Newsgroup: it.comp.sicurezza.varie
Titolo: Chi mi giudica questo test per favore?

Oggi ho provato a fare una scansione Trojan e Udp nel mio sistema, premetto
ho un Collegamento Adsl, Norton antivirus e il correlativo Firewall
costantemente aggiornati, e utilizzo programmi p2p.
Ecco i risultati
      Service  Ports  Status  Additional Information
      FTP DATA 20 OPEN Used by FTP for data transmission in Passive mode.
      FTP 21 OPEN File Transfer Protocol is used to transfer files between
computers. A misconfigured FTP server can allow an attacker to transfer
files, Trojan horses, and virus programs at will.
      SSH 22 OPEN Secure Shell, a encrypted type of Telnet. If misconfigured
it can allow for brute-force attacks on your administration account.
      TELNET 23 OPEN Telnet is used to remotely create a shell (dos prompt),
this can allow an attacker to control your system as if he was sitting in
front of it.
      SMTP 25 OPEN SMTP is used to send email across the internet. This
allows an attacker to verify user accounts on your system, send anonymous
(spam) email, or even access files on your hard drive.
      DNS 53 OPEN Domain Name Services are used to resolve host names to IP
addresses.
      DCC 59 OPEN Used mainly by file transfer and chat programs.
      DHCP SERVER 67 OPEN none
      FINGER 79 OPEN Finger offers information about who is currently logged
in to your computer.
      WEB 80 OPEN HTTP web services publish web pages. A misconfigured web
server can not only offer an attacker needed information about his target,
but it can allow for various security breaches.
      POP3 110 OPEN Post Office Protocol is used to receive email. It can be
used by attackers to create fake email addresses, execute programs, and even
intercept your private email.
      SUNRPC 111 OPEN Often used by SUN and Unix machines for Remote
Procedure Calls.
      IDENT 113 OPEN Ident is often used for IRC (chat), but also provides
information about your system and who is using it.
      Location Service 135 OPEN Microsoft relies upon DCE Locator service
(RPC) to remotely manage services like DHCP server, DNS server and WINS
server.
      NetBIOS-NS 137 OPEN Windows/Samba file and print sharing.
      NetBIOS-DGM 138 OPEN Windows/Samba file and print sharing.
      NetBIOS 139 OPEN NetBios is used to share files through your Network
Neighborhood. If you are connected to the internet with this open, you could
be sharing your whole hard drive with the world! This is a very dangerous
port to have open.
      HTTPS 443 OPEN Secure Web Servers are often used by banks and online
vendors.
      Server Message Block 445 OPEN In Windows 2000, Microsoft added the
possibility to run SMB directly over TCP/IP, without the extra layer of NBT.
      SOCKS PROXY 1080 OPEN Socks Proxy is an internet proxy service, many
IRC servers will not allow you to log in if you are running an unsecured
socks proxy.
      UPnP 1900 OPEN This is the port used by Universal Plug and Play
(UPnP). If this port is open anyone on the Internet may be able to
      WEB PROXY 8080 OPEN HTTP Web Proxy allows other people to bounce their
web browser off of your computer to fake their real IP address to web
servers.
      Service  Ports  Status  Possible Trojan
      Trojan 6776 OPEN BackDoor-G, SubSeven
      Trojan 12345 OPEN GabanBus, NetBus, Pie Bill Gates, X-bill
      Trojan 20034 OPEN NetBus 2 Pro
      Trojan 31337 OPEN Baron Night, BO client, BO2, Bo Facil, BackFire,
Back Orifice, DeepBO
      Trojan 54320 OPEN Back Orifice 2000
      Trojan 54321 OPEN School Bus, Back Orifice 2000

       Trojan 54321 OPEN School Bus, Back Orifice 2000
Ti sei installato tutti i trojan che conosco !
Minchia come sei messo male !
Xone
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it


Ma se non ne capisci una mazza perchč rispondi?????
Quelle sono sole le mie porte aperte, che, in virtů del firewall, dovrebbero
stare chiuse, e che possono essere utilizzate dai trojan che tu conosci, non
significa che ho installato tutti quei trojan.
Io chiedevo solo dei consigli, ma non me li aspetto certo da te.

