Newsgroup: it.comp.sicurezza.windows
Titolo: Come chiudo le porte 137-139?

Vi faccio una domanda semplice...
Ho un pc connesso al modem ADSL (visto come una scheda di rete, ma usa USB)
ed una normalissima scheda di rete che mi connette alla mia LAN.
Ho disabilitato il binding "Client per reti Microsoft" e "Condivisione file
e stampanti" sulle voci delle proprietà di rete che controllano "TCP/P ->
Modem ADSL", mentre l'ho lasciato abilitato su "TCP/IP -> Scheda di rete
LAN".
Contrariamente a quello che mi aspettavo, le porte 137,138,139 sono rimaste
aperte su tutte le interfacce, sia quella interna (LAN) che quella esterna
(ADSL).
netstat -na
TCP    62.149.x.y:137     
0.0.0.0:0
              LISTENING
TCP    62.149.x.y:138     
0.0.0.0:0
              LISTENING
TCP    62.149.x.y:139     
0.0.0.0:0
              LISTENING
TCP    
192.168.0.200:137
 
0.0.0.0:0
              LISTENING
TCP    
192.168.0.200:138
 
0.0.0.0:0
              LISTENING
TCP    
192.168.0.200:139
 
0.0.0.0:0
              LISTENING
TCP    
192.168.157.1:137
 
0.0.0.0:0
              LISTENING
TCP    
192.168.157.1:138
 
0.0.0.0:0
              LISTENING
TCP    
192.168.157.1:139
 
0.0.0.0:0
              LISTENING
Come si spiega? E come si risolve?
Non ditemi seplicemente "disabilita NETBIOS", perchè devo mantenere le
funzionalità complete all'interno della LAN.
Grazie
Big Trumpet

 funzionalitŕ complete all'interno della LAN.
Infatti ti basta disabilitare il supporto NetBios su TCP/IP sulle
interfacce WAN [Accesso Remoto, ADSL].
Sotto Windows2000 e' un'operazione estremamente semplice, agendo 
direttamente sulle proprieta' della connessione [Reti in Pannello di
Controllo].
Sotto WindowsNT richiede solo qualche attenzione in piu' -> le vere
difficolta' possono sorgere su sistemi Windows9x. Un aiuto in merito e'
rappresentato dalle istruzioni su 
http://grc.com/su-bondage.htm
 , sia
per Windows9x che WindowsNT.
Una volta chiuse le porte utilizzate da NetBios [137,138,139] procedi
ad un nuovo controllo da Prompt dei comandi digitando netstat -na . 
Se le porte 137,138,139 NON compaiono in ascolto associate all'indirizzo
IP assegnato da ADSL, puoi stare un po' piu' tranquillo. Inoltre puoi
fare un'ulteriore verifica con i test che trovi su :
- 
https://grc.com/x/ne.dll?bh0bkyd2
- 'Test My Shields!'
- 'Probe My Ports!'
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.tlc.provider.fastweb <| 
|>Togli/Remove .INVALID<|>_____ engineering && computers _____<|

 per Windows9x che WindowsNT.
Ciao Macs
avevo già visto quella pagina, e in effetti parlo proprio di Windows 98.
Ma se non sbaglio (ho letto troppo in fretta???) il suggerimento che danno
su quel sito è quello di eliminare il supporto TCP/IP per la condivisione
files ed utilizzare invece il NetBeui che invece non si propaga all'esterno.
*NON E' QUELLO CHE VOGLIO FARE*
Il tcp/ip sulla lan mi serve completo di NetBios e impostazioni di default
per motivi di lavoro ed inoltre vorrei evitare di installare protocolli
aggiuntivi che possono creare problemi (cioè rimanere in Tcp/ip puro).
Pensi che si possa fare?
Big Trumpet

