Rolf Masfelder writes:

Hallo,

Am Montag, 6. Dezember 2004 10:12 schrieb cle go:

...

Hi! ich versuche gerade mein tcodump file zu verstehen, da ein angriff auf mein system gestartet wurde. zeigen die folgenden zeilen den zugriff des angreifers auf mein system? bitte auch um eine kleine erklärung. (IP mit stern ist meine, die andere vom angreifer)

20:02:44.724810 IP 192.168.2.66.52713 > 192.168.*.*.telnet: S 216926679:216926

192.168.2.66 ist eine IP die im Internet nicht geroutet wird! Du hast im lokalen Netz also einen Rechner mit dieser IP runstehen. Von dort gehen Verbindungsversuche aus. Das kann ein versuchter Angriff (aus dem likalen Netz auf andere Rechner im selben Netz) sein. Kann aber auch sein, das da ein Programm versucht zu kontrollieren, ob bestimmte Dienste im lokalen Netz verfügbar sind. 'Überwachung'???

Ein geschickter Angreifer ist durchaus in der Lage, seine Adresse zu fälschen, daher kann der Angriff durchaus aus dem Internet gekommen sein. Ich glaube aber, das das nur ein Weihnachtsbaum war und kein ernsthafter Versuch. -Dieter -- Dieter Klünter | Systemberatung http://www.dkluenter.de GPG Key ID:01443B53

Dieter Kluenter schrieb:

Rolf Masfelder writes:

...

Am Montag, 6. Dezember 2004 10:12 schrieb cle go:

...

Hi! ich versuche gerade mein tcodump file zu verstehen, da ein angriff auf mein system gestartet wurde. zeigen die folgenden zeilen den zugriff des angreifers auf mein system? bitte auch um eine kleine erklärung. (IP mit stern ist meine, die andere vom angreifer)

20:02:44.724810 IP 192.168.2.66.52713 > 192.168.*.*.telnet: S 216926679:216926

192.168.2.66 ist eine IP die im Internet nicht geroutet wird! Du hast im lokalen Netz also einen Rechner mit dieser IP runstehen. Von dort gehen Verbindungsversuche aus. Das kann ein versuchter Angriff (aus dem likalen Netz auf andere Rechner im selben Netz) sein. Kann aber auch sein, das da ein Programm versucht zu kontrollieren, ob bestimmte Dienste im lokalen Netz verfügbar sind. 'Überwachung'???

Ein geschickter Angreifer ist durchaus in der Lage, seine Adresse zu fälschen, daher kann der Angriff durchaus aus dem Internet gekommen sein. Ich glaube aber, das das nur ein Weihnachtsbaum war und kein ernsthafter Versuch. Ack. In diesem Fall würde es keine Sinn machen die IP zu fälschen, denn offensichtlich liegen Vebindungsversuche auf diversen Ports vor (Siehe auch die Logauszüge in seiner anderen Mail). Sinn macht ein Fälschen der IP nur, wenn der Anfrager keine Antwort erhalten will z.B. bei eine TCP-Syn Angriff, der hier offensichtlich nicht vorliegt.

Deshalb weiterhin Keine Panik auf der Titanic Thomas