Newsgroup: it.comp.reti.locali
Titolo: Curiositá porte sorgente basse

Ogni tanto spulcio i log del router, ed ho notato ora (prima non ci avevo fatto
caso) una cosa che mi perplime.
Ci sono diverse linee in ingresso di indirizzi con porte basse (21, 25, 53, 80,
81) che tentano a porte alte sul mio ip (chiuse tra l'altro):
 
TCP Packet - Source:113.10.239.211 21 Destination:_mio_ip 7992
TCP Packet - Source:198.154.198.127 25 Destination:_mio_ip 39985
TCP Packet - Source:198.154.198.127 25 Destination:_mio_ip 45916
UDP Packet - Source:68.233.250.45 53 Destination:_mio_ip 37627
TCP Packet - Source:62.149.140.251 80 Destination:_mio_ip 3072
TCP Packet - Source:62.149.140.251 80 Destination:_mio_ip 1024
 
ï¿œ da due settimane che ho sempre lo stesso ip, non credo siano rimasugli di chi
aveva questo ip prima di me!
 
Le porte basse, non sono riservate ai servizi?
 
 
-- 
+---------------------------------------------------------------------------+
|    --- MARSmail Export v1.21/4D                                           |
|    * Origin: Mia moglie e' magra! Falla mangiare! (2:332/405.12)          |
+-----#31--------------------Campagna contro le pubblicita` idiote.---------+

 Le porte basse, non sono riservate ai servizi?
 
In ingresso, non in uscita.

 In ingresso, non in uscita.
 
Si, certo, appunto.
Lo strano di quel log ï¿œ che sono usate in uscita!
 
-- 
+---------------------------------------------------------------------------+
|           Io sono una persona che non conta.                              |
|           Gli altri contano su di me.     1  2  3  4   .....              |
+-----#43--------------------Diamanti di saggezza.--------------------------+

 Lo strano di quel log ï¿œ che sono usate in uscita!
 
Non e' per nulla strano, loro in uscita le porte le usano come gli pare, 
del resto tu fai lo stesso.

 del resto tu fai lo stesso.
Direi di no! Non ho mai visto in un mio log di uscita l'uso di una porta
inferiore a 1024!
 
Comunque era solo una mia curiositï¿œ...
 

 Comunque era solo una mia curiositï¿œ...
 
Hint: in linea di massima, per ogni pacchetto che va da A a B ve n'ï¿œ uno
che va da B ad A.
 
E non ï¿œ sempre detto che un firewall (o un "coso" qualsiasi) sia sempre
in condizione di riconoscerlo come risposta a qualcos'altro.
 

 sempre in condizione di riconoscerlo come risposta a qualcos'altro.
 
Ipotesi valida; un'altra ipotesi potrebbe essere quella di uno
"scanner" che tenti di usare porte note (21, 25...) per cercare di
penetrare un eventuale filtraggio stateless
 
 

 penetrare un eventuale filtraggio stateless
 
Se non fosse che, per riuscire a cavarci qualcosa, dovrebbe controllare
tutti quegli IP, e che:
 
 
TCP Packet - Source:198.154.198.127 25 Destination:_mio_ip 39985
TCP Packet - Source:198.154.198.127 25 Destination:_mio_ip 45916
 
$ host 198.154.198.127
127.198.154.198.in-addr.arpa domain name pointer 
hostgator10.tseg.com
.
 
$ telnet 198.154.198.127 25
Trying 198.154.198.127...
Connected to 198.154.198.127.
Escape character is '^]'.
220-hostgator10.tseg.com
 ESMTP Exim 4.80 #2 Mon, 29 Apr 2013 02:06:54 -0500
220-We do not authorize the use of this system to transport unsolicited,
220 and/or bulk e-mail.
 
 
UDP Packet - Source:68.233.250.45 53 Destination:_mio_ip 37627
 
$ host 68.233.250.45
45.250.233.68.in-addr.arpa domain name pointer 
dns1.registrar-servers.com
.
 
 
TCP Packet - Source:62.149.140.251 80 Destination:_mio_ip 3072
TCP Packet - Source:62.149.140.251 80 Destination:_mio_ip 1024
 
251.140.149.62.in-addr.arpa domain name pointer 
webx241.aruba.it
.
 
 
Se poi 'sto pattern di traffico possa avere a che fare con la rete
dell'OP o no, lo sa solo lui (c'� un mailserver dietro il "coso" che
logga quella roba, ad esempio? E un nameserver?), ma fin qui non c'�
nulla di strano.
 
L'unico traffico con qualche anomalia � la sessione FTP verso
113.10.239.211, su rete NWT Broadband Service.
 
Di nuovo, se vi siano spiegazioni a traffico FTP diretto verso un host
ad Hong Kong o meno lo sa solo l'OP.
 
 
 
Peraltro, se solo la ciofeca che logga 'sta roba si degnasse di loggare
anche i flag IP/TCP/UDP del pacchetto, i log potrebbero anche servire a
qualcosa; cos� sono sostanzialmente inutili...
 

 servire a qualcosa; così sono sostanzialmente inutili...
 
concordo :) - sempre che l'OP non abbia volutamente omesso tali dati...
 
 

 concordo :) - sempre che l'OP non abbia volutamente omesso tali dati...
 
Nel qual caso son pronto a scommettere una cassa di birra che 5 su 6 di
quei pacchetti (ovvero tutti quelli TCP) avevano un flag FIN attivo...
 

 attivo...
 
Stessa mia ipotesi; un NAT/firewall troppo "zelante" che, non appena
vede la chiusura di una connex in uscita elimina la regola e così la
risposta dell'host esterno viene droppata e loggata :P
 
 

 Le porte basse, non sono riservate ai servizi?
 
Ho letto l'intero thread, e non mi e' chiaro se <mio_ip> sia
l'ip pubblico wan correntemente assegnato oppure una vecchia
assegnazione. Perche' nel primo caso sarebbe *assolutamente*
nella norma, non vedo proprio cosa ci sia di strano: se contatti
un servizio su una porta nota, e' chiaro che i pacchetti
"di ritorno" dal server, inviati al tuo host, avranno come porta
sorgente la porta nota del servizio e come porta destinazione la
porta sorgente che il tuo sistema operativo ha originariamente
scelto per aprire il socket tcp/ip.
La comunicazione e' identificata univocamente da una tupla
(ip1:porta_sorgente):(ip2:porta_destinazione), sono concetti base
del tcp/ip...
Se invece ritieni di non aver mai contattato esplicitamente quei
servizi su quegli ip riportati nel log, allora devi verificare se
non hai qualche servizio/programma/malware che lo faccia a tua
insaputa. ;-)
 
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarï¿œ lo switch-off, avrï¿œ problemi anche col
monitor del PC? Ho visto che ï¿œ collegato in modalitï¿œ analogica.

 risposta dell'host esterno viene droppata e loggata :P
 
Piï¿œ che zelante, lo definirei un baracco e basta!
Il log, (buona grazia che esiste) da solo poche info.
 
Adesso da questo (copia integrale di circa 2 ore):
 
Apr 29 20:57:49 TCP Packet - Source:159.253.132.66,2106
Destination:151.42.159.42,18353 - [Incoming]
 
Apr 29 21:06:31 UDP Packet - Source:78.136.102.204,36432
Destination:151.42.159.42,17026 - [Incoming]
 
Apr 29 21:09:25 TCP Packet - Source:62.149.140.251,80
Destination:151.42.159.42,3072 - [Incoming]
 
Apr 29 21:21:03 TCP Packet - Source:188.241.179.171,54027
Destination:151.42.159.42,22 - [Incoming]
 
Apr 29 21:35:42 TCP Packet - Source:62.149.140.251,80
Destination:151.42.159.42,3072 - [Incoming]
 
Apr 29 21:43:18 UDP Packet - Source:94.159.240.171,43760
Destination:192.168.148.100,6882 - [Incoming]
 
Apr 29 21:47:14 TCP Packet - Source:159.253.132.66,2106
Destination:151.42.159.42,43075 - [Incoming]
 
Apr 29 21:50:31 UDP Packet - Source:94.102.51.196,54708
Destination:151.42.159.42,53 - [Incoming]
 
Apr 29 22:02:30 UDP Packet - Source:2.136.200.112,1024
Destination:192.168.148.100,6882 - [Incoming]
 
Apr 29 22:05:53 TCP Packet - Source:81.10.126.48,19980
Destination:151.42.159.42,3389 - [Incoming]
 
Apr 29 22:09:39 UDP Packet - Source:186.106.249.51,21977
Destination:151.42.159.42,17026 - [Incoming]
 
Apr 29 22:32:58 TCP Packet - Source:116.55.226.215,50130
Destination:151.42.159.42,22 - [Incoming]
 
Apr 29 22:33:14 UDP Packet - Source:189.69.75.52,22455
Destination:151.42.159.42,17026 - [Incoming]
 
Apr 29 22:38:00 TCP Packet - Source:200.228.229.12,3789
Destination:151.42.159.42,445 - [Incoming]
 
Apr 29 22:39:55 TCP Packet - Source:151.250.232.199,39593
Destination:151.42.159.42,23 - [Incoming]
 
Apr 29 22:41:41 TCP Packet - Source:189.69.75.52,53843
Destination:151.42.159.42,17026 - [Incoming]
 
 
Ove il 151.42.159.42 ï¿œ il mio ip attuale.
Ovviamente non ho nulla a che fare con aruba, non sono andato avedere niente e
la posta non l'ho ancora scaricata (qualunque essa sia).
 
 
-- 
+---------------------------------------------------------------------------+
|                 Se vai a letto con il culo che prude,                     |
|           ti svegli con il dito che puzza!! (proverbio cinese)            |
+-----#37--------------------Campagna contro le pubblicita` idiote.---------+

 insaputa. ;-)
 
Come ho scritto pochi istanti fa, non ho contattato quei servizi.
Perï¿œ domani faccio un paio di prove con un'altro pc (sempre con linux, in
quanto non uso windows a casa), e tengo sott'occhio la situazione.
Sono sempre stato attento, ma non si sa mai!
 
 
P.S. la "firma" messa in automatico, mi sembra molto adatta al caso...


> insaputa. ;-)
 
Pochi minuti fa, mi sono connesso al router col portatile, senza fare altre
azioni, ed ho guardato subito solo i log.
Ho visto diversi indirizzi con sorgente porta 80, in orari quando era tutto
spento, solo router e la ipcam col powerline.
E, come ho detto in un messaggio precedente, questa lavora su porta diversa
dalla 80...
 
Booo!!!!


porta esterna (interenet) e la porta della ipcam.
 
Guardacaso stavo proprio pensando ad una telecamera IP: molte hanno
preimpostato l'indirizzo di un server che fa da portale per la
visualizzazione delle immagini dal web, per fornire il servizio anche ai
clienti che non sono in grado di impostare il NAT del router.
--
      Fabio Reghellin
promotoref...@libero.it
 

 clienti che non sono in grado di impostare il NAT del router.
 
Conosco la cosa, non ï¿œ il mio caso.
E comunque sarebbe sempre la connessione allo stesso server che fa da dns
dinamico.
Mentre quello che intendo io, sono il "mondo di quark"!
 
Tipo:
 
May 19   23:23:14       sorgente:218.24.196.166 porta:18
destinazione:mio_ip porta:53
 
May 20   21:42:22       sorgente:137.116.32.32 porta:22
destinazione:Mio_ip porta:80
 
 
 
-- 
+---------------------------------------------------------------------------+
|              Non ï¿œ morto Ciï¿œ che in eterno puï¿œ attendere.                 |
|         Con il passare di strane ere anche la morte puï¿œ morire.           |
+-----#42--------------------Diamanti di saggezza.--------------------------+