ZoneAlarm og hacking?

[espenlind]

Etter å ha installert ZoneAlarm, får eg opp ein rar melding:

 

Protected

..blocked ... to your computer (ICMP Echo Reqest ('Ping')) from 192.168.1.34

 

Min data har 192.168.1.33 som er mottatt fra DHCP i ruteren. Den har DHCP-liste, og eg ser at den har tildelt min adresse til meg. Den har ikkje delt 192.168.1.34 til nokon (for den står ikkje i lista).

 

Likevel kommer det altså ping til meg, fra ...34??

 

Eg tar ping tilbake til ...34 og får svar.

 

Kan eg spora produsenten av mac-adressa?

 

Er det normalt å få ping fra LAN-adresser som ikkje er i bruk?

[dimdal]

Er det WLAN på routern? isåfall kan det være en som har sniki seg inn på nettverket ditt..

[espenlind]

Her er ingen trådløse ting, nei :s

 

Ruteren går inn i ein switch, og fra den går det til meg og ein annen datamaskin. Eg har sjekka MAC-adressene på dese to, men ping'et kom ikkje fra nokon av dei :-(

 

Kanskje det kom fra utsida av ruteren?

Hjelp...

[dimdal]

Kan hende noen har spoofa routern til å tro at de er en av de lokale pcene for å få en lokal IP ja... men mer veit ikke jeg.. vent til jeg er ferdig med utdannelsen så skal jeg svare..

[espenlind]

Har ikkje tid til å vente!

Eg har MAC-adressa så PING'et kom fra, og lurer på om eg kan slå opp kva for ein produsent denne er tildelt...

[kåre klut]

Who is!

 

Har du prøv denne?

 

Kjører selv ZA pro. Selv om de viser hvor forespørselen kommer fra er det ikke sikkert at det er den opprinnelige adressen

[dakri]

Har ikkje tid til å vente!

Eg har MAC-adressa så PING'et kom fra, og lurer på om eg kan slå opp kva for ein produsent denne er tildelt...

Det gjør du her:

http://www.coffer.com/mac_find/

[dakri]

Har ikkje tid til å vente!

Eg har MAC-adressa så PING'et kom fra, og lurer på om eg kan slå opp kva for ein produsent denne er tildelt...

Sammenlign MAC adressen på IP .34 med den som routeren din har og den datamaskinen din har.

[dakri]

Who is!

 

Har du prøv denne?

 

Kjører selv ZA pro. Selv om de viser hvor forespørselen kommer fra er det ikke sikkert at det er den opprinnelige adressen 

Stemmer, men det rare her er jo at IP adressen svarer på Ping. Det vil si at enten har maskinen eller routeren hans 2 IP adresser.

 

Moderne bredbåndsroutere har forresten også anti-spoofing filter som ikke slipper inn pakker på Wan porten som har source adresse som ligger i IP rangen som brukes internt.

[espenlind]

På http://www.coffer.com/mac_find/ fant eg at

 

   MAC Address
  Prefix         Vendor
  0008A1       CNet Technology Inc.

 

Den andre maskina er ein server og den hadde to nettverkskort. Denne maskina var satt opp med fast IP, men ved ein feil hadde begge nettverkskorta blitt patcha inn mot switchen.

 

Det andre NIC'et i serveren (som eg trudde at ikkje var i bruk) har då fått tildelt ...34-adressa, utan at DHCP-serverens tabell (i ruteren) er blitt oppdatert. Den sjekker eg igjen no, og der står bare ein DHCP-tildelt adresse der; min datamaskin (med ...33)

 

Ganske underleg at DHCP-serveren ikkje fortalte heile sanninga då...

 

"Syndaren" blei i alle fall funne, for NIC2 i serveren er CNet-kortet! :-)

 

Takker for god hjelp!

[espenlind]

FYI

 

Når eg tar

PING 192.168.1.34

..blir det ført opp ein ny rad i arp-tabellen. Denne kan eg lesa av med

ARP -A

Som seier kva MAC-adresse som er knytta mot kva IP. Dette var måten eg fann MAC-adressa til IP'en (bare den svara på ping'et mitt, så fann eg MAC-adressa).

 

Om du vi sletta ARP-tabellen før oppføringane time'er ut, kan du ta

ARP -D *

[Hoax]

Det er merkelig hvor mange som plutselig "Blir hacka" etter å ha installert ZA eller lignende

 

Dere må da skjønne at det har med konfigurasjon å gjøre i 99% av tilfellene.

skal dere rapportere "inntrengeren" kan det hende dere rapporterer internett leverandøren deres - Å huff det kommer data inn fra internett leverandøren sin IP

[Zamoht]

Det er merkelig hvor mange som plutselig "Blir hacka" etter å ha installert ZA eller lignende

 

Dere må da skjønne at det har med konfigurasjon å gjøre i 99% av tilfellene.

skal dere rapportere "inntrengeren" kan det hende dere rapporterer internett leverandøren deres - Å huff det kommer data inn fra internett leverandøren sin IP

Men i mange tilfeller er det virkelige angrep..

 

Satt og lekte litt med ethereal forrige uke, så oppdaget jeg at noen prøvde å logge på som administrator på maskinen min..

 

Sporet opp ipadressen til en i Hong Kong.

 

La inn Zonealarm etter det

[Br?stopp]

Prøv å kjør DENNE, og se hva resultatene blir.