Newsgroup: it.comp.sicurezza.varie
Titolo: Guardate sto Log

Questo è un pezzo del security log di WinRuote
La cosa che non miquadra sono tutte queste righe che parlano di Norton
Internet Security!
Che c... centrano nel log (io sto norton non l'ho mai usato, uso solo NAV
2002) Cmq poi che ci fanno in questo log??
Che significa tutto cio???
Gradirei un vostro commento
Grazie
[10/May/2002 10:38:07] NAT: Detected UDP packet which has no entry in the
NAT table. The following line contains suspicious packet dump:
[10/May/2002 10:38:07] NAT: + proto:UDP, len:92,
ip+port:
62.98.221.9:45031
 -> 
62.255.255.255:137
, udplen:50
s=Norton Internet Security ·À»ðÇ½×Ô¶¯ÅäÖÃ¶¨ÒåµÄ¸üÐÂ¡£
Platform=x86
LUVersion=1.3.0.21
Dependency=ALEUpdate.GE.20010225
IncrementalPackage=FALSE
URL=
http://a416.g.akamai.net/3/416/1271/2cb0501e23de4e/liveupdate.symantec.c
om/ennisale.027
[Item2138]
ProductName=Altri elementi di Norton Internet Security
Version=1.0
Language=Italian
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Configurazione automatica di Norton Internet Security (Italiano)
ItemDetails=Aggiornamento alle definizioni della configurazione automatica
Firewall di Norton Internet Security.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2139]
ProductName=Norton Internet Security other
Version=1.0
Language=English
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Norton Internet Security auto-config. (English)
ItemDetails=Norton Internet Security update to firewall auto-configuration
definitions.
Platform=x86
URL=
http://a1888.g.akamai.net/7/1888/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2140]
ProductName=Norton Internet Security other
Version=1.0
Language=Japanese
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Norton Internet Security auto-config. (Japanese)
ItemDetails=Norton Internet Security update to firewall auto-configuration
definitions.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2141]
ProductName=Norton Internet Security - autre
Version=1.0
Language=French
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Configuration automatique de Norton Internet Security. (Français)
ItemDetails=Mise à jour des définitions de configuration automatique
Firewall de Norton Internet Security.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2142]
ProductName=Norton Internet Security overig
Version=1.0
Language=Dutch
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Automatische configuratie van Norton Internet Security (Nederlands)
ItemDetails=Norton Internet Security - Update op de definities voor de
automatische configuratie van de firewall.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2143]
ProductName=Outros do Norton Internet Security
Version=1.0
Language=Portuguese
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Configuração automática do Norton Internet Security. (em português)
ItemDetails=Atualização do Norton Internet Security para as definições de
configuração automática de firewall.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2144]
ProductName=Norton Internet Security - Andere
Version=1.0
Language=German
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Norton Internet Security Autom. Konfig. (Deutsch)
ItemDetails=Norton Internet Security - Aktualisierung der Definitionen für
die autom. Konfiguration der Firewall.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2145]
ProductName=Norton Internet Security otro
Version=1.0
Language=Spanish
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Autoconfig. de Norton Internet Security (español)
ItemDetails=Actualización de Norton Internet Security a definiciones de
autoconfiguración de firewall.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2146]
ProductName=Norton Internet Security ±âÅ¸
Version=1.0
Language=Korean
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Norton Internet Security ÀÚµ¿ ¼³Á¤. (ÇÑ±¹¾î)
ItemDetails=¹æÈ­º® ÀÚµ¿ ¼³Á¤ Á¤ÀÇ·Î Norton Internet Security ¾÷µ¥ÀÌÆ®.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2147]
ProductName=Norton Internet Security ¨ä¾lµ{¦¡
Version=1.0
Language=Chinese
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Norton Internet Security ¦Û°Ê¬[ºc¡]¤¤¤å¡^
ItemDetails=Norton Internet Security §ó·s¨¾¤õÀð¦Û°Ê¬[ºc©w¸q
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2148]
ProductName=Norton Internet Security annet
Version=1.0
Language=Norwegian
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Automatisk konfigurasjon for Norton Internet Security (Norsk)
ItemDetails=Oppdatering av definisjoner for automatisk brannmurkonfigurasjon
i Norton Internet Security.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2149]
ProductName=Norton Internet Security - Övrigt
Version=1.0
Language=Swedish
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Automatisk konfigurering av Norton Internet Security (Svenska)
ItemDetails=Uppdatering av definitioner för automatisk konfigurering av
brandväggar för Norton Internet Security.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2150]
ProductName=Norton Internet Security- muu
Version=1.0
Language=Finnish
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Norton Internet Security -ohjelmiston toiminta-asetusten
automaattinen määritys (Suomi)
ItemDetails=Norton Internet Security -päivitysohjelma palomuurin
toiminta-asetusten määrittämiseen
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2151]
ProductName=Norton Internet Security - andet
Version=1.0
Language=Danish
ItemSeqName=ALEUpdate
ItemSeqData=20010225
FileName=ennisale.014
Size=708761
ActionItem=nis.dis
TypeName=Updates
ItemName=Automatisk konfiguration via Norton Internet Security (Dansk)
ItemDetails=Opdatering til firewall-definitioner for automatisk
konfiguration via Norton Internet-sikkerhed.
Platform=x86
URL=
http://a1504.g.akamai.net/7/1504/76/3ab9ba6c69414c/liveupdate.symantec.c
om/ennisale.014
[Item2152]
ProductName=Norton Internet Security ÆäËü
Version=1.0
Language=ChineseSimplified
ItemSeqName=ALE[10/May/2002 10:49:11] NAT: Detected UDP packet which has no
entry in the NAT table. The following line contains suspicious packet dump:
[10/May/2002 10:49:11] NAT: + proto:UDP, len:175,
ip+port:
62.98.200.40:45000
 -> 
239.255.255.250:1900
, udplen:133

