Newsgroup: it.comp.sicurezza.varie
Titolo: Porte 1025, 1235 in ascolto..........

Salve a tutti.
vi invito a rispondere al mio semplice dubbio (il mio SO è Win95).
All'accensione dep Pc, ho 2 porticine in ascolto, la 135 (Non ho
caricato nessun protocollo per il NetBios) e la 1025 (ENTRAMBE IN
TCP).
Entrambe queste porte si chiudono come per incanto quando KILLO il
programmino in esecuzione: c:\windows\system\RPCSS.EXE.
Però, questo eseguibile non ha nessuna chiave che lo avvia dal
registro, ne in RUN o RUN ONCE e neppure per RUN SERVICE O RUN SERVICE
ONCE.
controllando l'eseguibile, ne trovo due apparentemente uguali:
RPCSS.EXE e rpcss.exe entrambi di 90k.
Domanda1): a che servono (se non sono delle Back Door)??
Domanda2): ma win da quando fa disinzione fra MAIUSCOLE e minuscole (
un ritorno di fiamma al buon Unix)??
Domanda3): per quale motivo hanno la stessa dimensione visto che in
un'altro Win95 i due file ci sono ma hanno dimensioni diverse??
Domanda4): presupponiano che ci sia una BackDoor, l'antivirus però non
mi dice niente, che ne sia uscita uno troppo recente per il Norton??
(Di solito prima esce la Patch per il Troian e poi il Troian!!!)
CMQ quale cosa possa essere, se è una BD qualcuno si farà vivo e
attenderemo di conoscere il suo IP. Speriamo Bene!!!
Grazie a Tutti e Attenti alle porte Aperte!!!
Luca. 
(Wgliantispanechigliusa!!)

 ha scritto nel messaggio
news:3940282a...@news.tin.it...


ONCE.
Prova a cercare le chiavi del DCOM... ed assicurati che
EnableRemoteConnect ci sia e valga "0" (o "No", mica mi
ricordo).
Ci sono piu' backdoors in cielo e in terra, Bill, ...
Leonardo amletico
--
And where the black and corkscrew towers climb
lost and athirst the ragged pack abides,
old as the aeons, trapped in tombs of time,
sailing the tortuous temporal tides...


Io non nessuna directory con questo nome... DCOM (Distributed Component
Object Model) serve ad integrare applicazioni distribuite in una rete. Da
quello che ho capito serve per condividere un progetto in rete fra diversi
progettisti. Hai mica installato Visual Studio o similari? Potrebbe
dipendere da questo.
In effetti anch'io ho le vostre stesse porte il listening... anzi peggio:
135, 1025, 1026, 1027, 1027, 1028.
Le SecurFaq menzionano queste ultime ma non specificano che tipo di traffico
generano.
Temo sia, per quel che riguarda me (su questa macchiana con W98SE) qualche
nuova trovata Microsoft.
Temo, soprattutto, eventuali DoS sulla 135... spesso mi accade (anzi
spessissimo) che la connessione cada.
Qualcuno ci illumina?

Qualcuno ci illumina?
Io uso Windows Millenium RC0 e ho lo stesso problema.
Comunque non mi sembra una applicazione pericolosa, e' nativa del
sistema Microsoft (non vale per W2000) e dovrebbe servire per gestire
comunicazioni con la rete Internet. Non so essere piu' preciso. 
Comunque, se volete debellare il problema, installate il Firewall
"Zone Alarm" e mettetevi il cuore in pace. Gia' alla prima connessione
intercettera' il file DCOM in azione e vi chiedera' come intervenire.
Se deciderete di inibirlo per sempre non vi dara' piu' nessun
problema.
Resta comunque la curiosita' di sapere a cosa serva realmente.
Ciao
Indirizzo e-amil alterato!!
Per rispondere in privato eliminare "99".

 (Wgliantispanechigliusa!!)

