Port 135 auf IIS/NT4 schließen

[Utz]

Hallo zusammen,

leicht beunruhigt durch http://www.heise.de/newsticker/data/pab-27.03.03-000/ und - von dort ausgehend - insbesondere den NT4-Abschnitten auf http://www.microsoft.com/technet/security/bulletin/MS03-010.asp, möchte ich Port 135 auf meinem IIS auf NT4 blocken. MS empfiehlt, eine Firewall zu installieren. Das wäre aber ansonsten gar nicht nötig - daher meine Frage in die Runde:

Kennt jemand nicht doch ne Möglichkeit, diesen Port _ohne_ Firewall zu deaktivieren?

Oder: Kennt jemand ein kleines Tool, das _nur_ eben das macht und sonst nix?

Grüße,

Utz

[Win-Fan]

Kennt jemand nicht doch ne Möglichkeit, diesen Port _ohne_ Firewall zu deaktivieren?

Das ist doch mal ein Paradebeispiel für Sicherheit: Bei Microweichs IIS kann man nicht mal beliebige Ports schließen.
Und wer garantiert dir, falls du es schaffst Port 135 wirklich durch ein externes Tool zu schließen, dass da nicht noch mehrere andere offen sind?

Deshalb lieben wir Windows-Weich. Wir alle.

Win-Fan

[Utz]

Hallo,

das war leider nicht hilfreich.

Grüße,

Utz

[Blutz]

Hilfreicher als dein M$-freundlicher Hinweis allemal.

[Sven Rautenberg]

Moin!

leicht beunruhigt durch http://www.heise.de/newsticker/data/pab-27.03.03-000/ und - von dort ausgehend - insbesondere den NT4-Abschnitten auf http://www.microsoft.com/technet/security/bulletin/MS03-010.asp, möchte ich Port 135 auf meinem IIS auf NT4 blocken. MS empfiehlt, eine Firewall zu installieren. Das wäre aber ansonsten gar nicht nötig - daher meine Frage in die Runde:

Kennt jemand nicht doch ne Möglichkeit, diesen Port _ohne_ Firewall zu deaktivieren?

Es gibt eigentlich genau zwei Methoden, um bei TCP/IP Ports zu beeinflussen:

1. Mit einer Firewall.
2. Durch Deaktivieren des Port-öffnenden Dienstes.

Firewalls filtern die eingehenden Datenpakete, bevor sie im Rechner weitergereicht werden, anhand diverser Regeln (das _kann_ z.B. ein Paketfilter sein, der Pakete auf Port 135 eben wegwirft).

Wenn du keine Firewall haben willst, mußt du eben den RPC-Dienst auf Port 135 deaktivieren. Ich habe keine Ahnung, ob und wie das geht, aber im Zweifel dürfte Google dein Freund sein. Ich hab dort jedenfalls auch eine Anleitung gefunden, wie man den Port 5000 bei Windows ME dicht macht (der ist nämlich von einem sinnlosen Tool, was außer "dazusein" nichts zu tun hat, auch ohne Userwissen geöffnet).

- Sven Rautenberg

[Utz]

Hi Sven,

Wenn du keine Firewall haben willst, mußt du eben den RPC-Dienst auf Port 135 deaktivieren. Ich habe keine Ahnung, ob und wie das geht, aber im Zweifel dürfte Google dein Freund sein. Ich hab dort jedenfalls auch eine Anleitung gefunden, wie man den Port 5000 bei Windows ME dicht macht (der ist nämlich von einem sinnlosen Tool, was außer "dazusein" nichts zu tun hat, auch ohne Userwissen geöffnet).

Tja, laut den Quellen, die ich finde, geht das bei allen Ports mit Ausnahme von 135 so - oder anders ausgedrückt: Genau dieser Port 135 sei nicht einfach durch Deaktivieren des Dienstes/der Dienste zu schließen.

