Newsgroup: it.comp.os.dibattiti
Titolo: ci risiamo - worm IIS

soliti log pieni
solite macchine in giro per internet aperte come cozze
avete presente la pubbicità di M$ di w2k? Quella sulla sicurezza? Quella sul
piede di porco, che ci vuole quello per scardinare w2k?
Che ne dite facciamo una causa per pubblicità ingannevole?
Uffa!
Così i ritroviamo una massa di imbecilli che attacca ste macchine unpatchate
direttamente al router (firewall questo sconosciuto), in modo da esporsi
COMPLETAMENTE se vengono compromessi da uno stupido worm....
Che palle...
che tristezza...
Cristiano

 compromessi da uno stupido worm....
# grep cmd.exe access_log | wc -l
   1060
E questo e' un serverino piccolo piccolo...
-- 
Stefano - Hodie decimo tertio Kalendas Novembres MMI est


Vuoi fare una gara ?
[root@wnx-10 logs]# grep cmd.exe access_log | wc -l
   7609
 questi sono CINQUE MINUTI di UN SOLO NODO di un nostro webcluster e non
e' il rilevamento migliore :-))
Ora a parte il giochino sulla cosa l'aspetto serio e che ci sono blocchi
di IP (tipicamente ADSL, HDSL) che 'bombardano' da ieri alle 15.00 e
nessuno dei sysadm (ammesso che ne esista uno) si e' accorto di nulla,
la cosa che mi fa ridere e' che c'e' anche gente con accessi a consumo
(HDSL) tranquilla e' beata con il loro server WinNT/2000 che va a tutto
vapore ........ moooolto  rassicuranete, soprattutto per il prossimo
worm della specie.
Il motto andrebbe modificato 'per usare WinNT/2000 non occorre un
esperto'....... 'occorre un imbecille'.
--
Antonio Baldassarra
anto...@seeweb.com


wrote:

Stai parlando del Nimda,vero?
Il Ghenio
-----
These are my parting words to you:
those who give up are doomed!
-----

 ha scritto nel
messaggio news:3BA88532...@seeweb.com...


 Il Ghenio
e di che altro...
Cristiano

 esperto'....... 'occorre un imbecille'.
Ehi, calma...
Sto usando win2000 adesso, poi mi offendo :-P
--
--
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

 E questo e' un serverino piccolo piccolo...
pensa io che sono in dialup con un 56K!!!
hellspawn:/var/log/apache# grep cmd.exe access.log | wc -l
    342
hellspawn:/var/log/apache# grep default.ida access.log | wc -l
    918
--
ciao, Mirco.
[ Icq#:51640305 ] [ 
http://spazioweb.inwind.it/mmos2/
 ]


hai ragione, il punto e' che tu sei *solo* bersagliato e sei allertato c'e' chi
invece sta saturando la sua 2Mb HDSL con tentativi di attacco diretti a mezzo
mondo e si scalda pure se mandi lui un'email ...... mah !!
--
Antonio Baldassarra
anto...@seeweb.com

 direttamente al router (firewall questo sconosciuto)
Il firewall  se non ne hai uno che apre e riassembla i pacchetti non serve
quasi a nulla.
Il bello č che se anche fai la cortesia di avvisare i proprietari del fatto
che il
loro server IIS o dei loro PC (l'evoluzione di oggi)  sono diventati dei
graziosi
zombies, questi magari ti denunciano pure.
Cosě mi son fatto uno script che si legge i log, ricava gli indirizzi ip,
interroga il Ripe, cerca gli admin-c ed tech-c e e predispone una bella
missiva
in stile avvocatesco.
Saluti.

 in stile avvocatesco.
Volevo farlo anche io... MA:
sono su hdsl... e dovresti vedere come sono registrati i nic-handles dei
miei vicini di classe da interbusy, ops interbusiness, uno su 20 ha un
email... gli altri solo il n telefonico. Mica posso spendere per chiamare
tutti no?
Cmq sto script e' disponibile? lo posti? lo maili?
Saluti
Cristiano

 Cmq sto script e' disponibile? lo posti? lo maili?
Ci sto pensando su.
Saluti.

 Quella sul
Quando dagli Usa partira` la crociata contro il terrorismo su Internet,
prima di rendere illegale la crittografia spero che mettano fuorilegge 
IIS e Outlook. Credo sia l'unica speranza per fermare Bin Gate$ e fare
un grosso favore al resto del mondo.
-- 
Vincenzo 
Cosa e' peggio: l'ignoranza o l'apatia?  Chi lo sa?  A chi importa?

