Par pitanja o portovima

Linux, poslužitelj, mreže i sigurnost

Moderator/ica: Moderatori/ce

Odgovori
Avatar
madone
Postovi: 1594
Pridružen/a: 09 srp 2008, 09:49
Spol: M
OS: Debian
Lokacija: Zagreb

Par pitanja o portovima

Post Postao/la madone »

jedno ili dva, tri pitanjca :)
Provjeravao sam otvorene portove
$ sudo nmap -sT -O localhost
[sudo] password for madone:
Starting Nmap 5.00 ( http://nmap.org ) at 2009-12-28 11:35 CET
Warning: Hostname localhost resolves to 2 IPs. Using 127.0.0.1.
Interesting ports on localhost (127.0.0.1):
Not shown: 996 closed ports
PORT STATE SERVICE
25/tcp open smtp
139/tcp open netbios-ssn
445/tcp open microsoft-ds
3306/tcp open mysql
i onda u conkyju pod Inbound Local Service/Port vidim
163.216.broadbend10.lol.cz port:20003
i napravim provjeru na ovoj stranici https://www.grc.com/x/portprobe=20003 i dobijem potvrdu da je otvoren port 20003
Probao sam whois ali ništa ne kaže, pretpostavljam da je to nekakva adresa od mog ISP....

1. Kako to da se taj port sam otvorio ?
2. Koja je razlika između Local Service/Port i Remote Service/Port ?
Local Service/Port u conkyju rijetko ima otvoreni port dok Remote ima stalno.
3. I zašto se u postavkama conkija koriste samo određeni portovi za skeniranje recimo za
Inbound: ${tcp_portmon 1 32767 count}
i
Outbound: ${tcp_portmon 32768 61000 count}
#Edit
U međuvremenu se otvorio isti port 20003 ali sa adresom 92.99.72.33 , pa sam provjerio whois i kaže

Kod: Označi sve

whois 92.99.72.33
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: This output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '92.99.72.0 - 92.99.79.255'

inetnum:        92.99.72.0 - 92.99.79.255
netname:        ETISALATADSL-EMIRNET
descr:          Emirates Telecommunications Corporation
descr:          P O Box 1150, Dubai, UAE
country:        AE
admin-c:        AK915-RIPE
tech-c:         AK915-RIPE
status:         ASSIGNED PA
mnt-by:         ETISALAT-MNT
source:         RIPE # Filtered

person:         Arif Khalid
address:        Emirates Telecommunications Corporation
address:        P O Box 1150, Dubai, UAE
phone:          +971 800 6100
fax-no:         +971 4 2959876
e-mail:         lir@nic.ae
remarks:        For any kind of abuse orignating from our network please
remarks:        email abuse@emirates.net.ae
nic-hdl:        AK915-RIPE
mnt-by:         ETISALAT-MNT
source:         RIPE # Filtered
Avatar
glaskoncILLa
Postovi: 5678
Pridružen/a: 28 vel 2009, 16:36

Re: Par pitanja o portovima

Post Postao/la glaskoncILLa »

1) nmap ti je radio scan na 127.0.0.1 sto nije isto kao da ti je radio na ipu na interfaceu, a port se otvori cim pokrenes neki servis koji slusa na tom portu.

2) ovaj dio sa conkyem bas ne kuzim, osim ako conky ne radi neku vezu sa nekom masinom na internetu. Local Service/Port je port/servis na tvom kompu, a remote je na onom sa kojim ostvarujes vezu, conky to vjerovatno cupa iz netstata ili slicno. dakle ako otvoris google i puknes netstat -ta u terminal, vidjeti ces lokalni servis sa nekim visokim dinamickim portom da je spojen sa googlom na portu 80.

3) nisam skuzio pitanje.
...."Have you mooed today?"...
..It’s that time of the decade: I’m reinstalling Debian..
Avatar
madone
Postovi: 1594
Pridružen/a: 09 srp 2008, 09:49
Spol: M
OS: Debian
Lokacija: Zagreb

Re: Par pitanja o portovima

Post Postao/la madone »

glaskoncILLa je napisao/la:1) nmap ti je radio scan na 127.0.0.1 sto nije isto kao da ti je radio na ipu na interfaceu, a port se otvori cim pokrenes neki servis koji slusa na tom portu.
Ja nisam pokretao nikakav servis u tom trenu kad se otvorio port jedino ako nije nešto automatsko. Dali bi mogao provjeriti koji servis koristi taj portu, kako ?
Napravio sam i provjeru svog IP, i skoro je isti kao localhost - msql

