PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : snort: sind die alerts bedenklich?



Freekazonid
30.05.04, 20:11
moin

hab mir heute zum ersten mal snort angesehen und auf meinen rh8 nat geschmissen. nach kurzem einlesen hab ich snort mal mit

snort -c etc/snort.conf -A full -h 192.168.0.1/24 -D

gestartet, etc/snort.conf ist die standardconfig, wollte erstmal ausprobieren ob sich ueberhaupt was tut. also das dingen erstmal ohne plan gestartet und tail -f /var/log/snort/alert laufen lassen, ich denke da kommt eh nix, und zupp ist schnell der screen seitenweise voll mit zeug à la



[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:23:30.227933 82.82.117.93:1413 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:5899 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x5849A93D Ack: 0xFC8E3D5E Win: 0x7FFF TcpLen: 20

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:23:40.570936 82.82.117.93:1432 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:6331 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x587F4E51 Ack: 0xFD195B13 Win: 0x7FFF TcpLen: 20

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:23:47.941604 82.82.117.93:1452 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:6769 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x58AA7396 Ack: 0xFDA71651 Win: 0x7FFF TcpLen: 20

[**] [1:469:1] ICMP PING NMAP [**]
[Classification: Attempted Information Leak] [Priority: 2]
05/30-19:23:50.642912 82.174.48.107 -> 82.82.117.93
ICMP TTL:122 TOS:0x0 ID:30894 IpLen:20 DgmLen:28
Type:8 Code:0 ID:512 Seq:31718 ECHO
[Xref => http://www.whitehats.com/info/IDS162]

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:23:55.781134 82.82.117.93:1472 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:7116 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x58D7F84A Ack: 0xFEE52629 Win: 0x7FFF TcpLen: 20

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:24:06.284282 82.82.117.93:1491 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:7567 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x590D33EC Ack: 0xFF1B049E Win: 0x7FFF TcpLen: 20

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:24:24.612863 82.82.117.93:1513 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:8142 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x5963FC2F Ack: 0xFFF814F6 Win: 0x7FFF TcpLen: 20

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:25:23.503668 82.82.117.93:1545 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:8467 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x5A5593D6 Ack: 0x3E0DE09 Win: 0x7FFF TcpLen: 20

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:25:26.416235 82.82.117.93:1554 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:8563 IpLen:20 DgmLen:362 DF
***AP*** Seq: 0x5A65F296 Ack: 0x42C55B4 Win: 0x7FFF TcpLen: 20

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:25:40.644598 82.82.117.93:1584 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:8954 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x5AB13A97 Ack: 0x5057C41 Win: 0x7FFF TcpLen: 20

[**] [1:469:1] ICMP PING NMAP [**]
[Classification: Attempted Information Leak] [Priority: 2]
05/30-19:25:49.156311 82.82.88.66 -> 82.82.117.93
ICMP TTL:122 TOS:0x0 ID:25530 IpLen:20 DgmLen:28
Type:8 Code:0 ID:768 Seq:59140 ECHO
[Xref => http://www.whitehats.com/info/IDS162]

[**] [119:16:1] (http_inspect) OVERSIZE CHUNK ENCODING [**]
05/30-19:25:54.087339 82.82.117.93:1619 -> 64.236.164.209:80
TCP TTL:127 TOS:0x0 ID:9513 IpLen:20 DgmLen:382 DF
***AP*** Seq: 0x5AF8E355 Ack: 0x51F65E0 Win: 0x7FFF TcpLen: 20

[**] [1:469:1] ICMP PING NMAP [**]
[Classification: Attempted Information Leak] [Priority: 2]
05/30-19:27:15.005815 82.168.69.54 -> 82.82.117.93
ICMP TTL:119 TOS:0x0 ID:35899 IpLen:20 DgmLen:28
Type:8 Code:0 ID:768 Seq:34316 ECHO
[Xref => http://www.whitehats.com/info/IDS162]



was heisst das allet? wie soll ich das deuten? und was hat da das NMAP zu suchen?

waere fuer etwas aufklaerung dankbar

Phoenix33
31.05.04, 00:38
[**] [1:469:1] ICMP PING NMAP [**]
[Classification: Attempted Information Leak] [Priority: 2]
05/30-19:25:49.156311 82.82.88.66 -> 82.82.117.93
ICMP TTL:122 TOS:0x0 ID:25530 IpLen:20 DgmLen:28
Type:8 Code:0 ID:768 Seq:59140 ECHO


ist ein einfacher ping an deine addy ... erkennbar an ICMP und dem ECHO ;) (was man net alles bei iptabels firewall machen lernt *ggg*)

bei den anderen kann ich nur raten aber kann es sein das du da am surfen warst ? dann waren es die packete die beim surfen übertragen werden (ip , ack etc)

Freekazonid
31.05.04, 08:31
yo das mit dem ping dachte ich auch, aber wieso sollte mich jemand dauernd anpingen? habe keine services fuer aussen aktiviert.

yoa war am surfen, aber das kanns doch net sein oder? ich mein in die log kommen ja nur die alerts rein, nix gewöhnliches, ausserdem kann ich auch mal ne weile was im inet machen ohne das ein eintrag in die log kommt. danke schonmal fuer die hilfe :)

/e das sind die letzten meldungen, die stimmen aber schon nachdenklich?!



