Newsgroup: it.comp.sicurezza.windows
Titolo: Netstat

Qualcuno potrebbe spiegarmi le "risposte" del comando Netstat -na ? Cosa
significa indirizzo remoto *:*; stato: last_ack, listening, wait, ec..
Perchè la porta dell'indirizzo remoto è diversa da quella dell'indirizzo
locale ???
Grazie...

 wrote:

Brevemente: una connessione TCP puo' trovarsi in vari "stati", a seconda
dei casi.
Quando tu ti colleghi a un sito Web, usi una "porta" arbitraria scelta a
caso (Windows parte da 1025 e incrementa d'uno ogni volta; quando arriva
a 65535, credo che si inchiodi <grin>) e ti connetti alla "porta" 80 che
e' assegnata al servizio HTTP (vedi il file C:\WINDOWS\SERVICES ; se hai
un sistema operativo installato, forse e' su /etc/services).
La connessione inizia in stato nullo; tu invii al server un pacchetto di
dati con un flag SYN, per fargli capire che esisti. Lui ti sente e manda
un pacchetto con flag ACK ("ACKnowledged"="ti ho sentito"). Tu mandi una
risposta alla risposta, SYN+ACK.
Dopo che hai mandato il SYN, il tuo socket e' in stato SYN_SENT, che per
alcuni viene chiamato invece ACK_WAIT (e' il discorso del bicchiere, che
puo' essere mezzo pieno o mezzo vuoto).
Se il server e' pronto a ricevere dati, il suo socket e' in stato LISTEN
(in ascolto), e il tuo SYN e' ricevuto; altrimenti rispondera' con altri
flags, che variano a seconda dello stack e altre cose, e possono essere:
	RST		Linux, vari Unix
	RST+ACK		Windows 95,98,NT
	RST+ACK+OOB	Windows 2000 (?)
	PSH+OOB		Thorin
			md
Quando si completa questo cosiddetto handshake a tre {stadi|vie}, allora
il socket passa in stato ESTABLISHED.
Quando alla fine uno dei due vuole chiudere la connessione, manda ancora
un altro flag, FIN, e passa in stato di FIN_WAIT1. L'altro invia ACK per
dire che ha sentito il FIN; il primo risponde con FIN+ACK e passa ad uno
stato di TIME_WAIT, per impedire al sistema di riusare quel socket. Allo
scadere di un timeout, il socket e' distrutto e le risorse liberate.
{Ripesco a memoria, non ho voglia di pensarci. PIU' O MENO funziona come
ho detto <grin>}.
Gli stati riconosciuti dal mio NETSTAT sono:
SYN_SENT
SYN_RECV
FIN_WAIT1
FIN_WAIT2
TIME_WAIT
CLOSE
CLOSING
CLOSE_WAIT
LAST_ACK
LISTEN
UNKNOWN
Gli stati che ti interessano sono due soli:
ESTABLISHED	connessione TCP in corso
LISTEN		il *TUO* PC sta aspettando una connessione
		(caratteristico di varie backdoors)
Attenzione che l'indirizzo locale, per un LISTEN "pericoloso", DEVE essere,
tassativamente, 0.0.0.0, oppure l'IP assegnato dal provider. 127.0.0.1, per
chiarire, e' una robaccia del tutto innocua.
Leonardo
".signature": bad command or file name

 scadere di un timeout, il socket e' distrutto e le risorse liberate.
O, se non si ha un sistema operativo, allo shutdown. <EVIL GRIN>

 chiarire, e' una robaccia del tutto innocua.
questo fantomatico 0.0.0.0,  come indirizzo locale, cosa rappresenta? Il
fatto che non abbiamo ancora avuto un IP? Oppure il fatto che sta
ascoltando su tutte le possibili interfacce? Insomma: che e'?
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Non avete ragione di credere a questa frase

  UDP    
0.0.0.0:135
              *:*
Questo buffo comportamento ha cominciato a farmelo un NT Workstation con
Service Pack 3, dopo aver installato il server di un RIP via rete. Credo
che non significhi niente. Ho visto pero' che mi ha cambiato il NETSTAT,
probabilmente per nascondere la gragnuola di TIME_WAIT che mi genera (e'
un programma _piuttosto_ inefficiente, ma ha una taratura del colore che
leva di 'ulo).


ascoltando su tutte le possibili interfacce?
La seconda. La seconda c'hai detto.


 fatto che non abbiamo ancora avuto un IP? Oppure il fatto che sta


 Se hai altre domande, sono a tua disposizione.
molto gentile :)
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Inoffensiva proclamazione fascista-conservatrice-liberal-comunista