Newsgroup: it.comp.os.linux.sys
Titolo: Secondo come andrebbe a finire...

cat /var/log/messages
Apr 10 01:43:11 web sshd(pam_unix)[17473]: authentication failure; 
logname= uid=0 euid=0 tty=ssh ruser= rhost=88.151.78.2
Apr 10 01:43:13 web sshd(pam_unix)[17475]: check pass; user unknown
Apr 10 01:43:13 web sshd(pam_unix)[17475]: authentication failure; 
logname= uid=0 euid=0 tty=ssh ruser= rhost=88.151.78.2
Apr 10 01:43:16 web sshd(pam_unix)[17477]: check pass; user unknown
Apr 10 01:43:16 web sshd(pam_unix)[17477]: authentication failure; 
logname= uid=0 euid=0 tty=ssh ruser= rhost=88.151.78.2
Apr 10 01:43:19 web sshd(pam_unix)[17479]: check pass; user unknown
Apr 10 01:43:19 web sshd(pam_unix)[17479]: authentication failure; 
logname= uid=0 euid=0 tty=ssh ruser= rhost=88.151.78.2
Apr 10 01:43:22 web sshd(pam_unix)[17481]: check pass; user unknown
Apr 10 01:43:22 web sshd(pam_unix)[17481]: authentication failure; 
logname= uid=0 euid=0 tty=ssh ruser= rhost=88.151.78.2
Apr 10 01:43:25 web sshd(pam_unix)[17483]: check pass; user unknown
Apr 10 01:43:25 web sshd(pam_unix)[17483]: authentication failure; 
logname= uid=0 euid=0 tty=ssh ruser= rhost=88.151.78.2
Il volpone..
ipcalc -h 88.151.78.2
HOSTNAME=
ip78-2.comteam.at
Apr 10 01:43:27 web sshd(pam_unix)[17485]: check pass; user unknown
Apr 10 13:43:26 web kernel: Unable to handle kernel paging request at 
virtual address ff49d401
Apr 10 13:43:26 web kernel:  printing eip:
Apr 10 13:43:26 web kernel: c02d2cf1
Apr 10 13:43:26 web kernel: *pde = 00000000
Apr 10 13:43:26 web kernel: Oops: 0000 [#1]
Apr 10 13:43:26 web kernel: SMP
Apr 10 13:43:26 web kernel: Modules linked in: md5 ipv6 autofs4 i2c_dev 
i2c_core sunrpc dm_mirror dm_mod button battery ac uhci_hcd ehci_hcd 
snd_intel8x0 snd_ac97_codec snd_pcm_oss snd_mixer_oss snd_pcm snd_timer 
snd_page_alloc snd_mpu401_uart snd_rawmidi snd_seq_device snd soundcore 
sk98lin floppy ext3 jbd raid1 ata_piix libata sd_mod scsi_mod
Apr 10 13:43:26 web kernel: CPU:    0
Apr 10 13:43:26 web kernel: EIP:    0060:[<c02d2cf1>]    Not tainted VLI
Apr 10 13:43:26 web kernel: EFLAGS: 00010086   (2.6.9-42.ELsmp)
Apr 10 13:43:26 web kernel: EIP is at __cond_resched_lock+0x1a/0x4f
Apr 10 13:43:26 web kernel: eax: 00000008   ebx: f0416000   ecx: 
f0416000   edx: f0416000
Apr 10 13:43:26 web kernel: esi: f41bae8f   edi: 0000000e   ebp: 
f0416f90   esp: f0416f50
Apr 10 13:43:26 web kernel: ds: 007b   es: 007b   ss: 0068
Apr 10 13:43:26 web kernel: Process john (pid: 23167, 
threadinfo=f0416000 task=f42b7830)
Apr 10 13:43:26 web kernel: Stack: c012d901 00000001 f0416f70 bff67a68 
f0416f90 bff679d8 f0416000 c012dc5e
Apr 10 13:43:26 web kernel:        0805edf4 14000000 00ade898 00002000 
00000000 f0416fac c015af11 f0416fac
Apr 10 13:43:26 web kernel:        0805edf4 14000000 00ade898 00002000 
00000000 c015b124 f0416fac 00000000
Apr 10 13:43:26 web kernel: Call Trace:
Apr 10 13:43:26 web kernel:  [<c012d901>] do_sigaction+0x19d/0x1a6
Apr 10 13:43:26 web kernel:  [<c012dc5e>] sys_rt_sigaction+0x8f/0xf2
Apr 10 13:43:26 web kernel:  [<c015af11>] vfs_read+0xb6/0xe2
Apr 10 13:43:26 web kernel:  [<c015b124>] sys_read+0x3c/0x62
Apr 10 13:43:26 web kernel:  [<c02d4703>] syscall_call+0x7/0xb
Apr 10 13:43:26 web kernel: Code: 00 74 0c 31 c0 8b 12 87 02 5d e9 b7 f0 
ff ff 5d c3 55 ba 00 f0 ff ff 89 e5 53 89 c3 21 e2 8b 42 08 a8 08 74 38 
81 7b 04 ad 4e ad <de> b1 01 74 08 0f 0b 6c 00 fd 5f 2e c0 0f b6 03 84 
c0 7e 08 0f
Apr 10 13:43:26 web kernel:  <0>Fatal exception: panic in 5 seconds
Apr 10 15:27:36 web syslogd 1.4.1: restart.
Apr 10 15:27:36 web syslog: Avvio syslogd succeeded
Ora la domanda che si pone spontanea...
E se uno presentasse denuncia alla polizia postale in base a
http://www.commissariatodips.it/tipologia.php?straidtip=6&stridtematica=15&stridstanza=10&ordina=click&desc=desc
Che succederebbe?

