Stranica: 1/1.
Par pitanja o portovima
Postano: 28 pro 2009, 12:01
Postao/la madone
jedno ili dva, tri pitanjca
Provjeravao sam otvorene portove
$ sudo nmap -sT -O localhost
[sudo] password for madone:
Starting Nmap 5.00 (
http://nmap.org ) at 2009-12-28 11:35 CET
Warning: Hostname localhost resolves to 2 IPs. Using 127.0.0.1.
Interesting ports on localhost (127.0.0.1):
Not shown: 996 closed ports
PORT STATE SERVICE
25/tcp open smtp
139/tcp open netbios-ssn
445/tcp open microsoft-ds
3306/tcp open mysql
i onda u conkyju pod Inbound Local Service/Port vidim
163.216.broadbend10.lol.cz port:20003
i napravim provjeru na ovoj stranici
https://www.grc.com/x/portprobe=20003 i dobijem potvrdu da je otvoren port 20003
Probao sam whois ali ništa ne kaže, pretpostavljam da je to nekakva adresa od mog ISP....
1. Kako to da se taj port sam otvorio ?
2. Koja je razlika između Local Service/Port i Remote Service/Port ?
Local Service/Port u conkyju rijetko ima otvoreni port dok Remote ima stalno.
3. I zašto se u postavkama conkija koriste samo određeni portovi za skeniranje recimo za
Inbound: ${tcp_portmon 1 32767 count}
i
Outbound: ${tcp_portmon 32768 61000 count}
#Edit
U međuvremenu se otvorio isti port 20003 ali sa adresom 92.99.72.33 , pa sam provjerio whois i kaže
Kod: Označi sve
whois 92.99.72.33
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf
% Note: This output has been filtered.
% To receive output for a database update, use the "-B" flag.
% Information related to '92.99.72.0 - 92.99.79.255'
inetnum: 92.99.72.0 - 92.99.79.255
netname: ETISALATADSL-EMIRNET
descr: Emirates Telecommunications Corporation
descr: P O Box 1150, Dubai, UAE
country: AE
admin-c: AK915-RIPE
tech-c: AK915-RIPE
status: ASSIGNED PA
mnt-by: ETISALAT-MNT
source: RIPE # Filtered
person: Arif Khalid
address: Emirates Telecommunications Corporation
address: P O Box 1150, Dubai, UAE
phone: +971 800 6100
fax-no: +971 4 2959876
e-mail: lir@nic.ae
remarks: For any kind of abuse orignating from our network please
remarks: email abuse@emirates.net.ae
nic-hdl: AK915-RIPE
mnt-by: ETISALAT-MNT
source: RIPE # Filtered
Re: Par pitanja o portovima
Postano: 28 pro 2009, 12:42
Postao/la glaskoncILLa
1) nmap ti je radio scan na 127.0.0.1 sto nije isto kao da ti je radio na ipu na interfaceu, a port se otvori cim pokrenes neki servis koji slusa na tom portu.
2) ovaj dio sa conkyem bas ne kuzim, osim ako conky ne radi neku vezu sa nekom masinom na internetu. Local Service/Port je port/servis na tvom kompu, a remote je na onom sa kojim ostvarujes vezu, conky to vjerovatno cupa iz netstata ili slicno. dakle ako otvoris google i puknes netstat -ta u terminal, vidjeti ces lokalni servis sa nekim visokim dinamickim portom da je spojen sa googlom na portu 80.
3) nisam skuzio pitanje.
Re: Par pitanja o portovima
Postano: 28 pro 2009, 13:44
Postao/la madone
glaskoncILLa je napisao/la:1) nmap ti je radio scan na 127.0.0.1 sto nije isto kao da ti je radio na ipu na interfaceu, a port se otvori cim pokrenes neki servis koji slusa na tom portu.
Ja nisam pokretao nikakav servis u tom trenu kad se otvorio port jedino ako nije nešto automatsko. Dali bi mogao provjeriti koji servis koristi taj portu, kako ?
