Newsgroup: it.news.net-abuse
Titolo: ssh attacks

Come funziona l'attacco di sopra?
Visto che sul server non ci sono siti e programmi instalalti a parte il 
sistema operativo?


Che ci provano, ci provano, ci provano e ci provano
Tanto la banda non la pagano mica loro
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 Tanto la banda non la pagano mica loro
basta filtrare la 22 rendendola accessibile solo
ai "propri" indirizzi IP oppure usare "port knocking"
per rendere visibile la 22 solo a chi "bussa" nel
modo giusto
comunque siamo OT

 modo giusto
non sono d'accordo. Molto meglio mostrare una 38, la 22 č roba da
ragazzine; ormai non la usano piů nemmeno i bambini dell'asilo...
/me fugge

 dell'asilo...
Boh, no so cosa dirti, sinceramente ...
...non so cosa farmene di una pistola (cit)

Il Wed, 4 Aug 2010 14:41:18 +0200, in it.news.net-abuse, ObiWan,
dichiarava:

ROTFL ;)


Non è OT in quanto è stata una segnalazione all'abuse
E non stanno attaccanod il mio server ma sarebbe il mio server, dove non 
c'+è niente a parte il debian, ad attaccare un server tedesco.
Unica cosa che mi sovviene è un eventuale utilizzo del telnet ma sulla 
25 SMTP che non è andato a buon fine, ma non u SSH visto che non ci 
accede nessuno.

 c'+è niente a parte il debian, ad attaccare un server tedesco.
Cioè un server tedesco si è lamentato con l'abuse del tuo provider che
la tua macchina li sta "attaccando" via ssh?
Che debian è?
Come è connessa ad internet?
Che cosa c'è di accessibile all'esterno lì sopra?
Hai qualche log di un eventuale firewall di confine?
Se non l'hai, potresti mettrelo su, e vedere se davvero è la tua
macchina che sfrucuglia i teteschi ti cermania, o se hanno preso
un'orientale residente a Canton.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


Forse č un canton in quanto č una VPS che sta per essere dismessa causa 
problematiche eccessive e pretestuose, senza nulla volere dire poi al 
tedesco.
Note: Local timezone is +0300 (EEST)
Aug  4 09:23:45 cybershells sshd[1832]: reverse mapping checking getaddrinfo
for xxxxxxxxxxxxxxxx [xxx.xxx.xxx.xxx] failed -
POSSIBLE BREAK-IN ATTEMPT!
Aug  4 09:23:45 cybershells sshd[1832]: Invalid user chan from 
xxx.xxx.xxx.xxx
Aug  4 09:23:45 cybershells sshd[1832]: error: PAM: User not known to the
underlying authentication module for illegal user chan from xxx.xxx.xxx.xxx
Aug  4 09:23:45 cybershells sshd[1832]: Failed keyboard-interactive/pam for
invalid user chan from xxx.xxx.xxx.xxx port 46698 ssh2


Release 1.6 pre-alpha (7/15/02)


