tcpdump - что за пакеты IP 8.8.8.8.53 > 1.1.1.1.80: 31654| 0/0/1 (36)

Здесь 1.1.1.1 это мой внешний ip

Ты с Австралии? Правда что у вас там всё вверх ногами?

Вааааше не смешно, по делу будет что сказать?

Запрашиваешь резолвинг имён сайтов и удивляешься ответам? (hint: DNS)

1. Нет
2. Внимательно смотрим, я получаю только ответы причем с какого-то хрена именно на 80-й порт, от меня запросов нет.

1.1.1.1.80 > 91.219.170.157.53: [no cksum] 35000+ [1au] ANY? hccforums.nl. ar: . OPT UDPsize=8192 (41)

Еще раз, смотрим внимательней то о чем я спросил, сам пакет
91.219.170.157 > 1.1.1.1
а то что вы привели уже в содержимом или я не правильно понимаю, поэтому и спрашиваю.
ЗЫ Надо было сразу написать, что бы исключить лишнии предположения tcpdump -i ppp5 -n src 1.1.1.1 молчит

ЗЫ И специально для «знатоков» клиент при запросе серверный порт не открывает. Это вам так на будущее.

Нет не содержимое, просто с -vvv tcpdump так выдаёт.

Что выдаст? Что выдаст? Пакет только в одну сторону прилетел. Насчет 80-го порта я вам уже ответил.

А ты собери лог с -s0 и -w file.dmp и посмотри его в wireshark, например, или сразу в wireshark.

Во втором логе я вижу какие-то запросы с 1.1.1.1:80 на 53 порт и icmp отлупы port 53 unreachable.

Зачем если выход пустой? Что я том новогу увижу?

Гдееее?

1.1.1.1.80 > 91.219.170.157.53: [no cksum] 35000+ [1au] ANY? hccforums.nl. ar: . OPT UDPsize=8192 (41) 91.219.170.157 > 1.1.1.1: ICMP 91.219.170.157 udp port 53 unreachable, length 77

Просто tcpdump их так выводит.

Так, выдохнули, и набрали команду tcpdump -i ppp5 -n они (эти пакеты) там должны быть?

А что нет? Значит во втором логе случайные флуктуации.

Нет, ну может тебя кто-то спамит, вот и собери более объёмный лог, посмотри в wireshark, точно ли нет исходящих.

Блинааа а я вам о чем пишу? Смотрите только начало, т.е. откуда пакет.

Ну сам с этим не сталкивался, а гуглится только https://www.us-cert.gov/ncas/alerts/TA13-088A

Нет, ну может тебя кто-то спамит

Вот об этом в основном и был вопрос, может знатоки расшифруют.

посмотри в wireshark, точно ли нет исходящих.

Да мне тупо tcpdump в открытой консоли хватает c tcpdump -i any -n src 1.1.1.1

Вот ещё https://habrahabr.ru/post/51574/.

Не то, у меня-то как раз днс сервера открытого нет, ко мне с 53-го прилетают на 80-й порт.
А так, хоть и не по теме, все верно, сам у клиентов спасал имеено string при ддос атаке, когда мамкины кулцхакеры новую игрушку заимели в виде готового скрипта и самое главное не зная что с ней дальше делать кроме как запустить. Жуткая штука была. И не раз.

Ну насколько я понимаю вы и являетесь конечной целью атаки, так как dns сервер используется как промежуточное звено для атаки.

атакующий (использует адрес 1.1.1.1:80 (ip spoofing) в качестве исходящего) -> DNS запрос на 8.8.8.8:53; 8.8.8.8:53 отвечает на 1.1.1.1:80, т.е. вам.

Вопрос снят, ддос у прова.
Спасибо что откликнулись!

Да не за что, я тут что-то разошёлся, нужно было сразу сагриться на «ANY? hccforums.nl.» и «ANY? sema.cz».

атакующий (использует адрес 1.1.1.1:80 (ip spoofing) в качестве исходящего) -> DNS запрос на 8.8.8.8:53; 8.8.8.8:53 отвечает на 1.1.1.1:80, т.е. вам.

Это тоже понятно. Просто никогда не сталкивался с такой забавной штукой как src 80 порт для днс. Засрать же можно и на более «правильные» порты, которые реально открыты будут.

Ну тут всё понятно они хотят засрать не DNS порт, а именно 80, на котором может крутиться сайт.

Хотя да странно

Шлётся то по UDP, забавно.

Расчёт видимо на просто уменьшение полосы пропускания.

ЗЫ И специально для «знатоков» клиент при запросе серверный порт не открывает. Это вам так на будущее.

Ты в курсе, что общение по tcp/udp невозможно без используемых портов с обеих сторон? Что в пакете _обязательно_ указываются src и dst порты? И что по одному только выводу tcpdump ты не увидишь, забинден ли порт на клиентской машине?

Это тебе так, на будущее.

Сайт на udp ? :) Неее как раз и не понятно :)

И что по одному только выводу tcpdump ты не увидишь, забинден ли порт на клиентской машине?

Упортый? 1. Не руту не дадут открыть серверный порт. (это к пояснению выше) 2. по дэфолту для клиентского соединения открывается первый свободный не серверный (если не попросим специально) 3. «клиентской машине» это моя машина.

Упортый? 1. Не руту не дадут открыть серверный порт. (это к пояснению выше) 2. по дэфолту для клиентского соединения открывается первый свободный не серверный (если не попросим специально) 3. «клиентской машине» это моя машина.

А откуда нам знать, что запущено на твоей машине? Вывод ps и netstat/ss ты не предоставил.

И вообще, пост был в стиле «вот в выводе tcpdump в пакете у клиента есть порт, такого быть не может». Поэтому и повлек за собой такую реакцию.

Ладно, частично убедили. Но частично. Все рано не знаю как по другому бы оформил при аналогичной ситуации пост.
ЗЫ Вопрос уже закрыт. :)

Ага. У них оказывается уже неделю такая фигня, я не активно именно им пользуюсь и на 100-ке оно не сильно заметно. Но вот через него гоняю дэфолтный тунель в ipv6 и тут как-то «сильно плохо» стало, решил посмотреть «что за нафиг».