Newsgroup: it.comp.sicurezza.varie
Titolo: un ouput di netstat

Saluto tutti
non capisco quasi nulla di sicurezza,
c'e' qualcuno che da
un occhiata a questo ouput
di netstat -a  dato offline non da root ?
ho buchi inenarrabili ?
non devo offire servizi a nessuno.
e tutto sommato se riuscissi a blindare
il PC proprio schifo non mi farebbe.
Grazie a chi vora' rispondermi
roberto
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address        
State      
tcp        0      0 *:6000                  *:*                    
LISTEN      
tcp        0      0 *:printer               *:*                    
LISTEN      
tcp        0      0 *:linuxconf             *:*                    
LISTEN      
tcp        0      0 *:auth                  *:*                    
LISTEN      
tcp        0      0 *:login                 *:*                    
LISTEN      
tcp        0      0 *:shell                 *:*                    
LISTEN      
tcp        0      0 *:nntp                  *:*                    
LISTEN      
tcp        0      0 *:sunrpc                *:*                    
LISTEN      
udp        0      0 *:ntalk                
*:*                                 
udp        0      0 *:talk                 
*:*                                 
udp        0      0 *:sunrpc               
*:*                                 
raw        0      0 *:icmp                  *:*                    
7           
raw        0      0 *:tcp                   *:*                    
7           
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags       Type       State         I-Node Path
unix  1      [ ]         STREAM     CONNECTED     1005   @00000091
unix  1      [ ]         STREAM     CONNECTED     1007   @00000092
unix  1      [ ]         STREAM     CONNECTED     580    @00000039
unix  0      [ ACC ]     STREAM     LISTENING     447    /dev/printer
unix  1      [ ]         STREAM     CONNECTED     1001   @00000090
unix  1      [ ]         STREAM     CONNECTED     1013   @00000095
unix  0      [ ACC ]     STREAM     LISTENING     1018  
/tmp//kio_500_686localhost.localdomain_0
unix  1      [ ]         STREAM     CONNECTED     1015   @00000096
unix  0      [ ACC ]     STREAM     LISTENING     1020  
/tmp//kfm_500_686localhost.localdomain_0
unix  1      [ ]         STREAM     CONNECTED     1009   @00000093
unix  0      [ ACC ]     STREAM     LISTENING     967   
/tmp/.X11-unix/X0
unix  0      [ ACC ]     STREAM     LISTENING     342    /dev/log
unix  0      [ ]         STREAM     CONNECTED     168    @0000001b
unix  1      [ ]         STREAM     CONNECTED     1011   @00000094
unix  0      [ ACC ]     STREAM     LISTENING     503    /dev/gpmctl
unix  1      [ ]         STREAM     CONNECTED     1059   @000000a5
unix  1      [ ]         STREAM     CONNECTED     974    @00000088
unix  1      [ ]         STREAM     CONNECTED     358    @00000022
unix  1      [ ]         STREAM     CONNECTED     973    @00000087
unix  0      [ ACC ]     STREAM     LISTENING     529   
/tmp/.font-unix/fs-1
unix  1      [ ]         STREAM     CONNECTED     1033   @0000009b
unix  1      [ ]         STREAM     CONNECTED     990    @0000008b
unix  1      [ ]         STREAM     CONNECTED     1060  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     1034  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     1016  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     1014  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     1012  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     1010  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     1008  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     1006  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     1002  
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     991   
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     975   
/tmp/.font-unix/fs-1
unix  1      [ ]         STREAM     CONNECTED     977   
/tmp/.X11-unix/X0
unix  1      [ ]         STREAM     CONNECTED     581    /dev/log
unix  1      [ ]         STREAM     CONNECTED     359    /dev/log

