Newsgroup: it.comp.sicurezza.windows
Titolo: Info su porte!

Salve a tutti... lurko questo ng da circa tre mesi, e
alla fine mi sono deciso a saltare fuori...
Infatti vorrei avere qualche informazione sulle "porte".
Premetto che non sono proprio a digiuno assoluto, xo'
recentemente ho subito qualche attacco, e uno di questi
mi ha fatto "saltare" l'HD...
Ho installato, dopo questa esperienza allucinante, ZApro
e Port Guardian, e penso di averli configurati abbastanza
bene... Non sopporto xo' di dover usare questi due prog
senza sapere come funzionano, cosa fanno, e soprattutto
cosa hanno fatto i simpaticoni che mi hanno bruciato un
HD...
Ho cercato in rete qualche tutorial o guida sulle porte
e sugli attacchi... ma ho trovato veramente poco, solo
una guida, che devo ammettere era molto difficile da
capire, in quanto usava un linguaggio molto tecnico...
Io so solamente che, in linea di massima, le porte
gestiscono i vari servizi... la 25 è la SMTP, la 23 Telnet,
la 119 l'HTML.... xo' vorrei sapere di piu'...
Sapete dirmi qualcosa di piu', o indicarmi una guida
di medio livello (ossia comprensibile anche a chi non ha
una laurea in ingegneria informatica...) da scaricare?
Perdonate la lunghezza del post... e grazie dell'aiuto1
QwertyMan

 QwertyMan
La 119 non gestisce l'HTML (?), ma č la porta tipica dei server news (NNTP).
Quello che ti ha fatto partire l' hard disk ha probabilemente sfruttato o la
condivisione NetBios abilitata (porte 137-138-139), oppure qualche server di
trojan che girava sul tuo pc. I firewall possono essere divisi in due tipi
fondamentali: quelli che lavorano col packet filitering (cioč monitorano
tutti i pacchetti tcp-ip, udp ecc. in uscita e in entrata dalla macchina),
oppure quelli che lavorano a livello di applicazione, rilevando cioč tutti i
tentativi di connessione di un applicazione e facendo scegliere a te se
permetterli oppure negarli.
prova a guardare la faq del newsgroup per maggiori info.
--
Ciao, Roby [
ccast...@libero.it
]
----------------------------------------------------------------
"Quand'ero in prigione mi hanno messo in isolamento, ad un certo punto,
perché credevano che potessi lanciare dei missili fischiando
dentro la cornetta di un telefono. E lo hanno persino detto al giudice
durante un'udienza".
 [Kevin Mitnick]

 Ciao, Roby [
ccast...@libero.it
]
Grazie tante x le answers.....
QwertyMan

 capire, in quanto usava un linguaggio molto tecnico...
Purtroppo capire il concetto di porta significa conoscere il protocollo
tcp, quindi lo stakc iso/osi, le dinamiche client-server, etc...
Dovrai per forza addentrarti su un terreno prettamente tecnico, anche
senza diventare per forza un sistemista esperto.
Basta iniziare dal basso e poi salire.
Non occorrono lauree, basta un poco di intelligenza e qualche base di
informatica ed elettronica (neanche troppe).
vai su 
http://members.nbci.com/gouldukat/
 trovi un pò di tutto, compreso
un tutorial di reti per inesperti.
Ciao

 un tutorial di reti per inesperti.
Thx!
-- 
Rashef
"Veni, Vidi, Vici"

 un tutorial di reti per inesperti.
Sono riuscito a scaricare solo il file su ZA...
Gli altri li scarica ma poi WinZip (v8.0) mi dice che non riece ad aprirli
(dice qualcosa del tipo "archivio sconosciuto").
Come posso averli????

> Gli altri li scarica ma poi WinZip (v8.0) mi dice che non riece ad
aprirli
Ho scaricato le Network utilities for dummies, e il mio WinZip8 (3105) le
ha aperte senza problemi, sorry....
Non Saprei proprio!!!

 che e' aperta?
se dice Listening vuol dire che e' aperta, ma se lavori in rete, guarda su 
che interfaccia si trova, ergo: se l'ip sulla sinistra e' il tuo su 
internet, e' un conto, se invece si tratta di un ip tipo 192.168... e' su 
rete interna e quindi _credo_ che dall'esterno risulti chiusa.
Prova da dos c:\> netstat -na | find "LISTEN" >> c:\listening.txt
dovresti trovarti dopo qualche secono un file in C: chiamato LISTENING.TXT 
che ti dice tutte le porte che hai in ascolto.
-- 
Pascal-X - mICQ 25553477 - 
http://pascal.hobbiton.org
Responsabile Pubbliche Relazioni del SIACD
Profeta del Sommo C_R_O_S_S__B_O_N_E_S
Nemico dichiarato del Kyle Jordan Klan

 che ti dice tutte le porte che hai in ascolto.
Facendo netstat -na mi ha dato un elenco di porte in Listening tutte pero'
con 0.0.0.0:xxxx che se non sbaglio mi fa stare tranquillo no?
L'unica cosa che mi chiedo è... come mai anche a connessione inattiva mi
da':
TCP  
127.0.0.1:110
 
0.0.0.0:0
  Listening
Se non sbaglio a connessione inattiva dovrebbe darmi tutto vuoto se faccio
netstat -na... perche' la porta del POP3 e' sempre in listening?????


