Newsgroup: it.comp.sicurezza.unix
Titolo: La Telecom mi spia?

Scusate per la domanda stupida, ma guardandomi il log di Apache, noto una
sfilza interminabile di comandi GET provenienti dalla Telecom
82.51.21.69 - - [19/Jun/2005:18:43:21 +0200] "GET / HTTP/1.0" 200 595 "-" "-"
Ho verificato l'indirizzo (cosi' come molti altri simili)
82.51.21.69 
e visto che era un indirizzo assegnato alla Telecom Italia.  Ho l'ADSL da
almeno tre anni, ma non mi era  mai capitato di osservare una cosa del
genere. Perchè alla Telecom interrogano in continuazione il mio web
server (o il mio indirizzo IP?, che comunque e' dinamico)
Ad ogni modo, eseguendo in locale uno dei comandi 
GET / HTTP/1.0" 400 2073 "-" "-" > get.html
che ho preso da una riga del file access_log
82.51.127.171 - - [02/Jun/2005:09:41:16 +0200] "GET / HTTP/1.0" 400 2073
"-" "-"
il risultato e' stato che tale comando visualizza l'elenco delle directory
del mio computer, ma la cosa piu' interessante e' che tale file conteneva
nella seconda parte una pagina web di un sito sconosciuto.
Insomma, non so cosa sia successo e come difendermi.
Qualche consiglio?
 Ecco il risultato dell'interrogazione
Query the RIPE Whois Database
Search for			
% This is the RIPE Whois query server #1.
% The objects are in RPSL format.
%
% Note: the default output of the RIPE Whois server
% is changed. Your tools may need to be adjusted. See
% 
http://www.ripe.net/db/news/abuse-proposal-20050331.html
% for more details.
%
% Rights restricted by copyright.
% See 
http://www.ripe.net/db/copyright.html
% Note: This output has been filtered.
%       To receive output for a database update, use the "-B" flag.
% Information related to '82.50.0.0 - 82.51.255.255'
inetnum:      82.50.0.0 - 82.51.255.255
netname:      TELECOM-ADSL-4
descr:        Telecom Italia S.p.A. TIN EASY LITE
country:      IT
admin-c:      BS104-RIPE
tech-c:       BS104-RIPE
status:       ASSIGNED PA "status:" definitions
remarks:      ##########################################
remarks:      Pay attention
remarks:      Any communication sent to email different
remarks:      from the following will be ignored!
remarks:      Any abuse reports, please send them to
remarks:      
ab...@retail.telecomitalia.it
remarks:      ##########################################
mnt-by:       TIWS-MNT
source:       RIPE # Filtered
person:       BBBEASYIP STAFF
address:
address:      Via Val Cannuta, 250
address:      I-00100 Roma
address:      Italy
phone:        
+39 06 36881
e-mail:       
ripe-...@telecomitalia.it
nic-hdl:      BS104-RIPE
source:       RIPE # Filtered
% Information related to 'BS104-RIPE'
route:        
82.51.0.0/16
descr:        INTERBUSINESS
origin:       AS3269
mnt-by:       TIWS-MNT
mnt-routes:   INTERB-MNT
source:       RIPE # Filtered
-- 
Confucio: "Se ascolto dimentico, se vedo ricordo, se faccio capisco"
Go to 
http://www.surveysavvy.com/?id=2030157
 and click on 'Join'.

 
Secondo me, si tratta di qualcuno che usufruisce dell'ADSL Telecom (dal
listato che hai incluso nel post sembra evidente), non Telecom stessa.
Io proverei a segnalare la cosa all'abuse di Telecom.
Saluti

 listato che hai incluso nel post sembra evidente),
Per la precisione credo che stia utilizzando Tin (quindi non l'ADSL Alice ma 
l'ADSL di Tin).

 nella seconda parte una pagina web di un sito sconosciuto.
Se intendi che ti viene riportato nel campo HTTP referrer un sito altro 
sconosciuto, sei di fronte a "normale" spamming attuato per tramite di 
open-proxy/zombie:
http://www.spywareinfo.com/articles/referer_spam/
 (trovato a caso su 
google cercando "HTTP referrer spamming")
Insomma, nulla di mirato a te.
(il fatto che, se ho capito bene, hai un server HTTP con Indexes 
attivato su tutta la DocumentRoot è un altro discorso..)
Bye...
-- 
Здрасти!
cat: .signature: No such file or directory

