redux, вам не лень запостить срин, но скопировать вывод sockstat влом?
LinuxForum.Fans
Открыты порты
Автор: redux
54 сообщений
11320 просмотров
Так ставить надо же его.
В общем я так понял, то что идет и особенно, как только подсоединился, это хвосты от запросов того, кто был до меня только что на IP который сейчас предоставил провайдер мне. Это многое обьясняет.
UPD Спасибо за помощь и совет в нужном направлении.
это хвосты от запросов
они н е м о г у т до вас доходить ещё раз говорю.
вашего IP нет не у кого. тот IP с которого вы выходите в сеть - на нём могут 2-3 тысячи человек сидеть например. а злые одмины все запросы вам пересылают? может вы в тех поддержке матом ругалися? =)
Так ставить надо же его.
ну правда же, лучше сидеть гадать.
а, не, лучше сразу к бабе нюре гадалке.
system-root, В репах sockstat нету.
Астрал говорит, мол это от фряхи штука. В линухе netstat надо вместо него юзать (?)
Так netstat я уж поглядел, да и выше запостил.
Спасибо, всё равно помогли разобраться.
system-root, В репах sockstat нету.
Астрал говорит, мол это от фряхи штука. В линухе netstat надо вместо него юзать (?)
Так netstat я уж поглядел, да и выше запостил.
Вот netstat -lpn от рута полностью:
text
# netstat -lpn
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:44425 0.0.0.0:* LISTEN 1466/rpc.statd
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN 1455/portmap
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 1883/cupsd
tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 2150/exim4
tcp6 0 0 ::1:631 :::* LISTEN 1883/cupsd
udp 0 0 0.0.0.0:794 0.0.0.0:* 1466/rpc.statd
udp 0 0 0.0.0.0:37419 0.0.0.0:* 1858/avahi-daemon:
udp 0 0 0.0.0.0:56284 0.0.0.0:* 1466/rpc.statd
udp 0 0 0.0.0.0:5353 0.0.0.0:* 1858/avahi-daemon:
udp 0 0 0.0.0.0:111 0.0.0.0:* 1455/portmap
udp 0 0 0.0.0.0:631 0.0.0.0:* 1883/cupsd
udp6 0 0 :::5353 :::* 1858/avahi-daemon:
udp6 0 0 :::47216 :::* 1858/avahi-daemon:
Active UNIX domain sockets (only servers)
Proto RefCnt Flags Type State I-Node PID/Program name Path
unix 2 [ ACC ] STREAM LISTENING 5021 2196/hald @/var/run/hald/dbus-n8q0sLQICL
unix 2 [ ACC ] STREAM LISTENING 5026 2196/hald @/var/run/hald/dbus-Dlw3A26XZK
unix 2 [ ACC ] STREAM LISTENING 5444 2255/X @/tmp/.X11-unix/X0
unix 2 [ ACC ] STREAM LISTENING 5445 2255/X /tmp/.X11-unix/X0
unix 2 [ ACC ] STREAM LISTENING 4587 1836/acpid /var/run/acpid.socket
unix 2 [ ACC ] STREAM LISTENING 5670 2380/ssh-agent /tmp/ssh-egoxKZ2334/agent.2334
unix 2 [ ACC ] STREAM LISTENING 5707 2386/gconfd-2 /tmp/orbit-redux/linc-952-0-26ed5bf48de12
unix 2 [ ACC ] STREAM LISTENING 5714 2392/seahorse-agent /tmp/orbit-redux/linc-91e-0-5c0329d5a41c5
unix 2 [ ACC ] STREAM LISTENING 5906 2392/seahorse-agent /tmp/seahorse-pOnSX7/S.gpg-agent
unix 2 [ ACC ] STREAM LISTENING 5943 2334/x-session-mana /tmp/orbit-redux/linc-91e-0-69fce8a460bd1
unix 2 [ ACC ] STREAM LISTENING 5947 2334/x-session-mana /tmp/.ICE-unix/2334
