Newsgroup: it.comp.sicurezza.unix
Titolo: Disattivare una porta.

Ho un piccolissimo problema.
Facendo un port scan con l'nmap mi appare una porta (esattamente la 617)
aperta e come servizio unknown. E' possibile disattivarla? E in caso
affermativo in che modo?
Marco /*-*\

 E in caso affermativo in che modo?
non so, un firewall? :D
-- 
-andreas liebschner
 rimuovi NOSPAM. per rispondermi in email
powered by slackware linux

 affermativo in che modo?
Beh, prima di tutto devi scoprire a cosa serve e perchč č aperta,
non trovi? Fai un 'netstat -anp' e dai un occhio a quale processo
la sta usando. Ti serve? Si: dai un'occhio a bugtraq per vedere i
buchi che eventualmente potresti avere e, magari, puoi pensare di
filtrarne l'accesso in base a qualche regola. Se, invece, non hai
bisogno dei servizi associati a quella porta, puoi disattivare il
demone che la tiene aperta e non pensarci piů.
Fabio



netstat -tunap | grep 617
Prendi nota del processo, e lo killi.
Poi disattivi cio' che la attiva (non so, magari se e' in rc.xxx,
oppure se e' inetd lo togli dalla configurazione).
In ogni caso a me risulta
617 - SCO Desktop Administration Server
Domanda: sei dietro un firewall? magari e' li' che e' aperta....
HappyCactus
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

A proposito di porte...
io ho la 32768 aperta che e' quella di KDE....
la 6000 l'ho gia' chiusa con startx -- -nolisten tcp.
c'e' un modo di chiudere anche la 32768?
E' pericolosa?
questo Bugtraq cosa e' e dove lo trovo (URL) ? :-)
Grazie
Evernine.

Che firewall mi consigli? :)
Marco /*-*\


 in ogni caso puoi sempre cercare su 
freshmeat.net


 617 - SCO Desktop Administration Server
Ma da  dove ti risulta quello che hai detto sopra dai miei server?
Marco /*-*\


 Che firewall mi consigli? :)
dipende dal kernel che utilizzi..
2.2.x -> ipchains
2.4.x -> iptables
in caso non abbia familiarità con lo scrivere "regole" per bloccare
pacchetti con ipchains/iptables puoi usare script già fatti.. per iptables
gShield è piuttosto buono, per ipchains ne trovi anche nelle patatine :) 
magari dai una occhiata su 
mrshark.cjb.net
 mi pare ci fosse una
spiegazione abbastanza buona riguardo ipchains e anche uno script già
fatto.
in ogni caso puoi sempre cercare su 
freshmeat.net
-- 


 via SSH.
bugtraq fa parte di 
www.securityfocus.com
 ... sono delle mailing list dove
vengono riportati bugs, exploits, problemi di software/distribuzioni sia
per quanto riguarda linux che windows, etc. Hai la possibilità di
consultare gli archivi online dal loro sito.
è molto utile per tenerti informato sui possibili buchi che il tuo sistema
può avere e per correre ai ripari in caso ne avessi bisogno


 questo Bugtraq cosa e' e dove lo trovo (URL) ? :-)
vedi sopra: 
http://www.securityfocus.com


 ha scritto nel messaggio
news:pan.2002.01.16.14....@libero.it...


 ha scritto nel messaggio
news:pan.2002.01.16.14....@libero.it...


 Kernel 4.0.1-2.2.16C32III-4 può darsi? O sto sparando una mega bomba?
oh, non saprei... credevo ti riferissi a "linux" .. non ho mai usato quel
tipo di macchina e non so cosa ci possa girare =) mi spiace


 Utilizzo il Kernel Ver. 4.0.1 puň darsi? --
no, non esiste =)
anche se č un po fuori luogo su questo newsgroup, il comando per vedere la
versione del tuo kernel č:
uname -s -r
(e ti appare tipo Linux 2.4.17)
oppure:
uname -a
(e ti appare tipo Linux warped 2.4.17 #1 Mon Jan 7 00:43:10 CET 2002 i686
unknown).
prova a visitare anche it.comp.os.linux.iniziare ;)


 versione del tuo kernel è:


 server?
Se non hai intenzione di offrire servizi dns, imap, pop3, ftp, hosts2-ns,
ssh, snpp, https, http smtp, mysql, estamp, sdas e qualcun'altro che non
conosco direi che non va molto bene. Se invece offri intenzionalmente tutti
questi servizi... dipende solo da come sono configurati e se sono soggetti
a qualche vulnerabiulità nota.
Fabio

 ha scritto nel
messaggio news:91g18.35596$cU4.1...@twister1.libero.it...