[**] [1:2003:2] MS-SQL Worm propagation attempt [**]
[Classification: Misc Attack] [Priority: 2]
05/31-08:16:18.267758 221.124.132.225:1368 -> 82.83.66.103:1434
UDP TTL:108 TOS:0x0 ID:6811 IpLen:20 DgmLen:404
Len: 376
[Xref => http://vil.nai.com/vil/content/v_99992.htm][Xref => http://www.security
focus.com/bid/5311][Xref => http://www.securityfocus.com/bid/5310]

[**] [1:2004:1] MS-SQL Worm propagation attempt OUTBOUND [**]
[Classification: Misc Attack] [Priority: 2]
05/31-08:16:18.267758 221.124.132.225:1368 -> 82.83.66.103:1434
UDP TTL:108 TOS:0x0 ID:6811 IpLen:20 DgmLen:404
Len: 376
[Xref => http://vil.nai.com/vil/content/v_99992.htm][Xref => http://www.security
focus.com/bid/5311][Xref => http://www.securityfocus.com/bid/5310]

[**] [1:2050:1] MS-SQL version overflow attempt [**]
[Classification: Misc activity] [Priority: 3]
05/31-08:16:18.267758 221.124.132.225:1368 -> 82.83.66.103:1434
UDP TTL:108 TOS:0x0 ID:6811 IpLen:20 DgmLen:404
Len: 376
[Xref => http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2002-0649][Xref => ht
tp://cgi.nessus.org/plugins/dump.php3?id=10674]


habe aber weder mysql noch ms rechner hier am laufen. ein ref sagt aber



The plugin sends a SQL 'ping' request to retrieve
information about the remote MS SQL database (if any)

was ja wieder weniger schlimm klingt, jedoch frage ich mich wer/was mir sowas schicken sollte, oder sind das bots die ganze adressbereiche abscannen?

und nochwas was wir noch net hatten



[**] [1:1847:3] WEB-MISC webalizer access [**]
[Classification: access to a potentially vulnerable web application] [Priority: 2]
05/31-08:57:34.667788 82.83.66.103:32972 -> 213.131.252.91:80
TCP TTL:63 TOS:0x0 ID:5695 IpLen:20 DgmLen:519 DF
***AP*** Seq: 0xEB8970A3 Ack: 0xFEC7AA59 Win: 0x9920 TcpLen: 32
TCP Options (3) => NOP NOP TS: 531746 65935795
[Xref => http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-1999-0643][Xref => http://cgi.nessus.org/plugins/dump.php3?id=1081
6]

hab auch kein webalizer...




[**] [1:1054:6] WEB-MISC weblogic/tomcat .jsp view source attempt [**]
[Classification: Web Application Attack] [Priority: 1]
05/31-09:11:13.982712 82.83.66.103:33052 -> 212.172.60.154:80
TCP TTL:63 TOS:0x0 ID:7682 IpLen:20 DgmLen:1064 DF
***AP*** Seq: 0x203DDB4A Ack: 0x55A9DE20 Win: 0x16D0 TcpLen: 32
TCP Options (3) => NOP NOP TS: 613693 0
[Xref => http://www.securityfocus.com/bid/2527]

naja und die fragen nach den obigen meldungen bleibt

CEROG
31.05.04, 20:26
Hallo zusammen,


[**] [1:469:1] ICMP PING NMAP [**]
[Classification: Attempted Information Leak] [Priority: 2]
05/30-19:25:49.156311 82.82.88.66 -> 82.82.117.93
ICMP TTL:122 TOS:0x0 ID:25530 IpLen:20 DgmLen:28
Type:8 Code:0 ID:768 Seq:59140 ECHO

Die Sender-IP stammt aus dem Arcor-Bereich. Da der IP-Adressen-Block, aqus dem sie stammt, etwas größer ist (82.82.32.0 bis 82.82.168.255) dürfte sie einem User bei der Einwahl zugeordnet sein.

Mit whois kann man über die Konsole leicht feststellen, für wen die IP-Adresse registriert ist. Allerdings könnte sie auch gefälscht sein.

Bei dem SQL-Wurm denke ich, daß es die letzten Exemplare der SQL-Wurms sind, der mal unterwegs war.

Es gibt aber auch Fälle, wo snort falsche Meldungen bringt. Das ist vor allem dann der Fall, wenn sich die Software von Foren oder ähnlichen Anwendungen nicht an Konventionen halten.

Viele Grüße,
CEROG