在线急：有个人在我的机子上打开了几个端口，分别是如下，不知道那们老兄可以帮个忙，把端口封了，找出那个人。

[coolhealth]

我有忧化大师分析如下：

端口号 协议 远程主机 远程端口 状态 可疑活动
20: TCP 0.0.0.0 0 监听 FTP Data

21: TCP 61.183.76.155 1535 已建立 Back Construction,Blade Runner,Doly Trojan,Fore,FTP trojan,Invisible FTP,Larva, WebEx,WinCrash

21: TCP 61.183.76.155 1561 已建立 Back Construction,Blade Runner,Doly Trojan,Fore,FTP trojan,Invisible FTP,Larva, WebEx,WinCrash

21: TCP 61.183.76.155 1562 已建立 Back Construction,Blade Runner,Doly Trojan,Fore,FTP trojan,Invisible FTP,Larva, WebEx,WinCrash

21: TCP 61.183.76.155 1578 已建立 Back Construction,Blade Runner,Doly Trojan,Fore,FTP trojan,Invisible FTP,Larva, WebEx,WinCrash

53: UDP 0.0.0.0 0 监听

67: UDP 0.0.0.0 0 监听

68: UDP 0.0.0.0 0 监听

137: UDP 0.0.0.0 0 监听

137: UDP 0.0.0.0 0 监听

137: UDP 0.0.0.0 0 监听

138: UDP 0.0.0.0 0 监听

138: UDP 0.0.0.0 0 监听

138: UDP 0.0.0.0 0 监听

139: TCP 0.0.0.0 0 监听

139: TCP 61.75.233.43 1756 正在关闭

139: TCP 0.0.0.0 0 监听

139: TCP 0.0.0.0 0 监听

500: UDP 0.0.0.0 0 监听

500: UDP 0.0.0.0 0 监听

500: UDP 0.0.0.0 0 监听

1433: TCP 0.0.0.0 0 监听

1433: TCP 0.0.0.0 0 监听

1433: TCP 0.0.0.0 0 监听

3002: TCP 0.0.0.0 0 监听

3003: TCP 0.0.0.0 0 监听

3004: TCP 0.0.0.0 0 监听

3108: UDP 0.0.0.0 0 监听

3212: TCP 0.0.0.0 0 监听

3298: UDP 0.0.0.0 0 监听

3318: TCP 0.0.0.0 0 监听

[coolhealth]

这是金山防火墙的记录：


[2002-11-11 22:30:53] 从61.183.76.155接收ICMP数据包, 对应的本机地址为61.145.234.225,拦截
[2002-11-11 22:30:53] 从61.183.76.155接收ICMP数据包, 对应的本机地址为61.145.234.225,拦截
[2002-11-11 22:30:56] 从61.183.76.155接收ICMP数据包, 对应的本机地址为61.145.234.225,拦截[2002-11-11 22:36:02] 从61.145.233.111:2221接收TCP数据包, 对应的本机地址为61.145.234.225:139,拦截

[saucer]

shut down your ftp service

[coolhealth]

不知首如果是知道guest的密码的话，可不可以用139进入叱？？？

[changmangke]

没用的，最多只能看共享文件，除非他是管理员组成员

[matrix1978]

有一个FPORT程序，可以查看当前开着的端口对应的那些应用程序，这样就可以知道你现在的FTP端口是那个程序开的。然后再用搜索工具找到那个程序，看看是不是合法的程序。
Back Construction,Blade Runner,Doly Trojan,Fore,FTP trojan,Invisible FTP,Larva, WebEx,WinCrash指的是在这个端口有可能正在进行的活动。
我觉得你的机器最好是改用一种防火墙，你的139都是开着的，可见你现在用的防火墙实在是没什么用。推荐用NORTON PERSONAL FIREWALL 2003。
遇到别人的扫描也不用怕，采取的措施还是用防火墙，把ICMP回复关了。这样大部分的扫描软件就没有了用武之地，但对于有些可以强制进行扫描的没用。这个时候NORTON就可以跟踪到对方的IP并在地图显示出大概的地理位置。

[matrix1978]

