[Comm] Странные пакеты на машрутизаторе

[Comm] Странные пакеты на машрутизаторе

[Pavel Stoliarov]

Привет всем  !

Имеется маршрутизатор с ALM 2.2 , несколько сетевых интерфейсов , 
 соответсвенно несколько подсетей класса C принадлежащих разным организациям.
Часть пользователей  имеют доступ  в интернет через NAT ,  часть через SQUID.
В сети в основном машины с Windows 98-XP
 На сетевом интерфейсе который смотрит в интернет  появляются странные пакеты 
, причем постоянно , от десятков до сотен в минуту.

 Кто нибудь может обяснить что это может быть ?

 IP адреса на которые уходят пакеты в основном левые , причем , если 
внимательно посмотреть , следующий пакет уходит на IP + 1 , такое впечатление 
кто то что то сканирует. 
 
 Вот вывод tcpdump

15:08:14.100549 xxx.ru.1951 > 25.248.80.5.135: S 2931981018:2931981018(0) win 
65280 <mss 1024,nop,nop,sackOK> (DF)
15:08:14.100942 xxx.ru.1952 > 25.248.80.6.135: S 2932033092:2932033092(0) win 
65280 <mss 1024,nop,nop,sackOK> (DF)
15:08:14.101325 xxx.ru.1953 > 25.248.80.7.135: S 2932072748:2932072748(0) win 
65280 <mss 1024,nop,nop,sackOK> (DF)
15:08:14.101642 xxx.ru.1954 > 25.248.80.8.135: S 2932111662:2932111662(0) win 
65280 <mss 1024,nop,nop,sackOK> (DF)
.....
.....
15:15:53.995150 xxx.ru.1026 > 218.220.48.55.netbios-ns: NBT UDP PACKET(137): 
QUERY; REQUEST; BROADCAST
15:15:54.045204 xxx.ru.1027 > 218.220.48.56.netbios-ns: NBT UDP PACKET(137): 
QUERY; REQUEST; BROADCAST
15:15:54.995150 xxx.ru.1028 > 218.220.48.57.netbios-ns: NBT UDP PACKET(137): 
QUERY; REQUEST; BROADCAST
15:15:54.045204 xxx.ru.1029 > 218.220.48.58.netbios-ns: NBT UDP PACKET(137): 
QUERY; REQUEST; BROADCAST

-- 
Best regards 
Pavel

Re: [Comm] Странные пакеты на машрутизаторе

[Dmitry Nechaev]

В сообщении от Вторник 18 Ноябрь 2003 14:33 Pavel Stoliarov написал(a):
> Привет всем  !
>
> Имеется маршрутизатор с ALM 2.2 , несколько сетевых интерфейсов ,
>  соответсвенно несколько подсетей класса C принадлежащих разным
> организациям. Часть пользователей  имеют доступ  в интернет через NAT , 
> часть через SQUID. В сети в основном машины с Windows 98-XP
>  На сетевом интерфейсе который смотрит в интернет  появляются странные
> пакеты , причем постоянно , от десятков до сотен в минуту.
>
>  Кто нибудь может обяснить что это может быть ?
>
>  IP адреса на которые уходят пакеты в основном левые , причем , если
> внимательно посмотреть , следующий пакет уходит на IP + 1 , такое
> впечатление кто то что то сканирует.
>
>  Вот вывод tcpdump
>
> 15:08:14.100549 xxx.ru.1951 > 25.248.80.5.135: S 2931981018:2931981018(0)
> win 65280 <mss 1024,nop,nop,sackOK> (DF)
> 15:08:14.100942 xxx.ru.1952 > 25.248.80.6.135: S 2932033092:2932033092(0)
> win 65280 <mss 1024,nop,nop,sackOK> (DF)
> 15:08:14.101325 xxx.ru.1953 > 25.248.80.7.135: S 2932072748:2932072748(0)
> win 65280 <mss 1024,nop,nop,sackOK> (DF)
> 15:08:14.101642 xxx.ru.1954 > 25.248.80.8.135: S 2932111662:2932111662(0)
> win 65280 <mss 1024,nop,nop,sackOK> (DF)
Обрати внимание на порт назначения - 135 - и вспомни про недаюнюю эпидемию 
MSBlast. После чего принудительно прикрой порт и забей.