Napravio sam i provjeru svog IP, i skoro je isti kao localhost - msql
Kod: Označi sve
$ sudo nmap -sT -O 94.253.193.192
[sudo] password for madone:
Starting Nmap 5.00 ( http://nmap.org ) at 2009-12-28 12:46 CET
Interesting ports on cpe-94-253-193-192.zg2.cable.xnet.hr (94.253.193.192):
Not shown: 997 closed ports
PORT STATE SERVICE
25/tcp open smtp
139/tcp open netbios-ssn
445/tcp open microsoft-ds
glaskoncILLa je napisao/la:dakle ako otvoris google i puknes netstat -ta u terminal, vidjeti ces lokalni servis sa nekim visokim dinamickim portom da je spojen sa googlom na portu 80.
ne vidim to ni port ni google
Kod: Označi sve
$ sudo netstat -ta 94.253.193.192
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:7634 *:* LISTEN
tcp 0 0 *:smtp *:* LISTEN
tcp 0 0 localhost:58846 *:* LISTEN
tcp 0 0 *:20003 *:* LISTEN
tcp 0 0 *:40 *:* LISTEN
tcp 0 0 localhost:62025 *:* LISTEN
tcp 0 0 localhost:mysql *:* LISTEN
tcp 0 0 *:59179 *:* LISTEN
tcp 0 0 cpe-94-253-193-19:52465 ns209.t-com.hr:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:50615 213.202.112.19:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:42011 checkip.dyndns.com:www TIME_WAIT
tcp 0 0 cpe-94-253-193-19:39678 fx-in-f147.1e100.:https ESTABLISHED
tcp 0 0 cpe-94-253-193-19:45829 fx-in-f18.1e100.n:https ESTABLISHED
tcp 0 0 cpe-94-253-193-19:39098 208.43.202.33-stati:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:40771 213.202.112.18:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:44696 by2msg4030117.phx.:msnp ESTABLISHED
tcp 0 0 cpe-94-253-193-19:33792 fx-in-f103.1e100.ne:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:39595 fx-in-f147.1e100.:https ESTABLISHED
tcp 1 0 cpe-94-253-193-19:60325 fx-in-f105.1e100.:https CLOSE_WAIT
tcp 0 0 cpe-94-253-193-19:55043 fx-in-f100.1e100.ne:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:41998 checkip.dyndns.com:www TIME_WAIT
tcp 0 0 cpe-94-253-193-19:33235 fx-in-f138.1e100.ne:www FIN_WAIT2
tcp 0 0 cpe-94-253-193-19:41954 checkip.dyndns.com:www TIME_WAIT
tcp 0 0 cpe-94-253-193-19:40782 213.202.112.18:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:51541 fx-in-f132.1e100.ne:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:42863 bw-in-f139.1e100.ne:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:42863 bw-in-f139.1e100.ne:www ESTABLISHED
tcp 1 0 cpe-94-253-193-19:39879 fx-in-f104.1e100.:https CLOSE_WAIT
tcp 0 0 cpe-94-253-193-19:51540 fx-in-f132.1e100.ne:www ESTABLISHED
tcp 1 0 cpe-94-253-193-19:40307 fx-in-f104.1e100.:https CLOSE_WAIT
tcp 0 0 cpe-94-253-193-19:33616 mg-in-f125.:xmpp-client ESTABLISHED
tcp 0 0 cpe-94-253-193-19:49275 holmes.freenode.ne:ircd ESTABLISHED
tcp 0 0 cpe-94-253-193-19:55002 fx-in-f100.1e100.ne:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:40828 89.201.164.88:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:45791 aneliad.pppoe.fib:54591 ESTABLISHED
tcp 0 0 cpe-94-253-193-19:39596 fx-in-f147.1e100.:https ESTABLISHED
tcp 0 0 cpe-94-253-193-19:33786 fx-in-f103.1e100.ne:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:37510 fx-in-f113.1e100.ne:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:40766 213.202.112.18:www ESTABLISHED
tcp 38 0 cpe-94-253-193-19:59138 174.36.30.67-stat:https CLOSE_WAIT
tcp 0 0 cpe-94-253-193-19:33254 fx-in-f138.1e100.ne:www ESTABLISHED
tcp 0 0 cpe-94-253-193-19:33617 mg-in-f125.:xmpp-client ESTABLISHED
tcp 0 0 cpe-94-253-193-19:55006 fx-in-f100.1e100.ne:www ESTABLISHED
tcp 1 0 cpe-94-253-193-19:46677 fx-in-f105.1e100.:https CLOSE_WAIT
tcp 38 0 cpe-94-253-193-19:60429 174.36.30.66-stat:https CLOSE_WAIT
tcp6 0 0 [::]:microsoft-ds [::]:* LISTEN
tcp6 0 0 [::]:40 [::]:* LISTEN
tcp6 0 0 [::]:59179 [::]:* LISTEN
tcp6 0 0 [::]:netbios-ssn [::]:* LISTEN
glaskoncILLa je napisao/la:2) ovaj dio sa conkyem bas ne kuzim, osim ako conky ne radi neku vezu sa nekom masinom na internetu
Ovaj dio u conkyju mi pokazuje otvorene portove i tu je određeno koliko kužim da skenira Lokalne portove od ${tcp_portmon 1 32767 count} a Remote ${tcp_portmon 32768 61000 count}. Nekak bi mi bilo logično da u oba dva slučaja skenira sve portove.
