Newsgroup: it.comp.sicurezza.windows
Titolo: SYN inviati sulle 3128... che roba e'?

questo e' quello che mi accade... a intervalli mica tanto regolari sul 
mio pc... e non sono mai riuscito a spiegarmi cosa diamine fosse... 
questo e' solo uno scorcio... e gli IP variano sempre... ma la porta 
e' sempre quella... che diamine sta cercando di fare il mio PC?
ovviamente ho passato l'aspirapolvere e antivirus... ma pare tutto in 
ordine... mah...
  TCP    
194.230.194.150:4718
 
182.33.208.53:3128
     SYN_SENT
  TCP    
194.230.194.150:4719
 
124.65.15.177:3128
     SYN_SENT
  TCP    
194.230.194.150:4720
 
188.62.45.189:3128
     SYN_SENT
  TCP    
194.230.194.150:4721
 
45.154.160.159:3128
    SYN_SENT
  TCP    
194.230.194.150:4722
 
155.157.251.109:3128
   SYN_SENT
  TCP    
194.230.194.150:4723
 
170.107.53.168:3128
    SYN_SENT
  TCP    
194.230.194.150:4724
 
136.59.149.109:3128
    SYN_SENT
  TCP    
194.230.194.150:4725
 
45.181.252.230:3128
    SYN_SENT
  TCP    
194.230.194.150:4726
 
109.188.160.178:3128
   SYN_SENT
  TCP    
194.230.194.150:4727
 
18.166.101.46:3128
     SYN_SENT
  TCP    
194.230.194.150:4728
 
109.168.54.135:3128
    SYN_SENT
  TCP    
194.230.194.150:4729
 
89.148.89.253:3128
     SYN_SENT
  TCP    
194.230.194.150:4730
 
30.146.199.170:3128
    SYN_SENT
  TCP    
194.230.194.150:4731
 
86.196.224.135:3128
    SYN_SENT
  TCP    
194.230.194.150:4732
 
80.27.164.58:3128
      SYN_SENT
  TCP    
194.230.194.150:4733
 
184.182.82.43:3128
     SYN_SENT
  TCP    
194.230.194.150:4734
 
136.41.155.28:3128
     SYN_SENT
  TCP    
194.230.194.150:4735
 
147.90.54.58:3128
      SYN_SENT
  TCP    
194.230.194.150:4736
 
52.232.176.119:3128
    SYN_SENT
  TCP    
194.230.194.150:4737
 
66.92.230.233:3128
     SYN_SENT
-- 
Pascal-X - mICQ 25553477 - 
www.pascalbrax.com
Responsabile Pubbliche Relazioni del SIACD
Profeta del Sommo C_R_O_S_S__B_O_N_E_S
Nemico dichiarato del Kyle Jordan Klan

 ordine... mah...
la 3128 e' la porta di default di squid. sembra che il tuo picci'
stia facendo un bel port scan alla ricerca di proxy. oppure no..
.
------------------------------------------------------------
Everything New York! FREE E-MAIL FOR LIFE! 
http://www.NYCNY.net
-- 
Posted from [212.44.60.50] by way of 
mail8.bigmailbox.com
 [209.132.220.39] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 stia facendo un bel port scan alla ricerca di proxy. oppure no..
ora che mi ci fai pensare... effettivamente o piglia la 3128 o la 8080 
(a dipendenza di come gli gira)! tutto cio' mi lascia decisamente 
perplesso!! o_O


Mi stavo parando dai virus di Mazzzinga, quando Pascal-X 
(
ro...@127.0.0.1
) disse:
ecco cosa ho beccato ora... ho acceso il pc, ho fatto partire winamp e 
il newsreader... faccio un netstat e guardate cosa appare:
#netstat -n
Connessioni attive
  Proto  Indirizzo locale         Indirizzo remoto             Stato
  TCP    
194.230.128.66:1700
 
