Newsgroup: it.comp.sicurezza.unix
Titolo: Strani pacchetti da strane porte

Ciao,
ho un firewall in transparent bridge con linux col quale mi trovo benissimo.
Ho aumentato un po' il logging per via di alcuni attacchi in questi giorni e
ho notato dei pacchetti strani:
Oct  9 22:24:18 bridge kernel: SSH CONNECT: IN=br0 PHYSIN=eth1 OUT=br0
PHYSOUT=eth0 SRC=80.XXX.XXX.61 DST=69.50.170.2 LEN=40 TOS=0x00 PREC=0x00
TTL=255 ID=0 DF PROTO=TCP SPT=3072 DPT=22 WINDOW=0 RES=0x00 RST URGP=0
Oct  9 22:56:49 bridge kernel: SSH CONNECT: IN=br0 PHYSIN=eth1 OUT=br0
PHYSOUT=eth0 SRC=80.XXX.XXX.62 DST=69.31.67.2 LEN=40 TOS=0x00 PREC=0x00
TTL=255 ID=50166 PROTO=TCP SPT=3072 DPT=22 WINDOW=0 RES=0x00 RST URGP=0
Partono da macchine diverse, dalla porta 3072 verso IP americani. Ho pensato
a qualcosa di strano, ma sulle macchine non ci sono software particolari, ne
rootkit trovati da chkrootkit.
Cosa può essere? Mi spaventa il fatto che la dport sia la 22, ssh....
Grazie
Bye, Stefano

 PHYSOUT=eth0 SRC=80.XXX.XXX.62 DST=69.31.67.2 LEN=40 TOS=0x00 PREC=0x00
[tato@ulibarra tato]$ host 69.31.67.2 
2.67.31.69.in-addr.arpa. domain name pointer 
login.sh3lls.net
.
E 
http://sh3lls.net
 risponde con un sito di un servizio commerciale che
mi sembra di remote hosting... 
Tu blocca l'accesso a questi siti, poi vedi quale utente si lamenta o
mostra segni di insofferenza... ;-)
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 mi sembra di remote hosting...
L'unico IP che non ho controllato. Si l'accesso ssh è bloccato dall'esterno,
ma per vedere ho messo in log i tentativi che non provengono dall'unico IP
abilitato. La cosa che mi incuriosiva era coem mai non trovato che i
tentativi partivano da dentro verso la porta 22 di quell host invece del
contrario. Mi sarei aspettato che qualcuno su quell'host cercasse di entrare
nella mia ssh, non viceversa.
Eppure sulla macchina non c'è niente di strano....
Bye, Stefano

 Eppure sulla macchina non c'č niente di strano....
Identifica il client che invia questi dati strani e mettilo sotto
osservazione...


TTL=255 ID=50166 PROTO=TCP SPT=3072 DPT=22 WINDOW=0 RES=0x00 RST URGP=0
Probabilmente è il backscatter di un SYN flood fatto con indirizzi
sorgente falsificati.
-- 
ciao, | The Internet is full. Go away.  -- Joel Furr      | #156856496
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it/
         | 
m...@jabber.linux.it

 Cosa può essere? Mi spaventa il fatto che la dport sia la 22, ssh....
Si, ma i tuoi host quali sono, tra quelli che si vedono nei log? Direi
gli 80.XXX.XXX.6Y, a giudicare dal TTL. Il motivo delle righe, quindi,
e', quasi sicuramente, il traffico SYN/ACK di ritorno di un flood o di
una scansione (direi flood) con ip spoofato ai danni di 69.31.67.2 che
sollecita i RST dai tuoi host, e tu vedi qesti ultimi. Mi chiedo quali
criteri di filtraggio e logging siano stati adottati per non vedere il
o "anche il" traffico che genera i RST. Esistono anche possiblita' che
si tratti dell'effetto di una scansione sulle tue 3072, su cui qualche
tempo fa c'era stato un po' di traffico (forse qualche backdoor, o dei
servizi vulnerabili), ma la prima ipotesi mi sembra piu' probabile. Su
isc si notano picchi relativi alla 3072, nelle scorse settimane, ma il
criterio su cui vengono compilate le statistiche non consente di avere
una idea se si tratti di traffico di ritorno o diretto.
Fabio