FTP-Verbindung - Absturz von ALG.EXE

[Asperamanca]

Beim Versuch, eine neue FTP-Verbindung über TCMD (6.51) aufzubauen, stürzt der Application Layer Gateway (ALG) immer ab.
Windows XP SP 2 + etliche Hotfixes

Wenn ich die Windows-Firewall deaktiviere (und nur mit der McAfee Firewall fahre), funktioniert es.

[Sheepdog]

Hallo, zum Thema firewall kann ich Dir nur diesen Thread empfehlen.

Die Quintessenz ist: Personal Firewalls sind Mist und unnütz. Stattdessen sollte man die Dienste, die Tore zum Internet öffnen, abschalten (da man die in der Regel gar nicht benötigt.)

hier gibt es ein schönes script, das einem die Arbeit des manuellen abschaltens abnimmt.
Hier gibts das ganze mit nem Fenster und zum klcken.

Hier gibts einen schönen Vortrag auf Video, warum Personal Firewalls die Sicherheit Deines Computers nicht erhöhen. Und
Hier ist dann erklärt, wie und warum das Abschalten der Dienste sehr viel sinnvoller ist.
Diese beiden Viedeos sind zwar ne ganze Menge Daten (jeweils ca 200 MB), aber sie erklären wirklich auch für den Laien sehr gut die Thematik.

Insofern würde ich empfehlen, dass Du die Firewall von XP aus lässt.
Zwei Firewalls gleichzeitig laufen zu lassen empfiehlt sich sowieso nicht.

sheepdog

[karlchen]

'n Abend, Asperamanca.

Ohne das Szenario bei mir jetzt nachstellen zu können - habe die McAfee Firewall Software nicht -, schätze ich mal, das Problem dürfte sein, daß sich 2 Firewall-Software-Produkte, die parallel betrieben werden, nicht unbedingt vertragen müssen.

Also entscheide dich einfach dafür, welche Firewall-Software du benutzen willst, die WinXP-eigene oder die von McAfee, und die andere laß deaktiviert.

Viel hilft nicht immer viel.

Nur so nebenbei:
Hast du denn mal probiert, ob ALG.EXE auch abschmiert, wenn die McAfee Firewall deaktiviert ist?

Grüße
Karl
--
P.S.:
An dem hier im Forum tobenden Glaubenskrieg, ob Software-Firewalls überhaupt nützlich sind oder Teufelszeug, beteilige ich mich nicht. Ich bin kein Kreuzritter und gehe da eher pragmatisch vor, will heißen, meine Firewall bleibt oben.

[tommy0910]

Die Quintessenz ist: Personal Firewalls sind Mist und unnütz. Stattdessen sollte man die Dienste, die Tore zum Internet öffnen, abschalten (da man die in der Regel gar nicht benötigt.)

Das ist leichter gesagt als getan. Ich will z.B. einfach nur verhindern, dass jedes x-beliebige Programm zu jedem y-beliebigem Server Verbindung aufnehmen kann. Das das aber ausgehende Anfragen sind und keine ankommenden, gibt es folglich auch keinen Dienst, den ich abschalten kann, ohne dass gleich saemtliche Internet-Verbindungen nicht mehr funktionieren...

[Asperamanca]

Ich habe schon schlechte Erfahrungen beim Betrieb ohne Firewall gemacht (obwohl ich alle Services abgedreht habe, die ich nicht benötige).
Die McAfee-Firewall startet nämlich beim Windows-Start zu langsam, und lässt ein paar Sekunden ein Fenster offen, das sich ein Wurm zunutze gemacht hat.
Der Windows-Firewall alleine möchte ich wiederum nicht ganz trauen, daher zwei Firewalls.

Ich werde mal probieren, ob das Problem prizipiell darin besteht, dass zwei Firewall laufen, aber ich habe bisher bei keiner anderen Applikation (nicht einmal bei Spielen) ein Problem damit gehabt, also muss beim TCMD irgendwas speziell sein...
Der ist übrignes in der Ausnahmelist in beiden Firewalls.

