Newsgroup: it.comp.sicurezza.varie
Titolo: Porta UDP 1574

Salve a tutti.
Ho montato, da alcuni mesi, un firewall hardware per migliorare la
sicurezza durante la navigazione visto che ho i pc in casa collegati 24
ore su 24. Tra le tante righe che spuntano nel log del firewall, la voce
che le riempie, è il blocco di connessioni con protocollo UDP sulla
porta 1574. Allora, per quanto io mi sia documentato in giro per la rete
(forse non ho saputo cercare), non sono riuscito a sapere o almeno a
supporre a cosa si riferisca questo tipo di connessione. L'unica cosa
che trovo è che la porta UDP 1574 è "mvel-lm mvel-lm", nessuna altra
informazione a riguardo. Che significa "mvel-lm mvel-lm" poi? Qualcuno
mi sa dire che cosa può passare su quella porta?
Ho pensato potessero essere pacchetti per emule ma la porta udp che ho
configurato, nattato e forwardato nel firewall è la 36838 e funziona
perfettamente. Mi chiedo: come mai tutte quelle connessioni che puntano
su quella porta da così tanti diversi ip?
Spero che qualcuno possa darmi qualche utile informazione.
Grazie tante, ciao, Michele.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 per la rete (forse non ho saputo cercare),
http://www.auditmypc.com/port/udp-port-1574.asp
ciao.
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Windows Server
http://mvp.support.microsoft.com
 

 ciao.
Ti ringrazio, almeno quella pagina mi dice qualcosa in più dal 
punto di vista tecnico ma ai fini di decidere se aprire il firewall
per quella porta o no, la risposta non la trovo in quelle righe.
Di fatto ho postato questa domanda più che altro per ricercare
esperienze di chi, come me, ha trovato molte righe di log con quella
porta bloccata ed è altresì riuscito a determinarne la provenienza.
Sono proiettato a pensare che cmq c'entri con il client p2p emule in
quanto la porta di origine che spedisce quei pacchetti, sempre da ip
diversi, è quasi sempre la 4672 che è la nota porta UDP delle
comunicazioni p2p.
Se hai altre notizie, suggerimenti, test o altro, sarei lieto
di riceverli.
Grazie ancora, ciao.


 
http://www.auditmypc.com/port/udp-port-1574.asp
Non conoscevo questo sito. Ho provato una scansione di un range di 2500 
porte a caso e mi dice che non ha trovato niente, perň mi avverte cosě:
---------------
Your natted (or real) IP address is 192.168.1.3.   This information can 
be used to track your activities.   I should not be able to obtain this 
information if your security is properly configured!
---------------
In effetti ho un router con firewall e quello č il mio IP interno. 
Vorrei sapere se č vero che non dovrebbe essere in grado di leggere 
quell'IP, e se sě, come configurare il router/firewall.
Nella pagina dei consigli dice che potrebbe mancare qualche patch di 
sicurezza, ma non credo sia cosě. Uso anche Jetico come firewall 
software.
Grazie.
-- 
All rights reserved, all wrongs reversed
 Ciao
Gianluca

 quell'IP,
è una bufala. legge l'ip nell'header
dei pacchetti di richiesta inviati al loro server.
se sei dietro ad un proxy non legge più
l'ip interno.


 di riceverli.
suggerimento: chiudila.


 l'ip interno.
Non mi era venuto in mente. Anche dagli header di una mia email si 
capisce che ho quell'IP interno.


 > di riceverli.
 
suggerimento: chiudila.
Beh, forse non mi sono spiegato o forse non hai capito tu ma quella
porta
è già chiusa dal firewall! Se ho detto che la vedo nel log!
Volevo sapere se qualcuno sapeva che cosa potesse essere e perchè si 
ripetesse così frequentemente, tutto qua.
Grazie comunque. Ciao.


