Reprise du message précédent :

J'essaye de déterminer la méthode de scan de superscan pour voir si cé un outil sérieux ou pas ...
Par contre, est ce que le fw a logué le scan ?

 
si c'est bien toi xxx.xxx.204.218 oui
et ca doit etre un scan par paquets syn

c'est n'importe quoi, il trouve des serveurs mail partout où y-en a pas    
par contre nmap à p-t pas tord (ce serait bizarre qu'il se trompe) : il existe p-t un moyen d'atteindre les machines du rezo local en passant par les ports ouvert du firewall ...

djoh a écrit a écrit : c'est n'importe quoi, il trouve des serveurs mail partout où y-en a pas     par contre nmap à p-t pas tord (ce serait bizarre qu'il se trompe) : il existe p-t un moyen d'atteindre les machines du rezo local en passant par les ports ouvert du firewall ...

 
je ne pense pas.... en tout cas je n'ai pas tous les ports ouverts sur ma machine du reseau local

A prioiri cé moa vi ...
pour les paquets SYN j'avé vu étant donné que ethereal tournait en parallèle pour espionner superscan ...

djoh a écrit a écrit : c'est n'importe quoi, il trouve des serveurs mail partout où y-en a pas     par contre nmap à p-t pas tord (ce serait bizarre qu'il se trompe) : il existe p-t un moyen d'atteindre les machines du rezo local en passant par les ports ouvert du firewall ...

Moi aussi je commence à douter très sérieusement de superscan ... je suis en train de dépouiller des captures faites en parallèle, avec ethereal, du scan de superscan ... et y'a des trucs très louches ...
Notamment cette histoire de port 25 et 110 ... y'a pas de paquets de réponse de la cible dans les captures alors que superscan indique qu'ils st pas filtrés et les affiche dans la liste ...        
Autre chose, j'ai remarqué que les ports 21 et 80 avait répondu par une fermeture explicite ... ... cé le signe d'un fw qui ferme de facon autoritaire un port ca on dirait ... mais il les mets pas dans la liste ...   ... j'ai raison pour les ports 21 et 80 appolon34 ?
Tiens tiens, on dirait que tu as activé l'option SYN cookies lors de la compil du noyau ... ... cé une bonne chose ca ... ... ca évite le SYN flooding ...
Cé dingue, j'en apprend plus en lisant les captures de ethereal qu'en regardant le résultat de superscan ...    
Deux conclusions possibles :  
Ou cé ma config réseau/système qui donne lieu à ce fonctionnement étrange de superscan ...
Ou cé vraiment une grosse daube ...
 

Zzozo a écrit a écrit :   Moi aussi je commence à douter très sérieusement de superscan ... je suis en train de dépouiller des captures faites en parallèle, avec ethereal, du scan de superscan ... et y'a des trucs très louches ... Notamment cette histoire de port 25 et 110 ... y'a pas de paquets de réponse de la cible dans les captures alors que superscan indique qu'ils st pas filtrés et les affiche dans la liste ...         Autre chose, j'ai remarqué que les ports 21 et 80 avait répondu par une fermeture explicite ... ... cé le signe d'un fw qui ferme de facon autoritaire un port ca on dirait ... mais il les mets pas dans la liste ...   ... j'ai raison pour les ports 21 et 80 appolon34 ? Tiens tiens, on dirait que tu as activé l'option SYN cookies lors de la compil du noyau ... ... cé une bonne chose ca ... ... ca évite le SYN flooding ... Cé dingue, j'en apprend plus en lisant les captures de ethereal qu'en regardant le résultat de superscan ...     Deux conclusions possibles :   Ou cé ma config réseau/système qui donne lieu à ce fonctionnement étrange de superscan ... Ou cé vraiment une grosse daube ...

 
les ports 21 et 80 sont ouverts mais je n'ai pas lance les services qui vont derriere donc c'est normal.
 
je n'ai pas active l'option syn cookie dans le noyau....
 
et effectivement, superscan est pas terrible
 
floups merci, c'est impec maintenant

Tain ... qd je vois le nb de personnes qui se gargarisent avec superscan sur les forums dédiés à la sécurité ca me sidère ...    ...
Bon reste plus qu'à voir comment ton fw réagit au "firewalking" et on aura une idée plus précise de la facon dont netfilter réagit ... et ca m'intéresse bcp ca ... ca je risque d'avoir un certain nombre de serveur Linux dans ma boite ...

