Newsgroup: it.comp.sicurezza.varie
Titolo: La mia triste situazione :(

Allora sono utente fastweb e quindi con ip dinamico (premetto che ho già
inserito anche una discussione sul newsgroup fastweb).
La mia situazione è la seguente:
Subisco attacchi su varie porte, intercettati dal firewall da un range di
indirizzi 23.251/16 che molto spesso sono 23.251.171/8 23.251.172/8
23.251.173/8, dopo aver fatto whois con tuttti i più improtanti servizio
sono venuto a conoscenza che quel range di indirizzi è riservato e viene a
volte preso proprio da utenti fastweb per fare attacchi.
Ora la situazione è la seguente:
Se controllo le mie porte con un port explorer, la situazione è drammatica:
processi duplicati (uno con indirizzo locale 0.0.0.0 ed un'altro con * e
indirizzo locale 23.251/16) processi che si aprono e chiudono a gran
velocità... e una sfilza di *system. La cosa che ho notato è che quando apro
un processo, subito se ne crea almeno uno duplicato e con indirizzo
23.251/16
Inoltre vedendo nel log del firewall ho visto numerosissime segnalazioni di
tentativi bloccati di ingresso pacchetti, uscita pacchetti e anche di
utilizzo del mio pc come router per passaggi di dati fra due diversi ip.
Qual è la mia situazione? Sono stato vittima di un trojan?
Grazie a tutti

 utilizzo del mio pc come router per passaggi di dati fra due diversi ip.
se i tentativi sono nei log allora non hanno avuto effetto (e' di quelli
non loggati che devi aver timore) e in ogni caso il fatto che sia stato
fatto un tentativo non significa che il tuo pc sia a rischio per quel
tipo di attacco.
per capirci e' un po' come se provassi ad aprire la porta di casa tua con
la chiave di casa mia: il tentativo non significa necessariamente che la
mia chiave vada bene
-- 
a torino siamo piu' fighi: i nostri cantieri sono eventi culturali, mica
dei semplici buchi polverosi da cui esce un rumore assordante!
http://www.comune.torino.it/cantieri/manuale/index.htm

 Qual è la mia situazione? Sono stato vittima di un trojan? 
Non si capisce certo da questo. Non lo escludo solo perchè non ti conosco
e non ho mai visto il tuo pc :-)

Non aggiungo altro e fai piu` bella figura a tacere (Marc Serafino)


Cioò che dici è vero, ma èa ltrettanto vero, che proprio la presenza di
numerosisssimi log di tentati attacchi, mi fa pensare che qualche attacco
sia andato a buon fine.

 perche` fastweb utilizza questi indirizzi riservati??
Non lo so, a me hanno detto che viene fatto e basta...

 attacco sia andato a buon fine
tipo?


 perche` fastweb utilizza questi indirizzi riservati??
Agli esordi FastWeb utilizzava regolarmente indirizzi IP privati secondo
RFC1918 -> in seguito all'espansione sul territorio su diverse citta' e
aree metropolitane, ha migrato la rete in modo che ogni MAN fosse 
associata a particolari blocchi di indirizzi IP. Per farlo si e' deciso
di ricorrere in maniera del tutto particolare all'uso di indirizzi IP
riservati dallo IANA non ancora allocati per uso pubblico (ma che non e'
detto che non lo possano essere in futuro) :
Questi sono alcuni dei blocchi :
==
- 1/8  -> IP MAN Milano
- 2/8  -> IP MAN Milano Hinterland
- 5/8  -> IP MAN Genova
- 23/8 -> IP MAN Roma
- 39/8 -> IP MAN Napoli
- 41/8 -> IP MAN Torino
Ulteriori info su 
http://planynet.hypermart.net/fastweb
 url delle FAQ
1.4 ITGF su FastWeb.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.ingegneria.meccanica <|
|>Togli/Remove .INVALID<|> NEWS: free.it.tlc.provider.fastweb <|

 dati fra due diversi ip.
Apri una sessione di prompt di dos/comandi e digita 
netstat -na > porte.txt
Ti troverai su disco un file di testo (porte.txt) -> copia il contenuto
ed incollalo su un messaggio da inviare al newsgroup, in modo che si
possa avere un quadro preciso della tua situazione e capire se la tua
soluzione firewall stia procurando falsi allarmi o meno.


