Newsgroup: it.comp.sicurezza.varie
Titolo: adsl di virgilio e porte aperte (da loro)

il router dall'esterno con libero in dial up) delle porte tcp aperte.
C'e' qualcosa che non mi torna affatto.
Da un PC dietro il router, prova a dare:
	tracert -d 216.239.39.101
e posta il risultato.
Ho il sospetto che ci sia qualche trucco [NAT+PAT su larga scala] in
quell'offerta ADSL di cui usufruisci.
Leonardo

a livello sicurezza cosa comporta?
Sostanzialmente due cose:
a) Hai un indirizzo "semi-completo", cioe' ci sono cose che, di norma,
   non puoi fare. Una di queste e' far vedere i tuoi dati su internet;
   se provassi a montare un sito Web, questo non funzionerebbe. Per la
   stessa ragione, molti "trojan horses" non funzioneranno. Altri piu'
   smaliziati pero' potrebbero.
b) E' probabilmente possibile convincere il router Telecom a fornirti,
   temporaneamente, un indirizzo piu' completo, che consentirebbe a un
   attaccante di entrarti sulla rete. Questo e' piu' complesso e molto
   piu' rischioso (legalmente!) del metterti l'ombrello da retri a te;
   infatti, prima bisogna stuprare il router Telecom, e solo dopo, via
   router schiavizzato, assaltare te. Ovviamente, Telecom non gradisce
   queste attenzioni, e una denuncia di Telecom ha il suo peso.
Quindi tutto ben considerato (la configurazione clastopigia del router
esterno prima di tutto), un firewallino direi ci starebbe bene. Niente
di troppo elaborato, perche' IMHO la maggior parte degli "attacchi" si
comporranno in realta' di pacchetti che hanno perso la strada di casa;
un acheraccio che si metta a ciappinare con i routers giusto per farti
visita, _prima ancora_ di sapere cos'hai sulla macchina, mi sembra uno
scenario improbabile.
Leonardo

scenario improbabile.
ti ringrazio per la spiegazione, in pratica mi ero fasciato
inutilmente la testa ancor prima di rompermela e poi tutto sommato la
mia unica preoccupazione era non tanto una possibile intrusione (che
dati si aspetterebbe poi di trovare il marrano di turno?) quanto
piuttosto che non mi mandassero in bomba i pc collegati quando non
sono davanti al monitor oppure modificassero la config. del router e
cose simili :-)

cose simili :-)
Quest'ultima cosa, se Retina dice il vero e io ho capito giusto, non
e' di fòri. Pero' io domanderei lumi a Telecom.
Leonardo

 Sono uscito dalla stanza, altrimenti gli ridevo in faccia.
Vergognati !!!! Maramaldo che non sei altro !
Un Paperino che sparare sulla croce rossa è uno sport perverso...
e che a suo tempo ha rotflato _senza_ uscire dalla stanza. >:->

 interna
Se il router e' collegato in modalita' bridge probabilmente quelle
porte sono aperte sulla tua macchina e non sul router. Ma forse la
configurazione dalla tua rete non mi e' ben chiara visto che parli
anche di firewall nat.
Fabio

classe privata?
Se e' andata come credo, c'e' un tizio molto perplesso in Venezuela in
questo momento (ma niente paura, c'e' abituato).
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 modem ----> router ---> pc1 e pc2
Vediamo se riesco a chiarirmi le idee:
- qual'e' l'indirizzo che hai inserito negli scanner lanscan e retina
  quando hai fatto la scansione in dialup con win2k?
- qual'e' l'indirizzo che ti appare nella pagina di shieldsup durante
  la mitica scansione "nanoprobe" di 
grc.com
?
- i due indirizzi coincidono?
Fabio

Uhm...sempre quello del traceroute? ;)
Si', non credo che Telecom abbia cambiato le cose negli ultimi tre o
quattro anni.


