Newsgroup: it.comp.sicurezza.varie
Titolo: Scan Supereva!

Scusate...non so se ci avete fatto caso,ma se entrate su server supereva
quest'ultimi praticamente scannano dalla testa ai piedi..Io mi chiedo se
tutto ciň č legale....
--
bismark
www.bismark.it
(ISP. Italian Security Project)
"Io ti indico la via, sta a te varcare la soglia" M.Morpheus
Matrix 00t

 quest'ultimi praticamente scannano dalla testa ai piedi..
Tipo?
Fabio

tutto ciň č legale....
Mi pare se ne sia gia' lamentato qualcuno un paio di giorni fa.
Puoi un indicare uno degli URL incriminati?
-- 
Lapalissiano
Icq 57269703

 --
Stesso problema... durante la navigazione mi capita di ricevere segnalazioni
del mio firewall (ZA) di questo tipo:
The firewall has blocked Internet access to your computer (TCP Port 2048)
from 
almalaurea.cineca.it
 (193.207.111.29) (TCP Port 8192) [TCP Flags: PSF].
E' solo un esempio, ma capita anche da siti come inwind, ecc.
E tutto questo solo da quando è cominciato il casino del nimda (che non ho
mai preso!).
S.O. win98se, Browser: explorer 6.0, antivirus NAV 2001 aggiornato.
Ciao e Grazie
Cri

 ha scritto nel messaggio
news:ugmortcteienp65gi...@4ax.com...

Basta un 
http://www.supereva.it

 Solo outbound DPT=80 per i vari banner.
Dal log di Outpost, dopo aver digitato 
www.supereva.it
:
07/10/2001 12.35.54 Connection request 195.110.96.130 TCP(25543)
07/10/2001 12.35.53 Connection request 195.110.96.168 TCP(8770)
07/10/2001 12.35.52 Connection request 195.110.96.130 TCP(22311)
07/10/2001 12.35.47 Connection request 195.110.96.166 TCP(23791)
07/10/2001 12.35.45 Connection request 195.110.96.136 TCP(10511)
07/10/2001 12.35.45 Connection request 195.110.96.172 TCP(14212)
07/10/2001 12.35.42 Connection request 195.110.96.139 TCP(6755)
07/10/2001 12.35.42 Connection request 195.110.96.127 TCP(24121)
07/10/2001 12.35.39 Connection request 195.110.96.144 TCP(23875)
07/10/2001 12.35.39 Connection request 195.110.96.164 TCP(12705)
07/10/2001 12.35.38 Connection request 195.110.96.142 TCP(21840)
07/10/2001 12.35.37 Connection request 195.110.96.128 TCP(22974)
07/10/2001 12.35.34 Connection request 195.110.96.173 TCP(6860)
07/10/2001 12.35.34 Connection request 195.110.96.142 TCP(14001)
07/10/2001 12.35.33 Connection request 195.110.96.147 TCP(18949)
07/10/2001 12.35.30 Connection request 195.110.96.163 TCP(12751)
07/10/2001 12.35.30 Connection request 195.110.96.131 TCP(12642)
07/10/2001 12.35.28 Connection request 195.110.96.172 TCP(8230)
07/10/2001 12.35.28 Connection request 195.110.96.127 TCP(7803)
Da notare che usano la stessa subnet 195.110.96.* ma con IP diversi in modo
che, tipo outpost, non rileva un portscanning xche l'IP source cambia

Dal log di Outpost, dopo aver digitato 
www.supereva.it
:
Niente neanche da parte mia, neanche usando Explorer.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

Niente neanche da parte mia, neanche usando Explorer.
Idem
-- 
Lapalissiano
Icq 57269703

 Niente neanche da parte mia, neanche usando Explorer.
Facendo una controprova...
# tail -f /var/log/messages
Oct  7 16:36:38 Feanor kernel: IN=eth0 
OUT= MAC=00:a0:a2:00:cb:72:00:30:7b:bc:ac:38:08:00 SRC=195.110.96.106 
DST=212.34.218.118 LEN=60 TOS=0x00 PREC=0x00 TTL=55 ID=32472
DF PROTO=TCP SPT=80 DPT=1234 WINDOW=32120 RES=0x00 ACK SYN URGP=0 
Ordunque, devo supporre, forse, che certi *firewall* non
capiscano bene la differenza tra un SYN ed un SYN ACK?
O mi sfugge qualcosa?
<g>

 capiscano bene la differenza tra un SYN ed un SYN ACK?
Con NIS le uniche segnalazioni sono di blocco di alcuni script
e blocco dei banners.
-- 
Bye by V.

(ecc, ecc.)
Queste sono tutte macchine che fanno parte del cluster di server web di
supereva.
La cosa più probabile è che vengano fatti dei tentativi di connessione da ogni
macchina per verificare quale è più vicina al client in termini di hops, e
magari anche altri parametri (costo di routing, RTT) in modo da ottimizzare
banda e servizio. In questi log non è presente la porta di destinazione ma
probabilmente è una porta nota che 'passa' facilmente: alcuni cluster (non di
supereva) usano le porte 53 o 80 o cose simili.
Mi sembra che qualche tempo fa qualcuno si lamentasse di connessioni di
supereva sulla 510 e l'ipotesi poteva essere la stessa.
Dalle mie prove, purtroppo, non ho mai potuto osservare niente.
Fabio

Dipende dal tipo di architettura che hanno.
Con molti grossi portali capita questo scherzetto, e se il tuo firewall 
non fa distinzione fra il tipo di pacchetti tcp.....
Vedrai che sono tutte connessioni su porte alte (>1024) e come porta 
sorgente hanno la porta 80.
18K