Newsgroup: it.comp.sicurezza.varie
Titolo: risultato di netstat che non capisco bene [lunghino]

Salve.
Uso debian woody.
Se mi connetto a internet e controllo le mie porte con
spiderman:/home/fmf# netstat -na > netstat.pon
ottengo il file netstat.pon:
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      1 
151.25.148.36:1089
 
193.70.192.70:110
       SYN_SENT    
tcp        0      0 
151.25.148.36:1088
 
213.92.8.2:47942
        ESTABLISHED 
tcp        0      0 
151.25.148.36:1081
 
213.92.8.2:21
           ESTABLISHED 
tcp        1      0 
151.25.148.36:1080
 
212.100.160.82:80
       CLOSE_WAIT  
tcp        0      0 
0.0.0.0:80
              0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:8081
            0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:8080
            0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:25
              0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:515
             0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:5865
            0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:113
             0.0.0.0:*               LISTEN      
tcp        0      0 
0.0.0.0:119
             0.0.0.0:*               LISTEN      
raw        0      0 
0.0.0.0:1
               0.0.0.0:*               7           
raw        0      0 
0.0.0.0:6
               0.0.0.0:*               7           
Ora. La prima riga mi sembra di aver capito che e` il mio fetchmail che
cerca sul POP3 di libero.
Le seconde due e` apt che sta aggiornando i pacchetti da 
attila.bofh.it
.
La quarta e` wwwoffle che sta aggiornando la sua cache.
Poi c'e` il mio server apache (che non so ancora perche` l'ho messo, ma
non ho voglia di levarlo, tanto dovrebbe essere ben configurato e
sicuro. Non ci provate: sono in dial-up e magari smarronate il
maresciallo Cacace che sta porneggiando...)
Seguono due linee che non mi e` chiaro cosa ci facciano li`: tproxy e
webcache: chi e` che le apre?
Una fantastica printer che non ho ancora trovato il modo per chiudere
dal firewall di Mr. Shark.
La 5865 che non so che e`.
E poi viene la prima domanda vera e propria[1]: mi sembra che il mio pc
stia fornendo i servizi tcp e nntp all'esterno. E` vero o mi sbaglio?
E se e` vero, se il mio inetd.conf e`:
spiderman:/home/fmf# grep -v '#' /etc/inetd.conf
nntp            stream  tcp     nowait  news    /usr/sbin/tcpd
/usr/sbin/leafnode
ident           stream  tcp     wait    identd  /usr/sbin/identd
identd
Capisco la tcp, ma chi e` che apre la nntp all'esterno?
Ora la seconda domanda per i temerari che sono arrivati fino a qui:
che caspita e` questa sparata qui sotto?
Cioe`, ho letto la man page e posso interpretare le varie colonne, ma e`
normale quello che leggo?
Cosa diamine sono tutti questi server sulla mia macchinetta?
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags       Type       State         I-Node Path
unix  0      [ ACC ]     STREAM     LISTENING     219    public/flush
unix  0      [ ACC ]     STREAM     LISTENING     239    private/virtual
unix  9      [ ]         DGRAM                    79     /dev/log
unix  0      [ ACC ]     STREAM     LISTENING     243    private/lmtp
unix  0      [ ACC ]     STREAM     LISTENING     207    private/rewrite
unix  0      [ ACC ]     STREAM     LISTENING     113    /dev/printer
unix  0      [ ACC ]     STREAM     LISTENING     247    private/cyrus
unix  0      [ ACC ]     STREAM     LISTENING     211    private/bounce
unix  0      [ ACC ]     STREAM     LISTENING     215    private/defer
unix  0      [ ACC ]     STREAM     LISTENING     251    private/uucp
unix  0      [ ACC ]     STREAM     LISTENING     259    private/bsmtp
