Newsgroup: it.comp.sicurezza.windows
Titolo: Come si fà.....

a sapere se ho un qualsiasi backdoor installato ? (anche con metodi
manuali)...
e se c' è qualcuno collegato con il mio computer...?
Max Damage - (
mxda...@tin.it
)
ICQ#: 25607876
http://space.tin.it/giochi/btama
######################################
#        Carmageddon II - Carpocalypse Now
#                         
www.sci.co.uk
#                See you on the road to hell
######################################

e se c' è qualcuno collegato con il mio computer...?
Sulle riviste dedicate a Internet si trovano spesso articoli riferiti a
programmi backdoor e su come individuarli.
Questi metodi, che consistono essenzialmente nella verifica di settaggi in
chiavi del registro, valgono comunque se i programmi backdoor (nella
fattispecie il server, cioè la parte di sw che sta sul boservizzato, la
vittima) sono installati con i valori di default (e in genere è così, xchè
questi programmi sono quasi sempre usati da lamers).
Ti consiglio di reperire le FAQ del NG, dove troverai una spiegazione
sufficientemente approfondita in merito.
Comunque, in prima battuta, quando sei collegato in rete, da una finestra
DOS, lanciando netstat -an puoi vedere i collegamenti attivi, e le relative
porte: Back Orifice comunica di default in UDP sulla porta 31337; NetBus in
TCP sulle porte 12345 o 12346.
Se verifichi questo, significa che il server è installato con i valori di
default, e allora puoi andare a verificare alle chiavi di registro
HKEY_LOCALMACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN (o RUNONCE o
RUNSERVICE o RUNSERVICEONCE).
Tutti i programmi eseguibili sospetti devono essere rimossi dalle chiavi.
Di default BO setta la chiave RUNSERVICE con il programma " .exe" (spazio
punto exe) o "_.exe" (sottolinetta punto exe).
Il portatore di NetBus è, di default, patch.exe.
Sempre quando sei collegato in rete, se verifiche un processo in TCP
sospetto su una porta, puoi provare a telnettarti su localhost con il
riferimento alla porta; dovresti trovare un indizio (la stringa di NetBus).
Per approfondimenti, ti rimando alle fonti già citate.
Alex

TCP sulle porte 12345 o 12346.
E se i server sono stati configurati su altre porte?
Il mio consiglio è di fare nestat -na PRIMA di connettersi in rete e con il minor numero
di prg attivi possibile e guardare se ci sono porte in ascolto  e in quel caso allora
cercare nel registro.
Have fun.   
         The Duke

Se si controllano le porte attive dopo (mentre si ha dei prg aperti) gli ip
connessi è giusto che lo siano, questi sono quelli di ieri sera:
Connessioni attive
Proto Indirizzo locale Indirizzo remoto Stato
TCP telecom:1805 
0.0.0.0:0
 LISTENING
TCP telecom:1416 
0.0.0.0:0
 LISTENING
TCP telecom:1417 
0.0.0.0:0
 LISTENING
TCP telecom:1443 
0.0.0.0:0
 LISTENING
TCP telecom:1805 nmaster.tin.it:nntp ESTABLISHED
TCP telecom:1416 sem.ca.tin.it:ftp-data ESTABLISHED
TCP telecom:1417 sem.ca.tin.it:ftp ESTABLISHED
TCP telecom:1694 
nycd2vip.doubleclick.net:80
 TIME_WAIT
TCP telecom:1695 
nycd2vip.doubleclick.net:80
 TIME_WAIT
TCP telecom:1730 
www.burstnet.com:80
 TIME_WAIT
UDP telecom:1443 *:*




cercare nel registro.
piccola aggiunta: fare il netstat anche quando ci si e' appena
collegati, per vedere se qualche porta si apre per qualche "oscuro"
motivo.
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* Questo non e' un omaggio a Magritte
-----------------------------------------------------------------------

 e se c' è qualcuno collegato con il mio computer...?
Quando non sei collegato apri il prompt, scrivi
     netstat -na
e guarda il risultato. Non dovrebbe scrivere niente. Se invece appaiono delle
righe la cui ultima parola e' LISTENING e' il caso di controllare chi e' che
sta ascoltando.
Ciao, Max.
-- 
Emma for President: 
http://www.emmaforpresident.it/
--ICQ: 14816698---Campagna NOTUT: 
http://www.notut.cjb.net-----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------------

UDP telecom:1443 *:*
non credo tu abbia trojan cmq per tutti come regola generale.. provate
a telnettarvi sulle porte che vi trovate in listening..cosi vi
toglierete ogni dubbio.(il netstat -na la prox time fallo senza alcun
programma aperto..qui è chiaro che avevi un browser ed un client news
aperto).
--
<=------=(Informazioni Whois su Frankj)=------=>
Frankj   : 
ihav...@usa.net
Homepage : 
www.chez.com/pizzairc
 
IRCNET   : #pizza #italia2 #napoli
icq      : 15068478
<=--------=(Fine Informazioni Whois)=---------=>

[snip]
parebbe tutto regolare.
Fai un 
netstat -na 
anche prima di connetterti



Beh se mi collego, qualche porta DEVE per forza aprirsi e per motivi non tanto "oscuri".
ahahahahah è una battuta Buttha non te la prendere!
ciao, quando vieni a trovarmi nel canale?
Have fun.   
         The Duke

ciao, quando vieni a trovarmi nel canale?
non riesco proprio a farmi piacere irc, per quello bazzico poco
aloha
Buttha (che, cmq, ogni tanto ci viene)


Il mio consiglio è di fare nestat -na PRIMA di connettersi in rete e con il minor numero
oppure, per i paranoici...
un bel netstat -na 1... ti aggiorna a cadenze di 1 secondo le
connessioni... cosi' vedi' se qualcosa si apre e si chiude... 
NB.. se sei connesso qualcosa si aprira' sicuro....
ciao,
Nebbia