[ip] veel mensen die hem weten

[iivvvii]

Ik heb nog maar pas een server, en nog aan bijna niemand mijn ip adres gegeven om op de server te komen, maar toch zijn er in de 3 weken dat ik hem heb al 300 mensen op de index pagina gekomen. Weet iemand hoe deze mensen nou op mijn server terecht komen?

[Hoyden]

Gaat het om een FTP server incl. login

Mensen vertellen snel iets door hoor

Ok duidelijk..

Misschien vind een zoekmachine iets

[ Voor 36% gewijzigd door Hoyden op 16-02-2004 19:22 ]

[Hahn]

Wat voor een server is het, waar dient ie voor dus? Als het bijvoorbeeld een leuke warezserver is dan kan het zijn dat het vuurtje zich snel verspreidt

[Verwijderd]

Hij heeft het over een index pagina dus denk dat het dan een webserver is

[avon]

Je zou je ICMP kunnen uitzetten... heel wat mensen blijven continu portscannen...

[Polderdijk]

Misschien één of andere crawler ofzo

Als het goed is kan je alles in je logfile bekijken, ook vanaf welk IP het komt!

[Hahn]

Verwijderd schreef op 16 februari 2004 @ 19:22:
Hij heeft het over een index pagina dus denk dat het dan een webserver is

Ok, de warezserver valt dan misschien af, maar dat ie een indexpagina heeft zegt natuurlijk niks

[Verwijderd]

googlebot en co willen ook nog wel eens langskomen.

[JHS]

@ Malaria:

Geen 100x per week, zou ik zeggen...

Maar worden unieke bezoekers gemeten, of pagevieuws? Want als je nog een beetje devvt, en de pagina aan anderen laat zien, kan je best de 15 views per dag halen, want dat is het

[ Voor 25% gewijzigd door JHS op 16-02-2004 19:26 ]

[Polderdijk]

Verwijderd schreef op 16 februari 2004 @ 19:24:
googlebot en co willen ook nog wel eens langskomen.

Zowiezo komt googlebot alleen maar langs al heb je zelf je domeinnaam of IP opgegeven aan google, of er staat op een andere website een link naar jouw IP/site.

Aangezien hij 3 weken in de lucht is zal googlebot nog wel niet langs zijn geweest!

Maar logfiles zullen het laten zien

idontlikepizza schreef op 16 februari 2004 @ 19:25:
@ Malaria:

Geen 100x per week, zou ik zeggen...

Onee? Bij mij komt hij regelmatig elke nacht een stuk of 40 keer langs, de andere nacht maar 5 keer!

Mijn website is niet op veel website's gelinkt, heb je dat wel, (startpagina/marktplaats/etc.) dan krijg je zeker wel over de 100 keer google langs je site per dag!

[ Voor 33% gewijzigd door Polderdijk op 16-02-2004 19:27 ]

[JHS]

Polderdijk schreef op 16 februari 2004 @ 19:26:
[...]

Zowiezo komt googlebot alleen maar langs al heb je zelf je domeinnaam of IP opgegeven aan google, of er staat op een andere website een link naar jouw IP/site.

En dat laatste is best mogelijk, maar dat weet alleen de TS

[Verwijderd]

Vraag me af of het wel mensen zijn die contact maken.

Kan je niet eens in je logfile kijken waar ze vandaan komen? En kijk dan gelijk of ze nog meer hebben bekeken dan alleen de index.html

(Weet niet welke server je hebt, maar als het een apache is dan staat de acces.log hier: /var/log/apache )

[iivvvii]

code:

