Newsgroup: it.comp.sicurezza.windows
Titolo: Controllo messaggi net send

Ciao , abiamo una rete locale con vari pc, windows2000 e windows nt. La
posta è gestita da un server.
Volevo sapere se in qualche modo i messaggi istantanei spediti con "net
send - messaggio - nome computer" posso in qualche modo essere visti o
archiviati o captati da qualche programmino dall'amministratore della rete.
La posta esterna viene tracciata, c'è un numero lunghissimo con scritto
Tracking.

 archiviati o captati da qualche programmino dall'amministratore della rete.
Si'.
E' piu' o meno facile, a seconda della architettura di rete, ma un admin
paranoico puo' aver costruito le cose per permettere il log anche di
quello.
Che la cosa isa lecita, legale, un abuso, contro la carta dei diritti
dei lavoratori, contro la legge sulla privacy, moralmente ianccettabile
o un fatto positivo assolutamente necessario, non e' il posto giusto per
discuterne, ma tecnicamente e' possibile sniffare anche quel traffico.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 quello.
Da cosa posso riconoscerlo se sono monitorato?

 Da cosa posso riconoscerlo se sono monitorato?
Offendi pesantemente il sysadmin via net send.
Se ti picchia, sei monitorato.
Se non ti picchia, potrebbe essere piu' bastardo del previsto, o
semplicemente un tipo molto paziente.
Come per sniffare, anche scoprire se si e' sniffati e' difficile,
dipende dalla configurazione di rete, dal grado di liberta' che hai
nell'installare software di controllo, dalla capacita' del sysadmin
raffrontata alla tua.
Non ci sto girando intorno, un conto e' cercare di scoprire se qualcuno
ha messo su una scheda in promiscuo su una macchina collegata al tuo
stesso hub, un altro e' scoprire se qualcuno ha messo lo switch in
modalita' dump su una porta particolare, su cui passano tutti i
pacchetti in transito.
In quest'ultimo caso, non e' per nulla semplice, se non con
social-engineering, scoprire se sei sotto sniff.


Da cosa posso riconoscerlo se sono monitorato?
Non te ne accorgi. Usando tcpdump e un po' di script:
-----
Date: 12:06:22.527795
From: LSERNI
Dest: HOBBES
Text: Ciao, come va oggi, eh?\nCalvin\n
[000] 01 22 00 43 69 61 6F 2C  20 63 6F 6D 65 20 76 61
[010] 20 6F 67 67 69 2C 20 65  68 3F 0D 0A 43 61 6C 76
[020] 69 6E 0D 0A 00
-----
Con poco sforzo e tre altri stadi di pipe i messaggi possono persino essere
memorizzati in un database:
INSERT INTO smbmsgs VALUES ('today 12:06:22','LSERNI','HOBBES','Ciao, come
va oggi, eh?\nCalvin\n');
il tutto senza che gli interessati ne siano minimamente a conoscenza.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 
Tu sempre a complicarti la vita, eh? :)
log   tcp any any -> any 139 (
	msg:"NETBIOS-SSN  Messenger"; 
	flags:A+; 
	content: "|53 4d 42 d7|"; 
	classtype:misc-activity; 
	sid:1000025; 
	rev:1;)
log   tcp any any -> any 445 (
	msg:"MICROSOFT-DS Messenger"; 
	flags:A+; 
	content: "|53 4d 42 d7|"; 
	classtype:misc-activity; 
	sid:1000026; 
	rev:1;)
Fabio che today e' poco utile, comunque :)


OK grazie, ma per me è un po' troppo complicato. Ho fatto un nbtstat e ho
notato che sul server locale, su una porta c'è "microsoft -ds", cosa
significa?

 pacchetti in transito.
Anche se guardando bene lo switch si puo' gia' capire qualcosa in 
merito a questa possibilita': gli switch che ti consentono questo
sono una manciata. Se quello/i installato/i non e'/sono di questi
o se, addirittura, non sono switch managed, allora e' molto molto
poco probabile che qualcuno stia sniffando il traffico tra client
di rete. Facendo una piccola mappa degli apparati di rete e delle
interconnessioni (hub, switch managed, switch unmanaged), si puo'
anche vedere dove e' possibile essere sniffati e dove invece no.
Questo se si esclude:
- che stiano sniffando solo te e non _tutto_ il traffico tra host
  di rete;
- la presenza di admin ad elevatissimo livello di bofhagine.
Fabio

 cosa significa?
Lascia perdere. Erano solo possibili configurazioni per un programma che
potrebbe consentire di catturare il traffico messenger. Considera che se
anche una cosa si puo' fare non e' detto che venga fatta. Tra l'altro ci 
sono dei metodi per scoprire se una macchina sta "sniffando" ma non puoi 
sapere se sta sniffando anche i messaggi messenger o no. Potrebbe essere
solo l'ids aziendale o un contatore di traffico o qualsiasi altra cosa.
Penso che l'unico modo che hai di sapere se viene sniffato messenger (o
un determinato servizio in generale) sia quello di usare il servizio da
un host verso un altro host mentre si sniffa la rete a propria volta, e
se l'altro sniffer e' fesso tentera' di fare la risoluzione inversa del
tuo nome verso il dns o addirittura verso la tua macchina (se e' win).
La porta 445 aperta sul server vuole solo dire che e' un server win2000.
Fabio

Tu sempre a complicarti la vita, eh? :)
Sempre! :-)
