Newsgroup: it.comp.sicurezza.varie
Titolo: Tempesta TCP dalla porta 80

Salve,
oggi ho registrato una cosa per me alquanto strana: diversi tentativi di
connessione TCP da diverse subnet dalla porta 80 alle seguenti porte
121116, 12122, 12051, 12082, 12083, in circa 10 minuti mentre ero connesso
al news server e avevo il browser chiuso. Mi sono connesso col browser su
alcuni di quegli ip e risultavano dei normali siti su mp3 e altre cose
apparentemente di nessun particolare interesse ( cos'altro avrei voluto
trovare non lo so sinceramente ma al momento non mi č venuta un'idea
migliore...). Chiaro che il fenomeno non susciterebbe in me particolare
curiositą se non fosse per quella porta 80 e per i diversi ip di
provenienza ( che poi in un modo o nell'altro č probabile facciano capo
alla stessa fonte seguendo la logica). Qualcuno puņ svelare tale mistero? 
Grazie.
saluti.
 



I motivi possono essere tanti.
Potrebbe essere un tentativo fatto con Aggressor prg dove si puo'
impostare la porta e l'ip sorgente per fare magari un portscan e
vedere se hai un server trojan settato su una porta diversa da quella
standard.

standard.
Solo che cosi' la risposta al portscan arriva ad un IP che non c'entra
niente, e di conseguenza chi fa il portscan non riceve mai risposta.
No, dev'essere qualcos'altro.
Leonardo
".signature": bad command or file name

niente, e di conseguenza chi fa il portscan non riceve mai risposta.
anche perche', con aggressor, il portscan lo fai sempre usando il tuo
IP. Il campo source IP viene utilizzato solo quando spari DoS.
Nella versione di aggressor che ho, nelle opzioni del port scanning,
ci sono campi che permetterebbero, in un futuro (non sono ancora
abilitati), di fare lo scan passando attraverso qualche ftp o wingate.
Buttha
-----------------------------------------------------------------------
* h
* Per rispondere rimuovere i
* PGP Key available with fingerprint:
  7772 5C72 7392 538B  34B8 A189 13BC 867A

 
A meno che i portscan non arrivino veramente dal server titolare del
vero indirizzo IP, lanciati da qualcuno che ci si e' infiltrato oppure
dal gestore stesso del server...
Ciao
Francesco

 wrote:

Ma in quel caso non c'e' spoof :-)


dal gestore stesso del server...
ehm che c'entra ?
prima di rispondermi, ti prego di valutare il corso del thread fino a questo
punto: scoprirari che Leonardo si riferiva alle opzioni di alcuni port scanner
di spoofare l'ip sorgente nell'headerIP .... in quel caso e' ovvio che non gli
arriveranno i pacchetti. (eccezione vedi dopo)
QUINDI PER TUTTI:
se vi scannano da un IP, prima di tutto partite dalla possibilita' che sia
davvero quell'host e se volete informatene l'admin remoto.
Considerate che l'IP, come detto, potrebbe essere spoofato, il che presuppone
che l'attaccante veda o non veda i risultati. Se non li vedesse allora si
configurerebbe la possibilita' del semplice flood/DOS ....
Vedendoli invece avrebbe forse manipolato un hop tra lo spoof e voi, oppure un
 host sulla stessa LAN dello spoofato ... il che riconduce all'admin remoto
per avere info e hints.
invy
P.S. per favore evitate di mandare migliaia di mail a tin e iol per scan su
31337 .))))

 Ma in quel caso non c'e' spoof :-)
Dove sta scritto che ci deve essere per forza spoof?
Ciao
F.

 punto:
Ok. Eseguo diligentemente.
1) Humanoid dice ehi, c'e' qualcuno che cerca di connettersi alle mie
porte 121116 [sic], 12122, 12051, 12082, 12083, con source port 80 e
source address di veri server Web!
2) The Duke dice forse e' un portscan fatto con Aggressor, su cui puoi
sceglierti source port e source address.
3) Leonardo apparentemente interpreta il messaggio di The Duke come se
implicasse lo spoofing degli indirizzi IP source, e giustamente replica
che in questo caso il risultato del portscan arriva a casa di
qualcun'altro che ha indirizzo diverso dall'autore del portscan.
4) Buttha aggiunge che con Aggressor il portscan si fa sempre con il tuo
indirizzo IP
5) io cerco di avanzare l'ipotesi che i portscan provengano NON da
indirizzi IP spoofati ma veramente dai server Web in questione, o
lanciati abusivamente oppure con la benedizione dei proprietari (il
messaggio originale dice "risultavano dei normali siti su mp3 e altre
cose apparentemente di nessun particolare interesse" ma non che fossero
al disopra di ogni sospetto). Tra l'altro, usare una source port 80, o
25, o qualsiasi altra di un servizio di uso comune per fare il portscan
puo' servire per ingannare alcune protezioni basate su packet-filter e/o
per tentare di passare inosservati ad un'osservazione sommaria p. es.
dei log (che c'e' di piu' normale di un pacchetto TCP dalla porta 80 di
un server Web a una porta alta di una macchina che ha il browser
installato?)
6) Leonardo risponde che cosi' non c'e' spoof, che e' quello che volevo
dire.
7) tu mi chiedi cosa c'entra e piu' avanti dici "se vi scannano da un
IP, prima di tutto partite dalla possibilita' che sia davvero
quell'host", che e' quello che volevo dire solo detto molto meglio.
Ciao
F.