Kod: Označi sve

$ sudo nmap -sT -O 94.253.193.192
[sudo] password for madone: 

Starting Nmap 5.00 ( http://nmap.org ) at 2009-12-28 12:46 CET
Interesting ports on cpe-94-253-193-192.zg2.cable.xnet.hr (94.253.193.192):
Not shown: 997 closed ports
PORT    STATE SERVICE
25/tcp  open  smtp
139/tcp open  netbios-ssn
445/tcp open  microsoft-ds
glaskoncILLa je napisao/la:dakle ako otvoris google i puknes netstat -ta u terminal, vidjeti ces lokalni servis sa nekim visokim dinamickim portom da je spojen sa googlom na portu 80.
ne vidim to ni port ni google

Kod: Označi sve

$ sudo netstat -ta 94.253.193.192
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 localhost:7634          *:*                     LISTEN     
tcp        0      0 *:smtp                  *:*                     LISTEN     
tcp        0      0 localhost:58846         *:*                     LISTEN     
tcp        0      0 *:20003                 *:*                     LISTEN     
tcp        0      0 *:40                    *:*                     LISTEN     
tcp        0      0 localhost:62025         *:*                     LISTEN     
tcp        0      0 localhost:mysql         *:*                     LISTEN     
tcp        0      0 *:59179                 *:*                     LISTEN     
tcp        0      0 cpe-94-253-193-19:52465 ns209.t-com.hr:www      ESTABLISHED
tcp        0      0 cpe-94-253-193-19:50615 213.202.112.19:www      ESTABLISHED
tcp        0      0 cpe-94-253-193-19:42011 checkip.dyndns.com:www  TIME_WAIT  
tcp        0      0 cpe-94-253-193-19:39678 fx-in-f147.1e100.:https ESTABLISHED
tcp        0      0 cpe-94-253-193-19:45829 fx-in-f18.1e100.n:https ESTABLISHED
tcp        0      0 cpe-94-253-193-19:39098 208.43.202.33-stati:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:40771 213.202.112.18:www      ESTABLISHED
tcp        0      0 cpe-94-253-193-19:44696 by2msg4030117.phx.:msnp ESTABLISHED
tcp        0      0 cpe-94-253-193-19:33792 fx-in-f103.1e100.ne:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:39595 fx-in-f147.1e100.:https ESTABLISHED
tcp        1      0 cpe-94-253-193-19:60325 fx-in-f105.1e100.:https CLOSE_WAIT 
tcp        0      0 cpe-94-253-193-19:55043 fx-in-f100.1e100.ne:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:41998 checkip.dyndns.com:www  TIME_WAIT  
tcp        0      0 cpe-94-253-193-19:33235 fx-in-f138.1e100.ne:www FIN_WAIT2  
tcp        0      0 cpe-94-253-193-19:41954 checkip.dyndns.com:www  TIME_WAIT  
tcp        0      0 cpe-94-253-193-19:40782 213.202.112.18:www      ESTABLISHED
tcp        0      0 cpe-94-253-193-19:51541 fx-in-f132.1e100.ne:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:42863 bw-in-f139.1e100.ne:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:42863 bw-in-f139.1e100.ne:www ESTABLISHED
tcp        1      0 cpe-94-253-193-19:39879 fx-in-f104.1e100.:https CLOSE_WAIT 
tcp        0      0 cpe-94-253-193-19:51540 fx-in-f132.1e100.ne:www ESTABLISHED
tcp        1      0 cpe-94-253-193-19:40307 fx-in-f104.1e100.:https CLOSE_WAIT 
tcp        0      0 cpe-94-253-193-19:33616 mg-in-f125.:xmpp-client ESTABLISHED
tcp        0      0 cpe-94-253-193-19:49275 holmes.freenode.ne:ircd ESTABLISHED
tcp        0      0 cpe-94-253-193-19:55002 fx-in-f100.1e100.ne:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:40828 89.201.164.88:www       ESTABLISHED
tcp        0      0 cpe-94-253-193-19:45791 aneliad.pppoe.fib:54591 ESTABLISHED
tcp        0      0 cpe-94-253-193-19:39596 fx-in-f147.1e100.:https ESTABLISHED
tcp        0      0 cpe-94-253-193-19:33786 fx-in-f103.1e100.ne:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:37510 fx-in-f113.1e100.ne:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:40766 213.202.112.18:www      ESTABLISHED
tcp       38      0 cpe-94-253-193-19:59138 174.36.30.67-stat:https CLOSE_WAIT 
tcp        0      0 cpe-94-253-193-19:33254 fx-in-f138.1e100.ne:www ESTABLISHED
tcp        0      0 cpe-94-253-193-19:33617 mg-in-f125.:xmpp-client ESTABLISHED
tcp        0      0 cpe-94-253-193-19:55006 fx-in-f100.1e100.ne:www ESTABLISHED
tcp        1      0 cpe-94-253-193-19:46677 fx-in-f105.1e100.:https CLOSE_WAIT 
tcp       38      0 cpe-94-253-193-19:60429 174.36.30.66-stat:https CLOSE_WAIT 
tcp6       0      0 [::]:microsoft-ds       [::]:*                  LISTEN     
tcp6       0      0 [::]:40                 [::]:*                  LISTEN     
tcp6       0      0 [::]:59179              [::]:*                  LISTEN     
tcp6       0      0 [::]:netbios-ssn        [::]:*                  LISTEN     
glaskoncILLa je napisao/la:2) ovaj dio sa conkyem bas ne kuzim, osim ako conky ne radi neku vezu sa nekom masinom na internetu
Ovaj dio u conkyju mi pokazuje otvorene portove i tu je određeno koliko kužim da skenira Lokalne portove od ${tcp_portmon 1 32767 count} a Remote ${tcp_portmon 32768 61000 count}. Nekak bi mi bilo logično da u oba dva slučaja skenira sve portove. slika