三类2000系统进程总列表
最基本的系统进程（也就是说，这些进程是系统运行的基本条件，有了这些进程，系统就能正常运行）
smss.exe Session Manager
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务) ->netlogon
svchost.exe 包含很多系统服务 !!!->eventsystem,
(SPOOLSV.EXE 将文件加载到内存中以便迟后打印。)
explorer.exe 资源管理器
(internat.exe 托盘区的拼音图标)


====================================================================

附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少）

mstask.exe 允许程序在指定时间运行。(系统服务)->schedule
regsvc.exe 允许远程注册表操作。(系统服务)->remoteregister
winmgmt.exe 提供系统管理信息(系统服务)。
inetinfo.exe->msftpsvc,w3svc,iisadmn
tlntsvr.exe->tlnrsvr
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务)
termsrv.exe ->termservice
dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务)


=================================================================
以下全是系统服务,并且很少会用到，如果你暂时用不着,应该关掉(对安全有害 )

tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows 2000 Professional 的能力。(系统服务)->simptcp
支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务)
ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务)
ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务)
wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS 名称服务。(系统服务)
llssrv.exe License Logging Service(system service)
ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务)
RsSub.exe 控制用来远程储存数据的媒体。(系统服务)
locator.exe 管理 RPC 名称服务数据库.->rpclocator(区 RpcSs)
lserver.exe 注册客户端许可证。(系统服务)
dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务)
clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。(系统服务)
msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。(系统服务)
faxsvc.exe 帮助您发送和接收传真。(系统服务)
cisvc.exe Indexing Service(system service)!!!
dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务)
mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务)
netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务)
smlogsvc.exe 配置性能日志和警报。(系统服务)
rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务)
RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务)
RsFsa.exe 管理远程储存的文件的操作。(系统服务)
grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务)
SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务)
snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务)
snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序。(系统服务)
UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务)
msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务)

[coolhealth]

可不可以把你说的那个fport给我看看叱？？


另外，如果我的机子开着139，在什么情况下，我的机子是会被别人攻击到的叱？？？

不会开着端口就会被攻击到吧。有时候我也可以看到别人好多机子的135,139,1025,1027,1720等的都打开着，请问这台机的安全关况如何叱？在什么怀况下会受到攻击，可以可以进得了他的系统？？

[changmangke]

在http://www.haowawa.com/down/可以下载fport
开了139端口的话，别人可以通过ipc连接进入你的系统，当然前提是他必须知道你的账号密码：）
任何针对端口的攻击都是利用了系统的漏洞，如果你的系统没什么漏洞的话，一般不会有什么问题。有些端口是某些应用程序开的，不用担心，你用fport查一查就知道了，它可以显示相关联的程序

[coolhealth]

那后面的一串是什么意思呢？

Back Construction,Blade Runner,Doly Trojan,Fore,FTP trojan,Invisible FTP,Larva, WebEx,WinCrash



另外，我发现有人在向我的机子发送弹昢的“信使服务”，这个是怎么让他发过来的呢？？


如果我发现的机子的一些端口正在给别人偷开了的话。一般可以采取哪些好的方法呢？

　　1：是不关闭端口呢？但是如何关掉呢？还有就是一些常见的端口是哪些叱？比较少较的有疑点的又是哪些呢？

　　2：查看服务吗？因为在win2000 server中，有个管理工具中的服务选项，这里面这么多的服务，到底哪些是正常的打开的，哪些是异常的呢？有滑这方面的分析软件？？如果不是win2000 server，又要如何做叱？？
　　
　　3：如果通常有别人的机子在扫本机的话，可以采取什么措施呢？？

[matrix1978]

FPORT就是一个112K的小程序，你用GOOGLE一搜应该就可以找到。
开了139也就意味着别人可以通过通过这个端口来建立空连接，并得到你机器上的所有帐户名称。再接下来就可以用字典文件来猜测密码。
GUEST帐户也可以用139上来，上来之后就可以通过NET这个命令提升权限。

[jack_yld]

我觉得你可以去天网那边让它给你查一下~~

它那边服务还是很多的，查端口啊系统漏洞啊都有~~