Ataque

[alanperes]

Olá,

Gostaria que algéum me auxiliasse na interpretação destes resultados do tcpdump na minha eht1, que é a conexão com o AP de minha wlan,

6904 arp who-has 192.168.30.16 tell 192.168.0.1
10:20:18.974785 arp who-has 192.168.0.1 tell 192.168.2.25
10:20:18.974821 arp reply 192.168.0.1 is-at 0:8:54:1:3f:97
10:20:18.976879 arp who-has 192.168.103.77 tell 192.168.0.1
10:20:18.976884 arp who-has 192.168.205.188 tell 192.168.0.1
10:20:18.986876 arp who-has 192.168.174.129 tell 192.168.0.1
10:20:18.993812 arp who-has 192.168.189.167 tell 192.168.0.1
10:20:19.014729 arp who-has 192.168.2.27 tell 192.168.0.20
10:20:19.015862 arp who-has 192.168.191.155 tell 192.168.0.1
10:20:19.026898 arp who-has 192.168.91.215 tell 192.168.0.1
10:20:19.026908 arp who-has 192.168.137.65 tell 192.168.0.1
10:20:19.042252 arp who-has 192.168.132.161 tell 192.168.0.1
10:20:19.106899 arp who-has 192.168.154.193 tell 192.168.0.1
10:20:19.116877 arp who-has 192.168.138.2 tell 192.168.0.1
10:20:19.194793 arp who-has 192.168.218.144 tell 192.168.0.1
10:20:19.196877 arp who-has 192.168.154.42 tell 192.168.0.1
10:20:19.206876 arp who-has 192.168.62.138 tell 192.168.0.1
10:20:19.244296 arp who-has 192.168.28.35 tell 192.168.0.1

O servidor está varrendo a rede? Como evitar isso?

[]s
Caps

[lss]

isso nao eh ataque , no caso o 192.168.0.1 que deve ser o gateway de sua rede esta mandando pacotes arp para verificar se os ips liberados por vc estao conectados a ele ou nao .

[alanperes]

Postado Originalmente por lss

isso nao eh ataque , no caso o 192.168.0.1 que deve ser o gateway de sua rede esta mandando pacotes arp para verificar se os ips liberados por vc estao conectados a ele ou nao .

Minha tabela arp fica da seginte forma,

(192.168.3.150) em <incompleto> em eth1
? (192.168.90.121) em <incompleto> em eth1
? (192.168.227.63) em <incompleto> em eth1
? (192.168.179.2) em <incompleto> em eth1
? (192.168.120.164) em <incompleto> em eth1
? (192.168.74.178) em <incompleto> em eth1
? (192.168.253.179) em <incompleto> em eth1
? (192.168.115.25) em <incompleto> em eth1
? (192.168.18.49) em <incompleto> em eth1
? (192.168.104.75) em <incompleto> em eth1
? (192.168.228.142) em <incompleto> em eth1
? (192.168.138.86) em <incompleto> em eth1
? (192.168.184.100) em <incompleto> em eth1
? (192.168.231.169) em <incompleto> em eth1
? (169.254.178.60) em <incompleto> em eth1

A tabela ip_conntrack atinge seu limite máximo, a mensagem,

"Neighbour table overflow" repete-se na tela e a rede fica lenta. O que eu acho estranho é que isto começou a acontecer recentemente.

[]s
Alan

[Bruno_Freitas]

arp who-has 192.168.154.193 tell 192.168.0.1

traduzindo:

arp quem-tem 192.168.154.193 disse 192.168.0.1

Nunca vi algo parecido, mas tá parecendo ataque de IP-Spoofing. Uma máquina tentando forjar o IP.

[demiurgo]

Postado Originalmente por Bruno_Freitas

arp who-has 192.168.154.193 tell 192.168.0.1

traduzindo:

arp quem-tinha 192.168.154.193 dissel 192.168.0.1

Nunca vi algo parecido, mas tá parecendo ataque de IP-Spoofing. Uma máquina tentando forjar o IP.

correcao bruno:

who has = quem tem (has presente do verbo have)

isso eh uma pesquisa q a camada d enlace do modelo OSI faz para atulizar a tabela ARP d enlace

naum eh um ataque

[sergio]

hehehehehehe... garanto proce que eh virus em algum(s) cliente(s) seu... jah aconteceu aqui e tive que fechar a conexao do camarada ateh ele rancar o bicho da maquina dele...
faz o seguinte:
#iptraf -l ethX ( X = GW do wireless) e ve quem eh o fdp do MAC que tah gerando esse trafego... ou ainda rode o iptraf e escolha <IP Traffic Monitor> escolha em seguida a ethX (GW do wireless) e veja o ip do engracadinho... eh Porta 445 ou 135 que tah sendo explorada... manda ver ae e posta o resultado aqui

pode ainda rodar:
#tcpdump -ni ethX (GW wireless) | grep "445" > arquivo.log ou
#tcpdump -ni ethX | grep "135" > arquivo.log

[Bruno_Freitas]

q mancada... vlw velhinho!

