Newsgroup: it.comp.sicurezza.varie
Titolo: Bricconi

Non pensavo, la fuori, ci fosse tutto sto far west:
Nov 10 23:41:52 my udplog: Back Orifice on 
gw-pn-as2.Telenia.IT:1828
<Ping>
Nov 10 23:41:52 my udplog: Replied to Back Orifice on
gw-pn-as2.Telenia.IT
: 
gw-pn-as2.Telenia.IT
: IT IS ALREADY TOO LATE.
Nov 10 23:44:52 my tcplog: finger connection attempt from
tsb1.unive.it
Nov 10 23:45:17 my last message repeated 17 times
Nov 10 23:49:30 my icmplog: ping from 
tsb1.unive.it
Nov 10 23:50:43 my udplog: Connection attempt to port 1816 from
dnsca.tin.it:53
Nov 10 23:51:32 my udplog: Connection attempt to port 1820 from
dnsca.tin.it:53
Nov 10 23:51:59 my udplog: Connection attempt to port 1827 from
dnsca.tin.it:53
Nov 10 23:52:03 my udplog: Connection attempt to port 1828 from
dnsca.tin.it:53
Nov 10 23:52:13 my icmplog: destination unreachable from
r-tin-mi6-atm.interbusiness.it
E si: le mie prime soddisfazioni con Linux ;)
Buttha
-----------------------------------------------------------------------
* h
* Per rispondere rimuovere i
* PGP Key available with fingerprint:
  7772 5C72 7392 538B  34B8 A189 13BC 867A

 Non pensavo, la fuori, ci fosse tutto sto far west:
ti garantisco che e' ancora peggio.....
-- 
(o-  ________________________________________________________________
//\  Luca Di Taranto                             dita...@zappami.tin
V_/_ to email me, please, remove "zappami" and add ".it" after ".tin"

 
dnsca.tin.it:53
[snip]
mmhh! questo e' il DNS di TIN...



dnsca.tin.it:53
Aspetta, la porta 53 e' "regolare" - si tratta di una connessione DNS.
Se il tuo resolver standard e' 
dnsca.tin.it
, udplog dovrebbe ignorarlo
nei logs. Altrimenti aggiungi
195.31.190.31	*
dnsca.tin.it
nella sezione [Hosts] di /etc/udplog.conf
(e mandami in mail il tuo /etc/resolv.conf, che mi interessa :-) )
Leonardo
".signature": bad command or file name

(e mandami in mail il tuo /etc/resolv.conf, che mi interessa :-) )
???
ciaos


>>(e mandami in mail il tuo /etc/resolv.conf, che mi interessa :-) )
 Anzi pubblicalo sul ng che si da un occhiata fra tutti se hai configurato
bene! hi hi hi

bene! hi hi hi
ecco qua il mio DNS, in versione beta:
Master = Stefano


trova solo quello primario.
Allora e' normale: udplog non lo conosce, sa un tubo chi e'. Per default,
tutti gli IP segnati in /etc/resolv.conf vengono ignorati.


Da quando mi hai boserverizzato non ti si regge piu! hi hi hi
 ho come un bruciore dietro .. che sara'??? ;-)))

L.S...@agora.stm.it
 wrote:
 >Allora e' normale: udplog non lo conosce, sa un tubo chi e'. Per default,
 >tutti gli IP segnati in /etc/resolv.conf vengono ignorati.
Cioe` vuoi dire che posso fare un UDP flood spacciandomi per il name
server del provider della vittima? Forse e` meglio adottare un criterio
piu` stretto...
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 ho come un bruciore dietro .. che sara'??? ;-)))
non lo so... ma ti do un consiglio: 
diffida dei peti ad alta temperatura :)


diffida dei peti ad alta temperatura :)
  tutto metano! .. roba salutare diceva Alessandro Volta. ;-)

