PDA

View Full Version : SYGATE: bloccare svchost??

ertortuga
08-09-2004, 23:56
Salve a tutti ho installato sul mio PC Sygate Personal Firewall PRO 5.5 e quando mi connetto capita che mi appare il pop-up in allegato.
Cosa significa?
Cosa faccio lo blocco "definitivamente"?

Questo è il "detail":

File Version : 5.1.2600.0 (xpclient.010817-1148)
File Description : Generic Host Process for Win32 Services (svchost.exe)
File Path : C:\WINDOWS\system32\svchost.exe
Process ID : 0x384 (Heximal) 900 (Decimal)

Connection origin : remote initiated
Protocol : UDP
Local Address : 62.98.221.74
Local Port : 1027
Remote Name :
Remote Address : 69.59.164.204
Remote Port : 1091

Ethernet packet details:
Ethernet II (Packet Length: 704)
Destination: 00-00-02-00-00-00
Source: 02-00-20-00-02-00
Type: IP (0x0800)
Internet Protocol
Version: 4
Header Length: 20 bytes
Flags:
.0.. = Don't fragment: Not set
..0. = More fragments: Not set
Fragment offset:0
Time to live: 108
Protocol: 0x11 (UDP - User Datagram Protocol)
Header checksum: 0x7372 (Correct)
Source: 69.59.164.204
Destination: 62.98.221.74
User Datagram Protocol
Source port: 1091
Destination port: 1027
Length: 8
Checksum: 0x19d (Correct)
Data (670 Bytes)

Binary dump of the packet:
0000: 00 00 02 00 00 00 02 00 : 20 00 02 00 08 00 45 40 | ........ .....E@
0010: 02 B2 D3 D3 00 00 6C 11 : 72 73 45 3B A4 CC 3E 62 | ......l.rsE;..>b
0020: DD 4A 04 43 04 03 02 9E : 9D 01 04 00 28 00 10 00 | .J.C........(...
0030: 00 00 00 00 00 00 00 00 : 00 00 00 00 00 00 00 00 | ................
0040: 00 00 F8 91 7B 5A 00 FF : D0 11 A9 B2 00 C0 4F B6 | ....{Z........O.
0050: E6 FC CA 1C C5 50 7C EA : 9D 39 11 6C 59 E2 03 00 | .....P|..9.lY...
0060: 95 A8 00 00 00 00 01 00 : 00 00 00 00 00 00 00 00 | ................
0070: FF FF FF FF 46 02 00 00 : 00 00 08 00 00 00 00 00 | ....F...........
0080: 00 00 08 00 00 00 4A 65 : 73 73 69 63 61 00 08 00 | ......Jessica...
0090: 00 00 00 00 00 00 08 00 : 00 00 74 65 00 00 74 65 | ..........te..te
00A0: 00 00 12 02 00 00 00 00 : 00 00 12 02 00 00 43 69 | ..............Ci
00B0: 61 6F 2C 20 6D 69 20 63 : 68 69 61 6D 6F 20 4A 65 | ao, mi chiamo Je
00C0: 73 73 69 63 61 2C 20 68 : 6F 20 32 32 20 61 6E 6E | ssica, ho 22 ann
00D0: 69 20 76 65 6E 67 6F 20 : 64 61 20 52 69 63 63 69 | i vengo da Ricci
00E0: 6F 6E 65 20 65 20 73 74 : 75 64 69 6F 20 76 65 74 | one e studio vet
00F0: 65 72 69 6E 61 72 69 61 : 21 20 0D 0A 43 6F 73 61 | erinaria! ..Cosa
0100: 20 70 6F 73 73 6F 20 64 : 69 72 65 20 64 69 20 6D | posso dire di m
0110: 65 2C 20 73 6F 6E 6F 20 : 75 6E 61 20 72 61 67 61 | e, sono una raga
0120: 7A 7A 61 20 73 65 6D 70 : 6C 69 63 65 20 63 68 65 | zza semplice che
0130: 20 61 6D 61 20 6C 65 20 : 63 6F 73 65 20 73 65 6D | ama le cose sem
0140: 70 6C 69 63 69 20 64 65 : 6C 6C 61 0D 0A 76 69 74 | plici della..vit
0150: 61 2C 20 63 6F 6D 65 20 : 73 74 61 72 65 20 63 6F | a, come stare co
0160: 6E 20 67 6C 69 20 61 6D : 69 63 69 20 65 20 64 69 | n gli amici e di
0170: 76 65 72 74 69 72 6D 69 : 20 63 6F 6E 20 6C 6F 72 | vertirmi con lor
0180: 6F 2E 20 4E 6F 69 20 61 : 6D 69 61 6D 6F 20 72 69 | o. Noi amiamo ri
0190: 64 65 72 65 20 65 20 61 : 6D 69 61 6D 6F 0D 0A 70 | dere e amiamo..p
01A0: 61 72 74 69 63 6F 6C 61 : 72 6D 65 6E 74 65 20 69 | articolarmente i
01B0: 20 6E 6F 73 74 72 69 20 : 67 69 6F 63 68 69 6E 69 | nostri giochini
01C0: 20 65 72 6F 74 69 63 69 : 2C 20 6D 61 20 69 6E 20 | erotici, ma in
01D0: 73 70 65 63 69 61 6C 20 : 6D 6F 64 6F 20 61 6D 69 | special modo ami
01E0: 61 6D 6F 20 71 75 61 6E : 64 6F 20 0D 0A 71 75 61 | amo quando ..qua
01F0: 6C 63 75 6E 6F 63 69 20 : 67 75 61 72 64 61 2E 20 | lcunoci guarda.
0200: 53 65 20 73 65 69 20 63 : 75 72 69 6F 73 6F 20 64 | Se sei curioso d
0210: 69 20 76 65 64 65 72 65 : 20 64 69 20 63 6F 73 61 | i vedere di cosa
0220: 20 73 6F 6E 6F 20 63 61 : 70 61 63 65 2C 20 64 69 | sono capace, di
0230: 20 63 6F 73 61 20 73 69 : 61 6D 6F 20 0D 0A 63 61 | cosa siamo ..ca
0240: 70 61 63 69 2C 20 65 6E : 74 72 61 20 6E 65 6C 20 | paci, entra nel
0250: 6D 69 6F 20 73 69 74 6F : 21 0D 0A 0D 0A 54 69 20 | mio sito!....Ti
0260: 73 74 6F 20 61 73 70 65 : 74 74 61 6E 64 6F 2E 2E | sto aspettando..
0270: 20 65 20 74 75 3F 20 43 : 6F 73 61 20 73 74 61 69 | e tu? Cosa stai
0280: 20 61 73 70 65 74 74 61 : 6E 64 6F 3F 20 42 61 63 | aspettando? Bac
0290: 69 20 4A 65 73 73 79 20 : 3A 2A 0D 0A 0D 0A 57 20 | i Jessy :*....W
02A0: 57 20 57 20 2E 20 4A 20 : 45 20 53 20 53 20 59 20 | W W . J E S S Y
02B0: 32 20 32 20 2E 20 44 20 : 41 20 2E 20 52 20 55 00 | 2 2 . D A . R U

