Newsgroup: it.comp.sicurezza.varie
Titolo: Utilizzare una shell aperta....

Per prima cosa scusate il crosspost ma non sapevo a chi spedire di preciso
questa richiesta.
Vi spiego il mio problema:
Nella mia rete ho un Pc con su Linux Mandrake 7.2 (kernel 2.2), che uso da
server.
Mi collego al server con telnet (CRT 3.3) da un pc con su Win98.
Questa rete è connessa alla intranet aziendale.
Oggi è successa una cosa stranissima:
mentre avevo una sessione telnet aperta sul server, mi sono preso una
piccola pausa, ritornato al posto ho trovato eseguiti da questa shell dei
comandi distruttivi (rm -Rf .). Premesso che nessuno si è avvicinato al mio
PC e che non dovrei avere instalato nessun trojan (mcaffe ultima versione
non lo rileva), E' POSSIBILE usare una shell già aperta e gia connessa ad un
determinato computer, da un altro computer????
Spero che qualcuno che ci capisce + di me in fatto sicurezza (non ci vuole
tanto :) ) possa illuminarmi.
p.s. già ieri abbiamo trovato cancellati dei file dal server ma avevamo
pensato ad un errore umano quindi non ci abbiamo fatto troppo caso.
Ciao e grazie a tutti
--
--------------------
Virtual Psiko
Progettista software
--------------------
Roads? Where we go
don't need roads
Back To The Future
--------------------

 Vi spiego il mio problema:
<snip>
Secondo me, hai commesso tre grossi errori.
Il primo e' che usi telnet invece di ssh.
Il secondo e' che usi Win98.
Il terzo che hai lasciato una connessione aperta unattended.
Infatti, se sei veramente sicuro che nessuno ha avuto accesso alla tua
macchina, e' possibile che il tuo telnet link sia stato hijacked
(dirottato).
Telnet non offre nessuna protezione contro spoofing/sniffing visto che il
traffico generato e' in clear text. Il tcp/ip stack di Win98 fa pena (dal
punto di vista della sicurezza). Esistono dei tools che utilizzano questa
vulnerabilita' e credimi...funzionano.
Questo link potrebbe essere la spiegazione del tuo 'strano' evento (spero
che tu conosca l'inglese)
http://razor.bindview.com/publish/papers/tcpseq.html
HTH
Tony

 Tony
Grazie delle spiegazioni e del link (ora lo andrò a leggere), ma è possibile
in qualche modo sapere da che macchina  e stato fatto l'attacco?
Ciao e Grazie ancora


 in qualche modo sapere da che macchina  e stato fatto l'attacco?
Ne dubito, considerando il logging facility di Win98 (praticamente nullo).
Come personalmente dubito anche che tu sia stata vittima di quel tipo di
attacco. E' piu' probabile che qualcuno ha avuto fisico accesso alla tua
macchina. Dopotutto si tratta di Win98. Non so come l'hai bloccata e per
quanto tempo l'hai lasciata unattended (mi sono dimenticato come si traduce
in italiano), ma conoscendo la bestia (Win98) non ci vuole molto a raggirare
le sue protezioni. E per lanciare il comando nella shell ci vogliono pochi
secondi:
Quindi piu' che trovare la macchina che ha effettuato l'attacco, devi
trovare il colpevole:
Eccoti un profile possibile:
1. Conosce Unix (visto che ha utilizzato un suo comando)
2. Conosce la tua password quindi potrebbe essere seduto/a vicino a te.
3. La tua password e' 'password' o 'root'...  ;-)
4. E' un/a imbecille che credeva di fare uno scherzo oppure sei uscito con
la sua ragazza (o non sei uscito con lei, se si tratta di una ragazza).
Schezi a parte, questo e' quello che controllerei, prima di essere coinvolto
in a high-tech tecnica di IP hijacking...
Tony H

comandi distruttivi (rm -Rf .). Premesso che nessuno si è avvicinato al mio
Ciaocome fai a sapere che sono stati eseguiti da quella shell?
Hai gia' controllato i log di sistema del server e hai controllato
quali comandi sono stati eseguiti dai vari account che ci sono sul
server nella cache usata da bash o tcsh o quello che usi come shell?
Ovviamente bisogna sperare che non siano stati cancellati detti files.
Non ricordo come si chiamani i files nelle varie versioni di shell, ma
tu controlla tutti quelli che iniziano con . (punto) nelle /root
/home/nomeutente ecc. ecc.
Se lo avevi gia' fatto....ho perso una occasione per stare zitto.
Sperando poi che tu non sia paranoico come me' che ho fatto uno script
che alla deconnessione cancella tutta la mia history ;-)
|----
|Stefano Orsi
|Email: 
s.orsixxxatogcs.com
*** Remove xxx from Email address and switch at with @ ***