 hardware scadente
HA! visti i moduli caricati, poco ma sicuro,
comunque comteam e` un isp austriaco, non e`
coreano (o telecomitalia), chiamali e chiedi
loro che ne pensano

 leggerli i log, process *john*, kernel 2.6.9
manco io non li leggo granche', ti sei messo a
controllare la bonta` delle password?

 Il tizio ha bussato alla tua macchina per 14 secondi senza entrare.
Non ha mica bussato e basta.
Ha provato un po' di grimaldelli.
E c'è poi, apparentemente, un buco di 12 ore nei log...
-- 
Words are very unnecessary
They can only do harm

frick ha scritto:

Se non ricordo male il fatto di avere un login e una password implica un 
accesso non  pubblico.. Quindi se te metti root/root e io ci entro ho 
effettuato un accesso abusivo ad un sistema informatico.
Poi al limite ti fanno un mazzo tanto per l'inadempimento alla legge sulla 
privacy (se hai dati personali of course)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
The price of seeking to force our beliefs on others is that someday
they might force their beliefs on us.
		-- Mario Cuomo

 E c'è poi, apparentemente, un buco di 12 ore nei log...
... e subito dopo... un kernel panic causato da un password cracker in
esecuzione. Uhmmm...
Comunque lascerei perdere la denuncia. Magari quei crackerz li beccano
[1] e gli fanno anche un cvlo cosi' eh, ma sicuramente il tizio che ha 
configurato (e mantiene) quel server non fa certo una bella figura.
Fabio
[1] escludiamolo, in prima battuta.

 hardware scadente o chessoio.
Quindi? glio offro pure due biscotti fatti in casa? o stai dicendo che 
l'onere della prova è a mio carico?
Dubito sinceramente che un tribunale considererebbe innocente il tizio 
che ti spara 2000 tentativi di accesso illegali.
E qui viene il problema n. 2 che dal mio punto di vista è ancora più 
grave, ho linkato la pagina apposta..
Ipotizziamo che un giorno x un haker di quelli veri riesca a bucare un 
nostro server (nostro nel senso anche Vostro) e che sferri un 
banalissimo DOS verso qualcuno che a fronte di un log kilometrico 
presentasse realmente denuncia alle autorità competenti che succederebbe?
Probabilmente che oltre al danno ricevuto (il server bucato) ci sarebbe 
pure la beffa o meglio le rogne legali e relative spese..
Questo a fronte dell'attuale legislazione, per non parlare del casino 
che succedererbbe se qualcuno sostituisse via ftp (semplicemente 
sniffando le password) delle immagini con altro materiale chiaramente 
illegale.

 piuttosto che a causa della sua catorciosita'.
Rammentami, perché forse sono un pò arrugginito..
Qual'è la prima operazione da fare (da manuale) in caso di successo di 
un intrusione?
Cancellare le proprie tracce modificando i log o sbaglio?
Dubito che l'onere della prova spetti alla vittima francamente, vabbé 
essere garantisti ma se rovi il cadavere e la pistola fumante sai comé, 
alla Franzoni hanno dato 30 anni senza aver trovato l'arma del delitto 
(ed in quel caso parliamo di qualcosa di tangibile, di fisico), qui 
parliamo di bit, decisamente più facili da occultare.

 presentasse realmente denuncia alle autorità competenti che succederebbe?
e` uno dei motivi per cui esistono i log server ed altre amenita`

 presentasse realmente denuncia alle autorità competenti che succederebbe?
Esattamente quello che sta succedendo adesso.
Quello che hai subito, afaik, e' il risultato di una macchina bucata che
tramite script automatici cerca di bucarne altre.
Ne vedo di continuo.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 condannarlo, afaik, senza che ci sia un effettivo accesso
Ricordatevi che nell'ordinamento giuridico italiano e' punibile anche il
tentativo di reato.
E quello e' un tentativo del 615-ter.
Anche se non riesci a portare via i soldi, la rapina l'hai tentata,
e la pena c'e' lo stesso, diversa, ma c'e'.


 in seguito provoca un oops?
Mica l'ha fatto apposta. Il fantomatico cracker avrebbe solo lanciato 
john (sempre che non sia stato l'OP).
E poi... ci sono i pasticcioni anche tra i cracker, no :-)
Fabio

