Newsgroup: it.comp.sicurezza.varie
Titolo: spoofing

Sul glossario di 
newbie.it
 ho trovato questa definizione:
Spoofing:
Termine di derivazione inglese che significa "imbroglio", in campo
informatico indica una tecnica con cui può essere variato l'indirizzo Ip di
provenienza. Ogni qualvolta ci connettiamo ad una pagina Web su Internet,
oltre alla richiesta della pagina viene trasmesso il nostro indirizzo Ip,
come se fosse l'indirizzo del mittente nella posta tradizionale (per fare un
parallelismo), in maniera che le pagine richieste possano apparire sul
nostro browser. Ci sono alcune locazioni in Internet che sono protette dai
cosiddetti Firewall, i quali consentono l'accesso soltanto ad alcuni
indirizzi Ip specificati. Con la tecnica di spoofing un hacker può
imbrogliare il firewall, sostituendo il proprio indirizzo Ip con uno
"valido" e quindi entrare nella zona protetta.
ma scusate, se uno maschera il proprio IP come fanno ad arrivargli i
pacchetti di dati che ha richiesto (ad es una pag web)?
Marco

pacchetti di dati che ha richiesto (ad es una pag web)?
Infatti, non gli arrivano.
Lo spoofing si puo' utilizzare solo su connessioni che non richiedano
il 3-way-handshake (ad esempio, UDP), oppure, molto difficilmente, per
inviare pacchetti... particolari... (blind spoofing)
In ogni caso, l'attaccante non riceve mai la risposta.
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus
Cannot delete files, disk full. Try to delete some file.

 pacchetti di dati che ha richiesto (ad es una pag web)?
Se non e' sulla stessa subnet e se i router lungo il percorso non sono stati
configurati da topo gigio, l'attaccante non potra' vedere il traffico di
ritorno. Nondimeno e' possibile portare a termine alcuni tipi di attacco
([D]DoS, predizione ISN, ...) o di indagine (blind scan) che non prevedano
l'intercettazione del traffico di ritorno.
Se invece si trovano tutti e due sulla stessa subnet o e' possibile
influenzare l'instradamenteo dei router l'attaccante puo' vedere il traffico
senza troppi sforzi.
Fabio

grazie ad entrambi

 senza troppi sforzi.
Vero, basta qualche ARP ad ok.
Kiko.

 Vero, basta qualche ARP ad ok.
Se e' sulla stessa subnet* non c'e' neanche bisogno di avvelenamento
della cache arp
* non-switched, ovviamente.

 In ogni caso, l'attaccante non riceve mai la risposta.
Beh, ci sono casi in cui si puo fare lo spoofing e ricevere anche la
risposta (TCP), vedi le varie teniche che prevedono 'man in the middle'.
DSNIFF attraverso l'arp poisoning puo', per esempio, puo' far credere ai
vari membri della LAN che l'attaccante e' il server (FTP, SSH, gateway,
etc...) e quindi fowards i packetti al vero server. In questo caso si ha un
TCP connection tra il client e lo spoofed server...o no....
AMS67
--
We aim to please. Ourselves, mostly, but we do aim to please.

Ma guarda... e io che pensavo di aver fatto una domanda stupida, senti che
popò di discussione.
Non ci capisco praticamente nulla (circa una parola su 10 di quello che
dite) ma... IO ho avviato tutto questo...
Scusate, un momento di euforia passeggera.
Marco

 della cache arp
Se vuoi "solo" sniffare no, se vuoi far altro sě.

 Lo desincronizzo, lo metto ko...che bisogno ho di far altro?
Sì ma ti fai sgamare.
....poi il mondo è bello perché è vario :)

Beh, ci sono casi in cui si puo fare lo spoofing e ricevere anche la
...
In effetti avrei dovuto specificare che non si contavano le varie
tecniche di manipolazione della route..... Mi e' rimasta in punta di
tastiera! :)




Allora i vari ip che mi riempiono i log (essendo tentate connessioni ftp,
ssh, dns ed altre cose che se non ricevi i pacchetti di ritorno sono
abbastanza inutili) sono reali: ma davvero a taiwan ci tengono cosě tanto
ad entrare nei server altrui??
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il giovane marito si ammira nudo allo specchio...
	"Vedi cara, con qualche centimetro in piů sarei un re"
	e la moglie "e con qualche centimetro di meno saresti una regina!"

