Newsgroup: it.comp.sicurezza.varie
Titolo: Sono entrati!!

Corrado Pisani (
pis...@ctu.unimi.it
) wrote:
: tamattina, come sempre, controllo i files di log e leggo:
: ".... in.telnet[xxyyyy] connect from ro...@xxx.yyy.zzz.hhh"
: Controllo l'ora... ma e' notte inoltrata!!! 
ciao,
non preoccuparti troppo
sono entrati anche su una macchina qui al Poli di Torino ma tramite log vari
ho visto che non fanno danni;
controlla che sulla porta 100 (in /etc/services) probabilmente ti hanno
messo  una shell (per poter rientrare come root senza tanti casini)(internet
e piena di macchine linux con la porta 100 di entrata senza login); 
poi controlla che probabilmente ti hanno cambiato il programma login;
poi ti hanno preso il file passwd, ma non possono farsene niente a meno che
non hai password banali;
chiaramente devi aggiornare subito imap (se usi red hat l trovi sul loro
sito)
altro non dovrebbero averlo fatto, comunque aspettali verso dalle 22.30 alle
24 sulla tua macchina , io l'ho fatto e ho visto in tempo reale tutto cio '
che tentavano (quando ormai avevo aggiornato imap).
ho anche l'indirizzo irc dove puoi trovarli (ho perlomeno penso visto che
non ho mai usato irc) se interessa a qualcuno lo posto.
Ciao
Stefano 

non ho mai usato irc) se interessa a qualcuno lo posto.
beh, il canale storico non e' mica un segreto e cmq in genere si
trovano  una marea di lamer (del tipo: mi passi un prog x hackerare?)
e solo qualche hacker bravo. Gli hackers "veri" si ritrovano via ICQ,
o con EMail protette con il pgp e se si incotrano su irc usano
generalmente canali creati ad hoc.
Byez
Un membro dell'ORDA DELLE BADLANDS

Orda Delle BadLands (
i...@me.va
) writes:
   Guarda che le pass si possono decrpitare con il John The Ripper, se
   sono banali con una wordlist lo si fa' in un paio di ore, se sono
   strane si imposta il John con "incremental" e in una notte (su un
   p200) una buona parte delle pass dovrebbero essere state
   decodificate.  (che ridere se penso a quelli del cert allo smau, 1
   pass in 12 ore :)))))))
Per curiosita`, mi decritti questa password (di root) e mi dici quanto
ci hai messo e su che macchina?  Grazie.  Puoi anche pubblicare il
risultato in chiaro, tanto non e` attualmente utilizzata.
Ej258CFLeuQjg

ste...@fenice.polito.it
 wrote:
 >: strane si imposta il John con "incremental" e in una notte (su un
 >: p200) una buona parte delle pass dovrebbero essere state decodificate.
 >strano, se non usa wordlist come puo' decriptarle ?
Per forza bruta, ma e` ridicolo sostenere che ci metta una notte, anche per
una sola password.
 >ftp  38.12.163.123
Intanto vai a vedere di chi e` questo sito, o e` stato hackerato oppure e`
la loro base.
 >./sirc2 128.52.46.65 
irc.frontiernet.net
 6666 -i ^jennifer- 
jspo...@port17.swbi.net
 "Hey guess what? i'm a fuckup"
Questo probabilmente e` un bot.
 >cc -o /bin/login login.c
Qui ti hanno installato un login fornito di backdoor, chiunque sappia la
password segreta puo` fare un login come root senza rimanere nei log.
 >cc -o smurf smurf.c
? Ti hanno usato come partenza per uno smurfing e non te ne sei nemmeno
accorto? Spero che tu abbia almeno resettato la macchina, i server male
amministrati sono un danno per tutta la rete, perche` permettono a dei
vermi come quello che ti ha crackato di usarti come base per altri attacchi.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

