Newsgroup: it.comp.sicurezza.windows
Titolo: Netstat su 2000 server

Volevo mostrarvi questo log di netstat eseguito su un 2000 server (tramite
connessione con i servizi terminal), specifico che sul server ho lasciato
attivi pochi servizi e qualche giorno fa non avevo lo stesso numero di porte
in listening.
Secondo me il server č stato "bucato" alla grande, perň volevo un vostro
parere... possibile che Win2000 server con tanti servizi disabilitati e una
passw di amministratore lunghissima possa essere cosě fragile come
sicurezza?
Mi preoccupano molto tutte quelle connessioni udp e le tcp in piů (molte).
Specifico che qualche gg fa il log era di 9 righe in totale.
Ecco il tabulato:
Connessioni attive
  Proto  Indirizzo locale       Indirizzo remoto       Stato
  TCP    
0.0.0.0:7
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:9
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:13
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:17
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:19
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:88
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:135
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:389
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:445
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:464
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:515
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:593
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:636
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1026
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1029
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1040
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1042
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1044
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1045
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1046
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1047
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1052
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1054
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1056
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1059
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1060
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:3023
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:3025
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:3268
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:3269
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:3372
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:389
 
127.0.0.1:1042
         ESTABLISHED
  TCP    
127.0.0.1:389
 
127.0.0.1:1044
         ESTABLISHED
  TCP    
127.0.0.1:389
 
127.0.0.1:1045
         ESTABLISHED
  TCP    
127.0.0.1:389
 
127.0.0.1:1047
         ESTABLISHED
  TCP    
127.0.0.1:389
 
127.0.0.1:3032
         TIME_WAIT
  TCP    
127.0.0.1:389
 
127.0.0.1:3034
         TIME_WAIT
  TCP    
127.0.0.1:1042
 
127.0.0.1:389
          ESTABLISHED
  TCP    
127.0.0.1:1044
 
127.0.0.1:389
          ESTABLISHED
  TCP    
127.0.0.1:1045
 
127.0.0.1:389
          ESTABLISHED
  TCP    
127.0.0.1:1047
 
127.0.0.1:389
          ESTABLISHED
  TCP    
127.0.0.1:1051
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.1.1:139
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.1.1:389
 
192.168.1.1:1049
       TIME_WAIT
  TCP    
192.168.1.1:389
 
192.168.1.1:1050
       TIME_WAIT
  TCP    
192.168.1.1:389
 
192.168.1.1:1056
       ESTABLISHED
  TCP    
192.168.1.1:389
 
192.168.1.1:3008
       TIME_WAIT
  TCP    
192.168.1.1:389
 
192.168.1.1:3009
       TIME_WAIT
  TCP    
192.168.1.1:389
 
192.168.1.1:3023
       ESTABLISHED
  TCP    
192.168.1.1:389
 
192.168.1.1:3030
       TIME_WAIT
  TCP    
192.168.1.1:389
 
192.168.1.1:3031
       TIME_WAIT
  TCP    
192.168.1.1:389
 
192.168.1.1:3033
       TIME_WAIT
  TCP    
192.168.1.1:389
 
192.168.1.1:3043
       TIME_WAIT
  TCP    
192.168.1.1:389
 
192.168.1.1:3044
       TIME_WAIT
  TCP    
192.168.1.1:1026
 
192.168.1.1:3025
       ESTABLISHED
  TCP    
192.168.1.1:1035
 
192.168.1.1:445
        TIME_WAIT
  TCP    
192.168.1.1:1056
 
192.168.1.1:389
        ESTABLISHED
  TCP    
192.168.1.1:3002
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.1.1:3003
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.1.1:3004
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.1.1:3005
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3006
 
192.168.1.1:1026
       TIME_WAIT
  TCP    
192.168.1.1:3013
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3014
 
192.168.1.1:1060
       TIME_WAIT
  TCP    
192.168.1.1:3015
 
192.168.1.1:1060
       TIME_WAIT
  TCP    
192.168.1.1:3016
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3017
 
192.168.1.1:1060
       TIME_WAIT
  TCP    
192.168.1.1:3018
 
192.168.1.1:1060
       TIME_WAIT
  TCP    
192.168.1.1:3019
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3020
 
192.168.1.1:1060
       TIME_WAIT
  TCP    
192.168.1.1:3021
 
192.168.1.1:1060
       TIME_WAIT
  TCP    
192.168.1.1:3023
 
192.168.1.1:389
        ESTABLISHED
  TCP    
192.168.1.1:3024
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3025
 
192.168.1.1:1026
       ESTABLISHED
  TCP    
192.168.1.1:3026
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3036
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3037
 
192.168.1.1:1026
       TIME_WAIT
  TCP    
192.168.1.1:3038
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3039
 
