Newsgroup: it.comp.sicurezza.varie
Titolo: Msg da firewall

Unsolicited incoming ARP reply detected, this is a kind of MAC spoofing that
may consequently do harm to your computer.
Chi ha voglia di spiegarmi che significa?
Tnks
SkY

Su it.comp.sicurezza.varie, Newsky ha saggiamente scritto:

Ciao,
(a me viene in mente man_in_the_middle)
IMHO (grande come una casa). Dunque, mi sbaglierò sicuramente, quindi posso 
supporre che si tratti di un tentativo di reindirizzamento ARP; se sei su 
una _lan è c'è uno switch,_ (una tua conferma...potrebbe essere una mia 
conferma heh:)si può utilizzare una tecnica definita man in the middle per 
sniffare i pacchetti della macchina vittima, attraverso il proto ARP.
voglio senitire il parere di qualcun'altro in merito. ci azzecco o no?
Saluti.
Marco Spiga
-- 
www.networkingitalia.it
The Brain is a network.

 wrote in message
news:6k%69.79199$C8.1...@tornado.fastwebnet.it...

la cosa funziona cosi':
i pc in lan non parlano in tcp/ip (layer3), o meglio per poterlo fare
hanno bisogni di qualcosa piu' basso (layer2) che faccia parlare tra
loro le schede di rete. ARP e' il protocollo che ti permette di
scoprire/sapere con chi devi parlare e se i pacchetti in transito sono
per te o meno. ogni scheda ha un numero che la identifica univocamente,
mac-address: ARP fa in modo di sapere quale e' il mac-address del pc con
l'ip al quale tu vuoi parlare.
qualcuno ti sta mandando pacchetti ARP di risposta tipo "il pc con
indirizzo ip x ha il mac-address y", senza che nessuno abbia prima
chiesto chi ha quell'indirizzo.
risultato: in condizioni "normali" il tuo pc si ricorda che per parlare
con l'ip x deve mandare il traffico al mac-address y. immagina che x sia
l'ip di 
www.serviziinterbancari.it
 e che y sia il mac-address del mio pc
sulla tua lan.
mi potrei comprare i tanga con muso di coniglio di pelouche e relative
orecchie lunghissme :)
un mayhem che spera di essere stato chiaro ....
--
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org
SPP wsite: 
http://www.spippolatori.com
Remove ME to reply

 
Ciao a todos,
tutto chiaro, mi potresti dire se il ragionamento che ho fatto nell'altro 
thread è corretto, oppure c'è qualche cosa che non ho recepito bene?
grazie.
In poche parole la macchina ha ricevuto un pacchetto arp in risposta, che 
non ha richiesto e che quindi dovrebbe scartare, -traffico considerato 
normale-. Il firewall analizza sto pacchetto e avverte l'utente che c'è un 
reply arp, che da quanto ho capito non è per lui (perché non richiesto). 
fila?, l'unico problema era il firewall che ha avuto la paranoia/gentilezza 
di avvertire l'utente?!.
Marco, al quanto dubbioso, perché c'è qualche cosa che non torna... :)
grazie 1000!
-- 
il PC rifiuta di collaborare?
http://groups.google.it
, e la vita ti sorriderà!

 di avvertire l'utente?!.
si. forse unico puto debole "che non era per lui". forse lo era ;P
un mayhem e dipende da dove sta-cosa fa quella macchina


 
Sinceramente, 
meglio un po' di para*noia* da parte del firewall (h/nids), che lasciar 
correre... :)
però quando è troppa...prende un po'...ehhmm
ciao.
Marco Spiga


 spoofing that may consequently do harm to your computer.
Cosa e' te lo ha detto mayhem.
Rimane il fatto che, in generale, non si dovrebbe vedere traffico
simile in rete. Immagino che blackice abbia dei log e che nei log
ci siano anche una coppia mac/ip address, quelli che ti sarebbero
stati inseriti in cache: se corrispondono a una coppia lecita (in
quel momento) si tratta probabilmente di un falso positivo. Se il
mac address e' di un host e l'ip quello di un'altro allora chi ha
lavorato sul primo forse ne sa qualcosa [1].
Fabio
[1]  in realta' potrebbe anche essere stato installato un agente,
     all'insaputa del normale utilizzatore.