-- 
2.4.20-alt5-up GNU/Linux

Re: [Comm] Странные пакеты на машрутизаторе

[Pavel Stoliarov]

Вторник 18 Ноябрь 2003 16:23, Dmitry Nechaev написал:
> В сообщении от Вторник 18 Ноябрь 2003 14:33 Pavel Stoliarov написал(a):
> > Привет всем  !
> >
> > Имеется маршрутизатор с ALM 2.2 , несколько сетевых интерфейсов ,
> >  соответсвенно несколько подсетей класса C принадлежащих разным
> > организациям. Часть пользователей  имеют доступ  в интернет через NAT ,
> > часть через SQUID. В сети в основном машины с Windows 98-XP
> >  На сетевом интерфейсе который смотрит в интернет  появляются странные
> > пакеты , причем постоянно , от десятков до сотен в минуту.
> >
> >  Кто нибудь может обяснить что это может быть ?
> >
> >  IP адреса на которые уходят пакеты в основном левые , причем , если
> > внимательно посмотреть , следующий пакет уходит на IP + 1 , такое
> > впечатление кто то что то сканирует.
> >
> >  Вот вывод tcpdump
> >
> > 15:08:14.100549 xxx.ru.1951 > 25.248.80.5.135: S 2931981018:2931981018(0)
> > win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > 15:08:14.100942 xxx.ru.1952 > 25.248.80.6.135: S 2932033092:2932033092(0)
> > win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > 15:08:14.101325 xxx.ru.1953 > 25.248.80.7.135: S 2932072748:2932072748(0)
> > win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > 15:08:14.101642 xxx.ru.1954 > 25.248.80.8.135: S 2932111662:2932111662(0)
> > win 65280 <mss 1024,nop,nop,sackOK> (DF)
>
> Обрати внимание на порт назначения - 135 - и вспомни про недаюнюю эпидемию
> MSBlast. После чего принудительно прикрой порт и забей.
  Порт на маршрутизаторе закрыт , кроме ssh в интернет больше ничего не 
смотрит. Проблема в другом. Пакеты из внутренней сети уходят наружу. 
 Непонятно , как найти источник того кто посылает эти пакеты. Пробовал 
закрывать файрволом порты примерно так : 
  iptables -A FORWARD  --i eth1 -o eth0  -p tcp --dport 135 -j DROP
  iptables -A FORWARD  --i eth1 -o eth0  -p udp --dport 135 -j DROP
   и так далее для каждого внутреннего интерфейса и для портов 137,138, 139 
  толку никакого не дало. :(



-- 
Best regards 
Pavel

Re: [Comm] Странные пакеты на машрутизаторе

[Andy Gorev]

Pavel Stoliarov wrote:

>   Порт на маршрутизаторе закрыт , кроме ssh в интернет больше ничего не 
> смотрит. Проблема в другом. Пакеты из внутренней сети уходят наружу. 
>  Непонятно , как найти источник того кто посылает эти пакеты. Пробовал 

ethereal или любой другой анализатор поможет выщемить MAC, а дальше дело 
за малым

-- 
С Уважением,
Андрей Горев

Re: [Comm] Странные пакеты на машрутизаторе

[Dmitry Nechaev]

В сообщении от Вторник 18 Ноябрь 2003 16:05 Pavel Stoliarov написал(a):
> Вторник 18 Ноябрь 2003 16:23, Dmitry Nechaev написал:
> > В сообщении от Вторник 18 Ноябрь 2003 14:33 Pavel Stoliarov написал(a):
> > > Привет всем  !
> > >
> > > Имеется маршрутизатор с ALM 2.2 , несколько сетевых интерфейсов ,
> > >  соответсвенно несколько подсетей класса C принадлежащих разным
> > > организациям. Часть пользователей  имеют доступ  в интернет через NAT ,
> > > часть через SQUID. В сети в основном машины с Windows 98-XP
> > >  На сетевом интерфейсе который смотрит в интернет  появляются странные
> > > пакеты , причем постоянно , от десятков до сотен в минуту.
> > >
> > >  Кто нибудь может обяснить что это может быть ?
> > >
> > >  IP адреса на которые уходят пакеты в основном левые , причем , если
> > > внимательно посмотреть , следующий пакет уходит на IP + 1 , такое
> > > впечатление кто то что то сканирует.
> > >
> > >  Вот вывод tcpdump
> > >
> > > 15:08:14.100549 xxx.ru.1951 > 25.248.80.5.135: S
> > > 2931981018:2931981018(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > > 15:08:14.100942 xxx.ru.1952 > 25.248.80.6.135: S
> > > 2932033092:2932033092(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > > 15:08:14.101325 xxx.ru.1953 > 25.248.80.7.135: S
> > > 2932072748:2932072748(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > > 15:08:14.101642 xxx.ru.1954 > 25.248.80.8.135: S
> > > 2932111662:2932111662(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> >
> > Обрати внимание на порт назначения - 135 - и вспомни про недаюнюю
> > эпидемию MSBlast. После чего принудительно прикрой порт и забей.
>
>   Порт на маршрутизаторе закрыт , кроме ssh в интернет больше ничего не
> смотрит. Проблема в другом. Пакеты из внутренней сети уходят наружу.
>  Непонятно , как найти источник того кто посылает эти пакеты. Пробовал
> закрывать файрволом порты примерно так :
>   iptables -A FORWARD  --i eth1 -o eth0  -p tcp --dport 135 -j DROP
>   iptables -A FORWARD  --i eth1 -o eth0  -p udp --dport 135 -j DROP
>    и так далее для каждого внутреннего интерфейса и для портов 137,138, 139
>   толку никакого не дало. :(
Изнутри наружу?... Э, товарищ... Не подхватили ли твои клиенты MSBlast?
А источник... Тебе ведь tcpdump показывает IP источника? Можешь попробовать 
вести отдельный лог для таких пакетов с помощью iptables, чтобы выявить 
источник. В данном случае xxx.ru - и есть источник пакетов.
А правила твои достаточно узки - если пакет по порту 135 пойдёт с интерфейса 
eth0 на eth1 - он беспрепятственно прокатит.

