Newsgroup: it.comp.sicurezza.varie
Titolo: Spippolamento su porta UDP 3013

Salve a tutti.
Scrivo qui perche' non so bene dove altro scrivere, se ho sbagliato
chiedo scuse e magari reindirizzatemi nel posto giusto, grazie.
Amministro una debian nella rete aziendale e ci ho messo su shorewall
per fare da firewall.
L'ho configurato molto tempo fa chiudendo praticamente tutto tranne le
porte necessarie.
Da un po' di tempo a questa parte ho i log pieni di messaggi cosi':
Aug  2 13:47:44 Consulente1 kernel: Shorewall:all2all:REJECT:IN=eth0
OUT= MAC=ff:ff:ff:ff:ff:ff:00:12:79:93:29:63:08:00 SRC=10.1.1.51
DST=10.1.255.255 LEN=350 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=UDP
SPT=3013 DPT=3013 LEN=330
Da quello che ho capito c'e' il computer 10.1.1.51 che spara in
broadcast sulla sottorete di cui fa parte la mia debian un pacchetto
UDP verso la porta 3013.
Cercando in rete non sono riuscito a trovare nulla che parli di queta
3013, tranne un riferimento a gilatskysurfer, che pero' ho googlato, ma
non ho capito cosa sia.
Qualcuno ha maggiori notizie?
Magari per capire cosa e' su quel pc che lo fa sparare tutti 'sti
pacchetti in rete, anche perche' nell'ultima settimana:
Consulente1:~# cat /var/log/syslog.*.gz | gunzip | grep 10\.1\.1\.51 |
wc -l
6082
Consulente1:~#
Inizia a stufarmi...
TIA
-- 
manuel 'fmf' ferrero | 
http://www.servidellagleba.it/~manuel/blog/

 non ho capito cosa sia.
Gilat Sky Surfer.
Potrebbe essere uno spyware, etc.?
Prova un po' a nmappare 10.1.1.51 e a vedere cosa monta. Oppure vai di
persona e tira qualche @#!$%/
-- 
Oderint, dum metuant.
WWW: 
http://xjp.altervista.org
E-Mail: michele @ nectarine . it
MSN [IM]: michele @ nectarine . it
IRC: xjp @ FreeNode

Consulente1:~#nmap 10.1.1.51
[CUT su un milione di righe:
sendto in send_ip_packet: sendto(3, packet, 40, 0, 10.1.1.51, 16) =>
Operation not permitted]
Interesting ports on 
10.1.1.51
:
(The 1656 ports scanned but not shown below are in state: filtered)
PORT    STATE  SERVICE
25/tcp  closed smtp
53/tcp  closed domain
80/tcp  open   http
137/tcp closed netbios-ns
138/tcp closed netbios-dgm
139/tcp closed netbios-ssn
443/tcp open   https
MAC Address: 00:12:79:93:29:63 (Unknown)
Nmap finished: 1 IP address (1 host up) scanned in 24.047 seconds
Consulente1:~#
Fatto con superscan per windows:
21  File Transfer Protocol [Control]
|_220 hydra01.*********.*** FTP server (Version wu-2.6.1-18) ready...
22  SSH Remote Login Protocol
|_SSH-1.99-OpenSSH_2.9p2.
23  Telnet
|_..... ..#..'
80  World Wide Web HTTP
|_HTTP/1.0 302 Found..Content-Type: text/html..Location:
http://hydra01.
*********.***/index.html..Content-Length:
171..Servlet-Eng
111  SUN Remote Procedure Call
443  https  MCom
716
Boh?

 
Prova con nmap -O [ ovviamente da rewt ]


 Qualcuno ha maggiori notizie?
E' un sistema che offre connettività via satellite mi pare.
Ma 10.1.1.151  e' un host della tua subnet: puoi accederci? 

  Ma 10.1.1.151  e' un host della tua subnet: puoi accederci?
E' della mia subnet, ma non so dove sia (non sono un amministratore di
rete) e non posso quindi accedervi.
Volevo solo capire perche' spara tutti questi pacchetti per avere
qualcosa da segnalare all'amministratore di qui...


 Consulente1:~# nmap -O 10.1.1.51
Prova con un -A, e cerca di capire cos aci sia su quella porta tcp 716.
Proverei anche uno scan udp ed a loggare per intero quei pacchetti in
broadcast, per vedere se dal payload ci si capisce qualcosa.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 
Mah, il mistero si infittisce. Provato a contattare 
ro...@10.1.1.51
 ?
Magari fornendogli il log dei pacchetti che ti arrivano.


Ciao Wiph, quanto tempo... Ti ricordi di me? :)
Allora, il risultato e':
Consulente1:/etc/shorewall# nmap -A 10.1.1.51
716/tcp   open  rquotad      1-2 (rpc #100011)
Chissa'?
Ora ho mandato un paio di mail e soprattutto ho messo in DROP quella
porta cosi' almeno non ho i log pieni di reject...
Pero' avrei anche un'altra domanda al volo: quando faccio un nmap cosi'
da quel pc ottengo una sfilza di messaggi:
sendto in send_ip_packet: sendto(3, packet, 40, 0, 10.1.1.51, 16) =>
Operation not permitted
perche' c'e' su shorewall che fa da firewall ed evidentemente filtra
_in_uscita_ svariate porte.
Cio' mi sembra di capire che non sia buona cosa, giusto?
Esperienze con shorewall?


 Esperienze con shorewall?
No, uso iptables direttamente, sorry.


 Beh, io sul mio laptop non filtro in output.
Eh, pensavo nemmeno io.
Cosi' come pensavo di accettare i ping e di saper configurare samba.
Mi sono dovuto ricredere in un paio di giorni...


 Mi sono dovuto ricredere in un paio di giorni...
lol...:-)


 Magari fornendogli il log dei pacchetti che ti arrivano.
Ottimo consiglio, mi associo.