wie port 911 schließen? [gelöst]

[docNet]

hallo,

Code: Alles auswählen

docnet@amilo:~$ nmap -sT localhost

Starting nmap 3.75 ( http://www.insecure.org/nmap/ ) at 2005-03-04 14:01 CET
Interesting ports on localhost (127.0.0.1):
(The 1658 ports scanned but not shown below are in state: closed)
PORT    STATE SERVICE
22/tcp  open  ssh
25/tcp  open  smtp
111/tcp open  rpcbind
139/tcp open  netbios-ssn
911/tcp open  unknown

Nmap run completed -- 1 IP address (1 host up) scanned in 0.200 seconds
docnet@amilo:~$ 

warum ist der port offen. und was ist es ?
in der /etc services finde ich nix.

[Maikel]

IANAsagt das:

Code: Alles auswählen

xact-backup     911/tcp    xact-backup
xact-backup     911/udp    xact-backup
#                          Bill Carroll <billc@xactlabs.com>

[gms]

überprüfe einmal mit "netstat -tlp" was dort für ein Prozeß läuft

[KBDCALLS]

Versuch mal mit

Code: Alles auswählen

lsof -i:911
fuser -uv 911/tcp
fuser -uv 911/udp

festzustellen wer den Port in Beschlag hat.

[docNet]

@Maikel
danke, aber was ist xact-backup?
heute morgen war der port noch nicht offen?

bye

[docNet]

@gms

Code: Alles auswählen

amilo:/home/docnet# netstat -tlp
Aktive Internetverbindungen (Nur Server)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name   
tcp        0      0 *:netbios-ssn           *:*                     LISTEN     3284/inetd          
tcp        0      0 localhost:911           *:*                     LISTEN     3279/famd           
tcp        0      0 *:sunrpc                *:*                     LISTEN     2872/portmap        
tcp        0      0 localhost:5335          *:*                     LISTEN     3292/mDNSResponder  
tcp        0      0 localhost:smtp          *:*                     LISTEN     3272/exim4          
tcp6       0      0 *:ssh                   *:*                     LISTEN     3324/sshd           

[docNet]

@KBDCALLS

Code: Alles auswählen

amilo:/home/docnet# lsof -i:911
COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
famd    3279 root    3u  IPv4   5789       TCP localhost:911 (LISTEN)
amilo:/home/docnet# 

sorry, aber mir sagt das alls leider nicht viel?
danke für eure hilfe

[gms]

der Port wird auch unter
"What port numbers do well-known trojan horses use?"
http://www.sans.org/resources/idfaq/oddports.php
gefunden

[docNet]

@gms
okey, aber was soll ich jetzt machen?

[Joghurt]

Ja, FAM kann man auch als Trojaner bezeichnen

@docNet: Die Ausgabe zeigt doch, dass FAM an Port 911 lauscht.

[gms]

famd ist harmlos du solltest aber folgendes überprüfen:

/etc/fam.conf

Code: Alles auswählen

local_only = true

[edit]
ist mir jetzt gerade aufgefallen, wenn ich den famd restarte ändert sich der LISTEN Port.
Was ist denn das für ein Feature
[/edit]

[Maikel]

@Maikel
danke, aber was ist xact-backup?
heute morgen war der port noch nicht offen?

bye

Kenn ich auch nicht. Ich hatte das gepostet in der Hoffnung das du es dann zuordnen könntest.

[docNet]

@Joghurt
@gms
vielen dank für eure antworten.

/etc/fam.conf
Code:

local_only = true

hab ich überürüft = true
kann ich diesen port manuel schließen.
und wie so ist er aufenmal offen?
thx docnet

[gms]

der sollte eigentlich nur lokal lauschen, ist zumindestens bei mir der Fall:

Code: Alles auswählen

root:~# netstat -tlp | grep famd
tcp        0      0 localhost.localdoma:679 *:*                     LISTEN     9407/famd

[edit]
ansonsten über die Firewall schließen
[/edit]

[docNet]

@gms

ist mir jetzt gerade aufgefallen, wenn ich den famd restarte ändert sich der LISTEN Port.
Was ist denn das für ein Feature Smile

bei mir auch ist jetzt 683
was ist fam überhaupt?
gruss docnet

[gms]

eigentlich ein unnötiger Prozeß der oftmals beim unmounten Ärger macht

Code: Alles auswählen

root:~# apt-cache search ^fam
fam - File Alteration Monitor

root:~# apt-get --purge remove fam
Paketlisten werden gelesen... Fertig
Abhängigkeitsbaum wird aufgebaut... Fertig
Die folgenden Pakete werden ENTFERNT:
  fam* gnome-commander* gnome-desktop-environment*
0 aktualisiert, 0 neu installiert, 3 zu entfernen und 5 nicht aktualisiert.
Es müssen 0B Archive geholt werden.
Nach dem Auspacken werden 1257kB Plattenplatz freigegeben sein.
Möchten Sie fortfahren? [J/n]

wurde bei mir nur wegen gnome installiert

[docNet]

ist das so jetzt okey?

Code: Alles auswählen

amilo:/home/docnet# netstat -tlp | grep famd
tcp        0      0 localhost:683           *:*                     LISTEN     3899/famd           
amilo:/home/docnet# 

bye

[gms]

yep


so wäre es nicht so toll:

Code: Alles auswählen

amilo:/home/docnet# netstat -tlp | grep famd 
tcp        0      0 *:683           *:*                     LISTEN     3899/famd            
amilo:/home/docnet#

[nepos]

Oder einfach deinstallieren, falls du das nicht brauchen solltest...

[docNet]

hmm, ich kann nämlich z.b. keine cd mounten?

[gms]

also für alles kannst du den famd nicht verantwortlich machen
Nein der verhindert nur zeitweise das unmounten (wenn er noch auf das Filesystem zugreift)

[docNet]

vielen dank an euch.
hab fam deinstalliert.

bye docnet

[KBDCALLS]

Code: Alles auswählen

matthias@biljana:~$ aptitude search fam
p   fam                             - File Alteration Monitor

Reagiert auf Zustandsänderungen von Geräten. Eingelegte CD zum Beispiel