Newsgroup: it.comp.sicurezza.varie
Titolo: Connessioni alla porta zero

Ho una Linux RH6.0 e ho attivato il firewall con svariate eccezzioni per fare
funzionare icq, irc, ecc... Il problema che ho e' che quando uso gnapster,
il client per scambiare files mp3 per linux, il log del kernel mi segnala 
connessioni alla porta zero che vengono bloccate:
Apr 11 07:00:15 libero kernel: Packet log: input DENY ppp0 PROTO=1 
207.202.97.200:8
 
151.26.253.253:0
 L=28 S=0x20 I=55899 F=0x0000 T=105 (#14) 
Io ho messo una eccezione allora alle regole di ipchains, ma per la porta 
zero sembra funzionare e le connessioni vengono comunque negate.
Che cos'e' allora la porta zero? Una porta sconosciuta alla quale e' 
impossibile  connettersi o devo solamente mettere eccezzioni diverse per 
la porta zero?
 
Grzie e ciao!
-- 
 _____              _ 
|_   _|   _ _______(_)
  | || | | |_  /_  / |
  | || |_| |/ / / /| |
  |_| \__,_/___/___|_|
 

 
207.202.97.200:8
 
151.26.253.253:0
 L=28 S=0x20 I=55899 F=0x0000 T=105 (#14) 
Sei veramente sicuro che si tratti di Napster? PROTO=1 e' ICMP e non mi
sembra che abbia nulla a che fare con quel client.
Napster usa TCP/6688.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

la porta zero?
Come ti han fatto giustamente notare, PROTO=1 identifica ICMP. Puoi dare
un occhio ai valori dei protocolli guardando l'header /usr/include/netinet/in.h
...snip...
/* Standard well-defined IP protocols.  */
...snip...
IPPROTO_ICMP = 1
...snip...
Allora come mai i log di ipchains segnalano una porta di destinazione !?
Dalla pagina man di ipchains leggiamo:
	      The source may include a port specification or ICMP
              type.  This can either be a service  name,  a  port
              number,  a  numeric  ICMP  type, or one of the ICMP
              type names shown by the command ...
quindi potrebbe davvero essere un tipo di ICMP ? sempre dalla pagina man:
	      For ICMP, which does not have ports, a
              "destination port" refers to the numeric ICMP code.
eh si, il codice numerico ICMP. Allora vediamo un po' come logga ipchains.
Nel file /usr/src/linux/net/ipv4/ip_fw.c vediamo che la funzione responsabile
dei log e' dump_packet(). Questa accetta tra gli altri parametri anche dst_port.
Spulciando i sorgenti vediamo che nella funzione ip_fw_check() abbiamo un
check relativo al protocollo:
switch(ip->protocol)
        {
		...snip...
		case IPPROTO_ICMP:
                        if (!offset) {
                                src_port=(__u16)icmp->type;
                                dst_port=(__u16)icmp->code;
                        }
                        dprintf("ICMP ");
                        break;
		...snip...
	}
quindi tu avevi come porta src un 8 e come porta dst uno 0. Quindi possiamo
dire che il pacchetto in questione fosse un ICMP_ECHO (t8,c0) ovvero un ping
inviatoti dall'IP 207.202.97.200 e che nelle rules di ipchains hai forse
bloccato gli echo request dall'esterno.
invy

 bloccato gli echo request dall'esterno.
Brao' :-))



cmq quella roba arriva veramente "da napster" (cioe` nel senso che 
quando napster sta funzionando il log si riempie di quei ping respinti)
magari e` qualcuno che cerca di downloadare un mp3, boh
-- 
    Ciao
        Pardo
 
	( 
http://members.xoom.it/teletex/pardo.html
 )

 quando napster sta funzionando il log si riempie di quei ping respinti)
Napster ha di serie la funzione di ping.
--
dario...@iol.it
http://dariobrunocorti.freeweb.org
ICQ#: 37438061
--
MS Windows: quante volte vuoi formattare oggi?

 magari e` qualcuno che cerca di downloadare un mp3, boh
Non penso proprio... Napster non sa cosa farsene, immagino, di un
ICMP_ECHO.. Magari e' solamente qualcuno che ti pinga ma se tu hai
bloccato alcuni tipi di ICMP giustamente ti vengono loggati i tentativi.


bloccato alcuni tipi di ICMP giustamente ti vengono loggati i tentativi.
Non per contraddirti Thorin,
ma ho controllato se senza gnapster ci fossero questi ICMP ma purtroppo non 
ci sono. Quindi penso non sia un caso che se avvio gnapster dopo qualche 
min ho gia' il log pieno di quella roba...
Ne riposto altri anche con l'orario:
- Apr 13 18:28:25 libero kernel: Packet log: input DENY ppp0 PROTO=1 
 
207.30.195.142:8
 
151.20.140.163:0
 L=28 S=0x20 I=3588 F=0x0000 T=104 (#14)
- Apr 13 18:43:51 libero kernel: Packet log: input DENY ppp0 PROTO=1 
 
200.211.123.230:8
 
151.20.140.163:0
 L=28 S=0x20 I=516 F=0x0000 T=8 (#14)
- Apr 13 18:46:34 libero kernel: Packet log: input DENY ppp0 PROTO=1 
 
209.17.12.125:8
 
151.20.140.163:0
 L=28 S=0x20 I=1545 F=0x0000 T=104 (#14)  
 
  Questi solamente mentre downloadavo un mp3... C'e' da dire inoltre che non
  mi sono mai pervenute richieste per uploadare a qualcun'altro nessun mp3...
 
