Newsgroup: it.comp.sicurezza.windows
Titolo: Porta UDP 1038 / 1039 aperta?!

Ciao, spaventato a morte da Obi, ho controllato i log di Kerio e con
mia sorpresa ho notato che il firewall ha lasciato più volte passare
segmenti UDP dal mio computer tramite le porte 1038 / 1039.
La riga di Kerio che appare è la segg. (cambia l'ip oppure la data):
[...]   Descrizione  -  Applicazione    -    Punto locale      -
Protocollo   -  Azione
     Unopened Port          n/a                 MIOIP: 1038
 UDP         Permitted
oppure
[...]   Descrizione  -  Applicazione    -    Punto locale      -
Protocollo   -  Azione
     Unopened Port          n/a                 MIOIP: 1039
 UDP         Permitted
Perchè Kerio lascia passare traffico UDP dalla mia porta 1038 / 1039?!

Scusate, vorrei aggiungere che dal sito
http://www.seifried.org/security/ports/1000/1038.html
 ho letto che:
Port number: 1038
Common name(s): dellomi-win32sl
Common service(s): DELL OMI win32sl.exe
Service description(s): DELL monitoring and management software for
client systems
Common server(s): DELL OMI win32sl.exe
Common client(s): DELL OMI win32sl.exe
Common problem(s): Various buffer overflows and remote command
execution issues
Encrypted options: none
Secure options: none
Firewalling recommendations: Firewall port 1038 inbound and outbound
Attack detection: 
Related ports: 1037, 1039

segmenti UDP dal mio computer tramite le porte 1038 / 1039.
E' molto probabile che sia stato tu a connetterti a un server di qualche 
tipo basato UDP. Probabilmente un'altra macchina di cui hai interrogato le 
risorse condivise et simila (SMB in generale). 


Non credo.
E il messaggio glielo diceva anche.:-)
Ha un computer dell, molto probabilmente con windows preinstallato, e
qualche pezzullo di software che parlotta in rete per cercare amichetti,
forse per aggiornamenti del bios o cose similari.
L'ho visto fare a parecchi modelli di pc IBM, non escludo che anche DELL
faccia cose del genere.
Sembra impossibile, ormai, avere dei pc che se ne stiano zitti zitti a
fare SOLO quello che vuole l'utente, la mania degli aggiornamenti online
e' diventata tremenda.
Java machine, plugin flash, lettori multimediali, acrobat reader, client
citrix, svariati client di database, firmware di varie periferiche,
schede video, modem, tutti ormai si sentono insicuri e vanno in cerca
autonomamente di nuove versioni del software.
E alcuni non si riescono nemmeno a settare per smettere di provarci.
Ne ho visto uno in cui potevi scegliere se fargli cercare aggiornamenti
ogni giorno, ogni settimana, o ogni mese. Non c'era la casellina del
"non cercare aggiornamenti".
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

Invece ho un portatile Acer, e un Windows Pro che ho installato io che
non dovrebbe, in teoria, avere niente. Insomma...non ho idea del
perchè ho la porta UDP aperta. Adesso, dal logo, vedo che la porta è
cambiata: è diventata la 1098. Insomma, c'è qualcosa che riesce a
mandare del traffico UDP e a uscire e pensavo lo potesse fare solo
dalle porte 1038 / 1039, invece ora lo fa anche dalla porta 1098...
Ecco una cosa che non mi piace di Kerio. Dalla finestra dei log non
vedo l'ip remoto e cliccando col tasto destro su una riga specifica non
mi permette di impostare una regola in questione. Io vorrei bloccare
quella porta lì, perchè non lo fa?!

Ah, Kerio dice che il processo che manda cosi attraverso la UDP 1038
(ora anche 1098) è svchost.exe e che se glielo impedisco 
ad.es
.
Messenger non funziona più.... (sarà solo una coincidenza...)

Messenger non funziona più.... (sarà solo una coincidenza...)
Come ripeto: è probabile che sia tu stesso a connetterti a terzi, 
prabibilmente mediante protocollo SMB (e svchost.exe dovrebbe esserne la 
riprova).
Qaundo questo avviene lancia un netstat -an e vedi su quale porta remota 
svchost.exe cerca di connettersi. Se questa si rivela essere 445, 137 o 138, 
come è probabile, è il tuo computer che effettua query e quant'altro verso 
un server SMB remoto ed è una cosa relativamente normale.
Se sul firewall hai permesso la condivisione risorse in entrata è probabile 
che questo può accadere anche in senso inverso.
Se sei ancora pervaso dai dubbi al limite lascia uno sniffer in ascolto e 
vedi se riesci a carpire qualche informazione in più.
my 2 cents

autonomamente di nuove versioni del software.
Tra l'altro č un salasso per chi, non coperto dall'ADSL, ha un router
ISDN che compone on demand.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

Ciao Billie, si la connessione è in USCITA, infatti. Però dal netstat
-an non riesco a vedere a quale porta remota cerca di connettersi.
L'output è il seguente:
C:\Documents and Settings\Giulio>netstat -an
Connessioni attive
  Proto  Indirizzo locale       Indirizzo esterno       Stato
  TCP    
0.0.0.0:135
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:445
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1025
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1026
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1028
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1030
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1031
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1032
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1034
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1036
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:44334
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:44501
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1026
 
127.0.0.1:44334
        ESTABLISHED
  TCP    
127.0.0.1:1028
 
127.0.0.1:1030
         ESTABLISHED
  TCP    
127.0.0.1:1030
 
127.0.0.1:1028
         ESTABLISHED
  TCP    
127.0.0.1:1032
 
127.0.0.1:44334
        ESTABLISHED
  TCP    
127.0.0.1:1034
 
127.0.0.1:1036
         ESTABLISHED
  TCP    
127.0.0.1:1036
 
127.0.0.1:1034
         ESTABLISHED
  TCP    
127.0.0.1:44334
 
127.0.0.1:1026
         ESTABLISHED
  TCP    
127.0.0.1:44334
 
127.0.0.1:1032
         ESTABLISHED
  UDP    
0.0.0.0:445
            *:*
  UDP    
0.0.0.0:500
            *:*
  UDP    
0.0.0.0:1027
           *:*
  UDP    
0.0.0.0:1029
           *:*
  UDP    
0.0.0.0:1033
           *:*
  UDP    
0.0.0.0:1035
           *:*
  UDP    
0.0.0.0:1038
           *:*
  UDP    
0.0.0.0:1098
           *:*
  UDP    
0.0.0.0:1938
           *:*
  UDP    
0.0.0.0:44334
          *:*
  UDP    
127.0.0.1:2687
         *:*
C:\Documents and Settings\Giulio>

L'output è il seguente:
Quando rispondi da google groups devi fare come prima cosa "mostra
opzioni".
