Andesi - forum

Pour faire suite a ce message, je viens de faire deux test de scan depuis des services internets:
Pour mémoire je suis en ADSL derrière une livebox (inventel) dans sa configuration de base:(dhcp et parefeu en réglage usine)

Voici ce que me renvoi un nmap sur localhost

Et voici ce que me disent les deux sites de test visités:

et

1- Ces tests sont ils fiables ? et suis-je réelment à l'abri des intrus ?
2- Si oui, puis-je "oublier" de me pencher sur iptable et netfilter (même si cela m'intéresse d'un point de vue culturel)
3- C'est bien configuré d'entrée une bobox de chez Naranja (en espagnole dans le texte   )
4- Le plus surprenant: c'est que l'ip vue est celle de la box (logique) mais l'os vu c'est le miens ou celui de la box ?
(ce que j'ai vu dans le paramétrage avancé de la box m'a fait penser a iptable, est ce a dire que la box tourne sur un Pinguoin ?)
  Edit--> viens de trouver la réponse à la question 4 --> la live box heberge bien un pingouin http://www.neuneu.org/article.php3?id_article=49

Merci de vos avis

Dernière modification par freddec (18/01/2007 20:18:59)

Votre ip    83.203.xx.xxx (APoitiers-157-1-84-224.w83-203.abo.wanadoo.fr)

Mouarff, ça m'avait échappé

Le lien neuneu.org donne une méthode de décryptage du firmware de la box --> on se rend compte que l'architecture des répertoires est de type Unix, et une commande #nmap -sS -O 192.168.1.1 (ou qque chose d'approchant)  renvoi Linux comme OS

oui oui, j'avais bien compris cela , le but du scan sur localhost était juste de voir lesquels de mes ports étaient ouverts à cet instant et de voir si, malgré le pare feu de la box, certains étaient vues de l'extérieur.

On peut conclure que non.

je sais, je voulais juste avoir le listing des ports ouverts en local pour pouvoir comparé avec ceux qui auraient éventuellement vu de l'exterieur.

[mode ="je profite honteusement du fil pour poser ma question à moi toute seule"]
J'ai fait le test avec les sites indiqués, et il me note que le port telnet (le 23) est ouvert, alors que normalement il est fermé par mon firewall (le 80 et le 443 sont ouverts aussi, mais ça c'est normal). Se pourrait-il que sur mon modem-routeur le port 23 soit ouvert ? (si c'est le cas, quelle c****)
[/mode]

Salut,

Nan nan, pas du tout, depuis ta machine, tu peux tout à fait tester tes ports externes, ils ne seront pas redirigé vers le port localhost...j'ai juste constaté dans le post de freddec celà :

Korova, le scan que tu effectue se fait sur ton ip publique ! Donc, sur la machine en frontale d'internet. Donc, comme tu as un routeur, c'est bien le port telnet de ton routeur qui est vu.

En revanche, si tu avais eu un modem en pppoe par exemple, ça aurait bel et bien été les ports de ton firewall qui auraient été détecté, car dans ce cas, c'est ton fw qui aurait  l'IP publique.

/ioguix, dégouté que le livebox pro ne soit pas en pppoe...et exclusivement en mode routeur...

Profite koro, profite

OK, je crois comprendre ce que voulais dire Ioguix, tu veux dire que j'aurai du lancer le test sur mon IP reel donnée par la box ?

Je ne suis pas tout à fait convaincu par vous deux.
On peux faire un test :
vous bloquer le ssh sur votre eth0 (par exemple le 192.168.1.135 de freddec) par un firewall.
et ensuite refait par exemple
nmap 192.168.1.135

Est-ce que ssh est open ou close ?

As-tu testé ?
Oui, c'est close pour les autres machine bien sûr (bloqué par le firewall).
Mais nmap donne toujours ssh open si tu teste depuis ta machine !!!
Ca confirme ce que j'ai dit : on ne peut pas bien tester la sécurité d'une machine depuis la même machine directement.

Dernière modification par bz31 (19/01/2007 22:39:20)

Non, toujours pas..

J'ai envi d'insister bz31

il n'y a aucune raison pour que ton eth0 local soit redirigé vers lo...

il faudrait pê faire plus de test, mais ça peut aussi venir de iptable ou de sa configuration...

Effectivement, ton interface eth0 est accessible depuis l'extérieur et l'interieur...il faudrait savoir si la couche réseau fait bien /sortir/ tes paquets d'eth0 pour les faire rerentrer...

Je ne sais pas trop comment est configuré ton iptable, mais pê bloc-t-il seulement tout trafique entrant ? mais quid des paquet étant déjà à /l'interieur/ ?
ou alors, pê ta configuration  traque-t-elle des connexion active ? Dans ce cas, si tu n'a pas de règle empèchant des paquets de sortir de eth0 vers ssh et que la connexion est traquée, il n'a aucune raison de refuser des paquets d'une connexion active et autorisée...

Je serais curieux de voir comment pf ou la pile BSD se débrouilleraient dans ce cas...ça fait longtemps que je n'ai pas touché à iptable...

J'ai testé dans une utilisation normale de situation.
- le service ssh est installé
- Les commandes pour tester :

# iptables -F
# iptables -t nat -F
# iptables -P INPUT DROP
# iptables -P OUTPUT ACCEPT 
# iptables -A INPUT -i lo -j ACCEPT
# nmap 192.168.0.100
Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2007-01-20 08:43 CET
Interesting ports on 192.168.0.100:
Not shown: 1676 closed ports
PORT    STATE SERVICE
22/tcp  open  ssh
25/tcp  open  smtp
80/tcp  open  http
515/tcp open  printer
Nmap finished: 1 IP address (1 host up) scanned in 13.314 seconds

Je voulais juste démontrer que le service ssh est "closed" pour l'extérieur, mais nmap donne "open". C'est-à-dire utiliser nmap à l'intérieur d'une machine ne donner pas de renseignement utile.

Dernière modification par bz31 (20/01/2007 09:49:30)

Salut,

Si on en crois le shema tiré d'une des pages de la source citée par freddec, il est normal que ssh soit toujours vu avec tes règles : http://olivieraj.free.fr/fr/linux/infor … 03-03.html
Ce qui est confirmé dans la doc (traduite ici) d'un développeur de netfilter : http://www.netfilter.org/documentation/ … WTO-6.html
Dans ce dernier liens, je rappelle que nous partons de la partie "Processus local"

Effectivement, d'après le schema, on voit bien que ta règle "iptables -P OUTPUT ACCEPT" autorise à un nmap lancé de l'interieur de voir ssh...

Bref, ce qui revient à ce que tu dis bz31...on ne peut tester proprement son script iptable depuis la machine elle même...à moins d'avoir les idées bien claires sur tous les processus en jeu....

Bon, je continue à me demander comment ça se passerait avec pf. il me semble que la différence étant que ce dernier considère input et output comme nous l'interprettons nous : un paquet entrant ou sortant d'une interface, quelque soit son sens. IPTable lui, considérant un paquets sortant (output) comme sortant de la couche applicative de la machine.
J'ai trouvé un zoli schema comparant les comportements de pf et IPTable à ce propos venant du certa svp : http://www.certa.ssi.gouv.fr/site/CERTA … g:filttrad

voilà, concentrez vous bien

++