Newsgroup: it.comp.sicurezza.windows
Titolo: Spoofato??

Un log di CHX-I ha la seg. riga ripetuta 5 volte:
Time Direction Interface Protocol Flags Source IP Source Port Dest. IP Dest.
Port Reason
Time Direction Interface Protocol Flags Source IP Source Port Dest. IP Dest.
Port Reason
2003/12/04 11h:36min:52sec Incoming WAN (PPP/SLIP) Interface (MAC:  ** ** **
**) TCP ACK RST  127.0.0.1    80 MIO_IP 1286 Deny Filter
Il filtro è Deny Spoofed.
Mi devo preoccupare?


:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).

 strano che sia uno spoof).
Se ci vado mi dice 'Connessione al sito 127.0.0.1' 'Dns error' e mi appare
'Impossibile visualizzare la pagina'.
Mi devo preoccupare??
Qual'è l'articolo di Panigatti?
Questa mattina ho fatto la scansione con il Norton ed ha trovato 6 virus
uguali il W32HWLL(qualcosa) virus in file exe scaricati da Kazaa, file sui
quali nn ho mai cliccato .....inoltre ho il Norton sempre aggiornato ed
Attivo.....mai avuti comportamenti strani!
Usando TCP View di sysinternals non ho connessioni ESTABLISHED sospette!
Grazie Leo.
P.S. L'articolo di Panigatti mi interesserebbe!
Ciao!


Č normale da vedere questi "packets"....
http://cert.uni-stuttgart.de/archive/intrusions/2003/08/msg00209.html
Ciao.

 
Nel senso che č naturale che gli amministratori di dns facciano cazzate? :-D

 cazzate? :-D
Insomma ......io non credo di avere il Blaster....sono patchato, penso di
avere tutto sotto controllo......
Mi spiegate un attimo quindi questa cosa?
Grazie :-)

 Ciao.
Ciao Stef, ho capito il problema ma nn credo di essere infettato.
Io non penso di fare Dos verso alcun sito...quindi perchè mi tornano
indietro questi pacchetti?
Grazie Stef!

 wrote in message
news:bqnfch$m4g$1...@news.ngi.it...

È l'opposto.  Qualcuno altrimenti è infettato e ricevete i risultati.....
Like this:
PC1(infected) ---------> SYN SRcAddr= Yours (spoofed randomly)
DstAddr(
windowsupdate.com
=127.0.0.1)
PC1 "scans itself-------->ACK RST vero il tuo IP (srcaddr=
127.0.0.1:80
dstaddr=your IP)
Ciao.

 Ciao.
Oddio, se ho ben capito accade questo:
1. qualcuno genera IP a caso, spoofando 
ad.es
  il mio
2. con questo IP tenta un DOS verso windowsupdate....
3........poi mi perdo....
Aiuto! :-)

 Grazie :-)
Cerca il paper che diceva Leonardo, tra le securfaq (non ho il link a
disposizione) e originariamente postato su sicu.varie.
Cmq, il succo č:
Blaster cercava di DoSsare alcuni siti spoofando il mittente. Alcuni
amministratori di DNS hanno avuto l'idea di impostare i propri dns per
risolvere tali siti sull'ip 127.0.0.1. Cosě le macchine blasterate cercano
di DoSsare sč stesse. Quando lo fanno, il pacchetti di risposta (RST o
SYN/ACK, a seconda del caso) se ne escono dalla macchina e vanno verso
l'ip spoofato dalla stessa (tu in questo caso), risultando generati da
127.0.0.1.
Uno skull di corsa...

 Uno skull di corsa...
....ah!
O_O
Vabbč....nn ci ho capito molto.
Cioč...Blaster su quale macchina? Tali siti quali? Che c'entro io?
Mi manca la teoria......dove posso leggere d + in maniera elementare?
Grazie.

 2. con questo IP tenta un DOS verso windowsupdate....
3. The infected PC scans ITSELF
4. The infected PC responds to your IP (which was spoofed)
Ciao.

 4. The infected PC responds to your IP (which was spoofed)
Technically speaking:
3.
Why the infected pc scans inteself? Does it have something like
windosupdate.com
 =127.0.0.1
in its hosts file?
If it does, shouldn't it find impossible to Dos windowsupdate?
Why should it return me TCP packets with RST/ACK flags?
If it doesn't, it firt reaches Windowsupdate.com, Windowsupdate.com DNS
server resolves this url in 127.0.0.1 and the infected PC updates its host
files and then Dos itself.
I still don't understand why, then, my ip receives this packet.
I think I should see TCP/IP headers to completely understand this fact.
4.
Why does it respond to my ip??
I don't understand the step from point 2 to point 3......
Stef could you please be so kind to explain me this thing in detail?
Thanks a lot!

 cazzate? :-D
Zi. Soprattutto quelli che mettono 127.0.0.1 nel DNS pubblico :-)
Saluti.

