Newsgroup: it.comp.os.linux.iniziare
Titolo: SONO NEL PALLONE

Leggete il mio ultimo post prima di questo.
SONO NEL PALLONE COMPLETO
Ecco, questo è una delle cose che mi farà togliere Linux...la paura di
lasciare servizi aperti dai quali qualcuno possa entrare.
Aiuto.
Come è stato possibile il crearsi di quei file di ROOT mentre ero loggato
come USER...e perchè avevano il nome di alcune frasi di un post di Slacky,
ed erano vuoti???
SONO NEL PALLONE, VERAMENTE...
-- 
Jenny ti voglio bene e ti amerò per sempre

 SONO NEL PALLONE, VERAMENTE...
Cioè, fammi capire....
Qualcuno riesce a connettersi da remoto al tuo PC per scriverti dei file
senza alcun significato e.... guarda caso questi file con tutto il disco a
disposizione li mette proprio nella directory dove stai lavorando ?!?!?!?!?
Un po' strana come coincidenza... anche perchè un eventuale cracker
loggato sul tuo PC non potrebbe sapere in maniera immediata in quale
directory stai lavorando... con tutta probabilità invece si accanirebbe
sulla tua home...
Perchè poi dici che eri loggato come user ? Per installare un driver devi
per forza avere i privilegi di root... ed infatti nella sequenza di
operazioni che hai indicato ad un certo punto hai dato il comando 'su'....
A questo punto potresti aver combinato qualche pasticcio che non compare
nella sequenza che hai indicato, visto che questa l'hai ottenuta dalla
shell per il tuo utente e non per root.
Al massimo dai nuovamente il comando 'su' per vedere cosa hai fatto come
root invece che come giulio, ma in ogni caso secondo me puoi stare del
tutto tranquillo.... piuttosto la prossima volta stai più attento ai
pasticcietti... soprattutto da root...
-- 
Stefano Gatti 
Email: 
stefano.ga...@tin.it
 (togliere .levami)
Web: 
http://sg67.altervista.org/

 
Fatti una dormita!
ciao
gerry

 shell per il tuo utente e non per root.
e come trovo la sequenza dei comandin inseriti da root?
Ma che cavolo .............guarda:
si si nello storico ho una serie di comandi tipo:
root@home:/home/giulio/src/chkrootkit-0.43# make uninstall
root@home:/home/giulio/src/chkrootkit-0.43# slacky wrote:
root@home:/home/giulio/src/chkrootkit-0.43# > Caro Giulio,
root@home:/home/giulio/src/chkrootkit-0.43# > premetto che non potro'
leggere le repliche a questo mesaggio perche'
root@home:/home/giulio/src/chkrootkit-0.43# > manchero' per un paio di
settimane.
root@home:/home/giulio/src/chkrootkit-0.43# > E' un po' che ti seguo e, a
parte le difficolta' in cui ti sei
root@home:/home/giulio/src/chkrootkit-0.43# > imbattuto, non necessariamente
per colpa tua, ma per altre ragioni, ho
root@home:/home/giulio/src/chkrootkit-0.43# > notato leggendo le tue domande
che forse sarebbe meglio consigliarti di
root@home:/home/giulio/src/chkrootkit-0.43# > leggere qualche manuale
introduttivo a unix. Ne trovi a bizzeffe in rete.
root@home:/home/giulio/src/chkrootkit-0.43# > Qui sul newsgroup tutti siamo
in tanti molto contenti di aiutare chi si
root@home:/home/giulio/src/chkrootkit-0.43# > puo' aiutare; anche io sono
contento e spesso ho chiesto aiuto, anche
root@home:/home/giulio/src/chkrootkit-0.43# > per cose banali; ma aiutare
seriamente vuol dire anche ad un certo punto
root@home:/home/giulio/src/chkrootkit-0.43# > dire: basta cosi'! Ora leggiti
un po' di documentazione e poi torna.
root@home:/home/giulio/src/chkrootkit-0.43# > Non mi e' sembrato il caso di
aprire un nuovo thread per dirti cosi'
root@home:/home/giulio/src/chkrootkit-0.43# > poco. Ne' questo messaggio e'
direttamente collegato a quello che hai
root@home:/home/giulio/src/chkrootkit-0.43# > effettivamente chiesto
quest'ultima volta(vabbe, un po' anche...)
root@home:/home/giulio/src/chkrootkit-0.43# > Spero che seguirai il
consiglio.
Ecco la sequenza di comandi che ho trovato!!!! Ma che diavolo ho
combinato???????????????????