 Ecco i risultati
Scusa ma che se ne dovrebbe dedurre da tutto cio'?. Hai una marea di servizi 
aperti, se ti servono bene, altrimenti chiudili.
Ad esempio a che pro un server telnet? L'SMTP fa relay? Con quel DNS che ce 
fai? Finger non deve essere accessibile dalla rete esterna, e cosi' via...
ps Spero che quel web server non sia chi credo che sia
ppss Spero che la tua versione di uppn non sia quella versione
pppsss...
ciao

 Ma se non ne capisci una mazza perchè rispondi?????
Si ma stai calmo. Quelle porte perche' sono aperte?
ciao


Potresti spiegarti meglio?
Grazie ancora ciao

 costantemente aggiornati, e utilizzo programmi p2p.
Omissione della lunga lista... l'unico commento che posso farti
è che il NIS normalmente tiene chiuse tutte quelle porte, o per
lo meno le sbatte in faccia a chi tenta di entrare (a parte 137
138 e 139 se hai le condivisioni attive, o 119 per le news e 25
per la posta).
Per *tutte* le altre devi essere stato tu, o chi per te, a dare
l'ok per la loro apertura, quindi hai poco da imbizzarrirti con
Xone che ti ha detto che sei messo male.
Per prima cosa stringi le regole al firewall, poi vedi di volta
in volta *chi* è che tenta di usare quelle porte e decidi, *con
un minimo di discernimento* se permetterlo o meno.
-- 
Bye by V.
http://utenti.lycos.it/virusbusters/

 ha scritto nel messaggio
news:MPG.181bdb6db...@News.CIS.DFN.DE...

Scusa ma qualcuno può decidere per me, pur non avendo io nessun trojan
installato?
Io mi sono "imbizzarito" con Xone perchè già aveva sentenziato che avevo
tutti i trojan installati, ma ciò è risultato falso da diverse scansioni del
sistema che ho fatto con appositi trojan remover.

 Ecco i risultati
Posta un po' i risultati di netstat -a
e netstat -an
Danny

 ha scritto nel
messaggio news:aosjf9$jbv$1...@fe2.cs.interbusiness.it...

Adesso ho chiuso tutte le porte tramite una nuova regola, farlo adesso non
credo avrebbe più valore, tanto e vero che rifacendo il test mi trova tutte
le porte chiuse adesso.
Cmq se vuoi tolgo la regola e posto i risultati da dos.

Allora ricapitolando perchè non ci sto capendo più nulla.
Stamattina inserisco una nuova regola con il mio firewall che vada a
bloccare tutte le porte che erano risultate aperte, rifaccio il test e
questo mi conferma l'avvenuta chiusura.
Durante la giornata navigo, scarico-invio posta, leggo-invio news, utilizzo
programmi p2p, rifaccio il test a fine serata e questo è il risultato, mi
devo preoccupare è normale, come mai mi ritrovo nuovamente tutte queste
porte aperte? Come mi devo comportare?

      Results from UDP scan of commonly used trojans at IP address:


significa che ho installato tutti quei trojan.
Aspe', vediamo di districare questa matassa.
Allora te non hai solo il firewall, ma hai due software: uno per i
trojan e l'altro per il filtering.
Quelle porte sono aperte dal primo software (cos'e'? Gatekeeper?),
a scopo d'allerta suppongo, e il firewall le rende irraggiungibili
dall'esterno.
Ci ho dato, fin qui?
Leonardo
-- 
Questo messaggio č NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 porte aperte? Come mi devo comportare?
Innanzitutto dovresti farci capire _come_ hai fatto la scansione delle 
porte. 
Perche' mi da' tanto l'impressione che tu abbia si' scansito il tuo 
indirizzo IP, ma non nel modo corretto.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 --
Ho scansito il mio ip tramite questo sito 
http://scan.sygatetech.com/
 ho
fatto sia il "trojan scan" sia l'"udp scan", non so se sia il modo corretto
di farlo, se hai un altro indirizzo e una scansione in specifico da fare
sono a disposizione.
Grazie

 Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi



Si.

