🚀 go-pugleaf

Dnia śro, 10 mar 2004 o 03:50 GMT, na grupie pl.news.mordplik 
użytkownik maciek kanski spłodził co następuje:

> Właśnie z przeróżnych stron świata (również Polska) dochodzą do mnie maile z 
> domen t-online.de oraz seznam.cz. Można maile blokować po domenie, po IP raczej 
> nie, bo jest ich wiele. Przeskanowałem sobie parę komputerów nadawców; są to 
> maszynki z dużą ilością otwartych portów (brak firewalla widać od razu), a ich 
> częścią wspólną jest to, że działają pod produktami M$a (139 otwarte) oraz 
> posiadają otwarty 445.
> 
> Wpadłem właśnie na taki pomysł: przed przyjęciem poczty z danego hosta upewniamy
> się, że nadawca ma zamknięty 139 port. Przydałoby się jakieś inteligentne 
> synproxy na firewallu, aby nie obciążać serwera pocztowego.
> Jeżeli admin serwera, z którego list wychodzi posiada Windowsa i nie 
> zabezpieczył go firewallem to z góry dziękujemy za kontakty z takim 
> człowiekiem, ponieważ na 99% ma u siebie kupę zombie, trojanów i wirusów.
> Jeżeli ktoś wie jak coś takiego rozwiązać (pod Linuxem) to proszę o informację.

A co jeśli ktoś celowo wystawił 139 na świat? Dlaczego niby miałbyś posyłać
poczte z serwerów z odpaloną sambą na /dev/null ??  


-- 
Piotr Górski
Jeśli chcesz zwiedzić świat - zostań pakietem w TPSA!

Wed, 10 Mar 2004 02:50:17 +0000 (UTC)      
maciek kanski <nie.dorobilem@sie.maila>   napisał(a):

> Właśnie z przeróżnych stron świata (również Polska) dochodzą do mnie
> maile z domen t-online.de oraz seznam.cz. Można maile blokować po

To nie z domen t-online.de oraz seznam.cz przychodziły, tylko pod nie
się podszywały. Też wczoraj przez kilka ładnych godzin obserwowałem ten
mailbombing. Praktycznie wszystko przychodziło z zakresów dynamicznych
IP (dialupów adsli itp) więc zdecydowaną większość tych domen mam
wyciętych już od dawna.

Pozdr.Pet.

maciek kanski wrote:
> P.S. Jasne, że atak podszywał się pod te domeny, a nie stamtąd wychodził. Może 
> to jakaś kryptoreklama SPFa: ktoś chce pokazać światu, jak wiele korzyści 
> przyniesie implementacja tegoż rozwiązania;)

Właśnie wczoraj rozważałem napisanie do ichniejszego admina,
by dopisał sobie stosowne rekordy spf. :))

-- 
Marcin Kulas
jid: hit@jabbed.org

On 10 Mar 2004 06:05:38 GMT, Piotr Górski wrote:
> A co jeśli ktoś celowo wystawił 139 na świat? Dlaczego niby miałbyś posyłać
> poczte z serwerów z odpaloną sambą na /dev/null ??  
Żeby uniknąć ataków zazombionych windowsów, jak wczoraj. Jeżeli po stronie strat
miałbym blokadę niewinnego smtp z sambą to trudno - korzyści i tak są IMHO 
wyższe.

Pzdr

P.S. Jasne, że atak podszywał się pod te domeny, a nie stamtąd wychodził. Może 
to jakaś kryptoreklama SPFa: ktoś chce pokazać światu, jak wiele korzyści 
przyniesie implementacja tegoż rozwiązania;)

maciek kanski wrote:
 Przeskanowałem sobie
> parę komputerów nadawców; są to maszynki z dużą ilością otwartych
> portów (brak firewalla widać od
zaraz cie odetna jako potencjalnego crackera.
ja obserwuje ruch na firewallu i jak mi ktos skanuje
porty to z marszu do abuse. (chyba ze masz
pare wlasnych zombie)

-- 

Pozdrawiam Piotrus
Modelarstwo Lotnicze RC

Piotr Górski <pg@wytnij_to.di.com.pl> pisze:

> A co jeśli ktoś celowo wystawił 139 na świat? Dlaczego niby miałbyś posyłać
> poczte z serwerów z odpaloną sambą na /dev/null ??  

