Newsgroup: it.cultura.cybersocieta.lamer
Titolo: [REPOST] La notte in cui Dmitry rischio' il culo.

po più carina invece di quel UNDER COSTRUCTIONS:....:))
Mi pare lampante che tu abbia una urgente e drammatica necessita' di
sapere MOLTE cose sui servers web, prima che o ti spari in un piede,
o trovi qualcuno meno caritatevole di me, che si fara' fare un nuovo
portabici con il tuo culo. Mi era venuto il dubbio gia' da quel post
"per esperti" dove ti illuminavi d'immenso per il telnet su wingate,
ma adesso ho l'obbligo morale d'aprirti gli occhi e spiegarti che la
Smith&Wesson non fabbrica asciugacapelli e quello che stai per usare
non e' un nuovo modello di phon a batterie (potrei restare zitto, ma
lo splatter visto da spettatore non e' il mio genere).
Iniziamo da quel disgraziato "UNDER CONSTRUCTION".
Innanzitutto, dato che hai smanettato su Apache, saprai che esistono
gli "hosts virtuali". Cioe', se ti colleghi a un certo sito, e mandi
uno header "Host: 
www.ornitorinchi.it
", il sito capisce che tu credi
che quel sito sia 
www.ornitorinchi.it
 -- e ti manda la home page del
sito 
www.ornitorinchi.it
.
Se pero' quello header NON C'E', come accade nel caso di Nimda, o di
qualcuno che si colleghi al sito senza sapere l'host name, costui si
vedra' recapitare una pagina di default, dove c'e' appunto una GIF.
La scritta "Under construction", infatti, in tutta la storia di quel
sito Web, e' stata richiesta tre volte sole. Va da se' che nessuno
strumento automatico (o worm) ha interesse a prendere una GIF. E chi
conosce l'indirizzo reale del sito non PUO' prenderla... perche' NON
SA CHE C'E'.
L'ultima volta, guarda caso, e' stata richiesta stanotte verso l'una
e 15 (la volta prima risale a prima dell'estate). A questo punto, IN
GENERALE, io so che quella GIF viene richiesta da un curioso umano o
da un tool governato da un essere umano (non Nimda). IN PARTICOLARE,
in questo caso posso sapere che sei stato tu e riconoscere quali fra
le righe del log si riferiscono alla tua attivita', e quali al resto
(e' per questo, che definisco urgente e drammatica la tua necessita'
di capire come gira il mondo).
Allora quando - e se - si vuole sfruculiare su un sito Web, la prima
cosa da sapere e' che versione di server Web e'. Ora quasi tutti gli
utenti di questo newsgroup, vedendomi postare da un certo IP, se gli
si domandasse la versione del server direbbero "Apache 1.3.20" senza
neanche prendersi il disturbo di usare un telnet.
Altrimenti, si prende il telnet e si spara
GET / HTTP/1.0
Host: localhost
sperando, con quello "Host:", di fare in modo che la riga non vada a
far parte dei logs piu' letti. Non funziona sempre, chiaro. Pero' e'
un inizio.
Il server Web ti avrebbe risposto dicendo di essere Apache 1.3.20, e
di avere le estensioni SSL, PHP e qualcos'altro che ora non ricordo.
E questo ti avrebbe risparmiato la figura piuttosto tonnesca di fare
uno zilione di richieste per:
"GET /cgi-win/ HTTP/1.0" 404 565
"GET /cgiwin/ HTTP/1.0" 404 565
"GET /scripts/ HTTP/1.0" 403 327
"GET /_private/ HTTP/1.0" 404 565
"GET /_vti_pvt/ HTTP/1.0" 404 565
"GET /_vti_cnf/ HTTP/1.0" 404 565
"GET /cgi-bin/ HTTP/1.0" 404 327
"GET /iissamples/ HTTP/1.0" 403 565
"GET /secure/ HTTP/1.0" 404 565
...un'altra cosa. Qualche wannabe potrebbe pensare, vedendo un 403 a
seguire il GET di /scripts e di /iissamples, che quelle directories,
su quel server, esistano. Be', esistere esistono. Basta che qualcuno
