Newsgroup: it.comp.sicurezza.windows
Titolo: (solo per esperti) un po lunga

Innanzitutto grazie a tutto il newsgroup:
    Ho il seguente problema:
ho duw web server windows based bilanciati tramite un radware.
Il tipo di bilanciamento è local triangulation.
    Il web server ha un servizio smtp.
    Da un po di tempo a questa parte ho un problema.
    Dopo qualche giono (di media 4) si genera tantissimo traffico RPC, tanto
da occuparmi praticamente tutte le mie porte private con l'inevitabile
conseguenza di non riuscire piu' ad aprire delle connection verso dei
SQLServer.
    La situazione con un netstat -a è la seguente: (ho tagliato delle parti
per non rendere la mail troppo lunga ma la lista scrolla sul mio video per
circa 5 minuti !!!!)
TCP    ixq047:ftp             
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:smtp            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:http            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:81              
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:epmap           
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:microsoft-ds    
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1032            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1035            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1038            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1041            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1044            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1046            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1048            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1049            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1050            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1052            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1054            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1055            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1058            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1061            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1062            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1067            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1072            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1073            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1076            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1079            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1081            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1082            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1084            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1086            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1088            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1091            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1095            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1096            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1099            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1100            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1102            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1103            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1106            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:kpop            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1112            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1113            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1116            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1117            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1118            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1127            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1130            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1132            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1137            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1142            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1144            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1145            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1146            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1147            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1150            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1152            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1154            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1155            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1156            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1159            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1160            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1161            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1164            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1165            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1166            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1167            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1170            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1173            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1175            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1176            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1177            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1178            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1179            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1180            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1181            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1185            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1186            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1188            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1189            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1192            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1193            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1194            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1204            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1216            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1236            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1241            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1246            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1298            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1302            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1370            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1374            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1393            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1532            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1574            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1577            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1599            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1619            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1623            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1625            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1629            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1631            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1632            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1634            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1638            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1641            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1644            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1647            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1648            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1651            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1654            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1655            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1657            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1659            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1660            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1663            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1666            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1669            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1672            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1675            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1678            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1681            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1684            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1685            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1687            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1690            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1695            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1698            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1701            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1706            
ixq047.esperia.com:0
   LISTENING
TCP    ixq047:1709            
ixq047.esperia.com:0
   LISTENING
Tutte le porte rimangono in listening e rimangono appese.
Sapete dirmi qualcosa? E' forse un attacco ?
Grazie Luigi

 SQLServer.
Ma non è che magari ti 6 beccato tardivamente l'infezione che ha colto
recentemente migliaia di SQL server in giro per la rete???

    Il web server ha un servizio smtp.
Se e' per quello ha anche un servizio FTP :-)
Nell'event viewer c'e' qualcosa di strano, specialmente relativo a risorse
di rete che non sono piu' attive o raggiungibili?
Leonardo cosi'
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

 Tutte le porte rimangono in listening e rimangono appese.
Il netstat di windows mostra in listening anche l'endpoint locale
delle connessioni established. Quelle riportate, quindi, possono
essere delle connessioni established, delle quali sarebbe opportuno 
dare un'occhiata anche all'ip e porta remota, per avere qualche 
info in piu'. Guarda se e' cosi'. Se sono connesisoni established, 
per essere un server web, cosi' a naso, mi sembra che siano un po' 
tante, specie se la connessione al server sql sfrutta meccanismi 
di pooling (vabbe', in ogni caso lo vedresti se le connessioni
sono con il tuo server sql, no? :-)).
Sono permesse nuove connessioni dal server al resto di internet?
Verso quali porte? Il server e' raggiungibile dall'esterno sulla
25/tcp? Se si, il relay e' bloccato per gli ip non autorizzati? 
Hai patchato contro le varie varianti di codered? (non ricordo
se tutti gli antivirus lo rilevano). Dai un'occhio ai log di tutti
i server che esegui (specie ftp e smtp) per vedere se c'e' qualcosa 
di strano.
... mmmmhh... cosi', sul momento, non mi viene in mente nessun'
altra domanda.
Fabio

 altra domanda.
... e, ovviamente, la password di administrator non e'
tra queste:
admin 
administrator
root
admin
test
test123
temp
temp123
pass
password
changeme
... e/o la 445/TCP non e' raggiungibile dall'esterno o
e' protetta con una policy IPSec senza fallback, vero?
Fabio