Aż nie wierzę... Ktoś coś takiego robi?

-- 
Jarek Zgoda
http://jpa.berlios.de/

Użytkownik "Piotr Górski" <pg@wytnij_to.di.com.pl> napisał w wiadomości
news:slrn.pl.c4tc4q.jh7.pg@prokocim.org...

>
> A co jeśli ktoś celowo wystawił 139 na świat? Dlaczego niby miałbyś
posyłać
> poczte z serwerów z odpaloną sambą na /dev/null ??
>
Czy jestes w stanie wskazac jednego, zdrowego na umysle i swiadomego
administratora, co wystawia sambe na swiat?


--
--
"Dążenie do perfekcji może być oparte jedynie na doskonałym poczuciu smaku i
dbałości o najwyższą jakość" Zino Davidoff
Alex D. B.  Listy z beginem ignoruje.

Dnia 3/10/04 9:24 PM, Użytkownik Alex D. B. napisał :

> Czy jestes w stanie wskazac jednego, zdrowego na umysle i swiadomego
> administratora, co wystawia sambe na swiat?

Why not?
Nie jest tak dziurawa jak MS Netbios, Blaster nie łapie.
Używam tego do konfigurowania licznych stacji windowsowych w terenie, do 
których niezbędne pliki trzymane są na Sambie właśnie. Na tej Sambie 
blokuję sobie udziały na określone pule IP, nazwy udziałów są 
niewidoczne przy browsowaniu.

Jest to naprawdę najprostszy sposób, bo natywny w Windzie. Nie trzeba 
instalować żadnych klientów FTP czy innego dodatkowego oprogramowania.

Równie dobrze można by zapytać: "pokaż mi zdrowego na umyśle admina co 
wystawia serwer FTP na świat".

Wanted

Użytkownik "Marcin Sochacki" <wanted@spam-to-dev-null.bg.univ.gda.pl>
napisał w wiadomości news:c2nu9u$r5c$1@korweta.task.gda.pl...

>
> Równie dobrze można by zapytać: "pokaż mi zdrowego na umyśle admina co
> wystawia serwer FTP na świat".
>
ja nie wystawiam.
Well, mamy rozne pojecie "bezpieczenstwa".
Dla mnie system zabezpieczony to taki, co ma sshd z restrykcjami.
Samby uzywam, ale "internal use only" -  wycieta w pien na fw.
Ja bym sie nie odwazyl wystawic na swiat. Czy autentykacja jest szyfrowana?


--
--
"Dążenie do perfekcji może być oparte jedynie na doskonałym poczuciu smaku i
dbałości o najwyższą jakość" Zino Davidoff
Alex D. B.  Listy z beginem ignoruje.

Użytkownik "Piotrus" <piotrjan@polbox.com> napisał w wiadomości
news:404f68f5$1@news.home.net.pl...
>  i jak mi ktos skanuje
> porty to z marszu do abuse.

Chyba żartujesz; w takim razie chyba wszystkie abusy zaczeły Cię olewać ;-)

pozdr.

Użytkownik "Piotrus" <piotrjan@polbox.com> napisał w wiadomości
news:404f68f5$1@news.home.net.pl...
> zaraz cie odetna jako potencjalnego crackera.
> ja obserwuje ruch na firewallu i jak mi ktos skanuje
> porty to z marszu do abuse. (chyba ze masz
> pare wlasnych zombie)

zartujesz, prawda?
a moze po prostu sie nudzisz?
mam ze 100 skanow/h, i co, mam raportowac? rotfl.
a hostow u mnie parenascie....



