Newsgroup: it.comp.sicurezza.varie
Titolo: HELP: "Porte chiuse, ma visibili!!!! "

Ciao ragazzi, forse vi ricordate di me, a proposito della convivenza
ZoneAlarm-NIS...
In ogni caso alla fine ho optato, penso saggiamente (dato Winzozz), per il
solo NIS 2000.
Ho adesso una serie di perplessità, e vi spiego perché:
-ho "testato" la sicurezza del mio firewall mediante 
http://www.grc.com
:
mentre con ZoneAlarm tutte le porte risultavano in modalità stealth, quindi
invisibili agli hacker, e non attaccabili, con NIS ce ne sono 2 che appaiono
chiuse, quindi esistenti e attaccabili.
-altra cosa, con ZoneAlarm ricevevo pochi avvisi, con NIS ci sono centinaia
di accessi monitorati e consentiti, e non c'è praticamente una volta che non
mi venga un infarto per lo stronzetto di turno che cerca di violare il mio
sistema con Trojan di vario tipo (netbus più che altro).
Mi devo preoccupare?
Voglio dire, i continui trojan che mi attaccano sono dovuti al fatto che le
due porticine, prima invisibili con ZA, ora sono sì chiuse, ma anche
pienamente visibili? Ho il sospetto di si.
In questo caso, ci sarebbero delle rules da aggiungere che renderebbero il
sistema "all stealth"?
Ultima cosa: rileggendo i log di NIS è evidente che lo stronzo di turno ci
prova circa 3-4 volte di seguito per poi, fortunatamente, rinunciare; se per
caso riuscisse a bucare il firewall come me ne accorgerei? Ci sarebbe
inoltre un modo per scovarlo?
Il fatto che gli indirizzi IP siano dinamici è sì una forma di privacy, ma
anche una garanzia al divertimento indisturbato degli hacker, vi pare?
Ringrazio quanti vorranno consigliarmi :)
--
Saluti
                       Salvatore
@@@@@@@@@@@@@@@@@@@
Per scrivermi togli "NO SPAM PLEASE"
@@@@@@@@@@@@@@@@@@@

hacker, vi pare?  
A dire il vero gli ip sono dinamici per altri motivi...
DElyMyth [ip statico]
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.3
iQA/AwUBOVO2IzrVvGrSrespEQIENgCcCHzK8Hk0dN6uA94jYY7ZoZQyhXsAn26/
l+GP6Wilo19jnM6JWUziT4T2
=H6Al
-----END PGP SIGNATURE-----

Scusa, ma le porte esistono, che siano aperte, chiuse o stealth...
NO, PORCO........!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!![*]
Le porte esistono SOLO SE C'E' qualcosa all'ascolto dietro, cioe' un
programma che ascolta la [scheda di rete|linea modem] e si comporta di
conseguenza all'arrivo di un pacchetto di dati con il suo indirizzo.
Se non hai nessun programma in ascolto, la porta non esiste, non e' che
e' chiusa, NON ESISTE.
E i vari programmi di controllo per vedere cosa arriva alle varie porte,
le debbono creare, cioe' mettersi loro in ascolto e all'arrivo di un
pacchetto di dati, respingerlo o ignorarlo ridacchiando sotto i baffi.
Se non hai un televisore, ho un bel da mandarti segnali audio video
codificati malignamente, tu te ne strabatti.
Se invece hai un televisore con un filtro prima dell'antenna, puo' darsi
che io riesca a far passare il mio segnale scavalcandolo.
[*] Il numero dei punti esclamativi e' di gran lunga inferiore alle
volte in cui si e' parlato di questo concetto.
Prego fare una ricerca su deja con subject "Turbamenti di una minorenne"
a firma di Leonardo Serni, dove si trovano spiegazioni esaurienti.
Ciao.roberto
-- 
Ciao     |Save our planet!
         |Save wildlife;
 roberto |For your E-MAIL use only recycled Bytes !!
         |roberto poggi  
rpo...@softhome.net

 ha scritto nel messaggio
news:3954d9c7.2635238@consolle...