 "Veni, Vidi, Vici"
Caงงo e' sta Signature???
Devo farli meglio sti Copia/Incolla...

 netstat -na... perche' la porta del POP3 e' sempre in listening?????
Ehm... potrebbe essere l'e-mail protection di NAV?

netstat -na... perche' la porta del POP3 e' sempre in listening?????
Probabilmente perche' usi la protezione email di Norton Antivirus.
-- 
Lapalissiano
Icq 57269703

netstat -na... perche' la porta del POP3 e' sempre in listening???
Hai un antivirus che scansiona la posta ?
-- 
Linux User ??
Ci provo !!

 QwertyMan
---
Ramses
---
http://evilz0ne.cjb.net
http://knowledgeparty.cjb.net

netstat -na... perche' la porta del POP3 e' sempre in listening?????
Hai un POP server (locale: 127.0.0.1!) sul tuo PC. Un antivirus?
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 Leonardo
QwertyMan

In article, 
ram...@freemail.it
 says...
Thx

facendo netstat dovrei vedere quell'IP sotto quale voce?
TUO_IP_INTERNET:PORTA_OLTRE_1024    201.156.263.25:80   ESTABLISHED


 TUO_IP_INTERNET:PORTA_OLTRE_1024    201.156.263.25:80   ESTABLISHED
In questo preciso istante facendo
netstat -na
ottengo:
Proto    Locale                    Remoto             Stato
TCP      0.0.0.0:xxxx              
0.0.0.0:0
          Listening   
TCP      
127.0.0.1:110
 
0.0.0.0:0
          Listening
TCP      
151.21.11.6:2043
 
192.106.1.6:119
    Established
TCP      
151.21.11.6:2044
 
192.106.1.6:119
    Established
Considera che ho una ventina di voci come la prima, in cui al posto di
xxxx ho diverse porte, comprese tra la 10 e la 31337...
Come devo leggere un risultato di questo tipo?
Il mio pc (IpAdr: 151.21.11.6) e' connesso con le porte 2043 e 2044
alla porta 119 (NNTP) dell'indirizzo 192.106.1.6, giusto?
Se avessi un trojan, oppure qualcuno fosse collegato ad una mia
porta, cosa vedrei?
 
QwertyMan
P.S.: Grazie della pazienza....

 xxxx ho diverse porte, comprese tra la 10 e la 31337...
31337 in listening? Caro amico, se non hai qualche ciofeca come 
CheckBo aperto vuol dire che hai su *perlomeno* il trojan back 
orifice, e probabilmente altri...
-- 
XP Firewall> Intrusion detected: can I format disk? (Yes/Of course/Retry)
News2000 1.5ß Version 
http://socket2000.8m.com

porta, cosa vedrei?
TCP      151.21.11.6:PORTA    x.y.z.k:PORTA_OLTRE_1024    Established
PORTA, nel caso dei trojan e con l'eccezione della 1243 (usata, se non
vado errato, da Backdoor-G), e' DI SOLITO un numero alto, oltre 5000.
Tieni presente che IN TEORIA e' possibile scrivere, e usare, un trojan
che usi una TUA porta bassa, e l'attaccante puo' usare (ma non con VB,
e questo taglia fuori il 90% dei pirla la' fuori) una porta BASSA, per
esempio 80. Cosi' tu vedi
TCP	
151.21.11.6:2123
	x.y.z.k:80	Established
e sembrerebbe una connessione Web, ma non lo e'.


 le connessioni trojan di BackOrifice (il quale usa 31337 UDP, non TCP).
Puo' essere Port Guardian?
 
QwertyMan

Puo' essere Port Guardian?
Pòle si'. Prova a terminarlo e a vedere cosa succede.


 Pòle si'. Prova a terminarlo e a vedere cosa succede.
Wow... di quell'elenco infinito di porte rimangono in
LISTENING solo la 1059 e la 110... ma perche' la 1059
compare due volte? Una volta come:
TCP   
0.0.0.0:1059
 
0.0.0.0:0
      LISTENING
l'altra come:
TCP   
151.24.144.3:1059
 
192.106.1.6:119
    ESTAB.
Quest'ultima e' la connessione delle news, ok...
ma l'altra? Quindi una porta del mio pc puo' 
reggere piu' di una connessione!
 
QwertyMan

reggere piu' di una connessione!
No, vedi
http://groups.google.com/groups?as_umsgid=bit84to23v67kltfl...@4ax.com
-- 
Lapalissiano
Icq 57269703

 Mi hanno detto che e' il sito ufficiale del ng!
No, non e' il sito ufficiale del ng, ma delle FAQ del gruppo che io
mantengo (o cerco di mantenere) nei ritagli di tempo. A quale ti
riferisci di preciso? Che' se il sonno mi ha fatto scrivere una fesseria
la correggo subito ^_____^
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/