Newsgroup: it.comp.sicurezza.unix
Titolo: cosa è successo ? E' un syn flood?

Ciao a tutti, vorrei un parere su ciò che è successo
scusate la lunghezza del post, ma nel dubbio ho preferito dare tutte le
informazioni del caso
 qualche tempo fa ho istallato nel mio sistema (PII 450 con Suse Linux 6.2:
kernel 2.2.12) il programma "iplogd" (dopo aver letto un'articolo
dell'autore su 
inter.net
). Nonostante non sia praticissimo di linux (sono un
cosidetto newbie di linux) l'ho istallato, configurato per la mia
distribuzione e per l'utente che uso per la connessione internet. Tutto bene
per un pò, anzì frequentando la chat su 
irc.tin.it
 il programmino segnala
effettivamente vari tipi di attacchi sulle porte protette del sistema.
Il giorno 18 novembre stavo istallando un programma, mi mancavano delle
librerie e così senza uscire da root (incautamente lo so) mi collego  a
www.linuxberg.com
 e ad un 'altro paio di siti grossi di programmi per linux.
Dopo un paio d'ore che mi ero scollegato!!! vado ha controllare per puro
caso il log di iplogd (si avvia in automatico quando mi connetto, ma non
l'avevo poi terminato).
Il log misurava già 5 MB (megabyte) ed è arrivato ad 8 MB in un'altra ora
(ne riporto la parte iniziale alla fine del post) e continuava ha crescere
riportando questo rimpallo infinito di pacchetti TCP dalla porta 1035 alla
6000 e viceversa
Il gestore dei processi segnalava che il responsabile era l'utente di
sistema WWWRUN. Io per un pò ho cercato di uccidere i processi, ma questi si
ricreavano. Allora ho riavviato il sistema più volte, ma automaticamente
WWWRUN creava di nuovo gi stessi processi
Sono riuscito ha fermarlo uccidendo sendmail, e di seguito disinstallando
apache, eliminando l'utente wwwrun e cancellando il contenuto della
directory temp (riportata da yast come directory HOME di WWWRUN). Riavviando
la cosa era finita.
Qualcuno mi sa dire cosa è successo, si tratta di un syn flood? (preciso che
non avevo ricompilato il kernel per proteggermi da questo tipo di attacco)
Ho cercato di informarmi per quanto potevo sulla sicurezza di un sistema
linux e ho cercato di renderlo più sicuro (ho eliminato il telnet,
ricompilato il kernel disabilitando tutte le opzioni di rete che non servono
per un computer singolo, ho configurato (spero che serva) ipchains seguendo
le indicazioni di Linux journal per bloccare UDP, TCP e ICMP (tranne 3,4,11)
che cercano di connettersi alle porte fino alla 1024 e i TCP col syn flag
settato fino alla 65535)
Tuttavia non essendo sicuro di cosa è successo per un bel pò non mi sono
collegato ed anche adesso mi collego sopratutto con windows 98 .
grazie a chiunque mi saprà dare una risposta
Per intanti auguri di buon Natale a tutti
Massimiliano
listato iniziale del log di iplogd:
Thu Nov 18 18:54:20 1999:4: loaded 3 entries from /etc/iplogd.conf
Thu Nov 18 18:54:20 1999:4: loaded resolver; cache size now 4
Thu Nov 18 18:54:20 1999:0: iplogd 2.1e started
Thu Nov 18 18:54:20 1999:4: Listening to UDP...
Thu Nov 18 18:54:20 1999:4: Listening to TCP...
Thu Nov 18 18:54:20 1999:4: Listening to ICMP...
Thu Nov 18 19:28:55 1999:2: Spoofed TCP packet (flags=|SYN|;
ports=1035->6000)
Thu Nov 18 19:28:55 1999:2: Spoofed TCP packet (flags=|SYN|ACK|;
ports=6000->1035)
Thu Nov 18 19:28:55 1999:2: Spoofed TCP packet (flags=|ACK|;
ports=1035->6000)
Thu Nov 18 19:28:55 1999:2: Spoofed TCP packet (flags=|PSH|ACK|;
ports=1035->6000)
Thu Nov 18 19:28:55 1999:2: Spoofed TCP packet (flags=|ACK|;
ports=6000->1035)
Thu Nov 18 19:28:55 1999:2: Spoofed TCP packet (flags=|PSH|ACK|;
ports=6000->1035)
Thu Nov 18 19:28:55 1999:2: Spoofed TCP packet (flags=|ACK|;
ports=1035->6000)
Thu Nov 18 19:28:55 1999:2: Spoofed TCP packet (flags=|PSH|ACK|;
ports=1035->6000)

 ports=1035->6000)
Non vorrei errare, ma la versione 2.1e (tu quale usi) di Iplogd necessitava di
una correzzione sul sorgente, suggerita dallo stesso Leo (Leo corregimi se
sbaglio), per cui se il tuo pc avesse :
- 127.0.0.1 (localhost)
- 192.168.1.1 (sk rete)
Iplogd riconosceva i pacchetti provenienti da 127.0.0.1 correttamente, ma NON
quelli provenienenti da 192.168.1.1 che interpreta come "Spoofed TCP packet".
Bisogna quindi che vai a ricercare nel sorgente la condizione ed inserire anche
il tuo indirizzo. Non ho sottomano i sorgenti, se hai bisogno contattami dopo il
Natale.
AUGURI A TUTTI !!!!!!!
Giuseppe Careri

