Newsgroup: it.comp.sicurezza.varie
Titolo: Netstat: come interpretate?

Ciao a tutti.
E' la prima volta che scrivo in questo ng e spero che questa non sia la
classica domanda che viene riproposta 10 volte al mese.
Ad un mio amico e' accaduta un' intromissione di una persona in una chat icq
e mi ha chiesto consiglio. Non sapendo da che parte cominciare ho dato
un'occhiata alle faq del newsgroup. Dopo aver verificato che non dovrebbero
esserci programmini strani (lo ha fatto lui ... boh), ho fatto fare un
netstat (solo per averne sentito parlare qui nei giorni scorsi) . Il
risultato e' stato questo, pero' non lo so interpretare. C'e' qualcosa di
anomalo ? A me non e' mai capitato di avere 9 porte in listening (e per un
tempo prolungato)
Connessioni attive
  Proto  Indirizzo locale         Indirizzo remoto             Stato
  TCP    
0.0.0.0:1028
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:21555
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:12345
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:12346
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:5568
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1025
 
0.0.0.0:0
              LISTENING
  TCP    208.1.xxx.xxx:21555    193.70.xxx.xxx:1121     ESTABLISHED
  TCP    208.1.xxx.xxx:137      
0.0.0.0:0
              LISTENING
  TCP    208.1.xxx.xxx:138      
0.0.0.0:0
              LISTENING
  TCP    208.1.xxx.xxx:139      
0.0.0.0:0
              LISTENING
  TCP    208.1.xxx.xxx:5568     193.70.xxx.xxx:1131     ESTABLISHED
  UDP    
0.0.0.0:1028
           *:*
  UDP    
127.0.0.1:1025
         *:*
  UDP    208.1.xxx.xxx:137      *:*
  UDP    208.1.xxx.xxx:138      *:*
Dalle FAQ mi sembra di capire che e' attivo il netbios e va disattivato.
Quindi il problema e' solo qui o puo' essere successo qualcos'altro ?
Nella speranza di aver spiegato adeguatamente la faccenda, vi ringrazio per
l'attenzione
Saluti
Attilio Venturi

Attilio Venturi

Dalle FAQ mi sembra di capire che e' attivo il netbios 
a me sembra più I netbus
mamma mia che gruviera :(
See Ya Soon,   
Frankj 
ICQ# 15068478 
e-mail:fra...@tiscalinet.it
--------------------------------------
Pizzairc - #pizza Home Page
http://www.chez.com/pizzairc
news:alt.irc.mirc.scripts.pizza
--------------------------------------

 >  TCP    
0.0.0.0:12346
 
0.0.0.0:0
              LISTENING
ho provato a controllare con nukenabber, configurato per monitorare
(anche) le 12345, 12346 e 31337; netstat dice che la 31337 č in
listening,
ma le altre 2 no...perň il nabber funziona sulle 2 porte di netbus
infatti piů di una volta ha intercettato scan su queste 2 porte,
come si spiega netstat non le "vede"?

  TCP    208.1.xxx.xxx:5568     193.70.xxx.xxx:1131     ESTABLISHED
e pure a questa.
Riassumendo: quel computer ha piu' buchi dell'ozono.
Per togliere le backdoor bisognerebbe agire sul registro, ma a questo
punto di consiglio un antivirus, che non farebbe assolutamente male al
tuo amico.
ciao
Buttha (una volta tolte LE backdoor, consiglierei di cambiare tutte le
password per il collegamento al provider, per la posta, ecc...)
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

udp, non mi pare innocente)
potrebbe essere icq, cmq.
Fagli fare un netstat senza che abbia avviato alcuna applicazione e
prima di connettersi.
[followup su it.comp.sicurezza.windows]
ciao
Buttha


