Newsgroup: it.comp.sicurezza.varie
Titolo: Ma se l'IP è dinamico...

Ragazzi, non mi è chiara una cosa. (E qui forse farò la domanda più stupida
del secolo!!!!)
Se l'IP che contraddistingue la mia connessione in rete è dinamico (perchè
sono dinamici, non è vero?) è possibile che qualcuno che ce l'abbia con me,
ogni volta che mi riconnetto riesca a riconoscermi in rete?
Come fa? (spero di essere stato chiaro!)
Altra domanda: Nuke Nabber mi da questa stringa (proprio solo questa, a
parte le classiche che compaiono con l'avvio e la chiusura)
:
[01/16/1999 15:02:40.980 GMT+0100] UDP from address 
a-ao3-11.tin.it
(212.216.68.10) remote port 0 local port 31337.
[01/16/1999 15:02:40.980 GMT+0100] ÎcÑÒ ç Ï9¥¥†²uK™ª2 øm
cosa significa? Mi devo preoccupare? Se la risposta è si, cosa posso fare?
Grazie a tutti anticipatamente!
Spok

ogni volta che mi riconnetto riesca a riconoscermi in rete?
Puo' riuscirci.Come? Molto semplice.Probabilmente tu ti connetterai
sempre tramite lo stesso pop.Questo puo' assegnarti un determinato
range di ip che in generale non e' molto ampio.Diciamo che ,sempre
generalizzando,il tuo ip variera' da xxx.xxx.xxx.000 ad
xxx.xxx.xxx.255.Nella pratica l'escursione puo' essere ' minore.Se poi
tu usi un sistema operativo che non sia winzozz ,la tua individuazione
e' ancora piu' facile.Basta che tramite un apposito programma (queso)
interroghi il tuo s.o. e sapra' che ad es.usi linux.Se poi quando ti
connetti ,hai abitualmente alcune particolarita',ad es. un wingate
aperto,un server ftp,o altro ecco che allora la tua individuazione e'
ancora piu' facile.Io ad es. individuo sempre unhost che si collega da
un piccolo pop che ha la caratteristica di avere un server ftp sempre
aperto con ditti di root su tutto il filesystem.Ciao!


No, non devi preoccuparti, è un semplice ping di qualcuno che cerca dei boservizzati.
The Duke

ogni volta che mi riconnetto riesca a riconoscermi in rete?
Se hai una backdoor che appena ti colleghi urla via rete "Sono qui, sono
io, sono la backdoor SPOK-01-TIN, venite e fate di me cio' che volete".
Ma la becchi con NETSTAT, AVPSW, NOBO, NETBUSTER, e un casino di altri e
piu' efficienti programmi (--> 
www.debian.org
 ;-) ).
Oppure, non e' vero che ce l'hanno con te; magari e' uno che bombarda in
sequenza il tuo ISP, e appena ti colleghi ti pinga. Ma non sa che sei tu
specificamente.
Leonardo
".signature": bad command or file name

|[01/16/1999 15:02:40.980 GMT+0100] UDP from address 
a-ao3-11.tin.it
|(212.216.68.10) remote port 0 local port 31337.
Ancora ?
Ma c'è ancora gente che fanno di queste cose ? haaaaaa forse gli ultimi
arrivati che chiedono ... ( cosè BO ? .... ris: è un aggeggio che ti fa
questo quello ......    hooo !!!!!!!! lo scarico subito )
|[01/16/1999 15:02:40.980 GMT+0100] ÎcÑÒ ç Ï9¥¥†²uK™ª2 øm
|
|cosa significa? Mi devo preoccupare? Se la risposta è si, cosa posso fare?
Ti devi preoccupare che ci sono ancora troppi BAMBOCCI in rete ...

 essere minore.
Confermo, sigh...
Ho dato un'occhiata al mio registro delle connessioni ed ho notato che
spesso e volentieri TIN mi assegna lo stesso IP...
© Enrico!
http://enricopiralli.freeweb.org
 - 
http://space.tin.it/io/vpirall
(il dominio e-mail corretto è 
aspide.it
)  

No, non devi preoccuparti, è un semplice ping di qualcuno che cerca dei boservizzati.
io stringhe del genere le vedevo solo quando provavo i vari nuke su
local host.
se si viene pingati non dovrebbe comparire solo scritto ping?
fritz

se si viene pingati non dovrebbe comparire solo scritto ping?
il ping di BO non e' un PING classico. Non e' ovvero un ICMP ECHO REQUEST.
Per analogia cerca un BO alive, non un PC. Per questo viene cmq chiamato ping.
In realta' e' una stringa in hash mandata sulla porta remota del bersaglio
mediante UDP (mi sembra) per testarne la risposta. Ecco che quel campo potrebbe
contenere la stringa di query.
invy

local host.
Tu provavi a nukare qualcuno con un protocollo UDP? Sei un mago!!!
Al limite con UDP puoi fare un data-flood non certo un nuke!!
The Duke

Al limite con UDP puoi fare un data-flood non certo un nuke!!
 se po' ..se po'.. eccome se se po'! ;-)

Al limite con UDP puoi fare un data-flood non certo un nuke!!
come mai? cosa serve un controllo tipo quello disponibile con il TCP?
mica si dovrebbero inviare solo pacchetti strani?
Gia' che ci sono, i tre log seguenti indicano che c'e' stato davvero
un tentativo di nuke o qualcuno di questi e' un fake, cioe' un
programma che manda una stringa (es: "DIE" mandata da winnuke) e
basta, senza cercare di impastare il sistema?
Divine Intention:
[01/18/1999 23:12:43.810 GMT+0100] Connessione: 127.0.0.1 sulla porta
139 (tcp).
[01/18/1999 23:12:44.190 GMT+0100] " Quoth the Raven, 'Nevermore!' 
Project   aka   R.A.S.:
[01/18/1999 23:13:43.730 GMT+0100] Connessione: 127.0.0.1 sulla porta
139 (tcp).
[01/18/1999 23:13:43.950 GMT+0100] t=3–‰ c¬
 o.\jýh+ ¯¯ÅàR Ø>; 3 ;üXíÐV§ž“• |ì"ï¼¦!Ê·ã  ûv@´àÌæ>$Æ:y2;’±3
h ýÅõY‚ë¦4Ya–wz àÙW tµÓ_©TÖIä€pÃß‚ÙÞƒ·¸šdkt{5©‘3æ!G 2aàn»ö‰H(DŸ ½ § iÿ 8Mlö-Æ ØV{º ßÞº b Þ÷}}«‹Æ_d* ö û×B„ 
:”a4é!èÿŸú  ¼M‹H $¹ÃTpëƒ:öÐýÑçqwÅ!WŒ…K&Ùè[ Ôâ0¬3
= ‚ÇŽ
Ç8œW< ¢@™|„vmvo¶zÓº
[01/18/1999 23:13:44.000 GMT+0100] Disconnessione: 127.0.0.1 sulla
porta 139 (tcp).
WinNuke:
[01/18/1999 23:16:30.210 GMT+0100] Connessione: 127.0.0.1 sulla porta
139 (tcp).
[01/18/1999 23:16:30.370 GMT+0100] DIE
[01/18/1999 23:16:30.370 GMT+0100] Disconnessione: 127.0.0.1 sulla
porta 139 (tcp).
grazie.
fritz

Al limite con UDP puoi fare un data-flood non certo un nuke!!
# grep -l "_UDP" /usr/src/exploit/*.c
/usr/src/exploit/boink.c
/usr/src/exploit/nestea.c
/usr/src/exploit/sendudp.c
