Newsgroup: it.comp.sicurezza.varie
Titolo: Bussano alla 13223

--- Follow up settato in it.comp.sicurezza.varie ---
Salve
Nei logs del mio Linux 2.0.36 ho trovato che qualcuno, esattamente
202.188.40.179 ha "bussato" alla mia porta 13223 per due vole in un
secondo e poi nulla piu'.
Poi ho trovato anche un icmplog che diceva "destination unreachable from
macro.caspur.it
 (193.204.5.62).
Che vogliono?
-- 
Buone Feste!
Grazie e ciao,
Giglio
E-mail: 
gig...@poboxes.com
Homepage: 
http://fly.to/giglio/
ICQ: 12385960

Che vogliono?
Coglioni che pensano di crackare un WinBug 95 e non sanno che tu non
usi il giocattolo....


macro.caspur.it
 (193.204.5.62).
Forse si trattava di un indirizzo spoofato, ovvero qualcuno ti ha mandato un
pacchetto ICMP forse alterato ad arte per far crashare la tua macchina
appicicandoci un' indirizzo di rete di un' altra macchina che, al momento
forse era spenta.
		Saluti, Maurizio.

 usi il giocattolo....
Sai per caso cosa cercano esattamente?


Sai per caso cosa cercano esattamente?
Un BoServe installato... ovviamente non troveranno una mazza visto che
usi Linux :-)
Poi se installi udplog di Leonardo ti puoi divertire alle sue spalle
facendo credere di stare usando un vero WinBug 95, con tanto di passwd
false :-)

false :-)
Suggerisco l'ipotesi che la porta 13223 (Giglio non ha specificato se
TCP o UDP) non c'entri nulla con quella di default BO (31337/UDP) ;-)
Bye Krmel
Microsoft Outlook Express: cosa vuoi postare postare postare postare oggi?

TCP o UDP) non c'entri nulla con quella di default BO (31337/UDP) ;-)
Di default, ma non fissa visto che si puo' specificare a che porta
connettersi, nevvero? ;-)

 false :-)
C'e' l'ho gia' :o)


 TCP o UDP) non c'entri nulla con quella di default BO (31337/UDP) ;-)
La porta era TCP quindi Bo e' da escludere.


 connettersi, nevvero? ;-)
Si, e' vero ma la 13223 a cui hanno bussato era udp


connettersi, nevvero? ;-)
Naturalmente,  ma allora per quale motivo dovrebbe essere proprio il
BO che tenta un ping su una porta non di default, anziché un qualunque
altro programma (magari per Unix) che tenta il collegamento su una
porta di default per lui? La logica suggerisce che sia di gran lunga
piů probabile proprio quest'ultima ipotesi...
BTW pure su altro ng, sulla faccenda di chi bussa sulla 13223, č
venuta la risposta che potrebbe trattarsi del programma Powwow.
Meglio sarebbe se qualcuno postasse il dump dei pacchetti che vengono
inviati alla 13223... qualcuno ne ha?


inviati alla 13223... qualcuno ne ha?
Io posso inviarti quello che dice il mio Firewall circa un tentativo di
connessione sull 13223:
15.17.35: Dispositivo di Ac..[0000][Ref# 0] Blocking incoming TCP:
src=212.216.193.118, dst=212.216.193.107, sport=1276, dport=13223.
(Il mio IP è il 107 mentre quello di provenienza è il 118)
Inoltre il firewall, quando mi chiede se bloccare il tentativo, mi dice che
potrebbe trattarsi del POWWOW!

potrebbe trattarsi del POWWOW!
 Sulle qualita' dei firewall di impedire accessi illegittimi potrei giurare
in ginocchio su i ceci, sulla distinzione di 'porta inerente a..'  sono
molto ma molto dubbioso.


Il tuo conseal ha ragione, quella è la porta usata di default dal server powwow per le connessioni dipendenti dalla richiesta di personal profile.
Quando qualcuno chiede detta richiesta dalle tue info il server pow cerca di contattare il client proprio su quella porta, la stessa è usata dal
server per verificare la tua presenza on line attraverso dei ping saltuari.

Si, e' vero ma la 13223 a cui hanno bussato era udp
Sempre coglioni rimangono se bussano ad un Linux box credendo di
trovare WinBug.

inviati alla 13223... qualcuno ne ha?
Beh chi ha Linux con tcpdump puo' farlo benissimo.

 trovare WinBug.
Pardon, era tcp


C'e' l'ho gia' :o)
Beh cosa aspetti allora a dargli le tue password? <GRIN>... mi
raccomando, che siano mooolto fantasiose !!

C'e' l'ho gia' :o)
In seguito a varie osservazioni, quasi tutte dell'inimitabile Marco d'Itri,
udplog ha subito una profonda (?) revisione. Tra le altre cose, non impesta
piu' /var/log/messages (se non richiesto) e usa un file suo, progettato per
un rapido uso di grep. HUP gli fa ricaricare i files di configurazione e il
sonoro e' modificabile molto piu' facilmente.
udplog-2.0b.tgz, dal vostro spacciatore di fiducia.
Ricordo che e' ahime' assai semplice riconoscere un "boclone" - basta usare
uno dei pacchetti che boclone NON conosce e non sa come imitare.
Leonardo
".signature": bad command or file name

udplog-2.0b.tgz, dal vostro spacciatore di fiducia.
Volooo !!!!

 secondo e poi nulla piu'.
A me succede da parecchio tempo, e da macchine che sembrano server di
qualcosa.. Non ho mai capito pero' quella porta a che serve.
--
Ciao,_
    /_)
   /ier
                   +---------------------------------+
                   |  Piergiorgio Ghezzo  (PJ/KNB)   |
                   |                                 |
                   | E-mail: 
pgh...@dsi.unive.it
    |
                   |         2:333/
70...@fidonet.org
 |
                   |         39:101/1...@amiganet.ftn |
                   |         PJ on IRC/#AMIGAITA     |
                  /)    ULR: www.the 
pentagon.com/PJ
 (\
                 / )    FAX: ++39-41-276-0079        ( \
             (\ ( (+---------------------------------+) ) /)
              \(\\ \   / )                      / )  / //)/
               \\\\ \_/ /                       \ \_/ ////
                \      /                         \      /
                 \    /                           \    /

Volooo !!!!
C'era ancora la 18a... :-?



Prova un wget diretto alla cieca ;-)


Prova un wget diretto alla cieca ;-)
Col ca%%o... non ricordi che sono ancora costretto ad usare il
cessOesse per colpa di quel WinModem della malora? ;-)

Prova un wget diretto alla cieca ;-)
Come non detto: ho ricontrollato ed ho visto che hai aggiornato la
pagina... gia' scaricato.

 udplog-2.0b.tgz, dal vostro spacciatore di fiducia.
Scusate, da dove si puo' scaricare questo pachetto? Interesserebbe anche
me
Buon Anno GF
-- 
________________________
 
 e-mail 
gi....@usa.net
 
 icq uin 7971778          
________________________

 me
www.linuxvalley.com/~lserni/
