Hackerzy w Agorze????

[Gość: Zaniepokojony!]

Właśnie przed chwilą mój Firewall poinformował mnie o ataku
(MSSQL_Null_Packet_DoS attack) z takiego IP: 193.42.231.70, który po
sprawdzeniu przez Ripe.net okazał się jednym z adresów Agory!
Może nie znam się specjalnie na internecie, ale...
Poniżej cytuję dane uzyskane z Ripe.net:


inetnum: 193.42.228.0 - 193.42.231.255
netname: GWNET
descr: Agora SA
descr: Publisher of Gazeta Wyborcza
country: PL
admin-c: ML2800-RIPE
tech-c: AGOR1-RIPE
rev-srv: hera.gazeta.pl
rev-srv: zeus.gazeta.pl
rev-srv: artemida.krak.gazeta.pl
status: ASSIGNED PI
mnt-by: AGORA-NOC
mnt-by: RIPE-NCC-HM-PI-MNT
mnt-domains: AGORA-NOC
mnt-lower: RIPE-NCC-HM-PI-MNT
mnt-routes: AGORA-NOC
changed: [e-mail] 20000414
changed: [e-mail] 20011110
changed: [e-mail] 20011126
source: RIPE

route: 193.42.228.0/22
descr: GWNET Autonomus System
descr: Agora SA
origin: AS8535
mnt-by: AGORA-NOC
changed: [e-mail] 19980414
changed: [e-mail] 20011110
changed: [e-mail] 20011126
source: RIPE

role: AGORA-NOC STAFF
address: Czerska 8/10
address: 00-732 Warszawa
address: Poland
phone: [phone]
fax-no: [phone]
e-mail: [e-mail]
trouble: BGP and network: 7/24 - [phone]
trouble: Gazeta.pl, Wyborcza.pl: [phone], [phone]
trouble: Spam and mail abuse - [e-mail]
trouble: Network security: [e-mail]
admin-c: ML2800-RIPE
tech-c: ML2800-RIPE
tech-c: AK21497-RIPE
tech-c: TM5638-RIPE
tech-c: PK217-RIPE
tech-c: MS5668-RIPE
nic-hdl: AGOR1-RIPE
notify: [e-mail]
mnt-by: AGORA-NOC
changed: [e-mail] 20011110
changed: [e-mail] 20011113
changed: [e-mail] 20020107
changed: [e-mail] 20020930
changed: [e-mail] 20030324
source: RIPE

person: Mxxxxx Lxxxxxxxxxx
address: Agora SA
address: Czerska 8/10
address: 00-732 Warszawa
address: Poland
phone: [phone]
e-mail: [e-mail]
nic-hdl: ML2800-RIPE
notify: [e-mail]
changed: [e-mail] 19991230
changed: [e-mail] 20011108
source: RIPE

Specjalnie póki co usunałem pełne dane...
Jeśli to prawda to wstyd.
Jak jeszcze dokładniej sprawdzić adres IP - do kogo należy? Są jakieś programy?

[Gość: pollak]

Wyłącz te monity (nie firewalla) i śpij spokojnie.

[user0001]

Spójrz na tą linijkę:

> trouble: Network security: [e-mail]

To jest adres gdzie zgłasza się takie incydenty, najlepiej z odpowiednim
wycinkiem z logu firewalla.

O ile to nie był podrobiony adres IP, to admin powinien spojrzeć na swoje logi,
zobaczyć kto korzystał z rzeczonego adresu, wyciągnąć Wielki Kij i okładać
sprawcę tak długo aż zrozumie niestosowność swojego postępowania.

Więc weź się za program pocztowy i wysmaż maila, a nie zawracaj d... ludziom na FK.

[Gość: Zaniepokojony!]

user0001 napisał:

> Więc weź się za program pocztowy i wysmaż maila, a nie zawracaj d... ludziom na
> FK.

Wiesz...nie musiałeś wcale odpowiadać. Proste, nie?

P.S. Ale i tak dziękuję za odpowiedź.

[Gość: pollak]

Firewalle często sieją niepotrzebną panikę. Olej te komunikaty i ciesz się
życiem.

[gray]

Gość portalu: Zaniepokojony! napisał(a):

> Specjalnie póki co usunałem pełne dane...

to bardzo hojnie z twojej strony. szczególnie, że podałeś adres IP :D

[Gość: Ciekawy]

Nudzicie sie w tej Agorze czy co?