 
Arghhh.... dici che ho fatto male ad accettare?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
A Milano 3 ci sono delle zanzare cosi' grosse che quando c'e' la nebbia
le fanno atterrare alla Malpensa.
		-- Gene Gnocchi

 Bye...
Grazie,
Frank


Ecco, ci sono riuscito a ricreare quel file, dando il comando in locale
GET / HTTP/1.0
ottengo la seguente pagina (la seconda parte, diciamo)
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Frameset//EN"
"
http://www.w3.org/TR/html4/frameset.dtd
">
<html>
<head>
<title>SearchMachine.com</title>
<META NAME="Keywords" CONTENT="">
<META NAME="Description" CONTENT="">
<script language="JavaScript" src="
http://www.registrarads.com/adpopup.php?n=a43
27b18&amp;what=zone:12&amp;target=_blank&amp;popunder=1&amp;left=300&amp;top=250
"></script><script language="JavaScript" src="
http://www.registrarads.com/adpopu
p.php?n=a4327b18&amp;what=zone:12&amp;target=_blank&amp;popunder=1&amp;left=300&amp;top=250"></script><script language="JavaScript" src="
http://www.registrarads.com/adpopup.php?n=a07d3b1b&amp;what=zone:40&amp;target=_blank&amp;popunder=1&amp;left=500&amp;top=100
"></script>
</head>
<frameset frameborder="0" framespacing="0" border="0" rows="100%,*">
    <frame name="MYTOPFRAME" src="
http://www.searchmachine.com/index-http.html
"noresize>
    <noframes>
        <body>
           <h1>SearchMachine.com</h1>
           <br>
           <br>
           <br>
           Click here to enter <a href="
http://www.searchmachine.com/index-http.html
">
http://www.searchmachine.com/index-http.html
</a>
           <hr>
| Domain Name Registration and Domain Name Forwarding by <a href="
http://www.mydomain.com
">
mydomain.com
 - Register your domain name</a>
        </body>
    </noframes>
</frameset>
</html>

 ho lasciati cosi' come erano nel comando.
Quello non è un comando. E' una richiesta HTTP ricevuta da apache.
Nella fattispecie appare come la normale richiesta di un browser (o di 
qualsiasi altra cosa in grado di parlare HTTP, ivi compreso un essere 
umano con una sessione telnet aperta) che richiede la home page.
400 è il codice HTTP con cui apache risponde (che equivale a "pagina 
trovata"), 2073 è la dimesione in byte di tale pagina fornita in risposta.
Il primo "-" è il campo referrer cui mi riferivo (corrispondente alla 
pagina da cui il browser arriva, ovvero quella che ti linka, in un uso 
non "malevolo"). In questo caso è una richiesta diretta.
Il secondo "-" è il campo riservato allo user-agent, ovvero la stringa 
identificativa che il browser ha fornito di sè (Explorer? Mozilla? 
Windows? Linux? CP/M?)
Consiglierei una pesante ed istruttiva seduta informativa sull'intera 
documentazione dello strumento di cui ti stai "occupando", partendo da qui:
http://httpd.apache.org/docs/logs.html#combined
Saluti


 trovata"), 2073 è la dimesione in byte di tale pagina fornita in risposta.
Sorry, fault.
200 pagina trovata.
400 bad request.
ri-bye



 
ciao a tutti,
just for information.....come si fa ad avere le liste sempre sott'okkio ed
aggiornate?
controlli capillari accurati sul sito di sorbs oppure ce sta un metodo piu
intelligente?
P.S.:chiaramente se ho un mail server impostare i parametri come
indicato....ma se devo giusto controllare sporadicamente...che se fa?
Merci
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 indicato....ma se devo giusto controllare sporadicamente...che se fa?
Installa rblcheck, se hai un client *nix.
Su windows nin zo.
Online c'è 
http://www.dnsstuff.com/
 ma usa talmente tante liste (per lo 
più inutili) tutte insieme da essere quasi incomprensibile.
-- 
Здрасти!


