Aanval wat nu?

[Verwijderd]

Hoi allemaal,

Iemand heeft in een uur tijd meer dan 1000x mijn ssh deamon lastig gevallen. Het probleem is dat ik niet kan achterhalen wie zijn provider is (heeft geen geregistreerde hostname)

Ik vermoed dat hij trans-Atlantisch bezig is geweest (above.net) maar ik kan dus niet achterhalen wie zijn provider is. Weet iemand hoe ik zijn provider kan achterhalen, met traceroute kon ik er niet achterkomen.


------------stukje log

Dec 14 15:30:37 nodexxxxx sshd[12729]: log: Could not reverse map address 210.205.2.39

------------end log
dit gaat zo half uurtje door en staat er wel meer dan 1000 keer

af en toe staat er tussen

-------------stukje log
Dec 14 15:33:54 nodexxxxx sshd[12757]: fatal: Local: crc32 compensation attack
: network attack detected
------------end log
grrrrrrrrrrr

Ik wil dus een abuse mailtje sturen, ik weet alleen niet waar naar toe. Hoe achterhaal ik zijn provider?

[Johannes Verelst]

Je moet een reverse lookup nooit vertrouwen, want voor hetzelfde geld verwijst die naar www.tweakers.net (als je controle hebt over een ip block kan je de reverse-lookup overal naar toe laten verwijzen).

Op www.geektools.com kan je een whois doen op IP adressen zodat je kan uitvinden van wie het IP adres is. Zelf kan je dat doen met:

# whois ipadres

En als je een bepaalde (bijvoorbeeld 'abuse.net' als je een domein weet) wil gebruiken:
# whois -h whois.arin.net ipadres
# whois -h whois.ripe.net ipadres
# whois -h whois.abuse.net domeinnaam


[edit: stomme fout]

[RammY]

tis in iedergeval een koreaanse

[Johannes Verelst]

Via geektools:

# ENGLISH

IP Address : 210.205.2.0-210.205.2.255
Network Name : AJUBUILDING
Connect ISP Name : HANANET
Connect Date : 1999075
Registration Date : 19991007

[ Organization Information ]
Orgnization ID : ORG77095
Org Name : Seoul Industry Promotion Foundation Venture Business
State : SEOUL
Address : 679-5 Yuksam-dong Kangnam-gu
Zip Code : 135-080

[ Admin Contact Information]
Name : Jinsoo Lee
Org Name : Seoul Industry Promotion Foundation Venture Business
State : SEOUL
Address : 679-5, Yuksam-dong, Kangnam-gu
Zip Code : 135-080
Phone : 02-6283-1114
Fax : 02-6283-1005
E-Mail : [e-mail]

[ Technical Contact Information ]
Name : Jinsoo Lee
Org Name : Seoul Industry Promotion Foundation Venture Business
State : SEOUL
Address : 679-5, Yuksam-dong, Kangnam-gu
Zip Code : 135-080
Phone : 02-6283-1114
Fax : 02-6283-1005
E-Mail : [e-mail]

[moto-moi]

1) Blockeren in je firewall dat IP..
2) Whois 210.205.2.39
Grrr. Plakken lukt me niet, tis i.i.g. iemand uit Seoel..

[RammY]

ik gebruik NetInfo en dan met de Whios op het IP zoeken
komt op een koreaan uit:

Trying whois for 210.205.2.39...
Connection established.

Query: 210.205.2.39
Registry: whois.nic.or.kr
Results:
Korea Internet Information Service V1.0 ( created by KRNIC, 2001.6 )

2001³â 7¿ù 2ÀϺÎÅÍŽÂ °³Œ±µÈ Whois Œ­ºñœºžŜ Àû¿ëÇÏ°í ÀÖœÀŽÏŽÙ.

query: 210.205.2.39

Á¶ÈžÇϜŠIPÁÖŒÒÀÇ »ç¿ë±â°ü Á€ºžŽÂ ŸÆ·¡¿Í °°œÀŽÏŽÙ.

žžŸà ŸÆ·¡ÀÇ Á€ºž°¡ ¿Ã¹Ùž£Áö ŸÊÀ» °æ¿ì¿¡ŽÂ ÇØŽç ¿¬°áISP¿¡ ¹®ÀÇÇϜñ⠹ٶøŽÏŽÙ.


