[win2k] Vreemde connectie tabel

[cyspoz]

Dit stond in mijn connectie tabel toen ik netstat -a uitvoerde:

TCP skipper:1025 000freexxx.com:0 LISTENING
TCP skipper:1027 000freexxx.com:0 LISTENING
TCP skipper:1214 000freexxx.com:0 LISTENING
TCP skipper:1308 000freexxx.com:0 LISTENING
TCP skipper:1322 000freexxx.com:0 LISTENING
TCP skipper:1517 000freexxx.com:0 LISTENING
TCP skipper:1588 000freexxx.com:0 LISTENING
TCP skipper:1592 000freexxx.com:0 LISTENING
TCP skipper:1618 000freexxx.com:0 LISTENING
TCP skipper:1621 000freexxx.com:0 LISTENING
TCP skipper:1630 000freexxx.com:0 LISTENING
TCP skipper:1635 000freexxx.com:0 LISTENING
TCP skipper:1638 000freexxx.com:0 LISTENING

Ik heb in middels op internet gezocht. Maar jah, ik hoef denk ik niet te zeggen wat voor resultaten dat opleverde Ik dacht misschien iets te kunnen vinden in de registry, maar zoeken naar 000freexxx.com keverde niks op. Ik kan geen verdachte processen vinden. Ik heb een Linux router firewall proxy draaien (IpCop) En draai McAfee met een up to date virus definitie. Ik heb verder geen porno pop-ups momenteel open staan. Dus snap ik niet helemaal waar dit vandaan komt.
Wat heeft dit precies te betekenen, hoe kom ik er aan wat doet (is dit ernstig) het en hoe haal ik het weg.

En een ping leverde het volgende op:

C:\>ping 000freexxx.com
Unknown host 000freexxx.com.

[ Voor 4% gewijzigd door cyspoz op 24-06-2003 22:26 . Reden: Ping check. ]

[[Jules]]

Kijk eens wat voor processes je hebt draaien... staat waarschijnlijk een vage bij...
En probeer ook eens ad-aware...

[Jimbolino]

die host bestaat wel hoor
PING 000freexxx.com (64.202.162.37): 56 data bytes
64 bytes from 64.202.162.37: icmp_seq=0 ttl=46 time=162.2 ms
64 bytes from 64.202.162.37: icmp_seq=1 ttl=46 time=178.2 ms
64 bytes from 64.202.162.37: icmp_seq=2 ttl=46 time=175.7 ms

[RayNbow]

Hmm, voer eens netstat -a -n uit?

(Ik heb een keer een aantal hosts als 0.0.0.0 opgegeven in de HOSTS file. Netstat zoekt bij elk IP een named address op. Als 0.0.0.0 in de HOSTS file staat, dan geeft ie de bijbehorende named address weer ipv 0.0.0.0. Is dit het geval, moet je alleen de regel "0.0.0.0 0.0.0.0" bovenaan toevoegen aan je HOSTS file)

[cyspoz]

Jimbolino schreef op 24 juni 2003 @ 23:32:
die host bestaat wel hoor
PING 000freexxx.com (64.202.162.37): 56 data bytes
64 bytes from 64.202.162.37: icmp_seq=0 ttl=46 time=162.2 ms
64 bytes from 64.202.162.37: icmp_seq=1 ttl=46 time=178.2 ms
64 bytes from 64.202.162.37: icmp_seq=2 ttl=46 time=175.7 ms

Sorry, was even iets vergeten. Ik heb op mijn linux server ooit de host file inderdaad vol geladen met een lijst van slechte websites met daarbij als ip 0.0.0.0. Dat is dus de reden dat ik die website niet kon pingen. Misschien dat daarom ook een port 0 wordt weergegeven achter de dns naam. Een vaag proces heb ik nog niet kunnen vinden. In MsConfig is alles in orde.
Dus het kan weinig kwaat want het komt nooit naarbuiten omdat het "programma" nooit eeen dns-lookup voor mekaar zal krijgen. Maar dan nog ben ik er niet vanaf. Ik zal eens kijken of ad-aware wat kan vinden

[ Voor 13% gewijzigd door cyspoz op 25-06-2003 10:32 ]