abilitati), di fare lo scan passando attraverso qualche ftp o wingate.
Scusami se mi intrometto... apro solo una parentesi a proposito di
Aggressor, poi vi lascio continuare a parlare: 
{Nell'ultima versione dell'Aggressor pro 1.0 (non l'Exploit generator,
che è una versione estremamente limitata), queste opzioni sono già
funzionanti (ovviamente non nel demo); per quanto riguarda l'exploit
generator, la possibilità di spoofare tramite ftp o wingate era attiva
solo nella versione 0.8axSR che è la versione precedente a quella 0.85
in cui le voci wingate e ftp sono disattivate.}
Ciao 
K'z


{Nell'ultima versione dell'Aggressor pro 1.0 (non l'Exploit generator,
A te funziona Aggressor Pro? Io l'ho scricato due volte ma mi da
sempre "critical internal error".

in cui le voci wingate e ftp sono disattivate.}
why? Come mai hanno disattivato questa possibilita'?
Buttha (che e' contento di avere info nuove)



E qui Buttha si sbaglia, infatti con la ver. 0.85 beta1 non è
possibile visto che ha l'opzione anonymous disabilitata ma con la ver.
0.8axSR beta1 c'è la possibilità di spooffare l'ip attraverso dei vari
wingate tipo 
ftp.cdrom.com
. Se venisse messo un wingate relativo a dei
siti mp3 ecco che cio' che è successo a Humanoid ha un senso.

sempre "critical internal error".
Ti da critical internal error quando lanci il programma giusto?
(se ti da errore quando lo scarichi allora boh... non so che dirti)
Allora breve spiegazione per tutti quelli che magari si stanno
assillando con il demo di TheAggressor Pro v1.0 :
il programma demo come puoi notare se lo disassembli un attimino, è
quasi completo (anzi io ho il sospetto che ci sia proprio tutto),
l'unica cosa è che il coder bLackWind' quando ha fatto la versione
demo, (come fanno quasi tutti i programmatori), ha preso in mano la
versione originale e ha iniziato a togliere byte qua e la (non è
proprio così ma per interderci :)  ) disabilitando alcune funzioni e
creando però nel suo caso una marea di errori tipo Access Violation
etc.
Sinceramente, il perchè di alcuni errori veramente non l'ho capito. 
Ho chiesto anche spiegazione al diretto interessato per vedere se ne
era al corrente .... beh sappiate che era la prima parola che sentiva.
Comunque, se anche a voi quando carica da un errore di access
violation sappiate che in quel punto del programma doveva esserci un
nag screen che diceva esattamente così:
<This is the DEMO version of Aggressor. No modules are functional due
to  the nature of the Demo software.>
Io infatti avevo pensato a un tentativo di crack andato a male, mah
... chissà....
Comunque se volete togliere l'errore e far apparire il nag screen,
prendete un editor esadecimale e cambiate il byte 75 al segmento
84C00h in 74.
Altri errori si trovano cliccando con il pulsante destro del mouse
sulla finestra del thread etc.
Ah ... se non togliete la NTTouch.dll o qualcosa di simile, i plugin
si riducono da 21 a 11. Questa .dll infatti serve solo se usate NT.
La cosa + importante è che siccome bLackWind ha disabilitato molto
bene il driver NDIS tutto il contenuto del DEMO (o quasi, si salva
solo il multiping) è inutile :)))))))
Però vi posso assicurare, che con il driver NDIS attivato è una
potenza. 

why? Come mai hanno disattivato questa possibilita'?
Non so. Sono molto strani loro :))))
Forse perchč la 0.8axSR aveva altre funzioni in meno ... e per
controbilanciare.... bohhh.... ma che ne so io :))))))
K'z

quell'host", che e' quello che volevo dire solo detto molto meglio.
perfetto. dovevi quotare il numero 4,5 e non il 6 :) ma tant'e' ....
e' sempre facile quotare l'ultimo msg anche se questo puo' far pensare e
capire a chi non mastica di ip e spoof di che cosa si parli :)
volevo solo dire che pur capendo il msg agli occhi di un terzo e' il quote
cio' che da sostanza, non avendo magari seguito tutto il thread. Tutto qui.
cmq ti ringrazio per il 'molto meglio' ... di solito propendo per il generale
incasinamento :))))
invy

A te funziona Aggressor Pro? Io l'ho scricato due volte ma mi da
Da dove? Grazie!
Sante Caserio