Newsgroup: it.comp.os.linux.software
Titolo: LOPSTER: POSSIBILE FALLA DI SICUREZZA??

Ciao a tutti,
questa notte ho subito un attacco al mio pc (MDK9+Shorewall+Lopster con 
ADSL).
Tra le 4 e le 4.35, qualche intruso bastardo si e' inserito, probabilmente 
usando Lopster che era l'unico software attivo, se ne e' andato in giro nei 
miei files, modificando i permessi in root e chissa' cos'altro.
Infine, da buon cracker, ha cancellato tutti i logs di sistema prima di 
andarsene.
Me ne sono accorto perche' questa mattina, riattivando il monitor, Lopster 
era sparito dal desktop (probabilmente l'attacco killa il task per entrare 
nel sistema).
Vi risulta che ci siano falle di sicurezza in Lopster?
matri.x

 Vi risulta che ci siano falle di sicurezza in Lopster?
No. Ma tutto può essere....
Prova a scaricarti l'ultima CVS.
Cambia la password di root, riguardati la configurazione del firewall e
fai un aggiornamento al sistema. Può essere che l'aggressore abbia
utilizzato una vulnerabilità nota e già patchata, ma se tu non hai
aggiornato il sistema ti ritrovi scoperto...
-- 
Stefano Gatti 
Email: 
stefano.ga...@tin.it
 (togliere .levami)
Web: 
digilander.libero.it/sg67

 
 
no, solo su due, questo e il .sys
perche', c'era per caso it.comp.os.linux.software.lopster??
scusa ma se penso di avere un problema di sicurezza in un software, a chi mi 
dovevo rivolgere secondo te?

 aggiornato il sistema ti ritrovi scoperto...
il sistema era gia' stato updatato qualche giorno fa...
grazie
ciao

 fai un aggiornamento al sistema. 
Non sono d'accordo.
Purtroppo quando ti "bucano" il server, l'unica soluzione è il mkfs sul
disco di sistema e la reinstallazione da zero del sistema operativo. Non
è dato sapere quali files possano aver modificato, magari si sono
inseriti una backdoor proprio su ipchains, chi può dirlo? Non ti puoi
fidare di niente, non c'è altra soluzione se non la reinstallazione di
tutto con formattazione.
-- 
Massimo Bacilieri AKA Crononauta 
mailto:
ulib...@libero.it
 ; ICQ:4005815

 tutto con formattazione.
infatti, ho fatto cosi'; in questo caso facevo prima, visto che ho una 
partizione /home "non intaccata" (x fortuna) e un floppy per rieseguire 
l'ultima installazione
ciao

 l'ultima installazione
Ehi, attento! Guarda che quando si parla di reinstallare il sistema non
si parla di /home, che anzi è l'unica che puoi lasciare intatta visto
che non raccoglie programmi di sistema, ma solo le configurazioni
utente.
Si parla di reinstallare fondamentalmente / e /boot, con annessi e
connessi (quindi /bin, /sbin, e tutta /usr a discendere).


 
si, forse mi sono spiegato male:
ho reinstallato solo la /, salvandomi i dati della /root a parte

 tutto con formattazione.
In effetti su questo ti do ragione.. Non ho specificato che doveva
tutelarsi da eventuali manomissioni e ho dato per scontato il ripristino
del sistema allo stato originario. I miei consigli partivano da quel
punto in poi...


 necessariamente Lopster. Magari ha sfruttato un altro servizio. 
In questo caso ok, il fatto è che solo nello sviluppo successivo del
thread si è capito che non aveva idea di quali servizi girassero.
Ovvio che in quelle condizioni, con tutto esposto, i rischi aumentano
esponenzialmente.
Volevo solo chiarire che il firewall non è la bacchetta magica che rende
sicuri anche programmi con vulnerabilità allucinanti "tanto ho il
firewall"... scuola di pensiero che invece è tragicamente diffusa in
ambito wincaz 98/ME/2000pro/XP laddove un firewall non serve a una
beneamata sega... ma la gente non lo vuol capire, e allora sai...


