Fremmed klient på ruter

[Emancipate]

Jeg hadde plutselig så dårlig fart ned, så jeg sjekket på ruteren, og fant noe rart:

 

DHCP Client List

2 none 00-BB-3A-F4-B9-58 192.168.1.103 00:26:34

 

Vedkommende (?) er ikke tilkoblet lenger, jfr wireless client list.

 

Hva er dette for noe? Har kryptering med WPA2.

[covah]

Sikker på at det ikke er en telefon,NAS, TV eller noe annet utstyr?

Står det om det var utstyr koblet til via kabel eller trådløst?

[Emancipate]

Sikker på at det ikke er en telefon,NAS, TV eller noe annet utstyr?

Står det om det var utstyr koblet til via kabel eller trådløst?

Det må ha vært koblet til trådløst, ruteren står godt sikret.

 

Telefon: jeg har ikke smarttelefon.

NAS: Har ikke noe sånt.

TV: Ikke trådløs tv!

Annet utstyr: ikke som jeg vet om.

[Emancipate]

Legg også merke til at MAC-adressen er 00-BB-3A som er et privat område, altså neppe en iphone eller noe sånt.

 

(Lurer også hva som gjør at hastigheten er 1/3.)

Endret 7. september 2014 av Tåkelur

[Gjest Slettet-fsaSP0zV]

Har du en WiFi-extender på nettet ditt? Når mine klienter logger på WiFi via extender, blir de 6 første tegnene i MAC-adressen endret. Dette gjør at enhetene får en ny IP-adresse når de kobler til via extender.

[Emancipate]

Nei, jeg har kun denne ruteren.

 

Og hastigheten ned er fortsatt 1/3. Det som er rart er at hastigheten opp er som før. Merkelig.

[ChrisCo]

Hvilken router er det snakk om her? Og hva har du ellers av utstyr? Modem, leverandør etc?

 

Og hvordan kan du være så sikker på at det er noen andre utenfor og ikke deg selv som du har "oppdaget"? Hvor mange enheter har du tilkoblet nettverket ditt og hvor mange klienter er det i lista til routeren?

[Emancipate]

Og hvordan kan du være så sikker på at det er noen andre utenfor og ikke deg selv som du har "oppdaget"?

Jeg er ikke sikker, det er jo derfor jeg spør! Jeg vil jo tro det kommer innenfra på en måte, ettersom jeg har passord på ruteren.

 

Sånn så det ut i går:

 

 

 

Edit:

ubuntu-studio og langbein er altså mine maskiner. SEC... er en printer. Jeg har en maskin til i huset, men den hadde ikke vært på, og heter neppe none.

 

Edit 2: Den andre maskina går under navnet "thinkpad 00-1C-BF-10-3A-12".

Endret 8. september 2014 av Tåkelur

[ChrisCo]

Da har du jo redegjort for 3 av 4..

 

Sjekk hva MAC-adressen på den siste maskina di er da, så finner du jo også fort ut om det er den eller ikke.... Også kan du jo blokkere den aktuelle MAC-adressen (den ukjente) og se om alle enhetene dine fremdeles er på nett...

[Emancipate]

Også kan du jo blokkere den aktuelle MAC-adressen (den ukjente) og se om alle enhetene dine fremdeles er på nett...

Hvis du leser nøye så ser du at den aktuelle enheten IKKE var pålogget det trådløse nettverket når jeg tok screenshotet. Den bare hadde vært det. På screenshot 2 er det egentlig bare 3 enheter, den første er ruteren.

 

Sånn det ser ut nå er none borte fra nettverket. MAC-adressen til den siste maskina ligger i posten over deg.

Endret 8. september 2014 av Tåkelur

[ChrisCo]

Blokker MAC-adressen til "none" og se om den eventuelt dukker opp igjen senere, eller om en av dine enheter ikke lenger får koblet til.. Hvis du ikke får koblet til med en av enhetene dine, så har du funnet den "ukjente" enheten, og den er din, og ikke noen andre som er på nettet ditt som du frykter...

[Emancipate]

Blokker MAC-adressen til "none" og se om den eventuelt dukker opp igjen senere

Hvis jeg blokkerer den får jeg aldri vite om den dukker opp.

[ChrisCo]

Nei men da er problemet løst og ikke noe mer å tenke på!

[sjurtf]

Nei men da er problemet løst og ikke noe mer å tenke på!

Nåja, hvis noen har tatt seg urettmessig inn på trådløsnettet hans, så vil nok ikke vedkommende la seg stoppe av en simpel mac-adresse blokking.

 

Da burde nok heller TS endre nøkkelen på trådløsnettet sitt, eller bruke whitelist på mac-adresser.

[ChrisCo]

Ja, er nettopp det som er meninga - da vil det dukke opp enda en ny enhet med annen MAC-adresse... Da vet man jo at det er noen andre på nettet, enn de som skal være på nettet...

[Emancipate]

Enheten har hittil ikke kommet tilbake.

 

 

 

Da burde nok heller TS endre nøkkelen på trådløsnettet sitt, eller bruke whitelist på mac-adresser.

Jeg er egentlig ikke så bekymret for sikkerheten (jeg kan endre passord i fremtiden), jeg er mer nyskjerrig. Jeg tenker at hvis jeg endrer passord reduserer det sjansen for at jeg finner ut av dette. For hvis det er en fremmed kommer jo ikke vedkommende seg på nettet.

 

Edit: BESØK! Jeg hadde besøk i går av en smarttelefon. Kanskje det er nøkkelen. Men rart at hun visste passordet, og har en sånn rar MAC-adresse.

Endret 8. september 2014 av Tåkelur

[Gavekort]

Fyr opp en Linux-maskin og kjør:

"nmap -A 192.168.1.103"

[Emancipate]

Fyr opp en Linux-maskin og kjør:

"nmap -A 192.168.1.103"

Som sagt, da jeg oppdaget den hadde den allerede logget seg av. Den bare hadde en aktiv dhcp-lease fortsatt.

[Gavekort]

Da ville jeg laget et script som overvåker arp og ser om den kommer tilbake, og så snatcher nmap-info.

Det høres muligens litt avansert ut, men det er den eneste måte du kan finne det ut på, uten å gjette deg ihjel og anta hva det er.

 

Har du en virtuell maskin? Mac-addressen til "none" er private vendor. Det kan bety mange ting, slik som en spoofet mac. En ting bekrefter det, og det er at det ikke er en vanlig enhet som en ikke-spoofet datamaskin, router, NAS eller telefon.

[Emancipate]

Den der greia kom på lista of dhcp-klienter igjen, men rakk å logge seg av (tydeligvis), her er fra wireless clients list (altså er den trådløst):

Mac, status, received packets, sent packets:
00-BB-3A-F4-B9-58 Disconnected 419 300

svarte ikke på nmap eller ping, selvsagt. Merkelig så få pakker det var snakk om.

 

 

 

Det kan bety mange ting, slik som en spoofet mac.

Men da må jo vedkommende være en idiot som ikke velger en mer troverdig verdi?!?

Endret 8. september 2014 av Tåkelur