Newsgroup: it.comp.sicurezza.unix
Titolo: tentativo di accesso:

Ciao,
stanotte ho lasciato acceso e connesso il pc per l'aggiornamento con 
	apt-get dist-upgrade
ho visto quanto tempo mancava per completare il tutto e ho dato un bel
	at 3:35
	poff
(ho anche idle 350 tra le opzioni di pppd ma volevo essere sicuro)
ma stamatina nella posta ho trovato la sorpresa....
 client username       : root
 client information    : 
ro...@bbs.tntnet.co.kr
 client ip address     : 203.251.180.252
 client hostname       : 
bbs.tntnet.co.kr
 
bbs.tntnet.co.kr
 server information    : 
in.te...@195.191.1.90
 argv[0 ] from daemon  : in.telnetd
 process id of daemon  : 9733
 client username       : root
 client information    : 
ro...@bbs.tntnet.co.kr
 client ip address     : 203.251.180.252
 client hostname       : 
bbs.tntnet.co.kr
 
bbs.tntnet.co.kr
 server information    : 
cuc...@195.191.1.90
 argv[0 ] from daemon  : cucipop
 process id of daemon  : 9739
 client username       : unknown
 client information    : 203.251.180.252
 client ip address     : 203.251.180.252
 client hostname       : 203.251.180.252 unknown
 server information    : portmap
 argv[0 ] from daemon  : portmap
 process id of daemon  : 130
e come se non bastasse in syslog.log (riporto solo i piu' interessanti)
Nov 30 03:19:05 niels tcplogd: telnet connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252]
Nov 30 03:19:05 niels tcplogd: imap2 connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252]
Nov 30 03:19:05 niels postfix/smtpd[9747]: connect from 
bbs.tntnet.co.kr
[203.251.180.252]
Nov 30 03:19:05 niels postfix/smtpd[9747]: lost connection after CONNECT from 
bbs.tntnet.co.kr
[203.251.180.252]
Nov 30 03:19:05 niels postfix/smtpd[9747]: disconnect from 
bbs.tntnet.co.kr
[203.251.180.252]
Nov 30 03:19:05 niels tcplogd: pop3 connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252] 
Nov 30 03:19:05 niels tcplogd: sunrpc connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252]
Nov 30 03:19:06 niels tcplogd: domain connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252]
Nov 30 03:19:06 niels tcplogd: port 2766 connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252]
Nov 30 03:19:06 niels tcplogd: smtp connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252] 
Nov 30 03:19:06 niels tcplogd: ftp connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252] 
Nov 30 03:19:06 niels in.ftpd[9748]: connect from 
ro...@203.251.180.252
Nov 30 03:19:07 niels tcplogd: ssh connection attempt from 
bbs.tntnet.co.kr
Nov 30 03:19:15 niels tcplogd: tcpmux connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252]
Nov 30 03:19:15 niels tcplogd: pop3 connection attempt from 
bbs.tntnet.co.kr
 [203.251.180.252]
Nov 30 03:19:16 niels cucipop[9739]: connect from 
ro...@bbs.tntnet.co.kr
Nov 30 03:19:30 niels cucipop[9858]: lost  203.251.180.252 2, 0 (0), 0 (0)
Nov 30 03:19:30 niels cucipop[9887]: lost  203.251.180.252 1, 0 (0), 0 (0)
Nov 30 03:25:07 niels useradd[11560]: new user: name=rwhod, uid=103, gid=65534, home=/var/spool/rwho, shell=/bin/false
Nov 30 03:25:08 niels rwhod[11566]: sending on interface ppp0
decisamente le ultime due linee mi preoccupano.
Riporto anche i miei hosts.allow e deny:
#hosts.allow:
identd : ALL : ALLOW
in.fingerd  : ALL : spawn \
	( /usr/bin/logger "TRAPPOLA di %d in hosts.allow \: %c %s %h" ; \
	  /usr/bin/play /usr/local/dati/audio/wav/frog.wav ;		\
		( echo -e "\n---			\
		  \n client username       \: %u   	\
		  \n client information    \: %c	\
		  \n client ip address     \: %a	\
		  \n client hostname       \: %h %n	\
		  \n server information    \: %s	\
		  \n argv[0 ] from daemon  \: %d	\
		  \n process id of daemon  \: %p	\
		  "; echo -e "\n---\n " ;		\
		) | /usr/bin/mail -s "%d from %u@%h" root	\
	) & : ALLOW
in.telnetd: localhost : spawn \
	( /usr/bin/logger "TRAPPOLA di %d in hosts.allow \: %c %s %h" ; \
	  /usr/bin/play /usr/local/dati/audio/wav/wow.wav ; 		\
		( /usr/sbin/safe_finger -l @%h ; 	\
		  echo -e "\n---			\