 dovevo rivolgere secondo te?
1) a Google;
2) alla ML del software;
3) al ng piu` adatto.
In ogni caso, postare su piu` ng e` da considerarsi l'atto estremo,
che deve essere effettuato solo se non e` possibile fare altro
Henryx
-- 
GnuPG fingerprint = 42F9 521B 63C7 89FE 354C  89FA 4E49 3E2D 2EB6 B014

 firewall"...
appunto! quindi il mio sospetto di **possibile** falla di sicurezza potrebbe 
essere valido!
comunque sia, ora ho reinstallato il sistema e stoppato/eliminato tutta la 
"roba" inutile (come avevo fatto prima); e comunque di porte aperte ce ne 
sono ben poche (sia prima, che ora) come si vede dal report di nmap:
Port       State       Service
111/tcp    open        sunrpc
631/tcp    open        ipp
6000/tcp   open        X11
ora ripristinero' anche lopster e poi vedremo!
ciao

 ...
senti bello, se il "**sospetto** di una **possibile** falla di sicurezza" 
credi non sia un argomento da sistemisti, allora sono contento di NON 
averti come sistemista nella mia ditta!!
e comunque la cosa finisce qui, perche' se invece di fare il bacchettone e 
cianciare tanto, avessi risposto in qualche modo all'argomento, a quest'ora 
tutti avremmo imparato qualcosa di piu'!
se non sai rispondere o ti do' fastidio, attivati un bel filtrino nel tuo 
newsreader col mio nome e addio!

 ...
guarda che avevi cominciato tu! :)
e poi... MA DAIII...!! hai postato su piu' ng! e per di piu' in crosspost!!
e vieni a fare a me la ramanzina!!
dagli all'untore!!!

 6000/tcp   open        X11
La 111 mi pare quella del finger, puoi ben chiuderla con un:
ipchains -A input -i ppp+ --destination-port 111 -j DENY
quanto alla 631, č la prima volta che la vedo!
Per X11 vedi la 111.


> La 111 mi pare quella del finger, puoi ben chiuderla con un:
No credo sia il portmapper dell'nfs di sun.
Ciao

 No credo sia il portmapper dell'nfs di sun.
Pricisamente, e distribuisce anche vulnerabilita' regalando shell di root
in alcune sue versioni
-- 
Federico:       
http://www.sideralis.net
Espace:  
http://www.sideralis.net/espace
IRC:          
irc.sideralis.fastland.org
Linux:             
http://www.gentoo.org


Quasi certamente e' l'interfaccia di configurazione via web di CUPS.
LG
-- 
*********************************************************************
Leandro Gelasi
http://gelasi.interfree.it
Gilles Villeneuve will live forever
*********************************************************************

 tua opinione per cui la faccina mi sa un po' di presa per il c..o
va bene dai, e' vero ho sbagliato io.
e' perche' mi hanno crackkato il pc che sono cosi' nervoso e ci vedo male.
prometto che non multiposto piu'...
ps: la faccina serviva sul serio di sdrammatizzare

 per entrare nel sistema).
Che fantasia, non è più semplice ipotizzare un crash di lopster? ^_^
Bye
-- 
TCPA/Palladium FAQ : 
http://www.complessita.it/tcpa/
 
GnuPG FingerPrint  : 3C4D 4D2A 3BBE B24B 4EC2  60E7 6FFE 947C 9CAE 9642

 6000/tcp   open        X11
111? Ma ti serve il portmapper?? Sicuro?
631? CUPS mi pare.... è il caso, si?
6000? Altre esigenze particolari? X che ascolta su tcp? Desktop remoto?
Sinceramente per un pc casalingo ci vedo aperte la 25, la 119 e basta,
di solito. Inoltre basta bindarle solo sul 127.0.0.1
Ciao


 Che fantasia, non č piů semplice ipotizzare un crash di lopster? ^_^
certo, ma un "semplice" crash di un software che gira con privilegi utente 
non azzera deliberatamente alcuni logs di sistema!
comunque ora ho blindato tutto e chiuso tutte le (poche) porte inutili che 
avevo.

 che avevo.
Ok.
