Newsgroup: it.comp.os.linux.sys
Titolo: [Lunghetto] Forse sto impazzendo!!

Ho un grosso problema.
Come e' possibile che su un firewall dove non ci sono porte aperte, dove non
c'e' installato nessun programma, dove c'e' solo iptables che permette alla
lan di uscire e non permette nessun accesso dall'esterno, che non permette
nemmeno di pingare l'ip ne tantomento di fare un nmap... insomma
blindatissimo fino a ieri, oggi il firewall del cliente, risponde al ping e
orrore !!! anche a nmap
con questo output:
Starting nmap V. 2.54BETA31 ( 
www.insecure.org/nmap/
 )
Warning:  OS detection will be MUCH less reliable because we did not find at
least 1 open a
nd 1 closed TCP port
Interesting ports on 
hostXX-XXX.poolXXXX.interbusiness.it
 (XXX.XXX.XXX.XXX):
(The 1099 ports scanned but not shown below are in state: closed)
Port       State       Service
2065/tcp   filtered    dlsrpn
Remote operating system guess: MacOS 8.5
Nmap run completed -- 1 IP address (1 host up) scanned in 50 seconds
E' incredibile, cos'e' quel dlsrpn ?? (Data Link Switch Read Port Number)
come ci si trova?
E poi la macchina non e' MacOS 8.5 e' Debian !!!!
Questa situazione per circa 15 minuti, poi come per magia toran tutto a
posto, non pingo piu' l'indirizzo e non riesco a ottenere informazioni da
nmap.
Vi assicuro che non sbagliavo IP mentre provavo!
Aiutatemi a risolvere l'arcano vi prego :-(
Vorrei almeno secondo vostre analoge esperienze, se questo puo' essere opera
di un hacker particolarmente abile, sono abbastanza sicuro che quella porta
e' stata aperta volutamente... ma come ha fatto?
Ciao a tutti!

 nmap.
Non e' che la macchina e' stata riavviata e per un po' il firewall non era
attivo?
Davide

 attivo?
A parte il fatto che quando la macchina si avvia il firewall parte
immediatamente, ti assicuro che durante il malfunzionamento il firewall era
attivo.
Inoltre se facevo nmap "localmente" la porta dlsrpn non compariva, compariva
solo se facevo nmap dal mio ufficio verso quella macchina.
Ma possibile che una macchina superblindata dove non c'e' niente installato
nient'altro che iptable possa essere bucata con tale facilita'?
Il S.O inoltre e' un bellissimo Debian woody super aggiornato, c'e' apt-get
nel cron che me lo tiene aggiornato.
Devo riuscire a capire che succede, help me pleae!

 > attivo?
A proposito dimenticavo... l'interfaccia eth0 con l'ip pubblico la tiro su
solo un attimo prima del firewall, qundi firewall non attivo macchina non
accessibile!
Pensavo di aver fatto un lavoro a prova di hacker e invece... :-(

A volte nmap lo ha fatto anche a me... in rete locale.
Potrebbero anche essere problemi al router... o ai router prima...
Se tu hai una macchina nattata, a sua volta dietro un FW, potrebbe essere
anche quello il problema.
Non te la hanno bucata!
Max

 Non te la hanno bucata!
Beh dopo l'episodio di stamane non ho piu' avuto problemi, la macchina in
questione tuttora non e' "scannabile" e sembra tutto ok!
In fondo non mi spiego come potevano bucare un firewall fatto con iptables
su una bellissima Debian, aggiornatissima e senza nessun servizio
installato, non ci potevo credere.......

Una piccola ricerca e ho scoperto che la porta 2065 e' ufficialmente
registrata per il  Data Link Switch Read Port Number (dlsrpn) vedi RFC 1700,
viene usata dai router CISCO per il NAT credo, e guarda caso il router DSL
del cliente ... e' proprio un CISCO, anche se quella porta e' stata visibile
solo per qualche minuto !!!!.
Allarmismo inutile, sorry!