Newsgroup: it.comp.sicurezza.varie
Titolo: chiarimento su interpretazione log..

Salve.. dopo tanto tempo posto nuovamente un estratto dei log delle mie
macchine perchè non ci ho capito molto..
come firewall uso Smoothwall, ed oggi, nel log di Snort trovo:
Date: 04/14 17:15:02
Name: FTP Bad login
Priority: 2
Type: Potentially Bad Traffic
IP Info: 
10.0.0.1:21
 -> 
216.248.175.2:3659
Refs:
quello che è strano è che l'entry è unica.. allora vado a vedere il log
della macchina che è in dmz ed espone il server ftp..
ecco il log:
<quote1>
Apr 14 14:20:00 dmz CROND[24213]: (root) CMD (   /sbin/rmmod -as)
Apr 14 14:30:00 dmz CROND[24215]: (root) CMD (   /sbin/rmmod -as)
Apr 14 14:40:00 dmz CROND[24218]: (root) CMD (   /sbin/rmmod -as)
Apr 14 14:50:00 dmz CROND[24220]: (root) CMD (   /sbin/rmmod -as)
Apr 14 15:00:00 dmz CROND[24223]: (root) CMD (   /sbin/rmmod -as)
Apr 14 15:00:03 dmz ftpd[24221]: lost connection to
node26.fsip.execulink.com
 [209.239.12.91]
Apr 14 15:00:03 dmz ftpd[24221]: FTP session closed
Apr 14 15:01:00 dmz CROND[24225]: (root) CMD (run-parts /etc/cron.hourly)
</quote1>
non mi è chiaro cosa sia successo.. se non interpreto male, qualcuno
(209.239.12.91) ha contattato la mia macchina ma prima ancora di iniziare la
procedura di login (!?) la connessione è caduta (ah.. il mio server non
accetta login anonimi..)
più sotto trovo:
<quote2>
Apr 14 17:10:00 dmz CROND[24274]: (root) CMD (   /sbin/rmmod -as)
Apr 14 17:14:26 dmz xinetd[24275]: identd server reply missing ending CR-LF
Apr 14 17:14:27 dmz ftpd[24275]: ACCESS DENIED (not in any class) TO
mail.cashmartonline.net
 [216.248.175.2]
Apr 14 17:14:27 dmz ftpd[24275]: FTP LOGIN REFUSED (access denied) FROM
mail.cashmartonline.net
 [216.248.175.2], ftp
Apr 14 17:14:27 dmz ftpd[24275]: FTP session closed
Apr 14 17:20:00 dmz CROND[24277]: (root) CMD (   /sbin/rmmod -as)
</quote2>
in questo caso il signor 216.248.175.2 ha tentato il login ma (meno male)
non si è loggato..
noto però la linea "..xinetd[24275]: identd server reply missing ending
CR-LF" e non capisco..
chiedo quindi lumi ed, eventualmente, riferimenti..
TIA
saluti
--
Stefano Zamboni 
sz...@libero.it
Seconda legge di Scott:
Quando si trova e si corregge un errore, si vedrà che andava meglio prima.

 Apr 14 17:14:27 dmz ftpd[24275]: FTP session closed
Ci hanno provato ma... ciccia, come dici anche tu. L'indirizzo sorgente e'
un server di cashmart, probabilmente craccato, che ora viene usato per le
scansioni da parte di qualche warez d00dz. In questi casi io scrivo ad un
contato amministrativo legato al dominio da cui proviene il traffico e in
quasi tutti i casi la collaborazione viene apprezzata.
Temo che con un server ftp pubblico di 'sta roba ne vedrai parecchia.
Fabio
[1] terribile

 Il tuo server ftpd interroga il client via ident ma il client ident remoto
s/ftpd/xinetd/
s/client\ ident/server\ identd/
Fabio un po' piu' preciso


ciao, ti ringrazio per le risposte e mi scuso se riesco a farlo solo ora..
Saluti
--
Stefano Zamboni 
sz...@libero.it
Leggi di Manubay per i programmatori:
1) Se la modifica di un programmatore a un programma esistente funziona,
probabilmente non era quello che voleva il cliente.
2) Il cliente non sa quello che vuole, ma sa quello che non vuole.