Newsgroup: it.comp.sicurezza.varie
Titolo: Porta dubbia, qualcuno sa che e'?

Ecco cosa mi arriva ogni 2 minuti spaccati (vi risparmio tutto il log):
Jan  8 12:04:41 blackhole kernel: Packet log: input DENY eth0 PROTO=17
80.116.xxx.xx:2078 213.155.xxx.xx:2078 L=48 S=0x00 I=47628 F=0x0000 T=118
(#1) Jan  8 12:04:41 blackhole kernel: Packet log: input DENY eth0
PROTO=17 80.116.xxx.xx:2078 213.155.xxx.xx:2078 L=48 S=0x00 I=47628
F=0x0000 T=118 (#1)
Qualcuno ha una minima idea di cosa azzo sia?
Che sto qui dalle 11:48 ogni 2 minuti deve bussare e la cosa comincia a
dare fastidio...
L'ip e' di una adsl tin lite, ma dubito serva a qualcosa saperlo...
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By RedHat 7.2 (Enigma) - Kernel 2.4.7 - Ximian Gnome - Evolution

 F=0x0000 T=118 (#1)
Porta di default per le connessioni di controllo del firewall+proxy Rave 2.
Fabio

 wrote:

Ma che vuole ogni 2 minuti spaccati dalla mia vita?
Sta diventando decisamente seccante la cosa


 Sta diventando decisamente seccante la cosa
OK: ho detto una ca%%ata gigantesca. Rave 2 è un plugin per ICQ.
Sarà un problema di configurazione di 80.116.xxx.xx che ha inserito
213.155.xxx.xx invece di 213.155.xxx.xY, o qualcosa del genere. Prova a
contattarlo per dirgli del disguido e intanto droppa senza loggare.
Fabio

 F=0x0000 T=118 (#1)
In /etc/services non trovo nessun riferimento, uhm.. protocollo UDP,
stessa porta sia per sorgente e destinazione, strano davvero.. non ho
idea di cosa possa essere.
Per sicurezza
# ipchains -A input -p all -s 80.116.xxx.xx -j REJECT
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 Porta di default per le connessioni di controllo del firewall+proxy Rave 2.
Aah ecco cosa era !


> Aah ecco cosa era !
Non no. guarda il post successivo. Era una svista. Si tratta di un plugin per
ICQ.
Fabio

 80.116.xxx.xx:2078 213.155.xxx.xx:2078 L=48 S=0x00 I=47628 F=0x0000 T=118
Ciao nipotina, prova a cercare...
"WEB-CGI win-c-sample.exe access" su bugtraq (il rif.1999-0178).
Forse e' quello. Di piu' nin zo'.
Ciao Francesco.
-- 
<*> bash$ man -h  per il pinguino che non deve chiedere mai. <*>  
<*> lynx file:/usr/doc/*                                     <*>
<*> Powered By Linux on Vic20, 6KD6 32M tube array, tape Rec.<*>
 

 Ciao Francesco.
Non è che hai confuso il numero di porta con il bugtraq_id? :))
Fabio

 ICQ.
Si, ho letto..


 Non è che hai confuso il numero di porta con il bugtraq_id? :))
Ciao Fabio e...  si, toppato alla grande. 
Non ho piu' l'eta' per rispondere al volo 8-( Tnx per la segnalazione,
sei in credito  di una birra. Guardando meglio nei  meandri del mio hd
ho trovato  solo un articolo  di Davide Pezzi del  05.11.2000 (postato
proprio qui su icsv) che diceva:
----------------------------------------------------------------------
E' il  segnale che una backdoor  (non mi ricordo quale)  manda a tutti
gli iscritti nella  lista di ICQ presente sul  computer della vittima;
in questo modo il lamer di turno riesce ad avere l'ip della vittima ad
ogni sua connessione.
----------------------------------------------------------------------


 ----------------------------------------------------------------------
Da quel poco che avevo trovato su gughel avevo immaginato backdoor per
icq, ma come faccio a beccare chi e' e ad avvertirlo?
Mica so chi sono tutti quelli che ho in contact list...
PS:
Avevo icq aperto, non ha fatto una piega...
PS2:
Mica uso icq2001 della Mirabilis, IO :)


 protocollo e' UDP. ^__^
A giudicare da quanto ho trovato azarderei l'ipotesi che il traffico collegato
a questo aggeggio sia del tipo 2078/udp <-> 2077/udp mentre qui' è 2078/udp
<-> 2078/udp, come quello che dovrebbe generare quel coso per ICQ. Ma siamo
sempre nel campo delle ipotesi.
Azzardo una soluzione potenzialmente definitiva: DEl prende il suo packet
logger preferito e lo mette in ascolto sulla 2078/udp. Con tutta probabilità i
pacchetti hanno un payload che potrebbe risolvere i dubbi.
Fabio

 probabilità i pacchetti hanno un payload che potrebbe risolvere i dubbi.
Capito, devo studiarmi tcpdump o ethereal (e tra i due mi era parso piu'
semplice tcpdump :P)
O avete altre idee per cosa piazzare su quella porta per capire che
cacchio e'?
netcat?
Come lo uso?
Ok, sono lamera :P


 wrote:
Ehm...
Ragazzi, un altro...
sempre la stessa porta, cambia l'ip, sto giro e' un dial-up...
Ora ho la certezza che sia una backdoor di icq, ma continuo a non poter
avvisare la persona (tin anche questo comunque)


Ok, sono lamera :P
un pochino.
ma ti vogliamo bene lo stesso! :)
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

 ma ti vogliamo bene lo stesso! :)
Gne' :)
Glassie :)


 Mica uso icq2001 della Mirabilis, IO :)
Parli arabo 8-) Non uso icq e so vagamente a cosa serve.


 Glassie, messo all'opera, quando produco qualcosa ve lo faccio sapere :)
Ehm... defunge al primo pacchetto :(
senza nemmeno dare errore...


senza nemmeno dare errore...
uops. aggiungi un -v (o anche di piu') e spera che lo stderr o i log
ti aiutino.
Comunque, a questo punto ti consiglio vivamente di dare una occhiata
al man, perche' mi sa che qualche cosa potrei averla cappellata io me
medesimo.
Un HappyCactus con le spine basse


Potresti  provare  a  telnettarlo   sperando  che  abbia  un  servizio
E' una porta UDP, speri vanamente...


 medesimo.
Continua lo stesso a defungere, anche a dirgli di spedire /dev/urandom...
Adesso sto provando con nmap, me la da' ovviamente closed, dato che nc si
chiude alla prima connessione...
PS:
Non mi va di usare xinetd, piuttosto tiro su ethereal.


 alert udp any 2078 -> any any (msg: "That's a strange pocket for you!";)
256MB RAM + 1Ghz cpu...
Direi che ho Ethereal sul secondo workspace.
Spero non mi fuffi troppo il disco :P


 E' una porta UDP, speri vanamente...
Mi sono espresso male o sara' la laguna ghiacciata? ;-P 
Dai prova a rileggere: ..sperando che abbia un servizio accessibile..
Mica mi vorrai far dire su quali misteriose porte si trovano
questi servizi, c'e' l'invasione dei lamerozzi fetenti.
Ciao Francesco.
PS visto le faccine vero?


 senza nemmeno dare errore...
mmm io sono *parecchio* lamer e con poca memoria, da quel che
ricordo pero' mi torna in mente qualcosa riguardo al fatto che
nc compilato standard non torna il listen neppure a
chiederglielo gentilmente (-l)
ma puo' essere che la grappa al miele del babbo si piu' potente
del previsto.
-- 
nebbia

 standard non torna il listen neppure a chiederglielo gentilmente (-l)
Capi', lasciamo perdere...
Tengo Ethereal in modalita' promiscua da tre ore e sta resistendo, in
fondo... vivibile :)


 tipo con un 
Oppure basta fare uno script con 'nc -l -u -vv -p 2078 -o <log>' e
metterlo in inetd.conf, che si fa pure meno fatica.


 metterlo in inetd.conf, che si fa pure meno fatica.
Si ma comunque pare proprio che non logghi, arriva il pacchetto, si
chiude (log vuoto), si riavvia e si ripete al pacchetto successivo :(


PS visto le faccine vero?
uhm, si... nonostante gli occhi brucino per la serata passata su una
rete neurale...


 metterlo in inetd.conf, che si fa pure meno fatica.
E' che Dely ha detto di non voler mettere mano ad inetd...:-)
-- 
E' in votazione it.sociale.globalizzazione
news://it.news.votazioni

 chiude (log vuoto), si riavvia e si ripete al pacchetto successivo :(
Strano: io ho testato e loggava.