--
--
"Dążenie do perfekcji może być oparte jedynie na doskonałym poczuciu smaku i
dbałości o najwyższą jakość" Zino Davidoff
Alex D. B.  Listy z beginem ignoruje.

Dnia 3/10/04 9:43 PM, Użytkownik Alex D. B. napisał :

> Ja bym sie nie odwazyl wystawic na swiat. Czy autentykacja jest szyfrowana?

Abstrahując od tego, że słowo "autentykacja" jest raczej potworkiem 
językowym -- tak, jest szyfrowana.

Najbezpieczniejszy będzie serwer zamknięty w szafie pancernej i 
odłączony od sieci, pytanie jednak na ile będzie użyteczny.

Wanted

Użytkownik "Marcin Sochacki" <wanted@spam-to-dev-null.bg.univ.gda.pl>
napisał w wiadomości news:c2o5pf$f5b$1@korweta.task.gda.pl...

>
> Najbezpieczniejszy będzie serwer zamknięty w szafie pancernej i
> odłączony od sieci, pytanie jednak na ile będzie użyteczny.
>
samba przyznaje, jest uzyteczna, ale nie niezbedna.
pliki mozna sobie ssac via http albo scp. oczywiscie IMAO.


--
--
"Dążenie do perfekcji może być oparte jedynie na doskonałym poczuciu smaku i
dbałości o najwyższą jakość" Zino Davidoff
Alex D. B.  Listy z beginem ignoruje.

Dnia 3/10/04 11:56 PM, Użytkownik Alex D. B. napisał :

> samba przyznaje, jest uzyteczna, ale nie niezbedna.

Mówimy o gołych Windowsach.

> pliki mozna sobie ssac via http

Rekursywnie?

> albo scp. oczywiscie IMAO.

True, ale jednak trzeba klienta zassać, a i obciążenie procesora 
większe. Ale z jakimś GUI typu WinSCP jest niezłe.

Zależy oczywiście kto co lubi, niemniej mówienie że wystawienie 139 na 
publiczną sieć powinno być od razu prewencyjnie karane odcięciem SMTP, 
jest sporą przesadą. Należałoby sprawdzać dodatkowo jaki to system 
operacyjny i wówczas podejmować dopiero decyzję.

Wanted

On Thu, 11 Mar 2004 00:02:55 +0100, Marcin Sochacki wrote:
> publiczną sieć powinno być od razu prewencyjnie karane odcięciem SMTP, 
> jest sporą przesadą. Należałoby sprawdzać dodatkowo jaki to system 
> operacyjny i wówczas podejmować dopiero decyzję.
Ale zauważ, że ten pomysł powstrzymałby wczorajszy mailbombing przeprowadzony 
przez beztroskich luserów z windą podłączoną do internetu. Nie wszystkich (bo są
też NATy), ale uważam, że z całkiem dużą celnością i na dodatek nie dotknąłby 
mojego SMTP. W takim przypadku (pewnego mailbombingu) nie czuję się zobowiązany 
do zwrócenia "550 jestes głupi" bo i tak nikt tego nie przeczyta. I doskonale 
chronię swoje pasmo internetowe.
Ponadto te 6 zombii co przeskanowałem miało też otwarte 445, co już z nazwy 
śmierdzi M$em i Samba raczej czegoś takiego nie otwiera.

Współczuję jednocześnie użytkownikom oprogramowania, które najpierw akceptuje 
całą przesyłkę i potem zastanawia się co z nią zrobić (tak jest po integracji 
sendmaila z produktami Kasperskiego). Każda z tych bomb musiałaby być przyjęta, 
przeskanowana i zwrócona do posmastera z powodu fałszywego adresu zwrotnego. 
IMHO serwer by szybko wykipiał.
Poddaję to pod rozwagę ludziom z supportu Kasperskiego, jeżeli to przypadkiem 
czytają (miałem z nimi ciężką przeprawę kiedyś i kupę straconego czasu im 
zawdzięczam)

Pozdrawiam

On Wed, 10 Mar 2004 21:37:04 +0100, Marcin Sochacki wrote:
> Jest to naprawdę najprostszy sposób, bo natywny w Windzie. Nie trzeba 
> instalować żadnych klientów FTP czy innego dodatkowego oprogramowania.

na Windows nie trzeba instalować klienta FTP. Jest dostarczany z
systemem. Nazywa się "ftp.exe".