 Perche` la 10/8 non gli basta.
Dubito abbiano sedici milioni di IP allocati (dubito ci siano in tutta
Italia 16MIP allocati, anche se potrei sbagliarmi): gli sarebbe bastato
dividere la rete /8 in varie sottoreti /14, /16 e /24 per ottenere un
risultato decente rimanendo in linea con le relative RFC.
Eppero' era piu' semplice usare indirizzi riservati...
Ciaotutti,
*

 risultato decente rimanendo in linea con le relative RFC.
Non vorrei dire cazzate, ma ho sempre supposto che abbiano scelto questa
(deprecabile) soluzione per non impattare sui clienti che avessero già
reti private con gli indirizzi privati. Se consideriamo il fatto che
almento metà delle aziende ( a meno che non me le becco tutte io)  hanno
ip interni tipo 
200.100.100.0/24
, avrebbero dovuto sapere che il problema
non si pone ;-)
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 sapere che il problema non si pone ;-)
Ale', altro giro altra corsa... Io sarei per punizioni semplici: dopo le
prime tre vaccate, iniziamo a levare un ditino ad ogni amenita'
(+bonus/malus, che' sbagliare e' umano): sai quanto si riduce il tasso di
cluelessness? Se 'un si vede 'un ci si crede, come direbbe Qualcuno ;)
Ciaotutti,
*

 Eh?! Ma come fai?
OE-quotefix... Naturalmente non tiene conto del noarchive, quindi il
messaggio potrebbe in effetti non essere disponibile su google, pero' nella
maggioranza dei casi funziona :)
Ciaotutti,
*

 Subnettare doveva parergli troppo difficile, suppongo.
Sai, a pensare si fa fatica...
Ciaotutti,
*

 Cazzo, a me ci mette quelle parentesine, sennò... :(((
Parentesine ?!?
Ciaotutti,
*

 perche` fastweb utilizza questi indirizzi riservati??
perchè è una rete privata. Non fa parte di Internet, ci è solo connessa 
per la comodità dei suoi utenti
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.1. C, C++ and ASM developers
                               and beta testers are welcome!

 attacco sia andato a buon fine.
Perchè tu li chiami "tentati attacchi" e nella stragrande maggioranza dei
casi è un termine assolutamente improprio. Anzi, a seconda di come la
interpreti è un termine assolutamente improprio. Un pacchetto o una
connessione che raggiunge il tuo computer può essere normale
amministrazione (ma il firewall lo logga lo stesso) può essere qualcosa di
accidentale e innoquo (usi un p2p? Sai quanti "attacchi" sferri ogni volta
che ti connetti?) come può essere qualcosa di meno benigno ma altrettanto
casuale e accidentale (portscan in cerca di trojan che non hai, ping da
parte di virus che hanno altri, etc...). E' molto (ma molto) difficile che
un solo pacchetto loggato dal firewall ce l'abbia realmente con te. 
Quanto alla tua considerazione: nel malaugurato caso che il firewall
logghi realmente un attacco, devi sapere che quell'attacco può essere
sferrato dieci, cento, mille volte e non cambia nulla. Non è che il
firewall dopo un tot di volte che ci provano cede e fa passare. 
 

 per la comodità dei suoi utenti
la mia lan ha le stesse caratteristiche, ma non usa quegli indirizzi ;-)


 provano cede e fa passare. 
Si stufa e cede per esasperazione?
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 termine tecnico).
Windows XP: "[x] Cerca automaticamente cartelle e stampanti di rete"
o roba del genere.
Fabio

 messenger.
Ho copiaincollato la linea sbagliata, cio' sottolinea quanti "attacchi"
si ricevono in ogni momento! ;)


 si ricevono in ogni momento! ;)
Be', come biasimarti...
~$ grep ^May\ 22\ .*IN=eth2  /var/log/messages|wc -l
    322