 
Comunque, correggimi se sbaglio, si ritrova con un mare di servizi 
installati di cui si dovrebbe sbarazzare, no? Quello che mi incuriosisce e' 
quale razza di policy di installazione puo' prevedere una tale sbragatura.
ciao

 
C'e' qualcosa che gira sulla 80, hai visto mai che fosse un webserver di 
qualche foggia antiqua, di quelli che per patcharli ti ci vogliono una 
dozzina di service pack? 'Sto os che e'? Xp proféscional(ohi cio')? Mi pare 
che la primissima versione avesse un problemino anche con il plug and play.
ciao

 installati di cui si dovrebbe sbarazzare, no? 
Parrebbe.
La mia domanda originale (cosi' rispondo anche al poster) nasce dal fatto 
che esistono diversi tipi di port-scanning. I piu' usati, di solito, sono 
i "tcp-vanilla" e gli "Half-syn". Ne esistono anche di altri tipi, "XMas-
tree", Dumb Host, eccetera. 
Talvolta alcuni t00lZ trovati nella internet permettono questo tipo molto 
"naif", che sono utili nel 2% dei casi limitati al puro lameraggio (anche 
su questo punto ci sarebbe molto da dire, comunque) purche' si sappia che 
cosa si sta facendo.
Questi scan di tipo naif, dicevo, spesso mostrano lucciole per signorine, 
cioe' mostrano porte aperte quando sono chiuse, e viceversa. Altre volte, 
invece, alcuni siti nu poco strunzielli mostrano a posta porte aperte per 
indurre l'incauto visitatore ad acquistare il loro potentissimo fireuoll.
L'ipotesi e'in ogni caso infondata, in quanto ho controllato il sito, che 
e' fidato. Lo scan e' un plain-tcp, quindi non c'e' da preoccuparsi, anzi 
per meglio dire, c'e' molto da preoccuparsi: le porte segnalate come open 
sono in effetti aperte. 
La mia ipotesi e' che effettivamente siano state inserite delle regole un 
pochetto a casaccio. Ripartirei dal "tutto chiuso".
Oppure come al solito, ha ragione Leo.
HappyCactus che riguardando il proprio post rabbrividisce... :)


       NetBIOS-DGM 138 OPEN Windows/Samba file and print sharing.
Ma questa e' una scansione tcp o udp? E poi cosa c'entrano 137 e 138 con
file e printer sharing? La reportistica di quello scanner lascia molto a
desiderare.
Praticamente ti mostra aperte quasi tutte (se non tutte) le porte su cui
esegue una prova in quick e stealth. Quel motore di scansione esegue una
half-scan che, in alcuni casi, mostra di per certo risultati errati. Non
so se e' anche il tuo caso. E' indispensabile, per risolvere il mistero,
che tu rifaccia la scansione catturando il traffico con uno sniffer, per
poter vedere esattamente cosa va e viene dalla tua rete. Serve anche che
tu dia un'occhiata all'output di netstat o, meglio, di fport (se hai una
macchina nt/2k/xp) per vedere lo stato dei tuoi socket.
Quando si fanno le scansioni on-line bisogna sempre tenere in conto, per
di piu', dei filtri che i provider mettono sul traffico da/per certe ben
note porte, sia per tagliare il traffico dei trojani o backdoor (netbus)
sia per impedire la fornitura di servizi server con contratti di accesso
economici (http, smtp,...) sia per bloccare connessioni a servizi spesso
malconfigurati (1080, 8080, 25,...). Questo puo' falsare i risultati del
test in vario modo, a seconda della politica di filtraggio.
Fabio

