Newsgroup: it.comp.sicurezza.varie
Titolo: 137 udp ... cosa cercano?

Scusate, so che la 137 udp è usata da netbios
netbios-ns 	137/tcp # NETBIOS Name Service
netbios-ns      137/udp      
però da un po' di tempo a questa parte iplogd mi segnala in quantità chiamate del tipo
Sun Nov 14 12:56:42 1999:4: UDP connection attempt to port 137/udp from 
vftp.bayside.net:137
 [111]
Sun Nov 14 22:54:38 1999:4: UDP connection attempt to port 137/udp from [212.41.192.250]:137 [121]
Mon Nov 15 22:42:40 1999:4: UDP connection attempt to port 137/udp from [212.17.223.55]:137 [116]
ci sono dei momenti che è un continuo.
Non che mi preoccupi, ma mi chiedevo cosa fossero.
ciao 
Jabba
-- 
 g_farinelli at yahoo punto com
-------------------------------
c:\>win2000patch001.exe
This Microsoft(c) patch fix all bugs present. All rigths reserved.
Insert Linux boot disk to continue ... loading kernel ... 

Jabba <Ja...@JabbaLinuZ.net> wrote in message
slrn833o8o...@JabbaLinuZ.net...
:
: Scusate, so che la 137 udp è usata da netbios
:
: netbios-ns 137/tcp # NETBIOS Name Service
: netbios-ns      137/udp
:
: però da un po' di tempo a questa parte iplogd mi segnala in quantità
chiamate del tipo
:
: Sun Nov 14 12:56:42 1999:4: UDP connection attempt to port 137/udp from
vftp.bayside.net:137
 [111]
: Sun Nov 14 22:54:38 1999:4: UDP connection attempt to port 137/udp from
[212.41.192.250]:137 [121]
: Mon Nov 15 22:42:40 1999:4: UDP connection attempt to port 137/udp from
[212.17.223.55]:137 [116]
:
: ci sono dei momenti che è un continuo.
: Non che mi preoccupi, ma mi chiedevo cosa fossero.
beh mi sa che c'e' qualcuno che ti abbia visto le condivisioni...
scusami xche' non elimini NETBIOS visto che non ti serve?
Ciao

Ciao
Non ho le condivisioni quindi difficilmente qualcuno puņ vedermele,
netbios non mi serve, ma non ce l'ho e manco ce lo voglio avere visto
che uso linux :-)
Proprio per questo NON ero preoccupato ;-)
Possibile perņ che ci sia qualcuno che fa qualche scan random alla
ricerca di condivisioni netbios? o un qualche DoS per win? ... 
La cosa mi incuriosiva visto che mi sono accorto di queste chiamate
solo verso la metą di novembre e stanno aumentando di numero e
frequenza. Un qualche nuovo sport? Qualche implementazione di servers
MS? 
Mah!
Jabba
--
 g_farinelli at yahoo punto com
______________________________
c:\> win2000patch001.exe
This Microsoft(c) patch fix all bugs present. All rigth reserved.


Jabba <Ja...@JabbaLinuZ.net> wrote in message
3832b531...@news.tin.it...
:
: Non ho le condivisioni quindi difficilmente qualcuno puņ vedermele,
: netbios non mi serve, ma non ce l'ho e manco ce lo voglio avere visto
: che uso linux :-)
: Proprio per questo NON ero preoccupato ;-)
eheheeheh
allora xche' non ti fai un bel prg (semplice semplice) che rimane in ascolto
sulla
137 udp e quando qualcuno la interrogra mandi un "Hei! coglione la smetti??"
:)
:Un qualche nuovo sport? Qualche implementazione di servers
: MS?
si ormai e' uno sport :))
Ciao

 o un qualche DoS per win? ... 
beh, considera che se la condivisione e` fatta alla meglio (rw) e
senza password e/o coivolge anche le stampanti....
il tutto diventa quasi quasi una backdoor ;)

 ci sono dei momenti che è un continuo.
Mai sentito parlare di iplogd? Divertiti...
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 scusami xche' non elimini NETBIOS visto che non ti serve?
Ehm veramente lui usa Linux :-)