[Sheepdog]

Das ist leichter gesagt als getan. Ich will z.B. einfach nur verhindern, dass jedes x-beliebige Programm zu jedem y-beliebigem Server Verbindung aufnehmen kann.

Da hast Du aber ein Problem. In dem Vortrag über die Firewalls wird sehr schön gezeigt, warum eine PSF dies nicht leisten kann. SIe kann zwar möglicherweise einige Programme daran hindern, nach draußen zu telefonieren, Aber wenn jemand wirklich raus will, ist es ein Leichtes, dies auch zu tun. In dem Vortrag wird gezeigt, wie man ganz einfach eine Verbindung mit dem Standardbrowser (und zwar egal ob IE, Mozilla oder Opera) herstellt, und Daten von Deinem Rechner herausschaufelt.

Die Firewall gauklelt Dir nur eine sehr trügerische Sicherheit vor.

Die McAfee-Firewall startet nämlich beim Windows-Start zu langsam, und lässt ein paar Sekunden ein Fenster offen, das sich ein Wurm zunutze gemacht hat.

Genau das ist eines der Probleme: Ein kleiner Fehler in der Firewall-Software wird zum Angriffspunkt für ein Schadprogramm.

Bei zwei Firewalls hast Du dann sozusagen zwei Potentielle Fehlerquellen, da Programme à priori nicht Fehlerfrei sind.

...aber ich habe bisher bei keiner anderen Applikation (nicht einmal bei Spielen) ein Problem damit gehabt, also muss beim TCMD irgendwas speziell sein...

Der TC ist mit UPX Laufzeitkomprimiert, was bekanntermaßen bei einigen Virenscannern und in bestimmten Situationen auch bei Windows Probleme macht. Insofern kannst Du es ja mal mit der ungepackten Version versuchen.

Dennoch, wenn Du daran interessiert bist, Deinen Rechner sicherer zu machen, kann ich nur empfehlen, die beiden Vorträge mal anzusehen (oder ~hören).

sheepdog

[norfie]

2Asperamanca
Hast Du es schon mal mit "passivem" FTP-Transfer-Modus im TCmd versucht?

Die Quintessenz ist: Personal Firewalls sind Mist und unnütz. Stattdessen sollte man die Dienste, die Tore zum Internet öffnen, abschalten (da man die in der Regel gar nicht benötigt.)

Wer zu diesen pauschalem Schluss kommt, hat weder diesen Thread, diese Website noch diese Videos gelesen/angeschaut und auch verstanden.

[icfu]

@Asperamanca:

Die McAfee-Firewall startet nämlich beim Windows-Start zu langsam, und lässt ein paar Sekunden ein Fenster offen, das sich ein Wurm zunutze gemacht hat.

Du bist Opfer eines Wurms geworden, WEIL Du eine Firewall installiert hattest, gibt Dir das nicht zu denken? Warum vertraust Du diesem Müll dann noch?

Der Windows-Firewall alleine möchte ich wiederum nicht ganz trauen, daher zwei Firewalls.

Die Verwendung einer Firewall kann man u.U. noch als lediglich überflüssig durchgehen lassen, wenn man ein geschütztes System hat, die Verwendung zweier Firewalls jedoch ist Nonsens und purer Leichtsinn, weil beide so tief im System wühlen, daß sie sich dort zwangsläufig in die Quere kommen müssen.
Beschränke Dich auf die Aktivierung der XP Firewall, schmeiß den McAfee-Krempel raus, lies Dir die Links durch, die Sheepdog oben gepostet hat. Wenn Du damit fertig bist, kannst Du zum Schluß auch die XP Firewall deaktivieren, weil Du sie einfach nicht mehr brauchst.

Ich werde mal probieren, ob das Problem prizipiell darin besteht, dass zwei Firewall laufen, aber ich habe bisher bei keiner anderen Applikation (nicht einmal bei Spielen) ein Problem damit gehabt, also muss beim TCMD irgendwas speziell sein...

Das bezweifle ich...

Der ist übrignes in der Ausnahmelist in beiden Firewalls.

Die Ausnahmelisten scheinen perfekt zu funktionieren, so wie man das von "Firewalls" gewohnt ist. Die Erfahrungen sollten jedem zeigen, daß heutige Personal Firewalls den Anwender hoffnungslos überfordern.

