Newsgroup: it.comp.sicurezza.varie
Titolo: Tentativo di attacco durante mIRC

Salve!!!!
Questo che segue e' il log  di NukeNabber mentre ero collegato con
mIRC al canale #italia .Qualcuno mi puo' aiutare a capire cosa e'
successo cioe' quello che questi tizi volevano e consigliare qualche
lettura che potrebbe illuminarmi sulle questioni legate alla
sicurezza. Grazie in anticipo e buon anno,anche se in ritardo.
------------ taglia qui -------------------
[01/15/1999 00:21:58.320 GMT+0100] Questo winsock non supporta il
monitoraggio ICMP.
[01/15/1999 00:21:58.430 GMT+0100] Attivo sulla porta 5001 (tcp).
[01/15/1999 00:21:58.430 GMT+0100] Attivo sulla porta 5000 (tcp).
[01/15/1999 00:21:58.430 GMT+0100] Attivo sulla porta 1080 (tcp).
[01/15/1999 00:21:58.430 GMT+0100] Attivo sulla porta 1032 (tcp).
[01/15/1999 00:21:58.430 GMT+0100] Attivo sulla porta 1029 (tcp).
[01/15/1999 00:21:58.430 GMT+0100] Attivo sulla porta 1027 (tcp).
[01/15/1999 00:21:58.430 GMT+0100] Attivo sulla porta 139 (tcp).
[01/15/1999 00:21:58.430 GMT+0100] Attivo sulla porta 138 (tcp).
[01/15/1999 00:21:58.480 GMT+0100] Attivo sulla porta 137 (tcp).
[01/15/1999 00:21:58.480 GMT+0100] Attivo sulla porta 129 (tcp).
[01/15/1999 00:21:58.480 GMT+0100] Attivo sulla porta 53 (tcp).
[01/15/1999 00:21:58.480 GMT+0100] Attivo sulla porta 19 (udp).
[01/15/1999 00:21:58.480 GMT+0100] Attivo sulla porta 31337 (udp).
[01/15/1999 00:21:58.480 GMT+0100] Attivo sulla porta 61466 (tcp).
[01/15/1999 00:21:58.480 GMT+0100] Attivo sulla porta 50505 (tcp).
[01/15/1999 00:21:58.540 GMT+0100] Attivo sulla porta 12345 (tcp).
[01/15/1999 00:21:58.540 GMT+0100] Attivo sulla porta 12346 (tcp).
[01/15/1999 01:29:00.460 GMT+0100] UDP dall'indirizzo
ppp-udine74-52.iol.it
 (195.210.74.52) porta remota UNKNOWN porta
locale 31337.
[01/15/1999 01:29:00.570 GMT+0100] 蝐岩 ��啿uK櫔2
[01/15/1999 01:29:02.270 GMT+0100] Porta 31337 (udp) e'stata
disattivata per 60 secondi.
[01/15/1999 01:30:02.580 GMT+0100] Porta 31337 (udp) e'stata
ri-attivata.
[01/15/1999 01:42:50.050 GMT+0100] Connessione:
luna.internetnorth.com.au
 (203.14.120.3) sulla porta 1080 (tcp).
[01/15/1999 01:42:50.320 GMT+0100]  
[01/15/1999 01:42:50.320 GMT+0100] Disconnessione:
luna.internetnorth.com.au
 (203.14.120.3) sulla porta 1080 (tcp).
[01/15/1999 01:42:50.320 GMT+0100] Porta 1080 (tcp) e'stata
disattivata per 60 secondi.
[01/15/1999 01:43:51.840 GMT+0100] Porta 1080 (tcp) e'stata
ri-attivata.
[01/15/1999 02:23:33.580 GMT+0100] Connessione: P-197.168.EUnet.yu
(194.247.197.168) sulla porta 12345 (tcp).
[01/15/1999 02:23:34.620 GMT+0100] Password;1;any
ServerPwd;host
[01/15/1999 02:23:34.620 GMT+0100] Disconnessione: P-197.168.EUnet.yu
(194.247.197.168) sulla porta 12345 (tcp).
[01/15/1999 02:23:34.620 GMT+0100] Porta 12345 (tcp) e'stata
disattivata per 60 secondi.
[01/15/1999 02:24:35.590 GMT+0100] Porta 12345 (tcp) e'stata
ri-attivata.
[01/15/1999 02:38:47.760 GMT+0100] Connessione: 
mdmsf4.ulysse.it
(195.223.254.70) sulla porta 1080 (tcp).
[01/15/1999 02:38:53.080 GMT+0100] Connessione: 193.76.195.41 sulla
porta 12345 (tcp).
[01/15/1999 02:38:53.250 GMT+0100] Password;1;
ServerPwd;Pizza
[01/15/1999 02:38:53.250 GMT+0100] Disconnessione: 193.76.195.41 sulla
porta 12345 (tcp).
[01/15/1999 02:38:53.250 GMT+0100] Porta 12345 (tcp) e'stata
disattivata per 60 secondi.
[01/15/1999 02:38:53.250 GMT+0100] Disconnessione: 
mdmsf4.ulysse.it
(195.223.254.70) sulla porta 1080 (tcp).
[01/15/1999 02:38:53.250 GMT+0100] Porta 1080 (tcp) e'stata
disattivata per 60 secondi.
[01/15/1999 02:39:54.540 GMT+0100] Porta 1080 (tcp) e'stata
ri-attivata.
[01/15/1999 02:39:54.600 GMT+0100] Porta 12345 (tcp) e'stata
ri-attivata.
[01/15/1999 02:48:48.090 GMT+0100] Connessione: 193.76.195.41 sulla
porta 12345 (tcp).
[01/15/1999 02:48:48.260 GMT+0100] Password;1;
ServerPwd;Pizza
[01/15/1999 02:48:48.260 GMT+0100] Disconnessione: 193.76.195.41 sulla
porta 12345 (tcp).
[01/15/1999 02:48:48.260 GMT+0100] Porta 12345 (tcp) e'stata
disattivata per 60 secondi.
[01/15/1999 02:48:49.130 GMT+0100] Connessione: 
mdmsf4.ulysse.it
(195.223.254.70) sulla porta 1080 (tcp).
[01/15/1999 02:48:49.960 GMT+0100] Disconnessione: 
mdmsf4.ulysse.it
(195.223.254.70) sulla porta 1080 (tcp).
[01/15/1999 02:48:49.960 GMT+0100] Porta 1080 (tcp) e'stata
disattivata per 60 secondi.
[01/15/1999 02:49:50.930 GMT+0100] Porta 12345 (tcp) e'stata
ri-attivata.
[01/15/1999 02:49:52.960 GMT+0100] Porta 1080 (tcp) e'stata
ri-attivata.
-------------- taglia qui ------------
P.S.
Scusate il messaggio molto lungo.
Come si puo' far capire al "curiosone" che hai "capito tutto" e che
non e' il caso di riprovarci.
@@@@@@ Mentat @@@@@
tel. 065627606
E-mail: 
mf6...@mclink.it
@@@@@@ Mentat @@@@@

