Newsgroup: it.comp.sicurezza.varie
Titolo: Curiositá varie su certe porte...

Questa mattina per oltre 3 ore, il log del firewall mi ha dato diverse
centinaia di righe (una ogni decina circa di secondi) di richieste in ingresso
sulla porta UDP 10000 da una caterba di IP.
Dato che ho un IP dinamico, ho sconnesso il router per alcuni minuti e la
situazione ï¿œ sparita.
Mi sono fatto uno scriptino per filtrare il log, ed ho visto questa sera un
paio di cose che non ho ben capito:
 
IP sorgente             porta   protocollo
184.72.255.37           0       TCP
70.145.1.208            10      UDP
83.59.251.117           10      TCP
 
Cosa mai cercano sulla porta TCP 0 e sulla 10 ?
E questa mattina sulla 10000 ?
 
Non che sia particolarmente preoccupato, ma solo curiositï¿œ....
 
P.S. Uso una debian, ed uno scan con nmap da un'altro PC, non da particolari
porte aperte...
 
-- 
+---------------------------------------------------------------------------+
|     Il Pascal e' un linguaggio giocattolo fatto per insegnare la          |
|     programmazione ai matematici.                                         |
+-----#20--------------------Campagna contro le pubblicita` idiote.---------+

 situazione ï¿œ sparita.
 
Ipotesi... quello che aveva lo stesso IP prima di te aveva
un programma P2P attivo sulla porta 10000. Quando lui si ï¿œ
sconnesso quell'IP ï¿œ stato assegnato a te, e intanto tutti
i peer con cui lui dialogava hanno continuato a tentare di
riconnettersi con quell'IP.
 
Bye, G.


La 10000 ï¿œ anche la porta utilizzata da webmin.
 
 

 La 10000 ï¿œ anche la porta utilizzata da webmin.
Fosse anche, ho filtrato il log, ho fatto un sort+uniq e risultano 732 ip
diversi... Tutti in ingresso su 151.42.135.26 che era il mio ip al momento.
 
1.0.216.245<---><------>10000<->UDP
1.64.204.92<---><------>10000<->UDP
1.64.204.92<---><------>10000<->UDP
1.64.204.92<---><------>10000<->UDP
2.134.226.254<-><------>10000<->UDP
2.138.21.151<--><------>10000<->UDP
2.221.60.15<---><------>10000<->UDP
2.231.123.48<--><------>10000<->UDP
2.232.217.6<---><------>10000<->UDP
2.32.218.212<--><------>10000<->UDP
5.13.226.212<--><------>10000<->UDP
5.165.227.130<-><------>10000<->UDP
5.166.43.141<--><------>10000<->UDP
5.57.64.102<---><------>10000<->UDP
14.198.82.16<--><------>10000<->UDP
.........
221.219.19.23<-><------>10000<->UDP
221.219.19.23<-><------>10000<->UDP
222.175.61.98<-><------>10000<->UDP
223.230.35.245<><------>10000<->UDP
 
per 732 righe!!!
Boh!!


Neoviruz ha scritto:

Ok ma... capirei se una macchina infetta lanciasse uno scan
su tutta una subnet, ma mi pare strano il contrario: che un
tot di macchine diverse puntino tutte su una sola, in cerca
di un webmin aperto :-).
 
Uno che va a settare, diciamo, Emule su una porta che non ï¿œ
quella standard, mi pareva facile che buttasse lï¿œ un 10000.
O sbaglio ?
 
Bye, G.

 quella standard, mi pareva facile che buttasse lï¿œ un 10000.
 
Come ho scritto, ï¿œ stato la prima cosa che ho pensato, tor o p2p.
Quello che mi sembrava strano era appunto la porta, sempre e solo 10000 udp.
E nel log compaiono ben 732 indirizzi unici!
Ed un solo ip, uno solo fra tutti, ha cercato anche una porta diversa:
 
46.232.228.156 ----
Jan  5 15:44:24 UDP Packet - Source:46.232.228.156,11396
Destination:151.42.133.25,52318 - [Incoming]
Jan  5 15:44:40 UDP Packet - Source:46.232.228.156,11396
Destination:151.42.133.25,52318 - [Incoming]
Jan  5 15:44:57 UDP Packet - Source:46.232.228.156,11396
Destination:151.42.133.25,52318 - [Incoming]
 
Boh!
 
 
-- 
+---------------------------------------------------------------------------+
|  Chi va con lo zoppo, impara a zoppicare.                                 |
|  Ma se lo zoppo va con uno sano, smette di zoppicare?                     |
+-----#22--------------------Campagna contro le pubblicita` idiote.---------+

 quella standard, mi pareva facile che buttasse lï¿œ un 10000.
 
Forse avete ragione tutti e due!
Magari ï¿œ qualcuno(a) che vuole scaricare col p2p ed il firewall dell'ufficio
gli blocca le porte, allora che fa?
Vede che la porta ï¿œ aperta per il webmin ed utilizza quella!
 
-- 
+---------------------------------------------------------------------------+
| Aho e che palle, so' tre giorni che ci sminchiazzi le cosiddette!         |
| Ma la sera ci dai di get/put o ti limiti all'handshaking e ti vieni a     |
| sfogare co' noi?                                                          |
+-----#32--------------------Campagna contro le pubblicita` idiote.---------+