Newsgroup: it.comp.sicurezza.varie
Titolo: Secondo voi Cos'e'? o_O

Allora... piccola premessa:
il log non e' completo perche' avevo disattivato la memorizzazione su file
di testo... questa e' la parte finale.
La versione "full" era composta da una sessantina di questi attacchi sempre
da questo IP e da una quarantina da un altro.
Secondo voi di cosa si tratta?
L'unica applicazione attiva era OE... i siti visitati in precedenza
www.wintricks.it
 e 
www.symantec.it
*****
ZoneAlarm Logging Client v2.6.362
Windows NT-5.0.2195-Service Pack 2-SP
type,date,time,source,destination,transport
FWIN,2002/04/17,21:14:14 +2:00
GMT,
194.47.116.125:1535
,
151.26.82.116:6346
,TCP (flags:S)
FWIN,2002/04/17,21:14:56 +2:00
GMT,
194.47.116.125:1540
,
151.26.82.116:6346
,TCP (flags:S)
FWIN,2002/04/17,21:15:39 +2:00
GMT,
194.47.116.125:1542
,
151.26.82.116:6346
,TCP (flags:S)
FWIN,2002/04/17,21:16:21 +2:00
GMT,
194.47.116.125:1543
,
151.26.82.116:6346
,TCP (flags:S)
*****
Stef_Ozzy

 Allora... piccola premessa:
La cosa sembra continuare:
*****
IP whois of 194.47.116.125
ipw: Connecting to server: 
whois.arin.net:43
ipw: Query: net 194.47.116.125
ipw: Connecting to server: 
whois.ripe.net:43
ipw: Query: 194.47.116.125
inetnum:      194.47.64.0 - 194.47.127.255
netname:      VAXJO-NET
descr:        Vaxjo University
descr:        Vaxjo, Sweden
country:      SE
admin-c:      STHO2-RIPE
tech-c:       TA3068-RIPE
status:       ASSIGNED PI
mnt-by:       SUNET-MNT
changed:      
gee...@ripe.net
 19940307
changed:      
fre...@sunet.se
 19981106
changed:      
fre...@sunet.se
 19990914
changed:      
fre...@sunet.se
 20000523
changed:      
fre...@sunet.se
 20010118
changed:      
fre...@sunet.se
 20020308
source:       RIPE
route:        
194.47.0.0/16
descr:        SUNET-2845 Aggregate 1
origin:       AS1653
mnt-by:       SUNET-MNT
changed:      
b...@sunet.se
 19980403
source:       RIPE
route:        
194.47.0.0/16
descr:        SUNET-2845 Aggregate 1
origin:       AS2845
mnt-by:       SUNET-MNT
changed:      
b...@sunet.se
 19950419
source:       RIPE
person:       Stefan Horberg
address:      Vaxjo University
address:      S-351 95 Vaxjo
address:      SWEDEN
phone:        +46 470 708 185
fax-no:       +46 470 708 916
e-mail:       
stefan....@adm.vxu.se
nic-hdl:      STHO2-RIPE
mnt-by:       SUNET-MNT
changed:      
fre...@sunet.se
 20020308
source:       RIPE
person:       Tobias Axelsson
address:      Vaxjo university
address:      S-351 95 Vaxjo
address:      SWEDEN
phone:        
+46 470 708940
fax-no:       
+46 470 708916
e-mail:       
tobias....@adm.vxu.se
nic-hdl:      TA3068-RIPE
changed:      
fre...@sunet.se
 20010118
source:       RIPE
*****

GMT,
194.47.116.125:1535
,
151.26.82.116:6346
,TCP (flags:S)
Vedi thread 'conseal' del 14/03/2002.
-- 
Lapalissiano
Icq 57269703

 
Gnutella-svc ;-)

 GMT,
194.47.116.125:1535
,
151.26.82.116:6346
,TCP (flags:S)
6346? Gnutella. La prossima volta fai un:
nc -l -p 6346
e dicci cosa stava cercando di scaricare ;-)
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.19. C, C++ and ASM developers
                              and beta testers are welcome!

 nc -l -p 6346
Dove O:-) ?
Stef_Ozzy

 Vedi thread 'conseal' del 14/03/2002.
Devo averlo saltato :-(
Vado a vedere ^____^
Mumble... pero' non capisco... come funziona la ricerca di Gnutella?!? Dato
che non ce l'ho installato come sceglie gli IP da "scannare"? E perche' con
quella insistenza? Ho letto che poteva trattarsi di un IP precedente pero'
rimane l'insistenza un po' troppo pressante ;)
Grazie, Stef_Ozzy

 E perche' con quella insistenza?
perchè chi aveva il tuo indirizzo IP prima che diventasse tuo aveva *un 
sacco* di porno, warez e musica pirata :-)


 Dove O:-) ?
prompt comandi. Ovviamente ti serve nc, che č NetCat. Dovrebbe, in quel 
caso, comparirti una roba del tipo:
HTTP/1.1 GET /blah/blah/britney%20spears%20fucking%20and%20sucking.avi
(il protocollo Gnutella č basato sull'HTTP)
