Newsgroup: it.comp.os.linux.iniziare
Titolo: martian source in syslog

Ciao ragazzi,
ho messaggi "marziani" in /var/log/syslog:
root@paolino:/home/vittorio# grep martian /var/log/syslog
Apr 29 09:39:38 paolino kernel: martian source 80.182.63.119 from 
127.0.0.1, on dev ppp0
....
  e tanti altri simili.
Prima volta che succede.
Bucato? che e' sta martian source?
ciao
slacky
-- 
Linux User #312588( 
http://counter.li.org
 )
Powered by Linux Slackware 9.1 & FreeBSD 4.9!

scusate: vi do qualcosa di un po' piu' completo:
Apr 29 22:41:04 paolino kernel: martian source 80.182.63.126 from 
127.0.0.1, on dev ppp0
Apr 29 22:41:04 paolino kernel: ll header: 45:00:00:28e:
e continua cosi'.


Noto ora che ho messaggi identici da questa mattina e solo se mi 
connetto alla rete.
L'unica cosa degna di nota che ho fatto questa mattina e' stato 
aggiornare il kernel al 2.4.26 usando i binari ufficiali della mia distro.
ciao
slacky


 slacky
I martian sono pacchetti che hanno indirizzi mittente o di destinazione
assurdi in base alle regole di routing. Sono descritti in RFC1812.
Forse è "qualcosa" configurato male ed il kernel si lamenta di questi
pacchetti, comunque puoi disabilitare il loro log con:
echo "0" > /proc/sys/net/ipv4/conf/all/log_martians
considera però che tale impostazione verrà persa ad ogni riavvio pertanto
dovresti metterla in /etc/init.d o dove vuole la tua distro.
Ciao;-))

Ciao mosfet,
grazie della risposta!.
Ora mi documento e cerco di capire cosa c'e' che non va...
ciao e buona giornata


 slacky
E' il frutto di macchine windows infette da worm tipo blaster e compagnia
bella. 
In parole (poco) povere:
Si sapeva che Blaster avrebbe attaccato alcuni server. Qualcuno ha avuto
la splendida idea di cambiare i nomi dei server bersaglio e di far
risolvere i vecchi nomi con 127.0.0.1, dato che Blaster non conteneva gli
ip ma i nomi dei bersagli. Al momento in cui Blaster si attiva,
periodicamente dal 16 a fine mese di ogni mese, poi da settembre a
dicembre tutti i giorni, risolve 
windowsupdate.com
 dal DNS impostato sulla
macchina infetta, ed a seguito della "pensata" lo risolve come 127.0.0.1,
ossia localhost. Poi prende l'ip della macchina infetta, toglie gli ultimi
2 ottetti, esempio se l'ip e' 80.49.123.65, prende 80.49 e ci accoda due
numeri a caso, esempio 80.49.53.234, e lo mette come sorgente del
pacchetto. Questi indirizzi li usa per confezionare un pacchetto TCP di
inizio connessione sulla porta 80 del server, per effettuare un attacco
DoS di tipo SYN flood. Ora, 127.0.0.1 e' la macchina stessa, che si vede
arrivare un "inizio connessione" sulla porta 80 (http) e ovviamente non
avendo un server http (di solito) attivo, risponde con un pacchetto RST
all'indirizzo finto generato da blaster stesso. Ossia, manda un pacchetto
di inizio connessione a se stessa come se venisse da una altra macchina il
cui ip e' calcolato in modo da essere "vicino", e non avendo server http
attivo, risponde all'ip "finto" che non c'e' connessione da attivare. Ora,
dall'ip mi pare che tu abbia Alice, per cui hai avuto la sfiga che blaster
ha calcolato a caso un ip ed ha centrato il tuo. il problema e' che non
e' possibile a noi comuni mortali risalire alla macchina infetta dai
pacchetti 127.0.0.1 di RST, per cui finche' la macchina windows infetta e'
accesa ci becchiamo questa pioggia di pacchetti e non ci si puo' far
praticamente nulla.
Puo' capitare che Blaster non riesca a risolvere 
windowsupdate.com
, ed
allora usa come indirizzo di destinazione 255.255.255.255, un bel
broadcast IP. Col risultato che se per caso come indirizzo di origine
finto mette il nostro, ci vediamo arrivare anche i "martian" con
255.255.255.255.
Azz... ho scritto un trattato.
Riferimenti:
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html
http://groups.google.it/groups?q=panigatti+127.0.0.1&hl=it&lr=&ie=UTF-8&oe=UTF-8&selm=MPG.19bd29fe14d35f0a98a030%40powernews.libero.it&rnum=2
oppure google -> digita  panigatti 127.0.0.1 e clicca su "mi sento
fortunato"
-- 
Mario "Reliant" Pascucci
Linux Registered user #327002 
http://counter.li.org/
http://ilpettegolo.altervista.org/

Ciao!,
grazie dell'acculturamento!
buona serata!
slacky

Riciao,
ho notato una cosa strana: ho un netsaltro computer, con lo stesso 
sistema operativo, che connetto di tanto in tanto all'adsl a cui 
connetto anche l'altro computer. Anche questa ora mi segnala i pacchetti 
marziani, ma ha cominciato solo dopo che le ho aggiornato il kernel da 
2.4.24 a 2.4.26.
Anche sull'altra macchina avevo notato questi pacchetti solo dopo 
l'aggiornamento.
Ciao
slacky
-- 
Linux User #312588 ( 
http://counter.li.org
 )
Powered by Linux 2.4.24 on Slackware 9.1 and FreeBSD 4.9!

 slacky
Probabilmente da una versione all'altra del kernel della distribuzione
hanno cambiato un valore in /proc/sys/net/ipv4/conf/*/log_martians
che di solito e' 0, mettendolo predefinito a 1. Questo valore ti permette
di scegliere se mettere in syslog i pacchetti "martian" rilevati.
-- 
Mario "Reliant" Pascucci
Linux user #327002 - 
http://counter.li.org/
http://ilpettegolo.altervista.org/

Ciao e grazie,
