Отправляет email-рассылки с помощью сервиса Sendsay

Linux: разрешение вопросов, перспективы и общение

Подписаться Бесплатный дискуссионный лист Подписчиков 997
←   Февраль 2008   →
 1
 2
 3
03.02.2008
12:18:26
15:25:19
 4
 5
05.02.2008
15:09:38
22:54:40
 6
 7
 8
 9
10
11
12
13
14
14.02.2008
12:15:45
20:34:52
15
16
17
18
18.02.2008
08:46:09
11:14:56
19
20
21
22
23
24
25
26
27
27.02.2008
16:27:46
19:35:43
28
29


За последние 60 дней ни разу не выходила


Сайт листа: http://www.linuxrsp.ru
Открыт: 25-07-2003
Пре-модерация: Нет
Адрес для писем в лист: comp.soft.linux.discuss-list@subscribe.ru
Адрес модератора: comp.soft.linux.discuss-owner@subscribe.ru

Модератор
Фёдор Сорекс

Статистика

997 подписчиков
0 за неделю

куда уходит трафик?

Привет всем!
Помогите решить следующую задачку: домашняя машина подключена к сети
через выделенную линию. С недавних пор через wmnetload наблюдаю
стабильную отправку пакетов в интернет во время, когда никто и ничто
не должно сего делать, но куда и кто? Вирус, троян?
Как найти о обезвредить наглеца?

# tcpdump -vv
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
20:40:10.468711 IP (tos 0x0, ttl 128, id 8901, offset 0, flags [DF], length:
48) 172.17.3.41.3209 > 172.17.0.238.microsoft-ds: S [tcp sum ok] 3561594452:3561594452(0)
win 64240 <mss 1460,nop,nop,sackOK>
20:40:10.469174 arp who-has 172.17.8.188 tell 172.17.8.1
20:40:10.469201 IP (tos 0x0, ttl 104, id 3365, offset 0, flags [DF], length:
44) 64.12.24.244.5190 > 172.17.3.24.1065: S [tcp sum ok] 3842042781:3842042781(0)
ack 2225006114 win 16384 <mss 1360>
20:40:10.469206 arp who-has 172.17.8.59 tell 172.17.8.1
20:40:10.469214 arp who-has 172.17.8.83 tell 172.17.8.1
20:40:10.469221 arp who-has 172.17.9.156 tell 172.17.8.1
20:40:10.470436 IP (tos 0x0, ttl 128, id 8901, offset 0, flags [DF], length:
48) 172.17.3.41.3209 > 172.17.0.238.microsoft-ds: S [tcp sum ok] 3561594452:3561594452(0)
win 64240 <mss 1460,nop,nop,sackOK>
20:40:10.470925 arp who-has 172.17.9.5 tell 172.17.8.1
20:40:10.470947 arp who-has 172.17.10.29 tell 172.17.10.10
20:40:10.470954 arp who-has 172.17.10.60 tell 172.17.10.10
20:40:10.471153 arp who-has 172.17.8.83 tell 172.17.8.1
20:40:10.472232 arp who-has 172.17.10.29 tell 172.17.10.10
20:40:10.474939 IP (tos 0x0, ttl 64, id 447, offset 0, flags [DF], length: 71)
maxhome.home.ua.2679 > 172.17.7.254.domain: [bad udp cksum 476f!] 40434+ PTR?
238.0.17.172.in-addr.arpa. (43)
20:40:10.520742 IP (tos 0x0, ttl 128, id 21648, offset 0, flags [none], length:
234) 172.17.3.51.netbios-dgm > 172.17.7.255.netbios-dgm:

(0x33) Port=138 (0x8a) Length=192 (0xc0) Res2=0x0
SourceName=DIAVOL-DF183901 NameType=0x20 (Server)
DestName=
WARNING: Short packet. Try increasing the snap length

20:40:10.535640 arp who-has 172.17.10.111 tell 172.17.10.10
20:40:10.535674 arp who-has 172.17.4.11 tell 172.17.0.254
20:40:10.535961 arp who-has 172.17.10.111 tell 172.17.10.10
20:40:10.537105 IP (tos 0x0, ttl 64, id 12199, offset 0, flags [DF], length:
48) 192.168.0.1.http > 172.17.3.24.1067: S [tcp sum ok] 1483752218:1483752218(0)
ack 296713709 win 65535 <mss 1460,sackOK,eol>
20:40:10.551221 arp who-has 172.17.8.33 tell 172.17.8.1
20:40:10.551240 arp who-has 172.17.8.103 tell 172.17.8.1
20:40:10.551247 arp who-has 172.17.9.177 tell 172.17.9.195