 Questi a che tipo di servizio si riferiscono estamp, sdas, snpp?
Molti dei servizi che offri possono essere problematici dal punto di vista
della sicurezza e quindi devi stare attento agli aggiornamenti e alla
configurazione.
Porte:
- snpp    (444): simple network paging protocol. Hylafax? Configurazione
                 di StrongHold Apache? Sybase?
- sdas    (617): SCO Desktop administration Server. Non conosco.
- estamp (1982): evidentiary timestamp. Non conosco.
Fabio

 PID. Fallo anche per le altre porte in listen.
# kill -9 `fuser 617/tcp | awk '{print $2}'`
thorin e le scorciatoie, in modalita' mayhem
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 ha scritto nel messaggio
news:a244eo$rjq$1...@mordor.gruppocm-cs.it...


> # kill -9 `fuser 617/tcp | awk '{print $2}'`
Non è molto utile se vuoi sapere cosa diavolo ascolta sulla 617
per evitare di farlo ripartire all'avvio successivo.
Piuttosto un:
# ps ax|grep  `fuser 2323/tcp | awk '{print $2}'`
Fabio

> # ps ax|grep  `fuser 2323/tcp | awk '{print $2}'`
Pardon:
# ps ax|grep `fuser 617/tcp | awk '{print $2}'`
Fabio

 ha scritto nel
messaggio news:50h18.143$1W5....@twister1.libero.it...


 oppure il kill me lo killa per sempre? :)
No kill -9 lo uccide _drasticamente_ per sempre.


 per evitare di farlo ripartire all'avvio successivo.
Mi sembrava si stesse parlando di chiudere la porta/terminare il processo.


 questa maledetta porta.
No, no. Accidenti: mi sa che ti serve un ripassino di unix prima
di continuare ad amministrare quella macchina ;)
Quel comando ti restituisce una riga in cui è indicato il percorso
dell'eseguibile che tiene aperta la porta, che sarà una cosa tipo
14513 ?        S      0:01 /usr/sbin/tuoprogramma
^^^^^                      ^^^^^^^^^^^^^^^^^^^^^^
 PID                           eseguibile
A questo punto devi capire cosa diavolo è tuoprogramma, cosa che puoi
fare con
# man tuoprogramma
o cercando su google o quello che ti viene in mente.
A questo punto decidi se ti serve o meno. Se non ti serve devi capire
quale script di avvio lo carica ed eliminarlo da li, altrimenti al
prossimo riavvio te lo ritrovi di nuovo su. Potrebbe partire con uno
script specifico tipo /etc/rc.d/init.d/tuoprogramma e in questo caso
dovrai cercare nelle directory /etc/rc.d/rc3.d /etc/rc.d/rc4.d
/etc/rc.d/rc5.d ecc degli eventuali link simbolici chiamati
qualcosa tipo S43tuoprogramma (il 43 me lo sono inventato) ed
eliminarli.
Per fare in fretta puoi eventualmente cercarli con:
#find /etc/rc.d -iname S??tuoprogramma
ed eventualmente cancellarli tutti in un colpo solo con:
#find /etc/rc.d -iname S??tuoprogramma -exec rm -f {} \;
(attento ad usare comandi come quelli sopra se non li padroneggi
bene, altrimenti rischi di fare qualche disastro)
In alternativa potrebbe essere avviato tramite una riga in rc.local
o altri file in /etc/rc.d.
I percorsi che ti ho indicato, putroppo, dipendono dal sistema
operativo e io non conosco il tuo.
Fabio

 Non mi si riavvia piů?
Cosi' visualizzi solamente il PID del processo, non lo termini.


> Mi sembrava si stesse parlando di chiudere la porta/terminare il processo.
Si, ma definitivamente :) E comunque dopo aver scoperto a cosa serve (IMHO).
Mica che poi il giorno dopo va a tirare su un qualche client di configurazione
sotto windows o una qualche utilità di backup (ecc.) e non funziona più un
tubo.
Fabio

Ma da  dove ti risulta quello che hai detto sopra dai miei server?
No :)
http://www.globalframe.f2s.com/html/port3.htm


No kill -9 lo uccide _drasticamente_ per sempre.
Per sempre... beh. fino al prossimo avvio del servizio...


 Si, ma definitivamente :) E comunque dopo aver scoperto a cosa serve (IMHO).
Beh ho solo dimezzato i tempi, che problema c'e'? :) Comunque basta
riavviare il servizio, mica e' Uindous che devi rebootare il PC..


 Per sempre... beh. fino al prossimo avvio del servizio...
Non se lo disabiliti...
thorin che una botta di Vi su inetd.conf e' la migliore medicina.


 ha scritto nel
messaggio news:Qph18.10$7m1...@twister1.libero.it...


 ha scritto nel messaggio
news:a24863$s3g$1...@mordor.gruppocm-cs.it...


 ha scritto nel
messaggio news:50h18.143$1W5....@twister1.libero.it...


Ottimo. Carino questo sito, almeno identifica le porte. :)
--
               ,.,.,
Marco   c 'c' c
               >' <
"HappyCactus" <happycactus...@desert.nowhere> ha scritto nel
messaggio news:3c45ad37...@powernews.libero.it...


 ha scritto nel messaggio
news:ncv18.29$RQ5...@news1.tin.it...


 tcp        0      0 
0.0.0.0:81
              0.0.0.0:*               LISTEN
I servizi in ascolto su 0.0.0.0 ascoltano su tutti i tuoi IP mentre
quando e' indicato un IP preciso ascoltano solo su quell'indirizzo.
Per il post precedente: usare comandi di una sola linea e' veloce e
da una certa soddisfazione (io comunque non sono certo un mago), ma
non è certo indispensabile. Fai pure le cose separatamente, come ti
avevo proposto precedentemente.
1) # fuser 617/tcp     ti da il (o i) PID
2) # ps ax             ti da l'elenco dei processi ordinati per PID
Eventualmente, se hai tanti processi, puo' essere comodo un:
# ps ax|grep PID
che ti sestituisce la sola linea corrispondente al PID. Tutto questo
lo farei per tutte le porte 'strane' che hai aperte.
Ah, a proposito: un'altro posto dove guardare per cercare dove viene
caricato il demone all'avvio e' il file /etc/inetd.conf.
Fabio

tcp        0      0 
123.123.12.12:53
        0.0.0.0:*               LISTEN
perche' ftpd sta ascoltando su tutte le interfacce, mentre bind solo
su quella interna.
PS: QUOTA!


Graziiisssima!!!
Un'altra cosa.... 
Potresti quotare per favore? Si fa fatica a leggerti...


 avevo proposto precedentemente.
Una volta capito il funzionamento dei singoli mattoncini non e' niente
di trascendentale e si risparmia un sacco di tempo.


Scusami hai ragione!!
--
               ,.,.,
Marco   c 'c' c
               >' <
"HappyCactus" <happycactus...@desert.nowhere> ha scritto nel
messaggio news:3c46b11e...@powernews.libero.it...


 ha scritto nel
messaggio news:ydw18.244$ly.1...@twister1.libero.it...


Scusami scusami scusami...
--
               ,.,.,
Marco   c 'c' c
               >' <
"HappyCactus" <happycactus...@desert.nowhere> ha scritto nel
messaggio news:3c46b149...@powernews.libero.it...


sistema. Vi ringrazio di cuore.
Prego.
Ci piacerebbe che ti instradassi anche verso l'antica arte del
quoting:
Tagliare le parti del messaggio originale che non servono
Rispondere sotto il messaggio originale.
Tagliare la firma
Un po' come vedi fare alla maggior parte di noi.
Saluti
HappyCactus


Cosa molto strana. Con il comando 'ps ax' mi fa visionare soltanto i
processi attivi al momento? Perchè mi fa visualizzare tutto tranne la porta
617!! :(
Il comando fuser lanciato come utente root sembra non esistere. ?:\


 Scusami scusami scusami...
Invece di scusarti, quota.
Te lo hanno detto, te lo hanno spiegato, in pochissimo tempo finirai per
essere come il tale, sai, quello che gridava nel deserto.
E' semplice:
Scrivi dopo cio' a cui rispondi.
Di cio' a cui rispondi, riporta solo il minimo indispensabile per
capire.
Taglia le firme altrui.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 HappyCactus

 Adesso mi domando, ma è una cosa normale che ci siano tanti


 /usr/sbin/httpd -f etc... etc...?
Si, non ti preoccupare. In particolare le righe come quella al
PID 23282 sono quelle che ti tengono aperta la porta 81. Se tu
avessi bisogno di fermare quel servizio, per farti un esempio,
dovresti fare:
~# /etc/rc.d/init.d/admserv stop
ma il processo verrebbe caricato nuovamente al prossimo riavvio
se tu non togliessi anche i link simbolici che lo avviano nelle
directory /etc/rc.d/rcX.d.
Fabio

 Il comando fuser lanciato come utente root sembra non esistere. ?:\
Perche' continui a quotare male nonostante ti sia stato chiesto piu'
volte di fare piu' attenzione?


 In questo modo :)
[..]
No, in _questo_ modo
[e tutto il resto, se non c'e' niente cui rispondi va tagliato]


> Il comando fuser lanciato come utente root sembra non esistere. ?:\
Probabilmente non è stato installato. Devi cercarlo, scaricarlo e
installarlo, possibilmente nel formato di packaging dei pacchetti
per cobalt (che non so quale sia) ma può andare bene anche un bel
targizeta da compilare.
Cominque la porta 617 probabilmente e' proprio un applicativo per
il backup (ma in quel post l'avevo sparata). Probabilmente arkeia
e' stato installato su quella macchina e tiene aperta la 617. Tra
l'altro esiste uan vulnerabilita' sfruttabile in remoto associata
a quel prodotto e quindi è indispensabile vedere se la release in
uso sulla tua macchina e' a vulnerabile.
Nel frattempo ferma il demone con:
~# /etc/rc.d/init.d/arkeia stop
Fabio

Il comando fuser lanciato come utente root sembra non esistere. ?:\
provato:
#whereis fuser
Magari (come sulla redfard) e' fuori dal path predefinito di root...
(/usr/local/bin)
PS: QUOTA CAVOLO!


 No, in _questo_ modo
Spero di riuscire. Non mi è mai riuscito bene quotare! :( Così!!


 directory /etc/rc.d/rcX.d.
Quindi da qui capisco che all'interno della directory sopra menzionata ci
sono tutti i link simbolici che avviano tutti i servizi? Una specie di
autoexec.bat per Winnoz?


 uso sulla tua macchina e' a vulnerabile.
BINGO! Hai perfettamente ragione è per colpa di arkeia. Infatti è nel
pacchetto dei Cobalt RaQ.
Con grande soddisfazione trovo che ho tolto di mezzo questa maledetta porta.
Adesso a quanto mi sembra di capire Arkeia è un demone che permette di
eseguire i backup su macchine esterne. A me non mi interessa minimamente
questo tipo di cosa. Quindi, ditemi se sbaglio, devo andare nella directory
/etc/rc.d/rcX.d e togliere i link simbolici di arkeia?
Ragazzi lo so che faccio due bocce... ma poi se un domani (che mai verrà è
solo per informazione) lo volessi riattivare come faccio? Mi devo ricordare
tutti gli rcX.d dove l'ho trovato?





 PS: QUOTA CAVOLO!
Spero che cosě vada bene. :(
--
               ,.,.,
Marco   c 'c' c
               >' <.

 Per informazione ho la versione 3.0.5 di arkeia .
Ehm!! ho fatto
# rpm --version arkeia (ma non credo sia la versione corretta!??!) :(


 tutti gli rcX.d dove l'ho trovato?
Non è strettamente necessario: ragionando puoi mettere gli opportuni link S
e K nelle directory giuste.
Fabio

> # rpm --version arkeia (ma non credo sia la versione corretta!??!) :(
Cosi vedi la versione dell'utilità rpm. Devi fare:
# rpm -q arkeia
Sempre che arkeia sia stato instalalto con rpm.
Fabio

fuser: /usr/sbin/fuser /usr/man/man1/fuser.1
Bene. Significa che l'hai installato, e ti da' il percorso corretto.
Evidentemente, come supponevo, /usr/sbin non e' nel path di root, per
cui per eseguire fuser devi specificare il path completo.
Come vedi, hai anche le man pages di fuser, per cui dai una occhiata
con $ man fuser
ByE


 
Prova a vedere se esiste chkconfig ... ed il suo man.
-- 
 Alberto 'JCN-9000' Varesio     AKA  BlueRider    AIX V4.3 System Support
 EADS-MDTV - Via Goito 51/A    Riding the world   Phone: 
+39-011-415-8111
 10195 Grugliasco (TO) ITALY   on a Honda CB500    Cell: 
+39-349-492-4769
 mailto:
A-Va...@eads.matradatavision.com
      mailto:
A-Va...@edist.it
--
 If there is a worse time for something to go wrong, it will happen then.
                                          -- Corollary to Murphy's law #2