Comment fermer les ports sous Linux?

J'ai une question dans la fermeture du port, je pense que j'ai des choses étranges.

Quand j'utilise execute

nmap --top-ports 10 192.168.1.1

cela montre que le port 23 / TCP est ouvert.

Mais quand j'exécute

nmap --top-ports 10 localhost

cela montre que le port 23 / tcp est fermé.

Lequel d'entre eux est vrai? Je veux fermer ce port sur tout mon système, comment puis-je le faire?

Nmap est un excellent scanner de ports, mais vous voulez parfois quelque chose de plus autoritaire. Vous pouvez demander au noyau quels processus ont quels ports s'ouvrent en utilisant l' netstatutilitaire:

moi @ monhôte: ~ $ sudo netstat -tlnp
Connexions Internet actives (serveurs uniquement)
Adresse locale Proto Recv-Q Send-Q Adresse étrangère Adresse PID / nom du programme
tcp 0 0 127.0.0.1:53 0.0.0.0:* ÉCOUTER 1004 / dnsmasq    
tcp 0 0 0.0.0.0:22 0.0.0.0:* ÉCOUTE 380 / sshd        
tcp 0 0 127.0.0.1:631 0.0.0.0:* ÉCOUTE 822 / cupsd       
tcp6 0 0 ::: 22 ::: * LISTEN 380 / sshd        
tcp6 0 0 :: 1: 631 ::: * ECOUTER 822 / cupsd       

Les options que j'ai données sont:

• -t TCP seulement
• -l Ports d'écoute uniquement
• -n Ne cherchez pas les noms de services et d'hôtes, mais affichez simplement des chiffres
• -p Afficher les informations sur le processus (nécessite le privilège root)

Dans ce cas, nous pouvons voir qu'il sshdécoute sur n'importe quel 0.0.0.0port 22 d' interface ( ) et cupsdécoute sur le 127.0.0.1port 631 de loopback ( ). Votre sortie peut indiquer que telnetdl'adresse locale de est définie 192.168.1.1:23, ce qui signifie qu'elle ne répondra pas aux connexions de l'adaptateur de bouclage. (par exemple, vous ne pouvez pas telnet 127.0.0.1).

Il existe d'autres outils qui affichent des informations similaires (par exemple lsofou /proc), mais Netstat est le plus largement disponible. Cela fonctionne même sous Windows ( netstat -anb). BSD netstat est un peu différent: vous devrez utiliser sockstat (1) pour obtenir les informations sur le processus.

Une fois que vous avez l'ID de processus et le nom du programme, vous pouvez rechercher le processus et le supprimer si vous souhaitez fermer le port. Pour un contrôle plus précis, vous pouvez utiliser un pare-feu (iptables sous Linux) pour limiter l’accès à certaines adresses seulement. Vous devrez peut-être désactiver un démarrage de service. Si le PID est "-" sous Linux, il s’agit probablement d’un processus noyau (il s’agit par exemple de NFS), alors bonne chance pour savoir de quoi il s’agit.

Remarque: j'ai dit "faisant autorité" car vous n'êtes pas gêné par les conditions du réseau et les pare-feu. Si vous faites confiance à votre ordinateur, c'est génial. Toutefois, si vous pensez que vous avez été piraté, vous ne pourrez peut-être pas faire confiance aux outils de votre ordinateur. Remplacer les utilitaires standard (et parfois même les appels système) par des utilitaires masquant certains processus ou ports (ou rootkits) est une pratique courante chez les attaquants. Votre meilleur pari à ce stade est de faire une copie légale de votre disque et de la restaurer à partir d’une sauvegarde; utilisez ensuite la copie pour déterminer la façon dont ils sont entrés et fermez-la.

Un système Linux possède une interface dite de bouclage, destinée aux communications internes. Son nom d'hôte est localhostet son adresse IP est 127.0.0.1.

Lorsque vous exécutez nmapsur localhost, vous exécutez réellement le portscan sur la virtuelle interface de réalimentation. 192.168.1.1est l'adresse IP de votre interface physique (le plus probable eth0).

Vous avez donc exécuté nmapsur deux interfaces réseau différentes, c’est pourquoi il existe une différence entre les ports ouverts. Ils sont tous les deux vrais.

Si vous avez le port TCP 23 ouvert, il est probable qu'un telnetserveur soit en cours d'exécution (ce qui n'est pas une bonne chose en raison de son manque de cryptage) ou que vous avez une sorte de cheval de Troie sur votre ordinateur.

Pour "fermer" le port, vous pouvez utiliser iptables

sudo iptables -A INPUT -p tcp --dport 23 -m state --state NEW,ESTABLISHED -j DROP

Si vous le faites nmap localhost, cela vous indique une situation différente: certains programmes sous Linux fonctionnent en tant que serveur bien qu'ils ne soient utilisés que localement. En effet, d'autres programmes les utilisent comme un serveur auquel ils se connectent. Donc, les deux réponses sont vraies, puisque vous demandez quelque chose de différent.

Le port 23 est utilisé pour telnet. Normalement plus utilisé. Essayez de nmap -sV 192.168.1.1savoir quel programme ouvre le port.

(192 ... est une adresse IP de réseau local, le résultat de nmap <your outside world IP>donnera également un résultat différent, en raison des paramètres de pare-feu possibles, etc.)

Si vous avez un service en cours d’exécution et en écoute sur le port 23, il est sans doute plus propre d’ arrêter le processus écoutant le port 23 (probablement telnet) que de le maintenir en marche et de le fermer ou de bloquer le port 23 avec iptables.

En l'absence de processus d'écoute sur un port, même en l'absence de blocage du pare-feu, toute tentative de connexion à celui-ci doit aboutir à une "connexion refusée" immédiate ( ECONNREFUSEDà connect(2))

Une façon de trouver le processus (et son pid) qui écoute sur le port 23, s’il existe, est la suivante:

sudo lsof -i -P | grep ':23 '

Dans les -ilistes ci - dessus , les ports Internet ouverts (UDP et TCP), et -P empêche la traduction des ports en noms de services (via /etc/services).

Une fois que vous avez trouvé le processus en cours d’écoute sur le port 23, vous pouvez comprendre comment le processus a été lancé en consultant l’arborescence des processus (avec say, pstree). Si son parent est init(très probablement), vous pouvez rechercher récursivement le nom du processus sous /etc. par exemple:

sudo grep -r telnet /etc

Cela devrait vous conduire à la meilleure façon de le désactiver de courir à la 1ère place.