Hallo!
Wer kann mir helfen? Seit ein paar Tagen kriege ich nach kurzen Surfzeit eine Meldung:
Nachricht von Systemsteuerung an 145.254.222.175 am 12.06.03
Achtung:
Ihr Computer weist einen offenen Port (139) zum Internet auf.
Um diese Sicherheitslücke zu schliessen gehen sie bitte auf
Ja, wenn ich auf die Site gehe will jemand Zugangsoftware auf meinem Rechner instalieren. Wie kann ich das abblocken?
Habe Outpost Firewall und trotzdem passiert sowas.
Kann mir jemand helfen?
Vielen Dank
Benny
Teletom 
Olaf19 „Bitte einfach mal mit ich lese noch oder so antworten! Antwortbenachrichtigung...“
Hi,
das mit dem "Freischwimmerzeugnis" ist gar nicht mal so von der Hand zu weisen. Ich gehe davon aus, dass Tyrfing (nicht wahr?) schon längst mit Hilfe seiner Netzwerkanalyseprogramme festgestellt hat, dass ich bezüglich ICMP-Ping 100% ACK recht habe.
Bitte beachtet folgenden Protokollauszug:
W98 DFÜ-Internetverbindung meine IP (temporär) 217.4.89.102
10 | 08:36:05.804065 | 444553-540000 | 205352-430000 | IP: 62.134.76.54 => 217.4.89.102 (28) | ICMP: Echo Request
<ICMP>
<Type value="8"/>
<Code value="0"/>
<Checksum value="0xBF89"/>
</ICMP>
11 | 08:36:05.808120 | FFFFFF-FFFFFF | 444553-540000 | ARP: Hardware type= 1, Protocol Type = IP (0800h) | ARP Request [Who has 62.134.76.54 tell 217.4.89.102]
12 | 08:36:05.809985 | 205352-430000 | 444553-540000 | IP: 217.4.89.102 => 62.134.76.54 (28) | ICMP: Echo reply
<ICMP>
<Type value="0"/>
<Code value="0"/>
<Checksum value="0xC789"/>
</ICMP>
13 | 08:36:06.033892 | 444553-540000 | 205352-430000 | IP: 62.134.76.54 => 217.4.89.102 (332) | UDP: Length= 312, Port (2608 => 135)
[DEST.. SRC....E.]
[.L....t...>.L6..]
[Yf.0...8K.......]
[................]
[....{Z........O.]
[....%bZ.IO.g....]
[................]
[................]
[......SunnyGirl1]
[9w..............]
[..217.4.89.102..]
[..............Ha]
[llo,....hab mein]
[ neues Bild auf ]
[meiner Homepage,]
[ schau es dir ..]
[mal an unter: h]
[ttp://www.sunny.]
[cc....Schau dir ]
[es mal an und me]
[ld dich !....Gru]
[. Sunny !.]
14 | 08:36:07.014921 | 444553-540000 | 205352-430000 | IP: 62.134.76.54 => 217.4.89.102 (108) | UDP: Length= 88, Port (2608 => 135)
15 | 08:36:07.973747 | 444553-540000 | 205352-430000 | IP: 62.134.76.54 => 217.4.89.102 (108) | UDP: Length= 88, Port (2608 => 135)
16 | 08:36:09.983746 | 444553-540000 | 205352-430000 | IP: 62.134.76.54 => 217.4.89.102 (108) | UDP: Length= 88, Port (2608 => 135)
17 | 08:36:14.004139 | 444553-540000 | 205352-430000 | IP: 62.134.76.54 => 217.4.89.102 (108) | UDP: Length= 88, Port (2608 => 135)
18 | 08:36:22.074923 | 444553-540000 | 205352-430000 | IP: 62.134.76.54 => 217.4.89.102 (108) | UDP: Length= 88, Port (2608 => 135)
19 | 08:36:38.017648 | 444553-540000 | 205352-430000 | IP: 62.134.76.54 => 217.4.89.102 (116) | UDP: Length= 96, Port (2608 => 135)
Analyseprogramme: Snipherev1.3 und Analyser v2.2
Zusammenfassung:
ICMP-Ping Echo Request von SunnyGirl1
ARP
ICMP-Ping Echo Reply von Host
UDP Paket Port 2608 von SunnyGirl1 an Host Port 135
RemoteProcedureCall-Port (RPC) Inhalt die Spam-Winpopup-Nachricht
Danach werden mehrere UDP-Pakete nachgeschoben, mit Sicherheit aus dem Grunde, um nachzukontrollieren, ob die Nachricht auch angekommen ist.
1. Vielen Dank an SunnyGirl1.
2. Port 139 (siehe Threadstarter-Posting) nicht frei zu geben, bringt absolut nichts.
3. Was ich noch sage:
Richtet doch einen Firewalldienst ein, der folgende ICMP-Einstellungen genau für den Internetadapter verwirklicht:
# 8 Echo Request eingehend nicht zulassen
# 13 Timestamprequest eingehend nicht zulassen
# 17 Mask Request eingehend nicht zulassen RFC 950
(# Routeranforderung eingehend nicht zulassen RFC 1256)
# 3 Destination unreachable ausgehend nicht zulassen
# 4 Source Quench ausgehend nicht zulassen
# 12 Parameter Problem ausgehend nicht zulassen
# 11 Zeitüberschreitung ausgehend nicht zulassen
# 5 Redirect (Umleiten) nicht zulassen
Alle anderen ICMP-Typen zulassen.
Damit erscheint "Zeitüberschreitung der Anforderung" beim ICMP-Ping-Sender (SunnyGirl1), genauso als wenn die IP nicht online wäre. Somit wird beispielsweise Winpopup-Spam erst gar nicht gesendet.
4. Das Deaktivieren des Nachrichtendiensts ist nicht nötig.
Winpopup-Spam gelangt auch auf W98-Rechner und da läuft kein Nachrichtendienst.
Völlig abzuraten und sogar davor zu warnen ist, dass der RPC- und der DCOM-Dienst deaktiviert werden. RPC und DCOM werden dafür benötigt, wofür sie programmiert wurden, also NICHT deaktivieren!
Gruß
Teletom
[Diese Nachricht wurde nachträglich bearbeitet.]
