Steht offen im Internet ???

[Duffy]

@oliverio

Danke für deine Erklärung und den entscheidenden Hinweis.
Also noch mal gemacht und jetzt kam folgendes raus:

pi@raspberrypi:~ $ nmap -Pn -p 1-1024 46.142.65.xxx
Starting Nmap 7.80 ( https://nmap.org ) at 2023-09-27 18:48 CEST
Nmap scan report for xxx-65-142-46.pool.kielnet.net (46.142.65.xxx)
Host is up (0.0033s latency).
Not shown: 1023 filtered ports
PORT    STATE  SERVICE
113/tcp closed ident

Nmap done: 1 IP address (1 host up) scanned in 6.61 seconds
pi@raspberrypi:~ $ nmap -Pn -p- 46.142.65.xxx
Starting Nmap 7.80 ( https://nmap.org ) at 2023-09-27 18:48 CEST
Nmap scan report for xxx-65-142-46.pool.kielnet.net (46.142.65.xxx)
Host is up (0.0022s latency).
Not shown: 65527 filtered ports
PORT      STATE  SERVICE
113/tcp   closed ident
1080/tcp  closed socks
5060/tcp  open   sip
33298/tcp open   unknown
40130/tcp open   unknown
53268/tcp open   unknown
55735/tcp open   unknown
56536/tcp closed unknown

Nmap done: 1 IP address (1 host up) scanned in 107.86 seconds
pi@raspberrypi:~ $

Sieht das jetzt besser aus? War NICHT über das mobile Netz.

Edit: Habe gesehen das es das Nmap doch auch für Win gibt.

[OliverIO]

@duffy
Leider nicht.
Hast du Dienste laufen die aus dem Internet erreicht werden sollen?

Nutzt du für VoIP einen sip Dienst
1080 sieht auch bedenklich aus.
Mach den 2. Scan nochmal
Und dann solltest du es Mal mit einem Scan vergleichen der von außerhalb drauf zugreift.
Wenn es so bleibt dann hast du tatsächlich ein Problem. Schalte Mal im Router bitte upnp aus.
Das ermöglicht Programmen einfach Ports am Router zu öffnen.
Danach Router aus und wieder an schalten
Dann Scan nochmal wiederholen

Gern kannst du mir per PM Mal deine Ip mitteilen dann scanne ich für dich

Bspw bei mir wird nur 80 und 443 angezeigt.
Aber ich habe hier auch einen Webserver laufen

[OliverIO]

Hallo, hier ist etwas schwarmwissen benötigt

bei mehreren scans von ausserhalb auf die öffentliche ip tauchen immer wieder offene ports auf, die man sich nicht erklären kann

5060 ist ok, da sip-gateway für voip-telefon
113,1080,40130 sind bei jedem scan mit aufgelistet worden
die 2 letzten in der liste tauchen mit jeweils unterschiedlichen portnummern, aber immer im hohen bereich immer wieder auf.

1080 ist eigentlich für socks zuständig. so ein dienst wird aber nicht genutzt. die liste der portfreigaben in der fritzbox ist leer

PORT STATE SERVICE
113/tcp closed ident
1080/tcp closed socks
5060/tcp open sip
40130/tcp open unknown
46862/tcp open unknown
55322/tcp open unknown

folgende fragen wären zu klären
a) weiß jemand, was da für reguläre dienste noch dahinter stecken kann?
b) wie man herausfinden kann, welcher rechner im LAN diese ports benutzt

Die Anzahl der Geräte im Netz ist überschaubar

Laptop,
Synology
iobroker raspi
alexa
ipod,iphone
löwe fernseher
und wohl noch ein paar ESPs

[Thomas Braun]

@oliverio

Von innen nix zu sehen?

sudo netstat -tulpen

[OliverIO]

@thomas-braun
die ports sind ja auf dem router offen und wahrscheinlich mit upnp geöffnet. aber das ist auch eine vermutung.
ich weiß nicht was die fritzbox da noch macht und daher die ports evtl doch regulär sind.
gerade bei 1080 kann man nachlesen, das dieser port gern von backdoors genutzt wird. auf jeden fall sollte der bei einem normalen konsumenten kein 1080 am router offen sein

[Thomas Braun]

@oliverio

Bin nicht so der Netzwerker, sorry.

Aber FritzBoxen haben doch diese Übersicht. Steht da nix drin?

[Wildbill]

@oliverio Dass Ports per UPNP geöffnet werden, sollte sich doch auch in der Fritzbox deaktivieren lassen? Zumindest habe ich das so in Erinnerung und würde ich jedem empfehlen, das sofort zu deaktivieren. Wenn ports geöffnet werden, dann nur von dem, der sie auch gezielt offen haben will.
Ansonsten hilft wohl nur die Brechstangenmethode. Nach und nach die Gerte ausschalten/vom Netz nehmen und schauen, wie es sich verhält. Irgendwann wird sich wohl ein oder mehrere schuldige finden.

Gruss, Jürgen

[Homoran]

@wildbill sagte in Steht offen im Internet ???:

, sollte sich doch auch in der Fritzbox deaktivieren lassen? Zumindest habe ich das so in Erinnerung und würde ich jedem empfehlen, das sofort zu deaktivi

bei "Geräte dürfen eigenständig Ports öffnen" darf kein Haken sein

[Wildbill]

@homoran Ja, irgendwie so müsste es heissen. Das ist halt ein absolutes Sicherheitsrisiko, dass es Geräten von innen heraus erlaubt wird selbstständig Ports zu öffnen und gehört auf jeden Fall deaktiviert.

