werden Ports abgehorcht?

[Skiron]

Ich möcht rausfinden, ob ein Virenscanner oder eine Firewall läuft. Dazu hab ich mir gedacht, könnte man prüfen, ob und wer bestimmte Ports abgehorcht. Bleibt mir nur noch die Frage wie.
Oder hat jemand auch eine andere idee, wie man das rausfinden könnte?

[Luckie]

Wo möchtest du das kucken? Auf einem lokalen Rechner oder auf einem Rechner der im Internet ist?

[Skiron]

auf einem Rechner, der im imternet hängt

[Stanlay Hanks]

Hi und herzlich willkommen in der DP!
Wofür brauchst du denn das? Ich frage, weil du explizit auf Virenscanner und Firewall hinweist...Ich meine, die sind ja dazu da, Ports zu überwachen. Und wie willst du das auf einem anderen Rechner bewerkstelligen? Hat der betreffende dein Programm
Ohne dir was unterstellen zu wollen, aber das hört sich schon komisch an...

Man liest sich, Stanlay

[Luckie]

Warum möchtest du wissen, ob bei mir ein Antiviren Programm oder Firewall läuft? Das geht dich gar nichts an.

[Stanlay Hanks]

Luckie glaub ich, meint das gleiche wie ich. Wenn hier nämlich Code veröffentlicht wird, der für was illegales eingesetzt wird /werden kann, dann gibts für die Verantwortlichen Ärger. Und da wir das alle nicht wollen, könntest du uns ja kurz erklähren, was du genau vorhast.

Man liest sich, Stanlay

[negaH]

Naja, Wissen ist Macht. Wenn die FireWall gut ist dann gibt es keine Möglichkeit einen geschlossenen Port von einem FireWall blockierten Port zu unterscheiden. Die FireWall wird dann nämlich auf diesem Port so reagieren als wäre dieser Port geschlossen. Dazu muß man aber wissen welche Staties ein Port annehmen kann:
1.) geschlossen, d.h. jede Anfrage auf diesem Port wird keienerlei Reaktionen hervorufen, somit wird der Client mit einem Timeout terminieren
2.) geschlossen aber belegt, d.h. eine FireWall blockiert diesen Port. Sie wird also alle was am Port reinkommt behandeln und abfangen. Für die Clientside ergibt sich aber das Bild das dieser Port geöffnet ist, aber nicht auf die entsprechenden Protokollabfragen antwortet. Der Client wird als mitbekommen das bei einem Verbindungsausbau der Serverport dropt, sprich die Verbindung AKTIV beendet.
3.) offen, auf dem Port reagiert eine Software.

Eine gute FireWall wird bei einem geblocktem Port so reagieren wie in 1.) und NICHT wie 2.). Leider machen das die wenigsten FireWall, technisch bedingt, da sie auf's SocketAPI des OS aufsetzen. D.h. die FireWall hat keine Möglichkeit ganz gezielt den kompletten TCP/IP Frame zu blocken, sondern nur dessen Weiterleitung in das System. Das underlaying Socket API wird also den Port wie in 2.) droppen.

Ganz "schlechte" FireWalls wiederum, setzen auf die geblockten Ports ein eigenes Protokoll drauf. D.h. sie antworten sogar und implementieren eine Info-Antwort oder sogar eine "Backdoor".

Gruß Hagen

[negaH]

Vielleicht noch genauer.
Aus Sicht der FireWall ist der Unterschied im Modus 1. und 2. die sogenannte "Stealth" Option. Bei einigen FireWall's kann man das einstellen. Im Stealth Modus verrät also die FireWall nicht das sie anwesend ist.

Grundsätzlich gibt es nur einen Informationstheoretischen Unterschied. Der Angreifer kann also im günstigsten Falle ermitteln das eine FireWall existent ist und eventuell welche FireWall es ist. Sollte nun die FireWall bekannte Schwachstellen besitzen so könnte der Angreifer auf Grund des fehlenden Stealth Modus schneller seine Angriffe anpassen. Da aber normalerweise eine FireWall keine Schwachstellen haben sollte ist es aus Sicht der Gesamtperformance des Internets besser wenn die FireWall den Port gezielt dropt. Denn nun entstehen keine unnötigen Timeouts.

Gruß Hagen

[negaH]

Zurück zur Frage "werden Ports abgehorcht ?"
Antwort: Ja. Man nennt dies den "Listen" Modus.

Gruß Hagen

[Skiron]

@negaH: interessant! Auch der Listen-modus.
Aber wie genau kann man rausfinden, ob (und vielleicht auch welches programm) Ports abgehorcht werden?
@Stanlay: Ich möcht ein prog schreiben, das bestimmte Infos zur sicherheit eines PCs ausgibt. Darunter auch ob eine Firewall / ein Virenscanner läuft und welche!