Newsgroup: it.comp.sicurezza.varie
Titolo: Forse sono al sicuro...

Ho seguito ovviamente le FAQ-indicazioni ma ho ancora dei dubbi.
Ho una macchina linux con questi servizi (inetd.conf) ancora disponibili
time    stream  tcp     nowait  root    internal
time    dgram   udp     wait    root    internal
nntp    stream  tcp     nowait  news    /usr/sbin/tcpd 
/usr/sbin/leafnode
comsat  dgram   udp     wait    root    /usr/sbin/tcpd  in.comsat
shell   stream  tcp     nowait  root    /usr/sbin/tcpd  in.rshd -L
login   stream  tcp     nowait  root    /usr/sbin/tcpd  in.rlogind
ntalk   dgram   udp     wait    root    /usr/sbin/tcpd  in.talkd
systat  stream  tcp     nowait  nobody  /usr/sbin/tcpd  /bin/ps -auwwx
netstat stream  tcp     nowait  root    /usr/sbin/tcpd  /bin/netstat   
-a
auth    stream  tcp     wait    root    /usr/sbin/in.identd    
in.identd -w -t120 -l
con Netstat che dice
6000                  
7100                  
printer               
auth                  
netstat               
systat                
login                 
shell                 
nntp (questo ce l'ho messo io)                 
time
con questi altri demoni attivi (ps -ax)
(kflushd)
(kswapd)
(nfsiod)
syslogd 
klogd 
inetd (ovvio) 
lpd (ovvio) 
crond (utile)
E' meglio/utile togliere ancora qualcosa, tenuto conto che e' una
macchina "casalinga" ?
Seconda cosa.
Mentre navigo faccio girare tcplog, icmplog, udplog, e ho una finestra
xterm piantata su /var/log/messages. In ore non si muove foglia,
eccezion fatta per sporadici pachetti udp inviati dal DNS (che cosa sono
?), penso invano perche' ho l'host.deny settato a ALL: ALL, o per cose
che riguardano me (127.0.0.1). Ma dove li vedo gli innumerevoli
tentativi dei boseekers e degli altri "bei tomi" ? Cioe' "Connection
attempted by 123.456.789.123 on port nn" non ne vedo.
Grazie
-- 
Delivery
http://www.alpcom.it/homepage/delivery
(Traduzione dei README di Leafnode)

attempted by 123.456.789.123 on port nn" non ne vedo.
E' un miracolo, o Alpcom ti scherma dagli UDP su porte alte (in realta'
credo lo facciano contro i traceroute, quelli che lo fanno s'intende, e
che preciso di non approvare).
Leonardo liberista, libertario e libertino
".signature": bad command or file name

 attempted by 123.456.789.123 on port nn" non ne vedo.
forse non in messages ? dipende da quale stato del syslog usino. Prova con
qualche bel grep sui log. Ad ogni modo puo' anche darsi che le rule di log
di tali binari non siano specificate bene ...
invy
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

 attempted by 123.456.789.123 on port nn" non ne vedo.
In /var/log/messages e /var/log/iplogd.log
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
<<   Available PGP keys: DSS/DH                   >>

killarli .... :)
Non e` un consiglio saggio...
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

/usr/sbin/leafnode
Bloccalo con tcpd. In effetti, risolverai tutti i tuoi problemi
aggiungendo questo a /etc/hosts.deny:
ALL EXCEPT identd: ALL EXCEPT localhost 
10.0.0.0/255.0.0.0
(*PER* *FAVORE* mettetelo nelle FAQ!)


inutili, e percio' dannosi :-)
mi aggrego anch'io, ho levato tutto da /etc/inetd.conf (a parte
telnet, ma non e' collegato al classico "TELNET.."), mi restano altre
porte in listen, commento le relative voci in /etc/services e pare
tutto taccia..pero' non ho ancora ben capito 2/3 cose:
a) permessi, i file usati per il collegamento sono (cito a memoria,
dimentichero' qualcosa)
/miei/tinppp (vabbe' e' lo script che contiene pppd connect ecc..)
/sbin/pppd
/sbin/chat
/etc/ppp/options
/etc/ppp/pap-secrets
/dev/modem
/dev/ ??? lock o qualcosa di simile...
che permessi/proprietari sarebbe oppurtuno avessero detti file ?
ovviamente mi collegato non da root, gli script li ho modificati fatti
da root (tra l'altro molto divertente, se non fosse che ho impiegato 2
giorni a capire che il modem usr33.6 non andava...
b) dove trovo/come loggo gli eventuali vari tentativi di accesso
(soprattutto quelli riusciti)
c) host.allow e host.deny...  per fare una cosa del tipo
blocca tutto escluso cio' che viene da 192.168.2.8 ?
NB.. mi trovo in /var/log/messages una caterva di righe che iniziano
con "kernel.." e' per caso l'opzione kdebug 4 che mi scrive tutta sta
roba (compresi i log di irc?)
 ciao
nebbia

 roba (compresi i log di irc?)
Cosa hai in syslog.conf?


 Non e` un consiglio saggio...
per questo c'e' la faccina :)