Damit hätte ich mich ja begnügt, wenn ich nicht gerüchteweise vor einiger Zeit gehört hätte, dass jemand _doch_ diesen Port zubekommen hätte. Leider weiß aber Google nix von dem Gerücht, und ich hoffe, dass hier vielleicht jemand schlauer ist als Google (bzw. schlauer als Google bedient von mir) :-)

Grüße,

Utz

[Sven Schrodt]

Hi  Utz!

manchmal hilft es vieleicht doch zu  'googlen ' - who knows?

try: http://www.security-forums.com/forum/viewtopic.php?t=3300

..gefunden&nur überflogen bei google ....

gruss sven

btw: 'windows' 'port 135' 'close' bringen als Suchbegriffe etliche Treffer....

[Utz]

Hi Sven,

btw: 'windows' 'port 135' 'close' bringen als Suchbegriffe etliche Treffer....

...die aber, wie der von Dir gepostete, sich - sofern ich nichts übersehen habe - immer nur mit Win2k oder XP beschäftigen, und für die gibt's ja auch nen Patch. Bloß halt für NT nicht :-)

Grüße,

Utz

[Bio]

Sup!

Kennt jemand nicht doch ne Möglichkeit, diesen Port _ohne_ Firewall zu deaktivieren?

Sicher. Du weisst, wie gerne ich M$-Nutzern weiterhelfe, und darum habe ich zwei geniale Möglichkeiten für Dich, die absolut sicher sind:

1. Du patchst einfach die Firmware deiner Netzwerkkarte, so daß sie TCP-Pakete in Ethernet-Frames erkennen kann und wegwirft, wenn diese an Port 135 gehen sollen. Das ist allerdings etwas schwierig.
2. Du patchst den IP-Stack von Windows NT - das wird natürlich schwierig.

Gruesse,

Bio

[Utz]

Hi Bio,

Sicher. Du weisst, wie gerne ich M$-Nutzern weiterhelfe

Ah, das freut mich zu hören! *fg*

1. Du patchst einfach die Firmware deiner Netzwerkkarte, so daß sie TCP-Pakete in Ethernet-Frames erkennen kann und wegwirft, wenn diese an Port 135 gehen sollen. Das ist allerdings etwas schwierig.
2. Du patchst den IP-Stack von Windows NT - das wird natürlich schwierig.

<scnr>
Du hast was vergessen:

3. Schreib gleich nen eigenen Web-Server, so viel mehr Aufwand als 1 und 2 ist das auch nicht.
</scnr>

Grüße und ;-),

Utz

[Redivivus]

Sicher. Du weisst, wie gerne ich M$-Nutzern weiterhelfe,

Warum du dich dann noch immer als Regular in diesem Nichtskönner- und Ignoranten-Forum aufhälst, weisst vermutlich nicht mal du selber.

Tschipichipchip

Redivivus

[Bio]

Sup!

Warum du dich dann noch immer als Regular in diesem Nichtskönner- und Ignoranten-Forum aufhälst, weisst vermutlich nicht mal du selber.

Natürlich weiss ich das: Ich mache es *aus Gewohnheit*.

Gruesse,

Bio

[Henryk Plötz]

Moin,

Kennt jemand nicht doch ne Möglichkeit, diesen Port _ohne_ Firewall zu deaktivieren?

Oder: Kennt jemand ein kleines Tool, das _nur_ eben das macht und sonst nix?

Nicht direkt, du kannst den RPC-Dienst anscheinend nicht beenden ohne das System kaputtzumachen. Ausserdem hat NT4 ja noch keinen eingebauten Paketfilter und die zusätzlich zu installierenden schaden in der Regel mehr als sie nützen.

Aber verzweifle nicht. Genau die selbe Frage wurde grade in de.comp.security.misc gestellt und beantwortet: Message-ID [e-mail]. Zur Richtigkeit der Antwort kann ich mangels NT-System aber nichts sagen.

PS: Wer zum Geier ist auf die Idee gekommen einem Registrywert "ListenOnInternet" einen default-Wert von "Y" zu geben ?!?

[Utz]

Hi Henryk,

Aber verzweifle nicht. Genau die selbe Frage wurde grade in de.comp.security.misc gestellt und beantwortet: Message-ID [e-mail]. Zur Richtigkeit der Antwort kann ich mangels NT-System aber nichts sagen.

Dankeschön - ich werd's mal gaaaaanz vorsichtig ausprobieren :-)

PS: Wer zum Geier ist auf die Idee gekommen einem Registrywert "ListenOnInternet" einen default-Wert von "Y" zu geben ?!?

