Newsgroup: it.comp.sicurezza.windows
Titolo: HOW TO FUCK NOBO?

Scusate la domanda imbecille che probabilmente sarà stata fatta già
molte volte :
esiste un programa in grado di rilevare chi ha installato il bo sul suo
pc senza incappare nella trappola di programmi come NOBO che ti loggano
l'IP (sarebbe anche sufficiente un programma in grado di spoofare l'IP
number)
Grazie a chi avrà la magnanimità di rispondere.

l'IP
passi per un pc che non sia il tuo (che abbia bo, netbus, o qualsiasi
altra backdoor che ti permetta di avere una shell) e da li usi il
client bo testuale.
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* Questo non e' un omaggio a Magritte
-----------------------------------------------------------------------

number)
Guarda che ti possono loggare pure tremila volte con NoBo, Bospy,
NukeNabber et similia, ma quei log non hanno valore di prova...sono dei
semplicissimi file .txt che in quanto tali chiunque puo' modificare...
E' come se io accusassi qcn di avere compiuto un furto perche' ho
scritto su un foglietto di carta il suo nome...
Insomma possono avere tutti i log che vogliono, ma se non dai fastidio a
qualche grande azienda o a qualche giudice o famoso avvocato o a qualche
tutore dell'ordine, non rischi un bel niente...
Altrimenti perche' tanta gente sarebbe cosi' incosciente da usare il
bogui ogni santo giorno?
Ciao
Newbie 1.1 che si e' stufato dei log di NukeNabber e delle denunce in
pubblico di chi ti pinga sulla 31337 etc.
P.S. Nel caso mi sbagliassi e foste a conoscenza di qualcuno che e'
stato condannato per avere usato Bo o NetBus con dei privati cittadini,
vi sarei grato se ce ne informaste tutti...altrimenti smettiamola di
fare un inutile terrorismo psicologico....c'e' una piccola differenza
tra usare questi trojan e piazzare un bomba al plastico o fare un
rapina...
Migliaia di persone usano il Bogui ogni sera in Italia: qualcuno e'
stato accusato, processato o condannato?
Basiamoci sui fatti e non su improbabili congetture.

number)
Dunque: spoofare l'IP non si puo', o meglio: tu PUOI mandare un PING di
Back Orifice con indirizzo di provenienza *qualsiasi* (su Linux si puo'
fare, immagino anche con Windows)... ma il boservizzato a chi manda poi
la risposta? All'indirizzo che crede essere vero, cioe' quello falso, e
quindi tu non riceverai mai la risposta.
Vi sono appunto dei buoni samaritani che inviano dialog box tipo "Se mi
stai leggendo, hai il 'Back Orifice'; vai su http://... per sapere come
disinstallarlo", con indirizzo di provenienza 
www.microsoft.com
. Pero',
siccome cio' causa un DoS contro 
www.microsoft.com
, non e' molto legale
neanche questo (se proprio si vuole, usare un IP *scollegato* e che non
risponda).
Quanto al distinguere, non si puo'. Tu, PRIMA invii un pacchetto UDP ad
un computer, senza sapere COSA c'e' su quel computer (per saperlo, ecco
che ti servirebbe di aver spedito qualcosa prima). POI quello risponde,
e dalla risposta capisci cos'hai trovato. Se ti arriva un PONG potrebbe
essere un Back Orifice, un BoSpy, un NOBO o un boclone. Se ti arriva un
denso sbarramento di nukes potrebbe essere bo-stop o boclone. Se infine
arriva un ICMP storm (contro cui ad oggi non ci sono rimedi, ma il lato
buono e' che il PC non si pianta, basta riattaccare), *potrebbe* essere
un plugin particolarmente nocivo di bo-stop o boclone.
E anche se non ti arriva niente, potrebbe essere un PC senza B.O., come
potrebbe essere un PC con boclone che ti logga e fa finta di niente. In
questo caso potresti accorgertene perche' NON ti arriva l'errore, cioe'
un ICMP "PORT_UNREACH"... per fare questo ti serve un programma per Win
che si chiama ICMPWATCH. Pero' e' inutile... ti avverte che l'hai preso
nel gufo quando gia' senti il bruciore, e a quel punto e' tardi.
Per riconoscere i vari 'cloni' del BO e' sufficiente, invece del "PING"
UDP inviare un altro pacchetto, per esempio DIALOGBOX. Boclone risponde
all'incirca cosi':
   Gentile Utente B.O. da 
a-fi7-4.tin.it
 [212.195.14.118],
   la Sua dialog box e' stata registrata.
   Nel ringraziarLa per la preferenza accordatami,
   mi e' gradito porgerLe distinti saluti.
   Back Orifice Simulated Server
   Firenze, Tue Mar 16 09:37:29 MET 1999
Oppure te ne puoi accorgere dalle passwords. Per es., se, collegandoti
ad un PC, risulta:
	username: bettino
	account:  bcraxi
	password: bobobobo
e' (probabilmente) un falso... se non lo e' mandagli un nuke da parte
mia, anzi, prima tira giu' un po' di files .XLS, hai visto mai ;-)
Dopo ti servira' il "programma di protezione", che non e' un software
pero' -- cmq ne hanno una copia in Procura 8-D
Leonardo
".signature": bad command or file name