e pure a questa.
Il simpaticone (193.70.xxx.xxx) sono io. Quando ha fatto netstat stavamo
chattando con icq. Le due porte in ascolto 
0.0.0.0:21555
 e 
0.0.0.0:5568
 sono
sempre dovute al netbus (21555 e 5568 ci sono anche in TCP 208.1.xxx.xxx)
Anch'io durante la chat ho fatto netstat e il risultato e' stato questo (non
appaiono TCP 0:0:0:0):
  Proto  Local Address          Foreign Address        State
  TCP    193.70.xx.xxx:1077     
209.160.21.5:80
        ESTABLISHED
  TCP    193.70.xx.xxx:1107     
195.31.191.11:21
       ESTABLISHED
  TCP    193.70.xx.xxx:1111     
195.31.191.11:21
       ESTABLISHED
  TCP    193.70.xx.xxx:1114     
195.31.191.11:20
       ESTABLISHED
  TCP    193.70.xx.xxx:1116     
195.31.191.11:20
       ESTABLISHED
  TCP    193.70.xx.xxx:1121     208.1.xxx.xxx:21555    ESTABLISHED
  TCP    193.70.xx.xxx:1130     
194.184.128.162:21
     ESTABLISHED
  TCP    193.70.xx.xxx:1131     208.1.xxx.xxx:5568     ESTABLISHED
  TCP    193.70.xx.xxx:1132     
194.184.128.162:20
     ESTABLISHED
  TCP    193.70.xx.xxx:1135     
192.106.1.3:119
        TIME_WAIT
  TCP    193.70.xx.xxx:1136     
192.106.1.3:119
        ESTABLISHED
  UDP    
0.0.0.0:1034
           *:*
  UDP    
127.0.0.1:1048
         *:*
Comunque adesso verificheremo il tutto. Grazie per i preziosi consigli
Attilio Venturi

come si spiega netstat non le "vede"?
che ti abbiano manomesso le funzionalita' di netstat?


sempre dovute al netbus (21555 e 5568 ci sono anche in TCP 208.1.xxx.xxx)
Scusate, era una domanda.
Saluti
Attilio Venturi

Scusate, era una domanda.
no, sono porte dovute a icq.
Ripeto: fai fare netstat -na prima di connettersi, e facci avere il
risultato.
[follow up su it.comp.sicurezza.windows]





fare qlcs, come controllare, grazie.
allora e' ovvio che netstat non ti mostri la 12345 e 12346 aperte.


che ti abbiano manomesso le funzionalita' di netstat?
No, ci sono vari NETSTAT, e quelli vecchi funzionano male. Me ne sono
accorto perche' CREDEVO di aver trovato un modo per non fare vedere i
socket in listen a netstat (se usi shttpd e netstat paleolitico te ne
accorgi), ma vidi che in realta' era solo il MIO netstat che rimaneva
fregato.
In compenso anche il NETSTAT piu' nuovo non vede alcuni sockets fatti
ammodino - solo che connettercisi e' piu' rognoso. Sto sviluppando un
programma che fa esattamente questo (non e' una backdoor, anche se ne
ha alcune funzionalita': devo amministrare remotamente dei PC), e non
vedo i sockets aperti ne' con NETSTAT ne' in nessun altro modo.
L'unico sistema per ora e' usare un portscan in locale. E anche cosi'
li vedo solo se 127.0.0.1 e' nella lista dei siti autorizzati a poter
vedere il socket, altrimenti non funziona neanche il portscan.
A titolo dimostrativo e se ho tempo, costruisco un programmino capace
di ricevere messaggi da un CGI su Linuxvalley senza farsi notare. Nel
programma si potra' inserire una parola chiave: cosi', vedendo che il
CGI verra' a conoscenza della medesima senza fare vedere porte aperte
a NETSTAT (forse, nella fase ESTABLISHED le vede: non ho fatto prove,
perche' NMNPFDDM di quanto sia "stealth" il programma :-) ) si potra'
toccare con mano la fetenziosita' del S.O. :-)
Leonardo
".signature": bad command or file name

vedo i sockets aperti ne' con NETSTAT ne' in nessun altro modo.
ci hanno gia' pensato ;)


 fregato.
Leonardo, si può considerare vecchio il netstat dell'ultima versione di
W95?
...immagino di si, magari conferma, grazie.

