Newsgroup: it.comp.sicurezza.varie
Titolo: Io dico che è una lamerata....

Ciao a tutti, volevo un vostro parere :)
Allora: ieri notte ero in irc e ad un certo punto (dopo aver kikkato uno)
butto al firewall (zone alarm) e mi trovo una marea di avvisi (penso che
alla fine fossero più di 800) con questa dicitura:
The firewall has blocked Internet access to your computer (TCP Port RABDOM)
from 151.24.xx.xxx (TCP Port RANDOM) [TCP Flags: S].
Oggi ho ribeccato sto tizio e dopo averlo bannato mi viene in query a dirmi
che lui non ha fatto nulla, anzi cerca di farmi capire che sono un fesso,
che non era un attacco, nemmeno un portscan, che lui ha capito ma vuole che
ci arrivi da solo...
Ora premesso che io non ho fatto nulla al suo host (portscan o ping di
sorta) e visto che posso anche fare finta di credere che sia in buona fede,
secondo voi è un lameraccio che vuole farmi passare per deficente o è
davvero successo qualcosa a livello di rete (che mi pare assurdo...)?
So che lo zone alarm non è il massimo come firewall, ma 800 avvisi sono 800
avvisi..
Grazie a chi mi risponderà :)
Deep

 from 151.24.xx.xxx (TCP Port RANDOM) [TCP Flags: S].
..
Non conosco ZA, assumo che per RANDOM si
intenda porte > 1023...
Dovresti verificare l\'intervallo di tempo in
cui ti sono arrivati i pacchetti in questione
e già che ci sei verifica quando sono
iniziati ad arrivare (se subito dopo il
kick o altro)
in linea di massima credo si tratti di un DOS
perchè un SYN su una porta > 1023 e non 
identificabile come backdoor o altro credo
non abbia altra spiegazione. E comunque come
dici te 800 pacchetti non sono un errore.
ciao
------------------------------------------------------------------------
Questo messaggio e' stato inviato tramite i Newsgroup di Punto
http://www.punto.it
------------------------------------------------------------------------

 kick o altro)
Si, poco dopo il kick, l'ip era il suo :)

 secondi
100 pkts in 2 sec significa che al client non frega niente della
connessione....
Morale: potrebbe averti fatto uno scanning delle porte alla ricerca
di backdoor,e comunque sicuramente non era traffico benevolo
ciao
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 che lui non ha fatto nulla, anzi cerca di farmi capire che sono un fesso,
Se è un indirizzo IP dinamico probabilmente non ha fatto davvero nulla .

 Se č un indirizzo IP dinamico probabilmente non ha fatto davvero nulla .
Non č dinamico, l'ho solo mascherato. Cambiavano solo le porte (mie e sue).
Deep

Non č dinamico, l'ho solo mascherato. Cambiavano solo le porte (mie e sue).
Credo ti sfugga il senso.
Per dinamico o statico, riferito a un IP, ci si riferisce al fatto che
sia in dialup (e quindi con l'ip assegnato di volta in volta dal
provider), o con connessione fissa (e quindi l'IP č statico: te
l'assegnano una volta, e via)(*)
Keith
(*) beh, puň essere anche in dialup e avere l'ip fisso, se l'ha
acquistato, o avere una connessione fissa (adsl) e ip dinamico... ma
meno dinamico... ho fatto casino e basta, eh? ;-)
--
Faites vos yeux, rien ne voit plus
------

 l'assegnano una volta, e via)
Si ma resta il fatto che dinamico o statico io avevo sul firewall dei syn
con quell'ip che io nel riportare il log ho mascherato con delle x. :P
Tutto qui :)
Deep