GRAZIE!
Nyarlathotep
09-09-2004, 07:15
come leggi dal testo la simpatica jessica ti invita a fare giochini erotici e entrare (oltre che in lei) anche nel suo sito.

Bloccala tranquillamente e magari se ti ricapita fai un backtrace con il sygate e vedi come si chiama e cosa puoi fare a sto f.d.p. (per la traduzione della simpatica sigla usa l'immaginazione).

Ciao!
ATi7500
09-09-2004, 16:11
sto provando per la prima volta sygate personal firewall 5.5, appena scaricato dal sito sygate
mi dite perchè di default lascia la porta 135 (quella dell'rpc) aperta? io ho la patch, ma ki installa un firewall nell'attesa d fare gli aggiornamenti cosa fa?
zonealarm la kiudeva...


bYeZ!
ertortuga
09-09-2004, 16:40
Originariamente inviato da Nyarlathotep
come leggi dal testo la simpatica jessica ti invita a fare giochini erotici e entrare (oltre che in lei) anche nel suo sito.

Bloccala tranquillamente e magari se ti ricapita fai un backtrace con il sygate e vedi come si chiama e cosa puoi fare a sto f.d.p. (per la traduzione della simpatica sigla usa l'immaginazione).

Ciao!

Ti ringrazio!
Un'ultima domanda: ma TUTTI i svchost.exe sono da bloccare? Cioè se mi riappare un pop-up del genere lo blocco a prescindere o devo SEMPRE controllare i "details"?
GRAZIE
;)
ATi7500
09-09-2004, 17:18
io ho appena bloccato svchost.exe sulla 135 (l'RCP) e non mi sta dando problemi
ribadisco la domanda del mio collega :D svchost.exe ha bisogno dell'accesso a internet o no?


bYeZ!
ertortuga
09-09-2004, 17:28
Originariamente inviato da ATi7500
ribadisco la domanda del mio collega :D svchost.exe ha bisogno dell'accesso a internet o no?


bYeZ!

Perchè "collega"?
:muro: :D
Nyarlathotep
09-09-2004, 19:44
ma alla fine mi sono arreso e l'ho bloccato definitivamente.

per ora non ho problemi ma questa cosa della patch mi incuriosisce.

potresti essere più esplicito ergo riesci a fornire un link.

grazie mille!
ATi7500
10-09-2004, 01:51
raga bloccando svchost.exe non ho problemi di alcun tipo
possibile? :eek:


bYeZ!
ertortuga
10-09-2004, 09:36
Originariamente inviato da ATi7500
raga bloccando svchost.exe non ho problemi di alcun tipo
possibile? :eek:


bYeZ!

