Newsgroup: it.comp.sicurezza.varie
Titolo: Richiesta info su tentativo di accesso

Saluti a tutti, ho da poco installato Norton Internet Security
e questa sera ho ricevuto il seguente msg di avviso:
E' stato rilevato un tentativo di accesso al computer da parte di
una comunicazione Internet o di rete.
Dettagli:
Applicazione: N/A
Server locale in entrata TCP sulla porta socks (1080)
Indirizzo remoto: 212.216.192.55
Si tratta di un falso allarme o di un vero tentativo si intrusione?
Grazie a chi mi risponderà.
Andrea


Cercavano un server socks.
Una cosa tipo WinGate, per intenderci.
-- 
There are more things in heaven and earth, Horatio
That are dreamt of in your philosophy....
W. Shakespeare, Hamlet
[rimuovi la stringa dopo  
scientist.com
 per scrivermi]

 Indirizzo remoto: 212.216.192.55
si tratta di un utente di 
tin.it
 che faceva una bella scansione di IP alla
ricerca di eventuali porte aperte...la 1080 nel tuo caso.
nessuno qui puo' dirti se tu quella porta l'abbia aperta sul serio (magari
hai davvero installato un Socks Server che lascia in LISTENING quella porta)
ma sei tu che puoi scoprirlo da solo con un semplice netstat -a da linea di
comando, a macchina appena avviata e senza aprire nulla (IE, OE).
Non allarmarti per tutti i log che registrerai nei giorni che seguiranno..
se non hai servizi a disposizione (LISTENING) per il resto del mondo il FW
non fa altro che loggare questi tentativi di lamerz e tenerli lontano...
a proposito, se ti va segnala quell'IP con ora e data all'abuseman di tin
ciao


Calma, calma.....
ti ringrazio per la risposta ma non ci ho capito granche', anzi
in verità proprio nulla.......scusa l'ignoranza ma potresti
tradurre i termini tecnici come Socks Server, Listening ecc.
Grazie.
Zanzo

 tradurre i termini tecnici come Socks Server, Listening ecc.
ok, cercherò di spiegarmi meglio:
Sock Server...beh, Lyapunov ti ha fatto l'esempio di "Wingate" molto
calzante..
Wingate, per farti capire, è un Software che serve per condividere una
connessione internet, ossia da una sola macchina collegata ad Internet,
altre macchine possono collegarsi e navigare usando la macchina con Wingate
installato (che farà da proxy...)
Ora, supponiamo che tu abbia a casa una piccola rete locale di 3 piccì: tua
sorella ti odia perchè deve assolutamente vedere un sito, ma al momento stai
navigando tu...installi Wingate e il gioco è fatto, navigate tutti felici e
contenti
1 linea telefonica, 1 piccola rete e vai alla grande..:-)
Il nostro Sock Srv, apre di defaul la porta TCP 1080 e si pone in LISTENING,
ossia in ascolto, nel senso che è pronta a ricevere una chiamata su quella
porta... attraverso le giuste impostazioni (#rule) dovrai permettere solo a
chi dici tu di usufruirne...

 "ma sei tu che puoi scoprirlo da solo con un semplice netstat -a da linea
di
comando, a macchina appena avviata e senza aprire nulla (IE, OE)."
Cosa dovrei fare per mettere in atto il consiglio?
Grazie.
Zanzo

 Cosa dovrei fare per mettere in atto il consiglio?
Dunque, cerco di essere molto poco tecnico, cercando di farti arrivare al
nocciolo della questione...
Sotto Windows 95/98 puoi aprire una bella finestra DOS
(Avvio/Programmi/Prompt di MS-DOS); ti troverai di conseguenza al prompt dei
comandi C:\>
Ora inserici il comando "netstat -a" quindi avrai un bel
C:\>netstat -a
che dovrebbe restituiri, nell'eventualità che tu abbia _REALMENTE_ un Sock
Server sulla tua macchina, la porta 1080 in LISTENING, quindi pronta ad
accettare connessioni.... il tipo faceva la scansione su quella porta,
proprio perchè se avesse trovato un Sock Server Remoto, non protetto,
avrebbe usato probabilmente quella macchina (la tua!) come PROXY, quindi
poteva fare danni in giro, ma sarebbe risultato che eri _TU_ che li
combinavi...oddio, LOGGANDO tutta l'azione con NIS, diciamo che hai in mano
uno straccio di prova che qualcun'altro si era "attaccato" a te, ma vai a
spiegare perchè lasciavi aperta al mondo quella porta...senza regole e senza
restrizioni...
Ricorda che tu magari il Sock Server NON lo hai proprio, ma NIS ti avverte
cmq che qualcuno cerca di bussare a porte inestenti, nel senso _NON_ aperte
e quindi non fa altro che LOGGARE quesdti tentativi...
[ecco cosa ti restituisce netstat nella probabilita' remotissima che tu
abbia realmente un SS.]
Connessioni attive
  Proto  Indirizzo locale                 Indirizzo remoto             Stato
  TCP    nome_macchina_locale:1080         
0.0.0.0:0
LISTENING
[Oppure ti restituirà il NULLA assoluto dal momento che a tua macchina NON
offre Servizi a PC remoti...]
...quindi avremo...
C:\>netstat -a
Connessioni attive
Proto  Indirizzo locale         Indirizzo remoto             Stato
Per osservare le connessioni TCP/UDP, senza stare a lanciare comandi DOS
(come netstat -a) della tua macchina, tutti qui ti consiglierebbero a
ragione, l'ottimo (e freeware) "Network Agent" che puoi prelevare dal sito
http://www.avp.it
Ti consiglio di scaricarti cmq le FAQ di questo NG, ne vale veramente la
pena, 
http://members.xoom.com/gouldukat/
Se posso far altro, dimmi pure, ciao