unix  0      [ ACC ]     STREAM     LISTENING     255    private/ifmail
unix  0      [ ACC ]     STREAM     LISTENING     223    private/smtp
unix  0      [ ACC ]     STREAM     LISTENING     263    private/scalem
ail-backend
unix  0      [ ACC ]     STREAM     LISTENING     227    public/showq
unix  0      [ ACC ]     STREAM     LISTENING     231    private/error
unix  0      [ ACC ]     STREAM     LISTENING     235    private/local
unix  0      [ ACC ]     STREAM     LISTENING     104    /dev/gpmctl
unix  0      [ ACC ]     STREAM     LISTENING     200    public/cleanup
unix  0      [ ]         DGRAM                    543    
unix  0      [ ]         DGRAM                    538    
unix  1      [ ]         STREAM     CONNECTED     537    
unix  1      [ ]         STREAM     CONNECTED     536    
unix  1      [ ]         STREAM     CONNECTED     535    
unix  1      [ ]         STREAM     CONNECTED     534    
unix  1      [ ]         STREAM     CONNECTED     533    
unix  1      [ ]         STREAM     CONNECTED     532    
unix  1      [ ]         STREAM     CONNECTED     531    
unix  1      [ ]         STREAM     CONNECTED     530    
unix  1      [ ]         STREAM     CONNECTED     529    
unix  1      [ ]         STREAM     CONNECTED     528    
unix  1      [ ]         STREAM     CONNECTED     527    
unix  1      [ ]         STREAM     CONNECTED     526    
unix  1      [ ]         STREAM     CONNECTED     525    
unix  1      [ ]         STREAM     CONNECTED     524    
unix  1      [ ]         STREAM     CONNECTED     523    
unix  1      [ ]         STREAM     CONNECTED     522    
unix  1      [ ]         STREAM     CONNECTED     521    
unix  1      [ ]         STREAM     CONNECTED     520    
unix  1      [ ]         STREAM     CONNECTED     519    
unix  1      [ ]         STREAM     CONNECTED     518    
unix  1      [ ]         STREAM     CONNECTED     517    
unix  1      [ ]         STREAM     CONNECTED     516    
unix  1      [ ]         STREAM     CONNECTED     515    
unix  1      [ ]         STREAM     CONNECTED     514    
unix  1      [ ]         STREAM     CONNECTED     513    
unix  1      [ ]         STREAM     CONNECTED     512    
unix  1      [ ]         STREAM     CONNECTED     511    
unix  1      [ ]         STREAM     CONNECTED     510    
unix  1      [ ]         STREAM     CONNECTED     509    
unix  1      [ ]         STREAM     CONNECTED     508    
unix  1      [ ]         STREAM     CONNECTED     507    
unix  1      [ ]         STREAM     CONNECTED     506    
unix  1      [ ]         STREAM     CONNECTED     505    
unix  1      [ ]         STREAM     CONNECTED     504    
unix  1      [ ]         STREAM     CONNECTED     503    
unix  1      [ ]         STREAM     CONNECTED     502    
unix  1      [ ]         STREAM     CONNECTED     501    
unix  1      [ ]         STREAM     CONNECTED     500    
unix  0      [ ]         DGRAM                    382    
unix  0      [ ]         DGRAM                    355    
unix  0      [ ]         DGRAM                    328    
unix  0      [ ]         DGRAM                    273    
unix  0      [ ]         DGRAM                    191    
unix  0      [ ]         DGRAM                    109    
unix  0      [ ]         DGRAM                    83     
Grazie per l'attenzione.
[1] Le domande sono effetivamente due esplicite, ma se qualcuno si
sentisse autorizzato a darmi consigli leggendo quello che ho scritto, lo
faccia pure liberamente che` son qui per imparare.
Tnx.
-- 
| manuel `fmf' ferrero | fmf@spiderman:~$%blow |
|  
http://fmf.come.to
  | %blow: No such job.   |

 che caspita e` questa sparata qui sotto?
Fammi capire, con cosa hai ottenuto quell'output?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 wrote:
Puoi sapere il PID di un programma che sta tenendo aperta una porta con
	fuser -n tcp <porta>
per esempio,
	fuser -n tcp 80
ti dara' magari 112 113 114 115 116. A quel punto fai ad es.
	ps waux | grep 112
e scopri qual e' il processo con PID 112; per fare prima, e vedere pure
processi magari non visibili a ps <grin>, puoi tentare
	ls -la /proc/112/exe
...se ricordo bene. In questo caso probabilmente ti dira' "httpd", dato
che la porta 80 aperta te la tiene Apache con i suoi piccoli indiani, e
per questo hai 5 PIDs anziche' uno solo.
A quel punto puoi vedere nella configurazione di quel file se il LISTEN
e' effettivo e consentito su tutti gli indirizzi (anche esterni, cioe',
per esempio, quelle porte 8080 e 8081 sono Squid aperto a cani & porci)
oppure se c'e' qualche ACL, o magari il firewall.
Se non c'e', puoi sempre mettercela.
Leonardo

 	ls -la /proc/112/exe
Come hai già dato ad intendere in un'altra occasione, in questo modo si
possono sbugiardare alcuni rootkit. Come ammazzi tu le paranoie, altri
non ce n'è...
...ma le mie operano in modalità "respawn"! :)  Esistono rootkit che si
preoccupano anche di andare ad alterare il proc FS?
Saluti, ireneo.
-- 
- Signor Gandhi, cosa pensa della Civilizzazione Occidentale?
- Penso che sarebbe una buona idea.

preoccupano anche di andare ad alterare il proc FS?
Molti meno. E lo sospetti perche' devono riavviare il sistema, cosa che
si vede dal comando uptime... no, non *QUELLO*: la copia sicura che usa
un touch file generato al boot da dentro /etc/rc.d/network.
Benche' proprio di recente uno pseudorootkit automatizzato sia riuscito
a entrare[1], per fare un lavoro sano da me ci vogliono gli artificieri
del Genio.
Leonardo
[1] ma non ne e' uscito vivo; mentre il vilissimo proprietario, che nei
    giorni scorsi ha ritenuto di abbandonare gli studi, si domandava la
    ragione del tombale silenzio del suo trojanaccio maledetto.

 a entrare[1]
Chiedere come e' troppo, vero? :)

Se non c'e', puoi sempre mettercela.
Infatti mi sono convinto che devo proprio mettermi a studiare il
firewall. Per ora mi sono accontentato di usare quello di Mr. Shark
copiato pari pari, ma mi rendo conto che se voglio approfondire non
posso fare a meno di capirlo...
Tra l'altro aggiungo una domanda: quando uso netstat o netcat
indicandogli come ip 127.0.0.1, ottengo lo stesso risultato che otterrei
facendolo per esempio su una macchina qualsiasi su internet?
Cioe', ho solo il mio pc e non ho una rete per provare e non voglio
nemmeno rischiare di portscannare una macchina su internet che potrebbe
appartenere a te o thorin, non sono cosi' masochista, quindi non so cosa
otterrei e non posso confrontarlo con quello che ottengo sul mio pc.


Fammi capire, con cosa hai ottenuto quell'output?
E' la continuazione dell'output di netstat -na.
-- 
manuel 'fmf' ferrero

 E' la continuazione dell'output di netstat -na.
Aah si, ora ho visto: quella e' la lista dei socket, semplicemente,
niente di cui allarmarsi (guarda sulla man page i dettagli dello switch
-a): per curiosita', avendo qui una Debian a portata di mano, mi sono
collegato in SSH ed ho dato il comando ed ho visto che anche a me da'
una lista lunga cosi' ma cio' che e' importante e' la parte di sopra in
cui elenca le porte aperte.


cui elenca le porte aperte.
Ho letto la man page e ho visto cosa significano i campi.
Mi inquietavano soltanto quei server in listening col path public: io
non ho un path public o perlomeno non so di averlo.
Non credo che la mia debianina sia stata crackata, ma sto documentantomi
perche' non lo possa proprio essere...
BTW grazie.
-- 
manuel 'fmf' ferrero

