Newsgroup: it.comp.sicurezza.windows
Titolo: Primo attacco monitorato: Richiesta spiegazioni

Dopo aver attivato Alladin esafe (vers. 2.2), Rainbow Intrusion Detector e
Plasmatek Software Protect X3 (standard edition), mi sono collegato in rete
(in particolare su irc)  per verificare un po' i settaggi impostati.
Gl'ultimi due software monitoravano le porte impostate di default (non avevo
effettuato nessun cambiamento alla configurazione originale).
Su irc sembra che aspettassero proprio me in quanto dopo neanche 20 sec.
Intrusion Detector mi avverte che qualcosa non va ed in particolare nel file
log ottengo:
[Tuesday, April 04, 2000 18:40:08] noted GabanBus,NetBus,Pie Bill
Gates,X-bill(12345) attempt from
h213-24-252.RM1.albacom.net
(213.213.24.252), ident: USERID : UNIX : fsd
[Tuesday, April 04, 2000 18:40:08] noted GabanBus,NetBus,Pie Bill
Gates,X-bill(12345) attempt from 
a-fi13-45.tin.it
(212.216.214.236), ident:no
ident server
Naturalmente ancora sono "scarsetto" sul tema sicurezza quindi se possibile
chiedo a voi il significato. Da quello che ho capito due diverse persone
hanno cercato di "intrufolarsi" (di una il server non e' identificato).
Tengo a precisare che non ho avuto una disconnessione della linea (come
altre volte si era verificato su irc) e che la porta 12345 era disabilitata
in entrambi i sensi (mediante settaggio di Esafe).
Dall'altro software (Protect X3 ) dal file di log ottengo invece:
IMPORTANT NOTICE:
Registration Keys have changed from versions 1.x and 2.x
To obtain a free upgrade send your old Name and Serial
and Order Number to 
upgr...@plasmateksoftware.com
Thankyou for your cooperation
This program is unregistered.
Error Initialising Port 12345
10048 Address in use
Protection Initialised. Waiting For Connections...
Connection Attempted On Port 1080
Connection Attempted On Port 23
Connection Attempted On Port 1080
Malicious Users IP: 213.213.24.252
Time Log: 04/04/00 18.40.12
Sending 50 message(s) to port 1080...
Sent 50 message(s) to port 1080
Connection Closed On Port 1080
Malicious Users IP: 213.213.24.252
Time Log: 04/04/00 18.40.14
Sending 50 message(s) to port 23...
Sent 50 message(s) to port 23
Connection Closed On Port 23
Malicious Users IP: 213.213.24.252
Time Log: 04/04/00 18.40.14
Sending 50 message(s) to port 1080...
Sent 50 message(s) to port 1080
Connection Closed On Port 1080
In questo caso il software non vede l'altro intruso ma mi da (se non
sbaglio) altre informazioni.
Fatemi capire un po' voi (si impara molto di piu' analizzando dei casi
pratici).
Off line ho pensato che avrei potuto smanettare col mirc per verificare i
due indirizzi ip (ma per questa volta non l'ho fatto: mentro ero on-line non
ci ho pensato).
Mi scuso per le eventuali banalita', ma come vi ho spiegato sono un po'
scarsetto su questi argomenti (sto solo cercando di farmi le ossa), penso
cmq di non essere OT (ho sempre pensato che per ogni quesito posto su un NG
ci siano almeno altri 10 lurkatori che sono afflitti dallo stesso dubbio)
Grazie anticipatamente
Elio
PS: Mi scuso per la lunghezza del msg ma ho preferito essere il + chiaro
possibile.

 mentro ero on-line non ci ho pensato).
bastava un ping per sapere a chi corrispondeva quell'IP
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Una volta si diceva t'amero' per tutta la vita. Ma la vita media era di
  45 anni. Oggi e' meglio non sbilanciarsi. 

