Newsgroup: it.comp.sicurezza.varie
Titolo: 6970/udp e scansione SSH

Ora, su un server connesso a una rete di PC *SPENTI*, non credo che
qualcuno si metta a scassare i maroni fornendo dati RealPlayer.
La macchina originatrice PARE essere un server RealPlayer - da quel
poco che ho visto. Poco dopo non era piu' in rete - e siccome so di
non essere stato io, ne deduco che l'amico Fritz aveva un firewall,
o qualcosa, e che dopo aver risposto al traffico entrante (mio), ha
deciso di spegnere il modem.
Ora, visto che mi stanno arrivando scans di vario genere *TUTTI* da
li' - RPC, lpr, pop3 - ma anche parecchi Nimda... qualcuno sa dirmi
COSA STRA****** STA SUCCEDENDO IN COREA? Stanno distribuendo gratis
l'LSD?
No, mica per nulla, ma se durano dell'altro dovranno distribuire la
vaselina. Per ora sono kilate di emails ai vari abuse; poi si parte
con le maledizioni voodoo.
+++
Secondariamente, non so quanto possa interessare e a chi, ma tutti,
suppongo, sapete della storia del CRC-32 compensation attack. Se un
poverello (io) non puo' upgradare l'sshd, ma ha visibilita' sui log
e diritti di root, ecco un uso creativo di scand (gia' postato qui,
tempo fa):
on [compensation attack] -> rcsshd stop
on [incoming icmp] -> /usr/local/bin/icmpcode
Dove icmpcode prende la dimensione del ping, e:
	* se e' X, crea un file /tmp/hello.IP
	* se e' Y, ed esiste /tmp/hello.IP, allora riattiva sshd
	  dopo un intervallo di 10 secondi di pausa ripartenza
	* se e' qualcos'altro, ed esiste /tmp/hello.IP, allora
	  uccide sshd (se e' attivo o in pausa ripartenza)
In questo modo, da remoto, se uno attacca l'sshd, questo muore ALLA
PRIMA. Se lo trovate morto, potete rinvivirlo ;-) anche da Windows,
con un
	ping -n 10 -l X host
	ping -n 10 -l Y host
...e, per forzare il codice, con X e Y fra 60 e 500, ci vogliono in
media undici giorni di tentativi continui.
Un mese, se mettete la pausa di 30 secondi <grin>.
E si puo' facilmente estendere l'algoritmo a X, Y, Z...
Controllate prima la massima dimensione del ping in transito. Forse
il provider tronca, dopo un po'.
Leonardo

 con le maledizioni voodoo.
Io proverei con una danza propriziatoria :)
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509

    <-- 2 scelta
->NON ABUSARE gli "abuse desk", segnala solo lo spam e il vero netabuse<-      

 l'LSD?
Ciao Leo che ci vuoi fare? Ormai e' un porto di mare, chi va, chi
viene, chi entra vergine ed esce gemelli[*]. 
Ciao Francesco.
[*] Filatelico e urologico.
-- 
<*> bash$ man -h  per il pinguino che non deve chiedere mai. <*>  
<*> lynx file:/usr/doc/*                                     <*>

viene, chi entra vergine ed esce gemelli[*]. 
Si', va bene, ma NIMDA, madonnina santa...! Tra l'altro confermo che gli
scans POP3 sono ricerche del bug Qualcomm: mi aspetto, da un giorno all'
altro, qualche potentissimo exploit per il kernel 1.2.36.
Forse, anche WindowsUpdate filtra la Corea ai border routers. E' certo a
questo punto che BUGTRAQ lo fa.
Mi dispiace perche' poi sembra che usino OS bucati e molti sono Linux. E
invece, come direbbe Thorin, gli e' che PEBKAC.
Leonardo

 invece, come direbbe Thorin, gli e' che PEBKAC.
Il nano non si fa sentire, e' ancora in estasi mistica dopo la
visione dell'ultima pellicola, The LotR. Niente male veramente.
Ciao Francesco.


 visione dell'ultima pellicola, The LotR. Niente male veramente.
Beh si, confesso, mi e' piaciuto molto..
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *


ROTLF!

  Beh si, confesso, mi e' piaciuto molto..
L'hai visto????
Io ci vado la settimana prossima, non riesco a trovare i biglietti :°(  
-- 
 (o_   Su questo anello, le lettere riportate da Isildur possono essere 
 //\   ancora lette. Io l'ho fatto, ed ecco cosa vi ho letto:
 V_/_  "Ash nazg durbatuluk, ash nazg gimbatul, ash nazg thrakatuluk 
       agh burzum-ishi krimpatul."  

