Newsgroup: it.comp.sicurezza.windows
Titolo: Tentativi di intrusione

Ieri sera, a seguito di un vistoso rallentamento nelle prestazioni della
connessione isdn, mi sono accorto che c'era un sacco di gente che stava
ravanando in uno dei miei HD.
Poco male, visto che uso una linuxbox come gateway ho dovuto solo settare un
paio di regole sul firewall e li ho tagliati fuori tutti.
Poi mi sono tolto lo sfizio di andare a vedere chi erano e ho notato che
tutti avevano installato:
OS=[Windows 5.1] Server=[Windows 2000 LAN Manager]
C'e' per caso qualcosa su win2000 che permette piu' facilmente il
"ravanaggio" sugli HD altrui o e' solo un caso?
Per la cronaca, questo e' il log del mio firewall:
Jul  3 22:05:10 P4 kernel: Iptables INPUT packets: IN=ippp0 OUT= MAC=
SRC=151.6.140.41 DST=224.0.0.1 LEN=32 TOS=0x00 PREC=0xC0 TTL=1 ID=2539
PROTO=2
Jul  3 22:21:12 P4 kernel: Iptables INPUT packets: IN=ippp0 OUT= MAC=
SRC=151.6.140.41 DST=224.0.0.1 LEN=32 TOS=0x00 PREC=0xC0 TTL=1 ID=51767
PROTO=2
Jul  3 22:23:04 P4 kernel: Iptables INPUT packets: IN=ippp0 OUT= MAC=
SRC=217.208.104.225 DST=151.25.92.168 LEN=44 TOS=0x00 PREC=0x40 TTL=107
ID=24319 DF PROTO=TCP SPT=139 DPT=1816 WINDOW=17235 RES=0x00 ACK PSH URGP=0
Jul  3 22:24:42 P4 kernel: Iptables INPUT packets: IN=ippp0 OUT= MAC=
SRC=80.117.193.113 DST=151.25.92.168 LEN=60 TOS=0x00 PREC=0x00 TTL=118
ID=62000 PROTO=ICMP TYPE=8 CODE=0 ID=768 SEQ=19485
Jul  3 22:26:51 P4 kernel: Iptables INPUT packets: IN=ippp0 OUT= MAC=
SRC=193.207.176.71 DST=151.25.92.168 LEN=1500 TOS=0x00 PREC=0x00 TTL=249
ID=37320 PROTO=TCP SPT=80 DPT=7731 WINDOW=33580 RES=0x00 ACK PSH URGP=0
Jul  3 22:28:31 P4 kernel: Iptables INPUT packets: IN=ippp0 OUT= MAC=
SRC=62.134.77.134 DST=151.25.92.168 LEN=28 TOS=0x00 PREC=0x40 TTL=107
ID=53191 PROTO=ICMP TYPE=8 CODE=0 ID=768 SEQ=53426
Jul  3 22:34:04 P4 kernel: Iptables INPUT packets: IN=ippp0 OUT= MAC=
SRC=62.101.116.136 DST=151.25.92.168 LEN=60 TOS=0x00 PREC=0x00 TTL=119
ID=40861 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=40899
Grazie.
kalb

 SRC=62.101.116.136 DST=151.25.92.168 PROTO=ICMP TYPE=8
 
altri saluti in icmp (ignora)
in sintesi: secondo me il frullare del disco era dovuto ad una normale
attivita' della tua macchina (tipo un backup avviato con cron).
-- 
a torino siamo piu' fighi: i nostri cantieri sono eventi culturali, mica
dei semplici buchi polverosi da cui esce un rumore assordante!
http://www.comune.torino.it/cantieri/manuale/index.htm

Non si tratta del frullare del disco, si tratta di una decina di connessioni
ESTABILISHED riportate da netstat -a su uno dei pc interni (win98),
stabilite da piu' di qualcuno che stava effettivamente navigando nel mio
HD. Tutte queste connessioni sono sparite dopo che ho impostato sul
firewall del gateway il DROP su tutte le connessioni alla porta 139 che
avevano come IP sorgente uno non appartenente alla rete interna...
La mia domanda era, siccome non ho mai messo le mani su win2000 se
quest'ultimo ha degli strumenti adatti alla navigazione netbios via
internet. Tutto qua.
Grazie comunque.
kalb


 internet.
direi di si


 internet.
Nella barra di explorer, per esempio, puoi dare \\IP.Che.vuoi.frugare
e ti ci connetti via netbios, se le porte sono aperte e le share
senza una password. Per altre info, 
http://www.securfaq.usenet.eu.org/
oppure cerca su Google "share buopillonzi" ;-).
In alternativa da linea di comando eisstono varie possibilità, per
analizzare un IP; prova un NBTSTAT /? o un NET /?
Un Paperino "no, non intendevo NeTSTAT".

 ravanando in uno dei miei HD.
Bisognerebbe che almeno ci dicessi che servizi pubblici offri, ovvero se 
hai webserver,database, mailserver e cose del genere. Inoltre ti 
converrebbe controllare i processi in esecuzione e i servizi 
installati...Almeno cosě puoi toglierti ogni dubbio, le intrusioni sono 
davvero difficili se il tuo sistema č ben configurato.