Newsgroup: it.comp.sicurezza.varie
Titolo: PINGBOMB

Parlando con un amico sono venuto a conoscenza che sotto linux con qualche
comando non ben identificato si puo'   "dire" a piu' server di mandare una
valanga di ping ad un ip .......
Il malcapitato si vedrebbe arrivare milioni di ping con conseguente
incasinamento del computer....
Come si puo' realizzare tutto questo?
E' possibile anche sotto Win95?
Cosa si puo' fare per difendersi?

Giuseppe Spinosa wrote:

  ping -f  indirizzo
come si realizza , si mette sotto il computer e lo si fa' produrre pacchetti
diretti verso un hostname in continuazione .
win95 ha un ping ?
non mandare in giro il proprio ip (facile no?)

 E' possibile anche sotto Win95?
AFAIK il ping di WinBug non puo' farlo.. puo' darsi che mi sbagli.. ma ci
sono altro strumenti per fare flooding, che pero' non conosco visto che
non uso il bug con la 'W' attorno.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>

 altri? 
Difendermi sicuramente....questo giochetto mi e' stato fatto due volte e ti
assicuro che non e' piacevole??
E' possibile identificare il mandante dei ping??

Cosa si puo' fare per difendersi?
nulla.
See Ya Soon,   
Frankj 
ICQ# 15068478 
e-mail:ihav...@usa.net
--------------------------------------
Pizzairc - #pizza Home Page
http://www.chez.com/pizzairc
--------------------------------------

 E' possibile identificare il mandante dei ping??
Se hai qualcosa che permetta di loggare l'attivita' durante la connessione
allora si.


Cosa si puo' fare per difendersi?
nulla .. rompere le balle a quegli amministratori di cui sopra
perche' mettano a posto le cose
-- 
Andrea Iosio
------------
                                        .---.
E-Mail     :
a.i...@iol.it
             < ^ ; ~,
Loc        :Ivrea ,  Italy              (_  _,    "Piyo"       
nick       :zen                          J^^>
#ICQ       :11602783

 non uso il bug con la 'W' attorno.
C:\WINDOWS>ping
Sintassi: ping [-t] [-a] [-n numero] [-l lunghezza] [-f] [-i TTL] [-v TOS]
               [-r numero] [-s numero] [[-j elenco-host] | [-k elenco-host]]
               [-w timeout] elenco-destinazioni
Opzioni:
  -t             Esegue Ping sull'host specificato finché non viene
interrotto.
                 Per vedere le statistiche e continuare, premere
Control-Inter;
                 per interrompere, premere Control-C.
  -a             Risolve gli indirizzi in nomi host.
  -n numero      Invia numero di richieste di eco.
  -l lunghezza   Invia dimensione buffer.
  -f             Imposta il flag Non frammentare nel pacchetto.
  -i TTL         Vita pacchetto.
  -v TOS         Tipo di servizio.
  -r count       Registra route per il conteggio dei punti di passaggio.
  -s count       Marca orario per il conteggio dei punti di passaggio.
  -j elenco-host Instradamento libero lungo l'elenco host.
  -k elenco-host Instradamento ristretto lungo l'elenco host.
  -w timeout     Timeout in millisecondi per ogni risposta.
L'opzione che interessa sembrerebbe la prima, "-t". Controindicazioni: a parte
impegnare una finestra DOS solo per quello (poco male), mi sa che la
connessione ne risenta un po', dato che la banda che ha a disposizione il
modem e' sempre quella.
Boh, secondo me i rompipalle non devono essere onorati di tante attenzioni,
dopo un po' si stufano. Magari il discorso cambia quando la "molestia" alza un
po' il tiro.
Ciao, Max.
-- 
Nuova home page di Security FAQ:
http:/
members.xoom.com/gouldukat

 diretti verso un hostname in continuazione .
ok ma e' un ping flood, NON quello che chiedeva lui, ovvero un ICMP
Broadcast Storm.
invy
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

 Cosa si puo' fare per difendersi?
da soli nulla. O il tuo ISP nega ogni ICMP ECHO/ECHO_REPLY oppure il tuo
modem SARA' cmq saturato, che tu filtri o meno con i vari firewall gli
ICMP, in quanto questa operazione avverra' cmq a valle del tuo ppp con il
provider.


 niente di particolare.
anche tu ! :) e no, eh ?! il ping -f non c'entra nulla con quello che ha
chiesto sto tizio :) testualmente dice:
'dire ad altri server di inondare di ping' ..... dimmi come pensi lo
faccia ping -f ? Forse per la collezione che tu ed AGX state preparando
per i rompiballe devi prima passare anche qui da me :) ....


