ubuntu: ip addresses uit dmesg filteren

[Verwijderd]

Hallo, ik wil een lijst maken van IP addresses van servers die bij mij op port 3389 proberen RDP te brute forcen.

als ik het volgende run:

dmesg | grep 3389

krijg ik het volgende:

[68502.112641] Inbound IN=eth0 OUT= MAC=00:1a:4d:4c:bd:92:00:1a:70:79:94:d9:08:00 SRC=123.183.213.201 DST=192.168.16.205 LEN=40 TOS=0x00 PREC=0x00 TTL=97 ID=256 PROTO=TCP SPT=6000 DPT=3389 WINDOW=16384 RES=0x00 SYN URGP=0

Nu wil ik alleen de SRC waarde hebben (dus 123.183.213.201 in dit geval)

Hoe haal ik dit eruit?

[Verwijderd]

dmesg | fgrep 3389 | awk '{print $6}' | cut -d'=' -f2

Maar je bent bezig met schijnveiligheid.

[Semyon]

of:

dmesg | fgrep 3389 | cut -d\   -f 6

als je de src er bij wilt, of -5 voor de mac.

of

 cut -d\  -f 6 | cut -d= -f 2

als je dat weg wilt.


Maar geen idee wat je precies ermee wilt, meestal zijn het botnets die gebruiken vaak toch verschillende ip addressen. Het heeft geen zin die te bewaren, de ip addressen die je krijgt zijn vaak van 'onschuldige' mensen die het ook niet weten dat hun pc gebruikt wordt.
Beter kan je gewoon brute force af vangen, dan ip's blocken.

En pas maar op met je grep 3389, wie weet pakt die ook andere dingen uit je dmesg, dat is nou weer niet zo uniek.

[ Voor 70% gewijzigd door Semyon op 28-04-2011 08:14 ]

[Verwijderd]

Semyon schreef op donderdag 28 april 2011 @ 08:09:
of:

dmesg | fgrep 3389 | cut -d\   -f 6

als je de src er bij wilt, of -5 voor de mac.

of

 cut -d\  -f 6 | cut -d= -f 2

als je dat weg wilt.


Maar geen idee wat je precies ermee wilt, meestal zijn het botnets die gebruiken vaak toch verschillende ip addressen. Het heeft geen zin die te bewaren, de ip addressen die je krijgt zijn vaak van 'onschuldige' mensen die het ook niet weten dat hun pc gebruikt wordt.
Beter kan je gewoon brute force af vangen, dan ip's blocken.

En pas maar op met je grep 3389, wie weet pakt die ook andere dingen uit je dmesg, dat is nou weer niet zo uniek.

Cool, bedankt. Ik ben bezig met een studie information security en vandaar mijn interesse in de ip adressen. Als ik dit in een bestand kan krijgen, kan ik daarna op de een of andere manier de locaties redelijk in kaart brengen en zo een klein onderzoekje doen naar de spreiding van de aanvallers. China komt op nummer 1 denk ik zo, aangezien de meeste IP addressen die je "terug rdp-t" een chinese 2003 Enterprise draaien.
Wel grappig dat ik bij een klant een keer een ip adres herkende als zijnde lokaal, ik rdp probeerde, username: user, password: password.... en hup, ik was zo binnen op de sbs 2003 server van een dokterspraktijk met duidelijk een virus erop. Overal had ik toegang toe, inclusief verwijsbrieven, etc. Toen heb ik in een briefhoofd van een patientenbrief op een share het telefoon nummer gevonden en de receptie gebeld dat de boel open stond