Newsgroup: it.comp.sicurezza.varie
Titolo: Ma guardate sto picio ;-)

Ero in consolle tranquillo quando un bel LOG del firewall mi si pianta
davanti. Come da routine nslookup per vedere chi e`, e sempre da routine
nmap per scoprire il SO (se ha *nix mi preoccupo, se ha windoze resto
tranquillo)... 
matteo@mat~$ nslookup 61.219.90.189
Server:  mat.penguin
Address:  192.168.1.1
Name:    
61-219-90-189.hinet-ip.hinet.net
Address:  61.219.90.189
Il successivo nmap -sS mi rivela che il tizio usa linux, e ha un
infinita` di porte aperte, linuxconf, telnet, ftp, http e chi piu` ne ha
piu` ne metta. Ecco qua il log ;-)
Starting nmap V. 2.54BETA22 ( 
www.insecure.org/nmap/
 )
Interesting ports on 
61-219-90-189.hinet-ip.hinet.net
 (61.219.90.189):
(The 1527 ports scanned but not shown below are in state: closed)
Port       State       Service
21/tcp     open        ftp
23/tcp     open        telnet
79/tcp     open        finger
80/tcp     open        http
98/tcp     open        linuxconf
113/tcp    open        auth
139/tcp    open        netbios-ssn
513/tcp    open        login
514/tcp    open        shell
12345/tcp  filtered    NetBus
12346/tcp  filtered    NetBus
27665/tcp  filtered    Trinoo_Master
31337/tcp  filtered    Elite
32773/tcp  filtered    sometimes-rpc9
54320/tcp  filtered    bo2k
Nmap run completed -- 1 IP address (1 host up) scanned in 34 seconds
Ecco, ha tutta l'aria di essere un installazione di default, e quindi
che il lamerozzo sia proprio lamer, e che non debba temere nulla.
Ecco quindi che per accertarmene, faccio ``links 61.219.90.189'' e
guarda caso mi fa accedere ( LOL ) alla pagina di default di apache. [1]
Vabbe, scoperto chi era il lamer che mi rompe i coglioni alle 5 di
mattina, per non farmi inutili problemi, mi sconnetto e riconnetto, ecco
che dopo due minuti mi viene a trovare di nuovo lui. Il nslookup non
sbaglia, e mo questo mi fa pensare ad un suo scanning su tutta la mia
subnet, perche` non puo` avermi "ritrovato" in due minuti, dal momento
che l'unica mia attivita` era un download ftp da sourceforge. Il *primo* 
mio IP infatti era 62.122.96.230, il *secondo* invece 62.122.98.82 .
Vabbe mo voglio capire che problemi ha questo, rivai di nmap -O (sta
volta), per saperne di piu`.
Starting nmap V. 2.54BETA22 ( 
www.insecure.org/nmap/
 )
Interesting ports on 
61-219-90-189.hinet-ip.hinet.net
 (61.219.90.189):
(The 1025 ports scanned but not shown below are in state: filtered)
Port       State       Service
20/tcp     closed      ftp-data
21/tcp     open        ftp
80/tcp     open        http
443/tcp    closed      https
1024/tcp   closed      kdm
1025/tcp   closed      listen
[..cut]
65301/tcp  closed      pcanywhere
Remote operating system guess: Linux 2.1.122 - 2.2.16
Uptime 18.965 days (since Sat May 26 06:01:07 2001)
Nmap run completed -- 1 IP address (1 host up) scanned in 599 seconds
Ops, se nmap non erra ha un uptime di 19 giorni, forse cosi` niubbo non
era.... o forse erano 19 giorni che faceva portscanning rompendo i
maroni...
Ora quello che vi chiedo e`, che ne pensate? Chi era costui? Un
lamerozzo o che?
[1] Se io ho usato links per vedere cosa aveva nel server web, ho fatto
qualcosa di non-legale? Tanto per sapere ;-)
Ciao, `matte.
ps: nota bene: il nslookup & portscanning lo faccio sempre quando
qualcuno mi rompe, ma per farne un identikit, e decidere se lasciar
perdere o sconnettermi/riconnettermi. Non mi diverto certo a
portscannare ;-))
-- 
err: signature too big

