Re: accessi DALLA port 80

On Wed, Jun 26, 2002 at 05:16:50PM +0200, Riccardo Ghiglianovich wrote:
> Jun 26 16:47:17 Stargate kernel: INGRESSO SU PORETE ALTE: IN=eth1 OUT= 
> MAC=00:50:ba:5c:ed:de:00:07:50:7e:67:e0:08:00 SRC=207.68.185.48 
> DST=Il.Mio.IP.Pubblico LEN=64 TOS=0x00 PREC=0x00 TTL=48 ID=24432 DF PROTO=TCP 
> SPT=80 DPT=3945 WINDOW=17027 RES=0x00 ACK URGP=0 

	A parte le PORETE... :)
	A me sembra che tu catturi un pacchetto che fa parte di una
	sessione di navigazione web.

> apparentemente, dal traceroute, l'IP sembra immerso nei meandri di MSN.

	E questo e` Male. :)

> E' possibile riuscire a chiarire la cosa, ad esempio capire (la butto li'...) 
> se vi e' un contatto partito  da una macchina interna  WIndows (oltre a Linux 
> abbiamo solo 98, niente XP 2000 NT) o che altro?

	Per me e` probabile che una delle tue macchine interne Win abbia
	fatto una connessione a questo ip sulla porta 80, ma non e`
	detto che la macchina remota parli poi HTTP su quella porta.
	Se ti vuoi togliere lo sfizio, 
	- dumpi al border tutto il traffico da/per quell'ip
	- lo filtri sul router
	In ogni caso, mi pare di capire che da te si possano aprire
	connessioni alla 80 anche _non_ attraverso il proxy, giusto?

ciao,
-- 
'Why do you close your eyes?' 'So that the room will be empty.'
zen@kill-9.it . Geek . And proud of it .
http://www.kill-9.it/jargon/html/entry/zen.html

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List