Mmm...penso che questo sia il classico furbillone.

> Mmm...penso che questo sia il classico furbillone.
No, nessun furbillone.
Praticamente devo usato il testo del post di Slacky come input per il
comando > eseguito da root mentre stavo facendo $make uninstall


 combinato???????????????????
Giulio, te lo dico così, da amico: fatti una tisana, creati un utente
con zero privilegi, e lascia che sia qualcun altro ad amministrarti il
computer - altrimenti non credo che le tue coronarie reggeranno.
Ciao,
 Emmanuele.
-- 
Emmanuele Bassi (Zefram)                 [ 
http://www.emmanuelebassi.net
 ]
GnuPG Key fingerprint = 4DD0 C90D 4070 F071 5738  08BD 8ECC DB8F A432 0FF4

 leggere le repliche a questo mesaggio perche'
[CUT]
Giulio che cosa ci fà il chkrootkit nella tua home ???
che roba è?
-- 
Linux user "Slackware-dotato" 

 SONO NEL PALLONE, VERAMENTE...
A me e' capitato piu' volte che gpm (il gestore del mouse in console testo
di linux) faccia a schiaffi con X per il /dev/psaux, e quando passo da X a
console con i soliti ctrl-alt-F1/2/3 il mouse impazzisce e semplicememnte
muovendolo di pochi millimetri fa una sequenza folle si copia/incolla,
facendo eseguire comando a casaccio (presi dal testo copiato) alla console.
Potrebbe essere?
-- 
Mario "Reliant" Pascucci
Linux Registered user #327002 
http://counter.li.org/
http://ilpettegolo.altervista.org/

 che roba è?
E' uno strumento per controllare la presenza di rootkit nel sistema. 


 sistema.
Hai server attivi sull'interfaccia internet?
- -- 
Dario Basile
- ----------------------------------------------------------------
Semper sexus masculinus melius est quam ditalinus. 
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
iD8DBQFA6sf27mRkrRsDl/8RAk94AJ0Y3j3RPJe6z6uPat2JulpAojxd+QCePtws
dCZxow76NGVMeUUVCxL3lgw=
=B/Q8
-----END PGP SIGNATURE-----

> Hai server attivi sull'interfaccia internet?
Non penso. L'unico potrebbe essere CUPS (pò esse?).
COme faccio ad esserne sicuro?


 lasciare servizi aperti dai quali qualcuno possa entrare.
Scusa, ma contrariamente a Windows, puoi in ogni momento vedere quali 
sono i servizi aperti su internet.
# netstat -natp | grep LISTEN
Ciao!


tcp        0      0 
0.0.0.0:4661
            0.0.0.0:* 
LISTEN      3286/xmule
tcp        0      0 
0.0.0.0:631
             0.0.0.0:* 
LISTEN      845/cupsd
mi piacerebbe vedere cosa direbbe su Windows;
r
-- 
posted from a ridicoulus Country
Baudelaire e l'arte: 
http://umpf.net/

 computer - altrimenti non credo che le tue coronarie reggeranno.
ehe;
sembra me, solo che io non m'impensierisco dei pasticci che combino;
r
-- 
----x----
---- ----
---- ----
                Camminare sulla brina.
---- ----
---- ----
---- ----
tutto sui Pentangle: 
http://umpf.net/

 mi piacerebbe vedere cosa direbbe su Windows;
root@home:/home/giulio# netstat -natp | grep LISTEN
tcp        0      0 
0.0.0.0:37
              0.0.0.0:*               LISTEN     
1543/inetd
tcp        0      0 
0.0.0.0:6000
            0.0.0.0:*               LISTEN     
1632/X
tcp        0      0 
0.0.0.0:113
             0.0.0.0:*               LISTEN     
1543/inetd
tcp        0      0 
0.0.0.0:22
              0.0.0.0:*               LISTEN     
1546/sshd
tcp        0      0 
0.0.0.0:631
             0.0.0.0:*               LISTEN     
1564/cupsd
tcp        0      0 
0.0.0.0:62681
           0.0.0.0:*               LISTEN     
1707/wish
Come mai ho tutta questa roba in ascolto?


