Newsgroup: it.comp.sicurezza.unix
Titolo: Stealth Scanning

Salve a tutti,
Ho letto che è possibile effettuare degli scan su porte TCP senza
inviare pacchetti SYN, questo su diversi sistemi AIX o Linux per-
metterebbe di aggirare il packet logging del firewall,
sfruttando dei bachi nei kernel  ... l'articolo il questione seqmbra
essere un pò vecchiotto... qualcuno sa dirmi se tali bachi
siano stati fixati sotto Linux e in quale versione del kernel?
Grazie.
             Consalvo.

 wrote:
: Salve a tutti,
Ciao
: Ho letto che è possibile effettuare degli scan su porte TCP senza
: inviare pacchetti SYN, questo su diversi sistemi AIX o Linux per-
Sure, senza SYN e' possibile, per esempio il FIN scan.
: metterebbe di aggirare il packet logging del firewall,
se parli di ipchains e' vero: non c'e' modo per indicare "FIN" nelle
regole, ma un programma in user space puo' fare il detect senza problemi.
: sfruttando dei bachi nei kernel  ... l'articolo il questione seqmbra
nessun baco, RFC:
se una porta in listen state riceve un FIN che non appartiene a nessuna
connessione attiva non deve rispondere con un RST come invece farebbe
una porta che non e' in listen state.
: essere un pò vecchiotto... qualcuno sa dirmi se tali bachi
: siano stati fixati sotto Linux e in quale versione del kernel?
Non sono stati fixati perche' non sono bachi.
: Grazie.
se ti interessa un software per fare questo tipo di prove (ed anche
molto di piu') guarda 
http://www.kyuzz.org/antirez/hping2.html
o affidati al piu' user friendly nmap.
ciao
antirez

 una porta che non e' in listen state.
Capisco, quindi cosě facendo si capisce se la porta č in listen state.
Ti ringrazio per le utili informazioni.
Ciao,
         Consalvo.

 di scan?
per loggarli puoi usare tcplogd o tool simili, su
http://packetstorm.securify.com
 seguendo il link "archives" trovi
sicuramente qualcosa,
Ciao

Claudio Agosti <claudio@DIO&MADONNAmatrice.it> wrote:
:> Ho provato con nmap e come previsto ipchains non logga.
: ipchains dice al kernel di loggare se specificato con l'opzione "-l"
...ma poiche' non c'e' la possibilita' di matchare il FIN se non
vuoi che ti logghi tutto non hai modo di loggare un FIN scan con
ipchains :)
antirez

 ipchains :)
diciamo che viene loggato "di riflesso":
e' vero che non puoi far matchare il FIN, ma e' anche vera un'altra
cosa: quando, con vecna, avevo provato i suoi "syn scan alternativi",
avevo notato che lo scan non veniva rilevato dal mio logger, ma appena
lo scan arrivava a qualche porta controllata da ipchains, allora
ipchains mi diceva chiaramente che c'era stata una "connessione" a
quella porta.
Una "connessione" (non so come chiamarla) non implica che ci sia uno
scan in corso, d'accordo, ma la losca attivita' riuscivo a vederla.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Sono andato al mare e ho pisciato e ho pisciato, finche' un tritone
  non mi ha lanciato un grosso stronzo verde

 scan in corso, d'accordo, ma la losca attivita' riuscivo a vederla.
chiamarla "socket2, no???


 chiamarla "socket2, no???
quotare meglio, no??? :)
Cmq, lo chiamerei "pacchetto in arrivo".
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* "Da-da" (Gesu' Bambino)