Reprise du message précédent :

a bon j'autorise pas normalement ce port et ca marchait bien, c'est en state
 
c'est bon, fallait le relancer (c'est koi ce bug    )

djoh a écrit a écrit :     ça me semble bon, j'ai relancé un scan sur l'ip que tu as donné dans ton premier post   HS : t'as pas bcp de connexions sur ton donkey didonc

 
malheureusement nan.....ca avance pas chez moi et chais pas prkoi

prends
mldonkey

 
chuis pas sur que ca change quelque chose mais prkoi pas...
 
edit: est-ce que que kkun aurait les regles a me filer pour filtrer et loguer a part les portscan et choses dans ce genre
 
et aussi pour logguer tout ce qui a trait au firewall dans un fichier separe si possible...

 
+1
moi je peux ouvrir 924 socket sur ma machine pour mldonkey, et je pense qu'elles sont toutes ouvertes (je m'amuserais pas à copier un netstat ici, vous comprenez pk   )

 
 
pour mettre ça dans un autre fichier, y-a pas 36 solutions, iptables ne le gère pas automatiquement, malheureusement.
je crois que la seule solution consiste à éditer ce fichier :
/etc/syslog.conf

djoh a écrit a écrit :     +1 moi je peux ouvrir 924 socket sur ma machine pour mldonkey, et je pense qu'elles sont toutes ouvertes (je m'amuserais pas à copier un netstat ici, vous comprenez pk   )

chez moi la connexion rame! même si je mets 250, chui obligé de metre QOS et ca résout pas grande chose (un peu quand même)

 
je dois rajouter quoi dedans ?
 
[HS] avec mldonkey je peux garder mes .part ?

 
ah ben j'ai exagérer sur ce coup là ... je viens de compter et y-a que 200 connexions    
mais ça m'empeche pas d'avoir 25ko/s en dl, c'est déjà pas si mal
mais là mes dl sont sur la fin, et mldonkey à tendance à ramer sur la fin
mais y-a 2 heures j'étais à 60ko/s
prochaine fois que j'atteins cette vitesse, je regarde chez combien de personnes je suis connecté  

y a plusieurs topics entiers sur mldonkey, et oui tu peux importer tes "part"
 
t'as toujours la meme ip?
je me disais que j'allais tester nmap 3.00 et visiblement y a plus ni serveur web ni ftp sur l'ip du 1er message

 
je sais pas pour les log, je suis autant emmerdé que toi, voir plus puisqu'il ne vont même pas dans un fichier mais s'affiche à l'écran avec un bip à chaque fois (heureusement qu'il y a pas grand chose sinon ce serait vite lourd)    
pour mldonkey, je crois pas que tu puisses, en tout cas, j'avais pas trouvé, mais à 40-60ko/s (avec une moyenne de 50), ça m'a pas dérangé de les reDL  

bon bah je sais pas si tu as gardé la même ip qu'au premier post, apolon, mais y-a plus rien d'ouvert chez toi là
 

djoh a écrit a écrit :     je sais pas pour les log, je suis autant emmerdé que toi, voir plus puisqu'il ne vont même pas dans un fichier mais s'affiche à l'écran avec un bip à chaque fois (heureusement qu'il y a pas grand chose sinon ce serait vite lourd)     pour mldonkey, je crois pas que tu puisses, en tout cas, j'avais pas trouvé, mais à 40-60ko/s (avec une moyenne de 50), ça m'a pas dérangé de les reDL

Tu parles des logs de netfilter/iptables ?

 
ouaip

fl0ups a écrit a écrit : y a plusieurs topics entiers sur mldonkey, et oui tu peux importer tes "part"   t'as toujours la meme ip? je me disais que j'allais tester nmap 3.00 et visiblement y a plus ni serveur web ni ftp sur l'ip du 1er message

 
ip :213.44.193.101
 
la deco des 24h a frappe

Faut que tu interceptes les paquets qui ont matchés aucune règle et que tu ajoutes un truc du style :
 

 
Tu mets ce genre de bloc tout à la fin de tes règles en faisant attention que les paquets ne soient pas droppés avant ... tu laisses ce soin à ce bloc là ...

 
moi je change jamais d'ip à cause de ça  
t'es sur que tu as mis l'option persist ?

