Newsgroup: it.comp.sicurezza.windows
Titolo: Sarà paranoia, ma non mi sento tranquillo

Salve
sarà che a forza di seguire questo ng e i.c.s.v si diventa un pò
paranoici ma ho un piccolo "problema" o presunto tale che vorrei
chiarire.
Utilizzo Win95, lanciando netstat noto quanto segue
Active Connections
  Proto  Local Address          Foreign Address        State
  TCP    
0.0.0.0:135
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1025
 
0.0.0.0:0
              LISTENING
non sono online e la cosa si ripete ad OGNI avvio di W95 anche
controllando subito dopo il boot strap
Chiudendo uno alla volta i singoli task trovo che il "demone" in
ascolto sulle porte dipende da tale
C:\Windows\System\Rpcss.exe
o perlomeno terminando il processo netstat non segnala + nulla
(wintop lo segnala come processo di sistema e non permette di
terminarlo mentre AVP SW lo termina senza problemi)
tale file risulta essere
file in C:\Windows\System, nome Rpcss.exe
dimensione: 7952 bytes
data creazione: martedi 3 novembre 1998 18.58.42
ultima modifica: giovedi 18 settembre 1997 14.27.28
descrizione:  Distributed Com Services
versione: 4.71.1718
altre informazioni sulla versione 
lingua: Inglese (USA)
nome del prodotto: Microsoft(R) Windows NT(TM) Operating System
nome file originale: dcomss.exe
nome interno: dcomss.exe
nome società: Microsoft Corporation
versione del prodotto: 4.71.1718
dipendenze: il file è usato da rpcss.exe path C:\windows\system\oldole
controllando il file rpcss.exe in C:\Windows\System\oldole trovo che
file in C:\Windows\System\oldole nome rpcss.exe
dimensione 81.644 byte
data creazione martedi 3 novembre 1998 18.58.38
ultima modifica sabato 24 agosto 1996 11.11.00
versione 4.00.950
descrizione WIN95 RPC Endpoint Mapper
altre informazioni sulla versione
lingua: inglese (USA)
nome del prodotto: Microsoft® Windows® Operating System
nome file originale: rpcss.exe
nome interno: rpcss
nome società: Microsoft Corporation
versione del prodotto: 4.00.950
il file utilizza:
RPCRT4.DLL in C:\Windows\System\oldole
RPCRT4.DLL, MSVCRT20.DLL, ADVAPI32.DLL, RPCSS.EXE, KERNEL32.DLL in
c:\windows\system
la cosa che mi sembra strana è che vi siano due file con lo stesso
nome,di dimensioni diverse di cui uno richiama l'altro;
ho controllato nel registry, win.ini, autoexec.bat, winstart.bat ma
non è presente nessun richiamo a questo file quindi suppongo sia un
componente standard di W95, ma di defaut (senza NETBIOS) W95 non
dovrebbe mettere delle porte in listening o sbaglio?
Ho anche controllato con AVP aggiornato al 1/4/99 ma non mi segnala
praticamente nulla.
Ho provato a telnettarmi sulle due porte in listening, la connessione
viene accettata ma nessuno si "presenta" e anche inviando comandi
(login, pass, connect, quit, bye, vaffanculo...) non ottengo nessuna
risposta.
Non so se può centrare cmq ho aggiornato il componente
DCOM for Windows95
ma diverso tempo fa, mentre quegli strani LISTEN mi sono compersi + di
recente.
Quindi considarando che eseguo spesso molte schifezze di dubbia
provenienza dopo un semplice controllo antivirus(no paternali pls :)
vorrei capire cosa c'è che non va.
Dai sintomi
-2 file con lo stesso nome
-porta 135 che assomiglia al NETBIOS e si confonde bene
-porta 1025 che è la prima che viene allocata dal winsock per es a
Netscape e si perde nella mischia
ho il sospetto di essermi baccato un troian, ma non saprei dire quale
Per il momento penso risolverò killando il processo prima di
collegarmi, sperando che gli altri programmi non mi diano problemi ma
vorrei cmq capire di cosa si tratta.
Grazie x l'attenzione e scusate la lunghezza del post
					ciao
P.S. ho anche controllato un elenco dei servizi +o- standard a cui
sono assegnate le varie porte e risulta
loc-srv         135/tcp    Location Service
blackjack       1025/tcp   network blackjack
non ho idea di cosa siano

 nome Rpcss.exe
ma, non ho idea di cosa sia (non uso nt), ma il nome mi sa di Remote
Procedure Call.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* Questo non e' un omaggio a Magritte
-----------------------------------------------------------------------