Icfu

[icfu]

@tommy0910:
Solange Du die PFW ausschließlich dafür einsetzt, um kurz mal herauszufinden, welche Programme wohin verbinden, ist das in Ordnung, aber wenn das nicht dazu führt, daß Du die "überführten" Programme dann auch vom Rechner schmeißt, ist das Vorgehen albern. Das gleiche gilt für die dauerhafte Verwendung der PFW als "Schutz" vor irgendwelchen Gefahren, also nach der Verwendung als temporäres Werkzeug wieder deaktivieren.

Die Programme, die einmal auf dem Rechner laufen, können im Ernstfall eh machen, was sie wollen, erst recht dann, wenn Du als Administrator arbeitest. Es ist daher von der Grundüberlegung her völlig sinnlos, einem wirklichen Schadprogramm das Verbinden ins Internet per "Firewall" verbieten zu wollen, das funktioniert nicht.

Verhindern kannst Du mit PFWs nur das Verbinden von Programmen, die grundsätzlich gute Absichten haben oder aber "Spyware light". Beim ersten Punkt wäre die verwendung einer PFW gleichbedeutend mit geschürter Paranoia à la "XP Antispy", beim letzteren sollte man es bevorzugen, sich eben solche gar nicht erst zu installieren, z.B. indem man das Programm, das man installieren möchte, vorher in einer Anti Spyware Datenbank nachschlägt.

Icfu

[icfu]

Mal wieder zwei SelfDoS-Bugs in NAV:
http://securityresponse.symantec.com/avcenter/security/Content/2005.03.28.html

Wer sowas liest und keine Firewalls verwendet, hat nur noch ein müdes Achselzucken übrig, denn wo keine Firewall läuft, gibt es auch keine Firewallbugs.

http://copton.net/vortraege/pfw/

Icfu

[Asperamanca]

Der Thread gleitet also anscheinend in eine allgeine Firewall-Diskussion ab...

Nur zur Info: Ich bin kein 08/15-User (Softwareentwickler, Abschluss in Computer Science, ca. 15 Jahre PC-Erfahrung)
Mit Security befasse ich mich aber zugegebenermaßen nur am Rande.

Allerdings möchte ich zwei Dinge zu bedenken geben:

1) Ich hatte alle unnötigen Programme und Services entfernt, trotzdem kam ein Wurm rein, als die Firewall gerade nicht aktiv war. Es gibt halt doch ein paar Windows-Services, ohne die eine Verbindung nach außen nicht funktioniert, und wenn da Sicherheitslücken drinnen sind...

Im diesem Fall hat die Firewall immerhin zwei Dinge für mich getan:
a) Sie hat die Weiterverbreitung verhindert, da der Wurm nicht nach außen senden konnte (sobald die Firewall aktiv war)
b) Sie hat mich auf das Problem aufmerksam gemacht, da sie viel CPU-Zeit verbraten hat

2) Ich bin mir der Unzulänglichkeiten der Software-Lösungen durchaus bewußt. Aber ich wollte bisher nicht in eine Hardware-Lösung investieren (womit ich auch wiederum nur Ports sperren oder freigeben kann). Außerdem möchte ich auch verhindern, dass durchaus erwünschte Programme "nach Hause telefonieren", oder Programme, die ich nicht entfernen kann (IE) nach draußen kommen. Dafür ist eine Software-Lösung recht gut.

Die absolute Sicherheit gibt's ohnehin nur bei abgezogenem Netzwerkkabel...

[ghisler(Author)]

Ich setze auch eine Personal Firewall ein - allerdings nur als Ergänzung zu einer Hardware-Firewall, vor allem um bei normalen Programmen etwaige Aktivitäten zu überwachen. Einmal hatte ich beim Testen verschiedener Firewallprodukte zwei verschiedene Firewalls gleichzeitig installiert (Norton und Kerio), worauf mir der Rechner bei jedem Internetzugriff mit einem Bluescreen abgestürzt war. Da Firewalls tief ins System eingreifen, war das auch kein Wunder. Ich kann also wirklich nur empfehlen, sich auf eine Software-Firewall zu begrenzen.

