Sicurezza nelle Reti Prova d esame Laboratorio

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Sicurezza nelle Reti Prova d esame Laboratorio"

Sebastiano Berto Pagano
8 anni fa
Visualizzazioni

1 Sicurezza nelle Reti Prova d esame Laboratorio 1 Testo d esame Scopo dell esercitazione: simulazione di esame pratico Esercizio 1 Considerando la traccia test1.lpc, il candidato esegua: Lezioni di laboratorio del corso di SICUREZZA NELLE RETI Prof. Marco Cremonini DTI - Università di Milano 19 GENNAIO Selezioni attraverso apposite condizioni/filtri di tcpdump tutti i pacchetti scambiati in sessioni SSH (22/tcp) diretti alla sottorete /24; 2. Selezioni attraverso apposite condizioni/filtri di ethereal tutti i tentativi (sia andati a buon fine che falliti) di connessione TCP provenienti dalla sottorete /24; 3. Selezioni attraverso apposite condizioni/filtri di tethereal i casi di XMAS Scan (Syn-Fin-Push). Per ogni punto i risultati devono essere rappresentati da: il comando specificato (per i tool a linea di comando); oppure screenshot della finestra di ethereal con i risultati + indicazione dei filtri impostati; AND i risultati ottenuti per ogni punto (copia/incolla delle prime 20 righe). Esercizio 2 1. Generare un ACK scan con nmap dal pc client verso il pc server sulle porte 21, 22, 80, 455 TCP; 2. Generare con nemesis un pacchetto corrispondente ad un XMAS scan con gli indirizzi IP corrispondenti al vostro pc client e pc server, TTL=25, IP ID=12345, SEQ. NUM= e ACK= ; Scrivere due policy di iptables. La prima usando solo regole di tipo Static Packet Filter per:

Selezioni attraverso apposite condizioni/filtri di tcpdump tutti i pacchetti scambiati in sessioni SSH (22/tcp) diretti alla sottorete 192.168.60.0/24; 2.

2 autorizzare connessioni alle porte 22 e 80 tcp; bloccare esplicitamente l XMAS scan; bloccare tutto il resto di default. La seconda, analoga alla prima ma utilizzando solo regole di tipo Stateful. Per ogni regola, tranne i default, aggiungerne una corrispondente per il logging con un prefisso adeguato (es. RULE 1, RULE 2 ecc.). Nei risultati presentare: Le due politiche funzionanti; Le righe di log (/var/log/messages) che dimostrino il match corretto per le due policy rispetto al traffico generato. 1.1 Soluzioni Esercizio 1.1 (tcp[0:2]=22 tcp[2:2]=22)&& (dst net /24) Trccia trovata: 21:20: IP > : S : (0) win :20: IP > : R : (0) win 0 21:20: IP > : S : (0) win :20: IP > : R : (0) win 0 21:20: IP > : S : (0) win :20: IP > : R : (0) win 0 21:20: IP > :. win 4096 <wscale 10,nop,mss 265,timestamp ,eol> 21:20: IP > : SFP : (0) win 4096 urg 0 <wscale 10,nop,mss 265,timestamp ,eol> 21:20: IP > :. ack 0 win 4096 <wscale 10,nop,mss 265,timestamp ,eol> 21:20: IP > : R : (0) win 0 21:21: IP > : S : (0) win <mss 1460,nop,wscale 0,nop,nop,timestamp > 21:21: IP > :. ack win <nop,nop,timestamp > 21:21: IP > : F 0:0(0) ack 24 win <nop,nop,timestamp > 21:21: IP > :. ack 25 win <nop,nop,timestamp > Esercizio 1.2 Non sò se l esercizio chiede solo questo oppure anche altro... ip.src == /24 && tcp.flags.syn == 1 && tcp.flags.urg== 0 && tcp.flags.fin == 0 && tcp.flags.push == 0 No. Time Source Destination Protocol Info TCP > ftp [SYN] Seq=0 Ack=0 Win=2048 Len= TCP > 22 [SYN] Seq=0 Ack=0 Win=2048 Len= TCP > ftp [SYN] Seq=0 Ack=0 Win=2048 Len= TCP > 22 [SYN] Seq=0 Ack=0 Win=2048 Len= TCP > 22 [SYN] Seq=0 Ack=0 Win=4096 Len= TCP > 24 [SYN] Seq=0 Ack=0 Win=4096 Len= TCP > 24 [SYN] Seq=0 Ack=0 Win=4096 Len=0 WS=10 MSS=265 TSV= TSER=0