Ecco un cinese ha cercato la versione di phpmyadmin presente e forse ha 
fatto un qualcosa:
IP Information - 61.50.180.1IP address:                     61.50.180.1
Reverse DNS:                    [No reverse DNS entry per 
ns.bta.net.cn
.]
Reverse DNS authenticity:       [Unknown]
ASN:                            4808
ASN Name:                       CHINA169-BJ (CNCGROUP IP network 
China169 Beijing Province Network)
IP range connectivity:          2
Registrar (per ASN):            APNIC
Country (per IP registrar):     CN [China]
Country Currency:               CNY [China Yuan Renminbi]
Country IP Range:               61.48.0.0 to 61.55.255.255
Country fraud profile:          Normal
City (per outside source):      Beijing, Beijing
Country (per outside source):   CN [China]
Private (internal) IP?          No
IP address registrar:           
whois.apnic.net
Known Proxy?                    No
Link for WHOIS:                 61.50.180.1
Mi pare sia un qualcuno che usa un proxy infatti poi cambia Ip ed un 
altro cerca il setup sempre di phpmyadmin:
IP Information - 70.36.100.242IP address:                     70.36.100.242
Reverse DNS:                    [No reverse DNS entry per 
ns3.vrtservers.net
.]
Reverse DNS authenticity:       [Unknown]
ASN:                            22439
ASN Name:                       VRTSERVERS
IP range connectivity:          2
Registrar (per ASN):            ARIN
Country (per IP registrar):     US [United States]
Country Currency:               USD [United States Dollars]
Country IP Range:               70.36.96.0 to 70.36.127.255
Country fraud profile:          Normal
City (per outside source):      Los Angeles, California
Country (per outside source):   US [United States]
Private (internal) IP?          No
IP address registrar:           
whois.arin.net
Known Proxy?                    No
Link for WHOIS:                 70.36.100.242
poi un altro cerca di caricare un judge.php facendo un get da 
216.245.205.74 sempre in USA:
IP Information - 58.218.204.110IP address: 
58.218.204.110
Reverse DNS:                    [No reverse DNS entry per 
nmc1.ptt.js.cn
.]
Reverse DNS authenticity:       [Unknown]
ASN:                            4134
ASN Name:                       CHINANET-BACKBONE (No.31,Jin-rong Street)
IP range connectivity:          1
Registrar (per ASN):            APNIC
Country (per IP registrar):     CN [China]
Country Currency:               CNY [China Yuan Renminbi]
Country IP Range:               58.192.0.0 to 58.223.255.255
Country fraud profile:          Normal
City (per outside source):      Beijing, Beijing
Country (per outside source):   CN [China]
Private (internal) IP?          No
IP address registrar:           
whois.apnic.net
Known Proxy?                    No
Link for WHOIS:                 58.218.204.110
Ed il giorno dopo ancora:
70.52.235.183 - - [04/Aug/2010:08:19:43 +0200] "GET 
/phpMyAdmin-4/scripts/setup.php HTTP/1.1" 404 474 "-" "Mozilla/5.0 
(Windows; U; Windows NT 5.1; en-US; rv:1.9.2.6) Gecko/20100625 
Firefox/3.6.6"
70.52.235.183 - - [04/Aug/2010:08:19:44 +0200] "GET 
/phpMyAdmin/scripts/setup.php HTTP/1.1" 200 3175 "-" "Mozilla/5.0 
(Windows; U; Windows NT 5.1; en-US; rv:1.9.2.6) Gecko/20100625 
Firefox/3.6.6"
58.218.204.110 - - [04/Aug/2010:08:34:23 +0200] "GET 
http://216.245.205.74/judge.php
 HTTP/1.1" 404 770 "-" "Mozilla/4.0 
(compatible; MSIE 6.0; Windows NT 5.1)"
195.243.243.4 - - [04/Aug/2010:08:40:57 +0200] "GET 
/w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 463 "-" "-"
58.218.204.110 - - [04/Aug/2010:11:46:33 +0200] "GET 
http://216.245.205.74/judge.php
 HTTP/1.1" 404 770 "-" "Mozilla/4.0 
(compatible; MSIE 6.0; Windows NT 5.1)"
58.218.204.110 - - [04/Aug/2010:15:00:10 +0200] "GET 
http://216.245.205.74/judge.php
 HTTP/1.1" 404 770 "-" "Mozilla/4.0 
(compatible; MSIE 6.0; Windows NT 5.1)"
58.218.204.110 - - [04/Aug/2010:18:10:58 +0200] "GET 
http://216.245.205.74/judge.php
 HTTP/1.1" 404 770 "-" "Mozilla/4.0 
(compatible; MSIE 6.0; Windows NT 5.1)"
64.120.177.26 - - [04/Aug/2010:20:26:59 +0200] "GET / HTTP/1.1" 200 926 
"-" "Mozilla/5.0 (compatible; Purebot/1.1; +
http://www.puritysearch.net/
)"
64.120.177.26 - - [04/Aug/2010:20:27:07 +0200] "GET / HTTP/1.1" 200 926 
"-" "Mozilla/5.0 (compatible; Purebot/1.1; +
http://www.puritysearch.net/
)"
64.120.177.26 - - [04/Aug/2010:20:27:07 +0200] "GET / HTTP/1.1" 200 925 
"-" "Mozilla/5.0 (compatible; Purebot/1.1; +
http://www.puritysearch.net/
)"
58.218.204.110 - - [04/Aug/2010:21:24:59 +0200] "GET 
http://216.245.205.74/judge.php
 HTTP/1.1" 404 770 "-" "Mozilla/4.0 
(compatible; MSIE 6.0; Windows NT 5.1)"
IP Information - 216.245.205.74IP address: 
216.245.205.74
Reverse DNS:                    
74-205-245-216.reverse.lstn.net
.
Reverse DNS authenticity:       [Could be forged: hostname 
74-205-245-216.reverse.lstn.net
. does not exist]
ASN:                            46475
ASN Name:                       LIMESTONENETWORKS
IP range connectivity:          7
Registrar (per ASN):            ARIN
Country (per IP registrar):     US [United States]
Country Currency:               USD [United States Dollars]
Country IP Range:               216.245.0.0 to 216.245.255.255
Country fraud profile:          Normal
City (per outside source):      Unknown
Country (per outside source):   -- []
Private (internal) IP?          No
IP address registrar:           
whois.arin.net
Known Proxy?                    No
Link for WHOIS:                 216.245.205.74
Ed alla fine del giorno 4 ho un certo:
75.125.198.218 - - [03/Aug/2010:22:22:30 +0200] "GET /user/soapCaller.bs 
HTTP/1.1" 404 427 "-" "Morfeus Fucking Scanner"
IP Information - 75.125.198.218IP address: 
75.125.198.218
Reverse DNS:                    [No reverse DNS entry per 
ns1.ev1servers.net
.]
Reverse DNS authenticity:       [Unknown]
ASN:                            21844
ASN Name:                       THEPLANET-AS
IP range connectivity:          6
Registrar (per ASN):            ARIN
Country (per IP registrar):     US [United States]
Country Currency:               USD [United States Dollars]
Country IP Range:               75.120.0.0 to 75.127.255.255
Country fraud profile:          Normal
City (per outside source):      Dallas, Texas
Country (per outside source):   US [United States]
Private (internal) IP?          No
IP address registrar:           
whois.arin.net
Known Proxy?                    No
Link for WHOIS:                 75.125.198.218