erano trojan installati, infatti la verifica si è rilevata negativa.
Quelle porte sono aperte si' o no? Lancia il comando
	netstat -na | find "LISTEN"
da una shell comandi sotto Windows, e posta il risultato. Se quelle porte
sono aperte, hai qualcosa che le ha aperte (so' ggeniale, eh?); ora, o tu
sai cos'e' questo qualcosa o non lo sai. Se lo sai, dovresti sapere anche
se e' innocuo o no; se no sono cazzi amari, come diceva Aristotele che di
logica (e, secondo alcuni, non solo di quella) se ne intendeva.
Che poi tu abbia un antivirus che dice che di virus non ce ne sono, nulla
mi potrebbe stupire meno - ANCHE se tu fossi impestato quanto una battona
maltese. Ci possono essere millanta ragioni per cui un antivirus sostiene
che un sistema e' pulito quando non lo e' affatto, e viceversa.
Oggi, per dire, il Norton mi s'impiantava scandendo C:\LOGO.SYS [1]
Leonardo
[1] e' un logo non di serie raffigurante un tizio che penso sia un attore
    di fotoromanzi. E, no, non e' il mio PC quello.
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

Netstat -a
Connessioni attive
  Proto  Indirizzo locale       Indirizzo esterno       Stato
  TCP    kalos-nqyadad1d:epmap  kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:microsoft-ds  kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:1025   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:1030   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:2869   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3055   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3056   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3068   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:5000   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3056   
msgr-cs30.msgr.hotmail.com:1863
  ESTABLISHED
  TCP    kalos-nqyadad1d:3068   195.31.190.131:nntp    ESTABLISHED
  TCP    kalos-nqyadad1d:3185   213.145.29.196:http    TIME_WAIT
  TCP    kalos-nqyadad1d:3189   212.172.60.39:http     TIME_WAIT
  TCP    kalos-nqyadad1d:3193   adv.hwfiles.it:http    TIME_WAIT
  TCP    kalos-nqyadad1d:8924   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:1027   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3001   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3001   localhost:3055         ESTABLISHED
  TCP    kalos-nqyadad1d:3002   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3003   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3004   kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:3055   localhost:3001         ESTABLISHED
  TCP    kalos-nqyadad1d:3184   localhost:3001         TIME_WAIT
  TCP    kalos-nqyadad1d:3188   localhost:3001         TIME_WAIT
  TCP    kalos-nqyadad1d:43958  kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:netbios-ssn  kalos-nqyadad1d:0      LISTENING
  TCP    kalos-nqyadad1d:2869   
kalos-nqyadad1d.mshome.net:3195
  TIME_WAIT
  TCP    kalos-nqyadad1d:3175   
kalos-nqyadad1d.mshome.net:2869
  TIME_WAIT
  TCP    kalos-nqyadad1d:3182   
kalos-nqyadad1d.mshome.net:2869
  TIME_WAIT
  TCP    kalos-nqyadad1d:3191   
kalos-nqyadad1d.mshome.net:2869
  TIME_WAIT
  TCP    kalos-nqyadad1d:3194   
kalos-nqyadad1d.mshome.net:2869
  TIME_WAIT
  TCP    kalos-nqyadad1d:14685  kalos-nqyadad1d:0      LISTENING
  UDP    kalos-nqyadad1d:microsoft-ds  *:*
  UDP    kalos-nqyadad1d:3005   *:*
  UDP    kalos-nqyadad1d:3014   *:*
  UDP    kalos-nqyadad1d:3035   *:*
  UDP    kalos-nqyadad1d:3040   *:*
  UDP    kalos-nqyadad1d:1900   *:*
  UDP    kalos-nqyadad1d:3031   *:*
  UDP    kalos-nqyadad1d:15683  *:*
  UDP    kalos-nqyadad1d:1900   *:*
  UDP    kalos-nqyadad1d:2234   *:*
  UDP    kalos-nqyadad1d:3006   *:*
  UDP    kalos-nqyadad1d:3012   *:*
  UDP    kalos-nqyadad1d:domain  *:*
  UDP    kalos-nqyadad1d:netbios-ns  *:*
  UDP    kalos-nqyadad1d:netbios-dgm  *:*
  UDP    kalos-nqyadad1d:1900   *:*
  UDP    kalos-nqyadad1d:2234   *:*
  UDP    kalos-nqyadad1d:3015   *:*
  UDP    kalos-nqyadad1d:14435  *:*
netstat -an
Connessioni attive
  Proto  Indirizzo locale       Indirizzo esterno       Stato
  TCP    
0.0.0.0:135
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:445
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1025
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1030
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:2869
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:3055
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:3056
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:5000
 