Kod: Označi sve

${voffset -7}${color green} Inbound: ${tcp_portmon 1 32767 count}      ${alignr} Local Service/Port$color
 ${tcp_portmon 1 32767 rhost 0} ${alignr}${tcp_portmon 1 32767 lservice 0}
 ${tcp_portmon 1 32767 rhost 1} ${alignr}${tcp_portmon 1 32767 lservice 1}
 ${tcp_portmon 1 32767 rhost 2} ${alignr}${tcp_portmon 1 32767 lservice 2}
 ${tcp_portmon 1 32767 rhost 3} ${alignr}${tcp_portmon 1 32767 lservice 3}
 ${tcp_portmon 1 32767 rhost 4} ${alignr}${tcp_portmon 1 32767 lservice 4}
 ${tcp_portmon 1 32767 rhost 5} ${alignr}${tcp_portmon 1 32767 lservice 5}
${color green} Outbound: ${tcp_portmon 32768 61000 count} ${alignr} Remote Service/Port$color
 ${tcp_portmon 32768 61000 rhost 0} ${alignr}${tcp_portmon 32768 61000 rservice 0}
 ${tcp_portmon 32768 61000 rhost 1} ${alignr}${tcp_portmon 32768 61000 rservice 1}
 ${tcp_portmon 32768 61000 rhost 2} ${alignr}${tcp_portmon 32768 61000 rservice 2}
 ${tcp_portmon 32768 61000 rhost 3} ${alignr}${tcp_portmon 32768 61000 rservice 3}
 ${tcp_portmon 32768 61000 rhost 4} ${alignr}${tcp_portmon 32768 61000 rservice 4}
 ${tcp_portmon 32768 61000 rhost 5} ${alignr}${tcp_portmon 32768 61000 rservice 5}
glaskoncILLa je napisao/la:Local Service/Port je port/servis na tvom kompu, a remote je na onom sa kojim ostvarujes vezu
Ako sam te dobro shvatio Local pokazuje moje otvorene portove a Remote portove na koje se spajaju moji servisi/portovi ?

1. Zašto onda u conkyju ne vidim te svoje portove/servise (od firefoxa, pidgina, thundera....) pod Local a vidim ih po Remote ?
Avatar
glaskoncILLa
Postovi: 5678
Pridružen/a: 28 vel 2009, 16:36

Re: Par pitanja o portovima

Post Postao/la glaskoncILLa »

sto se tice googla, to je bio samo primjer, netstat -ta ce ti pokazati samo aktivne konekcije, dakle ako se u tom trenutku nista ne dogadja, nema ni aktivne konekcije.
ali vidis da ti je prikazao sve aktivne konekcije na neke http, https, msn i bla servise.


sto se tice porta 20003, iana kaze da je to rezervirano za Commtact HTTPS, stogod to bilo.
u stavrnosti to moze biti bilo sto i otvoriti ce se kad se pokrene taj servis/konekcija.

sto se dogadja po tom portu sa sigurnoscu mozes utvrditi jedino nekim snifferom, tcpdump-om ili jos bolje wiresharkom.
takodjer sa lsof-om mozes vidjeti koji proces slusa na kojem portu (lsof -i :port ako se dobro sjecam, ako ne, man :) ), dakle mozes vidjeti sa kojom komandom i koji user je pokrenuo to sto slusa na 20003.

