Port 2080 ?

[phreakbox]

Pokrenuo sam PHP interpreter iz shella. (php -a):
Izvršio sljedeće:

Kod: Označi sve

 file_get_contents("http://nekadomena.xxx");
ENTER

Kod: Označi sve

var_dump($http_response_header);
ENTER

Nakon toga dobijem header response nešto kao ovako:

array(74) {
[0]=>
string(30) "HTTP/1.1 301 Moved Permanently"
[1]=>
string(84) "Set-Cookie: LPORTALCOOKIE=R2318547313; path=/; expires=Fri, 04-Jun-2010 15:42:39 GMT"
[2]=>
string(35) "Date: Thu, 03 Jun 2010 15:27:47 GMT"
[3]=>
string(66) "Server: Apache/2.2.8 (Unix) PHP/5.2.6 mod_ssl/2.2.8 OpenSSL/0.9.8d"
[4]=>
string(27) "Location: http://www.xxx.xxx"
[5]=>
string(19) "Content-Length: 225"
[6]=>
string(17) "Connection: close"
[7]=>
string(43) "Content-Type: text/html; charset=iso-8859-1"
[8]=>
string(13) "HTTP/1.1 302 "
[9]=>
string(23) "Cache-Control: no-cache"
[10]=>
string(16) "Pragma: no-cache"
[11]=>
string(11) "Expires: -1"
[12]=>
string(44) "Last-Modified: Thu, 03 Jun 2010 15:27:48 GMT"
[13]=>
string(19) "Content-Length: 215"
[14]=>
string(40) "Content-Type: text/html; charset=IBM-850"
[15]=>
string(20) "Accept-Ranges: bytes"
[16]=>
string(17) "Connection: close"
[17]=>
string(35) "Date: Thu, 03 Jun 2010 15:27:48 GMT"
[18]=>
string(19) "Server: xxx.axxx5"
[19]=>
string(84) "Warning: 214 axxx5.xxxnet.xxx:2080 "Transmogrified" "Thu, 03 Jun 2010 15:27:48 GMT""
[20]=>
string(16) "Pragma: no-cache"
[21]=>
string(51) "Cache-control: no-cache, must-revalidate, max-age=0"
[22]=>
string(23) "Cache-control: no-store"
[23]=>
string(185) "Location: http://webauth.xxx.xxx/vasmpauth/LoginM ... ck&level=0"
[24]=>
string(18) "HTTP/1.1 302 Found"
[25]=>
string(17) "Connection: close"
[26]=>
string(23) "Proxy-Connection: close"
[27]=>
string(47) "Via: HTTP/1.1 xxxx.xxxx.xx (IBM-PROXY-WTE)"
[28]=>
string(35) "Date: Thu, 03 Jun 2010 15:27:49 GMT"
[29]=>
string(23) "Server: IBM_HTTP_Server"
[30]=>
string(11) "Expires: -1"
[31]=>
string(16) "Pragma: no-cache"
[32]=>
string(17) "Content-Length: 0"
[33]=>
string(72) "Set-Cookie: asmpCookieCheck=cookieAcceptanceTest; Path=/; Domain=.xxxx.xxx"
[34]=>
string(44) "Cache-Control: no-store, no-cache=set-cookie"
[35]=>
string(62) "Set-Cookie: webappsStaticCookie=axpbbgw5;Path=/;Domain=.xxxx.xxx"
[36]=>
string(24) "Content-Type: text/plain"
[37]=>
string(23) "Content-Language: en-US"
[38]=>
string(84) "Warning: 214 xxxxx.xxx.xxx:2080 "Transmogrified" "Thu, 03 Jun 2010 15:27:49 GMT""
[39]=>
string(16) "Pragma: no-cache"
[40]=>
string(51) "Cache-control: no-cache, must-revalidate, max-age=0"
[41]=>
string(23) "Cache-control: no-store"
[42]=>
string(164) "Location: http://xxxxxxx/xxxxx/LoginMasterServlet ... al&level=0"
[43]=>
string(18) "HTTP/1.1 302 Found"
[44]=>
string(17) "Connection: close"
[45]=>
string(23) "Proxy-Connection: close"
[46]=>
string(47) "Via: HTTP/1.1 xxxx.xxxx.xxx (IBM-PROXY-WTE)"
[47]=>
string(35) "Date: Thu, 03 Jun 2010 15:27:50 GMT"
[48]=>
string(23) "Server: IBM_HTTP_Server"
[49]=>
string(11) "Expires: -1"
[50]=>
string(16) "Pragma: no-cache"
[51]=>
string(23) "Cache-Control: no-store"
[52]=>
string(17) "Content-Length: 0"
[53]=>
string(62) "Set-Cookie: webappsStaticCookie=xxxxx;Path=/;Domain=.xxx.xx"
[54]=>
string(24) "Content-Type: text/plain"
[55]=>
string(23) "Content-Language: en-US"
[56]=>
string(84) "Warning: 214 xxx.xxxx.xxx:2080 "Transmogrified" "Thu, 03 Jun 2010 15:27:50 GMT""
[57]=>
string(16) "Pragma: no-cache"
[58]=>
string(51) "Cache-control: no-cache, must-revalidate, max-age=0"
[59]=>
string(23) "Cache-control: no-store"
[60]=>
string(99) "Location: http://xxx/xxx/error?errorCode=Your+bro ... pt+cookies.
[61]=>
string(15) "HTTP/1.1 200 OK"
[62]=>
string(17) "Connection: close"
[63]=>
string(23) "Proxy-Connection: close"
[64]=>
string(47) "Via: HTTP/1.1 xxx.xxx (IBM-PROXY-WTE)"
[65]=>
string(35) "Date: Thu, 03 Jun 2010 1x:xx:xx GMT"
[66]=>
string(23) "Server: IBM_HTTP_Server"
[67]=>
string(10) "Expires: 0"
[68]=>
string(49) "Cache-Control: no-cache="set-cookie, set-cookie2""
[69]=>
string(42) "Content-Type: text/html;charset=ISO-8859-1"
[70]=>
string(23) "Content-Language: en-US"
[71]=>
string(20) "Content-Length: 4537"
[72]=>
string(84) "Warning: 214 xxx.xxxx.xx:2080 "Transmogrified" "Thu, 03 Jun 2010 15:27:51 GMT""
[73]=>
string(16) "Set-Cookie: test"
}

