Newsgroup: it.comp.sicurezza.windows
Titolo: Porte, accessi boh !! netstat -snap tcp???

Qualcuno sa spiegarmi il significato dei dati riportati da netstat
-snap tcp??? 
Grazie
TCP Statistics
  Active Opens                        = 8
  Passive Opens                       = 0
  Failed Connection Attempts          = 0
  Reset Connections                   = 2
  Current Connections                 = 0
  Segments Received                   = 1498
  Segments Sent                       = 1670
  Segments Retransmitted              = 5
Active Connections
  Proto  Local Address          Foreign Address        State

   Failed Connection Attempts          = 0
     /\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\
su questo la FAQ dice: "Il valore della riga sottolineata corrisponde al
numero di porte aperte scansionate dall'esterno (solo per le porte aperte e'
possibile sapere se sono state scansionate)".
Cio' vuol dire che qualcuno ha cercato qualche server su quelle porte? Se
si, c'e' modo di sapere chi e' stato? (l'ip naturalmente) A fine connessione
io ho sempre una decina di Failed Connection Attempts.
--
Cristiano at 
http://members.xoom.it/Kristby
 (icq#58355089)
<indirizzo e-mail alterato contro lo spam>
/\/\/\/\/\
non ragioniam di lor, ma guarda e passa

possibile sapere se sono state scansionate)".
Ci dev'essere un errore. Quelli sono tentativi di connessione TUOI falliti,
per esempio, se navighi su 
www.tin.it:777
 tre volte, vedi che ti aumenta di
tre (questo se navighi senza proxy, ovviamente; e altrimenti ti colleghi al
proxy, e aumenti il numero delle SUE connessioni fallite :-) ).
"Passive Opens" e' il numero di porte scansionate dall'esterno. Per esempio
questo e' il mio netstat -snap tcp:
  Active Opens                        = 980
  Passive Opens                       = 1
  Failed Connection Attempts          = 5
Ora cerco di collegarmi a questo PC dall'esterno, alla porta 22, che so che
e' chiusa, e ottengo:
  Active Opens                        = 980
  Passive Opens                       = 1
  Failed Connection Attempts          = 5
Mi collego alla 139, che e' aperta, e ottengo:
  Active Opens                        = 980
  Passive Opens                       = 2
  Failed Connection Attempts          = 5
Dal mio PC mi collego ad un altro PC sulla porta 139, che e' chiusa, e ho:
  Active Opens                        = 980
  Passive Opens                       = 2
  Failed Connection Attempts          = 6
Mi collego alla porta 80 del remoto, che e' aperta, con Netscape: ottengo
  Active Opens                        = 983
  Passive Opens                       = 2
  Failed Connection Attempts          = 6
Leonardo
".signature": bad command or file name


wrote:


che c'è un accesso riuscito al ns pc ?
Esatto. Un accesso passivo (cioe', il TUO PC ha offerto connettivita', e
qualcuno se l'e' presa) e' causato tipicamente da FTP o da backdoors.
FTP, perche' a differenza di quasi tutti gli altri protocolli umani, FTP
utilizza DUE connessioni; delle quali, una e' uscente come tutte, mentre
l'altra e' ENTRANTE, su una porta sempre variabile.
Percio' quando tu ti colleghi a 
ftp.ornitorinchi.org
 e scarichi un file,
si verifica:
	a) Una connessione ATTIVA riuscita in cui passa:
		Hello user at 
soassai.it
, you are user 35 out of 250.
		Enter name: anonymous
		Enter email: 
sa...@chettenefrega.it
		Login anonymous OK, access restrictions apply.
		CD PUB
		CWD OK
		CD IMAGES
		CWD OK
		TYPE IMAGE
		Type set to I
		HASH
		Hash mark ON
		PORT 192,168,0,10,12345
		RETR ornitorinco.jpg
	b) Una connessione PASSIVA in cui il server si connette, come tu
	   gli hai ordinato, al tuo indirizzo IP (192.168.0.10), ed alla
	   porta 12345, e invia alla cieca il file ornitorinco.jpg.
Tra l'altro, se avessi Conseal o Netbuster, vedrebbero una connessione a
*:12345, penserebbero che e' Netbus, e tu non riceveresti mai quel JPG.
;-)
<!-- Qui Sara puo' smettere di leggere ;-) -->
{E per tutti coloro che si stanno domandando: "Che succede se io immetto
un indirizzo IP che NON E' IL MIO?" la risposta e': succede proprio quel
che vi aspettate. Il sito FTP si collega all'IP che avete dato, porta da
voi specificata, e manda alla cieca il file richiesto, che potrebbe pure
essere un file che avete appena uploadato VOI, contenente comandi telnet
o peggio, e nessuno vieta di specificare come numero di porta 25, il che
consente di spedire mail anonime, avete presente? MAIL TO, DATA, ..., .,
quella roba li'. Se il server FTP e il SMTP sono nella stessa sottorete,
il server SMTP vede il server FTP come host autorizzatissimo al relay.
+++
Va da se' che questa non e' la scoperta dell'Am3rika, e che il server (e
questo mi sa che non ve l'ho detto <grin>) usa una porta ben precisa per
connettersi alla porta 25 del nemic^H^H^H^H^H PC remoto. Per cui, se io,
amministratore, mi vedo una connessione dalla porta ftp-data di un host,
nella _remota_ eventualita' che non l'abbia gia' firewallata, mi incazzo
come una faina, mi rivolgo all'amministratore del sito FTP e prima o poi
vi vengo a casa con una robusta spranga}


l'altra e' ENTRANTE, su una porta sempre variabile.
Ne deduco che FTP è un protocollo "disumano" ? può essere pericoloso?
come si fa ad evitare FTP?
Ciao.
	Sara

Ne deduco che FTP è un protocollo "disumano" ? può essere pericoloso?
No, e' solo fatto male. IMHO. Per riuscire a fare forwarding/masquerading
del protocollo FTP, bisogna sputare veleno.
Pericoli, dal tuo punto di vista, non ne presenta.


 come si fa ad evitare FTP?
Cioe', funziona cosi':
Tuo PC (>1024) ===> SERVER (21)    - Dove tu invii i comandi al server e il
                                     server ti manda le risposte
SERVER (20)    ===> Tuo PC (>1024) - Che serve al server (^_-) per mandarti
                                     il file richiesto
mentre di solito i protocolli sfruttano una sola connessione, es 80 -> >1024
(HTTP), 110 -> >1024 (posta in arrivo), >1024 -> 12345 (Netbus).
-- 
[che ci scrivo ora???]
----------------------------------------ICQ: 14816698----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it