Steht offen im Internet ???

[OliverIO]

Hallo, hier ist etwas schwarmwissen benötigt

bei mehreren scans von ausserhalb auf die öffentliche ip tauchen immer wieder offene ports auf, die man sich nicht erklären kann

5060 ist ok, da sip-gateway für voip-telefon
113,1080,40130 sind bei jedem scan mit aufgelistet worden
die 2 letzten in der liste tauchen mit jeweils unterschiedlichen portnummern, aber immer im hohen bereich immer wieder auf.

1080 ist eigentlich für socks zuständig. so ein dienst wird aber nicht genutzt. die liste der portfreigaben in der fritzbox ist leer

PORT STATE SERVICE
113/tcp closed ident
1080/tcp closed socks
5060/tcp open sip
40130/tcp open unknown
46862/tcp open unknown
55322/tcp open unknown

folgende fragen wären zu klären
a) weiß jemand, was da für reguläre dienste noch dahinter stecken kann?
b) wie man herausfinden kann, welcher rechner im LAN diese ports benutzt

Die Anzahl der Geräte im Netz ist überschaubar

Laptop,
Synology
iobroker raspi
alexa
ipod,iphone
löwe fernseher
und wohl noch ein paar ESPs

[Thomas Braun]

@oliverio

Von innen nix zu sehen?

sudo netstat -tulpen

[OliverIO]

@thomas-braun
die ports sind ja auf dem router offen und wahrscheinlich mit upnp geöffnet. aber das ist auch eine vermutung.
ich weiß nicht was die fritzbox da noch macht und daher die ports evtl doch regulär sind.
gerade bei 1080 kann man nachlesen, das dieser port gern von backdoors genutzt wird. auf jeden fall sollte der bei einem normalen konsumenten kein 1080 am router offen sein

[Thomas Braun]

@oliverio

Bin nicht so der Netzwerker, sorry.

Aber FritzBoxen haben doch diese Übersicht. Steht da nix drin?

[Wildbill]

@oliverio Dass Ports per UPNP geöffnet werden, sollte sich doch auch in der Fritzbox deaktivieren lassen? Zumindest habe ich das so in Erinnerung und würde ich jedem empfehlen, das sofort zu deaktivieren. Wenn ports geöffnet werden, dann nur von dem, der sie auch gezielt offen haben will.
Ansonsten hilft wohl nur die Brechstangenmethode. Nach und nach die Gerte ausschalten/vom Netz nehmen und schauen, wie es sich verhält. Irgendwann wird sich wohl ein oder mehrere schuldige finden.

Gruss, Jürgen

[Homoran]

@wildbill sagte in Steht offen im Internet ???:

, sollte sich doch auch in der Fritzbox deaktivieren lassen? Zumindest habe ich das so in Erinnerung und würde ich jedem empfehlen, das sofort zu deaktivi

bei "Geräte dürfen eigenständig Ports öffnen" darf kein Haken sein

[Wildbill]

@homoran Ja, irgendwie so müsste es heissen. Das ist halt ein absolutes Sicherheitsrisiko, dass es Geräten von innen heraus erlaubt wird selbstständig Ports zu öffnen und gehört auf jeden Fall deaktiviert.

Grussm Jürgen

EDIT: Wobei ich meine, mich zu erinnern, dass die Fritzbox doch auch anzeigt, welche Ports per UPnP geöffnet wurden und von welchem Gerät. Kann mich aber auch täuschen, ist schon sehr lange her…

[Homoran]

@wildbill sagte in Steht offen im Internet ???:

ist schon sehr lange her…

und sieht jedesmal anders aus

[OliverIO]

@wildbill said in Steht offen im Internet ???:

ass Ports per UPNP geöffnet werden, sollte sich doch auch in der Fritzbox deaktivieren lassen? Zumindest habe ich das so in Erinnerung und würde ich jedem empfehlen, das sofort zu deaktivieren. Wenn ports geöffnet werden, dann nur von dem, der sie auch gezielt offen haben will.
Ansonsten hilft wohl nur die Brechstangenmethode. Nach und nach die Gerte ausschalten/vom Netz nehmen und schauen, wie es sich verhält. Irgendwann wird sich wohl ein oder mehrere schuldige finden.