		  \n client username       \: %u   	\
		  \n client information    \: %c	\
		  \n client ip address     \: %a	\
		  \n client hostname       \: %h %n	\
		  \n server information    \: %s	\
		  \n argv[0 ] from daemon  \: %d	\
		  \n process id of daemon  \: %p	\
		  "; echo -e "\n---\n " ;		\
		) | /usr/bin/mail -s "%d from %u@%h" root	\
	) & : ALLOW
in.rshd : ALL : spawn \
	( /usr/bin/logger "TRAPPOLA di %d in hosts.allow \: %c %s %h" ; \
	  /usr/bin/play /usr/local/dati/audio/wav/2001_ImsorryDave.wav ;\
		( /usr/bin/safe_finger -l @%h ; 		\
		  echo -e "\n---			\
		  \n client username       \: %u   	\
		  \n client information    \: %c	\
		  \n client ip address     \: %a	\
		  \n client hostname       \: %h %n	\
		  \n server information    \: %s	\
		  \n argv[0 ] from daemon  \: %d	\
		  \n process id of daemon  \: %p	\
		  "; echo -e "\n---\n " ;		\
		) | /usr/bin/mail -s "%d from %u@%h" root	\
	) & : ALLOW
in.ntalkd : ALL : spawn \
	( /usr/bin/logger "TRAPPOLA di %d in hosts.allow \: %c %s %h" ; \
	  /usr/bin/play /usr/local/dati/audio/wav/2001_ImsorryDave.wav ;\
		( /usr/bin/safe_finger -l @%h ; 		\
		  echo -e "\n---			\
		  \n client username       \: %u   	\
		  \n client information    \: %c	\
		  \n client ip address     \: %a	\
		  \n client hostname       \: %h %n	\
		  \n server information    \: %s	\
		  \n argv[0 ] from daemon  \: %d	\
		  \n process id of daemon  \: %p	\
		  "; echo -e "\n---\n " ;		\
		) | /usr/bin/mail -s "%d from %u@%h" root	\
	) & : ALLOW
in.rlogind : ALL : spawn \
	( /usr/bin/logger "TRAPPOLA di %d in hosts.allow \: %c %s %h" ; \
	  /usr/bin/play /usr/local/dati/audio/wav/2001_ImsorryDave.wav ;\
		( /usr/bin/safe_finger -l @%h ; 		\
		  echo -e "\n---			\
		  \n client username       \: %u   	\
		  \n client information    \: %c	\
		  \n client ip address     \: %a	\
		  \n client hostname       \: %h %n	\
		  \n server information    \: %s	\
		  \n argv[0 ] from daemon  \: %d	\
		  \n process id of daemon  \: %p	\
		  "; echo -e "\n---\n " ;		\
		) | /usr/bin/mail -s "%d from %u@%h" root	\
	) & : ALLOW
cucipop  : localhost : spawn \
	( /usr/bin/logger "TRAPPOLA di %d in hosts.allow \: %c %s %h" ; \
	  /usr/bin/play /usr/local/dati/audio/wav/wow.wav ; 		\
		( /usr/sbin/safe_finger -l @%h ; 	\
		  echo -e "\n---			\
		  \n client username       \: %u   	\
		  \n client information    \: %c	\
		  \n client ip address     \: %a	\
		  \n client hostname       \: %h %n	\
		  \n server information    \: %s	\
		  \n argv[0 ] from daemon  \: %d	\
		  \n process id of daemon  \: %p	\
		  "; echo -e "\n---\n " ;		\
		) | /usr/bin/mail -s "%d from %u@%h" root	\
	) & : ALLOW
in.ftpd    : ALL@ALL : spawn ( /usr/bin/logger TRAPPOLA\: %d %c ) &
ALL : ALL : spawn \
	( /usr/bin/logger "WARNING \: TRAPPOLA di <%d> in hosts.allow \: %c %s %h" ; \
	  /usr/bin/play /usr/local/dati/audio/wav/2001_ImsorryDave.wav ;\
		( /usr/bin/safe_finger -l @%h ; 	\
		  echo -e "\n---WARNING ---\n		\
		  \n client username       \: %u   	\
		  \n client information    \: %c	\
		  \n client ip address     \: %a	\
		  \n client hostname       \: %h %n	\
		  \n server information    \: %s	\
		  \n argv[0 ] from daemon  \: %d	\
		  \n process id of daemon  \: %p	\
		  "; echo -e "\n---\n " ;		\
		  echo -e "\n---\n " ;			\
		) | /usr/bin/mail -s "%d from %u@%h" root	\
	) & : ALLOW
#hosts.deny:
ALL: ALL EXCEPT 127.0.0.1, localhost
Domande:
1) come faccio a sapere cosa ha fatto l'"amico" a parte i messaggi in
syslog?
2) devo reinstallare tutto? :-(
La riposta piu' semplece e ovvia e' CHIUDI TUTTO.
Ok, ma c'e' un problema.
Io non voglio essere blindato.
Voglio fare delle prove con amici e parenti (a mio fratello ho installato
Linux e vorrei fargli assistenza a distanza) e quindi mi serve essere
*moderatamente* aperto.
E dato che siamo tutti IP-dinamici non posso risolverlo con un firewall
(giusto?)
Soluzioni?
TNX
HA! ciliegina:
/etc# tail -n 1 passwd
rwhod:x:103:65534::/var/spool/rwho:/bin/false
sigh!
devo dormire preoccupato ? :-)
-- 
Pa.Ped, Como
paolo.p...@flashnet.it