34.66.107.237:8080
     SYN_SENT
  TCP    
194.230.128.66:1701
 
20.241.202.3:8080
      SYN_SENT
  TCP    
194.230.128.66:1702
 
33.57.253.63:8080
      SYN_SENT
  TCP    
194.230.128.66:1703
 
95.126.235.19:8080
     SYN_SENT
  TCP    
194.230.128.66:1704
 
210.230.201.253:8080
   SYN_SENT
  TCP    
194.230.128.66:1705
 
142.140.190.50:8080
    SYN_SENT
  TCP    
194.230.128.66:1706
 
118.142.169.184:8080
   SYN_SENT
  TCP    
194.230.128.66:1707
 
30.208.172.133:8080
    SYN_SENT
  TCP    
194.230.128.66:1708
 
141.97.170.18:8080
     SYN_SENT
  TCP    
194.230.128.66:1709
 
29.242.201.115:8080
    SYN_SENT
  TCP    
194.230.128.66:1710
 
33.58.100.20:8080
      SYN_SENT
  TCP    
194.230.128.66:1711
 
28.120.181.181:8080
    SYN_SENT
  TCP    
194.230.128.66:1712
 
134.190.151.137:8080
   SYN_SENT
  TCP    
194.230.128.66:1713
 
149.213.169.116:8080
   SYN_SENT
  TCP    
194.230.128.66:1714
 
189.52.121.241:8080
    SYN_SENT
  TCP    
194.230.128.66:1715
 
116.162.71.213:8080
    SYN_SENT
  TCP    
194.230.128.66:1716
 
122.175.16.176:8080
    SYN_SENT
  TCP    
194.230.128.66:1717
 
162.119.35.192:8080
    SYN_SENT
<cut!>
inoltre con un ps in finestra dos ecco cosa esce:
#ps
       -3177105 C:\WIN98\SYSTEM\KERNEL32.DLL
         -19957 C:\WIN98\SYSTEM\MSGSRV32.EXE
       -4173909 C:\WIN98\SYSTEM\MPREXE.EXE
       -4167981 C:\WIN98\SYSTEM\mmtask.tsk
       -4163593 C:\FRED\LITESTEP\LITESTEP.EXE
       -4152509 C:\DANGER\VESA\SDD\CTLCTR32.EXE
       -4148085 C:\WIN98\SYSTEM\SYSTRAY.EXE
       -4166137 C:\FRED\UTIL\TRAYCL2.EXE
       -4042665 C:\FRED\UTIL\FREEMEM\FMEMPRO.EXE
       -4057133 C:\WIN98\RunDLL.EXE
       -4157601 C:\PROGRAMMI\WINAMP\WINAMP.EXE
       -3998117 C:\WIN98\SYSTEM\DDHELP.EXE
       -3976001 C:\WIN98\SYSTEM\RNAAPP.EXE
       -3970341 C:\WIN98\SYSTEM\TAPISRV.EXE
       -3983853 C:\WIN98\SYSTEM\WINOA386.MOD
       -3995213 C:\PROGRAMMI\GRAVITY\GRAVITY.EXE
       -3773369 C:\WIN98\SYSTEM\WINOA386.MOD
       -3768497 C:\DANGER\BATCH\PS.EXE
all'inizio ho pensato al ddhelp.exe, ma secondo lui, si tratta solo di 
un helper per il directdraw... argh... sto impazzendo! :)


ordine... mah...
Hai, sul tuo PC, un simpatico programmino che si mangia una catasta di
memoria facendo portscan in cerca di Squid "aperti".
Ipotesi:
a) "Anonymizer";
b) Trojan;
c) Settaggi garibaldini di Internet Explorer (magari esiste una
   utility di accelerazione, hai visto mai...).
Il motivo per cui rimangono appesi, divorandoti la RAM del sistema, e'
che tutti quegli hosts (chissa' perche'?) sono in -j DENY.
Leonardo
-- 
Vuoi guadagnare navigando? ARRUOLATI IN MARINA

  TCP    
194.230.194.150:4719
 
124.65.15.177:3128
     SYN_SENT
Hmm, la porta 3128 e' classica del proxy squid.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

ora che mi ci fai pensare... effettivamente o piglia la 3128 o la 8080 
Non e' che hai scaricato e installato un qualche acceleratore web, o
addirittura un anonimizer?


    utility di accelerazione, hai visto mai...).
non avevo aperto IE durante lo screenshot... e che sia litestep lo 
escludo a priori :)


 che tutti quegli hosts (chissa' perche'?) sono in -j DENY.
Eheheh...
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 
-- 
Qualcuno mi chiama Piero,
Qualcuno mi scrive a Pieroman(cuso)@
tiscalinet.it
Molti non riescono più a fare a meno di me

 traduzione per chi non conosce l'inglese ;-)
piero... ma questo idioma mi suona familiare.. di che parti sei?




ogni tanto in effetti la coscienza mi morde e sono tentato [di dargli un
panino] e anche cambiare quella marea di DENY in REJECT...

perplesso!! o_O
Hai mai pensato ad uno sniffer per vedere che roba sta sputando fuori
il tuo sistema?
Uno ottimo è Iris, di Eeye Security (
www.eeye.com
), purtroppo a
pagamento (e costa anche caro!)
-- 
                  Giovy  (
gi...@globoweb.it
)    ICQ #  54911070
                       Gestore delle FAQ di it.tlc.cellulari.omnitel
       WebMaster di Extreme - The Site  
www.extremenews.net
Globoweb Internet Solutions - Team Member   
www.globoweb.it