 Ci sto pensando su.
non pensartci troppo! :)
Sauti
Cristiano

soliti log pieni
Ho una media di un "attacco" ogni 4 secondi :-)
-- 
 __
| _         "The Internet is slow, could you please reboot it ?"
|__|iambo   mailto:
gabr...@giambonini.com
 
www.giambonini.com

   1060
Principiante :)
root@tamino:/var/log/httpd > grep cmd.exe access_log | wc -l
   6708


 Che ne dite facciamo una causa per pubblicità ingannevole?
no, no, il sistema di per sè è una fortezza, su quello hanno ragione 
(oddio, qua e là qualche pecca, ma niente di così... stupido, come i 
worm recenti). Poi però ti mettono in mano il piede di porco di cui 
sopra e ti invitano a percuotere detto sistema operativo. "Ma così non 
lo riempirò di buchi?" "Non sono buchi normali, sono BUCHI PER LA 
VELOCITA' [cit.]! avanti ragazzo, colpisci!". Più o meno va così

e di che altro...
Purtroppo lo conosco bene, perché fra ieri pomeriggio ed oggi ci ha
messo completamente in tilt.
W Exploder e IIS.


 Che ne dite facciamo una causa per pubblicità ingannevole?
Per una volta però la colpa non e' tutta di Bill, la pach esiste da un po'
sul sito, se poi per pigrizia molti non vanno a scaricarla poi non si
lamentino. Daltronde anche con i server redhat se non si installano le pach
la sicurezza va a farsi benedire.
--
Medaglia, medaglia, medaglia....
Mutley

 a degli imbecilli.
io con hdsl di TI, ma non ne arrivano tanti. considerata telecom direi mera
fortuna ;)

 Un firewall che non sia statefull inspection
ma non sono dei meri syn?

 ma non sono dei meri syn?
Alcuni spacciano per Statefull Inspection dei firewall
Circuit Level :-)
Uno Statefull Inspection TOSTO
dovrebbe riassemblare e controllare tutto il flusso TCP di una sessione.
Saluti.

 ma non sono dei meri syn?


 dovrebbe riassemblare e controllare tutto il flusso TCP di una sessione.
ok, ma che ci azzecca con un syn sulla 80?

 ok, ma che ci azzecca con un syn sulla 80?
Ci azzecca che riassemblando o analizzando i singoli pacchetti
a monte un siffatto firewall può regionevolmente capire cosa c'è
dentro prima che questi pacchetti diventino qualcosa di
eseguibile a valle.
Saluti.

 mera fortuna ;)
Considerato che stamattina interbusiness era praticamente out, eccoti
che arriva anche meno roba :P
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.5 - WindowMaker

Internet?
Dovresti saperlo, visto che 64 di loro insistono a bombardarti di
pacchetti... poi, non eri tu che un paio d'anni fa eri rimasto stupito
di quante porte 139 si trovavano aperte in internet ??
Obelix

 wrote in message
news:3bbd520c...@news.seven.it...

Appunto, lo fanno i folli.
Saluti.

 Appunto, lo fanno i folli.
considerando che la porta 139 si abilita in automatico su tutte le interfaccie
solo che abiliti la condivisione file e stampanti.... (anche sul PPP)... beh, i folli
sono quelli che hanno previsto questa procedura nel sistema.
Non si puo` pretendere che un sistema fatto per la massa parta dalle basi che
tutti siano degli informatici... molti nemmeno sanno di avere la 139 aperta.


tutti siano degli informatici... molti nemmeno sanno di avere la 139 aperta.
Forse è proprio questo il problema.... IMHO la piu' grossa "falla" dei
sistemi Window$ e' proprio la tanto decantata facilita' di utilizzo.
-
Talo

 eseguibile a valle.
pur non avendo capito nella pratica cosa tu stia dicendo ;) (ma diciamo pure
che sia colpa mia!) voglio ricordarti che tiamo parlando di "stateful"...
.
.
di quanti pacchetti potra' essere fatto 1 (UN) tcp/syn?

 di quanti pacchetti potra' essere fatto 1 (UN) tcp/syn?
I firewall statefull inspection VERI lavorano dal livello rete sino al
livello applicazione
Non solo su quello di sessione o di trasporto.
Saluti.

 sono quelli che hanno previsto questa procedura nel sistema.
Dato che SMB č  la porta 139 non vedo il motivo di cotanto scandalo.
Considerando poi che i binding dei servizi al protocollo possono essere
definiti
per singola interfaccia ancora di piů mi meraviglio.
Il problema reale č: ma quanti sanno cosa sia il binding dei servizi?
Saluti.

