O portmapper do AIX relatou escutar na porta 32771. Por que não é o processo nlockmgr?

Question

Estou tentando acalmar meu grupo de segurança, que acredita que o portmapper esteja escutando na porta 32771. Meu host está executando o AIX 7.1. Eu não tenho acesso aos utilitários de rede GNU aqui.

rpcinfo (8), tanto remotamente quanto localmente, me dá uma saída dizendo que nlockmgr está escutando na porta 32771. Estou incluindo mountd e status para comparação.

$ rpcinfo -p
program vers proto   port  service
 100000    4   udp    111  portmapper
 100000    3   udp    111  portmapper
 100000    2   udp    111  portmapper
 100000    4   tcp    111  portmapper
 100000    3   tcp    111  portmapper
 100000    2   tcp    111  portmapper
 [snip]
 100005    1   tcp  32770  mountd
 100005    2   tcp  32770  mountd
 100005    3   tcp  32770  mountd
 100021    1   tcp  32771  nlockmgr
 100021    2   tcp  32771  nlockmgr
 100021    3   tcp  32771  nlockmgr
 100021    4   tcp  32771  nlockmgr
 100024    1   tcp  32772  status

lsof (8) e ps (1) no host local para apontar para o portmapper . (O lsof não encontra nenhuma referência ao 32771 no IPv4.)

$ sudo lsof -Pnl +M -i6 | grep (portmap and 3277[012])
COMMAND     PID      USER FD   TYPE             DEVICE SIZE/OFF NODE NAME
portmap     3735666  0     3u  IPv6 0xf10005000206c3b8      0t0  TCP *:111[portmapper] (LISTEN)
portmap     3735666  0     4u  IPv6 0xf100050000161200      0t0  UDP *:111[portmapper]
rpc.mount   4784282  0     3u  IPv6 0xf10005000017fbb8      0t0  TCP *:32770[mountd] (LISTEN)
portmap     3735666  0     5u  IPv6 0xf100050002116a00      0t0  UDP *:32771
rpc.statd   3801234  1     4u  IPv6 0xf10005000214ebb8      0t0  TCP *:32772[status] (LISTEN)

$ ps -ef | grep [3]735666
root  3735666  3080400   0   Dec 16      -  0:52 /usr/sbin/portmap

$ ps -ef | grep [4]784282
root  4784282  3080400   0   Dec 16      -  0:02 /usr/sbin/rpc.mountd

$ ps -ef | grep [3]801234
daemon  3801234  3080400   0   Dec 16      -  0:00 /usr/sbin/rpc.statd -d 0 -t 50

$ netstat -Aan | grep (111 and 3277[012])
Active Internet connections (including servers)
PCB/ADDR         Proto Recv-Q Send-Q  Local Address      Foreign Address    (state)
f10005000206c3b8 tcp        0      0  *.111                 *.*                   LISTEN
f100050000161200 udp        0      0  *.111                 *.*
f10005000017fbb8 tcp        0      0  *.32770               *.*                   LISTEN
f10005000206cbb8 tcp        0      0  *.32771               *.*                   LISTEN
f100050002116a00 udp        0      0  *.32771               *.*
f10005000214ebb8 tcp        0      0  *.32772               *.*                   LISTEN

netcat (1), de um host RHEL, a porta de relatórios 32771 está ativa. Nosso scanner de segurança chama especificamente o portmapper associado à porta 32771 e é nisso que o grupo de segurança está se concentrando. O scanner não se importa com as outras portas numeradas altas associadas a outros serviços RPC normais, como mountd e status . A IBM não possui avisos de segurança para o portmapper . Não consigo configurar o portmapper para usar uma porta diferente para o serviço RPC nlockmgr .

O que dá com o portmapper ? Não deveria haver um processo nlockmgr em execução? Como posso explicar isso para minha equipe de segurança? Obviamente, meu conhecimento do portmapper é limitado.

    

Answer 1

A saída do lsof mostra claramente qual processo está escutando na porta 32771:

portmap     3735666  0     5u  IPv6 0xf100050002116a00      0t0  UDP *:32771

Você pode IPv6 dizer que a v6 também é suportada. A saída de rpcinfo mostra quais serviços (não processos!) Estão registrados. Eu leio os dois resultados juntos como:

The portmap process have registered nlockmgr service, which listen on UDP socket, port 32771.

O bit confisivo é que o ouputput do rpcbind mostra o nlockmgr apenas no TCP, mas isso pode ser o resultado da saída truncada.