porta 12345 (tcp).
Eh eh riconosco le routine della scansione netbus (con hack password)
di uno script per mIRC.(connessioni 12345)
Le connessioni 1080 sono per la ricerca socks
Connessioni UDP 31337 invece per il backorifice
Se sei sicuro di non avere troian(basta fare uno netstat),disattiva il
nukenabber per quelle porte...eviterai le connessioni che in questo
caso sono state fatte in automatico dai loro script.
<=------=(Informazioni Whois su Frankj)=------=>
Frankj   : 
fraf...@hotmail.com
Homepage : 
www.chez.com/pizzairc
 
channels : #pizza #italia2 #napoli
servers  : IRCNET
icq      : 15068478
<=--------=(Fine Informazioni Whois)=---------=>


Metti dei bei serverfake tipo Bospy o Netbuster cosi' oltre che risolvere il problema ti diverti anche molto!!
The Duke

oltre che risolvere il problema ti diverti anche molto!!
Con il Netbuster basta un PortFuck (SYN flood) sulla 12345 per
avere il sistema bloccato... non mi sembra poi tanto divertente :P
--
<=------=(Informazioni Whois su Frankj)=------=>
Frankj   : 
fraf...@hotmail.com
Homepage : 
www.chez.com/pizzairc
 
IRCNET   : #pizza #italia2 #napoli


 avere il sistema bloccato... non mi sembra poi tanto divertente :P
Ciao Bill! :-P Puoi essere piu' preciso?
Ciao, Max (che integra la FAQ).
-- 
Emma for President: 
http://www.emmaforpresident.it/
--ICQ: 14816698---Campagna NOTUT: 
http://notut.ml.org----------
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------------

--
Portfuck è un programma DoS usato per floodare porte TCP aperte. E'
simile ad un flood SYN. Il suo uso principale è bloccare servizi come
Telnet o FTP. In pratica Portfuck stabilisce molte connessioni ad
un'unica porta TCP di un host remoto. Stabilita una connessione, essa
viene chiusa immediatamente e ne viene aperta un'altra.
Esistono addirittura dei programmi che sono fatti apposta per causare
errori critici a NeTbUsTeR.Dopo tale attacco il netbuster si
blocca...con un effettivo rischio per la stabilità del sistema.
Anche BoSpY può essere bloccato inviandogli pacchetti UDP molto
grandi.
Per questi motivi SCONSIGLIO di aprire porte normalmente chiuse sul
sistema,quindi anche l'uso del netbuster.
Saluti Frankj