 Dato che SMB è  la porta 139 non vedo il motivo di cotanto scandalo.
che normalmente non si vuole condividere files e stampanti su internet...
Basterebbe che venisse un popup che chiede : vuoi condividere file e stampanti
anche su internet? Chiaramente parlo di dialup (interfaccia ppp0).


Appunto, lo fanno i folli.
Direi di no, lo fanno gli utenti che credono a MS...
Obelix

solo che abiliti la condivisione file e stampanti...
E che se chiudi suddetta porta perdi un tot di funzionalita'...
ma suvvia, che MS ha risolto i problmei, spostando i servizi da quella
porta ad un'altra (la 405, se non vado errato...) su cui infatti sono
iniziati ad arrivare i nuovi exploit (uno anche in casa MS,
casomai...)
Obelix

anche su internet?
Veramente, basterebbe che la condivisione di S&F su internet fosse
*disabilitata* di defaul, anziche abilitata. MA, se non ricordo male,
qualcosa, non tutto funzionerebbe correttamente...
Obelix

qualcosa, non tutto funzionerebbe correttamente...
No, basta disabilitare i binding del client di rete e della
condivisione f&p sul TCP/IP legato alla scheda di accesso remoto.
Per inciso su w2k le condivisione di f&p e il clienti di rete MS sono
di default disabilitati sulle conessioni di accesso remoto verso
internet (alla luuuuuuuuunga lo hanno capito..)
Ciao
Francesco

 dialup (interfaccia ppp0).
Non il ppp0, sarebbe meglio che filtrasse in base all'indirizzo IP, se
non appartiene alla tua subnet non passa.
[c'e' gente che ha adsl in lan e esce con tutti ip pubblici, non per
altro...]


 condivisione f&p sul TCP/IP legato alla scheda di accesso remoto.
si, lo so, non e` a me che lo devi dire ;-)


 altro...]
io parlavo di dialup xche` e` facilissimo da fare... basta in "if" nell'abilitazione...
era per far notare la poca volonta` di farlo (o la scaltrezza di chi ha progettato
tale installazione).


 la scaltrezza di chi ha progettato tale installazione).
Ok, in effetti chi ha una lan potrebbe anche fare lo sforzo di imparare
a configurare le macchine e mettere un bel "filtrino" sul router
bordo-internet.. :)


si, lo so, non e` a me che lo devi dire ;-)
E infatti lo dicevo ad Obelix ;-)
Ciao
Francesco

 E infatti lo dicevo ad Obelix ;-)
azz, sono proprio tuonato :-)))


 anche su internet? Chiaramente parlo di dialup (interfaccia ppp0).
Veramente mi sembra di ricordare che c'è un pop-up che ti dice che non è
opportuno attivare la
condivisione files e stampanti.
Saluti.

 wrote in message
news:3bbd93c2...@news.seven.it...

Forse ti riferisci all'abilitazione del client di reti microsoft (che è
una cosa diversa dalla condivisione files e stampanti.
Saluti.

 wrote in message
news:3bbbb34f...@news.seven.it...

Io non lo faccio.
Saluti.

casomai...)
No, sulla 445 ( e non 405) si sono i servizi di Active directory, che
sono altra cosa.
Ciao
Francesco

 condivisione files e stampanti.
interessante :-)


Per inciso su w2k le condivisione di 
Sei sicuro-sicuro?? perche' ho letto che avrebbero inizato a farlo da
XP..
Obelix

Io non lo faccio.
Il che significa che tu non credi a MS...
Obelix

XP..
Si, era cosi' fin dalle beta.
Ciao
Francesco

 wrote in message
news:3bc396f7...@news.seven.it...

Io credo solo in Allah :-)
Saluti.

E che se chiudi suddetta porta perdi un tot di funzionalita'...
Ti confondi con il client per reti Microsoft, quello viene usato in 
locale per la gestione della multiutenza, mentre la condivisione file è 
sempre stata disattivata, almeno da Windows 98 in poi


Pero' scusate, non per tirare l'acqua al mulino MS (con quel che li pago
dovrebbero essere loro a difendermi ;)), ma com'e' che gli amministratori
pinguinati che lasciano buchi (facile per altro) sono coglioni e/o
incapaci... mentre MS deve preparare la pappa a tutti?

 incapaci... mentre MS deve preparare la pappa a tutti?
Il punto e` che gli amministratori sono quel che sono. I produttori
su questo non possono fare niente. Pero` prendi due cd di installazione
uno Debian e l'altro W2000 Server. Dalli in pasto allo stesso sistemista
sprovveduto e otterrai due risultati completamente diversi.
Nel primo caso il web server funzionera` senza problemi. Nel secondo
caso dopo un giorno quella macchina sara` l'ennesimo trasmettiore di
Code Red/Nimda.
-- 
Vincenzo 
Cosa e' peggio: l'ignoranza o l'apatia?  Chi lo sa?  A chi importa?

