Давно заметил, что судя по значку на панели на мою машину бывает время от времени какой-то левый трафик в небольших количествах.
Установил из реп firestarter, и увидел, что действительно временами идет траф с разных адресов начиная от китая и кончая Швейцарией и США. (смотрел во время простоя сети).
Firestarter блокирует кучу таких пакетов, а не некоторых ругается и его значек на панели краснеет.
Порты на которые идут эти левые пакеты всякие.
Просканировался nmap'ом, у меня открыты вот эти порты:
~$ nmap -p 1-65535 localhost
Starting Nmap 4.62 ( http://nmap.org ) at 2010-09-25 17:13 YEKST
Interesting ports on localhost (127.0.0.1):
Not shown: 65531 closed ports
PORT STATE SERVICE
25/tcp open smtp
111/tcp open rpcbind
631/tcp open ipp
44425/tcp open unknown
Nmap done: 1 IP address (1 host up) scanned in 1.224 seconds
причём пятизначный порт, при каждой перезагрузке разный.
Что это за порты, что на них висит? Для чего они?Особенно пятизначный.
Может их закрыть?
(Десктоп дебиан 5, гном, простое окружение, почтовик, браузеры, офис).
LinuxForum.Fans
Открыты порты
Автор: redux
54 сообщений
11322 просмотров
25 - smtp сервер. это к электронной почте относится
111 - для служебных нужд. скорее всего его занял portmap
631 - порт службы печати (cups).
А вот по поводу четвертого порта...
дайте вывод команды
[console]netstat -lpn[/console]
вот:
text
~$ netstat -lpn
(Not all processes could be identified, non-owned process info
will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:44425 0.0.0.0:* LISTEN -
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN -
tcp 0 0 0.0.0.0:51413 0.0.0.0:* LISTEN 3786/transmission
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN -
tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN -
tcp6 0 0 ::1:631 :::* LISTEN -
udp 0 0 0.0.0.0:794 0.0.0.0:* -
udp 0 0 0.0.0.0:37419 0.0.0.0:* -
udp 0 0 0.0.0.0:56284 0.0.0.0:* -
udp 0 0 0.0.0.0:5353 0.0.0.0:* -
udp 0 0 0.0.0.0:111 0.0.0.0:* -
udp 0 0 0.0.0.0:631 0.0.0.0:* -
udp6 0 0 :::5353 :::* -
udp6 0 0 :::47216 :::* -
Active UNIX domain sockets (only servers)
Proto RefCnt Flags Type State I-Node PID/Program name Path
unix 2 [ ACC ] STREAM LISTENING 5021 - @/var/run/hald/dbus-n8q0sLQICL
unix 2 [ ACC ] STREAM LISTENING 112666 3786/transmission /home/redux/.config/transmission/gtk/socket
unix 2 [ ACC ] STREAM LISTENING 5026 - @/var/run/hald/dbus-Dlw3A26XZK
unix 2 [ ACC ] STREAM LISTENING 5444 - @/tmp/.X11-unix/X0
unix 2 [ ACC ] STREAM LISTENING 5445 - /tmp/.X11-unix/X0
unix 2 [ ACC ] STREAM LISTENING 4587 - /var/run/acpid.socket
unix 2 [ ACC ] STREAM LISTENING 5670 - /tmp/ssh-egoxKZ2334/agent.2334
unix 2 [ ACC ] STREAM LISTENING 5707 2386/gconfd-2 /tmp/orbit-redux/linc-952-0-26ed5bf48de12
unix 2 [ ACC ] STREAM LISTENING 5714 2392/seahorse-agent /tmp/orbit-redux/linc-91e-0-5c0329d5a41c5
