Newsgroup: it.comp.sicurezza.varie
Titolo: unix backorifice e netbus

Facendo una scansione in linux  con nmap mi da questi 2 servizi (backorifice
31377 e
netbus 12345-123456) filtered;
Mi devo preoccupare??????????
Scannerizzando con superscan sotto windows mi da le porte chiuse!!!!!!!!!!!
Non erano virus di sistemi di windows!!!!!!!!!!
Chiunque sappia qualche cosa mi faccia sapere, sopratutto come si rimuovono
o si chiudono quelle porte!!!!!!!!!
1000 grazie
Alex

kr...@libero.it
 

ma filtered non vorra' dire che sono filtrate dal firewall?
c'avrai un paio di rules che monitorizzano quelle due porte stranote.
.
------------------------------------------------------------
Everything New York! FREE E-MAIL FOR LIFE! 
http://www.NYCNY.net
-- 
Posted from [212.44.60.50] by way of 
mail3.bigmailbox.com
 [209.132.220.34] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Scusa ma il firewall di cui parli è di default su linux?? io non l'ho mai
installato??
E poi, perche mi da filtered e non porte chiuse??
Insomma a tuo avviso visto che te ne intendi sono entrati o no nel mio
sistema??
Grazie


 netbus 12345-123456) filtered;
Spiega meglio.
Hai fatto nmap sul sistema con linux o il
target era un altro sistema con win?

 31377 e netbus 12345-123456) filtered;
non ho capito:
D1) tu hai 1 pc con linux e win installati, hai avviato in linux e
nmap tuo ip ti ha fatto vedere che hai sta roba filtered, poi riavvi
in win, esegui superscan e non vedi nulla di aperto?
R1) probabilmente hai un firewall attivo (# ipchains -L dice
qualcosa?) e qualcosa che controlla le porte di bo e netbus, siccome
non mi ricordo esista un netbus server (bo mi pare invece esista) per
linux, probabilmente non sono backdoors ma solo checkbo o simili.
comunque, in entrambi i casi (backdoors o programma di monitoraggio)
vai alla ricerca di cosa ti apre quelle porte e ammazzalo. per
esempio
# nestat -ln | less
...
tcp   0 0   
0.0.0.0:12345
     0.0.0.0:*            LISTEN
...
# fuser -u -v -n tcp 12345
12345/tcp             root        178 f....  netbus
uccidi il processo 178 e cerca di capire come mai esiste.
*se non riesci a capire cosa lo apre* beh, alla brutta formatta e
reinstalla, controllando pero' *cosa* installi, e finita
l'installazione, prima di accedere a internet man tripwire e man
ipchains, cosi' la prossima volta che ti capita una cosa simile sai
cosa e' successo.
D2) tu hai 2 pc, uno con win e uno con linux, da linux digiti nmap
ip di win e salta fuori la pappardella, da win con superscan
controlli e non vedi nulla
R2) boh? non ho idea di cosa faccia superscan[1], comunque e'
probabile che sul pc con win tu abbia un firewall e/o checkbo o
simili. Se hai win98 c'e' una utilita' che ti permette di vedere i
processi attivi (non ctrl alt canc, una cosa piu' carina...[2]), li
ammazzi tutti uno alla volta e poi controlli se la porta e' ancora in
ascolto, appena si chiude sai chi e' il furbo che la tiene aperta.
[1] nel senso che fa anche da checkbo/firewall?
[2] anche perche' le vere backdoors micca si fanno beccare cosi'
facilemente, qualcosa tipo system information....
-- 
nebbia

 ha scritto nel messaggio news:unj419...@ciemme.it...


 sistema??
non e' che me ne intendo tanto (di tetti ritinti..) ma *a priori* escludo
che ci possano essere non *una* ma *due* backdoor attive nel tuo linux.
e' scientificamente impossibile in contrasto con qualsiasi regola cosmica.
se fosse vero l'intera societa' come noi la conosciamo entrerebbe in crisi
e presto l'umanita' si estinguerebbe..:-) 
.
------------------------------------------------------------
Everything New York! FREE E-MAIL FOR LIFE! 
http://www.NYCNY.net
-- 
Posted from [194.153.103.202] by way of 
mail8.bigmailbox.com
 [209.132.220.39] 


Che mi dici????
Ti dico che é giusto che non ci siano in /etc/services: in quel file
ci sono elencate solo le cosiddette "well known ports" non servizi che
si sono resi noti in seguito grazie a quella porcheria di Uindous.
Netbus e BO non sono servizi standard per cui non li troverai mai a
meno che non li metta tu !

 Non so se hai seguito tutta la storia ( vedi post precedenti), il fatto è
che con nmap mi da quelle porte "filtered", e mi sono un po
preoccupato!!!!!!!!!!!
Ciao

 preoccupato!!!!!!!!!!!
Allora...ti e' chiaro come funziona nmap?
"filtered" e' l'output che viene dato da nmap
nel caso in cui riceva:
- un icmp "destination host unreachable"
- nessuna risposta.
"closed" e' invece l'output dato quando nmap
riceve un pacchetto TCP con flag RST.
Il punto e' quindi: sei sicuro che non ci sia alcuna regola
di filtraggio preimpostata sulla tua macchina?
http://www.insecure.org/nmap/nmap_manpage-it.html
per i dettagli sul funzionamento di nmap
[man page in italiano]

preoccupato!!!!!!!!!!!
Non c'é nulla di cui preoccuparsi.

 ha scritto nel messaggio news:unj419...@ciemme.it...


Mi devo preoccupare??????????
ovviamente no a priori, visto che backdoor di quel genere ne esistono
solo per winbug
il mistero e` piuttosto chi e` che ti ha messo su il firewall, visto che
in nessuna distro di linux vi sono regole preimpostate eppure ti
risultano delle porte filtered...
-- 
    Pardo 
 
www.pardo.cjb.net

 Spero di essere stato abbastanza chiaro
yes ;) 
quindi direi che le eventuali backdoors [1] rispondono solo a
richiest fatte da localhost (vedi cosa hai in /etc/hosts.allow e
deny?)
hai provato a digitare da root 
# ipchains -L ? che output hai?
[1] scommetterei che si tratta di un monitor antibo, sarei pero'
curioso di capire chi lo lancia....
non mi ricordo +...
# fuser -n tcp 12345
# fuser -n udp 31337
cosa dicono? nulla?
-- 
nebbia