[psac]

11
sysstat這是一種UNIX服務，它會列出電腦上所有正在執行的工作以及是什麼啟動 了這些工作。這為入侵者提供了許多訊息而威脅機器的安全，如暴露已知某些弱點或
帳戶的程序。這與UNIX系統中「ps」指令的結果相似再說一遍：ICMP沒有連接阜，ICMP port 11通常是ICMPtype=1119 chargen
這是一種僅僅傳送字元的服務。UDP版本將 會在收到UDP包後回應含有用處不大!字元的包。

TCP連 接時，會傳送含有用處不大!字元的資料流知道連接關閉。



Hacker利用IP欺騙可以發動DoS 攻擊偽造兩
個chargen伺服器之間的UDP由於伺服器企圖回應兩個伺服器之間的無限 的往返資料通訊一個chargen和echo將導致伺服器過載。

同樣fraggle DoS攻擊向目標 位址的這個連接阜廣播一個帶有偽造受害者IP的資料包，受害者為了回應這些資料而過 載。


21
ftp最一般的攻擊者用於尋找開啟「anonymous」的ftp伺服器的方*。

這些伺服器
帶有可讀寫的目錄。Hackers或tackers利用這些伺服器作為傳送warez (私有程序) 和pr0n(故意拼錯詞而避免被搜尋引擎分類)的節點。


22 sshPcAnywhere建立TCP和這一連接阜的連接可能是為了尋找ssh。
這一服務有許多弱 點。
如果組態成特定的模式，許多使用RSAREF庫的版本有不少漏洞。（建議在其它端
口執行ssh）還應該注意的是ssh工具包帶有一個稱為ake-ssh-known-hosts的程序。



它會掃瞄整個域的ssh主機。你有時會被使用這一程序的人無意中掃瞄到。

UDP（而不 是TCP）與另一端的5632連接阜相連意味著存在搜尋pcAnywhere的掃瞄。

5632 （十六進 制的0x1600）位交換後是0x0016（使進制的22）。

23 Telnet入侵者在搜尋遠端登入UNIX的服務。大多數情況下入侵者掃瞄這一連接阜是 為了找到機器執行的*作系統。此外使用其它技術，入侵者會找到密碼。


#2
25 smtp攻擊者（spammer）尋找SMTP伺服器是為了傳送他們的spam。

入侵者的帳戶總 被關閉，他們需要撥號連線到高帶寬的e-mail伺服器上，將簡單的訊息傳送到不同的 位址。



SMTP伺服器（尤其是sendmail）是進入系統的最常用方*之一，因為它們必須
完整的暴露於Internet且郵件的路由是複雜的（暴露+複雜=弱點）。


53
DNSHacker或crackers可能是試圖進行區域傳送（TCP），欺騙DNS（UDP）或隱藏 其它通訊。

因此防火牆常常過濾或記錄53連接阜。



需要注意的是你常會看到53連接阜做為 UDP源連接阜。不穩定的防火牆通常允許這種通訊並假設這是對DNS查詢的回覆。


Hacker 常使用這種方*穿透防火牆。


67和68 Bootp和DHCPUDP上的Bootp/DHCP：通過DSL和cable-modem的防火牆常會看 見大量傳送到廣播位址255.255.255.255的資料。這些機器在向DHCP伺服器請求一個 位址分配。

Hacker常進入它們分配一個位址把自己作為局部路由器而發起大量的「中間人」（man-in-middle）攻擊。

客戶端向68連接阜（bootps）廣播請求組態，伺服器
向67連接阜（bootpc）廣播回應請求。這種回應使用廣播是因為客戶端還不知道可以發 送的IP位址。

69 TFTP(UDP)
許多伺服器與bootp一起提供這項服務，便於從系統下載 啟動程式碼。但是它們常常錯誤組態而從系統提供任何文件，如密碼文件。

它們也可用 於向系統寫入文件
79 finger Hacker用於獲得用戶訊息，查詢*作系統，探測已知的緩衝區溢位錯誤， 回應從自己機器到其它機器finger掃瞄。




98
linuxconf 這個程序提供linuxboxen的簡單管理。通過整合的h++p伺服器在98端
口提供關於Web界面的服務。它已發現有許多安全問題。


一些版本setuidroot，信任區域網路，在/tmp下建立Internet可訪問的文件，LANG環境變數有緩衝區溢位。


此外 因為它包含整合的伺服器，許多典型的h++p漏洞可
能存在（緩衝區溢位，歷遍目錄等）109 POP2並不像POP3那樣有名，但許多伺服器同
時提供兩種服務（向後相容）。在同一個伺服器上POP3的漏洞在POP2中同樣存在。




110
POP3用於客戶端訪問伺服器端的郵件服務。

POP3服務有許多公認的弱點。關於用
戶名和密碼交換緩衝區溢位的弱點至少有20個（這意味著Hacker可以在真正登入繼續 入系統）。


成功登入後還有其它緩衝區溢位錯誤。


111 sunrpc
portmap rpcbind Sun RPCPortMapper/RPCBIND。訪問portmapper是 掃瞄系統檢視允許哪些RPC服務的最早的一步。

常 見RPC服務有：pc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等。入侵者發現了允許的RPC服務將轉向提 供 服務的特定連接阜測試漏洞。


