Newsgroup: it.comp.sicurezza.varie
Titolo: IP Spoofing

E' da giorni che mi sto scervellando su dei continui attacchi di IP
Spoofing rilevati quotidianamente dal mio firewall (Outpost). Pur
controllando il log non trovo connessioni "sospette", come posso
risalire al vero IP dell'aggressore in modo da tagliarlo fuori?
--
Gabriele Orlando ---> 
pierro...@people.it
<<Homo sum humani nihil a me alieno puto>>
(Publio Terenzio Afro, Heautontimoroumenos)

 risalire al vero IP dell'aggressore in modo da tagliarlo fuori?
Al vero IP di un pacchetto spoofato NON risali.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 pacchetto normale che arriva da un ip da uno spoofato.
Tiro a indovinare: riconosce come spoofato il traffico proveniente
da ip privati non appartenenti alle reti direttamente connesse. Il
traffico che vede come spoofato proviene da 192.168.100.1.
Quanto c'ho azzeccato?
Fabio

 Quanto c'ho azzeccato?
Secondo me, al 99,999999%
Per quello gli ho chiesto la struttura della rete. :-P




Il firewall segnala lo spoofing come proveniente da 192.168.1.1 (che
naturalmente dovrebbe corrispondere al gateway) e credo che lo
qualifichi come tale perchè il MAC address non corrisponde a quello
della macchina (è sbagliata una cifra)


Al vero IP di un pacchetto spoofato NON risali.
Come temevo.


 Come temevo.
Comunque e' ben difficile che siano davvero pacchetti spoofati.
Da quello che dici nell'altro post, ti arrivano dei pacchetti con
mac address sbagliato di un numero.
Strana tecnica di spoof.
A me fa pensare di piu' ad una anomalia in una delle due schede
di rete interessate.


di rete interessate
Hai qualche suggerimento in proposito? 
Bye bye!!


 pacchetto normale che arriva da un ip da uno spoofato.
Provo a sparare la prima che mi viene in mente.
Potrebbe determinarlo in fase di "mancato" handshaking:
lui riceve un SYN da 192.168.0.1, risponde con un SYN+ACK a cui perň non 
succede alcun ACK di chiusura (il secondo pacchetto della fase di 3whs va 
quindi in pratica "perso").
Ricevere pacchetti spoofati provenienti da internet, ad ogni modo, non credo 
comporti rischi particolari in quanto lo spoofing che ti viene applicato č 
"cieco".
Decisamente piů efficace e pericoloso puň invece essere lo spoofing 
applicato in ambiente LAN. 

 Hai qualche suggerimento in proposito? 
Dipende dai log che puoi vedere.
Se si tratta, come credo, di anomalia di trasmissione o ricezione,
dovresti avere anche dei pacchetti reinviati dalla scheda "lecita"
per completare la normale esecuzione del protocollo, visto che quei
pacchetti che il sistema riconosce come fasulli non arrivano a buon
fine, per cui dall'altra parte su richiede ritrasmissione.
Tendo ad escludere lo spoofing vero (se non c'e' di mezzo wireless) 
perche' da fuori non e' per nulla facile sapere che MAC address ha
la scheda di rete interna del tuo router/modem, percio' non ce lo
vedo, un acaro che indovina quel numero per poi infilarlo nei
pacchetti con un numero di differenza.
La prima prova da fare e' cambiare il cavo.


 della macchina (è sbagliata una cifra)
Con "macchina" intendi dire il gateway, immagino. Ok, sembrerebbe
un sistema un po' piu' serio d'altri, quindi. Premettendo che non
puo' certo trattarsi d'un "attacco" dall'esterno, potrebbe essere
utile avere qualche dettaglio in piu' sugli indirizzi MAC e sulla
eventuale presenza di altre macchine in rete (e di eventuali reti
wi-fi, come dice roberto). La cosa migliore sarebbe avere catture
del traffico di rete anomalo (es: snort, ethereal, ecc). Comunque
in assenza di wi-fi o altre macchine in rete non fidate, e' assai
poco probabile che sia qualcosa di diverso da un malfunzionamento
di qualche componente della rete.
Fabio

 della macchina (è sbagliata una cifra)
Non è che hai qualche macchina con doppia scheda rete su motherboard?
oppure doppia scheda rete della stessa macchina?
-- 
ValeRyo 

 oppure doppia scheda rete della stessa macchina?
Mi traduco in italiano: 'oppure due schede rete della stessa marca'.
-- 
ValeRyo 

Mi traduco in italiano: 'oppure due schede rete della stessa marca'.
Uso un portatile, sotto connessioni di rete trovo:
1) la connessione wireless (che non ho mai usato)
2) la connessione LAN 1 (scheda Broadcom NetXtreme)
3) la connessione LAN 2 (che utilizzo sempre indicata come "USB Remote
NDIS Network Device", immagino che sia perchè uso un router esterno)


