Newsgroup: it.comp.sicurezza.unix
Titolo: Trappola con hosts.allow

Ciao,
mi e' venuta questa idea....
se e' una cavolata, e' perche' e' tardi...:-)))
altrimenti il merito e' tutto mio.
Allora, in /etc/services c'e' la corrispondenza tra porta/connessione
(TCP/UPD) e programma che gestisce tale servizio.
Esempio:
rtelnet         107/tcp                         # Remote Telnet
rtelnet         107/udp
quindi, se io lo inserisco (rtlenet) in /etc/inetd.conf, del tipo
rtelnet stream  tcp  nowait  root    /usr/sbin/tcpd /usr/sbin/trappola
(trappola e' un mio script arbitrario, anche solo 'echo')
e poi metto in /etc/hosts.allow:
rtelnet : ALL : spawn \
        ( /usr/bin/logger "TRAPPOLA di %d in hosts.allow \: %c %s %h" ; \
          /usr/bin/play /usr/local/dati/audio/wav/2001_ImsorryDave.wav ;\
                ( /usr/bin/safe_finger -l @%h ;         \
                  echo -e "\n---                        \
                  \n client username       \: %u        \
                  \n client information    \: %c        \
                  \n client ip address     \: %a        \
                  \n client hostname       \: %h %n     \
                  \n server information    \: %s        \
                  \n argv[0 ] from daemon  \: %d        \
                  \n process id of daemon  \: %p        \
                  "; echo -e "\n---\n " ;               \
                  echo -e "\n---\n " ;                  \
                ) | /usr/bin/mail -s "%d from %u@%h" root       \
        ) & : DENY
funziona? (la trappola)
TNX  per i commenti
(tutto questo perche' un'altro imbecille ha bussato da me...che palle!:
Jun 11 02:01:00 niels kernel: Packet log: input DENY ppp0 PROTO=6 
212.216.161.240:1536
 
195.191.1.23:12345
 L=48 S=0x00 I=35091 F=0x4000 T=114
Jun 11 02:01:03 niels kernel: Packet log: input DENY ppp0 PROTO=6 
212.216.161.240:1536
 
195.191.1.23:12345
 L=48 S=0x00 I=37139 F=0x4000 T=114
Jun 11 02:01:09 niels kernel: Packet log: input DENY ppp0 PROTO=6 
212.216.161.240:1536
 
195.191.1.23:12345
 L=48 S=0x00 I=43283 F=0x4000 T=114
Jun 11 02:01:21 niels kernel: Packet log: input DENY ppp0 PROTO=6 
212.216.161.240:1536
 
195.191.1.23:12345
 L=48 S=0x00 I=50707 F=0x4000 T=114
Jun 11 02:03:05 niels kernel: Packet log: input DENY ppp0 PROTO=6 
195.210.83.62:1077
 
195.191.1.23:20034
 L=48 S=0x00 I=51456 F=0x0000 T=119
Jun 11 02:03:08 niels kernel: Packet log: input DENY ppp0 PROTO=6 
195.210.83.62:1077
 
195.191.1.23:20034
 L=48 S=0x00 I=57856 F=0x0000 T=119
/var/log# nslookup 212.216.161.240
Server:  
dns1.flashnet.it
Address:  194.247.160.6
Name:    
a-lt4-49.tin.it
Address:  212.216.161.240
tty1.niels:02:20:46:root
/var/log# nslookup 195.210.83.62
Server:  
dns1.flashnet.it
Address:  194.247.160.6
Name:    
ppp-arezzo83-62.iol.it
Address:  195.210.83.62
da tin e iol, tanto per cambiare....
) chiusaparentesi
-- 
Paolo Pedaletti, Como, ITALYa < paolo . pedaletti @ flashnet . it >

 altrimenti il merito e' tutto mio.
Si dovrebbe funzionare... ma io non perdo nemmeno tempo con quelli di
Rin Tin Tin e IOL.. gli bombo il PC direttamente, tanto protestare con
gli amministratori e' inutile perche' se ne fregano, per le vie legali
non ci sono gli estremi, tantoi vale fare come Harry Callaghan... non
e' legale? Me ne sbatto ! A me hanno rotto le balle per cui quando
posso li spazzo via come merdine...
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
<<   Available PGP keys: DSS/DH                   >>

 posso li spazzo via come merdine...
Metti uno script che manda un mail automatico a tin/iol/etc ogni volta
che arriva qualcosa, cosi' magari si accorgono del problema :))
Ciao,
Alberto
-- 
Alberto BARSELLA
PGP fingerprint = 13 3F 22 D2 0B 0A D3 25  F1 89 FE B5 82 AD 75 2A
** Beliefs are dangerous. Beliefs allow the mind to stop functioning.
A non-functioning mind is clinically dead.  Believe in nothing... **

 Ad esempio io ho;
Potresti indicare l'URL?
Valerio

 che arriva qualcosa, cosi' magari si accorgono del problema :))
Se ne fregano, e' inutile.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
**   Addio dottor Mc Coy... e grazie !            **

sono solo delle voci...
a proposito di voci: sono stati fatti vari test con l'IGMP.
Risultati:
win95 subisce un bel freeze... defunge insomma
win98 se ne sbatte altamente
per quanto riguarda linux, si e' verificato che il DoS passa
inosservato attraverso il firewall
Ipotesi mia: se a win95 ci aggiungi un conseal delle ultime versioni,
il DoS dovrebbe non rilevarsi efficace, in quanto conseal ti permette
di bloccare protocolli a lui non noti.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

 di bloccare protocolli a lui non noti.
Mah, considerato che Conseal ha altri exploit, se ben ricordo, posso
continuare a dubitarne?


