Questa codifica permette di rappresentare file binari (o anche file di testo) in un formato che usa una base di soli 64 caratteri scelti tra i 128 caratteri dell’ASCII standard 7 bit: quale insieme? dipende dalla particolare implementazione, ma fondamentalmente sono

• i 26 caratteri Maisuscoli [A-Z], seguiti
• dai 26 caratteri minuscoli [a-z], seguiti
• dalle 10 cifre [0-9] e
• dai segni + [più] e / [slash]

È una tabella composta quindi di 26+26+10+2 = 64 caratteri.

A cosa è dovuto questo che potrebbe sembrare un arzigogolo inutile?

La posta elettronica si basa su questa codifica, per esempio: gli allegati alla mail, quale che sia il loro tipo MIME (sia esso un pdf, un breve video o un audio), vengono convertiti in TESTO puro.

Perché la trasmissione di mail è su base TESTUALE, si trasmette testo. Così anche HTTP: Hyper TEXT Transfer Protocol. Le immagini e i file multimediali in genere che viaggiano su HTTP vengono precedentemente convertite in TESTO.

Lo schema di codifica è il seguente: supponiamo di dover trasmettere con un protocollo di testo (SMTP o HTTP) la stringa “CIAO”.

Prendiamo per ciascun carattere la corrispondente codifica ASCII in binario e ne raggruppiamo le cifre 6 a 6:

Algoritmo per la determinazione dei caratteri base64

Quindi 0 viene mappato in A, 1 in B e così via, fino 61 che viene mappato sul carattere 9, più 62 mappato in + e 63 in /

L’algoritmo prevede che il numero di bit debba essere multiplo di 6, per cui eventualmente si opera un padding (i 4 zeri verdi nel nostro caso); inoltre il numero di caratteri dev’essere multiplo di 4 per cui u questo caso si aggiungono da 0 a due caratteri =.

Varie implementazioni ritornano valori finali leggermente diversi: ad esempio, per evitare problemi inserendo una stringa base64 nell’URL, è necessario evitare il carattere /.

Nella mia implementazione Ubuntu:

$ base64 --version
base64 (GNU coreutils) 8.23
Copyright © 2014 Free Software Foundation, Inc.
Licenza GPLv3+: GNU GPL versione 3 o successive <http://gnu.org/licenses/gpl.html>
Questo è software libero: è possibile modificarlo e ridistribuirlo.
Non c'è ALCUNA GARANZIA, nei limiti permessi dalla legge.

Scritto da Simon Josefsson.

il risultato è

$ echo CIAO | base64
Q0lBTwo=

il padding, in questa implementazione, viene fatto con o=.

Per una immagine il procedimento è lo stesso: si prendono i bytes, si raggruppano per 6, si converte nei caratteri della tabella A-Za-z0-9+/ più eventuale padding

• di zeri per arrivare ad un numero di bit multiplo di 6 e
• di caratteri per arrivare ad un numero di caratteri multiplo di 4.

Cos’è il DNS?

DNS, Domain Name System, è un sistema che permette di individuare un host collegato a Internet attribuendogli un nome univoco. Un server DNS è un host a cui si può chiedere l’indirizzo IP dell’host sapendo il nome. E’ in pratica l’elenco telefonico di Internet, ma visto che ormai gli elenchi telefonici sono roba del passato, lo assimileremo alla rubrica di Internet.

Come si fa ad arrivare a google.com?

Partiamo dall’assunzione di questo principio: i computer si connettono tra loro utilizzando numeri – indirizzi IP – , non nomi. Se dal mio smatphone devo fare una ricerca su Google, prima di tutto lo smartphone deve procurarsi l’indirizzo IP di Google. Per farlo deve prima accedere alla rubrica (DNS) che è un altro host. Ma anche di questo mi serve l’indirizzo! Ebbene, l’indirizzo del server DNS è uno dei parametri che il provider, o l’hotspot Wireless a cui mi sto connettendo, mi consegna quando mi connette a Internet (oltre al mio indirizzo IP e all’indirizzo IP del gateway – il dispositivo che mi collega a internet – c’è anche l’indirizzo di un servizio di nomi, o DNS, che mi consente di accedere alla rubrica).