[62.86.98.13]
Queste due credo siano macchine differenti. 192.168.100.1 non e' r-to7-fa6.
Ho provato comunque in questo istante, e noto una cosa buffa (o forse molto
semplice).
Se faccio un traceroute alla *tua* macchina, 151.99.101.106 mi fa passare:
 6  80.17.211.85 (80.17.211.85)  225 ms  224 ms  205 ms
 7  151.99.101.106 (151.99.101.106)  206 ms  210 ms  200 ms
 8  
r-to057-2.interbusiness.it
 (62.86.98.8)  216 ms  170 ms  205 ms
 9  * * *  <-- questo suppongo sia tu
Ma se faccio un traceroute alla 62.86.98.8... 151.99.101.106 non mi fa piu'
passare:
 5  
r-mi102-atm4-0-iunet.interbusiness.it
 (151.99.101.33)  178 ms  183 ms *
 6  80.17.211.85 (80.17.211.85)  192 ms *  184 ms
 7  151.99.101.106 (151.99.101.106)  177 ms *  186 ms
...come se avessi traceroutato 151.99.101.106 anziche' 62.86.98.8.
Curioso. Che si firewallino fra loro?


 non ricordo
Ok: sembra appartenere al range con cui apparentemente posti sul ng.
Altre domande :)
- questo e' l'ip che vedi se usi winipcfg (ipconfig con win2k) quando
  il pc e' attaccato al bridge o se guardi l'ip dell'interfaccia
  pubblica dalla console del router?
- qual'e' il default gateway del pc (quando e' attaccato al bridge) o
  del router (quando c'e' attaccato lui).
Scusa se sembra che si torni sempre alle stesse domande ma ci sono
delle incongruenze nella descrizione. Ad esempio: chi diavolo e' il
192.168.100.1 e cosa ci fa li? La mia impressione iniziale che non
riesco a confermare era che telecom ti avesse messo su una wan nel
range 192.168.x.x con gli altri utenti adsl e che vi facesse uscire
tutti con una sorta di nat, probabilmente gestito da 62.86.98.13,
assegnandovi gli ip 213.45.16.xxx. In questo caso anche l'ip del
router (visto dalla console) dovrebbe essere nel range 192.168. Ma...
Prova a rispondere alle domande sopra e poi prova anche a fare un ping
e un "telnet <mio ip> 119" al mio ip (lo trovi negli header). Non avrai
nessuna risposta ma io lo vedro'. Cosi' vediamo se il tuo ip dipende
dal protocollo che usi.
Comunque per tornare al tuo problema iniziale: ammesso che il tuo pc
sia raggiungibile direttamente all'indirizzo che 213.45.16.xxx il
diverso risultato del portscan fatto da grc rispetto agli altri puo'
essere dovuto al timeout tropo breve. La tua rete ha un rtt molto
alto e gli scanner come lanscan e retina sono piu' tolleranti come
impostazione di default. In merito al risultato in se, invece, ti
direi di fare una prova collegando il router al tuo win2k invece che
al bridge e facendo un bel portscan da quello. In questo modo elimini
tutto quello che puo' stare in mezzo in termini di nat, pat, transparent
proxy ecc. ecc. e hai finalmente un risultato sicuramente accurato.
Fabio

  7  151.99.101.106 (151.99.101.106)  177 ms *  186 ms
Con altri protocolli passi. Probabilmente il 151.99.101.106 blocca gli
echo request e il traffico udp se sono indirizzati direttamente alle
macchine 62.86.98.x (l'ip esatto cambia) o se hanno ttl=2.
Fabio

 macchine 62.86.98.x (l'ip esatto cambia) o se hanno ttl=2.
                                                      ^^^^^
No.. il ttl non c'entra niente ovviamente.
Fabio

o se hanno ttl=2.
Gia'. Boh. Voglio dire, e se volessi traceroutare un router? Mica do
fastidio.
Tanto, se dietro c'e' una rete NATtata me n'avvedo in altri modi :-)


 Tanto, se dietro c'e' una rete NATtata me n'avvedo in altri modi :-)
Uhm...come?
Firewalk, forse?

 per scansionare il solo router, il risultato e' identico
Non era esattamente quello che ti ti proponevo, che era di fare
una cosa del genere:
        [WIN98]--------[Router]--------[WIN2K]
                   Int.        Int.
                 interna     esterna
                  (LAN)       (WAN)
e poi, da w2k, fai la scansione delle porte aperte sull'interfaccia
esterna del router. In questo modo la topologia e la configurazione
dell'instradamento della rete che sta tra il 62.86.98.{8,12,13,...}
e il tuo router non puo' alterare in nessun modo i risultati della
scansione.
Fabio

