Newsgroup: it.comp.sicurezza.varie
Titolo: nuke nabber

in un mio raro collegamento a irc
nn mi segnala ciň:
[06/01/1999 17:08:41.360 GMT+0200] Connessione: 
rm1-754.tiscalinet.it
(212.123.80.120) sulla porta 12345 (tcp).
[06/01/1999 17:08:41.470 GMT+0200] Password;1
Password;1;1
Password;1;mcafee
Password;1;any
Password;1;host
Password;1;haxed
Password;1;netbus
Password;1
Password;1;1
Password;1;mcafee
Password;1;any
Password;1;host
Password;1;haxed
Password;1;netbus
Password;1
Password;1;1 [06/01/1999 17:08:41.470 GMT+0200] Porta 12345 (tcp) e'stata
disattivata per 60 secondi.
quello che mi chiedo č , se ho decifrato bene i dati , perchč nn non ha
subito chiuso la porta evitando cosi che il pirla provasse le password?
grazie per le eventuali risposte

subito chiuso la porta evitando cosi che il pirla provasse le password?
Perche' non e' programmato per questo. Il pirla in questione mi sa che
sia
May 28 13:42:45 www in.fingerd[2165]: refused connect from
rm1-326.tiscalinet.it
May 28 13:42:47 www in.ftpd[2166]: refused connect from
rm1-326.tiscalinet.it
e anche
Fri May 28 13:33:39 1999:3: Back Orifice: 
rm1-416.tiscalinet.it:1628
("<Ping> - -")
Fri May 28 13:39:00 1999:3: Back Orifice: 
rm1-416.tiscalinet.it:1787
("<Reboot system> c:_bo.bmp ")
Fri May 28 13:43:12 1999:3: Back Orifice: 
rm1-440.tiscalinet.it:1036
("<Reboot system>")
Fri May 28 13:43:13 1999:3: Back Orifice: 
rm1-440.tiscalinet.it:1036
("<Reboot system>")
Fri May 28 13:46:34 1999:3: Back Orifice: 
rm1-328.tiscalinet.it:1028
("<Reboot system>")
L'unica cosa che non capisco e' come mai il primo PING sia stato fatto
dalla porta 1628 e il secondo (ah, in mezzo c'e' un tot di "mandami le
passwords", "attiva ridirezione", "fottiti") dalla 1787. O aveva *DUE*
clients (con uno fa lo sweep e col secondo fa danni), oppure e' uno di
quelli che navigano con trentamila finestre aperte.
Ora se ci si mette Tiscali a dare abbonamenti gratis ai pirla, siamo a
posto, siamo :-(
Leonardo
".signature": bad command or file name

 
rm1-326.tiscalinet.it
Lo stesso che cerca di forzare il mio sendmail ??
Ahahahahahahahaha
2 ore prima di capire che era protetto da tcpwrapper...trovava la 25 ma
non connetteva...ihihihihi
			Giulio
-- 
WinErr: 00F Unexplained Error - Please tell us how this happened.
WinErr: 01B Illegal Error - Next time you will get a penalty for that
WinErr: 72a Crucial Halt - Hang on, WHAT was that?
WinErr: 72b Memory Error - What? Tell me again.
-= 
sir_psy...@geocities.com
 / 
srpsyc...@exploit.it
 =-

 posto, siamo :-(
Ricordo che i primi abbon. omaggio della TIN(chiappetto), ovvero 
quelli con la data di scadenza e basta, senza la formula "rinuncia o 
ti arriva da pagare" e senza attivazione con documenti... andavano a 
ruba. Gente che credevo di conoscere mi diceva "ci puoi fare di 
tutto"...
Scommetto che anche adesso si stanno accaparrando tutti i tagliandini. 
Sulla copertina di Inter.Net c'erano le parole "Tiscali", "Internet" e 
"Gratis": il mio edicolante ha finito le 10 copie in un pomeriggio.
Non so se rendo.
Occhi aperti e porte chiuse :)
-- 
CiAo
Esteban
***
Togliere NOSPAM per rispondere in e-mail,
oppure: 
joe...@freemail.it

non connetteva...
Ma secondo me questo e' un coglione che non sa neanche *cosa sia* il
TCP wrapper. Dai logs risulta che ci ha messo mezzo minuto a passare
dal pulsante "FYRE" a quello "BRYMSTONE" con quella caata del Divine
Intervention.
*Suppongo* perche' dopo il BO::REBOOT ha ricevuto un messaggio molto
scocciato dal BOSS (Back Orifice Simulated Server 8-D ) e ha pensato
che se riusciva a buttarmi giu' la macchina entro poco, forse i logs
non venivano salvati.
Lo rassicuro... quella macchina non tiene e non ha mai tenuto logs.
Leonardo nient'altro che la verita', ma non tutta la verita' ;-)



