[samba]: strani log

[h4mm3r]

salve a tutti,
vi leggo da molto tempo e trovo il tutto molto ma molto interessante (anche in relazione ad un corso organizzato di recente alla facoltà di ingegneria di Bologna).. Vi scrivo per sottoporre degli strani log che da qualche giorno leggo sul mio server ...

/var/log/samba# ls -al
total 5764
drwxr-x--- 2 root adm 4096 Mar 19 23:26 .
drwxr-xr-x 10 root root 4096 Mar 21 06:28 ..
-rw-r--r-- 1 root root 854 Feb 3 12:59 log.3zvregws5osbd7i
-rw-r--r-- 1 root root 96014 Mar 21 10:46 log.50163099sp
-rw-r--r-- 1 root root 99887 Mar 20 19:24 log.alevrius_
-rw-r--r-- 1 root root 86477 Mar 20 21:59 log.gustavo


a parte che io non ho assolutamente account con quei nomi sul mio server, cmq aprendo tali log si evince che all'interno ci sono una _marea_ di stringhe del tipo:

[2003/03/21 10:46:49, 0] smbd/service.c:make_connection(249)
50163099sp (218.11.94.49) couldn't find service c


qualcuno potrebbe illuminarmi su che diavolo stanno cercando di fare?? e soprattutto se il servizio non viene trovato, perchè questi tentativi vengono provati di continuo?? beh per bucarmi direte voi ... ma la cosa mi puzza ...

spero di non aver infranto alcuna regola nell'uso di questa ML, e spero di ricevere una risposta, anche se magari l'argomento può risultare banale ai vostri occhi, per me che sono una specie di newbie dei log e nell'amministrazione di una box è davvero interessante capire il tutto ...

grazie
h4mm3r`

[ilsensine]

Chiudi la porta 137 udp in ingresso, almeno dagli indirizzi che non siano quelli dai computer che devono accedere.
Mi sembra chiaro che qualcuno sta cercando d'entrare. Ti consiglio anche di aggiornare samba, in quanto ultimamente hanno corretto dei difetti di protezione.

50163099sp (218.11.94.49) couldn't find service c

Cercano il disco "c" condiviso.
Potrebbe anche essere qualche worm che cerca di entrare.

[h4mm3r]

uhm, si quello l'ho già fatto attraverso iptables loggando (a proposito dove mette i -j LOG woody che non riesco a trovarli?) e droppando i pacchetti su 137/139 .... che poi c non è in condivisione ... boh ...

uhm la cosa che mi fa pensare è che possa essere una sorta di scan su det. range ... che ne pensi?

[ilsensine]

Guarda, a casa mi capitano tantissimi pacchetti sulla 137 provenienti da macchine windows, e ho una connessione dinamica con modem 56k. Generalmente sono computer win98 nei quali si entra facilmente con smbclient, hanno il disco c condiviso e nessuna password.
Forse è l'opera di un worm per windows che cerca di replicarsi o di contattare gli incauti che condividono il disco, non so...

(a proposito dove mette i -j LOG woody che non riesco a trovarli?)

In syslog, tra i log del kernel. Con dmesg dovresti vederli.