Il documento fornisce un'introduzione all'OSINT, evidenziando l'importanza delle fonti open e come utilizzare vari motori di ricerca per raccogliere informazioni. Viene discusso anche l'uso di strumenti come Shodan e Nmap per eseguire scansioni di rete, descrivendo diversi tipi di scansione e i relativi comandi. Si sottolinea la necessità di operare con attenzione per evitare violazioni legali e la compromissione dei dati.

1. Introduzione all’OSINT
Ing. Simone Guarino
s.guarino@unicampus.it
guarinos@luiss.it
CyberX - Mind4Future

2. Cos'è l'OSINT?

3. Siti istituzionali
Siti web
Giornali
Repository scientifici Social network
Fonti aperte

4. • Il confine tra lecito ed illecito è molto sottile

10. • Il confine tra lecito ed illecito è molto sottile
• Attenzione alle tracce che si lasciano sul web

14. Come si
effettua una
ricerca
OSINT?

15. Motori di Ricerca
• Google e Bing: più performante per
profondità di ricerca e numero di siti
indicizzati. Le attività svolte vengono
utilizzate e cedute a fini commerciali
• Yandex: motore di ricerca russo,
molto performante per le immagini.
• DuckDuckGo: il migliore per la
privacy, non raccoglieo condivide
informazioni personali

16. Operatori di Google
“ “:
forza la ricerca sul
termine preciso. Si
usa per evitare
ricerche ambigue o
l’uso di sinonimi
AND:
frestituisce le
ricerche che
presentano
entrambe le parole
presenti nella ricerca
OR(|):
Google restituisce le
pagine che
contengono almeno
una delle keywords
inserite
*
carattere jolly,
sostituisce una
parola
-
elimina il termine
successivo dalla
ricerca
():
raggruppa le parole
e gli operatori di
ricerca. Utile per
controllare come
viene effettuata
"google (dorks OR dorking OR hacking)"
AND (explained OR tutorial OR guide)
"username * password" Linux -site:Wikipedia.org
"Google Dorks Explained" Samsung AND Apple google OR bing OR duckduckgo

17. Operatori di Google
intext/allintext:
Trova tutte le pagine
che hanno una o più
parole nel testo
filetype
restringe i risultati
ad un certo tipo di
file, ad esempio pdf,
doc, docx, etc
site:
limita i risultati a
quelli di un sito
specifico
inurl/allinurl:
trova tutte le pagine
che hanno una o più
parole nella url
intitle/allintitle:
Trova tutte le
pagine che hanno
una o più parole
nel titolo
"Budget report" filetype:pdf Linux site:Wikipedia.org
inurl:admin

18. https://www.exploit-db.com/google-hacking-database

19. Permette di vedere i
post Instagram senza
avere l'account
PICUKI/PIXWOX
https://www.pixwox.com
https://www.picuki.com

20. Ricerca di informazioni su diversi social network,
come Facebook, Twitter, LinkedIn
https://www.social-searcher.com
SOCIAL SEARCHER

21. HUNTER IO
• Consente di trovare
indirizzi email in pochi
secondi
• Digitando il dominio
elencherà tutte le
persone che lavorano in
un'azienda con i loro
nomi e indirizzi e-mail
trovati sul web
https://hunter.io/

22. Have I been pwned
• Consente di individuare se un indirizzo e-mail è stato
compromesso e di visualizzare i servizi compromessi.
• A fini OSINT si può usare per capire quali servizi vengono
utilizzati con un determinato indirizzo e-mail
https://haveibeenpwned.com

23. • Il confine tra lecito ed illecito è molto sottile
• Attenzione alle tracce che si lasciano sul web
Non si possono usare le password che si trovano in
rete

24. SHODAN
Shodan è un motore di
ricerca dedicato ai
dispositivi collegati a
internet.
Shodan indicizza i
dispositivi connessi a
Internet, invece di siti e
pagine web come fanno
altri motori di ricerca
tradizionali

26. SCANNING ATTACKS
• L’attaccante invia pacchetti verso la vittima al fine di scoprire
quali applicazioni sono in esecuzione sull’host target.
• Esistono diversi tipi di attacchi di scansione:
• SYN scan
• FIN scan
• XMAS scan
• Questi pacchetti devono essere indirizzati verso le specifiche
porte di interesse: nel caso di un web server la porta è l’80.