Salve
Il problema delle violazioni di PC mi interessa molto da quando pochi giorni
fa sono penetrati una notte nel pc di un mio amico mentre eravamo in
mirc.L'hanno insultato x bene( 2 o 3 giorni e' durata sta storia) fino a
quando un'alto hacker gli ha lasciato  un messaggio per informarlo che il
suo ip era in un non meglio precisato sito , avvisandolo che aveva di tutto
(virus,bo, net bus....) e consigliandoli addirittura un bel format.Cosa che
gli ho regolarmente fatto.Ho capito che i suddetti programmi servono per
entrare nei PC ( non ci vuole grande materia grigia   (:   )ma non saprei
come rivelarli ,sul mio pc ad esempio. Vorrei farvi alcune domande magari ci
capisco qualcosa da solo:
(1) Cosa posso leggere ( o scaricare )  per imparare  a difendermi?
(2) Sapendo l'IP e' facile entrare nei PC? (se cosi fosse sarei nei guai
perche' persino io riesco a beccarlo col mirc!!!!! figuriamoci quelli)
(3)Che relazione passa fra IP host nimber e port number?
(4) CHE COSA SONO STE PORTEEE?
(5)Come posso vedere se il mio Pc e' un colosseo?
Lo so che scoccio con tutte ste domande ma magari qualcuno mi aiuta
davvero!!!!
Grazie fin d'ora e speriamo di diventare amici.
Ciao
Antonio  alias Nathan
sib...@iqsnet.it

 posto, siamo :-(
Ma hai notato che e' proprio da li' che arriva il nuovo spam? =:-o

(5)Come posso vedere se il mio PC e' un colosseo?
FAQ in preparazione 8-)
Leonardo


 (5)Come posso vedere se il mio Pc e' un colosseo?
AVP System Watcher e AVP Network Monitor, 
http://www.avp.it
 . Poi netstat e
ping (programmi standard di Windows). Attenzione, bisogna saper interpretare
il contenuto.
Ciao, Max (che la voce gli e' quasi tornata).
-- 
Emma for Europe: 
http://www.emmaforeurope.it/
        [ FIRMA I REFERENDUM!!! ]
----------------------------------------ICQ: 14816698----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------

Innanzitutto grazie x i consigli sono sicuro che mi saranno preziosi .
ho gia dato un occhiata al sito e posso dirti che sicuramente adesso ho una
visione di insieme piu chiara.
Tecnicamente e' di facile consultazione anche se non riesco ad accedere a:
SICUREZZA (UNICO FILE)
Per quanto riguarda i contenuti sono comunque al di sopra delle mie attuali
competenze in particolare : SENTINELLA ALLERTA.
MI riservo di rileggere tutto con calma passo passo!!!
Ciao e grazie di nuovo
P.S. Dovevo dire altro ma ora non ricordo!!!!
ANTONIO

...

Ciao
Come ho gia scritto ho letto le altre FAQ quelle suggeritemi da Leonardo
Serni ma adesso scarico anche le tue e ti faccio sapere tra un paio di
giorni.Credo di iniziare a vedere la luce........
Le tue spiegaziono sulle porte sono veramente immediate.
Allora se ho capito bene l' IP=host number , e ping e netstat per
monitorare.  Solo una cosa li lancio da esegui e si apre una finestra tipo
dos per una frazione di secondo!!! Forse dovro' riprovare mentre sono in
rete.
Grazie tante anche a te
Ciao
Antonio

competenze in particolare : SENTINELLA ALLERTA.
Quello e' obsoleto 8-(
Leonardo messo benino, non c'e' che dire


rete.
no, devi aprirti una shell dos (Promp di msdos) e da li dai tutti i comandi
che vuoi.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

 il contenuto.
Ops, leggasi "bisogna saper interpretare l'output".

 dos per una frazione di secondo!!! 
Dai il comando dal prompt del dos, anziche' da esegui. Oppure, da esegui, netstat -na 5 (dove 5 indica: controlla ogni 5 secondi).
Sicuro di aver letto bene le faq? ;-)
-- 
Ciao,
Francesco
Warning: Address changed!
Sopprimi Bindi per rispondermi in e-mail
---

Perche' lanci da finestra un comando DOS ed il default e' "chiudi al
termine" ;)
Come dice Buttha prova da shell oppure se sei masochista crea un icona sul
desktop che punti al comando (*) e cambia il default.
--
Buon vento, P.
(*) Ed i parametri? Beh mica posso sapere tutto io, no? ;)))


