Portspoof

Portspoof emula porte aperte e firme di servizio su tutte le 65535 porte TCP, trasformando la fase di ricognizione da una scansione veloce in un processo lungo e dispendioso in termini di risorse. Gli scanner vedono migliaia di servizi fasulli convincenti, rendendo impraticabile identificare la reale superficie d'attacco.

Indice dei contenuti

• Panoramica
• Caratteristiche Principali
• Come Funziona
• Approccio di Progettazione
• Installazione
• Configurazione
• Utilizzo
• Rafforzamento con iptables
• Portspoof Pro
• Autori e Licenza

Panoramica

L'obiettivo principale di Portspoof è rendere la ricognizione lenta, costosa e inaffidabile per gli aggressori. Invece di una scansione Nmap standard di 5 secondi che mappa ogni servizio reale su un sistema, un aggressore che affronta Portspoof vede 65535 porte aperte, ciascuna che sembra eseguire un servizio legittimo diverso. Non esiste un modo rapido per capire quali siano reali.

Caratteristiche Principali

• Tutte le 65535 porte TCP sono sempre aperte: Invece di informare un aggressore che una porta è CHIUSA o FILTRATA, Portspoof risponde con SYN+ACK per ogni tentativo di connessione.
• Emulazione del servizio: Oltre 9000 firme di servizio dinamiche generate da espressioni regolari. Ogni porta risponde ai probe con un'identità di servizio diversa e convincente.
• Modalità di consegna miste: Ogni porta riceve un profilo comportamentale diverso all'avvio (banner immediato, risposta ritardata o attesa silenziosa) con tempi di attesa distribuiti su un'ampia gamma. Il rilevamento delle versioni a gamma completa (nmap -sV -p-) va ben oltre i limiti pratici.
• Difesa Offensiva: Può essere utilizzato come 'Frontend del Framework di Exploit' per sfruttare vulnerabilità negli strumenti di scansione dell'aggressore stesso.
• Leggero e Sicuro: Funziona in userland (nessun privilegio di root richiesto), si lega a una SOLA porta TCP per istanza in esecuzione e ha un utilizzo di CPU/memoria marginale.

---

Come Funziona

1. Sconfiggere gli Scanner di Porte

Esempio di scansione Nmap:

$ nmap -p 1-20 target
Starting Nmap 7.80 ( https://nmap.org )
Nmap scan report for target
Host is up (0.00016s latency).
PORT   STATE SERVICE
1/tcp  open  tcpmux
2/tcp  open  compressnet
3/tcp  open  compressnet
4/tcp  open  unknown
5/tcp  open  rje
6/tcp  open  unknown
7/tcp  open  echo
8/tcp  open  unknown
9/tcp  open  discard
10/tcp open  unknown
11/tcp open  systat
12/tcp open  unknown
13/tcp open  daytime
14/tcp open  unknown
15/tcp open  netstat
16/tcp open  unknown
17/tcp open  qotd
18/tcp open  unknown
19/tcp open  chargen
20/tcp open  ftp-data

2. Confondere il Rilevamento delle Versioni

Portspoof risponde ai probe dei servizi con firme valide generate dinamicamente basate su un enorme database di espressioni regolari. Di conseguenza, un aggressore non sarà in grado di determinare quali numeri di porta il tuo sistema stia realmente utilizzando.

Esempio di scansione versione (porte 1–100):

