Porta de origem 443?

Question

Eu posso me envergonhar com essa pergunta, por causa de algo realmente óbvio, mas estou intrigado.

Meu log de firewall de banda larga doméstica diz que está bloqueando o tráfego TCP de entrada com uma porta de origem (!) de 443. O que no mundo seria isso? Se alguém estava tentando uma conexão HTTPS, seria a porta de destino 443, não a porta de origem, certo?

Aqui está a entrada do arquivo de log:

[UFW BLOCK] IN=enp3s0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=xx.xx.xx.x DST=xx.xx.xx.xx LEN=89 TOS=0x00 PREC=0x20 TTL=59 ID=58112 DF PROTO=TCP SPT=443 DPT=56419 WINDOW=7776 RES=0x00 ACK PSH URGP=0

O que isso poderia estar tentando fazer?

    

Answer 1

Não há nada que restrinja a porta de origem que você usa ao abrir uma conexão TCP (pode ser necessário privilégios de root / superusuário / administrador para usar uma porta de origem < 1024).

Em qualquer caso, muito provavelmente, se você estiver vendo tráfego originado externamente com uma porta de origem de 443, o que você está vendo é um ataque (provavelmente um bot executando um script) que espera que você tenha um bug na configuração do firewall (regras de firewall) e permitirá que o tráfego se origine da porta 443 porque você quase certamente permitirá o tráfego de saída destinado à porta 443.

    

Answer 2

Você deve escrever mais informações Se quiser saber sobre isso. Essa conexão poderia ter sido qualquer programa. Se você quer saber quais conexões TCP (na porta 443) tem seu computador Você pode executar o programa netstat e verificar o IP e o programa.

# netstat -ntp | grep :443

Além disso, você pode usar um sniffer para capturar o tráfego e ver a origem dessa filtragem de conexão pela porta 443 e IP. Além disso, você pode fazer um whois com o IP para ver onde você está enviando.

$ whois <ip>

Se você quiser ver as portas TCP que seu PC tem no modo de escuta, execute:

# netstat -lnt

e se você quiser ver qual programa está escutando use o argumento -p

    

Answer 3

Se for um pacote SYN com porta de origem 443, então é mais do que provável que seja nefasto. Seu pacote é um ACK PSH, portanto, será uma conexão que você abandonou, mas o servidor da Web ao qual você estava conectado não recebeu um pacote FIN ou RST e continua enviando dados para você.