 
http://groups.google.com/advanced_group_search


Non credo sia la seconda (l'hd è nuovo non ha bad sector e il file system è
ok)
Se è la prima, non capisco però cosa centra un bug del NIS (io non l'ho mai
avuto sul sistema, mai).
Aspetta sto facendo un casino,però spiegandomi meglio è che dico perchè se
io non l'ho mai installato questo NIS, è finito nel log di winroute??? Dalla
tua risposta mi pare di capire che sia arrivato tramite un pacchetto UDP che
abbia superato il firewall, perchè quello immediatamente prima e quello
immediatamente dopo (i pacchetti) sono stati droppati.
Se è accaduto ciò significa che il firewall ha fallito!!????????

 Se è accaduto ciò significa che il firewall ha fallito!!????????
No, inizialmente avevo pensato che fosse stato winroute a fallire a causa 
di un pacchetto malformato che l'aveva fatto crashare (una specie di 
buffer overflow). Ma la cosa mi sembra un po' improbabile, comunque 
controlla di avere la versione piu' aggiornata (stabile) di winroute.
Invece la sensazione piu' forte e' che qualcosa non sia propriamente 
andata come doveva: pensaci un attimo, hai avuto crash di sistema, 
ultimamente, che hanno reso necessario il reset brutale? o hai di recente 
deframmentato il disco oppure usato lo scandisk per risolvere qualche 
problema?
Ripeto, a me sa tanto di incasinamento dei settori del disco, magari 
della FAT o del filing system.... oppure un programma impazzito che abbia 
appeso al log un qualcosa preso a caso dal disco... boh?
Prova comunque a fare un o scandisk, magari hai dei collegamenti 
incrociati sulla fat... anche se ho controllato e la parte "estranea" non 
e' composta da un numero di byte multiplo del settore del disco.... mah!
Hai avuto altri problemi, a parte quella stranezza?!?


