Dotaz: Co prohledává síť na portu 2968

[ZAH]

Poslední dobou zachycuje paketový filter následující dotaz. Cílový port je vždy 2968 zdrojový se mění. Tuší někdo o co jde. Web poradil něco o službě JAMCT6, ale dál jsem se nedostal.

... SRC=192.168.254.27 DST=255.255.255.255 LEN=58 TOS=0x00 PREC=0x00 TTL=128 ID=14820 
    PROTO=UDP SPT=1312 DPT=2968 LEN=38
... SRC=192.168.254.27 DST=255.255.255.255 LEN=58 TOS=0x00 PREC=0x00 TTL=128 ID=17410 
    PROTO=UDP SPT=1345 DPT=2968 LEN=38
... SRC=192.168.254.27 DST=255.255.255.255 LEN=58 TOS=0x00 PREC=0x00 TTL=128 ID=23963 
    PROTO=UDP SPT=1398 DPT=2968 LEN=38

Odpovědi

[petr_p]

A to je takovy problem zeptat se majitele IP 192.168.254.27? Jestli ano, muzete si stezovat u sveho provozovatele site.

[ZAH]

Kdyby to majitel stanice věděl tak se to dobrý nápad. Ten port jsem našel také pod zkratkou ENNP service. Jde mi o to jestli je to veš nebo něco normálního.

[petr_p]

Cislo portu nemusi mit obecne zadnou spojitost s cimkoliv. Takze se musis zamerit na obsah onech broadcast UDP paketu. Treba budes mit stesti a nejaky sniffer tento protokol pozna.

Pokud jde o patrani po zdroji, kazdy OS zna proces, ktery si vytvori socket a odesila z nej data. Pokud se jedna o dlouhodobou cinnost, pomuze netstat nebo neco podobneho. Pokud je to kratkodoba zalezitost, zakompilujte si process accounting a do iptables si dejte logovat provoz na inkriminovanem portu. Podivejte se take na iptables modul owner match. Samozrejme muzete pouzit metodu puleni intervalu, kdy budete postupne ukoncovat procesy, dokud vysilani neprestane.

[Jaromir Kucera]

Nemám s tím naštěstí žádnou zkušenost, ale spíš bych se díval po virech nebo spyware například zde:

http://www3.ca.com/securityadvisor/pest/pest.aspx?id=453092768

Lze tam najít zmínku o čemsi jménem "Zherkov.2968".

[ZAH]

Dik zkusim prohleda.

[Milan Uhrák]

Dal jsem google vyhledat "port 2968", a ejhle ! http://www.seifried.org/security/ports/2000/2968.html No, myslím, že to hovoří za vše ... Čus

[pasmen]

Tak tohle udelal asi kazdej a tenhle link mu vypadl. Za co presne to hovori? Me to teda nerika nic...

[unchallenger]

Plyne z toho, že to, co má běžet na tom portu 2968, není nic profláknutého, spíš obskurního, a je zapotřebí se uchýlit k analýze paketů a dalším drsnějším (jemnějším) praktikám...

[ZAH]

Takže asi vyřešeno . V síti se skutčně nalézá Epson ACU Laser

2968    tcp, udp 	enpp 	exc.epson.co.jp
2969    tcp, udp 	essp 	exc.epson.co.jp

A tady odpověď roste http://www.linnetsol.co.uk/port-num.htm Všem zúčatněným dík za snahu.