Аквариум - Форум аквариумистов Aquaforum.kiev.ua

Аквариум - Форум аквариумистов Aquaforum.kiev.ua (http://www.aquaforum.kiev.ua/forum_restored/index.php)
-   Это важно! (http://www.aquaforum.kiev.ua/forum_restored/forumdisplay.php?f=34)
-   -   Атака на домашний комп с сервера aquaforum.kiev.ua ! (http://www.aquaforum.kiev.ua/forum_restored/showthread.php?t=9744)

Xlopets 12-07-2006 23:01
Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Позавчера на мой комп была попытка несанкционированого входа с сервера aquaforum.kiev.ua.! У меня на компе стоит фаервол который обрезал атаку. Но у большинства пользователей я думаю даже нет антивирусных програм. Кстати антивирус Касперского от такого не спасает ! В связи с этим предупреждаю пользователей !
Интересно, а что скажет на это сообщение Александр Бешлега ?

Чебурген 12-07-2006 23:06
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
А может это просто кукисы с аквафорума хотели прописаться без всяких задних мыслей? :)

Mykhaylo 12-07-2006 23:23
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
А подробнее, если не секрет? Какой на порт, какая атака?
Скорее всего это параноя у "стены", ведь при определенных настройках даже 2 пинга с интервалом менее чем 10 сек воспринимаются как атака.
Все ИМНО, я не сисадмин, а простой пользователь ПК

Xlopets 12-07-2006 23:44
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
У меня AGNITUM фаервол выдал сообщение об отражении атаки с сервера на какой порт непомню 10 июля 0:09:34 ночьки.

Xlopets 12-07-2006 23:47
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Если я не путаю то по моему Rst атака.

quiet 13-07-2006 09:35
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Цитата:
Сообщение от Xlopets
У меня AGNITUM фаервол выдал сообщение об отражении атаки с сервера на какой порт непомню 10 июля 0:09:34 ночьки.
У твоего файрвола должны быть логи (журнал собщений). Вот посмотри эти самые логи и выложи здесь сообщение об атаке. А то тот же самый Бешлега, он ведь не телепат, а админ форума (по совместительству). И я не думаю что он угадает что это у тебя было.
Так что логи в студию! :)

Goldenfish 13-07-2006 10:00
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Цитата:
Сообщение от Xlopets
У меня AGNITUM фаервол выдал сообщение об отражении атаки с сервера на какой порт непомню 10 июля 0:09:34 ночьки.
у меня такой же фаервол , но меня никто не атаковал :) только AGNIUM

Xlopets 13-07-2006 10:08
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
10.07.2006 0:09:34 Rst атака 213.169.66.5 -> 213.169.66.5

Goldenfish 13-07-2006 10:13
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Цитата:
Сообщение от Xlopets
10.07.2006 0:09:34 Rst атака 213.169.66.5 -> 213.169.66.5
а где вы отчеты смотрите, что то я тоже найти хочу и не знаю где они?

Goldenfish 13-07-2006 10:14
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
меня по нескольку раз в день атакуют с разных ай пи. но я никогда не проверяю откуда они

Mykhaylo 13-07-2006 10:25
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
В инете куча вопросов от польователей Outpost (у меня тоже он) по поводу rst (на гугле ключи "rst атака") - все склонны, что это глюк - данная стена неправильно отрабатывает принудительное закрытие соединения по таймауту, если я правильно резюме сделал :)

Александр Бешлега 13-07-2006 10:34
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Мне Марченков тоже говорил об атаке с форума. Я больше склонен к тому, о чем написал Михайло. Но сейчас буду сисадмина дергать.

Александр Бешлега 13-07-2006 10:42
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
А, тут как то с уже такое было и мне сообщали о портах. Вот лог фаервола:
[06/Jun/2006 10:10:47] PORTSCAN hostip="213.169.66.5"
hostname="www.aquaforum.kiev.ua" log="protocol: TCP, source:
213.169.66.5, destination: хх.хх.ххх.ххх, ports: 57611, 57612, 57613,
57615, 57616, 57622, 57623, 57636, 57712, 57713, ..." time="Tue Jun 06
10:10:47 2006" username="not logged yet"

И таких сканирований была куча, через каждые 3 минуты.
Ответ сисадмина по этому поводу:

"мне тяжело сказать на 100%
но судя по диапазону портов (от 52000 и выше)
скорее всего на сервере с ip-address хх.хх.ххх.ххх стоит Linux/FreeBSD, за которым в офисе сидят люди. Этот сервер делает NAT (маскарад по-русски) запросов клиентов с офиса.
При маскараде сервер использует порты выше 52000
Идет назад от сервера ответ, и дурной firewall на ответы от сервера реагирует."

Я: "Т.е. это не сканирование портов с моего сервера?"
Сисадмин: "на 99% -- нет
Ибо сканируют обычно порты в диапазоне от 1 до 5000-6000, ну до 10000.
Самый ценный диапазон портов 1 -- 1023 -- ибо на нем обычно висяст все сервисы. MySQL, правда, висит на 3306, MSSQL -- 1453, если не ошибаюсь"

Может это именно оно?

Mykhaylo 13-07-2006 11:26
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Проблемы у Аутпоста судя по схожим вопросам к службам поддержки возникают обычно при работе с форумами.
Кроме того определенные версии за атаки воспринимали все подряд - мне наверное раза 3 за приходилось откатываться на старые версии, пока это не фиксили. Сейчас пользуюсь 3.5.638.6208 (457) - массовых срабатований нет, но это при уровне обычный и локальные компы пришлось в исключения записать - локалка, а то и 127.0.0.1 блокируется часто, особенно если много соединений открываешь.

vanessa 13-07-2006 11:53
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Ги.... А я свої прогри на 5505 порт вішаю.....

Xlopets 13-07-2006 12:31
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Ну слава богу ! Все спокойно и жизнь прекрасна !

Mykhaylo 13-07-2006 12:50
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Цитата:
Сообщение от vanessa
Ги.... А я свої прогри на 5505 порт вішаю.....
А для підстраховки тут невірний порт привів на всяк випадок, щоб хакерів ввести в оману :)

vanessa 13-07-2006 13:04
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Та ні, реальний, правда у брандмауері від відкритий тільки для локальної мережі :)

quiet 13-07-2006 13:13
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Цитата:
Сообщение от vanessa
Та ні, реальний, правда у брандмауері від відкритий тільки для локальної мережі :)
а не підкажеш свій діапазон адрес локальної мережі? :)

vanessa 13-07-2006 13:25
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
від 1 до 255 :)

dmitryknd 13-07-2006 15:07
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Outpost тут не причем. Log про который Саша говорил присылал я, а у нас outpost -а нет.
Так что успокаиваться рано :) .

Александр Бешлега 13-07-2006 15:45
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Дима, у тебя точно не причем, но Он так же плохо с форумами работает.

Zaitsev 14-07-2006 09:13
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Цитата:
Сообщение от Александр Бешлега
А, тут как то с уже такое было и мне сообщали о портах. Вот лог фаервола:
[06/Jun/2006 10:10:47] PORTSCAN hostip="213.169.66.5"
hostname="www.aquaforum.kiev.ua" log="protocol: TCP, source:
213.169.66.5, destination: хх.хх.ххх.ххх, ports: 57611, 57612, 57613,
57615, 57616, 57622, 57623, 57636, 57712, 57713, ..." time="Tue Jun 06
10:10:47 2006" username="not logged yet"
Может это именно оно?

Я как сисадмин могу сказать следующее - данная ситуация могла возникнуть по следующей причине - с xxx.xxx... на 213.169.66.5 пошло много запросов на страничку (например несколько страниц сразу открывается или технология prefetch - запрос следующих страниц пока эту читаешь, либо просто кучу картинок). В этом случае запрсы идут
от ххх.ххх порт 57611 на 213.169.66.5 порт 80
от ххх.ххх порт 57616 на 213.169.66.5 порт 80
и т.д. т.е. соединение (правильно говорить TCP сессию) открывает (инициирует) ххх.ххх....
причем каждая новая сессия со стороны ххх.ххх использует порты на ххх.ххх. выше 1024 и практически "подряд" - это зависит от способа доступа в Интернет (через NAT на ххх.ххх.., напрямую, чарез NAT провайдера-обычно для модемных соединений, через прокси на ххх.. или провайдере и тд).
Далее возможны несколько выриантов: Запросы ушли, Агнитум зафиксировал это соединение как безопасное (открыто ххх.ххх значит ответы ожидаемы) - по дороге запросы либо ответы задержались и соединение закрылось по тайм-ауту. А тут приходят ответы с флагами (должны они быть такими) как бдто соединение существует и агнитум со спокойной совестью считает его атакой (ведь про инициацию соединения от ххх.ххх он уже ничего не помнит)
Этот случай самый маловероятный.
Другой случай - попытка скана с подменой ИП источника - но в этом случае сканирующий должен видеть ваш трафик - самое вероятное доступ в Инернет через Ethernet - так называемые Homenet.
Самое вероятное - видя приход большого количества пакетов (ответов на запрос) за короткий промежуток Агнитум решает что "лучше перебдеть чем недобдеть" и пишет в Логи PORTSCAN - он страдал излишней подозрительностью всегда но на порядок меньше чем Касперский Антихакер. В данном случае это чистый глюк.
Мой совет владельцам файрвола - если он что-то написал в логи - значит увидел - значит пресек (к сожалению часто нужное) - Радуйтесь. Если вас сломают (тем более грамотно) - сообщений не увидите. Хуже когда в логах все спокойно - в Интернете такого не бывает !

Xlopets 14-07-2006 19:40
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Значит как говаривал мой дедушка:
Даже если у вас нет паронои, это не значит что за вами не следят !

Чебурген 14-07-2006 20:03
Re: Атака на домашний комп с сервера aquaforum.kiev.ua !
 
Цитата:
это не значит что за вами не следят
Ваш дедушка не в разведке работал? :)
В общем-то из всего вышесказанного понятно, что для особых опасений предпосылок нет. Но ухо востро надо держать :)
Цитата:
Мой совет владельцам файрвола - если он что-то написал в логи - значит увидел - значит пресек (к сожалению часто нужное) - Радуйтесь. Если вас сломают (тем более грамотно) - сообщений не увидите. Хуже когда в логах все спокойно - в Интернете такого не бывает


Часовой пояс GMT +3, время: 02:24.

Русский vBulletin v3.5.2, Copyright ©2000-2025, Jelsoft Enterprises Ltd.
Перевод сделал zCarot