djoh a écrit a écrit :     moi je change jamais d'ip à cause de ça   t'es sur que tu as mis l'option persist ?

 
ouaip mais club-internet il change l'ip quand meme
 
et c'est pas plus mal

 
c'est pas ça qui va faire aller ça dans un fichier de log (j'ai déjà un truc comme ça dans mon script de firewall)
c'est mon fichier /etc/syslog.conf qui est pas bon, mais je sais pas ce qui déconne
c'est quoi au fait le -m limit --limit ... (ça fait quoi)

ca marche mieux avec la nouvelle ip
 

Cé vrai que qd on voit le nombre de petits cons qui jouent avec nmap et superscan ... ...

 
ah ...
m'enfin CI c'est 25% de M$ alors  

fl0ups a écrit a écrit : ca marche mieux avec la nouvelle ip   Code : Interesting ports on lns10m-10-101.w.club-internet.fr (213.44.193.101): (The 1596 ports scanned but not shown below are in state: closed) Port       State       Service 21/tcp     open        ftp 22/tcp     open        ssh 80/tcp     open        http 111/tcp    open        sunrpc 4000/tcp   open        remoteanything Remote operating system guess: Linux Kernel 2.4.0 - 2.5.20 OS Fingerprint: TSeq(Class=RI%gcd=1%SI=3615C5%IPID=Z%TS=100HZ) T1(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T2(Resp=N) T3(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T4(Resp=Y%DF=Y%W=0%ACK=O%Flags=R%Ops=) T5(Resp=N) T6(Resp=N) T7(Resp=N) PU(Resp=N) Uptime 0.267 days (since Wed Aug  7 19:53:43 2002) TCP Sequence Prediction: Class=random positive increments                          Difficulty=3544517 (Good luck!) TCP ISN Seq. Numbers: 71FF46AA 713D00E4 71854B84 71C0AFC9 720F3817 71E5F38A IPID Sequence Generation: All zeros

Oooh ... zouli ...  

fl0ups a écrit a écrit : ca marche mieux avec la nouvelle ip   Code : Interesting ports on lns10m-10-101.w.club-internet.fr (213.44.193.101): (The 1596 ports scanned but not shown below are in state: closed) Port       State       Service 21/tcp     open        ftp 22/tcp     open        ssh 80/tcp     open        http 111/tcp    open        sunrpc 4000/tcp   open        remoteanything Remote operating system guess: Linux Kernel 2.4.0 - 2.5.20 OS Fingerprint: TSeq(Class=RI%gcd=1%SI=3615C5%IPID=Z%TS=100HZ) T1(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T2(Resp=N) T3(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T4(Resp=Y%DF=Y%W=0%ACK=O%Flags=R%Ops=) T5(Resp=N) T6(Resp=N) T7(Resp=N) PU(Resp=N) Uptime 0.267 days (since Wed Aug  7 19:53:43 2002) TCP Sequence Prediction: Class=random positive increments                          Difficulty=3544517 (Good luck!) TCP ISN Seq. Numbers: 71FF46AA 713D00E4 71854B84 71C0AFC9 720F3817 71E5F38A IPID Sequence Generation: All zeros

 
mais comment ça se fait que ça va plus vite chez toi à chaque fois !  
puis le rpc est encore là, spa bien

fl0ups a écrit a écrit : ca marche mieux avec la nouvelle ip   Code : Interesting ports on lns10m-10-101.w.club-internet.fr (213.44.193.101): (The 1596 ports scanned but not shown below are in state: closed) Port       State       Service 21/tcp     open        ftp 22/tcp     open        ssh 80/tcp     open        http 111/tcp    open        sunrpc 4000/tcp   open        remoteanything Remote operating system guess: Linux Kernel 2.4.0 - 2.5.20 OS Fingerprint: TSeq(Class=RI%gcd=1%SI=3615C5%IPID=Z%TS=100HZ) T1(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T2(Resp=N) T3(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T4(Resp=Y%DF=Y%W=0%ACK=O%Flags=R%Ops=) T5(Resp=N) T6(Resp=N) T7(Resp=N) PU(Resp=N) Uptime 0.267 days (since Wed Aug  7 19:53:43 2002) TCP Sequence Prediction: Class=random positive increments                          Difficulty=3544517 (Good luck!) TCP ISN Seq. Numbers: 71FF46AA 713D00E4 71854B84 71C0AFC9 720F3817 71E5F38A IPID Sequence Generation: All zeros

