cette machine envoie des paquets UDP sans arret ! C'est quoi cette becane inconnue ? Que fait la police :-) ? FB Dec 1 15:27:50 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=292 TOS=0x18 PREC=0x00 TTL=254 ID=371 PROTO=UDP SPT=5353 DPT=5353 LEN=272 Dec 1 15:27:59 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=376 PROTO=UDP SPT=49806 DPT=52325 LEN=90 Dec 1 15:28:01 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=377 PROTO=UDP SPT=49807 DPT=52325 LEN=90 Dec 1 15:28:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=378 PROTO=UDP SPT=49808 DPT=52368 LEN=90 Dec 1 15:28:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=379 PROTO=UDP SPT=49809 DPT=52371 LEN=98 Dec 1 15:28:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=398 PROTO=UDP SPT=49810 DPT=52368 LEN=90 Dec 1 15:28:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=399 PROTO=UDP SPT=49811 DPT=52371 LEN=98 Dec 1 15:28:27 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=400 PROTO=UDP SPT=49812 DPT=52377 LEN=90 Dec 1 15:28:35 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=401 PROTO=UDP SPT=49813 DPT=52377 LEN=90 Dec 1 15:30:43 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.1 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=437 PROTO=UDP SPT=49821 DPT=54384 LEN=98 Dec 1 15:30:45 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=292 TOS=0x18 PREC=0x00 TTL=254 ID=439 PROTO=UDP SPT=5353 DPT=5353 LEN=272 Dec 1 15:30:45 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.1 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=440 PROTO=UDP SPT=49823 DPT=54384 LEN=98 Dec 1 15:30:53 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=444 PROTO=UDP SPT=49824 DPT=50378 LEN=90 Dec 1 15:30:57 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=445 PROTO=UDP SPT=49825 DPT=50378 LEN=90 Dec 1 15:31:13 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=462 PROTO=UDP SPT=49826 DPT=50380 LEN=90 Dec 1 15:31:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=463 PROTO=UDP SPT=49827 DPT=50380 LEN=90 Dec 1 15:31:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=464 PROTO=UDP SPT=49828 DPT=50397 LEN=90 Dec 1 15:31:33 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=465 PROTO=UDP SPT=49829 DPT=50397 LEN=90
Une enquête rapide (grep 10.10.0.138 /var/log/maillog) montre qu'il s'agit sans doute de la machine de Philippe Dague. Je ne sais pas pourquoi elle utilise cet adresse, alors qu'elle devrait etre déclarée dans la BD et utiliser DHCP. 10.10.0.138 est dans la page IP fixe ! A part ça, nmap ne dit pas grand chose. Interesting ports on 10.10.0.138 (10.10.0.138): (The 1598 ports scanned but not shown below are in state: filtered) Port State Service 22/tcp open ssh 427/tcp open svrloc 548/tcp open afpovertcp No exact OS matches for host (test conditions non-ideal). Emmanuel On Wed, 2004-12-01 at 15:33, Franck Butelle wrote:
cette machine envoie des paquets UDP sans arret !
C'est quoi cette becane inconnue ?
Que fait la police :-) ?