  Ciao 


 min ho gia' il log pieno di quella roba...
Aspe... aspe... aspe... forse ci sono: hai mica abilitato l'opzione
'ping results' o
comecavolosichiama? Serve a vedere la velocitą di connessione ai vari
napster da cui vuoi downloadare.
Valerio

 Ne riposto altri anche con l'orario:
Se prima non dici quali regole hai sugli ICMP non posso sapere perche'
succede. Cmq anche Invy ti ha dato una spiegazione che coincide con la
mia per cui.. non ho modo di verificare perche' non uso piu' ipchains..


 napster da cui vuoi downloadare.
Il punto e' "ha disabilitato qualche icmp-type?" Quelle cose non
andrebbero toccate se non si e' sicuri di cio' che si fa... Il ping
result e' normale perche' altrimenti il server Napster come accidenti fa
a restituirti il tipo di linea degli Mp3 trovati (Cable, DSL, T1 ecc.)?


   mi sono mai pervenute richieste per uploadare a qualcun'altro nessun mp3...
avete ragione entrambi. thorin a dire che hai quei log per il SEMPLICE
fatto
che in qualche rule di ipchains, probabilmente input, blocchi alcuni
tipi di
ICMP, anche solo l'ICMP_ECHO magari. tu nel dire che avviene con
napster: come
ti han fatto notare anche altri, probabilmente fa parte del 'protocollo'
del
software la richiesta di pingare il peer per derivarne alcuni dati
relativi
a velocita' e tempo di risposta [banalmente calcolate mediante RTT, o
round
trip time].
ergo, se ti dan fastidio i log di cui sopra, rimuovi dalle regole di
ipchains
il blocco degli ICMP [forse solo ECHO] oppure disabilita da napster le
opzioni
per il calcolo della velocita', tempo di risposta dell'host, etc etc
conta che cmq bloccare o accettare gli ICMP_ECHO su un linux 2.2.x non
ha
alcuna differenza sostanziale, se non il 'mascherarsi' morto a
interlocutori
che cerchino col ping di capire se sei vivo. ah si, e di intasarti i
log, 
magari =;) ..... vedi tu.
invy

magari =;)
nah: via il -l e torna la serenita'
ciao
Buttha

 nah: via il -l e torna la serenita'
anche, ma sinceramente non lo consiglio MAI. ecco come mai non l'ho
detto.
facciamo un esempio:
tizio installa il supporto per il packet_filter e configura
amorevolmente
le rules di ipchains. wow ... ora si che si sente sicuro =)
eppure, come successo a MOLTI altri filtri di pacchetti, potrebbe sempre
esserci il modo di bypassarlo. il vecchio metodo di utilizzare frammenti
in overlap permetteva di bypassare il filtro e spedire i pacchetti
avanti
nel loro percorso verso l'esser processati, eppure il fw era convinto di
funzionare. Soltanto con i log si capi' [in una situazione da me
'vissuta']
che il firewall li processava MA non li bloccava.
La morale della noiosa favoletta. I log servono. Bloccare flussi di
dati,
dimenticandosi, a volte, di averlo fatto NON e' mai salutare. Ecco
perche'
non lo consiglio MAI.
D'altronde, come hai giustamente notato, puo' esser utile in questi
casi.
Solo, sono sempre molto cocciuto nel rimanere fedele alla massima
'melius
logare, quam rootaturus' ;P
invy

a restituirti il tipo di linea degli Mp3 trovati (Cable, DSL, T1 ecc.)?
Quello e' scritto nei db di ogni utente, i ping di napster servono
solo a determinare la velocita' di risposta di ciascun utente, per
permetterti di scegliere da chi vuoi scaricare.
-- 

 permetterti di scegliere da chi vuoi scaricare.
Beh comunque sempre di pacchetti ICMP si tratta per cui filtrarli e'
male.


 picchiettando sui tasti scrisse:
Pssss.... ma hai perso la sign ? :) 
-- 
The Hitman - 
http://members.xoom.it/hitman/
e-posta: 
sonic...@tiscalinet.it
 <-- *NUOVO*  
powered by SlackWare 7.0 - install at your risk :) 
"better dead than slave"