Erste Ergebnisse
Moin Pumpkin,
ich habe den Online-Scan durchgeführt und das brachte einige interessante Ergebnisse. Nicht erschrecken, wenn es jetzt umfangreich aussieht- ich denke, ein Profi überfliegt das nur mal kurz (ist halt umständlich zu berichten).
Der Stealth Scan brachte eine Liste von „Closed“ Ports (20-23, 25, 53, 59, 79, 80, 110, 113, 139, 443, 445, 1080, 8080, 32800).
Interessant ist da 59, an dem ein Service namens „DCC“ hängt- der findet sich nicht unter etc/services. Der 32800 wird als „Source Port“ ausgewiesen- ein Sachverhalt, der mich schon länger wundert: Das scheint bei mir grundsätzlich irgendwas oberhalb 31x zu sein (wird der flexibel vergeben?).
Möglicherweise gehört hier eine Sache mit ArpWatch hin, die ich auch nicht so ganz einordnen kann: Sobald ich das starte wird im syslog
„Link Layer type 113 not ethernet or fddi“ gemeldet- sagt mir das, dass da jemand eine „authentification“ über Port 113 startet?
Beim UDP-Scan scheint es dann langsam spannend zu werden: Dort finden sich alle Ports des STealth-Scans und noch diese (ebenfalls „Closed“):
135 (Location Service)- dessen Meldungen sehe ich öfters beim capturing mit ethereal (ich nehme mal an, dass „loc-serv“ das besagt).
Sowie 137/38- zwei NetBios-Kandidaten -„NS“ und „DGM“.
Plus am ebenfalls in etc/services nicht gelisteten 1900 eine Geschichte namens „UPnP“- ist mir ebenfalls mit ethereal schonmal aufgefallen.
Offener UDP ist 111: Sun-RPC (jaja- ich weiß… 
Und dann (auch „Closed“ aber…) einige bekannte Trojaner-Ports: 6776, 12345, 20034, 31337, 54320, 54321.
TCP-Scan bringt diese offenen:
111 (Sun-RPC)
631 unknown
Das scheint mit netstat zu korrespondieren, denn das liefert Sun-RPC und ipp (laut etc/services an 631)- wobei ich mich frage, warum dabei keine Portnummer angezeigt wird.
Schließlich wundert mich schon länger das bei netstat ständig der 6050 bestirnt angezeigt wird…
Und noch: Der RPC war mir natürlich schon länger ein Dorn im Auge, aber der ipp entpuppt sich hier als noch seltsamerer Kollege. Als ich die Ergebnisse des netten Online-Scans ausdrucken wollte, durfte ich feststellen, dass eine ganze Menge Print-Jobs anlagen, die ich ohne root-Rechte nicht löschen konnte. Und ein erster Blick in den Access-Log von Cups zeigt, dass da einiges gelaufen ist, was ich nicht gemerkt habe (da versucht seit einiger Zeit irgendwas, die „win.ini“ anzuzapfen…)
Yo, das sind meine ersten Funde- viel zu tun, wie ich sehe. Falls du oder irgendwer sonst die eine oder andere Idee hat, was als erstes zu Recherchieren wäre…?
Hoffentlich habe ich keinen erschlagen (:-}
Beste Grüße
ARt
