Dotaz: server pořad neco stahuje

[batt]

ahoj, mam takový problem server mi pořad stahuje na eth0 i internetu ale vubec nevím co nic jsem nezapínal a přibejvaj mi data na lo , mate nekdo radu? dekuji moc stimdle jsem jse ješte nesetkal .

Odpovědi

[Alcor]

Co takhle zkusit iptraf ? Nepíšete také jakou máte distribuci, konfiguraci ... Co jste kde zjistil .... Zkrátka na nekonkrétní otázku podobná odpověď :o)

[Peter S.]

Sice zo serverom nemám skúsenosti, ale na mojom PC (v LANke) mám permanentne niekoľko sto bytov za sekundu príchodzích dát, ale hlavne že odchodzich je 0. U mna (a teda nie len u mna) to budú sieťové protokoly, napríklad taký windows ten zisťuje okolité počítače alebo aj iné veci.
Sú na to programy kde ti vypíše prebiehajúcu komunikáciu (napr netstat, jnettop, wireshark) prípadne ti možno firewall robí logy, všímaj si zdrojovú IP adresu a porty, podľa toho sa da pekne určiť čo ten dotyčný PC od teba chce.

[Alcor]

napríklad taký windows ten zisťuje okolité počítače alebo aj iné veci.

Ano, já mam tučňáka ve windowsí sítí a to je samé UDP(port 138) :o)

[batt]

iptraf jsem skoušel prave i ukazal že jse stahuje na lo a jede to pe 300kl/s !Udp porty ty tam jsou 138 na 127.0.0.1

[batt]

jo distribuce je to Debian 4 tady více infa o severu http://www.jirikovczf.org/phpsysinfo

[Alcor]

Co konkrétně ti přibejvá na lo (127.0.0.1)? Můžeš to rozebrat ?

[batt]

Přybívají dat an lol nak to tam skače myslím MB

[Opium]

LOL

[Ondroid]

LOL, v jakém jazyce je tahle věta ? :D

[frEon]

lolcode?

[stativ]

138 je NetBIOS, takže to leze nejspíš z těch okolních počítačů, nebo máš zaplou sambu.

[ghostmonk]

zjednodusene: lo je rozhrani podobne eth, ale je pouzivana pro komunikaci nekterych programu mezi sebou a neni z venku(internetu) pristupne ani viditelne.

[batt]

to nechapu když nejde videt z Internetu tak proč pořad neco stahuje víc phpsysinfo jde to tam videt jak data naskakují to vubec předtím nedělal jinak na tom severu beží Web Dns Dhcp Postfix a HTB a ješte to routuje a počítá data

[ghostmonk]

zkuste(pokud je mozno) na chvilku odstavit jednotlive casti. (tipoval bych bud Web nebo Postfix)

[Aldagautr]

netstat, abys videl, co se kam pripojuje, pak pripadne tcpdump

[batt]