zasto u conkyu ne vidis lokalne portove, nemam pojma, nemam pojma kako conky radi.
...."Have you mooed today?"...
..It’s that time of the decade: I’m reinstalling Debian..
Avatar
madone
Postovi: 1594
Pridružen/a: 09 srp 2008, 09:49
Spol: M
OS: Debian
Lokacija: Zagreb

Re: Par pitanja o portovima

Post Postao/la madone »

Promijenio sam postavke u conkyju, da skenira i Local i Remote od 1 - 65535.
Sad pokazuje u Local broj porta a u Remote ime servisa (po postavkama trebao bi prikazati u oba dva slučaja ime servisa ali iz nekog razloga pod Local prikazuje broj porta, vjerovatno mu je ne dostupno ime servisa) te podatke izvlači iz /etc/services slika

Imam još jedno 100 pitanja ak nije bad :D ,
Kako to da nmap ne pokazuje sve portove koji se vide u netstat nego samo netbios-ssn, microsoft-ds, smtp,
prvo sam pomislio da nmap pokazuje samo one koji slušaju ali u netstat-u se vidi da ih ima još koji slušaju npr. 7634,40, 20003.
Kaže man nmap - Network exploration tool and security / port scanner a on ne vidi sve portove :misli

1. U biti pitanje je zašto nmap ne pokazuje sve portove kao netstat nego samo netbios-ssn, microsoft-ds, smtp ? Ne treba sve u detalje ali da ih bar nabroji, to mi nije jasno :misli

Kod: Označi sve

$ sudo nmap -sT -O 94.253.198.101
[sudo] password for madone: 

Starting Nmap 5.00 ( http://nmap.org ) at 2009-12-28 17:05 CET
Interesting ports on cpe-94-253-198-101.zg2.cable.xnet.hr (94.253.198.101):
Not shown: 997 closed ports
PORT    STATE SERVICE
25/tcp  open  smtp
139/tcp open  netbios-ssn
445/tcp open  microsoft-ds

madone@madone-desktop:~$ sudo netstat -ta 94.253.198.101
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 localhost:7634          *:*                     LISTEN     
tcp        0      0 *:smtp                  *:*                     LISTEN     
tcp        0      0 *:20003                 *:*                     LISTEN     
tcp        0      0 *:40                    *:*                     LISTEN     
tcp        0      0 localhost:mysql         *:*                     LISTEN     
tcp        0      0 cpe-94-253-198-10:41392 ppp85-141-88-197.:35961 ESTABLISHED
tcp        0      0 cpe-94-253-198-10:57590 fx-in-f105.1e100.:https ESTABLISHED
tcp        0      0 cpe-94-253-198-10:32870 checkip.dyndns.com:www  TIME_WAIT  
tcp        0      0 cpe-94-253-198-10:42920 208.43.202.33-stati:www ESTABLISHED
tcp        1      0 cpe-94-253-198-10:60259 fx-in-f104.1e100.:https CLOSE_WAIT 
tcp        0      0 cpe-94-253-198-10:57591 fx-in-f105.1e100.:https ESTABLISHED
tcp       38      0 cpe-94-253-193-19:59138 174.36.30.67-stat:https CLOSE_WAIT 
tcp        0      0 cpe-94-253-198-10:32843 checkip.dyndns.com:www  TIME_WAIT  
tcp       38      0 cpe-94-253-193-19:60429 174.36.30.66-stat:https CLOSE_WAIT 
tcp6       0      0 [::]:microsoft-ds       [::]:*                  LISTEN     
tcp6       0      0 [::]:40                 [::]:*                  LISTEN     
tcp6       0      0 [::]:netbios-ssn        [::]:*                  LISTEN 
Avatar
glaskoncILLa
Postovi: 5678
Pridružen/a: 28 vel 2009, 16:36

Re: Par pitanja o portovima

Post Postao/la glaskoncILLa »

ovo sa /etc/services si dobro pohvatao, ali postoji razlika izmedju nmap-a i netstata i tvog kompa i web servera.

