Newsgroup: it.comp.sicurezza.varie
Titolo: Netsta-lumi

Saluti a tutti,
vorrei conoscere il significato dei vari comandi che appaiono quando si fa il netstat-a (io uso 10)
per capire quando preoccuparmi circa eventuali anomalie.
Dal log come da Faq sulla sicurezza scaricato, leggo sempre  "Time wait" e "EstablishedActive",
che credo si capiscano anche per un inesperto.
Ma "Close wait", "Syn Sent", "Last ack", "Closing","Fin wait 2"?
Mi fermo qui.
Preciso che uso sempre il proxi tin sulla 8080.
Nelle indicazioni del Local address qual'è il range delle porte che dovrebbero essere aperte normalmente?
Io nel log vedo quelle che vanno dalla 1026 alla 1639 (circa), in diversi casi con UDP(?) e Tcp nella colonna Proto(collo?).
Nella colonna "Foreign Address" ho le comprensibili port 110 e 119, mail e enews, e la 8080 del proxi, a volte una 110(?).
Limitandomi spesso al solo scarico e-mail e news, usando sempre il proxi per quel pò di navigazione che faccio, è tutto normale?
Il file in Window service mi pare non contenga tutti i n. delle porte, tantomeno abbonda in spiegazioni.
Dove si possono trovare lumi su netstat?
Grazie a tutti per l'attenzione.
Rispondetemi su questo newsgroup.

