scansione con 7th sphere portscan

[olly]

Ciao ragazzi, volevo chiedervi una cosetta:

Io ho fatto la mia solita scansione on line al sito scan.sygatetech.com e ho notato con soddisfazione che le mie porte erano tutte bloccate...

Con questo programmino invece alcune porte risultavano connect0, e ho letto anche questa voce "open socket=3", per le prime 360 porte che ho testato....

E' normale?? Ve lo chiedo perchè questo programmino nn ha neanche una guida da consultare....

Ciao a tutti.

[Habanero]

usi un firewall vero?

Fare una scansione esterna attraverso uno dei tanti siti che forniscono il servizio non è la stessa cosa che usare un port scanner locale in cui la macchina stessa è la destinazione dello scan.

Un firewall si pone tra la tua macchina e internet. Tante possono essere le porte aperte sul tuo pc ma col firewall di mezzo queste possono [b]risultare invisibili[b]. Attenzione: non sono realmente chiuse ma, grazie al firewall, è come se lo fossero <u>per uno che sta all'esterno</u>.

Se fai uno scan dall'interno bypassi completamente il firewall!

Che porte aperte ti indicava per curiosità?

[olly]

Ciao Habanero, si uso il firewall.

Per le prime 741 avevo la 110 (per la posta), 135 (era per qualche virus se nn ricordo male), 389 e 485.....

Open socket che cos'è???

Ciao e grazie.

[olly]

Lo slow-motion

I comuni firewall si accorgono in genere dei tentativi di portscanning effettuati nei confronti del nostro IP e ci avvertono con un messaggio di allarme. Lo slow-motion scanning rappresenta il tentativo di taluni port scan “intelligenti” di eludere i controlli del nostro firewall. Quest’ultimo, di solito, rileva un portscanning osservando come parametro la frequenza degli scanning, ovvero considerando pericolosi solo i tentativi di accesso che provengono dallo stesso IP in rapida successione. Uno dei modi con i quali i cracker cercano di effettuare un portscan, senza far scattare l’allarme del nostro firewall, è variando la velocità delle scansioni, per esempio facendo intercorrere parecchi minuti tra di esse (slow time) o, anche, cambiando il loro indirizzo IP rimbalzando incessantemente da questo a quel proxy server o disponendo frequentemente un nuovo collegamento con il provider Internet di competenza.

Basta anche poco in teoria per eludere il controllo di un firewall....

[Habanero]

Originariamente inviato da olly
Lo slow-motion

Basta anche poco in teoria per eludere il controllo di un firewall....

semplicemente non ti avverte che è in atto uno scan (test di varie porte consecutivamente) ma comunque ti blocca i pacchetti...

La cosa serve a fare scansioni cercando di non farsi notare... tutto qui! Se c'è un firewall non serve ad eluderlo!

[olly]

Beh allora dall'esterno nn dovrebbero ricevere nessuna risposta dalle varie porte con un firewall installato.......dovrebbero vedere tutto "BLOCKED" anche loro....

[Habanero]

ipotesi... uno vuole fare un portscan delle prima 1024 porte di un sistema per verificare se ha porte aperte e quali servizi girano.

Due soluzioni:

1) Puo' testare tutte le porte una dietro all'altra in rapida sequenza. In pochi secondi ha il responso. Il sistema remoto però se ha particolari sistemi firewall o meglio sistemi di rilevamento di intrusione (IDS) dopo 10 porte scansionate dallo stesso IP in meno di un secondo lo giudica un attacco, alza la guardia e può avvertire un operatore mediante un allarme (o LOG). Puo' inoltre fare apparire stealth (o Blocked) le restanti porte al solo IP attaccante anche se non lo sono.

2) Si possono invece testare le porte in intervalli di tempo molto lunghi (svariati minuti). In questo modo si cerca di aggirare il sistema IDS in modo da non fargli percepire il port scan.
NB. se c'è un firewall le porte aperte rimangono aperte e quelle blocked rimangono blocked. In questo senso la tecnica non permette di penetrare un firewall ma solo di non fare prendere ulteriori contromisure ad un eventuale sistema IDS.

Mi sembra che Sygate abbia un sistema del genere.

[olly]

Ma come mai quando faccio un test in rete, le porte sono tutte blocked allora???? Magari scarico la posto e vedo altre paginette web...

[olly]

Perchè se si simula un attacco si ha questo meccanismo di difesa:

Puo' inoltre fare apparire stealth (o Blocked) le restanti porte al solo IP attaccante anche se non lo sono

Ciao Habanero, alla prossima.

Buona notte.

[Habanero]

Originariamente inviato da olly
Ma come mai quando faccio un test in rete, le porte sono tutte blocked allora???? Magari scarico la posto e vedo altre paginette web...

E' perchè non hai abilitato sul firewall nessun programma SERVER ad ASCOLTARE sulla rete. Cioè non hai concesso a nessun programma che apre una porta in LISTENING ad essere raggiunto da internet.

La scansione delle porte avviene per scoprire porte in listening. Solo quelle!

Questa è la situazione ideale se non devi offrire servizi all'esterno. Durante la normale navigazione o scaricamento posta questo non sucede mai che ci siano programmi server che devono ricevere connessioni dall'esterno.

Prova invece ad aprire un programma di p2p. Se ad es usi WinMX dopo averlo lanciato prova a fare una scansione dall'esterno sulla porta 6699. Vedrai che risulta aperta! Ed è logico gli altri utenti ti devono raggiungere per scaricare i tuoi file!