TRAFFIC לא ברור בשרת שלי

[oferlaor]

יש לי שרת W2003 שאני רואה שהוא עושה TRAFFIC ברשת ולא ממש ברור לי מול מי.

אני לפעמים תופס אותו עם 1M (אני רואה את זה דרך TASK MANAGER)

TCPVIEW לא מראה לי חיבורים פתוחים וגם הראוטר שלי לא רואה CIRCUITS פתוחים.

יתכן שזה נעשה דרך UDP.

אני חושש מ-ROOTKIT או משהו כזה. איך אני בודק?

סגרתי מלא SERVICES שחששתי שהם האחראיים לזה (כמו AUTOMATIC UPDATES וכו').

איך אני בודק מה ה-PROCESS שמנצל את הרשת?

[Nunatak]

תנסה את Netlimiter.

[nir11]

תתקין WIRESHARK ותעשה SNIFFING לרשת בזמן שיש את ה TRAFFIC החשוד הזה. אתה תוכל לראות מאיפה לאיפה הולכות הפקטות, וגם לאיזה פורט. זה יתן לך רמז די עבה לגבי איזה אפליקציה עושה את זה.

[geblig]

netstat לא יעזור ?

[Eyal_W]

Netlimiter הוא יופי של פתרון (אם כי אני לא סגור שהוא יעבוד על 2003 )
פתרון נוסף הוא להשתמש בכלים לש SYSINTENALS (מייקרוסופט ) TCP VIEW .

[ufffnick]

גם אני ממליץ על: http://www.wireshark.org/
גיליתי אותו כשעברתי אל מערכות הפעלה של לינוקס,
אבל יש לו גם קובץ התקנה לחלונות.

[oferlaor]

Tcpview=netstat

שניהם לדעתי לא מכסים udp

[geblig]

עופר,

Parameters
Parameters used with this command must be prefixed with a hyphen (-) rather than a slash (/).

-a : Displays all active TCP connections and the TCP and UDP ports on which the computer is listening.

[michael123]

וגם אני ממליץ על WireShark (לשעבר Ethereal)

[Shed]

עופר,

Parameters
Parameters used with this command must be prefixed with a hyphen (-) rather than a slash (/).

-a : Displays all active TCP connections and the TCP and UDP ports on which the computer is listening.

...

זה יגלה אך ורק פורטים ב0-UDP שהמחשב מאזין להם. תעבורת UDP יוצאת מהמחשב לא תיראה ב-netstat. אני יכול לשלוח את כל התוכן של הדיסק ב-UDP לשרת בסין ו-netstat לא יראה כלום.

אני לא ממליץ על wireshark, רק על ethereal .
ודרך אגב, ההמלצה שלי היא להריץ את ethereal על מחשב אחר המחובר ל-HUB (לא switch) אשר אליו יחובר גם השרת שאותו רוצים לבדוק.

[nir11]

אין צורך לחבר ל HUB, ממילא ניראה על המשרת את התקשורות בשני הכיוונים. HUB יתן לך את כל הרשת, וזה רק יעשה רעש שממילא תצטרך לפלטר אותו החוצה.
אני גם רוצה לציים שWIRESHARK עדיף בהרבה על ETHREAL

[oferlaor]

שמתי לב שאם אני סוגר את ה-SERVICE של DHCP CLIENT, ה-TRAFFIC המסתורי יורד.

וירוס?

[nir11]

המחשב הזה מקבל טרפיק ב 1M, או שולח ב 1M?

[michael123]

שמתי לב שאם אני סוגר את ה-SERVICE של DHCP CLIENT, ה-TRAFFIC המסתורי יורד.

וירוס?

...

restart מן הסתם לא עוזר?
(גם לשרת DHCP..)

[nir11]

שמתי לב שאם אני סוגר את ה-SERVICE של DHCP CLIENT, ה-TRAFFIC המסתורי יורד.

וירוס?

...

תחושת הבטן שלי אומרת לי שאולי יש לך מעגל ברשת. מעגל כזה יבוא ביטוי כיש רבה BROADCAST, וזה מה שקורה כש DHCP CLIENT עולה.
שווה לבדוק.

[Shed]

אין צורך לחבר ל HUB, ממילא ניראה על המשרת את התקשורות בשני הכיוונים. HUB יתן לך את כל הרשת, וזה רק יעשה רעש שממילא תצטרך לפלטר אותו החוצה.
אני גם רוצה לציים שWIRESHARK עדיף בהרבה על ETHREAL

...

אני דווקא חוזר ואומר שכן יש צורך לנטר את התעבורה דרך מחשב צד שלישי ולא על ידי תהליך שרץ על גבי המחשב החשוד.
הסיבה היא פשוטה: אם אני האקר שרוצה לתקוף את עופר (או כל אחד אחר) הפעולות הראשונות שאני עושה נוגעות ב-tcp stack של המערכת על מנת:
1. למנוע עדכון של כל תוכנות האנטי וירוס.
2. ביצוע redirect והתקפת MIDM בעת העדכון הבא של תוכנת האנטי וירוס, ובכך להחליף את האנטי וירוס שרץ כרגע בקוד שלי.
3. שינוי של packet.dll - שלא יאפשר העלאה של פאקטים "שלי" - בכך אני חוסם אפשרות נורמלית לבצע סניפינג ולמצוא את התעבורה שלי.
את סעיפים 4,5 ו-6 אני מצנזר כאן.

בצורה כזו, אם אני רוצה להעתיק את התוכן של השרת של עופר, אפילו אם הוא ישתמש ב-ethereal הוא לא יראה את התעבורה הזו ואת היעדים שלה (ברור שהיא לא תישלח ליעד אחד בלבד).
שימוש ב-HUB לא יכניס יותר רעש, אפשר בחצי שנייה לפלטר את מה שרוצים. בכל מקרה,עדיף שתהיה תמונת מצב של כל מה שקורה ברשת ולפלטר את מה שלא רוצים מאשר מצב הפוך: תמונת מצב חסרה.

[nir11]

ריבונו של עולם, שקודם ינסה את הדברים הפשוטים, הסיכוי שכל מה שאתה מדבר עליו קרה, נמוך מאוד.

[oferlaor]

את הדברים הפשוטים כמר מיציתי.

יש לראוטר שלי יכולות sniffing שעדיין לא ניסיתי. נמתין לעוד מקרה כזה וננסה.

[Chura]

עם השרת לא משמש שDHCP SERVER, מה ההתעסקות ? כבה וזהו