 NDIS Network Device", immagino che sia perchè uso un router esterno)
Puoi riportare i vari mac address? i tuoi, quell_i (saranno due) del
router e quello dello spoofing?
-- 
ValeRyo 

 della macchina (è sbagliata una cifra)
Mmm... Se cambia l'ultima cifra e' molto probabilmente la seconda scheda di 
rete della stessa macchina.
L'RFC per ARP dice che, se una scheda riceve una chiamata con la richiesta 
"hai tu questo ip?" deve rispondere "si, l'ho io" se una qualunque scheda 
sul sistema lo possiede.
Solo che un'altra scheda *quell'ip non ce l'ha*, e se io ho una macchina su 
una rete X, che ha un ip della rete Y *su un'altra scheda di rete*, quando 
un pc della rete X chiede una risoluzione ARP per un ip della rete Y, 
anziche' sentirsi dire che non lo ha nessuno si sente rispondere con un MAC 
*sbagliato*.
Per un router, questo significa che ogni chiamata proveniente da un ip della 
LAN verso l'ip della WAN si sente rispondere che il MAC a cui indirizzare la 
richiesta e' quello della LAN.
E viceversa, ovviamente...
Sotto linux, io di norma programmo iptables/arptables per droppare alla 
fonte tutte le richieste di risoluzione provenienti dalla rete sbagliata, o 
rispondere con il MAC corretto, secondo i casi, ma non so ne' se questo sia 
il tuo problema ne' come si possa risolvere su un router generico, visto 
che, secondo l'RFC, questo comportamento e' CORRETTO.
Ciaotutti,
*
-- 
If you are sending a reply to a message or a posting be sure you
summarize the original at the top of the message, [...] But do not
include the entire original! -- RFC 1855 - Netiquette Guidelines

 di rete interessate.
Beh, se il gateway cerca di raggiungere (per nattare una connessione) una 
macchina che sta FUORI e si era identificata con un ip che sta DENTRO (una 
richiesta di connessione a una macchina in LAN, trovata tramite p2p, puo' 
facilmente dare questo risultato), mandera' una richiesta ARP in giro...
E si sentira' rispodere con un IP interno che a quel punto potrebbe cercare 
di raggiungere dal MAC della scheda WAN, che e' quello a cui e' legato il 
socket.
Suggerimento all'op: rinumera la rete a 192.168.127.0, vedi se capita 
ancora.


 facilmente dare questo risultato), mandera' una richiesta ARP in giro...
Difficile, pero', che ci sia in giro per i pacchetti mandati in giro per
il mondo il mac address della scheda di rete lato lan del gateway, come
sembra affermare l'OP.
Ma non abbiamo ancora saputo esattamente che schede ci sono in giro e
che mac address hanno, e di quale scheda il pacchetto ha mac simile.
Punto sul wireless, e un vicino di casa che sta ravanando per usargli
la rete. :-P
L'altra ipotesi e' un baco del programma, o un banco di ram guasto
che sbaglia a scrivere/leggere alcune posizioni.
Ma anche qui si dovrebbe sapere esttamanente le cifre in ballo, se
le differenze possono essere causate da un bit mancante oppure no.



La mia idea era che fosse la scheda stessa a mandare il pacchetto, che poi 
finisce sull'altra interfaccia. Solo che mi aspetterei il pacchetto con MAC 
interno e IP esterno, non viceversa :-?


router e quello dello spoofing?
Il MAC address della scheda è 00-07-ON-9N-QN-28 (in ROT13), altri non
so dove trovarli (ho cercato fra le impostazioni del gateway e c'è
solo l'address del LAN group 1, l'unico usato), mentre quello dello
spoofing è sempre identico a quello che ho "criptato" sopra tranne per
le ultime due cifre che invece di essere "28" sono "25".


 le ultime due cifre che invece di essere "28" sono "25".
IMHO è il mac della tua scheda wifi (Xebeo Communications? boh...)
Prova ad attivarla e a fare ipconfig /all .
-- 
ValeRyo 

Prova ad attivarla e a fare ipconfig /all .
Ho controllato con command, nessuna delle altre due schede di rete ha
quel MAC address. Comunque la wifi è Intel Pro.


 quel MAC address. Comunque la wifi è Intel Pro.
Boh, i MAC 00:07:BA sembrano assegnati alla Xebeo.
Potrebbe trattarsi (come detto da qualcuno) di tentativi di utilizzare 
la
tua connessione wi-fi, ma così non ne ho mai visti ed in più hai detto
di non avere access point.
Getto la spugna :-)
-- 
ValeRyo 

Getto la spugna :-)
Ti ringrazio lo stesso, io intanto ho provato a cambiare firewall
perchč Outpost tendeva a bloccarmi l'intero sistema operativo.
Con Jetico il problema non si ripresenta piů (anche se devo imparare
ad impostarlo bene).