ja das wurde gemacht. zunächst upnp deaktiviert, dann alle relevanten geräte ausgeschaltet, dann der router ausgeschaltet, wieder angeschaltet und erneut gescannt.
das ist das gepostete letzte Ergebnis weiter oben.
Leider weiß ich nicht, wann fritzbox/router die upnp freigaben vergessen. ich dachte nach einem neustart, wenn sie dann nicht gleich wieder gesetzt werden.

die Ansicht mit den Portfreigaben wurde geprüft. Der Port 46435 hat sich dadurch zumindest geklärt (allerdings ohne zu wissen wofür der ist, in der fritzbox steht was von wartung, im internet ist aber nix dazu zu finden)
die anderen ports sind noch offen
sorgen machen mir immer noch 113 und 1080
113 mach aus meiner Sicht nur innerhalb eines Netzes sinn, ausserhalb wäre es echt gefährlich (sofern auf dem port auch tatsächlich die Anwendung läuft, die für den Port vorgesehen ist)
https://www.speedguide.net/port.php?port=1080
https://www.speedguide.net/port.php?port=113

diese beiden seiten sind auch mit entsprechenden warnhinweisen zu Trojaner und backdoors versehen, die diese ports nutzen.
daher auch die frage, üb man über die fritzbox herausfindet, welches gerät im lan diesen port nutzt.
seltsam war auch, das der router icmp-pakete geblockt hat. weiß aber nicht ob das ein standard-verhalten der fritzbox ist.
könnten auch maßnahmen sein um das entdecken der trojaner/backdoors zu erschweren

[Marc Berg]

@oliverio sagte in Steht offen im Internet ???:

sorgen machen mir immer noch 113 und 1080

Diese beiden Ports werden meines Wissens schon bei einigen Providern "abgefangen" und mit "closed" beantwortet, bevor sie bei der FritzBox ankommen. Da besteht kein Grund zur Sorge, denke ich.

[fastfoot]

in der FritzBox gibt es ein Menu Diagnose - Sicherheit, dort werden alle offenen Ports gelistet mit Beschreibung. Auch evtl. sonstige sicherheitsrelevante (Fehl-)Einstellungen werden detailliert gelistet

[mickym]

@oliverio sagte in Steht offen im Internet ???:

seltsam war auch, das der router icmp-pakete geblockt hat. weiß aber nicht ob das ein standard-verhalten der fritzbox ist.

[OliverIO]

@mickym
ah ok,
weiß aber nicht ob derjenige das absichtlich eingestellt hat.

[OliverIO]

@marc-berg said in Steht offen im Internet ???:

Diese beiden Ports werden meines Wissens schon bei einigen Providern "abgefangen" und mit "closed" beantwortet, bevor sie bei der FritzBox ankommen. Da besteht kein Grund zur Sorge, denke ich.

sie erscheinen aber auch bei einem scan von innen.
von innen wie von außen kein unterschied

[Homoran]

@mickym

ich habe aber vor langer Zeit mal gelesen, dass der stealth mode gar nicht so sinnvoll wäre, da die Blockade ja zeigt, dass da jemand ist.

[mickym]

@homoran Das bezieht sich glaub weniger auf den stealth mode - sondern meiner Meinung nach, war das wenn man seine WLAN Kennung verbirgt - aber das Ablehnen von ICMP Nachrichten ist bei den Firewalls eigentlich Standard. Ich habs aber auch aus, weil ich das hin und wieder brauche um zu sehen, ob bestimmte Anwendungen in meinem internen Netz erreichbar sind.

Ich glaub sogar dass dieser Filter standardmäßig an ist, wenn man ihn nicht bewußt ausschaltet.

[Thomas Braun]

@homoran sagte in Steht offen im Internet ???:

ich habe aber vor langer Zeit mal gelesen, dass der stealth mode gar nicht so sinnvoll wäre, da die Blockade ja zeigt, dass da jemand ist.

Auch wenn die Seite aussieht wie aus dem letzten Jahrhundert:

https://www.grc.com/faq-shieldsup.htm#IDENT

erklärt es.

[Homoran]

@thomas-braun ja, so hab ich das noch in Erinnerung.

[Thomas Braun]

@homoran

But the problem with simple stealthing of port 113 is that we don't want to hurt the servers we are trying to contact when they turn around and send us their IDENT query. If they get no response at all from their port 113 query, our connection to them (which initiated their query in the first place) will be delayed or perhaps completely abandoned.

Das ist der Grund, warum der 113er oft nicht unter einer 'Tarnkappe' läuft.