Newsgroup: it.comp.sicurezza.windows
Titolo: Honeypot - una porta di miele per gli haker più golosi - fake port

Ricevo spesso e poco volentieri scansioni sul mio n° IP, che cercano una
porta aperta di solito la 12345 oppure 27374. Penso che quasi tutti sappiamo
a cosa servono. Ovviamente la cosa non mi fa piacere, se deve essere un
attacco almeno che sia un po originale e soprattutto ingegnoso, questi
trucchetti sono da lammer.
Ho fatto una piccola ricerca e ho scaricato 4 programmi per honeypot. Li ho
testati e ho deciso che uno in particolare, vista la sua versatilità (ed
essenzialità), poteva essermi utile. (honeypot V1.3 by ap0calaps solo il
nome dell'editore "è tutto un programma")
Ho provveduto quindi a configurare il FW in modo che lasciasse passare le
richieste su queste porte.
Ricevo le richieste e restituisco, a chi mi fa una scansione, un messaggio
di benvenuto abbastanza scoraggiante. Un report mi indica il numero IP della
macchina client.
Vorrei riuscire ad avere più informazioni sul furbone ma per farlo ho
bisogno di costruire uno script che emuli il troiano e che attragga ancora
più nel dettaglio l'orsacchiotto al miele. Sono previste le opzioni per
rispondere ad un qualsiasi comando con un altro comando oppure per eseguire
un comando dopo la connessione. (fin'ora ho trovato script che emulano
telnet oppure un ftp)
Il problema è che non so da dove partire per cercare i comandi da impostare
nello script.
Accetto consigli e ringrazio anticipatamente per qualsiasi info.
sistema operativo w2k
--
Net Runner

 (Shakespeare)

 ha scritto nel messaggio
news:9iv75a...@psycho.sinapsi.net.com...


 ha scritto nel messaggio
news:a5ct3t$6n0k$1...@stargate1.inet.it...


 Giulio
scusa l'intrusione. hai messo a posto il server shy? 
-- 
http://werted.cjb.net

 > Ciao.
Mi sa che stiamo facendo un po di confusione, diciamo che č un virus ma per
chi si connette non per chi lo esegue sulla macchina.
Mi spiego: se provassi ad utilizzare NetBus, sulla macchina client
riceverei, da un antivirus, un messaggio, che bloccherebbe l'esecuzione.
Segnalando come file infetto l'EXE client, ma secondo te sono infetto?
eh eh eh eh ... ovviamente se qualcuno tenta di connettersi alla mia fake
port il suo antivirus segna che un trojano č in esecuzione, in effetti č
cosě la mia porta č infetta da un trojano che cerca di connettersi al PC
attaker!
Se riesco ad emulare con una serie di comandi preimpostati un server NetBus
puň essere che chi attacca si confonda. Per questo chiedevo se qualcuno
conosceva i comandi da utilizzare!!!
DELLA SERIE .... QUANDO SI LEGGONO LE COSE VANNO LETTE DAL PUNTO DI VISTA
GIUSTO !!!    ;-P
Ciao
-------------------------
leave TCP/IP FREE
-------------------------

 Buffer Overflow nei casi peggiori.
Scusate mi sono spiegato male, la rule del FW prevede che l'utente sia
presente sulla macchina per accettare ogni singolo tentativo di connessione,
per cui eventuali esagerazioni di richieste verranno respinte (tipo DoS).
Grazie comunque del suggerimento.
Ciao

> Solo che io ci starei attento a farlo sulla tua macchina....
Potresti quotare in modo piu' umano?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 può essere che chi attacca si confonda. Per questo chiedevo se qualcuno


 Ciao.
Via tra ... pure io voglio stare tranquillo, per questo continuo nella mia
impresa cercando di creare sti fake script.
E' bello sapere che qualcuno di tranquillo c'è almeno non ti sei inventato
cose assurde e supposizioni per prenderti la ragione .... apprezzo.
Ciao e buona navigata!!

 ha scritto nel messaggio
news:_YOe8.17109$Ns4.7...@news2.tin.it...


 CATTIVONE......se ti serve...te lo imeilo...  ;-)))
... finche' non trovi uno davvero cattivo o abile che ti cracca la 
macchina dall'interno della honeypot... uhm, certe cose meglio evitarle, 
IMHO.
Un HappyCactus che e' sempre meglio non andare a stuzzicare certa 
gente...
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus

 gente...
Hai perfettamente ragione nel dire "non stuzzicare certa gente" ma, come ben
saprai, l' "attività iniziale" di "certa gente" è quella di fare del
"gathering information" del sistema preso di mira....quindi...l'utilità di
un fake server può anche essere esclusivamente quella di avvertire il System
Manager.. "Uagliò...qualcuno sta scassando o' cazz....quindi...facimm
ammuina !!!"  .. :-)))
Se poi "dall'altra parte" è solo qualche scripttie kid...bè...tanto
meglio....no?  ;-)
Di +....nun so !!!
Ciao e buona giornata.
Uno Tranquillo.....

 meglio....no?  ;-)
Si, per carita'.... e' molto divertente questo... ricordo di aver letto 
la registrazione di una sessione telnet, in cui root correggeva i comandi 
inseriti dallo script kiddie.... LOL


 inseriti dallo script kiddie.... LOL
......gustoso...hai mai letto il libro "Sulle tracce di Kevin" ?
Bè...Toshiro (o come diavolo si chiamava) è riuscito a "trombare" Mitnick in
questo modo......chiaramente...NON LO CORREGGEVA...e ci mancherebbe
pure.....  ;-))))
Ciao.
Uno Tranquillo..........

 pure.....  ;-))))
LOL... 


 pure.....  ;-))))
Tsutomu Shimomura. Ma non capisco come la vicenda sia riconducibile al post
di HC: Shimomura non era alla console della sua macchina durante l'attacco.
O ti riferisci ai mesi successivi, durante la caccia ?
Se vi interessano le honeypot date un'occhiata ai documenti del progetto
honeynet.
Fabio

 Fabio
...sě grazie...lo conosco..  
http://project.honeynet.org/
   se vuoi te ne
fornisco un'altro di URL
http://www.tno.nl/instit/fel/intern/wkiwid.html
     pieno zeppo di link al
"mondo IDS".
Ciao.
Uno Tranquillo.........

 ha scritto nel messaggio
news:a5is0v$65b8$1...@stargate1.inet.it...


 --
Hai intenzione di continuare a quotare cosi' a cazzo di cane a lungo?