 E se uno presentasse denuncia alla polizia postale in base a
Magari gli fai compassione e ti regalano un banco di memoria RAM funzionante. 
-- 
Per rispondermi, sostituisci a nomecognome il mio nome e cognome
To reply me, substitute nomecognome with my real name and surname

 effettuato un accesso abusivo ad un sistema informatico.
Certo, come il fatto che lasciare le chiavi in macchina non autorizza a
rubarla. Ciò detto, sarei curioso di sapere cosa è successo di penalmente
rilevante se c'è stato un tentativo di accesso peraltro ben poco insistente.


 pure la beffa o meglio le rogne legali e relative spese..
Cosa che vale anche se ti rubano la macchina e la usano per fare una rapina,
quindi non è nulla di nuovo: hai delle proprietà (tangibili ed intangibili),
ed è sopratutto tuo dovere tutelarle in modo ragionevole, non andare a
piangere dalla polizia di stato che su Internet ha cose più importanti da
fare (tipo indagare su pedofili, terroristi, trafficanti d'armi e di droga,
sfruttatori della prostituzione e della tratta di esseri umani) che
preoccuparsi di te che frigni perchè qualcuno ha fatto ssh e ancora non sai
se hai 12 ore di buco perchè hai avuto a che fare con un lamer che cancella
il file di log o hai dei problemi hardware e software.


 Dubito che l'onere della prova spetti alla vittima francamente
Infatti spetta all'accusa. 


 Ne vedo di continuo.
Trank, il log era taroccato..
Apr 10 12:24:04 web sshd(pam_unix)[22481]: session opened for user 
altroamministratore by (uid=0)
Apr 10 13:43:26 web kernel: Unable to handle kernel paging request at 
virtual address ff49d401
Apr 10 13:43:26 web kernel:  printing eip:
Apr 10 13:43:26 web kernel: c02d2cf1
Apr 10 13:43:26 web kernel: *pde = 00000000
Apr 10 13:43:26 web kernel: Oops: 0000 [#1]
Apr 10 13:43:26 web kernel: SMP
poi altroamministratore fa casino (immagino) perché si mette a compilare 
oscuri programmi in c++ ed a cazzeggiare sui soket..
impalla il server e panico! quindi telefona al sottosctitto che si sta 
facendo i c...i suoi e non risponde al telefono, al ché dopo un oretta 
decido di rispondere, se avessi il dono della chiaroveggenza..
Quindi telefono in server farm e faccio riavviare il server (mea culpa 
che non ho dato la password ad altroamministratore, così la prossima 
volta fa da solo senza rompere al sottoscritto)
Il discorso voleva essere di tipo generale ad esempio, per intenderci, 
alcuni applicativi gestionali vengono tuttoggi forniti con macchine RH9 
perché i sistemisti del supporto tecnico conoscono solo quello e pure a 
spanne e vengono messi on-line e lavorano con telnet (come lasciare le 
chiavi in macchina..) ma questo non autorizza un pinco pallo a bucare un 
server di un commercialista giusto perché non ha un cazzo da fare o sbaglio?
Bisogna che qualcuno si renda conto che la normativa ed il sentiment 
generale sta cambiando rapidamente, per fare un esempio:
http://shop.ca.com/
 solo un anno fa nessuno si sognava di offrire 
indennizzi ai propri clienti in caso di danni subiti.
Fino a ieri è sempre valsa la regola che il software viene venduto o 
meglio "concesso in licenza" privo di ogni garanzia esplicita o 
implicita della serie se va bene sennò ciccia, e questa appunto era 
appunto la vecchia visione.
Notare le restrizioni in termini di copyright sulle immagini, sulle 
notizie, sulla documentazione pubblicata in rete ecc..
Se fino a ieri ci si poteva permettere di "tentare" di bucare un server 
senza troppi problemi è probabile che in immediato futuro si dovrà 
rispondere penalmente anche solo per uno scanning, questa è la tendenza 
piaccia o meno agli hacker o aspiranti tali.
Altro che freenet!

 indennizzi ai propri clienti in caso di danni subiti.
Qugli indennizzi vengono "offerti" soprattutto per parare il culo a
chi vende il prodotto od i servizi. Servono a cercare di limitare a
quella cifra, per contratto, l'eventuale risarcimento richiesto dal
cliente. Un po' come gli sla con penale incorporata.
Fabio

 piaccia o meno agli hacker o aspiranti tali.
Quale tendenza, di grazia?
Io tutto questo fermento normativo e giurispurdenziale non lo vedo.
In quanto al punire penalmente uno scanning, beh, rotfl: a quel punto
sarebbe possibile mandare in galera chiunque ti stia sul cazzo.


parliamo di bit, decisamente più facili da occultare.
Fammi capire: tu dici "le prove sono scarse" e pretendi in tal modo di
accusare di default?
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.