> non c'č niente a parte il debian
Il Debian, APACHE, PHP, MySQL,  URLproxyserver.php, PHPMyAdmin...
non parlerei di "niente", specie se quanto sopra
non č stato configurato ammodino :P

 4 penso con gli ultimi SQL e PHP e APACHE.
punto 5€ su vulnerabilità del codice PHP.
Ma te ne accorgi subito: accedendo alla macchina e elencando i processi
in esecuzione, ne avrai un TOT che non dovrebbero esserci.
Vedi con che utente stan girando, e sai come sono entrati: se l'utente è
www-data, sicuro-sicuro che son entrati da una falla di PHP.
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

> punto 5€ su vulnerabilità del codice PHP.
eeeh ma non è possibile "sul server non ci
sono siti e programmi instalalti a parte il
sistema operativo" :D
Del resto se uno installa PHP ma non lo
usa, mica è vulnerabile :D
LOL


Aiuto? ZERO!
Non ha bisogno di essere configurato se č in configurazione base... mica 
cambia niente, come dire che su windows devo configurare l'interprete 
asp o .NET

 Non ha bisogno di essere configurato se è in configurazione base... 
OK, ritenta e sarai più fortunato.

 Non ha bisogno di essere configurato se è in configurazione base...
Se permetti il francesismo, 'stocazzo.
Lì sopra dici di avere una "debian 4", distribuzione non supportata
aggiornamenti oramai da mesi e la cui versione di phpmyadmin (ad
esempio) è suscettibile ad almeno 3 buchi diversi, fissati -nella
versione 5.0- il 17 aprile:
http://www.debian.org/security/2010/dsa-2034
In assenza degli aggiornamenti della distribuzione, quindi, che hai fatto?
Ti sei premurato di installarlo aggiornato tu, dai sorgenti?
Hai patchato la versione installata per tappare i buchi=
Hai adottato configurazioni specifiche che rendano inattuabili gli
attacchi cui la tua versione è suscettibile?
Hai sacrificato una capra alla divinità pagana dei sistemisti fai-da-te?


 c'+è niente a parte il debian,...
Hai detto niente ... ragazzo hai una pistola in mano !
e guarda dove pisci cogl..