Nei risultati presentare: Le due politiche funzionanti; Le righe di log (/var/log/messages) che dimostrino il match corretto per le due policy rispetto al traffico generato. 1.1 Soluzioni 1.1.1 Esercizio 1.

3 TCP 3307 > ftp [SYN] Seq=0 Ack=0 Win=57344 Len=0 MSS=1460 WS=0 TSV= TSER= TCP 2392 > 22 [SYN] Seq=0 Ack=0 Win=57344 Len=0 MSS=1460 WS=0 TSV= TSER= TCP ftp-data > 1033 [SYN] Seq=0 Ack=0 Win=57344 Len=0 MSS=1460 WS=0 TSV= TSER= Esercizio 1.3 sudo tethereal -r /home/security/desktop/test1.lpc tcp.flags.fin==1 and tcp.flags.urg==1 and tcp.flags.push==1 Trccia trovata: > TCP > ssh [FIN, SYN, PSH, URG] Seq=0 Ack=0 Win=4096 Urg=0 Len=0 WS=10 MSS=265 TSV= TSER= > TCP > 24 [FIN, PSH, URG] Seq=0 Ack=0 Win=4096 Urg=0 Len=0 WS=10 MSS=265 TSV= TSER= Esercizio 2.1 sudo nmap -sa p 21,22,80, Esercizio 2.2 sudo nemesis tcp -v -S D ffupa -T 25 -I s a IpTables - Statico!/bin/sh Local Area Network configuration. your LAN s IP range and localhost IP. /24 means to only use the first 24 bits of the 32 bit IP adress. the same as netmask LAN_IP=" " LAN_IP_RANGE=" /24" LAN_BCAST_ADRESS=" " LAN_IFACE="eth0" Localhost Configuration. LO_IFACE="lo" LO_IP=" " IPTables Configuration.

flags.fin==1 and tcp.flags.urg==1 and tcp.flags.push==1 Trccia trovata: 24 16.357139 172.27.20.4 -> 192.168.60.

4 IPTABLES="sudo iptables" 4. IPTables rules set up. Set default policies for the INPUT, FORWARD and OUTPUT chains. $IPTABLES -F INPUT $IPTABLES -F OUTPUT $IPTABLES -F XSCAN $IPTABLES -P INPUT DROP $IPTABLES -P OUTPUT DROP $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags SYN SYN --dport 22 -j LOG --log-level info --log-prefix "IN PORTA >>>" $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags SYN SYN --dport 22 -j ACCEPT $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags SYN SYN --dport 80 -j LOG --log-level info --log-prefix "IN PORTA >>>" $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags SYN SYN --dport 80 -j ACCEPT $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags ACK ACK --dport 22 -j LOG --log-level info --log-prefix "IN PORTA >>>" $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags ACK ACK --dport 22 -j ACCEPT $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags ACK ACK --dport 80 -j LOG --log-level info --log-prefix "IN PORTA >>>" $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags ACK ACK --dport 80 -j ACCEPT $IPTABLES -A OUTPUT -p tcp -s 0/0 --tcp-flags ACK ACK --dport 22 -j LOG --log-level info --log-prefix "OUT PORTA >>>" $IPTABLES -A OUTPUT -p tcp -s 0/0 --tcp-flags ACK ACK --dport 22 -j ACCEPT $IPTABLES -A OUTPUT -p tcp -s 0/0 --tcp-flags ACK ACK --dport 80 -j LOG --log-level info --log-prefix "OUT PORTA >>>" $IPTABLES -A OUTPUT -p tcp -s 0/0 --tcp-flags ACK ACK --dport 80 -j ACCEPT $IPTABLES -A INPUT -p tcp -s 0/0 -j XSCAN $IPTABLES -A XSCAN -p tcp -s 0/0 --tcp-flags FIN,PSH,URG FIN,PSH,URG -j LOG --log-level info --log-prefix "XSCAN --->>>" $IPTABLES -A XSCAN -p tcp -s 0/0 --tcp-flags FIN,PSH,URG FIN,PSH,URG -j ACCEPT IpTables - Dinamico!/bin/sh