Scusami ma la tua spiegazione mi è sembrata un tantino affrettata, oltre che
arricchita da metafore dal discutibile effetto ironico; potresti darmi una
spiegazione un pelino più tecnica (deformazione professionale) e precisa?
In poche parole la mia domanda era questa: due porte, inizialmente stealth
(invisibili) sotto ZoneAlarm, dopo il passaggio a NIS divengono CLOSED.
Tutte le altre porte restano in modalità stealth.
Gli attacchi continui da parte di troyan vari potrebbero essetre
giustificati dal fatto che due porte prima erano stealth, quindi invisibili,
quindi non attaccabili, mentre ora, col passaggio a NIS le suddette porte
sono CLOSED, quindi sì chiuse perbacco, ma anche visibili e in grado di
suscitare la curiosità di Hackers in vacanza?
Credo che il concetto di fondo sia: "quello che non si vede non c'è"  --->e
quindi sta al sicuro
                                                        "quello che è chiuso
invece si vede" --->prima o poi può sempre essere attaccato.
Ora io ho i dati relativi a questi attacchi: ora, data, IP address: come
devo fare per liberarmene, nel caso in cui continuasse a disturbare la mia
privacy?
Le porte chiuse di cui tanto si è dibattuto possono essere attaccate, perché
così è successo a me. Domanda: possono essere "sfondate"? O quantomeno
aggirate in qualche modo? E in questo caso come me ne accorgerei?
Mentre io sto scaricando la posta magari qualcuno gioca con la mia posta o
si collega a siti porno?
Spero proprio di no.
--
Saluti
                       Salvatore
*:-.,_,.-:*'``'*:-.,_,.-:*'``'*:-.,_,.-:*'``'*:-.,_,.-:*'``'
     per scrivermi togli "NO SPAM PLEASE"
*:-.,_,.-:*'``'*:-.,_,.-:*'``'*:-.,_,.-:*'``'*:-.,_,.-:*'``'

aggirate in qualche modo? E in questo caso come me ne accorgerei?
No, se guardi il thread "Turbamenti di una minorenne", o forse anche
le FAQ, è spiegato molto bene:
una porta chiusa non è come una porta chiusa: è come una linea
telefonica senza il telefono.
Una porta chiusa, come tu dici, se si spinge abbastanza si può
sfondare. Invece immagina di volere telefonare a qualcuno che ha
staccato l'apparecchio telefonico dalla linea (situazione porta
closed): non hai speranza.

 mentre con ZoneAlarm tutte le porte risultavano in modalità stealth,
quindi
Cos'è una porta "in modalità stealth" ??
---
Nicola C.

Le porte chiuse di cui tanto si è dibattuto possono essere attaccate, perché
Respira profondamente e rispondi: sono chiuse perche' c'e' un programma
come zonealalrm o altri? se si', si', possono essere sfondate.
Sono chiuse perche' non c'e' nessun programma dietro? no, non puoi
sfondare qualcosa che non esiste.
Insisto, cercati quel post che ti ho indicato, che sono poi in relata'
le FAQ del gruppo, e ti si apriranno altri orizzonti.
Ciao.roberto
-- 
Ciao     |Save our planet!
         |Save wildlife;
 roberto |For your E-MAIL use only recycled Bytes !!
         |roberto poggi  
rpo...@softhome.net

 dell'attacco e l'IP che aveva il coglione.
Scusa quali autorità: polizia? carabinieri? provider?
Ad esempio se scopro che l'idiota di turno è di tiscalinet, devo chiamare
tiscali? e per che via? email, telefono...
Scusa ancora del "fastidio" che noi poveri newbies ti arrechiamo, ma
permettimi di ricordarti ancora una volta che non sei obbligato a rispondere
e che comunque, anche tu, non so quanto tempo fa, sei stato sicuramente
un...ah sì, "newbie".