 l'attenzione
prego ma hai concatenato una serie incredibile di FAQ :) quindi [-600p]
quindi anche ammettendo il massimo dei punti prima :P il tuo punteggio
finale e' 0 .... =;)
bye
invy
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

 vedo i sockets aperti ne' con NETSTAT ne' in nessun altro modo.
e' una fetenzia di win, giusto ? una volta aperto un socket in listen()
sotto linux, ad esempio, questo compare a meno di flaw in /proc o netstat
stesso (mai visto ultimamente, se non troyan, ovvio).
Non conosco winsock quindi non posso esprimermi sulle sue API dei sockets,
ma non ci sono poi tanti modi su come aprirle sotto *nix ... :)
invy incuriosito


ci hanno gia' pensato ;)
Si', alterando NETSTAT o una delle librerie di sistema. Io dico invece
usando le _chiamate standard_ e senza alterare _niente_. Per cui tutti
i controlli di integrita' riferiscono che il sistema e' intatto, visto
che lo e' davvero.
Volevo costruirmi un socket "protetto", e ho scoperto che NETSTAT quei
sockets non li considera 8-DDD


...immagino di si, magari conferma, grazie.
Non lo so. Quello dell'ultimo Winsock 2.0 e' il piu' nuovo. Per sicurezza
comunque sarebbe bene copiare tutti i files di rete (quelli con "INET" od
"IP" o "TCP" nel nome) da SYSTEM su un floppy, e cosi' pure NETSTAT ecc.,
in modo da poter controllare.
Un altro trucco vile e' quello di fare copie con nomi diversi, ad esempio
ICMP.DLL --> PUKA.DLL
INETMIB1.DLL --> STICAZZI.DLL
eccetera, poi editare i files tipo NETSTAT e WINIPCFG perche' usino tutte
le librerie copiate al posto di quelle vere.
Se un trojan come quello segnalatomi dal buon Buttha sputtana le librerie
vere con lo scopo di mettertelo nel sottocoda, non ottiene niente perche'
tu usavi un altro programma con altre librerie.
Io per es. uso NSTAT.EXE; NETSTAT.EXE c'e', ma e' una copia inutilizzata.
Leonardo
(*) causa refuso, la parola "NSTAT.EXE" e' scritta in modo inesatto ]8-)


Ciao a tutti,
continuo qui la discussione perche' sul mio news server non c'e' il gruppo
it.comp.sicurezza.windows :-(((
La situazione si e' un po' evoluta. Al mio amico ieri ho chiesto cosa c'e'
nel registro di configurazione alla riga
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.
C'era un valore abbastanza strano "C:\WINDOWS\SETUP.EXE /nomsg".
Visto che eravamo di fretta e non aveva tempo per scaricare un antivirus mi
sono fatto inviare il file (483 Kb) e con Avp ho appena verificato che
contiene "Backdoor.Netbus.170". L'icona del file e' come quella del
"Visualizza canali"
Ho anche consigliato il netstat -n -a prima della connessione ma devo ancora
avere la risposta.
Comunque adesso vedo di fargli rimuovere il Netbus. In attesa di un
antivirus, basta rimuovere il file e togliere la riga dal registro ?
Saluti
Attilio Venturi

finale e' 0 .... =;)
un bel gioco a somma zero?


 antivirus, basta rimuovere il file e togliere la riga dal registro ?
In linea di massima dovrebbe bastare.. una volta eliminata la riga dal
registry potresti anche lasciare il file perche' oramai e' innocuo ma
visto che la saggezza consiglia di schiacciare la testa al serpente
levalo pure.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
<<   Available PGP keys: DSS/DH                   >>

antivirus, basta rimuovere il file e togliere la riga dal registro ?
esattamente.
Caso mai, per essere proprio sicuri che sia netbus, fate cosi':
senza essere connessi fate il netstat -na per verificare che ci sia
l'ascolto sulla 12345.
Poi togliete la chiamata dal registro (senza cancellare il file a cui
fa rifermento la chiamata), fate ripartire la macchina e rifate il
netstat.
Se la 12345 in listening e' sparita, beh... allora era proprio quello:
procedete con la soppressione fisica del file :)


prego ma hai concatenato una serie incredibile di FAQ :) quindi [-600p]
Qui siamo gia' sotto zero ...
E se aggiungiamo che mi e' arrivato da lui un file contaminato con
w32.cih.spacefiller a quanto arriva il punteggio ? Mi sa che per quel PC
l'unica soluzione sara' il "format c:" :-(((
Saluti
A.Venturi


vedi tu, ma datti una mossa, da quel che ricordo cih sputtana i bios
(ovviamente solo quelli riscrivibili) il 26 di ogni mese...
 ciao
nebbia