 è già chiusa dal firewall! Se ho detto che la vedo nel log!
E se la porta e' chiusa ignora i tentativi di connessione e vivi felice.
Diamine, io non so perche' la gente non legge "turbamenti di una 
minorenne"...
E' tanto una lettura edificante - e poi un post di Leo e' come un buon vino: 
piu' invecchia e piu' lo si gusta :P
begin quote
Soggetto:Turbamenti di una minorenne (was: FAQ) - by Leonardo Serni
Original Format
Newsgroups:it.comp.sicurezza.varie
Data:1999/11/08
0. Perche'
1. NUKE NABBER, cos'e'
2. PORTE
3. NUKE NABBER, cosa fa
4. WHERE DO WE GO FROM HERE
5. Conclusioni
0. Perche'
Perche', o Gentile Lettore, tu forse sei su questo newsgroup da pochi giorni
o poche ore, e per te e' tutto nuovo, e i tuoi dubbi sono cose mai udite dal
vago sentore di mistero. Magari, non ti passa per la testa di chiedere prima
se ci sia o dove sia la FAQ (lista di Frequently Asked Questions, con alcune
risposte).
E pensi che, se fai una domanda, sia nuova e stimolante per tutti come lo e'
per te.
Purtroppo lo stesso ragionamento lo potrebbero aver fatto in diversi, e agli
occhi impietosi dei partecipanti di piu' vecchia data (che, per questo fatto
stesso, sono coloro che piu' probabilmente ti potrebbero aiutare) la tua non
e' una domanda nuova ma la quarantunesima ripetizione di qualcosa che magari
suonava stantio gia' agli inizi.
Qualcuno di codesti partecipanti, obliati i tempi in cui egli stesso non era
ancora salito al di sopra del livello 'ignorante fottuto' (poiche' nessuno a
questo mondo nasce imparato), potrebbe anche risponderti male.
E siccome la maggior parte delle domande peggio accolte di questi ultimi (si
fa per dire) tempi vertono sul Nuke Nabber - una di quelle applicazioni nate
per un mercato di nicchia e poi usate per fare tutt'altre cose con risultati
ovviamente scoraggianti, un po' com'e' successo a Windows - ecco che diventa
utile, se non necessario, mettere giu' un paio di considerazioni in materia.
1. NUKE NABBER, cos'e'
E' un programma che intercettava un tipo molto specifico di "pacchetto dati"
mal costruito, con il quale Windows, tentando di interpretarlo, soffocava.
Questo ai tempi dei tempi. Oggi viene usato per registrare richieste di dati
e connessioni via Internet.
2. PORTE
Due dei protocolli piu' usati dello strato di trasporto Internet, TCP ed UDP
(o TCP/IP e UDP/IP, se si vuole chiarire il fatto che sono trasportati dallo
Internet Protocol, o IP) consentono di specificare una "etichetta" ai propri
pacchetti. Questa etichetta non e' altro che un numero da 0 a 65535, ma, per
esempio, consente di suddividere il traffico in base ad essa, PRIMA che tale
traffico arrivi ad un computer.
Come si fa in quelle aule troppo affollate, che vengono suddivise in gruppi,
basandosi sull'iniziale del cognome: A-M, N-Z, o roba simile. E praticamente
per lo stesso motivo: migliora il servizio.
Poi qualcuno ha deciso di associare ad ogni etichetta uno specifico servizio
di rete. Per esempio, la posta elettronica usa 25 e 110, anche se niente, in
teoria, impedirebbe di usare (che so?) 1701 e 32767.
Questo consente ai vari servers di rete che offrono solo alcuni servizi, per
esempio posta elettronica e World Wide Web, di controllare l'etichetta, e di
buttare via il pacchetto se l'etichetta NON e' 25, 80 o 110.
Qualche scriteriato ha deciso di chiamare quei numerini "PORTE" e li', IMHO,
e' nato il casino: perche' PORTA e' qualcosa da cui si entra.
Allora, se sapete bene come funziona IP, saprete interpretare quello che sto
per scrivere.
ALTRIMENTI, buttate via il concetto stesso di PORTA. Non chiamatele PORTE. A
partire da ora il vostro computer non ha piu' PORTE, ma ha delle LINEE IP, a
somiglianza delle linee telefoniche.
Ne ha in tutto 131070: sessantacinquemila TCP e altrettante UDP. Lo stack IP
del vostro computer e' il centralino... e i programmi installati sono i vari
telefoni interni.
Questo serve per chiarire una cosa: mentre e' possibile sfondare una PORTA e
quindi, sentendo parlare di PORTA, e' legittimo domandarsi se si possa forse
sfondarla, se avete una linea *MA NON IL TELEFONO COLLEGATO* neanche il buon
Dio sara' capace di farlo squillare.
3. NUKE NABBER, cosa fa
Nuke Nabber installa una serie di telefoni, un registratore di telefonate ed
un sistema di disattivazione dei telefoni.
4. WHERE DO WE GO FROM HERE
Supponiamo che un amico abbia questo centralino, con 131070 numeri urbani, e
cinque o sei segretarie. Una addetta al numero 137, una al 138, una al 139 e
le altre per motivi che poi vi diro'... e che non sono quelli che voi majali
vi state figurando, o porcelloni!
Queste segretarie hanno un difetto: se la prima parola dell'interlocutore e'
"Obluraschi?" anziche' "Pronto?", svengono.
Di conseguenza l'amico cosa fa? Ha due strade... telefona all'agenzia da cui
ha assunto le segretarie, la Micro&Small Office Finicky Telephonists, pianta
una grana, si fa mandare segretarie piu' agguerrite; oppure assume l'anziana
Miss Moneypenny, che risponde lei alla prima parola, e, se va bene, la passa
alla segretaria; altrimenti riattacca.
Poi l'amico si domanda... "Ma metti che qualcuno telefona su una delle linee
dove non ho telefono per dirmi le cosacce?"
Di conseguenza l'amico installa una batteria di telefoni, di Miss Moneypenny
e di registratori, e aspetta.
Quella sera, un maniaco telefona all'interno 31337, e anziche' suonare vuoto
c'e' Miss Moneypenny a rispondere.
"Obluraschi?"
"EH?!?"
"PUPPA!!! Uno a zero!"
<click>
Ora, per quanto l'anonimo maniaco sia indubbiamente un molestatore, e' anche
vero che SE NON CI FOSSE STATO NESSUNO A RISPONDERE si sarebbe stufato molto
in fretta.
Purtroppo c'e' anche un'altra minaccia, piu' reale. Anzi, due.
La prima, e' che il centralino e' difettoso. Se a cornetta alzata dall'altro
lato viene mandato un "La" con un diapason, il centralino brucia. Pero' come
e' logico questo succede solo se qualcuno ha risposto... qualcuno, come puo'
esserlo Miss Moneypenny.
<DRIN>
"Qui Miss Moneypenny, dica."
"Tliinnnnnnn"
<SFRRAAAAZZZZ>
...tutto d'un tratto assumere miss Moneypenny diventa meno attraente, vero?
La seconda minaccia sta nel fatto che voi non conoscete le segretarie. Loro,
d'altra parte, non si conoscono tra loro. Per cui ogni mattina entra un dato
numero di estranee e si mettono al telefono.
<DRIN>
(voce maschile) "pssst! Ehi! Sei tu?"
(a bassa voce) "Si', sono io."
"C'e' il tuo (ah! ah!) capo?"
(a bassa voce) "Si', ma non mi guarda e non sospetta niente."
"Allora intanto dimmi la combinazione della cassaforte."
(a bassa voce) "1-2-3-4-5-6"
"E adesso, gia' che ci sei, molla un calcione al centralino e scappa."
(a bassa voce) "OK!"
<SBAM!><SFRRAAAAAZZZ>
Questo genere di backdoor funziona perche' installa qualcosa che si mette ad
uno dei telefoni in attesa di essere chiamato. Fortunatamente, il centralino
ne deve essere informato (se no come fa a passare la chiamata?) e se l'amico
non e' proprio stupido deve SAPERE quali numeri sono attivi.
Cosi' lo domanda al centralino (il comando e' NETSTAT -na) e questo risponde
Proto Local Address Foreign Address State
TCP 
192.168.0.2:79
 *.* LISTEN
TCP 
192.168.0.2:1027
 
