CEH 10 – ALL IN ONE

Sommario
Chapter 1 Getting Started: Essential Knowledge..............................................................................................2
OSI Model.....................................................................................................................................................2
Physical (Layer 1)...................................................................................................................................3
Data Link (Layer 2)................................................................................................................................3
Network (Layer 3)..................................................................................................................................4
Transport (Layer 4)................................................................................................................................4
Session (Layer 5)....................................................................................................................................4
Presentation (Layer 6)..........................................................................................................................4
Application (Layer 7).............................................................................................................................5
Vulnerabilità.................................................................................................................................................8
Sicurezza di base...........................................................................................................................................9
Security, Functionality, and Usability........................................................................................................9
Cia...............................................................................................................................................................11
Tipi di Hackers - Script Kiddy Hacker, State, Suicide, Activist, business, cyberterrorist.................12
Hacking Phases...........................................................................................................................................12
Reconaissance........................................................................................................................................12
Scanning and Enumeration.....................................................................................................................12
Gaining Access........................................................................................................................................12
Maintaining Access.................................................................................................................................12
Cover Tracks...........................................................................................................................................12
Penetration Tester......................................................................................................................................12
Chapter 2 Reconnaissance: Information Gathering for the Ethical Hacker.....................................................14
FOOTPRINTING METHODS AND TOOLS......................................................................................................14
Chapter 3 Scanning and Enumeration............................................................................................................20
FUNDAMENTALS.........................................................................................................................................20
TCP/IP Networking.................................................................................................................................20
Connectionless Communication.............................................................................................................20
Connection-oriented Communication....................................................................................................21
Port Numbering......................................................................................................................................22
Subnetting..............................................................................................................................................25
SCANNING METHODOLOGY....................................................................................................................27
Identifying Targets..................................................................................................................................27
Port Scanning..........................................................................................................................................28
 Port Scan Types......................................................................................................................................28
Nmap......................................................................................................................................................31
Hping......................................................................................................................................................32
Evasion...................................................................................................................................................33
Vulnerability Scanning............................................................................................................................34
ENUMERATION.......................................................................................................................................34
Enumeration Techniques........................................................................................................................34
SNMP Enumeration................................................................................................................................36
Other Enumeration Option.....................................................................................................................36
Chapter 4 Sniffing and Evasion.......................................................................................................................38
Network Knowledge for Sniffing.................................................................................................................38
Protocols Susceptible to Sniffing................................................................................................................38

Chapter 1 Getting Started: Essential Knowledge

pg 53-124

OSI Model
didatticainfo.altervista.org/Quinta/Modello_OSI.pdf

Physical (Layer 1) 

Descrizione: è l’elemento più basso del modello. A questo livello la comunicazione tra
due o più host avviene attraverso lo scambio di bits (0-1), a prescindere dai mezzi di
comunicazione,(wi-fi, cavo ethernet, fibra).

Obiettivo: trasmettere un flusso di dati non strutturati attraverso un collegamento

fisico, occupandosi della forma e del voltaggio del segnale. Ha a che fare con le
procedure meccaniche e elettroniche necessarie a stabilire, mantenere e disattivare un
collegamento fisico.

Data Link (Layer 2) 

Descrizione: a questo livello avviene la conversione dei pacchetti in entrata dal livello
superiore tre di rete per l’inoltro al livello 1 fisico sottostante. Tramite
l’incapsulamento dei dati in frames con un header come testata ed un trailer come
coda. Viene aggiunto il MAC address della scheda di rete (NIC Network Interface Card)
per la destinazione finale all’interno della rete locale, tramite ARP Address Resolution
Protocol.

Obiettivo: gestire la comunicazione tra nodi interconnessi, garantire il controllo del

flusso tra mittente e destinatario, regolando la velocità di trasmissione a quella più
lenta in ricezione, dirimere conflitti di condivisione al canale di comunicazione, rilevare
eventuali errori ed eventualmente correggerli, in modo da rendere al livello superiore
un trasmissione esente da errori.

Network (Layer 3) 

Obiettivo: fornire il percorso migliore nella trasmissione di pacchetti nel colloquio tra
due host non direttamente connessi svincolando i livelli superiori da attività di
trasmissione.

Descrizione: sceglie il percorso ottimale per l’inoltro dei pacchetti (routing), gestisce il
carico del router evitando il congestionamento derivante dall’invio di troppi pacchetti.
Converte i dati nel passaggio tra una rete e l’altra.

Transport (Layer 4) 

Obiettivo: fornire un trasferimento di dati trasparente ed affidabile, recuperando

eventuali situazioni problematiche, cadute di sessione, errori di trasmissione.

Descrizione: converte i segmenti dati in input dal livello 5 Sessione in pacchetti da

trasferire al livello tre network. Ottimizza le risorse ed evita la congestione della rete.
I protocolli più utilizzati sono TCP e UDP. Il primo orientato alla connessione, più
affidabile con il controllo dell’avvenuta ricezione dei dati trasmessi, ma
conseguentemente più lento e pesante. Il secondo più veloce e leggero ma non esiste
certezza dell’avvenuta ricezione da parte del destinatario dei datagram inviati.

Session (Layer 5) 

Obiettivo: controllare, stabilire, terminare una sessione tra diverse applicazioni.

Descrizione: aggiunge ai servizi forniti dal livello inferiore l’autenticazione e la

gestione del dialogo mono e bi direzionale.

Presentation (Layer 6) 

Obiettivo: trasforma i dati ricevuti in formato standard per la fruizione del livello
superiore di applicazione.
Descrizione: oltre alla formattazione, che prevede la trascodifica di dati nei vari
formati supportati in ambiti diversi, testo, audio, video. In questo livello vengono
forniti servizi di crittografia e compressione dati.

Application (Layer 7) 

Obiettivo: fornisce servizi alle applicazioni utilizzate dall’utente.

Descrizione: i principali servizi sono FTP trasferimento file, TELNET terminale virtuale,
WEB http navigazione internet, SMTP POP posta elettronica, DNS risoluzione indirizzi
web.

What is Subnetting? - Subnetting Mastery - Part 1 of 7 - YouTube

Practical Networking .net – Networking presented simply, practically, and applicably

 IP Addresses Bits Prefix Subnet Mask

1 0 /32 255.255.255.255

ripe.net
2 1 /31 255.255.255.254

4 2 /30 255.255.255.252

8 3 /29 255.255.255.248

16 4 /28 255.255.255.240
K = 1,024 • M = 1,048,576
IPv4 CIDR Chart

32 5 /27 255.255.255.224

64 6 /26 255.255.255.192

128 7 /25 255.255.255.128

256 8 /24 255.255.255.0

512 9 /23 255.255.254.0

lir-help@ripe.net
1 K 10 /22 255.255.252.0

2 K 11 /21 255.255.248.0

4 K 12 /20 255.255.240.0

•
8 K 13 /19 255.255.224.0

16 K 14 /18 255.255.192.0

32 K 15 /17 255.255.128.0

64 K 16 /16 255.255.0.0

128 K 17 /15 255.254.0.0

hostmaster@ripe.net
256 K 18 /14 255.252.0.0

512 K 19 /13 255.248.0.0

1 M 20 /12 255.240.0.0

2 M 21 /11 255.224.0.0

4 M 22 /10 255.192.0.0

8 M 23 /9 255.128.0.0

16 M 24 /8 255.0.0.0

32 M 25 /7 254.0.0.0

64 M 26 /6 252.0.0.0
RIPE NETWORK COORDINATION CENTRE

Contact Registration Services:

128 M 27 /5 248.0.0.0

256 M 28 /4 240.0.0.0

512 M 29 /3 224.0.0.0

1024 M 30 /2 192.0.0.0

2048 M 31 /1 128.0.0.0

4096 M 32 /0 0.0.0.0

Il concetto di rete si può essere frammentato in cinque sezioni:

Internet – zona della rete assolutamente incontrollata nella quale risulta difficile
attuare pratiche di sicurezza. Anche da parte degli stati.

Internet DMZ – Demilitarized zone è quella zona tra due avversari dove non esistono
armi né combattimenti, l’idea è quella di vedere avanzare il nemico ed avere il tempo
di organizzare una difesa. Identico concetto è applicabile sulle reti informatiche.
Talvolta si tende a sopravvalutare DMZ permettendo così intrusioni ben camuffate.
Production Network Zone – un’area molto ristretta dove esistono controlli molto
stretti nei contatti esterni. Non prevede utenza ma solo pochi amministratori
autorizzati.

Intranet Zone – area interna aziendale dove esistono bassi livelli di controllo
assumendo che i rischi siano contenuti.

Managment network zone – zona altamente protetta con VLAN e controllata da

remoto.
Vulnerabilità

Una vulnerabilità è una debolezza del computer o della rete che può essere sfruttata
da un attaccante per eseguire delle attività non autorizzate.

Esistono delle valutazioni del grado di gravità delle vulnerabilità in relazione al rischio
che possano verificarsi e ai danni ad esse connessi. Esistono sei macro categorie nelle
quali ricondurre le varie vulnerabilità.

Misconfiguration – Errata configurazione di un qualsiasi elemento del sistema

coinvolto.

Default installation – Configurazione di base con valorizzazioni assunte che aprono

la strada a vulnerabilità.

Buffer overflow – sono difetti di esecuzioni di codice errato che permettono

l’esecuzione di codice arbitrario.

Missing Patches – mancati aggiornamenti che aprono la strada a vulnerabilità.

Design flow – difetti concettuali nel disegno di una architettura o degli elementi
coinvolti nel loro insieme.

Operating system flow - difetti concettuali nel disegno di un sistema operativo.

Application flow - difetti concettuali nel disegno di una applicazione.

Open services – servizi rimasti aperti anche dopo l’utilizzo autorizzato, possono
diventare obbiettivi.

Default password – lasciare password preimpostate può veicolare attacchi.

Sicurezza di base

Security, Functionality, and Usability

Un buon sistema informativo può essere descritto come un armonico compromesso tra
le tre caratteristiche che lo connotano. Le tre entità sono così strettamente connesse,
che privilegiando una delle tre entità si andrà a svantaggio delle altre due.

Quando un sistema informativo è sotto attacco, viene attivato IRT (incident

response team), che analizzerà l’attacco, provvederà alla sua rimozione e a quelle
condizioni che hanno permesso l’incidente, riattivazione dei servizi interrotti (incident
managment), stesura dei report per i vari stakeholders.

Il risk management permette di valutare il rischio di eventuali attacchi in termini di

tipologie e gravità. Con conseguenti azioni per eliminare, mitigare, o accettare i rischi.
Il risk management è composto da 5 fasi: Risk Identification, Risk Assessment, Risk
Treatment, Risk Tracking, and Risk Review.
La sicurezza può essere ricondotta a tre categorie: Fisica, tecnica, amministrativa.

Fisica, coinvolge guardie, luci, telecamere.

Tecnica, include criptazione, smartcards, liste di controllo accessi.

Amministrativa, include corsi di formazione, consapevolezza, e regole di

comportamento.

Le attività sono quelle di prevenzione, rilevamento e correzione, backup dei dati in un

supporto sicuro completamente staccato dal sistema informativo.

BIA business impact analysis è l’analisi delle conseguenze dei danni relativi a
incidenti o guasti sui processi di lavoro. Valutando l’impatto economico e
reputazionale. Al suo interno prevede la MTD maximum tolerable downtime cioè il
tempo massimo tollerabile a fronte della mancanza di operatività aziendale dovuta
all’attacco e relativo ripristino.

BCP business continuity plan, piano di continuità operativa, è l'insieme di

procedure documentate che guidano le organizzazioni nel rispondere, recuperare,
riprendere e ripristinare a un livello pre-definito le attività a seguito di un'interruzione.

DRP disaster recovery plan è la strategia che ha come obiettivo la salvaguardia di
funzioni specifiche dell'organizzazione ed è parte di un piano di Business Continuity.

Calcolo del rischio

ALE (annual loss expectancy) (aspettativa di perdita annualizzata).

ARO (annual rate occurrence) (tasso di occorrenza annuale)

SLE (single loss expectancy) (aspettativa di perdita singola)

SLE = asset value (valore del bene) x exposure factor (fattore di esposizione, viene
valutato in relazione al bene considerato, può essere minore di uno o maggiore di
uno)

ALE = SLE x ARO l’aspettativa di perdita annualizzata è data dal prodotto della
aspettativa di perdita singola per tasso di occorrenza annuale.
Cia

La CIA è l’acronimo delle tre parole chiave che caratterizzano tre pilastri della sicurezza informatica:
confidentiality, integrity, and availability (CIA).

Confidentiality – riservatezza, è la caratteristica che identifica la possibilità di

accedere a dei dati o a delle aree riservate solo a chi è autorizzato. Per estensione ci
si può riferire anche ai mezzi e alle modalità che assicurano l’accesso solo a chi ha i
relativi permessi. Tipicamente l’uso di userid e password regolano questo accesso,
conseguentemente è la modalità che subisce il maggior numero di attacchi. Esistono
altre tipologie di accesso, come ad esempio le smart card, o controlli biometrici.

Integrity – integrità, è la caratteristica che assicura che l’informazione alla quale

accediamo sia priva di qualsiasi manomissione a qualsiasi livello. Ovvero il contenuto
dell’informazione, il suo involucro, metadati relativi, percorso tra mittente e ricevente.