FB
Dec 1 15:27:50 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=292 TOS=0x18 PREC=0x00 TTL=254 ID=371 PROTO=UDP SPT=5353 DPT=5353 LEN=272 Dec 1 15:27:59 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=376 PROTO=UDP SPT=49806 DPT=52325 LEN=90 Dec 1 15:28:01 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=377 PROTO=UDP SPT=49807 DPT=52325 LEN=90 Dec 1 15:28:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=378 PROTO=UDP SPT=49808 DPT=52368 LEN=90 Dec 1 15:28:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=379 PROTO=UDP SPT=49809 DPT=52371 LEN=98 Dec 1 15:28:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=398 PROTO=UDP SPT=49810 DPT=52368 LEN=90 Dec 1 15:28:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=399 PROTO=UDP SPT=49811 DPT=52371 LEN=98 Dec 1 15:28:27 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=400 PROTO=UDP SPT=49812 DPT=52377 LEN=90 Dec 1 15:28:35 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=401 PROTO=UDP SPT=49813 DPT=52377 LEN=90 Dec 1 15:30:43 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.1 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=437 PROTO=UDP SPT=49821 DPT=54384 LEN=98 Dec 1 15:30:45 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=292 TOS=0x18 PREC=0x00 TTL=254 ID=439 PROTO=UDP SPT=5353 DPT=5353 LEN=272 Dec 1 15:30:45 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.1 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=440 PROTO=UDP SPT=49823 DPT=54384 LEN=98 Dec 1 15:30:53 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=444 PROTO=UDP SPT=49824 DPT=50378 LEN=90 Dec 1 15:30:57 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=445 PROTO=UDP SPT=49825 DPT=50378 LEN=90 Dec 1 15:31:13 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=462 PROTO=UDP SPT=49826 DPT=50380 LEN=90 Dec 1 15:31:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=463 PROTO=UDP SPT=49827 DPT=50380 LEN=90 Dec 1 15:31:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=464 PROTO=UDP SPT=49828 DPT=50397 LEN=90 Dec 1 15:31:33 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=465 PROTO=UDP SPT=49829 DPT=50397 LEN=90
______________________________________________________________________ _______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://lipn.univ-paris13.fr/mailman/listinfo/systeme -- Emmanuel Viennet LIPN - Institut Galilee - Universite Paris-Nord
Elle est dans la BD (https://lipn.univ-paris13.fr/systeme/ListeMachines/CustomLists/info?machinei...) C'est donc la config sur le MAC qui est incorrecte et à corriger rapidement. Mais cela n'explique pas les flux UDP (virus ?) Emmanuel On Wed, 2004-12-01 at 15:48, Emmanuel Viennet wrote:
Une enquête rapide (grep 10.10.0.138 /var/log/maillog) montre qu'il s'agit sans doute de la machine de Philippe Dague.
Je ne sais pas pourquoi elle utilise cet adresse, alors qu'elle devrait etre déclarée dans la BD et utiliser DHCP.
10.10.0.138 est dans la page IP fixe !
A part ça, nmap ne dit pas grand chose.
Interesting ports on 10.10.0.138 (10.10.0.138): (The 1598 ports scanned but not shown below are in state: filtered) Port State Service 22/tcp open ssh 427/tcp open svrloc 548/tcp open afpovertcp No exact OS matches for host (test conditions non-ideal).
Emmanuel
On Wed, 2004-12-01 at 15:33, Franck Butelle wrote:
cette machine envoie des paquets UDP sans arret !
C'est quoi cette becane inconnue ?
Que fait la police :-) ?