Non che mi preoccupi, ma mi chiedevo cosa fossero.
Motori di... ricerca. In particolare, ricercano files MP3. All'ultimo che ci ha
provato (
www.mp3qualcosa.net
), gliene ho pure fatto trovare uno... e difatti se
l'e' preso di volata... Prima non ci credevo, che ci fosse gente cosi' tonna da
fare robe del genere.
Ho anche trovato un "programma" che sostanzialmente apre una share via TCP/IP e
Internet, "C:\MP3FILES", e avvia un fitto scambio anonimo. M'immagino che prima
o poi qualcuno ci scarichera' dentro netbus.mp3.exe, ed il giochino perdera' di
interesse.
Leonardo
".signature": bad command or file name

Mai sentito parlare di iplogd? Divertiti...
A giudicare dal formato dei files di log, direi che ne ha sentito parlare
eccome.
Nel caso, puo' aggiungere questa regola
0.0.0.0 / 0.0.0.0  udp  137 : 137   !script piano NetBIOS
...poi, ci deve essere un file "script" da qualche parte, tipicamente rimane
in  /usr/src/iplogd (anche se andrebbe messo in /usr/local/bin), e, la' dove
dice:
udp()
{
        if [ "$IPLOGD_LOCALPORT" gt 30000 ]; then
                # Probably a traceroute
                log "UDP: assumed traceroute from $IPLOGD_REMOTEHOST \
[$IPLOGD_REMOTEADDR], port $IPLOGD_REMOTEPORT->$IPLOGD_LOCALPORT \
($IPLOGD_LOCALSERVICENAME)"
                exit 0
        fi
	...
modificare:
{
	if [ "$IPLOGD_LOCALPORT" eq 137 ]; then
		# Toh, un netbuo
 
		log "NetBIOS scan from $IPLOGD_REMOTEADDR:$IPLOGD_REMOTEPORT"
 
		# Altro (ipotetico)
		# send-pkt --proto=udp --dest=$IPLOGD_REMOTEHOST --port=
		#   $IPLOGD_REMOTEPORT --type={fire,brimstone,hail,sleet,
		#   snow,tazzi,mazzi,edu-mirror.tgz} --with-compliments
		#   --from=$( randline < /etc/hosts.del.cazzo ):$RANDOM
		#   --ticaoritto --attettrogolo
	fi
        if [ "$IPLOGD_LOCALPORT" gt 30000 ]; then
		...


fare robe del genere.
e un sito giapponese sulle orchidee (
http://www.orchid.or.jp
) cosa
diavolo potrebbe cercare :-?


> però da un po' di tempo a questa parte iplogd mi segnala in quantità chiamate del tipo
					^^^^^^^^^^^^
Comunque non sono _sempre_ i soliti cazzoni.
Mi è capitato di andare su questo sito giapponese
http://www.orchid.or.jp/orchid/people/tanaka/indexe.html
 
(no, non è un sito porno ;-) e ricevere questo tipo di chiamate. Per
questo pensavo a qualche operazione pissera di NT.
ciao


		# Toh, un netbuo
ROTLF :)


 eccome.
Attenzione che anche iplogger genera lo stesso tipo di segnalazione
in messages.


 
http://www.orchid.or.jp/orchid/people/tanaka/indexe.html
 
Beh e non sono i soliti cazzoni? Avranno monitorato il sito e si
saranno messi li' ad aspettare chi vi si connetteva per rompergli
le palle...


si ormai e' uno sport :))
vedo, vedo ... chissà che ogni tanto non mi scappi un colpo :)
ciao
Jabba
-- 
 g_farinelli at yahoo punto com
-------------------------------
c:\>win2000patch001.exe
This Microsoft(c) patch fix all bugs present. All rigths reserved.