Per verificare l’integrità di un contenuto ci si affida al calcolo dell’hash per quel

contenuto, ovvero un algoritmo matematico che genera un codice hash, univoco per
quel contenuto, e il cambiamento di un solo bit sul contenuto comporta la generazione
di un hash completamente diverso.

Availability – disponibilità, relativamente al fatto di poter disporre di un

determinato contenuto nelle forme, nelle modalità e tempi previsti.

Access Control System – Controllo accessi, Identifica dei criteri comuni (CC) con cui
accedere ad un sistema o risorsa. Esistono degli standard con cui misurare il grado di
sicurezza di un sistema o di una applicazione a cui fare riferimento per poterli
classificare secondo lo standard utilizzato.

Si citano tre componenti:

TOE Target of evaluation – oggetto della valutazione

ST Security target – documento che descrive il toe e i requisiti di sicurezza.

PP Protection profile – un set di requisiti di sicurezza con i quali viene testato uno
specifico tipo di prodotto.

Esistono due modi di implementare il controllo accessi: Mandatory o Discretionary.

Mandatory – obbligatorio, la sicurezza nel controllo accessi viene stabilita tramite un

amministratore che eroga i permessi agli utenti con i quali vengono confinate le
prerogative degli stessi.

Discretionary – si assume che le risorse attribuite ad una utenza siano completamente

disponibili.
Tipi di Hackers - Script Kiddy Hacker, State, Suicide, Activist, business, cyberterrorist.

Esistono tre macro raggruppamenti:

White hat – hacker buoni

Black hat – hacker cattivi

Grey hat – hacker intermedi, sostanzialmente buoni ma non rispettano le regole o possono comunque in
certi casi avvicinarsi al black

Hacking Phases
Reconaissance, Scanning and Enumeration, Gaining Access, Maintaining Access, Cover Tracks.

Reconaissance
La ricognizione è composta dalle attività di ottenimento di informazioni sull’obbiettivo
prefissato. Si dividono in due macro aree: passiva e attiva. Passiva è quella che
riguarda l’ottenimento di informazioni solo con l’osservazione senza alcun intervento.
Attiva coinvolge l’uso di tools, richieste specifiche nella rete, sollecitazioni allo scopo di
sondare le risposte e conseguentemente acquisire informazioni. La ricognizione attiva
è maggiormente esposta ad essere rilevata, non così quella passiva.

Scanning and Enumeration

Scansione ed Enumerazione riguarda l’ottenimento di informazione più in dettaglio in
riferimento agli elementi trovati nella fase di ricognizione. Ad esempio in una rete
conoscere le macchine che la compongono, i relativi sistemi operativi, le applicazioni,
le patch, le versioni, le porte in ascolto…

Gaining Access
Ottenere l’accesso tramite lo sfruttamento di una qualsiasi vulnerabilità.

Maintaining Access
Mantenere l’accesso tramite lo sfruttamento di una back door, trojan, rootkit.

Cover Tracks.
Ricoprire, cancellare le tracce dell’attacco per non essere rilevati dai professionisti
della sicurezza.

Penetration Tester
Il pen test ha tre fasi principali: preparation, assesment and conclusion.

La fase di preparazione definisce il tempo necessario per reperire le informazioni

nell’ambito del contratto stipulato con il cliente. Lo scopo del test, i tipi di attacchi
permessi.

La fase di valutazione attiva gli attacchi per valutare la risposta del sistema.

La conclusione redige il documento con i risultati ottenuti.

Esistono tre tipologie di test: white box, black box, gray box.

Black box presuppone nessuna conoscenza del TOE target of evaluation. Proprio come
se a condurlo fosse un hacker esterno.

White box è l’esatto opposto del white, si parte da una conoscenza della rete e
dall’uso di permessi amministrativi.

Gray box individua una via di mezzo tra le precedenti tipologie. Assumendo una
parziale conoscenza dell’ambiente come potrebbe essere un attacco fatto dal
personale interno alla ditta.

14 DOMANDE in 20 minuti 4 RISPOSTE ERRATE – 30% 4.2

R01 C C

R02 A A

R03 C B

R04 A A

R05 D D

R06 D D

R07 B B

R08 D B

R09 A D

R10 A A

R11 B B

R12 B B

R13 C C

R14 A B

R15

R16

R17

R18

R19

R20
Chapter 2 Reconnaissance: Information Gathering for the Ethical Hacker
pg 125-182 15 settembre 16:30 – 18:00 pg 132

Reconnaissace comprende al suo interno diverse metodologie per l’ottenimento delle

informazioni. Ad esempio footprinting, scanning and enumeration e altre. Questo
ambito è caratterizzato da due domande: quali informazioni cerco, e come posso fare
per ottenerle.

Anonymous Footprinting – impronta anonima è quando si cerca di nascondere chi

effettua la ricerca di informazioni. Ad esempio usando pseudonimi.

Passive Footprinting – impronta passiva sono tutte quelle attività di raccolta

informazioni che sono pubbliche. Anche se pubbliche e assolutamente legali, possono
comunque far percepire alla controparte che si stanno raccogliendo informazioni sulla
stessa.

Competitive intelligence – intelligenza competitiva oppure informazioni sulla

concorrenza. Significa rimanere sempre aggiornati con le attività della concorrenza,
acquisendo informazioni su di essa.

Active Footprinting – impronta attiva sono quelle attività di ricerca informazioni

ottenute tramite richiesta o sollecitazione tramite tool. Anche un semplice tweet o una
richiesta su facebook possono essere catalogati come attivi.

FOOTPRINTING METHODS AND TOOLS

Search Engines – sono i vari motori di ricerca informazioni come google, baidu, duck
duck go, bing, ma anche social come linkedin, tweet, instagram, careerBuilder,
monster. Se ben usati posso fornire informazioni sulla persona e sull’azienda per la
quale lavora.

Google Hacking

Sono un insieme di filtri usati da google per meglio ridefinire e sintonizzare la ricerca
rendendola mirata ed evidenziando solo determinati risultati. Sono anche chiamate
google Dorks : Google Hacking Database (GHDB) - Google Dorks, OSINT, Recon (exploit-db.com)

Website and E-mail Footprinting

Il footprinting di un sito web può essere fatto tramite tool che fornisce informazioni
varie su file contenuti, file nascosti, sorgenti con commenti, cookie. Esistono anche
software che eseguono una copia del sito web scaricandolo in locale www.httrack.com.
Con il sito archive.org si possono vedere versioni precedenti di uno stesso sito.
Analogamente ai siti web anche le email presentano impronte interessanti, indirizzi IP,
info del recipiente, date orari. Informazioni estratte con tool come
www.emailtrackerpro.com and www.mailtracking.com.