 e' chiusa, NON ESISTE.
Ok, ma senti questa.
Mi collego al sito di McAfee per scaricare un update. Tramite NIS
vedo i tentativi di violare la privacy salire vertiginosamente - 30, 40 in
pochi secondi- la finestra da cui scaricare l'update impiega diversi minuti
per aprirsi; la seconda finestra che vado ad aprire (sempre Mcafee) non si
carica proprio e infine mi fa cadere la connessione.
Cosa ne pensi? Riprovando a scaricare l'update, ma disabilitando
completamente il firewall, è rapida e indolore.
Dovrei denunciare McAfee per violazione della privacy? Io il mio antivirus
l'ho regolarmente acquistato! Perché il semplice scaricamento di un file di
aggiornamento li autorizza a fare una scansione del tuo sistema? Capirei con
Symantec, che usa il LiveUpdate, ma qui non c'è proprio nessuna ragione.



in che senso scusa?
per l'attaccante e` piu` comodo lo statico: puo` studiare bene il bersaglio e
pianificare l'attacco
l'ip dinamico e` tutto a vantaggio delle "vittime", che se non altro non
possono essere prese di mira permanentemente; anche se c'e` uno che rompe
le palle, basta disconnettersi, cambiare il nick nei prog. di chat, e il
tizio non ti ritrova piu`
Non e` un vantaggio per chi commette le violazioni, perche` tanto le
autorita` possono sempre risalire a chi e` se tu ti annoti l'ora
dell'attacco e l'IP che aveva il coglione.
I provider loggano tutto, se gli dici queste due informazioni sanno
subito qual'e` il numero telefonico del tizio che usava quell'IP a
quell'ora, e da li` arrivi al luogo da dove si e` collegato.
A quel punto l'hai beccato, a meno che non e` cosi` bravo e determinato
che per l'attacco ha usato un pc portatile attaccato a un telefono di
qualcun'altro o addirittura a una centralina della telecom.
Ma direi che non e` il caso dei lamerazzi che usano il bo...
-- 
    Ciao
        Pardo
 
	( 
http://pardo.cjb.net
 )

vedo i tentativi di violare la privacy salire vertiginosamente - 30, 40 in
Senti, chiedilo a loro, oppure chiedilo anche a noi, ma dicci almeno che
porte locali e che porte remote erano interessate da quei *tentativi di
violare la privacy*, potrebbe essere molto meno brutto di quel che ti e'
sembrato, il diavolo.


 suscitare la curiosità di Hackers in vacanza?
Alt, fermi tutti ;-) 
Il concetto di porta "chiusa" e di porta "invisibile" (stealth) è
diverso da quello del programma che sta dietro ad ascoltare. In
entrambi i casi infatti non c'è alcun programma dietro ad ascoltare
alcunché.
La differenza la fa la risposta che dà lo stack TCP/IP (il Winsock)
quando qualcuno "interroga" il tuo computer. Se ti manda per esempio
un ping (ICMP Echo_request) lui risponde con un ICMP Echo_reply,
facendo capire all'aggressore che ci sei e sei vivo e vegeto, tant'è
che l'aggressore per sapere se ti ha buttato giù col suo nuke, ricorre
al ping appunto ;-). Ma se si ha un firewall e lo si configura per non
dare alcuna risposta al ping, l'aggressore non sa se ci sei davvero
oppure no, e non ha modo di vedere se il suo eventuale attacco ti ha
buttato giù oppure no, in modo da tentarne un altro. In questo caso,
per lui sei "invisibile" (stealth).
Discorso analogo al ping, vale per il pacchetto SYN. Quello è il primo
pacchetto che si invia per avviare una connessione TCP/IP. Se c'è un
programma dietro una porta, questo risponderà con un SYN_ACK con cui
l'aggressore non solo saprà che c'è qualcuno, ma addirittura potrà
connettersi. Se invece non c'è alcun programma, ecco che ancora
interviene lo stack TCP/IP mandando indietro un pacchetto RST
("Resetta la connessione - qui non c'è quel che cerchi") il quale,
ancora una volta, fa capire che c'è qualcuno che risponde, e che
quella porta in particolare non ha alcun programma che l'ascolta, così
che il suo portscan può velocemente passare alla porta successiva fino
a che non ne trova una aperta.
Anche in questo caso, se si programma un firewall per non rispondere
con pacchetti RST ai SYN degli aggressori, questi non possono sapere
se c'è qualcuno o meno a quell'indirizzo e quella porta, che quindi
sarà per lui invisibile (stealth). E in questo caso, farà fatica a
fare il portscan anche, perché deve per ogni porta aspettare il
timeout dei suoi pacchetti SYN inviati, prima di procedere oltre.
Bye Krmel
Microsoft Outlook Express: cosa vuoi postare postare postare postare oggi?

