Newsgroup: it.comp.sicurezza.varie
Titolo: come comportarsi?

Salve a tutti, questa sera mi sono trovato nei log:
00:51:37 input - eth1 PROTO=6 
194.221.70.3:22
 
10.0.0.1:22
 L=40 S=0x00
I=28428 F=0x0000 T=113 SYN (#9)
ed il bel tomo risulta:
www.special-net.de
inetnum:      194.221.70.0 - 194.221.70.255
netname:      HUBEREDV-NET
descr:        Benedikt Huber EDV Beratung
country:      DE
admin-c:      BH226-RIPE
tech-c:       BH226-RIPE
status:       ASSIGNED PA
notify:       
bhu...@special-net.de
mnt-by:       CW-EUROPE-GSOC
changed:      
jo...@ecrc.de
 19990827
changed:      
the...@de.cw.net
 20010803
source:       RIPE
Come mi dovrei comportare?
La domanda sorge perchè noto che *non* c'è un indirizzo abuse@ ed il numero
di ip possibili mi fa pensare che la realtà "attaccante" possa essere
talmente piccola che la mia mail di protesta potrebbe finire direttamente al
responsabile dell'attacco (la parola forse suona più grossa e grave della
realtà...)
In questi casi cosa è consuetudine fare?
Grazie per l'attenzione
Saluti
--
Stefano Zamboni 
sz...@libero.it
Legge di Rudin:
In casi di crisi che obbligano la gente a scegliere tra varie linee di
condotta, la maggioranza sceglierà la peggiore possibile.

 I=28428 F=0x0000 T=113 SYN (#9)
[..]
Se le cose stanno cosi' (e' un pidocchio) ignoralo, poi se persistesse
io fare un bel
# ipchains -A input -p all -s 194.221.70.0 -j REJECT
e amen
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 # ipchains -A input -p all -s 194.221.70.0 -j REJECT
Si ma Stefano usa OE percui una macchina Windows non Linux :)
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509

 Si ma Stefano usa OE percui una macchina Windows non Linux :)
Allora Amen.


 
Lo prende windows route add .host xxx.xxx.xxx.xxx reject ???
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il giovane marito si ammira nudo allo specchio...
	"Vedi cara, con qualche centimetro in più sarei un re"
	e la moglie "e con qualche centimetro di meno saresti una regina!"


Si, ma il mio FW č linux ;-)
acca' nisciuno č fesso!
Grazie
--
Stefano Zamboni 
sz...@libero.it
----------------------------------------------------------------------------
-----------
Firma anche tu la petizione contro i brevetti sul software!
http://petition.eurolinux.org/index_html?LANG=it

 I=28428 F=0x0000 T=113 SYN (#9)
La macchina che ti ha scansionato è un server web. In particolare si
tratta di 
www.special-net.de
. Questo mi fa pensare che non sia stato
l'amministratore del server a fare lo scan ma qualcuno che con tutta
probabilità ha compromesso la macchina (quale admin fesso lo farebbe
dalla propria macchina?).
Io proverei a scrivere a 
ab...@special-net.de
 e poi, se ti rimbalza,
a 
postm...@special-net.de
 o 
ro...@special-net.de
 [1], avvisando che
sul loro server potrebbe esserci qualche problema.
Fabio
[1] O altri verosimili contatti amministrativi.

 acca' nisciuno č fesso!
E allora che problema c'e'? Fai come ti ho detto e dimenticati di quel
fesso.


>> I=28428 F=0x0000 T=113 SYN (#9)
E' una impressione?
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

 I=28428 F=0x0000 T=113 SYN (#9)
Strano...source port 22...bah.
Direi che e' un idle scan, se non fosse che l'ipid sequence
che ho rilevato non e' compatibile.
-- 
E' in votazione it.sociale.globalizzazione
news://it.news.votazioni

 Si ma Stefano usa OE percui una macchina Windows non Linux :)
il log postato infatti mi sembra proprio un log di isa server.
un mayhem e la miopia
--
Without sacrifice, withouth death, we would have nothing. TD
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
 - 
http://m2net.it.eu.org

 un mayhem e la miopia
Beh in effetti per quanto mi riguarda...


che ho rilevato non e' compatibile.
Quello che mi chiedo e': perche' cercare qualche cosa sulla 22...
SSH... Ci sono vulnerabilita' recenti per tale demone? a parte la
storia della password da due caratteri...