Chiedere come e' troppo, vero? :)
Ma no. E' che, per una serie di prove (l'avevo pure detto) sono costretto
ad usare SSH-1, e non avevo aggiornato il server di produzione.
Fortunatamente ( :-) ) lo stesso exploit e' stato rilevato da $PTB, e con
quasi nessun aiuto da parte mia e' partito un memo incendiario diretto ai
softwaristi. Passeranno a SSH-2 [1]
Ma non solo! Con una sapiente compilation di posts da 
www.microsoft.com
 -
nulla di che, una ventina di megabytes di advisories - e in seguito a una
serie di peripezie che Thorin conosce, il server IIS+SQL7 subira' a breve
una mutazione genetica che lo portera' ad avere fame di pesce anziche' di
RAM.
Tifenteremo patroni ti monto! <bwahahahaha>
Leonardo
[1] voci incontrollate mi hanno spiegato come mai sono rimasti a SSH-1 in
    questi anni :-)
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 BTW grazie.
De nada, figurati.


     ragione del tombale silenzio del suo trojanaccio maledetto.
Eheheh... Un "first study, then hack" ci sarebbe stato a fagiolo!
ireneo


 otterrei e non posso confrontarlo con quello che ottengo sul mio pc.
Beh, sicuramente dei risultati diversi! in ogni caso, IMHO, se hai usato 
lo script di Mr Shark la porta (famigerata) della stampante (lpd) non 
dovrebbe essere aperta al mondo, o meglio: e' aperta perche' c'e' il 
socket aperto (e questo lo vedi da netstat) ma dovrebbe essere filtrata 
dal FW/PF (e questo lo vedresti facendoti passare con nmap)
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus

 posso fare a meno di capirlo...
Mmm... ma sono l'unico che non snete la vera necessita` di utilizzare il
firewall nonostante monti dei server? [1]
Un Henryx che nonostante tutto e` ben chiuso
[1] anche perche` non sono ancora riuscito a capire il funzionamento del
forward (se lo chiudo al mondo intero non navigo piu`, se lo lascio
aperto mi sembra di aver fatto un lavoro a meta`)
-- 
Tanto gentile e onesta pare
la donna mia, quand'ella altrui saluta,
e invece e' una maiala risaputa.
                -- Conte Uguccione, "Mai Dire Gol"

 Un Henryx che nonostante tutto e` ben chiuso
Spesso la eccesiva sicurezza anestetizza il back orifice e non ci si
accorge che qualcuno ti sta conoscendo [1]
[1] Sempre "biblicamente" parlando..


aperto mi sembra di aver fatto un lavoro a meta`)
Mah. Io so solo che per scrupolo m'ero installato i file di Mr. Shark ai
quali ho anche fatto una modifichina per usare client di file sharing e
m'e' sempre andato tutto bene.
L'altro giorno mi sono registrato su un news server che uso dall'ufficio
con profitto, ma quando ho tentato di usarlo a casa mi e' comparso il
tipico messaggio di pacchetto rifiutato nei log e non sono riuscito a
connettermi al news server. Presumo mi mandi qualcosa che io filtro, ma
non ho ancora avuto tempo di capire cos'e'...
-- 
manuel 'fmf' ferrero

 non ho ancora avuto tempo di capire cos'e'...
<hint> Potresti postare UNA riga del log... </hint>


<hint> Potresti postare UNA riga del log... </hint>
No.
Primo perche' ora sono in ufficio.
Secondo perche' prima voglio cercare di capire da solo.
Grazie comunque della gentile disponibilita'[1]
[1] Slecchinata dovuta al fatto che tanto gia' ce lo so che non capiro'
il cosiddetto cippone e mi tocchera' ritrattare tutte le mie
dichiarazioni di indipendenza e venire ad elemosinare informazioni
qui... Tanto vale quindi tenerseli buoni, no? <grin>
Bye.
-- 
manuel 'fmf' ferrero

