Newsgroup: it.comp.os.linux.sys
Titolo: MI sono rotto il ....

di avere centinaia di mb di file di log di proftpd fatti cosi':
lug 01 09:04:48 debian proftpd[18973] debian 
(::ffff:84.204.47.85[::ffff:84.204.47.85]): USER Administrator: no such 
user found from ::ffff:84.204.47.85 [::f$
lug 01 09:04:49 debian proftpd[18973] debian 
(::ffff:84.204.47.85[::ffff:84.204.47.85]): no such user 'Administrator'
lug 01 09:04:49 debian proftpd[18973] debian 
(::ffff:84.204.47.85[::ffff:84.204.47.85]): USER Administrator: no such 
user found from ::ffff:84.204.47.85 [::f$
lug 01 09:04:49 debian proftpd[18973] debian 
(::ffff:84.204.47.85[::ffff:84.204.47.85]): no such user 'Administrator'
lug 01 09:04:49 debian proftpd[18973] debian 
(::ffff:84.204.47.85[::ffff:84.204.47.85]): USER Administrator: no such 
user found from ::ffff:84.204.47.85 [::f$
lug 01 09:04:49 debian proftpd[18973] debian 
(::ffff:84.204.47.85[::ffff:84.204.47.85]): Maximum login attempts (3) 
exceeded, connection refused
lug 01 09:04:49 debian proftpd[18973] debian 
(::ffff:84.204.47.85[::ffff:84.204.47.85]): FTP session closed.
L'ip cambia almeno da un giorno all'altro, se non piu' spesso.
Ciao ... Dino

 user found from ::ffff:84.204.47.85 [::f$
ciao, per proftpd c'è mod_ban:
http://www.castaglia.org/proftpd/modules/mod_ban.html
bluto
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 
http://www.castaglia.org/proftpd/modules/mod_ban.html
...o il cacciavite universale costituito da fail2ban...
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

 ...o il cacciavite universale costituito da fail2ban...
Grazie a entrambi. La cosa che mi incuriosisce e' la ragione di questi 
tentativi. Forse per un DoS?
Ciao ... Dino

 tentativi. Forse per un DoS?
Cercano password deboli.
Enrico

 tentativi. Forse per un DoS?
No.
Upload di contenuti abusivi.
- aggiunta di pagine di redirezione per phish, spam, malware, ...
- aggiunta di obfuscated javascript alle pagine già esistenti
- aggiunta di pagine php/perl/whatever con finalità di invio spam
- varie ed eventuali
E' una variante (meno efficace, ma comunque abbastanza redditizia per le
esigenze di molti "piccoli criminali") di quel che avviene nel più
comune (per numeri ed impatto) caso descritto in
http://bofhskull.wordpress.com/2008/10/07/ftp-crack/


 
http://bofhskull.wordpress.com/2008/10/07/ftp-crack/
Ok, ma chi e' il gonzo che prova diverse centinaia di volte lo stesso 
user administrator senza password? Fosse un minimo furbo poi, si 
accorgerebbe che la macchia e' una debian.
Una volta mi e' capitato un tipo dal palato fine che usava una word 
list. Ma solo una volta. Poi sempre sti mammalucchi.
Non ci sono piu' gli cracker di una volta? :D
Ciao ... Dino

 user administrator senza password?
Uno script che batte a tappeto la rete in cerca di cose di quel genere,
insieme a migliaia di suoi "fratelli" appoggiati su macchine già
compromesse attraverso lo stesso meccanismo.
Dove non arriva la testa arriva la forza bruta.


 Dove non arriva la testa arriva la forza bruta.
La raffinatezza di uno script rispecchia quella del suo creatore. :)
Ciao ... Dino

 Sposta ftp su una porta diversa dalla 21 e ne vedrai molti meno.
Per "asinismo" degli utenti, la cosa non e' fattibile.
Ciao ... Dino

 Ciao ... Dino
http://it.wikipedia.org/wiki/Port_knocking
Mandagli una mail con il link da cliccare 
http://portk:45000
  e poi digli che possono fare ftp a volonta' per 
n minuti
Giulia


Qui entriamo in un campo piu' "delicato".
I grulli devono tanto scaricare quanto inviare file. E in quanto grulli, 
non sanno neanche cosa sia un ftp.
Pertanto la soluzione adottata e' l'invio di un file di collegamento 
diretto generato da "aggiungi risorse di rete" di windows. In questo 
modo ci cliccano su, inseriscono le credenziali e fine.
Altra soluzione, forse di prossima attuazione, e' un client ftp java su 
pagina web. Ma di questa roba non me ne occupo io.
Ciao ... Dino