 (*) Ed i parametri? Beh mica posso sapere tutto io, no? ;)))
Quando crei il collegamento, la prima cosa che ti chiede e' la linea di
comando. Fai Sfoglia per avere il nome del prg con il percorso completo, poi
se devi specificare dei parametri li aggiungi li'. Invece, dopo aver creato il
link, click destro, Proprieta', Collegamento e i parametri vanno nella casella
Destinazione. Anzi, mo' faccio una prova in piu'...
<due minuti dopo...>
Porc.... perche' non funziona? Ho fatto il batch:
============ CUT
start -w C:\WINDOWS\NETSTAT.EXE -na 10 > C:\netstat.txt
start -w c:\windows\notepad.exe c:\netstat.txt
============ CUT
con opzioni Minimizzato e Chiudi all'uscita. Funziona tutto, tranne che il
.txt che apre come secondo step e' vuoto! L'ho provato da scollegato, ma non
dovrebbero esserci in quel caso almeno le sole intestazioni?
-- 
Emma for Europe: 
http://www.emmaforeurope.it/
Perche' ho scelto cosi': 
http://www.agora.stm.it/M.Baldinelli/art21/art21.htm


Sicuro di aver letto bene le faq? ;-)
No amico mio non ho letto assolutamente bene le faq, che per me vanno
studiate, ma stai tranquillo che dopo averle lette tutte, ci ritornero' non
una volta ma tante volte quanto sara' necessario!!!!
Nel frattempo grazie anche a te e giusto che ci siamo :
(a) cos'e' il virus UNASHAMED? non dovrebbe essere niente di grave perche'
sia il mio ATP, che il MaF della mia amica da cui l'ho preso l'hanno
rivelato.
(b) visto che si parla di nuke naber ti faccio vedere questa schermata:
06/12/1999 12:17:22.100 GMT+0200] ICMP monitoring started.
[06/12/1999 12:17:22.480 GMT+0200] Ready using port 5001 (tcp).
[06/12/1999 12:17:22.480 GMT+0200] Ready using port 5000 (tcp).
[06/12/1999 12:17:22.480 GMT+0200] Ready using port 1080 (tcp).
[06/12/1999 12:17:22.480 GMT+0200] Ready using port 1032 (tcp).
[06/12/1999 12:17:22.480 GMT+0200] Ready using port 1029 (tcp).
[06/12/1999 12:17:22.480 GMT+0200] Port 1027 (tcp) is already in use.
[06/12/1999 12:17:22.480 GMT+0200] Ready using port 139 (tcp).
[06/12/1999 12:17:22.530 GMT+0200] Ready using port 138 (tcp).
[06/12/1999 12:17:22.530 GMT+0200] Ready using port 137 (tcp).
[06/12/1999 12:17:22.530 GMT+0200] Ready using port 129 (tcp).
[06/12/1999 12:17:22.530 GMT+0200] Ready using port 53 (tcp).
[06/12/1999 12:17:22.590 GMT+0200] Ready using port 19 (udp).
[06/12/1999 12:19:12.610 GMT+0200] Connection: 
www.net36.com
 (194.20.52.45)
on port 1080 (tcp).
[06/12/1999 12:19:13.320 GMT+0200] Disconnect: 
www.net36.com
 (194.20.52.45)
on port 1080 (tcp).
[06/12/1999 12:35:39.010 GMT+0200] Connection: 
irc.evo.it
 (194.184.29.11) on
port 1080 (tcp).
[06/12/1999 12:35:40.550 GMT+0200]     赂  user
[06/12/1999 12:35:40.550 GMT+0200] Port 1080 (tcp) is now disabled for 60
seconds.
[06/12/1999 12:46:32.680 GMT+0200] Port 1080 (tcp) is re-enabled.
[06/12/1999 12:49:36.020 GMT+0200] Connessione: 
www.net36.com
 (194.20.52.45)
sulla porta 1080 (tcp).
[06/12/1999 12:49:36.960 GMT+0200] Disconnessione: 
www.net36.com
(194.20.52.45) sulla porta 1080 (tcp).
 Come si legge ma sopratutto e' a posto?
Ciao
Antonio


Paolo per me e' come se avessi parlato aramaico.
Come si crea un icona che punti al comando?
Ciao
Antonio

============ CUT
netstat -na 10
non termina


 Come si legge ma sopratutto e' a posto?
Stai bene...la connessione 1080 è del server di azzurra che controlla
open socks.
Frankj
ICQ# 15068478 
e-mail:fra...@tiscalinet.it
http://www.chez.com/pizzairc
news:alt.irc.mirc.scripts.pizza
*** Software Failure Guru Meditation
Press left mouse button to continue. ***

 port 1080 (tcp).
A posto, cercavano una porta 1080 aperta da usarecome proxy per navigare a
nome tuo.
Ciao, Max.


 open socks.
'Azz! Per la solita fretta del dopo lavoro non mi sono ricordato di 'sta cosa!
:-//

 non termina
Lo so che non termina, ma quando redirigo lo standard output in un file, come
in questo caso, la scrittura del file non avviene durante l'esecuzione? Cioe',
quando faccio ^C per chiudere netstat, in netstat.txt non dovrebbe esserci
quel che il programma ha sputato fino a quel momento?