unix 2 [ ACC ] STREAM LISTENING 5960 2395/gnome-keyring- /tmp/orbit-redux/linc-95a-0-5aa4bcf6e97f8
unix 2 [ ACC ] STREAM LISTENING 5965 2395/gnome-keyring- /tmp/keyring-GlojIh/socket
unix 2 [ ACC ] STREAM LISTENING 5967 2395/gnome-keyring- /tmp/keyring-GlojIh/ssh
unix 2 [ ACC ] STREAM LISTENING 5969 2395/gnome-keyring- /tmp/keyring-GlojIh/socket.pkcs11
unix 2 [ ACC ] STREAM LISTENING 6022 2397/gnome-settings /tmp/orbit-redux/linc-95d-0-15e9fd7e1e186
unix 2 [ ACC ] STREAM LISTENING 6193 2416/gnome-screensa /tmp/orbit-redux/linc-96c-0-46a8569ceb30a
unix 2 [ ACC ] STREAM LISTENING 6299 2418/gnome-panel /tmp/orbit-redux/linc-972-0-7900641f36daf
unix 2 [ ACC ] STREAM LISTENING 6388 2417/metacity /tmp/orbit-redux/linc-971-0-a52aa1b76f10
unix 2 [ ACC ] STREAM LISTENING 6438 2420/nautilus /tmp/orbit-redux/linc-974-0-7900641fdef41
unix 2 [ ACC ] STREAM LISTENING 6596 2429/bluetooth-appl /tmp/orbit-redux/linc-97d-0-79802bd8f34cc
unix 2 [ ACC ] STREAM LISTENING 6648 2439/gnome-vfs-daem /tmp/orbit-redux/linc-987-0-2f391cc114b39
unix 2 [ ACC ] STREAM LISTENING 6702 2444/gnome-volume-m /tmp/orbit-redux/linc-988-0-6f1c2b552fa04
unix 2 [ ACC ] STREAM LISTENING 6726 2445/gnome-power-ma /tmp/orbit-redux/linc-981-0-6f1c2b553df2c
unix 2 [ ACC ] STREAM LISTENING 6744 2423/bonobo-activat /tmp/orbit-redux/linc-977-0-4f29b84fcd90b
unix 2 [ ACC ] STREAM LISTENING 6769 2463/mapping-daemon /tmp/mapping-redux
unix 2 [ ACC ] STREAM LISTENING 6831 2467/multiload-appl /tmp/orbit-redux/linc-9a3-0-7ab97933a386a
unix 2 [ ACC ] STREAM LISTENING 6898 2471/mixer_applet2 /tmp/orbit-redux/linc-9a7-0-686002171df2e
unix 2 [ ACC ] STREAM LISTENING 8321 2860/firefox-bin /tmp/orbit-redux/linc-b2c-0-4698f69be855d
unix 2 [ ACC ] STREAM LISTENING 121181 3815/gnome-terminal /tmp/orbit-redux/linc-ee7-0-2530bb934b2e1
unix 2 [ ACC ] STREAM LISTENING 23634 3323/gedit /tmp/orbit-redux/linc-cfb-0-237451d9d32a0
unix 2 [ ACC ] STREAM LISTENING 23638 3323/gedit /tmp/gedit-svn.redux.947932830
unix 2 [ ACC ] STREAM LISTENING 5685 2384/dbus-daemon @/tmp/dbus-uIQ3GPw34g
unix 2 [ ACC ] STREAM LISTENING 4699 1883/cupsd /var/run/cups/cups.sock
unix 2 [ ACC ] STREAM LISTENING 5309 2239/gdm /var/run/gdm_socket
unix 2 [ ACC ] STREAM LISTENING 4641 1858/avahi-daemon: /var/run/avahi-daemon/socket
unix 2 [ ACC ] STREAM LISTENING 4607 1846/dbus-daemon /var/run/dbus/system_bus_socket
А те пакеты, о которых я говорю , блокируются (походу всё тем же iptables.)
Они не входят в машину, но как траф отображаются, что мол пришли и хотели войти.
Вот почему они приходят вот вопрос. Иногда по многу ведь.(лог заблокированных за вчерашний вечер 227 кило весит.)
(лог заблокированных за вчерашний вечер 227 кило весит.)
а вы говорите от "бывшего" владельца IP =) ага, 227 килобайт только логов.
redux, в дебиан репах есть, нетстат не кажет того, чего я хочу увидеть.
tcp 0 0 0.0.0.0:44425 0.0.0.0:* LISTEN 1466/rpc.statd
вот что это за бред? нули. нафиг нетстат. какая ОС?
5й дебьян.