--log-prefix "IN PORTA 22 --->>>" $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags SYN SYN --dport 22 -j ACCEPT $IPTABLES -A INPUT -p tcp -s 0/0 --tcp-flags SYN SYN --dport 80 -j LOG --log-level info

5 Local Area Network configuration. your LAN s IP range and localhost IP. /24 means to only use the first 24 bits of the 32 bit IP adress. the same as netmask LAN_IP=" " LAN_IP_RANGE=" /24" LAN_BCAST_ADRESS=" " LAN_IFACE="eth0" Localhost Configuration. LO_IFACE="lo" LO_IP=" " IPTables Configuration. IPTABLES="sudo iptables" 4. IPTables rules set up. Set default policies for the INPUT, FORWARD and OUTPUT chains. $IPTABLES -F INPUT $IPTABLES -F OUTPUT $IPTABLES -F XSCAN $IPTABLES -P INPUT DROP $IPTABLES -P OUTPUT DROP $IPTABLES -A INPUT -p tcp -s 0/0 -m state --state NEW,ESTABLISHED --dport 22 -j LOG --log-level info --log-prefix "IN PORTA >>>" $IPTABLES -A INPUT -p tcp -s 0/0 -m state --state NEW,ESTABLISHED --dport 22 -j ACCEPT $IPTABLES -A INPUT -p tcp -s 0/0 -m state --state NEW,ESTABLISHED --dport 80 -j LOG --log-level info --log-prefix "IN PORTA >>>" $IPTABLES -A INPUT -p tcp -s 0/0 -m state --state NEW,ESTABLISHED --dport 80 -j ACCEPT $IPTABLES -A OUTPUT -p tcp -s 0/0 -m state --state ESTABLISHED,RELATED --dport 22 -j ACCEPT

IPTables rules set up. Set default policies for the INPUT, FORWARD and OUTPUT chains.

6 $IPTABLES -A OUTPUT -p tcp -s 0/0 -m state --state ESTABLISHED,RELATED --dport 80 -j ACCEPT $IPTABLES -A INPUT -p tcp -s 0/0 -j XSCAN $IPTABLES -A XSCAN -p tcp -s 0/0 --tcp-flags FIN,PSH,URG FIN,PSH,URG -j LOG --log-level info --log-prefix "XSCAN --->>>" $IPTABLES -A XSCAN -p tcp -s 0/0 --tcp-flags FIN,PSH,URG FIN,PSH,URG -j ACCEPT

0/0 --tcp-flags FIN,PSH,URG FIN,PSH,URG -j LOG --log-level info --log-prefix "XSCAN

Documenti analoghi

Firewall e NAT A.A. 2005/2006. Walter Cerroni. Protezione di host: personal firewall

Firewall e NAT A.A. 2005/2006. Walter Cerroni. Protezione di host: personal firewall Firewall e NAT A.A. 2005/2006 Walter Cerroni Protezione di host: personal firewall Un firewall è un filtro software che serve a proteggersi da accessi indesiderati provenienti dall esterno della rete Può