Newsgroup: it.comp.os.linux.iniziare
Titolo: MARTIAL???

Cosa è successo? Tornando dalle vacanze ho riacceso il pc e guardate cosa mi
da quando mi connetto!!!!
martian source 80.116.122.251 from 127.0.0.1, on dev ppp0
ll header: 45:00:00:28
Come risolvo????


E' dovuto alla vicinanza di marte alla terra. In qualche giorno si allontana
di nuovo e dovrebbe tutto tornare come prima
--------------------------------
Inviato via 
http://usenet.libero.it

 ll header: 45:00:00:28
Un pacchetto Martian e' un pacchetto che arriva con un'IP che non dovrebbe
avere. Potrebbe essere un virus o qualche cosa di mal configurato.
80.116.122.251 ti dice niente? E come' che ppp0 e' 127.0.0.1
Davide

 di nuovo e dovrebbe tutto tornare come prima
ROTFL :)
-- 
signature: No such file or directory

 ha scritto nel messaggio
news:binil7$9nn79$6...@ID-18487.news.uni-berlin.de...

Ma sulla server linux o sui client????
Mi pare che tutto sia configurato a dovere...dove posso guardare per vedere
se c'č qualche cosa di strano???

 80.116.122.251 ti dice niente? E come' che ppp0 e' 127.0.0.1
Anch'io ho gli stessi messaggi... Comunque, il primo indirizzo è l'ip di
Helix, e 127.0.0.1 è la sorgente di quegli strani pacchetti (sono tutti
pacchetti ack). Qualcuno, su it.comp.sicurezza.varie sosteneva che si
tratta di un "effetto collaterale" di msblast... ma non so bene di che si
tratti in realtà. Ciao!
Roberto
P.s.: Scusate per la sign lunga, ma vale tutte le 12 righe che occupa!
-- 
#!/bin/bash
#############################################
#### This is the great file /bin/Windows ####
#############################################
while [ "1" ]; do
       echo "I do my best because I'm the best"
       echo "Very soon, next Y2Kill (the 01/01/0000)"
       echo "A new marvelous 64 bit release !"
       echo "Please wait a little more"
       sleep 18446744073709551615 # 2^64-1
done

 tratti in realtà. Ciao!
Quindi non è un problema nostro...ma un problema della telecoz????

 wrote:

Non ho mai visto un martian prima d'ora, ma ad occhio e croce puo'
essere un tentativo di IP spoofing. Qualche furbone manda pacchetti al
nostro amico con mittente 127.0.0.1, magari tentando qualche exploit,
dato che di solito il firewall e' settato per lasciar passare tutti i
pacchetti provenienti da localhost. 80.116.122.251 probabilmente e' l'IP
di Helix, che invia segnalazione di martian al localhost (quello vero).
Il tutto AFAIK (molto molto poco).

Il tutto AFAIK (molto molto poco).
ma possibile che lo fa di continuo???



Gia' e' strano che succeda, i router dovrebbero bloccare pacchetti come
questi, 127.0.0.1 non e' un source IP valido (sempre AFAIK). Sei
connesso ad una LAN per caso?

connesso ad una LAN per caso?
SI

 Quindi non è un problema nostro...ma un problema della telecoz????
Non solo. Ho sentito che anche utenti con un collegamento ad Albacom hanno
problemi di questo tipo. Aggiungo qui di seguito un piccolo estratto
dell'output di tcpdump, così anche quelli che non hanno questo problema si 
rendono più o meno conto di che si tratta. Ovviamente x.x.x.x è il mio
indirizzo ip.
tcpdump: listening on ppp0
11:19:55.837616 127.0.0.1.www > x.x.x.x.1614: R 0:0(0) ack 1957494785 win 0
11:20:35.232323 127.0.0.1.www > x.x.x.x.1540: R 0:0(0) ack 1736048641 win 0
11:20:42.761980 127.0.0.1.www > x.x.x.x.1457: R 0:0(0) ack 2111111169 win 0
11:20:43.173639 127.0.0.1.www > x.x.x.x.1661: R 0:0(0) ack 1114636289 win 0
11:20:44.345570 127.0.0.1.www > x.x.x.x.1440: R 0:0(0) ack 1066008577 win 0
11:20:45.398487 127.0.0.1.www > x.x.x.x.1457: R 0:0(0) ack 1 win 0
11:20:54.423070 127.0.0.1.www > x.x.x.x.1741: R 0:0(0) ack 388694017 win 0
Ciao!
Roberto
-- 
Un uomo senza religione è come un pesce senza bicicletta.



Come non detto, ho pure io dei martian, posto qua i risultati
incrociati di tcpdump e del log:
[tcpdump]
21:49:17.934505 127.0.0.1.http > 212.171.125.176.1854: R 0:0(0) ack
870383617 win 0
[/var/log/messages]
Aug 29 21:49:17 localhost kernel: martian source 212.171.125.176 from
127.0.0.1, on dev ppp0
212.171.etc.. era il mio IP per quella connessione. Pare che qualcosa o
qualcuno si diverta ad inviare 'ste cagate a porte random attraverso
ppp0. Il firewall le lascia passare, ma il kernel si lamenta giustamente
che i pacchetti provenienti da localhost dovrebbero passare per lo, non
per ppp0 (AFAIK), oltre che del fatto che il pacchetto ha la flag RST
attiva, ma non vedo traccia di pacchetti verso 
127.0.0.1:80
.
Qualcuno puo' guardare nei log se ci sono robe del genere, magari e'
normale...