27. SEGMENTO TCP
• Flags di interesse:
• URG: se 1 indica che sono presenti dati urgenti in posizione Urgent pointer
• ACK: se 1 indica che il campo Acknowledgment è valido
• PSH: se 1 indica che i dati in arrivo non devono essere bufferizzati ma passati subito al livello
superiore
• RST: se 1 indica che la connessione non è valida (utilizzata in caso di errore)
• FIN: se 1 indica che l’host mittente vuole chiudere la connessione
• SYN: se 1 indica che l’host mittente vuole aprire una connessione

28. TCP: THREE-WAY HANDSHAKE
• A invia un segmento SYN a B: flag SYN=1
• B invia un segmento SYN/ACK ad A: flag SYN e ACK a 1
• A invia un segmento ACK a B: flag ACK=1
• A invia un segmento FIN a B: flag FIN=1
• B invia un segmento FIN/ACK ad A: flag FIN e ACK a 1
• A invia un segmento ACK a B: flag ACK=1

29. PORT SCANNING
• TCP connect: si stabilisce una vera e propria connessione con la vittima (che sarà
quindi loggata). La connessione viene poi subito richiusa con RST → tecnica poco
stealth. In caso di porta chiusa, la vittima risponde con RST.
• SYN scan: l’attaccante invia pacchetto SYN alla vittima che risponderà con
SYN/ACK se la porta è aperta e RST se la porta è chiusa; l’attaccante resetta
subito la connessione.
• FIN scan: l’attaccante invia pacchetto FIN alla vittima che risponde con RST se la
porta è chiusa mentre ignora il pacchetto in caso di porta aperta.
• XMAS scan: l’attaccante invia pacchetto con flag FIN, PUSH e URG attivi. Il
comportamento della vittima è come nel precedente attacco
• Null scan: l’attaccante invia pacchetto con nessun flag attivo. Il comportamento
della vittima è come nel precedente attacco

30. PORT SCANNING
TCP connect
SYN scan
FIN scan
XMAS scan
Null scan

31. Uso del tool nmap preinstallato in Kali Linux:
• nmap -sT $dest_IP$ -p $dest_port$ → TCP connect
• nmap -sS $dest_IP$ -p $dest_port$ → TCP SYN scan
• nmap -sF $dest_IP$ -p $dest_port$ → TCP FIN scan
• nmap -sX $dest_IP$ -p $dest_port$ → TCP XMAS scan
• nmap -sN $dest_IP$ -p $dest_port$ → TCP Null scan
NMAP

32. Nmap scansisce di default le 1000 porte TCP e 1000 porte UDP più utilizzate a livello mondiale*.
E’ possibile restringere il numero di porte scansite usando il campo –F (fast mode)
Principali output di nmap:
1. Open: se un’applicazione è in ascolto su una porta TCP o UDP
2. Closed: porta accessibile ma nessuna applicazione è in ascolto su quella porta
3. Filtered: non è possibile stabilire se la porta è chiusa o aperta (ad esempio per colpa di
un firewall)
4. Open|filtered: non è possibile stabilire se la porta è aperta o filtrata. Ciò avviene
quando la porta non invia risposta
*Top 1,000 TCP and UDP ports (nmap default) (nullsec.us)
NMAP

33. ESERCIZIO NMAP
• Scrivere comando per un attacco di scansione verso la porta 22 di h1
• Scrivere comando per un attacco di scansione su tutte le porte possibili
verso h2
• Scrivere comando per attacco di scansione verso porte udp di h2