Newsgroup: it.comp.os.linux.iniziare
Titolo: Il mio PC ha crisi di identita' (cioe' di punto in bianco si e' impadronito di un IP non suo mantenendo ANCHE quello vecchio)

Puo' trattarsi di una intrusione ma se lo e' e' fatta bene e ha poco senso.
Sono connesso in rete con un 56k e comunque e' sempre attivo un firewall che
chiude tutte le porte verso ppp0.
PREMESSA
Sono in ethernet gestita da hub con ip fissi. I pc connessi sono 5, tra cui
una xbox e una macchina con windows98SE.
Gli IP vanno da 192.168.0.1 a 192.168.0.5 coi vari alias impostati su tutte
le macchine.
Il gateway, la macchina principale da cui scrivo ora, e' il .4 .
L'altra macchina coinvolta e' la .1 . Entrambe hanno installato linux
mandrake 9.1 con gli ultimi aggiornamenti.
IL PROBLEMA
Oggi, accendendo la macchina 192.168.0.1 (rimasta spenta qualche giorno a
causa di una tempesta di fulmini), e' saltato fuori che l'ip a lei
assegnato era gia' occupato e quindi si rifiutava di attivare l'interfaccia
di rete.
Sbalordito ho tentato ping verso il .1 e vedendo che rispondeva mi ci sono
buttato in ssh.
Risultato:
[percy@jona percy]$ ssh 192.168.0.1
pe...@192.168.0.1
's password: 
[percy@jona percy]$ 
Naturalmente jona e' il .4 (il gateway) per cui mi sono connesso in locale!
Questo e' comprovato dal fatto che pingando selvaggiamente il .1 le spie
dell'hub non si scomodano.
TUTTI I SERVIZI in ingresso al .1 vanno a finire a jona.
Ma non e' finita qui:
[percy@jona percy]$ nmap 192.168.0.1
Starting nmap V. 3.00 ( 
www.insecure.org/nmap/
 )
Interesting ports on 
jack.percylabs.it
 (192.168.0.1):
(The 1595 ports scanned but not shown below are in state: closed)
Port       State       Service
21/tcp     open        ftp                     
22/tcp     open        ssh                     
111/tcp    open        sunrpc                  
631/tcp    open        ipp                     
1720/tcp   filtered    H.323/Q.931             
6000/tcp   open        X11                     
Nmap run completed -- 1 IP address (1 host up) scanned in 2 seconds
e
[percy@jona percy]$ nmap 192.168.0.4
Starting nmap V. 3.00 ( 
www.insecure.org/nmap/
 )
Interesting ports on 
jona.percylabs.it
 (192.168.0.4):
(The 1594 ports scanned but not shown below are in state: closed)
Port       State       Service
21/tcp     open        ftp                     
22/tcp     open        ssh                     
111/tcp    open        sunrpc                  
139/tcp    open        netbios-ssn             
631/tcp    open        ipp                     
1720/tcp   filtered    H.323/Q.931             
6000/tcp   open        X11                     
Nmap run completed -- 1 IP address (1 host up) scanned in 2 seconds
Uno dei due ip ha attivata la porta 139 e l'altro no!!!
Naturalmente facendo altri controlli non risulta nessuna porta 139 e non ho
installato SAMBA.
Vediamo un po' ifconfig e route:
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use
Iface
151.6.131.46    0.0.0.0         255.255.255.255 UH    0      0        0 ppp0
192.168.0.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
192.168.0.0     0.0.0.0         255.255.255.0   U     0      0        0
vmnet1
192.168.0.0     0.0.0.0         255.255.255.0   U     0      0        0
vmnet8
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
0.0.0.0         151.6.131.46    0.0.0.0         UG    0      0        0 ppp0
[root@jona percy]# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:D0:09:E7:FA:EF  
          inet addr:192.168.0.4  Bcast:192.168.0.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1239338 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1525444 errors:0 dropped:0 overruns:0 carrier:0
          collisions:506950 txqueuelen:100 
          RX bytes:460004132 (438.6 Mb)  TX bytes:1311830826 (1251.0 Mb)
          Interrupt:11 Base address:0xd800 
lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:1056783 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1056783 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:224995005 (214.5 Mb)  TX bytes:224995005 (214.5 Mb)
ppp0      Link encap:Point-to-Point Protocol  
          inet addr:151.25.203.217  P-t-P:151.6.131.46  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:2645 errors:3 dropped:0 overruns:0 frame:0
          TX packets:2936 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3 
          RX bytes:1612928 (1.5 Mb)  TX bytes:314568 (307.1 Kb)
vmnet1    Link encap:Ethernet  HWaddr 00:50:56:C0:00:01  
          inet addr:192.168.0.1  Bcast:192.168.0.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)
vmnet8    Link encap:Ethernet  HWaddr 00:50:56:C0:00:08  
          inet addr:192.168.0.1  Bcast:192.168.0.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)
vmnet sono le interfacce virtuali di VMWare.
A guardarlo sembra tutto a posto e anche ravanando nel linuxconf non c'e'
traccia di altri ip assegnati a jona.
Ho poi controllato un po' di log e non ho trovato tracce sospette. Giusto
per scrupolo ho anche controllato con un rootkit checker che non ha trovato
nulla.
Ho chiesto ad altri amici ma loro non hanno nessuna idea e sinceramente
anche io comincio a non sapere che pesci pigliare.
NOTA
Il computer che una volta aveva l'ip 192.168.0.1, quello spento per via dei
fulmini, ora ha l'ip .6 e funziona benissimo.
GRAZIE!
-- 
Ass. Cult. No Profit
Officina Delle Idee
http://www.officinadelleidee.org/

 vmnet sono le interfacce virtuali di VMWare.
Ma sono appunto quelle interfacce che si sono prese l'ip .1, quello 
che dovrebbe essere dell'altro pc.
Domanda, non e' che quelle interfacce (vmnet) prendono l'indirizzo da 
un server dhcp e siccome il .1 era libero se lo sono preso loro?
La cosa che comunque mi rende dubbioso e' questo fatto, sto supponendo 
che su vmware ci sia installata una windows, che dovrebbe appunto avere 
la porta 139 aperta. Come mai invece quella porta risulta aperta sull' 
indirizzo 192.168.0.4 che dovrebbe appartenere regolarmente al server 
linux?
Non e' che hai copiaincollato male i risultati di nmap, che a quel 
punto mi si spiegherebbe anche questo?

 punto mi si spiegherebbe anche questo?
Non ci sono errori di paste, ho ricontrollato.
Altra cosa: quando ho fatto la scansione delle porte la macchina virtuale
NON era attiva, quindi le eventuali porte netbios avrebbero dovuto essere
perlomeno giu' di morale.
La risposta a tutto potrebbe risiedere in uno strano comportamento di quelle
interfacce virtuali che a me non sono mai piaciute.
In serata tiro via vmware e vediamo come va.
Grazie mille per l'aiuto!!!
