Eclaircissements Logs Snort

par **mjolnir** » 20 Sep 2002 01:23

Bonjour, Suite à la mise à jour des règles Snort sur mon ipcop, j'ai lancé un scan à partir d'un site pour voir ce que cela donne. Hors je reste perplexe devant le log suivant : Date: 09/20 00:45:14 Name: TFTP GET passwd Priority: 1 Type: Successful Administrator Privilege Gain IP Info: 216.201.108.25:48772 -> xxx.xxx.xxx.xxx:69 Refs: Je suis allé voir la doc sur snort.org, où il est expliqué que c'est lié à tftpd, mais il y a un truc que je ne comprend pas : Est ce que l'attaque fonctionne sur mon ipcop ou pas ? Y'a-t'il un serveur tftpd qui tourne sur IPcop ou pas (je ne pense pas, mais bon...) ? Si quelqu'un peut éclairer le newbie que je suis, j'en serais très heureux. @+

par **arapaho** » 20 Sep 2002 09:26

heu, normalement il résulte de ton test qu'il est possible d'atteindre un max de privilège par rapport a tfp. Tftp (allez hop un petit cours <IMG SRC="images/smiles/icon_smile.gif">) est un protocole de transfert de fichier reposant sur le protocole UDP. Il est utilisé pour le transfert de fichiers dans un LAN, et en particulier pour les client léger. Mais tftp est très peu fiable, face à ftp, qui lui repose sur le protocole TCP. Je te conseille donc de changer de deamon ftp. Migrer vers nu serveur de l'acabit de ProFTPD ou consort serait une bonne idée <IMG SRC="images/smiles/icon_biggrin.gif">

par **mjolnir** » 20 Sep 2002 10:04

Le pb est que je n'ai aucun serveur tftp ou ftp d'installé. Je n'utilise ipcop que comme passerelle, d'où mon étonnement .

par **arapaho** » 20 Sep 2002 10:46

en fait je me suis mal exprimé Le report de Snort te dis qu'en fait il a reconnu une attaque "comme étant" une attaque via tftp c tout. Je pense pas qu'il y ait lieu de s'inquiéter mais fais quand meme un petit #netstat -lapute sur ta box et pose le résultat sur le forum. On verra si ca peut etre plus explicite... <IMG SRC="images/smiles/icon_smile.gif">

par **mjolnir** » 20 Sep 2002 12:53

J'espère que ce sera lisible : Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name tcp 0 20 bifrost:222 10.0.0.50:1056 ESTABLISHED root 134680 16999/sshd tcp 0 0 ALagny-101-1-2-6.a:3448 loga.hit-parade.co:http TIME_WAIT root 0 - tcp 0 0 ALagny-101-1-2-6.a:3429 a213-56-194-52.dep:http TIME_WAIT root 0 - tcp 0 0 ALagny-101-1-2-6.a:3427 a213-56-194-71.dep:http TIME_WAIT root 0 - tcp 0 0 bifrost:800 10.0.0.50:1045 TIME_WAIT root 0 - tcp 0 0 bifrost:800 10.0.0.50:1044 FIN_WAIT2 root 0 - tcp 0 0 *:domain *:* LISTEN root 134331 16853/dnrd tcp 0 0 bifrost:800 *:* LISTEN root 228 257/(squid) tcp 0 0 *:222 *:* LISTEN root 209 246/sshd tcp 0 0 *:81 *:* LISTEN root 194 236/httpd tcp 0 0 *:microsoft-ds *:* LISTEN root 193 236/httpd udp 0 0 *:1051 *:* nobody 134333 16853/dnrd udp 0 0 *:domain *:* root 134330 16853/dnrd udp 0 0 *:1026 *:* squid 224 257/(squid) udp 0 0 *:bootps *:* root 206 243/dhcpd Alors c'est grave docteur ? <IMG SRC="images/smiles/icon_biggrin.gif">

par **arapaho** » 20 Sep 2002 13:02

non y a vraiment pas lieu de s inquiéter <IMG SRC="images/smiles/icon_wink.gif">

par **mjolnir** » 20 Sep 2002 19:00

Cool, merci pour l'aide ! <IMG SRC="images/smiles/icon_smile.gif">

Eclaircissements Logs Snort

Qui est en ligne ?