Fatto, la risposta che ottengo è
Connessioni attive
 Proto  Indirizzo locale                 Indirizzo remoto             Stato
TCP  miousername:pop3             
0.0.0.0:0
                    LISTENING
Dottore, è grave?
Secondo il tuo msg avrei dovuto avere il NULLA per essere sicuro
che è tutto ok.
Ho scaricato le FAQ, ma sono abbastanza tecniche, le leggero' con calma
durante le ferie per cominciare a capire qualcosa di piu'sull'argomento,
intanto ti
ringrazio ancora per la pazienza
Zanzo


Yes, rispose Zanzo.
Perchč?

LISTENING  
Hai per caso le Norton Internet Security 2000?
DElyMyth [che mo' pero' se ne va a pranzo...]
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.3
iQA/AwUBOX1pWDrVvGrSrespEQLvrQCeO4DWS71KU+JeOFPf4KjRZlB9lacAoKCu
G294LaxBp4WxxGDroaLBH+1f
=Q0kO
-----END PGP SIGNATURE-----
-- 
Don't Let Your Fears Stand In The Way Of Your Dreams
-- 

Perchč?
Perche' se abiliti il controllo della posta in entrata ti tiene
aperta la 110, che e' appunto quella del pop3...
Un motivo in piu' per non installare le NIS ;-P
DElyMyth
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.3
iQA/AwUBOX2ErjrVvGrSrespEQJ/mwCgkIVSXjG+a7UXhpFp0B6aWo0m4w4AnR7z
IMIwN3ixC0prKKHVwtvDVk76
=Ny8G


 Dottore, è grave?
No.
Come puoi vedere, è in ascolto sulla porta 110 (pop3)
Nel tuo caso avevi semplicemente Outlook aperto!
Ciao,
--
Giovy  (
giovy.b...@tiscalinet.it
)
ICQ  # 54911070
WebMaster di Extreme - The Site: 
http://www.extremenews.cjb.net

Ciao,
E...
Da quando outlook aprirebbe la 110 scusa?
DElyMyth
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.3
iQA/AwUBOX3hWjrVvGrSrespEQLSjQCeL/k6GD+SwhMZbeGHVyNIMYcj1EoAoKVD
EfZxW2Fas5vKi38gmCzZulh/
=oNig


 Nel tuo caso avevi semplicemente Outlook aperto!
Non mi sembra che Outlook apra sul localhost la pop3. si connette a
quella del server remoto...
-- 
Ciao e grazie
Giglio
E-mail: 
gig...@broadcast.net
Homepage: 
http://fly.to/giglio
ICQ: 12385960

 quella del server remoto...
Infatti, mi sono espresso male... :-)


 > quella del server remoto...
Uhmm. allora spiegatemi questa,
	sulla mia Win'98 (Prima della definitiva Pinguin - conversione),subito
dopo 
aver installato Outlook '97, ho fatto (causa strani msg. di errore ed il
fatto che Outlook
si ostinava a cercare le e-mail su localhost nonostante le mie
immpostazioni) un bel
"telnet localhost:110"
 e mi rispondeva un server pop3 in locale sulla mia macchina...
A voi l'ardua sentenza:
che acciderbolina se ne fa' (chiedo scusa per la sintassi, ma
ultimamente ho scritto solo Java e non
missive in Italiano) Outlook di un pop3 in locale sulla macchina?
Grazie a todos.
	Roberto Venturetti
	"Be happy, use Linux!"

 e mi rispondeva un server pop3 in locale sulla mia macchina...
Outlook non e' outlook express, sono due cose sostanzialmente
diverse...
E poi un programma installato e non configurato non si comporta come
dovrebbe [che vale per qualunque software]
Per quello che riguarda outlook 97, non avendolo mai usato, posso
solo fare supposizioni, tipo che ci sia una qualche opzione per cui
faccia anche da server di posta [una versione castrata di exchange?]
Sicuramente dipende dalla configurazione, certo se non ci vai a
guardare, e' logico che non si comporta come dovrebbe...
DElyMyth
-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.3
iQA/AwUBOX6iFTrVvGrSrespEQJNkwCgoyyAlMY5cJQebep7DPYDKPTL+0sAn1DX
qNdSPlenAH907/kGNlSE2ycq
=ies3


 
Può essere, 
infatti ho notato la stessa cosa nei P.C. che montano Outlook 2000
anche se non ne vedo una grande utilià,
(10 client Outlook Installati ==> 10 server pop3 in locale?)
Grazie comunque con le info.
Ciao,
	Roberto Venturetti.

 (10 client Outlook Installati ==> 10 server pop3 in locale?)
What? Ne ho quanti ne vuoi da provare...

 Un motivo in piu' per non installare le NIS ;-P
Cosa hai esattamente contro questo bel prodottino che si pone praticamente
al vertice tra gli "Home Personal Firewall" con tanto di riconoscimenti di
esperti, grandiose recensioni sulle piu' interessanti riviste settoriali e
soddisfazione di milioni di utenti???
X ZANZO: ma il netstat lo hai fatto con tutte le applicazioni chiuse????...
Cmq la porta della posta non è un problema....

 X ZANZO: ma il netstat lo hai fatto con tutte le applicazioni
chiuse????...
Si', a macchina appena avviata, come da istruzioni.