tak jsem skoušel vše zastavit je to to same zde je vipis z netsat

nic jsem stoho nevičetl

tcp 0 0 localhost:50195 localhost:sunrpc TIME_WAIT tcp 0 1 10.0.0.1:58296 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58297 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58298 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58299 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58300 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58301 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58302 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58303 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58288 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58289 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58290 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58291 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58292 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58293 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58294 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58295 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58283 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58284 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58285 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58286 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58287 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58312 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58313 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58304 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58305 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58306 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58307 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58308 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58309 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58310 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58311 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58393 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58392 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58391 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58390 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58389 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58388 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58387 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58386 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58385 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58556 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58555 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58554 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58553 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58552 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58551 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58550 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58549 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58548 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58547 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58546 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58545 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58544 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58543 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58542 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58541 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58540 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58539 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58538 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58537 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58536 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58535 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58534 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58533 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58532 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58531 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58530 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58529 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58528 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58666 powered.by.qweb.nl:8070 SYN_SENT tcp 0 1 10.0.0.1:58665 powered.by.qweb.nl:8070 SYN_SENT tcp6 0 0 ::ffff:10.0.0.1:imap2 162-18.207.85.blu:38160 SPOJENO tcp6 0 3696 ::ffff:10.0.0.1:ssh ::ffff:10.0.0.2:2128 SPOJENO AktivnĂ­ sok PĹĂ­znaky Typ Stav I-Uzel Cesta unix 2 [ ] DGRAM 2931 @/org/kernel/udev/udevd unix 134 [ ] DGRAM 5008 /dev/log unix 2 [ ] DGRAM 701550 unix 2 [ ] DGRAM 695454 unix 2 [ ] DGRAM 691153 unix 2 [ ] DGRAM 680548 unix 2 [ ] DGRAM 669557 unix 2 [ ] DGRAM 658091 unix 2 [ ] DGRAM 647287 unix 2 [ ] DGRAM 635846 unix 2 [ ] DGRAM 625532 unix 2 [ ] DGRAM 615709 unix 2 [ ] DGRAM 605355 unix 2 [ ] DGRAM 595709 unix 2 [ ] DGRAM 584172 unix 2 [ ] DGRAM 573146 unix 2 [ ] DGRAM 562112 unix 2 [ ] DGRAM 552405 unix 2 [ ] DGRAM 542064 unix 2 [ ] DGRAM 531925 unix 2 [ ] DGRAM 521930 unix 2 [ ] DGRAM 512550 unix 2 [ ] DGRAM 504237 unix 2 [ ] DGRAM 496242 unix 2 [ ] DGRAM 486293 unix 2 [ ] DGRAM 476550 unix 2 [ ] DGRAM 467718 unix 2 [ ] DGRAM 459019 unix 2 [ ] DGRAM 450396 unix 2 [ ] DGRAM 441330 unix 2 [ ] DGRAM 432139 unix 2 [ ] DGRAM 423133 unix 2 [ ] DGRAM 413976 unix 2 [ ] DGRAM 405373 unix 2 [ ] DGRAM 396866 unix 2 [ ] DGRAM 388799 unix 2 [ ] DGRAM 380220 unix 2 [ ] DGRAM 372517 unix 2 [ ] DGRAM 364771 unix 2 [ ] DGRAM 356898 unix 2 [ ] DGRAM 349173 unix 2 [ ] DGRAM 341000 unix 2 [ ] DGRAM 332961 unix 2 [ ] DGRAM 325006 unix 2 [ ] DGRAM 317160 unix 2 [ ] DGRAM 309465 unix 2 [ ] DGRAM 302194 unix 2 [ ] DGRAM 294845 unix 2 [ ] DGRAM 287346 unix 2 [ ] DGRAM 280239 unix 2 [ ] DGRAM 272954 unix 2 [ ] DGRAM 265806 unix 2 [ ] DGRAM 258407 unix 2 [ ] DGRAM 251061 unix 2 [ ] DGRAM 244186 unix 2 [ ] DGRAM 237472 unix 2 [ ] DGRAM 230541 unix 2 [ ] DGRAM 223262 unix 2 [ ] DGRAM 216153 unix 2 [ ] DGRAM 208881 unix 2 [ ] DGRAM 202004 unix 2 [ ] DGRAM 195242 unix 2 [ ] DGRAM 188625 unix 2 [ ] DGRAM 182073 unix 2 [ ] DGRAM 175756 unix 2 [ ] DGRAM 169498 unix 2 [ ] DGRAM 163382 unix 2 [ ] DGRAM 157315 unix 2 [ ] DGRAM 151313 unix 2 [ ] DGRAM 145536 unix 2 [ ] DGRAM 139888 unix 2 [ ] DGRAM 134303 unix 2 [ ] DGRAM 128922 unix 2 [ ] DGRAM 123641 unix 2 [ ] DGRAM 118414 unix 2 [ ] DGRAM 113374 unix 2 [ ] DGRAM 108418 unix 2 [ ] DGRAM 103585 unix 2 [ ] DGRAM 98749 unix 2 [ ] DGRAM 94158 unix 2 [ ] DGRAM 89695 unix 2 [ ] DGRAM 85255 unix 2 [ ] DGRAM 81026 unix 2 [ ] DGRAM 76600 unix 2 [ ] DGRAM 72657 unix 2 [ ] DGRAM 68725 unix 2 [ ] DGRAM 64979 unix 2 [ ] DGRAM 61465 unix 2 [ ] DGRAM 57605 unix 2 [ ] DGRAM 54189 unix 2 [ ] DGRAM 50910 unix 2 [ ] DGRAM 47726 unix 2 [ ] DGRAM 44706 unix 2 [ ] DGRAM 41752 unix 2 [ ] DGRAM 38928 unix 2 [ ] DGRAM 36260 unix 2 [ ] DGRAM 33727 unix 2 [ ] DGRAM 31288 unix 2 [ ] DGRAM 28854 unix 2 [ ] DGRAM 26662 unix 2 [ ] DGRAM 24597 unix 2 [ ] DGRAM 22619 unix 2 [ ] DGRAM 20792 unix 2 [ ] DGRAM 19053 unix 2 [ ] DGRAM 17175 unix 2 [ ] DGRAM 15590 unix 2 [ ] DGRAM 14243 unix 2 [ ] DGRAM 13019 unix 2 [ ] DGRAM 11781 unix 2 [ ] DGRAM 10787 unix 2 [ ] DGRAM 9919 unix 2 [ ] DGRAM 9138 unix 2 [ ] DGRAM 8511 unix 2 [ ] DGRAM 7924 unix 2 [ ] DGRAM 7512 unix 2 [ ] DGRAM 7203 unix 2 [ ] DGRAM 6924 unix 2 [ ] DGRAM 6824 unix 2 [ ] DGRAM 6819 unix 2 [ ] DGRAM 6749 unix 2 [ ] DGRAM 6537 unix 3 [ ] STREAM SPOJEN 6526 unix 3 [ ] STREAM SPOJEN 6525 unix 2 [ ] DGRAM 6482 unix 3 [ ] STREAM SPOJEN 6430 unix 3 [ ] STREAM SPOJEN 6429 unix 2 [ ] DGRAM 6383 unix 2 [ ] DGRAM 6051 unix 2 [ ] DGRAM 6050 unix 2 [ ] STREAM SPOJEN 6035 unix 2 [ ] DGRAM 5904 unix 2 [ ] DGRAM 5792 unix 2 [ ] DGRAM 5788 unix 2 [ ] DGRAM 5672 unix 2 [ ] DGRAM 5495 unix 2 [ ] DGRAM 5465 unix 2 [ ] DGRAM 5403 unix 2 [ ] DGRAM 5193 unix 2 [ ] DGRAM 5023

[Filip Jirsák]

Přidejte si k tomu netstatu parametr -p, vypíše vám to i proces, který danou komunikaci má nasvědomí.

