Bonjour,
J'ai un Debian sarge (woody dist-upgradée)
Ma machine est un serveur dédié hebergé chez un hebergeur.
Je leur ai tenu ces propos:
[...]
Dans mes regles de Firwall, j'interdis aussi les paquets sortants
(chacun son niveau de parano). Et je les logge.
J'ai un probleme a ce sujet.
Ma machine ping une machine 195.140.143.35. Et je n'arrive pas a
identifier quel processus declenche ce ping.
Est ce que vous auriez une idée de
comment identifier le process en question ?
J'aurais volontier demandé sur un espace de discussion specialisé en
Linux ( et meme Debian) mais il faudrait que je sache en quoi ce
195.140.143.35 est "special" .
Si cette machine n'est rien, et que je n'arrive pas a identifier quel
processus envoie les pings, je ne peux concclure qu'a une backdoor ...
Les ping sont reguliers
( il utilise l'adresse ip que je n'utilise pas ) j'utilise uniquement
x.x.x.180 et jamais x.x.x.181, ce qui attire vraiment ma curiosité car
la deuxieme adresse IP (x.x.x.181) n'a été publiée nulle part (meme pas
chez mon registrar) ...
Et voici leur réponse:
[...]
C'est un serveur client qui utilise une plate forme Windows avec des outils
de capture IP.
Cordialement.
[...]
Bon. Je fais comment pour arreter ces satanés pings ?
Quel genre de service sur une Debian repond au requetes de capture IP ,
que je le kill et on en parle plus?
Auriez-vous une idée ?
Merci.
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire
Veuillez sélectionner un problème
Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Nicolas George
Rakotomandimby Mihamina wrote in message <cegacd$t2h$:
Auriez-vous une idée ?
Utilise lsof en tant que root. Pour un vrai ping, on a une ligne du genre :
ping 1192 cigaes 3u raw 6513 00000000:0001->00000000:0000 st
Le « raw » est particulièrement identifiable. D'autres implémentations de ping peuvent utiliser un autre format de socket, mais le type (cinquième colonne) sera de toutes façons fortement atypique.
Rakotomandimby Mihamina wrote in message
<cegacd$t2h$1@news-reader3.wanadoo.fr>:
Auriez-vous une idée ?
Utilise lsof en tant que root. Pour un vrai ping, on a une ligne du
genre :
ping 1192 cigaes 3u raw 6513 00000000:0001->00000000:0000 st
Le « raw » est particulièrement identifiable. D'autres implémentations
de ping peuvent utiliser un autre format de socket, mais le type
(cinquième colonne) sera de toutes façons fortement atypique.
Rakotomandimby Mihamina wrote in message <cegacd$t2h$:
Auriez-vous une idée ?
Utilise lsof en tant que root. Pour un vrai ping, on a une ligne du genre :
ping 1192 cigaes 3u raw 6513 00000000:0001->00000000:0000 st
Le « raw » est particulièrement identifiable. D'autres implémentations de ping peuvent utiliser un autre format de socket, mais le type (cinquième colonne) sera de toutes façons fortement atypique.
Jerome Lambert
Le Sat, 31 Jul 2004 17:17:40 +0200, Rakotomandimby Mihamina a écrit :
Bonjour,
Bonjour,
(snip le ping kitue)
Auriez-vous une idée ?
Aller sur fr.comp.securite?
Les contributeurs connaitront sans dout mieux ce genre de problematique qu'ici.
-- Jerome "Moi, je trouve ça rigolo quand y a un truc qui marche pas avec Linux. Chercher à le faire marcher m'amuse beaucoup. C'est mieux qu'un jeu vidéo." M. in fr.comp.os.linux.debats
Le Sat, 31 Jul 2004 17:17:40 +0200, Rakotomandimby Mihamina a écrit :
Bonjour,
Bonjour,
(snip le ping kitue)
Auriez-vous une idée ?
Aller sur fr.comp.securite?
Les contributeurs connaitront sans dout mieux ce genre de problematique
qu'ici.
--
Jerome
"Moi, je trouve ça rigolo quand y a un truc qui marche pas avec Linux.
Chercher à le faire marcher m'amuse beaucoup. C'est mieux qu'un jeu vidéo."
M. in fr.comp.os.linux.debats
Le Sat, 31 Jul 2004 17:17:40 +0200, Rakotomandimby Mihamina a écrit :
Bonjour,
Bonjour,
(snip le ping kitue)
Auriez-vous une idée ?
Aller sur fr.comp.securite?
Les contributeurs connaitront sans dout mieux ce genre de problematique qu'ici.
-- Jerome "Moi, je trouve ça rigolo quand y a un truc qui marche pas avec Linux. Chercher à le faire marcher m'amuse beaucoup. C'est mieux qu'un jeu vidéo." M. in fr.comp.os.linux.debats
Michel Tatoute
Bonjour, J'ai un Debian sarge (woody dist-upgradée) Ma machine est un serveur dédié hebergé chez un hebergeur. Je leur ai tenu ces propos:
[...] Dans mes regles de Firwall, j'interdis aussi les paquets sortants (chacun son niveau de parano). Et je les logge. J'ai un probleme a ce sujet. Ma machine ping une machine 195.140.143.35. Et je n'arrive pas a identifier quel processus declenche ce ping. Est ce que vous auriez une idée de comment identifier le process en question ?
As tu songé que peut etre ce ping ne provient pas de chez toi? Une adresse ip source forgée peut faire le même résultat.
demandes leur une copie des paquets de ping et regarde le ttl.
Michel.
Bonjour,
J'ai un Debian sarge (woody dist-upgradée)
Ma machine est un serveur dédié hebergé chez un hebergeur.
Je leur ai tenu ces propos:
[...]
Dans mes regles de Firwall, j'interdis aussi les paquets sortants
(chacun son niveau de parano). Et je les logge.
J'ai un probleme a ce sujet.
Ma machine ping une machine 195.140.143.35. Et je n'arrive pas a
identifier quel processus declenche ce ping.
Est ce que vous auriez une idée de
comment identifier le process en question ?
As tu songé que peut etre ce ping ne provient pas de chez toi? Une
adresse ip source forgée peut faire le même résultat.
demandes leur une copie des paquets de ping et regarde le ttl.
Bonjour, J'ai un Debian sarge (woody dist-upgradée) Ma machine est un serveur dédié hebergé chez un hebergeur. Je leur ai tenu ces propos:
[...] Dans mes regles de Firwall, j'interdis aussi les paquets sortants (chacun son niveau de parano). Et je les logge. J'ai un probleme a ce sujet. Ma machine ping une machine 195.140.143.35. Et je n'arrive pas a identifier quel processus declenche ce ping. Est ce que vous auriez une idée de comment identifier le process en question ?
As tu songé que peut etre ce ping ne provient pas de chez toi? Une adresse ip source forgée peut faire le même résultat.
demandes leur une copie des paquets de ping et regarde le ttl.
