Newsgroup: it.comp.sicurezza.varie
Titolo: Quali porte da aggiungere a Nukenabber ?

Come da oggetto, quali sono le porte che vanno aggiunte manualmente
assieme a quelli già presenti ??  e con che parametri ?
Grazie
Massimo



 porta 0 ICMP se hai il winsock 2.2
 porta 5001 (tcp).
 porta 5000 (tcp).
 1080 (tcp). se usi un proxy
 1032 (tcp).
 1029 (tcp).
 1027 (tcp).
 139 (tcp). se hai netbios attivo
 138 (tcp). se hai netbios attivo
 137 (tcp). se hai netbios attivo
 porta 129 (tcp).
 porta 53 (tcp).
 porta 19 (udp).
 porta 31337 (udp).
 porta 61466 (tcp).
 porta 50505 (tcp).
 porta 12346 (tcp).
 porta 12346 (tcp).
 porta 555 (tcp).
non sapendo quali hai già attive te le ho indicate tutte.
Con alcuni providers questa configurazione dà problemi di accesso alla
rete quindi , nel caso, collegarsi PRIMA alla rete e POI attivare il
Nabber.

 assieme a quelli già presenti ??  e con che parametri ?
io ho queste:
Scansione ICMP avviata.
Attivo sulla porta 12345 (tcp).
Attivo sulla porta 1080 (tcp).
Attivo sulla porta 8080 (tcp).
Attivo sulla porta 100 (tcp).
Attivo sulla porta 23 (tcp).
Attivo sulla porta 80 (tcp).
Attivo sulla porta 120 (tcp).
-- 
Grazie e ciao,
Giglio
E-mail: 
gig...@poboxes.com
Homepage: 
http://fly.to/giglio/
ICQ: 12385960

-- 
Pero' cosi' non rilevi BO (31337 udp), S23 (5000,5001.50505)
telekommando (61466) ne' gli attacchi di Aggressor basati sulle porte
di default (1029, 19, 53, 555, 129).
Comunque ognuno è giusto che faccia i settaggi in base alle proprie
esigenze.
Monitorare la 8080 a che ti serve? La porta proxy sul tuo pc è la 1080
la 8080 è la porta del server proxy. 

...
|On Wed, 02 Dec 1998 21:24:44 GMT, 
m...@marvel.it
 (Massimo) wrote:
|>Come da oggetto, quali sono le porte che vanno aggiunte manualmente
|>assieme a quelli già presenti ??  e con che parametri ?
|>Grazie
|>Massimo
|non sapendo quali hai già attive te le ho indicate tutte.
|Con alcuni providers questa configurazione dà problemi di accesso alla
|rete quindi , nel caso, collegarsi PRIMA alla rete e POI attivare il
|Nabber.
E poi?? A me si pianta lo scricamento dei Ng... però è la porta 12346  che
purtroppo però io devo coprire perchè ho problemi di clandestini:-)))) alle
frontiere...
S.

Nabber.
Grazie, ho aggiunto quelle mancanti...
netbios non ce l'ho attivo, ma scusate la mia ignoranza.... ma a cosa
serve netbios ??
Thanks.
Massimo

 la 8080 è la porta del server proxy.
Le porte 8080 e 1080, se vai su IRC, sono richiestissime, prova.


 Nabber.
In che senso da' problemi? Puoi dire che porte sono coinvolte e perche', cosi'
lo aggiungo alla faq. ^__^
Ciao, Max (-14!!!!!!!!).
-- 
            Freedows 98 Italian HTML Team
http://www.math.tu-clausthal.de/~matsa/Freedows.html
--ICQ: 14816698---Campagna NOTUT: 
http://notut.ml.org----------
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
e-mail:     
bald...@cli.di.unipi.it
 
M.Bald...@agora.stm.it
---------------------------------------------------------------

lo aggiungo alla faq. ^__^
netbios si rifiuta di funzionare a dovere
Buttha
-----------------------------------------------------------------------
* h
* Per rispondere rimuovere i
* PGP Key available with fingerprint:
  7772 5C72 7392 538B  34B8 A189 13BC 867A

serve netbios ??
ad un utente normale serve per condividere con *altri pc*, stampanti,
dischi, o parti di disco del proprio pc.
Ad un utonto, e ce ne sono tanti, serve per condividere con *tutti i
pc di internet*, stampanti, dischi, o parti di disco del proprio pc.


 serve netbios ??
Per la condivisione di files e stampanti su una rete.