Dove si possono trovare lumi su netstat?
in questo post scritto da Leonardo Serni:
*********************
Keywords: NETSTAT, LISTEN, TIME_WAIT, TIME_WAIT2, ESTABLISHED, SYN_RECV
Abstract: Una breve spiegazione dell'output di NETSTAT, nonche' una ancor
          piu' succinta trattazione dello handshake a tre vie TCP, ad uso
	  di que' brodi che prima lanciano 'r programma e poi si chiedano
	  icche' vor di'.
X-Riddle: When a door is not a door? When it is a jar.
==========
Siano dati i sistemi PC e SERVER, con indirizzi logici 
a-fi1-1.tin.it
 e
www.bimbegnude.com
. SERVER offre servizi via TCP con protocollo HTTP ed
usa a questo scopo la porta 80. PC ha installato una backdoor NetBus ed
offre servizi via TCP con protocollo NETBUS usando la porta 12345.
Nel momento in cui il sottosistema IP si attiva, netbus.exe effettua un
gruppo di chiamate allo strato dei sockets (che in Windows non fa parte
del kernel), ovvero richiede un socket, lo collega con la funzione bind
alla porta 12345, e richiede un listen() tipo WSA_ASYNC... ovvero se ne
va a dormire dicendo al sistema operativo "...e se bussa qualcuno fammi
un fischio".
Il sistema operativo crea un Transmission Control Block e aspetta.
Nel frattempo l'utente richiede una connessione (via Netscape) col sito
www.bimbegnude.com
, per prelevare un po' di foto d'ornitorinchi nel su'
habitat naturale.
Netscape effettua un gruppo di chiamate molto simili (tranne listen()),
il sistema operativo crea un secondo Transmission Control Block, prende
il primo numero di porta effimera che trova (da 1024 in su) e invia via
modem {dare per scontato che l'IP destinatario gia' lo sappia} un primo
pacchetto TCP di tipo <SYN> (SYNchronize).
Per definire una connessione TCP servono due indirizzi IP, e due numeri
di porta. Questa connessione avra' quindi
	a-fi1-1.tin.it:1079-
www.bimbegnude.com:80
...naturalmente possono esistere CONTEMPORANEAMENTE moltissime altre di
queste connessioni, per esempio
	a-fi1-1.tin.it:1080-
www.bimbegnude.com:80
	a-fi1-1.tin.it:1081-
www.bimbegnude.com:80
	a-fi1-1.tin.it:1082-
www.bimbegnude.com:80
perche' Netscape apre piu' connessioni simultanee per tirare giu' molti
piu' ornitorinchi tutti insieme, e nello stesso tempo
	a-bo7-7.tin.it:1123-
www.bimbegnude.com:80
	a-bo7-7.tin.it:1124-
www.bimbegnude.com:80
perche' anche a Bologna c'e' un tizio che ni garba l'ornitorinchi. Dato
che Windows usa le porte effimere in sequenza (quando arriva a 32767, o
65534, ricomincia da 1025), sappiamo che il tizio di Bologna ha fatto a
occhio una quarantina di connessioni in piu' di quello di Firenze.
Il socket PC:1079 comunque e' ora in stato di SYN_SENT - cioe' ha fatto
'r suo, spedire il SYN, e ora aspetta la risposta.
WWW, che era in fase di LISTEN, riceve il SYN e rimanda indietro un TCP
con i flags di SYN ed ACK, creando contemporaneamente un socket perche'
la connessione viva di vita propria da quel momento in poi. Se il PC si
divertisse a mandare un casino di SYNs tutti insieme, WWW esaurirebbe i
sockets e non potrebbe piu' servire altre richieste (e questo si chiama
SYN flooding. I sistemi operativi seri se ne infischiano mediante certi
trucchi che vi diro' un'altra volta, o curiosi!).
Sicche' ora PC=SYN_SENT, WWW=SYN_RECV... e un pacchetto SYN|ACK viaggia
alla volta di PC. Ci arriva, e PC:1079 passa da SYN_SENT a ESTABLISHED,
perche' ha chiamato e gli hanno risposto, e a sua volta invia un ACK in
modo che WWW sappia che non ha beccato un SYN vagante, che c'e' proprio
qualcuno che vole vedere l'ornitorinchi.
WWW riceve l'ACK e passa da SYN_RECV a ESTABLISHED. Da qui in poi, ogni
pacchetto che si scambiano contiene alcune informazioni atte a metterlo
al su' posto nella connessione, a verificare che sia arrivato tutto, ed
a correggere eventuali problemi:
	PC: <SEQ 666, ricevuto 195, da 27 per 15>GET /culo.gif HTTP/1.0
	WWW: <SEQ 666, ricevuti i tuoi 15 da 27, da 196 per 10234>
	GIF89a......;
	PC: <FIN>
Quando il PC ha finito, invia il FIN, e si mette in stato di WAIT_FIN1.
Il server riceve il FIN, invia un ACK per dire che ha capito, e passa a
uno stato di CLOSE_WAIT.
Il PC riceve l'ACK del FIN, passa in stato di WAIT_FIN2.
Nel frattempo il server ha finito le su'cose, e invia un FIN anche lui,
passando da CLOSE_WAIT a LAST_ACK.
Il PC che era in WAIT_FIN2 riceve il FIN che stava aspettando, manda un
ACK e si mette in TIME_WAIT.
Il server, in LAST_ACK, riceve l'ACK e passa in stato di chiusura, leva
le tende e va a farsi un whiskaccio al bar.
Dopo un *po'*, il PC estingue anche lui il socket in TIME_WAIT e libera
le strutture di memoria associate.
(Non tratto RST, PSH ed URG perche' e' un casino).
NETSTAT, quando viene lanciato, esamina tutti i TCB e uno per uno dice:
dove sono aperti, su quale porta, con chi (se c'e' qualcuno), con quale
porta remota (se gia' si sa), e in che stato sono.
Percio':
Proto  Local Address          Foreign Address        State
TCP    
192.168.0.2:1027
 
0.0.0.0:0
              LISTENING
TCP    
192.168.0.2:1027
 
192.168.0.100:139
      ESTABLISHED
TCP    
192.168.0.2:1127
 
192.168.0.100:22
       ESTABLISHED
TCP    
192.168.0.2:137
 
0.0.0.0:0
              LISTENING
TCP    
192.168.0.2:138
 
0.0.0.0:0
              LISTENING
TCP    
192.168.0.2:139
 
0.0.0.0:0
              LISTENING
vuol dire che c'e' una comunicazione in corso con 192.168.0.100, e non
saprei bene perche' la 1027 sia aperta due volte <grin>, e il PC e' in
attesa di una connessione sulle porte 137, 138 e 139.
Se tento di fare una connessione a un sito che non c'e' mi compare una
linea in piu'
  TCP    
192.168.0.2:1147
 