-- 
2.4.20-alt5-up GNU/Linux

Re: [Comm] Странные пакеты на машрутизаторе

[Dmitry Nechaev]

В сообщении от Вторник 18 Ноябрь 2003 16:15 Andy Gorev написал(a):
> Pavel Stoliarov wrote:
> >   Порт на маршрутизаторе закрыт , кроме ssh в интернет больше ничего не
> > смотрит. Проблема в другом. Пакеты из внутренней сети уходят наружу.
> >  Непонятно , как найти источник того кто посылает эти пакеты. Пробовал
>
> ethereal или любой другой анализатор поможет выщемить MAC, а дальше дело
> за малым
можно и так :) У меня iptables логит все дропнутые пакеты. В результате 
примерно следующее получается:

Nov 18 16:01:56 fw kernel: INPUT: dropped packets IN=eth2 
OUT=MAC=00:c0:df:13:89:19:00:c0:7b:a2:c1:66:08:00 SRC=217.106.90.235 
DST=217.xx.xx.xx LEN=48 TOS=0x00 PREC=0x00 TTL=115 ID=2792 DF PROTO=TCP 
SPT=4564 DPT=135 WINDOW=8760 RES=0x00 SYN URGP=0 

Типичный пример пакета, посланного MSBlast.

-- 
2.4.20-alt5-up GNU/Linux

Re: [Comm] Странные пакеты на машрутизаторе

[Pavel Stoliarov]

Проблема снята.
Действительно , одна из клиентских машин была заражена msblast'ом
Проблема отслеживания пакетов с этой машины была в том, что они ходили в инет 
через VPN, соответсвенно пакеты до шлюза были шифрованными и  tcpdump  на этом 
интерфейсе , к которому был подключен  клиент  ничего подозрительного не  
показывал.


Вторник 18 Ноябрь 2003 17:05, Pavel Stoliarov написал:
> Вторник 18 Ноябрь 2003 16:23, Dmitry Nechaev написал:
> > В сообщении от Вторник 18 Ноябрь 2003 14:33 Pavel Stoliarov написал(a):
> > > Привет всем  !
> > >
> > > Имеется маршрутизатор с ALM 2.2 , несколько сетевых интерфейсов ,
> > >  соответсвенно несколько подсетей класса C принадлежащих разным
> > > организациям. Часть пользователей  имеют доступ  в интернет через NAT ,
> > > часть через SQUID. В сети в основном машины с Windows 98-XP
> > >  На сетевом интерфейсе который смотрит в интернет  появляются странные
> > > пакеты , причем постоянно , от десятков до сотен в минуту.
> > >
> > >  Кто нибудь может обяснить что это может быть ?
> > >
> > >  IP адреса на которые уходят пакеты в основном левые , причем , если
> > > внимательно посмотреть , следующий пакет уходит на IP + 1 , такое
> > > впечатление кто то что то сканирует.
> > >
> > >  Вот вывод tcpdump
> > >
> > > 15:08:14.100549 xxx.ru.1951 > 25.248.80.5.135: S
> > > 2931981018:2931981018(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > > 15:08:14.100942 xxx.ru.1952 > 25.248.80.6.135: S
> > > 2932033092:2932033092(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > > 15:08:14.101325 xxx.ru.1953 > 25.248.80.7.135: S
> > > 2932072748:2932072748(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> > > 15:08:14.101642 xxx.ru.1954 > 25.248.80.8.135: S
> > > 2932111662:2932111662(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> >
> > Обрати внимание на порт назначения - 135 - и вспомни про недаюнюю
> > эпидемию MSBlast. После чего принудительно прикрой порт и забей.
>
>   Порт на маршрутизаторе закрыт , кроме ssh в интернет больше ничего не
> смотрит. Проблема в другом. Пакеты из внутренней сети уходят наружу.
>  Непонятно , как найти источник того кто посылает эти пакеты. Пробовал
> закрывать файрволом порты примерно так :
>   iptables -A FORWARD  --i eth1 -o eth0  -p tcp --dport 135 -j DROP
>   iptables -A FORWARD  --i eth1 -o eth0  -p udp --dport 135 -j DROP
>    и так далее для каждого внутреннего интерфейса и для портов 137,138, 139
>   толку никакого не дало. :(

