Newsgroup: it.comp.sicurezza.varie
Titolo: Porte 21, 23, 80

Salve a tutti, ho eseguito un test online:
https://www.grc.com/x/ne.dll?bh0bkyd2
Sono risultate aperte le porte 21, 23, 80. Pensando ad una particolare 
configurazione del router (edimax) per la gestione remota, ho provato ad 
eseguire un secondo test utilizzando un router netgear, e difatti il test è 
stato superato.
Vorrei sapere se si corre qualche rischio con quella configurazione 
dell'edimax.
Prima di fare il secondo test, ho provato a disattivare il firewall di 
windows per installare Kerio (ma il test non è cambiato).
A proposito, ma ne vale la pena installare un firewall o quello di Windows 
XP sp2, basta e avanza? (su questo argomento ho letto tutto e il contrario 
di tutto).
Di seguito i risultati dei test:
TEST 1 (con router Edimax)
3 Ports Open
1021 Ports Closed
32 Ports Stealth
---------------------
1056 Ports Tested
Ports found to be OPEN were: 21, 23, 80
Ports found to be STEALTH were: 1024, 1025, 1026, 1027, 1028,
1029, 1030, 1031, 1032, 1033,
1034, 1035, 1036, 1037, 1038,
1039, 1040, 1041, 1042, 1043,
1044, 1045, 1046, 1047, 1048,
1049, 1050, 1051, 1052, 1053,
1054, 1055
Other than what is listed above, all ports are CLOSED.
TruStealth: FAILED - NOT all tested ports were STEALTH,
- NO unsolicited packets were received,
- A PING REPLY (ICMP Echo) WAS RECEIVED.
**************************************************
TEST 2 (con router NETGEAR)
Results from scan of ports: 0-1055
0 Ports Open
0 Ports Closed
1056 Ports Stealth
---------------------
1056 Ports Tested
ALL PORTS tested were found to be: STEALTH.
TruStealth: PASSED - ALL tested ports were STEALTH,
- NO unsolicited packets were received,
- NO Ping reply (ICMP Echo) was received.
-- 
robin 


GnuPG 4069 RSAv4 key: \_____________________________________________
UID:0xE361F839--Fingerprint:9516BCF66B8F12E0C3C3154C61788B6DE361F839

Carlo Luciano Bianco wrote:
[cut]
Innanzitutto grazie per la diritta:).
Ma sai che avevo il firewall del router disabilitato? forse č cosě nella 
configurazione di default.... anche se ciň č molto strano.
Ho rifatto il test, le porte 21,23,80 sono cmq aperte (ancora non ho visto 
se č possibile disabilitare l'amministrazione remota, in ogni caso la pwd č 
sufficientemente robusta).
Ecco il test:
Results from scan of ports: 0-1055
    3 Ports Open
    0 Ports Closed
 1053 Ports Stealth
---------------------
 1056 Ports Tested
NO PORTS were found to be CLOSED.
Ports found to be OPEN were: 21, 23, 80
Other than what is listed above, all ports are STEALTH.
TruStealth: FAILED - NOT all tested ports were STEALTH,
                   - NO unsolicited packets were received,
                   - A PING REPLY (ICMP Echo) WAS RECEIVED.
-- 
robin 

 entrerà mai in gioco in un test come questo. Infatti, il tuo
Mai, se non ha attivato la "DMZ" o "full port forwarding" del router.
In quel caso, il router diventa trasparente, e di fuori si vede tutta
la macchina interna.
Sai, c'e' chi lo fa, per guadagnare "crediti" con il p2p.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

neanche queste
Probabile: sono quelle usate dal Messenger Spam. Strano pero' che non sia
filtrato anche il gruppo 137-139+145.
D'altra parte potrebbe essere l'edimax che manda in DROP tutto quello che
sta sopra il 1024.
Leonardo
-- 
While ordinarily valid that being widespread does not make a statement
true, I feel that the diffusion of anti-evolutionary beliefs does pose
a strong argument for Darwin having been, indeed, sorely mistaken.


non riesco a capire come ci si può collegare "dall'esterno" (cioè al di là 
del router/firewall) ad un indirizzo IP privato (quelli previsti dall RFC 
1918), visto che l'unico indirizzo IP che possiamo conoscere è quello 
assegnato dal server.
-- 
robin 




