Newsgroup: it.comp.sicurezza.varie
Titolo: voglio firewallare tutto quanto

E` corretto/utile/efficace/completo per uno che si connette col modem e 
non fornisce alcun servizio configurare il firewall (sull'unico pc che ha)
per:
*blocco di tutti i pacchetti tcp entranti alle porte da 0 a 1023
*blocco di tutti i pacchetti tcp entranti che riportano solo il flag SYN
nell'intervallo 1024:65535
?
?
C'e` qualcos'altro da mettere.... ?
Cosi` teoricamente potrei chattare con Kvirc 0.9 e nessuno potrebbe
sfruttare la sua backdoor per recuperare un file nel mio sistema?
-- 
    Ciao
        Pardo
/---DOS in a BOX---\
|		   |
|C:\>_		   |
|		   |
\------------------/

 nell'intervallo 1024:65535
Si.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

nell'intervallo 1024:65535
Si'. Credo che IRC richieda una configurazione apposita, pero' (le connessioni
via server funzionano, i dialoghi diretti mi sa di no).
Leonardo
".signature": bad command or file name


http://www.penguinpowered.com/~ecesena
"In questa maniera, si ottiene un polinomio di quarto guado."
		-- Prof. Robertus van der Putten, Analisi Matematica I

 ?
va bene, ma cosi' nessuno potra' aprire connessioni verso di te:
pensa a icq, oppure a ftp attivo; non ti funzionerebbero piu'.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Attenzione: ti sei distratto

 ??
non capisco la domanda
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* "Da-da" (Gesu' Bambino)


vanno, vanno... (cioe` nel senso... il /query? quello funziona...)
-- 
    Ciao
        Pardo


icq non lo uso, irc va, ftp... attivo in che senso? che faccio io il
server?
-- 
    Ciao
        Pardo

vanno, vanno... (cioe` nel senso... il /query? quello funziona...)
Ah, e devi accettare connessioni dalla porta 20 alle tue porte alte, oppure
creare un wrapper per ftp e programmi simili che abilitino quella porta dal
sito a cui ti colleghi, disattivandola appena chiudi ftp.
Questo perche' la connessione comandi da te al sito viaggia su porta 21, ma
la connessione DATI dal sito verso di te, viaggia sulla porta 20, e si apre
nella direzione OPPOSTA.
(Mi pare pero' ci sia una patch per MASQ, che praticamente apre la porta 20
in entrata verso tutti i siti ai quali sei connesso su porta 21).
Leonardo "certo, se un sito ftp ti portscanna... ;-)"


 server?
le sessioni ftp sono di due tipi:
attivo e passivo.
Passivo vuol dire che stabilisci tu la connessione, sia per i dati che
per i comandi, e non hai problemi di sorta.
Attivo vuol dire che quando inizi il trasferimento dei file dal server
ftp verso il tuo computer, il server ftp si collega a te, usando la sua
porta locale 20 e cercando di collegarsi ad una tua porta >=1024.
Ecco allora che se blocchi il syn, il server non potra' mai collegarsi a
te.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Sono andato al mare e ho pisciato e ho pisciato, finche' un tritone
  non mi ha lanciato un grosso stronzo verde


http://www.penguinpowered.com/~ecesena
"Zio Cosmo...  perche' lo chiamano word processor?"
"E' semplice, Skyler...  hai visto cosa i food processor fanno al cibo,
giusto?"
		-- MacNelley, "Shoe"

Ciao.
Arrivo Subito Al dunque.
Io mi sono fatto uno script del genere e a quanto pare funziona.
Comunque non è sufficinete mettere in Deny le porte dalla 0 all 1023
e bloccare i pacchetti con flag di SYN dalla 1024 alla 65535
Facendo cosi' infatti ti sarai accorto che nelle connessioni IRC il server
sta un bel po'per accettarti, per ovviare a questo e meglio che autorizzi le
connessioni verso la porta 113 (auth).
Inoltre dovresti accettare almeno le connesioni da parte di 127.0.0.1.
Penso che comunque per la backdoor di Kvirc non serve il firewall, infatti il
problema stà nel client stesso.

porta locale 20 e cercando di collegarsi ad una tua porta >=1024.
e quand'e` che viene usato questo metodo attivo?
lo stabilisco io (come?) o e` tutto automatico e varia da server a 
server?
-- 
    Ciao
        Pardo


Mettiamo che il kvirc0.9 sta in ascolto su una certa porta; ma se le
connessioni verso quella porta vengono ingoiate dal firewall... ?
E` lo stesso principio per cui bisogna autorizzare le connessioni alle
porte su cui ascoltano i servizi classici http ftp ecc. ...
O no?
-- 
    Ciao
        Pardo

?
esiste un firewall per win che permetta di fare cio'? io ho tra le mani
atguard 3.1 ma non permette di considerare i flag quindi la seconda
regola non riesco a farla. inoltre permette solo di stabilire regole su
tcp e udp, mi sembra che possa essere utile anche agire sull'icmp (per
irc) o sparo cazzate?

