma non sarai certo tu a 
peggiorare la situazione con un upload anche di molte ore.

guarda che gnocca che mi sono fatto...".
"La fortuna e' cieca, ma la sfiga usa il telescopio Hubble"
Leonardo che potrebbe raccontarne di circa simili :-)
-- 
Questo messaggio e' NAGWARE. Per disattivare frecciatine, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 server, dico bene...?
Considera che quel traffico passa su delle reti e da queste reti
il traffico lo puoi leggere trovando accesso al mezzo fisico, in
un punto qualunque. Attraverso un hub, uno switch, un host a cui
ottieni accesso... od un filo spelato in una cantina o in un bel
tombino.
Senza avere accesso fisico a una rete su cui passa il traffico a
cui brami il tuo lavoro si fa assai piu' complicato, ma potresti
ancora fare affidamento su protocolli di routing obsoleti o male
configurati e router riconfigurabili quasi a piacimento grazie a 
password di default o inesistenti. Se s'ha la fortuna che i dati
che ci servono transitano attraverso dispositivi attaccabili con
qualcuno di questi sistemi, ci sono diverse chanches di riuscire
a dirottare il traffico verso router di nostra scelta o comunque
catturare il traffico utilizzando le funzioni dei router per poi
prelevarlo direttamente da una sessione telnet, ad esempio, o in
modi piu' sofisticati. 
Questo per la cattura del traffico. Se parliamo di iniettare dei
caratteri dentro connessione le cose si fanno piu' complesse. Se
si ha accesso al dump del traffico su qualcuno dei router/switch
da cui passa puoi cercare di forgiare dei pacchetti spoofati con
alta probabilita' di riuscire a inserirli dentro la sessione, di
cui vedi i numeri di sequenza. Se riesci a dirottare il traffico
su un tuo router puoi manipolare a piacimento il trafico tra gli
host, anche alterandolo, come se fossi in rete locale.
Come diceva anche skull, e' ovvio che le probabilita' d'attacchi
di questo tipo sono basse ma la fattibilita' tecnica e' comunque
tale da non potere rispondere "no" alla classica domanda "maa...
qualcuno puo' vedere le mail che scarico da internet?". Diciamo,
quanto meno, che "dipende, probabilmente no".
Fabio

 tombino.
Ad esempio:
io
collegato al mio provider tramite gateway
sniffer posizionato sul gateway legge tutto il traffico
da e verso il mio IP
Giusto?
(Giusto)
Danny che l'uomo non sara' Tarzan, ma la donna Cita.

 di li... paragone pertinente...? :-)
Ragazza ferma l'auto su piazzuola di sosta dell'autostrada,
scende, scavalca il guard rail e scende nella scarpatina per
fare la pipì. A cento metri di distanza, _nell'altra carreggiata_,
un'auto sbanda, ne colpisce un'altra, che a sua volta salta la
carreggiata, carambola frontalmente contro una terza, che
esce di strada e vola... proprio in testa alla povera ragazza.
Successa qui vicino un annetto fa :-(.
Bye, G.