Come se io ora dovrei programmare il debian se ha dei problemi di 
sicurezza... saranno coglioni i poeti programmatori di debian?

 sicurezza... saranno coglioni i poeti programmatori di debian?
Sei pazzo? Insultare cosě il Poeta! Passi il coglione, ma dargli
addirittura del "programmatore di debina"...
Ora scusami, ma devo calcolare il CEP, gli anelli e vedere se rientro o
meno nell'area aq rischio. 

 sicurezza... saranno coglioni i poeti programmatori di debian?
Stai diventando scarso anche come troll, lo sai?
Tornando al lato tecnico, hai una distribuzione VECCHIA, vecchia
anche per essere debian (marco, visto che gancio ti ho dato?), e
non hai, di conseguenza, gli aggiornamenti di sicurezza, tra cui
alcuni bei bachetti, risolti da tempo, che ti tramutano in punto
di appoggio per qualsiasi schifezza.
Come si dice: se hai voluto la bicicletta, almeno pedala!


> Aiuto? ZERO!
Aiuto ?!? RTFM !!!
Questo gruppo è dedicato al net-abuse, non alla configurazione
dei sistemi, se hai bisogno di aiuto in tal senso spostati su (es.)
it.comp.os.linux.sys dato che qui un thread del genere è OT


non voglio essere io (umile padawan) a contraddire un maestro Jedi ma se va 
su icols a dire che c'è solo "il debian" lo mazzuolano sulle gengive


 "il debian" lo mazzuolano sulle gengive
beh... tutto serve a fare esperienza e comunque NON
è questo il gruppo adatto a discutere di come mettere
"in sicurezza" un qualsivoglia server e, considerando
che si tratta di una "debian" penso che icols oppure
it.comp.os.linux.debian potrebbero essere gruppi
appropriati

 va su icols a dire che c'è solo "il debian" lo mazzuolano sulle gengive
un po' di collutorio e passa tutto
fossi in lui mi preoccuperei di più del bruciore al culo ;-)
S.

 Hai sacrificato una capra alla divinità pagana dei sistemisti fai-da-te?
Quella con un deretano spropositato? Sacrifico tutti i giorni...

 sicurezza... saranno coglioni i poeti programmatori di debian?
Per Castore e Polluce ! Programmatore de che ? Euclide esci da quel corpo !

 Come si dice: se hai voluto la bicicletta, almeno pedala!
Inutile laganarsi del sellino che non c'è. A loro piace così.

 Per Castore e Polluce ! Programmatore de che ? Euclide esci da quel corpo !
LOL :D
-- 
SE IO MI NUTRO E TU TI NUTRI ....PERCHE FRANK SI NATRA???

Aiuto? ZERO!

EUCLIDE! ESCI DA QUESTO CORPO!
Leonardo "SP@M?!?"
-- 
The thoughts of others were light and fleeting,
Of lovers' meeting, or luck, or fame.
Mine were of trouble, and mine were steady:
So I was ready when trouble came.

 EUCLIDE! ESCI DA QUESTO CORPO!
dai, euclide farà anche errori, ma i suggerimenti li segue, questo è
peggio.
-- 
Sai che hai lavorato troppo quando...
...alzandoti vedi che la sveglia segna 8:35 e ti chiedi:
"Sì, ma PPPoA o PPPoE ?"

 peggio.
Si sta esibendo anche su it.diritto:
"Al postino ho detto di mettere le "cartoline verdi" fra le pubblicità e 
di non suonare in quanto non gradiamo di riceverle".


Se le vuoi pagare tu fa' pure.


Come detto il server è vuoto perché con problemi (vedi dicembre) e da 
allora anche se pagato fino ad agosto, gia ad apriile era tutto spostato.
Quindi ora ho eliminato l'ultimo dominio restante per l'utitily di invio 
sms (mi serviva un IP fisso) e per questo può anche muorire od essere 
hackerato, messo in black list che non me ne può fregare di meno.


Ed alllora va a programmare... TrolloZ

asp o .NET
Buona lettura.
http://www.malwarecity.com/community/index.php?showtopic=1177
-- 
Living in Barbaropoli
http://www.barbaropoli.com