In un messaggio del Wed, 26 Sep 2001 17:09:19 +0200 IH870 scriveva:


Quali sarebbero questi buchi, di grazia? Se si parla del siterello fatto
in casa e' un discorso ma non mi pare che su siti commerciali basati su
Linux si sia sentito in giro di tutti questi buchi cosi' eclatanti.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 Code Red/Nimda.
Probabilmente nel primo caso funzionare ma proporrà sempre e solo
la pagina di benvenuto di Apache.
Nel secondo caso, per almeno un giorno proporrà la pagina scritta
dal sistemista in questione..:-)
Saluti.

 la pagina di benvenuto di Apache.
Mi risulta che anche IIS abbia una pagina di benvenuto...


In un messaggio del Wed, 26 Sep 2001 19:12:33 +0200 Gabriele DELGIOVINE scriveva:


No funzionera' con le pagine HTML inserite su Apache mentre nel
secondo caso dopo un giorno non proporra' niente perche' il presunto
sistemista avra' fatto una installazione di default di IIS e quindi il
primo bambinetto di passaggio gliel'avra' buttato giu' col programmillo
VBScript del giorno preso da rootshell.


 VBScript del giorno preso da rootshell.
Il problema è che il sistemista in questione non ha la minima idea di dove
e di come si modificano le pagine html con Apache su Linux :-)
Se invece Apache è su Windows non ha problemi :-)
Saluti.

 Se invece Apache è su Windows non ha problemi :-)
Probabilmente la tua scimmia webmaster del CEPU nemmeno sa che esiste.



sono andato a vedere come fungono quei corsi del cepu tanto sta al
secondo piano...
Allucinante... E' un ottimo modo per fregare i soldi e non ti preparano
un fico secco....
bah...
-- 
Sidewinder  
---------------------------------------------------------------------
Every program is a part of some other program, and rarely fits.
---------------------------------------------------------------------

 un fico secco....
Beh non avevo dubbi.. vuoi davvero che ad un corso dove ti fregano un
pacco di milioni possano insegnarti qualcosa di utile? Quella e' la vera
utilita' dei corsi per "ueb inginier", fregare soldi e basta !


 Code Red/Nimda.
il mio timore e' che sia vero l'esatto contrario! Stiamo parlando si
"sistemisti sprovveduti" ok? Con Win tanto tanto stara' su e fara' il suo
dovere... con il pinguino non solo fara' il suo dovere, ma lo fara' ANCHE
per moooolti altri :)))))

 Linux si sia sentito in giro di tutti questi buchi cosi' eclatanti.
Beh ma l'ipotesi e' partita da "sistemisti sprovveduti"... comunque il
casino di sourceforge come lo chiamiamo?

utilita' dei corsi per "ueb inginier", fregare soldi e basta !
IMHO per formare un web engineer e metterlo davanti a una macchina unix
con solo httpd e vi.
Solo molto dopo puo usare altri mezzi.
forse e' per questo che evito tutti gli editor html WYSIWYG per qualunque
SO.
-- 
Sidewinder  
---------------------------------------------------------------------
Why do we want intelligent terminals  when there are so many stupid users?
---------------------------------------------------------------------

 per moooolti altri :)))))
Mai fatto installazioni di Debian vero?
Code Red e Nimda me li sono inventati io?
O forse 'fara` il suo dovere' (nel caso di IIS) significa 'saturera` la banda 
per provare il reale cir del provider' ?


 casino di sourceforge come lo chiamiamo?
Lo chiamiamo password sniffate dai sistemi dei loro provider. 
Non possiamo certo paragonarlo a presunti server (IIS) che si
fanno inc*lare a catena da chiunque.


 con solo httpd e vi.
Esatto.. almeno quando hai imparato con quegli strumenti, seppur scarni
che possano sembrare, avrai imparato sul serio il linguaggio HTML, come
si usano correttamente i tag e tutto il resto quindi usare eventuali
altri strumenti piu' semplici sara' una passeggiata ma si sa, oramai
siamo accerchiati dalle scimmie uebmastr che usando Frontpeigg pensano
di saper fare dei buoni siti, mah, che tristezza.