# KOREAN

IP ÁÖŒÒ : 210.205.2.0-210.205.2.255
³×Æ®¿öÅ© ÀÌž§ : AJUBUILDING
¿¬°á ISPží : HANANET
ISP ¿¬°á³¯Â¥ : 1999075
ÇÒŽç³»¿ª µî·ÏÀÏ : 19991007

[ IP »ç¿ë ±â°ü Á€ºž ]
±â°ü°íÀ¯¹øÈ£ : ORG77095
±â°üží : Œ­¿ï»êŸ÷ÁøÈïÀçŽÜº¥ÃıâŸ÷Áö¿øÆÀ
œÃµµží : Œ­¿ï
ÁÖŒÒ : °­³²±ž ¿ª»ïµ¿ 679-5

[ ³×Æ®¿öÅ© Ã¥ÀÓÀÚ Àι° Á€ºž ]
ÀÌž§ : ÀÌÁøŒö
±â°üží : Œ­¿ï»êŸ÷ÁøÈïÀçŽÜº¥ÃıâŸ÷Áö¿øÆÀ
œÃµµží : Œ­¿ï
ÁÖŒÒ : °­³²±ž ¿ª»ïµ¿ 679-5
ÀüÈ­ ¹øÈ£ : 02-6283-1114
Fax : 02-6283-1005
ÀüÀÚ ¿ìÆí : [e-mail]

[ ³×Æ®¿öÅ© ŽãŽçÀÚ Àι° Á€ºž ]
ÀÌž§ : ÀÌÁøŒö
±â°üží : Œ­¿ï»êŸ÷ÁøÈïÀçŽÜº¥ÃıâŸ÷Áö¿øÆÀ
œÃµµží : Œ­¿ï
ÁÖŒÒ : °­³²±ž ¿ª»ïµ¿ 679-5
¿ìÆí ¹øÈ£ : 135-080
ÀüÈ­ ¹øÈ£ : 02-6283-1114
Fax : 02-6283-1005
ÀüÀÚ ¿ìÆí : [e-mail]

# ENGLISH

IP Address : 210.205.2.0-210.205.2.255
Network Name : AJUBUILDING
Connect ISP Name : HANANET
Connect Date : 1999075
Registration Date : 19991007

[ Organization Information ]
Orgnization ID : ORG77095
Org Name : Seoul Industry Promotion Foundation Venture Business
State : SEOUL
Address : 679-5 Yuksam-dong Kangnam-gu
Zip Code : 135-080

[ Admin Contact Information]
Name : Jinsoo Lee
Org Name : Seoul Industry Promotion Foundation Venture Business
State : SEOUL
Address : 679-5, Yuksam-dong, Kangnam-gu
Zip Code : 135-080
Phone : 02-6283-1114
Fax : 02-6283-1005
E-Mail : [e-mail]

[ Technical Contact Information ]
Name : Jinsoo Lee
Org Name : Seoul Industry Promotion Foundation Venture Business
State : SEOUL
Address : 679-5, Yuksam-dong, Kangnam-gu
Zip Code : 135-080
Phone : 02-6283-1114
Fax : 02-6283-1005
E-Mail : [e-mail]


Results brought to you by the GeekTools WHOIS Proxy
Server results may be copyrighted and are used with permission.
Your host (**********) has visited 1 times today.

[Verwijderd]

Dank jullie wel voor de snelle responds ( Ik hou van tweakers.net)Ik weet dat het niet gepast was om ip nummers te posten, maar soms moet je wel.

Vage business trouwens.

[Bart]

Ik weet niet of je koreaans kan maar je kan beter een mail naar dat ip sturen. Het is waarschijnlijk een gehackde box waarvanaf de exploit voor de ssh bug word geprobeerd. Just ignore it zou ik zeggen.

Welke versie ssh draai je btw?

[moto-moi]

Op zondag 16 december 2001 20:52 schreef reetkever41 het volgende:
Dank jullie wel voor de snelle responds ( Ik hou van tweakers.net)Ik weet dat het niet gepast was om ip nummers te posten, maar soms moet je wel.

Een abuse-bericht sturen, en het ip in je firewall zetten, en dan ben je er hopelijk vanaf, meer kun, en _mag_ je eigenlijk niet doen helaas..

[Verwijderd]

Op zondag 16 december 2001 21:09 schreef B4RtJe het volgende:
Ik weet niet of je koreaans kan maar je kan beter een mail naar dat ip sturen. Het is waarschijnlijk een gehackde box waarvanaf de exploit voor de ssh bug word geprobeerd. Just ignore it zou ik zeggen.

Welke versie ssh draai je btw?

SSH Version 1.2.27 [i586-unknown-linux], protocol version 1.5.
Standard version. Does not use RSAREF.

Ik draai een te oude versie, goed dat je het zegt, ff update.

[Bart]

gelijk updaten. Die is hackable, of hoe je dat ook schrijft

Als je pech hebt ben je al gehacked.

[Verwijderd]

Op zondag 16 december 2001 21:26 schreef B4RtJe het volgende:
gelijk updaten. Die is hackable, of hoe je dat ook schrijft

Als je pech hebt ben je al gehacked.

Ssh 3.1.0 is wel ok? Moeten al mijn vriendjes en vriendinnetjes met deze versie ook een ander ssh client gebruiken?

[Bart]

het lijkt me verstandig om 1.2.27 te upgraden ja. 3.1 is een veilige versie. Die kan je gerust gebruiken. (nog wel)