Newsgroup: it.comp.sicurezza.varie
Titolo: Hanno cercato di entrare nel mio computer

Ho beccato un tipo che ha cercato di entrare nel mio pc tramite la porta
31337. Non so se ci e' riuscito perche' netstat rilevava che la connessione
era FIN_WAIT (non so cosa vuol dire). Tra l'altro  ho nuke nabber 2.9 e
quindi ho il suo indirizzo.  E' possibile che mi abbia individuato perche'
Nuke Nabber lascia aperta la 31337? Comunque il netstat  dava altre porte
(mi pare 1108, 1109 o qualcosa del genere).Tengo a precisare che ho il
netbios disattivato e che leggo questo news da qualche mese.
Avp System watch non rileva nessuna presenza, pero' ho scaricato il
programma Back Orifice senza installarlo, quindi non penso di averlo in
memoria anche se Avp Antivirus mi segnala un troyan sul file Boserve.exe.
Cosa posso fare se ci riprova?
Gli posso mandare qualche messaggio?
Per usare Back orifice devo per forza lanciare il file boserve.exe oppure
basta usare solo boclient e bogui.
Grazie in anticipo.
Roberto

Gli posso mandare qualche messaggio?
Si'. Lui si collega dall'indirizzo X, porta Y. Con BOGUI, metti Y come
porta anziche' 31337, X come indirizzo, "CIAO, AMIGO" in val1 ;-), poi
mandi un PING del BackOrifice.
Leonardo
".signature": bad command or file name

Roberto
ciaociao
x

numero di porta è proprio quello!!!
Evidentemente o il NN usa 'FIN_WAIT' per indicare la fine della connessione,
oppure qualcuno per qualche motivo impensabile ha fatto "TELNET ... 31337".
Non saprei quale delle due sia meno improbabile; forse la prima.


[10/11/1998 13:52:48.080 GMT+0200] UDP dall'indirizzo 
a-na9-24.tin.it
 (212.216.195.151) porta remota UNKNOWN porta locale 31337. [10/11/1998 13:52:48.190 GMT+0200]  cgH$ Questo e' il risulato che mi ha dato il nukenabber. non so cosa significano quei segni ma sono tali e quali come mi sono apparsi nella videata del nukenabber. alla riga numero 6 del rapporto che fa nukenabber, che non ho postato,  c'e' anche l'indirizzo del malcapitato. ciao 

 ciao
pardon?!!?!!
 

 wrote: >[10/11/1998 13:52:48.080 GMT+0200] UDP dall'indirizzo 
a-na9-24.tin.it
 >(212.216.195.151) porta remota UNKNOWN porta locale 31337. >[10/11/1998 13:52:48.190 GMT+0200]  cgH$ >Questo e' il risulato che mi ha dato il nukenabber. >non so cosa significano quei segni ma sono tali e quali come mi sono >apparsi nella videata del nukenabber. E' un ping di BackOrifice, criptato. Nulla di male: ci ha provato e gli e' andata buca. >alla riga numero 6 del rapporto che fa nukenabber, che non ho postato,  c'e' >anche l'indirizzo del malcapitato. Se e' per quello, vedi che c'e' anche in riga uno: IP e FQDN ;-) Leonardo ".signature": bad command or file name 

>>era FIN_WAIT (non so cosa vuol dire).
Leonardo, eccoti le informazioni di cui parlavamo ieri riguardo il
furbacchione che presumibilmente cercava di entrare ieri sul mio PC...
bmts1-02.pn.itnet.it
[root@magnifico /root]# nslookup 
bmts1-02.pn.itnet.it
Server:  
dns.tin.it
Address:  194.243.154.62
Non-authoritative answer:
Name:    
bmts1-02.pn.itnet.it
Address:  151.2.218.252
come ti dicevo, ho subito messo un hosts.deny adeguato (anche se gia'
non sarebbe riuscito ad entrare, essendo praticamente tutte le porte
chiuse per lui)
ALL : ALL : rfc931 : banners /root/security/banners
ove banners contiene un messaggio che dice che oggi era festa e
stavamo facendo festa con una sua familiare <G>.
Ora, se oggi ci riprova questo furbacchione di 
bmts1-02.pn.itnet.it
,
mi sono ricordato di avere un simpatico programmillo di Nando
(versione Perl o C) che manda degli OOB (per default sulla porta 139
altrimenti su una porta a scelta) e gli faccio un regalino, se ha
WinBug 95...