ad entrare nei server altrui??
cina, corea, taiwan... quella zona del mondo e' molto attiva... e
credo che gli abuse desk non funzionino poi troppo bene...


 ad entrare nei server altrui??
umm...sei sicuro che qualcuno non ha installato un honeypot con i vari fake
ssh, ftp, etc... a tua insaputa?  :-)
AMS67
--
Quidquid latine dictum sit, altum viditur. (Whatever is said in Latin sounds
profound.)



Diciamo sicuro al 99.999999% (se dico 100% sento un booooo dietro le
spalle).
SI, sono quasi certo che nessuno abbia messo le mani sul server.
E poi sono tutti tentativi, tra cui dei curiosi:
scanned from xxxxxxxx with SSH-1.0-SSH_Version_Mapper.  Don't panic.
e
Did not receive identification string from xxxxxxxx
La maggior parte sono delle cappelle che mi riempiono i log di tentativi
di accesso all'ftp anonimo (che non c'č)


di accesso all'ftp anonimo (che non c'è)
Loggare gli eventi
mi pare giusto e 
in aggiunta imposterei il demone 
(mi pare di ricordare
TripWire). 
roger K.
--------------------------------
Inviato via 
http://usenet.iol.it
 

  credo che gli abuse desk non funzionino poi troppo bene...
ah, perche', li hanno gli abuse desk?
-- 
 (o_   Su questo anello, le lettere riportate da Isildur possono essere 
 //\   ancora lette. Io l'ho fatto, ed ecco cosa vi ho letto:
 V_/_  "Ash nazg durbatuluk, ash nazg gimbatul, ash nazg thrakatuluk 
       agh burzum-ishi krimpatul."  

 credo che gli abuse desk non funzionino poi troppo bene...
Sempre meglio di Tin ;-)))
Stef_Ozzy

ah, perche', li hanno gli abuse desk?
Non so, del resto non rispondono mai... ma neanche abuse(at)
tin.it
risponde mai <g>


 di accesso all'ftp anonimo (che non c'č)
ummmm...se fossi in te contrellerei se INETD is listening and redirect to
server binaries, che non esistono. Questo e' lo scenario piu' semplice. O
forse e' il tuo IDS che colleziona informazioni circa gli IP Address degli
attacker e poi disconnette...in questo caso opterei per dei filtri per
impedire il tuo log file di avere dimensioni notevoli...
AMS67
--
A complete lack of evidence is the surest sign that the conspiracy is
working.

 AMS67
Niente inetd, ci sono solo i servizi utili (anche perchč dopo aver tolto
l'inutile mi rimaneva un inetd.conf con solo commenti!!).
Dove vedo che c'č gente seria scrivo all'abuse, uno di quelli che non mi
ha risposto (neanche con un autoresponder) č telecom :(


  risponde mai <g>
ah, perche', Tin ha un abuse desk? :)


Infatti la risposta non deve arrivare al chiamante!
Esiste una tipologia di attacco alle reti che si basa proprio su questo
aspetto dello spoofing, ed è anche una delle più efficaci e distruttive!

 tecniche di manipolazione della route.....
mi sono sempre chiesto ... a cosa servono queste tecniche? no nel senso,
se posso entrare nel router con la pass cisco o con riprogrammarlo via
snmp con la private, o leggere la cfg con la public ed avere le
credenziali di accesso ...
io credo che prima di preoccuparci, nella vita di tutti i giorni, di
terribili attacchi tecnicissimi, potremmo iniziare mettendo le password
...
un mayhem che vuole in "hosting" bancasella. (il server https gia' l'ho
;P)
--
Without sacrifice, withouth death, we would have nothing. TD
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org

terribili attacchi tecnicissimi, potremmo iniziare mettendo le password
Sono perfettamente d'accordo, in effetti spesso riporto quanto sopra
per beneficio d'inventario. Certo, a voler essere oltremodo
paranoici... ma dubito che tali tecniche siano utilizzabili al di
fuori di certe situazioni molto specifiche...