 La raffinatezza di uno script rispecchia quella del suo creatore. :)
Nemmeno tanto.
Si gioca con i grandi numeri.
Che bisogno c'è di fare un bot intelligente, quando diecimila bot
stupidi possono fare lo stesso lavoro?
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 stupidi possono fare lo stesso lavoro?
Beh almeno non tentare le stesse password oppure cercare di capire PRIMA 
se la macchina che si sta bersagliando è afflitta da tale problema (molto 
"grezzamente", è alquanto improbabile che esista un utente chiamato 
"Administrator" sotto Linux. Forse è meglio tentare con "root", ma 
potrebbe essere disabilitato).
Cioè, anche quando il bot è riuscito ad entrare, cosa gli ci vuole a 
recuperare la piattaforma su cui gira (64bit, 32bit, processore intel o 
no)?
Eppure in giro trovi un sacco di volte bot che sono entrati e provano ad 
usare un eseguibile compilato staticamente su una $architettura a $numero 
bit sopra una $architetturaDiversa ad $altroNumero bit.
Enrico

 bit sopra una $architetturaDiversa ad $altroNumero bit.
Semplice statistica.
Mirano alle macchine che ritengono più vulnerabili.
Mettono in pratica il proverbio:
Per essere sicuro di centrare il bersaglio, prima spara, poi
chiama "bersaglio" ciò che colpisci.


 "bersaglio" ciò che colpisci.
Un dispendio di potenza di calcolo notevole...
Enrico


Non me ne parlare... Sono ore che sto 'dialogando' con un 'ingegnere' 
che non trova "Prompt dei comandi"... Spero che non sia perché il suo 
sysadm non gli ha cavato l'eseguibile...
Quando (e se) lo troverà, spero capisca che i comandi che deve impartire 
si danno con quell'affare che ha davanti, quello con tutti bottoni con 
le lettere disegnate sopra...
Per tornare all'ftp, quando ho preso servizio qui (nel 2005) c'era un 
clima di paranoia per cui l'ftp era limitato dal firewall solo agli ip 
fissi, successivamente ho aperto a tutti. Nei primi mesi ho avuto un 
flood di ogni genere di bot, che però non ha mai creato problemi. C'è 
stato solo 1 volta un tentativo di sfruttare un buffer overflow, ma 
evidentemente la nostra versione di (ehm...) IIS non aveva quel buco.
Di solito vedo cose del genere:
13:36:21 77.180.62.43 anonymous [79]USER anonymous 331 0 0
13:36:21 77.180.62.43 - [79]PASS 
Igp...@home.com
 530 0 0
Che a quanto pare non sono pericolose.
Cose come queste sono frequenti 1/2 volta al mese:
05:18:11 92.43.201.28 administrator [237]USER administrator 331 0 0
05:18:11 92.43.201.28 - [237]PASS - 530 0 0
....
05:19:22 92.43.201.28 test [237]USER test 331 0 0
05:19:22 92.43.201.28 - [237]PASS - 530 0 0
....
05:19:47 92.43.201.28 administrateur [237]USER administrateur 331 0 0
05:19:47 92.43.201.28 - [237]PASS - 530 0 0
....
05:20:22 92.43.201.28 dave [237]USER dave 331 0 0
05:20:22 92.43.201.28 - [237]PASS - 530 0 0
....
05:27:14 92.43.201.28 netgear1 [237]USER netgear1 331 0 0
05:27:14 92.43.201.28 - [237]PASS - 530 0 0
....
05:29:54 92.43.201.28 sysadmin [237]USER sysadmin 331 0 0
05:29:54 92.43.201.28 - [237]PASS - 530 0 0
Che al massimo impegnano il server per qualche minuto (12, in questo 
caso). Ovviamente, l'utente 'administrator' non è abilitato su ftp, 
neanche 'guest', né l'accesso anonimo. E le password sono non-banali.

 Un dispendio di potenza di calcolo notevole...
Mica la pagano :-(
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 Un dispendio di potenza di calcolo notevole...
Ma non è loro, è nostra!


 flood di ogni genere di bot
Eccomi! Io sono così paranoico! Da me facciamo esattamente così: ftp
aperto solo a determinati ip. Tutti gli altri, sftp chrooted e su porta
diversa dalla 22.
Oltre alla paranoia (che è anche dovuta alla necessità di scambiare file
sensibili con soggetti che non hanno strumenti adeguati), c'è anche la
questione di non volersi far mangiare la banda, lo spazio disco e il
tempo di andarsi a leggere sbrodolate di log...
Sinceramente, questo livello di paranoia mi ha per ora garantito 3 anni
di sonni tranquilli (e qui una grattatina ci vuole).