Newsgroup: it.comp.sicurezza.varie
Titolo: vulnerabilità ssh?

C'è per caso una qualche distro unix o comunque con sshd che ha di default 
utenti come test oppure guest?
E` da una settimana che mi rompono le palle con tentati log che vengono 
puntualmente respinti:
Aug  6 09:31:03 dns sshd[29307]: Illegal user test from 24.100.69.192
Aug  6 09:31:03 dns sshd[29307]: Failed password for illegal user test 
from x.x.x.x port 46539 ssh2
Lo stesso con guest a tutti i server *nix che ho in rete; gli ip sono 
regolarmente dell'est (principalmente cina) e le scansioni arrivano tutte 
insieme.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 vengono puntualmente respinti:
Mi stavo domandando la stessa cosa.
E sembra che non siamo i soli:
http://forums.devshed.com/showthread.php?p=735326#post735326
Vedremo se saltano fuori notizie interessanti, se mi avanza tempo in queste
brevi ferie provo a mettere un ssh in ascolto sotto vmware, magari una
versioncina un po' vecchiotta e vedere che succede...

 utenti come test oppure guest?
AFAIK non  dovrebbe essere una  vulnerabilita`, ma piuttosto  un brute
force sulle password.
I dettagli qui:
 
http://seclists.org/lists/incidents/2004/Jul/0081.html
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 > C'è per caso una qualche distro unix o comunque con sshd che ha di

Confermo che anch'io subisco da qualche giorno questo tipo di attacco.

 
Alla faccia del brute force: 2 tentativi per login..
O era test/test oppure andava poco lontano


 O era test/test oppure andava poco lontano
Hai ragione, al massimo lo chiamerei un bruterotfl, allora.
;-)


 direi di no cercano server putty vulnerabili
Ciao marco, non penso sia cosi`. 
Quella che citi tu e` una vulnerabilita` del -client- putty, quindi
non puo` venire cercata da uno scan :-)
- In SSH2, an attacker impersonating a trusted host can launch an attack
- before the client has the ability to determine the difference between
- the trusted and fake host. This attack is performed before host key
- verification.
Quindi io modifico il mio server ssh, e se un host prova a connettersi
con putty posso eseguire codice arbitrario sulla macchina client,
prima che quella abbia verificato che sono l'host col quale tenta di
parlare.
Invece qui mi sembra stessimo parlando di scan a server ssh con
tentativi di login sull'utente guest, test, admin, user, da quanto
vedo anche nei miei log.


 una privilege excalation.
Beh... una cosa non esclude l'altra :-)
Fabio

 vincente o determinante. In altre parole tentativi copertura.
Boh, non saprei. Il "social engineering" in questi utilizzi penso sia
piu' destinato a fregare l'utonto che il sysadmin che controlla i log
di un server ssh. Inoltre, IMHO, dei tentati login con user farlocchi
sono altrettanto sospetti dei "Did not receive identification string"
a cui, peraltro, tempo addietro, si era comunque abituati a causa dei
sistemi di scanning per i survey sulle versioni di ssh installate. Mi
chiedo cosa dovrebbe cercare di nascondere il tentativo di login. Non
vorrei essermi perso qualcosa del tuo ragionamento (sono ancora sotto
fuso orario :-P).
Fabio

 captured keystrokes.
:-PPP
Bye, G.

 azz il Castoro !! E' lui, lo sapevo. :) f.d. 
sento un richiamo...non so perchè :)
-- 
Ciao, Dmitry 

 avevi la morosa hackera e non ci ha detto nulla ?
hackera, non esageriamo :)
-- 
Ciao, Dmitry 

 bene ... dove lo vedete di grazia ... so' accecato ?
Tie'... hai appena finito le ferie, te ne servono già altre? ;-P
 
http://seclists.org/lists/fulldisclosure/2004/Jul/1238.html
-- 
Bye by V.

 strano che giri su una debian vero ?
?!? si ma non capisco cosa ci azzecchi con la mia morosa... e cosa ci 
azzecchi con fatto dell'acaro ...
-- 
Ciao, Dmitry