сокстата в репах нет.
redux, поставьте его из сквиза. он не тянет зависимостей (вроде оО). потом репу сквиз отключите от греха и соблазна.
system-root, обновил репы, поставил сокстат.
вывод его без ключей:
# sockstat
USER PROCESS PID PROTO SOURCE ADDRESS FOREIGN ADDRESS STATE
root portmap 1435 udp4 *:111 *:* CLOSED
root portmap 1435 tcp4 *:111 *:* LISTEN
root rpc.statd 1446 udp4 *:774 *:* CLOSED
root rpc.statd 1446 udp4 *:49767 *:* CLOSED
root rpc.statd 1446 tcp4 *:55519 *:* LISTEN
avahi avahi-daemon 1837 udp4 *:5353 *:* CLOSED
avahi avahi-daemon 1837 udp4 *:42099 *:* CLOSED
root cupsd 1862 tcp4 127.0.0.1:631 *:* LISTEN
root cupsd 1862 udp4 *:631 *:* CLOSED
root exim4 2129 tcp4 127.0.0.1:25 *:* LISTEN
Это при подключенном ppp0
Тех самых пакетов не показывает. Но они есть их видно по монитору использования сети и в логе Firestartera.
Сейчас попробую половить те.
Попробовал.
Как раз было навалом.
Монитор использования сети показывал трафик,
Firestarter показывал лог заблокированных пакетов, а также наличие атак.
Я постоянно вводил от рута sockstat но там ничего не было= всё также как прошлый раз.
А вот если браузер открыть, то sockstat показывает его(браузер).
Так вот видно, что эти пакеты отпинываются до sockstat.
Да вот sockstat
text
# sockstat
USER PROCESS PID PROTO SOURCE ADDRESS FOREIGN ADDRESS STATE
root portmap 1435 udp4 *:111 *:* CLOSED
root portmap 1435 tcp4 *:111 *:* LISTEN
root rpc.statd 1446 udp4 *:774 *:* CLOSED
root rpc.statd 1446 udp4 *:49767 *:* CLOSED
root rpc.statd 1446 tcp4 *:55519 *:* LISTEN
avahi avahi-daemon 1837 udp4 *:5353 *:* CLOSED
avahi avahi-daemon 1837 udp4 *:42099 *:* CLOSED
root cupsd 1862 tcp4 127.0.0.1:631 *:* LISTEN
root cupsd 1862 udp4 *:631 *:* CLOSED
root exim4 2129 tcp4 127.0.0.1:25 *:* LISTENВот например файервол пишет:
Hit from 69.25.27.40
краснеет при этом его значек.
И вот что выдается на этот IP:
text
whois 69.25.27.40
#
# Query terms are ambiguous. The query is assumed to be:
# "n 69.25.27.40"
#
# Use "?" to get help.
#
#
# The following results may also be obtained via:
# http://whois.arin.net/rest/nets;q=69.25.27.40?showDetails=true&showARIN=false
#
NetRange: 69.25.0.0 - 69.25.255.255
CIDR: 69.25.0.0/16
OriginAS:
NetName: PNAP-12-2002
NetHandle: NET-69-25-0-0-1
Parent: NET-69-0-0-0-0
NetType: Direct Allocation
NameServer: NS-C.PNAP.NET
NameServer: NS-D.PNAP.NET
NameServer: NS-B.PNAP.NET
NameServer: NS-A.PNAP.NET
RegDate: 2003-02-13
Updated: 2003-09-16
Ref: http://whois.arin.net/rest/net/NET-69-25-0-0-1
OrgName: Internap Network Services Corporation
OrgId: PNAP
Address: 250 Williams Street
Address: Suite E100
City: Atlanta
StateProv: GA
PostalCode: 30303
Country: US
RegDate: 1996-07-18
Updated: 2010-09-08
Ref: http://whois.arin.net/rest/org/PNAP
OrgAbuseHandle: IAC3-ARIN
OrgAbuseName: Internap Abuse Contact
OrgAbusePhone: +1-206-256-9500
OrgAbuseEmail: abuse@internap.com
OrgAbuseRef: http://whois.arin.net/rest/poc/IAC3-ARIN
OrgTechHandle: INO3-ARIN
OrgTechName: InterNap Network Operations Center
OrgTechPhone: +1-404-475-0520
OrgTechEmail: noc@internap.com
OrgTechRef: http://whois.arin.net/rest/poc/INO3-ARIN
RTechHandle: INO3-ARIN
RTechName: InterNap Network Operations Center
RTechPhone: +1-404-475-0520
RTechEmail: noc@internap.com
RTechRef: http://whois.arin.net/rest/poc/INO3-ARIN
#
# ARIN WHOIS data and services are subject to the Terms of Use
# available at: https://www.arin.net/whois_tou.html
#
Это что было , атака из штатов. Ну так по крайней мере файервол пишет. Из обычныз реп взятый.
