2 subnets (lokaler) på en skole med win2k maskiner har oplevet
markværdigheder. Alert-bokser der popper op med "frække" beskeder a la
"net send-sjov", samt at maskiner pludseligt får sit ejet liv.
Det lugter jo lidt...
Makinerne er udstyret med netop-school, som er et fjernstyrings program.
Vi havde først den mistanke at det var en elev som havde fået adgang til
en af lærer-maskinerne, men det er blevet udelukket. (elev-maskiner er
server og lærer-maskiner er clienter)
Maskinerne er alle udstyret med Panda-antivirus (opdateret).
Jeg har derfor portscannet maskinerne med nmap og nessus.
Nmap gav dette (jeg har sakset flere klienter):
<snip>
# nmap (V. 3.00) scan initiated Wed Sep 4 15:35:38 2002 as: nmap -v -sS
-O -oN /home/rune/test6.txt 10.40.11.0/24
.......
Interesting ports on (10.40.11.4):
(The 1597 ports scanned but not shown below are in state: closed)
Port State Service
135/tcp open loc-srv
139/tcp open netbios-ssn
445/tcp open microsoft-ds
1025/tcp open NFS-or-IIS
Remote operating system guess: Windows Millennium Edition (Me), Win
2000, or WinXP
TCP Sequence Prediction: Class=random positive increments
Difficulty=10781 (Worthy challenge)
IPID Sequence Generation: Incremental
Interesting ports on (10.40.11.10):
(The 1597 ports scanned but not shown below are in state: closed)
Port State Service
135/tcp open loc-srv
139/tcp open netbios-ssn
445/tcp open microsoft-ds
1029/tcp open ms-lsa
Remote operating system guess: Windows Millennium Edition (Me), Win
2000, or WinXP
TCP Sequence Prediction: Class=random positive increments
Difficulty=4171 (Formidable)
IPID Sequence Generation: Incremental
</snip>
Læg mærke til port 1029. Den kender jeg ikke.
Nessus gav dette:
<snip>
+ 10.40.11.10 :
. List of open ports :
o epmap (135/tcp) (Security warnings found)
o netbios-ssn (139/tcp)
o microsoft-ds (445/tcp) (Security warnings found)
o unknown (1029/tcp) (Security notes found)
o general/tcp (Security warnings found)
o netbios-ns (137/udp) (Security warnings found)
o general/icmp (Security warnings found)
o general/udp (Security notes found)
o unknown (1028/tcp) (Security notes found)
</snip>
<snip>
.. Information found on port unknown (1029/tcp)
A DCE service is listening on 10.40.11.10:1029 :
Type: ncacn_ip_tcp
UUID : 8e52b00d-a937-cfc0-1182-2daa51e40000
. Information found on port unknown (1029/tcp)
A DCE service is listening on 10.40.11.10:1029 :
Type: ncacn_ip_tcp
UUID : f706820d-511f-e80a-3007-6d740be8cee9
</snip>
<snip>
.. Information found on port unknown (1028/tcp)
A DCE service is listening on 10.40.11.10:1028 :
Type: ncacn_ip_udp
UUID : 7b91f80d-ff5a-11d0-a9b2-c04fb6e60000
Annotation : Messenger Service
</snip>
Nessus fandt altså desuden en åben tcp-port på port 1028.
Jeg har siden fundet ud af at de nævnte porte også optræder på maskiner
uden netop-school.
Jeg har fræset google igennem hele dagen uden at finde noget godt.
Hvad gør en klog nu?
Mvh.
--
Rune Zimmermann
http://www.spiffer.dk