Newsgroup: it.comp.sicurezza.windows
Titolo: associazione porte/eseguibile

sul mio firewall aziendale vedo che uno dei server windows -negli ultimi
giorni- tenta di uscire con un protocollo Udp verso ip particolari...
voglio capire quale eseguibile (o quale servizio) chiama quella connessione
sapete consigliarmi un programma adatto, che mostri porta
aperta/programma-servizio e che abbia aggiornamento -e magari file di log-
automatici?
(preferenze opensource, freeware, eseguibile standalone senza bisogno di
installazione)
-- 
Paolo B.
(senza "NONAYNEVER" nell'indirizzo di posta ;-)
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 magari file di log- automatici?
prova con
http://www.microsoft.com/technet/sysinternals/utilities/tcpview.mspx
oppure con 
http://www.ethereal.com/

 oppure con 
http://www.ethereal.com/
conosco anche ethereal (molto meno bene) ma vorrei evitare di appesantire
QUEL server ... che ha gia' tanto ma tanto da faticare ;)
altre soluzioni?


 
qual'e' la porta in questione?
pep

 appesantire QUEL server ... che ha gia' tanto ma tanto da faticare ;)
beh .. allora, se NON vuoi usare ethereal, prova ad usare NGSsniff
http://www.ngssoftware.com/products/internet-security/ngs-sniff.php
in alternativa, invece di installare lo sniffer o quant'altro direttamente
su quel server, potresti installare una serie di "tools" su un laptop e
poi, connettendo server+laptop+lan con un HUB sniffare e controllare
tutto quanto

 altre soluzioni?
Active Ports
http://www.protect-me.com/freeware.html
-- 
		Luca Amicone
		ICQ: 14890779
"Contenuto del file Msdos.sys di Windows" 
http://support.microsoft.com/?id=118579

 Ah no ? E la colonna "process" di TcpView 
sono persino andato a scaricare Tcpview 2.40 ma non vedo
nessuna colonna "process", e neanche un'opzione per
abilitarne la visualizzazione :(
tu che versione usi? su che OS?
- AGGIORNAMENTI PER TUTTI -
1) ho trovato l'utility su 
www.nirsoft.net
CurrPorts: TCP/IP Connections Viewer - Freeware 
FANTASTICA!!! standalone, port tcp-udp, processi,
eseguibili, path, versione del file, ecc.
2) ho aperto sul fw una porta per pochi minuti, cosi' da
fissare la connessione e farla vedere ai programmi (sul
server stanno andando Tcpview, CPorts, DiamondCS OpenPorts
v1.0 e Netstat E NESSUNO VEDE NULLA!!!)
3) nel frattempo ho fatto alcuni netscan della rete sui
range 192.168.0.0 ... e ci sono delle macchine ... 
4) in realta' DaBoss mi dice che ha preparato una vmware con
alcuni indirizzi di quel range!
5) resta da capire perche' il fw rileva quel traffico come
proveniente dal server e non dalla macchina vmware :(
grazie a tutti per le risposte ;)
Obiwan, rispondimi (anche pvt) perche' proprio capire 'sta
cosa di tcpview.....


 cosa di tcpview.....
vedi sopra :)
ciao

 automatici?
Lo strumento che ti serve e' tdimon. Tutti gli altri tool citati hanno un
limite: ti mostrano una situazione "istantanea" e se non sei davanti alla 
console proprio nel momento in cui il refresh della lista delle porte con
i processi ti mostra la porta in uso, vedrai poco o niente. Tdimon invece
tiene traccia degli eventi pregressi dal momento in cui l'hai lanciato.
Fabio

 avrai sicuramente visto l'immagine presente sulla pagina
PERFETTO! ma io lo sto usando su un win2000pro, non mi fermo a guardare
l'immagine, e su win2000pro IL PROCESSO NON C'E'!!!
mentre SE USI XP il processo lo vedi (e infatti la mia domanda era su che
versione usi e su che os, non su cosa vedi nella webpage :)
(devo dimostrarlo con l'immagine? eccola allegata )
poi la macchina vmware non e' il server, altrimenti era inutile scrivere
cosa c'era da capire...
Guarda l'immagine cliccando 
http://attach.mynl.it/img?id=NDM2MQ


 Lo strumento che ti serve e' tdimon. 
l'avevo scaricato anni fa da sysinternals, ma -finora- non avevo mai avuto
la necessita' di usarlo ed e' finito prima in un folder "bidone", poi lo
zip e' stato eliminato. 
adesso l'ho scaricato, e' operativo e vedremo cosa mi dice...
grazie ancora


 (devo dimostrarlo con l'immagine? eccola allegata )
Mah .. io lo uso senza problemi (ed ho provato anche ora) su win2k
e vedo tranquillamente i nomi degli eseguibili associati ai processi


Uhmmm... la butto li': non e' che sul w2k sta usando tcpview per win9x?
Fabio

 se non e' sarcasmo, grazie ;)
Certo che non era sarcasmo. Prego :-)
Fabio

 Guarda l'immagine cliccando 
http://attach.mynl.it/img?id=NDM2MQ
La spiegazione più semplice e più bastarda è che tu abbia chiuso
la prima colonna, mettendola a larghezza zero. Prova a riallargarla :-)
Bye, G. 


E' lo stesso file.
Bye, G. 

 E' lo stesso file.
Come non detto.
Fabio

 la prima colonna, mettendola a larghezza zero. Prova a riallargarla :-)
no, nessuna colonna nascosta. piuttosto penso a qualche libreria con
versione differente ...
chi ha win2000pro e vede anche i processi, puo' confrontare il mio log che
allego con la propria situazione?
Guarda l'immagine cliccando 
http://attach.mynl.it/img?id=NDM2OQ


 versione differente ...
più che altro a qualche libreria mancante
che so .. PSAPI.DLL ad esempio ... :-D