 
en effet mais je vois pas pourquoi les ports 111 et 4000 sont ouverts alors que je ne les ais pas autorises

et pis j'obtiens même pas les mêmes ports ouvert moi  
 
 

 
p-t que c'est ouvert sur une machine de ton rezo local
 
floups > ça m'interesse, la commande que tu utilises pour obtenir ça

Ca évite de saturer les logs à cause des floods ...
ca logues maxi 15 paquets droppés par minute ...
la condition --limit est vraie tant que la fréquence donnée n'est pas atteinte (tu peux choisir /second, /minute, /hour et par /day aussi je crois ... à vérifier )
 
Tu peux même rajouter une option --limit-burst pour parer aux très gros floods ....

ah mais c'est le nmap 3.0 qui donne ça, j'avais pas capter    
et le difficulty donné, ça représente quoi ?

 
c'est peut etre sur une machine de mon reseau local mais on ne devrait pas les voir non plus....
 
c'est louche ce truc

 
ah ouai bah c'est pas mal ça ... décidement, je m'y étais pas assez plongé quand je l'avais fait
j'ai lu que le strict nécessaire
j'attends toujours ton script      

djoh a écrit a écrit : ah mais c'est le nmap 3.0 qui donne ça, j'avais pas capter     et le difficulty donné, ça représente quoi ?

Ca semble être la difficulté pour falsifier une séquence TCP afin de tromper les fw stateful je pense ... tu peux leurrer les règles ESTABLISHED et RELATED avec ca ... mais bonjour pour prédire les numéros de séquence apparemment ...

en fait j'ai triché
 
j'ai vu dans ton firewall que tu autorisais tous les packets tcp venant du port 4661 (serveur edonkey)
 
donc je passe completement a travers ton firewall je pense
 

djoh a écrit a écrit :     ah ouai bah c'est pas mal ça ... décidement, je m'y étais pas assez plongé quand je l'avais fait j'ai lu que le strict nécessaire j'attends toujours ton script

Il est vraiment dégeu ... je veux vraiment le nettoyer et lui enlever toutes le MAC address qui trainent dedans ... tu veux les clés de la maison aussi avec ... ...
   

 
ben ça depend des regles que tu as mis sur la chaine FORWARD (t'as sans doute pas mis les mêmes que pour INPUT)

je crois que la "DIFFICULTY" exprime à quel point l'incrémentation des ports lors d'une connexsion tcp est aléatoire.
 
Par ex quand on scanne un vieux win95 a chaque fois il fait juste +1, et il met DIFFICULTY=Trivial
 
Mais avec openbsd par ex ou la c'est completement aléatoire la c'est plus difficulty = trivial

fl0ups a écrit a écrit : en fait j'ai triché   j'ai vu dans ton firewall que tu autorisais tous les packets tcp venant du port 4661 (serveur edonkey)   donc je passe completement a travers ton firewall je pense   Code : bruce-lee ~ # nmap -sS -P0 -g 4661 -p 1-65000 -vv -O 213.44.193.101 Starting nmap V. 3.00 ( www.insecure.org/nmap/ ) Host lns10m-10-101.w.club-internet.fr (213.44.193.101) appears to be up ... good. Initiating SYN Stealth Scan against lns10m-10-101.w.club-internet.fr (213.44.193.101) Adding open port 4001/tcp Adding open port 111/tcp Adding open port 4000/tcp Adding open port 13842/tcp Adding open port 4080/tcp Adding open port 22/tcp Adding open port 21/tcp Adding open port 33159/tcp Adding open port 80/tcp The SYN Stealth Scan took 435 seconds to scan 65000 ports. For OSScan assuming that port 21 is open and port 1 is closed and neither are firewalled Interesting ports on lns10m-10-101.w.club-internet.fr (213.44.193.101): (The 64991 ports scanned but not shown below are in state: closed) Port       State       Service 21/tcp     open        ftp 22/tcp     open        ssh 80/tcp     open        http 111/tcp    open        sunrpc 4000/tcp   open        remoteanything 4001/tcp   open        unknown 4080/tcp   open        unknown 13842/tcp  open        unknown 33159/tcp  open        unknown Remote operating system guess: Linux Kernel 2.4.0 - 2.5.20 OS Fingerprint: TSeq(Class=RI%gcd=1%SI=36BCFA%IPID=Z%TS=100HZ) T1(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T2(Resp=N) T3(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T4(Resp=Y%DF=Y%W=0%ACK=O%Flags=R%Ops=) T5(Resp=N) T6(Resp=N) T7(Resp=N) PU(Resp=N) Uptime 0.272 days (since Wed Aug  7 19:53:44 2002) TCP Sequence Prediction: Class=random positive increments                          Difficulty=3587322 (Good luck!) TCP ISN Seq. Numbers: 8F51F492 9006DDB2 8F6113B4 8FE1C13B 8FB5992E 8F781193 IPID Sequence Generation: All zeros Nmap run completed -- 1 IP address (1 host up) scanned in 444 seconds

