Newsgroup: it.comp.sicurezza.varie
Titolo: Help: che diavolo è?

Ho ricevuto circa un centinaio di questi messaggi dal mio server di posta. E
in poche ore... Aggiungo non che non mi era mai successo prima...
Naturalmente non ho un server irc installato.
Cosa cercava di fare questa gente? L'IP di provenienza segnalatomi dal
server è sempre lo stesso. Anzi, alcuni messaggi venivano da un altro IP
sempre di libero, poi è cambiato. Probabilmente il tipo si è disconnesso e
poi si è riconnesso...
Questo è il testo del messaggio
----------------------------
Transcript of session follows.
 Out: 220 
mail.radel.yi.org
 ESMTP Postfix
 In:  HELO oemcomputer
 Out: 250 
mail.radel.yi.org
 In:  RSET
 Out: 250 Ok
 In:  MAIL FROM: <>
 Out: 250 Ok
 In:  RCPT TO: <
maur...@62.98.100.148
 JOIN :#bisex>
 Out: 554 <maur...@62.98.100.148JOIN:#bisex>: Recipient address rejected:
     Relay access denied
Session aborted, reason: lost connection

 Session aborted, reason: lost connection
drop

barbun <____b...@hotmail.com.invalid> wrote in message
20010901.180954...@paperopoli.313...

Scusa, ma sono un pochino permaloso (so che è un difetto, ma che ci vuoi
fare?).
So leggere!!!
Quello che volevo sapere è se qualcuno conosce quell'exploit o che cavolo
cercavano
di fare i due tizi in questione.
Io la rfc dell'smtp me la sono letta! Mi mancano le estensioni....
Radel

 So leggere!!!
e io che ne so? visto che c'erano anche parti non sospette ho pensato non
conoscessi i comandi smtp (mica e' grave!)
visto che "mauro_030" rispetta i limiti dei nick di irc e gli utenti
appaiono come nick@reverseip o nick@ip (se non c'e' il reverse) immagino
tentassero di entrare nel canale #bisex. osservo che mancano indicazioni
per il server quindi dubito che dall'altra parte ci fosse chissa' che
hacker

    <-- 2 scelta
->NON ABUSARE gli "abuse desk", segnala solo lo spam e il vero netabuse<-      

E` davvero  possibile una  cosa   del  genere?
La parte dell'IP spoofing e' facilissima - sempre che non ci sia egress
filtering di mezzo - perche' lo spammer ha accesso pieno ad entrambe le
interfacce, diciamo ppp0 e ppp1.
Non capisco pero' COSA ci guadagni con questo sistema. In pratica l'ISP
vede arrivarsi una connessione legittima dal ppp0 di un suo IP, ma alla
velocita' di ppp1.
	PPP1 (127.0.0.1) -> [From 192.168.1.1 SYN] --> ISP
	PPP0 (192.168.1.1)    <- ACK -------------------+
...sarebbe un "Bellovin facilitato" 8-D
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 wrote:
(ripensandoci)
...se l'ISP ha un dialup in rate limiting, diciamo 56K, 'enforced' sul TS,
e se ne fida, e il SMTP server e' ad accesso libero _dalla rete dialup_ ma
non ha rate limiting, allora lo spammer puo' usare il dialup come se fosse
un passepartout, e sparare mer^Hdati via ADSL. Astvto.


 un passepartout, e sparare mer^Hdati via ADSL. Astvto.
oppure puo`  spammare diettamente da   un server smtp  locale, tattica
molto   usata dagli spammer   da  quando si  e`  diffusa una  maggiore
sorveglianza   dei  server smtp legittimi.  Pensa   che  quando AOL ha
adottato il blocco della  porta 25 sui propri dialup  lo spam di uunet
e`  sceso di un fattore 10  da un giorno  all'altro. Il problema degli
spammer adesso e` proprio quello di aggirare il  blocco sulla porta 25
sui dialup che ormai  i maggiori ISP  hanno adottato, per cui l'ultimo
grido in fatto  di junk mailing e` l'uso  dei socks aperti e  a quanto
pare questo tipo di spoofing.


 sorveglianza   dei  server smtp legittimi.  Pensa   che  quando AOL ha
aggiungo, ovviamente   preservando  la sua connessione   veloce  dalle
proteste degli utenti spammati in quanto  queste si riversano sull'ISP
del dialup usa  e getta.


filtering di mezzo - perche' lo spammer ha accesso pieno ad entrambe le
Leo, scusa l'ignoranza: cosa si intende per egress filtering?
-- 
BlueRaven
Scrivi su USENET? Allora:
# kill -HUP html_posting && modprobe quoting.o

in poche ore... Aggiungo non che non mi era mai successo prima...
Mi e' successa una cosa simile, qualche tempo fa.
Il problema e' risultato essere un mio utente che frequentava le chat e
aveva, ovviamente senza saperlo, Hybris.
In pratica, il simpatico virus intercettava i join degli altri utenti sul
canale e tentava di autoinviarsi all'indirizzo nick@host.
Naturalmente, la consegna non andava a buon fine e il messaggio faceva un
bel double bounce, arrivando a me (postmaster).
Non mi sembra esattamente il tuo caso, ma il "modus operandi" e' simile.
Probabilmente, la diagnosi esatta e' quella del buon Carlo.


 Leo, scusa l'ignoranza: cosa si intende per egress filtering?
Il filtraggio dei pacchetti in uscita, sulla base dell'indirizzo
sorgente del pacchetto.
Ad esempio, un border router di una rete 
198.162.0.0/16
 filtra i
pacchetti con sorgente non proveniente da 198.162.0.0.
-- 
Ciao!
HappyCactus

Leo, scusa l'ignoranza: cosa si intende per egress filtering?
Che io sono un ISP, e do ai miei clienti indirizzi IP dinamici nel range
192.168.0.x con x=1..254 (sono un ISP molto povero).
A questo punto, installo un firewall che controlla i pacchetti *USCENTI*
(egress), e verifica che appartengano al range regolare.
Appena tenti di mandare a qualcuno un bel DOS con SourceIP=127.0.0.1, un
classico, il firewall rompe le scatole a me, ed io ...
Leonardo stendente un sudario pietoso


Leonardo stendente un sudario pietoso
Brutto spettacolo, i cadaveri dilaniati...
Grazie per la spiegazione, a te e a HappyCactus.