FB
Dec 1 15:27:50 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=292 TOS=0x18 PREC=0x00 TTL=254 ID=371 PROTO=UDP SPT=5353 DPT=5353 LEN=272 Dec 1 15:27:59 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=376 PROTO=UDP SPT=49806 DPT=52325 LEN=90 Dec 1 15:28:01 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=377 PROTO=UDP SPT=49807 DPT=52325 LEN=90 Dec 1 15:28:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=378 PROTO=UDP SPT=49808 DPT=52368 LEN=90 Dec 1 15:28:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=379 PROTO=UDP SPT=49809 DPT=52371 LEN=98 Dec 1 15:28:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=398 PROTO=UDP SPT=49810 DPT=52368 LEN=90 Dec 1 15:28:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=399 PROTO=UDP SPT=49811 DPT=52371 LEN=98 Dec 1 15:28:27 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=400 PROTO=UDP SPT=49812 DPT=52377 LEN=90 Dec 1 15:28:35 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.218 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=401 PROTO=UDP SPT=49813 DPT=52377 LEN=90 Dec 1 15:30:43 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.1 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=437 PROTO=UDP SPT=49821 DPT=54384 LEN=98 Dec 1 15:30:45 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=292 TOS=0x18 PREC=0x00 TTL=254 ID=439 PROTO=UDP SPT=5353 DPT=5353 LEN=272 Dec 1 15:30:45 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.1 LEN=118 TOS=0x00 PREC=0x00 TTL=63 ID=440 PROTO=UDP SPT=49823 DPT=54384 LEN=98 Dec 1 15:30:53 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=444 PROTO=UDP SPT=49824 DPT=50378 LEN=90 Dec 1 15:30:57 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=445 PROTO=UDP SPT=49825 DPT=50378 LEN=90 Dec 1 15:31:13 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=462 PROTO=UDP SPT=49826 DPT=50380 LEN=90 Dec 1 15:31:17 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=463 PROTO=UDP SPT=49827 DPT=50380 LEN=90 Dec 1 15:31:25 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=464 PROTO=UDP SPT=49828 DPT=50397 LEN=90 Dec 1 15:31:33 fwlipn kernel: DROPIN=eth0 OUT=eth0 SRC=10.10.0.138 DST=10.10.1.120 LEN=110 TOS=0x00 PREC=0x00 TTL=63 ID=465 PROTO=UDP SPT=49829 DPT=50397 LEN=90
______________________________________________________________________ _______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://lipn.univ-paris13.fr/mailman/listinfo/systeme -- Emmanuel Viennet LIPN - Institut Galilee - Universite Paris-Nord
j'ai remis la machine de philippe en dhcp --> elle a pris l'adresse 10.10.1.113. J'avais fait un netstat avant, je le copie à tout hasard à la fin. F. Le 1 déc. 04, à 15:51, Emmanuel Viennet a écrit :
C'est donc la config sur le MAC qui est incorrecte et à corriger rapidement.
Mais cela n'explique pas les flux UDP (virus ?)
