Fw: porte 1391 e 1392 in ascolto

ancora scuse per il client, ma quando non lavoro preferisco usare
windows... cosi' non mi viene la tentazione di "lavorare".. :-))

> fuser 1391/tcp (che come saprai individua il pid che sta usando la
porta)

nessun processo era attivo ad usare quella porta...
ne con fuser ne con un ps -A ho trovato niente...
e' per il fatto di non aver capito cosa potesse essere che mi sono
allarmato..
ma ci sta benissimo che non sia stato in grado di capirlo...
a volte pecco di "ansia" :-))

> lsof (che ti aiuta a capire molto di quello che succede sul sistema)

questo non l'ho usato purtroppo...

> netstat -an (che e' meglio di nmap localhost)
>

anche con netstat non sembrava esserci niente di strano, ma ho fatto
solo un nestat -ta, visto che la porta in scolta era una TCP... non
conosco bene la differenza tra i due comandi...
netstat mi dava anch'esso la porta in ascolto ma con un *.* dall'altra
parte...
presumo con nessuno connesso... o sbaglio?

> Se qualcuno dovesse esserti entrato sul sistema, chiaramente potrebbe
aver
> installato un rootkit e allora sarebbe piu' complicato per te capirci
> qualcosa.

avrebbe avuto pochissimo minuti... ma niente e' escluso..
solo che ho fatto molte prove e non si sono piu' aperte tali porte..
e in cron non ho ho niente di strano...

> Si parla cmq di 2 porte alte aperte: sei sicuro che non avevi nessuna
> connessione attiva (i.e. non stavi scaricando qualcosa tu?)?

avevo aperto balsa, fetchmail, netscape (ma in locale), bluefish e
icq...
non mi sembra... ma non lo escludo di avere una connessione attiva...

la cosa che mi e' risultata strana e' il fatto che tali porte si siano
aperte...
e che qualcuno, respinto dal firewall abbia cercato di accedere a tali
porte..
e cos'e' iclpv...

a questo punto mi domando:
non e' che un tentativo di intrusione in tali porte abbia provocato la
loro apertura?
scusate se le domande sono fuori luogo, ma sto andando ad ipotesi..

grazie per ogni aiuto

Corrado





________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List