[UCE / Dialer] Ihr Account

[cycomate]

Return-Path: < [Link nur für registrierte Mitglieder sichtbar. ]>
Received: from racket.ball.reliam.net (localhost.reliam.net [127.0.0.1]) by racket.ball.reliam.net (lmtpd) with LMTP id 34849.050; Thu, 12 Dec 2002 01:21:15 +0100 (CET)
Received: from tripod.fr (unknown [200.158.132.15]) by racket.ball.reliam.net (Postfix) with SMTP id 7EED4C9CEA; Thu, 12 Dec 2002 01:20:52 +0100 (CET)
Reply-To: [Link nur für registrierte Mitglieder sichtbar. ]
Message-Id: <031b57e86e7d$4545e6e4$6ac61ad8@lhhjek>
From: [Link nur für registrierte Mitglieder sichtbar. ]
To: [Link nur für registrierte Mitglieder sichtbar. ]
Subject: Ihr Account
Date: Wed, 11 Dec 2002 20:00:13 +0400
Mime-Version: 1.0
Content-Type: text/plain; charset="iso-8859-1"
Content-Transfer-Encoding: 8bit
X-Priority: 1 (High)
X-Msmail-Priority: High
X-Mailer: Microsoft Outlook Express 6.00.2600.0000

Hallo,
jemand der sich in dich verliebt hat aber sich nicht traut es dir persönlich zu
sagen hat
eine Foto Nachricht für dich hinterlassen.
Wenn du wissen willst wer dir eine Nachricht hinterlassen hat, so gehe auf
unsere
Seite und wähle die Nachricht mit der Nummer Pt-224885 und benutze das
Kennwort:
Pt-224live
Solltest du unsere Livesoftware noch nicht installiert haben, kannst du das
jetzt machen
indem du auf folgenden Link klickst:
http:// 213.76.131.85/?account=dlp-11806&layout=ibsdialer&land=de&exename=dating
Du wirst dann automatisch in unseren Mitgliederbereich geleitet.
Viel Spaß
Serviceteam KM Kontakte
0288iPWl8-869tAmB1006vNXi2-354hLoZ6516DIoN8-347ZUJh6533PpUl55

___________________________

Disclaimer:This post is for educational and entertainment purpose only
[Link nur für registrierte Mitglieder sichtbar. ]

[cycomate]

Interessant ist, daß der server scheinbar eine downloadsperre hat - nach dem zweiten Aufruf innerhalb einer Minute gibt sich folgendes:

IP Banned 1 ( 2 )
IP Banned 2 ( 2 )
setting ipnumber: meine IP /sbin/iptables -A INPUT -p tcp -s meine IP -d 213.76.131.80/28 --dport 80 -j DROP /sbin/iptables -A INPUT -p tcp -s meine IP -d 213.76.131.80/28 --dport 80 -j DROP
Download wurde abgebrochen !

Tsts, daß da gleich offengelegt wurde, welches subnet dort benutzt wird, ist doch seeehr nachlässig.
Uwe - hast Lust auf eine Herausforderung?

___________________________

Disclaimer:This post is for educational and entertainment purpose only
[Link nur für registrierte Mitglieder sichtbar. ]

[cycomate]

Nachtrag: meine Idee wäre hier, da man dem offensichtlich nicht via wget [traffic] schaden kann, mal ein paar T-Offline IP zum spoofen zu benutzen. Dann wird der früher oder später ganz T-Offline sperren und damit war es das ebenso.

___________________________

Disclaimer:This post is for educational and entertainment purpose only
[Link nur für registrierte Mitglieder sichtbar. ]

[DocSnyder]

"dlp-*" gehört genauso wie "li-*" und "dkm-*" zu dialpartner.de, angebunden über inetbone.net und Level3.
Dialpartner.de steht zurzeit auf meiner Abschussliste ganz oben, da dieser Laden dank seines Werbepartners EnTex schon seit März durch massive Spamwellen auffällt. Das Problem ist, dass die Hutfarbe von Inetbone und Level3 wohl eher als dunkelgrau eingeschätzt werden kann.
/.
DocSnyder.

--
Friss, Spammer, friss: http://docsnyder.de/spl/forum/

[LOKI]

EnTex hat eigene Dialer und verschenkt sein Geld nicht an Dialpartner...