Grussm Jürgen

EDIT: Wobei ich meine, mich zu erinnern, dass die Fritzbox doch auch anzeigt, welche Ports per UPnP geöffnet wurden und von welchem Gerät. Kann mich aber auch täuschen, ist schon sehr lange her…

[Homoran]

@wildbill sagte in Steht offen im Internet ???:

ist schon sehr lange her…

und sieht jedesmal anders aus

[OliverIO]

@wildbill said in Steht offen im Internet ???:

ass Ports per UPNP geöffnet werden, sollte sich doch auch in der Fritzbox deaktivieren lassen? Zumindest habe ich das so in Erinnerung und würde ich jedem empfehlen, das sofort zu deaktivieren. Wenn ports geöffnet werden, dann nur von dem, der sie auch gezielt offen haben will.
Ansonsten hilft wohl nur die Brechstangenmethode. Nach und nach die Gerte ausschalten/vom Netz nehmen und schauen, wie es sich verhält. Irgendwann wird sich wohl ein oder mehrere schuldige finden.

ja das wurde gemacht. zunächst upnp deaktiviert, dann alle relevanten geräte ausgeschaltet, dann der router ausgeschaltet, wieder angeschaltet und erneut gescannt.
das ist das gepostete letzte Ergebnis weiter oben.
Leider weiß ich nicht, wann fritzbox/router die upnp freigaben vergessen. ich dachte nach einem neustart, wenn sie dann nicht gleich wieder gesetzt werden.

die Ansicht mit den Portfreigaben wurde geprüft. Der Port 46435 hat sich dadurch zumindest geklärt (allerdings ohne zu wissen wofür der ist, in der fritzbox steht was von wartung, im internet ist aber nix dazu zu finden)
die anderen ports sind noch offen
sorgen machen mir immer noch 113 und 1080
113 mach aus meiner Sicht nur innerhalb eines Netzes sinn, ausserhalb wäre es echt gefährlich (sofern auf dem port auch tatsächlich die Anwendung läuft, die für den Port vorgesehen ist)
https://www.speedguide.net/port.php?port=1080
https://www.speedguide.net/port.php?port=113

diese beiden seiten sind auch mit entsprechenden warnhinweisen zu Trojaner und backdoors versehen, die diese ports nutzen.
daher auch die frage, üb man über die fritzbox herausfindet, welches gerät im lan diesen port nutzt.
seltsam war auch, das der router icmp-pakete geblockt hat. weiß aber nicht ob das ein standard-verhalten der fritzbox ist.
könnten auch maßnahmen sein um das entdecken der trojaner/backdoors zu erschweren

[Marc Berg]

@oliverio sagte in Steht offen im Internet ???:

sorgen machen mir immer noch 113 und 1080

Diese beiden Ports werden meines Wissens schon bei einigen Providern "abgefangen" und mit "closed" beantwortet, bevor sie bei der FritzBox ankommen. Da besteht kein Grund zur Sorge, denke ich.

[fastfoot]

in der FritzBox gibt es ein Menu Diagnose - Sicherheit, dort werden alle offenen Ports gelistet mit Beschreibung. Auch evtl. sonstige sicherheitsrelevante (Fehl-)Einstellungen werden detailliert gelistet

[mickym]

@oliverio sagte in Steht offen im Internet ???:

seltsam war auch, das der router icmp-pakete geblockt hat. weiß aber nicht ob das ein standard-verhalten der fritzbox ist.

[OliverIO]

@mickym
ah ok,
weiß aber nicht ob derjenige das absichtlich eingestellt hat.

[OliverIO]

@marc-berg said in Steht offen im Internet ???:

Diese beiden Ports werden meines Wissens schon bei einigen Providern "abgefangen" und mit "closed" beantwortet, bevor sie bei der FritzBox ankommen. Da besteht kein Grund zur Sorge, denke ich.

sie erscheinen aber auch bei einem scan von innen.
von innen wie von außen kein unterschied

[Homoran]

@mickym

ich habe aber vor langer Zeit mal gelesen, dass der stealth mode gar nicht so sinnvoll wäre, da die Blockade ja zeigt, dass da jemand ist.

[mickym]

@homoran Das bezieht sich glaub weniger auf den stealth mode - sondern meiner Meinung nach, war das wenn man seine WLAN Kennung verbirgt - aber das Ablehnen von ICMP Nachrichten ist bei den Firewalls eigentlich Standard. Ich habs aber auch aus, weil ich das hin und wieder brauche um zu sehen, ob bestimmte Anwendungen in meinem internen Netz erreichbar sind.

Ich glaub sogar dass dieser Filter standardmäßig an ist, wenn man ihn nicht bewußt ausschaltet.

[Thomas Braun]

@homoran sagte in Steht offen im Internet ???:

ich habe aber vor langer Zeit mal gelesen, dass der stealth mode gar nicht so sinnvoll wäre, da die Blockade ja zeigt, dass da jemand ist.

Auch wenn die Seite aussieht wie aus dem letzten Jahrhundert:

https://www.grc.com/faq-shieldsup.htm#IDENT

erklärt es.

[Homoran]

@thomas-braun ja, so hab ich das noch in Erinnerung.