Nel caso mio mi collegavo dalla Intranet all'indirizzo IP del router, che
offriva pero' la stessa interfaccia sia all'interno che all'esterno - non
disattivabile: si poteva solo rendere impossibile il login (!).
Nel caso generico, il router HA un indirizzo assegnato dal server, magari
anche dinamico. Ma una volta che, per caso, uno lo trova (per es. perche'
sta scansionando di forza intere reti!), prende il router e se lo conosce
lo evira, pardon, lo exploita e lo fa suo.
A quel punto, la maggioranza dei router hanno un'opzione di "status", che
gli dira' chi c'e' connesso. Quelli che non ce l'hanno hanno comunque una
opzione "Configura" che rivela la sottorete su cui operano.
Quasi sempre (99.9% dei casi) e' una rete /24, mi sentirei di scommettere
su 192.168.0.* o 192.168.1.*; comunque sia, lo scopre entro due secondi e
sa che contiene al massimo 254 indirizzi possibili.
A questo punto dice al router: bene, servo buono e fedele; mettimi ora un
bel mapping DMZ su 192.168.0.1; hai fatto? O bravo. Ummmm... 137-139-445-
5000-sarcàzzi non rispondono; sei sempre li'? Mettimelo su .0.2; poi .0.3
... .0.4... .0.5... OHOO, qualcuno risponde! Colore chiaro, gusto pulito,
disco fisso aperto come una cozza... non e' Glen Grant ma sono pur sempre
80 giga di roba, no, 250, c'e' anche il disco D:, vediamo vediamo...
Con un tentativo al secondo ci riesce in sei minuti circa, ma (di solito)
gli indirizzi sono nei blocchi 0, 100, 128 e 200: li cerca a saltamontone
e nove su dieci becca l'indirizzo del PC connesso entro OTTO SECONDI. Che
sarebbero dieci secondi dal momento in cui ha toccato il router.
Se il disco e' aperto in scrittura, poi, dal reboot successivo non dovra'
neppure venirti a cercare, ma sara' il tuo sistema che s'incarichera' del
mandargli una noticina "Padrone! Il mio nuovo IP e'...".



in effetti avevo scritto una ca@@ta. Basta l'ip pubblico.
Purtroppo mi sa che con l'edimax non č possibile disabilitare la gestione 
remota, nč tantomeno configurare il firewall (almeno io non ci sono 
riuscito, dovrň cmq leggermi il manuale). Se le cose stanno cosě, bella 
fregatura.
-- 
robin 

 vede tutta la macchina interna.
Hai perfettamente ragione. Ho dato per scontato che di default la
DMZ fosse disabilitata [anzi, per essere sinceri, non mi era proprio
venuta in mente... ;-)]. 


 ogni caso la pwd č sufficientemente robusta).
OK, ma ricorda anche quello che ti ha scritto Leonardo. Quello che
non serve (soprattutto se si tratta di amministrazione remota) č
sempre meglio disabilitarlo! 



ok, funge! ho provato a collegarmi con l'ip dinamico e non si apre la 
schermata di login!
ho ripetuto il test (fw attivato, spi non attivato (blocca emule))
*********************************************************
 0 Ports Open
    0 Ports Closed
 1056 Ports Stealth
---------------------
 1056 Ports Tested
ALL PORTS tested were found to be: STEALTH.
TruStealth: FAILED - ALL tested ports were STEALTH,
                   - NO unsolicited packets were received,
                   - A PING REPLY (ICMP Echo) WAS RECEIVED
**********************************************************
domanda: la 21 č utilizzata dal protocollo FTP, giusto? con quella regola di 
portfowarding si blocca il traffico DALL'ESTERNO verso il mio pc, mentre 
posso tranquillamente utilizzare client ftp del tipo CUTEFTP, visto che si 
tratta di connessioni che partono dal mio pc. In effetti, ho visto che 
cuteftp funziona perfettamente
-- 
robin 

routers e permette di bloccare l'amministrazione remota da WAN
Poi però bisogna ricordarsi di non usarlo MAI!
Ancora meglio sarebbe un indirizzo fuori dalla sottorete (se il router
lo lascia impostare)
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 al prompt di lynx, di mettere username e password... funziono' lo
stesso.
<snip>
ma mica solo quello, c'erano (ma forse sono ancora in giro) dei routers
che
inviavano un pacchetto di "login" con una "challenge string", il
problema era
che il pacchetto conteneva anche la "password" criptata con un
banalissimo
XOR per cui bastava usare uno sniffer, catturare il pacchetto challenge,
ed in
pochi secondi si aveva la password dell'alca... ehm.. del router :D

 ping". 
Eh?
Come se fosse Antani SignalOS?

ed in pochi secondi
Si', io ho avuto a che fare anche con quel router li'. Correva l'anno
2002, mi pare. Non avevo l'amministrazione remota; almeno quello...


 o se c'e', e' un incidente; non c'e' da farci conto.
O, se c'e', e' un golosone, specialmente di miele. ;-P


 lo lascia impostare)
l'indirizzo del router è 192.168.0.1
quindi nel fowarding ho messo 192.168.1.200
-- 
robin 

O, se c'e', e' un golosone, specialmente di miele. ;-P
Si', quella e' l'altra possibilita' :-)


credo sia difficile che ci siano 200 e passa IP assegnati :)
In ambito domestico certamente no, mi preoccupa più il familiare che
un bel giorno arriva e si mette un IP statico.
Per sfiga, *proprio* quell'IP statico.


Explorer parla da solo su una qualche porta UDP
Che 'un fosse tanto normale me n'ero avvisto, in effetti.
Da me ogni tanto si sveglia convinto d'essere un browser.
 
Leonardo Serni