".signature": bad command or file name
Scusa per la mia insistenza:
Cosa vuol dire ping di back orifice criptato? Seppur non avendo il server
installato sul mio computer, come e' possibile?
ciaoo
roberto

 Ma chi ti fa il ping mica lo sa che non hai il boserve installato.
   Il ping te lo apposta per controllare!
   ....e se ti trova abile arruolato .. aih aih aih!!!

mi sono ricordato di avere un simpatico programmillo di Nando
Stop. mandare OOB a bischero e' un attacco attivo: illegale, e
per di piu' inutile perche' e' patchabilissimo :-)
W95, lo usa di sicuro.
Uno scherzo divertente e', con udplog ;-), preparare delle "IP
masks" per i vari providers, e mandare il msg:
a-fi7-13.tin.it
, questa operazione e' in violazione del Suo
contratto con TIN, art. X.
Dato che e' vero, e che non dici di essere TIN, non c'e' alcun
reato. Pero', come col Falqui, basta la parola :-) ... devi in
primis consultare i vari contratti, ma li trovi sul web.
Certo, lo 'sweeper' vede che il messaggio arriva da un IP dato
- ma il dubbio gli rimane >:-)
Leonardo "coi lamer di solito funziona"


Dato che e' vero, e che non dici di essere TIN, non c'e' alcun
[..]
'azie per il consiglio... lo metto in atto appena possibile...

installato sul mio computer, come e' possibile?
Il client di Back Orifice (lui) prepara un pacchetto UDP, contenente vari
dati criptati secondo un particolare algoritmo specifico di Back Orifice,
che in questo caso (sweep standard) e'
long hrand;
int mrand(void){return(((hrand=hrand*214013L+2531011L)>>16)&0x7fff);}
void BOcrypt(unsigned char *buff, int len)
{
  int y;
  if (!len) return;
  hrand = (long)31337;
  for (y=0;y<len;y++)
    buff[y]^=(mrand()%256);
}
A questo punto te lo invia sulla porta 31337. Possono succedere tre cose
(o magari di piu'):
1) Non hai installato niente e lo stack IP di Windows 95 rifiuta il pkt,
   e tu non ti accorgi di nulla, salvo un breve brilluccichio della luce
   di RD sul modem, se lo hai esterno.
   Il "pingatore folle" rimane con un palmo di naso.
2) Hai installato NukeNabber. NukeNabber vede che qualcosa e' in arrivo,
   lo legge, ma e' cifrato: quindi riesce solo a capire CHI l'ha mandato
   ma non cosa c'e' dentro.
   Il "pingatore folle" vede che il pacchetto e' stato ricevuto (se ha i
   mezzi per farlo), ma non gli ritorna niente.
3) Hai installato Back Orifice. BO riceve il ping, lo decodifica e manda
   una risposta, predisponendosi a ricevere comandi dal client. Comandi,
   tra l'altro, che hanno la precedenza sui comandi che darai tu come il
   legittimo proprietario del computer asservito.
4) Hai Linux e udplog installato. udplog riceve il ping, lo decodifica e
   consulta /etc/udplog.conf per vedere cosa fare. Io ho
 
192.168.0.0/255.255.0.0
 1    : 65535    !nothing
 
0.0.0.0/0.0.0.0
         1    : 65535    carillon piano
 
0.0.0.0/0.0.0.0
         31337           bologger allegro
 
0.0.0.0/0.0.0.0
         31337           bostroke piano
 
0.0.0.0/0.0.0.0
         1    : 65535    logpacket piano
   [Misc]
   boreply0=YAWN! NON HAI NIENTE DI MEGLIO DA FARE?
   boreply1=SPIACENTE, CHIUSO PER FERIE
   che significa che, qualsiasi UDP arrivi, la linux box fa "bip bip", e
   se arriva un ping su 31337 viene decriptato dal formato BO (bologger)
   e in piu' viene inviata la risposta numero 1 (bostroke) che in questo
   caso avverte che il BOServer e'... chiuso per ferie :-)
 
   All'amico remoto arriva un messaggio con il suo IP name & address, ed
   in coda l'avviso della chiusura per ferie. (BTW, nella vecchia 1.50 a
   quanto pare <blush> mancava il file .conf; in udplog-1.6.tgz c'e').
Leonardo facente pubblicita'


   >Uno scherzo divertente e', con udplog ;-), preparare delle "IP
   >masks" per i vari providers, e mandare il msg:
   >
a-fi7-13.tin.it
, questa operazione e' in violazione del Suo
   >contratto con TIN, art. X.
 
scusssssa maaaaaaa.... mi puoi spiegare bene il tutto? questa mi pare proprio
una bella roba!!!! ^__^
Cos'e' udplog? Cosa intendi per ip mask?
   >Certo, lo 'sweeper' vede che il messaggio arriva da un IP dato
   >- ma il dubbio gli rimane >:-)
In che senso da un ip dato?
			Luca dEX'

In che senso da un ip dato?
Se fosse il provider che ti tappa il back orifice ;-), quel messaggio per
forza ti comparirebbe CHIUNQUE tu pingassi. Invece compare SOLO se pinghi
*quel* dato indirizzo IP. Evidentemente e' qualcosa di collegato a *quel*
particolare computer.
Pero', gli hackers di solito non usano BO; e il lamer medio, vedendo quel
messaggio, pensa "Oioi, m'hanno ciuffato!".
Magari linka it.comp.sicurezza.varie, capisce d'essere stato preso per il
culetto, ha un attacco di bile, e mi riempie la mailbox di cacca.
Leonardo "la fine e' nota"


>   quanto pare <blush> mancava il file .conf; in udplog-1.6.tgz c'e').
Dove trovo udplog-1.6?
L'ho cercato invano su sunsite...
Grazie
Ciao
Daniel

L'ho cercato invano su sunsite...
Sorry. 
http://www.linuxvalley.com/~lserni/udplog-1.6.tgz
 - comunque, sulla
pagina web ci sara' la versione piu' recente. C'e' anche quella prima, col
nome udplog-1.50b.tgz (credo).
Leonardo che non ci guarda con molta attenzione


nome udplog-1.50b.tgz (credo).
Ok, mille grazie!
Ciao
Daniel

Scusa Leonardo non ho capito bene come fare per mandare messaggi da bogui.
Vuol dire che se uno si collega alla mia 31337 io per mandargli in messaggio
devo mettere il suo IP e lasciare la porta 31337?
Si può fare anche da altre porte?
Ma il messaggio viene visualizzato anche se l'altro non è boserverizzato?
Magari fammi un esempio con dei numeri al posto di x e y
Sai, sono un po' tardo :)
Grazie e ciao

Ma il messaggio viene visualizzato anche se l'altro non č boserverizzato?
Si', lo visualizza il suo BOClient come "ping reply". Ovviamente devi avere
un programma (va bene anche un altro BOClient) capace di falsificare uno di
questi "ping reply" (nel pacchetto di udplog c'e' "bostroke" che fa proprio
questo).
Leonardo


per prendere provvedimenti :-).
Ho proprio Nukenabber. La porta che apre per ascoltare il pong dovrebbe
essere la porta remota che mi segnala?
Perchè se è così mi mette sempre UNKNOWN
E se allora è così come faccio a trovarla?
Va bene netstat?
Grazie per le tue risposte
(fammi un piacere, per non riscriverti tutto dai una occhiata al mio
messaggio Intrusioni dalla porta 5001, magari hai come al solito qualche
consiglio :)