$ nmap -sV -p 1-100 target
Nmap scan report for target
Host is up (0.00016s latency).
PORT    STATE SERVICE            VERSION
1/tcp   open  tcpmux?
2/tcp   open  irc                ircu ircd
3/tcp   open  tcpwrapped
5/tcp   open  http               Polycom CMA Global Address Book (GAB) httpd
10/tcp  open  http               PGP Universal httpd
11/tcp  open  http               SnapStream Media Beyond TV PVR http config
12/tcp  open  pop3               Novell GroupWise pop3d
13/tcp  open  http               micro_httpd
15/tcp  open  ssh                OpenSSH r (protocol 8; NCSA GSSAPI authentication patch)
16/tcp  open  ftp                QMS/Minolta Magicolor 2200 DeskLaser printer ftpd
17/tcp  open  smtp               Network Box smtpd
21/tcp  open  ftp?
22/tcp  open  ssh                OpenSSH 8.9p1 Ubuntu 3ubuntu0.13 (Ubuntu Linux; protocol 2.0)
23/tcp  open  tcpwrapped
25/tcp  open  smtp?
27/tcp  open  http               BMC/Marimba Management http config
37/tcp  open  http               Indy httpd qlRKjiF
39/tcp  open  pop3
41/tcp  open  ftp                VSE ftpd WhH
43/tcp  open  imap               Scalix imapd 6
46/tcp  open  telnet             AXIS webcam telnetd 96747 (Linux)
49/tcp  open  smtp               Openwave Email Mx smtpd
50/tcp  open  http               3Ware web interface 3v (RAID storage)
51/tcp  open  ftp                WebStar 4dftp ...
53/tcp  open  tcpwrapped
55/tcp  open  webdav             Tonido WebDAV
56/tcp  open  tor-control        Tor control port (Authentication required)
59/tcp  open  irc                ircu ircd
60/tcp  open  rtsp               GStreamer rtspd
64/tcp  open  http               BaseHTTPServer CAxoE (Mercurial hg serve; Python LDkW)
66/tcp  open  telnet             Slirp PPP/SLIP-on-terminal emulator telnetd
70/tcp  open  smtp               qpsmtpd
71/tcp  open  smtp               Microsoft Exchange smtpd
73/tcp  open  http               Avaya IP Office VoIP PBX httpd
77/tcp  open  smtp               Zeus SMTPS smtpd
79/tcp  open  ftp                Sambar ftpd
80/tcp  open  tcpwrapped
81/tcp  open  imap-proxy         nginx imap proxy
82/tcp  open  ssh                (protocol 811)
83/tcp  open  http               peercast.org
88/tcp  open  csta               Alcatel OmniPCX Enterprise
90/tcp  open  http               WASD httpd
91/tcp  open  http               Fortinet FortiGate 50B firewall http config
93/tcp  open  imap               ModusMail imapd 4
98/tcp  open  ssh                Sysax Multi Server sshd 7 (protocol 940)
99/tcp  open  http               2Wire HomePortal http config 5473
100/tcp open  newacct?

Il Risultato

Combinati, questi mezzi significano che:

• Non esiste un modo rapido per distinguere i servizi reali da quelli falsi. I tempi, il comportamento e il contenuto del banner variano su tutta la gamma di porte.
• Una scansione versione completa (nmap -sV -p-) con le impostazioni predefinite di tarpit richiede oltre 10 ore e genera centinaia di megabyte di dati falsi.
• Lo scanner dell'aggressore consuma tempo e thread su connessioni che non portano a nulla.

---

Approccio di Progettazione

I servizi reali (SSH, SMTP, FTP, HTTP) inviano un banner e mantengono la connessione aperta, in attesa dell'input del client. Un'emulazione convincente significa fare lo stesso: accettare, inviare, mantenere. Ma un modello thread-per-client consuma memoria e CPU nel cambio di contesto, e su larga scala il difensore esaurisce le risorse prima che l'aggressore perda la pazienza. Lo strumento di inganno diventa un vettore auto-DOS.

L'approccio: un loop di eventi epoll a thread singolo. Ad ogni porta viene assegnata una modalità di consegna all'avvio: alcune inviano immediatamente un banner, altre aspettano che il client invii dati prima di rispondere, altre rimangono silenziose. I tempi di attesa sono distribuiti su diversi ordini di grandezza (decine di millisecondi a minuti) con jitter per connessione, in modo che i probe ripetuti alla stessa porta non restituiscano tempi identici.

Questo è importante perché senza di esso, un aggressore può inviare spazzatura a ogni porta e misurare i tempi di risposta: i servizi reali si chiudono rapidamente (protocollo sbagliato), mentre un tarpit ingenuo mantiene per secondi. Con modalità miste e un'ampia distribuzione temporale, migliaia di porte false si chiudono anche nella stessa gamma dei servizi reali. Non esiste una soglia pulita su cui filtrare.