Newsgroup: it.comp.os.linux.sys
Titolo: Re: Impazzire col routing (peraltro banale)? E' il mio destino ?

 Ma perchč ?? Sbaglio qualcosa ?
Devi accertarti che le macchine sulla 
192.168.123.0/24
 possano ricevere
l'icmp redirect inviato dal firewall.
Per fare in fretta un
iptables -I FORWARD -i eth0 -o eth0 -p icmp -j ACCEPT
Dalla rete interna sarebbe sempre meglio lasciare attivo tutto l'icmp
Se proprio vuoi stringere aggiungi "--icmp-type redirect"
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 tipo: "oh, client, passa di lě, non rompere piů le palle a me, ok ?"
Yes. :-)
http://en.wikipedia.org/wiki/ICMP_Redirect_Message
Ma non dirlo a "Angelo D." ;-)


 arbitrariamente con le routing tables dei miei colleghi ????????
+ o -
http://www.clusit.it/smau_milano_2002/itbh_man_in_the_middle_attacks.pdf
Ovviamente se hai a cuore l'incolumità della rete (e la tua integrità
fisica se non sei il netadmin) non testerai in produzione ettercap.


 routing tables dei miei colleghi ????????
Uhm .. dipende; se le macchine dei tuoi colleghi
sono filtrate ed accettano redirect solo dal gw...

 arbitrariamente con le routing tables dei miei colleghi ????????  ...
ROTFL.
Con ettercap puoi fare di molto meglio, però...:-D
-- 
Words are very unnecessary
They can only do harm

 sono filtrate ed accettano redirect solo dal gw...
Beh, spoofi anche quello, volendo...:)


 fisica se non sei il netadmin) non testerai in produzione ettercap.
Beh, basta che lo faccia "in unicast" e su una vittima consenziente...:-)


> Beh, spoofi anche quello, volendo...:)
ah certo, se controlli gli switches :)

 ah certo, se controlli gli switches :)
Ok. Ma a questo punto stai ipotizzando la presenza contemporanea 
d'una serie di presidi che, anche presi singolarmente, raramente 
trovi in una rete reale.
Fabio
PS: per un'attimo ho pensato tu stessi seguendo icols :-)

 trovi in una rete reale.
Uhm, di non essermi spiegato bene. :)


 Uhm, di non essermi spiegato bene. :)
Infatti :-P


 > trovi in una rete reale.
Io puntualizzavo solo che la norma non e' esattamente quella.
Fabio

> Uhm, di non essermi spiegato bene. :)
... o c'era qualcosa tra le righe che mi sono perso? :-)
Fabio

 ah certo, se controlli gli switches :)
Oppure se nessuno effettua quei controlli sugli switch, ed è tutt'altro
che caso raro...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFF+SZP8THo01J+SBERAiqyAJ9gEsSEwldyI9R593KpEX/aW+C52QCglUfj
2S62co2oIn9ElKrWM6GW5HQ=
=E7dM
-----END PGP SIGNATURE-----

 Spoofando l'ip del gateway negli icmp redirect? 
Sì, ma anche il mac, volendo.


 Sì, ma anche il mac, volendo.
Ah, beh... se fai una cosa, falla bene :-)
Immagino che fosse proprio il mac lockdown (unito a
un simpatico personal firewall) la feature a cui si
riferiva implicitamente obiwan.
Fabio




Beh .. il discorso è abbastanza semplice; supponi
di avere un sistema con un minimo di filtraggio ed
uno switch configurato ammodino che associ IP e
MAC (semplifico) ad una data porta a questo punto
da una qualsiasi altra macchina della rete potrai
sfinirti inviando ICMP redirect con IP e MAC spoofato
... lo switch li dropperà tutti senza pietà :)

 Con ettercap puoi fare di molto meglio, però...:-D
Uhm .. basterebbero anche cain & abel o arp0c :)

 sugli switch, ed è tutt'altro che caso raro...
Ah beh .. ho visto spesso aziende spendere
$$$ per apparati stratosferici per poi lasciare
la config al "default" solo perchè nessuno era
in grado di configurarli :)