B.


-- 
Popieram program obniżenia podatków: www.odpowiedzialnosc.org

maciek kanski wrote:

> Ponadto te 6 zombii co przeskanowałem miało też otwarte 445, co już z nazwy 
> śmierdzi M$em i Samba raczej czegoś takiego nie otwiera.

Myślę, że powinieneś się dokształcić. Samba (nowa) jak najbardziej może 
otwierać port 445. Tendencja jest raczej do zamykania portu 139. Windows 
2000 i wyższe (nie wiem jak wcześniejsze potworki 9x) mają dwa otawrte 
porty 139 i 445, 445 to NetBT, 139 to NetBIOS. NetBT jest szybszy, więc 
Windows >=2000 sprawdza najpierw port 445, a jak nie ma, to idzie na 
139. Można wyłączyć port 139 poprzez wyłączenie NetBIOS w właściwościach 
połączenia. To tak w skrócie i bez wdawania się w szczegóły :)

-- 
Paweł Goleń
mailto:p_golen@ks.onet.pl
UGVybCBTVUNLUw==

On Thu, 11 Mar 2004 00:02:55 +0100, Marcin Sochacki wrote:
> jest sporą przesadą. Należałoby sprawdzać dodatkowo jaki to system 
> operacyjny i wówczas podejmować dopiero decyzję.

Michał Zalewski opublikował całkiem dobry sposób na to. Moje gó*ne łącze
nie działa na tyle dobrze, żebym odszukał i podał dokładny URL, ale
myślę że sobie poradzisz.


B.


-- 
Popieram program obniżenia podatków: www.odpowiedzialnosc.org

Użytkownik "Bronek Kozicki" <brok@rubikon.pl> napisał w wiadomości
news:1nauhse22b02s.1dlqnq99jpedw.dlg@40tude.net...
>
> Michał Zalewski opublikował całkiem dobry sposób na to. Moje gó*ne łącze
> nie działa na tyle dobrze, żebym odszukał i podał dokładny URL, ale
> myślę że sobie poradzisz.
>
p0f

Jako ciekawostke podam, ze jest juz w portsach we freebsd:
/usr/ports/net-mgmt/p0f


--
--
"Dążenie do perfekcji może być oparte jedynie na doskonałym poczuciu smaku i
dbałości o najwyższą jakość" Zino Davidoff
Alex D. B.  Listy z beginem ignoruje.

Bronek Kozicki wrote:
> On Wed, 10 Mar 2004 21:37:04 +0100, Marcin Sochacki wrote:
>> Jest to naprawdę najprostszy sposób, bo natywny w Windzie. Nie trzeba 
>> instalować żadnych klientów FTP czy innego dodatkowego oprogramowania.
> 
> na Windows nie trzeba instalować klienta FTP. Jest dostarczany z
> systemem. Nazywa się "ftp.exe".

Wygodny jak 150. Np. w ściąganiu rekursywnym.

Wanted

Thu, 11 Mar 2004 12:22:44 +0100 jednostka biologiczna o nazwie Marcin
Sochacki <wanted@spam-to-dev-null.bg.univ.gda.pl> wyslala do portu 119
jednego z serwerow news nastepujace dane:

>> na Windows nie trzeba instalować klienta FTP. Jest dostarczany z
>> systemem. Nazywa się "ftp.exe".
>Wygodny jak 150. Np. w ściąganiu rekursywnym.
Tu przydaje sie Total Commander.
Poza tym miesci sie na jednej dyskietce i mozna go zabrac gdzies ze
soba.

