oneof1 wrote:Tuesday February 08, 2005 20:01:12 Unrecognized attempt blocked from *:1966 to ** TCP:139
Tuesday February 08, 2005 20:01:18 Unrecognized attempt blocked from *:3344 to ** TCP:445
Tuesday February 08, 2005 20:22:42 Unrecognized attempt blocked from *:1099 to ** TCP:445
ach ja, böse ports und recht witzige liste hinterher. no offense, aber diese liste ist zusammengesucht ohne jegliche beachtung von fakten.
erstmal ein paar sachen über ports:
nehmen wir an euer computer ist ein haus, dann ist die ip die hausnummer und die ports sind die klingeln die unten an der tür hängen und von 1-65535 durchnummeriert sind. was da nun in deinem log ist sind gesendete pakete. stellen wir uns das vor wie ein postbote der ein paket zur tür bringt und dann klingelt, es geschieht nun eine von 4 verschiedenen sachen:
1. nichts passiert, keine reaktion, das heisst die wohnung ist entweder unbewohnt(kein programm ist dort am laufen) oder das haus hat eine intelligente firewall am laufen, die die den postboten abfängt bevor er klingelt und ein entsprechendes programm reagieren kann
2. es kommt eine nachricht zurück "hier ist niemand", das passiert wenn man ne dumme firewall am laufen hat, dies ist insofern schlimm, als dass sich gewisse trojaner dann eingeladen fühlen mal eben de gesamten computer zu checken oder zu flooden, was sich dann aufgrund der "hier ist niemand"-antworten sehr negativ im upload bemerkbar macht und die internetverbindung blockiert. im ernstfall kann der trojaner auch eine weitere ungeschützte lücke entdecken. (passiert für gewöhnlich nicht, wenn windows ausreichend gepatcht ist)
3. es wird eine nachricht zurückgeschickt "ja ich bin hier, aber keine ahnung was das paket soll", dies kommt zustande, wenn zwar ein programm am laufen ist, aber es nicht das programm ist was der sender erwartet hat und damit das eingesandte paket nicht verarbeiten kann.
4. es wird das paket verarbeitet und ein entsprechendes paket zurückgeschickt, d.h. alles ist ok, das korrekte programm war am laufen
dazu muss man dann noch wissen, dass die absenderports generell eher zufällig sind und keinen wirklichen hinweis auf den absender bieten.
schauen wir uns nun obiges beispiel an:
3 verschiedene absenderports -> ausser acht zu lassen, da zufällig
1 zugriff auf 139, was haben wir da am laufen?
n haufen zeugs könnte da laufen, aber da ich mal winxp annehme, weiss ich dass da folgendes läuft:
netbios-ssn 139 tcp NETBIOS Session Service
das ist ein dienst der den normalen windows-netzwerk-client darstellt und auch shared folder etc freigibt
im schlimmsten fall hat da ein programm versucht deine netzwerkfreigaben zu erschnüffeln, ist aber an der firewall gescheitert
lösung ohne firewall: den namen des administrator-accounts auf einen anderen namen als "Administrator" ändern und ein passwort einstellen, des weiteren keine netzwerkfreigaben mit der berechtigung "Jeder" einrichten, sondern nur "Authentifizierte Benutzer"
dann waren da noch 2 zugriffe auf 445, mal schauen, oh pöse, sasser wurm vermutet... also, im moment im laufzeitbetrieb mit port offen da? unwahrscheinlich
punkt 1: wenn der sasser wurm wirklich als trojaner aktiv an dem port wartet, hätte dein virenscanner das längst bemerkt
punkt 2: da laufen noch andere windows-services, die einzigen beiden gelisteten services sind unter win2k mit der netzwerkfreigabe beauftragt, falls also win2k auf dem rechner ist, oben genannte schritte unternehmen und sicher is die kiste
bei winxp läuft dort die lsass.exe die verschiedene dienste mit der netzwerksicherheit verwaltet, nachzulesen hier:
http://www.blackviper.com
nur gefährlich, wenn das system ungepatcht ist und zu windows patchen teile ich spookys meinung, da diese nur ausgeschaltet sind, wenn man es selbst tut
es kann also niemand mit ungepatchtem windows behaupten, es wäre nicht seine schuld
fazit: gefährliches halbwissen führt zu einer überschätzung der tatsächlichen gefahr, was zu einem kaufrausch an sicherheitsutensilien führt, was die industrie begeistert, yay