Kod: Označi sve
${voffset -7}${color green} Inbound: ${tcp_portmon 1 32767 count} ${alignr} Local Service/Port$color
${tcp_portmon 1 32767 rhost 0} ${alignr}${tcp_portmon 1 32767 lservice 0}
${tcp_portmon 1 32767 rhost 1} ${alignr}${tcp_portmon 1 32767 lservice 1}
${tcp_portmon 1 32767 rhost 2} ${alignr}${tcp_portmon 1 32767 lservice 2}
${tcp_portmon 1 32767 rhost 3} ${alignr}${tcp_portmon 1 32767 lservice 3}
${tcp_portmon 1 32767 rhost 4} ${alignr}${tcp_portmon 1 32767 lservice 4}
${tcp_portmon 1 32767 rhost 5} ${alignr}${tcp_portmon 1 32767 lservice 5}
${color green} Outbound: ${tcp_portmon 32768 61000 count} ${alignr} Remote Service/Port$color
${tcp_portmon 32768 61000 rhost 0} ${alignr}${tcp_portmon 32768 61000 rservice 0}
${tcp_portmon 32768 61000 rhost 1} ${alignr}${tcp_portmon 32768 61000 rservice 1}
${tcp_portmon 32768 61000 rhost 2} ${alignr}${tcp_portmon 32768 61000 rservice 2}
${tcp_portmon 32768 61000 rhost 3} ${alignr}${tcp_portmon 32768 61000 rservice 3}
${tcp_portmon 32768 61000 rhost 4} ${alignr}${tcp_portmon 32768 61000 rservice 4}
${tcp_portmon 32768 61000 rhost 5} ${alignr}${tcp_portmon 32768 61000 rservice 5}
glaskoncILLa je napisao/la:Local Service/Port je port/servis na tvom kompu, a remote je na onom sa kojim ostvarujes vezu
Ako sam te dobro shvatio Local pokazuje moje otvorene portove a Remote portove na koje se spajaju moji servisi/portovi ?
1. Zašto onda u conkyju ne vidim te svoje portove/servise (od firefoxa, pidgina, thundera....) pod Local a vidim ih po Remote ?
Re: Par pitanja o portovima
Postano: 28 pro 2009, 14:31
Postao/la glaskoncILLa
sto se tice googla, to je bio samo primjer, netstat -ta ce ti pokazati samo aktivne konekcije, dakle ako se u tom trenutku nista ne dogadja, nema ni aktivne konekcije.
ali vidis da ti je prikazao sve aktivne konekcije na neke http, https, msn i bla servise.
sto se tice porta 20003, iana kaze da je to rezervirano za Commtact HTTPS, stogod to bilo.
u stavrnosti to moze biti bilo sto i otvoriti ce se kad se pokrene taj servis/konekcija.
sto se dogadja po tom portu sa sigurnoscu mozes utvrditi jedino nekim snifferom, tcpdump-om ili jos bolje wiresharkom.
takodjer sa lsof-om mozes vidjeti koji proces slusa na kojem portu (lsof -i :
port ako se dobro sjecam, ako ne, man
), dakle mozes vidjeti sa kojom komandom i koji user je pokrenuo to sto slusa na 20003.
zasto u conkyu ne vidis lokalne portove, nemam pojma, nemam pojma kako conky radi.