 Ciao.roberto


timeout dei suoi pacchetti SYN inviati, prima di procedere oltre.
  Bye Krmel
Scusa secondo quale principio occorrerebbe aspettare il timeout dei
SYN inviati per procedere con il port scan in caso di stealth port?
penny
________________________________________________________________________
Get Your Private, Free E-mail from MSN Hotmail at 
http://www.hotmail.com
--
Posted from [213.45.222.79] by way of 
f150.law9.hotmail.com
 [64.4.9.150] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

  Bye Krmel
Secondo quale principio occorre aspettare il timeout dei pacchetti SYN 
inviati prima di procedere con il port scan in caso di stealth port?
penny
________________________________________________________________________
Get Your Private, Free E-mail from MSN Hotmail at 
http://www.hotmail.com
--
Posted from [213.45.222.79] by way of 
f99.law9.hotmail.com
 [64.4.9.99] 


 SYN inviati per procedere con il port scan in caso di stealth port?
Giusta precisazione; una volta esauriti i socket che si possono usare
convenientemente, bisogna aspettare che si liberino quelli occupati a
ricevere risposta, prima di procedere. E piů tardi si liberano meglio
č.


("Resetta la connessione - qui non c'è quel che cerchi") il quale,
Appunto, la porta non c'e', se non c'e' il programma in ascolto.
Quello che volevo puntualizzare e' che una porta "chiusa" e' sicuramente
piu' attaccabile di una porta "inesistente".
Se poi ti fidi di piu' di uno stack (winsock proprietario del firewall?)
diverso da quello standard di windows, e' un altro discorso, ma non so
(e' proprio ignoranza, non polemica) se i FW di cui parliamo
sostituiscono il winsock (sono abituato a cose in cui il firewall E' lo
stack TCP/IP, e non c'e' nessuna sillaba win nel loro nome), se non lo
fanno, non fanno altro che aggiungere un pezzo ulteriormente attaccabile
a quanto gia' di attaccabile c'e', visto che i pacchetti, prima di
arrivare al firewall, debbono attraversare lo stack originale.
Pertanto il tuo discorso e' validissimo, ma il suo significato non e'
sulle porte aperte, chiuse o invisibili, ma sulla sostituzione di un
winsock con un altro piu' robusto e con capacita' diverse, come il
filtro sull'icmp echo.


