Newsgroup: it.comp.sicurezza.varie
Titolo: Intruso

C'è un tentativo frequente di entrare nel mio PC da parte di:
151.57.103.181
Utilizzando 
www.samspade.org
 non sono riuscito a decifrare il sito.
Qualcuno ne sa qualcosa?
--
Bye, Yorgos
To send me an e-mail, please change occupied with libero

151.57.103.181
Trovato!
E' Infostrada.


 E' Infostrada.
Beh, quell'IP fa parte di una classe /16 di Infostrada, che include 
65532 indirizzi host. Molto probabilmente si tratta di un indirizzo 
dial-up o comunque dinamico; se e' sempre lo stesso e' possibile sia un 
utente adsl.
Prova a rilevare il tipo di attacco (snort ecc ...): se vedi che attacca 
le porte NetBIOS (137, 138, 139, 445) e' probabile che si tratti di un 
worm che tenta di replicarsi via rete.
Comunque, nel caso di attacchi, l'intruso effettua un ip spoofing per 
sostituire il suo vero IP con uno scelto arbitrariamente, per cui 
l'indicazione dell'IP, in caso di vero attacco, non e' affidabile.
Ciao
Luca

worm che tenta di replicarsi via rete.
Avrà vita difficile.
L'attacco avviene su un PC con solo Debian e un firewall che funziona
con una white list (mi collego SOLO alla banca on line).
Grazie per il tuo aiuto!


 con una white list (mi collego SOLO alla banca on line).
Potresti configurare il firewall in modo da non rispondere con l'echo 
reply ai pacchetti icmp (insomma, a non rispondere al ping), cosi' gli 
script dovrebbero saltare il tuo IP.
Se per caso hai aperto la 22 dall'esterno, tieni sempre presente il bug 
degli account semplici da individuare, con annesso lancio di script, che 
hanno privilegio root e non sono chrootabili. Basta settare le acl di 
sshd per risolvere la cosa.
Ciao
Luca

sshd per risolvere la cosa.
Ehm, sei troppo avanti per me!
Utilizzo Firestarter, da dove comincio?


 Utilizzo Firestarter, da dove comincio?
Non ho mai usato firestarter, comunque potresti seguire la 
documentazione per disabilitare la risposta (echo reply) al ping (ICMP).
Per la faccenda della porta 22 (SSH), e' un tallone d'Achille ben noto: 
se la tua macchina non ha la porta SSH pubblicata in internet, non corri 
rischi. Se invece mantieni aperta la porta per poter amministrare il 
computer da remoto, e' opportuno definire quali utenti hanno accesso in 
ssh, escludendo tutti gli altri.
Questo perche', di solito, se si abilita l'accesso ssh, qualsiasi utente 
definito sul computer puo' avere accesso, seppure al solo proprio 
ambito. Per cui, anche gli account di prova (es. test/test) funzionano, 
e vengono scoperti in fretta dagli script brute-force.
Una volta ottenuta una shell, lo script uploada (scp) uno script e lo 
lancia. Lo script cosi' lanciato, viene eseguito direttamente dal 
kernel, si trova ad avere permessi di root e puo' fare qualsiasi cosa 
sul sistema.
Ciao
Luca

Luca
--


rischi.
Come faccio a controllare lo stato della porta 22?
Grazie per il tuio aiuto!


 Come faccio a controllare lo stato della porta 22?
Se il firewall non permette nessuna connessione dall'esterno, sei a 
posto. Se invece devi verificare le porte aperte, puoi usare uno dei 
tanti tool on-line, es: 
https://www.grc.com/x/ne.dll?bh0bkyd2
Ciao
Luca

tanti tool on-line, es: 
https://www.grc.com/x/ne.dll?bh0bkyd2
Ora penso di essere a posto, grazie per l'utile link.


 utenti hanno accesso in ssh, escludendo tutti gli altri.
per esaminare le porte (compresa la 22) basta questo test
https://www.grc.com/x/ne.dll?bh0bkyd2
uso kerio e ho superato il test
-- 
jooker 

 (...)
e' un buchetto anche di RH9/openssh3.5?
le acl come si fanno (nella maniera piů semplice possibile ;))?
Ed un grazie in anticipo 

 le acl come si fanno (nella maniera piů semplice possibile ;))?
RTFM
vi /etc/ssh/sshd_config
AllowUsers root
non proprio canonico con root, ma tantč... ;) 

 e' un buchetto anche di RH9/openssh3.5?
E' proprio un problema di interazione fra openssh e il kernel.
L'unica e' ricordarsi sempre di creare un solo utente abilitato, con 
una password decente, e una volta loggati fare su.
Ciao
Luca
-- 
"Le città come i sogni sono costruite di desideri e di paure"
[Italo Calvino]