 Tcp/ip puro).
Infatti avevo capito che ti serva mantenere per la LAN TCP/IP con
supporto NetBios -> sul sito di Gibson viene infatti indicato che
la configurazione presentata ovviamente e' di tipo generico, e che NON
tiene conto dell'utilizzo di determinati servizi nella LAN che 
richiedano TCP/IP [e.g. condivisione della connessione tramite Proxy o
NAT] -> per questo motivo viene inficato NetBeui come protocollo LAN al
quale associare l'accesso di gruppo, il client di reti e la condivisione
delle risorse.
Come ho gia' scritto, e' possibile disabilitare il supporto NetBios SOLO
per le interfacce WAN anche sotto Windows9x, sebbene risulti un attimo
piu' complicato rispetto a WindowsNT e Windows2000.
Infatti prima devi dis-associare TUTTE le istanze TCP/IP dai servizi :
- Client per Reti Microsoft
- Accesso Di Gruppo
- Condivisione File/Stampanti
in modo da togliere il NetBios -> prima di fare quest'operazione 
verifica di aver associato tali servizi ad un protocollo [NetBeui,IPX]
associato ad un dispositivo, altrimenti spariscono dall'elenco delle
proprieta' di rete.
Fatto questo, dovresti verificare tramite netstat -na [da Prompt Dos] la
scomparsa delle voci legate alle porte 137,138,139 sia sulle interfacce
LAN che WAN.
Fatto questo, devi riassegnare uno x volta i servizi all'istanza TCP/IP
dell'interfaccia LAN, controllando sempre tramite netstat dopo ogni 
riavvio del sistema.
So che puo' risultare noiosa come procedura ma, se NON vengono rimosse
TUTTE le associazioni dei servizi sulle istanze TCP/IP, NON e' possibile
deselezionare la casella per disabilitare il supporto NetBios.
-> Nota :
Puo' capitare che, pur procedendo cosi', tu NON riesca a chiudere la
porta 139 dell'interfaccia WAN... in tal caso potresti essere costretto
ad utilizzare comunque una soluzione firewall per bloccare il traffico
su tale porta per l'indirizzo IP dell'interfaccia WAN.
Purtroppo questo disagio e' presente solo per i sistemi Windows9x, dato
che con WindowsNT - 
http://grc.com/su-rebindingnt.htm
 - e Windows2000
cio' NON avviene. 


 Tcp/ip puro).
Infatti avevo capito che ti servisse mantenere per la LAN TCP/IP con










 deselezionare la casella per disabilitare il supporto NetBios.
Se rimuovo come detto sopra, si puo'. ('na volta ce provai) ;-)
--
Saluti
Żmassimo_ .....imparante.

 Come imposto le shares su NetBeui?
Ossia ? = come imposti le risorse condivise ? Allo stesso modo che con
TCP/IP solo che le risorse condivise sono mappabili in base al nome
computer e NON all'indirizzo IP...
Comunque queste domande sono piu' adatte a it.comp.reti.locali -> per
questa ragione ho impostato il follow-up su tale gruppo per continuare
questo ramo della discussione, senza essere OT sul gruppo ICSW.


 su tale porta per l'indirizzo IP dell'interfaccia WAN.
Vorrei evitare firewall e gingilli vari che rimangono residenti incasinando
un po' tutto.
Nel frattempo ho ovviamente protetto tutti gli share con password e
installato una patch Microsoft che dovrebbe risolvere una vulnerabilità
sulle password di share.
Un altro consiglio che ho trovato in giro è quello di cambiare lo SCOPE ID
per risultare invisibili come NetBios.
Hai provato a farlo?
Big Trumpet

 Hai provato a farlo?
NO, anche perche' mi sembrava che cio' funzionasse solo per sistemi NT
based -> infatti, se NON erro, dovrebbe derivare da un problema a suo
tempo rilevato in WindowsNT4 :
- nelle proprieta' TCP/IP di NT4 e' possibile digitare lo SCOPE ID solo
in caratteri maiuscoli, sebbene siano ammessi dal DHCP di NT gli SCOPE
ID anche in caratteri minuscoli o misti.
Cio' puo' comportare problemi di comunicazione tra macchine aventi i
parametri TCP/IP definiti in modo statico ed altri sistemi con le
impostazioni TCP/IP assegnate tramite DHCP.
La soluzione consisteva nella modifica del registro tramite REGEDT32 
nella chiave :
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT \parameters\
riscrivendo nella forma corretta lo SCOPE ID.
Sinceramente NON vedo la necessita' di una modifica del registro di
sistema in ambito NT/2000 vista la facile disabilitazione del supporto
NeBios sulle interfacce WAN.