 un metodo piu intelligente?
rblcheck -q in cron
Fabio

Scusa, mi sai dire cosa significa una riga del genere
83.176.81.35 - - [21/Jun/2005:18:40:55 +0200] "CONNECT 
207.46.133.140:21
HTTP/1.0" 403 350 "-" "-"


 
Qualcuno ha cercato di forzare il tuo server ad usare il metodo CONNECT 
per contattare la porta FTP di 207.46.133.140.
Ha ottenuto per risposta l'error code 403, ovvero "Forbidden request".
Ne vedo passare qualche centinaio al giorno. Per lo più sono BOT di 
spammer che cercano proxy aperti da sfruttare.


 Grazie per una eventuale risposta

 metti a posto il tuo apache per non far visualizzare le directory
Allora, io faccio GET / HTTP/1.0 e mi viene generato il seguente file

che e' l'home page di 
searchmachine.com
Ora, come puo' succedre tecnicamente una cosa del genere? Come faccio a
far disabilitare la visualizzazione delle directory in Apache? Io uso
Apache solo per sperimentare delle pagine php che accedono ad un database
MySql.
Grazie per una eventuale risposta
Frank


 nella seconda parte una pagina web di un sito sconosciuto.
normali script che cercano proxy aperti.
metti a posto il tuo apache per non far visualizzare le directory
-- 
Cristiano Deana, Biella.
Membro del G.U.F.I., Gruppo Utenti FreeBSD Italia
http://www.GUFI.org/
 && 
http://utenti.gufi.org/~cris/
ML gufi: 
http://liste.gufi.org/
 && Search: 
http://www.gufi.org/GUFI/cerca

 Cesare


 su tutte le porte o su porte particolari
Ma questo cosa centra con quello che ha chiesto?


 far disabilitare la visualizzazione delle directory in Apache? Io uso
1a) httpd.conf, cerca Indexes. Vai sul sito di apache per capire cosa stai
facendo
oppure
1b) metti un file index.html vuoto in quella directory
2) controlla di non avere il modulo del proxy caricato e abilitato
piuttosto. QUELLO potrebbe essere un problema


 piuttosto. QUELLO potrebbe essere un problema
Ora controllo.
FRANK


Scusa, una domanda ancora, ma a te, il comando GET / HTTP/1.0 cosa ti
restituisce?


> Ma questo cosa centra con quello che ha chiesto?
Nella soluzione "1" che accedino client non richiesti alle pagine (o
directory) e "2" che la macchina sia utilizzabile da altri client sulla
porta 80. Normalmente la soluzione "1" per limitare gli accessi alle
directory di sviluppo (mi pare che abbia detto che la configurazione di
apache era utilizzata per analizzare script PHP verso un database MySQL)
che, proprio per via di un ambiente magari non molto protetto, può avere
ripercussioni sull'accesso a base dati. La soluzione "2" normalmente
utilizzata per limitare l'uso fraudolento di una macchina connessa a
internet (o intranet o comunque in ambiente connesso)...
Ho avuto modo di vedere che la soluzione "1" se non applicata può far
accedere persone non volute a dati sensibili o senza requisiti di accesso e
il secondo a svariati sistemi poichè le macchine non protette possono essere
utilizzate come ponte (come del resto il sever di "francesky" è stato
oggetto di scanning di "open-proxy")...
Due soluzioni plausibili, che non spiegano la descrizione del log
(ampiamente discussa) ma danno soluzioni ad ampio spettro.
Just 2 my cent
Cesare

 MySql.
Personalmente suggerirei di far ascoltare il demone solo sul loopback,
basta modificare la direttiva "Listen" di httpd.conf in "Listen 127.0.0.1"
naturalmente per accedere al servizio devi usare quell' indirizzo, inoltre
è accessibile solo da locale, il chè può essere uno svantaggio o
vantaggio. 
Dipende da chi deve potersi connettere al demone.
Se ti serve che qualche macchina esterna si possa connettere al server
aggiungi una voce a /etc/hosts.deny "ALL:ALL" e poi aggiungere a
/etc/hosts.allow "http:IP_AUTORIZZATO".
Comunque un firewall non è una cattiva idea seppur non sia la panacea per
tutti gli attacchi di rete.
Ciao