[gray]

a dlaczego mnie o to pytasz?

[Gość: Zaniepokojony!]

gray napisał:

> Gość portalu: Zaniepokojony! napisał(a):
>
> > Specjalnie póki co usunałem pełne dane...
>
> to bardzo hojnie z twojej strony. szczególnie, że podałeś adres IP :D

Ale publicznie imion i nazwisk nie podałem. A jak ktos je znajdzie to jego
sprawa - nie moja. Proste nie?

masz kłopoty z przeczytaniem mojego nicka?

[gray]

ale one już są publicznie podane :D

[Gość: szary :-)]

Więc jeśli połączysz dane z WhoIs ze zwykłym googlem to zobaczysz, że ów tajemniczy M.Ł. jest szefem pionu IT w Agorze - stąd jego nazwisko w raporcie. Powiedz szczerze - naprawdę wierzysz, że to akurat on próbował Ci się wrypać do kompa ?

[Gość: Zaniepokojony!]

Gość portalu: szary :-) napisał(a):

> Więc jeśli połączysz dane z WhoIs ze zwykłym googlem to zobaczysz, że ów tajemn
> iczy M.Ł. jest szefem pionu IT w Agorze - stąd jego nazwisko w raporcie. Powied
> z szczerze - naprawdę wierzysz, że to akurat on próbował Ci się wrypać do kompa
> ?

Nigdzie nie stwierdziłem, ze to właśnie M.Ł. próbował ataku. Niemniej jednak on
jest odpowiedzialny za porządek w swoim dziale.

[Gość: pollak]

Ty, gościu, a powiedz co Ci znowu takiego zaatakowano? Masz przewrażliwionego
firewalla, olej go.

[Gość: Daniel]

...a jakby cie cos ugryzlo w d**e to tez o tym koniecznie na tym forum napisz.

[Gość: Olak]

Przesadzasz gosciu, bo mnie to na przyklad zainteresowalo.

[Gość: diabel]

Kiedys zauwazylem ze mam obce IP w swojej skrzynce, po sprawdzeniu okazalo sie
ze nalezy ono do Agory. Na interwencje, odpisano mi pokretnie ze tak bywa jak
chodzi sie przez proxy. (jak serwer ma problemy z odczytaniem IP, to daje Agory)
Bylo to klamstwem, bo nie uzywalem proxy w tym czasie.

[gray]

co to znaczy "mieć IP w skrzynce"? czy to tak jak mieć kanarka w klatce?

[Gość: diabel]

Kazdy ma 2 IP w swojej skrzynce pocztowej. Jedno IP założenia konta oraz IP
poprzedniego logowania
W skrzynce wybierasz opcje " wlasciwosci poczty --> statystyki poczty.

Stala kontrola tej opcji pozwala na wykrycie ewentualnego intruza.

[gray]

ja też mam w logowaniu przez pop3 adres należący do agory ale szczerze mówiąc
niewiele mnie to obchodzi.

[Gość: lelek]

Gość portalu: diabel napisał(a):
> chodzi sie przez proxy. (jak serwer ma problemy z odczytaniem IP, to daje
Agory
> )

bzdura. system zawsze odczyta ip, jakiekolwiek byloby.
moze tylko zaistniec sytuacja ze system ukrywania ip nie ma co prawdopodobnie
ukryc (w przypadku gdy ip jest dwuczlonowe np. wp.pl.
ale wtedy wiadomo ze ktos wchodzil bezposrednio z domeny.

[Gość: kzrys]

A jeżeli IP jest trójczłonowe np. ep.com.pl albo czteroczłonowe.
Iloczłonowe IP max widzieliście :)

[mastahaka]

Sami jesteście,dwu lub trzy członowi,pogratulować
ROTFL

[gray]

wp.pl to nie adres IP.

[Gość: lelek]

racja, ale pisalem w skrocie myslowym. bo najpierw jest REMOTE_ADDR a potem
HTTP_HOST. nawet istnieja jeszce inne funkcje detektujace takie jak
HTTP_CONNECTION, HTTP_USER_AGENT i kilka innych...

[Gość: pollak]

Funkcje detekujące? Masz na myśli pola nagłówka HTTP (typu User-Agent)?