Onderwerp: is dit een aanval en welke is het?

Hallo,

sinds paar dagen doet mijn webserver raar soms is die breikbaar en soms niet. ik ben beetje gaan lezen en vond het command netstat -tupn en voerde het uit wanneer mijn server niet bereikbaar was. met ssh is die altijd bereikbaar. dit is het resultaat:


tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4039 TIME_WAIT -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:3782 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4033 TIME_WAIT -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4288 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:2496 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:1731 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4035 TIME_WAIT -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4034 TIME_WAIT -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:1789 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:1535 TIME_WAIT -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4351 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4350 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4345 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:3320 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:1524 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:3316 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:4084 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:1526 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:1521 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:1520 ESTABLISHED -
tcp 0 0 ::ffff:82.94.242.210:80 ::ffff:81.213.104.33:3312 ESTABLISHED -


ik heb het verkort geplakt het is een hele lange lijst, dit moet een aanval zijn maar om welke aanval gaat het hier?? is het ddos of syn flood en hoe los ik dit op...

server draait op fedora3, apache

alvast bedankt.

Ziet er eerder uit als een portscan, weinig boeiends dus..


Als het echt een DDoS attack was zat je hier niet hoor

hoi Triloxigen ik kan me niet voorstellen dat een portscan een server plat kan leggen??

Origineel geplaatst door ruzan
hoi Triloxigen ik kan me niet voorstellen dat een portscan een server plat kan leggen??

Volgens mij kan een portscan de server "niet" offline krijgen, als het tenminste een degelijke server is.

Als je een firewall hebt, kun je eventueel dat IP adres toevoegen. Let er wel op dat je van te voren even kijkt van waar dat IP adres komt.

het is een P4 server met 1024 DDR ram

Zenda wat bedoel je met van waar dat ip adres komt ?

dit is de boosdoener 81.213.104.33

Als dat IP adres van een thuisadres komt, kun je het gerust toevoegen aan de Firewall. Als het IP adres afkomstig is van een groot bedrijf etc. dan betekend het dat al die mensen geen toegang meer kunnen krijgen tot jouw server. Ik weet niet of je dat wilt.

Als deze portscan niet meer aan de gang is, zou ik er geen aandacht meer aan schenken.

hij is al bijna een week aan de gang

een whois query levert :

inetnum: 81.213.96.0 - 81.213.107.255
netname: TurkTelekom
descr: ADSL-ALC-Atakoy-Dynamic Pool
country: tr
admin-c: TTBA1-RIPE
tech-c: TTBA1-RIPE
status: ASSIGNED PA
mnt-by: as9121-mnt
source: RIPE

ik heb geschreven naar bovenstaande provider maar niets vernomen...


Trace query loopt dood...

Portscan of DDoS maakt weinig uit, zijn beide requests..
Gooi het IP gewoon in de firewall..

Voor een enkel onbekend IP is het niet eens de moeite om te kijken van wie het is.

ip staat al in de iptables nu is het rustig het wordt afwachten

Ter informatie: in het geval van een syn flood is de state van alle verbinding veroorzaakt door de aanvaller SYN_RCVD. Bij een ddos is de state vaak ESTABLISHED (mogelijk ook een van de FIN states, maar dan is de ddos het minder effectief omdat je server al snel weer door heeft dat hij de socket moet afbreken).

Is dit niet gewoon iemand die een webpagina bezoekt met meerdere simultane sessies? Er wordt immers geconnect op poort 80...

unexplained dit is een verkorte lijst ik heb het niet geteld maar het waren er zeker meer dan 500 verbindingen van een ip-adres.
ik begrijp ook niet hoe het kan maar ja je zou ook niet kunnen weten hoveel pc's achter een ip zou zitten. door deze verbindingen was mijn server met de browser onbereikbaar... probleem is opgelost door een script. mocht er meer dan 40 verbindingen van een ip komen dan wordt automatich het geblokkeerd.

Iemand uit turkey vind je site kennelijk interesand

of is een deftige mirror aan het aanleggen :-)

Origineel geplaatst door scorp
of is een deftige mirror aan het aanleggen :-)

humm?? is dat een spiegel )

kan jij meer hierover vertellen het klinkt interresant...