192.168.1.1:1026
       TIME_WAIT
  TCP    
192.168.1.1:3040
 
192.168.1.1:135
        TIME_WAIT
  TCP    
192.168.1.1:3041
 
192.168.1.1:1026
       TIME_WAIT
  TCP    
192.168.1.1:3389
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.1.1:3389
 
192.168.1.5:1030
       ESTABLISHED
  UDP    
0.0.0.0:7
              *:*
  UDP    
0.0.0.0:9
              *:*
  UDP    
0.0.0.0:13
             *:*
  UDP    
0.0.0.0:17
             *:*
  UDP    
0.0.0.0:19
             *:*
  UDP    
0.0.0.0:135
            *:*
  UDP    
0.0.0.0:445
            *:*
  UDP    
0.0.0.0:1028
           *:*
  UDP    
0.0.0.0:1041
           *:*
  UDP    
0.0.0.0:1043
           *:*
  UDP    
0.0.0.0:1048
           *:*
  UDP    
0.0.0.0:1055
           *:*
  UDP    
0.0.0.0:1057
           *:*
  UDP    
0.0.0.0:3001
           *:*
  UDP    
0.0.0.0:3007
           *:*
  UDP    
0.0.0.0:3010
           *:*
  UDP    
0.0.0.0:3042
           *:*
  UDP    
0.0.0.0:3050
           *:*
  UDP    
192.168.1.1:53
         *:*
  UDP    
192.168.1.1:88
         *:*
  UDP    
192.168.1.1:123
        *:*
  UDP    
192.168.1.1:137
        *:*
  UDP    
192.168.1.1:138
        *:*
  UDP    
192.168.1.1:389
        *:*
  UDP    
192.168.1.1:464
        *:*
  UDP    
192.168.1.1:500
        *:*

 ha scritto nel messaggio
news:j48Y7.5229$SE3.1...@twister1.libero.it...
Dimenticavo... buon anno a tutti e grazie in anticipo per le risposte.
Ciao
Fabio

  TCP    
192.168.1.1:3389
 
0.0.0.0:0
              LISTENING
Questo e' un server, che mi sa di collegato a quello sulla 389. Forse
e' Terminal Services, a ripensarci. Ninzo'. Dovrei guardare.
Leonardo
[1] My references could be wrong. IANALibrarian.

 e' Terminal Services, a ripensarci. Ninzo'. Dovrei guardare.
Nella lista di porte che ho trovato in giro non c'è quasi nessuna delle
porte che ti ho elencato, non è che sapresti indicarmi una lista aggiornata?
Volevo precisare che il server sopra è dedicato a puro uso per esperimenti,
quindi se ci fosse qualche danno al massimo si formatta.
Grazie, ciao.
Fabio

 Gollumbits, la prostituta a tre tette di Eroticon VI [1].
  ^^^^^^^^^^
Gallumbits
:)))
Fabio

porte che ti ho elencato, non è che sapresti indicarmi una lista aggiornata?
Prova ActivePorts (
www.webattack.com/get/activeports.shtml
) e vedi
vedi
www.osborne.com/networking_comm/0072124334/0072124334_appb.pdf
 ('Ports
and Protocols in Windows2000').
-- 
Lapalissiano
Icq 57269703

 quindi se ci fosse qualche danno al massimo si formatta.
Ciao, non ne so come il grande Leo ( :-) ), ma a questo punto vai pesante
sui servizi e comincia a chiuderli uno per volta e vedi che fanno le porte.
fatto questo spulcia i prgm in esecuzione e chiudili.
ovvio che devi anche passarti le voci del registro per eseguibili
sospetti...
come in un mio altro msg (Re: come aprire/chiudere porte TCP? del 29/12 alle
18.00) ti consiglio
http://www.webattack.com/get/activeports.shtml
nel quale vedi porte aperte e programmi associati (vedi mio post per altri
dettagli)
Ultimo consiglio: segui alla lettera cio' che ti consigliera' il buon Leo!
:-)
--
Ciao by Allanon

 Gollumbits, la prostituta a tre tette di Eroticon VI [1].
Quella le cui zone erogene iniziavano 3 Km prima del suo corpo fisico?
Fabrizio (o sbaglio citazione?)



Me ne sono accorto, ci dev'essere stato un crosslink con qualche testo
tolkeniano.
Leonardo "una tetta per domarli"

 ha scritto nel messaggio
news:a0uuh0$n9jvf$1...@ID-50303.news.dfncis.de...
Grazie a tutti delle risposte.
Fabio

 Leonardo "una tetta per domarli"
Una tetta per ghermirli ...
-- 
 ___     | (o_    Prima di postare fai un piacere a tutti:
 |_|     | //\    1) Accendi il cervello e collegalo alle dita
 | |ndry | V_/_   2) Leggi le SecurFaq: 
http://securfaq.usenet.eu.org
         |        3) Cerca nei vecchi post: 
http://groups.google.com