 Tony H
Guarda č molto poco probabile che abbiano fatto una cosa simile le uniche
persone che possono aver avuto l'accesso alla macchina, e poi, STAVO LI :)
nel senso che non mi sono allontanato dalla postazione fisicamente...
Quindi penso che la tua prima ipotesi sia piů probabile...
[piccola riflessione] IN CHE C***O DI MONDO VIVIAMO SE NELLA TUA STESSA
AZIENDA GIOCANO A CANCELLARE IL TUO LAVORO!!!!!
;(
cmq grazie e spero che questo tipo di "scherzo" non capiti piů
ciao
--
----------------------
Virtual Psiko
Progettista software
----------------------
Roads? Where we go
don't need roads
Back To The Future
----------------------

  vulnerabilita' e credimi...funzionano.
Beh, se hai degli hub invece che degli switch anche con lo stack TCP/IP
di Linux posso catturare i pacchetti in transito per la rete
Ciao, Andrea (che se sbaglia ditelo pure)
-- 
Andrea Carosi, just another Debian user
In the land of the dark the Ship of the
Sun is driven by the Grateful Dead.
           -- Egyptian Book of the Dead

  in a high-tech tecnica di IP hijacking...
Seriamentre, quante persone sono in grado di fare una cosa del genere?
E quante possibilita` di successo hai oggi? (funzionava ai tempi di
Mitnik, ora servono giochini piu` complessi per entrare)
Ciao, Andrea


 TCP/IP di Linux posso catturare i pacchetti in transito per la rete 
Il punto non e' quello.
Il punto e' la generazione dell'Initial Sequence Number.

  Il punto e' la generazione dell'Initial Sequence Number.
Il punto e` che devo smetterla di scrivere messaggi alle 3 di mattina ;)
Ciao, Andrea


 di Linux posso catturare i pacchetti in transito per la rete
se e' per questo anche con gli switch lo puoi fare...
bye

 Mitnik, ora servono giochini piu` complessi per entrare)
ti assicuro che se sei in locale, si puo' fare con semplici tool... (vedi ettercap)
bye

 se e' per questo anche con gli switch lo puoi fare...  bye
Uhm...
f/up

 Non era stato corretto da un aggiornamento allo stack tcp/ip (DUN 2.0?)
ripeto, puoi cambiare lo stack finche' vuoi, ma se io posso sapere i tuoi SEQ e ACK (li sniffo)
la tua connessione te la hijacko quando voglio...
bye

 Uhm...
arp sfoofing... e lo switch non serve piu' a nulla...
bye

 Il punto e' la generazione dell'Initial Sequence Number.
non proprio... puoi anche generarlo con tutta l'entropia dell'universo, ma quando va in rete
e qualcuno lo sniffa, non serve piu' a nulla averlo preso cosi' casuale. ormai e' noto...
bye


Non voglio insistere ma per una sottorete protetta fisicamente, almeno
in teoria, e' molto difficile sniffare. I Cisco CAT 5000 2900 e pure
3500, almeno a parole, creano un log non appena una porta va su o giu' e
possono spedire una snmp trap ad un syslog server all'evenienza  (il
quale poi magari spedisce una mail all'amministratore). A me par di
ricordarne uno che disabilitava la porta subito non appena veniva
staccato l'utp. Ma magari era un caso.
Stammmi bene,
l.

 staccato l'utp. Ma magari era un caso.
e se la macchina da cui sniffo e' gia' pluggata alla rete ???
dove sono tutti i tuoi fantastici log ?
ovviamente nella mail in questione non si parla di intrusi dall'esterno, ma di gente che
lavora con lui e che gli ha intercettato la connessione per cancellargli alcuni file.
quindi presumo che la macchina sia gia' stata pluggata !!
bye

 bye
A me non pare cosi' immediato che sia stato uno dei suoi colleghi, ne' mi pare immediato che l'hijack
(eventuale) implichi lo sniffing dall'interno. Se non erro si parlava di una rete collegata ad
un'intranet aziendale, per cui, dal contesto, sembrerebbero sottoreti o comunque segmenti di broadcast
diversi. Collegata come? C'e' un rotuter in mezzo? Configurato come? E se c'e' un router chi ne ha
accesso?
Stammi benissimo,
b.

 ;(
 
In un mondo in cui si fa di tutto per mantenere il proprio posto di
lavoro. Pensaci bene, perche` uno dovrebbe cancellare il proprio lavoro
(che sicuramente gli e` costato mesi e mesi di fatica)?
Henryx
-- 
Se volete contattarmi, non fatelo. E' la scelta migliore per 
salvaguardare la vostra salute mentale.

 ha scritto nel messaggio
news:3B634C91...@my-deja.com...
