Newsgroup: it.comp.os.linux.sys
Titolo: tentato attacco ?

Sono un po' OT, ma spero mi aiutiate cmq ..
Da un po' di giorni quando mi collego mi capita
Sep  6 14:39:56 tornado kernel: Packet log: input DENY ppp0 PROTO=6 
195.110.96.142:510
 
151.30.133.156:8427
 L=58 S=0x00 I=28131 F=0x4000 T=56 (#47)
Sep  6 14:43:56 tornado kernel: Packet log: input DENY ppp0 PROTO=6 
195.110.96.142:510
 
151.30.133.156:8427
 L=58 S=0x00 I=23277 F=0x4000 T=56 (#47)
Sep  6 14:45:58 tornado kernel: Packet log: input DENY ppp0 PROTO=6 
195.110.96.142:510
 
151.30.133.156:8427
 L=58 S=0x00 I=9921 F=0x4000 T=56 (#47)
Anche dagli IP 195.110.96.154 , .143 , .156 , sempre dalla 510, destinati anche ad altre porte ...
Di cosa si tratta? Perche' sempre ? Ho un problema di sicurezza?
Uso Debian 2.2 potato, sempre aggiornata...
Niente di grave, vero? Inizio andare in paranoia :-(
ciao

 Niente di grave, vero? 
Io penso di no (tra l'altro la 510 nel mio /etc/services non 
risulta...esiste come porta? se si dove trovo una versione aggiornata di 
questo file ?)...
Pensa che io con una semplice adsl ricevo ogni giorno + di 100 
connessioni da IP diversi sul server WEB che richiedeno il file 
default.ida (penso si cerchino quel famoso bug di IIS ma non ho 
approfondito)...E' un vero scocciamento ma niente di preoccupante...
-- 
*  Greetings From Johnny L  *
"No necesitamos pedir permiso 
 para ser libres (Marcos)"
   -- Think Different --

 Uso Debian 2.2 potato, sempre aggiornata...
Non ho provato a vedere la tua macchina ma, comunque, non basta tenerla
aggiornata: deve essere anche ben configurata.
Fabio

 di questo file ?)...
Da me:
[dan@karma ~ ] > grep -w 510 /etc/services
fcp             510/tcp                 # FirstClass Protocol
fcp             510/udp                 # FirstClass Protocol
Ma non so cosa sia:(
Nella suse /etc/services fa parte del pacchetto netcfg.
Ciao.
-- 
***  Per E-mail rimuovi ModE dall'indirizzo  ***
  *** Linux user # 198661 --- ICQ 33500725 ***
*** homepage 
http://web.tiscalinet.it/kailed
 ***
            *** Powered by Linux ***

 Inoltre manca lo stato del flag SYN dal tuo log.
Scusa: il rootkit a cui mi riferivo si chiama tOrn, ovviamente, non thOrn.
Avevo appena finito di scrivere in inglese è ho continuato :).
Fabio

 Ma non so cosa sia:(
FirstClass  è un server di groupware in auge qualche annetto addietro.
Fabio

 installato sulla tua macchina: non fa mai male :)
Come posso fare? A prima vista non mi sembra, ma i rootkit sono furbi ..
Grazie di tutto !

 Come posso fare? A prima vista non mi sembra, ma i rootkit sono furbi ..
Ci sono degli appositi tool (pochi a dire la verità): io ho usato
chkrootkit. Cerca su google.
Buon lavoro :)
Fabio

 chkrootkit. Cerca su google.
Non ho t0rn ... gia' qualcosa
ciao e grazie mille

 posso anche toglierli ...
Hai abilitato delle regole antispoofing sul tuo firewall?
Comunque se dici che non ti servono io li disabiliterei comunque.
Meno carne c'č al fuoco piů č facile controllare che vada tutto
OK, ma č un opinione personale.
Ciao
Fabio

 Comunque se dici che non ti servono io li disabiliterei comunque.
Giusto.
Grazie mille per tutto l'aiuto

> Grazie mille per tutto l'aiuto
E di che: probabilmente non ne ho azzecata una :))
Ciao
Fabio