DNS Footprinting pag 149 20/09 10:30

Il DNS Domain Naming System fornisce la traduzione tra nome sito e indirizzo IP, e
viceversa.

https://www.cloudflare.com/it-it/learning/dns/what-is-dns/

Nella risoluzione della richiesta di una risorsa web sono coinvolti 4 server:

DNS Recursor (recursive resolver), Root nameserver, TLD nameserver, Authoritative

nameserver.

DNS Recursor è il primo passo, se la risorsa è presente nella cache viene restituito
l’indirizzo IP, altrimenti viene inviata una query al Root nameserver che risponde con
l’indirizzo IP del Top Level Domain TLD (.com, .net, .it……). Con questo indirizzo si
interroga il server TLD che risponde con l’indirizzo del server autoritativo che
interrogato fornisce l’IP del server a cui richiedere la risorsa, a questo punto il client
ha finalmente l’IP della risorsa richiesta con cui effettuare l’interrogazione.

 I dati DNS possono essere memorizzati in una pluralità di ubicazioni, ognuna delle
quali memorizzerà i record DNS per un determinato intervallo di tempo, stabilito da
un time-to-live (TTL). A partire dal browser utilizzato, per passare dalla cache sistema
operativo, al file locale host.txt, fino alle varie cache dei router e servers della rete.
DNS Footprinting pag 159 21/09 09:20

https://www.garr.it/it/?id=513:eduroamr-va-in-citta-e-in-provincia&catid=158

https://www.ionos.it/digitalguide/server/know-how/iana/

IANA, ICANN, RIR

Tutti i nomi a dominio di primo livello attualmente in uso, i cosiddetti Top Level
Domain (TLD), sono stati assegnati dalla Internet Assigned Numbers Authority (IANA).
Esistono due tipi di TLD: i general TLD (gTLD) (.com, .net, .org) e i country code TLD
(ccTLD) (.it, .en, .eu).

ICANN (Internet Corporation for Assigned Names and Numbers) è l’ente internazionale
no-profit, che si occupa di numerosi incarichi di gestione riguardanti Internet. L’ASO
(Address Supporting Organization) è un’organizzazione di supporto dell’ICANN che
cura le politiche relative all’assegnazione degli indirizzi IP. ICANN, delega la gestione
di blocchi di indirizzi IP ad enti locali denominati Regional Internet Registries (RIR).
Ogni RIR si occupa di gestire ed amministrare lo spazio di indirizzamento per una
determinata area geografica e RIPE è quella europea e quindi governa l’assegnazione
dello spazio di indirizzamento pubblico anche per l’Italia. A loro volta i RIR, ognuno
secondo le proprie politiche, demandano l’assegnazione di blocchi IP più piccoli ai
Local Internet Registries (LIR).

RIR Aree di competenza

AFRINIC - African Network Information Center Africa

APNIC - Asia-Pacific Network Information Center Asia, Australia e Oceania

ARIN - American Registry for Internet Numbers Canada, USA e alcune Isole dei Caraibi

LACNIC - Latin America and Caribbean Network America Latina e alcune Isole dei Caraibi
Information Center

RIPE NCC - Réseaux IP Européens (RIPE) NCC Europa, Medio Oriente e parte dell’Asia
Centrale

Tramite l’uso del tool whois è possibile avere informazioni generali relativamente ad
un sito web. Come segue:

Whois Record for Almaviva.it

How does this work?

 Domain Profile
Registrar autoRenewPeriod
Status

Dates 7,936 days old   

Created on 1999-12-30
Expires on 2021-09-15
Updated on 2021-09-16

Tech Contact —

IP Address 54.186.80.150 - 70 other sites hosted on this server   

IP Location  - Oregon - Boardman - Amazon.com Inc.

ASN  AS16509 AMAZON-02, US (registered May 04, 2000)

Hosting 1 change on 2 unique name servers over 7 years   

History

 Website

Website Title   500 SSL negotiation failed:   

Response Code 500

Whois Record ( last updated on 2021-09-21 )

Domain:             almaviva.it
Status:             autoRenewPeriod / clientDeleteProhibited / clientUpdateProhibited
Signed:             no
Created:            1999-12-30 00:00:00
Last Update:        2021-09-16 00:36:19
Expire Date:        2021-09-15

Registrant
  Organization:     Almaviva S.p.A.
  Address:          Via di Casal Boccone 188-190
                    Roma
                    00137
                    RM
                    IT
  Created:          2017-08-09 10:39:50
  Last Update:      2017-08-09 10:39:50

Admin Contact
  Name:             Marco Tripi
  Organization:     Almaviva S.p.A.
  Address:          Via di Casal Boccone 188-190
                    Roma
                    00137
                    RM
                    IT
  Created:          2017-08-09 10:39:50
  Last Update:      2017-08-09 10:39:50

Technical Contacts
  Name:             Ettore Tenaglia
  Organization:     Almaviva S.p.A.
  Address:          Via di Casal Boccone 188-190
                    Roma
                    00137
                    RM
                    IT
  Created:          2017-04-04 16:50:03
  Last Update:      2019-03-14 10:10:03

Registrar
  Organization:     dotNice Italia s.r.l.
  Name:             DOTNICE-REG
  Web:              https://www.dotnice.com
  DNSSEC:           yes

Nameservers
  ns1.dotnice.com
  ns2.dotnice.com
  ns3.dotnice.com
  ns4.dotnice.com
  ns5.dotnice.com
  ns6.dotnice.com

Un altro tool importante è nslookup:

1. Enter nslookup at the command line.

2. Type server <IPAddress>, using the IP address of the SOA. Press ENTER.

3. Type set type=any and press ENTER.

4. Type ls -d domainname.com, where domainname.com is the name of the zone, and

then press ENTER.

Un altro tool è traceroute o tracert in windows, traccia il percorso dei pacchetti di rete
segnando gli indirizzi IP e i relativi nomi dal client al server usando pacchetti ICMP
echo.

Altri: OSRFramework, OSINT, web spiders, maltego….shodan.

12 DOMANDE in 20 minuti 4 RISPOSTE ERRATE – 30% 3,6

R01 A C

R02 C

R03 A B

R04 A

R05 A

R06 C A

R07 D

R08 B

R09 A

R10 C

R11 A B

R12 D

R13

R14

R15

R16

R17

R18

R19

R20
Chapter 3 Scanning and Enumeration
pg 182-266 22 settembre 15:00 – 18:00 pg 185

FUNDAMENTALS

Dopo la Recoinassance e il footprinting che forniscono il perimetro della rete, una

visione generale, l’insieme degli indirizzi a disposizione della rete, lo scanning
permette di approfondire i punti di partenza rilevati dalla fase precedente. Nel
dettaglio si verifica quali indirizzi sono attivi, quali host siano funzionanti e quali
sistemi operativi siano in esecuzione, versioni, patch, applicativi e driver.