[RayNbow]

Luisterende porten hebben meestal een "verbinding" met 0.0.0.0:0, aangezien ze nog geen verbinding hebben

[ Voor 8% gewijzigd door RayNbow op 25-06-2003 13:07 . Reden: typo ]

[BasieP]

en wat zei onze lieve lavasoft software? (adaware that is)

[cyspoz]

BasieP schreef op 25 juni 2003 @ 13:10:
en wat zei onze lieve lavasoft software? (adaware that is)

Die was niet zo lief, of misschien wel. Dat weet ik niet maar die zij helemaal niks. Ik had nul komma nul verdachte bestanden. Dus dat leverde niks op.

Ik moet zeggen dat ik er niet van wakker lig en dit ook puur ter toeval ontdekte en het anders niet eens had gezien. Volgens mij kan het proces niets doen aangezien ik een linux bak in het netwerk heb zitten die alle pc's van internet voorziet en in zijn host file staat dat 000freexxx.com te vinden is op het magische ip adres 0.0.0.0. Nou weet ik dit niet zeker, dus als iemand mij even gerust kan stellen dat er niks aan de hand is dan zou ik dat fijn vinden. Of iemand moet alsnog weten hoe ik ervanaf kom. Ik zou nu zo 1 2 3 niks meer weten.

[cyspoz]

RayNbow schreef op 25 juni 2003 @ 13:07:
Luisterende porten hebben meestal een "verbinding" met 0.0.0.0:0, aangezien ze nog geen verbinding hebben

Daar is volgens mij 0.0.0.0:0 van waar. En dan dus helemaal niks. Een luisterend iets moet altijd luisteren op een bepaalde poort. Dus was je zegt snap ik niet helemaal. Bovendien zie je dat ze ook niet luisteren op poort 0 maar op anders poorten.

[RayNbow]

Maar een port die luistert weet toch nog niet welke host met welke poort een verbinding gaat maken?

code:

TCP skipper:1025 0.0.0.0:0 LISTENING

Voorbeeldje van mijn computer:

code:

...
TCP    WAD5000:http           0.0.0.0:0 LISTENING
...

Op dit moment weet mijn http server nog niets van een externe host die een verbinding wil maken. Zodra ik echter naar m'n site surf verandert mijn connectie tabel:

code:

...
TCP    WAD5000:http           WAD5000:2802  ESTABLISHED
TCP    WAD5000:2802           WAD5000:http  ESTABLISHED
...

[frickY]

Lijkt op spyware, al is het dan wel raar dat het zit te luisteren..

Loop eens al je opstartbestanden langs. "msconfig" is hier een top-programma voor. Misschien heb je ooit, of een andere gebruiker van je pc, een programma van een pornosite gedownloaden en geinstalleerd om toegang te kunnen krijgen tot die site.
Mogelijk vind je zelfs gewoon iets in de lijst "Software deinstalleren" via het configuratiescherm.

[cyspoz]

nee had ik al naar gekeken. Kon niks vinden. Ook bij de actieve systeem processen kon ik niks vinden.

[RayNbow]

netstat -a -n -o, krijg je de proces ids erbij

Dan ff Taakbeheer starten, op de Processen tab klikken, Beeld -> Kolommen selecteren... en PID aanvinken. Nu heb je de info om te achterhalen welke processen er zitten te luisteren

[RayNbow]

Ff gekeken op mijn systeem...

Port 1025 is waarschijnlijk in gebruik door SVCHOST.EXE en 1027 door SYSTEM

De overige porten staan niet open op mijn systeem.

[cyspoz]

RayNbow schreef op 25 June 2003 @ 16:48:
netstat -a -n -o, krijg je de proces ids erbij

Dan ff Taakbeheer starten, op de Processen tab klikken, Beeld -> Kolommen selecteren... en PID aanvinken. Nu heb je de info om te achterhalen welke processen er zitten te luisteren

Heb het geprobeerd, maar wil niet lukken. Ik denk dat jij windowsxp hebt en dan ook een andere versie van het commando netstat. Ik kan niet de procesnamen tevoorschijn halen. De hele optie -o is bij mij onbekend.