 Qualcuno ci illumina?
Di recente mi stavo occupando proprio di rpcss, incuriosito
da un post su un'altro ng. Questo è il mio piccolo contributo:
RPC
Remote Procedure Call. Un protocollo per chiamare routine che si
trovano su una macchina remota e farle eseguire su quella
macchina. Normalmente io lancio una qualsiasi applicazione (il file
EXE) e questa chiamerà numerose altre routine (tipicamente in file
DLL, ma anche DRV, OCX ecc.). Anche se i file DLL sono su altre
macchine vengono caricati sulla mia ed eseguiti sulla mia. Se
l'applicazione usa l'RPC può farle invece eseguire sulla macchina
remota e ricevere solo i risultati. E' uno dei protocolli Internet,
quindi funziona anche tra sistemi operativi diversi e su reti diverse.
Il file rpcss.exe è l'eseguibile che realizza il servizio: è sempre in
esecuzione, ascolta le richieste dalla rete e, se hanno le
necessarie autorizzazioni, manda in esecuzione la routine richiesta
e restituisce i risultati alla macchina richiedente.
Ciao.
Orfeo 137
--
********************************************************************
BA9C 80F3 A165 0B91 EE13  9BEA 239E E955 A14E E281
********************************************************************


wrote:
BENE BENE, grazie a te a agli altri ho trovato info sul nostro
rcpcss.exe
Le info si trovano alla pagina:
http://computing.net/windows95/wwwboard/forum/3943.html
e riportano le stesse cose che sia io che altri abbiamo riscontrato:
PORTE APERTE.
La riposta n31 riporta come fare per togliere il programma in
esecuzione. Leggendo mi sembra chiaro che non siamo in presenza di un
Troian ma di una "fregatura" che la Micros. ci ha "venduto". 
Ritengo che ci sia sicuramente un modo per entrare e avere
direttamente accesso al kernel o mandare in crasch il sistema , ma non
ne voglio essere la cavia.
Qualcuno ha qualche idea???
Aloha.


 ne voglio essere la cavia.
Prova ad andare sull'MSDN: 
http://search.microsoft.com/us/dev/
e fai un paio di ricerche, prima RPCSS.EXE PORT 135, poi solo PORT 135
poi magari prova anche PORT 135 FIREWALL
Scusa, ma è più semplice fare così che darti tutto l'elenco degli URL :-))
Fra le altre cose noterai:
Q193233 - Rpcss.exe Consumes 100% CPU Due to RPC Spoofing Attack
Q162567 - Telnet to Port 135 Causes 100 Percent CPU Usage
Q165821 - BUG: Windows NT Version 4.0 Bug List - RPC Runtime
Riferiti comunque a vecchie versioni del 3.51 e di NT 4.0 senza SP.
Bye, G.

ricordo).
Nella chiave HKEY_LOCAL_MACHINE\Software\Microsoft\OLE bisogna
assicurarsi che EnableRemoteConnect valga "N" (e non "Y"... e nemmeno
"0" o "No" ;-)
Lapalissiano
ICQ 57269703

 Resta comunque la curiosita' di sapere a cosa serva realmente.
Infatti... Ma com'e' possibile che venfa fornito un SO che e' un
colabrodo... e soprattutto con porte aperte pronte a rispondere alle piu'
nefande attivita'. :-(
--
Ciao... Unlucky Man
Rimuovi no per rispondermi
--

 macchina. Normalmente io lancio una qualsiasi applicazione (il file
---[CUT]
Ma e' un suicidio... Credo non ci voglia molto inventarsi false
autorizzazioni ed annicchilare una macchina.
Spero di aver capito male ma... Minchiasoft non finisce di stupirmi :-(


 Spero di aver capito male ma... Minchiasoft non finisce di stupirmi :-(
Guarda che RPC l'ha inventato la SUN se ricordo bene e normalmente
funziona sotto unix.
Il fatto che sia facile inventarsi le autorizzazioni e' la debolezza
intrinseca di NFS e di altri protocolli affini, fintanto che non si usa
un sistema criptato, e' comunque possibile filtrare il tutto sulla base
degli ip di provenienza (beh, almeno sotto unix, windows non ne ho
idea). 
Comunque annichilare una macchina sotto unix facendo girare delle
applicazioni, se non sei root, non e' cosi' banale.
Ciao
-- 
Simone Piccardi
Microsoft is NOT the answer. Microsoft is the Question.
The answer is: "NO!"

 applicazioni, se non sei root, non e' cosi' banale.
Certo, credo possa dirsi altrettanto di  un sistema NT ben configurato.
Nel mio caso, pero', non utilizzando Linux ed affini o WindowsNT non ho la
possibilita' di gestire gerarchie, autorizzazioni o altro. Un sistema come
il mio e', quindi, ben piu' 'attaccabile'.
La storia e' sempre la stessa... l'utilizzo distorto e palesemente
indirizzato alla violazione di strumenti nati per tutt'altro...
--
Ciao... Unlucky Man
Rimuovi no dall'indirizzo per rispondermi
--