Newsgroup: it.comp.os.linux.sys
Titolo: E qualcuno ci ha provato...

..ma non e' entrato (grazie san ipchains)!
Questo e' cio' che mi sono trovato in /var/log/messages:
Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1895
 
212.104.14.231:1
 L=48 S=0x00 I=30737 F=0x0000 T=60 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1897
 
212.104.14.231:3
 L=48 S=0x00 I=30739 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1898
 
212.104.14.231:4
 L=48 S=0x00 I=30740 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1899
 
212.104.14.231:5
 L=48 S=0x00 I=30741 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1900
 
212.104.14.231:6
 L=48 S=0x00 I=30742 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1901
 
212.104.14.231:7
 L=48 S=0x00 I=30744 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1902
 
212.104.14.231:8
 L=48 S=0x00 I=30745 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1903
 
212.104.14.231:9
 L=48 S=0x00 I=30746 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1904
 
212.104.14.231:10
 L=48 S=0x00 I=30748 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1905
 
212.104.14.231:11
 L=48 S=0x00 I=30749 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1906
 
212.104.14.231:12
 L=48 S=0x00 I=30750 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1907
 
212.104.14.231:13
 L=48 S=0x00 I=30751 F=0x0000 T=61 SYN
(#40)  Nov 29 15:59:26 mater kernel: Packet log: input DENY ppp0 PROTO=6
212.104.15.159:1908
 
212.104.14.231:14
 L=48 S=0x00 I=30753 F=0x0000 T=61 SYN
(#40)
...
eccetera, eccetera, fino alla porta 146, ovvero quando me ne sono accorto.
Domanda: e' il caso di informare il provider (che e' anche il mio) del
comportamento di certi utenti?
Saluti,
   Al

Solo per un portscan ? 
-- 
--------------------------
Francesco Tosi
frances...@seabone.net
frt...@tin.it
--------------------------

comportamento di certi utenti?
Ma per favore...
Ciao
-- 
(N) (a) (i) (l) (m) (a) (n)
  ] - remove (dot) from my email address to reply - [
      ] - 
http://setiathome.ssl.berkeley.edu
 - [

 Solo per un portscan ? 
No, anche perche' ci ha provato diverse volte prima del portscan.
Ovviamente non ho postato tutto il log...
Al





dai su... che spesso e volentieri.. queste cose 
vengono fatte da ragazzini.. per sperimentare i loro sistemi e le possibilità 
dei loro software.


vedi se tutto ciò ha un senso o é fine a se 
stesso... in questo caso, mi pare eccessivo postare il 
log



 = caso, mi pare eccessivo postare il log
Ok, ma oltre che limite e' il caso di prendere provvedimenti?
Voglio dire, devo aspettare che il tizio entri (e magari faccia danni) prima di
muovermi? Per esempio, se il tizio in questione si stava solo 'divertendo'
con nmap o simili a eseguire un portscan cosi' plateale, chi mi dice che
domani non scopra che ci sono metodi meno 'rumorosi' per cercare vie
d'entrata? Capisco lo scanning, lo sniffing e tutto il resto, ma solo per il
debug della rete...della SUA rete pero', razzo(*)!!!!
Comunque, non volevo essere provocatorio o altro; e' che essendo confinato
dietro un banalissimo modem non ho mai subito attacchi decisi.
Percui, il dubbio nasce...
Scusate, mi auto-spedisco su it.comp.veri.rompiballe... :-(
Al
(*)espressione dialettale locale a sfondo vagamente volgare.

Questo e' cio' che mi sono trovato in /var/log/messages:
eh eh, per scaricare le distro il mio modem frulla tutta la notte. I
primi tempi davo un'occhiata, il giorno dopo, al /var/log/messages e di
questa roba ne trovavo a quintali... e mi rodeva un po'
Col tempo ho cominciato a dare un'occhiata al messages... e ridevo
Ora non lo guardo proprio piu' (almeno per questo) :-)
Lasciali giocare.
Ciao
-- 
 RJval is running   ð "At last we will have revenge" - Darth Maul  
** Linux-2.2.17 **  ð 
Remove "cicabum" to ð 
reply-ICQ 55420196  ð 

 Ovviamente non ho postato tutto il log...
Non ti crucciare, sui server ho qualche decina di tentativi di
intrusione al giorno. Se tieni ben aggiornata la tua distro e hai fatto
un firewall chiuso per benino non hai nulla di cui preoccuparti...
La maggior parte di quelli che cercano di entrarti sulle macchine sono
dei principianti che cercano di sfruttare le porte conosciute come
vulnerabili o degli exploit normalmente vecchiotti, basta tenersi
informati e aggiornati... :)
-- 
 __            ___                        
|  \. _ _  _    _/ _  _ _ _  _. _ |_|_ _  
|__/|(-(_)(_)  /__(_|(_(_(_|| |(_)|_|_(_) 
       _/