questa?
Ah, si'. Squid gira, per quanto ne so, solo su sistemi Unix, tipicamente
Linux.
Il nuovo kernel di Linux dispone di una serie di opzioni, configurabili,
per decidere cosa fare di una connessione entrante.
-j ACCEPT      lascia fare a eventuali programmi addizionali (se ce n'e'
	       uno, la porta e' vista aperta; altrimenti e' vista chiusa
	       - come infatti e').
-j REJECT      la porta e' vista chiusa qualsiasi cosa ci sia dietro
-j DENY        la porta _non_ e' vista neanche, e se mandi un SYN questo
               morira' di vecchiaia senza elicitare risposte. Quindi, il
	       socket rimarra' appunto in SYN_SENT.
-j DENY e' quello che 
www.grc.com
 chiama "Full Stealth Mode". Ma si puo'
anche avere una porta che e' in full stealth da alcuni indirizzi, reject
da altri, e accept da altri ancora.


 pagamento (e costa anche caro!)
C'e', IMHO, di molto meglio...
http://netgroup-serv.polito.it/winpcap/
Nota: non l'ho mai testato su interfaccia ppp e non so se funzioni.
Ora vado a dare un'occhiata, va....

 pagamento (e costa anche caro!)
C'e', IMHO, di molto meglio...
http://netgroup-serv.polito.it/winpcap/
Nota: non l'ho mai testato su interfaccia ppp e non so se funzioni.
Ora vado a dare un'occhiata, va...
In effetti, sotto win 9x, funziona anche su ppp.
Su NT 4/5, invece, nisba...:(

 
Di lontane orinini svedesi, con il fratello dalla sorella di mio nonno 
asburgico, ed un mio pro-zio con sangue blu (per la rabbia credo), i 
miei genitori in calabria (trovavasi in quella terra durante un lungo 
viaggio in giro per il mondo...) mi diedero i natali, e da questa 
terra non si vollero piu' allontanare....
Se non lo avete ancora capito, di Catanzaaaro sono (con la a 
pronunciata allargando mooolto la bocca)
;-))
Un piero che... inno ufficiale: nui simu e catanzaru... la la la la, e 
duva jamu jamu.... la la la la la la, u culu vi spaccamu....nu simu e 
catanzaru... la la la la la) 
Saro' OT??






A proposito, se MrShark non si offende, starei rimaneggiando il
suo script di firewalling per semplificarlo un pochino...


 Su NT 4/5, invece, nisba...:(
si, funziona egregiamente... il problema brutto e' che manda l'output 
tramite un programma dos... e non ho trovato alcun modo di 
catturare/loggare quello che sputa fuori... e visto che una finestra 
dos e' qualcosa tipo 80x25 caratteri... e visto che solo un ping ti 
sputazza fuori almeno due righe protocol_request e 
connectionless_comunication... lo ritengo poco usabile... o cmq poco 
usabile da un lamarozzo come me :D
-- 
Pascal-X - mICQ 25553477 - 
www.pascalbrax.com
Responsabile Pubbliche Relazioni del Swiss IAC District


 da altri, e accept da altri ancora.
ah si... tipo come fa zonealarm... del tipo che non ti ca*a nemmeno i 
ping... ma se non sbaglio c'era un sistema per scoprire un computer 
online anche se in "stealth mode"... non era qualcosa sulla ridondanza 
sui router e sul calcolo dei TTL?
oddio... sto delirando... :)
-- 
Pascal-X - mICQ 25553477 - 
www.pascalbrax.com
Responsabile Pubbliche Relazioni del Swiss IAC District


 Saro' OT??
Molto... ma per una volta non fa niente..


 tramite un programma dos... 
Guarda meglio...quel sito e' pieno di ottimi tool...
...compresa la GUI che cerchi...:-)

 sui router e sul calcolo dei TTL?
hping, firewalk...
[giusto, Leo?:-)]

sui router e sul calcolo dei TTL?
Con il TTL, si'. Si chiama "firewalk". Mandi un pacchetto verso una
porta, ma con un TTL tale che ne determina la morte un attimo prima
che ci arrivi davvero.
Dopodiche' se ti arriva un ICMP_TTL_EXCEEDED, e' una porta stealth,
se arriva un ICMP_HOST_UNREACH e' un PC che proprio non c'e'.
Il buono e' che il PC bersaglio neanche lo tocchi ('nzomma), quindi
e' probabile che il suo firewall non entri mai in funzione.


 Saro' OT??
hihihi se ci spostiamo su it.sport.calcio ci divertiamo un po'. ^_____^
-- 
Max "chi non salta un ascolano e', e'!!!"
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/



io sono in possesso di una vecchia versione rimaneggiata e integrata
[1] dello script dell'amico dei balrog ;) 
al posto di -j DENY potresti trovare -j INCENERISCI_IL_MODEM
pero' se vuoi darci una occhiata te lo mando ;)
[1] e visto che l'ho modificato da me... potrei avere
l'unico ipchains buggato che esiste senza saperlo.
-- 
nebbia