Non lo metto in dubbio, fatto sta che la 8080 è la porta del server
proxy del tuo provider quindi non vedo dove sia il problema se ti
attaccano li', a meno che tu non faccia girare un proxy direttamente
sul tuo PC, visto che quella porta sul tuo sistema è sempre chiusa.


Lo scaricamento dei NG normalmente avviene con una connessione da un
range di porte tcp compreso tra 1032-1051 circa ad una porta
(solitamente la 119) sempre tcp del server delle news del tuo provider
quindi nessun problema se continui a tenere in monitor la 12346 sul
Nabbler. Prova a togliere la porta 1032 dalla configurazione del
Nabbler e dovresti risolvere il problema.


Si è vero la 53 (tcp e udp) serve per il DNS.
Le altre servono a:
1029 (tcp)      ICQ
19 (tcp)          Character Generator chargen 
19 (udp)         Character Generator ftp-data
555 (tcp)        Files Sender
555 (udp)       Remote Files Sender
129 (tcp)        Password Generator Protocol           


Ancora non sono riuscito a verificarlo con precisione ma credo che sia
coinvolta la porta tcp 5001 che penso venga usata dal server del mio
provider come commplex-link  per l'accesso alla rete.
Comunque cerchero' di verificare (se ne saro' capace) il perché
prossimamente e ti diro' la mia opinione sulla questione.

 proxy del tuo provider quindi non vedo dove sia il problema se ti
La porta 8080 la controllo sul mio computer, non su quelli del mio
provider; quindi controllo chi vuole accedere alla MIA 8080.


frontiere...
Per scaricare i NG, usi una porta effimera (da 1024 in su, "su" non e'
ben specificato; ad ogni connessione il numero di porta aumenta di uno
o due, a seconda; anche di piu' per le connessioni Netscape).
Tutto quel che devi fare e' NON monitorare le porte effimere. Lasciare
l'intervallo 1024-X non monitorato. Dove X devi giudicarla te. Dopo un
pomeriggio su Internet, lancia "NETSTAT -n" da una finestra DOS mentre
per es. scarichi i newsgroups:
  Proto  Local Address          Foreign Address        State
  TCP    
192.168.0.2:2360
 
192.168.0.100:22
       ESTABLISHED
  TCP    
192.168.0.2:2362
 
192.168.0.100:119
      ESTABLISHED
...in questo caso X vale 2362. In realta' io sono arrivato a 2362 dopo
circa tre giorni di connessione in rete ininterrotta (su ethernet, non
via modem, ma il risultato ai fini delle porte e' identico). M'aspetto
che tu trovi un valore inferiore a 1100.
Comunque, la vera sicurezza contro i nukes NON E' Nuke Nabber (esiste,
infatti, il modo di crashare una macchina anche se ha NN attivato, con
il classico OOB di WinNuke95, a patto di avere un minimo di info sulla
connessione che sta usando). E' invece la patch del sistema operativo.
Tra l'altro neanche rimuovere il VNETBIOS dal registry aiuta contro il
nuovo "OOB esteso". Cioe', aiutare aiuta, ma non risolve :-).
Leonardo "patchare, di corsa!: 
ftp.microsoft.com
"
P.S. Ci sono scarni dettagli da qualche parte su 
www.microsoft.com
, io
     ci ho fatto un giro ma non mi sono segnato l'URL esatto. Comunque
     basta cercare "out of band" e/o "TCP urgent". La cosa utile e' l'
     URL esatto su 
ftp.microsoft.com
 dove accattarsi 'a patch.
".signature": bad command or file name

provider; quindi controllo chi vuole accedere alla MIA 8080.
Ah, e' qualche pollastro che cerca un MSProxy2.0 vulnerabile per fare
scherzetti in giro per il mondo. Cercano anche 1080 e 3128. Questa in
particolare mi domando a chi sia venuta in mente (ho controllato, e a
meno che non fossi sbronzo, squid non e' vulnerabile - come del resto
mi aspettavo, mica si chiama "MSSquid". Marco, ma mica esiste qualche
nuova strana tag che invece sfonda anche squid, eh?).
Leonardo


 netbios si rifiuta di funzionare a dovere
Ah, "accesso alla rete" intende quindi la rete locale.
Ciao, Max (-13!!!!!!!!!!!!!!)