abbia dato un paio di comandi da Barabba
mkdir cgiwin scripts iissamples
chmod 000 cgiwin scripts iissamples
perche' le directories ci siano (innocuissime) confondendo vari tipi
di scanners HTTP.
Pero', fin qui siamo nel campo della curiosita'. Chiedere e' lecito,
rispondere e' cortesia, pure se quella filza di 403 e 404 di cortese
ha un po' poco. Ma tant'e'.
Le cose si fanno curiose verso le una e diciotto (a proposito, fossi
in te prenderei un'ISDN: quel tuo modem s'e' connesso a 43333, o non
te ne eri accorto?):
"GET /osuoecovqduntlfsykzzmh HTTP/1.0" 404 565
"GET /xzcutqjfdxcjjczwqmrarm HTTP/1.0" 404 565
Piuttosto curiose come richieste. Stringhe casuali, si direbbe.
Quindi si scende nell'esoterico:
"GET /++./ HTTP/1.0" 404 565
"GET /++/ HTTP/1.0" 404 565
"GET /+./ HTTP/1.0" 404 565
"GET /+/ HTTP/1.0" 404 565
"GET /."./."./Perl/eg/core/findtar HTTP/1.0" 403 347
"GET
/."./."./Perl/eg/core/findtar+&+echo+system(@ARGV);+>+c:\InetPub\wwwroot\
cmd.pl
+&+.pl
HTTP/1.0" 403 414
...o andiamo, Dmitri, lo sanno tutti che non si deve dare il Perl ai
porci.
Alle 01:19, quel tulz si rende conto che FORSE ha a che fare con uno
Unix, e lo sbaglia per un RaQ:
"GET /.bash_history HTTP/1.0" 403 332
"GET /.cobalt/siteUserMod/siteUserMod.cgi HTTP/1.0" 403 354
"GET /.htpasswd HTTP/1.0" 403 328
Colgo l'occasione per ricordare ai tenutari di Apaches che .htpasswd
e .htusers si tengono FUORI dalla webroot, e che comunque i files di
tipo "^.*" e' bene abbiano un "deny from all".
Per la cronaca, questa e' anche la configurazione di default Apache,
ormai da due o tre minor revisions: qualcuno lo dica, all'astvto che
ha scritto quel tool del menga. In Visual Basic, poi. Bleargh.
Ma la cosa piu' esilarante di tutte e' che tutto 'sto rebelot, tu me
lo vai a montare tramite $
YOUKNOW.worcestercs.org
, pensando suppongo
di essere anonimo, poi NON SOLO ti pisci addosso con quella faccenda
dell'ucbang, ma ti ripisci addosso tentando, da una linea PSTN, quel
che spero non fosse un ping flood su una ADSL (se no sei cretino), e
con il tuo VERO IP, lo stesso che rimbalza un minuto dopo dal server
di worcestercs [1]!
Sul quale, oltretutto, hai rotto i coglioni fino al mattino dopo. Io
SPERO che tu fossi su una flat e che ti sia stancato. Altrimenti, tu
capisci bene cosa questo significa: alle 11:00, qualcuno di la' s'e'
accorto che gli stavi ficcando telematicamente un dito nel culo, e a
quest'ora e' gia' attaccato al telefono di Scotland Yard.
Leonardo dammi retta, palle
[1] Si', si'. Lo hai trovato nella lista del tuo amato AliveProxy, e
    hai fatto (spero) il test che ti ha detto che era anonimissimo.
    Sfortunatamente... per essere truly anonymous ci vuole, da parte
    del client, un minimo di gnegnero, che quel cazzillo di tool che
    hai usato NON HA.

Il giorno 20 ott 2002 whiplash ha scritto in
it.cultura.cybersocieta.lamer: 
[omissis]
la mia sign ;-)
-- 
http://groups.google.com/groups?ie=UTF-8&oe=UTF-
8&as_umsgid=
1t9e3u48b692fodqi...@4ax.com
&lr=&hl=it

 la mia sign ;-)
Dai che tanto tu non puoi capirla, sai com'č :-)
--
Mrc777
mrc_...@yahoo.itNOSPAM
togliere nospam per rispondermi
dobbiamo raggiungere lo scopo

 Dai che tanto tu non puoi capirla, sai com'č :-)
Pero' la divulgo
O non posso?
-- 
http://groups.google.com/groups?ie=UTF-8&oe=UTF-
8&as_umsgid=
1t9e3u48b692fodqi...@4ax.com
&lr=&hl=it

 O non posso?
Ma tanto usenet non puň capirla... sai com'č, il castoro
č l'unico con l'intelligenza adeguata.
