Newsgroup: it.comp.sicurezza.windows
Titolo: Eliminazione di cartelle con nomi strani

A causa di una cattiva configurazione del firewall, qualcuno si è introdotto
nel nostro server web/ftp, come da mio thread di qualche giorno fa, ed ha
creato delle cartelle con nomi strani tipo  "c:\inetpub\  w 42092\  ,
%d.com1  3.81". Volevo chiedervi cortesemente come fare per eliminarle dato
che il s.o. non mi permette di farlo. Essendo il file system ntfs non ho
potuto utilizzare Dos ed allora ho provato con Ntfs-dos pro, ma nemmeno
questo mi ha dato la possibilità di farlo.
Come fare?
Grazie per l'attenzione.
Piero.

Sentimi bene, Piero, ma chi ti ha messo in mente certe idee?

Di solito quando un *server* viene compromesso e non si sa/può fare
un'analisi approfondita per quanto successo, è preferibile mettersi
il cuore in pace, fare un bel backup dei dati e ripartire da zero.
Possibilmente accertandosi delle vulnerabilità *prima* di rimettere
in linea tutta la baracca.
-- 
Bye by V.

Piero ha scritto:

Cercale nel registro; può darsi che ci sia una voce che ne 
permetta l'eliminazione modificando il valore e riavviando.
Guarda che la cartella inetpub è legittima: fa parte dei web 
servers; per quanto riguarda le sottocartelle non so che dire, 
non me ne intendo di queste cose.
--  
Postato da Virgilio Newsgroup 
http://newsgroup.virgilio.it
Completo come il newsreader, ma senza il newsreader


Monti un bel disco nuovo, e ci reinstalli sopra tutto partendo da copie 
pulite e sicure, che tu hai nel prinmo cassetto della scrivania, vero?
Un sistema compromesso lo si reinstalla, senza nessun dubbio.
E non si ammettono deroghe.
Oltretutto, se non lo fai e ti resta un buchetto che qualcuno continua
ad usare per fare qualche porcheria, ne puoi essere responsabile anche
penalmente.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 penalmente.
Scusate se alla fine troverete questa risposta doppia, ma è passata ormai 
qualche ora e non la vedo nell'ng.
La macchina si trova in dmz e avevo sbadatamente lasciato una policy, che
permetteva tutto da wan a dmz, installata per fare delle prove e mi sono
 dimenticato di toglierla. Adesso ho chiuso tutte le porte all'infuori
della 80 della 21 e la posta, per cui nel caso avessero installato un 
troiano,
comunque non funzionerebbe. Oppure sbaglio? Nel frattempo farei una
 scansione approfondita della macchina con vari tool per scovare software
 maligni e cancellare quelle maledette cartelle se riuscirò mai a sapere
come fare.
 Lo so che una bella formattazione è quello che ci vuole, ma adesso non
posso  farlo. Ho altre priorità. Dopotutto cosa rischio? Che mettano fuori 
uso la
 macchina? Va beh, a quel punto sarei costretto a rimetterla su daccapo.
 Ho ragionato proprio male?
 Vi ringrazio ancora per l'aiuto.
 Piero

 posso  farlo. Ho altre priorità. Dopotutto cosa rischio? 
Da sei mesi a cinque anni, salvo che non si presenti piu' grave reato,
se ricordo bene il 615 quinquies, visto che il tuo sistema puo' essere
stato veicolo di worm o virus, e il non aver tappato la falla ti puo'
portare nello stesso bancone degli autori del fatto, anzi, probabile
che loro non vengano identificati (cina? corea? isole tal dei tali)
mentre tu sei li', servito su un piatto d'argento come esempio del
rigore con cui si puniscono quei pericolosi criminali informatici.
Gia' sei abbastanza nei guai per aver lasciato, per incuria, un buco
nella sicurezza del sistema informatico.
Poi, una volta che sei al corrente del fattaccio, non hai presentato
denuncia, vero? Rischi il favoreggiamento o la complicita'.
Non hai messo in atto misure di protezione, dopo il fatto, nonostante
ne fossi a conoscenza, e potrebbe essere favoreggiamento nella
continuazione e/o reiterazione del reato.
Non sappiamo nemmeno se nel sistema ci sono dati personali o addirittura
sensibili.
La seconda e' una ipotesi abbastanza remota, ma per la prima siamo
praticamente sicuri, gli indirizzi di posta sono dati personali, e
come tali, soggetti al codice sulla privacy, che impone misure di
sicurezza per la salvaguardia dei dati stessi, e siamo sempre nel
codice penale.
Intendiamoci, la cosa non e' detto che sia automatica, e nemmeno
cosi' catastrofica, ma il rischio c'e', e le rogne, se caschi in
una indagine, sono assicurate, mentre la condanna no.
Io, tra rischiare minimo sei mesi di galera e il sito a piedi per una
giornata, non avrei esitazioni.
Se hai altre priorita', beh, vai avanti cosi'.
Di dove sei? Se leggiamo sul giornale qualche notizia, i piu' vicini
di noi possono portarti arance ed altri generi di conforto. ;-)


 di noi possono portarti arance ed altri generi di conforto. ;-)
Va bene, basta!!!.......riformatterò quella macchina lunedì mattina, se nel 
frattempo non sono finito in galera.
Comunque a parte gli scherzi su quella macchina non c'è proprio niente, ne 
dati personali e ne indirizzi di posta ed essendo quindi una macchina molto 
semplice ho potuto stringere il firewall al massimo anche in uscita. Peccato 
che per un paio di settimane è rimasta in vita quella policy sul firewall 
permissiva al massimo.
Ti ringrazio per la cazziata, sei stato molto gentile.
Ciao, Piero.
P.s.
Approfittando ancora spudoratamente della tua disponibilità, gradirei tanto 
che mi dicessi come cancellare quelle dannate cartelle.
Grazie. 