4.46.127.62 - - [16/Feb/2004:00:25:33 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
218.10.177.175 - - [16/Feb/2004:01:52:10 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
61.235.53.73 - - [16/Feb/2004:03:51:06 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
67.0.63.42 - - [16/Feb/2004:03:52:56 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
218.144.184.33 - - [16/Feb/2004:05:03:12 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
220.159.89.234 - - [16/Feb/2004:05:12:36 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
209.86.73.182 - - [16/Feb/2004:06:23:58 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
65.146.104.81 - - [16/Feb/2004:07:11:12 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
219.99.70.118 - - [16/Feb/2004:07:41:30 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
61.154.121.102 - - [16/Feb/2004:08:00:36 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
4.7.57.67 - - [16/Feb/2004:08:12:19 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
210.98.147.19 - - [16/Feb/2004:08:53:18 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
211.126.98.253 - - [16/Feb/2004:09:06:39 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
61.195.244.230 - - [16/Feb/2004:10:53:42 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
61.255.44.143 - - [16/Feb/2004:11:05:11 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
61.205.138.141 - - [16/Feb/2004:11:11:11 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
66.166.42.99 - - [16/Feb/2004:11:38:36 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
81.105.61.140 - - [16/Feb/2004:12:26:43 +0100] "CONNECT 1.3.3.7:1337 HTTP/1.0" 200 530 "-" "-"

211.169.161.45 - - [16/Feb/2004:16:52:30 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
147.46.128.148 - - [16/Feb/2004:16:52:30 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
218.175.121.14 - - [16/Feb/2004:17:14:09 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
209.214.44.162 - - [16/Feb/2004:17:30:54 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
218.172.138.65 - - [16/Feb/2004:17:52:44 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
83.154.57.120 - - [16/Feb/2004:18:03:17 +0100] "GET / HTTP/1.1" 200 530 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
62.131.211.44 - - [16/Feb/2004:18:06:35 +0100] "recipientid=101&sessionid=8108" 200 530 "-" "-"

62.194.95.26 - - [16/Feb/2004:19:14:11 +0100] "GET /default.ida?*enz.*a HTTP/1.0" 404 289 "-" "-"

Dit is een stuk van vandaag.

[EvilWhiteDragon]

bijzonder .... allemaal Mozilla

[Tux]

ThaKiller schreef op 16 februari 2004 @ 19:42:
bijzonder .... allemaal Mozilla

MSIE5.5 op Windows98 zie ik staan hoor

[addictive]

iptrace doen, kijken waar de users vandaan komen?

[Polderdijk]

Ik zou eerder denken aan een soort troyan ofzo, die iets probeerd uit te voeren op je PC. Uiteraard weet ik dit niet zeker maar ik zou op het moment geen verklaring voor durven zeggen!

[djexplo]

Pak whois en kijk wat van die ip-adressen na : http://centralops.net/co/DomainDossier.vbs.asp
Een aantal zijn van planet.nl (users) , Hmm 61. . . zijn ook cool dat is korea

Mischien heb je wel één of ander trojan draaien, waar meerdere mensen van gebruik maken ...

[ Voor 35% gewijzigd door djexplo op 16-02-2004 19:55 ]

[iivvvii]

djexplo schreef op 16 februari 2004 @ 19:53:
Mischien heb je wel één of ander trojan draaien, waar meerdere mensen van gebruik maken ...

Dus er zit misschien iets om mijn systeem? Hoe kan ik dat checken?

[iivvvii]

heb net norton laten draaien op de server, maar die heeft niets kunnen vinden.

[Icey]

CONNECT 1.3.3.7:1337 HTTP/1.0" 200 530
GET /default.ida?*enz.*a

hehe, niet echt iets erg denk ik, voornamelijk van die lame poortscan achtige practijken, scriptkidies die hopen dat je een onveilig systeem draaid. Ik neem aan dat je gewoon apache draaid ofzo.

Ik denk dat dit redelijk normaal is, indoen je niet vind dat er mensen op je website zouden moeten komen dan zou je moeten denken aan alle ip adressen weigeren, en enkel de ips van vrienden toegang laten geven.

[iivvvii]

AvOn schreef op 16 februari 2004 @ 19:22:
Je zou je ICMP kunnen uitzetten... heel wat mensen blijven continu portscannen...

Wat houd dat ICMP in, en waar zou ik dat uit kunnen schakelen?

[Ibex]

ICMP = Internet Control Message Protocol; wat inhoudt dat je pc reageert op paketten die hem zijn toegezonden. Je kan dus instellen dat je computer niet antwoord als iemand een pingrequest stuurt. Scriptkiddies die hele ip-ranges afspeuren zullen je server links laten liggen, aangezien je server er niet op reageert en dus "offline" lijkt voor hen.

Als ik even in de veronderstelling ga dat je de webserver op een Linux-bak draait zou de volgende handeling moeten volstaan:

code:

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

De 1 kan je veranderen naar 0 wanneer de server terug moet antwoorden op de pingrequests.
Ik heb het ff getest op mijn eigen, men maat kon me normaal pingen, maar nadat ik het bovenstaande commando als root uitvoerde, kreeg hij geen reactie meer wanneer hij mij pingde.

[ Voor 48% gewijzigd door Ibex op 17-02-2004 17:58 ]

[iivvvii]

Ibex schreef op 17 februari 2004 @ 17:42:
ICMP = Internet Control Message Protocol; wat inhoudt dat je pc reageert op paketten die hem zijn toegezonden. Je kan dus instellen dat je computer niet antwoord als iemand een pingrequest stuurt. Scriptkiddies die hele ip-ranges afspeuren zullen je server links laten liggen, aangezien je server er niet op reageert en dus "offline" lijkt voor hen.

Als ik even in de veronderstelling ga dat je de webserver op een Linux-bak draait zou de volgende handeling moeten volstaan:

code:

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

De 1 kan je veranderen naar 0 wanneer de server terug moet antwoorden op de pingrequests.

En met windows 2000, waar ik apache2.0 op draai?

[Ibex]

Geen id, sorry

[iivvvii]

weet niemand hoe dit kan, of moet dat in mijn router, die is van sweex.

[Koffie]

Mja, voornamelijk 404 en 530 error's

Die 404 komt door vage virusjes die je webserver scannen, en 530 is een authentication error.
Als jij nix bijzonders op die site hebt staan zou ik me nergens zorgen om maken.
Grote kans dat het gewoon scanners, trojan en ander gespuis is wat ff komt kloppen bij je.

[JohnR]

Ibex schreef op 17 februari 2004 @ 17:42:
ICMP = Internet Control Message Protocol; wat inhoudt dat je pc reageert op paketten die hem zijn toegezonden.

Dit is wel heel erg kort door de bocht. Als je een webserver draait reageert ie ook op pakketen. ICMP loopt over UDP en kan veel interessante diagnostische informatie bieden

Ibex schreef op 17 februari 2004 @ 17:42:
Je kan dus instellen dat je computer niet antwoord als iemand een pingrequest stuurt. Scriptkiddies die hele ip-ranges afspeuren zullen je server links laten liggen, aangezien je server er niet op reageert en dus "offline" lijkt voor hen.

Wat je zelf doet moet je zelf weten maar ICMP heeft nut. Het is echt niet zo dat ICMP compleet waardeloos is. In de RFC's is duidelijk beschreven dat iedere Internet-host een ICMP-reply hoort te geven na een request. Uitgesloten hiervan zijn enkel verzoeken die naar een broadcast-adres gaan. Volgende keer eerst even 2 keer denken voor je mensen adviezen geeft dus.

[Koffie]

Kijk nog eens goed naar de replys en dus het niveau (NOFI) van de topicstarter.

Volgende keer eerst even 2 keer denken voor je mensen totaal overloaded maakt met technisch blabla waar ze geen ruk aan hebben.

[avon]

iivvvii schreef op 17 februari 2004 @ 17:57:
[...]


En met windows 2000, waar ik apache2.0 op draai?

Dit is mogelijk door bijvoorbeeld alleen poort 80 te gaan mappen ipv alle poorten;
neem tenminste aan dat je de sweex router gebruikt in combinatie met een port
forwarding naar je "webserver".

Wat je zelf doet moet je zelf weten maar ICMP heeft nut. Het is echt niet zo dat ICMP compleet waardeloos is. In de RFC's is duidelijk beschreven dat iedere Internet-host een ICMP-reply hoort te geven na een request. Uitgesloten hiervan zijn enkel verzoeken die naar een broadcast-adres gaan. Volgende keer eerst even 2 keer denken voor je mensen adviezen geeft dus.