*EDITED*

Postado Originalmente por demiurgo

correcao bruno:

who has = quem tem (has presente do verbo have)

isso eh uma pesquisa q a camada d enlace do modelo OSI faz para atulizar a tabela ARP d enlace

naum eh um ataque

[demiurgo]

po, tranquilo bruno

[]'s

[mistymst]

arp flood eh interessante fazer em switches.

a sua rede fica lenta porque ele nao consegue mais saber para qual MAC enviar e tem q ficar limpando e colocando na tabela de arp.

bom como se repete varias voce tem que achar o engracadinho que esta ferrando voce. o jeito eh dar um olho muito "lindo" no tcpdump, usando -w para gravar no logfile e depois abrir no ethereal para ver mais facil.


grave uma media de 1h de log e depois me envie, eh legal para estudo essas coisas

[alanperes]

Postado Originalmente por SerAntSou

hehehehehehe... garanto proce que eh virus em algum(s) cliente(s) seu... jah aconteceu aqui e tive que fechar a conexao do camarada ateh ele rancar o bicho da maquina dele...
faz o seguinte:
#iptraf -l ethX ( X = GW do wireless) e ve quem eh o fdp do MAC que tah gerando esse trafego... ou ainda rode o iptraf e escolha <IP Traffic Monitor> escolha em seguida a ethX (GW do wireless) e veja o ip do engracadinho... eh Porta 445 ou 135 que tah sendo explorada... manda ver ae e posta o resultado aqui

pode ainda rodar:
#tcpdump -ni ethX (GW wireless) | grep "445" > arquivo.log ou
#tcpdump -ni ethX | grep "135" > arquivo.log

Olá,

00:21:20.986646 192.168.2.233.3974 > 65.75.149.10.http: . ack 580 win 63662 (DF)
00:21:20.987318 192.168.2.233.3974 > 65.75.149.10.http: F 381:381(0) ack 580 win 63662 (DF)
00:21:21.096427 192.168.2.37.3678 > 200.188.191.54.http: . ack 16061 win 17520 (DF)
00:21:21.100534 192.168.2.37.3681 > 200.188.191.54.http: . ack 14601 win 17520 <nop,nop,sack sack 1 {16061:17521} > (DF)
00:21:21.166637 192.168.2.233.3975 > 206.190.38.65.http: S 1176271981:1176271981(0) win 64240 <mss 1460,nop,nop,sackOK> (DF)
00:21:21.240680 192.168.2.37.3683 > 200.188.191.54.http: . ack 11681 win 17520 <nop,nop,sack sack 1 {13141:16061} > (DF)
00:21:21.328590 192.168.2.37.3683 > 200.188.191.54.http: . ack 11681 win 17520 <nop,nop,sack sack 1 {13141:17521} > (DF)
00:21:21.342592 192.168.2.233.3975 > 206.190.38.65.http: . ack 2844271471 win 64240 (DF)
00:21:21.348823 192.168.2.233.3975 > 206.190.38.65.http: . 0:1460(1460) ack 1 win 64240 (DF)
00:21:21.348899 192.168.2.233.3975 > 206.190.38.65.http: P 1460:2349(889) ack 1 win 64240 (DF)
00:21:21.418216 192.168.2.37.3682 > 200.188.191.54.http: . ack 7301 win 17520 <nop,nop,sack sack 1 {8761:10221} > (DF)

93 packets received by filter
0 packets dropped by kernel
[root@pts root]# tcpdump -ni eth1 dst port 445
tcpdump: listening on eth1
00:22:28.621784 192.168.1.165.4468 > 211.50.101.168.microsoft-ds: R 2454042708:2454042708(0) win 0

1 packets received by filter
0 packets dropped by kernel
[size=18px][/size]

rodei com dst 445, e aparece este ip. Depois ele parou de aparecer.

[]s
Alan