 Hai avuto altri problemi, a parte quella stranezza?!?
Ho reinst. NAV 2002 +o- era quella data del log (se non mi ricordo male). ,
mi capita 1 volta su 2 che avvio il sistema e si pianta in avvio (quando
appare lo sfgondo del win98) lo riavvio e Idem, lo riavvio e va.
Il disco cmq credo non abbia a che fare nulla, perchè se erano state
piantate byte a caso dal disco o memoria nel log (sicuramente sarebbero
state di tutto, tranne che di NIS, perchè ripeto nel mio sistema non è mai
stato installato). Poi se non sbaglio si è bloccato mentre era collegato ad
internet, ma non ricordo se la data sia quella! Comunque in sostanza, cosa
sarebbe auspicabile fare!??? (la ver. di Winroute Pro è l'ultima)


 om/ennisale.027
[snippete]
Secondo me questa roba e' un pezzo del file di tracciamento degli
aggiornamenti di liveupdate. Si trova li dentro perche' qualcosa
e' andato a leggere e/o scrivere dove non doveva (memoria o disco).
Fabio

 appare lo sfgondo del win98) lo riavvio e Idem, lo riavvio e va.
Uhm, quel che mi domando e': se fosse della ram diffettosa? cio' 
spiegherebbe anche il piantamento del pc all'avvio. Prova a verificare se 
sostituendo le dimm gli strani piantamenti non scompaiono...


 ha scritto nel messaggio
news:Lp7F8.72583$US3.1...@twister1.libero.it...

Credo che forse hai ragione!!
Adesso infatti ricordo che mi era andato in tilt NAV2002 dopo aver
effettuato il live update e sono stato costretto a reinstallarlo. Questo
quindi spiegherebbe l'anomalia! (Secondo me quindi liveupdate all'interno ha
qualcosa di NIS)

 ha qualcosa di NIS)
Secondo me e' che quando scarichi il file di tracciamento degli update
(la prima fase del liveupdate) ci sono dentro tutti gli aggiornamenti,
anche quelli di prodotti che non hai installato. Poi in locale vengono
controllate le versioni del software effettivamente installato e viene
confrontata la tua versione con quella indicata come ultima dentro nel
file che hai appena scaricato. Per caso il troncone di file finito nel
tuo log era quello relativo a NIS ma poteva essere anche winfax con la
stessa probabilita'.
Aspetta un'attimo... anche io non ho NIS ma... ooopz, guarda un po' che
c'e' in %userprofile%\Dati applicazioni\Symantec\LiveUpdate\livetri.zip
[...]
[Item1497]
ProductName=Norton Internet Security
Version=1.0
Language=English
ItemSeqName=Update
ItemSeqData=20000613
FileName=enis0619.x86
Size=104187
ActionItem=nis.dis
TypeName=Updates
[...]
Fabio

 qualcosa di NIS)
Il liveupdate di Symantec è un programma *comune* ai suoi applicativi,
e serve a fare l'aggiornamento sia di NAV che di NIS (e chissà di cosa
d'altro).
Si tratta semplicemente di un motore di aggiornamento, che ti permette
di collegarti ai mirror della Symantec (in questo caso akamai) e cerca
quali siano gli aggiornamenti disponibili per i programmi Symantec che
tu hai installato, quindi è possibile che prima faccia un "elenco" che
poi va a "spuntare" con quello a cui sei abilitato e che tu in seguito
"spunti" a tua volta per scegliere quali aggiornamenti effettuare.
Non conosco WinRoute, ma è possibile che tenga traccia di tutti questi
passaggi, oppure che in quel caso ci siano stati problemi, e lui abbia
loggato tutto il traffico.
Prova a fare un liveupdate normale e vedere subito dopo se da WinRoute
ti risulta qualcosa.
-- 
Bye by V.

 Secondo me e' che quando scarichi il file di tracciamento degli update
Uh, ho mandato il mio post, ed ora vedo il tuo... beh, credo proprio che
ci siamo :-)
-- 
Bye by V.