 Ciao.roberto


Cos'è una porta "in modalità stealth" ??
Significa che pacchetti diretti a quella porta, anche se non e' in
ascolto, vengono assorbiti senza generare un contropacchetto RST.
In altre parole e' come se quel computer non esistesse.
Dato che pero' e' possibile con altri mezzi capire se il computer,
invece, esiste, si rischia di rendere... "interessante" il PC agli
occhi di un eventuale hacker.
Durante uno sweep scan, il lamer medio si trova davanti:
- 95% PC che rispondono "RST" (porta chiusa, nessun sistema
  in ascolto, ciccia!)
-  3% PC che non rispondono (spenti, assenti, stealth)
-  2% PC che rispondono "SYN+ACK" (programma in ascolto)
	1.95% PC con un programma vero in ascolto
	0.05% PC con un programma finto in ascolto (NoBo,
	      CheckBO, AntiBO, Chaplin, blablabla)
Quasi tutti i lamers si attaccano su quel 2%, e si incazzano forte
con lo 0.05% che finge :-). Alcuni si incuriosiscono per il 3% che
risulta assente, specie se non e' uno sweep scan casuale ma mirato
ad un certo IP (per es., il NNTP-Posting-Host di uno che gli sta a
dumila su' corbelli).
Puo' essere utile confondersi con la folla.
Dopotutto, gli agenti antiterrorismo NON vanno in giro con: giubba
antiproiettile, Kalashnikov sottobraccio, e occhiali a infrarossi.
Di solito se ne stanno in agguato travestiti da stewards o turisti
in cerca della valigia perduta.
Leonardo
".signature": bad command or file name


ribadisco che non mi arrecate fastidio, quello che mi "fastidia" e`
solo l'ignoranza quando e` dannosa
lo stato di newbie e` comprensibilissimo, e` ovvio che non tutti hanno
il tempo di imparare e che il pc per la maggioranza della gente e` e
dev'essere uno strumento da usare e basta, non dev'esserci l'obbligo
di essere esperti
pero` quando e` necessario imparare qualcosa ci si deve impegnare a fondo


SYN inviati per procedere con il port scan in caso di stealth port?
Be', se in Windows 
	<risatine in sala>
                   riesci a riprogrammare il timeout del TCB,
	<risate fra il pubblico>
e hai modo di capire, dal solo portscan TCP, se una porta sia
o meno in stealth,
	<risata omerica>
	           allora potresti procedere spedito, si'.
Ma essendo Windows quello che e', il meglio che puoi fare e':
prendere 128 porte e andare avanti a blocchi di 128, sperando
che prima di esaurire la 128ma la prima sia andata in timeout
e si sia liberata.


>  Leonardo
Il film che avevo in mente io era questo:
Io ho la mia linux box,e mi faccio un programmino che ogni tot millisecondi 
manda tramite un raw socket un segmento tcp syn dalla porta xxxx del mio 
host alla yyyy del destinatario dello scan,incrementando ogni volta la porta 
yyyy o entrambe;
Ora in caso di porte coperte da firewall cos'e' che mi impedisce di spedire 
indiscriminatamente tcp syn ad oltranza?Ammesso che( non so se sia cosi' ) 
ci sia un limite massimo alle "connessioni"/"tentativi di  connessioni" 
stabiliti da un processo,i syn inviati non dovrebbero essere sotto la tutela 
del kernel(dato che eventuali risposte vengono
resettate automaticamente da quella parte del kernel (il layer di trasporto 
TCP ) non essendo questo a conoscenza della porta xxxx da me usata),e quindi 
non dovrebbero ristentire di alcuna limitazione.
Se ho detto c.....e illuminatemi please!
Ps: Per quanto riguarda windoz non conosco le caratteristiche del suo stack 
tcp/ip,
L'unica cosa che so e' che non prevede una gestione discreta per l'invio di 
pacchetti icmp.
penny
________________________________________________________________________
Get Your Private, Free E-mail from MSN Hotmail at 
http://www.hotmail.com
--
Posted from [213.45.222.56] by way of 
f206.law9.hotmail.com
 [64.4.9.206] 


pacchetti icmp.
Sei sulla buona strada... Ti manca di sapere che non prevede una
gestione discreta per l'invio di pacchetti TCP - e poi di sapere
che la stessa cosa si applica a UDP :-)))
Credo abbiano aggiunto la funzionalita' in Windows 98, perche' -
essendo lo shoehorn market di Microsoft la fascia degli irc guyz
'n'warriorz dai tredici ai diciassette anni - se no lo perdevano
rispetto a Linux :-)