U polju 72 primjetimo:

Kod: Označi sve

  [72]=>
  string(84) "Warning: 214 xxx.xxx.xx:2080 "Transmogrified" "Thu, 03 Jun 2010 15:27:51 GMT""

Onda sam išao ovdje http://www.auditmypc.com/port/tcp-port-2080.asp pa veli WinHole malware? Međutim, to ne može biti malware nego nešto drugo.
Čemu taj port i čemu služi? Može biti alias za bilo šta? remoting?

[glaskoncILLa]

Kod: Označi sve

4.2.8.1 Alteration of Response

Note:

Other than as noted in this section the nature of restructuring that is carried out, any character encoding alterations and what is omitted and what is inserted is, as discussed in 1.3 Scope, out of scope of this document.

If a proxy alters the response then:

   1.

      It must add a Warning 214 Transformation Applied HTTP header field;
   2.

      The altered content should validate according to an appropriate published formal grammar and if XML must be well-formed;
   3.

      It should indicate to the user that the content has been transformed for mobile presentation and provide an option to view the original, unmodified content.

inace, bilo koji port moze sluziti za bilo sto, sami port (gotovo) ne znaci nista.

[dalibor.klobucaric]

ono što pretpostavljam da pokušavaš napraviti je "dignuti" neku informaciju za koju nemaš "zakonska" prava. Tj server pokušava provijeriti gdje ti je autorizirani session (sad dal cookie ili nešto drugo).

Meni se to događa kad želim dignuti neki backup ili nešt a nisam se prijavio tj nisam ovlašten da radim bilo što po serveru (a.k.a pokrećem skripte)

zna se dogoditi da neki servis provjerava nešto na nekom drugom serveru preko određenog porta stoga port 2080 na tom drugom serveru.

recimo kao primjer xmarks autorizacija se radi an jednom serveru a sinhronizacija na drugom

[phreakbox]

Ono što je interesantno sve to dobijem preko PHP shell-a. To je čisti HTTP response. Ali mi je čudno da određene stranice dobijem više informacije pa skoro sve, nego kada ideš na neki server gdje je isto unix os ali nema toliko informacija. Neki kažu da im port služi za redirect na neki site. Slažem se da taj port može biti "bilo šta" i to je istina.
Čudno je što nmap-om ne možeš dobiti informaciju servera da je IBM, a php shell-om možeš i to HTTP responseom. Negdje te informacije on mora dobiti, a to je HTTP HEADER.
Navodno za taj port koriste FORWARD sa ekstranet na intranet adrese odnosno za INTRANET uslugu koja "uzima" preko toga porta.

[glaskoncILLa]

ponoviti cu malo jasnije, to je standardna poruka koja ti kaze da ne pricas direktno sa serverom nego da je ispred servera proxy, nikakva crna magija ni kung fu.

[dalibor.klobucaric]

Slažem se glas ali nije nužno da bude točno

[glaskoncILLa]

na osnovu kojih argumenata?

[phreakbox]

Nije nužno da je proxy. Može biti bilo šta. Ali samo određeni servisi mogu ići kroz taj port. HTTP promet kroz taj port ne može jer ne radi provjereno. exp. adresa.x:2080
no, opet čini mi se da je taj port za forwarding? Međutim radi se o IBM serveru, a budući da je to HTTP response mora bi vratiti podatke. Ti podaci mogu biti data, segmenti, sql data ili xml parseri. Ono što vidim IBM na portu 2080 koristi DBMS replikacije, odnosno replikacije na više različitih servera za baze.

Dakle možda za SQL baze na IBM-u na različitim serverima te forwardira rute kroz taj port ako mu treba? http://publib.boulder.ibm.com/infocente ... etsrv.html

[glaskoncILLa]

ono sto je krivo u tvom zakljucivanju je sto si se zakacio na port, port nema nikakve veze sa tim i mogao je pisati bilo koji, odnosno onaj koji je konfiguriran u tom slucaju.

ono sto zelis prouciti je brojka 214.

[phreakbox]

Možda. No, vidim iz logova da se radi o IBM serveru, a IBM-ov najcesce HTTP Response na 214 je odgovor na DB2 koji koristi pClient: http://publib.boulder.ibm.com/infocente ... etsrv.html

Ocito ta stranica koristi IBM-ov Content Manager za z/OS: http://www-947.ibm.com/support/entry/po ... r_for_z~OS

No to je odgovor na 214. Dakle, čini se da se HTTP response-om može dobiti više informacija o samom web poslužitelju nego sa nmap. Logično.