Newsgroup: it.comp.sicurezza.windows
Titolo: netstat -na e listening

Salve a tutti sono un neofita.
Premesso ciň vorrei porre un quesito.
Se mentre sono connesso, da dos digito netstat -na e nel risultato appaiono
3/4 LISTENING, mi devo preoccupare ( qualcuno sta monitorando il mio PC o
altro ) oppure e' normale.
Nelle eventuali risoste , le che saranno benvenute e ben accette, per favore
usate termini terra terra (Vedi prefazione)
Grazie giŕ da ora

altro ) oppure e' normale.
In linea di massima e' normale, dipende pero' da quali sono le porte
in listening. Se usi un buon antivirus aggiornato hai sufficienti
garanzie che sia tutto in regola.
Leggi le 'network utilities for dummies' e le securfaq:
www.securfaq.usenet.eu.org
-- 
Lapalissiano
Icq 57269703

Grazie per la risposta.
Quali dovrebbero essere le porte in listening e quali no?
Non so se banale come domanda ma sii comprensivo su questa materia sono una
ZAPPA.
Un'ultima domanda, networks utilities for dummie's č uno di quei libri con
su disegnata una faccetta da scemo?
Grazie ancora

su disegnata una faccetta da scemo?
Non proprio :-) Le trovi qui: 
www.securfaq.usenet.eu.org/netutdum.txt
-- 
Lapalissiano
Icq 57269703

 Quali dovrebbero essere le porte in listening e quali no?
Vuoi essere sicuro? esegui netstat -na con il computer offline e appena
avviato... l'elenco dovrebbe essere vuoto!

Ciao a tutti,
Questo è quello che è venuto fuori da un netstat -na che ho fatto questa
sera...
chissà se qualche anima buona mi spiega qualcosa?
Connessioni attive
  Proto  Indirizzo locale   Indirizzo remoto   Stato
  TCP    
0.0.0.0:10000
 
0.0.0.0:0
       LISTENING
  TCP    
0.0.0.0:1467
 
0.0.0.0:0
       LISTENING
  TCP    
0.0.0.0:1468
 
0.0.0.0:0
       LISTENING
  TCP    mio ip:137    
0.0.0.0:0
      LISTENING
  TCP    mio ip:138    
0.0.0.0:0
      LISTENING
  TCP    mio ip:139    
0.0.0.0:0
      LISTENING
  TCP    mio ip:1467    
195.130.225.75:119
  ESTABLISHED
  TCP    mio ip:1468    
63.208.24.134:80
    ESTABLISHED
  TCP    
127.0.0.1:1341
 
0.0.0.0:0
        LISTENING
  UDP    
0.0.0.0:10000
          *:*
  UDP    mio ip:137       *:*
  UDP    mio ip:138       *:*
  UDP    
127.0.0.1:1341
         *:*
grazie di cuore a chi mi risponderà
e a chi non mi risponderà, sarà per la prossima
^__^
ciao
Momo®            ICQ# 76126232
_____________________________
- Chi nasce povero e brutto ha buone possibilità che, crescendo,
si sviluppino entrambe le condizioni.

   UDP    
127.0.0.1:1341
         *:*
La porta 1341 risulterebbe associata a QuBES = Quality-Based Execution
System Software -> 
http://www.creative-it.net/qubes_en.htm
 ... mah.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.tlc.provider.fastweb <| 
|>Togli/Remove .INVALID<|>_____ engineering && computers _____<|

   TCP    mio ip:138    
0.0.0.0:0
      LISTENING
Ah dimenticavo, trattandosi di un account in dialup da Tiscalinet (credo
da Alessandria, 
al1-92.dialup.tiscalinet.it
) che tu nascondi l'IP di cui
non frega niente a nessuno perche' tanto e dinamico, e' perfettamente
inutile.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 inutile.
...naturale, solo che sarei rimasto connesso ancora molto a lungo dopo aver
spedito il messaggio al server del NG, ergo...
grazie comunque anche a te
Momo®
____________________________
Il sonno della ragione genera mostri.
  (Socrate)

Grazie mille
questa č stata una risposta molto preziosa, mi hai aiutato molto a capire
grazie ancora e a buon rendere
MomoŽ


 capire
Prego :D -> avevo cmq tralasciato di segnalarti i primi servizi aperti
su tutte le interfacce, perche' mi erano sembrati legati ad applicazioni
note/sicure :
* TCP    
0.0.0.0:10000
 
0.0.0.0:0
       LISTENING
La porta 10000 su TCP/UDP e' utilizzata da NDMP = Network Data 
Management Protocol - 
http://www.ndmp.org/
 - per caso stai utilizzando
un prodotto Network Appliance - 
http://www.netapp.com/products/
 - oppure
un altro prodotto che usi tale protocollo... ?
* TCP    
0.0.0.0:1467
 
0.0.0.0:0
       LISTENING
La porta 1467 su TCP/UDP e' utilizzata da CSDMBASE.
* TCP    
0.0.0.0:1468
 
0.0.0.0:0
       LISTENING
La porta 1468 su TCP/UDP e' utilizzata da CDSM, che *NON* e' il "Centro
di Documentazione e Studi sulla Musicoterapia" [:D]... ma piuttosto
potrebbe essere :
==
- Cobra Dane System Modernization
- C**** Dynamic Simulation Model


