Newsgroup: it.comp.os.linux.sys
Titolo: Listening ports

Salve.
Ho notato che nel sistema ci sono delle porte in stato LISTENING che non
riguardano ne' servizi conosciuti ne qualcosa che abbia messo io.
si tratta di 697, 700 per il TCP e  1028 per l'UDP.
mi piacerebbe sapere come posso fare a risalire ai programmi che le
stanno utilizzando, per controllare se e' una cosa anomalo oppure no.
--
Ciauz!
   midorichan
////////////////////////////////////
     ... Anche a me non piace, ma e buono (Ez)

 stanno utilizzando, per controllare se e' una cosa anomalo oppure no.
lsof
ciao
fabrizio fabbri

 lsof
ti consumavi le dita a scrivere in italiano?
Io so gnurant', chevordi'?
--
Ciauz!
   midorichan
////////////////////////////////////
     ... Grazie a Dio, sono ateo.

 ti consumavi le dita a scrivere in italiano?
scusa :)
man lsof
per esempio:
lsof -i tcp 
ciao
fabrizio fabbri

si tratta di 697, 700 per il TCP e  1028 per l'UDP.
# netstat -tp
# netstat -up
Ciao
Ale
-- 
Home Page: 
http://web.tiscalinet.it/airaghi
Per ottenere il mio indirizzo e-mail sostituire a NOSPAM il mio cognome

si tratta di 697, 700 per il TCP e  1028 per l'UDP.
Altro metodo.
# fuser -n tcp <numero porta>
ti restituisce il PID del processo che la utilizza.
Poi:
# ps <PID>
per avere il nome del processo.
Riguardo all'altro mio messaggio, prova ad aggiungere una 'a' tra le
opzioni:
# netstat -atp
# netstat -aup
In generale:
$ man netstat
$ man fuser
$ man ps


Tutto ok!
Sapevo di poter contare su di voi.
Ho trovato tutti i proprietari delle porte, e non c'era nulla di anomalo. A
dire il vero, stavo cominciando a pensare che qualcuno si fosse introdotto
nel sistema.
Ho cominciato a preoccuparmi perche' da circa una settimana qualcuno si
diverte a mandarmi pacchetti spoofati sulle porte del netbios (137-139).
I pacchetti arrivano dall'interfaccia esterna con indirizzi della rete
privata (192.168.0.38 oppure 10.0.0.1).
Essi vengono filtrati dal kernel, dato che la prima cosa che ho fatto è
seguire i consigli di chi mi diceva di configurare il firewalling prima di
tutto.
Non riesco a capire che senso abbiano questi pacchetti, visto che in teoria
non dovrebbero poter tornare indietro delle informazioni al mittente (dato
che si tratterebbe di indirizzi di rete privata)
I pacchetti arrivano ad ore ben precise (alle 4.14 , 15.05, 23.45, a volte
spaccano il secondo).
Ci sono molte porte bloccate sul sistema, ma solo quelle del netbios sono
bersagliate.
--
Ciauz!
   midorichan

On Fri, 14 Jul 2000 00:29:18 +0200, 
Leonardo Serni (
ser...@tin.it
)
wrote:
| Leonardo che come gli garba pipa', de'...
 ROTFLASTC!!!
 Ommadonna, e` l'una e mezza di  notte, non mi far ridere cosi` tanto...
 :-))))))
-- 
Zefram 	| WARNING: Email address is FAKE. 	| email: 
	| [ 
http://digilander.iol.it/ebassi
 ]	| 	zefram (at) 
libero.it
GnuPG Key Fingerprint: 9747 635E B95A B0B3 4370  1CAA CAF7 512B 945C A44C 

stanno utilizzando, per controllare se e' una cosa anomalo oppure no.
man fuser
# ps $( fuser -n tcp 80 | cut -f2 -d: )
  PID  TT STAT   TIME COMMAND
  436  ?  S      0:00 /www/sbin/httpd
  444  ?  S      0:00 /www/sbin/httpd
  445  ?  S      0:00 /www/sbin/httpd
ed ecco scoperto chi usa la porta 80/tcp 8-D.
Usando una pipe un po' piu' complessa...
ps $( \
    fuser -n tcp $( \
	netstat -na | grep tcp.*LISTEN	\
	| cut -f2 -d: | cut -f1 -d' '	\
	| tr "\n" " " \
    ) | cut -f2 -d: \
)
...si ha l'elenco di tutti i processi con porte in ascolto [1]
Leonardo che come gli garba pipa', de'...
".signature": bad command or file name

spaccano il secondo).
Non e' che sul sistema avviene qualcosa, a quelle ore? Sei sicura che
arrivino i dati sull'interfaccia esterna?
Leonardo
