Onverklaarbare ftp sessie

[grep]

Ik heb een linux servertje draaien om de kabelinternet aansluiting te delen.
Hierop draait uiteraard een firewall (ipchains)

Nu is er dit weekend op een (momenteel) onverklaarbare manier een zooi files met Nimda virus op die pc terecht gekomen. Ik ben aan het onderzoeken hoe dat heeft kunnen gebeuren.
Ik heb nu in mijn messages file een vreemde ftp sessie gevonden, die ik niet kan verklaren.
Ik had wel een ftp service draaien maar die stond ingesteld voor poort 21 en deze poort wordt door mijn ISP (Quicknet) geblocked (ik kon dus alleen via mijn interne netwerk een verbinding maken via ftp).

Wat ik nu niet begrijp is hoe kan iemand nu hiermee een connectie maken? Hoe komt iemand voorbij die blokkade van de isp ?

[Janoz]

Misschien zit ie bij dezelfde kabelboer waardoor hij niet langs die filters hoeft...

[Savages]

ik snap zowieso niet waarom je uberhaupt op de filters van je provider vertrouwd... en ik begrijp hieruit dat je het guest-account gewoon open hebt laten staan..!?

[Coen Rosdorff]

Bij iemand die ik ken zijn pas alle filters op magische wijze verdwenen. (Quicknet in Hoofdorp)

[Aetje]

Mhhz, IPChains ietwat aantrekken dus wat veiligheid betreft... Poortje 21 dichttimmeren?

[Koffie]

Move PNS > NT

[grep]

Ik begrijp uit de reacties dat ik niet duidelijk genoeg ben geweest

Ter verduidelijking:
Er is dus een poging tot een ftp sessie gedaan. Ik kan in mijn logfile zien dat m'n firewall het pakket wat binnen wilde komen op poort 21 ge-DENY-ed heeft.
Maar het request kwam dus wel tot mijn pc ! (voorbij de filters van Quicknet).

Maar goed, ik zal de opmerking van little_soundman eens natrekken. Misschien zijn de filters idd verdwenen!

[Rusty]

Klinkt alsof iemand binnen Quicknet heeft zitten scannen op FTP's. Die blijft dan misschien binnen de filters.

Of de filters liggen er uit.

[Aetje]

Check dat IP van die gast die bij jouw binnengedrongen zou zijn eens... Zoek eens uit waar de "aanval" vandaan kwam...

[grep]

Nou dat is duidelijk. De filters van Quicknet zijn blijkbaar offline.
Ik kon gewoon bij poort 21 komen waar ik vervolgens door de firewall werd afgetikt.
Bedankt voor de tip little_soundman.

[Verwijderd]

ik zit ook bij quicknet, en mijn modem is ook al eens zijn firewaal kwijt geweest, een reset en alles doet het weer.

[TrailBlazer]

woei klepel enzo. Die firewall zit niet in je modem hoor maar op de firewall in de lankast van de provider

[Verwijderd]

dan mag je mij verklaren waarom de modem na reload weer dicht zat met het zelfde ip.

TrailBlazer schreef op 16 oktober 2002 @ 20:13:
woei klepel enzo. Die firewall zit niet in je modem hoor maar op de firewall in de lankast van de provider