piu` stretto...
Si', potresti farlo, e gli faresti un favore. Un UDP spoofed che arrivi
dal name server e' equipollente [alla lettera ;-)] ad un UDP spoofed da
qualsiasi altro indirizzo.
Cioe' e' completamente inutile ai fini del logging etc. - e il mittente
non puo' neanche ricevere una risposta.
Pero', se sembra arrivare dal name server, non stressa neanche syslog!
:-)
Un UDP flood comunque lo si puo' facilmente togliere di torno (benche',
evidentemente, dal modem arrivi sempre) usando ipfwadm. Si puo' mettere
un altro comando ("script") che esegua uno script per controllare route
e ipfwadm
<mumble>
si potrebbe realizzarlo gia' ora, usando "boclone" - funziona anche con
porte diverse dalla 31337, e modificandolo un po'...
...oppure, potrei aggiungere un comando "script", che lancia uno script
esterno configurabile a piacere.
OK, vada per udplog-1.7d :-)
</mumble>
Per altro, non e' raccomandato (mi pare ci sia scritto nel README... ma
non ne sono sicuro) prendere contromisure *drastiche* contro coloro che
SEMBRANO essere i mittenti degli UDP. Altrimenti, un certo signor X che
volesse nukare a morte il signor Y non fa altro che spedire falsi UDP a
nome di Y, incaricando il linuxaro dal grilletto facile di far tutto il
lavoro sporco.


lavoro sporco.
gia' ... tipico contro i firewalls con rules dinamiche che bloccano accesso
ad host per qualche secondo, dopo aver visto pacchetti con flag ACK senza aver
prima visto richieste con la sola SYN .... che tordi. Li spoofo ogni 5 secondi
con un IP antipatico, che viene quindi bannato ad interim dal firewall :)
invy

udplog
a proposito: arriva solo fino alla porta 32767? Perche'?


esterno configurabile a piacere.
si si si si!


a proposito: arriva solo fino alla porta 32767? Perche'?
Perche' mi andava! 8-O
udplog-1.7d.tgz, 0-65535. E con il comando script. Lamentati e ti vengo
a casa di persona con la mazza da baseball :-)
Leonardo che scherza. Per ora ;-)


a casa di persona con la mazza da baseball :-)
   io mi sarei tenuto un paio di porte riservate tipo  la 25018 3 la 31317..
cosi per insinuare dubbi nella mente degli
   altri .. sai il thrend che ci veniva fuori?!? hi hi hi

a casa di persona con la mazza da baseball :-)
scaricato.
Prepara la mazza, che ti devo fare una domandina:
vorrei, per es, lanciare in automatico queSO o nmap sul IP del
pingatore... chiaramente devo passare a questi programmi l'IP del
curiosone... visto che sono un newbie di linux, pensavo, ingenuamente,
di scrivere nello script in questione un queSO $2, oppure nmap -DU $2,
ma la cosa non funziona... quale e' il formatto corretto per fare
questo?
Buttha (DoS $2 $2 50)


che palle, il furbacchione qui sotto ha cercato di entrarmi in casa ...
fortunatamente il programma di leonardo lo ha beccato...
riporto i log come trofeo di guerra...
grazie leonardo
saluti a tutti 
a.
--------------------------------------------------------------------
Nov 17 14:22:26 akela udplog: Back Orifice: 
a-no6-28.tin.it:1025
 
("<Play a sound> 2^Bph^Eunito^Bit ")
Nov 17 14:22:26 akela udplog: Connection attempt to port 31337 
from 
a-no6-28.tin.it:1025
Nov 17 14:22:47 akela udplog: 
a-no6-28.tin.it
Nov 17 14:22:47 akela udplog: Back Orifice: 
a-no6-28.tin.it:1025
 
("<Copy a file> 3Xe316^C212^Gin-addr^Darpa ")
Nov 17 14:22:47 akela udplog: Connection attempt to port 31337 
from 
a-no6-28.tin.it:1025
Nov 17 14:22:50 akela udplog: 
a-no6-28.tin.it
Nov 17 14:22:50 akela udplog: Back Orifice: 
a-no6-28.tin.it:1025
 