Procedure Call.
Bingo.
Leonardo
".signature": bad command or file name

Buttha
Mi sono un pò informato su questo "Remote Procedure Call", se ho
capito bene è un protocollo utilizzato in ambiente Unix per permettere
l'elaborazione su un server centrale di processi generati da una serie
di clients connessi in rete, se ho capito male, ho detto un mare di
cagate :)
Cmq perchè mi ritrovo questo servizio attivo su una macchina Win95
connessa in dial-up?
Tra l'altro ho notato che questo fantomatico Rpcss.exe dopo un po
ritorna in esecuzione(ad es lanciando Paint Shop Pro),senza però
mettere nessuna porta in listening, quindi suppongo sia un componente
ausiliario utilizzato da diverse applicazioni.
Ho anche provato a dare una passata con "The cleaner 2" ma non trova
nulla.
A questo punto è + che altro una questione di curiosità, se non ne
vengo a capo, mi ritaglio un paio d'ore nel weekend, backuppo e
reinstallo tutto.
Grazie cmq dell'aiuto, se qualcuno ha qualche idea si faccia sentire
					ciao
P.S. già che ci sono, qualcuno potrebbe fornirmi l'elenco dei Task di
sistema standard di Windows, cioè quei processi che normalmente vanno
in esecuzione al boot della macchina?

cagate :)
Yesssss, e in ambiente win hanno ripreso il nome ( non so di preciso se
hanno preso anche il progetto) per fare andare delle simpatiche applicazioni
DCOM ( se vuoi informarti meglio, e' su queste che devi insistere).
Tali oggetti sono appunto applicazioni distribuite in rete che usano il
protocollo COM.
Dovresti cercare quale applicazione client/server hai in giro per il mondo,
e cosi' scopri cosa ti ha inserito tale servizio.
A me era comparso, ( il DCOM )installando uno strano software di
visualizzazione di impianti, che prendeva a prestito alcune dll da autocad.
Dovresti trovarti DCOM installato nelle applicazioni del pannello di
controllo.
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@usa.net

 in esecuzione al boot della macchina?
Allora. In questo momento il fidato WinTop mi dice:
Program           Path
* Idle              Idle
* kernel32.ddd      C:\windows\system\kernel32.dll
* msgsrv32.dll      C:\windows\system\msgsrv32.dll
* mprexe.exe        C:\windows\system\mprexe.exe
* mmtask.tsk        C:\windows\system\mmtask.tsk
  explorer.exe      C:\windows\explorer.exe
  systray.exe       C:\windows\system\systray.exe
  rundll32.exe      C:\windows\rundll32.exe
Ometto roba relativa a programmi utente. I "*" sono i processi contrassegnati
con l'ingranaggio, immagino quelli propriamente "di sistema". AVP System Watch
segnala gli stessi.
Ciao, Max.
-- 
Emma for President: 
http://www.emmaforpresident.it/
--ICQ: 14816698---Campagna NOTUT: 
http://www.notut.cjb.net-----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------------

DCOM ( se vuoi informarti meglio, e' su queste che devi insistere).
ho visto che anche activePerl richiede DCOM.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

>
                          -=Bacco=-
                          Spp MeMbeR
                          -=Bacco=-   
 

Grazie a tutti x l'aiuto
Ho "risolto" disinstallando il componente "DCOM x Wěn95" che avevo
installato parecchio tempo fa assieme ad altri aggiornamenti (Winsock,
DUN...)
Non ho ancora capito quale applicazione mi mettesse le porte il
listening anche perchč era un pň che non installavo nuovo software (o
perlomeno nessun programma eseguito allo start-up)
Solo un' ultima nota;
pur disinstallando il DCOM, i file Rpcss.exe sia in windows\system sia
windows\system\oldole non sono stati eliminati ma adesso hanno la
stessa dimensione(~80Kb)  stessa data e stesse caratteristiche
Spero di non aver avuto ospiti indesiderati sul disco fisso anche se
sinceramente non saprei cosa pernsare...
Grazie ancora 
					ciao
.

e forse ancora qualcosaltro ma non ricordo.
NetDDE. Che viaggiano via TCP-IP (anzi via IPX, credo).



ICQ #34602650

".signature": bad command or file name
                          -=Bacco=-
                          Spp MeMbeR
                          -=Bacco=-   
 

 il protocollo è il NetBeui.
Non mi pareva di aver detto che NetBios fosse un protocollo, anzi ho
detto anche io che si può appoggiare ad un protocollo a scelta (NetBeui,
TCP/IP, etc...).
Quello che mi chiedevo è se il NetDDE fa parte del NetBios o meno.
