Newsgroup: it.comp.sicurezza.varie
Titolo: Output Conseal

Salve a tutti ,
durante una connessione al mio ISP, il logfile di Conseal ha loggato
quanto segue (PREMESSA: sul mio PC era installato un NOBo in ascolto
sulla porta 31337)
Blocking incoming UDP: src=208.195.228.60 (IP dello sconosciuto),
dst=212.216.20.227 (il mio IP dinamico),
sport=38161, dport=13685 (la mia porta in ascolto).
Questo messaggio era ripetuto 60 volte. Cos'è successo esattamente? Si è
trattato di un attacco DoS?
Perchè sulla mia macchina era in ascolto la porta 13685?
Inoltre, una volta chiusa la connessione, l'output di netstat -na
riportava le seguenti porte in stato listening:
Proto          Indirizzo locale            Indirizzo remoto
Stato
TCP           
0.0.0.0:1318
 
0.0.0.0:0
LISTENING
TCP           
0.0.0.0:1320
 
0.0.0.0:0
LISTENING
Perchè ho queste porte in ascolto?????
Grazie per l'aiuto

trattato di un attacco DoS?
no, semmai un rompipalle insistente ;) se ti eri connesso da poco
magari cercava qualcun altro, il precedente possessore dell'ip
212.216.20.227.

 Hai ragione!
Avrei qualche altra domanda:
ogni volta che mi connetto al mio ISP il firewall logga:
Blocking outgoing ICMP: src=212.216.*.* (mio IP dinamico), dst=224.0.0.1,
type=10
Blocking outgoing ICMP: src=212.216.*.*, dst=224.0.0.1, type=10
Blocking outgoing ICMP: src=212.216.*.*, dst=224.0.0.1, type=10
Da questo sembrerebbe che io cerchi di pingare l'host 224.0.0.1 (sempre
questo indirizzo ad ogni connessione),
ma in realtà non effettuo nessun ping. Allora cosa succede? Perchè quel
224.0.0.1 e type=10?
E ancora:
un presunto lamer effettua quotidianamente (si, lo trovo ogni volta che mi
connetto!!!!) uno sweeping inviando pacchetti UDP sulla porta 31789 e sua la
porta è sempre la 31790 (spoofata, immagino).
Esiste qualche programma (backdoor o altro) che, come valore preimpostato,
utilizza quella porta?
Che va cercando??????
Esistono versioni di "fping" e "nmap" anche per utenti windows? In caso
contrario, quali programmi vengono usati?
(N.B.: questa domanda vuole soddisfare solo una curiosità, avendo accesso ai
suddetti programmi)
Grazie
Marlo

 Che va cercando??????
in questo sito trovi un elenco di porte e relative backdoor:
http://websites.ntl.com/~leo.filos/main.htm
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* RSA fingerprint: 7772 5C72 7392 538B  34B8 A189 13BC 867A
  DH/DSS  "      : 3CAD 35F0 1D5D F46B 7D95  33F8 5784 B463 A328 7B05
* 
http://members.xoom.it/buttha/


Di che tipo di trojan si tratta? E' simile al BO e Netbus?
MarL0

224.0.0.1 e type=10?
non ti preoccupare quello e' l'indirizzo di multicast, al piu' sei
configurato come client dhcp:))) ed al massimo qualche akker fa passare la
tua connessione attraverso una sua macchina:-PPP
Oh, scerzo:))

--------------------end-----------------------------
io la sparo:)), forse sono router solecitation packets? Vai su l0pht, li' ne
parlano in relazione al bug di IRDP.

 e' un indirizzo multicast; il perche' windows faccia questo non lo so
*potrebbe* essere l'icmp discovery, per scoprire il gateway di default.
Mi ci sono scontrato quando ho messo due router zyxel nella mia rete.
Windows 'scopriva' due route verso 0/0, una per router.
Peccato però che uno dei due non andava verso 0/0, ma verso una
classe privata, e win+murphy assegnavano un metric 1 proprio a
quella route.
Con questo discovery win se ne fregava delle impostazioni dategli.
Aggiungeva tante route quanti router c'erano in rete.
Ho risolto bloccando la risposta dei router. Da quel momento sono
comparsi questi pacchetti, che però invia solo un win95b con ie5.
Un  win95 950 liscio e un win98 non li mandano.
Qualcuno ha info maggiori?
Valerio
--
"Microsoft Outlook Express: cosa vuoi postare
postare postare oggi?"