 accorge che qualcuno ti sta conoscendo [1]
Piu` che altro prima di prendere questa via ho provato un tentativo di
utilizzo da parte di terzi (per mezzo di un amico). Inoltre se consideri
che:
- uso INN come server news
- uso qmail come server mail
- uso wwwoffle come server proxy
e che sono sia  configurati in modo da non accettare mail dall'esterno,
sia abbastanza sicuri da non farmi stare in paranoia ogni volta che mi
connetto, direi che la mia situazione e` tranquilla. Inoltre considera
anche che wwwoffle (che tra i tre e` quello che mi impensierisce piu` di
tutti, ma neanche troppo) lo utilizzo su di una porta diversa da quella
standard, e questo mi da ancora piu` sicurezza[1] . Cmq mi
interesserebbe installare piu` che altro un IDS, ma con SNORT non ho
avuto fortuna (in pratica non partiva). Provero` con tcpdump ;)
Henryx
[1] mmm... forse troppa ^^;
-- 
Bilancia
Amore: siete mai stati a Lourdes?
	-- da Rat-Man 15

 avuto fortuna (in pratica non partiva). Provero` con tcpdump ;)
Anche io avrei voluto ma ultimamente mi sto divertendo di piu' a giocare
con i firewall su OpenBSD.


 con i firewall su OpenBSD.
Be i firewall con OpenBSD (ipf) ti tolgono un pacco di mal di testa.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Be i firewall con OpenBSD (ipf) ti tolgono un pacco di mal di testa.
Poco ma sicuro.


 con i firewall su OpenBSD.
Mmm... se installero` il bestio ci provo a giocare...
Henryx
P.S. una cosa strana: dopo essermi connesso, e dopo aver fatto un nmap,
mi sono trovato con la porta 1998 (che nmap indicava come x25-svc-port)
aperta, ma subito dopo, provando a vedere chi l'aveva aperta con fuser,
non mi veniva piu` menzionata. Mah...
-- 
Bilancia
Amore: siete mai stati a Lourdes?
	-- da Rat-Man num. 15

 non mi veniva piu` menzionata. Mah...
Mai sentita questa porta, boh.


 Starting nmap V. 2.12 by Fyodor (
fyo...@dhp.com
, 
www.insecure.org/nmap/
)
[..]
Che poi, ripensandoci, nmap su 127.0.0.1 vale 'na mazza, devi farlo sul
tuo IP quando sei online per avere un vero riscontro.


 > mi sono trovato con la porta 1998 (che nmap indicava come x25-svc-port)
Cosa c'e' in if-up?


 Cosa c'e' in if-up?
Ecco, cosa c'e'?


 tuo IP quando sei online per avere un vero riscontro.
Stesse porte piu` quella che a quanto pare viene aperta in modo random
Henryx
P.S. vuoto di memoria: che e` if-up?


  P.S. vuoto di memoria: che e` if-up?
e' uno script che tira su un'interfaccia.
[root@poldo root]# ls /etc/sysconfig/network-scripts/|grep ifup
ifup
ifup-aliases
ifup-cipcb
ifup-ippp
ifup-ipv6
ifup-ipx
ifup-isdn
ifup-plip
ifup-plusb
ifup-post
ifup-ppp
ifup-routes
ifup-sit
ifup-sl
ifup-wireless
-- 
 (o_   Su questo anello, le lettere riportate da Isildur possono essere 
 //\   ancora lette. Io l'ho fatto, ed ecco cosa vi ho letto:
 V_/_  "Ash nazg durbatuluk, ash nazg gimbatul, ash nazg thrakatuluk 
       agh burzum-ishi krimpatul."  

 P.S. vuoto di memoria: che e` if-up?
Serve a tirare su una interfaccia.


 P.S. vuoto di memoria: che e` if-up?
E' uno script che Viene richiamato (mi pare) da ifconfig quando "tiri su" 
una interfaccia, ricavandolo dal nome stesso dell'interfaccia (ppp, eth0, 
etc) diversamente a seconda della distro.
Ad esempio sulla mia debian box di casa, su if-up richiamo lo script che 
setuppa il firewall, fetchmail, exim, eccetera....