 e diritti di root, ecco un uso creativo di scand (gia' postato qui,
                                             ^^^^^
Cosa diavolo e' scand? Ho provato a cercare con google sia nei gruppi
sia nella parte generica (sappi che esiste un tal serni, urologo, che
ha pubblicato articoli su varie affezioni e tumori della prostata sul
giornale SCANDinavo di urologia) ma non ho trovato niente.
Potresti illuminarmi su questo (pare) utile strumento?
Comunque, per tornare ad sshd:
1) se fermi il demone sshd con l'azione stop dello script di avvio la
   sessione ssh in corso rimane aperta e quindi...
2) se seghi il demone sshd in modo piů brutale potrebbe funzionare ma
   solo se l'attacco non si e' gia' concluso quando diviene effettiva
   l'azione con cui uccidi il processo di sshd;
3) l'exploit consente l'esecuzione di codice arbitrario. Se il codice
   e' gia' stato eseguito (per i problemi di cui sopra) a quale scopo
   fermare sshd? Tu mi dirai: perche' l'exploit potrebbe non andare a
   buon fine al primo tentativo (mi sembra di avere capito). E' cosě?
   Nel caso sarebbe allora giustificato il tuo marchingegno.
4) si potrebbero anche usare sistemi come FLEX_RESP di snort con cui,
   stando attenti a non usare segnature un po' troppo generiche, puoi
   resettare la connessione quando viene rilevato l'attacco. Anche in
   questo caso, pero', i due RST che dovrebbero resettare la sessione
   potrebbero uscire con un ritardo eccessivo e l'attacco andrebbe in
   ogni caso a buon fine. Idem succederebbe se l'attacco si esaurisse
   con il solo primo pacchetto, quello che triggera l'azione di snort
   o di scand (varrebbe anche per 1 e 2 fatta salva la considerazione
   in 3).
Last but not least:
1) non puoi usare solo SSH2 disabilitando in qualche modo il fallback
   a SSH1?
2) non potresti cambiare la porta standard? Sembra che molti attacchi
   siano dovuti ad un worm o comunque in seguito a scansioni su larga
   scala: la 'security through obscurity' in alcuni casi puo' aiutare :)
Tu sei mai riuscito a testare qualche exploit per ssh? Hai visto come
funzionano? Hai mai provato x2? (non č molto intuitivo e non ho avuto
tempo per pensare piu' di tanto a come possa funzionare).
Fabio

tempo per pensare piu' di tanto a come possa funzionare).
No - al cubo :-(((
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 ...mi domando com'e' immagazzinato quel "22" nel file binario...
E' una possibilita'. Se no potresti provare a reindirizzare la porta.
Ovvero, ti connetti col client a localhost:22 e la connessione viene
reindirizzata a server.ssh:47521.
Oppure, gia' che ci sei, potresti forwardare la connessione SSH1 su un
canale SSH2, cosi' si salvano capra e cavoli... pardon... si salvano
client e server. ;-) 
-- 
Carlo Luciano

client e server. ;-) 
...'un dici mica male...
Leonardo che proporra'


 Leonardo che proporra'
Oppure potresti fare cosi'. L'ultima versione di PuTTY (la 0.52), che e'
uscita pochi giorni fa, supporta ormai praticamente tutto (X11
forwarding, TCP forwarding, logging dei singoli pacchetti SSH,
protocolli SSH1 e 2, autenticazione a chiave pubblica o a password,
ecc.), e non credo che vi farebbe rimpiangere il client attuale. Per di
piu', i sorgenti sono disponibili [e, se sono riuscito a ricompilarli io
con gcc sotto Win, puo' riuscirci davvero chiunque... ;-)], quindi, se
bisogna aggiungerci qualcosa... 
Orbene, potresti presentare PuTTY come se fosse un aggiornamento
*gratuito* del vostro client, avvertendo pero' che l'offerta e' limitata
nel tempo e tra pochi giorni sareste costretti a comprarlo a carissimo
prezzo. Poi, dopo una settimana che tutti usano PuTTY come client, se
non sorgono problemi, comunichi che avete ricevuto un offerta unica e
irripetibile per un aggiornamento gratuito del server, che vi
consentira' di sfruttare appieno le caratteristiche del nuovo client.
Anche questa offerta, ovviamente, sara' solo per pochi giorni e poi
sareste costretti a sborsare una cifra esorbitante. Ti assicuro che
certa gente e' molto sensibile ai problemi della sicurezza, quando si
toccano le "corde giuste"... ;-)) 
Cosi', in due settimane, se tutto va bene, ti trovi con un
"PescePallArmato" (TM) (e armato fino ai denti!) nel server, tutti
client PuTTY e connessioni SSH2. Poi, se riesci anche a spacciare
OpenBSD come un aggiornamento di Windows, puoi anche ritirarti ai
Caraibi e mettere su un emporio di navi usate nell'isola di Melee (TM)
(cit)... ;-))))))) 
-- 
Carlo Luciano

(cit)... ;-))))))) 
ROTFL! :)
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

consentira' di sfruttare appieno le caratteristiche del nuovo client.
Ormai mi conoscono. Non ci cascano.
<fra se'>Pero', tentare non nuoce...</fra se'>
Leonardo


 <fra se'>Pero', tentare non nuoce...</fra se'>
...appunto! ;-)
-- 
Carlo Luciano

 certe software house. Qualcuno ricorda, per caso, il Ms-Dos 4.00? ;-)
Io! Al militare c'era quello sul 286 nell'ufficio in Compagnia. 8-)
Poi, dopo un po', un tipo delle TLC porto' i floppy (copiatissimi) del DOS
5.0.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 <fra se'>Pero', tentare non nuoce...</fra se'>
Guarda, per quanto ne capiscono di informatica certi commerciali e certi
executive, con le parole giuste potresti anche convincerli che bash e' la
nuova versione di 
command.com
.
Max "e del resto c'e' pure bash.exe".