TCP/IP Networking
Quando il sistema destinatario ottiene un frame (livello 2 Data Layer) per prima cosa
controlla se l’indirizzo del destinatario è corretto, in questo caso il destinatario apre il
frame, si assicura della validità e toglie header e trailer. A questo punto viene passato
al livello superiore (livello 3 Network). Il layer 3 controlla l’address nell’header del
packet, assieme ad altri parametri, toglie l’header e rimane un PDU (protocol data
unit), chiamato segment pronto per essere passato al livello superiore (livello 4
Transport). A questo livello ci può essere la consegna end to end, numero ordine del
segmento, controllo di flusso, TCP flags e numerazione delle porte.

Connectionless Communication

23 settembre 10:00 – 17:00 pg 185-196

La comunicazione senza connessione prevede che il mittente invii il messaggio e non

esegua alcun controllo sulla corretta ricezione da parte del destinatario. Questa
modalità rende il protocollo più leggero ed efficiente a prescindere da eventuali perdite
di pacchetti insiti nel protocollo usato. Il protocollo UDP appartiene a questa categoria.
Molto usato per lo streaming audio e video.
Connection-oriented Communication

Una comunicazione orientata verso la connessione usa ad esempio TCP. Prima

dell’effettivo scambio di dati, avviene una sequenza di connessione (three-way
handshake) tra mittente e destinatario tale per cui si instaura una sintonia nella
comunicazione che permette il recupero di eventuali pacchetti non ricevuti.

• SYN (Synchronize) Questo flag è settato all’inizio per stabilire una comunicazione,
nella quale vengono negoziati parametri e numeri di sequenza.

• ACK (Acknowledgment) Questo flag risponde con una conferma ai flag del SYN.

• RST (Reset) Questo flag forza la fine della comunicazione per entrambi.
• FIN (Finish) Questo flag forza la fine ordinata della comunicazione.

• PSH (Push) Questo flag forza l’invio dei dati senza aspettare il riempimento del
buffer.

• URG (Urgent) Quando questo flag è impostato, indica che i dati all'interno vengono
inviati fuori banda. L'annullamento di un messaggio a metà del flusso è un esempio.

Dopo la sequenza SYN, SYN-ACK, ACK, il canale di comunicazione è aperto, sono stati
stabiliti i numeri di sequenza e finalmente il trasferimento dati può iniziare. Esistono
tools per la creazione di pacchetti e la loro completa manipolazione che può essere
estesa a quelli catturati in rete. (Colasoft, Netscan, Ostinato, WANKiller).

Port Numbering

La numerazione delle porte, nel Transport layer, associa quale protocollo nel livello
superiore, deve ricevere i dati. L’intervallo delle porte è descritto da 16 bit, per un
totale che va da 0 a 65535. Esistono delle assegnazioni di default come segue:

• Well-known ports porte note 0–1023

• Registered ports porte utente o registrate 1024–49,151

• Dynamic ports porte libere 49,152–65,535

Intervalli da ricordare.
Le porte possono avere più stati:
https://en.wikipedia.org/wiki/Transmission_Control_Protocol

TCP socket states

State Endpoint Description

Waiting for a connection request from any remote TCP

LISTEN Server
end-point.

Waiting for a matching connection request after having

SYN-SENT Client
sent a connection request.

Waiting for a confirming connection request

SYN-
Server acknowledgment after having both received and sent a
RECEIVED
connection request.

An open connection, data received can be delivered to

Server
ESTABLISHED the user. The normal state for the data transfer phase
and client
of the connection.

Waiting for a connection termination request from the

Server
FIN-WAIT-1 remote TCP, or an acknowledgment of the connection
and client
termination request previously sent.

Server Waiting for a connection termination request from the

FIN-WAIT-2
and client remote TCP.

Server Waiting for a connection termination request from the

CLOSE-WAIT
and client local user.
 Server Waiting for a connection termination request
CLOSING
and client acknowledgment from the remote TCP.

Waiting for an acknowledgment of the connection

Server termination request previously sent to the remote TCP
LAST-ACK
and client (which includes an acknowledgment of its connection
termination request).

Waiting for enough time to pass to be sure the remote

Server or
TIME-WAIT TCP received the acknowledgment of its connection
client
termination request.[e]

Server
CLOSED No connection state at all.
and client

Subnetting
Data: 24 settembre 11:00 – 17:00 pg 196-203

https://it.wikipedia.org/wiki/Maschera_di_sottorete

La maschera di sottorete è un parametro che identifica la dimensione della sottorete,

intesa come intervallo di indirizzi, il cui scopo è ridurre il traffico di rete per la ricerca
ed il raggiungimento di un host con relativo indirizzo IP. La modalità di suddivisione in
sottoreti prende il nome di CIDR Classless Inter Domain Routing. Un indirizzo CIDR ha
la seguente notazione: a.b.c.d/x, dove a,b,c,d sono numeri decimali da 0 a 255, x
rappresenta il numero di bit consecutivi a uno partendo da sinistra. Ad esempio:

11111111.11111111.11111111.00000000 rappresenta /24 oppure 255.255.255.0

In questo caso gli indirizzi totali sono 2 elevato 8 = 256, ai quali bisogna togliere il
primo utilizzabile 255.255.255.0 in quanto indirizzo stesso della rete e l’ultimo
255.255.255.255 in quanto indirizzo di broadcast, questo intervallo assume il nome di
indirizzi host.

Quando il sistema operativo (più precisamente: il livello IP dello stack TCP/IP) riceve
da un programma la richiesta di inviare un pacchetto IP ad un certo indirizzo IP
destinatario, per prima cosa calcola l'AND logico fra la maschera di sottorete e il
proprio indirizzo IP, e lo confronta con l'AND logico tra la maschera di sottorete e
l'indirizzo IP di destinazione. Se il risultato delle operazioni è identico (cioè i bit che
identificano l'id di rete, o net ID, sono identici, mentre variano solo i bit dell'id di host)
allora invierà il pacchetto nella rete locale indirizzandolo con l'indirizzo di rete locale
del PC destinatario (se non conosce tale indirizzo userà il protocollo ARP per trovarlo);
se invece il risultato delle operazioni è differente significa che il computer destinatario
non appartiene alla rete locale, e il pacchetto verrà trasmesso al gateway della rete
locale affinché lo instradi verso la rete remota che contiene il computer destinatario.
Esempio:

Supponiamo che il protocollo IP del nostro computer sia configurato come segue:

indirizzo IP: 192.168.32.97

maschera di sottorete: 255.255.255.224

e che richiediamo di connetterci all'indirizzo IP 192.168.32.130;

Prima di tutto trasformiamo in notazione binaria gli indirizzi IP e la maschera di

sottorete:

192.168.032.097 = 11000000.10101000.00100000.01100001

192.168.032.130 = 11000000.10101000.00100000.10000010

255.255.255.224 = 11111111.11111111.11111111.11100000

Allora il livello IP calcolerà:

11000000.10101000.00100000.01100001 AND (192.168.032.097)

11111111.11111111.11111111.11100000 = (255.255.255.224)

-------------------------------------

11000000.10101000.00100000.01100000 (192.168.032.096)

Ora ripetiamo l'operazione con l'IP di destinazione:

11000000.10101000.00100000.10000010 AND (192.168.032.130)

11111111.11111111.11111111.11100000 = (255.255.255.224)

-------------------------------------

11000000.10101000.00100000.10000000 (192.168.032.128)

I risultati 192.168.32.96 e 192.168.32.128 indicano due sottoreti differenti, e quindi

le macchine appartengono a sottoreti differenti.

