Newsgroup: it.comp.sicurezza.windows
Titolo: Controllo porte con Nessus, orrore!

Salve ragazzi,
    ho fatto un controllo porte con Nessus e alcune porte sono aperte. Il
software usato e' NeWT (ovvero Nessus per Windows) e l'ho lanciato dal mio
stesso PC, chiedendogli di controllare le porte del mio IP pubblico. Alcune
porte, ahime', sono state trovate aperte, un classico. Premetto che ho fatto
il solito lungo giro su questo newgroup, google, siti specializzati ma non
ho trovato risposte. Questo perche' quei consigli che li' sono descritti li
ho applicati tutti, ma senza risultato alcuno. Tant'e' che, SOLO A CHI HA
PROVATO NESSUS, chiedo: non e' che ci sono vulnerabilita' ad oggi non
coperte che Nessus riesce a sfruttare? Oppure Nessus riesce ad entrare
perche' lo sto lanciando da locale, pur chiedendogli di controllare il mio
IP pubblico?
    Per chi vuole spingersi oltre e mostrarsi gentilissimo oltre misura,
fornisco i dati relativi al problema:
Il computer oggetto della scansione e' in una lan e la sua connessione ad
internet (PPPoA) e' condivisa sulla lan.
I firewall utilizzati e correttamente configurati fino all'esasperazione
(fidatevi) sono: quello di XP, Kerio Personal Firewall 4.10 (successivamente
ho provato ZoneAlarm 4.5 Free), inoltre con IPSECCMD ho bloccato le porte
"interessate" come indicato da:
http://www.governmentsecurity.org/forum/index.php?showtopic=1478
    Quello che mi fa incazzare e' che le porte aperte sono 135 (ep-map) e
445 (microsoft-ds) che sono molto importanti. Eppure, non solo con i
firewall, ma anche ipseccmd dovrebbe fare buona guardia
ipseccmd -w REG -p "DPU Local Filter" -r "Limit TCP/135" -f
192.168.0.1/255.255.255.0+0:135:TCP
 -n PASS
ipseccmd -w REG -p "DPU Local Filter" -r "Block TCP/135" -f *+0:135:TCP -n
BLOCK
ipseccmd -w REG -p "DPU Local Filter" -r "Limit TCP/445" -f
192.168.0.1/255.255.255.0+0:445:TCP
 -n PASS
ipseccmd -w REG -p "DPU Local Filter" -r "Block TCP/445" -f *+0:445:TCP -n
BLOCK
    Ripeto, ragazzi, ho fatto la processione di newsgroup e siti al momento
senza successo, quindi non sparate a zero. Pensavo di passare a CHX-I, ma e'
davvero necessario? Con Kerio e ipseccmd non dovrei essere in grado di
risolvere il problema?
    Grazie

 Con Kerio e ipseccmd non dovrei essere in grado di risolvere il problema?
Si.
Fabio

Ciao Fabio,
    sei stato gentilissimo e volevo ringraziarti. Provero', come dici, a
testare il mio host con Nessus lanciato da altro server (pensavo di usare
http://www.adslscan.com
, lo provo appena ho tempo). E poi mi hai restituito
la serenita' dicendomi che e' possibile con quei firewall (ZoneAlarm e
Kerio) fare un lavoro pulito.
    Tra l'altro, ho notato che che dal mio pc partivano richiesto di
connessione a server ftp dell'universita' di Firenze (era la porta 21),
fortunatamente Kerio mi avvertiva e blocca le richieste in uscita.
Escludendo si tratti di WinMx o eMule, darei per scontato che qualcuno stava
lanciando accessi dalla mia macchina.
    La mia paura recondita e' che, avendo avuto accesso alla mia macchina,
in teoria questo signore potrebbe averci fatto di tutto (tra l'altro mi
loggo come superuser, lo so gia' cosa volete dirmi, non mi insultate).
Potrebbe, in teoria, aver installato una qualche patch che gli consenta di
continuare a comunicare indisturbato sul mio PC nonostante io stia li' a
configurare firewall? Esiste qualcosa del genere?
    E' tecnicamente possibile installare una backdoor ad un livello
superiore che gli consenta di passare indisturbato nonostante i firewall?
    Grazie ancora per il supporto.
Enzo

 superiore che gli consenta di passare indisturbato nonostante i firewall?
A rigor di termini, il livello e'... inferiore :-)
E' teoricamente possibile, specie con kerio, ma e' improbabile IMHO. Piu'
facile che l'uscita e l'accesso siano stati accettati (per errore) con un 
click di troppo ;-) Ma prima di trarre conclusioni affrettate scopri cosa
sta (apparentemente) usando ftp dal tuo host. Eventualmente i dettagli di
quel traffico che puoi catturare con uno sniffer potrebbero esser d'aiuto
ma e' ancor piu' facile vedere che applicazione e' nei log di kerio.
Fabio