[icfu]

Der Thread gleitet also anscheinend in eine allgeine Firewall-Diskussion ab...

Das liegt an den hier getätigten Äußerungen. Sowas bleibt nicht aus, wenn man lesen muß, daß Leute zwei Firewalls zur gleichen Zeit einsetzen. Ich meine es nicht böse, wirklich...
Außerdem bin ich oben auf Dein Problem eingegangen, insbesondere ist Deine Nichtreaktion auf meine Antwort zu

Die McAfee-Firewall startet nämlich beim Windows-Start zu langsam, und lässt ein paar Sekunden ein Fenster offen, das sich ein Wurm zunutze gemacht hat.

sehr bedenklich...

Nur zur Info: Ich bin kein 08/15-User (Softwareentwickler, Abschluss in Computer Science, ca. 15 Jahre PC-Erfahrung)

Das sagt nichts aus, wie Du siehst. Es gibt Kellnerinnen ohne Schulabschluß, die letztes Jahr ihren ersten PC bekommen haben, die mehr über Firewalls wissen als Du und ich zusammen. Windows Eigenarten und Sicherheitsprobleme kann man nicht studieren, da muß man sich schon selbst hinterklemmen.

Mit Security befasse ich mich aber zugegebenermaßen nur am Rande.

Wenn dem so ist, solltest Du zumindest dafür sorgen, daß Dein Computer kein offenes Scheunentor ist und das ist er leider wie der Wurmbefall zeigt.

1) Ich hatte alle unnötigen Programme und Services entfernt, trotzdem kam ein Wurm rein, als die Firewall gerade nicht aktiv war.

Würmer attackieren Listening Ports. Wenn ein Wurm reinkommt, wenn Deine Firewall aus ist, hast Du einen unnötigen Windowsdienst angeboten oder das eingesetzte Programm fungierte selbst als Server und hatte eine Sicherheitslücke, aber das war laut der folgenden Aussage nicht der Fall.

Es gibt halt doch ein paar Windows-Services, ohne die eine Verbindung nach außen nicht funktioniert, und wenn da Sicherheitslücken drinnen sind...

Welche Windows-Dienste mußt Du VON INNEN FÜR DIE DA DRAUSSEN anbieten, damit Du VON INNEN NACH AUSSEN kommst? Sorry, das ist Blech.

a) Sie hat die Weiterverbreitung verhindert, da der Wurm nicht nach außen senden konnte (sobald die Firewall aktiv war)

Dann hast Du das Glück gehabt, daß der Entwickler des Wurms faul oder dämlich war.

b) Sie hat mich auf das Problem aufmerksam gemacht, da sie viel CPU-Zeit verbraten hat

Immerhin, so kann man auch Firewallbugs noch was positives abgewinnen.

2) Ich bin mir der Unzulänglichkeiten der Software-Lösungen durchaus bewußt. Aber ich wollte bisher nicht in eine Hardware-Lösung investieren (womit ich auch wiederum nur Ports sperren oder freigeben kann).

Du mußt nicht investieren in Hardware, lediglich ein Script ausführen und ein wenig lesen, kostet Dich ca. fünf Minuten Deiner wertvollen Zeit. Nach 15 Jahren PC-Erfahrung solltest Du Dich nicht scheuen, noch ein wenig dazuzulernen.

Um welchen Wurm geht es eigentlich?
Wie hast Du sichergestellt, daß Dein System nun sauber ist?
Warst Du zum Zeitpunkt der Infektion als Admin unterwegs?

Windowssystemdienste crashen nicht aus Spaß an der Freude, es kann gut sein, daß Dein System weiterhin verseucht ist, beispielsweise könnte die alg.exe ohne Dein Wissen infiziert bzw. verändert worden sein.

Icfu

[tommy0910]

Also Punkt 1: Ich weiss nicht, was diese dauernde Frage nach Admin-Rechten soll? Was fuer eine Motivation sollte ich haben, mich als Administrator am System anzumelden? Da bin ich ja schon allein zu faul dafuer, noch ein weiteres Profil zu konfigurieren...