0.0.0.0:0
              LISTENING
  TCP    
62.211.245.29:3056
 
64.4.12.59:1863
        ESTABLISHED
  TCP    
62.211.245.29:3198
 
212.216.172.62:53
      TIME_WAIT
  TCP    
62.211.245.29:8924
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1027
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:3001
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:3001
 
127.0.0.1:3055
         ESTABLISHED
  TCP    
127.0.0.1:3002
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:3003
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:3004
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:3055
 
127.0.0.1:3001
         ESTABLISHED
  TCP    
127.0.0.1:43958
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.254.5:139
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.254.5:2869
 
192.168.254.5:3195
     TIME_WAIT
  TCP    
192.168.254.5:2869
 
192.168.254.5:3199
     TIME_WAIT
  TCP    
192.168.254.5:3196
 
192.168.254.5:2869
     TIME_WAIT
  TCP    
192.168.254.5:3197
 
192.168.254.5:2869
     TIME_WAIT
  TCP    
192.168.254.5:14685
 
0.0.0.0:0
              LISTENING
  UDP    
0.0.0.0:445
            *:*
  UDP    
0.0.0.0:3005
           *:*
  UDP    
0.0.0.0:3014
           *:*
  UDP    
0.0.0.0:3035
           *:*
  UDP    
0.0.0.0:3040
           *:*
  UDP    
62.211.245.29:1900
     *:*
  UDP    
62.211.245.29:3031
     *:*
  UDP    
62.211.245.29:15683
    *:*
  UDP    
127.0.0.1:1900
         *:*
  UDP    
127.0.0.1:2234
         *:*
  UDP    
127.0.0.1:3006
         *:*
  UDP    
127.0.0.1:3012
         *:*
  UDP    
192.168.254.5:53
       *:*
  UDP    
192.168.254.5:137
      *:*
  UDP    
192.168.254.5:138
      *:*
  UDP    
192.168.254.5:1900
     *:*
  UDP    
192.168.254.5:2234
     *:*
  UDP    
192.168.254.5:3015
     *:*
  UDP    
192.168.254.5:14435
    *:*


UDP

 desiderare.
No, e' proprio un cesso:
Il report e' di uno scan UDP. Pensa un po', ti dicono che la 21 e' 
utilizzata da FTP! MAH.
Comunque mi sa che a questo punto e' chiaro l'arcano: Nessuna porta 
aperta.


 UDP
Allora, risolto l'arcano.
A differenza del protocollo TCP, l'UDP e' connectionless, per cui non hai 
alcuna garanzia che i dati che tu invii arrivino a destinazione.
Lo scan UDP avviene inviando un pacchetto ad una certa porta. Se la porta 
e' chiusa, il sistema invia un pacchetto di tipo ICMP Port Unreachable, 
se invece e' aperta, semplicemente l'host la utilizza, senza inviare 
alcuna risposta.
A questo punto, e' chiaro cio' che e' successo: stavi facendo la 
scansione UDP, i pacchetti UDP o non sono arrivati al tuo sistema, oppure 
semplicemente si sono persi gli ICMP di risposta. Lo scanner ne ha 
dedotto (erroneamente) che le tue porte fossero aperte.
In piu' il report di quel sito e'... diciamo... piuttosto visionario, in 
quanto ti dice che la 25 e' utilizzata per il servizio SMTP, 
dimenticandosi pero' che si sta parlando di tutt'altro protocollo!
Quindi: lascia perdere quello scanning che non e' affatto veritiero. IMHO 
sei a posto.
Certo, meglio se controlli le regole del tuo fireuol', e se ti fai fare 
una scansione da un amico piu' vicino (nel senso su una tratta in cui il 
loss sia piu' basso).


