Newsgroup: it.comp.sicurezza.varie
Titolo: AtGuard, NetBios, porta zero e tante altre belle cose...

Salve a tutti.
Scusate se non mi sono presentato, ma son negato per le presentazioni,
cmq qui qualcuno mi conosce gia', chi non mi conosce avra' modo di
farlo. Anche se non so quanto gli converra' :P
L'argomento e' questo: dopo aver scoperto che win95 e' molto piu'
traforato di quanto non credessi, mi son deciso a mettere su un
firewall, in attesa, quando avro' un po' piu' tempo, di dire addio a
zio Bill, e di trasferirmi al Polo Sud, da una simpatica famiglia di
Pinguini che conosco gia', ma che tra una cosa e l'altra non ho tempo
di frequentare abitualmente :)
Seriamente, inizialmente avevo installato Conseal: ottimo programma, e
molto versatile... Anche troppo, in capo a dieci minuti son rimasto
totalmente rintronato da tutte le possibilita' di configurazione che
offre, e son passato a qualcosa di piu' leggero: AtGuard. Ottimo
programma! Eradicate le impostazioni di default, ne ho messe di
personalizzate, dove in pratica blocco tutti gli incoming (sia icmp
che tcp/udp, ovviamente queste due rules si chiamano "Paranoia TCP" e
Paranoia ICMP" :P), tranne il traffico verso/da DNS, server http, ftp,
e i ping reply. Poi ovviamente ci sono altre rules per programmi tipo
Agent (Allow Inbound and Outbound News and POP3), mIrc (irc, tutti),
etc.
Vediamo al dunque: appena avvio il comp, tutto bene, i problemi
cominciano quando parte la connessione. Appena mi collego, sia con che
senza atguard, mi ritrovo in listening le "famigerate" porte 137, 138
e 139. Prime che mi trucidiate, dicendomi di leggere i mex precedenti,
NON e' un problema di netbios o chi per lui. Infatti non lo ho proprio
installato, e, nel dubbio, lo ho anche installato e "unbindato" le
porte, come descritto nelle istruzioni presenti sul sito. Nulla, 138,
138 e 139 sempre in listening. Notare che non ci sono backdoor, o
almeno McAfee aggiornato a l'altro ieri cosi' mi dice. Le porte si
chiudono misteriosamente quando mi scollego, per poi riapparire
puntuali alla successiva riconnessione. AtGuard me le segnala come
aperte da rnaapp, btw.
Seconda cosa: a parte icq che e' veramente programmato coi piedi (al
confronto win3.11 e' un sistema sicuro), e che una volta che si
connette tiene attiva una connessione a 
www.icq.com:80
 che non posso
chiudere in alcun modo, netstat, da scollegato, mi da queste righe,
che prima della connessione (a sistema appena partito), non appaiono:
  Proto  Local Address          Foreign Address        State
  TCP    
0.0.0.0:0
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1385
 
0.0.0.0:0
              LISTENING
La seconda linea viene riportata anche da AtGuard, solo che come
Remote mi da "
www.icq.com
: http". Cio' che veramente mi lascia
perplesso e' la prima riga! Da che io sapia, la porta 0 non dovrebbe
nemmeno esistere!
Altra cosa che mi lascia molto perplesso (a parte l'idiozia del client
ICQ), e' come mai Napster, pur avendo detto a atguard di fargli fare i
porci comodi suoi (ero esasperato), con priorita' massima, non riesca,
con il firewall attivato, a connettersi in locale al Server Manager,
ma riesca a connettersi al server standard.
<slurpazz>E' gia' da un po' che vi seguo, e devo dire che ho gia'
imparato un bel po' di cosuccie, e' davvero interessante seguirvi, non
c'e' che dire</slurpazz>
Salut.
-- 
Posso dichiararmi Fan di Leonardo Serni? :)
-- 

nemmeno esistere!
E' una porta "virtuale" con cui Windows ti dice che è pronto a
ricevere pacchetti ICMP. 
Prima di partire per il polo, devi allenarti a resistere al freddo,
altrimenti ti congeli ;-)
Bye Krmel
Microsoft Outlook Express: cosa vuoi postare postare postare postare oggi?

ricevere pacchetti ICMP. 
Ok, grazie.

ad essa dal registro, e' tornato tutto normale.
Quale dll?

Quale dll?
suppongo netbios.dll ;-) C'č anche vnetbios.vxd (e le relative chiavi
dal registro che le chiamano).


Quale dll?
\system\vnbt.386
Ovviamente nella dir di windoze.

Ovviamente nella dir di windoze.
Pure quello... certo che Netbios mette tentacoli ovunque (è già il
terzo file... ce ne sono altri?)
