Newsgroup: it.comp.sicurezza.varie
Titolo: total48.mediacom.it: grazie di esistere !! Mi hai dato del Freni ;-)

Premessa... posto qui perche' il soggetto sicuramente segue questo gruppo) ed
in it.comp.linux per conoscenza.
Si, grazie di esistere... mi hai fatto scompisciare dalle risate con i tuoi 
tentativi di entrare su tutte le mie porte... incluso il port scanning
selvaggio...
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Mar  9 17:47:05 durin tcplogd: port 2 connection attempt from
total48.mediacom.i
t
Mar  9 17:47:06 durin tcplogd: port 3 connection attempt from
total48.mediacom.i
t
Mar  9 17:47:06 durin tcplogd: port 4 connection attempt from
total48.mediacom.i
t
Mar  9 17:47:06 durin tcplogd: port 5 connection attempt from
total48.mediacom.i
t
Mar  9 17:47:06 durin tcplogd: port 6 connection attempt from
total48.mediacom.i
t
Mar  9 17:47:07 durin tcplogd: echo connection attempt from
total48.mediacom.it
Mar  9 17:47:07 durin tcplogd: port 8 connection attempt from
total48.mediacom.i
t
Mar  9 17:47:07 durin tcplogd: discard connection attempt from
total48.mediacom.
it
Mar  9 17:47:08 durin tcplogd: port 10 connection attempt from
total48.mediacom.
it
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Mi hai deliziato con le notizie su tua sorella (?)
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Tue Mar  9 17:38:18 1999:1: Script '/usr/local/bin/boclone 9 'guarda che e' na
besta... io te la manno' 'guarda che e' na besta... io te la manno' > /tmp/boreply.1967513926' returned error code 32256
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Divertente vedere come ti preoccupi per la salute del mio WinBug 95...
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Tue Mar  9 17:49:47 1999:3: Back Orifice: 
total48.mediacom.it:2295
 ("<Show a system dialog box> fio mio sei un colabrodo... _-) fio mio sei un colabrodo...
_-)"
Tue Mar  9 17:50:21 1999:3: Back Orifice: 
total48.mediacom.it:2295
 ("<Show a
system dialog box> c'hai piu' porte aperte te che piazza cavalleggeri c'hai piu' porte aperte te che piazza cavalleggeri")
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
se non bastasse mi hai anche dato del Freni...
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Tue Mar  9 18:01:40 1999:3: Back Orifice: 
total48.mediacom.it:1295
 ("<Show a
system dialog box> posso firma' il libro dei visitatori _ posso firma' il libro dei visitatori _")
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
e poi quando mi hai rubato le passwd di WinBug, brutto ladro...
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Tue Mar  9 18:13:52 1999:3: Back Orifice: 
a-mi29-21.tin.it:1025
 ("<Send system
passwords> ciao ciao eh eh eh   reboot")
Tue Mar  9 18:13:53 1999:1: Script '/usr/local/bin/boclone 4 'ciao ciao' 'eh eh 
eh   reboot' > /tmp/boreply.1653377373' returned error code 32256
Tue Mar  9 18:14:06 1999:3: Back Orifice: 
a-mi29-21.tin.it:1025
 ("<Send system passwords> - -")
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Beh mi hai dato del Freni... io posso darti del _COGLIONE_ !! Il mio Linux
box ed iplogd ringraziano per le grasse risate che mi hai fatto fare nei tuoi
penosi tentativi, inclusi gli accessi FTP e telnet... ah, _COGLIONE_ mando
immediatamente gli estratti dei miei due logs (/var/log/messages e
/var/log/iplogd.log) al tuo "provaider" cosi' se sono seri e ti trombano
l'account passerai il tuo tempo a discuterne con tua sorella, _COGLIONE_ !
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
* Mettete Blisset & Max_Adamo nel vostro killfile ! *

BELLA LI' !!!!!!!!!!!!!!!
così si fa !
che lo possino trombà !!!!!!!!!!

tho...@durin.khazad-dum.net
 wrote:
Scusa potresti postare una speigazione chiara dei log, cosi`
se capita a qualcun'altro si sa cosa succede.
Thanks.
--
main() { printf(&unix["\021%six\012\0"],(unix)["have"]+"fun"-0x60);}
explain this...
--
bye,
--
  Piergiorgio Sartor
  Sony International (Europe) GmbH
  European R&D Stuttgart
  Advanced TV Group              Tel.: 
++49-(0)711-5858-525
  Stuttgart Technology Center    FAX: 
++49-(0)711-5858-199
  Stuttgarter Strasse 106        e-mail: 
sar...@sony.de
  D-70736 Fellbach, Germany

