Newsgroup: it.comp.os.linux.sys
Titolo: Log di iptables strani

Ho messo su un firewall su una linux box che mi logga tutto cio' che blocca
e mi trovo nei log,
tra le altre cose, questi due messaggi che non riesco a interpretare.
il primo e':
Sep 28 11:30:08 caluno kernel: --OUTPUT vietato--IN= OUT=eth1 SRC=x.x.x.x
DST=239.255.255.253 LEN=32 TOS=0x00 PREC=0x00 TTL=1 ID=0 DF PROTO=2
x.x.x.x è l'indirizzo della linux box stessa, eth1 è l'interfaccia verso
internet, l'indirizzo di destinazione, se non sbaglio, e' di classe D o
qualcosa del genere, cosa sta cercando di fare ?
Il secondo e':
Sep 28 11:32:42 caluno kernel: --LAN-ME vietato--IN=eth0 OUT=
MAC=ff:ff:ff:ff:ff
:ff:00:a0:d2:1a:1e:56:08:00 SRC=192.168.1.153 DST=255.255.255.255 LEN=380
TOS=0x00 PREC=0x00 TTL=32 ID=60037 PROTO=UDP SPT=47473 DPT=47473 LEN=360
L'indirizzo sorgente cambia sempre e corrisponde a tutti i client win
presenti sulla rete interna i quali, evidentemente, fanno dei broadcast alla
porta
47473, ma non ho trovato da nessuna parte cosa diamine e' quella porta.
Qualcuno lo
sa ?
Grazie,
Stefano


iQA/AwUBO7W4lmX27Jtq3aIzEQL3iwCdG8pYy9uCLt+q4HlBDJNuVe8SOAAAoL/h
Bfo7cxulyq9CXfVNy+iHfOSE
=eCn7
-----END PGP SIGNATURE-----

 Altrimenti può essere qualche spyware... (per me win è uno spyware).
Cosa c'entra win ???
E' la linux box che fa le trasmissioni !!
Sgtefano

 Altrimenti può essere qualche spyware... (per me win è uno spyware).
Ed in piu' mi farei il giro di tutti i client Uindous e leverei del
tutto il Netbios lasciando solo TCP nelle impostazioni di rete.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 E' la linux box che fa le trasmissioni !!
Cioe' e' la linux box cioe' 192.168.1.153 che manda quei broadcast??
Strano davvero.


 Strano davvero.
Se guardi il messaggio originale vedrai che i problemi sono due.
Il primo riguarda la Linux box che fa delle trasmissioni a 239.255.255.253.
Mi piacerebbe sapere cosa e perchè fa queste trasmissioni, esistono dei
comandi linux
chi mi dicano quali processi stanno usando il TCP, attenzione che in questo
caso la porta
non è indicata ( PROTO=2 cosa indica ?).
L'altro problema è quello dei pc (192.168.1.153 e' uno di quelli) che fanno
dei broadcast
a 255.255.255.255 sulla porta 47473. Cercavo qualcuno che sapesse cosa e'
quella porta.
Tra l'altro un router ed in particolare linux si prende la briga di
instradare anche un broadcast a
255.255.255.255 ?
Per quanto riguarda Netbios, nessuna macchina l'aveva fino all'ultimo
(recente) controllo.
Faro di nuovo un giro di controllo, ma dubito sia stato attivato.
Grazie
Stefano

 quella porta.
Guarda qui:
http://www.sans.org/y2k/052600-1130.htm
Sembra che sia uno spyware.
Paolo
-- 
Posted from 
proxy02-95.omnitel.it
 [194.20.95.8] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 PREC=0x00 TTL=32 ID=60037 PROTO=UDP SPT=47473 DPT=47473 LEN=360
Potrebbe essere un servizio di rete tipo agenti di backup, management non
SNMP, client antivirus o cose simili (usi qualcosa di Computer Associates ?).
Prova a guardare due cose: che sevizi vengono eseguiti sulle tue macchine
windows e cosa c'è nel pacchetto UDP (è grosso e conterrà qualcosa di
significativo, immagino).
Non penso che sia uno spyware, come ti hanno suggerito: uno spyware comunica
con un IP, non con un indirizzo broadcast :).
Fabio

 DST=239.255.255.253 LEN=32 TOS=0x00 PREC=0x00 TTL=1 ID=0 DF PROTO=2
Non me ne intendo di iptable ma PROTO=2 leggendo l'rfc790 è un campo
unassigned.
molto strano.
Paolo.


 (recente) controllo.
Ok..


 * Sostenete la Lega per la Soppressione dei Troll *
Ciao,
vuoi sapere cosa passa dalla tua linuxbox o dala rete verso / da /per ?
Sniffa, nn fraintendermi... installati uno sniffer.
Ti suggerisco ettercap che oltre essere abbastanza semplice ti permette da
console mediante una comoda interfaccia che divide in 3 parti il tuo schermo
di vedere i dati che passano attraverso una connessione, visualizzando
quelli generati da una macchina sorgente e quelli ottenuti in risposta dalla
macchina destinatario.
Lo scarichi tranquillamente da 
freshmeat.net
 mettendo come chiave di ricerca
ettercap.
Fammi sapere
Ciao,
vuoi sapere cosa passa dalla tua linuxbox o dala rete verso / da /per ?
Sniffa, nn fraintendermi... installati uno sniffer.
Ti suggerisco ettercap che oltre essere abbastanza semplice ti permette da
console mediante una comoda interfaccia che divide in 3 parti il tuo schermo
di vedere i dati che passano attraverso una connessione, visualizzando
quelli generati da una macchina sorgente e quelli ottenuti in risposta dalla
macchina destinatario.
Lo scarichi tranquillamente da 
freshmeat.net
 mettendo come chiave di ricerca
ettercap.
Fammi sapere