Backdoor?

Hi

hab grad was über Backdoors gelesen und mal ne Frage:

Ein Rechner könnte diverse Hintertüren aufhaben. Also lasse ich von einem zweiten Rechner aus "nmap -sV" auf ihn los. Wenn dort keine offenen Ports zu sehen sind, kann dort keine Backdoor sein. Wenn dort Ports offen sind kann nur der entsprechende Dienst als Backdoor dienen, d.h. er wurde ggf. manipuliert (z.B. der ssh auf 22) Durch Neuinstallation des Dienstes ist das Problem zu beseitigen, wenn man sicherstellt, das der Dienst nicht erneut manipuliert werden kann (z.B. wenn keiner Schreibrechte auf das ssh binary hat)

Ist das so richtig? Korrekturen? Stell ich mir das zu einfach vor?

Kann es Ports geben, die sich gegenüber nmap als geschlossen geben, auf speziell manipulierte IP Pakete aber reagieren?

Kann es Ports geben, die sich gegenüber nmap als geschlossen geben, auf speziell manipulierte IP Pakete aber reagieren?

Zum Vergrößern anklicken....

Ja, da gibts auch bestimmte Programme oder Hacks, dass der PC auf gar keine Scans mehr antwortet, denke aber schon, dass du mit irgendeiner Scantechnik, das schaffst, wen etwas auf dem PC ist.

Wenn dort Ports offen sind kann nur der entsprechende Dienst als Backdoor dienen, d.h. er wurde ggf. manipuliert (z.B. der ssh auf 22) Durch Neuinstallation des Dienstes ist das Problem zu beseitigen, wenn man sicherstellt, das der Dienst nicht erneut manipuliert werden kann (z.B. wenn keiner Schreibrechte auf das ssh binary hat)

Zum Vergrößern anklicken....

Meist werden keine Dienste manipuliert sondern ein eigener Port aufgemacht. meist liegen Trjanerports über Portnummer. GfI LanGuard kennt trojanerports und scannt nach ihnen, glaube das programm gibts 10 tage Trial (hier)


PS: NMap ist gut geeignet, da es sehr viele Scantechnicken beherrscht.

PPS: Hier eine Trojanerportliste (Trojanerports)

Hallo,
es gibt auch diverse Hintertüren, die keinen Port öffnen.
Immer wenn dein PC startet, bauen diese z.B. eine Verbindung zu einem IRC Channel auf, und erhalten darüber weitere Anweisungen.
Oder der Internet-Explorer zur Kommunikation benutzt.
Dabei wird unsichtbar der MSIE gestartet, und ruft eine Website auf. Die Website gibt weitere Befehle, die dann die Backdoor ausführt.
Die Backdoor antwortet dann über den MSIE dem Server.

Hier ein Video dazu: http://ulm.ccc.de/old/chaos-seminar/personal-firewalls/recording.html
(Zum Ende des Video)

fuer weitere ideen siehe z.b. http://www.portknocking.org/

aber wenn die Schadsoftware via IRC Instruktionen bekommt muß sie diese doch auf einem port entgegennehmen...

Original von schmidtl_dd
aber wenn die Schadsoftware via IRC Instruktionen bekommt muß sie diese doch auf einem port entgegennehmen...

Zum Vergrößern anklicken....

Ja allerdings muss dieser Port nicht für Verbindungsanfragen geöffnet sein, da der Rechner hier als Client und nicht als Server fungiert.

ahhh....stimmt ja