[DocSnyder]

> EnTex hat eigene Dialer und verschenkt sein Geld nicht an Dialpartner...
EnTex *verschenkt* ja kein Geld an Dialpartner sondern *bekommt* fürs Spa^WBewerben deren Dialer einen Umsatzanteil.
Mach mir nichts weis: http://www.sexdienstleister.de/payperminute.html -> Link zu Dialpartner, Account-ID li-10675. Dieselbe ID, welche im März/April durch eine massive Spamwelle mit Subject "STOP - Bitte beachten" auffiel.
[update] der Link wurde vor wenigen Minuten in "dlp-10455" geändert, was aber egal ist, da ich den Site vorher komplett gespiegelt habe. Dies beweist, dass "dlp-*" ebenfalls zu Dialpartner gehört.
/.
DocSnyder.

--
Friss, Spammer, friss: http://docsnyder.de/spl/forum/

[LOKI]

Falsch! Dieser Link ist schon seit Tagen so drin, denn schließlich habe ich mich vor Tagen dort schon angemeldet um endlich mal in die Strukturen Einblick nehmen zu können. Leider wurde ich nicht freigeschaltet
Loki`s Germanische Mythologie: http://www.loki.de.tf

[DocSnyder]

Der Zeitpunkt meiner "Spiegelung" war genau der 10.12.2002 um 23:29 CET.
Timestamp der aktualisierten Datei ist 11.12.2002 15:01 CET.
/.
DocSnyder.


--
Friss, Spammer, friss: http://docsnyder.de/spl/forum/

[LOKI]

Wer weiß was Du alles anstellst um anderen zu schaden, weil Dir die Nase nicht gefällt
Loki`s Germanische Mythologie: http://www.loki.de.tf

[cycomate]

Nachdem man mich auf einen thread in [Link nur für registrierte Mitglieder sichtbar. ] aufmerksam gemacht hat und ich feststellen mußte, daß ein gewisser Felix Deutsch scheinbar ein persönliches Problem mit mir hat und wo er nur kann gegen mich wettert, möchte ich hier noch einmal klarstellen, daß der Ansatz meiner Idee zwar auf spoofing auf Basis von tcp beruht, deswegen aber nicht undurchführbar ist.
Im einfachsten Fall steckt eine IDS hinter der downloadsperre, die allein schon bei Kontakt mit einem SYN die Sperre auslöst. Solche IDS gibt es, z.B. unterstützt iirc portsentry (betaversion, stealth mode) sofortige Reaktion schon bei SYNs, auch snort wird mit geeignetem plugin blocken. Diese Reaktion ist auf eine Trafficanalyse z.B. via tcpdump zurückzuführen, die auch greift, wenn der hinterstehende port dicht ist (DENY, nicht REJECT) und somit kein three-way-handshaking zustande kommen kann. Nebenbei bemerkt sei erwähnt, daß sich diesen Effekt u.a. blackholes zu Nutze machen, ebenso wie ein tool, welches bei Kontakt ein RST zurücksendet (siehe freshmeat, ich will jetzt nicht suchen).
Der andere Fall ist der, daß es eine reine iptables basierende downloadsperre ist. iptables unterstützt u.a. den Schalter --limit, wobei ich nicht sagen kann, ob dieser erst ab einem vollständigen three-way-handshaking greift oder bereits mit einem SYN zufrieden ist. Das auszuprobieren sei jemand anderem überlassen. Der Einfachheit halber nehme ich hier an, daß ein SYN-SYN/ACK-ACK notwendig ist.
Sollte dies der Fall sein, möge sich Felix Deutsch doch bitte google oder ähnlichen Suchmaschinen bedienen und so herausfinden, daß z.B. unter Zuhilfenahme von ISN oder half-open connections ein Spoofen möglich ist. Bedient man sich zudem noch un-/bekannten Sicherheitslücken, man erinnere sich an kernel bis 2.0.35, dürfte es nicht weiter schwer fallen. Aber auch hier gilt: das herauszufinden ist nicht meine Aufgabe, ich habe lediglich die Idee geäußert.
Ich poste diese `Stellungnahme` hier, da der Ton des de.* Usenet in den letzten Jahren doch erheblich an Niveau verlor und ich mit dem filtern kaum nachkomme.
Weiterhin lege ich auch keinen Wert auf eine Gegendarstellung seitens Felix Deutsch, die wahrscheinlich außer Beleidigungen eh nichts verwertbares enthalten würde.
Und weil es gerade so schön ist, sei am Rande erwähnt, daß das Thema hier offtopic ist und ich jede Diskussion im Keim ersticken werde

___________________________

Disclaimer:This post is for educational and entertainment purpose only
[Link nur für registrierte Mitglieder sichtbar. ]