Credo che sia mamma telecoz che ha qualche problemino...visto che a me l'ha
fatto da un giorno all'altro!!!



Pare sia un problema recente (dal 16/08) legato al worm blaster E,
appena so di piu' riposto. Anche utenti windows ricevono strani
tentativi di connessione da 127.0.0.1, in genere bloccati dal firewall
(anche se Sygate sembra vulnerabile all'IP spoofing del localhost).

 wrote:

Faccio copia/incolla da un post dell'amico iok:
Anche io sto rilevando questi pacchetti sulla rete Telecom (ADSL,
dial-up e dedicate) dal 26 agosto, con intensita' crescente. Dal 28 ce
n'e' qualcuno anche sulla rete Edisontel. Simili pacchetti non
dovrebbero girare in rete (nel mio caso ho potuto verificare che
provengono dall'esterno e non dal PC stesso: uso router e firewall hw e
sw linux e bsd). Sono pacchetti con sorgente 127.0.0.1, sempre di 40
bytes, con i bit ACK e RST settati e WIN=0. In pratica sono risposte a
pacchetti SYN in cui si dice che la porta 80 e' chiusa. Ci ho perso un
sacco di tempo, ma credo di aver capito da dove provengono anche se non
me la spiego bene. C'e' una variante del virus Blaster, la Blaster.E che
anziche' attaccare con un SYN-Flood il sito di Windowsupdate attacca il
sito 
kimble.org
. Al momento, una query a 
kimble.org
 risponde 
127.0.0.1
:
forse l'hanno fatto proprio per proteggersi. Cosi' si spiega perche'
esistono questi pacchetti, resta da capire perche' le risposte arrivano
a tutti. L'inizio del pacchetto sembra far pensare ad una sorgente
multicast come mittente e questo spiegherebbe perche' arrivano a tutti.
Un'altra spiegazione puo' essere che il virus puo' cambiare l'IP del
mittente del pacchetto originario generando casualmente gli ultimi due
ottetti. Quello che non si spiega e' come mai da un PC con Windows XP o
2000 possa uscire in rete un pacchetto con destinazione 127.0.0.1. Tra
l'altro mi chiedo che cavolo di configurazione usano in Telecom sugli
apparati di rete se lasciano girare pacchetti con sorgente o
destinazione simile...
Guarda cosa dice Symantec sul tipo di pacchetti generati
(
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.e
.
worm.html):
    quote:
    The DoS traffic has the following characteristics:
        * Is a SYN flood on port 80 of 
kimble.org
.
        * Tries to send 50 HTTP packets every second. Each packet is 40
bytes in length.
        * If the worm cannot find a DNS entry for 
kimble.org
, it uses a
destination address of 255.255.255.255.
    Some fixed characteristics of the TCP and IP headers are:
        * IP identification = 256
        * Time to Live = 128
        * Source IP address = a.b.x.y, where a.b are from the host ip
and x.y are random. In some cases, a.b are random.
        * Destination IP address = dns resolution of "
kimble.org
"
        * TCP Source port is between 1000 and 1999
        * TCP Destination port = 80
        * TCP Sequence number always has the two low bytes set to 0; the
2 high bytes are random.
        * TCP Window size = 16384
Ecco spiegate le porte sorgenti...
[...]
Secondo me il problema non e' il virus in se' (a questo punto, se la mia
ipotesi e' vera, questi pacchetti non rappresentano un pericolo per
nessuno e danno solo fastidio perche' intasano le linee), ma il motivo
per cui vediamo questi pacchetti: sembra che ci sia qualche grossolano
errore di configurazione negli apparati che ci danno connettivita'.
Altro elemento da dare e' il seguente. Per il lavoro che faccio
controllo diversi firewall su diverse reti italiane e non, percio' ho un
discreto quadro della situazione: il 26 agosto il problema e' iniziato
sulla rete Telecom Italia, il numero di questi pacchetti e' andato
crescendo fino a circa 25/min in media, poi dalla sera del 27 agosto ho
cominciato a vederne dalla rete Edison, ma con un tasso minimo (rari
pacchetti), dal 31 agosto (oggi) ho visto qualche traccia anche sulla
rete Wind (linee dedicate). Questo quadro indica che c'e' un aumento di
attivita' progressivo, tipico di un Worm/Virus, che comincia sulla rete
italiana piu' popolata di utenti consumer per poi propagarsi. Il fatto
che su altre reti (tipo Infostrada, Inet) non veda il fenomeno dipende
probabilmente dal fatto che li' i router sono configurati un pochino
meglio. Non ho dati invece sulla rete consumer di Fastweb. Dunque
diffondete tutti l'informazione piu' che potete e diffondete anche
eventuali risposte o analisi che diano ulteriori elementi a capire e
risolvere il problema.
[fine citazione]
Ciao

Facci sapere :-)
"Gimli" <gimli...@QUESTOemail.it> ha scritto nel messaggio
news:20030831143822.2e...@QUESTOemail.it...