 alert udp any 2078 -> any any (msg: "That's a strange pocket for you!";)
eheheh...hai gia' scoperto le gioie di resp e react? <g>


 senza nemmeno dare errore...
Bene, vuol dire che funziona correttamente.
... aah, forse tu volevi che rimanesse in ascolto? :))
Beh, questo è uno dei pochi casi in cui il port su piattaforma microsoft di un
qualchecosa è meglio dell'originale per *nix. Nella versione per windows puoi
fare
nc -l -p <porta> -L
                ^^^^
e lui si riavvia al termine della sessione (cool, eh?).
Ma perchè vuoi complicarti la vita con netcat? Che so', un bel:
~$ nohup tcpdump -i eth0 -ax udp and port 2078 > /tuo/file &
non mi sembra difficile.
Fabio

>senza nemmeno dare errore...
Allora, ho provato giusto ora: effettivamente se lo metto in inetd.conf
anche a me da' problemi (ho usato il telnet quindi commentando la linea
con relativo 'killall -HUP inetd' ed uno script IN.TELNETD in /usr/sbin)
La riga di comando e'
nc l -vv -p 23 -o /tmp/LOG
fuori da inetd funziona:
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
< 00000000 ff fd 03 ff fb 18 ff fb 1f ff fb 20 ff fb 21 ff # ........... ..!.
< 00000010 fb 22 ff fb 27 ff fd 05                         # ."..'...
< 00000018 70 69 65 72 0d 0a                               # pier..
< 0000001e 63 69 61 6f 20 73 6f 6e 6f 20 70 69 65 72 0d 0a # ciao sono pier..
< 0000002e 69 6c 20 70 61 64 72 6f 6e 65 20 64 65 6c 20 74 # il padrone del t
< 0000003e 75 6f 20 50 43 0d 0a                            # uo PC..
< 00000045 73 61 6c 75 74 61 6d 27 61 20 73 6f 72 65 74 61 # salutam'a soreta
< 00000055 0d 0a                                           # ..
< 00000057 ff ec                                           # ..
< 00000059 ff ec                                           # ..
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
dentro da' "hostname lookup failure"


 comunque il dubbio ... perche' a lei? Qualche Lamer spagnolo l'ama ?
No, i due che hanno "bussato" ieri erano una adsl tin (80.116.251.0) e un
dial-up, sempre tin.
Ho letto anche io di quel coso spagnolo, non ricordo granche' ma mi
sembrava inerente alla cosa...
Oggi ancora nessun ping, nc non logga e dato che sto scaricando in ftp
ethereal non lo tiro su (non sono capace a settare i filtri per il
capture :P)


 
Anche perche' ho xinetd, oddio, non che sia difficile da mettere su (devo
solo creare un file e modificarlo opportunamente), pero' preferirei
evitare, prima che mi dimentico di toglierlo :P
E poi, comunque, non logga (a parte quando gli ho messo un /dev/urandom
in pipe, che puo' dipendere dal fatto che nmap non manda nulla per
testare la connessione)


 E' che Dely ha detto di non voler mettere mano ad inetd...:-)
Uhm de gustibus.. e' cosi' semplice farlo da li'
thorin che "nowait serve proprio a questo"


 ~$ nohup tcpdump -i eth0 -ax udp and port 2078 > /tuo/file &
Perche' non ho mai capito un kaiser dal man di tcpdump :P
Comunque mo' lo tiro su (altro terminale, altro regalo :))) )
[uff, mi funziona solo da root, che stress :P]


 nc -l -p <porta> -L
Dovrebbe bastare il -L


> Dovrebbe bastare il -L
Yez. Spiacente per la svista.
Comunque ho provato e si rimette in ascolto anche con -l -L :)
Fabio

 rete neurale...
Caspita, ecco un'altra cosa  interessantissima! Quando inventeranno le
giornate di 48 ore 8-(
Ciao Francesco.


Perche' non ho mai capito un kaiser dal man di tcpdump :P
Reminiscenze di una che Linux non lo usa da tanto tempo: ma se
schiaffi su xinetd, non fai prima? Ti eviti anche di mettere tcpd...

 schiaffi su xinetd, non fai prima? Ti eviti anche di mettere tcpd...
In effetti non capisco come certa gente ama complicarsi la vita :)
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509