Ah, "accesso alla rete" intende quindi la rete locale.
non solo locale; netbios rende disponibili le risorse a chiunque abbia
"accesso" al computer: sia in locale che via internet.
Se, per intenderci, attivo il netbios, condivido una risorsa e sono,
anche, online, allora chiunque puo' provare ad accedere alla risorsa
condivisa.
Dovrei provare a vedere se, disabilitando il monitoraggio della 5001
con nukenabber, netbios torna a funzionare.


L.S...@agora.stm.it
 wrote:
 >>La porta 8080 la controllo sul mio computer, non su quelli del mio
 >>provider; quindi controllo chi vuole accedere alla MIA 8080.
 >Ah, e' qualche pollastro che cerca un MSProxy2.0 vulnerabile per fare
 >scherzetti in giro per il mondo. Cercano anche 1080 e 3128. Questa in
Piu` probabile che cerchino socks (di solito wingate) per usare IRC
senza farsi trovare. E` piu` flessibile di un proxy, anche se
probabilmente un proxy microsoft si puo` pervertire abbastanza da essere
usato come data pump.
 >particolare mi domando a chi sia venuta in mente (ho controllato, e a
 >meno che non fossi sbronzo, squid non e' vulnerabile - come del resto
 >mi aspettavo, mica si chiama "MSSquid". Marco, ma mica esiste qualche
 >nuova strana tag che invece sfonda anche squid, eh?).
md@wonderland:1:~$mutt -z -f=bugtraq
La mailbox è vuota.
[Exit 1 ]
md@wonderland:1:~$
Se non e` uscito negli ultimi trenta minuti direi di no.
La settimana scorsa andava forte un attacco automatizzato contro imapd
(che strano) e i vecchi BIND. Sulle macchine appena aperte si installa
questo programma che fa uno sweep di un subnet a piacere per cercarne
altre vulnerabili e avanti cosi`.
Non ricordo seri problemi di sicurezza in squid e comunque di solito
non gira come root.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

non gira come root.
vero, ma di solito si fa un gran parlare della responsabilita' di essere
usati come hop intermedi .....
invy

(che strano) 
Il solito vecchio imapd 4.spiccioli? <yawn>. Mi domando com'e' che poi
nascono queste mode (suppongo ci sia qualche fava che scrive il prog e
qualche migliaio di lemming che vengono dietro).


O sbaglio?
d'accordo...per quel poco che ne so...e non si sa mai abbastanza...
Ma se riesco ad ottenere un permesso di soggiorno sulla macchina
affacciata ad internet, questa puo' anche comunicare con la LAN in
AramaicoBEUI, che non serve a nulla.


O sbaglio?
Non sbagli. Servirebbe una backdoor con capacita' di ridirezione da NetBEUI
a TCP-IP e viceversa, o una shell di qualche tipo.
Comunque, una volta che sei entrato su una macchina, entrare sulle altre e'
solo una questione di tempo.


a TCP-IP e viceversa, o una shell di qualche tipo.
Può bastare il server di accesso remoto fornito di serie con le
versioni del DUN successive alla 1.2b? 
Bye Krmel

L.S...@agora.stm.it
 wrote:
 >No, io pensavo a uno scherzo per spedire posta anonima via MSProxy. In
 >quel senso mi domandavo se squid fosse "vulnerabile"... Ho fatto pero'
Suppongo di si, e` un proxy. Pero` il sysadmin sagace blocca le
connessioni in uscita alle porte su cui e` fortemente improbabile che
ci sia un server web o FTP.
(E` evidente a tutti i lettori di questo gruppo che quello di IOL non lo
e` stato abbastanza, mi dimentico sempre di scrivergli :-).)
 >D'altra parte, due scan su 3128 me li sono pescati anch'io: cosa razzo
 >cercano 'sti coglioni? Possibile che uno continui a fare scanning dopo
Boh. Socks e` la 1080, forse ci sta la porta di controllo di uno di quei
pseudoproxy per windows. 
 >Il solito vecchio imapd 4.spiccioli? <yawn>. Mi domando com'e' che poi
 >nascono queste mode (suppongo ci sia qualche fava che scrive il prog e
Qualcuno fa passare il programma in un canale IRC senza accorgersi che
tra i lettori c'e` qualcuno di troppo. :-)


versioni del DUN successive alla 1.2b? 
Non lo so: francamente non ho provato. Sulla stessa macchina si'. Sicuramente
se le connessioni sono montate (H: e non \\ALTRO) si'. In generale non so.
Leonardo ammettente ignoranza