192.168.0.254:21
       SYN_SENT
perche' il SYN l'ho spedito, ma nessuno mi mandera' mai l'ACK.
Microsoft si e' preoccupata delle lamentele dei clienti, che dicevano
che le porte non si chiudevano, che NETSTAT diceva che c'erano RECV a
rondeman e WAIT come se piovesse, e per recare loro vtile et diletto,
ha fatto si' che le nuove versioni di NETSTAT non dicano un cazzo, in
questa maniera voi brodi non vi preoccupate delle cose che non potete
capire e poi fate piangere babbo Bill, che vi vuole tanto bene, merde
assassine e ingrate che non siete altro.
Ecco perche' il NETSTAT nuovo da' meno preoccupazioni. Se rimetteste,
poni il caso, il NETSTAT vecchio, "ritornerebbero" i problemi.
Avessero potuto, avrebbero installato questo
@ECHO OFF
REM Netstat.bat - v1.0 - (C) Microsoft Corporation
ECHO "Tutto bene! Okay! O rait!"
ECHO "Press any key to return to Windows"
PAUSE
REM Fine programma.
Per cui quando il buon Paolo Monti avra' finito il Netstat grafico e
ve lo sarete installato, vedete di non tediarlo & angvstiarlo con un
tritio di "O perche' NETSTAT 'un mi dice che cio' la 1127 in WAIT, e
'sto brodo di AVP invece si'? Mi serve una versione nova di AVP?".
Leonardo
**************************
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

 wrote in message 375c6206...@news.eden.it...


2) E questo netstat grafico e' finito o no?
Si'. Lo trovi su 
www.avp.it
 (credo si chiami AVP Network Monitor,
ma comunque il nome e' piu' o meno quello).
Gia' che ci sei puo' essere utile AVP System Monitor, un coso che
vede tutti i processi di Windows - compresi quelli nascosti, e li
uccide a comando.
Leonardo
".signature": bad command or file name

A proposito di netstat...
mi chiedevo... ma visto che funziona in dos... 
allora si puo' usare anche con win3.1.
Ho detto una cacchiata ???

 cacchiata ???
<CONSOLE>
	D:\>netstat /?
	Visualizza le statistiche del protocollo e le connessioni di 
	rete TCP/IP correnti.
	[snip]
</CONSOLE>
  Cosa si desume da questo breve estratto dell'help di netstat? Che,
principalmente, deve esserci un'interfaccia con il protocollo TCP. Se
essa c'e`, e se e` sviluppata come clone del package IPS di UNIX
(netstat(8) e` nato li`...) allora c'e` anche netstat. ;)
	Alla prossima,
		Marco

 allora si puo' usare anche con win3.1.
Il fatto che sia un programma carattere non vuol dire nulla. Lanciando netstat
-na 10 per farlo durare abbastanza da riuscire a listarlo con WinTOP, vedo che
il programma viene identificato come NETSTAT.EXE 32-bit 4.0. Quindi QUESTO
netstat non potrebbe girare in Windows < 95. [E' del tutto possibile e normale
che ci siano programmi Windows 95/98 senza finestre e bottoni, ma con
l'interfaccia a carattere. Ma sempre applicazioni W95/98 restano].
Ciao, Max.
-- 
Emma for Europe: 
http://www.emmaforeurope.it/
Perche' ho scelto cosi': 
http://www.agora.stm.it/M.Baldinelli/art21/art21.htm
        [ FIRMA I REFERENDUM!!! ]
----------------------------------------ICQ: 14816698----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------

netstat non potrebbe girare in Windows < 95. [E' del tutto possibile e normale
Puo girare con Windows 3.1 ma penso che devi installare le estensioni WIN32
sopra. Per Windows 3.1 esiste un dischetto per farlo andare anche con il
TCP/IP.
Saluti, AGX

 TCP/IP.
Per far andare Win3.1 col TCP/IP, intendi?

>Per far andare Win3.1 col TCP/IP, intendi?
Si ... se e' una notizia utile.