Forum Debian Users Gang

Podobny ping mam do swojego VPS'a w niemczech:

root@tabi19:~# ping tabnet.eu
PING tabnet.eu (178.63.34.251) 56(84) bytes of data.
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=1 ttl=49 time=844 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=2 ttl=49 time=1122 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=3 ttl=49 time=1120 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=4 ttl=49 time=1168 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=6 ttl=49 time=1250 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=7 ttl=49 time=1251 ms

Ping z VPS'a do mojego komputera w domu (mam zewnętrzne IP) jest też na podobnym poziomie.

Przełączę teraz internet do PC po kablu i zobaczę, co i jak.

Podłączyłem modem od internetu do PC przez kabel LAN - efekt ? Wszystko jest ok.
Różnica jest taka, że do mojego PC-serwera, który rozdziela internet, ten modem jest podłączony kablem USB, bo nie mam w płycie głównej wejścia Ethernet..

Co poradzić ?

// EDIT:

Podpiąłem modem do laptopa pod Windows 7 przez USB i wszystko śmiga tak jak powinno..

Ostatnio edytowany przez tabi19 (2011-11-22 17:49:34)

Tak myślałem o tym ;)
Do czasu, aż gdy dzisiaj miałem podłączonego kablem ethernetowym internet - efekt ? Ping był ok, a po jakimś czasie wzrósł znów do 1000+..

Trojana raczej nie złapałem na żadnym komputerze, przynajmniej nic nie widzę w iptrafie..

Co to jeszcze może być ?
Obstawiałem, że modem się zepsuł, ale jeśli to on byłby winny, to czy nie byłoby tak cały czas ?

Pozdrawiam

To chyba na 90% jakiś intruz na moim PC-serwerze - zrobiłem test:
podpiąłem modem pod usb do PC-serwera (tak jak zawsze było), a przez kabel LAN do laptopa.

Internet działał, działał, i nagle - wysoki ping, zamulenie.

Sprawdziłem ipconfig'iem czy ktoś nie podpiął się do mojej sieci - było tylko IP moje i PC-serwera (wewnętrzne).

Następnie uruchomiłem iftop - efekt - zużycie łącza 800 kbps - 1,3 Mbps - ciekawe jak, skoro miałem włączone tylko GG na laptopie - co ciekawe, zużycie łącza skakało, a iftop pokazywał różne IP, z którymi łączyło się IP zewnętrzne mojego PC-serwera..

Wyłączyłem w takim razie PC-serwer i został tylko internet na kablu LAN pod laptopem - ping momentalnie zmalał i wszystko wróciło do normy..

Rozumiem, że mój PC-serwer pod debianem załapał się do jakiegoś botnetu ?

Gdzie teraz szukać przyczyny ?

Ostatnio coś czytałem o pierwszym Linuxowym Botnecie... o znalazłem link
http://webhosting.pl/Botnet.serwerow.WWW.bo.Linux.t … .zombifikacje
ale raczej mało prawdopodobne że któraś z przyczyn tu będzie pasować...

Jakie distro, jajko?
Zrób zrzut ruchu wychodzacego i przeanalizuj co wychodzi i gdzie, ewentualnie wrzuć to ktos moze to zrobi :P

To nie jest wina karty sieciowej Wifi, bo internet na PC-serwerze też muli..
W "iptraf" widziałem, że pingowały mnie jakieś IP z chin..

Prześlę Wam screen z iftop, gdzie na moim lapku chodziło tylko GG:

http://i40.tinypic.com/o9emh3.png

Czy to normalne, że mam wymianę danych z tyloma adresami IP ?
Myślę, że to tu leży przyczyna, bo np. na VPS'ie produkcyjnym, mam w tej chwili prawie zerowy ruch (max. 2 kbps), a tutaj proszę bardzo - takie coś..

Jeśli to tu leży przyczyna, jak temu zaradzić ?

Proszę o radę.

Pozdrawiam
Grzegorz

//dane:
debian 6.0, jajko 2.6.32-5-686

Ostatnio edytowany przez tabi19 (2011-11-24 02:40:49)

bobycob napisał(-a):

Nad  czym tyle dywagować?
Odłącz/opuść wszystkie interfejsy poza wanowym i sprawdź czy nadal ruch występuje jeśli tak przejrzyj uruchomione w systemie procesy może coś znajdziesz.
Ruch sieciowy to nie widmo skądś się bierze. Kiedyś miałem włamanie i w trakcie dochodzenia znalazłem wiele ciekawych rzeczy.
Podpowiem, że program apache2 w procesach wcale nie musi być apachem ;).

Najprościej ubijaj usługi, przy odrobinie szczęścia narzędzia nie są podmienione i widzisz wszystkie programy działające w systemie.

Chyba strzał w dziesiątkę - ubiłem kilka procesów, co do których nie miałem pewności co to i nagle internet wrócił do normalnego działania..
Jak już odkryję, co to za proces, to wystarczy że usunę go poleceniem "kill ID_PROCESU" + usunę jego źródło z serwera ?

Jak się zabezpieczyć przed tego typu niespodziankami ?

tabi19 napisał(-a):

Internet zaczął normalnie działać po ubiciu procesu squida - czyli przez to, że stoi tu squid na standardowym configu, z którego i tak nie korzystam (bo nie miałem czasu go skonfigurować) ktoś wykorzystał mój serwer jako serwer proxy i urządza sobie niezłą zabawę ?
Czy to raczej mało prawdopodobny scenariusz ?

Akurat to zależy od tego, co masz w Firewallu.
Bo jeśli porty Squida byly otwarte, a sam Squid uruchomiony na domyślnym konfigu,
to już nie jest mało prawdopodobny, ale BARDZO PRAWDPODOBNY scenariusz.
:xD

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2011-11-25 01:24:46)