OTTIMO!
:)
Il problema è che io prima avevo Outpost ed una volta che avevo bloccatto svchost.exe non riuscivo più a connettermi! :eek:
Per ora ho bloccato il servizio (quello dell'immagine che ho allegato nei post precedenti...) e non ho nessun problema.
BadMirror
10-09-2004, 12:26
Io ho bloccato per sicurezza sia il Generic Host Process for Win 32 che mi apriva un sacco di svchost, sia il LSA Shell da cui partiva lsass.exe.

Unico piccolo problemino è stato quando mi sono connesso (alice adsl) mi è cascata subito la linea, però al secondo tentativo si è connesso regolarmente, quindi non so se dipenda da questi 2 che ho bloccato o sia solo stato un momentaneo problema di linea. In tutti i casi non riscontro per ora altri problemi.

Ho postato il log di Hijack nell'altro 3d ("Hijack") ma non ho avuto risposte per ora.

La mia situazione ora con sygate è in allegato.

:)
ATi7500
10-09-2004, 12:44
mi sono documentato (e sono anke ritornato a zonealarm facendo la trial di 15 giorni a pro)
con le regole preimpostate zonealarm pro imposta l'accesso a internet per svchost.exe, mentre lo nega per farlo agire come server ;)
così naviga, e la porta 135 rimane kiusa


bYeZ!
ertortuga
10-09-2004, 12:48
Originariamente inviato da ATi7500
mi sono documentato (e sono anke ritornato a zonealarm facendo la trial di 15 giorni a pro)
con le regole preimpostate zonealarm pro imposta l'accesso a internet per svchost.exe, mentre lo nega per farlo agire come server ;)
così naviga, e la porta 135 rimane kiusa


bYeZ!

Buono a sapersi!
;)
Ma per ora resto "fedele" a Sygate, Zonealarm non gode di una buona fama (almeno sul questo forum...)
ATi7500
10-09-2004, 12:53
Originariamente inviato da ertortuga
Buono a sapersi!
;)
Ma per ora resto "fedele" a Sygate, Zonealarm non gode di una buona fama (almeno sul questo forum...)

sta di fatto ke di default sygate mi lasciava aperta la 135, la 1024 e la 1030
zonealarm nemmeno una..
certo se vai a creare le regole per il sygate risolvi il problema, ma sinceramente lo sbattimento preferisco occuparlo ad altre cose :p


bYeZ!
Manuciao
10-09-2004, 19:55
da quello che posso notare sulla mia LAN "svchost.exe" si collega sempre verso il 192.168.0.1 (che dovrebbe essere il router, date le mie impostazioni) usando il protoccolo TCP e la porta remota 80(HTTP)

...io con Sygate gli do l'Allow su questi indirizzi IP: (che tra l'altro sono quelli a cui tenta abitulamente di accedere...)

192.168.0.1,192.168.0.3,192.168.0.4,239.255.255.250,213.254.245.30,64.4.21.188,207.46.253.221

192.168.0.1 ->router
1092.168.0.2/3/4 ->3 pc della LAN
239.255.255.250 -> ???
213.254.245.30,64.4.21.188,207.46.253.221 ->siti di windowsupdate da quello che ho capito


...che ne dite? :confused:
Manuciao
10-09-2004, 20:00
Back Trace e Whois? su 192.168.0.1 RemoteP 47637 LocalP 5000 severity 10 incoming TCP...


OrgName: Internet Assigned Numbers Authority
OrgID: IANA
Address: 4676 Admiralty Way, Suite 330
City: Marina del Rey
StateProv: CA
PostalCode: 90292-6695
Country: US

NetRange: 192.168.0.0 - 192.168.255.255
CIDR: 192.168.0.0/16
NetName: IANA-CBLK1
NetHandle: NET-192-168-0-0-1
Parent: NET-192-0-0-0-0
NetType: IANA Special Use
NameServer: BLACKHOLE-1.IANA.ORG
NameServer: BLACKHOLE-2.IANA.ORG
Comment: This block is reserved for special purposes.
Comment: Please see RFC 1918 for additional information.
Comment:
RegDate: 1994-03-15
Updated: 2002-09-16

OrgAbuseHandle: IANA-IP-ARIN
OrgAbuseName: Internet Corporation for Assigned Names and Number
OrgAbusePhone: +1-310-301-5820
OrgAbuseEmail: [email protected]

OrgTechHandle: IANA-IP-ARIN
OrgTechName: Internet Corporation for Assigned Names and Number
OrgTechPhone: +1-310-301-5820
OrgTechEmail: [email protected]

# ARIN WHOIS database, last updated 2004-09-09 19:10
# Enter ? for additional hints on searching ARIN's WHOIS database.


è tutto OK allora? :(