Newsgroup: it.comp.sicurezza.windows
Titolo: 2 domandine

Provando Exploit generator ho visto che questo programma riesce a
generare attacchi fingendo che essi arrivino da ip casuali mascherando
il proprio.
In che modo riesce a fare cio'??
Seconda domanda : mi è capitato spesso di vedere in irc gente con un
host name buffi del tipo 
bill.gates.com
 o
i.had.sex.with.a.bot.when.i.was.drunk (!!) o
ThE-PoWeR-oF-MuSiC-Is-On.net1is.it
 e tanti altri del genere.
Facendo il dns si ottengono dei valori ip e viceversa facendo il dns di
questi ip si ottengono (ovviamente) questi strani host name.
Ma...come fanno?? hanno registrato questi host name al proprio ip?
Saluti
Francesco


No, sono semplici servizi di vhost, un servizio cioè che viene offerto (oppure si puo'
avere in proprio) usufruendo di una shell in un server che permetta appunto uno o piu'
vhost che possono essere registrati oppure usare un dominio di altri.
Have fun.   
         The Duke

In alcuni casi si'
(per esempio 
nettuno.org
 ^__^)
in altri casi invece hanno modificato i parametri DNS del TCP/ip della
propria macchina, in altri ancora si tratta di gente che ha accesso ad un
server DNS e ha fatto modifiche su quello, partendo pero' da un dominio
esistente come nel caso di 
bill.gates.com
, togliendolo poi dal server DNS
finita la chattata.
--
La Forza dei Forti sta nell'Attraversare le Traversie con occhio sereno.
(Paperinik)
Nettuno
(please remove zizac.imei to reply or call ICQ #30922656 )

          The Duke
Grazie e ciaoFrancesco


Io non ne ho mai trovati.
Have fun.   
         The Duke

         The Duke
Credo in questo caso tu sbagli...conosco l'autore per esempio di
ThE-PoWeR-oF-MuSiC-Is-On.net1is.it
 ehhe si chiama ellegi...prova ad
andare su #napoli sulla ircnet e fai il comando /dns ellegi
resolved 
guarda-che-bell-ip-che-ho.dynip.com
 to 127.0.0.1
Could not resolve 127.0.0.1
Altro caso..un mio amico mi ha fatto realmente impazzire riuscendo a
fakkarmi in 2 minuti qualsiasi host name io gli abbia chiesto..del
tipo "
force.frankj.mil
"..naturalmente gli è stato facile joinare sul
chan del tipo Frankj (
us...@127.0.0.1
) has joined #NAPOLI ...
 
--
<=------=(Informazioni Whois su Frankj)=------=>
Frankj   : 
ihav...@usa.net
Homepage : 
www.chez.com/pizzairc
 
IRCNET   : #pizza #italia2 #napoli
icq      : 15068478
<=--------=(Ora Disponibile Pizza3.0)=---------=>

--
Io conosco solo un modo di fare cio' ed è attraverso delle shell che permettano dei vhost
configurabili a piacere (tipo quelle presenti in 
shell.technojunkie.com:23
), in questo
modo puoi inserire l'host che vuoi tipo 
io-metto-il.nome-che-mi-pare.technojunkie.com
oppure 
Bill-Gates-finocchio-ad-oltranza.vhost.com
, poi se esiste anche un altro metodo,
sarei felice di saperlo.
Have fun.   
         The Duke

 Mmmmm....me la sono cercata ...:)
In pratica, i messaggi del protocollo TCP sono costituiti da tre parti:
un'intestazione, i dati e una coda. TCP, per funzionare, si appoggia su un
altro protocollo, di livello piu' basso, detto IP, e i dati di un messaggio
TCP sono costituiti da un messaggio IP, a sua volta composto da
un'intestazione, dei dati e una coda. L'intestazione del messaggio IP contiene
l'indirizzo IP suddetto (ma non dovrebbero essere 32 bit?).
Ciao, Max.
-- 
Emma for President: 
http://www.emmaforpresident.it/
--ICQ: 14816698---Campagna NOTUT: 
http://www.notut.cjb.net-----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------------