Raaa ... le mahonnête ...
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Toi aussi t'as eu l'idée en voyant le script ...
 
On est vraiment des sales momes ...

fl0ups a écrit a écrit : je crois que la "DIFFICULTY" exprime à quel point l'incrémentation des ports lors d'une connexsion tcp est aléatoire.   Par ex quand on scanne un vieux win95 a chaque fois il fait juste +1, et il met DIFFICULTY=Trivial   Mais avec openbsd par ex ou la c'est completement aléatoire la c'est plus difficulty = trivial

Ca concerne pas l'incrémentation des ports mais bien les numéros de séquence pour les connections TCP ... cé un peu plus complexe ...
 
EDIT : Cé là ou tu vois que l'implémentation de la pile TCP/IP de win95 est vraiment pourrave ...

fl0ups a écrit a écrit : en fait j'ai triché   j'ai vu dans ton firewall que tu autorisais tous les packets tcp venant du port 4661 (serveur edonkey)   donc je passe completement a travers ton firewall je pense   Code : bruce-lee ~ # nmap -sS -P0 -g 4661 -p 1-65000 -vv -O 213.44.193.101 Starting nmap V. 3.00 ( www.insecure.org/nmap/ ) Host lns10m-10-101.w.club-internet.fr (213.44.193.101) appears to be up ... good. Initiating SYN Stealth Scan against lns10m-10-101.w.club-internet.fr (213.44.193.101) Adding open port 4001/tcp Adding open port 111/tcp Adding open port 4000/tcp Adding open port 13842/tcp Adding open port 4080/tcp Adding open port 22/tcp Adding open port 21/tcp Adding open port 33159/tcp Adding open port 80/tcp The SYN Stealth Scan took 435 seconds to scan 65000 ports. For OSScan assuming that port 21 is open and port 1 is closed and neither are firewalled Interesting ports on lns10m-10-101.w.club-internet.fr (213.44.193.101): (The 64991 ports scanned but not shown below are in state: closed) Port       State       Service 21/tcp     open        ftp 22/tcp     open        ssh 80/tcp     open        http 111/tcp    open        sunrpc 4000/tcp   open        remoteanything 4001/tcp   open        unknown 4080/tcp   open        unknown 13842/tcp  open        unknown 33159/tcp  open        unknown Remote operating system guess: Linux Kernel 2.4.0 - 2.5.20 OS Fingerprint: TSeq(Class=RI%gcd=1%SI=36BCFA%IPID=Z%TS=100HZ) T1(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T2(Resp=N) T3(Resp=Y%DF=Y%W=1680%ACK=S++%Flags=AS%Ops=MNNTNW) T4(Resp=Y%DF=Y%W=0%ACK=O%Flags=R%Ops=) T5(Resp=N) T6(Resp=N) T7(Resp=N) PU(Resp=N) Uptime 0.272 days (since Wed Aug  7 19:53:44 2002) TCP Sequence Prediction: Class=random positive increments                          Difficulty=3587322 (Good luck!) TCP ISN Seq. Numbers: 8F51F492 9006DDB2 8F6113B4 8FE1C13B 8FB5992E 8F781193 IPID Sequence Generation: All zeros Nmap run completed -- 1 IP address (1 host up) scanned in 444 seconds

 
impressionant le -g (je connaissais pas non plus)
ça veut dire que le firewall sert à rien dès qu'on fait du port forwarding, ou j'ai mal compris le man ?