Pokud dáváte se do diskuze nějaký výpis, použijte prosím tag <pre>, aby se to dalo číst. A klávesa "Y" také není na klávesnici zbytečně, třeba pro takovou předponu vy-/vý- (výpis, nevyčetl) se může hodit. "Z" také není k zahození (zkoušel, z toho), a čárky, tečky a velká písmena by srozumitelnosti taky přespěly.

[batt]

Vubec nevím co o muže bejt je to jen na LO nikde jinde prolezl jsem logy a nic , sambu nemam naistalovanou vubec t tak nevim, asi to smaznu a udelam znovu

[podlesh]

Pokud je to jen na lo, tak se nikam nic nepřenáší po síti (teny se nic nestahuje). Myslím že tedy nemá smysl cokoliv řešit natož pak takovými brutálními metodami.

Jistě, možná by stálo za zjištění o co se jedná, ale takový úkol zřejmě vyžaduje někoho s obsáhlejšími znalostmi (jak o linuxu, tak o sítích).

[batt]

Je o na Lo a eth1, na tom severu nikdo není a stejne podle iptrafu je tam nakej trafik na eth1 i lo kamoš říkal že to muže bejt UDP virus .

[Filip Jirsák]

Počítač, kde k problémům dochází, máte k dispozici vy, nástrojů, kterými můžete zjišťovat, co se děje, tady v diskuzi bylo vyjmenováno dost (pro začátek třeba netstat -np a tcpdump -ni eth1). Bez nějakých výstupů z alespoň některých z těchle nástrojů vám tady někdo bez křišťálové koule těžko poradí.

Co je UDP virus nevím, ale silně pochybuju, že by se (zvlášť dneska) do UDP paketu dokázal nacpat nějaký škodlivý kód.

[Zdeněk Štěpánek]

Termin "UDP virus" pochazi odeme. Setkal jsem se s tim u sebe v siti. Nejaky zavirovany wokna (zrejme) posilaly mraky UDP paketu, velikost 1004 byte na nekolik IP adres. Zvlastni bylo to, ze odrojova IP byly pokazde jina. Cyklicky to projizdelo 10.193.124.0-255. Maska na tom subnetu je uzsi, takze to musel byt nekdo z lokalniho subnetu. Poslalo to asi 200-300 paketu z jedne adresy a pak to slo o cislo vys. Pro dosazenui konce to slo zase od zacatku. Byl to dokonaly DoS, 16Mbit alcoma co mame od providera sla do kytek, byl na ni 800ms ping a internet vubec netekl.

Rseni je trivialni:

#zablokovani cile iptables -A FORWARD -d 82.211.17.113 -j DROP iptables -A FORWARD -d 72.20.23.46 -j DROP iptables -A FORWARD -d 72.20.48.185 -j DROP iptables -A FORWARD -d 72.20.23.46 -j DROP

Nicmene v jirikove tenhle problem neni. Narustajici data na loopbacku jsou podle me data od postfixu, dns, dhcp, webu atd. Snazil jsem se to battovi vysvetlit.

Parkrat jsem se na ten server koukal kdyz batt hlasil problem a nic divneho jsem neobjevil. Nicmene ted uz nejak umrel uplne, mozna ze se tam i nekdo naboural, prestala fungovat vetsina sluzeb a nejde si ani pingnout ven. Batt to pry preinstaluje, to zase budu mit prace to vsechno uvest do rozumneho stavu.

Vykonove je ten komp v pohode, je to nejaka PIII-850, ramky pres 256. Internet tam je jen ADSL, takze max. 6-8Mbit. Pripojenejch lidi ne vic nez 20. Dela to teda web, dns, postu a router.

Zdenek

[nway]

Zkus pro začátek dát netstat -tuna a netstat -tn a výstup vlož do PRE tagu. Jinak něco ti tam přibývá, jelikož takové množství na lo mám tak po měsíci a více co ty za pár hodin. iptraf ti také dost napoví.

[romank]

tcpdump

[Martin Beránek]

lidičky mám dojem, že si z nás dotyčný dělá legraci... na příspěvěk upozorňující na nesrozumitelnost věty a zásadní pravopisné chyby odpovídá totálním gulášem...

[Zdeněk Štěpánek]

Jo to mas recht, ale ja uz si po letech komunikace s battem zvykl. Obcas mu napisu ze to odmitam lustit a na nakolikaty pokus i pochopim co tim basnik chtel rict.