А по поводу айпишиников, вы System-root не совсем правы.
Вот мне так видится этот процесс:
Мой провайдер имеет некоторый диапазон ip адресов. Но на каждого клиента их не хватает. Это если всем их закрепить.
Так вот провайдер выдает их клиентам временно, поскольку на подключенных в данный момент клиентов их хватает.
(Да и вообще, я свой ip по ifconfig вижу, и, например, по специальным сайтам, где его определяют. А вы говорите про вариант организации доступа к инету с подсеткой, когда куча народу, обьединенная в сетку с одним общим ip в инет выходит.)
А логику атакующего в данном случае можно предположить такой: он атакует по диапазону адресов, глядишь, у кого-то порт и окрыт, инет большой.
Утешение конечно есть: атаки свои они затачивают скорее всего под винду.(но это отдельная тема).
Товарищи так, может кто скажет (вопрос темы то в силе )
что это
tcp 0 0 0.0.0.0:44425 0.0.0.0:* LISTEN 1466/rpc.statd
?
Иными словами, что это за rpc.statd, и почему оно этот пятизначный порт слушает?
(Повторюсь: номер порта при каждой перезагрузке у этого демонюги меняется).
Я почему спрашиваю, = так как видел у одного человека(в архивах), что nmap выдает, что все порты закрыты.
Так может закрыть их? И как (для этого могу отдельную тему создать, не вопрос).
redux, вы фаерволл отключите же перед выводом.
Вот мне так видится этот процесс:
Мой провайдер имеет некоторый диапазон ip адресов. Но на каждого клиента их не хватает. Это если всем их закрепить.
Так вот провайдер выдает их клиентам временно, поскольку на подключенных в данный момент клиентов их хватает.
представьте такой шланг, по нему течёт вода.
и вот вы взяли и отрезали кусок в двух местах и убрали
как вода из крана может попасть в этот кусок?
redux, вы фаерволл отключите же перед выводом.
[quote=redux]Вот мне так видится этот процесс:
Мой провайдер имеет некоторый диапазон ip адресов. Но на каждого клиента их не хватает. Это если всем их закрепить.
Так вот провайдер выдает их клиентам временно, поскольку на подключенных в данный момент клиентов их хватает.
представьте такой шланг, по нему течёт вода.
и вот вы взяли и отрезали кусок в двух местах и убрали
как вода из крана может попасть в этот кусок?[/quote]
Вы зря пишите про шланги. Мой провайдер работает именно так , как я здесь написал.
Вы же утверждаете, что куча человек сидит одновременно на одном IP= это случай локалки, которая вышла в инет с главного компа(причем адрес этого главного компа может быть как динамичсеким так и статическим).
В моём случае, если я вышел в инет то получил IP вполне полноценный и на это время в сети он мой. Всё отличие от статического в его временности.При этом если ввести этот мой временный ip в whois , то он распишет моего провайдера.
system-root, Моя вина получается в том, что я динамичсекий адрес назвал серым. И тем возможно вас запутал.
Динамичсекий он у меня. (Я как он работает знал, но путал названия серый и динамичсекий). С вашей подачи для себя разницу в них уяснил. :)
UPD фаервол сейчас отключу.
system-root, Сделал с отключенным фаерволом, результат тот же. Не видит ничего. (много раз тыкал, когда на мониторе загрузки сети была активность).
Стоит включить браузер, как сокстат браузер сразу видит например.
Получается, что вывод такой: какойто мусор бродит по сети. Но в комп не входит(просится на закрытые порты).
----------
Спасибо elve и system-root за советы. В целом тема решена. Главное знаю теперь как проверять , что на каком порте висит. (Аж двумя способами, netstat или sockstat).
Войдите или зарегистрируйтесь, чтобы ответить.