piu` ne metta.
Tipico. Sfortunatamente c'e' un sacco di min^Wcogl^Wid^Wneo-informatici
che installano Linux perche' fa figo, Red Hat perche' e' facile, usando
il wizard e dicendo "Si', sii', installami tutto! Ancooora!", e partono
baldanzosi alla conquista di Internet.
In teoria uno script (illegale) che si connetta, prelevi nome e cognome
da Netscape e mandi una mail interna (da root a $LAMER) chiamandolo col
nome e cognome e dicendo di piantarla, compie autentici miracoli.
Leonardo
-- 
FORSE un virus? Accertatene! 
http://www.avp.it/
         ADOTTA ANCHE TU
Curiosita'? Prova a CERCARE! 
http://www.google.com/
              QUESTA
Informazioni utili:          
http://members.nbci.com/gouldukat
     SIGN
MAIL anonima, allegato .EXE? 
http://www.google.com/search?q=hybris
  :-)

 nome e cognome e dicendo di piantarla, compie autentici miracoli.
Interessante ;-))
Ciao, `matte.



ma se usa linux, tutti sti server maledetti dove li ha presi? wine? sono
dei fake (cat /dev/zero | nc -l -p ...)? mah!
ciao
-- 
maruko.cjb.net
 - Seti@Home applets
Designed for Windows 
Powered by Linux

 65301/tcp  closed      pcanywhere
[...]
Non sono un'aquila in queste cose, ma... scusa,
pcanywhere con Linux??
Non è solo per Win e dintorni?
E che stava tentando di fare con quel programma?
Di trovare qualcuno che gli dicesse: "accomodati
pure, lavora dal mio pc che son contento..."?
--
Bye by V.

 dei fake (cat /dev/zero | nc -l -p ...)? mah!
Che siano filtrate non significa che ci sia il server ...
Anche io ho dei DROP su porte strane, lo so che in pratica non serve a
nulla ma chissa', magari il firewall della sua distro (RH) lo imposta
cosi` automaticamente? BHo... Fossero dei fake perche` filtrarli? Lo
scopo e` di far entrare la gente, no? ;-)
Ciao, `matte.


 Non č solo per Win e dintorni?
Si, ma quello e` un report di nmap, nmap ha provato a vedere se c'era
qualcosa su quella porta (che lui associa a pcanywhere), e l'ha trovata
closed (cioe` non c'era nessun server) chiaramente.
Se nmap riporta closed la porta non c'e`, se riporta filtered e` chiusa
dal firewall, se riporta open e` aperta. Non sono sicuro al 101%, non e`
che me ne intenda moltissimo, ma dovrebbe essere cosi`.
Ciao, `matte.


scopo e` di far entrare la gente, no? ;-)
mmh, forse filtra per altre macchine per cui fa nat/pat. va beh..


 subnet, perche` non puo` avermi "ritrovato" in due minuti, dal momento
Non solo sulla tua subnet, almeno 
62.0.0.0/8
. Il tipo si trastulla :-)
quasi cinque ore prima aveva suonato anche alla mia porta 21
Jul 14 00:12:18 localhost kernel: Packet log: input DENY ppp0 PROTO=6 
61.219.90.189:21
 
62.11.157.111:21
 L=40 S=0x00 I=3897 F=0x0000 T=98 SYN (#62)
Certo che di tipi strani č piena la rete.
A parte i soliti lamerozzi, ieri sera, dopo una breve vacanza,
č ritornato uno che da una flat di galactica ogni sera bussa diverse
volte alla 1268, chissa cosa cerca? Un giorno o l'altro glielo domando!
Jun 14 23:33:29 localhost kernel: Packet log: input DENY ppp0 PROTO=6
62.122.64.64:3978
 
62.11.162.80:1268
 L=48 S=0x00 I=29014 F=0x4000 T=119 SYN (#62)
Saluti.
-- 
Saluti,       |   *Mal di testa da configurazione?  Con Debian ti passa.*     
     Gianni   |   _+++ Debian Gnu/Linux unstable - kernel 2.4.5-1 +++_

 volte alla 1268, chissa cosa cerca? Un giorno o l'altro glielo domando!
Solo alla 1268 ? Maa.... ci e` o si fa ? ;-)
Ciao, `matte.


