HPING e tools sicurezza

[LoryOne]

Lo stack TCP non è lo stesso su tutti i S.O.
Quello di Windows potrebbe essere differente da quello implementato su Linux.
E' ovvio che apertura, controllo dei flussi e chiusura di connessioni devono essere rispettate da qualunque S.O. che utilizzi TCP per lo scambio d'informazioni, ma sollecitare lo stack in modo non convenzionale da adito a diverse interpretazioni.
Nel tuo caso, a detta della RFC 793 (Request For Comment), avendo disabilitato tutti i flags, la risposta dovrebbe essere RST per tutte le porte chiuse.
TCPDump ti serve appositamente per verificare quanto accade
La disussione è davvero molto tecnica.

[cippico]

Inviato da NS-1

spiegati meglio così prima di mandarti a quel paese ne ho la conferma.

piu'...spiegato di cosi'...mi sembrava chiaro che si trattava di un complimento...visto come e' stato trattato e spiegato l'argomento...

ciaooo

[NS-1]

adesso faccio qualche test con wireshark e poi vi dico che succede... (Y)

[NS-1]

queste sono le regole impostate per loggare le scan:
(politiche di default di iptables per INPUT, FORWARD e OUTPUT --> DROP)

iptables -A INPUT -m limit --limit 10/min -p tcp --tcp-flags ALL NONE -j LOG --log-prefix "SCAN: "
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j REJECT --reject-with tcp-reset #Scartiamo i pacchetti che non hanno flag attivi
iptables -A INPUT -m limit --limit 10/min -p tcp --tcp-flags SYN,FIN SYN,FIN -j LOG --log-prefix "SCAN: "
iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j REJECT --reject-with tcp-reset #Scartiamo i pacchetti SYN,FIN
iptables -A INPUT -m limit --limit 10/min -p tcp --tcp-flags SYN,RST SYN,RST -j LOG --log-prefix "SCAN: "
iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j REJECT --reject-with tcp-reset #Scartiamo i pacchetti SYN,RST
iptables -A INPUT -m limit --limit 10/min -p tcp --tcp-flags FIN,RST FIN,RST -j LOG --log-prefix "SCAN: "
iptables -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j REJECT --reject-with tcp-reset #Scartiamo i pacchetti FIN,RST
iptables -A INPUT -m limit --limit 10/min -p tcp --tcp-flags ACK,FIN FIN -j LOG --log-prefix "SCAN: "
iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j REJECT --reject-with tcp-reset #Scartiamo i pacchetti FIN senza ACK
iptables -A INPUT -m limit --limit 10/min -p tcp --tcp-flags ACK,PSH PSH -j LOG --log-prefix "SCAN: "
iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j REJECT --reject-with tcp-reset #Scartiamo i pacchetti PSH senza ACK
iptables -A INPUT -m limit --limit 10/min -p tcp --tcp-flags ACK,URG URG -j LOG --log-prefix "SCAN: "
iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j REJECT --reject-with tcp-reset #Scartiamo i pacchetti URG senza ACK

con i tipi di scansione classici, loggavo tutto a parte il tipo NULL. Nmap riportava alcune porte come 'sospette' a differenza delle altre scansioni che come esito venivano viste come chiuse....
...poi ho controllato i log in uscita e ho visto che i pacchetti di risposta alla scansione NULL con flag ACK,RST attivi venivano bloccati.

ho aggiunto questa regola:

iptables -A OUTPUT -o eth0 -p tcp --tcp-flags ALL ACK,RST -j ACCEPT #RESET CONNESSIONI

ora anche la scansione NULL dà come risultato lo stesso delle altre...
però non capisco una cosa, "-j REJECT --reject-with tcp-reset" non fa la stessa cosa?