Normalmente una query (cioè una interrogazione) DNS parte con un nome host e risulta in un indirizzo IP

Fondamentalmente infatti i riferimenti tra host avvengono su base numerica, come quando telefoniamo: componiamo un numero. Ma come nella pratica telefonica, anche in Internet esiste (da un certo punto della storia in poi) una grande rubrica in cui si fa l’accoppiamento tra nomi host (che servono più che altro agli umani) e indirizzi IP (che sono quelli che sono usati tecnicamente). Questa rubrica è in realtà una base dati distribuita. Vuol dire che in giro per la rete ci sono molte rubriche che vengono disseminate in copie locali quando in quella zona si fa uso spesso di certi host. Giusto per non intasare un unico “centralino”. Il protocollo DNS stabilisce come devono venire copiati e tenere aggiornati tutti gli elenchi parziali in giro per il mondo.

Interrogazione diretta

nslookup è una utility Unix che, interrogando la base dati dei nomi, restituisce la risposta:

$ nslookup www.google.com
Server: 127.0.1.1
Address: 127.0.1.1#53

Non-authoritative answer:
Name: www.google.com
Address: 216.58.205.36

Normalmente nslookup pone la domanda (la query) ad un server di default, che in questo caso è il localhost 127.0.1.1, il quale da’ una risposta non autoritativa (o non autorevole), non essendo di fatto il server che possiede davvero questo record (www.google.com); esso possiede soltanto una coppia {host;ip_address}, che è una copia di un record “ufficiale” che risiede nella cache locale.

Il record ufficiale invece si trova in un certo server che viene detto “autorevole” che è un server dello IANA che ha gli indirizzi di una certa zona

Questa organizzazione va sotto il nome di database distribuito: non esiste un unico server mondiale con dentro tutta la rubrica (nomi host; indirizzo ip), ma si tratta di tabelle disseminate presso ogni ISP (anzi, presso ogni device), con un protocollo per mantenerle aggiornate.

Possiamo anche selezionare un preciso nameserver a cui rivolgere la richiesta, specificando l’indirizzo IP (es. x.y.z.w) come secondo argomento del comando:

$ nslookup www.google.com x.y.x.w

Qualora nslookup non trovasse questo nome nella cache locale, chiede al DNS di riferimento della rete a cui il computer è connesso, il quale a sua volta può contenere nella sua cache il record e rispondere non autorevolmente oppure, in caso contrario, fare riferimento al DNS del provider, e via così finché si arriva al possessore del record. Il meccanismo di cache serve proprio ad evitare questa catena di interrogazioni ogni volta che si chiama un certo host.

Quanto detto riguarda il DNS pubblico, cioè quello di Internet. Generalmente però ogni rete locale privata ne ha uno di proprio (basta una macchina Unix con attivo il servizio iptable) che viene interrogato per tutti gli url interni, ma che può anche fare da cache per indirizzi internet richiamati dall’interno della rete privata).

Interrogazione inversa

Diverso è il discorso se stiamo cercando l’host name di una macchina di cui siamo a conoscenza dell’indirizzo IP. Questo tipo di interrogazione è una interrogazione inversa e viene chiamata rDNS (r per reverse).

A cosa mi serve una interrogazione inversa? Per esempio per sapere dove si trova “presumibilmente” l’host da cui mi stanno arrivando attacchi di forza bruta per entrare nel mio WordPress. In genere il log di accesso riporta l’indirrizzo IP dell’attaccante, per cui può essere interessante localizzarlo. Questa localizzazione è del tutto virtuale in quanto se uno accede ad un server VPN per collegarsi a Internet, vediamo l’indirizzo di quest’ultimo e non dell’attaccante vero e proprio. Analogamente se uno si collega ad internet attraverso un proxy.

Ma torniamo al DNS inverso. Il DNS inverso è controllato da chiunque sia il possessore dell’indirizzo IP. Egli può scegliere di delegare DNS inversi per un certo sottoinsieme di suoi indirizzi, cioè può scegliere di far svolgere questo lavoro ad un altro name server; il quale a sua volta può delegare un altro name server a gestire un sottoinsieme degli indirizzi IP che ha in gestione, e così via.