記住一定要記錄線路中的 daemon, IDS, 或sniffer，你可以發現入侵者正使用什麼程序訪問以便發現到底發生 了什麼。



113 Ident auth .這是一個許多電腦上執行的傳輸協定，用於鑒別TCP連接的用戶。

使用 標準的這種服務可以獲得許多機器的訊息（會被Hacker利用）。

但是它可作為許多服 務的記錄器，尤其是FTP, POP, IMAP, SMTP和IRC等服務。


通常如果有許多客戶通過 防火牆訪問這些服務，你將會看到許多這個連接阜的連接請求。

記住，如果你阻斷這個 連接阜客戶端會感覺到在防火牆另一邊與e-mail伺服器的緩慢連接。許多防火牆支持在 TCP連接的阻斷程序中發回T，著將回停止這一緩慢的連接。


119
NNTP news新聞組傳輸傳輸協定，承載USENET通訊。

當你連接到諸 如：news.security.firewalls/.
的位址時通常使用這個連接阜。這個連接阜的連接 企圖通常是人們在尋找USENET伺服器。


多數ISP限制只有他們的客戶才能訪問他們的新 聞組伺服器。

開啟新聞組伺服器將允許發/讀任何人的帖子，訪問被限制的新聞組服務 器，匿名發帖或傳送spam。


135 oc-serv MS RPC
end-point mapper Microsoft在這個連接阜執行DCE RPC end- point mapper為它的DCOM服務。


這與UNIX 111連接阜的功能很相似。


使用DCOM和/或 RPC的服務利用 電腦上的end-point mapper註冊它們的位置。

遠 端客戶連線到機器時，它們查詢end-point mapper找到服務的位置。

同樣Hacker掃瞄 機器的這個連接阜是為了找到諸如：這個電腦上運 行Exchange Server嗎？
是什麼版 本？ 這個連接阜除了被用來查詢服務（如使用epdump）還可以被用於直接攻擊。有一些 DoS攻 擊直接針對這個連接阜。



137 NetBIOS name service nbtstat (UDP)這是防火牆管理員最一般的訊息，請仔
細閱讀文章後面的NetBIOS一節 139 NetBIOS File and Print Sharing 通過這個連接阜進入的連接試圖獲得NetBIOS/SMB服務。


這個傳輸協定被用於Windows「文件 和列印機共享」和SAMBA。

在Internet上共享自己的硬碟是可能是最一般的問題。

大 量針對這一連接阜始於1999，後來逐漸變少。

2000年又有回升。一些VBS（IE5 VisualBasicScripting）開始將它們自己拷貝到這個連接阜，試圖在這個連接阜繁殖。



143
IMAP和上面POP3的安全問題一樣，許多IMAP伺服器有緩衝區溢位漏洞執行登入過
程中進入。

記住：一種Linux蠕蟲（admw0rm）會通過這個連接阜繁殖，因此許多這個端
口的掃瞄來自不知情的已被感染的用戶。當RadHat在他們的Linux發怖版本中預設允
許IMAP後，這些漏洞變得流行起來。


Morris蠕蟲以後這還是第一次廣泛傳播的蠕蟲。 這一連接阜還被用於IMAP2，但並不流行。
已有一些報導發現有些0到143連接阜的攻擊源 於指令碼。


161 SNMP(UDP)入侵者常探測的連接阜。SNMP允許遠端管理設備。

所有組態和執行訊息 都儲存在資料庫中，通過SNMP客獲得這些訊息。

許多管理員錯誤組態將它們暴露於 Internet。

Crackers將試圖使用預設的密碼「public」「private」訪問系統。


他們 可能會試驗所有可能的組合。

SNMP包可能會被錯誤的指向你的網路。Windows機器常 會因為錯誤組態將HP JetDirect rmote management軟體使用SNMP。

HPOBJECT IDENTIFIER將收到SNMP包。新版的Win98使用SNMP解析域名，你會看見這種包在子網 內廣播（cable modem, DSL）查詢sysName和其它信 息。


162 SNMP trap 可能是由於錯誤組態

177 xdmcp
許多Hacker通過它訪問X-Windows控制台，它同時需要開啟6000連接阜。

513 rwho 可能是從使用cable
modem或DSL登入到的子網中的UNIX機器發出的廣播。

這些人為Hacker進入他們的系統提供了很有趣的訊息
553 CORBA IIOP
(UDP) 如果你使用cable modem或DSL VLAN，你將會看到這個連接阜 的廣播。


CORBA是一種面向對象的RPC（remote procedure
call）系統。


Hacker會利 用這些訊息進入系統。 600 Pcserver backdoor 請檢視1524連接阜一些玩script的孩 子認為他們通過修改ingreslock和pcserver文件已經完全攻破了系統-- Alan J. Rosenthal.


635 mountd
Linux的mountd Bug。這是人們掃瞄的一個流行的Bug。

大多數對這個端 口的掃瞄是關於UDP的，但關於TCP 的mountd有所增加（mountd同時執行於兩個端 口）。


記住，mountd可執行於任何連接阜（到底在哪個連接阜，需要在連接阜111做portmap 查詢），只是Linux預設為635連接阜，就像NFS通常執行於2049
1024 許多人問這個
連接阜是幹什麼的。它是動態連接阜的開始。許多程序並不在乎用哪個連接阜連接網路，它 們請求*作系統為它們分配「下一個閒置連接阜」。關於這一點分配從連接阜1024開始。




這意味著第一個向系統請求分配動態連接阜的程序將被分配連接阜1024。


為了驗證這一 點，你可以重啟機器，開啟Telnet，再開啟一個視窗執行「natstat
-a」，你將會看 到Telnet被分配1024連接阜。請求的程序越多，動態連接阜也越多。