Newsgroup: it.comp.sicurezza.unix
Titolo: ip spoofing?

Salve, ho una connessione DSL condivisa da tre computer via IPTABLES. Ieri 
ho letto in syslog numerose righe del tipo
martian source <mio indirizzo IP> from 192.168.0.1, on dev ppp0
ll header 45:00:00:4e
Secondo voi si è trattato di un tentativo di ip spoofing?
Vorrei inoltre sapere se è possibile conoscere l'indirizzo da cui proviene 
l'eventuale attacco
Grazie
T-lynn

Secondo voi si è trattato di un tentativo di ip spoofing?
non direi.
anyway, se hai configurato correttamente IPTABLES, in modo che non
accetti nessuna connesione per ip di classe privata in arrivo
sull'interfaccia esterna, non hai nulla di cui preoccuparti.
-- 
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 router misconfigured. ce ne sono, pure troppi in giro.
però non abbiamo un router, o meglio la macchina che fa da router è quella 
nei cui log abbiamo trovato questo messaggio.
Grazie
T-lynn

nei cui log abbiamo trovato questo messaggio.
infatti non parlavo del _tuo_ router... ;)
-- 
Why do programmers get Halloween and Christmas mixed up?
Because OCT(31) == DEC(25)


 infatti non parlavo del _tuo_ router... ;)
Devi scusare la mia ignoranza in fatto di reti e affini, intendi dire che è 
il router della telecom a non funzionare?
Comunque grazie per l'impegno
Ciao
T-lynn 

grazie per l'impegno
Intendo dire, che molto probabilmente, nel set di indirizzi che il tuo
provider ha asseganto (uno a te, un ad ogni altro cliente come te), c'e`
qualcuno con un router configurato alla "membro di segugio" (formerly:
cazzo di cane).
Per cui in qualche modo ti arrivano dei pacchetti dalla sua lan/computer
casalingo.
Si potrebbe disquisire che sul router centrale (quello che unisce te e
altri clienti come te ad internet) questi pacchetti dovrebbero essere
droppati ma come tu stesso hai verificato (e chiunque abbia
connettivita` in rete puo` verificare ogni tanto), non e` sempre cosi`
(per cui i router misconfigured sono almeno due, uno che espande
richieste "private" verso internet/provider, l'altro - quello del
provider - che fa passare il pacchetto).
PS: uno spoofing significativo, prevede sopratutto che l'attacker
proponga un indirizzo credibile. La lan sull'interfaccia esterna non e`
molto credibile...
Ovvio che siamo nell'ipotesi, ma diciamo che ha piu` la faccia
dell'errore che non quella della malizia.
ciao.
-- 
There's going to be no serious problem after this.  --Ken Thompson


Grazie di tutto Maurizio
Ciao
T-lynn

sull'interfaccia esterna,
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
per avere source address verification su tutte le interfacce di rete ;)
-- 
ATTENZIONE: il vecchio indirizzo di posta 
paol...@yahoo.com
 č
in corso di dismissione. Il nuovo indirizzo di posta č 
ze...@libero-dante.it
, ma ricordati di togliere il nome del poeta
e il trattino.

 dell'errore che non quella della malizia.
Concordo. Mi pare ci sia un server 192.168.1.100 in Cile accessibile da 
certi nodi di certe reti molto mal configurate...
-- 
Campagna europea per la pulizia in ics.*
Ogni post provocatorio o polemico verra' automaticamente killato 
assieme al suo poster.
http://www.google.com
 - 
http://groups.google.com/advanced_group_search

 certi nodi di certe reti molto mal configurate...
uh bheh, c'è un pop3 di una mia casella email che mi riempie i log di ip 
privati... penso che i casi non si contano 
per non parlare del caso contrario: ip pubblici in reti private (con gli ip 
nattati)... come dire segarsi mezza internet, anche perchè spesso il 
fenomeno si associa con una netmask /8 :)  
-- 
Cercasi signature