全球主机交流论坛

标题: Linode发现有来之波兰的频繁访问。大家遇到过类似问题没？ [打印本页]

作者: geminijun 时间: 2010-7-18 20:50
标题: Linode发现有来之波兰的频繁访问。大家遇到过类似问题没？
之前因为对外流量过大发过一贴，http://443502.xyz/thread-23308-1-2.html

后来与linode客服交流，自己用tcpdump查了一下，发现有来自aerh186.neoplus.adsl.tpnet.pl的频繁访问。
17:59:00.182412 IP aerh186.neoplus.adsl.tpnet.pl.51188 > li137-181.members.linode.com.57216: Flags [.], ack 3193021, win 65335, length 0
17:59:00.188205 IP aerh186.neoplus.adsl.tpnet.pl.51188 > li137-181.members.linode.com.57216: Flags [P.], seq 2944:2948, ack 3194481, win 65335, length 4

很奇怪怎么会有来自这里的访问，而且还是端口57216，那么就不是来自web服务的访问了？57216这个端口是干嘛用的？

linode的回复如下：
Thank you for contacting us. I looked up that host and it appears to be a customer of "NEOSTRADA-ADSL" in Poland. If this is not traffic that you want, I recommend that you block that IP using 'iptables' and then report it to [email protected].

Please let us know if you have any further questions.

自己查了一下，用”iptables -I INPUT -s aerh186.neoplus.adsl.tpnet.pl -j DROP“命令行希望能阻止它。

god bless me，希望不要继续出岔子。。。

作者: geminijun 时间: 2010-7-18 22:03
刚刚用netstat -a得到如下结果：

tcp       0 168672 li137-181.members:42515 ppp-115-87-207-12:10308 ESTABLISHED
tcp       0 155364 li137-181.members:53124 dslb-188-098-100-2:1025 ESTABLISHED
tcp       0    0 li137-181.members:33450 173.208.151.65:9000    ESTABLISHED
tcp       0 138700 li137-181.members:43157 bzq-84-109-58-7.re:1025 ESTABLISHED
tcp       0 124584 li137-181.members:58684 adsl-76-214-159-18:1024 ESTABLISHED
tcp       0 146652 li137-181.members:44562 adsl-69-235-92-186:1024 ESTABLISHED

这些连接都是些干什么的？连的怎么都是我linode上奇怪的端口？

作者: won.cc 时间: 2010-7-18 22:04
可以写一篇博客，标题为波兰来客。

作者: 杯具 时间: 2010-7-18 22:21
把那个段直接封了就行。客服已经告诉你了啊。

作者: geminijun 时间: 2010-7-18 23:01

原帖由杯具于 2010-7-18 22:21 发表
把那个段直接封了就行。客服已经告诉你了啊。

恩，我已经封了，但是貌似还有其他奇怪的链接，见2楼netstat -a的结果。

和客服交流了下，把那些奇怪的端口也都封了。

怕就怕封了这个ＩＰ，又来新的，封了这个端口，又有新的端口被用。

就没有人碰到类似的问题吗？就我这么倒霉。。。哭~

作者: geminijun 时间: 2010-7-18 23:08

原帖由 geminijun 于 2010-7-18 22:03 发表
刚刚用netstat -a得到如下结果：

tcp       0 168672 li137-181.members:42515 ppp-115-87-207-12:10308 ESTABLISHED
tcp       0 155364 li137-181.members:53124 dslb-188-098-100-2:1025 ESTABLISHED
tcp       ...

刚刚关掉那些奇怪端口的访问，又来了新的，要死了，这些都是干啥的啊？

tcp 0 143788 li137-181.members:34245 host135.natpool.mw:1024 ESTABLISHED
tcp 0 0 li137-181.members.l:www ool-43523a4b.dyn.:50811 TIME_WAIT
tcp 0 0 li137-181.members.l:www ool-43523a4b.dyn.:50808 TIME_WAIT
tcp 0 0 li137-181.members.l:www ool-43523a4b.dyn.:50810 TIME_WAIT
tcp 0 0 li137-181.members.l:www ool-43523a4b.dyn.:50812 TIME_WAIT
tcp 0 0 li137-181.members:44798 31337.31337.31337.:ircd ESTABLISHED
tcp 0 0 li137-181.members.l:www ool-43523a4b.dyn.:50809 TIME_WAIT
tcp 0 0 li137-181.members.l:www ool-43523a4b.dyn.:50815 TIME_WAIT
tcp 0 224 li137-181.members.l:ssh 59.174.82.48:19327 ESTABLISHED

www和ssh都是正常的，可34245和44798？而且host135.natpool.mw和31337.31337.31337.:ircd都是些什么地方的地址啊？

作者: 酥油茶 时间: 2010-7-18 23:14
有什么冗余发现没？

作者: geminijun 时间: 2010-7-18 23:27

原帖由 酥油茶 于 2010-7-18 23:14 发表
有什么冗余发现没？

你指的啥发现？我刚刚用"netstat -a"发现了这个:
tcp 0 0 li137-181.members.l:ssh net99-118.4web.pl:44186 ESTABLISHED
tcp 0 48 li137-181.members.l:ssh 59.174.81.7:10340 ESTABLISHED
tcp 0 0 li137-181.members.l:ssh 59.174.82.48:19327 ESTABLISHED

后面两个都是我的，net99-118.4web.pl这是哪来的？看后缀又是波兰的？
但是我用last命令却没有查到这个地址的登陆，这又是怎么会是？
root pts/0 59.174.81.7 Sun Jul 18 23:17 still logged in
root pts/1 59.174.82.48 Sun Jul 18 21:23 still logged in
root pts/1 59.174.82.48 Sun Jul 18 21:14 - 21:22 (00:07)

我今天才改的ＳＳＨ的密码啊，还是很复杂的一个，难道被破解攻击了？oh my god!~

作者: Globalization 时间: 2010-7-18 23:28
实际登陆地点不是博览的

作者: cicilee 时间: 2010-7-18 23:32
据说波澜黑客比较黑

作者: geminijun 时间: 2010-7-19 00:15
标题: 回复 9# 的帖子
linode客服说确实有人尝试攻击，建议我用fail2ban。。。

作者: cpuer 时间: 2010-7-19 07:40
波兰的adsl用户，非正常访客的话，禁止IP

作者: geminijun 时间: 2010-7-19 23:29
标题: 回复 12# 的帖子
恩，把那个ＩＰ禁了，但是还是有不知名ＩＰ链接我奇怪的端口使得我的linode不停对外发送数据包，不得已把所有端口的访问也禁掉了，只留了ssh和http，现在的问题是我打开了20和21号口，却还是用不了ＦＴＰ。。。

作者: solar 时间: 2010-7-19 23:36
LZ的网站太强了，被人盯上了

欢迎光临全球主机交流论坛 (https://443502.xyz/)