 ...toppato di brutto
Non moriro' certo per questo ne' sono tenuto a perdere tempo per cercare
di dove sei.


ascolto prima di connettersi ad Internet
Modificherei: eseguire il controllo SUBITO DOPO essersi connessi ma SENZA
avviare alcun programma di navigazione.
Anzi: eseguire il controllo PRIMA di connettersi e poi SUBITO DOPO, e poi
quando uno vuole.
Se fra il controllo PRIMA e il SUBITO DOPO si aprono porte, e' un qualche
programma furbetto, che alza il capino SOLO se vede che il modem e' stato
attivato. L'unico che mi viene in mente, ma sono sicuro di averne visti e
sbudellati una mezza dozzina, e' CondDsk di MenokaScript 4, un FTP server
occulto che aveva l'aria di consentire a terzi di farti dei danni.
Senza modem attivo, o con connessione via rete o ADSL, la porta 21 era in
letargo profondo. Ma appena il modem andava su, ZAC!, porta 21 in listen.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 SENZA avviare alcun programma di navigazione.
Grazie per il richiamo 'o mio signore e maestro' :D -> scherzi a parte,
da buon paranoico [quale sono] non l'avevo certo escluso = il controllo
prima della connessione consente di rilevare eventuali trojan/backdoor
in ascolto... quello subito dopo di scovare sia programmi maliziosi e
vigili che 
p.es
. spyware.
Avevo quindi solo scritto quella frase per avvisare che, prima di farsi
venire un infarto, vedendo n servizi in ascolto durante la connessione,
convenga fare il controllo gia' prima di collegarsi. Avrei dovuto pero'
precisare di mantenere un monitoraggio anche durante la connessione,
ma probabilmente pagavo una certa stanchezza dovuta all'ora...
Grazie quindi per la precisazione.


 - C**** Dynamic Simulation Model
...ah! ...mah?!
mi informerò a dovere.
grassie nè
^__^


 vigili che 
p.es
. spyware.
...be, normalmente uso ZA, ben settato: penso che qualcosa di buono in
questo faccia anche lui no?


 di dove sei.
...e chi se ne frega
MomoŽ
______________________________________________
- Se cerchi una mano disposta ad aiutarti, la trovi alla fine del
tuo braccio.

 avviato... l'elenco dovrebbe essere vuoto!
L'ho fatto e mi ha dato in listening le porte 135 1026 137 138 139
tra l'altro delle volte al posto della 1026 mi da' 1025
Che vuol dire?

 tra l'altro delle volte al posto della 1026 mi da' 1025
135 - TCP/UDP - epmap = DCE Endpoint Resolution
Ossia il mapper dell'endpoint che e' gestito dal servizio :
- RPC (Remote Procedure Call)
Se il tuo computer e' accessibile all'interno di una rete locale, va
lasciato attivo il servizio che la utilizza.
137 - TCP/UDP - netbios-ns  = NETBIOS Name Service
138 - TCP/UDP - netbios-dgm = NETBIOS Datagram Service
139 - TCP/UDP - netbios-ssn = NETBIOS Session Service
Netbios rulez = se non utilizzi NetBios sull'interfaccia WAN, puoi anche
disabilitarlo -> per trovare la procedura, adatta al tuo OS, puoi andare
su 
http://grc.com/su-bondage.htm
 .
1025 - TCP/UDP e' la prima porta utilizzata dal sistema operativo per
connessioni in uscita e.g. DNS di una connessione remota.
1026 - TCP/UDP e' una porta appartenente all'intervallo 1026-1029 senza
indicazioni precise di utilizzo, che i sistemi Windows utilizzano per
vari servizi.


 mi informerň a dovere.
Nel frattempo ho reperito ulteriori informazioni, soprattutto in merito
alla porta 10000 = su 
http://www.simovits.com/trojans/trojans.html
 
risulta che tale porta puo' essere utilizzata anche da OpwinTRojan :
==
- 
http://www.simovits.com/trojans/tr_data/y952.html
Controlla pertanto se vi siano eventuali riferimenti sia nel registro 
che nei file di sistema del tuo OS Windows.
Visto che hai ZoneAlarm potresti controllare quale applicazione stia
utilizzando la porta 10000 ed anche le 1467/1468.


 dei numeri di porta - 
http://www.iana.org/assignments/port-numbers
 :D .
...denghiu
^__^
ciao
Momo®            ICQ# 76126232
_____________________________
Dalle persone di cui mi fido mi difenda dio,
Da quelle di cui non mi fido, me ne difenderò da solo.
[graffito in una cella di un carcerato inquisito dal Consiglio dei Dieci,
(Venezia, XVIII sec.)]

 ...e chi se ne frega
Cio' ti da' diritto ad un giro gratuito su i.f.q ed al *PLONK*


 ...ReGet 1.8
...accidenti, secondo quanto compare qui
http://www.infoforce.qc.ca/spyware/enknownlistfrm.html
ReGet č uno spyware
...tristezza
(cercasi dunque un altro download manager, ...che non sia GetRight)
grazie e ciao
MomoŽ            ICQ# 76126232
_____________________________
- Chi nasce povero e brutto ha buone possibilitŕ che, crescendo,