dakle nmap radi ( razne ) probe da bi otkrio koji servisi su dostupni, odnosno koji servisi slusaju na odredjenoj ip adresi. konkretno sa ovim sto si upisao nmap skenira servise koji rade na tcp-u, iako nmap moze to isto i za udp servise.
kada nesto "slusa" na odredjenom portu to je uglavnom server iz server/klijent situacije ( ne nuzno uvijek, ali to je neka druga prica, zasad recimo da je tome tako), dakle po onom sto si odskenirao na vlastititom ip-u se vidi da imas podignut nekakav mail server i sambu (server ), dakle ti si mail i samba server.
i to nema nikakve veze sa konekcijama, ti das nmap-u ip, on ga odskenira i kaze ti koji su servisi dostupni na tom ip-u.
zapravo on odskenira portove koji su otvoreni/slusaju/cekaju klijentsku konekciju i pogleda u /etc/services sto je zapisano za taj port i na taj nacin ti odgovori sto ne mora uvijek biti tocno, recimo ti mozes reci web serveru da http ne slusa na 80, nego na 25 i nmap ce ti to prijaviti kao mail server ( smtp ).

e sad klijent/server prica, kada ti zelis vidjeti neku web stranicu, zahtijev krece sa nekakvog tvog dinamicki alociranog porta ( to znaci da se recimo random bira ) prema web serveru na port 80, osim ako mu nije drugacije receno.
dakle tvoj browser zna da je defaultni port za http 80 i ako mu drugacije ne naznacis, on ce uputiti zahtjev na ip adresu web servera na port 80 i to je ono sto vidis u netstat, popis aktivnih konekcija ukljucujuci i one koje si uspostavio i kao klijent i kao server.

ili obrnuto, ako neka konekcija nicim izazvana dodje na tvoj komp na neki random port, komp ce ju odbaciti jer ne zna sta bi sa njom, zato ti nmap nece pokazati sve one portove koji su navedeni u netstat.

e sad, nisu sve situacije client/server, situacija moze biti i peer-to-peer, sto je jel najpoznatije iz torrenta, ali nije izmisljeno sa torrentima niti se samo tamo koristi.
u tom modelu ti si zapravo i klijent i server, dakle i slusas zahtjeve i zahtjevas i vjerujem da je tu negdje prica sa ovim conkyem, dakle ti se spojis na nekog i netko se spoji na tebe i zato ti komp pocne slusati na tom portu.
sto se tocno dogodi, nemam pojma, to ces morati sam otkriti.
...."Have you mooed today?"...
..It’s that time of the decade: I’m reinstalling Debian..
Avatar
madone
Postovi: 1594
Pridružen/a: 09 srp 2008, 09:49
Spol: M
OS: Debian
Lokacija: Zagreb

Re: Par pitanja o portovima

Post Postao/la madone »

Hvala, lijepo si objasnio. Da sam to guglao tri dana bi mi trebala da sve to skužim.

Što se tiče portova, sve sam programe ugasio(skype, pidgin...) da smanjim broj portova i provjerio portove sa netstat ostalo ih je samo par komada a oni su ustvari dyndns koji provjerava IP i par googl-ovih IP adresa koje traži gnome-do.

Pogledao sam te IP sa wiresharkom (ne kužim filtere nego scroll :) i nema ništa interesantno. To je bilo za očekivat pošto je adresa http://www.google.hr :)

Jedino nisam provjerio checkip.dyndns.com sa netstat jer prebrzo mijenja port. Ali stalno je prisutna ta adresa, nisam mislio da se tako često refresh-a :misli

Bar sam skužio malo portove, razlike između port-ova server/klijent, nmap/netstat i lsof

Kod: Označi sve

$ sudo netstat -ta 94.253.191.43
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 localhost:7634          *:*                     LISTEN     
tcp        0      0 *:smtp                  *:*                     LISTEN     
tcp        0      0 *:40                    *:*                     LISTEN     
tcp        0      0 localhost:mysql         *:*                     LISTEN     
tcp        0      0 cpe-94-253-191-43:48333 fx-in-f104.1e100.:https ESTABLISHED
tcp        1      0 cpe-94-253-191-43:54220 fx-in-f99.1e100.n:https CLOSE_WAIT 
tcp        1      0 cpe-94-253-191-43:50817 fx-in-f104.1e100.:https CLOSE_WAIT 
tcp        0      1 192.168.1.4:49027       74.125.13.161:www       FIN_WAIT1  
tcp        0      0 cpe-94-253-191-43:53421 checkip.dyndns.com:www  TIME_WAIT  
tcp        0      0 cpe-94-253-191-43:53421 checkip.dyndns.com:www  TIME_WAIT  
tcp6       0      0 [::]:microsoft-ds       [::]:*                  LISTEN     
tcp6       0      0 [::]:40                 [::]:*                  LISTEN     
tcp6       0      0 [::]:netbios-ssn        [::]:*                  LISTEN 
Odgovori