 UDP
Allora nello scrivere il tuo post hai mischiato le righe del
log, e' giusto? Non esiste una scansione sul sito di sygate 
che mischi le porte udp e tcp.
L'alternativa e' che siano state trovate aperte la 137 e 138
su tcp, che e' abbastanza improbabile.
Fabio

 su tcp, che e' abbastanza improbabile.
No.
La soluzione e' pure peggio.
Semplicemente il sito di sygate fa lo scan UDP ma riporta il significato 
delle relative porte TCP.
Pazzesco, eh?


 Pazzesco, eh?
Mamma mia.
E' un bel caso, pero', che ci siano falsi positivi solo su
porte cosi' note, sospette e predicibili e non su porte un
po' piu' casualmente distribuite sulle 1024 che ti vengono
testate (sempre che ne vengano testate 1024, visto che non
ho provato l'udp scan ma solo il tcp). 
Comunque avevo provato a far rispondere il firewall su una
porta tra quelle che vengono testate su tcp: io emettevo i
SYN/ACK, lui me li resettava (e quindi li vedeva) ma poi i
risultati dicevano sempre che la porta era chiusa.
Temo che sia una porcheria.
Fabio


Alla fine mi consigliate un sito dopo potere avere dei risultati
accettabili, così dormo più tranquillo :-) ?
Grazie della collaborazione, siete stati di enorme aiuto.

 Fabio
Ti dico di più, ho effettuato diverse volte quella scansione, la prima (dopo
aver spento e riacceso il pc) nonostante il mio firewall mi segnali il
blocco delle porte rilevando una scansione, il test mi riporta tutte le
porte aperte; riprovo immediatamente dopo, e questa volta "miracolo"  le
porte sono tutte nascoste.

   TCP    kalos-nqyadad1d:14685  kalos-nqyadad1d:0      LISTENING
Io questa non la capisco.
Danny che di netstat e' alle prime armi (e penso che si veda :-)

 Grazie della collaborazione, siete stati di enorme aiuto.
Perche' Symantec Security Check non va bene?
-- 
     * b *
   *   y   *
 *   Piero   *


Mi ricordo male io, o La 5000 potrebbe veramente essere un problema sulla 
sua versione di xp? Lui infatti sembrerebbe avere proprio la versione 2600 
dell'os.
ciao  

  UDP    
62.211.245.29:15683
    *:*
E anche questo. Il resto e', IMHO, giustificabile. In compenso, lo scan
on line che hai fatto farebbe vomitare i cani morti, e la compagnia che
te l'ha offerto andrebbe data in pasto ai coccodrilli.
Domani mi fo fare una scansione io per farmi quattro risate.
Leonardo
-- 


 dell'os.
UPnP: Sicuramente non serve.
Non ricordo comunque la versione vulnerabile, in questi casi, Google is 
your friend!


 Domani mi fo fare una scansione io per farmi quattro risate.
Io ho gia' provveduto, di per se' lo scan e' affidabile (eccetto quello 
UDP, ma e' un altro discorso insito in quel tipo di scan).
Il problema e' l'interpretazione che danno dei risultati. Un utente che 
non sa interpretare da solo cosa significa "closed" e "opened" ne 
verrebbe terrorizzato.



Grazie farò una ricerca, prima però provo ad disinstallare tutto e
riconfigurare ex novo il firewall.
Altra domanda, ma è possibile riuscire a stabilire se qualcuno ha
effettivamente bucato il mio sistema? Sentivo di Log, magari qualche doc da
leggere.
Infine, avendo un vecchio pentium 133 mi consigliate di utilizzarlo come
firewall?
Grazie