W artykule <c2pi9h$odt$1@korweta.task.gda.pl> Marcin Sochacki napisał(a):

>>> Jest to naprawdę najprostszy sposób, bo natywny w Windzie. Nie trzeba 
>>> instalować żadnych klientów FTP czy innego dodatkowego oprogramowania.
>> 
>> na Windows nie trzeba instalować klienta FTP. Jest dostarczany z
>> systemem. Nazywa się "ftp.exe".
> 
> Wygodny jak 150. Np. w ściąganiu rekursywnym.

A IE? ftp://ktostam@costam i może być, od którejś wersji nawet upload
jest.

-- 
+---> http://apcoln.linuxpl.org <----- | -----> Aragorn_Vime@jabber.org <----+
|             Pozwól mi być jedną chwilą - wierszem poezji i snem.           |
|             Całuj mnie tak, abym nigdy nie bał się śmierci i łez.          |
+---> http://biznes.linux.pl <---- | ----> Aragorn/Vime (Marcin Stępnicki) <-+

Date: Thu, 11 Mar 2004 17:45:27 +0000 (UTC)
From: Aragorn/Vime
> W artykule <c2pi9h$odt$1@korweta.task.gda.pl> Marcin Sochacki napisał(a):

>>>> Jest to naprawdę najprostszy sposób, bo natywny w Windzie. Nie trzeba 
>>>> instalować żadnych klientów FTP czy innego dodatkowego oprogramowania.
>>> 
>>> na Windows nie trzeba instalować klienta FTP. Jest dostarczany z
>>> systemem. Nazywa się "ftp.exe".
>> 
>> Wygodny jak 150. Np. w ściąganiu rekursywnym.

> A IE? ftp://ktostam@costam i może być, od którejś wersji nawet upload
> jest.

Już nie. Tzn. już nie obsługuje podawania nazwy użytkownika i hasła w URLu.

Pozdrawiam,
R.

-- 
RRBL: http://www.rangers.eu.org/rbl.html
"Junk mail is war. RFCs do not apply."
        -- Wietse Venema in postfix-users

Dominik 'Rathann' Mierzejewski <dominik+0403@usenet.rangers.eu.org> writes:

>> A IE? ftp://ktostam@costam i może być, od którejś wersji nawet upload
>> jest.
>
> Już nie. Tzn. już nie obsługuje podawania nazwy użytkownika i hasła w URLu.

Do ftp? Obsługuje. Nie obsługuje do http.

  MJ

W artykule <c2qa1i$hpt$1@debi.pekin.net.pl> 
Dominik 'Rathann' Mierzejewski (dominik+0403@usenet.rangers.eu.org) napisał(a):

>> A IE? ftp://ktostam@costam i może być, od którejś wersji nawet upload
>> jest.
> 
> Już nie. Tzn. już nie obsługuje podawania nazwy użytkownika i hasła w URLu.

jesli nie instalowales ostatnich updatow to dalej bedzie to dzialac.
a sprytni ze zwyklym ftpem sobie poradza.

-- 
#-\  Przemek Kulczycki <> pk[NA]metal.eu.org  /-#
#-/ PRMM FAQ: http://prm.metal.eu.org/faq.htm \-#
#-\    We love Satan - Join the blasphemy!    /-#
#-/      http://www.theprojecthate.net/       \-#

W artykule <c2qa1i$hpt$1@debi.pekin.net.pl> Dominik 'Rathann' Mierzejewski 
napisał(a):

>> A IE? ftp://ktostam@costam i może być, od którejś wersji nawet upload
>> jest.
> 
> Już nie. Tzn. już nie obsługuje podawania nazwy użytkownika i hasła w URLu.

Nie wiem jak w 2000/XP, ale w 98 ze wszystkimi uaktualnieniami to działa na 
100% (dla ftp, dla http nie). IE6. 