Jabba <Ja...@JabbaLinuZ.net> wrote in message
slrn835qcu...@JabbaLinuZ.net...
:
: vedo, vedo ... chissà che ogni tanto non mi scappi un colpo :)
eheheheh
ciao



ROTLF :)
Volevo dire "NetBEUI"
Leonardo come no


diavolo potrebbe cercare :-?
Un'orchite, se insiste di molto. Cioe', se la _cerca_ 'un lo so, ma che
la _trovi_ e' quasi sicuro.
Ma potrebbe essere qualche logging atroce di IIS: magari oltre a fare i
logging di IP chiamante ed eventualmente DNS e proxy, si segna anche le
stringhe di identificazione di NMB.
A logica direi che una cosa del genere e' completamente folle, pero' va
tenuto presente che e' roba Microsoft... magari cliccando in un posto a
casaccio si attiva qualche logging intelligente, e appena tu fai un GET
HTTP arriva Clippy a tentare di infilarti il dito da retri.
Se qualcuno fosse portato a concludere che detesto le cose intelligenti
(specie se cio' significa che il programma fa a capocchia sua, anziche'
obbedire supinamente mormorando "zi', badrone"), beh, ha ragione.
Leonardo "due ore, a disfare una formattazione automatica documento"


Leonardo "due ore, a disfare una formattazione automatica documento"
Per la serie "anche gli dei sbagliano" 8-), veramente ti sei fidato
ad usare quella roba?
Ciao Francesco.

in messages.
Con indicate precedenza del messaggio e TTL residuo? Sicuro sicuro? 8-D
Leonardo


pos...@fortezza.paranor.sh
 (Francesco) wrote:


Non l'avevo fatta io. E il colpevole non ci provera' piu' :-)


Non l'avevo fatta io. E il colpevole non ci provera' piu' :-)
e` bastato tagliargli la mano destra e appenderla (opportunamente
essiccata) di fianco alla macchina delle bibite o usi espedienti piu`
esoterici?

 wrote:

Tortura psicologica. Trattavasi di documento importantissimo (ma non per
me: io l'avevo solo scritto), quella era ufficialmente l'unica copia che
era disponibile, il malcapitato che aveva usato la f.a. (insulto enorme,
perche' presuppone che la stronzissima Clippy sappia formattare un testo
meglio di <tono di modestia indignata>ME</tono>) doveva consegnare tutto
il pacco entro una certa ora.
Fino a circa 5 secondi prima della scadenza le previsioni di deadline si
aggiravano sui quindici-venti minuti... e lo avevano fatto per almeno l'
ora precedente.
Riconosco di non aver inventato nulla, l'idea me l'avevano data i soliti
foglini schvulazzanti ("35 secondi alla fine del processo ... 40 secondi
alla fine del processo... 20 secondi... 25... 30... 15... 10... 20...").
Alla fine il documento andava bene, ma il disgraziato era uno spettacolo
orribile a vedersi: spettinato, scravattato, sudato... 8-D


era disponibile, il malcapitato che aveva usato la f.a. (insulto enorme,
mentre in realta` ne avevi una mezza dozzina perfettamente formattate?
dimmi di si, sarebbe il massimo del sadismo 

 wrote:

Mezza dozzina, no davvero. Gia' occupano abbastanza spazio cosi', 'ste porcate
di Word...
Leonardo "ma *una*"


orribile a vedersi: spettinato, scravattato, sudato... 8-D
Secondo me stai diventando sempre piu' sadico... che sia il passaggio a
Linux? O:-)
Fabrizio (ed io dovrei fare un modulo con Publisher 2.0 per win 3.1 per il
torneo di domani... non ne ho vogliaaaa!).

Linux? O:-)
Sono due anni almeno che sto coi pinguini. Certo, tutto puo' essere.
Leonardo


Sono due anni almeno che sto coi pinguini. Certo, tutto puo' essere.
E' l'habitat freddo, che irrigidisce un tantino nei rapporti
interpersonali con gli utonti.
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net