Newsgroup: it.comp.reti.ip-admin
Titolo: Intrusioni sulle porte 137-139, 1080 (e altre)

Come (se) è possibile contattare qualcuno che tenta connesioni sulle
suddette porte per avvertirlo che ha stufato e che al prox tentativo
provvederò a chiamare il suo provider e la polizia delle telecomunicaz?
Grazie anticipate. (Non sono paranoico, ma interi mb di log pieni di ste
boiate mi hanno un po' stufato e non voglio chiamare la cavalleria senza
dare un avvertimento alla persona...)
Grazie. Radel

Radel wrote:

Il port scanning non e' vietato, ma io prima avvertirei l'amministratore
della rete da cui proviene l'attacco per mettere le cose in chiaro... Come
fare: vai sul sito 
http://www.ripe.net
, immetti l'ip da cui proviene
l'attacco nell'apposita sezione di ricerca whois-database, e nella maggior
parte dei casi avrai vita morte e miracoli della rete di appartenenza, come
localita' geografica, dominio, e-mail dei responsabili, e diverse altre
informazioni. Se e' pero' un ip dinamico di una rete provider, avrai vita
difficile, anche contattando l'abuse-man... firewallati, e' meglio.
bye G.L.

 ha scritto nel messaggio
news:3A4078B5...@tiscalinet.it...


 Adesso va mnolto di moda nei miei log...
Piu' che altro, come hai detto, sulle porte 137-139 tenta un exploit su netbios:
traduci condivisione di files e stampanti microsoft...
bye G.L.


Lo sapevo già e l'ho già fatto, ma ancora non so a che serve, puoi
spiegarmelo se non ti dispiace?
Radel
(PS. Ho scoperto che forse sarà inutile procedere perchè si tratta di
interbusiness di telecom italia. Direte: "embè"?
Ho visto sul loro sito che c'è un avviso sul loro sito ai propri clienti di
vietare il relay ai loro mail server Perchè Giungono segnalazioni di spam da
quelle parti, ma il server con relay è in realtà il loro!
Provare per credere... 
http://www.ripe.net/cgi-bin/whois?query=194.184.29.10
Figuriamoci se sapranno intervenire sul loro cliente...)

> Provare per credere...
http://www.ripe.net/cgi-bin/whois?query=194.184.29.10
Vabbè ho sbagliato link, in realtà volevo dire
http://mail-abuse.org/cgi-bin/nph-rsstest?212.131.30.68

 cosa è la porta tcp/113? Adesso va mnolto di moda nei miei log...
Prima di chiuderla non ti sei chiesto a cosa potesse servire ?

provvederò a chiamare il suo provider e la polizia delle telecomunicaz?
Prima di chiamare, sei sicuro che è qualcuno che ci prova?
I server NT se mal configurati fanno un lookup netbios su chi si
connette e questi compaiono nei log del firewall.
Quindi, fai il reverse lookup sull'ip e se appartiene a un web server
ignoralo, se appartiene alle batteria modem (di qualsiasi tipo) allora
puoi contattare il provider.
-- 
giu...@pobox.com

Non vorrei essere antipatico, ma non glielo hai spiegato neanche tu,
no?
Comunque la porta 113 viene richiesta da diversi programmi IRC (oltre
che da altre applicazioni).
-----
Preso da
http://mlarchive.ima.com/firewalls/1999/6239.html
113 is the auth ("ident") port. People can use this 
information to determine what user id daemons are 
running as. The idea is that it's much more enticing 
to get a daemon running as root to send back a shell 
than a daemon running as nobody. 
It can also be used to determine what user is trying 
to make a connection to a server for logging purposes. 
This is popular for POP and FTP servers so the 
originating username can be logged. 
That being said, port 113 is useless and should be 
blocked. Better yet, don't even run the daemon at 
all. Back in the days the auth port was good because 
the Net was open and people were honest. Now, if 
the auth port is even open, the data is to be 
untrusted. You can configure identd to return bogus 
information, incomplete information, or even no 
information. And this is just using identd. This 
doesn't even cover funny stuff like writing your 
own daemon to answer queries or using netcat to 
spit out garbage. 
----


 no?
Sono solo curioso di capire perche' ci sia questa tendenza a chiudere
servizi qua e la senza chidersi se servano o meno...
-- 
 Daniele
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

servizi qua e la senza chidersi se servano o meno...
Perche` troppa gente legge it.comp.sicurezza.varie senza capire cosa
c'e` scritto.
-- 
ciao, | Does a route flap if nobody is listening to it?
Marco | (Ri)scoprire fidonet: 
http://bbs.mi.linux.it