(ovviamente solo quelli riscrivibili) il 26 di ogni mese...
Stamattina ho sentito il mio amico. E' riuscito a rimuovere il virus da
parecchi file, tranne quelli che erano aperti durante l'esecuzione
dell'antivirus (explorer.exe, systray.exe, findfast.exe ...). Cio' significa
che se anche il virus e' stato tolto da buona parte dei file, visto che e'
presente in questi, e' come se nulla fosse stato fatto. Come si puo'
procedere ?
Stavo pensando di portargli un disco di emergenza con il Mcafee viruscan ma
il database e' aggiornato al marzo 1998 (altrimenti su un floppy non ci
sta). Pensavo di preparare un file batch sul floppy di avvio in modo che
l'antivirus venga copiato sul hard disk con i database piu' recenti e poi
eseguito (da HD subito dopo l'avvio da floppy). Che ne dite ?
Per il momento ho anche fatto spostare la data al 27-4
Saluti
Attilio Venturi
PS: il netbus e' stato rimosso manualmente. Grazie

procedere ?
puoi procurarti un antivirus che funzioni in modalita' ms-dos.
Inoltre, ti consiglio it.comp.sicurezza.virus.


 puoi procurarti un antivirus che funzioni in modalita' ms-dos.
Come per esempio AVP versione DOS (
http://www.avp.it
).

Ciao a tutti,
alcune settimane fa vi avevo raccontato di un mio amico che aveva ricevuto
Netbus. Abbiamo rimosso il file e l'entrata nel registro di configurazione.
E fin qui tutto OK ... sparite le porte 12345 e 12346 in listening e dopo a
PC appena avviato il responso del netstat e' nullo.
Durante il collegamento ci sono pero' diverse porte 0.0.0.0 in listening
(associate a quelle collegate, 1046, 1048 e 17723 locali dovrebbero essere
icq e 1040 irc ... le altre non so ...)
Vi sembra normale tutto cio' ? AVP non segnala altre infezioni. Se puo'
essere utile, il sistema operativo e' Win98 e l'accesso di gruppo
personalizzato (o dizione simile) non dovrebbe essere installato. Io ho
win95 e non ho mai visto porte 0.0.0.0
Il registro di configurazione nella sezione run e:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"ScanRegistry"="C:\\WINDOWS\\scanregw.exe /autorun"
"TaskMonitor"="C:\\WINDOWS\\taskmon.exe"
"SystemTray"="SysTray.Exe"
"LoadPowerProfile"="Rundll32.exe powrprof.dll,LoadCurrentPwrScheme"
Proto  Indirizzo locale         Indirizzo remoto             Stato
  TCP    
0.0.0.0:1030
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1040
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1046
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1048
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:8482
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:17723
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1025
 
0.0.0.0:0
              LISTENING
  TCP    208.1.xxx.xxx:1040     194.20.xx.xxxx:6667     ESTABLISHED
  TCP    208.1.xxx.xxx:1046     195.216.xxx.xx:23192   ESTABLISHED
  TCP    208.1.xxx.xxx:1048     212.216.xx.xx:21878    ESTABLISHED
  TCP    208.1.xxx.xxx:17723    212.216.xx.xx:1105     ESTABLISHED
  UDP    
0.0.0.0:1030
           *:*
  UDP    
127.0.0.1:1025
         *:*
Saluti
Attilio Venturi

Durante il collegamento ci sono pero' diverse porte 0.0.0.0 in listening
tranquillo: 0.0.0.0 e' un'altro modo di dire 127.0.0.1


tranquillo: 0.0.0.0 e' un'altro modo di dire 127.0.0.1
Sbagliato: significa tutti gli IP.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *