Newsgroup: it.comp.sicurezza.windows
Titolo: Porte aperte che non si chiudono

Salve, forse qualcuno saprà spiegare: Windows98SE, NortonAntivirus2003 e
Firewall Outpost. Qualche volta, dopo aver chiuso Internet Explorer
(vers.6.1 aggiornata) noto che il Firewall mi indica che ci sono ancora
alcune porte aperte; quelle in "time wait" si chiudono da sole dopo qualche
secondo, mentre alcune (mai le stesse, direi forse quelle legate alla ultima
navigazione sul web) restano in "listen" e non si chiudono mai. Sono sempre
due o tre, alle volte una sola (porte in genere intorno a 1100 - 1300)Non ho
alcun servizio, chat o applicazione ulteriore aperta e per chiudere queste
porte devo scollegarmi (adsl) e riavviare il pc. Poi ricollegandomi è tutto
ok. Questo non capita sempre, il più delle volte chiudendo Explorer e non
avendo altri servizi aperti le porte sono tutte chiuse (a parte la 1025 che
è il servizio di protezione mail di Norton), ma vorrei sapere se è un bug di
Explorer, di Windows, oppure se c'è una spiegazione...
Grazie a chi mi aiuterà a capire!
Marco.

 se è un bug di Explorer, di Windows, oppure se c'è una spiegazione...
Beh, quella di pensare subito ad un bug di windows è un po' come "piove, 
governo ladro".
Se ci sono processi in listen sicuramente non sono di applicazioni chiuse, 
non è detto che siano in listen sull'interfaccia internet e non è detto che 
(in quest'ultimo caso) siano accessibili (che ci sta a fare outpost?).
Ergo, controlla a 
http://security.symantec.com
 lo stato della tua 
configurazione e solo allora si può ragionare di porte aperte o chiuse.
Poi, possiamo analizzare nel dettaglio le porte in stato listen, capire 
quali processi e perchè. 

 quali processi e perchè.
Ti ringrazio della spiegazione, hai ragione, mi chiedo però come mai se
quando tutte le applicazioni sono chiuse almeno da 10 minuti, io ho (per
esempio) le porte 1400 e 1403 in "listen" anche se senza alcuna
attività...poi riavvio e torna tutto a posto...boh!?
Grazie! Ciao, Marco.

 attività...poi riavvio e torna tutto a posto...boh!?
"listen" significa appunto "ascoltare". Significa che sul pc ci sono dei 
programmi/servizi che stanno ascoltando su quelle porte. Sicuramente se 
questi programmi/servizi vengono chiusi e interrotti, netstat non rileva 
più alcun ascolto.
Ora, è *normale* avere servizi in ascolto e non è detto che siano in 
ascolto su internet. Ciò che bisogna sincerarsi è:
- non avere servizi "normali" che ascoltano su internet
- non avere programmi indesiderati che ascoltano, in generale
Chiaramente, la gravità è data dall'eventuale ascolto su internet che 
permetterebbe al servizio (lecito o meno) di accettare 
connessioni/richieste da ogni parte del mondo. Per esempio: il servizio 
netbios (condivisioni di rete, per intendersi) è lecito e necessario nella 
rete interna e sulla macchina locale, ovviamente è deleterio su internet...
Tenuto conto che tu utilizzi un firewall, hai un sistema che ti controlla a 
monte per cui qualsiasi risultato di netstat puoi permetterti di non farti 
cogliere dal panico. La controprova ce l'hai facendo un portscan 
dall'esterno come ti mostrato dal link (o uno analogo, ovviamente). Se vedi 
che alcune porte risultano "open" ad uno scan esterno, allora devi iniziare 
a preoccuparti sul serio di un problema di sicurezza.

 "listen" anche se senza alcuna attività...
le socket in "listen" sono passive per definizione. Ecco perchè restano 
lì "anche se senza alcuna attività"
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.4. C, C++ and ASM developers
                               and beta testers are welcome!


Scusa...mi spieghi meglio cosa significa? Sono comunque porte aperte
vulnerabili ad attacchi..?
Marco.

 vulnerabili ad attacchi..?
"LISTENING" = "In ascolto". Quindi dall'esterno ci si puo' collegare, 
con programmi appositi ma anche con il semplice telnet, conoscendo i 
comandi che il programma in ascolto su quella porta accetta. 
Vulnerabili, di per se' le porte non lo sono. Bisogna vedere se e' 
vulnerabile il programma che aspetta pacchetti (=comandi, dati) 
dall'esterno. Molte volte, lo e'. Altre no.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 211WU/1.01yrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/