Zzozo a écrit a écrit :   Tain ... qd je vois le nb de personnes qui se gargarisent avec superscan sur les forums dédiés à la sécurité ca me sidère ...    ... Bon reste plus qu'à voir comment ton fw réagit au "firewalking" et on aura une idée plus précise de la facon dont netfilter réagit ... et ca m'intéresse bcp ca ... ca je risque d'avoir un certain nombre de serveur Linux dans ma boite ...

 
qu'est-ce que c'est le firewalking ?

Une méthode de scan indirecte ... je sais pas si je vais pouvoir la mettre en oeuvre ... ca dépendra de ton FAI ...

une technique pour passer a travers un firewall:D

tomate77 a écrit a écrit : une technique pour passer a travers un firewall:D

Enfin pas exactement ...
Ca peut être utilisé de plusieurs facons ...
Et notamment pour essayer de scanner les ports des hôtes derrière un fw, cé vrai ... mais pas seulement ...

t as recu mon MP d hier??

tomate77 a écrit a écrit : t as recu mon MP d hier??

Vi ... j'avais oublé ... excuse ... je pense que j'ai compris ce qui va pas dans ton script ... je te le renverrai avec une proposition de modifs en MP ... désolé ...

Zzozo a écrit a écrit :   Enfin pas exactement ... Ca peut être utilisé de plusieurs facons ... Et notamment pour essayer de scanner les ports des hôtes derrière un fw, cé vrai ... mais pas seulement ...

 
tu m'expliqueras ca en detail un de ces 4

bah j ai rectifie, mais j ai tjs 2 ports d ouverts d apres ce ke tu m as dis sur soft & rezo...
 
la je comprends po car la regle par defaut c DROP!!!

Boh cé pas compliqué ... faut juste faire varier la cible ( i.e. : s'arrêter ou s'avancer d'un "hop" ...  )

ah bah ntop c'est vraiment le pied comme logiciel
je viens de me rendre compte qu'il detecte un paquet de type de scan ou d'intrusions
par contre, je sais pas comment réagir quand je lis ça dans mes logs :
 

vous êtes sur que c'est fiable le stateful ?
parce que je devrais pas recevoir de paquet ICMP comme ça moi  

je pense notamment au related : on est sur que c'est fiable ? ça peut pas être usurpé ?

Très difficilement ... faut arriver à "prédire" les numéros de séquence TCP pour arriver à le passer ...

En tout cas, y'a "l'air" d'y avoir bcp de paquets en provenance de l'Allemagne  ...

 
mouai c'est bizarre, je dirais plutot des USA si tu parles de dip.t-dialin.net
quand je fais traceroute, il passe par t-online, mais quand je regarde ntop, il me dit states ...
m'enfin il vienne presque tous du port 4662, donc je me demande si c'est pas edonkey (ou plus précisement mon client mldonkey) qui a une façon bizarre de fonctionner .. m'enfin quand tu vois des ack scan, t'es en droit de te poser des questions ... c'est p-t des petits branleurs qui s'essaie au scan ...
surtout que le nom echange de données, ça peut arriver (surtout sur edonkey) mais le ack scan il se fait pas comme ça à mon avis :
 

c'est edonkey / mldonkey
 
Meme quand t'es disco depuis plusieurs heures tu recois encore des packets
 
et y a plein d'allemands sur edonkey (suffit de faire un netstat quand tu telecharges)

 
oui ben t'inquiete pas que je l'ai fait le netstat
mais le ack scan, c'est pas normal ... m'enfin c'est p-t ntop qui est parano aussi ...
 
et les requete arp, ça sert à quoi ? (j'en ai qq'une ...)

elles viennent de ton réseau les requetes ARP normalement non ?
ARP, cé le protocole qui permet de faire le lien entre adresse IP et MAC Address ... En gros, une machine balance une requete ARP pour savoir à quelle machine (adresse physique) correspond une adresse IP donée ... et tu aussi l'inverse, RARP ...

 
je pense oui, mais je sais pas trop, j'ai du mal à lire ce que me dit iptraf ... en plus y-en a vraiment pas bcp

Cé normal qu'il n'y en ait pas bcp ...
par contre su tu veux loguer les tentatives de scan et autres intrusions, essaies plutot snort , il est fait pour ca ...
ntop cé plus une sonde réseau qu'autre chose .... même s'il a une option pour enregistrer les paquets "bizarres" ...

