Newsgroup: it.comp.sicurezza.varie
Titolo: Port scan anomino, considerazioni

Caio a tutti Leggendo dei vostri post mi stava venendo in mente se fosse
possibile fare un port scan anomino;
Escluso l'uso di altri pc ad insaputa del proprietario... in linea di
massima penso servano 2 macchine sulla stessa porizone di lan, una con
indirizzo spoofato che fa il port scanning ed un altra con uno sniffer
attivato.
Analizzando lo sniffer
Potrei suporre che i pacchetti syn-ack di ritorno dalla macchina
portscannata indicheranno le porte "aperte", mentre i pacchetti di rst
indicheranno le porte chiuse.
Ora mentre dal punto di vista teorico lo capisco su macchine con device
ehternet, mi chiedevo su interfaccia ppp che succede?
Sul ppp non so quasi nulla pultroppo ma penso che la strada da me
ipotizzata prima non sia percorribile, perche non capisco come possa
funzionare uno sniffer partendo dal ppp,
l'apparato di accesso remoto penso che infatti si debba comportare da
switch e non permettere che sull'intefaccia ppp arrivino tutti i
pacchetti ed anche se cosě fosse la banda passante dell'intefaccia di
accesso remoto non riuscirebbe a veicolare tutte le info che mi
servirebbero?
Scusate eventuali corbellerie ho bevuto troppo oggi ;) !!
stň ragionando per capire melgio,
voi che ne dite ?
Saluti a tutti!

voi che ne dite ?
Tutto giusto.
Ma ti rimane un altro metodo: usare un host esterno come falso punto di
origine del tuo portscan, se hai a disposizione dei metodi "affidabili"
per determinare, dai cambiamenti in quell'host esterno, come ha reagito
la tua "vittima".
Per esempio, per stabilire se il signor X e' o meno un campione di arti
marziali, potresti fare arrivare a Giggi 'r Macellaio un biglietto, con
la firma del signor X e indirizzato alla sua (di Giggi) signora, con il
quale si ringrazia per la notte di torrida passione.
Poi, monitorizzi le ammissioni al Pronto Soccorso: se entra Giggi, vuol
dire che il signor X e' campione di arti marziali, e se entra il signor
X vuol dire che non lo era.
Il concetto e' un po' meno brutale con il TCP/IP, ma sostanzialmente e'
identico. Nota che ne' il signor X, ne' Giggi, hanno idea di chi si sia
dato al billet-doux spoofing :-), e tutta la tua "attivita' sospetta" a
quel punto si riduce a bighellonare nell'astanteria del Pronto Soccorso
locale.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

Hihi nn mi azzarderei molto a mandare messaggi  a giggi 'r macellaio ;) !!
Comunque il concetto è chiaro, resta il discorso che con "host" di tipo ppp
mi pare
comunque quasi infattibile, anche se mi giungono voci che sia possibile
"sniffare"
i pacchetti in arrivo sull'ethernet sul router
ma ingoro come :O


mi pare comunque quasi infattibile
E' indifferente che tipo di connessione usi. L'unica cosa di cui ti devi
curare, e' che il provider non faccia "egress filtering", cioe' non badi
all'indirizzo di provenienza dei pacchetti della SUA sottorete.
(E' ovvio che i pacchetti in uscita da una sottorete di ISP *dovrebbero*
avere indirizzo di provenienza appartenente a quella sottorete, ma farci
un controllo esplicito costa qualche lira).
Leonardo
-- 
Linux PC is like South Pole igloo.
not get blue, not freeze to death, no Windows, no Gates,
and helluva penguins all around.

Poi, monitorizzi le ammissioni al Pronto Soccorso: 
ROTFL!! Senti, posso lucchettarlo e usare questa metafora al mio
prossimo corso di networkin' (la lettera tra la "f" e la "h" non mi
funziona) ? secondo me 'li allievi mi faranno una statua per un
para'one cosě  :-))))
-- 
ciao
max, m...@pkri.network (leva work per rispondere)