Тема 4. Определение списка открытых внешних сетевых портов.
Рисунок 7 – Характеристика компьютера в сети
Список открытых портов:
svchost.exe:1204 |
TCP |
microsof-b79daa:epmap |
microsof-b79daa:0 |
LISTENING |
svchost.exe:1244 |
UDP |
microsof-b79daa:ntp |
*:* |
|
svchost.exe:1244 |
UDP |
microsof-b79daa:4301 |
*:* |
|
svchost.exe:1244 |
UDP |
microsof-b79daa:ntp |
*:* |
|
svchost.exe:1512 |
TCP |
microsof-b79daa:2869 |
microsof-b79daa:0 |
LISTENING |
svchost.exe:1512 |
UDP |
microsof-b79daa:1900 |
*:* |
|
svchost.exe:1512 |
UDP |
microsof-b79daa:1900 |
*:* |
|
Из группы svchost
запущены такие сервисы с открытыми
портами:
Из необходимых для моей личной работы сервисов здесь присутствуют такие:
- Windows Audio
- Themes (Темы)
- Browser (Обозреватель)
- W32Time (Системные часы)
- Netman (Сетевые подключения)
- WZCSVC (Беспроводная настройка)
Остальные сервисы мне непонятны и они наверняка были запущены программами/другими сервисами.
Тема 5. Анализ использования внешних портов сервисами из svchost.
Список запущенных процессов:
Process |
PID |
CPU |
Description |
Company Name |
System Idle Process |
0 |
97.69 |
|
|
Interrupts |
n/a |
|
Hardware Interrupts |
|
DPCs |
n/a |
|
Deferred Procedure Calls |
|
System |
4 |
|
|
|
smss.exe |
804 |
|
Диспетчер сеанса Windows NT |
Корпорация Майкрософт |
csrss.exe |
872 |
|
Client Server Runtime Process |
Microsoft Corporation |
winlogon.exe |
908 |
|
Программа входа в систему Windows NT |
Корпорация Майкрософт |
services.exe |
952 |
0.77 |
Приложение служб и контроллеров |
Корпорация Майкрософт |
ati2evxx.exe |
1140 |
|
ATI External Event Utility EXE Module |
ATI Technologies Inc. |
svchost.exe |
1156 |
|
Generic Host Process for Win32 Services |
Microsoft Corporation |
wmiprvse.exe |
3052 |
|
WMI |
Microsoft Corporation |
svchost.exe |
1204 |
|
Generic Host Process for Win32 Services |
Microsoft Corporation |
svchost.exe |
1244 |
|
Generic Host Process for Win32 Services |
Microsoft Corporation |
svchost.exe |
1412 |
|
Generic Host Process for Win32 Services |
Microsoft Corporation |
svchost.exe |
1512 |
|
Generic Host Process for Win32 Services |
Microsoft Corporation |
spoolsv.exe |
1868 |
|
Spooler SubSystem App |
Microsoft Corporation |
svchost.exe |
1940 |
|
Generic Host Process for Win32 Services |
Microsoft Corporation |
GuardMailRu.exe |
188 |
|
GuardMailRu Module |
|
GuardMailRu.exe |
944 |
|
GuardMailRu Module |
|
mysqld.exe |
448 |
|
|
|
RalinkRegistryWriter.exe |
480 |
|
RalinkRegistryWriter |
Ralink Technology, Corp. |
svchost.exe |
524 |
|
Generic Host Process for Win32 Services |
Microsoft Corporation |
alg.exe |
832 |
|
Application Layer Gateway Service |
Microsoft Corporation |
svchost.exe |
3036 |
|
Generic Host Process for Win32 Services |
Microsoft Corporation |
PresentationFontCache.exe |
2648 |
|
PresentationFontCache.exe |
Microsoft Corporation |
lsass.exe |
964 |
|
LSA Shell (Export Version) |
Microsoft Corporation |
ati2evxx.exe |
1580 |
|
ATI External Event Utility EXE Module |
ATI Technologies Inc. |
Открытый TCP порт содержат 2 сервиса: который занял 1204 порт и тот, который занял 1512 порт. Просмотрим нити этих сервисов:
Здесь видно, что обе службы в основном были запущены с помощью kernel32.dll, ntdll.dll, svchost.exe, xpsp2res.dll.