----------------------------------------------------------------------------
-- 
Andrea Fanfani
fan...@levami.linux.it
"togliere levami per il reply"

("<Copy a file> 3Xe316^C212^Gin-addr^Darpa ")
{ certo e' strano. ...16.212.in-addr.arpa: e' il reverse addr per
a-no6-28.tin.it
. Um. Mettere in lista per la 1.7e: azzerare tutti
i buffers prima di ogni lettura. }
Leonardo


$2 e` la porta, devi usare $1 per l'IP.
no no, il problema e' che non riesco a chiamare alcun programma
Buttha


no no, il problema e' che non riesco a chiamare alcun programma
Sezione [Misc] (versione 1.7d/1.7e):
script=/usr/local/bin/che/mi/frega/script-file
Sezione [Rules]
...una regola che invochi "script x", x=modificatore a caso, se
   indifferente usare 'piano' ("script piano").
chmod +x /usr/local/bin/che/mi/frega/script-file
(altrimenti non viene eseguito; appro': cosa compare in /var/log/messages?)
script-file nella forma:
#!/bin/sh
# Let's play a sound
cat /usr/share/sounds/au/computer.au >/dev/audio
# Let's leave trace into system logs
logger "UDPScript[$5]: got UDP from $1 [$2], port $4, to local $3"
cat<<-MAIL | mail root
        Someone is trying to access the machine.
        Address: $1 [$2]
        OS: $( queso $2:137 )
        nbtstat:
        $( nbtstat -W $2 )
        host -a $2:
        $( host -a $1 )
	$( host -a $2 )
        traceroute $2 2>/dev/null
        $( traceroute $2 )
# DANGEROUS
# It is possible to SPOOF an UDP packet and force your PC
# to block ANY source subnet.
# Use ipfwadm only if confirmed in some other way (TCP if
# at all possible, with at least one GET from bo-http and
# a non-portable one at that _AND_ no misgets, see README
# for bo-http for details).
#
# /sbin/ipfwadm -I -i deny -S $2/24 -o
MAIL
exit 0;


[snip]
grazie, ho risolto.
Cmq, non utilizzo questa soluzione, perche' ad ogni comando inviato
dal pingatore verrebbe lanciato lo script (cmq, $2 e' l'IP risolto,
mentre $1 e' quello non risolto): non ha senso rifare ogni volta un
queSO o uno stealth scan.
Ho risolto con l'opzione carillon, che mi avverte. Poi lancio un mio
script a mano.
Grazie delle dritte


Leonardo


queSO o uno stealth scan.
Puoi fare cosi':
# Crea una log entry ordinabile per data ed IP
LOGENTRY="$( date +%Y-%m-%d-%H-%M ):$1"
LOGFILE=/var/log/boscript.log
LOGTEMP=/tmp/tmp-boscript.$RANDOM.$$
if [ ! -r $LOGFILE ]; then
	touch $LOGFILE
fi
if ( grep "$LOGENTRY" $LOGFILE >/dev/null ); then
# L'amico e' conosciuto, si esce
	exit 0;
fi
# Qui andrebbe altra roba per essere sicuri di non
# essersi ciucciati un UDP spoofato a bestia... sai
# che ganzo se uno manda un UDP da "127.0.0.1" ?
grep -v "$LOGENTRY" $LOGFILE > $LOGTEMP
OS=$( queso "$1:139" )
SHARES=$( nbtstat -W "$1" | grep "<" | tr -d "\t " | tr "\n" ":" )
echo "$LOGENTRY:$OS:$SHARES" >> $LOGTEMP
cat $LOGTEMP > $LOGFILE
#Eventualmente facciamo saltare la connessione per omnia saecula
#saeculorum. Un file contiene gli indirizzi "sani" che NON devono
#essere fatti saltare (ulteriore protezione antispoof).
if ( ! grep "^$1=\|^$2=" /etc/udplog-dontkill.conf >/dev/null); then
	#ipfwadm ...
fi
rm -f $LOGTEMP