Qualcuno ha info maggiori?
garantisco che li invia un win95 liscio senza ie, forse e` la versione
di winsock e/o msdun?


Grazie per le informazioni
MarL0

 wrote:

Sapere chi sei. Se src= e' un sito FTP, e' normalissimo. Per altri servizi
un po' meno. Per IRC credo sia normale.
Leonardo
".signature": bad command or file name

 ".signature": bad command or file name
scusate se non mi sono presentato. Sono MarL0, colui che ha fatto partire
da principio questo messaggio.
Purtroppo non ero collegato nè ad un ftp server nè stavo utilizzando IRC, ecco
perchè la cosa mi sembra molto strana.
Ciao
MarL0

 Cosa sta tentando di fare il malintenzionato?
niente di insolito: sta cercando di capire chi sei.
E' un fatto normale: in molti download, per es, viene provato un auth.
E' un retaggio unix, in cui si contemplava la buona educazione :)


Hai fatto l'upgrade delle winsock?
si

Cosa sta tentando di fare il malintenzionato?
Non e` un malintenzionato ed e` normale.
Non perdere tempo con questi programmi se non capisci a cosa servono,
vivrai piu` tranquillo.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 si
E allora sarà per le winsock, perché l'unico PC win95 che non le
manda è proprio uno con le winsock vecchie.
Valerio

 manda è proprio uno con le winsock vecchie.
ho una interessante novita'...
ora uso Linux, e' questa e' la rule numero 6 della mia chain ppp-in:
/sbin/ipchains -A ppp-in -p IGMP -l -j DENY
ecco un riga del mio /var/log/messages, riga che compare quando vado online:
Oct 27 21:30:42 localhost kernel: Packet log: ppp-in DENY ppp0 PROTO=2 
151.5.184.61:65535
 
224.0.0.1:65535
 L=28 S=0xC0 I=0 F=0x0000 T=1 (#6)
simpatico, vero?


 simpatico, vero?
Eggia'... un bel giocattolino ipchains, non c'e' che dire.. ci si
diverte un sacco a guardare i lamer coglionazzi che ci provano senza
riuscirci :-)
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 riuscirci :-)
heheheh: in questo caso, pero', le cose stanno diversamente.
Si tratta di un multicast che parte ad ogni connessione, proprio quello che rilevavo quando usavo windows.
Resta un mistero il suo scopo.


 Si tratta di un multicast che parte ad ogni connessione, proprio quello che rilevavo quando usavo windows.
Non so di cosa si possa trattare.. un multicast? Si, e' proprio un mistero.


 simpatico, vero?
A questo proposito avrei una domanda: se voglio configurare sulla mia macchina Linux un filtro di pacchetti, è sufficiente
l'ipchains. Ho letto imfatti che esiste anche un programma chiamato ipfw, che filtra anch'esso i pacchetti. Allora la domanda:
qual è la differenza?
Grazie
MarL0

Roba relativa al kernel 2.0.x
Ciao
-- 
Simone Piccardi
Microsoft is NOT the answer. Microsoft is the Question.
The answer is: "NO!"

 qual è la differenza?
ipchains e' il piu' nuovo, con caratteristiche migliori



Tra le parentesi quadre [] devi mettere il tuo vero indirizzo email!

 Oct 27 21:30:42 localhost kernel: Packet log: ppp-in DENY ppp0 PROTO=2
151.5.184.61:65535
 
224.0.0.1:65535
 L=28 S=0xC0 I=0 F=0x0000 T=1 (#6)
Non so leggerlo, stai dicendo che adesso filtri un pkt mandato da windows,
giusto? (Come conferma che quei cazzo di multicast c'e' per davvero...)

 giusto? (Come conferma che quei cazzo di multicast c'e' per davvero...)
no: il multicast e' mandato dal mio linux!


 no: il multicast e' mandato dal mio linux!
aggiungo, per onor di cronaca che  ora, avendo cambiato leggermente le rule
da me utilizzate, ad ogni collegamento ricevo cose di questo tipo:
Nov  3 14:00:24 SPP_box kernel: Packet log: ppp-in DENY ppp0 PROTO=103
10.10.10.1:65535
 
