Newsgroup: it.comp.sicurezza.varie
Titolo: Richiesta Aiuto

Salve, mi trovo a lavorare con il seguente sistema:
    -Windows 2000 Server con tutte le patch
    -Sql Server 7 SP4 con tutte le patch sicurezza disponibili installate
    -Le varie utility sia microsoft che di altre case che cercano
vulnerabilità mi dicono che non ne esistono
Problema:
Analizzando il traffico di rete, mi sono accorto che il servizio di sql
invia continuamente pacchetti al di fuori della rete a due IP distinti,
cercando di contattare altri sql su tutte le porte.
Eseguendo un netstat, il risultato è il seguente:
....
TCP    server1:ms-sql-s       
63.105.205.30:5243
     TIME_WAIT
TCP    server1:ms-sql-s       
63.105.205.30:5304
     TIME_WAIT
TCP    server1:ms-sql-s       
63.105.205.30:5679
     TIME_WAIT
TCP    server1:ms-sql-s       
63.105.205.30:5706
     TIME_WAIT
TCP    server1:ms-sql-s       
63.105.205.30:6052
     TIME_WAIT
TCP    server1:ms-sql-s       
63.105.205.30:6184
     TIME_WAIT
TCP    server1:ms-sql-s       
63.105.205.30:6375
     TIME_WAIT
TCP    server1:ms-sql-s       
63.105.205.30:6637
     TIME_WAIT
....
Naturalmente tutto ciò provoca rallentamenti consistenti sulla rete e sul
server.
Ho bloccato gli IP che vengono chiamati con il Firewall.
Qualcuno mi sa dare una mano?
Vi ringrazio.

 TCP    server1:ms-sql-s       
63.105.205.30:5243
     TIME_WAIT
Hum
http://www.dnsstuff.com/tools/whois.ch?ip=!NET-63-105-192-0-1&server=whois.arin.net
sei sicuro di non esserti beccato qualche "verme" tipo (es.)
slammer o simili ?!? Secondo me ti conviene fare una bella
scansione del sistema con un AV aggiornato ed anche con
un AT (es. SpyBot o simili) e vedere cosa viene fuori ...
Inoltre .. sei sicuro che le connex siano solo da/per SQL ??
Prova ad installare un programma tipo "activeports" o
simile e controlla per un certo periodo le connessioni
Ultima nota .. spero che il server sia dietro un firewall e non
direttamente esposto ad internet .. se non sei sicuro, prova
ad usare uno dei diversi servizi di portscanning e vedi cosa
ne viene fuori
Ciao

 ne viene fuori
Il server è protetto da firewall ed è esposto su internet sono sulle porte
desiderate (tra queste quella di Sql).
Penso che se qualcosa è entrato (e anche io penso ad un verme) è entrato
dalla rete interna.
Ti ringrazio.

 desiderate (tra queste quella di Sql).
Ecco, appunto, qualcuno ha trovato la tua 1433 e sta bombardandola;
ora, potrebbe trattarsi di una macchina infetta (spero che SQL abbia
tutte le patch) oppure di qualcuno che ha trovato un'account SQL che
gli permette l'accesso, nel secondo caso fai molta attenzione dato
che alcune delle stored permettono di eseguire comandi di sistema
per cui ... uno potrebbe fare di tutto e di più; resto del parere che aprire
al mondo la porta di SQL NON è assolutamente una buona idea; non
fosse altro che per il fatto che il traffico NON è criptato !!
Ciao


Ecco, io proprio non riesco a capire la necessita' di tener aperta la porta
di SQL direttamente su Internet... si vede che avran tutti SBS su una
singola macchina ;) brr !

 singola macchina ;) brr !
Si, magari una singola macchina con sopra SBS che fa girare
Exchange, OWA, SQLServer, DNS, ISAServer ... ed al contempo
fa anche da domain controller ... il massimo della fetecchia :-PPP
Poi uno dice "windows non č sicuro" .. e ci credo ..un setup simile
fa solo venire i brividi .. azz .. per far saltare in aria una macchina
del genere basterebbe starnutire troppo forte


Pero' "commercialmente" e' conveniente, e allora lo vendono, la gente lo
compra, et voila' che poi Internet e' impestata di SPAM, WORM e compagnia
bedda ;)


hai dimenticato con Administrator e password blank :-PPP