-- 
Best regards 
Pavel

Re: [Comm] Странные пакеты на машрутизаторе

[Evgeniy Kobzev]

Pavel Stoliarov пишет:

> Вторник 18 Ноябрь 2003 16:23, Dmitry Nechaev написал:
> 
>>В сообщении от Вторник 18 Ноябрь 2003 14:33 Pavel Stoliarov написал(a):
>>
>>>Привет всем  !
>>>
>>>Имеется маршрутизатор с ALM 2.2 , несколько сетевых интерфейсов ,
>>> соответсвенно несколько подсетей класса C принадлежащих разным
>>>организациям. Часть пользователей  имеют доступ  в интернет через NAT ,
>>>часть через SQUID. В сети в основном машины с Windows 98-XP
>>> На сетевом интерфейсе который смотрит в интернет  появляются странные
>>>пакеты , причем постоянно , от десятков до сотен в минуту.
>>>
>>> Кто нибудь может обяснить что это может быть ?
>>>
>>> IP адреса на которые уходят пакеты в основном левые , причем , если
>>>внимательно посмотреть , следующий пакет уходит на IP + 1 , такое
>>>впечатление кто то что то сканирует.

Видимо подразумевалось ПОРТ + 1

>>>
>>> Вот вывод tcpdump
>>>
>>>15:08:14.100549 xxx.ru.1951 > 25.248.80.5.135: S 2931981018:2931981018(0)
>>>win 65280 <mss 1024,nop,nop,sackOK> (DF)
>>>15:08:14.100942 xxx.ru.1952 > 25.248.80.6.135: S 2932033092:2932033092(0)
>>>win 65280 <mss 1024,nop,nop,sackOK> (DF)
>>>15:08:14.101325 xxx.ru.1953 > 25.248.80.7.135: S 2932072748:2932072748(0)
>>>win 65280 <mss 1024,nop,nop,sackOK> (DF)
>>>15:08:14.101642 xxx.ru.1954 > 25.248.80.8.135: S 2932111662:2932111662(0)
>>>win 65280 <mss 1024,nop,nop,sackOK> (DF)
>>
>>Обрати внимание на порт назначения - 135 - и вспомни про недаюнюю эпидемию
>>MSBlast. После чего принудительно прикрой порт и забей.
> 
>   Порт на маршрутизаторе закрыт , кроме ssh в интернет больше ничего не 
> смотрит. Проблема в другом. Пакеты из внутренней сети уходят наружу. 
>  Непонятно , как найти источник того кто посылает эти пакеты. Пробовал 
> закрывать файрволом порты примерно так : 
>   iptables -A FORWARD  --i eth1 -o eth0  -p tcp --dport 135 -j DROP
>   iptables -A FORWARD  --i eth1 -o eth0  -p udp --dport 135 -j DROP

Это для FORWARD, а для INPUT не пытались?

>    и так далее для каждого внутреннего интерфейса и для портов 137,138, 139 
>   толку никакого не дало. :(

INPUT даст.

