Newsgroup: it.comp.sicurezza.windows
Titolo: incontro con un lamer...

Ciao,
stavo su irc a fare una chiacchierata in un canale aperto da me con un mio
amico. Ad un certo punto entra uno, che non si perde certo in molte parole.
Il mio amico cade per due volte. Do un'occhiata al firewall e vedo che l'ip
del furbone che e' entrato appare 200 volte. Dopo una piccola discussione,
il lamer viene a dirmi queste cose: che il firewall non serve a nulla... mi
sembra una considerazione intelligente, fatta da uno che si e' fatto proprio
beccare da un firewall... poi mi dice che se mi avesse smurfato da una
broadcast sarei caduto comunque, anche col firewall. Non sapendo
assolutamente cosa voglia dire smurfare o cosa sia una broadcast mi appello
a voi... potreste dirmi cosa sono e se e' vero quello che ha detto il lamer?
A dir la verita' mi domando perche' non l'abbia fatto, se sapeva che ci
sarebbe riuscito...
Infine mi ha detto che per difendersi dai lamer e dai loro nuke, basta
"mettersi" su una particolare porta del server... mi sapreste dire qualcosa
in proposito anche su questo?
Vi ringrazio.
Ciao

 in proposito anche su questo?
Da quello che ne so sono balle, e avevo un server IRC in casa, quindi penso
di non essere proprio ignorante in materia.
--
--
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

 sembra una considerazione intelligente, fatta da uno che si e' fatto proprio
Cio' che il lamer vuole dire e' in parole piu' semplici:
caro il mio poveraccio che non sai niente rispetto a me, io ho appena
preso il mio megagalattico programma di smurf [1] in Viral Basic che
permette di lanciare, da grande programma da super hacker qual'e' 1200
nuke al secondo su 500 porte contemporaneamente e nel frattempo lanciare
4 portscan trasversali parallattici incrociati e scoprire tutte le
passuord che hai nel portafoglio che celi nella tasca posteriore del tuo
pantalone.
In pratica e' un povero coglione che prende un programma preconfezionato
e parla senza avere alcuna conoscenza (cfr. lamer, appunto)
[1] Lo smurf e' un Denial Of Service (DoS) consistente nel fare inviare
messaggi ICMP da piu' macchine contemporaneamente in modo da bombardare
la macchina destinataria e provocarne una penalizzazione nelle
prestazioni del collegamento.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 prestazioni del collegamento.
Mi potreste spiegare cosa vuol dire ICMP? Ha a che fare con il broadcast a
cui si riferiva il lamer?
Ma e' vero che il firewall non riesce a difendermi in caso di smurf?
Se si, come posso fare a difendermi in tal caso? Ovviamente il sistema
operativo che possiedo (win 98 s.e) non mi aiuta, questo purtroppo lo so...
Infine, se quella cosa di mettersi su una porta del server per sfuggire ai
nuke non e' vera, come si puo' fare?
Vi ringrazio ancora
Ciao!

 operativo che possiedo (win 98 s.e) non mi aiuta, questo purtroppo lo so...
Contro un ping flood oppure uno smurf non c'e' nulla da fare, d'altro
canto ti hanno detto che e' l'ultimo rifugio dei lamer (come diceva
anche il buon sindaco Hardin...)


 nuke non e' vera, come si puo' fare?
Eviti di frequentare le cattive compagnie.


> Eviti di frequentare le cattive compagnie.
Beh... quello non e' un problema... il fatto e' che e' venuto lui a rompere
le palle... da buon lamer.
Comunque vi ringrazio di tutto.
Ciao

 Contro un ping flood oppure uno smurf non c'e' nulla da fare, d'altro
un socks
-- 
occhio per occhio rende il mondo cieco
http://members.xoom.it/werted

 Ciao!
-- 
Ciao!
HappyCactus

 un socks
si ma "prima" di far incazzare il lamer. E molti server IRC non
accettano connessioni tramite SOCKS
-- 
Ciao!
HappyCactus

 gli sarebbe passata.
Toglimi una curiosita'... posso segnalare all'abuse anche gli scan che
ricevo sulle porte?
Ma a cosa serve la conversazione con il lamer? Non dovrebbe bastare il suo
ip sul log del firewall per segnalarlo?
Ti ringrazio ancora!
Ciao

 accettano connessioni tramite SOCKS
non si puo' avere tutto dalla vita


"mettersi" su una particolare porta del server... 
Seh. Dove c'e' lui, magari.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 ip sul log del firewall per segnalarlo?
Se ti smurfa non compare il suo IP ma quello degli host che inviano gli
ICMP reply, quindi la conversazione ti serve per dimostrare che vi e'
una correlazione tra il tuo "amico" e il successivo smurf. Sempre che il
lamer sia cosi' pollo da dichiarare le sue intenzioni...
-- 
Ciao!
HappyCactus

 Seh. Dove c'e' lui, magari.
Beh, considera che ha detto nuke, non smurf.
Quindi intendeva un attacco su IRC.
Quindi basta trovare un server IRC che abbia anche un servizio HTTP, e
mettersi su questa...
:)
HappyCactus Azzeccagarbugli
-- 
Ciao!
HappyCactus

 Aruba, a quanto pare, se ne frega altamente anche per cose piu' gravi.
Aruba e' una spamhouse gestita da cantinari quindi non meravigliatevene.


 Aruba e' una spamhouse gestita da cantinari quindi non meravigliatevene.
Aruba... un nome che e' tutto un programma?!? :)
-- 
Ciao!
HappyCactus

 ordine di grandezza rispetto al tuo amico).
Questo non è rilevante per uno smurf.
Fabio


In che senso, scusa?
-- 
Ciao!
HappyCactus

 Aruba... un nome che e' tutto un programma?!? :)
Gia' :)


 In che senso, scusa?
Forse non ho capito la tua risposta di prima.
Quello che volevo sottolineare è che la larghezza di banda della connessione
di chi lancia lo smurf ha poca importanza ai fini dell'efficacia dell'attacco,
indipendentemente dalla larghezza di banda a disposizione del bersaglio.
Fabio

 indipendentemente dalla larghezza di banda a disposizione del bersaglio.
Supponiamo che l'amico del dalai lamer abbia una larghezza di banda che
gli consente di inviare un pacchetto al secondo ad un indirizzo di
broadcast cui rispondono 100 host.
quindi avremo in ritorno 100 pacchetti ICMP echo/reply al secondo.
E' chiaro che se l'attaccante avesse una banda di, diciamo, 1000
pacchetti/secondo, la risposta (teorica) dello smurf dovrebbe essere di
100e3 pacchetti al secondo.
E' corretto?
Altra domanda che mi sorge adesso:
Ma si e' parlato di "cattiva configurazione" del broadcast. Mi chiedo,
e' il router che non dovrebbe forwardare i pacchetti di broadcast, o gli
host che non dovrebbero rispondere a tali ICMP Echo Request?!?
Ciao e graz
-- 
Ciao!
HappyCactus

 host che non dovrebbero rispondere a tali ICMP Echo Request?!?
(IMHO)
Eventualmente router "interni", sulla base di specifiche esigenze e
considerando il rapporto rschi/benefici, potrebbero richiedere diverse
modalità di inoltro per gli indirizzi di broadcast delle relative sottoreti.
Qualsiasi border-router dovrebbe essere configurato per non inoltrare
pacchetti che abbiano indirizzi broadcast come destinatario o origine per
nessun protocollo e per nessuna maschera di rete.
La configurazione del router, comunque, non può molto con attacchi condotti
tramite zombie.
E' anche possibile impedire ai client di rispondere ad una richiesta destinata
ad un broadcast. Questo impedisce anche gli attacchi condotti tramite zombie.
Ovviamente una buona configurazione, in entrambi i casi, consente di non
essere una buona sorgente per l'attacco, non di non subirlo.
('mazza, quanto è lunga:))
Fabio

 Fabio
Grazie, sei stato davvero istruttivo...
Ciao!
-- 
Ciao!
HappyCactus

 (cioe' che non filtrasse i broadcasts?)
Forse non ho capito bene la domanda ma provo a rispondere comunque:
I border-router fanno passare i brodcast diretti verso l'interno:
VANTAGGIO:  nessuno, direi
SVANTAGGIO: molti :)
I router interni fanno passare i broadcast diretti alle sottoreti:
VANTAGGIO:  posso usare alcuni strumenti di management centralizzati
            che si annunciano tramite broadcast (basta fare passare
            i broadcast per i protocolli desiderati)
SVANTAGGIO: aumenta il traffico di rete (se passano tutti i broadcast),
            sorgente per smurf dall'interno, potenziale sorgente per
            smurf con zombie dall'esterno.
(IHMO)
Fabio

 (IHMO)
Perfetto, sei stato arcichiaro, ti ringrazio infinitamente.
Ciao!
-- 
Ciao!
HappyCactus