192.168.0.100:22
 ESTABLISHED
TCP 
192.168.0.2:1145
 
192.168.0.254:22
 ESTABLISHED
TCP 
192.168.0.2:1183
 
192.168.0.100:8080
 CLOSE_WAIT
TCP 
192.168.0.2:12345
 *.* LISTEN
UDP 
192.168.0.2:137
 *:*
UDP 
192.168.0.2:138
 *:*
UDP 
192.168.0.2:31337
 *:* LISTEN
Ora il nostro amico sa che l'interno 79 e' occupato da una segretaria che...
...be', lasciamo perdere, se no divento scurrile. Comunque quel 79 va bene.
I numeri sopra 1024 sono assegnati alle segretarie "vaganti", che telefonano
loro all'esterno su ordine dell'amico. Si vede qui che chiamano il numero 22
di un altro centralino, e l'amico sa che questo va bene... 8080 e' il numero
di un servizio proxy, e anche quello va bene.
12345 e 31337 invece NON vanno bene, perche' risultano in LISTEN, cioe' c'e'
una segretaria in attesa di chiamate. Questo non va bene, e l'amico corre ai
ripari assumendo un "gorilla", che si preoccupa di individuare le segretarie
infedeli e di trombarle a spregio prima di buttarle dalla finestra (siamo al
tredicesimo piano, ma lui non e' superstizioso). Il gorilla non fa lo stesso
errore di Miss Moneypenny e non mette telefoni da nessuna parte, si limita a
tenere nel taschino una serie di foto segnaletiche. Quando arriva una che fa
finta di essere Luana la babysitter, quello occhieggia la foto, e fa "Ah ah!
Tu non sei "Luana la babysitter", bensi' Stanislao Moulinsky in uno dei suoi
piu' riusciti travestimenti!"
Va da se' che se si e' travestito troppo bene, qualche rischio lo correte lo
stesso.
5. Conclusioni
In breve, quando installate Miss Moneypenny/Nuke Nabber, non pensate di aver
risolto tutti i problemi.
Soprattutto, quando arriva la stagionata signorina a fine serata con il log,
e dice "Allora il 192.168.7.34 m'ha chiamato tegame; il 192.168.9.21 chiama,
grida 'caata!' e poi riappende; al 192.168.99.33 c'e' uno che ruta;...", non
dimenticatevi che:
a) Ve lo siete voluto;
b) Non e' detto che quella brutta gente voglia male a voi specificamente, ma
puo' benissimo darsi che chiamasse a caso;
c) Se vi volevano buttare giu', ci riuscivano meglio CON il NN che SENZA, se
sapevano come fare;
d) Quasi tutto quello che c'e' sul log potrebbe essere falso (indirizzi ecc.
ecc.);
e) Nessun provider muove un dito per cosi' poco;
f) Il log non significa che "qualcuno e' entrato". Se qualcuno entrava, come
minimo NON avreste alcun log, vi pare?
Leonardo
end quote