 Tanto, se dietro c'e' una rete NATtata me n'avvedo in altri modi :-)
Bah, devono essere parecchio paranoici perche' droppano anche i
pacchetti record route.
Fabio

una cosa del genere:
scusa anche qui non avevo capito
grazie per il consiglio, e' una prova che non avevo pensato.
In pratica se ora ho capito bene, ho staccato il cavo del modem dalla
presa wan del router, il cavo di rete che parte dalla macchina win2000
l'ho staccato dal lato lan del router e attaccato alla presa wan del
medesimo
Avviato win 2000 con languard e scansionato 192.168.123.254 (ip del
router) e non trova nulla, non risponde al ping, tutto chiuso
poi provo con retina: niente risposta al ping ma sempre quelle porte
aperte. La cosa non torna cosi' metto un indirizzo privato a caso con
la stessa configurazione (modem scollegato e scheda di rete collegata
al lato wan del router): 10.0.0.138
Poi pero' mi sono chiesto, come configuro lato wan il router per la
prova? Quando mi collego al provider configuro come ppoe e lui riceve
l'ip pubblico che poi scansionavo dall'esterno, ma se collego la
schede di rete di win2000 al lato wan e' forse normale che
192.168.123.254 non risponda perche' e' visibile solo lato lan. Le
oltre opzioni che ho:
Static IP Address (ip fisso attribuito dal provider)
Dynamic IP Address
Dynamic IP Address with Road Runner 
PPTP
dial-up
Idea, provo il collegamento dial-up sul router per escludere la rete
tin/virgilio. Lato wan imposto modem analogico e attacco alla presa
seriale del router il modem normale e mi collego con libero
win 98 --- > router --- > modem analogico ----> libero
win2k --- > modem bridge adsl ----> tin/virgilio 
 
da win2k lancio retina verso l'ip di libero che viene gestito dal
router e sorpresa: tutte le porte per un totale di 1336 me le riporta
filtrate
Allora il problema e' solo sulla rete virgilio e il router che ho
installato io dovrebbe essere a posto o no? 
In altre parole se anche risultano aperte lato provider e collegandomi
con altro isp risultano poi chiuse sul mio dispositivo dovrei essere
col sederino coperto ? :-)
 

Uhm...come?
No, scusa, dicevo dal punto di vista del cliente. Per esempio non puo'
mettere su un web server, e cosi' via.


essere perso qualche info che lo smentisca).
L'ho detto perche' (in teoria) il computo del TTL dovrebbe impedirmi
di vedere due volte lo stesso host.
Sulla mia rete, io sono 192.168.1.192, 'snoopy' (192.168.1.100... ma
anche 192.168.0.100) mi routa verso 'server' (192.168.0.254), e come
e' logico l'interfaccia esterna di 192.168.0.254 e' 
151.38.19.184
:
Rilevazione instradamento verso 
www.google.com
 [216.239.39.100]
su un massimo di 30 punti di passaggio:
  1   <10 ms   <10 ms     1 ms  snoopy [192.168.1.100]
  2     1 ms     1 ms     1 ms  server [192.168.0.254]
  3    60 ms    60 ms    59 ms  151.5.148.134
Qui sia "snoopy" che "server" compaiono una volta sola benche' tutti
e due abbiano due interfacce (anzi, tre; snoopy ne ha quattro).
192.168.1.192 --> 				Io
[ 192.168.1.100 --> 192.168.0.100 ] -->		Snoopy
[ 192.168.0.254 --> 151.38.19.184 ] -->		Server
< 10.0.0.1 --> 10.0.0.138 > -->			Alcatel
--> 151.5.148.134
...per cui, *mi sembra* che, se vedo due righe di traceroute, quelli
siano due hosts distinti. SE&O :-)
+++
Ho il dubbio che sulla sua rete (segmento Telecom) ci sia installato
un Mentitronic(TM), con protocollo B/IP [1].
Leonardo
[1] Bugie-over-IP


 col sederino coperto ? :-)
Sembrerebbe, da questa tua ultima prova. Diciamo che se fosse cosi'
nn so bene come funzioni: probabilmente c'e' qualcosa che ti fa da
proxy in ingresso e che risponde al posto tuo su quelle porte. Fai
una prova: collegati ad una di quelle porte e guarda il banner (la
110 ad esempio) cosi' vedi che roba e'. Io proverei anche ad usare
uno scanner diverso, che ti consenta di avere maggior controllo su
tipo e risulatti della scansione: prova nmapnt sul win2k.
Fabio

 un Mentitronic(TM), con protocollo B/IP [1].
:)
Beh, pero' a me sarebbe piaciuto sapere come e' fatta quella roba. Penso
che piu' che un Mentitronic(TM) sia un qualche accrocchio ridondante che
a tempo perso fa anche un po' di load balancing. Oppure anche un sistema
per risparmiare un po' di IP...
Fabio