21 packets captured
4219 packets received by filter
3798 packets dropped by kernel

Ответить  
Max
Tue, 12 Feb 2008 20:42:14 +0200 (#724664)

 

Ответы:

2008/2/12 Max <max.subscri***@m*****.ru>:

Ответить  
"Alexey Eropkin"
Tue, 12 Feb 2008 22:16:52 +0300 (#724670)

 

Original Message From: "Alexey Eropkin" <zubat***@g*****.com>
To: "comp.soft.linux.discuss (10166966)" <vit***@n*****.ua>
Sent: Tuesday, February 12, 2008 9:16 PM

Что ж тут нормального? Мне вот кажется, что это ненормально, когда комп
пытается узнавать маки разных IP-шников в локалке, при этом все время
представляется тоже под разными IP-шниками...
Разве-что, это такая странная выделенка, что по ней слышны чужие
arp-запросы? Т.е. провайдер объединяет компы с "выделенками" через свич?
Интересно, что скажет по этому поводу автор топика...
Если слышны чужие бродкасты - то тогда автору нечего волноваться за свой
комп - он просто слышит чужие пакеты. А вот за провайдера стоит опасаться -
это кто ж такое придумал, абонентов через свич включать???

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 33673; Возраст листа: 1665; Участников: 1498
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/724819

Ответить  
"Vitaly Demyanec"
Wed, 13 Feb 2008 11:58:49 +0200 (#724819)

 

Vitaly Demyanec пишет:

Пардон, но этим грешат половина (если не больше) домашних сетей

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 33674; Возраст листа: 1665; Участников: 1498
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/724834

Ответить  
sandro
Wed, 13 Feb 2008 13:52:12 +0300 (#724834)

 

On Wed, Feb 13, 2008 at 11:58 +0200, Vitaly Demyanec wrote:

Если бы я знал как они это объеденяли... Провели кабель, подключили пол
года назад и все было нормально. Но вот недавно взбрело им объеденить
несколько сетей в одну, вот после этого эта бадяга и началась.
Провайдер http://atom.net.ua.

Если бояться нечего -- это хорошо. А провайдера поменять пока что не
могу -- он один такой в нашей глухомани:(

Ответить  
Max
Wed, 13 Feb 2008 18:34:27 +0200 (#724924)

 

Здравствуйте,
тут вроде стандартные ARP-запросы.
Причини волноваться нет, так и должно быть.
Подробнее о ARP можно прочитать тут - http://ru.wikipedia.org/wiki/ARP

--
Anton.

2008/2/12 Max <max.subscri***@m*****.ru>:

71)

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 33672; Возраст листа: 1664; Участников: 1495
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/724671

Ответить  
Anton
Tue, 12 Feb 2008 22:18:21 +0300 (#724671)

 

-----Original MessageFrom: Max <max.subscri***@m*****.ru>
To: "comp.soft.linux.discuss" <kol_***@m*****.ru> (13590549)

Вы бы указали свой IP?

Ваш IP 3.24? Тогда на Вашем компе запущена ася

71)

Опять же, если я угадал с IP-шником, то что это за 192.168.0.1 с которого закачивается
вэб-контент.?

Я в приведенном дампе криминала не увидел.
Типичный обмен АРП на внешнем интерфейсе, характерный для карточки включенной
в свич.
Немного виндового мусора, а так ничего особенного
Я бы прикрыл файерволом порты 135-139(tcp&udp),445(tcp) на вход и выход если
не нужно видеть соседей по сети. Особенно 445. А заодно убил бы NetBIOS в службах.

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 33677; Возраст листа: 1665; Участников: 1498
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/724855

Ответить   vi vi Wed, 13 Feb 2008 11:30:42 +0300 (#724855)

 

On Wed, Feb 13, 2008 at 11:30 +0300, vi vi wrote:

нет 3.1

???

135-139 и 445 нужны для samba

Спасибо всем откликнувшимся если причин для беспокойства нет -- тема закрыта.

Ответить  
Max
Thu, 14 Feb 2008 19:40:50 +0200 (#725187)