Newsgroup: it.comp.sicurezza.varie
Titolo: ho beccato un lamer esperto?

eheheh, prima di tutto ciao al tizio in questione se legge il NG :-))
stasera ho trovato un lamerino col solito bogui che cercava in giro...
ecco il log (l'inizio prima della conversazione civile:-))
 195.110.100.98 : 1026 ] Ping host :  : 
[ 195.110.100.98 : 1026 ] System passwords :  : 
[ 195.110.100.98 : 1026 ] System info :  : 
[ 195.110.100.98 : 1026 ] Ping host :  : 
[ 195.110.100.98 : 1026 ] Ping host :  : 
be' il problema e' che 195.110.100.98 e' 
dadovago98.signa.dada.it
, uno
dei nomi classici dei server DADA (il mio provider)
IP mascherato???  credo proprio di si, a questo punto.
Col traceroute ho trovato:
Tracing route to 
mail.dada.it
 [195.110.96.68]
over a maximum of 30 hops:
  1  1653 ms  1860 ms  3024 ms  195.103.153.161
  2  1596 ms  1544 ms  1627 ms  
gw-acse.dada.it
 [195.110.104.1]
  3  1647 ms  1733 ms  1725 ms  
mail.dada.it
 [195.110.96.68]
azz', e' proprio il mail-server !!!
come ha fatto?
E' un tipo strano, dato che dopo qualche scambio di battute, in cui
gli ho detto che uso il BOspy, torna a provare a killarmi qualche
applicazione, sempre col BO:
[ 195.110.100.98 : 1026 ] Process kill : 4294864087
C:\WINDOWS\EXPLORER.EXE  : Warning
[ 195.110.100.98 : 1026 ] Process kill : 4294792351 
naturalmente senza risultato.
Altra cosa strana, sembrava sapesse che DADA fosse il mio provider, ma
cmq escludo che si tratti di un mio amico, primo perche' l'argomento
non interessa a molti, secondo l'ip spoofing non e' ne' a livello
nostro. (escuso anonymizer, vabbe', quello anche i polli :-)
avete qualche idea?
come puo' aver fatto a mascherarsi?
posso rintracciarlo o chiedere a DADA di farlo per me? (di solito sono
gentili)
x il soggetto in questione: se leggi, fatti vivo via e-mail, sono
curioso...
grazie e buonanotte...
fritz assonnato

un'ultima cosa: perche faceva ip scanning sulla 1026 per BO?
infine, mi ero dimenticato, stasera io sono 195.110.105.109, che
corrisponde a 
dadovago109-p3.dada.it
quindi il tipo usava un server della mia stessa sotto rete??
fritz

fritz assonnato
Lo vedo 8-)))
Leonardo
".signature": bad command or file name

un'ultima cosa: perche faceva ip scanning sulla 1026 per BO?
BO e' configurabile a piacere: magari il tipo ne ha confezionato uno
con porta 1026
Buttha
-----------------------------------------------------------------------
* h
* Per rispondere rimuovere i
* PGP Key available with fingerprint:
  7772 5C72 7392 538B  34B8 A189 13BC 867A

con porta 1026
ho detto la kazzata del giorno: la 1026 e' la sua porta, utilizzata
dal boclient.



Beh se ti ha pingato col bogui allora tramite un banale dns al tuo ip ha visto che avevi DADA come provider.
The Duke
"...in fondo sei soltanto un altro mattone nel muro" 
                                         PINK FLOYD
E-MAIL and POWWOW address: 
i_the...@usa.net
ICQ# 22521020  
EGN# 66163
AOL msg.: Duke65it

Lo vedo 8-)))
:-))
si ma cmq rimane il fatto che l'ip era falso, lui non era
dadovago98.signa.dada.it
, a meno che' si online da ieri sera :-)
fritz 

Beh se ti ha pingato col bogui allora tramite un banale dns al tuo ip ha visto che avevi DADA come provider.
si, effettivamente...
fritz

con porta 1026
e cerca a caso su una porta non standard...?
e non e' il primo, raramente becco un tizio sulla 31337
fritz


Se da questo deduci che l'ip è falso devo ricordarti che molti (tutti) i provider utilizzano un modem per diversi utenti assegnando loro un ip
dinamico in base alla connessione, se uno si disconnette, il suo ip viene immediatamente assegnato ad un altro utente, quindi è normale che un ip
possa essere in connessione per 24 ore (tranne dei momenti tecnici).


proprio computer....
confermate?
fritz

e cerca a caso su una porta non standard...?
avevo sbagliato: la 1026 e' la porta utilizzata dal client BO del
tipo. Cioe' quella e' una *sua* porta.


possa essere in connessione per 24 ore (tranne dei momenti tecnici).
quindi non e' un caso se allo stesso IP corrisponde lo stesso
terminale? (
et128-216.mclink.it
)
fritz

anche questo mascherava l'IP?
Se usava davvero un bouncer, puo' essere. Ma in quel caso e' forse possibile
risalire lo stesso al tizio - anche se non in modo legale, temo.
Io ho trovato una tecnica semi-legale basata sul social engineering 8-D


terminale? (
et128-216.mclink.it
)
Scherzi? Sarebbe assai bizzarro il contrario.
The Duke



Si ma non sono d'accordo sul fatto che DADA non possa darti info su chi era attaccato a quell'ip.
Probablmente non vuole visto che non ci è costretta da qualche ordinanza.
The Duke

fritz@___dada___.it wrote:
 >volete sapere come fanno?
 >WINPROXY !!!!
Non e` una novita`.
 >a questo punto e' impossibile risalire a loro?
Si, quelle porcherie non tengono log.
 >>E' come se , per paura dei furti, lei chiedesse al comune di chiudere la via in
 >>cui abita.... ognuno e' responsabile della sicurezza della propria casa e del
 >>proprio computer....
 >confermate?
Fino a un certo punto. Dipende da /cosa/ ti fanno.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

confermate?
yes. Per sfortuna e Per fortuna e' cosi'. E trovo che sia giusto. E spero che
questo ci porti ad una piu' forte sicurezza dei canali di trasmissione e NON ad
una segregazione di tratti dei canali suddetti .....
invy

come puo' aver fatto a mascherarsi?
Semplice.Ti colleghi in Telnet su un server UNIX e da li fai quello
che cavolo ti pare.I pacchetti che usciranno avranno come IP sorgente
quello del calcolatore UNIX.Una specie di triangolazione...tutto qua'.
---
Matteo Niccoli
Network & System Administrator
Softec Informatica s.r.l -- 
http://www.softecsrl.it

O ho capito male io,oppure ti stai sbagliando te.
mi sbagliavo io di brutto.
in fondo dopo 3 mesi qualcosa si impara hehe
fritz