Im Prinzip sind die Ports so eine Art Postfächer in welchen
die Daten abgelegt werden. Standardmässig sitz hinter jedem
Postfach ein kleines Programm, welches die Daten wegschmeisst
und dem Sender eine Fehlermeldung zukommen lässt.
Es mag vielleicht kleinlich erscheinen, aber standardmäßig sitzt
kein Programm dahinter. In Fall einer Verbindungsaufnahme kann
der TCP/IP-Stack die Daten an kein Programm weiterleiten und sendet
eine Meldung an den Client-Computer zurück, die dort als Meldung
connection refused oder ähnlich angezeigt wird.
Beim Stealth-Mode werden die Daten nur weggeschmissen.
Ein stealth mode gibt es im TCP/IP-Stack gar nicht. Der wird
durch eine Firewall erzeugt.
Ist nun irgendein Dienst installiert, so ersetzt er das
Standardprogramm,
Da es kein Standardprogramm gibt, kann es auch nicht ersetzt werden.
Richtig ist, dass der Port nun aktiviert ist (open state).
Durch umkonfigurieren kannst du aber auch HTTP hinter jedes
der über 65’000 anderen Postfächer stellen, allerdings muss
man dann dem Browser mitteilen welches du gerade verwendest,
da er ja standardmässig Port 80 verwendet. In der Hackerszene
wird das of gemacht, damit nicht jeder auf den Server
kommt…
Dort würde ich es am wenigsten vermuten. Meistens werden die Ports
von denen verändert, die plötzlich festellen: „Hey! Ich kann ja den
Port verändern!“. Dann gibt es noch die, die zwei gleichartige Server
auf einer Maschine laufen lassen wollen und für den zweiten Server
einen anderen Port nehmen müssen, weil nicht zwei Programme auf dem
gleichen Port lauschen können.
Ein Portscanner findet immer alle offenen Ports, und es macht wenig
Sinn, mit einer anderen Portzuweisung etwas verstecken zu wollen.
Das Problem ist nun, dass z.B. Windows jede Menge Dinge hinter
den Ports installiert um z.B. über das Netzwerk auf die
Festplatten anderer Rechner zugreiffen zu können…
Richtig ist, dass Windows standardmäßig eine Menge Programme startet,
die dann auf verschiedenen Ports auf die Verbindung durch andere
Rechner warten. Das wäre nicht wirklich schlimm, wenn man sich darauf
verlassen könnte, dass diese Programme tatsächlich nur autorisiserte
Personen oder Rechner zulassen, oder man wenigstens wüsste, wer
autorisiert ist und wer nicht…
Im Zweifel gilt: jedes Programm, dass einen Socket öffnet und auf
Verbindungsaufnahme aus dem Netz wartet (also ein Server), ist mit
Misstrauen zu beobachten und sollte beendet werden, wenn man es nicht
braucht.
Manche Trojaner installieren sich hinter einem Port und warten
darauf, dass ihr Meister mit ihnen Kontakt aufnimmt. Das
Problem sind also nicht die offenen Ports, sondern die
Funktionen die dahinter bereitgestellt werden.
Genau so ist es.
Stefan