unix 2 [ ACC ] STREAM LISTENING 5906 2392/seahorse-agent /tmp/seahorse-pOnSX7/S.gpg-agent
unix 2 [ ACC ] STREAM LISTENING 5943 2334/x-session-mana /tmp/orbit-redux/linc-91e-0-69fce8a460bd1
unix 2 [ ACC ] STREAM LISTENING 5947 2334/x-session-mana /tmp/.ICE-unix/2334
unix 2 [ ACC ] STREAM LISTENING 5960 2395/gnome-keyring- /tmp/orbit-redux/linc-95a-0-5aa4bcf6e97f8
unix 2 [ ACC ] STREAM LISTENING 5965 2395/gnome-keyring- /tmp/keyring-GlojIh/socket
unix 2 [ ACC ] STREAM LISTENING 5967 2395/gnome-keyring- /tmp/keyring-GlojIh/ssh
unix 2 [ ACC ] STREAM LISTENING 5969 2395/gnome-keyring- /tmp/keyring-GlojIh/socket.pkcs11
unix 2 [ ACC ] STREAM LISTENING 6022 2397/gnome-settings /tmp/orbit-redux/linc-95d-0-15e9fd7e1e186
unix 2 [ ACC ] STREAM LISTENING 6193 2416/gnome-screensa /tmp/orbit-redux/linc-96c-0-46a8569ceb30a
unix 2 [ ACC ] STREAM LISTENING 6299 2418/gnome-panel /tmp/orbit-redux/linc-972-0-7900641f36daf
unix 2 [ ACC ] STREAM LISTENING 6388 2417/metacity /tmp/orbit-redux/linc-971-0-a52aa1b76f10
unix 2 [ ACC ] STREAM LISTENING 6438 2420/nautilus /tmp/orbit-redux/linc-974-0-7900641fdef41
unix 2 [ ACC ] STREAM LISTENING 6596 2429/bluetooth-appl /tmp/orbit-redux/linc-97d-0-79802bd8f34cc
unix 2 [ ACC ] STREAM LISTENING 6648 2439/gnome-vfs-daem /tmp/orbit-redux/linc-987-0-2f391cc114b39
unix 2 [ ACC ] STREAM LISTENING 6702 2444/gnome-volume-m /tmp/orbit-redux/linc-988-0-6f1c2b552fa04
unix 2 [ ACC ] STREAM LISTENING 6726 2445/gnome-power-ma /tmp/orbit-redux/linc-981-0-6f1c2b553df2c
unix 2 [ ACC ] STREAM LISTENING 6744 2423/bonobo-activat /tmp/orbit-redux/linc-977-0-4f29b84fcd90b
unix 2 [ ACC ] STREAM LISTENING 6769 2463/mapping-daemon /tmp/mapping-redux
unix 2 [ ACC ] STREAM LISTENING 6831 2467/multiload-appl /tmp/orbit-redux/linc-9a3-0-7ab97933a386a
unix 2 [ ACC ] STREAM LISTENING 6898 2471/mixer_applet2 /tmp/orbit-redux/linc-9a7-0-686002171df2e
unix 2 [ ACC ] STREAM LISTENING 8321 2860/firefox-bin /tmp/orbit-redux/linc-b2c-0-4698f69be855d
unix 2 [ ACC ] STREAM LISTENING 121181 3815/gnome-terminal /tmp/orbit-redux/linc-ee7-0-2530bb934b2e1
unix 2 [ ACC ] STREAM LISTENING 23634 3323/gedit /tmp/orbit-redux/linc-cfb-0-237451d9d32a0
unix 2 [ ACC ] STREAM LISTENING 23638 3323/gedit /tmp/gedit-svn.redux.947932830
unix 2 [ ACC ] STREAM LISTENING 5685 2384/dbus-daemon @/tmp/dbus-uIQ3GPw34g
unix 2 [ ACC ] STREAM LISTENING 4699 - /var/run/cups/cups.sock
unix 2 [ ACC ] STREAM LISTENING 5309 - /var/run/gdm_socket
unix 2 [ ACC ] STREAM LISTENING 4641 - /var/run/avahi-daemon/socket
unix 2 [ ACC ] STREAM LISTENING 4607 - /var/run/dbus/system_bus_socket
51413 это торрент, который я открывал, чтобы проверить не он ли это. (а вообще им не пользуюсь никогда- сегодня первый раз запустил.)
а 44425 прочерк почему-то.
Спасибо.
Виноват, от рута надо было?
