Newsgroup: it.comp.sicurezza.varie
Titolo: Npam Fin e porte aperte

Ho la rete interna protetta da IpCop e non ho server che devono
essere disponibili all'esterno, quindi la configurazione e' quella solita
con scheda verde e scheda rossa.
Se faccio scansione con Nmap con l'opzione -sS (cioe' Syn), trovo
che tutte le porte sono filtrate e fin qui mi sentivo tranquillo.
Pero' se utilizzo lo scan Fin, Xmas o Null la risposta e' che tutte le
65000 porte risultano aperte.
Da manuale ho letto che le porte chiuse devono rispondere
con un Rst, mentre le aperte dovrebbero ignorare il pacchetto.
Leggo ancora: "Se lo scan trova porte aperte sapete che la
macchina non e' un computer con Windows"...
...e infatti il sistema e' Ipcop, ma e' normale vedere tutte le porte aperte?
** Free nntp server at 
www.x-privat.org
 **

 mentre le aperte dovrebbero ignorare il pacchetto. Leggo ancora: "Se lo
Unisci le ultime due frasi e avrai da solo la risposta che cerchi:
le porte aperte devono ignorare il pacchetto.
Quindi, le porte che non rispondono, sono considerate aperte.
Se tu le richieste in questione le droppi, non gli dai una risposta.
Pertanto nmap le considera aperte.
Mi pare fili, no???
Byez...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 Mi pare fili, no???
Come un treno ... ;-)

 ma e' normale vedere tutte le porte aperte?
Si, e' normale che nmap dia quel risultato se e' una versione datata.
Usa una versione piu' recente.
Fabio

 
La versione e' la 3.00 (da riga di comando) e ho lanciato da riga di comando con la sola opzione
-sF senza P0 (sto leggendo il manuale e' volevo fare una cosa per volta
per capire).


 cosa per volta per capire).
E' sufficentemente recente. Il risultato, se non mi son perso qualcosa 
per strada :-), sarebbe dovuto essere che tutte le porte sono filtrate 
anche nel caso del FIN scan. Prova a copiare e incollare quello che ti 
appare a terminale, compresa linea di comando, cosi' vediamo di capire
meglio (se t'interessa), perche' i risultati non mi sembrano coerenti.
Il '-P0' non invia l'echo request iniziale che nmap usa per verificare
che l'host sia su (e, eventualmente, per aggiustare i risultati). Se i
test non sono falliti in partenza vuole dire che il tuo ipcop risponde
agli echo request. Scommetto che non e' quel che volevi :-) (visto che
stai droppando). 
Fabio

 filtrate.
Be', e' giusto: se non filtri gli echo o se li filtri ma usi -P0, nmap
assume che l'host sia "up", non cambia niente. Il mio commento su -P0,
in ogni caso, era solo accessorio: se il test viene portato a termine,
che sia perche' c'e un echo reply o perche' si usa -P0, i risultati di 
un FIN scan su piu' di 25 porte stealth essere "filtered", non open. I
tuoi risultati sono corretti, i suoi no.
Fabio

 un FIN scan su piu' di 25 porte stealth essere "filtered", non open. I
                                         ^
                                        deve

 65000 porte risultano aperte.
Le 65000 porte aperte mi ricordano tanto un post di Leonardo...
http://groups.google.com/groups?selm=ha710v0ipho2borhj3rbe6le8ljehco50b%40L.Se
rni
Ciaotutti,
* e una tangente che non c'azzecca, ma tanto han gia' risposto