Und Punkt 2:

Welche Windows-Dienste mußt Du VON INNEN FÜR DIE DA DRAUSSEN anbieten, damit Du VON INNEN NACH AUSSEN kommst? Sorry, das ist Blech.

Auch das ist mal wieder so leicht dahin gesagt. Erzaehl mir doch mal, welche Dienste in Windows welchen Zweck erfuellen - das ist naemlich wahnsinnig mangelhaft dokumentiert. Wie kann ich wissen, welche Dienste Windows unbedingt braucht und welche nicht?

Dazu kommt, dass Windows selbst es mir nicht wirklich leicht macht, eine PFW sinnvoll zu konfigurieren. Allein NetBIOS arbeitet ja schon mal 4 verschiedenen Ports (135, 137, 139, 445). Und welcher wofuer zustaendig ist, weiss ich bis heute nicht. Und dann gibt's eben diese leidigen Dienste, die ueber die SVCHOST gestartet werden. Tolle Sache - da kann ich entweder die SVCHOST fuer Netzwerk-Traffic zulassen oder sperren. Womit dann eben gleich 5 oder 10 Dienste ins Netz duerfen oder nicht...

[icfu]

@tommy0910:

Also Punkt 1: Ich weiss nicht, was diese dauernde Frage nach Admin-Rechten soll? Was fuer eine Motivation sollte ich haben, mich als Administrator am System anzumelden? Da bin ich ja schon allein zu faul dafuer, noch ein weiteres Profil zu konfigurieren...

Worauf beziehst Du Dich hier? Unter 2000/XP ist es Standard, daß man nach der Installation mit Adminrechten ausgestattet ist und viele User sind sich dessen nicht bewußt. Es ist nicht gerade unwichtig, ob man zum Zeitpunkt einer Wurmattacke Admin war. Wenn man es war, kann man das System auf jeden Fall abschreiben, weil man keinerlei Chance hat, eine Kompromittierung definitiv auszuschließen, Stichwort Rootkit o.a. Späßchen.

Auch das ist mal wieder so leicht dahin gesagt. Erzaehl mir doch mal, welche Dienste in Windows welchen Zweck erfuellen - das ist naemlich wahnsinnig mangelhaft dokumentiert. Wie kann ich wissen, welche Dienste Windows unbedingt braucht und welche nicht?

Windows 2000/XP "braucht" grundsätzlich nur einen einzigen Dienst und das ist Remoteprozeduraufruf (RPC) und der muß auf automatisch stehen. Unter XP kann man diesen nicht deaktivieren, unter 2000 schon, also Finger weg davon!
Sheepdog hat oben Links gepostet, die mußt Du nur anklicken, dann wirst Du erleuchtet. Das Skript stellt die Dienste so ein, daß der unnütze Kram aus ist. Etwaige Probleme findest Du dort auch erläutert.

Dazu kommt, dass Windows selbst es mir nicht wirklich leicht macht, eine PFW sinnvoll zu konfigurieren. Allein NetBIOS arbeitet ja schon mal 4 verschiedenen Ports (135, 137, 139, 445). Und welcher wofuer zustaendig ist, weiss ich bis heute nicht. Und dann gibt's eben diese leidigen Dienste, die ueber die SVCHOST gestartet werden. Tolle Sache - da kann ich entweder die SVCHOST fuer Netzwerk-Traffic zulassen oder sperren. Womit dann eben gleich 5 oder 10 Dienste ins Netz duerfen oder nicht...

Zweiter Link von Sheepdog, lesen und informieren... Nur, wenn Du die Option /LAN verwendest, weil Du zuhause ein lokales Netzwerk betreibst, mußt Du Dich noch um die Schließung des Ports 445 kümmern, näheres dazu findest Du dann im ersten Link von Sheepdog, irgendwo auf Seite 3 oder 4 habe ich was dazu geschrieben, dort findest Du auch einen Link, den nevidimka gepostet hat, der eine schöne bebilderte Anleitung bietet, um eine Sicherheitsrichtlinie zu erstellen, Du brauchst diese dann aber nur noch für Port 445.

Viel Erfolg

Icfu