 Stef could you please be so kind to explain me this thing in detail?
Se permetti, in italiano :-P
127.0.0.1 corrisponde a "me stesso", fin qui spero che sia chiaro.
Blaster, normalmente, invia SYN da un ip a caso verso 
windowsupdate.com
.
Dato che così 
windowsupdate.com
 viene risolto come 127.0.0.1, blaster
inizia a mandare SYN da un ip a caso verso 127.0.0.1 ovvero la macchina
che lo ospita.
Se costei *non* sta facendo girare un webserver, la macchina risponderà
"ciccia" (ovvero RST/ACK) a chi la ha contattata (ovvero l'ip sparato a
caso). Il legittimo possessore dell'ip sparato a caso, pertanto, si vedrà
arrivare 'sti RST/ACK provenienti da 127.0.0.1.
Se la macchina blastata *ha* un webserver, la cosa funziona nella stessa
maniera, ma si avranno SYN/ACK in luogo degli RST.
E' più chiaro?

 pertanto, si vedrà arrivare 'sti RST/ACK provenienti da 127.0.0.1.
Aaaahhhhhhhhhhhhhhhhh.
Quindi 127.0.0.1 è praticamente l'IP sorgente, il mio IP quello di
destinazione preso da chissà chi e io mi becco tutti sti
RST/ACK.....Normalmente avrei visto un ip valido in luogo di 127.0.0.1 ma
avendo i webmaster fatto sta ciuciata (si dice così?) io vedo un ip
localhost.
Ciapit!
Porc......so de coccio! ^__^
Grazie!
Una cosa ancora: ma a che serve mettere nei propri DNS 127.0.0.1? Cosa fa il
Blaster, aggiorna il file hosts di Windows mettendo la riga
Windowsupdate.com 127.0.0.1?
In questo modo il Blaster nn dovrebbe poi nemmeno + riuscire a contattare il
sito ma rimarebbe confinato nella macchina che lo ospita...Giusto?

 wrote in message
news:bqng3h$ma6$1...@news.ngi.it...
Read this first:
http://www.eeye.com/html/Research/Advisories/AL20030811.html
Now, the mess starts when people made DNS/Host File modifications resolving
msupdate to 127.0.0.1
So...when the blaster is activated:
1. Check for network connectivity
2. Generates pseudo-random addresses to use as source
3. Starts sending SYN packets to 
msupdate.com
4. The query resolves 
msupdate.com
 to 127.0.0.1
5. SYN is sent to loopback (SrcAddr= x.y.z.w DstAddr=127.0.0.1 DstPOrt=80)
6. Loopback responds to x.y.z.w with a ACK RST (srcaddr=127.0.0.1)
7. x.y.z.w sees these ACK RST packets in the logs.
Hope this makes sense.
Ciao
-

 -
Yes, now it's all clear!
Thanks you all!
^__^

 sito ma rimarebbe confinato nella macchina che lo ospita...Giusto?
Il motivo per cui blaster fa tutte 'ste richieste a 
windowsupdate.com
 č
tirarlo giů bombardandolo di richieste (SYN flood).
Il fatto che sia stato risolto come 127.0.0.1 č stata la genialata di
qualcuno per far sě che ciň non accadesse, ed č la "soluzione", non il
problema...
spero sia chiaro...
ciao

 spero sia chiaro...
Si, ma il motivo per cui č stato fatto cosě č che al successivo tentativo il
Blaster risolvesse il sito come localhost e quindi bombardasse la macchina
stessa?

 strano che sia uno spoof).
Leo...se vado li il dns lo risolve come 127.0.0.1.............tutto ok?

 bombardasse la macchina stessa?
Effetto collaterale, l'obiettivo č il fatto che cosě *non* bombardano
chi vorrebbero...

Cavolo che casino che ha fatto sto blaster !!

 Cavolo che casino che ha fatto sto blaster !!
Ahah è vero ma mo ho capito cosa succede cavolo!


Io ho capito circa così:
pc con blaster "attacca" window update che risolve in -->127.0.0.1-->quindi
torna la mittente che lo rifiuta mandandolo al ip generato a caso da blaster
(tra cui io:-))
ho capito nulla?

 ho capito nulla?
tutto...

P.S. L'articolo di Panigatti mi interesserebbe!
http://securfaq.usenet.eu.org
 e guarda in giro :-)
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft