Newsgroup: it.comp.sicurezza.varie
Titolo: [LOG] Gente che ha tempo da perdere?

o più furba di quanto possa immaginare?
(scusate la larghezza, ma WarFTPd è parecchio ciarliero)
S 04/05/02 18:46:10 FTPD:System (User=18446744073709551614 System ) Successfully reinitialized after IP change notification.
I 04/05/02 22:50:24 FTPD:System:0001 (User=18446744073709551615  ) [WarFTPD::OnAccept()] Client (151.25.162.220:1383->
151.25.162.152:21
) is connected to the FTP server.
L 04/05/02 22:50:27 FTPD:System:0001 (User=51539607564 Anonymous-->Visitor-->System ) [WarFTPDControlSck::OnLoggedIn()] User logged in
c 04/05/02 22:50:50 FTPD:System:0001 (User=51539607564 Anonymous-->Visitor-->System ) [WarFTPDControlSck::OnMkd()] Directory "file://D:\misc\ftproot\upload\020405223936p" created.
S 04/05/02 22:50:59 FTPD:System:0001 (User=51539607564 Anonymous-->Visitor-->System ) [WarFTPDControlSck::OnPort()] (207,46,133,140,1,21): refused PORT 8C852ECF,277
O 04/05/02 22:51:04 FTPD:System:0001 (User=51539607564 Anonymous-->Visitor-->System ) [WarLoginHandle::Logout()] User logged out.
due cose mi incuriosiscono: quella directory dal nome strano in upload,
prima di tutto, e non è la sola:
I 02/24/02 03:30:53 FTPD:System:0001 (User=18446744073709551615  ) [WarFTPD::OnAccept()] Client (62.225.210.11:64310->
151.25.167.246:21
) is connected to the FTP server.
L 02/24/02 03:30:54 FTPD:System:0001 (User=51539607564 Anonymous-->Visitor-->System ) [WarFTPDControlSck::OnLoggedIn()] User logged in
c 02/24/02 03:31:00 FTPD:System:0001 (User=51539607564 Anonymous-->Visitor-->System ) [WarFTPDControlSck::OnMkd()] Directory "file://D:\misc\ftproot\upload\548211826" created.
E 02/24/02 03:31:01 FTPD:System:0001 (User=51539607564 Anonymous-->Visitor-->System ) (SystemErr=10054 Connessione in corso interrotta forzatamente dall'host remoto.) [WarSocket::Receive()] failed.
O 02/24/02 03:31:01 FTPD:System:0001 (User=51539607564 Anonymous-->Visitor-->System ) [WarLoginHandle::Logout()] User logged out.
[...]
I 02/24/02 15:51:47 FTPD:System:0002 (User=18446744073709551615  ) [WarFTPD::OnAccept()] Client (217.120.224.34:2431->
151.25.165.246:21
) is connected to the FTP server.
L 02/24/02 15:51:48 FTPD:System:0002 (User=51539607564 Anonymous-->Visitor-->System ) [WarFTPDControlSck::OnLoggedIn()] User logged in
c 02/24/02 15:51:52 FTPD:System:0002 (User=51539607564 Anonymous-->Visitor-->System ) [WarFTPDControlSck::OnMkd()] Directory "file://D:\misc\ftproot\upload\643217688" created.
E 02/24/02 15:51:54 FTPD:System:0002 (User=51539607564 Anonymous-->Visitor-->System ) (SystemErr=10054 Connessione in corso interrotta forzatamente dall'host remoto.) [WarSocket::Receive()] failed.
O 02/24/02 15:51:54 FTPD:System:0002 (User=51539607564 Anonymous-->Visitor-->System ) [WarLoginHandle::Logout()] User logged out.
'nsomma? chevvordì? c'è qualcosa che mi sfugge? secondo voi tutto ciò
ha un senso? L'autore più recente di questa furberia è un certo
ppp-220-162.25-151.libero.it
 (da pochi minuti offline), me ne sono
accorta assolutamente per caso, perchè WarFTPd è un server così pacifico
e (apparentemente) sicuro (un solo exploit noto) che non mi ricordo mai
nemmeno di averlo; insomma, vedo l'indicatore nella barra passare dal
giallo al verde (connessione in corso), vado a controllare ed è questo
pirlengo che, dio saprà perchè, mi mette una cartella con un nome strano
negli upload, e tenta un PORT (seconda azione sospetta)
Trattamento standard: ping d'obbligo, test porta HTTP, test porta FTP.
Nessun server attivo, possiamo escludere, volesse iddio, un'ennesima
variante di CodeRed/NIMDA
Il net send in compenso funziona. Gli spedisco, nell'ordine:
so, what's up?
hiya
chiiicken
cooot coot cot cot cot
I 0wNz Y00
fix me! I suck! -- your computer
(nessuna risposta :-) ah! se si potessero mandare immagini via net
send!)
Voi che ne dite? vi ricorda/dice qualcosa?
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.19. C, C++ and ASM developers
                              and beta testers are welcome!

 Bah...
Ussignur. Ma cosa voleva ottenere costui?


 Netblock: 207.46.0.0 - 207.46.255.255
Cio' dimostra inequivocabilmente che Microsoft e' lamer. <eg>
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
Non fare l'help-desk, manda in Google chi sta a scassa'
http://www.google.com
 
http://groups.google.com/advanced_group_search

 Anche perche' quella porta 277 era chiusa.
no, era la 256 * 1 + 277, = 533. Che č una certa netwall:
[...]
netwall           533/tcp               #per trasmissioni di emergenza
netwall           533/udp               #per trasmissioni di emergenza
[...]
(trasmissioni di emergenza???)
Comunque, ho controllato meglio: non solo il firewall non lascia uscire 
connessioni (ftp-data a parte, e sunrpc e tutte le UDP su localhost per 
l'interfaccia di amministrazione) dal server FTP, ma il server fa giŕ 
la sua parte nel bloccare i PORT sospetti:
220-Juliet's FTP Archive!
    WarFTPd 1.71.02 (Feb 14 2000) Ready
    (C)opyright 1996 - 2000 by Jarle (jgaa) Aase - all rights reserved.
220 Please enter your user name.
user anonymous
331 User name okay. Give your full Email address as password.
pass doh@doh
230 User  logged in.
port 207,46,133,140,1,21
500 Illegal PORT Command. A security notice is written to the logfile.
quit
221 Goodbye. Control connection closed.


 Cio' dimostra inequivocabilmente che Microsoft e' lamer. <eg>
no, dai, che c'entrano loro. Il lamer era un utente di Libero


 1*256+1*21
ooops. E sě che ho controllato. Due volte. Senza accorgermene :-)