a proposito di voci: sono stati fatti vari test con l'IGMP.
what's IGMP?

continuare a dubitarne?
no ;)

 Se ne fregano, e' inutile.
L'idea non era quella, e' che ti arriva cosi' tanta roba allora se ne
accorgono perche' finiscono mailbombati. Comunque niente ti impedisce
di bombare il PC E mandare il mail, no? ;)


 no ;)
Beh spiega perche' visto che ho visto passare articoli che citavano
sue esplicite debolezze... motiva cio' che scrivi altrimenti ammetti
di aver scritto una fesseria ;-)


 what's IGMP?
Internet Group Management Protocol. Prova con
http://www.altavista.com/cgi-bin/query?pg=q&kl=XX&q=IGMP


 di bombare il PC E mandare il mail, no? ;)
Oh si di certo... ;-) Ma mi fermo li'... credo forse che non abbia mai
mandato ad 
ab...@tin.it
 un pezzo di log di iplogd per far vedere che un
coglione cercava di rubarmi le passwd di Windous? Credi che abbia mai
ricevuto alcuna risposta? IOL e Tin se ne fregano e basta.


sue esplicite debolezze... motiva cio' che scrivi altrimenti ammetti
1) ammetto di aver scritto esplicite fesserie (ma non solo questa
volta... si vede che mi conosci poco... sono notoriamente poco
affidabile ;)
2) piu' che debolezza di conseal (almeno l'ultima versione che ho
visto) al limite abbiamo una debolezza di win9x a cui conseal mette
pezze, pero' non sostituendosi in tutto e per tutto al sistema
operativo piu' di tanto non puo' fare....
L'unica pecca di conseal di cui sono a conoscenza riguarda il fatto
che tra le opzioni di default ha cose tipo "logga tutto" e "avvisa
sempre", lasciandolo cosi' se riceve parecchie tentate connessioni da
ip diversi e porte diverse, dovendo loggare (o avvisare), inizia ad
occupare sempre piu' risorse finche' ... ciao ciao
se pero' gli si evita la faticaccia del logga tutto e avvisa sempre (e
si modificano un po' le regole in modo che blocchi direttamente senza
chiedere certi tentativi loschi) mi pare funzioni bene.
buttha ci sei? lo hai provato anche sotto sforzo tu?

 buttha ci sei? lo hai provato anche sotto sforzo tu?
Buttha... ma lo sforzo e' con te? 8-)))


Preferisco il mio Linux+Ipchains...
dammi tempo e arrivo, in fondo anche io (da casa) uso linux + il tuo
ipchains ;)

 caso della seconda ipotesi mi suona strano.
ho provato anch'io con un W98, non protetto, e non gli ha fatto 
niente, stessa cosa con NT4 + SP4
      Paolo
 
p.m...@mclink.it

 caso della seconda ipotesi mi suona strano.
Anche a me, eppure.... dopo 50000 pacchetti non crashava ancora...
certo, la rete era inutilizzabile (e vorrei vedere) ma appena terminato
il flood è tornata operativa anche quella.
Ciao,
Valerio

continuare a dubitarne?
no, non puoi ;) Gli unici exploit che trovi contro conseal, fanno
riferimento a versioni vecchie del firewall.
Ho testato personalmente vari programmi che buttavano giu' queste
vecchie versioni, e non mi hanno fatto nulla.
[follow up su it.comp.sicurezza.windows]
[magari la parte che riguarda linux la si puo' continuare a sviluppare
qui]


what's IGMP?
un protocollo utilizzato per il multicasting.
In questo caso, si parlava di un DoS che sfrutta questo protocollo.


buttha ci sei? lo hai provato anche sotto sforzo tu?
si, tutte le cose piu' losche che si potevano provare le ho provate.
Ora conseal e' a posto: c'ha le opzioni log safe e warn safe, che
permettono di loggare o avvisare ogni 2 secondi.
Quindi anche l'attacco con porte casuali e ip casuali non funziona
piu'.
Per qualsiasi esperimento, a disposizione ;)


Buttha... ma lo sforzo e' con te? 8-)))
si, in bagno :)


 ipchains ;)
Io ho aggiunto una semplice regoletta:
        $IPCHAINS -A input -p igmp -s $REMOTENET -d $LOCALNET -l -j DENY
avrei potuto patchare al kernel 2.2.10 ma avendo fatto l'upgrade da
2.2.6 a 2.2.9 solo domenica un po' mi scocciava... con un colpo di
Vim faccio prima ;-)


 si, in bagno :)
ROFLASTC !!!


 niente, stessa cosa con NT4 + SP4
Cio' e' estremamente interessante... uhmmmm....


 il flood è tornata operativa anche quella.
Come dicevo, cio' e' interessante.. mi incuriosisce... occorrerebbe fare
delle ulteriori prove pero' mi compiaccio che una volta tanto WinBug 98
si comporta discretamente.