 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Talk about memory! This system even has a sense of guilt! **---

Nov 30 03:25:08 niels rwhod[11566]: sending on interface ppp0
E` tutto regolare, a parte che rwhod non ti serve a niente e dovresti
deinstallarlo.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

Ciao Marco d'Itri,
 > 
paolo.p...@flashnet.it
 wrote:
 > 
 > >Nov 30 03:25:07 niels useradd[11560]: new user: name=rwhod, uid=103, gid=65534, home=/var/spool/rwho, shell=/bin/false
 > >Nov 30 03:25:08 niels rwhod[11566]: sending on interface ppp0
 > E` tutto regolare, a parte che rwhod non ti serve a niente e dovresti
 > deinstallarlo.
infatti, l'ho capito dopo...
TNX
-- 
Pa.Ped, Como
paolo.p...@flashnet.it

infatti, l'ho capito dopo...
eh, io no; di chi e' l' useradd ?
ciao
marco

 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** Does the Enterprise use DOS v 2356.0? **---

eh, io no; di chi e' l' useradd ?
Di rwhod, appunto.


Ciao marco viola,
 > > > >Nov 30 03:25:07 niels useradd[11560]: new user: name=rwhod, uid=103,
 > gid=65534, home=/var/spool/rwho, shell=/bin/false
 > > > >Nov 30 03:25:08 niels rwhod[11566]: sending on interface ppp0
 > > > E` tutto regolare, a parte che rwhod non ti serve a niente e dovresti
 > > > deinstallarlo.
 > >
 > >infatti, l'ho capito dopo...
 > 
 > eh, io no; di chi e' l' useradd ?
di postinst di rwhod
#!/bin/sh -e
# $Id: rwhod.postinst,v 1.2 1999/11/12 22:13:05 herbert Exp $
if ! id -u rwhod >/dev/null 2>&1; then
        adduser --quiet --system --home /var/spool/rwho rwhod
fi
mkdir -p -m 755 /var/spool/rwho
chown -R rwhod /var/spool/rwho
...
-- 
Pa.Ped, Como
paolo.p...@flashnet.it
VOTE AGAINST SPAM! 
http://www.politik-digital.de/spam/it/
Appunti Linux, FAQ, HOWTO e altro:
file://usr/doc/HOWTO, file://usr/doc/FAQ
http://www.linux.it
, 
http://www.pluto.linux.it
ftp://ftp.unina.it/pub/linux/pluto
, 
ftp://ftp.pluto.linux.it/pub/pluto
X11 FAQ: 
http://www.cli.di.unipi.it/~zugliani/x11faq.html
Pluto Journal: 
http://www.pluto.linux.it/journal
Linux Gazette: 
http://www.linuxgazette.com
Linux Weekly News: 
http://lwn.net
LinuxDoc : 
http://www.linuxdoc.org
Ricerca NEWS: 
http://www.deja.com
IRC: #linux-it
Info.ita: 
http://www.punto-informatico.it

fi
adesso ci sono; non ho rwhod, mi sono letto man rwhod, rwho
e, per non sbagliarmi, pure ruptime e non mi tornava useradd
grazie a tutti e due
per curiosita', notizie dal coreano?
ciao
marco

 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** ...put knot yore trust inn spel chequers. **---

useradd con successo?
Non capisco il senso della domanda.


 wrote:
PPi> E dato che siamo tutti IP-dinamici non posso risolverlo con un firewall
PPi> (giusto?)
se tuo fratello si collega da un ip fisso non c'è problema, se è un
dial-up puoi perlomeno dire a ipchains di far passare tutta la roba che
viene dalla rete del provider di tuo fratello.certo però resti aperto a
tutti gli hacker che hanno account con quel provider!se hai + di un
amico o + di un fratello estendendo questo concetto a diverse reti di
diversi provider aumentano le possibilita' che qualcuno entri.sempre che
tu non abbia amici coreani... ;-)))
ciao.
-- 
"Have fun! Networking is fun, enjoy it." NET-3-HOWTO

Ciao Pietro Femmino',
 > E fin qui ci siamo. Ma tu alle 3.25 stavi installando rwhod? 
no, io dormivo! :-)
a quell'ora e' finito 
	apt-get dist-upgrade
ed e' incominciata la procedura di installazione/configurazione
 > Non mi
 > risulta che postinst venga eseguito cosi' per sport ogni tanto... :-?
no, infatti, solo su richiesta, di dist-upgrade.
ok, ok, ho installato portsentry.
-- 
Pa.Ped, Como
paolo.p...@flashnet.it

Ciao Paolo,
se vuoi una maggiore sicurezza dovresti istallare sul tuo sistema un
firewall tipo ipchains o ipfwadm.
So che hai una connessione con IP dinamico, ma il problema e' risolvibile
aggiungendo al file di configurazione del firewall una riga del tipo:
IP_ADDRESS=`/sbin/ifconfig -i ppp0 | grep "inet addr" | cut -c21-35`
che consente di greppare dall' output di ifconfig il tuo IP ogni volta che
ti colleghi.
Logicamente la seguente linea e' da modificare in base alla lunghezza del
tuo IP (nella maggior parte dei casi e' sempre la stessa).
Ciao


Ciao end,
 > se tuo fratello si collega da un ip fisso non c'è problema, se è un
 > dial-up puoi perlomeno dire a ipchains di far passare tutta la roba che
 > viene dalla rete del provider di tuo fratello.certo però resti aperto a
siamo tutti e due sotto flashnet, e anche il mio amico.
 > tutti gli hacker che hanno account con quel provider!se hai + di un
 > amico o + di un fratello estendendo questo concetto a diverse reti di
 > diversi provider aumentano le possibilita' che qualcuno entri.sempre che
 > tu non abbia amici coreani... ;-)))
no, per il momento no, :-)
Stavo pensando....
faccio uno script, appena si connette mi manda una mail con il suo ip.
Io con procmail analizzo la posta e se viene da certe persone con un certo
subject prendo il testo del msg che contiene un IP e lo metto tra quelli
accettabili.
Dovrebbe funzionare.
Un po' contorto ma funzia.
Una specie di ICQ privato :-)
-- 
Pa.Ped, Como
paolo.p...@flashnet.it
VOTE AGAINST SPAM! 
http://www.politik-digital.de/spam/it/


Ciao Emiliano Gigliesi,
 > se vuoi una maggiore sicurezza dovresti istallare sul tuo sistema un
 > firewall tipo ipchains o ipfwadm.
 > So che hai una connessione con IP dinamico, ma il problema e' risolvibile
 > aggiungendo al file di configurazione del firewall una riga del tipo:
 > 
 > IP_ADDRESS=`/sbin/ifconfig -i ppp0 | grep "inet addr" | cut -c21-35`
ok, fin aui no problem, ma comea faccio a sapere l'ip di mio fratello che
deve poter accedere al mio pc (e viceversa).
In pratica, detto in altro modo:
come fare assistenza remota con IP dinamico da entrambi i lati in modo
"sicuro" (il piu' possibile)?
ok ssh, per la connessione "giusta", legale.
Ma per bloccare le altre, non sapendo a priori l'ip da accettare?


 wrote:
PPi> Dovrebbe funzionare.
PPi> Un po' contorto ma funzia.
PPi> Una specie di ICQ privato :-)
ahaha è stupendo!
se non sei paranoico, lascai entrare tutto quelle che viene da
flashnet, al massimo se qualcuno ti attacca da flashnet puoi sempre
lamentarti con loro! 
ciao.
-- 
"Using the Junkbuster and Squid (a fast cache for web pages, DNS
requests, etc.) will bring you straight into surfer's heaven."

 writes:
Pa> 
Pa> faccio uno script, appena si connette mi manda una mail con il suo ip.
Pa> Io con procmail analizzo la posta e se viene da certe persone con un certo
Pa> subject prendo il testo del msg che contiene un IP e lo metto tra quelli
Pa> accettabili.
è  una  possibilità, ma  secondo  me ne  esiste  una  più semplice  ed
elegante.  Esistono  ormai diversi  siti che offrono  gratuitamente un
servizio di DNS dinamico: ti registri con username e password e scegli
un hostname  nel dominio del  fornitore, quando ti connetti  esegui un
programmino (perl  o C) che contatta  il server DNS  che provvederà ad
aggiornare le sue tabelle associando il tuo IP del momento con il nome
che avevi scelto.
Per riconoscere tuo fratello basterà che lui si registri persso il DNS
e  tu  potrai usare  una  regola che  utilizza  il  FQDN anzichè  l'IP
numerico per riconoscerlo.
Ne trovi un paio a:
www.justlinux.com
www.ods.org
Ciao
Marco
-- 
Ero un bambino prodigio.  Impiegavo sempre meno di sei mesi per fare
i puzzle, anche se sulla scatola c'era scritto "dai 2 ai 5 anni".
		-- Claudio Bisio

 `The Krazy One'  ::--------
->  "To reign is worth ambition, though in hell."   |  UIN: 21267457  <-
-<  "Better to Reign in Hell Than Serve in Heaven"  | ircnet: krazy98 >-
---** The world is coming to an end. Please log off. **---

Ciao end,
 > se non sei paranoico, lascai entrare tutto quelle che viene da
 > flashnet, al massimo se qualcuno ti attacca da flashnet puoi sempre
 > lamentarti con loro! 
infatti, sto provando questa soluzione.
Vedremo....
-- 
Pa.Ped, Como
paolo.p...@flashnet.it

Ciao Marco Pozzato,
 > elegante.  Esistono  ormai diversi  siti che offrono  gratuitamente un
 > servizio di DNS dinamico: ti registri con username e password e scegli
 > un hostname  nel dominio del  fornitore, quando ti connetti  esegui un
 > programmino (perl  o C) che contatta  il server DNS  che provvederà ad
 > aggiornare le sue tabelle associando il tuo IP del momento con il nome
 > che avevi scelto.
cappero, non mi era venuta in mente questa soluzione.
Lo sapevo (dicono tutti cosi':-), ma avevo trovato la cosa non interessante
per l'uso che faccio io di internet.
Provero'.
Grazie.
-- 
Pa.Ped, Como
paolo.p...@flashnet.it