Вот от рута
tcp 0 0 0.0.0.0:44425 0.0.0.0:* LISTEN 1466/rpc.statd
что это rpc.statd ?
redux, простой вопрос: у вас прямой IP?
system-root, Вы имеете в виду статический? (Я не очень разбираюсь )
ip у меня серый, динамичсеки получаемый, каждый раз разный.
По мобильнику сижу.
ip у меня серый, динамичсеки получаемый, каждый раз разный.
ну так удалите к чертям ваш фаерволл.
все входящие - это запросы ajax, flash, или другого динамического контента.
накой чёт вам вообще фаерволл на сером IP? от локальной сетки прятаться? а она у вас есть? если есть - не расшаривайте просто NFS\samba куда попало и всё.
Так я этот файервол и не запускаю никогда, а поставил только чтоб посмотреть, что за трафик левый идет.
Потом выяснилось. что некоторые порты открыты.
Так вот в чем вопрос то:
Ни закрыть ли чего? (порты эти)
[quote=redux]ip у меня серый, динамичсеки получаемый, каждый раз разный.
все входящие - это запросы ajax, flash, или другого динамического контента.
[/quote]
Если это запросы, то почему они появляются на свежее вкючение, когда я еше ни на каких сайтах не был?Да и вообще от таких серверов бывает, где я не был вообще никогда.
И потом, этот файервол пишет на некоторые мол, Hit от такого то ip и краснеет (в логе и на панели).Я так понимаю, это атаки.
Ни закрыть ли чего? (порты эти)
удалите браузер - трафика не будет.
удалите автоматическое обновление - трафика не будет.
выключите компьютер - трафика не будет.
всё остальное это не левый трафик, а запрошенный вами же.
.Я так понимаю, это атаки.
какие атаки? вы рекламы виндовс пересмотрели?
ни у кого нет вашего IP, его не существует в интернете.
[quote=redux]Ни закрыть ли чего? (порты эти)
удалите браузер - трафика не будет.
удалите автоматическое обновление - трафика не будет.
выключите компьютер - трафика не будет.
всё остальное это не левый трафик, а запрошенный вами же.[/quote]
Вы очень ошибаетесь, я и браузер отключал и обновы уменя ручные и на них я в первую очередь думал, но исключил.
Еще раз пишу это не запрошенный мною трафик. Я говорю о трафике, который вижу на свежее подключение, моего вмешательства там нет.
Пакеты чаще от адресов не имеющих доменных имен.
Но есть и от серверов, повторяю, на которых я не был никогда, например от mamba. ru.
А еще был от микрософт какой то службы, теперь в логе долго копаться, файервол его даже красным пометил.
redux, чем высмотрите трафик?
установите sockstat, перезагрузитесь, и покажите вывод sockstat от рута.
а, да, =) коньки погоду кажут?
[quote=redux].Я так понимаю, это атаки.
какие атаки? вы рекламы виндовс пересмотрели?
ни у кого нет вашего IP, его не существует в интернете.[/quote]
Про атаки пишет файервол этот самый Firestarter. У него и в описании написано, мол атаки показывает в реальном времени.
На виндовсе я уже давно не был, но помню, там секьюрити иногда тоже выдавал сообщение об атаках.
redux, я понятие не имею, шо це таке - Firestarter, в линуксе фаерволл зовут iptables.
покажите после перезагрузки, но до открытия вообще окон вывод sockstat, а ещё лучше, дождитесь этой самой "атаки" и покажите вывод в этот момент, оно так интереснее будет.
Трафик я смотрю системным монитором.
А лог его смотрю Firestarter 'ом.
Толку то просто так лог показывать, сейчас вот тишина в этом плане.
Я вот сейчас вам вчерашний лог частично покажу из только заблокированных.
лог частично покажу из только заблокированных.
вы понимаете, он не несёт никакой смысловой нагрузки, порт открывает процесс, процесс проводит соединение с удалённой машиной.
так вот, мне нужен вывод sockstat, шоб видеть процесс который открывает соединение, а не сам факт того что это было.
У меня то нет этих процессов, по которым портам стачатся входящие пакеты и порты эти их запрашиваемые закрыты.
Вот опять написал этот , что была атака.
Войдите или зарегистрируйтесь, чтобы ответить.
