Newsgroup: it.comp.os.linux.sys
Titolo: firewall troiani

Vorrei un parere sulla parte relativa ai troiani del mio firewall.
E completo ?
# BACK ORIFICE ET SIMILIA
#
# Acid Shivers
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 10529 -j DENY -l
#
# Ambush
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 10666 -j DENY -l
#
# BadBlood
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6006 -j DENY -l
#
# Back Orifice
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31337 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31337 -j DENY -l
#
# Backdoor
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1999 -j DENY -l
#
# Big Gluk - TN
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 34324 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 34324 -j DENY -l
#
# Blade Runner
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 5400:5402 -j DENY -l
#
# B00ger - Sekure SDI
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 109 -j DENY -l
#
# Bugs
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2115 -j DENY -l
#
# Deep Back Orifice
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31338 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31338 -j DENY -l
#
# Deep Throat
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2140 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 3150 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2140 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 3150 -j DENY -l
#
# Deep Throath v2
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6670 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6670 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6711 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6711 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 60000 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 60000 -j DENY -l
#
# Delta Source
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 26274 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 47262 -j DENY -l
#
# Devil
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 65000 -j DENY -l
#
# Doly Troian
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1011 -j DENY -l
#
# DropChute
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 19932 -j DENY -l
#
# Firehotcker BackDoorz
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 5321 -j DENY -l
#
# Fore
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 50776 -j DENY -l
#
# FTP99cmp
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1492 -j DENY -l
#
# Gate Crasher
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6970 -j DENY -l
#
# GirlFriend
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 21554 -j DENY -l
#
# Hack '99 KeyLogger
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 12223 -j DENY -l
#
# Hack 'a' Tack
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31785 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31787 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31789 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31791 -j DENY -l
#
# HackCity Ripper Pro
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2023 -j DENY -l
#
# Hackers Paradise
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 456 -j DENY -l
#
# icKiller
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 7789 -j DENY -l
#
# ICQ Trojan
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 4950 -j DENY -l
#
# iNi-Killer (555 9989) - Phase Zero (555) - Stealth Spy (555)
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 555 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 9989 -j DENY -l
#
# Masters' Paradise
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 40421:40423 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 40426 -j DENY -l
#
# Midnight Commander
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 5 -j DENY -l
#
# Millenium
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 20000:20001 -j DENY -l
#
# NetBus - GabanBus
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 12345:12346 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 12345:12346 -j DENY -l
#
# NetBus Pro
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 20034 -j DENY -l
#
# NetMonitor
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 7300:7301 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 7306:7308 -j DENY -l
#
# Netsphere
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 30100 -j DENY -l
#
# NetSpy
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31339 -j DENY -l
#
# Phineas Phucker
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2801 -j DENY -l
#
# Portal of Doom
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 3700 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 9872:9875 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 10067 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 10067 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 10167 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 10167 -j DENY -l
#
# Priority
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6969 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 16969 -j DENY -l
#
# Progenic
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 11223 -j DENY -l
#
# Prosiak
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 22222 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 33333 -j DENY -l
#
# Psyber Stream Server - Voice
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1170 -j DENY -l
#
# Remote Grab
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 7000 -j DENY -l
#
# RC1 Trojan
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 65535 -j DENY -l
#
# Remote Windows Shutdown
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 53001 -j DENY -l
#
# Robo-Hack
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 666 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 5568 -j DENY -l
#
# ShockRave
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1981 -j DENY -l
#
# Satanz backDoor
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 5569 -j DENY -l
#
# Sivka-Burka
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1600 -j DENY -l
#
# SK Silencer - Web Ex
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1001 -j DENY -l
#
# Sockets de Troie
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 5000:5001 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 50505 -j DENY -l
#
# SpySender
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1807 -j DENY -l
#
# Striker
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2565 -j DENY -l
#
# Sub-7 (note port 6711 is alredy scanned for deep throat v2)
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1243 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2772 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6711 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6776 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 7215 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 27374 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 54283 -j DENY -l
#
# TeleCommando
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 61466 -j DENY -l
#
# The Invasor
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2140 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 3150 -j DENY -l
#
# The Spy
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 40412 -j DENY -l
#
# The Trojan Cow
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 2001 -j DENY -l
#
# Trin00
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1524 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 27665 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 27444 -j DENY -l
-A input -p udp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 31335 -j DENY -l
#
# Ugly FTP
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 23456 -j DENY -l
#
# Ultor's Trojan
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1234 -j DENY -l
#
# Voodoo Doll
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1245 -j DENY -l
#
# WinCrash
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 3024 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 4092 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 5714 -j DENY -l
-A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 5741:5742 -j DENY -l
#
#
#

 -A input -p tcp -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 10529 -j DENY -l
Scusa.. ma di solito non conviene chiudere tutto ed aprire solo i servizi 
necessari?
Se fai come hai fatto e dimentichi qualcosa diventi matto.
Ciao
Giulio

  connessione già instaurata, dialogare con il mio computer?
Scusa...
Pero' se non hai nulla su una porta, la porta risulta chiusa anche se
non metti la regola in ipchains/iptables. Inoltre per avere un trojan a
bordo devi prima installarlo... Insomma, io sono dell'idea che accetto
tutto e nego solo le porte con servizi che non voglio siano
raggiungibili. Meno regole, meno problemi di manutenzione :)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By RedHat 7.2 (Enigma) - Kernel 2.4.7 - X-SecurePro on WinXP


No sono uno specialista, perň penso che di solito il troiano non lo installi
(almeno coscientemente) ma te lo installano. Non sempre ci sono effetti
collaterali evidenti a qualcuno che utilizzi il sistema, salvo magari del
traffico inspiegabile su una porta.Questa porta, se non č chiusa a priori
avendo impostato un sistema chiuso, č aperta. L'equazione "meno regole =
meno problemi di manutenzione", che magari sarebbe piů attinente al caso
nella forma "meno vincoli = meno problemi di manutenzione" a me suona come
"meno sicurezza = meno problemi di manutenzione".
Ciao,
Oliviero

 Oliviero
A me suona: io so esattamente cosa c'e' sulle mie macchine.
Sulle windows ho antivirus aggiornatissimo e le tengo sotto controllo,
sotto Linux non entro mai come root e non eseguo programmi di dubbia
provenienza. Pensa a quanti virus ci sono e al fatto che solo il 10% se
non meno sono autoattivanti, e capisci perche' TEORICAMENTE quel
firewall va bene.
PS:
Molti trojan sono configurabili, e permettono di cambiare la porta del
server. E adesso cofnigurami il firewall.
Oppure preferisci fare attenzione a cosa installi?


 (almeno coscientemente) ma te lo installano. 
Beh prevenire e' meglio che curare. Se maulaguratamente una macchina della lan viene 
infettata da un troiano non sara' raggiungibile ne potra' uscire verso l'esterno per 
segnalare che il troiano e' installato.
Per quanto riguarda le porte quelle privilegiate le tengo chiuse salvo abilitazione 
ma quelle alte no; altrimenti e' un coro di: xche' non funziona la chat, xche non 
funziona il reversi in rete xche' non funziona il realplayer ecc. ecc.

 Oppure preferisci fare attenzione a cosa installi?
Uno e l'altro ;-)
Ci sono firewall per Win che controllano anche quale programma sta
utilizzando la data porta ed il suo CRC. Sapete se e' possibile fare
qualcosa di simile in Linux?
--
Alessandro Staltari
staltari(a)
geocities.com


Ok, questa domanda e' una cavolata ;-P
Alessandro Staltari
staltari(a)
geocities.com

 Oppure preferisci fare attenzione a cosa installi?
Nel limite del possibile sě.

 qualcosa di simile in Linux?
fuser :)


 
Si vabbe ma se uno su una Linux-box ti piazza un trojano, credi che nn 
riesca a modificare anche le regole di iptables? 
Ave!
-- 
Black Shark - ICQ# 5301833
Togli OE per rispondermi
IAMM - it.arti.musica.metal - 
www.iammol.com

 riesca a modificare anche le regole di iptables? 
OK ma l'intento e' di proteggere tutti gli altri pc della lan !

 riesca a modificare anche le regole di iptables? 
Certo che di fantasia ne hai, eh?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 Powered By RedHat 7.2 (Enigma) - Kernel 2.4.7 - X-SecurePro on WinXP
Non eri per la Slak :-) ?
Ciao
Alessandro Staltari
staltari(a)
geocities.com

 regole di  'output'? Non  è possibile  che un troiano  chiami un  host che
...
Se il firewall non viene usato dagli utenti, se non girano servizi puoi
anche chiudere l'OUTPUT verso l'esterno.
-- 
  Giuseppe "Cowo" Corbelli \/\ My software: 
http://yoda.ing.unibs.it/~cowo
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
		-<! $>cd /pub	$>more beer !>-

 Non eri per la Slak :-) ?
Esigenze lavorative e di tempo (Slack ne prende parecchio...)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=


 Certo che di fantasia ne hai, eh?
Xche'? Se uno riesce ad exploitarti qlc servizio, ad ottenere una shell di 
root e a mettere un root-kit + qlcs che comunica in remoto la sua presenza, 
che c'e' di strano?
Non capisco..


 Non capisco..
Quale servizio? Specifica, rimanendo cosi' sul vago non dici niente di 
utile e poi che rootkit sarebbe capace di andare a capire se sulla
macchina e' installato ipchains oppure iptables (quindi che versione del
kernel), individuare il file relativo di configurazione che potrebbe
essere benissimo uno shell script messo ovunque nel file system,
modificarlo, riavviare il servizio sotto al naso di root e pretendere
che questi non si accorga di niente? Su, dimmi cosa fumi che deve essere
_veramente_ roba buona..


 che questi non si accorga di niente?
Non c'e' bisogno che riesca a fare tutto questo, basta che usi un suo script 
per modificare le regole del firewall, e non e' neanche necessario riavviare 
il servizio.
-- 
Jagui

 kernel),
Uno script puo' benissimo azzerare tutte le tabelle sia con ipchains che 
con iptables e mettere di default le politiche di allow. Dopodiche' il caro 
Hacker puo entrare comodamente e andare in cerca delle tue configurazioni e 
fare un bel lavoro di fino andandole a modificare a mano...

 qualcosa di simile in Linux?
Non so se e' quello che ti serve ma a me viene in mente lsof_4.55.tar.gz
Dal Man:
lsof - list open files
An  open  file may be a regular file, a directory, a block special file, a 
character special file, an executing text reference, a library, a stream or 
a network file  (Internet  socket, NFS  file  or UNIX domain socket.)

 con iptables e mettere di default le politiche di allow. Dopodiche' il caro 
Script fatti in Lisp o Prolog ancora non ne ho visti, tu ne conosci
qualcuno?


 il servizio.
E tutto questo sempre sotto gli occhi di un root affetto da omeride,
suppongo, vero?