Et je pense que le mode stateful de netfilter marche plutot bien, en tout cas pour un usage perso ...

 
ouai mais je crois que je l'ai déjà essayer mais j'aime pas qu'un prog snif continuellement mon rezo ... je pense pas avoir une machine à risque, donc je laisse ça comme ça ...
mais si tu trouve une faille, ne te gène pas pour me le dire ... tiens bah je vais t'envoyer mon ip et mon script firewall par MP et dit moi ce que tu en penses (essaie tout ce que tu peux, sans rien casser bien sur )

djoh a écrit a écrit :     ouai mais je crois que je l'ai déjà essayer mais j'aime pas qu'un prog snif continuellement mon rezo ... je pense pas avoir une machine à risque, donc je laisse ça comme ça ... mais si tu trouve une faille, ne te gène pas pour me le dire ... tiens bah je vais t'envoyer mon ip et mon script firewall par MP et dit moi ce que tu en penses (essaie tout ce que tu peux, sans rien casser bien sur )

ntop sniffe continuellement le réseau ... comme bcp de programme de monitoring réseau ... cé leur raison d'être ...
Mais bon, tu as bien compris le truc, aies un minimum de sécurité et te bille pas de trop ... les vrais pirates s'en foutent un peu de ta machine, aies juste de quoi arrêter les script Kiddies ...

Zzozo a écrit a écrit :   ntop sniffe continuellement le réseau ... comme bcp de programme de monitoring réseau ... cé leur raison d'être ... Mais bon, tu as bien compris le truc, aies un minimum de sécurité et te bille pas de trop ... les vrais pirates s'en foutent un peu de ta machine, aies juste de quoi arrêter les script Kiddies ...

 
oui c'est vrai que ntop snif mais je sais plus pk snort m'avait pas vraiment plus ... j'avais pas l'impression de capter ce qu'il faisait...
sinon mon script est censé arrété les script kiddies donc ça devrait aller ... si je me renseigne comme ça c'est surtout pour apprendre  

djoh a écrit a écrit :     oui c'est vrai que ntop snif mais je sais plus pk snort m'avait pas vraiment plus ... j'avais pas l'impression de capter ce qu'il faisait... sinon mon script est censé arrété les script kiddies donc ça devrait aller ... si je me renseigne comme ça c'est surtout pour apprendre

Et Linux est très bien pour ca ... car il te cache bcp moins tout ce qui concerne le réseau que Windows ...

qu'appelez vous les scripts kiddies. (je débute aussi, je suis un bleu )?

tuffgong a écrit a écrit : qu'appelez vous les scripts kiddies. (je débute aussi, je suis un bleu )?

 
d'après ce que ma dis zzozo, on appelle comme ça les petits prog qui permettent aux petits merdeux qui n'ont aucune connaissance en rezo de pirater une machine aisémant : les prog pour p'tits cons qui veulent devenir hackers en fait

Euh ... en fait les scripts Kiddies ca désigne les petits cons eux même ...  
 

Zzozo a écrit a écrit :   Euh ... en fait les scripts Kiddies ca désigne les petits cons eux même ...

 
ben un script c'est pas qq'un, c'est qq'chose non  

djoh a écrit a écrit :     ben un script c'est pas qq'un, c'est qq'chose non

Vi mé l'expression entière cé "script kiddie" ... le kid qu'aime bien les scripts (à la con ... mé ca cé ma touche personnelle ... .. ) ...
 

Zzozo a écrit a écrit :   Vi mé l'expression entière cé "script kiddie" ... le kid qu'aime bien les scripts (à la con ... mé ca cé ma touche personnelle ... .. ) ...

 
ah d'accord    
cette facheuse tendance qu'on les anglais de toujours tout faire à l'envers (l'adjectif avant le nom)  

pour résumer c'est les ptits branleurs sur irc qui te disent être des hackers parcequ'ils t'envoient un ping of death (le truc qui marche plus depuis 10ans) ou qu'ils utilisent un nuker contre ton port netbios....