Re: Par pitanja o portovima
Postano: 28 pro 2009, 18:20
Postao/la madone
Promijenio sam postavke u conkyju, da skenira i Local i Remote od 1 - 65535.
Sad pokazuje u Local broj porta a u Remote ime servisa (po postavkama trebao bi prikazati u oba dva slučaja ime servisa ali iz nekog razloga pod Local prikazuje broj porta, vjerovatno mu je ne dostupno ime servisa) te podatke izvlači iz /etc/services
Imam još jedno 100 pitanja ak nije bad
,
Kako to da nmap ne pokazuje sve portove koji se vide u netstat nego samo netbios-ssn, microsoft-ds, smtp,
prvo sam pomislio da nmap pokazuje samo one koji slušaju ali u netstat-u se vidi da ih ima još koji slušaju npr. 7634,40, 20003.
Kaže man nmap - Network exploration tool and security / port scanner a on ne vidi sve portove
1. U biti pitanje je zašto nmap ne pokazuje sve portove kao netstat nego samo netbios-ssn, microsoft-ds, smtp ? Ne treba sve u detalje ali da ih bar nabroji, to mi nije jasno
Kod: Označi sve
$ sudo nmap -sT -O 94.253.198.101
[sudo] password for madone:
Starting Nmap 5.00 ( http://nmap.org ) at 2009-12-28 17:05 CET
Interesting ports on cpe-94-253-198-101.zg2.cable.xnet.hr (94.253.198.101):
Not shown: 997 closed ports
PORT STATE SERVICE
25/tcp open smtp
139/tcp open netbios-ssn
445/tcp open microsoft-ds
madone@madone-desktop:~$ sudo netstat -ta 94.253.198.101
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:7634 *:* LISTEN
tcp 0 0 *:smtp *:* LISTEN
tcp 0 0 *:20003 *:* LISTEN
tcp 0 0 *:40 *:* LISTEN
tcp 0 0 localhost:mysql *:* LISTEN
tcp 0 0 cpe-94-253-198-10:41392 ppp85-141-88-197.:35961 ESTABLISHED
tcp 0 0 cpe-94-253-198-10:57590 fx-in-f105.1e100.:https ESTABLISHED
tcp 0 0 cpe-94-253-198-10:32870 checkip.dyndns.com:www TIME_WAIT
tcp 0 0 cpe-94-253-198-10:42920 208.43.202.33-stati:www ESTABLISHED
tcp 1 0 cpe-94-253-198-10:60259 fx-in-f104.1e100.:https CLOSE_WAIT
tcp 0 0 cpe-94-253-198-10:57591 fx-in-f105.1e100.:https ESTABLISHED
tcp 38 0 cpe-94-253-193-19:59138 174.36.30.67-stat:https CLOSE_WAIT
tcp 0 0 cpe-94-253-198-10:32843 checkip.dyndns.com:www TIME_WAIT
tcp 38 0 cpe-94-253-193-19:60429 174.36.30.66-stat:https CLOSE_WAIT
tcp6 0 0 [::]:microsoft-ds [::]:* LISTEN
tcp6 0 0 [::]:40 [::]:* LISTEN
tcp6 0 0 [::]:netbios-ssn [::]:* LISTEN
Re: Par pitanja o portovima
Postano: 28 pro 2009, 18:59
Postao/la glaskoncILLa
ovo sa /etc/services si dobro pohvatao, ali postoji razlika izmedju nmap-a i netstata i tvog kompa i web servera.
dakle nmap radi ( razne ) probe da bi otkrio koji servisi su dostupni, odnosno koji servisi slusaju na odredjenoj ip adresi. konkretno sa ovim sto si upisao nmap skenira servise koji rade na tcp-u, iako nmap moze to isto i za udp servise.
kada nesto "slusa" na odredjenom portu to je uglavnom server iz server/klijent situacije ( ne nuzno uvijek, ali to je neka druga prica, zasad recimo da je tome tako), dakle po onom sto si odskenirao na vlastititom ip-u se vidi da imas podignut nekakav mail server i sambu (server ), dakle ti si mail i samba server.