[10:~] philippe% netstat Active Internet connections Proto Recv-Q Send-Q Local Address Foreign Address (state) tcp4 0 0 10.10.0.138.49515 mail.lipn.univ-p.imaps ESTABLISHED tcp4 0 0 10.10.0.138.49510 mail.lipn.univ-p.imaps ESTABLISHED tcp4 0 0 10.10.0.138.49507 mail.lipn.univ-p.imaps ESTABLISHED tcp4 0 0 10.10.0.138.49499 mail.lipn.univ-p.imaps ESTABLISHED tcp4 0 0 localhost.49408 localhost.ipp CLOSE_WAIT tcp4 0 0 localhost.49407 localhost.ipp CLOSE_WAIT tcp4 0 0 10.10.0.138.49380 mail.lipn.univ-p.imaps ESTABLISHED tcp4 0 0 localhost.netinfo-loca localhost.909 ESTABLISHED tcp4 0 0 localhost.909 localhost.netinfo-loca ESTABLISHED udp4 0 0 *.rockwell-csp2 *.* udp4 0 0 *.* *.* udp4 0 0 *.svrloc *.* udp4 0 0 *.* *.* udp4 0 0 *.* *.* udp4 0 0 *.ipp *.* udp4 0 0 localhost.49158 localhost.1022 udp4 0 0 localhost.49157 localhost.1022 udp4 0 0 localhost.1022 *.* udp4 0 0 localhost.49155 localhost.1023 udp4 0 0 localhost.1023 *.* udp4 0 0 10.10.0.138.ntp *.* udp4 0 0 localhost.ntp *.* udp4 0 0 *.ntp *.* udp4 0 0 *.mdns *.* udp4 0 0 localhost.netinfo-loca *.* udp4 0 0 *.syslog *.* udp6 0 0 *.514 *.* Active LOCAL (UNIX) domain sockets Address Type Recv-Q Send-Q Inode Conn Refs Nextref Addr f6e348 stream 0 0 0 f6e428 0 0 f6e428 stream 0 0 0 f6e348 0 0 f6e4d0 stream 0 0 0 0 0 0 f6e508 stream 0 0 0 0 0 0 f6e540 stream 0 0 0 f6e578 0 0 f6e578 stream 0 0 0 f6e540 0 0 f6e5b0 stream 0 0 0 f6e5e8 0 0 f6e5e8 stream 0 0 0 f6e5b0 0 0 f6e658 stream 0 0 0 f6e690 0 0 f6e690 stream 0 0 0 f6e658 0 0 f6e6c8 stream 0 0 0 f6e770 0 0 f6e770 stream 0 0 0 f6e6c8 0 0 f6e738 stream 0 0 141bc80 0 0 0 /tmp/slp_ipc f6e7a8 stream 0 0 0 f6e7e0 0 0 f6e7e0 stream 0 0 0 f6e7a8 0 0 f6e850 stream 0 0 0 f6e818 0 0 f6e818 stream 0 0 0 f6e850 0 0 f6e888 stream 0 0 0 f6e8f8 0 0 f6e8f8 stream 0 0 0 f6e888 0 0 f6e930 stream 0 0 0 f6eaf0 0 0 f6eaf0 stream 0 0 0 f6e930 0 0 f6ea10 stream 0 0 0 f6e968 0 0 f6e968 stream 0 0 0 f6ea10 0 0 f6eb28 stream 0 0 0 f6ea48 0 0 /tmp/.com.symantec.APSock f6ea48 stream 0 0 0 f6eb28 0 0 f6eb98 stream 0 0 12d0d30 0 0 0 /tmp/.com.symantec.APSock f6edc8 stream 0 0 1222390 0 0 0 /var/run/pppconfd f6ec78 stream 0 0 11c5138 0 0 0 /var/run/mDNSResponder f6e498 dgram 0 0 0 f6efc0 0 f6e620 f6e620 dgram 0 0 0 f6efc0 0 f6e8c0 f6e700 dgram 0 0 0 f6ee00 f6ee00 0 f6ee00 dgram 0 0 0 f6e700 f6e700 0 f6e8c0 dgram 0 0 0 f6efc0 0 f6e9a0 f6e9a0 dgram 0 0 0 f6efc0 0 f6ed58 f6ed58 dgram 0 0 0 f6efc0 0 f6eab8 f6eab8 dgram 0 0 0 f6efc0 0 f6e9d8 f6e9d8 dgram 0 0 0 f6efc0 0 f6ea80 f6ea80 dgram 0 0 0 f6efc0 0 f6ebd0 f6ebd0 dgram 0 0 0 f6efc0 0 f6eb60 f6eb60 dgram 0 0 0 f6efc0 0 f6ed20 f6ed20 dgram 0 0 0 f6efc0 0 f6ef18 f6ef18 dgram 0 0 0 f6efc0 0 f6ed90 f6ed90 dgram 0 0 0 f6efc0 0 f6ece8 f6ece8 dgram 0 0 0 f6efc0 0 f6eea8 f6ec08 dgram 0 0 0 f6ec40 f6ec40 0 f6ec40 dgram 0 0 0 f6ec08 f6ec08 0 f6ecb0 dgram 0 0 0 f6eee0 f6eee0 0 f6eee0 dgram 0 0 0 f6ecb0 f6ecb0 0 f6eea8 dgram 0 0 0 f6efc0 0 f6ef88 f6ef88 dgram 0 0 0 f6efc0 0 f6ee38 f6ee38 dgram 0 0 0 f6efc0 0 f6ee70 f6ee70 dgram 0 0 0 f6efc0 0 f6ef50 f6ef50 dgram 0 0 0 f6efc0 0 0 f6efc0 dgram 0 0 fa6578 0 f6e498 0 /var/run/syslog
participants (3)
-
Emmanuel Viennet -
Franck Butelle -
François Lévy