Newsgroup: it.comp.sicurezza.unix
Titolo: e` possibile spoofare l'interfaccia di provenienza?

mi ritrovo in un log dei pacchetti anomali, che provengono da 127.0.0.1 
dall'interfaccia loopback
e` possibile che qualcuno da internet abbia aggirato il firewall in 
questo modo?
le connessioni sono arrivate a servizi che sono disponibili solo 
dall'interno! se avesse spoofato l'ip NON sarebbe arrivato a quei 
servizi, ma se teoricamente e` possibile spoofare anche l'interfaccia...
-- 
    Pardo 
 
http://pardo.cjb.net
 
http://pardo.tsx.org

 servizi, ma se teoricamente e` possibile spoofare anche l'interfaccia...
scusa ma cosa intendi per spoofare l'interfaccia ??
se il pacchetto arriva da internet, l'indirizzo dell'interfaccia (il mac address) e' andato ormai perso...
e se il tuo firewall filtra gli ip 127.x.x.x allora non puo' essere arrivato dall'esterno.
bye

 servizi, ma se teoricamente e` possibile spoofare anche l'interfaccia...
A me "sembra" proprio che sia possibile, a meno che tu, proprio per ovviare 
questo possibile inconveniente, abbia proibito i pacchetti in ingresso 
dall'indirizzo di loopback (127.0.0.1).
P.S. ho evidenziato "sembra" proprio xchè non son sicurissimo di questo! :)
                                ciao
-- 
FreeBSD 4.4 inside .... !!

questo modo?
Direi di no, anche perche', se arrivano da Internet, devono arrivare per
forza da un'interfaccia che _non e'_ il loopback.
Per capirci, se hai una regola del tipo:
ipchains -A input -i lo -j ACCEPT
e ti arriva un pacchetto con questa ipotetica "interfaccia spoofata", la
regola di cui sopra _non_ matcha, perche' il kernel sa benissimo da quale
interfaccia e' entrato il pacchetto in questione (eth0, ppp0...).
A parte questo, non mi risulta che nell'intestazione ci sia l'indicazione
dell'interfaccia sorgente.
-- 
BlueRaven
Scrivi su USENET? Allora:
# kill -HUP html_posting && modprobe quoting.o

 "sembra" proprio xchè non son sicurissimo di questo! :)
Spoofing dell'interfaccia?
Come? Non e' il protocollo che porta con se l'interfaccia su cui viaggia,
e' il kernel che verifica l'interfaccia su cui transita il protocollo :)
Dunque non credo proprio che sia possibile lo spoofing dell'interfaccia...
piu' probabilmente il firewall non e' perfetto.
Pardo, se puoi spiegare a grandi linee la configurazione del firewall
o della rete si puo' fare qualche ipotesi.
Ciao
-- 
Giulivo Navigante [Linux Slackware]
http://www.fans.carmenconsoli.com

  
mah secondo me non si puo' fare, credo perche' e' una questione hardware..
come fai fargli sembrare al kernel che un pacchetto non e' passato attraverso il
modem e viene per dire dalla scheda eth ?
per me e' impossibile, apparte come qualcun'altro ti ha detto
grossissimi e stranissimi bug del kernel...
poi nelle intestazioni dell ip mica ce' l'interfaccia che usi...
sono cose che stanno su due piani differenti una cosa e' il frame hardware e un
altra e' la sintassi dell'ip... sarebbe come credere che il nickname di irc si
trova tra le intestazioni del ip ed a questo punto i filtri di pacchetto
sarebbero piu' sufficienti per la sicurezza e proxy totalmente inutili.
comunque non sono affatto sicuro di quello che ho detto, quindi non prendere
tutto per oro colato!!