Newsgroup: it.comp.sicurezza.unix
Titolo: Disabilitare le ripsote del ping è cosa brutta...

Ciao,
    qualche tempo fà lessi un post di MD rigurado alcuni server o alcuen
persone che dicevano belle cose
a proposito di bloccare i messaggi ICMP pe rporteggersi dai DoS.
E' vero?? nel senso è una mossa: intelligente, stupida, inutile, no so
non saprei???
Io non l'ho ancora fatto, o meglio lo faccio solo per il server di posta
e solo per alcuni segnali:
--icmp-type network-redirect -l -j REJECT
--icmp-type host-redirect -l -j REJECT
--icmp-type TOS-network-redirect -l -j REJECT
--icmp-type TOS-host-redirect -l -j REJECT
 (preso da uno scrpit di ipchains)...
....ma non sono sicuro di ciò....

 non saprei???
No, devi bloccare solo l'icmp diretto agli indirizzi di broadcast.....
In questa maniera eviti di diventare un amplificatore per chi ti vuole
utilizzare per attaccare qualcun'altro.
Se sei vittima di un DoS di questo tipo devi chiamare il tuo carrier
e digli di scartare e tracciare il traffico ICMP a te diretto, ma
solo QUANDO la tua rete e' sotto attacco.
-- 
Ciao, Maurizio.

solo QUANDO la tua rete e' sotto attacco.
E di eliminare *SOLO* gli echo reply, altrimenti non funzioneranno
parecchie cose.
-- 
ciao, | * The Internet is full. Go away.  -- Joel Furr *
Marco | (Ri)scoprire fidonet: 
http://bbs.mi.linux.it

  (preso da uno scrpit di ipchains)...
Disabilita solo gli icmp echo 
Aggiungi in /etc/rc.d/rc.local echo 1 >
/proc/sys/net/ipv4/icmp_echo_ignore_all
:)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
I più pericolosi sono gli icmp di tipo 5 capaci di riscriverti la tabella di
routing statica e quindi utilissimi in caso di spoofing.
Pila
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8
iQA/AwUBOew/0pp5iFzMUCiJEQKcYQCeOOzpy9X+72euIBNgYDBMfOQC2dMAnRjC
KD83tllxFB4JtM/RxEVKttBP
=ISKO
-----END PGP SIGNATURE-----

routing statica e quindi utilissimi in caso di spoofing.
almeno sulla carta. in realta' in attacchi blind sono abbastanza inutili
per una serie di motivi:
- l'attaccante e' spesso a svariati hop dalla box verso cui spoofa
- da RFC dev'essere inviato dal primo gateway della lan dell'ip che lo
  riceve, per specificare un altro router di hop uguale a 1 (e se noi siamo
  li i problemi sono ben diversi)
- quasi nessun provider, o cmq quasi nessuna lan 'tipica' ha piu' di
  un router prima del fornitore della linea
- eventuali cambiamenti 'a cascata' di hop1 in hop1 fino alla box da noi
  eventualmente compromessa per sniffare i seq andrebbe operata con altri
  protocolli di routing interno/esterno, visto che i redirect non sarebbero
  accolti tra AS diversi [RIP, OSPF, BGP ?!]
Ma e' certamente interessante per eventuali DoS
invy


Hai ragione, IHMO, su tutto tranne che su questo. Putroppo noto con estremo
disiacere che la tendenza si sta ribaltando. Sempre più attacchi provengono
dall'interno della rete, piuttosto che al di là del firewall (via trojan
redirect ed altro). Ergo io lo casso di default su tutte le interfaccie dei
firewall, siano esse esterne, interne o DMZ.
Pila
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8
iQA+AwUBOex2WJp5iFzMUCiJEQJ0HACYg4xU2E2qWGOux0aPOOt9kmLX0wCggXh1
vAMYxblCHS2sPms+G3CyqWQ=
=Frcw
-----END PGP SIGNATURE-----

firewall, siano esse esterne, interne o DMZ.
beh, e' sempre stato cosi'. tranne le intrusioni punta e clicka, la
maggior parte dei problemi aziendali e' interna, in percentuale.
detto questo, lo spoof blind non ha piu' senso. tanto vale il tcp
hijack o lo spoof'n'sniff alterando, nel caso di reti switchate, le
tabelle arp. Ma questa e' un'altra storia ... :)
invy

invy wrote:
[snip]
Come vorrei che icsv fosse sempre cosi'...
Sara' il xpost con icsu a giovare al tono
dei post???

   accolti tra AS diversi [RIP, OSPF, BGP ?!]
ma scusa... tra AS... ma non si usa solo il BGP? chi usa il rip tra AS?
un mayhem stupito che se mi dici che rip si trova dappertutto io parto con
nemesis e il mio 486 in dial-up con modem 56k diventa 
cisco.com
 ;P (mi sto
ordinando il coniglio con maglietta cisco ;PPPP)
--
cosa bisogna scrivere in questo riquadro?

tabelle arp. 
Cioč vari a riscrivere le tabelle arp dello switch? E come fai?
Pila
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8
iQA/AwUBOe1MPZp5iFzMUCiJEQLoTQCeJzh7iJJRxGjllW7FtkqzfHs5w9YAoPKH
Q9SQO6LX4h92xpXZSGVf5rRa
=b1Xi
-----END PGP SIGNATURE-----

ma scusa... tra AS... ma non si usa solo il BGP? chi usa il rip tra AS?
si certo. tra parentesi ho inserito cio' che mi servirebbe, piuttosto
che redirect, per giocare e rendere visibile uno spoof altrimenti cieco.
e' un errore di fraseologia in italiano aver inserito la parentesi dopo
l'accenno a AS. Parlandone, e non scrivendone, mi sarei spiegato meglio.
Chiedo venia per questo, ma spesso replyio su usenet negli angoli morti
della giornata e lo faccio di fretta :)
invy

Cioč vari a riscrivere le tabelle arp dello switch? E come fai?
non necessariamente riscrivere, cosa cmq fattibile su alcuni switch,
mediante arp flood. magari 'ingannare' le tabelle arp, se posso far
pensare che lo stesso indirizzo fisico sia associato anche alla mia
porta :)
un tool che tenta simili giochetti ed e' liberamente disponibile,
e' di certo hunt.
invy

 della giornata e lo faccio di fretta :)
mi spiace per la tua ragazza. :)
un mayhem burp (che odore di vino... bleah!)
