Newsgroup: it.comp.sicurezza.varie
Titolo: ip

mi date il nome di un programma che mascheri l'ip?
Non mi va di girare in rete e sapere e tutti possono sapere chi sono, se non
chi voglio io.
Ciao e grazie



Questa diventera' una FAQ (Frequently Answered Question). Anzi tre. La
prima:
Q. Come mai *NON SI PUO'* mascherare il proprio IP nella maggior parte
   dei casi?
A. Perche' il protocollo TCP-IP prevede uno scambio *continuo* di dati
   e l'IP non e' qualcosa che serve solo per STABILIRE la connessione,
   com'e' il numero telefonico, ma e' qualcosa che dev'essere aggiunto
   ad OGNI pacchetto, altrimenti quello non trova la strada giusta. Di
   conseguenza nessuno impedisce di mandar fuori pacchetti con un IP a
   proprio capriccio, pero' NESSUNO RISPONDERA'.
   Per esempio diciamo che si vuole connettersi al sito 
www.maiale.com
   per avere statistiche sul consumo di salumi, ma per qualche ragione
   non si voglia fare sapere che a connettersi e' 
ip57.clausura.va
; e'
   possibile "uscire" come 
a-fi17-11.tin.it
, l'IP di un altro corbello
   che non ne sa niente e non si lamentera'.
   E questo e' quello che succede, MOLTO alla buona:
   ip57 (fingendosi a-fi17) --> 
www.maiale.com
: "Mandami la home page"
 
www.maiale.com
 --> a-fi17: "Ecco la home page"
   a-fi17: "Request not understood"
 
www.maiale.com
 --> a-fi17: "Dicevo, ecco la home page"
   a-fi17: "Non ho richiesto nessuna home page, non ti conosco e manco
   ci tengo a conoscerti. Pussa via in fretta, o soffri con comodo"
 
   Nel frattempo ip57 non ha ricevuto un accidenti di niente.
Q. E come mai in certi casi e' possibile...?
A. Se ti interessa mandare UN SOLO pacchetto di dati, per esempio, una
   dialog box di Back Orifice con scritto "Attento, hai Back Orifice",
   e per qualche motivo (eh?) non hai interesse a ricevere la risposta
   e preferisci che non si sappia che sei stato tu a mandare quel solo
   pacchetto, ci metti dentro un indirizzo fasullo.
   E' come mandare una lettera
	Caro Rossi,
	TUA MOGLIE CIA' LE PULCI!
			Arvaro, 'r macellaio all'angolo
   ...il messaggio arriva, poi c'e' caso che Rossi se la prenda con un
   macellaio innocente e finisca sgozzato come un capretto (e, magari,
   era questo lo scopo -- lo smurf non si fa solo con ICMP: esiste una
   versione Smurf/SE, dove SE sta per Social Engineering).
Q. Ma io ho visto programmi che
	a. spoofano
	b. spuffano
	c. spofano
   l'IP sul sito www.taldeitali.boh!
A. Si tratta al 100% di programmi, non funzionanti, che al 90% vengono
   scritti da
	a. lamers
	b. wannabes
	c. gente cretina dentro
   in Visual Basic (90%) o Delphi (10%), contenenti:
	95% documenti scritti con scarsa attenzione all'ortografia
	60% documenti che ignorano del tutto o in parte la sintassi
	50% Back Orifice o simili trojans
	45% roba che l'autore pensava fosse grafica accattivante
	30% altre minchiate classificate k3wl (sp?) presso gente di
            basso rango, che, se invertisse fra loro QI e numero di
            scarpe o le quantita' di lettori ottici e cromosomi 21,
            non ce la farebbe lo stesso a passare per normale
        10% codice poco elegante ma efficace, tipo "FORMAT C:"
Leonardo

Sei una potenza, varamente una bella risposta, la più completa!!
Grazie
Leon

Q. E come mai in certi casi e' possibile...?
Perche` si usa UDP che e` connectionless, mi sembra importante
specificarlo.
Oppure perche` si fa del blind spoofing con TCP.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *


ICQ #34602650

quindi ci si puo' connettere ugualmente anche con ip falso ?
se uno vuole solo nukkare qualcuno o fargli dei danni di quel genere insomma
ad esempio se io sono in chat con alcune persone, posso
mascherare l' ip per quel che riguarda l'invio dei pacchetti contro
una di queste e contemporaneamente vedere che non risponde piu'
nella chat e magari viene disconnesso a causa dei suddetti pacchetti ?
ovviamente la mia è solo curiosita', non faccio queste cattiverie
e non ne sarei nemmeno capace.
ciao
  Bart

specificarlo.
No, a questo livello di FAQ io lascerei perdere.
Leonardo
[1] Se la risposta fosse "s/to pe/to molto pe/g" o simile,
    come credo, puoi limitarti a mettere una crocetta [ ]

nella chat e magari viene disconnesso a causa dei suddetti pacchetti ?
Si', naturalmente. SE l'altro PC e' vulnerabile a questi scherzi. In
ogni caso non e' in grado di rintracciare da dove viene il colpo.
O quasi <grin>. C'e' altra roba nei pacchetti TCP e IP, non soltanto
l'indirizzo del mittente :-)
Leonardo

 nella chat e magari viene disconnesso a causa dei suddetti pacchetti ?
x fare delle nuke non e' necessario avere una connessione completa. in
questo caso il programma costruisce i paccheti che verranni inviati
consentendo anche la possibilita' di modificare l'ip sorgente. (e
normalmente un campo del pacchetto NON PREVISTO dall'host vittima, che
va' in errore trovandosi qualcosa di inaspettato).
Ciao.
/*
operatore : di cosa avete bisogno... oltre ad un miracolo ?
Neo : armi, molte armi. */

 nella chat e magari viene disconnesso a causa dei suddetti pacchetti ?
Questo è possibile.


     come credo, puoi limitarti a mettere una crocetta [X]
Ce la metto io, Leo :-))) Una volta rispose a me cosi', per segnalare una
correzione delle faq.

 va' in errore trovandosi qualcosa di inaspettato).
sarebbe ?
il campo non previsto , puoi spiegarmi ?
non sarà mica qualcosa tipo il suo stesso ip come mittente ?

 wrote:

Nel caso che dice lui, il campo non previsto e' il flag TCP_URG, in
concomitanza con un puntatore URGENT non valido.
Anche altre combinazioni di flags strani hanno effetti deleteri sul
TCP/IP di Windows. Dato che dei sei flags legali ne gestiva cinque,
immagina cosa succede con gli altri sei flags illegali 8-D
Leonardo
".signature": bad command or file name

 non sarà mica qualcosa tipo il suo stesso ip come mittente ?
facevo riferimento ai nuovi DoS appena usciti che fanno uso del
protocollo IGMP, con i campi type e code = 0 (cosa non prevista come si
legge della rfc(1122 mi pare)).
win tempo fa' era vulnerabile a URG flood (tcp)... ma win e'
praticamente vulnerabile a tutto :)
ciao!
-- 
Key fingerprint = 30F8 B6CE 5879 A64F FDFC  9C9C 2788 F567 7414 C380

   Nel frattempo ip57 non ha ricevuto un accidenti di niente.
Pero' purtroppo ci sono ancora in giro dei router che supportano il source 
routing (strict oppure loose, cosi' ci si mettono meno indirizzi). 
In presenza di source routing supportato lungo il percorso dei pacchetti,
nel caso dell'accesso al sito proposto nell'esempio della prima risposta 
(
www.maiale.com
 :-)) )   il giochino potrebbe funzionare.
In assenza di source routing, e' sempre possibile utilizzare l'indirizzo ip 
di un'altra macchina della lan come indirizzo mittente, e poi mandare al 
router della rete locale degli arp reply 'unsolicited' (oppure rispondere 
agli arp request per quell'indirizzo) in modo da fargli 
credere che l'indirizzo IP che noi abbiamo messo nei pacchetti corrisponda
al nostro indirizzo ethernet e quindi garantirci la possibilita' di 
intercettare i pacchetti al loro rientro.
Ovviamente se facciamo mentre la macchina alla quale abbiamo "rubato"
l'indirizzo IP e' in funzione, dobbiamo metterci un po' di impegno per 
evitare che l'utente si lamenti perche' "la rete non va"...
Se invece quella macchina e' spenta, allora diventa tutto piu' facile.
ciao
  m.

(
www.maiale.com
 :-)) )   il giochino potrebbe funzionare.
Si', ma ci riesci solo sulla rete locale (molto locale), non via modem, e
dubito che vada bene per gli scopi del tipico skript kid :-)


routing (strict oppure loose, cosi' ci si mettono meno indirizzi). 
Me ne trovi uno? :-)