Il tutto si può riassumere in una tabella, per semplicità solo per CIDR da 24 a 27:

CIDR Maschera Indirizzi totali Rete Intervalli indirizzi Broadcast

/24 255.255.255.0 256 0 1-254 255

/25 255.255.255.128 128 0 1-126 127

128 129-254 255

/26 255.255.255.192 64 0 1-62 63

64 65-126 127
128 129-190 191
 192 193-254 255

/27 255.255.255.224 32 0 1-30 31

32 33-62 63
64 65-94 95
96 97-126 127
128 129-158 159
160 161-190 191
192 193-222 223
224 225-254 255

SCANNING METHODOLOGY
Data: 27 settembre 14:00 – 17:00 pg 203-211

La metodologia di rilevamento si compone di sette punti:

1. Check for live system – controllare i sistemi che rispondono nella sottorete
2. Check for open ports – controllare le porte aperte nei sistemi al punto 1
3. Scan beyond IDS – il rilevamento deve evitare IDS
4. Perform banner grabbing – rilevare i SO e i servizi in esecuzione
5. Scan vulnerabilities – rilevare le vulnerabilità
6. Drawn network diagram – disegnare la rete con i percorsi agli obiettivi
7. Prepare proxies – che oscurano gli sforzi per rimanere nascosti

Identifying Targets
Uno dei metodi più usati è l’invio di messaggi ICMP Internet Control Message Protocol.
IP non ha funzioni di messaggi di errore, è stato creato ICMP che crea e invia
pacchetti in rete per testare la rete stessa e gli hosts contenuti.
Data: 28 settembre 14:00 – 17:00 pg 211-213

Un altro strumento utile è ping, poi abbiamo nmap con l’interfaccia grafica Zenmap.

Port Scanning
Viene effettuato con l’invio di pacchetti creati per ottenere una risposta, che verrà poi
valutata. I pacchetti possono essere manipolati prima dell’invio per indurre
determinate risposte indirizzate a esigenze specifiche.

Port Scan Types

Le macro caratteristiche del rilevamento sono tre:

la manipolazione dei flag dei messaggi inviati, la risposta che ci attendiamo rispetto
alla richiesta fatta, la furtività della rilevazione compiuta. A seguire i sei principali tipi
di rilevamento:

Full connect – Prevede una richiesta di tipo three-way handshake, è la più facile da
rilevare ma è probabilmente la più affidabile. Le porte aperte risponderanno con un
SYN/ACK, e le porte chiuse risponderanno con un RST.

Stealth - Conosciuto anche come scansione semiaperta (e anche come scansione

SYN). Solo i pacchetti SYN sono inviati alle porte. Le risposte dalle porte sono le
stesse che per una scansione TCP connect. Questa tecnica è utile per nascondere gli
sforzi di scansione, possibilmente bypassando i firewall e gli sforzi di monitoraggio
nascondendosi come traffico normale (semplicemente non viene notato perché non c'è
nessuna connessione da notare).

Inverse TCP flag - Questa scansione utilizza il flag FIN, URG, o PSH (o, in una
versione, nessun flag) per puntare alle porte del sistema. Se la porta è aperta, non ci
sarà alcuna risposta. Se la porta è chiusa, un RST/ACK sarà inviato in risposta.

XMAS - Scansione natalizia è così chiamata perché tutti i flags sono settati, quindi il
pacchetto è "illuminato" come un albero di Natale. Le risposte delle porte sono le
stesse di una scansione TCP inversa. Le scansioni XMAS non funzionano contro le
macchine Microsoft Windows a causa all'implementazione dello stack TCP/IP di
Microsoft (Microsoft TCP/IP non è conforme a RFC 793).

ACK flag probe - Sonda del flag ACK, secondo l'ECC ci sono due versioni di questa
scansione, entrambe usano lo stesso metodo: l'attaccante invia il flag ACK e guarda
l'intestazione di ritorno (campi TTL o Window) per determinare lo stato della porta.
Nella versione TTL, se il TTL del pacchetto RST restituito è inferiore a 64, la porta è
aperta. Nella versione Window, se la dimensione WINDOW sul pacchetto RST ha
qualcosa diverso da zero, la porta è aperta.

IDLE – Questa tipologia o usa un indirizzo IP falsificato per ottenere risposte dalle
porte durante una scansione. Progettata per essere furtiva, questa scansione usa un
flag SYN e controlla le risposte come con una scansione SYN.

Data: 29 settembre 11:00 – 17:00 pg 213-227

Ogni pacchetto IP ha un suo identificativo, chiamato IP identifier (IPID) che viene

incrementato di uno durante il colloquio tra due host. Nella scansione di tipo IDLE il
primo computer dell’attaccante invia un SYN/ACK all’indirizzo di un terzo computer
IDLE. Che risponderà con un RST e un determinato IPID. Ancora l’attaccante invia un
SYN/ACK all’indirizzo del secondo computer obiettivo con indirizzo mittente del terzo
computer IDLE: a questo punto la risposta avrà un IPID incrementato di uno se la
porta è aperta, non ci sarà alcun incremento se la porta è chiusa. Infine, il primo
computer attaccante invierà un SYN/ACK all’indirizzo di un terzo computer IDLE che
risponderà con un RST di IPID incrementato di uno rispetto alla prima chiamata se la
porta del secondo computer è chiusa, incrementata di due se la porta è aperta.
Analogamente per UDP se invieremo un datagram ad una porta aperta non
riceveremo alcuna risposta, in caso contrario, a porta chiusa riceveremo un messaggio
di errore ICMP.

Nmap
Nmap è un tool di rilevamento ormai consolidato e molto diffuso. Può rilevare il
singolo host o indirizzo IP, come un intervallo predefinito, o una intera sottorete.

Il comando base è: nmap (opzioni) (obiettivo)

http://nmap.org/docs.html
NetScanTools Pro è un altro tool di rilevamento.
(https://www.netscantools.com/nstpromain.html)

Hping

è un altro tool di rilevamento molto usato e molto potente, non presenta però
interfaccia grafica il suo uso è solo da linea di comando.

www.hping.org/manpage.html
Evasion
Data: 30 settembre 16:00 – 17:00 pg 227-227
Per evasione si intende la capacità di poter eludere il rilevamento da parte degli
operatori della sicurezza, durante tutte le fasi dell’hacking. Alcune opzioni di evasion
nella fase di scanning sono: packet fragmentation, proxies, spoofing IP address,
routing.