--
Ma lo fanno sempre ogni volta che mi collego in mirc.....
Lo possono fare? Voglio dire navigare a nome mio anche se non ci riescono,
non mi sembra tanto corretto!!!
Ciao
Antonio
sib...@iqsnet.it


mica sempre , dovresti fare fflush(stdout) per svuotare i buffer sullo stdout

non mi sembra tanto corretto!!!
no no: e' il server irc che controlla la tua porta 1080 per verificare che
tu non stia usando un socks, visto che non gli piace l'idea.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.xoom.it/buttha/
-----------------------------------------------------------------------

quel che il programma ha sputato fino a quel momento?
ho fatto delle prove, anche senza il file batch, e il risultati sono
pessimi:
se apri una shell dos e scrivi
netstat -na > file.txt
allora il file viene correttamente creato e scritto.
Ma quando ci metti l'opzione dei secondi, ti ritrovi un file vuoto:
se fai
netstat -na 1 >> file.txt
e premi ^C per interrompere, il file file.txt risulta vuoto.
Eppure mi ricordo che una volta l'avevo fatto... mah
Qualche idea?


 log.tmp
:INIZIO
netstat -na > file.tmp
cls
type file.tmp
sleep 1
type file.tmp >> log.tmp
goto INIZIO
p.s.
	Sleep lo trovi insieme allo gnu-win32 o al djgpp

 mica sempre , dovresti fare fflush(stdout) per svuotare i buffer sullo stdout
Ecco spiegato... allora bisogna forwardare il suggerimento a zio Bill, dato
che il sorgente del suo netstat non ce l'ho per controllare e patchare...
Max che e' sicuro che il fflush non c'e'.
Max che pero' oggi si e' messo su la Debian :-))


         Sleep lo trovi insieme allo gnu-win32 o al djgpp
Ho il secondo (da installare). Ma provato senza, non crea log.tmp, e file.tmp
resta desolatamente vuoto... :-(((


a me funziona bene anche cosi':
@netstat -na 10 >> c:\w95\desktop\netlog.txt 
quando lancio il bat qui sopra mi crea netlog.txt e se lo apro (anche
con netstat ancora vivo) ci trovo quel che ci deve essere.
sara' win95?

sara' win95?
Ci ho anche io win95, sniff, sniff..

che il sorgente del suo netstat non ce l'ho per controllare e patchare...
se vuoi io ho il sorgente di netstat


resta desolatamente vuoto... :-(((
Cosa?
Non re-dirige l'output ???
mailto:
messysoft
;-)
Abbiamo trovato un'altro bug ???

 se vuoi io ho il sorgente di netstat
Di quello Windows???????????? :-O

Di quello Windows???????????? :-O
diciamo ....uguale.... a quello di windows
ps... se te lo manda gia' compilato?
=ciao=
nebbia

Di quello Windows???????????? :-O
e' un netstat uguale uguale, solo che, a fine codice, c'e' qualche test per
non fare vedere alcune porte.
Basta che modifica questa parte finale, e hai netstat pulito.


Non re-dirige l'output ???
a me no :-/


 Basta che modifica questa parte finale, e hai netstat pulito.
Che sarebbe poi quel che fanno le ultime versioni, a quel che ho sentito...


Ho provato con NT4 SRV
ma non basta aggiungere "-a" ???

 ma non basta aggiungere "-a" ???
Per vedere tutte le connessioni, si'. Mi riferivo a una discussione letta qui
tempo fa dove si diceva che le ultime versioni di netstat di Windows non
davano le connessioni "pendenti" con relative porte resudue aperte, e si
giustificava questo con una scelta politica di MS "sempre tesa" :-))) a
tranquillizzare l'utente invece che a correggere il prg.
Appro, il mio netstat e' 5.00.1545.1 (addirittura "nome del prodotto" e'
Windows NT!!!!!), 25456 byte, 31/08/1998 18.00.00... e' gia' di quelli
bugiardi?
Ciao, Max (FAQ 2.1 in arrivo!!!).