[snip]
ecco a cosa mi riferivo quando parlavamo della sicurezza di linux.
Per quanto riguarda la risposta al post: leggiti, assolutamente, le FAQ del
gruppo: c'e' scritto come chiudere quel troiaio :)
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere in email rimuovere una i dall'indirizzo
* RSA fingerprint: 7772 5C72 7392 538B  34B8 A189 13BC 867A
  DH/DSS  "      : 3CAD 35F0 1D5D F46B 7D95  33F8 5784 B463 A328 7B05
* 
http://members.xoom.it/buttha/
-----------------------------------------------------------------------

 gruppo: c'e' scritto come chiudere quel troiaio :)
tragicamente l' ho gia' letta la FAQ e ho praticamente tutto
/etc/inedt.conf commentato )rimangono attive.
nntp stream tcp nowait root /usr/sbin/tcpd /usr/local/sbin/leafnode
ma questa mi serve .
e
auth   stream  tcp     nowait    nobody    /usr/sbin/in.identd in.identd
-l -e -o
e' questa la riga incriminata ?
ho visto che il servizio compare solo dal KDE
da consol non esiste.
dimenticavo ho /ect/hosts.deny
ALL: ALL
e 
/ect/hosts.allow
ALL: LOCAL
Mi vuoi dare una dritta ?
il resto più o meno 
era a posto?
io non devo andare a fare "ghiri-ghiri"
sotto i piedi di un pirata nero
devo scaricare la posta i NG 
e a volte serficchiare
(ok lo ammetto ho fatto il classico
ma con l' Italiano sono messo malissimo)
Ciao 
roberto


ma con l' Italiano sono messo malissimo)
allora fai in modo che ti resti, solo nntp, 6000, printer (se devi
stampare) e auth.


 wrote in a message


 
io win95 osr2 lo ho su un altro HD (removibile)
perche' mi tocca usare access ed excel
per lavoro.
Ma quando sono Boogy mi voglio divertire
e questo S.O. e' molto più divertente
anche da ignoranti totali.
PS) hai una royalty su ogni Sw microsoft
se no non vedo cosa te ne debba fregare :-))
Ciao
Roberto

 wrote in message


ho buchi inenarrabili ?
Be', ecco... 8-|
Io comincerei con il vedere se questi servizi sono sotto tcpd o meno.
Prendiamo per esempio il servizio "printer":
fuser -n tcp printer
ti risponde, poniamo,
printer/tcp:	26
quindi e' aperta dal processo 26, e scopri chi e' con
ps px | grep "\b26\b"
che ti dice
    26   ?   ?   ?:??   /usr/sbin/lpd
o forse 
    26   ?   ?   ?:??   /usr/sbin/inetd
Nel primo caso il servizio e' aperto da un daemon, lpd per la precisione,
e quindi fai 
	man lpd 
per scoprire qual e' il suo file di configurazione, e ci guardi dentro in
modo da capire come dirgli "Accetta connessioni SOLO da 127.0.0.1".
Nel secondo caso e' aperto dal super-daemon inetd, e il file e'
	/etc/inetd.conf
dove cerchi la riga del servizio printer:
grep "^printer\b\|^$(grep printer /etc/services \
	| tr -s ' \t' '/' | cut -f2 -d/)\b" /etc/inetd.conf
Questa riga si presenta in una di queste forme:
printer stream  tcp     nowait    root    /usr/sbin/lpd   lpd
printer stream  tcp     nowait    root    /usr/sbin/tcpd  lpd
printer stream  tcp     nowait.N  root    /usr/sbin/lpd   lpd
printer stream  tcp     nowait.N  root    /usr/sbin/tcpd  lpd
Le forme senza ".numero" consentono di attivare fino a, mi pare, 40
processi contemporaneamente nel giro di uno o dieci secondi, boh.
Altrimenti il limite e' "N". Entrambe le forme si prestano a DoS di
tipo diverso.
La forma senza tcpd e' piu' vulnerabile, perche' deve fidarsi della
configurazione di programma. tcpd invece ti consente di specificare
in due files cosa fare di quel programma.
Nel file /etc/hosts.deny ci va una sola riga senza neanche commenti
(non si sa mai ;-) ) che dica
ALL : ALL
e nel file /etc/hosts.allow:
ALL : localhost
programma: chi
programma: chi
...
Per esempio:
ALL : localhost
httpd: ALL
significa che solo tu (localhost) puo' accedere a tutto, ma a httpd
(Apache Web server, ad es.) ci possono accedere tutti.
Nota bene: "programma", non "servizio". Quindi per lpd non scrivi
printer: ALL
se vuoi dare al mondo intero accesso alla stampante, ma
lpd: ALL
Leonardo
".signature": bad command or file name

