Newsgroup: it.comp.sicurezza.varie
Titolo: Firewall dietro NAT

Stavo facendo qualche esperimento con un firewall piazzato dietro un router
ADSL con NAT, il quale nasconde gia' di suo tutte le porte da 0 a 1055
(testato con la nuova versione di ShieldsUp!!, molto carina...)
A parte alcuni problemi con l'invio di posta da OE e da webmail, ho notato
guardando il log del firewall che qualcuno e' riuscito (una sola volta) a
"bucare" il NAT... vado a vedere a chi appartiene l'IP source, e ARIN
risponde... Microsoft!
Purtroppo non ho potuto salvare il log, ma ricordo che il pacchetto era da
porta 80 a porta 1124: che poteva essere?
Un test specifico sulla visibilita' dall'esterno della porta 1124 l'ha
dichiarata stealth.

 da porta 80 a porta 1124: che poteva essere?
ma era solo qualcuno (un browser? winupdate? il maggiordomo?) che
accedeva ad un server web della ms..
.
.
..forse.. (parte la musichetta)
-- 
a torino siamo piu' fighi: i nostri cantieri sono eventi culturali, mica
dei semplici buchi polverosi da cui esce un rumore assordante!
http://www.comune.torino.it/cantieri/manuale/index.htm

 accedeva ad un server web della ms..
Bene, ma che stava cercando di fare quel server web?

 Bene, ma che stava cercando di fare quel server web?
non hai capito, secondo me era il browser che accedeva al server web che
diligentemente forniva le pagine richieste.


 dichiarata stealth.
Per forza, sei tu a stabilire la connessione... 

 diligentemente forniva le pagine richieste.
Se cosi' fosse, non vedo perche' il firewall avrebbe dovuto bloccare e
loggare quel pacchetto (ripeto, l'unico visibile nel log: tutti gli altri
sono passati senza segnalazioni): se l'ha bloccato, e' perche' non trovava
una richiesta corrispondente, dunque non sapeva a quale dei PC della rete
inviarlo...

 all'equipaggio di
it.comp.sicurezza.varie:

Se la mia memoria non mi inganna, e' noto che il bellissimo server web
microshit fa una specie di ping/query/lookup ('nzomma manda un po' di
monnezza) verso l'ip del l'utente, per ragione sconosciute tuttora ai
comuni mortali (leggasi come ragioni astruse).
Considera inoltre che un pacchetto e' facilmente forgiabile.
Io direi semplicemente di ignorare l'avviso.
-- 
Linux Registered User #181013
[Exokernels] Although one approach to eliminating bloated, buggy,
unreliable operating systems is to make them smaller. A more radical
one is to eliminate the operating system altogether.

 loggare quel pacchetto (ripeto, l'unico visibile nel log
poteva esserci un errore nel pacchetto: e' normale che su una miriade di
pacchetti ogni tanto uno venga trasmesso male e contenga uno o piu' bit
invertiti. o magari e' stato un errore del firewall che ha processato male
il nuovo arrivato.. magari in virtu' di qualche remoto e sconosciuto baco
o di uno sbalzo di tensione.. chi lo sa.
poteva anche essere un pacchetto forgiato da zero da qualcuno (o da un
virus) ma a che pro? poi uno solo? su quella porta poi..
io ignorerei la segnalazione propendendo per l'ipotesi dell'errore o al
piu' terrei il pacchetto (che magari hai loggato per intero) per
collezione o per farne magari una statistica insieme ad altri misteriosi
pacchetti che naufragheranno senza motivo sul tuo firewall col tempo.
da qualche parte avevo trovato un sito proprio sull'argomento "misteriosi
pacchetti non identificati".
barbun e gli ufo su internet :P



Thanks!

 >porta 80 a porta 1124: che poteva essere?
č un nuovo exploit di windows, e il source č questo:
207.46.134.94
ma la cosa piu strana č che la gente si autobuca con consapevolezza!!!
figurati che alcuni firewalls, lo riconoscono come interni alla network,
dopo che un pc ci si connette....
LaPina Che non ha piu tempo per leggere questo Niusgrup

 207.46.134.94
Non e' l'IP di Windows Update?