Il log postato proviene da Smoothwall... macchina linux kernel 2.2.20
Saluti
--
Stefano Zamboni (
sz...@libero.it
)
--------------------------------------------------------------
"If Bill Gates had a dime for every time a Windows box crashed...
...Oh, wait a minute, he already does."

 storia della password da due caratteri...
C'e' stato il bug del CRC Compensation.


 storia della password da due caratteri...
C'e' stato un notevole incremento delle scansioni sulla 22
legate probabilmente ad un buffer overflow exploitabile in
remoto del modulo crc32 compensation attack detector che è
presente in quasi tutti i server sshd.
Inoltre c'e' il famoso x2, che ho scaricato da poco ma che
non ho ancora provato.
Molte di queste scansioni hanno proprio la caratteristica,
come rilevabile da molti post su mailing list, di avere la
porta 22 sia come sorgente sia come destinazione. E' molto
probabile che si trovino dei tool di scansione o dei worm,
anche se non ne ho mai provati, con questa caratteristica.
Inoltre gli sviluppatori del tool ScanSSH compiono analisi
periodiche facendo scansioni su larga scala e catturando i
banner per verificare la quantità di server vulnerabili in
uso. Alcune scansioni vengono probabilmente da loro.
Fabio

 password da due caratteri...
Lo avevo postato qualche giorno fa su it.comp.sicurezza.unix: qui
all'Universita` hanno bucato (e praticamente piallato) quattro macchine
linux. In comune avevano (oltre al fatto che erano amministrate da cani -
quando c'era qualcuno che le amministrava) che ci era installata l'ssh1 ed
in alcune era stato upgradata all'ssh2.
Dovrebbe essere tutto spiegato qui:
http://www.cert.org/advisories/CA-2001-35.html
-- 
|- Franco Moglie - Ancona - Reply su indirizzo A PERDERE, per        -|


http://www.cert.org/advisories/CA-2001-35.html
Mah, vabbe'... I maggiori distributori hanno gia' fornito le patch...
se gli admin non le avevano applicate... 


 installata l'ssh1 ed in alcune era stato upgradata all'ssh2.
ricordo male io, o il problema era proprio ssh1, ssh2 *solo* in
caso di upgrade da ssh1?
unmaurizio e la memoria oltre che la miopia.
-- 
nebbia

 in alcune era stato upgradata all'ssh2.
unian? x curiosita' che facolta'? Se e' Ing, la vedo da casa... 8-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

> unian? x curiosita' che facolta'? Se e' Ing, la vedo da casa... 8-)
Proprio Ing., vederla da casa e`  un "privilegio" che ha mezza Ancona :-).
-- 
|- Franco Moglie - Ancona - Reply su indirizzo A PERDERE  -|

 upgrade da ssh1?
Sembrerebbe proprio cosi`, almeno come e` scritto sul sito del cert.
A conferma le macchine che sono state bucate o avevano l'ssh1 non
aggiornata, o erano state upgradate.
Dai log noto un numero sempre crescente di tentativi sulla 22,
soprattutto il fine settimana (!?!) dovrebbero girare dei kit per bucare
l'ssh non aggiornata. Andando indietro con i log, si nota che sono
iniziati ai primi di dicembre. Prima i tentativi sulla 22 erano meno di
uno a settimana.
-- 
|- Franco Moglie - Ancona - Reply su indirizzo A PERDERE -|

 :-).
hehe praticamente il punto piu' alto della citta' o quasi... Ho fatto 4
anni di liceo li' sotto. 8-) E ci ho anche messo piede un 3-4 volte
diversi anni fa, per le feste che fanno a carnevale.


 quando c'era qualcuno che le amministrava) 
Se era l'idau, ad un mio carissimo amico stanno fischiando le orecchie
:-))
-- 
Luca - e-mail: p.stevens at 
operamail.com

:-))
E se era l'ASCU, a due miei amici (di cui uno pure collega) fischieranno
ancora di piu'. :-)))
-- 
BlueRaven
"Remember, logcheck does not report anything if it has nothing useful
to say (only if the rest of USENET could do this)."

 
Due erano ad Elettronica dove sto io :-(, ed altre due degli studenti:
radiogateway (o un nome simile?) e l'universita` europea. Per il momento i
vostri amici possono stare tranquilli, ma i log di ieri notte mi fanno
pensare ad un altro attacco.
Quando su messages si trova (e non solo su antares): 
Jan 24 20:56:35 antares ntpd[629]: synchronisation lost
Jan 25 00:49:47 antares ntpd[629]: synchronisation lost
soprattutto a quell'ora non ci sono tante altre alternative.
-- 
|- Franco Moglie - Ancona - Reply su indirizzo A PERDERE      -|

 ancora di piu'. :-)))
Ma quanti siamo delle Marche, qui? 8-)


  Ma quanti siamo delle Marche, qui? 8-)
Troppi <G>
-- 
 (o_   Su questo anello, le lettere riportate da Isildur possono essere 
 //\   ancora lette. Io l'ho fatto, ed ecco cosa vi ho letto:
 V_/_  "Ash nazg durbatuluk, ash nazg gimbatul, ash nazg thrakatuluk 
       agh burzum-ishi krimpatul."  

 Troppi <G>
Aho', guarda che mezza Roma e' fatta de marchigiani (*) (**), eh!
Praticamente siamo come gli irlandesi e NYC. 8-) Attento a te... 8-)
(*) Te dici "appunto"... ^_____^
(**) Prima che lo dici te, lo dico io. "Meglio un morto in casa che un
marchigiano alla porta" (***)
(***) Detto originato dal fatto che gli esattori pontifici erano
soprattutto marchigiani (****)
(****) cfr. anche "Il Marchese del Grillo". Nel film, chi era di Macerata?
Il cognato, mi pare?