i to nema nikakve veze sa konekcijama, ti das nmap-u ip, on ga odskenira i kaze ti koji su servisi dostupni na tom ip-u.
zapravo on odskenira portove koji su otvoreni/slusaju/cekaju klijentsku konekciju i pogleda u /etc/services sto je zapisano za taj port i na taj nacin ti odgovori sto ne mora uvijek biti tocno, recimo ti mozes reci web serveru da http ne slusa na 80, nego na 25 i nmap ce ti to prijaviti kao mail server ( smtp ).
e sad klijent/server prica, kada ti zelis vidjeti neku web stranicu, zahtijev krece sa nekakvog tvog dinamicki alociranog porta ( to znaci da se recimo random bira ) prema web serveru na port 80, osim ako mu nije drugacije receno.
dakle tvoj browser zna da je defaultni port za http 80 i ako mu drugacije ne naznacis, on ce uputiti zahtjev na ip adresu web servera na port 80 i to je ono sto vidis u netstat, popis aktivnih konekcija ukljucujuci i one koje si uspostavio i kao klijent i kao server.
ili obrnuto, ako neka konekcija nicim izazvana dodje na tvoj komp na neki random port, komp ce ju odbaciti jer ne zna sta bi sa njom, zato ti nmap nece pokazati sve one portove koji su navedeni u netstat.
e sad, nisu sve situacije client/server, situacija moze biti i peer-to-peer, sto je jel najpoznatije iz torrenta, ali nije izmisljeno sa torrentima niti se samo tamo koristi.
u tom modelu ti si zapravo i klijent i server, dakle i slusas zahtjeve i zahtjevas i vjerujem da je tu negdje prica sa ovim conkyem, dakle ti se spojis na nekog i netko se spoji na tebe i zato ti komp pocne slusati na tom portu.
sto se tocno dogodi, nemam pojma, to ces morati sam otkriti.
Re: Par pitanja o portovima
Postano: 29 pro 2009, 00:46
Postao/la madone
Hvala, lijepo si objasnio. Da sam to guglao tri dana bi mi trebala da sve to skužim.
Što se tiče portova, sve sam programe ugasio(skype, pidgin...) da smanjim broj portova i provjerio portove sa netstat ostalo ih je samo par komada a oni su ustvari dyndns koji provjerava IP i par googl-ovih IP adresa koje traži gnome-do.
Pogledao sam te IP sa wiresharkom (ne kužim filtere nego scroll
i nema ništa interesantno. To je bilo za očekivat pošto je adresa
http://www.google.hr
Jedino nisam provjerio checkip.dyndns.com sa netstat jer prebrzo mijenja port. Ali stalno je prisutna ta adresa, nisam mislio da se tako često refresh-a
Bar sam skužio malo portove, razlike između port-ova server/klijent, nmap/netstat i lsof
Kod: Označi sve
$ sudo netstat -ta 94.253.191.43
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:7634 *:* LISTEN
tcp 0 0 *:smtp *:* LISTEN
tcp 0 0 *:40 *:* LISTEN
tcp 0 0 localhost:mysql *:* LISTEN
tcp 0 0 cpe-94-253-191-43:48333 fx-in-f104.1e100.:https ESTABLISHED
tcp 1 0 cpe-94-253-191-43:54220 fx-in-f99.1e100.n:https CLOSE_WAIT
tcp 1 0 cpe-94-253-191-43:50817 fx-in-f104.1e100.:https CLOSE_WAIT
tcp 0 1 192.168.1.4:49027 74.125.13.161:www FIN_WAIT1
tcp 0 0 cpe-94-253-191-43:53421 checkip.dyndns.com:www TIME_WAIT
tcp 0 0 cpe-94-253-191-43:53421 checkip.dyndns.com:www TIME_WAIT
tcp6 0 0 [::]:microsoft-ds [::]:* LISTEN
tcp6 0 0 [::]:40 [::]:* LISTEN
tcp6 0 0 [::]:netbios-ssn [::]:* LISTEN