 ha scritto nel messaggio
news:9eqouu$cfu$1...@fe2.cs.interbusiness.it...
| Vi faccio una domanda semplice...
| Non ditemi seplicemente "disabilita NETBIOS", perchè devo mantenere le
| funzionalità complete all'interno della LAN.
|
|
| Grazie
| Big Trumpet
|
Ciao semplicemente, nelle proprietà [sotto risorse di rete] del protocollo
TCP dedicato ad accesso remoto devi disabilitare nella cartelle binding
DESPUNTANDOLA il binding con Netbios.
riavvi e avrai chiuso le porte maledette.
ciao da blalalala

 riavvi e avrai chiuso le porte maledette.
Purtroppo sotto Binding posso DESPUNTARE
- Client per reti Microsoft
- Condivisione file e stampanti
(cosa che ho già fatto)
Sotto NetBios c'è invece una voce
- Abilita NetBios su TCP/IP
che però è attivata (spuntata) ma disabilitata (in grigino).
In altre parole, non posso modificare questa impostazione.
Le porte in ogni caso rimangono aperte su tutte le interfacce WAN.
Quello che dici tu funziona con Windows 2000, ma non con Windows 98.
Grazie lo stesso.
Big Trumpet

 NeBios sulle interfacce WAN.
Infatti. Su windows 9x occorre modificare la registry dato che lo scope id
non è modificabile
dalle proprietà di rete.
Altre idee? Ciao...
Big Trumpet

 Altre idee? Ciao...
Per ora no... vediamo se la notte porta consigli...


 139... e' vero che NON l'ho provata, ma forse perche' NON mi convince.
A me a dire il vero non importa molto "chiudere la porta 139".
Mi basterebbe che il NetBios non rispondesse sulle WAN in modo così semplice
(cioè in teoria a achiunque basta un password cracker).
Ciao
Big Trumpet

 semplice (cioč in teoria a achiunque basta un password cracker).
In tal caso ti basterebbe mettere dei filtri sulle 137/138/139 senza
preoccuparti di chiuderle -> tuttavia ritengo che chiudendole, il
rischio per la sicurezza diminuisca notevolmente di piu' che con la
sola applicazione dei filtri o la modifica dello SCOPE ID.


 NON ho letto particolari lamentele su tali driver sotto Windows2000.
Scusate l'OT.
I problemi li avevo anche con quelli. Se leggi sul forum Aruba ci sono molti
che non riescono a fare funzionare il modem con Windows 2000, mentre con 98
non ci sono problemi.
Sarebbe un po' lunga spiegare che tipo di problema c'è. In genere sono
problemi di setup, una volta che riesci a installarlo comunque va
decentemente.
A parte il fatto che (non mi chiedere il perchè) a volte quando riavvio il
S.O. il DHCP dell'interfaccia virtuale del modem invece che assumere
l'indirizzo solito 192.168.157.1 ne assume un altro (169.x.y.z) e devi
riavviare ancora altrimenti non funziona un tubo (cioè non si connette al
provider).
I drivers che ho installato io (ho fatto male) sono sul sito 3com e sono
stati rilasciati a inizio Maggio.
La 3Com comunque NON NE CONSIGLIA l'installazione se quelli che hai già
funzionano, segno evidente che non sono stati sufficientemente testati (e lo
ammettono se leggi sul sito).
Big Trumpet

 provider).
Si puo' vivere anche senza dhcp, imho, pero quache info:
http://lurch.cit.buffalo.edu/Services/DHCP/dhcp.html
--
Saluti
Żmassimo_
(my From@alterate) Me gustas tu.

 testati (e lo ammettono se leggi sul sito).
Infatti avevo letto su it.tlc.telefonia.adsl il messaggio relativo al
rilascio, e mi ricordo anche l'avvertenza di 3Com in merito...