-- 
+---> http://apcoln.linuxpl.org <----- | -----> Aragorn_Vime@jabber.org <----+
|             Pozwól mi być jedną chwilą - wierszem poezji i snem.           |
|             Całuj mnie tak, abym nigdy nie bał się śmierci i łez.          |
+---> http://biznes.linux.pl <---- | ----> Aragorn/Vime (Marcin Stępnicki) <-+

Aragorn/Vime wrote:
>>> A IE? ftp://ktostam@costam i może być, od którejś wersji nawet
>>> upload jest.
>>
>> Już nie. Tzn. już nie obsługuje podawania nazwy użytkownika i hasła
>> w URLu.
>
> Nie wiem jak w 2000/XP, ale w 98 ze wszystkimi uaktualnieniami to
> działa na 100% (dla ftp, dla http nie). IE6.

Widac nie masz uaktualnien z poczatku lutego. Sprawa jest dobrze
udokumentowana. Ot po prostu na poczatku lutego zwiekszono bezpieczenstwo
IE55 i IE60 przez wyrzniecie czesci jego funkcjonalnosci.

-- 
./ premax
./ premax@hot.pl
./ koniec i bomba, a kto czytal ten traba. w.g.

"Przemyslaw Popielarski" <premax@hot.pl> writes:

> Widac nie masz uaktualnien z poczatku lutego. Sprawa jest dobrze
> udokumentowana. Ot po prostu na poczatku lutego zwiekszono bezpieczenstwo
> IE55 i IE60 przez wyrzniecie czesci jego funkcjonalnosci.

Dla http, nie dla ftp.

  MJ

Michal Jankowski wrote:
>> Widac nie masz uaktualnien z poczatku lutego. Sprawa jest dobrze
>> udokumentowana. Ot po prostu na poczatku lutego zwiekszono
>> bezpieczenstwo IE55 i IE60 przez wyrzniecie czesci jego
>> funkcjonalnosci. 
> 
> Dla http, nie dla ftp.

No tak.

-- 
./ premax 
./ premax@hot.pl
./ koniec i bomba, a kto czytal ten traba. w.g.

begin 4 Marcin Sochacki wrote:

> Zależy oczywiście kto co lubi, niemniej mówienie że wystawienie 139 na
> publiczną sieć powinno być od razu prewencyjnie karane odcięciem SMTP,
> jest sporą przesadą. Należałoby sprawdzać dodatkowo jaki to system
> operacyjny i wówczas podejmować dopiero decyzję.

Zależy od sytuacji i przewidywanego rachunku zysków i strat. W stanie
wyjątkowym podejmuje się znacznie bardziej restrykcyjne decyzje, bo na
inne nie ma zwyczajnie czasu.

-- 
Nuta - (Adres jest spam-trapem. Odpisując usuń 'da' z mojego adresu)
Najnowsze polskie tłumaczenia programu Hamster 2.0.4.0, OE-QuoteFix,
przydatne skrypty, porady. Dla miłośników The Bat! zaawansowane
filtry spamu i poczty dla wszystkich kont: http://hamster.thebat.pl/

>Praktycznie wszystko przychodziło z zakresów
> dynamicznych IP (dialupów adsli itp) więc zdecydowaną większość tych
> domen mam wyciętych już od dawna.

Czym je wycinasz ze masz zdecydowana wiekszosc wycieta?

-- 
OGONek~

begin 1 OGONek~ wrote:

> Czym je wycinasz ze masz zdecydowana wiekszosc wycieta?

Statycznie można choćby regułką PCRE po końcówkach nazw kanonicznych.

-- 
Nuta - (Adres jest spam-trapem. Odpisując usuń 'da' z mojego adresu)
Najnowsze polskie tłumaczenia programu Hamster 2.0.4.0, OE-QuoteFix,
przydatne skrypty, porady. Dla miłośników The Bat! zaawansowane
filtry spamu i poczty dla wszystkich kont: http://hamster.thebat.pl/