Newsgroup: it.comp.sicurezza.unix
Titolo: ho subito un'intrusione?

Salve.
Ho una adsl gratis per 2 mesi (la promozione telecom) cosi' ne
approfitto e tutte le mattine accendo la macchina di casa in modo
da potermi collegare ad essa da remoto tramite ssh.
Ho linux debian woody.
Negli ultimi tempi e' successo che improvvisamente la macchina si
bloccava rendendomi quindi impossibile la connessione.
Rientrando non potevo far altro che resettare.
Guardando il syslog ho notato una serie di caratteri strani che
riporto:
Apr 12 08:26:47 msan ippl: www connection attempt from 127.0.0.1
Apr 12 08:26:47 msan tcpspy[380]: disconnect: user www-data, local 
127.0.0.1
:
www, remote 
127.0.0.1:3761
temn^@Ü^@^A^A^@^@^@E^E^@^@^N^A^@^@^@^@^@^@U^B^@^@^A^@^@^@Ņ^E^@^@Ø^C^@^@^@^
@^@^@^P^@^@^@^C^@^@^@ë^E^@^@.^G^@^@^@^@^@^@^^A^@^@^P^@^@^@P^T^@^@ņ,^@^@^
@^@^@^@r^@^@^@^K^@^@^@k^T^@^@Ą ^@^@^@^@^@^@P^@^@^@^K^@^@^@l^T^@^@E ^@^@^
@^@^@^@B^@^@^@^X^@^@^@m^T^@^@.B^@^@^@^@^@^@[^@^@^@^P^@^@^@.^T^@^@ņ,^@^@^@^@
^@^@r^@^@^@^K^@^@^@ ^T^@^@Ą ^@^@^@^@^@^@P^@^@^@^K^@^@^@Ą^T^@^@E ^@^@^@^@^@
^@B^@^@^@^X^@^@^@Ē^T^@^@.B^@^@^@^@^@^@[^@^@^@^@^K^@^Agtkmenuitem#^@(^@^A^B
^@^@^@p^T^@^@f^F^@^@^@^@^@^@ĩ^@^@^@^B^@^@^@Ĩ^T^@^@f^F^@^@^@^@^@^@ĩ^@^@^@^@^
L^@^Agtkmenugetat^@(^@^A^A^@^@^@p^T^@^@3^C^@^@^@^@^@^@ĩ^@^@^@^A^@^@^@Ĩ^T^@^
@3^C^@^@^@^@^@^@ĩ^@^@^@^@
Apr 12 08:26:47 msan ippl: www connection attempt from 127.0.0.1
Apr 12 08:2^@^@^@^@^@^@^@^@ o^@^@.o^@^@Ąo^@^@^R^@.^@^A^E
^@^Agtkmmdevel^@^A^A^T^@^A^B^@^@^@.1^@^@.^D^@^@^@^@^@^@ō^@^@^@g ^@^Agtkmm1251^
T^@^A^B^@^@^@.1^@^@.^D^@^@^@^@^@^@ō^@^@^@^B^H^@^Agtkmm125^@^T^@^A^B^@^@^@.1^@
^@.^D^@^@^@^@^@^@ō^@^@^@^@^G^@^Agtkmm12^@>^T^@^A^B^@^@^@.1^@^@.^D^@^@^@^@^
@^@ō^@^@^@^@^F^@^Agtkmm1^@^AgP^@^A^C^@^@^@.1^@^@.  ^@^@^F^@^@^@ĩ^@^@^@^U^@^@^
@.1^@^@Š,^@^@^@^@^@^@w^@^@^@^A^@^@^@îG^@^@^U^@^@^@^@^@^@^@O^C^@^@^A^@^@^@ïG^
@^@^L^B^@^@^@^@^@^@Ü^A^@^@O^E^@^Agtkmm(^@^A^A^@^@^@m^T^@^@f^@^@^@^@^@^@^@.^C^
@^@^A^@^@^@Ē^T^@^@f^@^@^@^@^@^@^@.^C^@^@^A^L^@^Agtkmiscsetpaŋ(^@^A^A^@^@^@m^
Secondo voi c'e' stato un tentativo di intrusione?
Come dovrei fare per averne la certezza?
Spero si tratti solo di uno sbalzo di tensione.
Grazie.

Personalmente non penso sia uno sbalzo di tensione. Temo invece (e spero per te che invece qualcuno mi smentisca) che sia proprio un tentativo di intrusione. Sembra che sia un tipo di attacco (vado a spanne) diretto ad un presunto web server sulla tua macchina, usando l'indirizzo spoofato di localhost. Effettivamente e' un po' strano come log...
Fossi in te farei girare uno sniffer impostando un filtro adatto e mi guarderei i risultati con moooolta pazienza. Lo sniffer potrebbe essere tcpdump e il filtro una roba tipo
tcpdump -F <nomefile> not host <ip che usi da remoto>
in modo da eliminare le tue connessioni.
Poi ti guardi il file per esempio con ethereal e ti ciucci tutti i log pacchetto per pacchetto. E' un lavoro da certosini, ma se succedesse a casa mia mi aumenterebbe il grado di pazienza...
--
Dario Lombardo
Centro Sicurezza Be-Secure
TILAB - Telecom Italia LAB


 Apr 12 08:2^@^@^@^@^@^@^@^@ o^@^@.o^@^@︽^@^@^R^@.^@^A^E
        ^^^^^^^^^^^^
Come puoi vedere sia l'indirizzo locale sia l'indirizzo remoto e'
127.0.0.1 e quindi e' avvenuto tutto il locale. A me sembra che
questo log sia semplicemente corrotto: contiene qua e la pezzi di
codice scritto per le librerie gtk. Probabilmente e' un problema
di software piu' che di sicurezza.
D'altronde non hai fornito molti dati: hai effettivamente un server
web? Cosa stavi facendo quando c'e' stato il crash? www-data e' un
utente locale di debian, se non sbaglio: che processi hai che girano
con quei privilegi?
Fabio

 con quei privilegi?
Allora, ho un server web, apache che gira con i privilegi dell'utente
www-data.
Le connessioni da localhost su www ogni giorno sono tantissime e 
ancora non me le spiego.
So solo che sono iniziate da quando ho installato tomcat.
Quando e' avvenuto il blocco della macchina io non ero presente
percio' non so cosa stesse effettivamente accadendo.
Ciao.

> tcpdump -F <nomefile> not host <ip che usi da remoto>
Perche' tcpdump -F? 

 Perche' tcpdump -F?
Secondo me era "-w nome_file".
Aggiungo a questo punto un "-s 1500".
-- 
* Cristiano Deana - Amante del demone rosso col forcone in mano *
* Wind*ws non danneggia, i formati proprietari si'. Boicottali! *
* Il tuo HTML si e' mangiato la banda che serviva al mio reply! *

, 
li...@freemail.it
 says...


 effettivamente il tuo sistema e' stato compromesso....
Potresti anche utilizzare chkrootkit, non l'ho personalmente mai 
utilizzato, ma sulle ML se ne parla abbastanza bene.
BTW, mirco, potresti quotare, grazie?
-- 
HappyCactus - Registered Linux User #209744
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons