Newsgroup: it.comp.sicurezza.varie
Titolo: FAQ [was Re: Sono una nuovavorrei informazioni]

cosa succede nei prossimi quattro (cinque) steps?
reverse lookups :) ... non mi interessa xche io punto a indovinare o sniffare
il tuo primo SYN .... e usando pacchetti con l'IP trusted le query di tipo
PTR mi fanno un baffo se riesco a carpire in qualche modo il SYN.
Questo e' il vero spoofing .... e funzica fintanto che la gestione a lato
server del primo SYN e' sicura .... e mi bastano i primi TRE 3 TRE step.
I quattro/cinque mi servono solo se intendo usare il mio IP reale DOPO
aver corrotto la cache del DNS, inserendo o editando i campi A e PTR che mi
servano per imballare tcpd :)
Ora mi chiederai : ah vabbe ok ... se hai il SYN non ti serve il DNS .... ma
come lo pigli ?! eehhehe questo non si adatta al gruppo :) ...
invy

come lo pigli ?! eehhehe questo non si adatta al gruppo :) ...
Ma la connessione TCP non e' mica un cavo che viene gettato su Internet. E',
alla meglio, una serie di pacchetti instradati ciascuno per i razzi suoi. Io
continuo a non capire come tu possa riuscire ad instradarli, se usi un IP un
po' diverso dal tuo IP reale.
Server: Porta 23 in ascolto.
Invy: invio SYN SEQ K
Server: Invio ACK K SYN Z
Invy: invio ACK Z+1
A parte che, non vedo neanche la necessita' di "indovinare" il SYN, lo manda
direttamente il server.
Capisco come si possa usare il truccarillo per BUTTARE GIU' una connessione,
o per "scavalcarne" una *essendo sul route master* (si chiama hijacking... e
ci dev'essere un articolo dal titolo "A Simple TCP Attack" in PS, da qualche
parte). Ma per STABILIRE una connessione? Io insisto a non crederlo :-)
Leonardo ostinato
".signature": bad command or file name

Leonardo ostinato
ti credo .... :) ma chiedilo a Bellovin (RFC1948 mi sembra)
invy

si ma non lo manda a me ... lo manda all'IP che io sto spoofando.
Benissimo, ma diciamo che tu hai un metodo sicuro al 100% di saperlo. E ora
che fai? La connessione e' stabilita, puoi inviare dei comandi, ma non puoi
vederne i risultati. Ripensandoci, potresti uploadare un trojan. O potresti
cambiare la password di login; pero', a che ti serve? Devi sapere quella di
prima; se ti potevi loggare, tanto valeva tu ti loggassi con la vecchia, e,
poi, usassi passwd.
L'unico caso in cui questo sistema ti puo' esser utile e' IMHO estremamente
remoto: inserire un file .rhosts, su un sistema dove tcpd non blocca quella
connessione.
Ora, se su un sistema c'e' tcpd, c'e' SU TUTTO. E il file .rhosts, se viene
previsto, e' posseduto e mantenuto da root; tu lo puoi leggere, ma non puoi
scriverci niente. Se prevedeva un accesso dalla subnet del tuo POP, allora,
ovviamente, l'attacco SYN-guess e' superfluo. E se non lo prevedeva, allora
l'attacco e' del tutto inutile.
Voglio dire: su una rete configurata BENE non entri; su una configurata non
bene, ci sono metodi molto piu' semplici.
Leonardo


bene, ci sono metodi molto piu' semplici.
su una rete configurata bene, potrebbe non servirmi da solo ... ma puo' esser
utile e comunque IO PARLAVO DEL FATTO FOSSE POSSIBILE. E di come potessi,
volendo, TCPspoofare mail, news, e semplici connessioni dal mio bel modem.
Che sia piu' difficile che utile, e' vero .... MA POSSIBILE. Tutto qui.
Che possano farlo tutti. NO. Sicuramente NO.
Che l'HIJACK sia una bomba. SICURAMENTE SI.
Che serva (***) a superare OneTime, S/KEY, KERBEROS .... OVVIO (sempre che poi
il flow della connessione non sia criptato; ma quanti lo fanno nelle aziende?).
Sinceramente si puo' chiudere qui .... su it.comp.sicurezza.varie che c'entra,
ora che ci penso ?! :)
invy

Sinceramente si puo' chiudere qui ...
Direi. E ora scusami, vado a inginocchiarmi nell'angolino sui sassi :-|


Direi. E ora scusami, vado a inginocchiarmi nell'angolino sui sassi :-|
esagerato ... bastera' l'angolino dei processori spezzati con piedinature
arrugginite :))))
invy

 invy
e' solo qualche mese che seguo il gruppo, ma questo thread lo voto come
il "Thread dell'anno".
Che non si riesce a fare un riassuntino per le FAQ ? 
Vabbč vabbč, se avete pazienza ci provo io.
Ciao.

 Vabbč vabbč, se avete pazienza ci provo io.
AGGIUDICATO!!!! :-]]]
Solo che ricordati che non dev'essere un HOW-TO per fare il blind spoof ma
semmai dare consigli su come cercare di prevenirlo (insomma orientato al sysad
e non al lama), e con linguaggio possibilmente meno da guru :-))
Ciao, Max (che mi sa che il prossimo numero di versione sara' 0.5 e non 0.21).
-- 
            Freedows 98 Italian HTML Team
http://www.math.tu-clausthal.de/~matsa/Freedows.html
--ICQ: 14816698---Campagna NOTUT: 
http://notut.ml.org----------
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
e-mail:     
bald...@cli.di.unipi.it
 
M.Bald...@agora.stm.it
---------------------------------------------------------------