Newsgroup: it.comp.os.linux.sys
Titolo: Suspect short first fragment

Salve
ho postato qualche giorno fa' su i.c.sicurezza.unix
ma ho ottenuto solo una risposta, con un link in brasiliano
Provo nuovamente qui
su un server con RedHat7 trovo al login, sulla console, quanto segue:
juk login: Suspect short first fragment.
eth0 PROTO=6 
62.32.180.195:0
 xxx.xxx.xxx.xxx:0 L=20 S=0x48 I=34212
F=0x6000 T=104 (#0)
dove ho sostituito con xxx.xxx.xxx.xxx l'IP del server in questione.
Che e' successo, cosa cercava di fare (o ha fatto) 62.32.180.195 ?
Grazie
Juk

 ma ho ottenuto solo una risposta, con un link in brasiliano
... ovviamente: la domanda era relativa a linux (pardon: GNU/Linux :)). In
questo agosto caldo i.c.sicurezza.unix ha assunto un profilo molto più
accademico :-P
Fabio

 accademico :-P
   ^^^^^^^^^
Volevo dire integralista :-)
Fabio

Grazie di tutto, tra l'altro i msg si sono ripetuti, a diverse ore del
giorno e della notte, ora anche su un'altro server, questo piu'
vecchiotto, e l'IP di provenienza e' sempre diverso
Poi ho cercato su google "Suspect short first fragment" e viene fuori
tanta bella roba.....
ciao
Juk

 Gli hops sono solo 24, ed ovviamente č una stima: potrebbero essere stati
 
Scusa un po', ma dove li leggi gli hops? Sai com'č, sto cercando un po'
di doc sul formato di log di ipchains/iptables, e intanto parto da qui!
:-)
Grazie
--ev 

 di doc sul formato di log di ipchains/iptables, e intanto parto da qui!
La traccia del pacchetto era:
eth0 PROTO=6 
62.32.180.195:0
 xxx.xxx.xxx.xxx:0 L=20 S=0x48 I=34212
F=0x6000 T=104 (#0)
T=TTL (Time to live) = 104 vuole dire che sono rimasti 104 hops a
disposizione per questo pacchetto.
Poichè l'implementazione di TCP di Win95/98/NT/2k trasmete pacchetti con TTL
impostato a 128 è molto probabile che la sorgente sia uno di questi SO e che
il pacchetto abbia già fatto 24 hops. Il passo successivo sarebbero I SO che
impostano il TTL a 255 (es. solaris o FreeBSD) ma è poco realistico che un
pacchetto abbia viaggiato così tanto e quindi è estremamente probabile che
abbia fatto 24 hops.
Fabio

 F=0x6000 T=104 (#0)
Scusate se approfitto della vostra gentilezza, ma a questo punto 
qualcuno mi saprebbe dire perche' con ADSL ogni x secondi (dai 3 ai 10) 
vedo questo nei log ? :
Aug 30 17:36:59 server kernel: Packet log: input DENY ppp0 PROTO=17 
192.168.100.1:68
 
255.255.255.255:67
 L=604 S=0x00 I=38440 F=0x0000 T=255 
(#1)
68 e 67 non sono le porte riguardanti bootp ?
-- 
*  Greetings From Johnny L  *
"No necesitamos pedir permiso 
 para ser libres (Marcos)"
   -- Think Different --

 abbia fatto 24 hops.
 
Interessantissimo, grazie!
Adesso, se non abuso della tua pazienza e non vado OT, una domanda: 
parli di TTL impostata a 128 per i SO win, e di 255 per BSD e solaris:
linux (con tutti gli unix) lo mettiamo nella seconda famiglia? 
Ehm, mi rispondo da solo: 
$ping 0
riporta ttl=255
:-)
Ma quindi: il ttl impostato  128 è una delle solite "reimplementazioni
M$-style"?
E poi, ma questa è una domanda un po' assurda: partendo dal ttl e, ad
esempio, da un traceroute (o da un lookup, che però lascia il tempo che
trova!) ha senso _ipotizzare_ la famiglia (unix o MS) a cui appartiene
un server o è troppo poco per un minimo di sicurezza?
Ciao
--ev

 un server o è troppo poco per un minimo di sicurezza?
Non è affatto assurda. In gergo si chiama OS fingerprinting.
Con solo il TTL non si arriva molto lontano ma analizzando anche gli altri
campi dell'header si può distinguere tra i vari Unix,  i vari Windows e, in
certi casi (pochi), anche stabilire la release. Ovviamente devi guardare i
pacchetti che provengono dalla macchina che vuoi analizzare e, per alcune
indagini, è necessario 'forzare' l'emissione dei pacchetti con diverse
tecniche.
Fabio

 quindi, che si vada OT parlando di TCP/IP.
In effetti c'è it.comp.reti.ip-admin ma interpretando in modo pignolo il
manifesto questo thread potrebbe essere OT anche da loro.
Fabio

 tecniche.
ed è per questo che se la macchina bersaglio ha tutte le porte chiuse è
impossibile sapere qual'è il s.o. che gira?
ciao 
-- 
 ___   __     ____     _____  *     
|0 0| |  |_ _|_   |___|     | * "La  vita  è  ciò che ti succede          
 \|/ _|  | ' |/  /| - | | | | *  mentre stai facendo altri piani"  
  o |____|___|____|_-_|_|_|_| *  
 
 

 certi casi (pochi), anche stabilire la release.
Questo mo sembra il lavoro che fanno programmi come queso o nmap, o mi
sbaglio (ancora)?
Ciao
--ev

 degli echo reply, giusto?
Si.
Fabio

 impossibile sapere qual'è il s.o. che gira?
Non è sempre impossibile. Se non vengono bloccati si possono analizzare gli
ICMP di ritorno (es. i vari desination unreachable) o inviare pacchetti
creati in modo non conforme alle specifiche e analizzare come risponde la
macchina.
Fabio