224.0.0.13:65535
 L=30 S=0xC0 I=0 F=0x0000 T=1 (#1) 
Nov  3 14:00:25 SPP_box kernel: Packet log: ppp-in DENY ppp0 PROTO=2
10.10.10.1:65535
 
224.0.0.2:65535
 L=35 S=0xC0 I=0 F=0x0000 T=1 (#1) 
segnalate e bloccate dalla rule 1, cioe':
/sbin/ipchains -A ppp-in -s 
10.0.0.0/8
 -l -j DENY
quello che mi domando e`: perche' mi arrivano pacchetti con tali sorgente e
destinazione?


destinazione?
Credo che serva per trovare il router o qualcosa di simile, guarda negli
RFC a cosa corrispondono quei multicast group.


 Comunque dalla Zyxel mi hanno confermato che... non lo sanno neanche loro!
ho dato  una fugace  occhiata a  qualche RFC,  ma non  ho ancora  letto per
bene.  In ogni caso, 224.0.0.1 viene menzionato. Rimando al futuro prossimi
ragguagli (cmq ha a che fare con i router).
ciao
Buttha (che deve fare il download delle RFC che gli mancano)


 (cmq ha a che fare con i router).
falso :)
Riporto pezzi di RFC:
	A General Query is
	addressed to the all-systems multicast group (224.0.0.1)
poi
   When a host leaves a multicast group, if it was the last host to
   reply to a Query with a Membership Report for that group, it SHOULD
   send a Leave Group message to the all-routers multicast group
   (224.0.0.2)
 - "send leave" for the group on the interface.  If the interface
     state says the Querier is running IGMPv1, this action SHOULD be
     skipped.  If the flag saying we were the last host to report is
     cleared, this action MAY be skipped.  The Leave Message is sent to
     the ALL-ROUTERS group (224.0.0.2).
per ora: 	tutti gli host = 224.0.0.1
		tutti i router = 224.0.0.2
nella RFC 1700 (cioe' la standard 2) si trova una lista completa:
224.0.0.0  Base Address (Reserved)                   [RFC1112,JBP]
224.0.0.1  All Systems on this Subnet                [RFC1112,JBP]
224.0.0.2  All Routers on this Subnet                        [JBP]
224.0.0.3  Unassigned                                        [JBP]
224.0.0.4  DVMRP    Routers                          [RFC1075,JBP]
224.0.0.5  OSPFIGP  OSPFIGP All Routers             [RFC1583,JXM1]
224.0.0.6  OSPFIGP  OSPFIGP Designated Routers      [RFC1583,JXM1]
224.0.0.7  ST Routers                               [RFC1190,KS14]
224.0.0.8  ST Hosts                                 [RFC1190,KS14]
224.0.0.9  RIP2 Routers                                    [GSM11]
224.0.0.10 IGRP Routers                           [Dino Farinacci]
224.0.0.11 Mobile-Agents                            [Bill Simpson]
224.0.0.12-224.0.0.255 Unassigned                            [JBP]
[snippone]
nello standard 3:
         If IGMP is not implemented, a host SHOULD still join the "all-
         hosts" group (224.0.0.1) when the IP layer is initialized and
         remain a member for as long as the IP layer is active.
e nello standard 5:
   In Internet standard "dotted decimal" notation, host group addresses
   range from 224.0.0.0 to 239.255.255.255.  The address 224.0.0.0 is
   guaranteed not to be assigned to any group, and 224.0.0.1 is assigned
   to the permanent group of all IP hosts (including gateways).  This is
   used to address all multicast hosts on the directly connected
   network.  There is no multicast address (or any other IP address) for
   all hosts on the total Internet.  The addresses of other well-known,
   permanent groups are to be published in "Assigned Numbers".
   To support IGMP, every level 2 host must
   join the "all-hosts" group (address 224.0.0.1) on each network
   interface at initialization time and must remain a member for as long
   as the host is active.
ciao
Buttha


 ragguagli (cmq ha a che fare con i router).
Potrebbe essere l'icmp router discovery. Se ne è parlato in un altro thread.
Qualche volta dobbiamo parlarne con attenzione.
Valerio