(Apache Web server, ad es.) ci possono accedere tutti.
Non e` un grande esempio, visto che AFAIK nessun server web usa libwrap
e spero per te che il tuo apache non giri da inetd. :-)
A proposito, forse ho trovato un server FTP mezzo decente:
http://www.zabbo.net/hftpd/
.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 ALL : localhost
ok questi erano gia' cosi anche se ho letto
nella FAQ un cosiglio di MD 
che o visto anche in un post di Thorin
che dicono una cosa leggermente diversa.
mi rinane il problema di sapere quali
programmi stanno dietro a 
auth
sunrpc
nntp mi serve per leafnode
e 
*6000
secondo il file /etc/host
e' consentito 
solo a localhost.
CMQ. ti ri rigrazio
per le dritte
Ciao
roberto

 sunrpc
E' il portmapper, e' avviato dagli script di inizializzazione, dai un
rpcinfo -p per vedere i servizi che sono registrati,
poi aggiunti la riga
portmapper : gli_indirizzi_IP_che_ti_servono
in /etc/hosts.allow
Anche se il portmapper non e' lanciato da TCPD, e' cmq in grado di
capire il significato di quei file.
-- 
Hai fatto del tuo meglio ed hai toppato.
				- Homer Simpons


http://www.zabbo.net/hftpd/
.
Io mi sono rotto. Tiro giu' proftpd e gli faccio le pulci a mano. Mica
ce ne saranno tanti ancora, di quei cristi di buffer overflows.


 > sunrpc
cut 
e grazie per le dritte.
Ciao
roberto



 ce ne saranno tanti ancora, di quei cristi di buffer overflows.
"le fai" cosa intendi ? che le metti tu o che le cerchi ?
(si la domanda e' un po' una cazzata ma e' sempre un dubbio :)
Bye.
Vecna.
-- 
Key fingerprint = 30F8 B6CE 5879 A64F FDFC  9C9C 2788 F567 7414 C380

lpd: ALL
io, in inetd ho sendmail, auth e printer.
Il mio host.deny e'
ALL: ALL
e il mio host.allow e'
ALL: localhost
visto che auth dovrei renderlo disponibile al mondo (vero?), l'host.allow
come diventa?
ALL: localhost
auth: ALL
??
Altra domandina: sulle FAQ c'e' scritto:
*************************
[C07-X] Voglio stampare in locale, togliendo la disponibilita' del
        server di stampa al "resto del mondo".
Si puo' fare lanciando lpd in /etc/inetd.conf, sotto tcpd, come qui
indicato:
printer stream tcp nowait root /usr/sbin/tcpd /usr/bin/lpd -i
A questo punto inserisci nel file /etc/hosts.deny la linea
ALL:ALL:spawn safe_finger -l @%h 2>& 1| mail -s "%d-%h %u" root
(se hai safe_finger, se no "ALL:ALL")
e inserisci in /etc/hosts.allow la linea
ALL:127.0.0.1
in.identd:ALL
**************************************
ma che significa: in.identd:ALL ??


Da man identd:
       identd is a server which implements  the  TCP/IP  proposed
       standard  IDENT  user identification protocol as specified
       in the RFC 1413 document.
       identd operates by looking up specific TCP/IP  connections
       and returning the user name of the process owning the con-
       nection.   It  can  optionally  return  other  information
       instead of a user name.
Dato che (almeno sulla mia RH, ma credo ovunque) gira come nobody,
tenerlo attivo non credo faccia male a nessuno.
Ciao
-- 
Simone Piccardi
Microsoft is NOT the answer. Microsoft is the Question.
The answer is: "NO!"

ma che significa: in.identd:ALL ??
ah, sarebbe proprio l'auth... :)
Vabbe', allora vado di
ALL: localhost
in.identd: ALL
