Newsgroup: it.comp.reti.ip-admin
Titolo: Forse OT - Quando "denunciare" gli attacchi

Ciao a tutti.
Gestisco da poco un piccolo sito web e un server di posta.
Sono sorpreso di vedere quanta gente provi a sfruttare eventuali bugs.
Nei log trovo tutto quanto, ip eccetera.
noto che gli spammer vengono un po da ovunque mentre chi cerca di assaltarmi
l'apache piu o meno son sempre gli stessi... (o almeno gli ip sono simili)
Mi chiedo ora, quando sia il caso di denunciare i simpaticoni e a chi.
Oggi preso un po dalla rabbia ho mandato via un 3-4 mail ai relativi
"abuse". Ma non so se ho fatto una cosa intelligente...
Vorrei chiedere, se qualcuno di voi ha esperienza in proposito, come mi
dovrei comportare.
in riferimento all'oggetto, mi piacerebbe sapere anche "cosa" e' considerato
attacco.
Su un Linux&C mi pare di aver letto che lo scan delle porte con nmap non e'
ritenuto attacco, in quanto ci si limita a "guardare" i servizi che vengono
offerti, mentre altri strumenti come "nessus" x citarne uno, che oltre a
trovare i servizi provano a forzarli, non sono ritenuti legali. (a meno di
essere in accordo con il padrone del sistema da controllare)
In base a questo io riterrei che una stringa tipo:
--------------------------
218.19.76.25 - - [16/Nov/2003:16:17:17 +0100] "get /scripts/..%c0%af..%c0
af..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af/winnt/system32/cmd.exe?
c%20dir" 501 - "-" "-"
--------------------------
trovata nel file access.log di apache e' un attacco bello e buono.
Grazie in anticipo per le eventuali risposte :)

 "abuse". Ma non so se ho fatto una cosa intelligente...
Qualche volta hanno risposto, ma principalmente, se trovi una serie di
attacchi tipo DoS/DDoS, e temi che il sistema possa essere non completamente
sicuro, ti conviene informare la polizia postale, fornendo loro tutti gli
elementi del caso. Poi penseranno loro a provvedere, se ritengono ci siano
gli elementi per farlo.
Ciao
Luca

 218.19.76.25 - - 
C@#o ma e' il mio IP!!

 C@#o ma e' il mio IP!!
Controlla la presenza di worm CodeRed/Nimda & soci.
Auguri ;-)
Ciao
Luca

 Auguri ;-)
No!!!
Era solo uno scherzo.
Per Fox. Io non sono esente dal aver sperimentato certi bug, cosi tanto 
per vedere e sperimentare. Se quello che hai postato e' l'unico log non 
mi preoccuperei piu' di tanto, probabile che sia un'altro curioso come 
me. Se sei soggetto al bug relativo aggiorna il server, blacklista 
quell'IP e dimenticatelo. Se sono piu' di uno, allora incazzati e tanto!

 Era solo uno scherzo.
Hai ragione: potevo guardarci prima. Ho beccato come un pollo.
inetnum:      218.19.0.0 - 218.20.255.255
netname:      CHINANET-GD
descr:        CHINANET guangdong province network
descr:        China Telecom
descr:        A12,Xin-Jie-Kou-Wai Street
descr:        Beijing 100088
country:      CN
admin-c:      CH93-AP
tech-c:       WM12-AP
mnt-by:       MAINT-CHINANET
mnt-lower:    MAINT-CHINANET-GD
changed:      
hostm...@ns.chinanet.cn.net
 20010703
status:       ALLOCATED PORTABLE
source:       APNIC
Ciao
Luca

 quell'IP e dimenticatelo. Se sono piu' di uno, allora incazzati e tanto!
Va be'... chi e' senza peccato scagli la prima pietra... :D
Non mi lamento delle prove "veloci", mi lamento quando periodicamente uno ci
prova troppe volte, e addirittura con lo stesso sistema! Almeno varia dico
io!
Poi be'... gli asini che lanciano i comandi senza neanche verificare il
sistema operativo... 
X escludere l'ip... si'  sarebbe un idea... ma dai log si capisce che non
hanno ip fisso ma capisci comunque che arrivano sempre da una certa zona.
Non e' che posso chiudermi le zone :) (oddio...potrei anche)
:)

 sistema operativo...
Appunto per questo credo si tratti di un worm.
Queste le info di snort per il cmd.exe:
http://www.snort.org/snort-db/sid.html?sid=1002
http://www.snort.org/snort-db/sid.html?sid=2123
Ciao
Luca

 ritengono ci siano gli elementi per farlo.
mmm....
ma come li riconosci i dos?
(DDos mi sfugge)
cioe', faccio un esempio, un somaro ha contattato la porta 80 con una
stringa da quasi 100k... (davvero eh... tutto pieno di "\x90"... boo)
questo e' da considerarsi un dos?
in effetti x mandarmi una richiesta simile... tenderebbe a saturare il
servizio web 
gia' che ci sono...
ogni tanto io mi guardo le connessioni attive con netstat 
ma come ti accorgi quando ad esempio ti fanno un nmap?
(devo dedurre che non e' poi cosi ot oppure lo e'?)
grazie :)

 
http://www.snort.org/snort-db/sid.html?sid=2123
volo a casa e me le guardo :)
grazie

 ma come ti accorgi quando ad esempio ti fanno un nmap?
Anche qua mi aiuta snort, dal log del firewall.
Ciao
Luca

 Io veramente uso debian e sono sotto nat con il router.
Mi viene un dubbio: ti fidi del NAT (bucabile: non e' una sicurezza) e
niente firewall?
Orrore!
Ciao
Luca