Help - Search - Members - Calendar
Full Version: RPC anluten?
SweRAT > Datasäkerhet > Sårbarheter och intrång
LJB
Abo!

Körde en Netstat -b -n nyss och fann det här:

CODE
TCP    192.168.0.2:135        61.233.150.48:1104     ESTABLISHED     1100
c:\windows\system32\WS2_32.dll
C:\WINDOWS\system32\RPCRT4.dll
c:\windows\system32\rpcss.dll
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ADVAPI32.dll
[svchost.exe]


Det står ju i klartext att det är någon ansluten till min RPC. Men det är det som är så skummt, det ska inte gå att ansluta till mina netBIOS/RPC portar externt. Bad en polare testa att göra det, men fick system fel 53 medelande. Då blev jag förvirrad och scannade IP adressen och blev ännu mer förvirrad:

CODE
21/tcp open ftp Microsoft ftpd 5.0
25/tcp open smtp Microsoft ESMTP 5.0.2195.6713
| SMTP: Responded to EHLO command
| yuyin Hello [87.241.76.8]
| AUTH GSSAPI NTLM LOGIN
| AUTH=LOGIN
| TURN
| ATRN
| SIZE 2097152
| ETRN
| PIPELINING
| DSN
| ENHANCEDSTATUSCODES
| 8bitmime
| BINARYMIME
| CHUNKING
|_ VRFY
80/tcp open http Microsoft IIS webserver 5.0
|_ HTML title: Site doesn't have a title.
119/tcp open nntp Microsoft NNTP Service 5.0.2195.6702 (posting o
k)
139/tcp filtered netbios-ssn
443/tcp open https?
445/tcp filtered microsoft-ds
563/tcp open snews?
593/tcp filtered http-rpc-epmap
1025/tcp open msrpc Microsoft Windows RPC
1026/tcp open msrpc Microsoft Windows RPC
1033/tcp open msrpc Microsoft Windows RPC
1433/tcp open ms-sql-s?
1720/tcp filtered H.323/Q.931
1986/tcp open irc Unreal ircd (Admin email kline@CASHirc.com)
2000/tcp open callbook?
3372/tcp open msdtc?
4444/tcp filtered krb524
5631/tcp open pcanywheredata PCAnywhere
6666/tcp open irc Unreal ircd (Admin email kline@CASHirc.com)
6667/tcp open irc Unreal ircd (Admin email kline@CASHirc.com)
6668/tcp open irc Unreal ircd (Admin email kline@CASHirc.com)
7000/tcp open irc Unreal ircd (Admin email kline@CASHirc.com)
8080/tcp open irc Unreal ircd (Admin email kline@CASHirc.com)
8888/tcp open irc Unreal ircd (Admin email kline@CASHirc.com)
2 services unrecognized despite returning data. If you know the service/version,



Det står ju att den kör en webserver, men den går inte att ansluta till (iallafall inte via webläsaren).

Innan jag körde portscanningen så misstänkte jag att det var någon tomte som sniffade min traffik. Men nu vette fan, en BotNet kanske eller vad det heter? Den kör ju IRC server.


Vad tror ni?
blind
Med netstat kan vi inte se om den har anslutit till dig eller om det är något på din dator som försöker dölja sig och nu ringer hem. Dags att börja oroa sig för att din dator är en zombie, speciellt med den där IRC-servern.

Kolla med HijackThis, om du inte förstår loggen så sök efter någon hijackthis analyzer om du inte vill posta den här.
LJB
QUOTE(blind @ 2007-10-16 11:20) *
Med netstat kan vi inte se om den har anslutit till dig eller om det är något på din dator som försöker dölja sig och nu ringer hem. Dags att börja oroa sig för att din dator är en zombie, speciellt med den där IRC-servern.

Kolla med HijackThis, om du inte förstår loggen så sök efter någon hijackthis analyzer om du inte vill posta den här.


Okok, ska göra det. Vad menar du men zombie förresten? använder min IP till någon attack eller?
blind
Att din dator kan vara infekterad med antagligen någon bot, det brukar kallas för zombie. Om den hade använts till en attack just nu så hade du antagligen sett fler adresser med netstat, men om du är infekterad så är det bara en tidsfråga innan maskinen används till något du inte vill.
LJB
QUOTE(blind @ 2007-10-16 11:36) *
Att din dator kan vara infekterad med antagligen någon bot, det brukar kallas för zombie. Om den hade använts till en attack just nu så hade du antagligen sett fler adresser med netstat, men om du är infekterad så är det bara en tidsfråga innan maskinen används till något du inte vill.


Crap! Tror du det funkar att spärra port 135 i "Outbound Services" i routern?
blind
Nej, jag tror att du skall ta reda på om datorn är infekterad och i så fall ta bort vad det nu kan vara.
LJB
QUOTE(blind @ 2007-10-16 13:00) *
Nej, jag tror att du skall ta reda på om datorn är infekterad och i så fall ta bort vad det nu kan vara.


Okok, tack så mycket för hjälpen smile.gif
Mja
QUOTE(LJB @ 2007-10-16 17:03) *
Okok, tack så mycket för hjälpen smile.gif


Sysinternals har en del verktyg för det du vill göra

processmonitor
filemonitor
regmon
tcpmon

Program som inte nyttjar de tjänster i windows som lättast sätts ur spel av ett simpelt rootkit eller dyl, men fortfarande litar de ju tids nog på en systemdrivrutin som i teorin kan vara överladdad.

Aja, lycka till med plockandet smile.gif
LJB
QUOTE(Mja @ 2007-10-16 17:55) *
Sysinternals har en del verktyg för det du vill göra

processmonitor
filemonitor
regmon
tcpmon

Program som inte nyttjar de tjänster i windows som lättast sätts ur spel av ett simpelt rootkit eller dyl, men fortfarande litar de ju tids nog på en systemdrivrutin som i teorin kan vara överladdad.

Aja, lycka till med plockandet smile.gif


Danke schön smile.gif
This is a "lo-fi" version of our main content. To view the full version with more information, formatting and images, please click here.
Invision Power Board © 2001-2012 Invision Power Services, Inc.