Newsgroup: it.comp.sicurezza.windows
Titolo: domanda su netstat

ciao
ho una domanda sulla situazione che mi presenta il netstat -na sulla mia
macchina con win ME
quando non sono connesso.
mi potete aiutare a capire a cosa corrispondono le porte che mi presenta ?
C:\WINDOWS>netstat -an
Connessioni attive
  Proto  Indirizzo locale         Indirizzo remoto             Stato
  TCP    
0.0.0.0:1026
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1027
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1028
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:135
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:5000
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1025
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1025
 
127.0.0.1:1028
         ESTABLISHED
  TCP    
127.0.0.1:1028
 
127.0.0.1:1025
         ESTABLISHED
  TCP    
127.0.0.1:1029
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:1039
 
0.0.0.0:0
              LISTENING
  TCP    
127.0.0.1:110
 
0.0.0.0:0
              LISTENING
  UDP    
127.0.0.1:1900
         *:*
-------------
la 110 è  Norton pop3
come pure la 1025 e la 1028
la 5000 è la porta tenuta aperta da SDPSRV.EXE ("SSDP Service on Windows
Millennium") - vedi  l' "Universal Plug and Play"
La porta 135 e' una sorta di portmapper
Viene aperta quando viene attivata la possibilita' di eseguire componenti
com+/dcom sulla macchina da remoto -- forse è la stampante
ma le altre ??????
se riuscite a darmi una mano a capire ne sarei molto grato
se ho sbagliato a descrivere le porte correggetemi pure, posso benissimo
aver detto cavolate :-)
Grazie  e ciao

 mi potete aiutare a capire a cosa corrispondono le porte che mi presenta ?
Inizia con il leggere le SecurFAQ che sicuramente e' un buon passo in
avanti: 
http://www.securfaq.usenet.eu.org/
Poi quando l'avrai fatto potrai chiedere per cio' che ancora non hai
capito.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *


la SecurFAQ l'ho già letta però non spiega a cosa possono corrispondere le
porte che a me risultano aperte.
comunque non penso che possa trattarsi di BO o trojan in quanto le chiavi di
registro da controllare le conosco (anche se la sicurezza al 100 % non
esiste :-)) come pure le cartelle di esecuzione automatica ma io pensavo
piuttosto a qualche servizio attivo che però potrebbe essere disabilitano in
quanto superfluo e potenzialmente pericoloso
grazie comunque per la risposta

 comunque non penso che possa trattarsi di BO o trojan in quanto le chiavi di
A parte la porta 110 che vedo aperta (il che indica - non ricordo se lo
stato era ESTABILISHED, ora) che stavi scaricando le mail, le altre (mi
pare 1025, 1028 e 1029) sono sicuramente aperte da qualche programma.
Cmq cerca Activeports (
http://www.webattack.com/get/activeports.shtml
)


porte che a me risultano aperte.
Quelle te le devi far spiegare da 
www.google.com
 e
http://groups.google.com/advanced_group_search
La porta 5000 e la porta 1900 udp dipendono dall'universal plug and
play (vedi sotto), la 1039 sembra avere a che fare con 'Microsoft
Transaction Server'.
La 135 e la 1025 dovrebbereo dipendere da RPCSS.EXE. Se non ti serve
puoi bloccarlo aprendo il registro con Regedit e cambiando da Y a N
il valore di "EnableRemoteConnect"="Y"
nella chiave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLE. Declino ogni
responsabilita'.
-------------------------
REPOST
La porta 5000 e' tenuta aperta da SDPSRV.EXE ("SSDP Service on Windows
Millennium")
E' la "novita'" di windowsME: la possibilita' di controllare
elettrodomestici tramite l' "Universal Plug and Play", vedi 
http://www.upnp.org/UPnPDevice_Architecture_1.0.htm
 
http://www.microsoft.com/italy/windowsme/guide/homenetworking/networking.htm#upnp
http://www.microsoft.com/homenet/upnp.htm
 
La porta 1900 corrisponde al servizio SSDP, quindi probabiblmente il
responsabile e' sempre SDPSRV.EXE  
Ti consiglio di disattivarlo tramite msconfig.exe
-- 
Lapalissiano
Icq 57269703

 quanto superfluo e potenzialmente pericoloso
Mah, c'e' solo la 1900 di strano. Hai qualcosa simil-napster? Il metodo e'
sempre lo stesso, ammazza tutti i programmi uno per uno e ogni volta rifai
il netstat, quando non la vedi piu' hai trovato il colpevole.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
cERCCHI VIRUSZZZ?    : 
http://viruz4lamers.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 il netstat, quando non la vedi piu' hai trovato il colpevole.
no, non ho nessun pogmamma simil-napster
perņ il proverņ il  tuo consiglio per capire da chi sono aperte quelle porte
grazie