 O no?
si, ma per poterlo usare, devi autorizzare le connessioni verso kvirc.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Questa cabina telefonica e' riservata a Clark Kent

, scrisse:


Di  solito,  devi essere  tu  a  dire  esplicitamente di  stabilire  una
connessione di tipo passivo.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Attenzione: attivisti a bassa tecnologia stanno alterando le nostre
  pubblicita'

 irc) o sparo cazzate?
le ultime versioni di @guard lavorano anche con icmp.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
*** Hi! I'm a .signature Virus ! Copy me
    to your signature to help me spreading! ***


Comunque non dovrebbe servire a molto, nel senso che il floooooood
funziona lo stesso; forse con meno efficacia, se si imposta di ignorare
ad esempio gli icmp echo_request, ma pero` i pacchetti li devi sempre
ricevere anche se non rispondi.


connessione di tipo passivo.
di tipo passivo?
boh, allora non ho capito nulla...
insomma l'ftp con quelle regole funziona, fate voi
(
ipchains --log -A input -p tcp -y -d 0/0 1024:65535 -j DENY
ipchains --log -A input -p tcp -d 0/0 0:1023 -j DENY
)
-- 
    Ciao
        Pardo

 O no?
si certo, il flood non puoi evitarlo in nessun modo: deve fare il
provider questo lavoro.
Filtrare gli ICMP e' utile in irc.
Ancor piu' utile e' non andarci in irc, se non in poche zone protette.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Attenzione: i paranoici vi spiano!

 )
l'ftp attivo non potra' mai funzionare, visto che il server non potra'
stabilire la connessione con te.
Bada bene: il problema si presenta quando inizi a scaricare il file.
Per inviarti il file il server vorrebbe collegarsi a te, cosa che non
puo' fare, visto che non accetti syn.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Dov'e' la saggezza?

puo' fare, visto che non accetti syn.
uhm, questo almeno in teoria... :-)
ho scaricato alcune cose da 
ftp.technotronic.com
 e ho spedito qualche
file a ftp.xoom.it...
-- 
    Ciao
        Pardo

Ancor piu' utile e' non andarci in irc, se non in poche zone protette.
Mi viene in mente Metropolis, chat simil-Teletel (oddio, c'e' anche
un'interfaccia simil-irc, ma onestamente preferisco quella teletel) che
ha come GRANDE idea quella di NON mostrare l'IP dell'utente... c'e' una
lista utenti, ci sono i numeri, proprio come il Videotel di una volta...
ed il client occupa circa mezzo mega ed e' nato per win 3.x (utenti
linucs, se sbaglio voi mi corriggerete, wine puo' far girare
applicazioni scritte per win 3.x con tanto di vbrun300.dll?), ma gira
anche sotto 95 e 98.
Forse e' ora di riscoprire le "vecchie" messaggerie, tanto per poter
provare l'ebbrezza di chattare senza che nessuno venga a scassarci gli
attributi con stupidi attacchi.
Fabrizio


http://www.penguinpowered.com/~ecesena
- Ci sono molte cose importanti nella vita.  Al primo posto, fare del
  sesso con una donna piacente.
- E al secondo posto cosa metti?
- Fare del sesso con una donna non piacente!
		-- Da it.hobby.umorismo

P.S: giacche` ci sono, i log di ipchains dove li vedo!?
Io utilizzo questo metodo. In /etc/syslog.conf ho aggiunto questa linea:
*.*                                                     /dev/tty8
viene *tutto* "loggato" su tty8 (premi alt+f8).
Per vedere i messaggi di ipchains devi avere regole che contengano
l'opzione "--log".
Ciao
Ale
-- 
Per ottenere il mio indirizzo e-mail sostituire a NOSPAM il mio cognome


prova con `
kernel.info
'
comunque se fai `man syslog.conf' ti spiega tutto
i messaggi del firewall sono nella categoria del kernel
-- 
    Ciao
        Pardo

sia fissa).
io ho messo questa regola:
ipchains -A input -p tcp -y --source-port 20 -d 0/0 1024:65535 -j ACCEPT
dovrebbe accettare le richieste di connection ad una mia porta `alta'
e provenienti dalla porta 20 di qualunque host
sembra funzionare
(dopo m'ero impantanato anch'io scaricando della roba dal server ftp di
rpmfind.net
)
-- 
    Ciao
        Pardo

 
rpmfind.net
)
ottima soluzione!
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/


 sia fissa).
infatti: la tua porta locale varia.
Cmq, come hanno indicato in questo thread, consentire i syn che partono
dalla porta remota 20 risolve il problema.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Hai visto Dio? Si, ed e' nera.


grazie, eh eh! :-)
-- 
    Ciao
        Pardo

dalla porta remota 20 risolve il problema.
Naturalmente poi uno puo' fare portscanning dalla propria porta 20. Quindi
come minimo autorizzare i syn dalla remote 20 ad una porta effimera, e mai
alle altre.
Oppure, wrappare ftp e wget in modo che abbassino gli scudi solo verso una
particolare destinazione.
O ancora, mi domando: se uno ha un proxy ftp...?
Leonardo "basta non crackino quello..."


 per ipchains?
Devi verificare la facility 'kernel' di syslogd.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *


http://www.penguinpowered.com/~ecesena
Non ti preoccupare mai della teoria fintanto che il sistema fa cio' che si e'
supposto faccia.
		-- R. A. Heinlein