Newsgroup: it.comp.sicurezza.varie
Titolo: [TUTORIAL] Firewall, accessi da 127.0.0.1 e blaster

Per evitare il solito flood di richieste, di cui v'e' gia' il primo
sentore, spendo due righette per descrivere alcuni aspetti del worm
"blaster" che possono essere d'interesse a chi riceve quei comunque
innocui pacchetti provenienti da indirizzi di loopback.
Il succitato worm (sui cui metodi di diffusione per ora sorvoliamo)
incorpora una routine destinata a lanciare un DDoS verso certi host
d'indubbia popolarita', uno per tutti 
windowsupdate.com
. Il payload
di attacco prevede l'apertura di connessioni sulla porta 80/tcp dei
malcapitati server (e se gli host infetti sono tanti...). Trattasi,
nel caso specifico, d'un tentativo di SYN flood distribuito (quasi)
che viene condotto da blaster inviando un SYN alla porta 80/tcp del
server vittima usando indirizzi sorgente spoofati. E' quasi inutile
osservare che il SYN/ACK della vittima arrivera' all'host a cui nel
momento dell'attacco appartiene l'indirizzo ip spoofato da blaster,
da cui i SYN/ACK che tanti vedono provenire da alcuni host in rete.
Blaster, a quanto pare, non contiene una lista di ip (furbetto!) ma
una lista di nomi host dei server da floodare e quindi gli tocca di
risolverli, per poter sferrare il suo attacco. Per venire in contro
ai possessori dei server floodati alcuni gestori di DNS hanno avuto
un'ideona: "risolviamo il nome host delle macchine soggette a flood
in 127.0.0.1!". Detto fatto: ora i blaster in esecuzione su host il
cui DNS risolve i nomi nell'indirizzo di loopback inviano un SYN al
127.0.0.1. Incidentalmente l'interfaccia di loopback risponde con i
suoi SYN/ACK o RST (a seconda che ci sia o meno un server web sugli
host infetti) che vengono inviati all'indirizzo ip spoofato. Da cui
i pacchetti che tutti vedono sui propri firewall.
I ringraziamenti vanno ai gestori di DNS e ai gestori dei router.
Fabio
PS: si, HappyCactus, lo so che non serve a niente, ma...

 PS: si, HappyCactus, lo so che non serve a niente, ma...
Non essere troppo pessimista... A me è servito! ;-P
-- 
Cornelius dixit.
Co-moderatore di 
www.fab4fans.com
Redattore di 
www.scidecom.org

 Non essere troppo pessimista... A me è servito! ;-P
Aggiungo che sarebbe da mettere su FAQ....ehi Firebeam!!
Saluti, Anto
--
Allacciatevi alla vita. [Servizio Autostrade]
http://swpat.xsec.it/

 PS: si, HappyCactus, lo so che non serve a niente, ma...
io? eh? cosa? 
ero sveglio, ero sveglio!
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
- Per Berlusconi un'affascinante sfida quella dell'Europa   -
- Gli si apre tutto un altro mondo da insultare (ellekappa) -

 ero sveglio, ero sveglio!
Volevo riferirmi alla triste fine del tuo utile (e snobbato)
tutorial su opaserv.
Fabio

> PS: si, HappyCactus, lo so che non serve a niente, ma...
Non č vero che non serve a niente.
Questo č il genere di cose che la gente che vuole capire e
imparare qualcosa cerca nel newsgroup.
Grazie 1000.
Tavares (che ha apprezzato la spiegazione!).

Grazie 1000.
Anche io metto via e ringrazio; ciò non toglie che molti piomberanno
qui a postare senza leggerlo, temo :-(

 tutorial su opaserv.
ah, gia'. bei tempi. quando ancora gli eroi calpestavano il suolo di
Madre Terra e offrivano il cuore alla causa.


 E se uno vuole aggiornare il suo windoze?
hfnetchk, e pedalare
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.3. C, C++ and ASM developers
                               and beta testers are welcome!

 hfnetchk, e pedalare
Vuoi forse insinuare ;) che mettere in filtro 
windowsupdate.com
 e'
stata una cosa intelligente?


 stata una cosa intelligente?
Bah, io metterei rpcss.exe su floppy e murerei la porta corrispondente.


 qui a postare senza leggerlo, temo :-(
E gli si rispondera': leggi su 
http://securfaq.usenet.eu.org
 :-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 195WU/1yrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Aggiungo che sarebbe da mettere su FAQ....ehi Firebeam!!
Eccomi, honey! :-)
/me salva la pagina...
...
/me uppa la pagina.


 stata una cosa intelligente?
se ha allontanato persone da Windows Update a favore di hfnetchk sě. Se 
cosě non č stato, la cosa mi lascia indifferente :-P per due ragioni:
 - non serve Windows Update per gli hotfix. hfnetchk basta e avanza
 - l'orda di patchatori dell'ultimo minuto non mi ha toccata, perchč io 
   l'avevo installata il mese prima :-P
