Newsgroup: it.comp.sicurezza.varie
Titolo: SYN FLOOD FISSO

Salve ho un abbonamento telecom adsl con BBB con ip dinamico, tutte le
volte che mi connetto vengo bombardato da connessioni TCP con flag SYN
su svariate porte del mio sistema, la cosa va vanti da diverso tempo,
si tratta di centinaia di connessioni tcp tutte da ip diversi che
avvengono sia quando uso linux che quando uso windows e che vengono
registrate dal firewall. Avendo formattato e reinstallato i sistemi
nuemrose volte, mi chiedo cosa possa provocare questo fatto, puo
essere un virus che risiede in qualche parte hardware del mio
computer, oppure si tratta di una persona che ha accesso ai computer
della telecom e che sa quando mi collego ed inizia un syn flood? La
cosa non è comunque un caso inquanto avviene sempre nonostante cambi
ip numerose volte, anzi appena mi scollego e scelgo un ip diverso,
passa qualche minuto e la cosa ricomincia. Le connessioni provengono
da ip internazionali e italiani che risultano sempre online alle
richieste di ping. Avete una spiegazione a questo fatto?

richieste di ping. Avete una spiegazione a questo fatto?
Che intendi per syn flood?
Io per flood intendo qualche decina di connessioni al secondo,
ovviamente solo syn, e che non reagiscono ad eventuali tuoi RST...
Se invece sono i soliti tentativi di connessione (si chiamano
tentativi di connessione e non syn flood) sono cose che capitano
sempre.
Consiglio comunque una lettura alle securfaq.
-- 
    => Don't Let Your Fears Stand in The Way of Your Dreams!!! <=
    URL: 
http://www.delymyth.net/
 ~ E-Mail: 
DEly...@delymyth.net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=

CONFIG_SYN_COOKIES=y
Dammi retta:
	zgrep -i syn /proc/config.gz
Altrimenti corri il rischio di greppare un source tree DIVERSO da quello
che in realta' usi.
Nooo, non e' esperienza personale. Ti pare che IO farei una minchiata di
simili proporzioni? E' successo a "un amico".
Leonardo "acc. dannaz. malediz. due ore a capire come mai unn'andava..."
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".

simili proporzioni? E' successo a "un amico".
rotfl.
vi /etc/inittab (bla bla), ecco fatto, telinit q. Quanto cazzo e` vicino
l'"1" al "q"?
ahem: "pronto? si salve, sono xy, eh? si lo so il server si e` fermato.
Si. me lo riavvierebbe cortesemente? grazie, eh..."
moan.
-- 
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 che in realta' usi.
leo, c'e' qualche cosa di buono sui tuoi server? intendo: di genuino... 
No, sai, mera curiosita'.
HappyCactus che prova ad immaginare a modprobe, insmod, eccetera eccetera 
eccetera...
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 Consiglio comunque una lettura alle securfaq.
Intendo proprio qualche decina di connessioni al secondo da mezza
internet che al minuto superano il migliaio. Non sono scan per cercare
porte aperte ma connessioni mirate, per quanto ne so potrebbero essere
anche fake pero ai ping risultano quasi sempre online e spesso girano
clienti mp3 che guarda caso sono proprio le porte sui quali ricevo i
flood (1214 kazaa,8888 winmx ecc,) ma anche porte di servers irc come
la 5555 6666... pero mi sembra molto strano che centinaia di computer
diversi scannino contemporaneamente il pool di ip su cui mi collegho
io, in maniera fissa... la cosa va vanti da mesi, e che anche se
cambio pool la cosa succeda cmq. Non girando nessun client/server mp3
o irc vari ma essendo solo un cliente connesso alla rete è ovviamente
un syn flood. Le porte saranno poi scelte apposta. La conferma l'ho
avuta quando ho parlato con una persona su irc che si collegava nel
mio stesso pool e mentre io come sempre ero sotto flood lui non
riceveva niente ed era solo 50 numeri prima del mio ip!!
L'unica spiegazione che posso trovare è che qualcuno ha incasinato
male la linea adsl oppure che ho un virus che sopravvive alle
formattazioni... Non essendo un esperto di computer ma solo un
appassionato ogni consiglio è apprezzato.

eccetera...
Quelli in effetti non li ho mai strupati. La libc pero' si'.
Leonardo
[1] Prima o poi, riesco a compilare il kernel 2.4.16 col gcc 3.2, fosse
    l'ultima cosa che faccio [2].
[2] Tutto e' nato da un litigio fra me e il winsock. Per un po' ha pure
    vinto lui. Poi, l'ostinazione e la lettura dei manuali...
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 Quelli in effetti non li ho mai strupati. La libc pero' si'.
Pensavo: kernel monolitico, con moduli disabilitati, ed alterazione 
opportuna dei binari insmod & compagnia...? certo occorre ritoccare anche 
la directory /proc, pero' imho potrebbe essere interessante utile per 
rilevare i tentativi di installazione di un LKM-rootato.
HappyCactus che prova ad immaginare _cosa_ sia "il martello di Thor" 
Mjollnir... :?