 che mi dicessi come cancellare quelle dannate cartelle.
Prendi una distribuzione linux per il recupero dati, come R.I.P. o
sysresccd.
Ti procuri un paio di dll da un windows xp, che servono a captive
per poter scrivere su NTFS.
Avvii il sistema col cd dentro, e poi fai quello che ti pare con
qualunque cosa sia sul disco.
Io ti consiglio dd if=/dev/urandom of=/dev/hd(iltuodisco) bs=32768
Non vengono via solo quelle directory, ma il risultato e' assicurato.
PS: Per essere davvero gentile, te lo dico: quel comando qui sopra 
riempie di roba random tutto il disco.


 riempie di roba random tutto il disco.
Ma quei punti... ?
Bye, G.


Non ne ho bisogno.
Piero ha gia' dichiarato che lascia in rete una macchina compromessa per
l'intero week-end, e tutto il gruppo la puo' trovare, direi che basta.
Mi piacerebbe sapere se ha la qualifica di sysadmin, o se e' solo roba
artigianale.


 per l'intero week-end, e tutto il gruppo la puo' trovare, direi che basta.
Uhm. Mi era sfuggito il particolare. E ora che ci penso e vedo meglio...
Piero, nella tua città c'è per caso una chiesa con una teca di vetro e
dentro un calice con sopra una specie di sole, e con un contenuto
notevolmente famoso... ?
Un Paperino che nota una strana coincidenza numerica.

 notevolmente famoso... ?
 Mi spiace, non sono credente e non so di cosa parli. Non mi sono mai 
occupato di chiese.
Grazie di nuovo a tutti.
Piero 

 occupato di chiese.
Mi era venuto un sospetto, e cercavo solo di capire se eri di Lanciano.
Bye, G.

Scusatemi se vi ho fatto perdere ulteriore tempo, ma ci rinuncio a capire
come cancellare cartelle con nomi strani. Avevo già fatto delle prove come
da me riferito all'apertura di questo theread e non ci voglio più perdere
tempo.
Grazie ancora per il tempo che mi avete dedicato.
Piero.


 Piero.
da esegui 
command.com
 e poi
del *.* all'interno della directory per cancellare tutti i files
e
rmdir [directory] per eliminare le dirctory
dir per visualizzare i nomi, che vedrai troncati con ~1, ~2, etc.
Disabilita i servizi microsoft verso l'interfaccia Internet, usa 
netscape o mozilla (Firefox), butta via outlook e usa Pegasus Mail
e non avrai piu' problemi.

 e non avrai piu' problemi.
Quella macchina non naviga e non fa posta elettronica.
Grazie, ciao.

 Bho! Non so cosa dire.
Ma hai provato via FTP come dicevo nell'altro post ?
Ora la curiosità ce l'ho anch'io... oh, intanto una me la sono tolta anche
senza la tua collaborazione: 
http://snipurl.com/erdp
 :-P
Bye, G.

 col programma Ntfs-Dos che ti da
Il comando lo lanci da start -> esegui -> command
non ti serve altro. Dal prompt vedi anche le partizioni ntfs.
Puo' essere che ti occorra specificare il percorso completo
che potrebbe essere del tipo .\..\c:\etc. o qualcosa del genere.
Basta fare una ricerca su google.
http://support.microsoft.com/kb/q120716/

 senza la tua collaborazione: 
http://snipurl.com/erdp
 :-P
Non ho affato gradito questo tuo ostinarti a scoprire e soprattutto a
rivelare info riguardanti un server compromesso. Se sei un professionista
del settore, allora ti sei comportato eticamente in modo molto scorretto.
Cosa c'è dietro? Sei per caso interessato? Se proprio ci tieni te ne
attrezzo uno e ti ci faccio divertire. Mi spiace veramente, credevo di avere
a che fare con una persona corretta.

 corretta.
Credi quello che vuoi, ma prima rifletti sui fatti.
Bye, G.


Piero.

 Vedi sopra.
Appunto, anche rileggendo non vedo niente.
Bye, G.

 Di quali informazioni parli ?
La legge sulla privacy è stata aggiornata, ormai da tempo, sancendo che 
anche qualora le informazioni personali siano pubbliche in un determinato 
contesto, nessuno ha il diritto di divulgarle in altri contesti senza il 
consenso dell'interessato. Tu hai fatto sapere a questo ng che io vivo in 
quella determinata città, ascolto blues e vado in montagna. Premetto che non 
me ne frega niente, ma è una cosa scorretta.
Piero. 

 quella determinata città, ascolto blues e vado in montagna.
Ma quando mai ? :-)
Fai bene attenzione:
*IO* ho fatto sapere che mi ero tolto una curiosità.
*TU, ora, in questo NG*, hai fatto sapere queste cose, cose che
peraltro avevi già fatto sapere *TU* in altri NG, che fanno a loro
volta parte di Usenet, quindi nello *stesso* contesto.
Ora, attento alla logica: se mi dici che il secondo te il contesto
è diverso, perché il NG è diverso, rileggi bene i post di *questo*
NG e torna al punto 1.
In questo NG io non ho scritto niente del genere, tu sì.
Negli altri, invece... pure :-)
Un Paperino "testa ho ragione io, croce sbagli tu" :-).

 volta parte di Usenet, quindi nello *stesso* contesto.
Non sono assolutamente d'accordo. Usenet è molto vasta.
Piero. 

 Non sono assolutamente d'accordo. Usenet è molto vasta.
Anche stavolta hai dimostrato che non leggi i post fino in fondo.
Un Paperino e le cattive abitudini.