Newsgroup: it.comp.sicurezza.windows
Titolo: [LUNGO] attacchi, ip e dintorni....

ciao, mi chiamo Paolo e lurko da un pò il gruppo.
Avrei una curiosità.
Premesso che mi collego prevalentemente con Aruba, ma che ho altri account
tra cui uno a pagamento, con Aruba dicevo, è un massacro continuo di
tentativi, ping, scansione delle porte e tutto il corollario.
Il firewall (blackice), fa il suo dovere segnalando e bloccando gli accessi,
ma però siccome a volte e non poche ci sono degli 2scannatori che in mezzora
fanno una decina di tentativi, volevo sapere se esiste un modo... diciamo
incruento, nulla che causi danni, ma soltanto per dire..." ti ho visto,
smettila di rompere...!!!".
Insomma, ho visto per curiosità che molti una volta rintracciato l'IP,
rifacendogli uno scan hanno molte porte aperte che su cui si connette, ed
allora, non c'è modo che con qualche programmino, o con telnet, magari sulla
25 di mandare un segnale, un messaggio, qualcosa che induca a smettere???
Io non credo molto nelle segnalazioni algi abuse, tempo addietro sono stato
soggetto alla sotrazione ed uso indebito dell'accesso alla rete, tracciato e
dimostrato inconfutabilmente con i log del provider contattato.
Ho eseguito denuncia di persona alla sede dellla polizia postale ed il
risultato è stato che passati i sei mesi tutto è andatao in prescrizione con
buona pace di tutti e solo perdita di tempo da parte mia...
Quindi figurarsi se per dei TENTATIVI un provider si scomoda....Grazie e
buon lavoro a tutti...
Paolo

25 di mandare un segnale, un messaggio, qualcosa che induca a smettere???
Il semplice ping o la 'scannata' sulle tue porte protette,
difficilmente si configurerebbe come reato telematico. Invece il tuo
'smettila, non rompere', sì.

 'smettila, non rompere', sě.
Mmmmm... si, ma mi pare di ricordre che i tentativi reiterati e continui
invece siano perseguibili... se poi le "scannate" sono loggate dal firewall
che identifica i tentativi da parte dei vari Subseven ed altri...
 ESEMPIO
(Severity (icon), Time, Attack, Intruder, Count, Parameter(s), Intruder IP,
2, 2001-08-25 01:08:16, SubSeven port probe, 
ns.tv-nexus.com
, 15,
port=1243&name=Sub_7, XXX.XXX.XXX.XXX)
P.s. nel log di esempio, ma reale L'IP ha effetuato 15 tentativi in una
decina di minuti....
Allora il discorso cambia, fermo restando che non creano problemi se non il
fastidio...
E che la mia era solo una questione per far sapere a chi ti martella 10/12
volte in pochi minuti che č ora che la finisca.. punto, nulla di piů.... di
norma gia con la contro scansione L'IP attacante, probabilmente munito di
firewall che segnala, cessa di provare, alcuni invece perseverano... il
problema invece si pone in maniera molto, ma molto minore su connessioni
Tiscali, Libero ed altre.. ripeto č un problema sulle connessioni ARUBA...
su cui lo stafftecnico nonostante diverse sollecitazioni glissa
costantemente.
Ciao
Paolo

costantemente.
la soluzione migliore consiste nel disattivare gli avvisi in tempo
reale e vivere sereni, lasciando al FW il suo lavoro.
alek
-- 
vuoi guadagnare navigando? datti alla pesca d'altura!
 "Ciů un o l'e' grammo e ciů vedde grammi i ätri." (Angelo IDCG)
*aspirante VBI*

costantemente.
Non credo lo staff tecnico possa intervenire su una cosa del genere.
-- 
Lapalissiano
Icq 57269703

 Icq 57269703
*Un firewall in remoto come quello di Galactica? Sono mesi che non ricevo
neanche un ping. Certo, alcune applicazioni non funzionano ma chi se ne
frega, visto che io non le uso.


Puň, puň.... credimi.
Quando ho dovuto fare denuncia alla polizia, mi hanno fornito estremi
telefonici e date  e situazione connessione al volo senza per'altro violare
la privacy, in quanto era inconfutabile la connessione impropria da parte di
terze persone...
Se vogliono ti dicono anche quante volte sei andato in bagno....
Il fatto č che io ora non voglio ciň da loro, ma gradirei sapere il perchč
di certe cose solo sui loro server... e glissano e mi da molto fastidio
essendo io un loro cliente PAGANTE..
Figurati che ridere quando leggo che "ho segnalato all'abuse il tuo account,
perchč hai mandato messaggi OT e cosě ti segano subito..."
Figurati..... non cagano chi paga, pensa per una segnalazione di spam, o di
un OT....
Comunque grazie per l'interessamento.
Ciaooo
Paolo

frega, visto che io non le uso.
Esattamente quello che intendevo. Per attivare una cosa del genere
credo (o meglio spero) che serva un  contratto diverso col provider.
-- 
Lapalissiano
Icq 57269703

 smettila di rompere...!!!".
c'è scritto anche nelle FAQ.
scaricati NetCat per Windows, si trova con una ricerca.. o sul sito dei
l0pth.
metti nc.exe in una directory del path, tipo Windows, poi lancia da una
finestra del DOS:
echo OH, LA SMETTIAMO DI ROMPERE? | nc -v -l -p 27374
Netcat si mette in ascolto sulla porta 27374 (Sub7) e aspetta.
questa funziona per i pingatori che usano SubSeven. Apparirà nella status
bar la simpatica frasetta. Lancia altre finestre per le porte delle altre
backdoor, sostituendo il numero della porta in ascolto.
--
LZP
mail: 
l...@libero.it
CDex in italiano e le FAQ di it.comp.software.emulatori su:
http://digilander.iol.it/lzpsite/