Als wäre das schon nicht schlimm genug - der Wert taucht ja per Default nicht mal in der Registry auf. Man muss ihn erst mal manuell hinzufügen, bevor man ihn auf "N" setzen kann. *kopfschüttel*

Grüße,

Utz

[Utz]

Hi Henryk,

sah gut aus, Dein Tipp - leider hat der Antworter von de.comp.security.misc seine Quelle http://www.hsc.fr/ressources/breves/min_srv_res_win.en.html selber nicht so genau gelesen, die geht nämlich ausschließlich um Win2000 und XP, nicht um NT. Ein erster Test des Tipps auf NT4 ergab: die Ergänzung dieses Registry-Eintrags schadet zwar nix, hilft aber auch in Bezug auf Port 135 überhaupt nichts, der ist weiterhin offen.

Grüße,

Utz

[Henryk Plötz]

Moin,

sah gut aus, Dein Tipp - leider hat der Antworter von de.comp.security.misc seine Quelle http://www.hsc.fr/ressources/breves/min_srv_res_win.en.html selber nicht so genau gelesen

Das hat die Ursprungsposterin des genannten Threads jetzt auch geschrieben. Und: Sie hat eine Lösung gefunden, schau einfach noch mal in den Thread.

[Utz]

Hi Henryk,

Das hat die Ursprungsposterin des genannten Threads jetzt auch geschrieben. Und: Sie hat eine Lösung gefunden, schau einfach noch mal in den Thread.

Und nochmals danke - das sieht recht vielversprechend aus, werd ich morgen ausprobieren und dann berichten, ob's ging oder nicht.

Grüße,

Utz

[Utz]

Hi Henryk und wer sonst noch mitliest,

leider eine Misserfolgsmeldung - trotz der detaillierten Anweisung aus de.comp.security.misc bleibt bei mir Port 135 offen. Allerdings kann ich Schritt 1 der Anweisung nicht exakt so replizieren (aufgrund einiger Konfigurations-Eigenheiten), und RPCDump zeigt mir, dass es letztlich wohl genau diese Eigenheiten sind, die den Port auf jeden Fall immer wieder aufreißen.

Grüße,

Utz

[Harry]

Holladiewaldfee,

hilft Dir vielleicht http://ntcanuck.com/tq/TQ_Page1.htm#Item_14?

Ciao,

Harry

[Utz]

Hi Harry,

hilft Dir vielleicht http://ntcanuck.com/tq/TQ_Page1.htm#Item_14?

Hm, steht zwar groß "Informative tips and tweaks for Windows XP/2000", aber ich werd morgen mal testen, ob's unter NT was bringt - Danke!

Grüße,

Utz

[Harry]

Holladiewaldfee,

Hm, steht zwar groß "Informative tips and tweaks for Windows XP/2000", aber ich werd morgen mal testen, ob's unter NT was bringt - Danke!

Brbl... eine Seite vorher war auch noch von NT4 die Rede ... sorry.
Aber hier (http://accs-net.com/smallfish/dcom.htm) ist auch von NT4 die Rede. Allerdings mit dem Hinweis, daß es nicht reichen könnte, DCOM abzuschalten.

Ansonsten:
http://www.google.de/search?sourceid=navclient&hl=de&q="close+port+135"+nt

Ciao,

Harry

[Utz]

Hi Harry,

Aber hier (http://accs-net.com/smallfish/dcom.htm) ist auch von NT4 die Rede. Allerdings mit dem Hinweis, daß es nicht reichen könnte, DCOM abzuschalten.

Das ist jetzt tatsächlich die erste Ressource im Web, die mir zu Gesichte kommt und die tatsächlich NT4 berücksichtigt - Google findet zwar viel zum Thema, aber ich hab darüber nix gefunden, was sich nicht ausschließlich auf Win2000 oder XP bezogen hätte.

Henryk hat mich auf nen Thread in de.comp.security.misc aufmerksam gemacht, wo jemand das gleiche Problem wie ich hatte und offensichtlich ne Lösung gefunden hat. Falls es Dich interessiert wie die Sache ausgeht - ich werd das Ergebnis in "Henryks" Theilthread posten.

Grüße,

Utz