 
Ma non è la porta che le asus usano per l'update dell'antivirus nel bios?
Radel

  54320/tcp  filtered    bo2k
Bazzecole, guarda questo (fresco di contro-scan):
Interesting ports on  (61.143.127.86):
(The 1506 ports scanned but not shown below are in state: closed)
Port       State       Service
7/tcp      open        echo                    
9/tcp      open        discard                 
13/tcp     open        daytime                 
19/tcp     open        chargen                 
21/tcp     open        ftp                     
23/tcp     open        telnet                  
37/tcp     open        time                    
79/tcp     open        finger                  
80/tcp     open        http                    
111/tcp    open        sunrpc                  
512/tcp    open        exec                    
513/tcp    open        login                   
514/tcp    open        shell                   
515/tcp    open        printer                 
540/tcp    open        uucp                    
600/tcp    open        ipcserver               
1103/tcp   open        xaudio                  
1999/tcp   open        tcp-id-port             
4045/tcp   open        lockd                   
6000/tcp   open        X11                     
6112/tcp   open        dtspc                   
7100/tcp   open        font-service            
12345/tcp  filtered    NetBus                  
12346/tcp  filtered    NetBus                  
27665/tcp  filtered    Trinoo_Master           
31337/tcp  filtered    Elite                   
32771/tcp  open        sometimes-rpc5          
32772/tcp  open        sometimes-rpc7          
32773/tcp  filtered    sometimes-rpc9          
32774/tcp  open        sometimes-rpc11         
32775/tcp  open        sometimes-rpc13         
32776/tcp  open        sometimes-rpc15         
32777/tcp  open        sometimes-rpc17         
32778/tcp  open        sometimes-rpc19         
32779/tcp  open        sometimes-rpc21         
54320/tcp  filtered    bo2k                    
[...]
SInfo(V=2.54BETA22%P=i586-pc-linux-gnu%D=6/16%Time=3B2B9693%O=7%C=1)
[...]
Uptime 15.622 days (since Fri Jun  1 04:29:32 2001)
Immagino un kernel 2.4 su un pentium liscio
Ciao, Andrea
-- 
Andrea Carosi, just another linux user on a Debian woody

 Port       State       Service
[..cut]
Non male ;-)
Ciao, `matte.


1103/tcp   open        xaudio
Tu sai cosa fare, vero?
Leonardo "ERO SU INTERNET KUANDO IL PC MI A(sic) PARLATO!!!"


 Leonardo "ERO SU INTERNET KUANDO IL PC MI A(sic) PARLATO!!!"
mauahha ;-))
Ciao, `matte.


  Leonardo "ERO SU INTERNET KUANDO IL PC MI A(sic) PARLATO!!!"
cat /home/ac/cugini-di-campagna.wav | nc -p 1103 61.143.127.86 (?)[1]
[1] Mi ricorda tanto il fortune "ho fatto cat /boot/vmlinuz > /dev/audio
e credo di aver ascoltato dio"
Ciao, Andrea
-- 
Andrea Carosi, just another linux user on a Debian woody
Every absurdity has a champion who will defend it.

 Leonardo "ERO SU INTERNET KUANDO IL PC MI A(sic) PARLATO!!!"
Synth voice ON
Questo computer si autodistuggerà fra 10 secondi...9...8...7...
Synth voice OFF
Saluti
Lella e le vocazioni lamer