Leuk verhaal hoor, maar zelf heb ik mijn ICMP al een tijd dichtstaan, en ik heb
nooit een probleem van "gebruikers" gehoord. (maar wel het feit dat mijn log file's
500 % kleiner zijn!)

[ Voor 45% gewijzigd door avon op 19-02-2004 23:34 ]

[Verwijderd]

Koffie schreef op 19 februari 2004 @ 15:38:
Kijk nog eens goed naar de replys en dus het niveau (NOFI) van de topicstarter.

Volgende keer eerst even 2 keer denken voor je mensen totaal overloaded maakt met technisch blabla waar ze geen ruk aan hebben.

Ach, misschien is die "technisch blabla" precies de prikkel die nodig is om er meer over te weten willen komen. En voorzover ik kan zien wordt er alleen een mening gegeven en niets opgelegd.

Ik krijg zelf liever te veel info dan te weinig, wat ik niet snap kan ik altijd nog laten liggen als ik te beroerd ben het uit te zoeken of het na te vragen. Of als het echt te moeilijk is. Zo stimuleer je ook mensen verder te leren.

Met een nix mee doen, zet uit en gooi weg wordt je iig niet wijzer. Ook al doe je het, dan is het handig om te weten dat er meer mee is.

http://people.zeelandnet.nl/westerveld/ip/icmp.html

[Verwijderd]

AvOn schreef op 19 februari 2004 @ 23:32:
[...]

Leuk verhaal hoor, maar zelf heb ik mijn ICMP al een tijd dichtstaan, en ik heb
nooit een probleem van "gebruikers" gehoord. (maar wel het feit dat mijn log file's
500 % kleiner zijn!)

Lucky you. Niet dat ik een expert op dit gebied ben of op welk gebied dan ook, maar op het werk hoorde ik toch vaak klachten van mensen die "opeens" hun bSMTP mail niet meer binnen kregen. En vaak kwam dat doordat ze ICMP op een lelijke manier geblocked hadden, waardoor hun mailserver niet binnen een redelijke tijd (8 sec. oid) reageerde met een Hoi, hier ben ik. En na 12 secs hoeft het al niet meer...

<edit> Ja, ik weet dat het niet over mail ging </edit>

[ Voor 7% gewijzigd door Verwijderd op 20-02-2004 01:14 ]

[avon]

Verwijderd schreef op 20 februari 2004 @ 01:08:
[...]


Lucky you. Niet dat ik een expert op dit gebied ben of op welk gebied dan ook, maar op het werk hoorde ik toch vaak klachten van mensen die "opeens" hun bSMTP mail niet meer binnen kregen. En vaak kwam dat doordat ze ICMP op een lelijke manier geblocked hadden, waardoor hun mailserver niet binnen een redelijke tijd (8 sec. oid) reageerde met een Hoi, hier ben ik. En na 12 secs hoeft het al niet meer...

<edit> Ja, ik weet dat het niet over mail ging </edit>

Okay ook een punt voor jouw hierbij ... Maar voor een simpele webserver
kan ik het iedereen aanraden; veel scanner tooltjes voeren namelijk eerst die
ICMP uit, daarna komen ze met een hele opsomming van standaard truukjes.

AvOn kijkt net is in zijn firewall log en ziet 4500 gedropte ICMP & UPD regeltjes
voor gisteren. Binnen 10 seconden 18 drops; wat is het internet toch een zooitje

code:

2004-02-20 09:12:23 DROP ICMP 216.73.86.230 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:23 DROP ICMP 212.0.126.130 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:23 DROP ICMP 212.62.17.145 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:23 DROP ICMP 4.78.20.2 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:23 DROP ICMP 64.14.117.10 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:23 DROP ICMP 65.169.170.131 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:23 DROP ICMP 205.158.108.194 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:23 DROP ICMP 208.185.54.14 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:23 DROP ICMP 202.160.241.130 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 216.73.86.230 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 212.0.126.130 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 4.78.20.2 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 212.62.17.145 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 64.14.117.10 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 65.169.170.131 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 205.158.108.194 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 208.185.54.14 145.53.102.206 - - 84 - - - - 8 0 -
2004-02-20 09:12:33 DROP ICMP 202.160.241.130 145.53.102.206 - - 84 - - - - 8 0 -

[Verwijderd]

AvOn schreef op 20 februari 2004 @ 09:19:
[...]