Il comando nmap -sS -A -f 172.17.15.12 effettuerà un SYN scan fragmentato, la

frammentazione del pacchetto renderà difficile il rilevamento da parte degli IDS.

Lo spoofing è la capacità di simulare un IP address falso nella creazione dei pacchetti,

per non essere identificati. Tools al riguardo sono: Ettercap, Hping, Scaping, Komodia,
Cain.

Source routing forza un falso indirizzo sorgente, con un percorso prestabilito, in modo
tale da intercettare la risposta. Non è utilizzabile nelle moderne reti in quanto viene
rilevato automaticamente dai moderni routers e firewalls.

Proxy è un sistema intermediario tra il sorgente e il destinatario. Alcuni tools:

Proxy Switcher (proxyswitcher.com), Proxy Workbench (proxyworkbench.com),

ProxyChains (http://proxychains.sourceforge.net/), SoftCab’s Proxy Chain Builder
(www.softcab.com/download.php), CyberGhost (cyberghostvpn.com), and Proxifier
(www.proxifier.com).

Anonymizers sono servizi proxy su internet, alcuni sono citati da ECC: Guardster
(guardster.com), Ultrasurf (ultrasurf.us), Psiphon (psiphon.ca), and Tails
(tails.boum.org). Tails è un vero e proprio sistema operativo per l’anonimato.

Vulnerability Scanning
Il rilevamento delle vulnerabilità è effettuato da tools come:

OpenVas, Nessus, OWASP.

ENUMERATION
Consiste nel dettagliare gli elementi raccolti nelle precedenti fasi. Enumerando,
censendo acquisendo tutte le info possibili.

Enumeration Techniques
Banner Grabbing

Afferrare il Banner, che è il messaggio di risposta che un host ritorna alla ricezione di
un pacchetto di richiesta. Con telnet, ma anche con altri tool, si invia un pacchetto
request ad una porta, se questa è aperta una risposta di default viene ritornata
(banner). Banner grabbing può essere attivo o passivo.

Ad esempio nella risposta si nota che il server è di tipo Microsoft IIS ver 5.0.
I server di tipo mail possono essere individuati con il comando:

telnet (IPADDRESS) 25

Un altro tool è netcat: nc <IPaddress or FQDN> <port number>

NetBIOS Enumeration

NetBIOS non è propriamente un protocollo, ma piuttosto una creazione nella rete

volta ad aiutare e a fornire informazioni. Il NetBIOS name è composto da 16 caratteri
di cui il 16° definisce il tipo.

nbtstat -A IPADDRESS nbtstat -a computername nbtstat -c for the cache

00 identifica il nome del computer

20 file e print sharing is on

1D master browser
Oltre a Nbstat si possono usare SuperScan, Hyena, Winfingerprint, NetBIOS
Enumerator and NSAuditor.

SNMP Enumeration
SNMP Simple Network Management Protocol è un protocollo di tipo connectionless che
utilizza il protocollo di trasporto UDP sulle porte 161 e 162, che consente la
configurazione e la gestione e monitoring di apparati connessi in rete. Brevemente il
protocollo SNMP prevede che un dispositivo venga gestito attraverso la semplice
lettura / scrittura di informazioni elementari. Prevede inoltre tre componenti
fondamentali: 1 manager – sistema di gestione, 2 agent o master agent – agente di
gestione, 3 collezione di oggetti gestiti. Tools: Engineer’s Toolset, SNMPScanner,
OpUtils 5, and SNScan.

Other Enumeration Option

Lightweight Directory Access Protocol – LDAP session parte con un client TCP sulla
porta 389 connesso con il DSA Directory System Agent che ritorna informazioni su
usernames, domini, indirizzi e numeri telefonici, struttura aziendale.

Network Time Protocol – NTP su porta UDP 123 setta i tempi all’interno della rete,
sincronizza gli orologi dei computer in rete, ma fornisce anche info su indirizzi, liste di
sistemi connessi.

Simple Mail Transfer Protocol (SMTP) protocollo di Posta Elettronica. È un protocollo

standard di invio email. SMTP è usato dai server di posta per lo scambio, e dal client
verso il server. Mentre per il recupero della mail dal server il client usa IMAP o POP3.
La comunicazione tra i server mail utilizza il protocollo TCP sulla porta 25. È possibile
rendere sicura una connessione SMTP con TLS. Principali comandi:

VRFY verifica se esiste una mailbox o utente in un host con SMTP in esecuzione.

EXPN espande una mailing list in un host con SMTP in esecuzione.

RCPT TO invia ad uno o più indirizzi mail, verificandone l’esistenza.

15 DOMANDE in 20 minuti 7 RISPOSTE ERRATE – 30% 4.5

R01 A

R02 A

R03 A

R04 D B

R05 C

R06 A

R07 A

R08 B A

R09 A D

R10 B D

R11 B C

R12 B

R13 B A

R14 C

R15 B D

R16

R17

R18

R19

R20
Chapter 4 Sniffing and Evasion
pg 266-xxx 07 OTTOBRE 15:00 – 18:00 pg xx

Network Knowledge for Sniffing

Nello sniffing delle comunicazioni via rete è importante considerare lo stato

dell’interfaccia di rete NIC, con chi è connessa, e il tool utilizzato. Nello strato di Data
Link Layer, a ciascuna scheda di rete NIC, viene assegnato un identificativo unico,
MAC address di 6 BYTE (48 bits) i primi 3 identificano il costruttore della card, i
secondi 3 un numero unico che la identifica. Quando la NIC riconosce il proprio MAC
address nei messaggi che arrivano in rete, lo elabora in accordo con i driver forniti dal
sistema operativo.

Collision domain identifica la condivisione di un dato mezzo di trasporto della

comunicazione, tale per cui si ricevono messaggi non direttamente destinati a noi. Ad
esempio un hub condiviso tra più host può generare collision domain, per evitare
questo si usano degli hub forniti di switches che indirizzano il messaggio al relativo
destinatario.

