Newsgroup: it.comp.reti.ip-admin
Titolo: sono intercettabili i messaggi winpopup

In una rete privata, si possono intercettare tutti i messaggi
winpopup che girano sulle macchine interne, essendo
amministratore di rete??
Grazie.

 amministratore di rete??
I messaggi immediati messenger/winpopup vanno direttamente da client 
a client. Possono essere intercettati solo da un host che veda tutto 
il traffico, indipendentemente dall'essere o meno un amministratore.
Se quel che vuoi fare e' loggare i problemi sono quelli tipici dello 
sniffing in lan, con tutti i soliti problemi e relativi tentativi di 
soluzione nel caso fossero presenti degli switch. In questo caso, se
i messaggi sono inviati usando netbios, e' facilmente intercettabile
la name query <03> che viene inviata all'indirizzo di broadcast o al
server wins, ma serve soltanto per sapere che probabilmente e' stato  
inviato un messaggio, da chi e a chi, ma senza vederne il contenuto.
Fabio

 soluzione nel caso fossero presenti degli switch.
Il che significa piazzare lo sniffer sulla (eventuale) porta
"speciale" dello switch che permette di vedere tutto il
traffico in transito sulla rete

 ha scritto nel messaggio
news:MPG.192c678bb...@powernews.libero.it...

... pongo una domanda ...
E se io avessi la necessità di bloccare l'arrivo dei messaggi popup da
internet?
(ho un PC-WinXP connesso ad internet con IP fisso, netBios disabilitato)
grazie
Maurizio

 l'arrivo dei messaggi popup da internet?
Beh .. un firewall decente che blocca le porte netbios
dovrebbe fare al caso tuo, dopotutto si tratta solo di
pacchetti UDP ..
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 pacchetti UDP ..
si, basta bloccare 138 e 139..
ah, obiwan, per piacere usa la convenzione trattino-trattino-spazio per la
firma sennņ il mio auto-quotatore impazzisce.
--
 /\lessandro |)ogliotti
"I videogiochi non influenzano i bambini.
Voglio dire, se Pac-Man avesse influenzato la nostra generazione,
staremmo tutti saltando in sale scure, masticando pillole magiche
e ascoltando musica elettronica ripetitiva"
  --  (Kristian Wilson, Nintendo Inc, 1989.)
Pochi anni dopo nacquero le feste rave, la musica techno e l'ecstasy...


Per lo sniffing ti hanno gia' detto; win2k logga il contenuto dei
messaggi nel visualizzatore eventi, per cui, se i pc sono in un dominio
ed in amministrazione remota, come amministratore puoi collegarti ai
visualizzatori eventi remoti e vedere i messaggi.
Ciao.
-- 
Matteo Lunardi.                  _  _/\___/\_
   _____________________________/ \/ Genova  \_
          ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Italy ~~~~~~~~~~~~~~~~~~~~~~~~

 mio auto-quotatore impazzisce.
Ok .. anche se è la prima volta che sento una
cosa del genere :-) ... che pgm usi ?!?
Ciao
-- 


Si, ma come si fa???


 amministratore di rete??
se hai un s.o SERIO (Linux o xBSD)
puoi sniffare TUTTO da qualsiasi porta di uno switch
con ettercap (arp poisoning)
basta che sei root della macchina,
non importa essere amministratore della rete!!!
contromisure: gli switch gestibili di un certo calibro
possono rilevare l'infestazione arp e disattivare la porta,
la funzione è normalmente disattivata in quanto può creare problemi
ciao,
Mario
http://sky73.ath.cx


Da un pc con w2k come amministratore di dominio vai su Pannello di
controllo-Strumenti di amministrazione-Gestione computer; di li' dal
menu piu' a destra che sara' apri, non mi ricordo bene, selezioni
Connetti a computer, e selezioni il computer al quale connetterti; a
questo punto nella gestione computer hai le informazioni relative al
computer remoto, fra cui anche il visualizzatore eventi.



http://www.sikurezza.org/ml/03_03/msg00219.html
La 138/udp non c'entrerebbe comunque.
Fabio

 rete
Se lo switch lo permette direi che e' una panacea. Purtroppo ne conosco 
solo uno che consenta di farlo. Anzi, se qualcuno conosce switch diversi 
dai catalyst che possano farlo...
Fabio

 visualizzatori eventi remoti e vedere i messaggi.
E' un ottimo sistema: si potrebbe aspettare la query wins o broadcast
e poi, noto il destinatario, spulciargli il log. Ovviamente tutto cio'
in una rete dove gli utenti non sono dei dipendenti tutelati dall'art
4 della legge 300/70 ;-)
Fabio

 la funzione è normalmente disattivata in quanto può creare problemi
Non e' possibile: rilevare l'arp poisoning e' un lavoro che va fatto
a livello 3, non 2. Forse si potrebbe fare con gli switch layer 3 ma
mi mancano info in proposito sui modelli e sulle feature.
Fabio

 usa NetBIOS ma DCE-RPC. La porta da bloccare e' almeno la 135/udp.
Doh ... paff (rumore della manata sulla fronte) :-) hai ragione !!