Re: [Comm] Странные пакеты на машрутизаторе

[Pavel Stoliarov]

Вторник 18 Ноябрь 2003 17:52, Evgeniy Kobzev написал:
> Pavel Stoliarov пишет:
> > Вторник 18 Ноябрь 2003 16:23, Dmitry Nechaev написал:
> >>В сообщении от Вторник 18 Ноябрь 2003 14:33 Pavel Stoliarov написал(a):
> >>>Привет всем  !
> >>>
> >>>Имеется маршрутизатор с ALM 2.2 , несколько сетевых интерфейсов ,
> >>> соответсвенно несколько подсетей класса C принадлежащих разным
> >>>организациям. Часть пользователей  имеют доступ  в интернет через NAT ,
> >>>часть через SQUID. В сети в основном машины с Windows 98-XP
> >>> На сетевом интерфейсе который смотрит в интернет  появляются странные
> >>>пакеты , причем постоянно , от десятков до сотен в минуту.
> >>>
> >>> Кто нибудь может обяснить что это может быть ?
> >>>
> >>> IP адреса на которые уходят пакеты в основном левые , причем , если
> >>>внимательно посмотреть , следующий пакет уходит на IP + 1 , такое
> >>>впечатление кто то что то сканирует.
>
> Видимо подразумевалось ПОРТ + 1

 Нет , подразумевалось как я и написал IP + 1 
>
> >>> Вот вывод tcpdump
> >>>
> >>>15:08:14.100549 xxx.ru.1951 > 25.248.80.5.135: S
> >>> 2931981018:2931981018(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> >>>15:08:14.100942 xxx.ru.1952 > 25.248.80.6.135: S
> >>> 2932033092:2932033092(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> >>>15:08:14.101325 xxx.ru.1953 > 25.248.80.7.135: S
> >>> 2932072748:2932072748(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> >>>15:08:14.101642 xxx.ru.1954 > 25.248.80.8.135: S
> >>> 2932111662:2932111662(0) win 65280 <mss 1024,nop,nop,sackOK> (DF)
> >>
> >>Обрати внимание на порт назначения - 135 - и вспомни про недаюнюю
> >> эпидемию MSBlast. После чего принудительно прикрой порт и забей.
> >
> >   Порт на маршрутизаторе закрыт , кроме ssh в интернет больше ничего не
> > смотрит. Проблема в другом. Пакеты из внутренней сети уходят наружу.
> >  Непонятно , как найти источник того кто посылает эти пакеты. Пробовал
> > закрывать файрволом порты примерно так :
> >   iptables -A FORWARD  --i eth1 -o eth0  -p tcp --dport 135 -j DROP
> >   iptables -A FORWARD  --i eth1 -o eth0  -p udp --dport 135 -j DROP
>
> Это для FORWARD, а для INPUT не пытались?
>
> >    и так далее для каждого внутреннего интерфейса и для портов 137,138,
> > 139 толку никакого не дало. :(
>
> INPUT даст.



 Вообщем , как я уже написал, проблема решена.
 Действительно  , оказалось что у одного из клиентов , который ходил в инет 
через VPN , сидел msblast.
 Проблема в обнаружении этого клиента была в том что пакеты между ним и 
сервером pptp ( который находиться также на маршрутизаторе )  ходят 
шифрованые ,  поэтому ни  tcpdump ни iptables не помогли.

>
>
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://www.altlinux.ru/mailman/listinfo/community

-- 
Best regards 
Pavel

[Comm] Как сделать копию udp пакета?

[Victor Kasatkin]

Нужно сделать копию udp пакета и изменить адрес назначения.
можно ли сделать это какими-нибудь простыми средствами?

Re: [Comm] Как сделать копию udp пакета?

[Dmitry Nechaev]

В сообщении от Вторник 18 Ноябрь 2003 19:30 Victor Kasatkin написал(a):

> Нужно сделать копию udp пакета и изменить адрес назначения.
> можно ли сделать это какими-нибудь простыми средствами?
iptables -j MIRROR или --redirect-to не подойдут?

-- 
2.4.20-alt5-up GNU/Linux

Re: [Comm] Как сделать копию udp пакета?

[Victor Kasatkin]

Dmitry Nechaev wrote:

>В сообщении от Вторник 18 Ноябрь 2003 19:30 Victor Kasatkin написал(a):
>
>  
>
>>Нужно сделать копию udp пакета и изменить адрес назначения.
>>можно ли сделать это какими-нибудь простыми средствами?
>>    
>>
>iptables -j MIRROR или --redirect-to не подойдут?
>  
>
mirror вроде меняет местами источник и цель  - редирект понятно можно и 
НАТ - как копию то сделать - тоже думал что доолжно быть вiptables  
что-нибудь да не нашел ничего.