Newsgroup: it.comp.sicurezza.varie
Titolo: Attacchi a catena

Ecco le segnalazioni di ZA:
The firewall has blocked Internet access to your computer (HTTP) from
212.41.223.22 (TCP Port 4448).
Time: 10/02/01 20.57.36
The firewall has blocked Internet access to your computer (TCP Port 3128)
from 212.41.223.22 (TCP Port 4449).
Time: 10/02/01 20.57.36
The firewall has blocked Internet access to your computer (TCP Port 8080)
from 212.41.223.22 (TCP Port 4450).
Time: 10/02/01 20.57.36
The firewall has blocked Internet access to your computer (DNS) from
12.22.230.2 (DNS).
Time: 10/02/01 21.05.54
Ho fatto il tracert dell'ultimo:
Rilevazione instradamento verso 
ns2.area-net.com
 [12.22.230.2]
su un massimo di 30 punti di passaggio:
  1   179 ms   161 ms   151 ms  
rm1ie01u.iunet.it
 [151.5.160.63]
  2   156 ms   147 ms   152 ms  151.5.160.1
  3   161 ms   159 ms   167 ms  151.5.207.113
  4   167 ms   164 ms   160 ms  192.94.212.177
  5   200 ms   192 ms   186 ms  
mi5-infostrada-1-it.seabone.net
[195.22.205.45]
  6   251 ms   252 ms   254 ms  
so-2-1-0.ar2.NYC2.gblx.net
 [208.48.33.5]
  7   252 ms   249 ms   254 ms  
pos4-0-622M.cr1.NYC2.gblx.net
[208.48.234.201]
  8   258 ms   262 ms   254 ms  
pos0-0-622M.cr1.WDC2.gblx.net
[208.178.174.78]
  9   259 ms   255 ms   257 ms  
so1-1-0-622M.br1.WDC2.gblx.net
[208.178.174.54]
 10   258 ms   257 ms   251 ms  208.51.74.182
 11   260 ms   260 ms   254 ms  
gbr4-p50.wswdc.ip.att.net
 [12.123.9.54]
 12   258 ms   255 ms   257 ms  
gbr2-p100.wswdc.ip.att.net
 [12.122.1.186]
 13   261 ms   256 ms   255 ms  
ar1-p310.wshdc.ip.att.net
 [12.123.194.1]
 14   275 ms   286 ms   282 ms  12.126.166.218
 15   301 ms   287 ms   276 ms  
ns2.area-net.com
 [12.22.230.2]
Rilevazione completata.
E ho cercato informazioni sul Query Whois Database ma non ho trovato nulla.
Sapete spiegarmi in dettaglio questi attacchi?

from 212.41.223.22 (TCP Port 4450).
Questo e' un simpatico tùlz che serve a trovare proxy anonimi onde poter
surfare anonimamente. Riconosco l'idiotesca apertura di sockets ottenuta
da Windows (no, dico, fare un portscan a colpi di socket()...).
+++
Incidentalmente, se io lascio 1080, 3128 e 8080 aperte, mica commetto un
reato - giusto? Sono per gli utenti della mia intranet. Il logging, come
e' logico, e' permanente, assoluto, fascista, e salvato per cinque anni;
ma per evitare che occupi troppo spazio, non loggo 192.168.*.*.
+++
E se ogni tanto le risposte del proxy variassero? Ho scritto appunto una
trascurabile quantita' di moduli passthrough e autentify per Squid... e'
ovvio che ignorano gli indirizzi 192.168.*.*, perche' cosi' posso fare i
miei tests da 127.13.8.68... ora, per l'appunto, non mi e' mai capitato,
ne' mi capitera' di capire che, in questo modo, lascio passare eventuali
connessioni dall'esterno... sarebbero loggate, magari alterate a spregio
in modo casuale... ma, come dice Bill, "Non succedera'!". D'altra parte,
nessuno sa che su quell'host c'e' uno Squid aperto... e io mica mi posso
immaginare che la gente vada in giro a scandire intere subnets, in cerca
di Squid aperti...[1]
Leonardo bastardo dentro
[1] sto facendo una compilation dei logs piu' succulenti.
-- 
And where the black and corkscrew towers climb
Lost and athirst the ragged pack abides,
Old as the aeons, trapped in tombs of time,
Sailing the tortuous temporal tides...

 from 212.41.223.22 (TCP Port 4449).
E un banale portscan.. cosa cercasse questo idiota non ne ho proprio
la benche' minima idea.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

12.22.230.2 (DNS).
Questo e' un DNS che si e' perso?
Lapalissiano
Icq 57269703

Beh, non ho capito niente di ciň che hai detto....cmq, stavo surfando
tramite Safeweb....se non ricordo male....Vorresti ordunque dire che Safeweb
mi ha fatto uno scanning completo? (Beh, quasi compelto...suvvia!)



Ahh, allora volevano accertarsi che tu fossi un utente, e non un proxy
che li usava per conto terzi.
Leonardo


 che li usava per conto terzi.
Ahhh, ok....tutto bene allora. Ma cmq li lascio perdere....troppo lenta la
navigazione....

porta 3128 ha controllato se avevi il trojan RingZero
No, probabilmente cercava squid (3128 e' la porta di default).
Dan
-- 
nospam -> danyk

navigazione....
Bah, se devi usare un proxy solo per velocizzare la connessione imho ti
conviene installare un proxy locale ed usare quello[1]
Henryx
[1] dopo tutto gli hd che si vendono oggi sono di almeno 20Gb. Percio`,
perche` non sfruttarli un po'? :)
-- 
===UN*X is SEXY!===
who|grep -i "green eyes"|date; cd ~; apropos fsck; whatis `unzip`|touch; 
strip; finger; mount; gasp; yes|more; uptime; umount; sleep

 conviene installare un proxy locale ed usare quello[1]
Well....non era per questo, era per l'anonimato. Ma perchč essere proprio
anonimi poi?
Boh.