 dai catalyst che possano farlo...
HP Procurve, con il modello 2424 posso monitorare il traffico delle
porte che voglio.
Sicuramente ci sono altri modelli HP con questa caratteristica ma da un
mio cliente uso il 2424.
-- 
Un Ciao in DO Maggiore!
-=) Sbaturzio (=-

 Fabio

Che cosa dice questa legge???
Possono sequestrare i pc ai dipendendi per dei controlli???


 porte che voglio.
Mi sembrava di ricordare che con i procurve fosse possibile monitorare
al massimo 4 porte contemporaneamente, non tutte.
Fabio

 Possono sequestrare i pc ai dipendendi per dei controlli???
No, dice che non puoi controllarli se non a certe condizioni. E
vedo dura fare rientrare in queste condizioni qualcosa che passa 
sulla messaggistica messenger.
Fabio

 configurazioni di rete... Tipo swithc/hub/switch in cascata.... 
Non capisco cosa tu intenda dire: switch e hun non alterano la arp 
cache degli host.
Fabio

 Fabio
Ciao

Fabio Panigatti wrote:

mi PARE di ricordare 3com superstack 3100...
Ciao

 Che so... ettercap, ad esempio ;-)
Hm non penso; direi più WinARP0c2, per dettagli vedi
http://www.phenoelit.de/fr/tools.html


 cosa del genere :-) ... che pgm usi ?!?
OE con OE-QuoteFix


 Hm non penso; direi più WinARP0c2, per dettagli vedi
non pensi in che senso ?
Io lo uso su Win32 da quel bel po' :)

 Io lo uso su Win32 da quel bel po' :)
Si ... non ho detto che non funzioni, dicevo che per ARP
poisoning ci sono "tool" appositi come appunto ARP0C

 
http://www.phenoelit.de/fr/tools.html
In che senso "non penso"? Non ti piace come funziona ettercap sotto 
windows? A parte la lentezza all'avvio dovuta alla cattiva gestione
delle arp request (se non lo si avvia con -z) penso che lavori bene
come sotto *nix. Diciamo che forse e' un po' sprecato per fare solo
arp poisoning, mentre il tool di phenolit e' piu'... mirato. Ma chi
gia usa ettrecap puo' fare tutto quello che si puo' fare con ARPOC.
Fabio

> mi PARE di ricordare 3com superstack 3100...
Ne sei certo? Mi sembra che i 3com possano monitorare una 
sola porta alla volta. Per lo meno questo sembra guardando
l'interfaccia web e leggendo il manuale.
Fabio

 porta dello switch si vedra' apparire un mac diverso...
Si, forse, ma continuo a non capire cosa c'entri con il poisoning. Lo 
switch vedra' sempre gli stessi MAC provenire dalle stesse direzioni,
indipendentemente dagli ip associati e dal contenuto delle arp cache
degli host. In ogni caso non mi sembra particolarmente delirante quella
configurazione che, tra l'altro, per lo switch viene vista esattamente
come se al posto dell'hub ci fosse un'altro switch. E' una tipologia
di link che viene usata spesso e per cui non vedo controindicazioni.
Fabio

 windows? A parte la lentezza all'avvio dovuta alla cattiva gestione
[...]
Ho letto solo dopo il tuo post in risposta a n3tg@n3sh.
Fabio


Appunto, non stavo dicendo che ettercap non vada bene ... anzi !
Stavo semplicemente dicendo (vabbè, scrivendo) che forse nel
caso di un semplice ARP poisoning ARP0C rappresenta il tool
più semplice/corretto da usare .. in ogni caso sniffers/builders ed
altro per win32 sono rintracciabili senza problemi qui
http://winpcap.polito.it/misc/links.htm


 dipendenti tutelati dall'art 4 della legge 300/70 ;-)
Non so bene che cosa dica e non sono esperto di questioni legali (pero'
se mi sapessi dire un link dove recuperare qualche informazione su
questa legge, ti sarei grato ;-)).
Come addetto ai lavori sono piu' propenso a pensare di poter essere
controllato che non, anche qualora l'amministratore o chi per lui non
intenda realmente controllarmi.  Al di la' del messenger, in una rete
che naviga in internet basta guardare la cache del dns per violare la
privacy, e non e' messa li' per spiare.
Comunque sono considerazioni piu' tecniche che legali; quello che mi
chiedo e' se possano nascere casini solo per il fatto che sono loggati,
o perche' qualcuno abbia letto i log e li abbia usati per qualcosa di
scorretto: nel secondo caso sicuramente nascono casini, ma nel primo?