Certo sono 32 bit divisi in due parti di 16.
La prima parte (16 bit) contiene l'IP SOURCE la seconda (16 bit) l'IP REMOTE.
Have fun.   
         The Duke

 viene scritto l'ip del mittente.
Come posso cambiare questi 16bit senza l'ausilio di un programma tipo aggressor?
Un altro dubbio : un server ftp apre una porta (generalmente la 21) per ricevere i comandi
e una per uploadare o downloadare i files.
Il fatto che netstat me la riconosce come porta ftp-data mi fa pensare che questa sia
generalmente fissa come la 21 ... ma ovviamente non è così vero?:)
Grazie di nuovo..
Saluti
Francesco

i_the...@usa.net
 (The Duke) wrote:


Diciamo che sono 32 bits per il source e 32 per il remote.
255.255.255.255 <--> 255.255.255.255
Leonardo quattro bytes, trentadue bits
".signature": bad command or file name

generalmente fissa come la 21 ... ma ovviamente non è così vero?:)
Invece e' cosi'. E' la 20 :-)
Leonardo


generalmente fissa come la 21 ... ma ovviamente non è così vero?:)
la 21 e' la porta che di solito si usa per l'ftp, ma nessuno ti vieta
(se non il buonsenso) di utilizzare una qualsiasi porta libera
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* Questo non e' un omaggio a Magritte
-----------------------------------------------------------------------

 -----------------------------------------------------------------------
* Accidenti, nel tentativo di esprimere quello che volevo chiedere in modo sintetico sono
riuscito a tagliare un pezzo del post che era fondamentale per capire cosa chiedevo:) ...
chiedo perdono...:)
Io volevo sapere se la porta utilizzata di default da un server ftp per trasmettere e ricevere
files č fissa come la 21 per inviare i comandi.
Chiedo umilmente perdono...:)
Francesco

Ehi! Ma si capisce lo stesso pero'! ....:)


Inviando con aggressor dei pacchetti tcp verso il mio ip con conseal aperto ho notato che
questi pacchetti non hanno come ip source quello che imposto(qualsiasi esso sia), bensì un ip
molto vicino al mio, nel senso che rientra nel dominio del mio provider per i primi 16 bites
dell'ip e che facendo il route dal mio ip verso un altro ip risulta come uno dei nodi
immediatamente successivi al mio.
Il mio provider blocca i pacchetti tcp spoofati? (si dice così??:).
Se invece entro nel simple mode e invio DoS preconfezionati come il land e lo smurf
(ma...funzionano???, e cosa sono??), in alcuni di questi (forse 1) vedo come ip source quello
che imposto...
Il mio provider non blocca un bel niente?
Francesco

 La prima parte (16 bit) contiene l'IP SOURCE la seconda (16 bit) l'IP REMOTE.
Sicuro? Non sono per caso 32 e 32? Sto ora guardando la figura che illustra
l'header dello strato IP, che dopo vari altri campi mostra Indirizzo di
Provenienza e Indirizzo Destinazione entrambi di 32 bit. E come farebbe
altrimenti un indirizzo di 32 bit a stare in 16?
O forse stiamo parlando di due cose diverse? ^__^


 
Avete ragione tu e Leonardo, 32 bits, anche perché un numero ip essendo a 
32 bits non potrebbe certo stare in 16 bits. Sorry.
The Duke
        Have fun

Chiedo umilmente perdono...:)
si, di default la 21 e' per i comandi e la 20 per i dati.


Il mio provider non blocca un bel niente?
Probabilmente no. Ma potrebbe anche essere che il router sia prima del firewall
del provider (visto dal tuo lato), per cui il pacchetto ti rimbalza addosso non
passando neanche dal firewall.
SE il tuo provider ha un firewall, del che dubito.



Veramente no, ma ze mi zpieghi...
saluti
Francesco

mai zentyto parlare delle zocket raw ??????
Windows non li supporta. Exploit Generator normalmente si inserisce ad un
livello piu' basso, formando direttamente i frames PPP.
Per quanto riguarda gli indirizzi IP, li si puo' falsificare bene andando
a modificare la struttura SOCKADDR in memoria (tanto, e' scrivibile). Non
e' un vero e proprio raw socket, pero' e' quanto di piu' simile si fa con
Windows.


 Leonardo
SOCKADDR ....in memoria .. dove ????
                tnx   ... Marco

SOCKADDR ....in memoria .. dove ????
Dove di preciso, non ti saprei dire... dipende dal framework che si usa.
Comunque, non molto lontano dalle parti pubbliche esposte dai sockets.
Di norma, pochi bytes prima <evil grin>