Okay ook een punt voor jouw hierbij ... Maar voor een simpele webserver
kan ik het iedereen aanraden; veel scanner tooltjes voeren namelijk eerst die
ICMP uit, daarna komen ze met een hele opsomming van standaard truukjes.

Mja, ik vindt het best, maar als je er voor kiest moet je ook weten waarom wel en niet

[knip]wat is het internet toch een zooitje

Ik noem dat charme

[NightBird]

AvOn schreef op 16 februari 2004 @ 19:22:
Je zou je ICMP kunnen uitzetten... heel wat mensen blijven continu portscannen...

uhuh!
mijn ICMP poorten worden ook continu gescand ..

[NightBird]

Koffie schreef op 19 februari 2004 @ 12:59:
Mja, voornamelijk 404 en 530 error's

Die 404 komt door vage virusjes die je webserver scannen, en 530 is een authentication error.
Als jij nix bijzonders op die site hebt staan zou ik me nergens zorgen om maken.
Grote kans dat het gewoon scanners, trojan en ander gespuis is wat ff komt kloppen bij je.

Misschien moet je even opletten voor je wat post
Van de 24 logregels is er maar 1 een 404 error, en 23 gewoon 200 - OK. Dus nix geen '530 Authentication error', wat trouwens niet eens bestaat ...

[supergert]

iivvvii schreef op 17 februari 2004 @ 17:57:
En met windows 2000, waar ik apache2.0 op draai?

Niet mogelijk, lees maar even... http://www.jsiinc.com/SUBL/tip5700/rh5799.htm

Uit die pagina: "Note that you cannot block ICMP messages"

[avon]

Verwijderd schreef op 20 februari 2004 @ 13:22:
[...]
Mja, ik vindt het best, maar als je er voor kiest moet je ook weten waarom wel en niet
[...]
Ik noem dat charme

Hmz, Charme offensief zou je bijna kunnen zeggen... Zal is wat statistieken
gaan berekenen aan de hand van mijn firewall log; volgens mij is het meer
dan 1 portscan per seconde.. en dan te rekenen over een heel jaar

Niet mogelijk, lees maar even... http://www.jsiinc.com/SUBL/tip5700/rh5799.htm

Uit die pagina: "Note that you cannot block ICMP messages"

Wat levert het in de praktijk voor nadelen op ?

NightBird schreef op 20 februari 2004 @ 13:45:
[...]

Misschien moet je even opletten voor je wat post
Van de 24 logregels is er maar 1 een 404 error, en 23 gewoon 200 - OK. Dus nix geen '530 Authentication error', wat trouwens niet eens bestaat ...

Je hebt gelijk!... Lol

[ Voor 38% gewijzigd door avon op 20-02-2004 17:15 ]

[Hydra]

NightBird schreef op 20 februari 2004 @ 13:34:
uhuh!
mijn ICMP poorten worden ook continu gescand ..

*grin*

[Polyphemus]

Icey schreef op 16 februari 2004 @ 20:34:
CONNECT 1.3.3.7:1337 HTTP/1.0" 200 530
GET /default.ida?*enz.*a

hehe, niet echt iets erg denk ik, voornamelijk van die lame poortscan achtige practijken, scriptkidies die hopen dat je een onveilig systeem draaid. Ik neem aan dat je gewoon apache draaid ofzo.

Ik denk dat dit redelijk normaal is, indoen je niet vind dat er mensen op je website zouden moeten komen dan zou je moeten denken aan alle ip adressen weigeren, en enkel de ips van vrienden toegang laten geven.

Is dit niet toevallig een poging van het Nimda virus om de webserver te besmetten? Ik meen het aan de GET /default.ida blabla te herkennen...