 Come mai ho tutta questa roba in ascolto?
Spero di averti aiutato.
Ciao!

 
perché gliel'hai detto tu, esplicitamente (quando nell'installazione 
chiede che servizi vuoi all'avvio) o implicitamente (scegliendo i 
pacchetti);
non so il tuo caso, ma credo che per un utente "single" cupsd basti ed 
avanzi -e nemmeno questo, se si stampa di rado;
r
-- 
le charme inattendu d'un bijou rose et noir.
[Lola di Valenza]
Ramapage: 
http://umpf.net/

 Ciao!
SI :)
Però io non so come impedire a ste cose di stare in ascolto pubblico.
Anche se guardassi nei rispettivi file di configurazione poi non saprei dove
mettere le mani.


 COme faccio ad esserne sicuro?
  nmap indirizzo_internet
  nmap -sU IP_su_internet
Il secondo va dato da root.
Se nessuno dei due trova porte aperte, e' tutto ok. Altrimenti
devi bloccare l'accesso alla porta tramite iptables/netfilter.
Non e' complicato, se non hai una LAN bastano due istruzioni:
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Con la prima blocchi tutte le connessioni in ingresso, con la
seconda accetti le connessioni che sono in qualche modo
originate dall'interno.
Fatto questo, se non hai porte aperte e' impossibile che
qualcuno acceda al tuo sistema, quindi puoi fare
tranquillamente a meno di chkrootkit e amenita' simili. Ricorda
che linux, a differenza di Windows, e' un sistema
intrinsecamente sicuro, quindi impara a stare tranquillo. Detto
in altri termini: get slack! :-)
- -- 
Dario Basile
- ----------------------------------------------------------------
D. D. D. (Durlindanas Donzellis Donate)
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
iD8DBQFA6wnJ7mRkrRsDl/8RAv0kAKCI/I7rfpP4UOX8Zsq3zauWIZBMVwCfQD81
wxuijnr01HdnjWWZCELNonA=
=de8Q
-----END PGP SIGNATURE-----

 mettere le mani.
Beh non e' molto difficile tutto sommato. quasi sempre c'e' un'opzione 
tipo "listen address" oppure "bind interface", ecc ecc.
Armati di pazienza, google e man e vedrai che ce la fai.
Per sshd ti ho detto io dove modificare.
Altro esempio:
Io ho aperte le porte 13, 9 e 37 con inetd.
Faccio man inetd e scopro a cosa serve il programma, e che viene 
configurato tramite il file /etc/inetd.conf
Allora guardo su inetd.conf e scopro che le uniche righe senza commenti 
sono:
discard		stream	tcp	nowait	root	internal
discard		dgram	udp	wait	root	internal
daytime		stream	tcp	nowait	root	internal
time		stream	tcp	nowait	root	internal
Guardo su /etc/services, la lista di tutte le porte "well known", e 
trovo i seguenti abbinamenti:
time            37/tcp          timserver
daytime         13/tcp
discard         9/tcp           sink null
E' chiaro quindi che il demone inetd tiene aperte le porte per quei tre 
programmini. A questo punto faccio "man inetd.conf" per capire come va 
modificato per chiudere le porte (probabilmente commentando le righe), e 
agisco.
Niente di difficile, come vedi, basta cercare un po'..
Ti consiglio di dedicarti per primo ad X, non e' bello che ascolti su 
0.0.0.0.
Ciao!

 comando > eseguito da root mentre stavo facendo $make uninstall
Non tenere conto del mio post di due minuti fa, se non faccio in tempo a
cancellarlo. ;-)
Devo convincermi a leggere le news DAL FONDO.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Ciao!
Perfetto. Farò come hai detto.
P.S. Perchè non è bello che X ascolti su 0.0.0.0? Questo non è una specie di
indirizzo della mia macchina, o cmq fittizio?
Che pericoli ci sono?


 Che pericoli ci sono?
Se dai una letta all'introduzione al firewall di Linux:
http://ilpettegolo.altervista.org/Linux-firewall-when-why.html
sul mio sito, puo' darsi che ti chiarisca un po' le cose.


 Che pericoli ci sono?
No, 0.0.0.0 significa che ascolta su TUTTI gli indirizzi ip, che vengano 
da internet, rete locale, pc locale, piccione viaggiatore, tutto.
L'indirizzo locale e' 127.0.0.1
Mentre indirizzi nella forma 192.168.xx.xx sono i piu' diffusi per le 
reti locali (altrimenti c'e' anche 10.xx.xx.xx)
Il resto dovrebbero essere indirizzi internet