 Buttha
Leggendo gli altri post ho capito che e' possibile tramite dei spftware
risalire almeno alla zona da cui e' stato sferrato l'attacco (mi chiedevo
qual'e' il nome di questi prg e l'url da dove effettuare il download)
Per quanto riguarda il "ping" ho le idee un po' confuse.....mi spiego
meglio:
nelle sere di gran traffico su irc nella finestra status noto le seguenti
scritte:
"PING?  PONG!"
"PING? PONG!"
a volte subito dopo il "pong" cade la linea.
Per aggiornarmi sull'argomento ho consultato "Reti di Computer" di A.
Tanenbaum (negli ambienti accademici e' considerato un buon libro, ma in
questo caso non ci ho tratto un gran giovamento).
Mi chiedevo se qualcuno puo' delucidarmi in merito.
Ciao e grazie a tutti
Elio
PS: Sapete consigliarmi una mailing list relativa sempre la sicurezza in
rete (piu' si legge e piu' si impara)?

Sorry come fate a sapere tutte queste cose ?
Dove le leggete ?
bye


ma ti preannuncio che verte, soprattutto, sul mondo unix: openbsd,
linux, ecc...
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Errare e' umano; dare la colpa a un altro lo e' di piu'

 Growing Dog
Ottima idea, fammi sapere qualcosa
Ciao e grazie ancora
Elio

 bye
Secondo me a parte le buone letture (McGraw-hill) conta molto
l'esperienza......questi si son fatti le ossa smanettando.
Ciao
Elio
PS: segui il NG perche' si imparono tante cosuccie

 > Dove le leggete ?
NG, faq dell'NG ( 
http://members.xoom.com/gouldukat/
 ), libri, siti web sulla
sicurezza e sull'hacking, mailing list, amici smanettoni, e tanta pratica, che non
basta mai. Come il tempo, porca zozza.
Bye, G.

 Buttha
Grazie per gli ottimi consigli (se pero' entro in una mailing list di utenti
linux e nomino NT.......mi va bene se esco vivo :))  )
Ciao a grazie ancora
Elio


scusate se mi intrometto ma da un po' di giorni mi capita che il modem
si disconnetta da solo, da cosa puo' dipendere?
Non compaiono messagi si disconnete e basta.
--
 Ciao.
       SaMira ^-^
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    FYI: aeiou. sono di troppo nella mia e-mail
|    Is there something I should know?
<<1500 anni fà tutti sapevano che la Terra era il centro dell'universo,
      500 anni fà tutti sapevano che la Terra era piatta...[cut]
              ... immagina cosa saprai domani.>>
                [dal film "MIB - Man In Black"]

 tipo....fai qualche nome
personalmente irc la frequento molto poco.
Cmq 
chat.parsec.it
 nasconde l'IP, per esempio, ma non credo sia l'unico
server a farlo.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Non e' bello ciň che e' bello. Figuriamoci cio' che e' brutto. 

server a farlo.
a dire il vero e' uno dei rarissimi, se non l'unico. una rete che vale
tanto oro quanto pesa e' UNDERNET. un bel salto su 
www.undernet.org
 per
scoprire una rete, che sebbene passibile come TUTTE ai DoS ed affini, ha
una serie di ircop e di gestione canali davvero invidiabile.
della serie: quasi-NO-IRCWAR su undernet ;)
invy

 della serie: quasi-NO-IRCWAR su undernet ;)
certo che irc e' un pianeta a se stante: persone anche di una certa eta'
(leggi: che magari non sono adolescenti) prendono le ircwar molto sul
serio. Per la serie: "c'e' questo gruppo incazzato, hanno intenzione di
venire su questo server; noi li aspettiamo: non avranno vita facile"
hehehehe boh, io queste cose non le capisco. Anche se devo ammettere
che, ogni tanto, vado su 
irc.tin.it
, faccio il join in qualche canale
bello affollato e esco subito dopo. Contemporaneamente guardo i miei log
in diretta e vedo che succede.
Lo faccio ogni tanto, e mi mette di buon umore :)
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* La vita, e' una malattia mortale a lungo termine, trasmessa
  per via sessuale