 E' possibile identificare il mandante dei ping??
certo :) sono indirizzi delle reti che rispondono come tontoloni a ICMP in
broadcast e si adeguano mandandoti indietro tutte i reply che l'attaccante
ha richiesto da parte tua.
o forse volevi quello dell'attaccante ?! :PPP
guarda negli occhi i tuoi amiconi oppure chatta con quello spavaldo nel
canale irc .... ma si proprio quello :) ....


 trovati con un "broadscan" per Linux). 
non tutti i broadcast terminano per 255 o .0 (c'e' anche quello sai ?) in
virtu' del CIDR. Spesso le varie subnet hanno i loro IP di broadcast e
proprio per questo si usa uno scanner. Se fosse solo il .255 potresti
mandare qualche migliaio di pkt ad altrettanti .255 sicuro di beccarne
almeno 100 .... :)


 allora si.
direi di no invece. proprio per il fatto che arrivino da LAN in bcast. E
nel caso di flood diretti punto/punto :) a la ping -f, a quel punto anche
un ebete utilizzerebbe IP spoofati. Oramai sti codici li hanno proprio
tutti .... :O


 modem e' sempre quella.
yes sir.
invy
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------
[*] BUGTRAQ

canale irc .... ma si proprio quello :) ....
eheh ma sei proprio sicuro? naaaa quello è un bambino, non farebbe
male ad una mosca ;)
See Ya Soon,   
Frankj 
ICQ# 15068478 
e-mail:ihav...@usa.net
--------------------------------------
Pizzairc - #pizza Home Page
http://www.chez.com/pizzairc
news:alt.irc.mirc.scripts.pizza
--------------------------------------

Cosa si puo' fare per difendersi?
Niente. Ci deve pensare il provider.
E no, neanche e' possibile identificare l'attaccante. O, almeno... in
teoria e se e' prudente, non e' possibile. Se cede alla tentazione di
sapere se sei ancora vivo, invece... 8-)
Leonardo
".signature": bad command or file name


cos'è di preciso il broadcast, e a che serve oltre a permettere questo tipo di
flood?:)
Grazie
Francesco

sapere se sei ancora vivo, invece... 8-)
Se il provider e il suo upstream collaborano in tempo reale e`
possibile, ma questi due eventi sono a dir poco improbabili.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

Leonardo Serni ha scritto:


Broadcast significa spedire un pacchetto a tutti gli appartenenti ad un
certo gruppo; un "indirizzo di broadcast" consente di fare questo pero'
con un solo pacchetto.
In pratica, il tuo computer "ascolta" su 192.168.0.27 (poniamo) e anche
su 192.168.0.255 per determinate cose. Se voglio mandare un messaggio a
tutti i sistemi di 192.168.0.?, anziche' fare
	for i = 1 to 254 sendmessage_to 192.168.0.$i
faccio
	sendmessage_to 192.168.0.255
e tutti lo sentono.
E' il metodo usato da Windows 95 per pubblicizzare le shares in rete: a
intervalli regolari manda un pacchetto UDP broadcast a tutti quelli che
lo stanno a sentire. E quando su una rete cominciano ad esserci piu' di
un tot di sistemi, la situazione si fa pesante 8-)
Con il PING e' identico. Sotto Windows:
C:\WINDOWS\Desktop>ping 192.168.0.255
Pinging 192.168.0.255 with 32 bytes of data:
Reply from 
192.168.0.255
: bytes=32 time=1ms TTL=64
Reply from 
192.168.0.255
: bytes=32 time=1ms TTL=64
Reply from 
192.168.0.255
: bytes=32 time<10ms TTL=64
+++
Notare che questa implementazione di PING sotto Windows non serve a una
mazza, perche' quando io pingo .255, mi rispondono .1, .2, .3, e quello
che io voglio sapere e' .1, .2, .3: che QUALCUNO ci sia lo so, .255 non
mi serve a niente.



ICQ #34602650

 Francesco
I messaggi "broadcast" sono quelli che vengono inviati, non ad uno
specifico indirizzo, ma a "tutti gli indirizzi possibili" (per lo meno
in uno specifico ambito).
E' possibile mandare un messaggio di broadcast all'interno di una
singola rete locale, e questo sara' ricevuto da tutti i suoi host.
Es. Supponi di rivolgerti ad una rete i indirizzo xxx.xxx.000.000 (dove
xxx.xxx rappresenta il netid - indicativo di rete - e allo 000.000
corrispondono tutti i vari hostid - indirizzi delle macchine nella
rete). Mandando un messaggio all'indirizzo xxx.xxx.255.255, tale
messaggio sara' ricevuto da tutti i nodi della rete xxx.xxx.
Esiste poi un indirizzo di broadcast detto "limitato", ossia l'IP
255.255.255.255, che permette di inviare messaggi (e qui spero di
ricordarmi bene) a tutti gli host della rete cui appartiene la tua
macchina.
Aggiungerei, a proposito una domanda:
Se io mi connetto attraverso un ISP che, quindi, mi affida dinamicamente
un indirizzo IP, io entro a far parte della "rete del provider": se
mando un pacchetto in broacast sulla mia rete, potenzialmente puo'
arrivare a tutti gli host collegati in quel momento a mezzo dello stesso
provider (prescindendo dal fatto che il pacchetto possa essere
"accettato" o meno dalle singole macchine).
-- 
La tolleranza e' la virtu' di chi non deve dimostrare nulla ...
	@>-+ Vex -+-

Broadcast significa
Leonardo sei sempre prezioso!! :-)
(((-Alinox-)))
_______________________________________
Per rispondere in M)box togliere NOSPAM

un tot di sistemi, la situazione si fa pesante 8-)
Adesso comincio a capire il perche' di tutti i UDP request nel log di
iplogd....
Sidewinder

intervalli regolari manda un pacchetto UDP broadcast a tutti quelli che
e' l'ottimo motivo per installarsi conseal anche se non si hanno
troiai vari ;) ti blocca sia 137 che 138 (e di tentativi sulla 138 win
ne fa a piene mani...)
,ciao,
nebbia

                [-w timeout] elenco-destinazioni
Si, resterebbe da vedere se e' proprio quello e *quanto* funziona...
Se mi va provo... ma non ho voglia di perderci molto tempo.


 chiesto sto tizio :) testualmente dice:
Si ma nella man page recita: "Outputs packets as fast as they come
back". Cosa intendi tu per questo, allora? :)
Cmq verro' di buon grado a lezione..


troiai vari ;) 
Il guaio e' che la rete viene popolata lo stesso, anzi: adesso di
messaggi che nessuno sta a sentire!
Un motivo simpatico per mettere conseal puo' essere questo:
Wed Mar 31 11:30:04 1999:4: TCP |PSH|ACK|URG| to port 139/tcp 
				from 
a-fi8-56.tin.it:1187
Wed Mar 31 11:30:04 1999:4: TCP |FIN|PSH|ACK|URG| to port 139/tcp 
				from 
a-fi8-56.tin.it:1187
...il motivo di questo (un WinNuke, suppongo anzi il 'Liquid') e'
probabilmente che il signor a-fi8-56 si era svegliato con il culo
storto, s'era preso con un tizio che aveva il *mio* IP, e l'aveva
buttato giu' a forza di randellate nel viso.
Qualche secondo dopo, chiama la Linux box, ottiene lo stesso IP e
si vede arronzare la "coda" dell'attacco di questo delinquente.
Se avessi avuto un Windows non patchato, mi sarei collegato e BAM
avrei visto una bella schermata blu senza motivo (ed avrei detto:
"Ma se nessuno manco sapeva che mi ero appena collegato...").


iplogd....
A me in rete circola roba che neanche tcpdump riesce a capire cosa sia.
Ho installato una stazioncina Linux per fare da firewall a un server NT
SP4. Solo che non deve tenere fuori i cattivi: deve tenere dentro lui.
- e' normale che dopo una #@"$ richiesta ARP del tutto lecita, qualcuno
  indica una elezione e NON si fidi dell'ottimo samba-1.19p7 (IIRC) che
  e' l'unico master, per grazia di Dio e volonta' della nazione?
- passi che i nomi NetBEUI vengano chiesti al DNS; e' una cazzata pero'
  passi; ma una query per 
mail.local.net
, perche' straca%%o deve andare
  a generare un broadcast del tipo "\\MAIL! Dove sei, \\MAIL?"
- cosa sono quei dati IPX "unknown", riportanti pero' in ASCII pezzi di
  nomi NetBEUI, che ogni tanto circolano?
- e' normale che vengano generate queries su UDP, quando uno _trascina_
  una finestra di Explorer _LOCALE_?


 "accettato" o meno dalle singole macchine).
non credo. tralasciando ogni considerazione sugli ISP cantinari(C), in
teoria host in punto-punto non rispondono ad un broadcast. Se questo
avvenga perche' di default non esiste un indirizzo di bcast per i terminal
server, o perche' venga disabilitato, non saprei. Ma puoi cmq provare :)
Ad ogni modo si fa parte della rete del provider solo nominalmente, come
ti sarai di certo accorto se avrai provato a sniffare su un link PPP ...


 Cmq verro' di buon grado a lezione..
oh, costano proprio poco :) ....


 oh, costano proprio poco :) ....
Bene, non ho molti fondi da dedicare a queste attivita' ultimamente...
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
<<   Available PGP keys: DSS/DH                   >>