Io vi posso dire quello che disolito faccio io. Innanzitutto penso che la
maggiorparte dei pingatori sia gente poco esperta: uno bravo di scansioni ne
fa poche.
Sono sulla rete interbusiness e vi posso dire che il mio Zone alarm ne
segnala di accessi alla porta HTTP. Io per tutta risposta gli faccio una
scansione e scopro che hanno aperto di tutto! Ogni tanto gli faccio un ftp e
scopro che lasciano in bianco la password di Administrator, ecc, ecc, ecc...
Morale, e so che sono in molti (a volte il Pc ha il nome del proprietario e
con un traceroute si è in grado di conoscere anche la città o la regione di
dove abita il coglione)... meglio stare alla larga dai PC altrui perche
sulla rete non si sa mai con chi si ha a che fare.

scansione e scopro che hanno aperto di tutto! 
Non fatico a crederlo: probabilmente sono quelli che si sono fatti
infettare da code red...
-- 
Lapalissiano
Icq 57269703

 o sul sito dei l0pth.
http://www.atstake.com/research/tools/index.html
Conosci controindicazioni o conflitti con altri programmi?
-- 
Bye by V.

 Conosci controindicazioni o conflitti con altri programmi?
assolutamente nessun problema.


 sulla rete non si sa mai con chi si ha a che fare.
Stacca i cavi di rete.... :)
--
Mrc777
mrc_...@yahoo.itNOSPAM
togliere nospam per rispondermi --
Stetoscopio: tuz...tuz...tuz

 decina di minuti....
Quella e' attivita' normale. Se ricevessi (decine di) migliaia di
tentativi al minuto allora il discorso cambierebbe, in quanto potrebbe
essere un tipo di DoS che per esempio mira a farti crashare il firewall
costringendolo a consumare tutte le risorse di sistema mentre tenta di
loggare il tutto (e certi firewall in certi casi non solo vanno giu' ma
tirano giu' tutto il sistema), o a riempire tutta la partizione che
ospita il file di log. Quest'ultimo e' fra l'altro uno dei motivi per
cui e' Male avere tutto il sistema (Windows o Unix) in una sola
partizione, un attacco di questo tipo e ZAC! hai c: o / piena e il
sistema va giu' (mai ricevuto il messaggio "no space left on device"?
non riesci piu' a fare letteralmente NIENTE, nemmeno quasi lanciare lo
shutdown).
Comunque questa sopra era una digressione. Se i pacchetti che ricevi
sono nell'ordine di 15 in 10 minuti, puoi tranquillamente ignorarli.
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://www.agora.it/M.Baldinelli/securfaq/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/


...era un consiglio... e un metodo che seguo.

 shutdown).
scusa, ma il sistema non preserva apposta il 5% di ogni partizione in
modo che root, che e' il *proprietario* di quel 5%, riesca a tirare su la
macchina e svuotare i log?
-- 
   ___         (o_
   |_|         //\
   | |ndry     V_/_ Linux Newbie (quasi User :-) ), RH 7.1 (Seawolf)
                    Linux User #221457

 frega, visto che io non le uso.
Se e' per questo, sono mesi che non ricevo port scan sul mio account su
libero. Mi stupisce molto infatti quando sento dire che su #italia, ad
esempio, si subiscono portscan feroci... a me, invece... nulla! :(
-- 
Ciao!
HappyCactus

 ospita il file di log.
E se disabilito il " Log alerts to a text file " ?
--
Stardust®

 macchina e svuotare i log?
Ah, per completezza devo dire che non erano macchine Linux. Si', mi e'
capitato un paio di volte anche sul pinguino (a casa e in azienda) ma
quelle a cui mi riferivo erano macchine con SCO o il vecchissimo Xenix.
Mi ricordo che in un caso dovevo digitare i comandi alla cieca, per via
del messaggio sparato di continuo, ed erano /tmp e /var/tmp piene di
rumenta.


 quelle a cui mi riferivo erano macchine con SCO o il vecchissimo Xenix.
quanto mi sarebbe piaciuto lavorare su macchine del genere, le uniche
macchine Unix su cui ho messo le mani solo una Sun Ultra 5 con Solaris e
delle workstation HP :-(


 E se disabilito il " Log alerts to a text file " ?
Allora non rischi di trovarti qualche centinaio di mega di ZAlog.txt.

 delle workstation HP :-(
L'unica rottura di palle che avevi (e hai ancora, su SCO) e' che non
puoi richiamare i comandi dati in precedenza con freccia su/giu'. La
shell non ha (o almeno non ho mai cercato bene su TFM se ce l'ha) quella
funzione tanto comoda su Linux, ma sembra proprio non processare i tasti
cursore, cioe', premi freccia su e il cursore va una riga su, come sul
Commmodore... e al successivo comando ti trovi sparata a inizio riga una
bella stringa con la seq. di escape del tasto "freccia su" (e un bel
File not found ovviamente). Risultato: se scrivi comandi del tipo
uucp -m -j /usr/path/lunghissimo/ma-con.un/car_sbagliatp.tar.gz
           remoto!/tmp
("File not found" - # ARGH!!!)
devi riscrivere tutto da capo.


 devi riscrivere tutto da capo.
anche su Solaris e' cosi' per default, io pero' uso la bash anche li :-)


 :-)
Ma hai dovuto ricompilarla dai sorgenti?

 Ma hai dovuto ricompilarla dai sorgenti?
io la macchina l'ho trovata gia installata, ho solo lanciato bash e
mi e' apparsa in tutto il suo splendore :-)


 mi e' apparsa in tutto il suo splendore :-)
<gianfilippo>
Fortunello!
</gianfilippo>