Marco d'Itri (
m...@toglimi.linux.it
) wrote:
: 
ste...@fenice.polito.it
 wrote:
:  >: strane si imposta il John con "incremental" e in una notte (su un
:  >: p200) una buona parte delle pass dovrebbero essere state decodificate.
:  >strano, se non usa wordlist come puo' decriptarle ?
: Per forza bruta, ma e` ridicolo sostenere che ci metta una notte, anche per
: una sola password.
infatti e' quello che penso anche io
:  >ftp  38.12.163.123
: Intanto vai a vedere di chi e` questo sito, o e` stato hackerato oppure e`
: la loro base.
e' una macchina hackerata come le altre, in genere quando vengono passano da
2 o 3 macchine hakerate per rendere piu- difficile rintracciarli.
Ho provato a risalire la macchine ma sono fermato al secondo livello perche
molte universita lasciano accesso a internet non controllato
:  >./sirc2 128.52.46.65 
irc.frontiernet.net
 6666 -i ^jennifer- 
jspo...@port17.swbi.net
 "Hey guess what? i'm a fuckup"
: Questo probabilmente e` un bot.
questo  non lo conosco
:  >cc -o /bin/login login.c
: Qui ti hanno installato un login fornito di backdoor, chiunque sappia la
: password segreta puo` fare un login come root senza rimanere nei log.
si , infatto ho subito rimesso il mio login
:  >cc -o smurf smurf.c
: ? Ti hanno usato come partenza per uno smurfing e non te ne sei nemmeno
: accorto? Spero che tu abbia almeno resettato la macchina, i server male
e' chiaro che me ne sono accorto !
: amministrati sono un danno per tutta la rete, perche` permettono a dei
: vermi come quello che ti ha crackato di usarti come base per altri attacchi.
(bhe riuscire ad avere un log di tutto cio che hanno fatto non e' proprio da
tutti; certo sul fatto che imap fosse bacato non ci posso fare niente , se
non al limite di non aver controllato puntualmente la sua pagina dei fix, ma
sulla mia macchna girano talmente tante cose che se dovessi controllare
tutti i possibili bug e fix non avrei piu' tempo per il resto)
si, ho rimnesso tutto a posto e ho patchato l'imap che era la loro entrata,
li ho anche aspettati e ho visto mentre fallivano l'ingresso (con sommo
gaudio).
Ciao
Stefano

:  >./sirc2 128.52.46.65 
irc.frontiernet.net
 6666 -i ^jennifer- 
jspo...@port17.swbi.net
 "Hey guess >what? i'm a fuckup"
sei mi permettete questo e' un programma per connettersi all'irc "spoofando".
Luigi Mori

tar -xvf eggdrop1.1.5.tar
Questo e' il nome vero e proprio del sorgente del bot, si tratta di un
EggDrop. Forse il migliore sulla piazza, infatti riesce a resitere
bene a ping e flood vari; inoltre e' famoso per l'ottima
programmazione e facilita' di compilazione. Cio' lo rende comodissimo
per i takeover.
Un membro dell'Orda delle BadLands e del SoftProject
Byez
PS: Per quanto riguarda la decodifica della pas del CNR mi ci vorra'
un po' di tempo perche' ora sono bloccato su un tremendo 486 33 MHz
mentre aspetto il mio sfavillante K6.

 Stefano  
Beh... ricordando che "nisciuno nasce 'mparato"... mi affido alla bonta'
vostra... ;-)
Salutoni,
-- 
      Ermanno Polli   (INFN-LNF)
user:    hostname:  subdomain:  domain:  country:
system   axjet      lnf         infn     it
polli    N/A        lnf         infn     it

 domanda sorge spontanea: "Che vor di'??" ;-)
Una macchina manda in giro dei pacchetti spoofed icmp di echo request
a degli indirizzi di broadcast.
Gosh... che spiegazione! :))
Dunque una macchina finge di essere un altra (spoofing) e manda un
pacchetto di echo request (ping) a tutte le altre macchine nella
subnet (l'indirizzo di broadcast). Queste altre macchine rispondono
al ping con un echo reply alla macchina che credono abbia originato i
request. Se l'attaccante genera queste richieste, ad esempio, a 1Kb/s
(valore a caso) e ci sono 100 macchine che rispondono al broadcast
(ma possono essere molte di piu') all'attaccato arriva un traffico
di 100Kb/s. Questo puo' quantomeno causare grande traffico sulle
linee della vittima e arrivare fino a un denial of service.
Il "come difendersi" coinvolge le configurazioni dei router ed
in particolare sarebbe necessario negare la trasformazione da
ip address broadcast a broadcast a livello fisico.
Spero di non avere detto (troppe) cavolate.
Bye,
        Masse

            -> Dialogo dei Massimi Sistemi  ;-)
:))))
Ciao,
        Masse

 130.192.5.216
Server:  
lnfnet.lnf.infn.it
Address:  192.84.127.12
Name:    
fenice.polito.it
Address:  130.192.5.216
e un ping mi ha dato:
AXJET>mu ping 
irc.frontiernet.com/num=10
ping: unknown host 
IRC.FRONTIERNET.COM
e questo e' ovvio...
AXJET>mu ping 
128.52.46.65/num=10
PING 128.52.46.65 (128.52.46.65): 56 data bytes
----128.52.46.65 PING Statistics----
10 packets transmitted, 0 packets received, 100% packet loss
Diazepam non risponde. Beh, potrebbe essere solo spento... magari e' una
workstation di qualcuno al MIT. Pero'... gnu... ai... -> intelligenza
artificiale + free software. Cosa c'e' da attaccare?
O forse e' solo un aspirante hacker che sta provando la sua abilita? ;-)
Ciao,


 Adesso vado a rigurdarmi tutto e cerco di pulire la forma ;-)
--------------------^
AAARRRRGGHHH!
