Newsgroup: it.comp.sicurezza.varie
Titolo: X-POST: Scanning alla porta 12345, 31337 e varie altre

Ciao ragazzi scusate il X-POST, ma sono disperato.
Sto cercando di spiegare ad un tipo perchè non è una buona idea portscannare
1\2 usenet alla porta 12345 o 31337, spiegando anche che il fatto è
configurabile come tentativo.
Il problema è che mi è stato confutato che la 12345 è utilizzabile anche per
fini leciti, secondo lui soprattutto per fini leciti, quindi mi appello a
Voi o insigni ;-) per questo sondaggio.
A) Ti bussano alla porta 12345 cosa pensi?
1 è arrivata la pizza!;
2 cercano Italk;
3 un altro lamerozzo che cerca NetBus;
4 nulla, rispondo direttamente al fuoco;
B) Ti bussano alla porta 31337 cosa pensi?
1 è arrivata la pizza!;
2 cercano ... Quake;
3 un altro lamerozzo che cerca BO;
4 nulla, rispondo direttamente al fuoco;
C) Alla porta 12345 in genere posso trovare (indicare le percentuali di
possibilità):
1 Jessica Rabbit che fa la doccia;
2 il server Italk
3 il server NetBus
4 il client Italk
D) Alla porta 31337 in genere posso trovare (indicare le percentuali di
possibilità):
1 Demy Moore in tanga ed autoreggenti;
2 il server di Duke
3 il server di BO
4 DiCaprio che fa la doccia (altrimenti Lella, Vipera e le altre mi accusano
di pensare solo ai maschietti).
E) l'ultima giuro! Cosa cerca generalmente chi pinga la 12345 (indicare le
percentuali di possibilità)?
1 Napster
2 Di farsi accettare da Thorin
3 Di aiutarvi nel vostro lavoro segnalandovi le falle di sicurezza
4 di sapere se il suo provider è sicuro o no
5 svolgere un'indagine ISTAT sulla presenza di server NetBus
Grazie per il vostro aiuto, anche se non credo che servirà a convincerlo.
Non vi dico cosa ha scritto delle pagine del CERT perchè è degno di Panera!
__
Parsifal (davvero disperato!)
--
Parsifal
www.geocities.com/florindi1975
www.telediritto.it

configurabile come tentativo.
Ciao, Parsifal.
Sul fatto che non sia una buona idea, posso essere d'accordo.
Sul fatto che sia configurabile come tentativo io non
concordo affatto.
Mi spiego: se io vedo la console che mi si illumina e dice
che un pacchetto di richiesta sincronizzazione fa toc toc
alla 31337, cosi' come alla porta x (con x qualsiasi
nel range 2^0-2^16), dico "amen".
Se i syn mi arrivano in sequenza dallo stesso host su tutte 
le suddette porte o giu' di li', dico "azz, ma costui cerca
proprio me, allora?"
E dico amen di nuovo, tenendo sott'occhio anche qualche
log, che' male non fa mai.
Se qualcuno si *connette* ad una porta e non ha nessun buon 
motivo per farlo, allora potrei anche inquietarmi.
Ma finche' si bussa e non si cerca di forzare alcunche',
non c'e' nulla da fare o dire, se non aguzzare la vista
e l'ingegno.
E tutto questo per un semplice motivo: l'origine
di un pacchetto syn e' tutt'altro che certa, a dispetto
di cio' che il pacchetto stesso dichiara.
Pur sapendo che l'opinione di altri e' differente dalla mia,
io ritengo che un half open scanning non possa essere ritenuto
un "tentativo" perche', molto semplicemente, se cosi' fosse
si potrebbe far mettere sotto inchiesta praticamente chiunque
ci stia sulle scatole.

 ci stia sulle scatole.
Il problema è questo. La legge sui computer crimes punisce espressamente
l'accesso ad un sistema informatico ed il codice penale punisce anche il
tentativo di un reato.
Tutto ciò che è richiesto è la presenza di atti diretti in modo non equivoco
al raggiungimento di un determinato risultato. Ora secondo la giurisprudenza
e la dottrina prevalente questo non equivoco deve essere valutato sulla base
di quanto costantemente avviene nella prassi. Se io vengo sorpreso a
studiare la scatola dell'allarme di una villa è molto probabile che bvenga
accusato di tentato furto in quanto lo studio di un allarme è *generalmente*
volto alla sua disinstallazione, a meno che io non sia un tecnico
autorizzato ;-)
Allo stesso modo la scansione di un range di IP o di un solo IP
esclusivamente in relazione alle porte che in genere "ospitano" backdoor è
IMHO un indice piuttosto certo delle intenzioni dello scannatore.
Se arriviamo a dire che è altamente probabile che chi pinga la 31337 cerca
un server BO dobbiamo necessariamente ricondurre il ping diretto al
tentativo. Non dico che sia giusto, dico solo che per come è fatta la legge
italiana il Bo ping è configurabile come tentativo.
In sede di indagini preliminare, poi, potrà emergere o che l'utente
utilizzava un altro software impeganto sulla 31337 e quindi cerava proprio
quel server e non un BO, ma potrebbe anche saltare fuori il BO client ed
allora il quadro sarebbe più completo e la situazione per il pingatore
piuttosto tetra.
Ribadisco che il solo fatto di fare un port scanning ad un range di porte
non può essere identificato come un tentativo, al massimo si potrebbe
trattare di atti preparatori, mentre un bo scanning (scan diretto alla porta
Bo per un indirizzo o un range di IP) è IMHO chiaramente volto a cercare il
server e dato che di default il server non ha protezioni ad accedere alla
macchina.
Ciao
--
Parsifal

 piuttosto tetra.
E' quello che sto cercando di dirti io:
mi sa che il solo portscanning è poco.. fai pure la tua denuncia.. ma poi se
non saltano fuori altri elementi (tipo un client BO) mi sa che la "prassi"
in questo caso è un elemento non sufficiente...
Dario

Il problema è questo. La legge sui computer crimes 
Se la legge prevede che un syn sia reato, e' una legge da rifare.

 Se la legge prevede che un syn sia reato, e' una legge da rifare.
No aspetta non generalizzare. La legge è indubbiamente da rifare, ma il
semplice scanning non è reato. Tutt'alpiù potrebbe essere identificato come
tentativo, se effettuato con determinate modalità che per lo stesso modo in
cui vemgoni poste in essere lasciano presumere la precisa volontà di
utilizzare una backdoor.
Questo prescindendo dalle difficoltà tecniche di rintracciare lo scnnatore
;-)
--
Parsifal

 5 svolgere un'indagine ISTAT sulla presenza di server NetBus
Senza dubbio nella maggior parte dei casi 2. [1]
[1] Io sono dell'opinione di non rompere le palle a nessuno ma se uno mi
pesta un piede normalmente io gli pesto entrambe i piedi e la faccia.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 pesta un piede normalmente io gli pesto entrambe i piedi e la faccia.
ROTFL
chissą perchč mi aspettavo una risposta del genere ;-)
--
Parsifal