DoS ? eller noe galt med nettet?

[Sneiper]

Hei hei... er ikke spesielt flink med router logs osv osv. Har søkt litt på nett, men fant ikke ut så fryktelig mye nyttig..

 

Problemet mitt dukket opp for bare noen få dager siden, satt å spilte WoW, og plutselig ble jeg disconnecta. logga inn igjen.. tok ikke lang tid, så var jeg ute igjen.. og det samme gang etter gang.. rekker å spille noen minutter.. så ut av gamet..

 

bare ved å titte litt rundt i ruteren, tenkte kanskje det var noe problem der, så kom jeg over ruter loggen, er halvveis data flink, og veit at evig mange ICMP connections kan bety at noen kanskje prober meg, evt utfører DoS angrep??

 

Legger ved en tekstfil, med innholdet i loggen.. kan noen titte og fortelle meg hva i h.... som foregår??

 

Mvh, Espen

 

PS: dato/tids forandringen i loggen der kommer av at jeg endret systemtid i ruteren, samtidig som jeg sjekket feilen..

Router_log.txt

[Dark Fire]

Nå er ikke jeg noen PC-expert, kan bare litt script-kiddie stuff, men det ser ut som at det er noen som port-scanner deg, og eventuelt DoS'r deg, ja.

Du ble kontaktet på veldig mange forskjellige porter, synes jeg, selv om det står blocked, er kanskje ikke ruteren din så veldig kraftig..?

Last ned og installer COMODO Firewall PRO.

 

Edit: det later til at du har kjørt en security scan på egen PC?

I følge denne, har den nevnte IP'n kontaktet deg, som tyder på at du selv har kjørt security-scannen, har et virus som har gjort det, eller så har denne siden en "external-scan"-feature, eller vedkommende har hacket seg på scanne-funksjonen for å kjøre external-scans med exploit (tvilsomt).

Endret 24. april 2008 av Mads15

[Sneiper]

kjørte den scannen der igår ja.. så det er godt mulig det er en stor prosjon av den loggen der som er relatert til den... men det skal legges til at jeg har tømt den loggen der mange ganger, grunnet at den var lang som bare fy... eneste hodet mitt tenkte da var at det i seg selv sikkert også kan få ting til å gå saktere, siden routeren trolig ikke har rare minnet å gå på..

 

og det jeg har sletta, er av den typen som jeg ikke har noe med.. jeg veit jeg ikke har gjort noe for å få side opp og side ned med icmp blocked.. jeg kan ihvertfall ikke se for meg at jeg skal ha noe med det å gjøre..

 

noen andre som har noen forslag?

 

legger ved en kopi av sånn loggen ser ut idag.. og idag har jeg ikke gjort NOE som helst annet enn å surfe helt normale sider, som vg etc.. og spilt wow..

ruter.txt

[Dark Fire]

Du har ikke gjort annet enn å surfe OG spille WoW?

Hva annet er det du har tenkt å gjøre..?

Last ned COMODO og bruk loggen dems istedenfor..

Den burde si ifra om du blir angrepet (den skal stå imot TCP, UDP og ICMP flood ihvertfall, og sier ifra om det oppstår en flood).

Om du fortsatt blir disconnected, har du et virus, ISP'n din har problemer, noe fysisk på maskinen din ikke er koblet ordentlig (LAN ledning er veldig krøllet, eller får ikke god kontakt med nettverkskortet), altså det kan være mange grunner..

[Sneiper]

Skal innstallere COMODO når jeg kommer meg hjem fra jobb jeg.. Sjekke hva den sier.. Men det skal igrunn ikke være noe som helst galt med hverken ene eller andre ledningen. Alt er koblet med ledning, men har samme problem dersom jeg kobler til med laptopen og trådløst.

 

Har ingen spesifikke agendaer annet enn vanlig internett bruk og evt litt gaming.

 

Men jeg skal også forsøke å ringe ISP, for å høre med de, om de kan sjekke at alt er i orden med linja og.. Men kan liksom ikke helt se for meg at det som står i loggen skulle kunne komme av en feil fra ISP sin side...?

 

Takk for hjelpen så langt hvertfall

[Ben-o]

Såvidt jeg kan se, blokkerer ruteren din _utgående_ ICMP-pakker fra noen på ditt nettverk, nærmere sagt 192.168.0.127. Skjekk om det er din IP, hvis dette er din IP ville jeg nok tatt en overhaling av maskinen din. Ser også at du har noen wireless-klienter som kobler seg av og på - tipper dette er kilden til problemet ditt.

 

Er 192.168.0.127 ikke din IP;

ping 192.168.0.127

arp -a

 

Assossierer windows 192.168.0.127 med MAC-adressen 00-1B-77-79-70-FD er det garantert en trådløs klient som lager trøbbel.

Endret 25. april 2008 av Ben-o

[Sneiper]

192.168.0.127 er den statiske adressen på den stasjonære maskinen. Vista fresh install for ca 1 mnd siden. Og ja, den blokker utgående ICMP, men som regel så kommer det i etterkant av en lang rekke inngående.

Hva gjør arp -a kommandoen?

[Dark Fire]

Assossierer windows 192.168.0.127 med MAC-adressen 00-1B-77-79-70-FD er det garantert en trådløs klient som lager trøbbel.

Ahh, geniet har ikke kryptert tilkoblingen ><

*War driver forbi huset til Sneiper*

 

@Sneiper

ARP.

Skaff deg kryptering, og helst ikke WEP eller WPA, disse to er usikre, og kan lett bli cracket av Blackhats/Script Kiddies/n00bs som meg ;>

Endret 26. april 2008 av Mads15

[Sneiper]

hehe.. fønni!

 

men hva foreslår du at jeg bruker til kryptering da? trodde wpa2 var ganske safe jeg..

 

og kan det ha noe med alle tilfellene av icmp blocks i loggen å gjøre?

[StormKnight]

Bruk WPA2, finnes ikke noe annet reellt alternativ. Men du bør også aktivere MAC filtrering. Legg inn de MAC adressene som skal ha tilgang til det trådløse nettet.

 

Du bør også kjøre et søk etter virus/spyware etc... jeg likte ikke helt at pcen din sender ut så mange ping mot forskjellige adresser. Det er ikke normalt

Endret 26. april 2008 av StormKnight

[Knopfix]

Ahh, geniet har ikke kryptert tilkoblingen ><

*War driver forbi huset til Sneiper*

 

@Sneiper

ARP.

Skaff deg kryptering, og helst ikke WEP eller WPA, disse to er usikre, og kan lett bli cracket av Blackhats/Script Kiddies/n00bs som meg ;>

 

Dette er ikke fra noen WAR driver.Det er ikke mulig å pinge hans 192.168.x.x nettverk uten å være i samme nett noe som du gjør som wardriver da du ikke er tilkoblet Internet men hacker deg inn på et nett.Pingen kommer fra Internet med andre ord og ikke utenfor huset.

ICMP brukes til mye rart i nettverks kommunikasjon og den ping type ruteren stopper er type 3 som betyr destination unreachable.

Ganske uskyldig ser det ut til.De kommer fra mange forkjellige IP addresser.hadde det vært fra samme IP over lang til ville det vært større grunn til å reagere.

Så brannmuren din blokkerer svaret "destination unreachable" til den som sender ping requesten.

Endret 30. april 2008 av Knopfix