 UDP, ma e' un altro discorso insito in quel tipo di scan).
Col tubo che e' affidabile. T'assicuro che la mia porta telnet [1] ieri
era apertissima per tutto il mondo tranne che per sygate. Probabilmente
e' solo un problema di timeout di ricezione troppo bassi, ma se ciccano
con una ADSL non ho idea di come si possano comportare con i modem. Non
penso che la loro clientela target siano le T3. 
E poi non sono cosi' convinto che si tratti di un problema di timeout.
'spetta che facciamo una provina (che belle queste query lunghe su db a
carbonella... ti lasciano tanto tempo per giocare...).
$ iptables -I INPUT -i eth2 -p tcp --destination-port 23 -m state \
  --state NEW -j ACCEPT
$ nc -l -p 23 -s 151.36.98.220 > /dev/null
[vaidiscanner]
<< TELNET 23 OPEN Telnet is used to remotely create a shell (dos ... >>
^C
 punt!
[reload]
<< TELNET 23 CLOSED ... >>
$ iptables -D INPUT 1
[reload]
<< TELNET 23 BLOCKED ... >>
$ iptables -I INPUT -i eth2 -p tcp --destination-port 23 -m state \
  --state NEW -j ACCEPT
$ nc -l -p 23 -s 151.36.98.220 > /dev/null
[reload]
<< TELNET 23 BLOCKED ... >>
[reload]
<< TELNET 23 BLOCKED ... >>
Ovviamente in questi ultimi due casi la mia macchina ha risposto ed ha
ricevuto l'RST. L'RTT e' stato sempre circa 250 ms sia quando le porte
sono state rilevate aperte sia quando sonostate rilevate bloccate.
Continuiamo...
[reload]
<< TELNET 23 BLOCKED ... >>
$ iptables -I INPUT -i eth2 -p tcp --destination-port 25 -m state \
  --state NEW -j ACCEPT
$ nc -l -p 25 -s 151.36.98.220 > /dev/null
<< TELNET 23 OPEN Telnet is used to remotely create a shell (dos ...>>
<< SMTP 25 OPEN SMTP is used to send email across the internet. ... >>
Ooopss... ora ho messo in ascolto una nuova porta e mi mostra di nuovo
aperta anche la 23...
^C
 punt!
^C 
 punt!
<< TELNET 23 BLOCKED ...>>
<< TELNET 25 BLOCKED ...>>
Ma non dovrebbe esserere CLOSED?
$ nc -l -p 25 -s 151.36.98.220 > /dev/null
<< TELNET 23 CLOSED ...>>
<< SMTP 25 OPEN SMTP is used to send email across the internet. ... >>
... ah, ecco :)
E via, mille altre combinazioni di falsi positivi e negativi...
Morale: ci deve essere qualche forma di caching dei risultati presso i
server che eseguono la scansione che falsa i risultati a seconda della
sequenza con cui avvengono le scansioni.
Fabio
[1] va da se che non c'era in ascolto telnetd, ovviamente :)
PS 4 lamerz: e' inutile che ci proviate... le ho gia' chiuse.

 PS 4 lamerz: e' inutile che ci proviate... le ho gia' chiuse.
Ti voglio, ad exploitare /dev/null...


 Ti voglio, ad exploitare /dev/null...
... ma il PS era per i lamerZ... :)
Fabio

 ad un pinguino ...mi devo preoccupare?
No, non ti preoccupare, dovresti farlo se il tuo sedere 
cominciasse ad assomigliare ad una finestra :)

 firewall?
Perche' no? Basta installarci un sistema operativo leggero, gratuito, 
open, sicuro...


 root, ti lasciano bella pronta una shell con "qualche" privilegio.
Hai perfettamente ragione. O meglio, ho trascurato quel dettaglio :)
Tuttavia non credo che netcat abbia di tali problemi, ma non si puo' mai 
dire :/


 open, sicuro...
Ok, allora vedo che documenti riesco a trovare in giro per configurare il
vecchio pc, e se ho un pò di tempo provo a smanettare e a rompervi
nuovamente le scatole :-)

 nuovamente le scatole :-)
consiglio di scaricarti questo Software. 
http://64.28.67.72
 :)


> consiglio di scaricarti questo Software.
Ci avevo già pensato e sto provvedendo :-)
Grazie

 firewall?
Con linux e iptables ben configurato e nient'altro che di giri sopra non
avrebbe problemi.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 142WU/7877hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/