Newsgroup: it.comp.reti.ip-admin
Titolo: Attacco da un pop TIN

 Stamattina courtney mi segnalava un "HEAVY ATTACK" da un pop di TIN
Che e' 'sto courtney?
P.s.: me la spieghi questa?
NNTP-Posting-Host: 10.1.25.135
-- 
Giglio
E-mail: 
gig...@poboxes.com
Homepage: 
http://fly.to/giglio/
ICQ: 12385960

 'The Krazy One'   ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Let he who takes the plunge remember to return it! **---

 una rete privata, e il server pure, ecco perche' quell'ip.
Ora per esempio vedo 10.1.25.131 . Si, capisco la rete privata, ma
allora tutti potrebbero spammare con l'IP della rete privata senza
essere rintracciati.


 'The Krazy One'   ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Nothing is more relaxed than a sleeping cat. **---

---** Nothing is more relaxed than a sleeping cat. **---
---------------------------------------
Stefano Marsani
Torino
wa...@sinet.it
ICQ #26337714
--------------------------------
Togliere _ANTISP per rispondere via e-mail

essere rintracciati.
Non solo ha postato da una macchina con IP privato 10.1.25.135, ma
pure il news server su cui ha postato (
news.eden.it
, 
krazy.eden.it
,
ns1.eden.it
, che sono tutti e tre sinonimi di 195.120.134.57) dovrebbe
avere almeno una interfaccia di rete in grado di ricevere direttamente
i pacchetti provenienti da 10.1.25.135 (altrimenti il nntp daemon non
avrebbe scritto 10.1.25.135 nel campo NNTP-Posting-Host); insomma e'
probabile che la macchina 
news.eden.it
 che si presenta su Internet con
195.120.134.57 abbia un'altra interfaccia verso la rete privata.
--
----------------------------------------------------------------------
Marco Coletti
Network Admin, Webmaster, Tuttologo :)
PGP public key:
http://keys.pgp.com:11371/pks/lookup?op=get&exact=on&search=0x96A79061
Fingerprint: 9F E5 80 61 F6 9F 05 2D  EA 53 6F 2D 82 8B C7 C2
----------------------------------------------------------------------

Che e' 'sto courtney?
sostanzialmente e' uno script in perl che prende l'output di tcpdump e 
puo' essere configurato in modo da mandare ad esempio una mail a root se
qualcuno prova a farti un portscan 
ciao,
Lindo

 'The Krazy One'   ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Eat Crap! 10 Trillion flies can't be wrong. **---

 Se _e' un problema_ attendo soluzioni.
Per me non e' un problema, ma magari se uno spammer usa la stessa
soluzione....


 soluzione....
Si, ma non puo' falsificare contemporaneamente NNTP-Posting-Host: e Path:,
quindi, se l'NNTP-Posting-Host non e' veritiero, comunque, il colpevole e' uno
di quelli sul path.
Ciao!
-- 
 Daniele
-------------------------------------------------------------------------------
Linux is obsolete
(Andrew Tanenbaum)
-------------------------------------------------------------------------------
 Dal 01-03-1993, con un solo POP abbiamo fatto guadagnare a telecom italia
 33.497.774 Lire solo in scatti alla risposta. Non male eh ?
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

una rete privata, e il server pure, ecco perche' quell'ip. 
Dovresti configurare il reverse mapping per gli indirizzi della rete
interna e assegnargli hostname nel tuo domain.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

10.0.1.57. 
Se il NAT e` 1:1 a maggior ragione nella rete interna deve esserci un
name server separato che li associ ai FQDN usati all'esterno.


 name server separato che li associ ai FQDN usati all'esterno.
Cos'e' il NAT?


 'The Krazy One'   ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Useless Invention: Camcorder with braile-encoded buttons. **---

Cos'e' il NAT?
Network Addressing Translation = un modo per far navigare più computer
con lo stesso IP.
Tu assegni ad una rete di 10 PC degli indirizzi locali, tipo 192.168.0.x
poi li fai navigare con un router con NAT che quando si collega
(magari in dialup) ottiene un ip dal provider.
Quando navighi con uno dei PC la richiesta arriva al router che sostituisce
l'ip locale con il suo, aspetta i pacchetti di risposta e quando arrivano
rimette
nell'intestazione del pacchetto l'IP originale del PC che aveva fatto la
richiesta
e gli manda il pacchetto.
Ciao,
Valerio
--
"Microsoft Outlook Express: cosa vuoi postare
postare postare oggi?"

Cos'e' il NAT?
Network Address Translation, previsto da una RFC. Si tratta di una
tecnica di routing per mascherare (l'IP masquerading di Linux ne č una
forma meno evoluta) dietro un unico indirizzo IP una intera rete,
composta da un insieme di indirizzi IP in genere privati (come in
questo caso). Praticamente il router riceve una richiesta di
connessione verso una determinata porta di un indirizzo IP esterno. Il
NAT sostituisce l'indirizzo IP del mittente con il proprio. Quando
questo risponde il NAT restituisce il pacchetto all'Host che aveva
inviato la richiesta, operando sul numero di porta assegnato.
In questo modo una connessione che avvenga con una macchina dietro ad
un NAT risulta avvenire con l'host corrispondente all'IP proprio del
router che esegue il mascheramento.
In questo modo, con un unico indirizzo IP, si puņ condividere una
unica connessione ad Internet per una intera rete locale.
Ciao.
____________________
Michele Ferraudo
Torino
email:
ferr...@NONusaRE.net
togli le maiuscole NON e RE per rispondere
ICQ 22344505
Tersite

 10.* appaia come 10.0.1.57 :)
Chiarissimo come al solito :o)


 con lo stesso IP.
Chiaro, grazie.


 unica connessione ad Internet per una intera rete locale.
Grazie 1000.