Protocols Susceptible to Sniffing

SMTP protocol si presta ad un facile sniffing in quanto la trasmissione dei dati avviene
in chiaro. Come altri, FTP, SNMPv1, IMAP, POP3, e http. I protocolli a livello del
transport layer forniscono dati rilevanti. UDP e TCP forniscono i numeri delle porte.
TCP fornisce anche il numero di sequenza, che può essere utilizzato in una sessione di
hijacking. A livello del Network layer abbiamo il protocollo IP che fornisce tramite
l’header parecchie informazioni.
ARP
Pag 275 Livello 2: DATA-LINK (didatticainfo.altervista.org)

Address Resolution Protocol il cui compito è fornire la "mappatura" tra l'indirizzo

IP (32 bit - 4 byte) e l'indirizzo MAC (48 bit - 6 byte)

All’interno del Data Link Layer vengono costruiti i Frames per l’invio dei dati. I dati da
trasmettere, vengono preceduti da un Header e seguiti da un Trailer. Che
rappresentano contenitori di dati utili alla trasmissione dei dati utente. All’interno
dell’header, tra gli altri, troviamo gli indirizzi del mittente e del destinatario. L’indirizzo
del mittente è noto in quanto proprietario, quello del destinatario da indirizzo IP deve
essere trasformato in indirizzo fisico. Spesso il Data Link Layer è suddiviso in due
sottolivelli, LLC(Logical Link Control) e MAC(Medium Access Control). Il primo si
occupa di inserire nell’intestazione del frame le informazioni che riguardano il
protocollo di rete utilizzato. Ciò consente di utilizzare più protocolli (IP,IPX) con la
stessa interfaccia. Il sottolivello MAC si occupa del tipo di protocollo da utilizzare al
livello Data-Link, dell’indirizzamento, della delimitazione dei frame a seconda della
tipologia del canale di comunicazione ovvero del mezzo fisico sul quale vengono
trasmessi i segnali. Tipicamente il MAC viene reperito nella cache di sistema tramite
indirizzo IP. Se non è disponibile tramite il protocollo ARP Address Resolution Protocol
viene richiesta alla intera rete locale la restituzione del MAC per quel determinato IP.
Se anche questo fallisse, esiste un indirizzamento di default per uscire dalla rete
locale, e trovare la risoluzione fisica dell’IP address del destinatario, tutto questo in
maniera ciclica di rete in rete.

NOTA

Il MAC address è scolpito nella card, NIC, come identificativo di default dato dal
costruttore. Tipicamente è formato da 6 bytes 48bites, i primi tre bytes sono un
identificativo unico del costruttore, gli altri tre sono l’indirizzo della card.

IPv6

E’ il futuro protocollo di indirizzamento internet che sostituirà IPv4. Si passa

dall’attuale indirizzamento di IPv4 di 32 bit a IPv6 di 128 bit con otto gruppi ognuno
dei quali composto da quattro cifre esadecimali.

Ad esempio 2002:0b58:8da3:0041:1000:4a2e:0730:7443

Se l’indirizzo presenta degli zeri contigui, possono essere sostituiti da una coppia di
due punti, ad esempio:

2002:0b58:0000:0000:0000:4a2e:0730:7443 diventa 2002:0b58::4a2e:0730:7443

NOTA

I due punti si utilizzano solo una volta all’interno dell’indirizzo.

In IPv6 i tipi di indirizzamento sono tre:

Unicast – un pacchetto inviato e ricevuto da un singolo host

Multicast – un pacchetto inviato e ricevuto da più hosts

Anycast – un pacchetto inviato a più hosts ma ricevuto dal migliore o più vicino

In IPv6 gli ambiti sono tre:

Link local – applicato solo agli hosts della stessa subnet

Site local – applicato solo agli hosts della stessa organizzazione

Global – include ognicosa

Wiretapping

Active and Passive Sniffing

SNIFFING TOOLS AND TECHNIQUES

Mac Flooding

Il MAC flooding è un attacco informatico che sfrutta il riempimento della CAM table
dello switch per portarlo allo stato di fail open in modo tale da costringerlo a
comportarsi come un hub cioè inviare a tutti i dispositivi, compreso quello di un
attaccante, i vari messaggi di rete. Abilitando così lo sniffing da parte dell’attaccante.

La CAM table content addressable memory contiene le coppie indirizzo MAC e porta
velocizzando il colloquio tra i dispositivi.

Lo switch è un dispositivo nella rete che opera a livello Data link, gestendo i flussi di
dati ricevuti e inviandoli solo a chi effettivamente deve riceverli, riducendo il
deteriorarsi delle prestazioni dovute al fenomeno di dominio di collisione.

Dominio di collisione identifica un insieme di nodi che concorrono per l’utilizzo di uno
stesso mezzo trasmissivo. La richiesta del mezzo trasmissivo già impegnato in una
trasmissione, causa nel nodo richiedente l’attesa per il successivo tentativo di invio.
Attesa che viene incrementata ad ogni tentativo fallito, degradando così rapidamente
le prestazioni della rete in situazioni di traffico intenso.

ARP Poisoning

ARP Poisoning è un attacco che sfrutta l‘ARP broadcast protocol, iniettando nella cache
del sistema vittima, dei falsi messaggi ARP opportunamente modificati dall’attaccante
per poter leggere i messaggi indirizzati ad altre macchine. Ciò avviene in quanto i
sistemi che ricevono un messaggio broadcast ARP, aggiornano automaticamente la
cache senza effettuare alcun controllo sulla affidabilità e validità di chi ha emesso quel
messaggio. Questo tipo di attacco ha i suoi limiti, in quanto i veri messaggi ARP
broadcast possono riscrivere i precedenti messaggi alterati, quindi l’attaccante è
costretto a rinfrescare con nuovi messaggi ARP la cache di sistema. Causando però un
intenso traffico ARP che può essere rilevato da software specializzati in questo
compito e venire quindi conseguentemente neutralizzato.

DHCP Starvation

Gli attacchi DHCP si dividono in tre tipologie:

 finti server DHCP malevoli raccolgono richieste da client intercettandone il

traffico di rete
 finti client DHCP si connettono come client autentici intercettando il traffico di
rete
 finti client DHCP inviano false e ripetute richieste di connessione al server
esaurendo le risorse disponibili e impedendo l’accesso ai client autorizzati

Dynamic Host Configuration Protocol è l’acronimo DHCP, lett. "protocollo di

configurazione IP dinamica" è un protocollo applicativo che permette ai dispositivi di
ottenere la configurazione necessaria a stabilire una connessione con una rete più
ampia. DORA è l’acronimo delle fasi di ottenimento della connesione da parte di un
client con un server DHCP:

DHCPDISCOVER il client invia questo messaggio in rete per identificare il server DHCP

DHCPOFFER il server risponde con questo messaggio fornendo le info necessarie

DHCPREQUEST il client richiede la connessione al server

DHCPACKNOWLEDGE il server risponde con un acknowledge

Spoofing
Lo spoofing è un tipo di attacco nel quale avviene la falsificazione di una identità.
All’interno della rete un falso attore può generare falsi messaggi e forzare
comportamenti della rete che gli permettano lo sniffing dei messaggi.
14 DOMANDE in xx minuti x RISPOSTE ERRATE – 30% 4.2

R01

R02

R03

R04

R05

R06

R07

R08

R09

R10

R11

R12

R13

R14

R15

R16

R17

R18

R19

R20