se capita a qualcun'altro si sa cosa succede.
Premetto che non sono d'accordo con l'attribuzione di 'Freni' a Gigi,
il tizio ha solo fatto un riferimento al libro dei visitatori. Non so
dove sia Piazza Cavalleggeri, ma se e' a Milano potrebbe indicare che
il tizio era si' di Roma, ma vive/lavora a Milano (--> anche perche',
cosi', si spiega come mai un imbecille di Roma faccia scanning su una
subnet di MILANO).
Mar  9 17:47:05 durin tcplogd: port 2 connection attempt from
total48.mediacom.it
Mar  9 17:47:06 durin tcplogd: port 3 connection attempt from
total48.mediacom.it
Questo e' uno scanning sequenziale, fatto possibilmente con un "coso"
che si chiama PortFuck Gold. Per un puro caso, il coso fa si' che, su
un kernel Linux < 2.0.36, le connessioni vadano in ESTABLISHED... non
ho fatto prove specifiche (non mi va di downgradare il kernel ;-)) ma
non credo che la cosa provochi danni.
Mangia un po' di risorse disco e CPU per il resolving e il logging, e
finisce li'. Ah gia', e brucia un po' di process table.
Tue Mar  9 17:38:18 1999:1: Script '/usr/local/bin/boclone 9 'guarda
che e' na besta... io te la manno' 'guarda che e' na besta... io te la
manno' > /tmp/boreply.1967513926' returned error code 32256
Questo e' un log di iplogd, solo che Gigi l'ha configurato male, e lo
script non viene eseguito completamente... probabilmente, fallisce l'
identificazione di SO e NBT, o forse non riesce a scrivere sul log di
bosuckers (touch /var/log/bosuckers.log; chmod /var/log/bosuckers.log
600; chown nobody.nogroup /var/log/bosuckers.log).
I campi sono: data; livello (1=errore); poi il fatto che il messaggio
sia "boclone 9" indica un pacchetto di Back Orifice tipo 9, ovvero la
richiesta di un message box.
Tue Mar  9 18:13:52 1999:3: Back Orifice: 
a-mi29-21.tin.it:1025
("<Send system passwords> ciao ciao eh eh eh   reboot")
Questo probabilmente e' un "Send System Passwords", solo che il tizio
si e' scordato di cancellare i campi VAR1 e VAR2, residuati (a quanto
pare) da un precedente ordine di effettuare un reboot.
Il fatto che, di serie, alla richiesta di reboot iplogd replichi con
:   Gentile $HOST [$IPLOGD_REMOTEADDR],
:   l'operazione da Lei richiesta viola l'articolo
:   615 ter del Codice Penale, ed e' punita con la
:   reclusione sino a tre anni.
:   Lei e' pertanto pregato di interrompere subito
:   i Suoi tentativi. Non saranno prese misure nei
:   Suoi confronti eccettuato il logging di questa
:   richiesta.
:   Buona giornata,
:   
:   Back Orifice Simulated Server
    ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
la dice lunghetta sul tizio e sul suo cervello (o chi ne fa le feci,
pardon, "veci").
Alla richiesta di system passwords, boclone risponde di serie con un
set di passwords scelto a random in dipendenza dallo host.
Questo consente ad alcuni furbacchioni (tipo uno di Livorno che ogni
tanto salta fuori su POP di TIN a Firenze) di notare che il medesimo
sistema ha questo comportamento:
Wed Mar  3 23:54:59 1999:3: Back Orifice:
ppp-livorno85-136.iol.it:1384
 ("<Send system passwords>")
Wed Mar  3 23:58:12 1999:3: Back Orifice:
a-li5-18.tin.it:1029
 ("<Send system passwords>")
...quando fa una query dall'account di IOL, il sistema risponde
di essere un Pentium 200... e che la password del proprietario,
l'ammiraglio Ashtar Sheran, e' 'sheran'.
Quando la stessa query viene dall'account di TIN, pero', quello
stesso computer risulta di proprieta' d'un certo James Tiberius
Kirk, password "ncc1701".
Il che dice a lui che c'e' qualche porcheria sotto, e a me che,
o l'amico livornese ha soldi da buttare, o uno dei due accounts
e' rubato. Lo sta usando da troppo tempo, perche' sia uno degli
infiniti accounts gratuiti offerti da IOL o TIN.
Leonardo
".signature": bad command or file name

 se capita a qualcun'altro si sa cosa succede.
Pier fai prima a fare un salto.. vabbe' te lo dico via mail..


 
a-li5-18.tin.it:1029
 ("<Send system passwords>")
Si, proprio lui...


 wrote:
 >600; chown nobody.nogroup /var/log/bosuckers.log).
nobody non deve possedere file.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

utenti fake :-))
... anche a me !
Ciao, agx

 ... anche a me !
Senza iplogd cosa te ne fai? :-)))


sound=/usr/local/bin/carillon
Dove trovo Boclone?
Sidewinder

 Dove trovo Boclone?
http://www.linuxvalley.com/~lserni
 e scarica iplogd



http://www.linuxvalley.com/~lserni
 e scarica iplogd
Sara la prima cosa che faro' stasera....
TIA
Sidewinder

Senza iplogd cosa te ne fai? :-)))
Io uso tcplogd e icmplogd di sunsite, ovviamente questo
e' diverso; stasera ci guardo (cioe' appena mi riconnetto
per mandare le cazzate quotidiane ...)
Grazie, thorin
e non te la prendere se si scherza un po'

 e non te la prendere se si scherza un po'
Figurati, prendermela? Sono corazzato...


 Sara la prima cosa che faro' stasera....
Fammi sapere...