IANA, che è un ente internazionale per l’assegnazione di nomi e indirizzi, “possiede” tutti gli indirizzi IP di internet. In realtà IANA delega questi indirizzi IP a 5 registri regionali:

• AfriNIC (Africa),
• APNIC (Asia/Pacific),
• ARIN (North America),
• LACNIC (Latin America)
• RIPE (Europe, Middle East, Central Asia).

E questi registri delegano i loro indirizzi IP ai fornitori di accesso a dorsale e, via via, agli ISP (Internet Service Providers) fino agli utenti finali.

Dunque, su Internet, se volete controllare le query inverse sul DNS per il vostro indirizzo IP, dovete contattare il gestore che vi fornisce questo indirizzo IP e chiedergli di farvi una delega da installare nei vostri server DNS.

Per esempio se il vostro range di IP va da 1.2.3.0 a 1.2.3.255 allora la delegazione DNS inversa tipicamente si ottiene aggiungendo al vostro DNS la zona DNS “3.2.1.in-addr.arpa”.

Se dovete gestire soltanto uno oppure pochi indirizzi IP, la procedura è leggeremente diversa. Si faccia riferimento alla RFC2317 per dettagli.

Veniamo al dunque

Come si fa? c’è il comando UNIX whois che esegue questa funzione. Giusto stamattina ho bloccato un IP da cui sono arrivate in poche ore centinaia di tentativi di login:

marcob@jsbach[09:47:42]:~$ whois 5.90.148.129
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: this output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '5.90.0.0 - 5.90.255.255'

% Abuse contact for '5.90.0.0 - 5.90.255.255' is 'italy.abuse@mail.vodafone.it'

inetnum:        5.90.0.0 - 5.90.255.255
netname:        VODAFONE-IT-46
descr:          IP range assigned to VF-IT customers
country:        IT
admin-c:        VI745-RIPE
tech-c:         VI745-RIPE
status:         ASSIGNED PA
mnt-by:         VODAFONE-IT-MNT
created:        2012-06-21T13:15:25Z
last-modified:  2012-06-21T13:15:25Z
source:         RIPE

role:           Vodafone Italy
address:        Via Jervis, 13
address:        Ivrea (TO)
address:        ITALY
remarks:        ****************************************************************
remarks:        For any abuse or spamming issue,
remarks:        please send an email to:
remarks:        italy.abuse@mail.vodafone.it
abuse-mailbox:  italy.abuse@mail.vodafone.it
remarks:        ****************************************************************
remarks:        For any communication about RIPE objects registration
remarks:        please send an email to:
remarks:        IP-ASSIGN@mail.vodafone.it
remarks:        *****************************************************************
admin-c:        VIIA1-RIPE
tech-c:         VIIA1-RIPE
nic-hdl:        VI745-RIPE
mnt-by:         VODAFONE-IT-MNT
created:        2011-10-27T12:50:34Z
last-modified:  2014-01-07T13:24:38Z
source:         RIPE # Filtered

% Information related to '5.88.0.0/13AS30722'

route:          5.88.0.0/13
descr:          IP route for VF-IT customers
origin:         AS30722
mnt-by:         VODAFONE-IT-MNT
mnt-lower:      VODAFONE-IT-MNT
created:        2012-06-21T13:19:10Z
last-modified:  2015-09-14T12:22:57Z
source:         RIPE

% This query was served by the RIPE Database Query Service version 1.98 (ANGUS)

Ecco, non c’è scritto ovviamente il cognome e nome dell’attacante ma è chiaro che l’attacco sta avvenendo da un pool di indirizzi IP assegnati a Vodafone Italia.

Questo risultato è pubblico, è possibile ottenerlo sia con whois se ce l’avete installato (e in Linux c’è di default, forse anche in MacOS X) oppure potete lanciarlo anche da web (ad esempio provate il servizio DNSChecker)

[Tutta la storia su Simpledns.com]

Per cercare una stringa in un file possiamo utilizzare il comando grep:

$ cat multibox.html | grep result
Il file binario (standard input) corrisponde

come si vede però se il file è considerato come binario non ottengo informazioni utili.

Il seguente comando invece cerca le stringhe anche all’interno di un file binario:

$ strings -f *.html | grep result

file1.html: <div id="result" class="result">
file1.html: <table id="resulttable">
file2.html: <div id="result" class="result">