Un sistemista, idiota, più che sprovveduto.
Dal log del mio server, ho tratto questo indirizzo ip (tentativo di
nimda di intrusione).
195.103.230.99
L'ho visualizzato con lynx e mi son cappottato dal ridere.
Io mi considero scarso, ma non così.
Ciao
icq 122395780

 195.103.230.99
Gurada un po`, il tipico caso di cui si parlava:
 - Pagina di benvenuto di iis
 - Server infettante.


  - Server infettante.
Eheheh...
HTTP Error 403 - Access to Internet Service Manager (HTML) is restricted
to Localhost
403.6 Forbidden: IP address rejected
beh almeno non sono cretini del tutto, solo in parte.


di saper fare dei buoni siti, mah, che tristezza.
Infatti io l'html l'ho imparato in una settimana in gennaio '96...
Anzi quella homepage e' ancora presente, con pochi cambiamenti.
-- 
Sidewinder  
---------------------------------------------------------------------
My sister opened a computer store in Hawaii.  She sells C shells down 
by the seashore.
---------------------------------------------------------------------

 beh almeno non sono cretini del tutto, solo in parte.
No no,  sono cretini in toto,
visto che l'accesso al manager HTML di IIS
di default č permesso solo a 127.0.0.1
Saluti.

 Infatti io l'html l'ho imparato in una settimana in gennaio '96...
Non e' che sia cosi' difficile in effetti.. ho messo su la prima pagina
della home page del LUG senza aver mai scritto prima una sola riga di
HTML, armato solo di Vim e tidy..


 fanno inc*lare a catena da chiunque.
infatti non ci penso neppure... e' mooolto peggio! Non sai cosa sia stato
fatto, ne' quando, ne' come!
Un interessante msg e' stato scritto dalla mano santa (non non il programma
;)) di Leo su icsv (ancora in linea, cerca: bonaaa); alla fin fine ben
vengano i lamer e gli attacchi stile CR.

 di default è permesso solo a 127.0.0.1
:-) Deh, tu che punizione gli daresti a questi qui? Per una volta tanto
voglio lasciare a qualcun altro la gioia di inventare un supplizio..


 siamo in via tiziano 32
azzz
ci lavorava la fidanzata

 voglio lasciare a qualcun altro la gioia di inventare un supplizio..
Direi il licenziamento in tronco.
Il fatto è che sono dipendenti pubblici e quindi non si puo.
Pensa tu che non si può nemmeno cazziarli perchè il dipendente
pubblico non dirigente non è responsabile di alcunchè.
Saluti.

 Mi risulta che anche IIS abbia una pagina di benvenuto...
Welcome to WIndows NT Option Pack?
A me dava quella con IIS4 :P
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.5 - WindowMaker

 fatto, ne' quando, ne' come!
Ma che stai dicendo? Facciamo la conta degli incompetenti fra admin UNIX
ed NT e vediamo chi vince? Merendine anche tu?


 pubblico non dirigente non è responsabile di alcunchè.
So bene, so bene, perche' ho gia' avuto modo di sentire alcuni
interessanti aneddoti su pseudo-sistemisti della pubblica
amministrazione.


 ed NT e vediamo chi vince? Merendine anche tu?
Oggi crostata della mogliettina ;)

Un demone messaggero mi porto' una pergamena di IH870
dal titolo "Re: ci risiamo -  worm IIS" scritta 
da IH870 con il suo sangue:

La tua?
-- 
Sidewinder  
---------------------------------------------------------------------
This dungeon is owned and operated by Frobozz Magic Co., Ltd.
---------------------------------------------------------------------

 La tua?
yep! Quelle degli altri le chiamo... amanti :)))))

:

Lo dico alla tua fidanzata? :PPP


 Mi risulta che anche IIS abbia una pagina di benvenuto...
Appunto. Ma ormai sanno tutti che sta in inetpub\wwwroot :-)
Saluti.

 Oggi crostata della mogliettina ;)
Con Guttalax per gli amministratori NT ;-)


 yep! Quelle degli altri le chiamo... amanti :)))))
VOFL ! Pocvo ! 8-)


 Con Guttalax per gli amministratori NT ;-)
per l'amministrazione sono troppo pigro, ma... per il Guttalax ho gia' dato
come ufficiale di complemento a Capo Teulada in Sardegna; l'esercitazione e'
continuata, ma c'era un M113 fermo ed una belina (una delle mie migliori
interpretazioni) mezzo (era piuttosto basso) imboscato dietro un cespuglio!
Non e' stato bello

 Non e' stato bello
Po'rello, non avra' dimenticato facilmente quella giornata, mi sento
pronto a giurarci :-D


 Con Guttalax per gli amministratori NT ;-)
Ma non amministri anche quello?
-- 
limaCAT

 Ma non amministri anche quello?
Solo incidentalmente non per mia scelta, fosse per me gli darei fuoco.