Mjollnir... :?
UH?!?
Dunque, per l'appunto mjollnir e' una macchina sulla stessa rete di
akallabeth, pero' non mi risulta d'averne mai parlato :-? (saranno,
comunque, almeno sei mesi che non ci passo neanche in foto). E' una
macchina semi-vuota, ma in mano ad un pazzo scriteriato ed assetato
di sangue (non l'ho cooptato fra i BOFH per quello).
{No, Pippo: se mi leggi, NON sto parlando di te}
In effetti li' ci sono piu' backdoors a fin di bene che pulci su di
un cane randagio. Per un certo periodo, root si poteva loggare solo
da console, e solo se il tasto "ScrollLock" era premuto :-)
Leonardo "poi mi sono imposto e ho preteso ssh"


Uh^2???
Si', ho problemi con un daemon che ho scritto e che si interfaccia con
un client Windows. Avevo, anzi.
Umilmente pensavo che fosse il mio programma a sbagliare. E in effetti
era cosi': l'avevo programmato bene. Poi su una FAQ ho letto che per i
sistemi Windows occorre sforzare un po' lo standard.
Leonardo bah


Ma francamente, non mi ricordo affatto di maree di warning.
/me ha capito: il source tree da 2.4.18+ e' stato ripulito.
...a meno che abbiano castrato i Makefile a colpi di --ignore-warning-x
/me si scarica il 2.4.20-pre6, che puo' tornare vtile
Leonardo auff


 da console, e solo se il tasto "ScrollLock" era premuto :-)
eheheheh
Cose che a noi mortali neppure passano per la mente... :)


 Cose che a noi mortali neppure passano per la mente... :)
Questa è la differenza che passa fra il dilettante evoluto ed il serio
professionista 
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Sentito da una programmatrice:
	"Ma vi capita mai nella vita reale, tipo mentre
	rifate il letto di dire 'Ho sbagliato, pigio ctrl-Z'?"

professionista 
Dopo varie esperienze, mi sono auto-classificato "dilettante poco
evoluto". L'altro tizio comunque e', banalmente, uno psicopatico.
Leonardo wannabe
-- 
Questo messaggio č NAGWARE. Per disattivare ironia trita, giochi


 evoluto". L'altro tizio comunque e', banalmente, uno psicopatico.
A questo punto... beh, occorrerebbe una qualche chicca.
HappyCactus che l'appetito vien mangiando


A questo punto... beh, occorrerebbe una qualche chicca.
Dungue, ci sarebbe la volta che ho dato un rule flush dimenticandomi
che (a) la policy di default era DENY, (b) ero connesso in SSH, mica
a una console fisica.
"Si', pronto, no, si', lo so, no, senti, si', sto arrivando, ciao"
E poi, la volta che ho patchato la macchina *sbagliata* (erano state
scambiate, e me ne sarei dovuto accorgere gia' dal prompt) lasciando
unpatched una macchina e rimirando stupito, due giorni dopo, la mail
che mi annunciava l'avvenuto r00ting (poiche' era stato un worm, non
una persona che avesse davvero bisogno di loggarsi o usare tools, le
varie booby-traps e allarmi non erano scattati. Murphy rulez).
Altra cosa stupida: il tool che partiva in automatico, invisibile ed
inarrestabile, e confrontava l'output di vari comandi di sistema con
l'output degli stessi comandi nascosti, statici, blindati, e in caso
di difformita' (es. un programma nell'output "sicuro", assente pero'
dall'output rootkitabile) fermava tutto. Dimmi qual e' stata l'OVVIA
e inevitabile considerazione che andava fatta come PRIMA COSA, e che
io ho dimenticato (oh, ma me ne sono accorto subito, 'un dubita').
Leonardo #@%$%#$
-- 
So here's tae the lassie; I canna forget her,
And ilka young laddie whae's listenin' to me:
don't ever be sweir to convey a young lassie,
Tho't's only to show her the road tae Dundee.

 Leonardo #@%$%#$
A me i tennici wind hanno configurato il backup sul router e per provarlo
non mi hanno detto "stacca il cavo", ma hanno messo la seriale del router
down...
Mi telefona il collega e mi dice: "Ci sono i tecnici wind per il guasto"
edi io "Quale guasto???"
E hanno avuto il coraggo di dire che i miei "sospetti" non erano fondati
(ma non hanno voluto farmi vedere l'history dei comandi!)


 io ho dimenticato (oh, ma me ne sono accorto subito, 'un dubita').
uhm, ps? non mi viene in mente altro.


uhm, ps? non mi viene in mente altro.
No, no. Mi riferivo al mio geniale scenario.
Abbiamo un programma che fotografa il sistema e fa una lista di quello
che gira. Poi chiede *A UN ALTRO PROGRAMMA* di fare lo stesso, ovvero,
di listare i processi che girano (tra le altre cose).
Poi confronta le due liste...
Leonardo fesso, ma fesso forte
[1] questa e' difficile ;-)
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi


 di listare i processi che girano (tra le altre cose).
E non lo hai chiamato come il primo programma.
Beh, non sono l'unico, mi consolo.
Anche a me e' capitato di lanciare un init s da trecento km di distanza.
La stessa distanza a cui si sono distintamente sentite le imprecazioni.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

E non lo hai chiamato come il primo programma.
Non sarebbe servito: i pid erano diversi :-(
Chiaramente me ne sono accorto al primo test run, ed il secondo test run si
premurava di ignorare $PID e $PID_CHILD.
Leonardo