pincopallino?
/etc/inetd.conf:
telnet  stream tcp     nowait  root    /usr/sbin/tcpd  in.telnetd
Se al posto di in.telnetd ci metti altra cosa in /usr/sbin, che so:
#!/bin/sh
logger "connect to in.telnOt"
echo -e "Slackware Linux 1.2.16 (darkstar; 486 a.out) (ttyp1)\r\n"
echo -n "darkstar login: "
# Wait for login. Any login will do.
read
echo -en "Last login: Wed Sep  2 22:55:58 1998 from 
www.puppecculi.com
\r\n"
echo -en "Murphy's Law: if something looks too simple, you've overlooked
something.\r\n"
echo -en "You have new mail.\r\n"
In nome della bandwidth, non quoto il resto dello script - che comunque
e' solo il disegnino ASCII di una fava stiappona.
Leonardo "il che mi ricorda, volevo randomizzare le ASCII-art..."


Se al posto di in.telnetd ci metti altra cosa in /usr/sbin, che so:
miiiiiiiii non ci posso credere...
e' fantastico... ma qualcuno abbocca?
PS.. grazie come sempre...
=ciao=
NebbiA

 ci vuole ;)
- Miiiiiiii, incidente fu, signor giuddddice! E come potevo sapere che Don
Calogggero, cosi' all'improvviso contro il cofano della mia macchina si
gettasse. Come? Il buco sulla fronte? Ma dopo il nostro piccolo incidente,
sano come matri lo fece era ancora... eh, gira della brutta gggente
oggigggiorno. Amuninne, picciotti.
Max Corleone.
-- 
Emma for President: 
http://www.emmaforpresident.it/
--ICQ: 14816698---Campagna NOTUT: 
http://www.notut.cjb.net-----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------------

 Claude

e' fantastico... ma qualcuno abbocca?
Eccome. Pare la gara di pesca il giorno del santo patrono. Molti
sono cercatori di Wingate, gli arriva il prompt e scappano.
Non ho voglia di montare Wingate per vedere che headers manda, e
scrivermi un clone (con expect, poi, sarebbe una cazzata farlo).
Cosi' mi accontento di farli entrare come utente rut.
+++
Colgo l'occasione per rammentare il guru di Modena, che tempo fa
arrivo' su in.telnetd, lesse gli headers, e in due secondi netti
tento' di loggarsi come
	SE_STAI_LOGGANDO_QUESTO_PRENDI_NOTA_CHE_...
e a seguire una piccola distrazione che avevo fatto, che rendeva
il mio Linux 1.2.qualcosa poco credibile (non ricordo piu' cosa,
forse avevo dato per ELF un kernel che non lo e' mai stato, boh)
...non so chi fosse, ma se mi legge e passa da Firenze, gli pago
una cena.
Leonardo che, non avendoli, ammira la gente con riflessi pronti


zonzo NetBEUI, condivisioni e cazzi vari.
Ambè, e io che mi credevo che se lo auto formattassero per i rimorsi di
coscienza

 wrote:



Pol'essere anche quella!
Leonardo che non pone limiti all'umana provvidenza





Che cos'è UPS?
un gruppo di continuita'
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

Che cos'è UPS?
Acronimo di "Uninterruptible Power Supply". Un gruppo di continuita',
per evitare che l'ENEL ti butti giu' il PC.
BTW (=By The Way, a proposito), quando scrivi messaggi, NON inviare i
testi originali dei messaggi a cui rispondi: sfrondali un po'.
Leonardo


e un ottimo corriere espresso che....
ok, basta ca**ate, ups= gruppo di continuita= se va via la corrente il pc
resta acceso qlc minuto ancora...
ore se la tua azienda ha speso milioni per comprarlo.
--
                      -=>mAyhEm<=-
-------------------------------------------------------
                 Erase NOSPAM to reply
-------------------------------------------------------
  "Non si desidera cio che e troppo facile ottenere"
-------------------------------------------------------
 
http://welcome.to/mayhem_page
-------------------------------------------------------
           Want to talk to me? ICQ 36801768
-------------------------------------------------------

ore se la tua azienda ha speso milioni per comprarlo.
Oh, se usa le batterie da 12 o 24 V standard, si puo' fargli un upgrade
attaccandolo a un pacco batterie per auto o autocarro. Occhio ai rating
del blocco carica-batterie, se la r.i. e' troppo bassa si rischia che a
meta' carica faccia "bang"
Leonardo 8-D
