--- title: "Nån som hackat min ftp(?)" type: "forum-thread" url: "https://www.webforum.nu/amne/datasakerhet/28618-nån-som-hackat-min-ftp" topic: "Datasäkerhet" topic_url: "https://www.webforum.nu/amne/datasakerhet" author: "ps" published: "2001-02-27T17:07:00.000Z" updated: "2001-03-16T02:31:00.000Z" replies: 12 views: 356 page: 1 pages: 1 language: "sv-SE" site: "webForum — webforum.nu" rights: "Upphovsrätten till varje inlägg tillhör dess författare." attribution: "Citera som: webForum, https://www.webforum.nu/amne/datasakerhet/28618-nån-som-hackat-min-ftp" --- # Nån som hackat min ftp(?) ## #1 — ps, 2001-02-27T17:07Z Jag har vid två tillfällen märkt att någon varit inne på min ftp, utan att logga in skulle man kunna säga.. Det enda jag kan se i min logg är: 26 Feb 2001 01:09:57 \[ffffffConnected to x.xxx.xxx.xxx 26 Feb 2001 01:12:12 \[ffffffDisconnected (Jag själv som disconnectade) 27 Feb 2001 16:43:52 \[ffffffConnected to x.xxx.xxx.xxx 27 Feb 2001 16:46:00 \[ffffffDisconnected (Jag själv som disconnectade) Kan ett IP nr börja med 0.osv? När jag kollar med NeoTrace efter IP-numret så svara NeoTrace att ett IP-nr inte kan börja på "0" utan måste vara mellan 1-255. Jag använder Vermillion FTP Daemon 1.31 Kan upplysa om att ftp:n ligger nere för tillfället ;) r Om nån är intresserad av att spåra, maila/ICQ:a så skickar jag IP-numret. Permalänk: https://www.webforum.nu/p/28618 ## #2 — KLI1, 2001-02-27T22:06Z Ett IPnr. kan inte starta med 0! Permalänk: https://www.webforum.nu/p/403888 ## #3 — ps, 2001-02-27T22:30Z Ok.. var väl det jag trodde. Hmm hur kan det va att det ser ut så i min logg isf? (/me fattar nada) :q Permalänk: https://www.webforum.nu/p/403889 ## #4 — D3VaST8D, 2001-02-27T22:33Z A-klass har teoretiskt 0-127.x.x.x Din egen dator har t.ex. 0.0.0.0 visa loggen så får vi se om vi kan hitta lite kul info... \[Redigerat av D3VaST8D den 27 feb 2001\] Permalänk: https://www.webforum.nu/p/403890 ## #5 — ps, 2001-02-28T00:23Z Har inte min egen dator 127.0.0.1? Testade pinga 0.0.0.0.. funkade inte. Det enda som står i loggen som rör detta är: 26 Feb 2001 01:09:57 \[ffffffConnected to 0.236.253.127. 27 Feb 2001 16:43:52 \[ffffffConnected to 0.236.253.127. Vanligtvis brukar det stå "user \ logged in osv. Men det enda som syns är alltså raderna ovan. Permalänk: https://www.webforum.nu/p/403891 ## #6 — D3VaST8D, 2001-02-28T08:56Z 0\.0.0.0 används bara vid uppstart och bootstrap och anses vara "special adress". tracert 0.0.0.0 Tracing route to d3vast8d \[0.0.0.0\] over a maximum of 30 hops: 1 The destination specified is not valid. Trace complete. Sitter du på ett LAN? Har du mycket trafik på din site? Får du ha en FTP site? Permalänk: https://www.webforum.nu/p/403892 ## #7 — ps, 2001-02-28T22:41Z Sitter på LAN. Har inte speciellt mycket trafik, bara lite kompisar. Får ha FTP. /me fattar fortfarande inte hur det har gått till.. Permalänk: https://www.webforum.nu/p/403893 ## #8 — McD, 2001-03-01T15:33Z Humm konstigt... Det jag märkt på min ftp är att alla som försöker connecta kommer in men sedan kickas genom att de inte har lösen... inte så svårt att protscanna och hitta vilken port man har en ftpserver på.... då kan det bli märkliga saker i loggen... Permalänk: https://www.webforum.nu/p/403894 ## #9 — D3VaST8D, 2001-03-01T15:59Z Det KAN vara någon som sitter på ditt LAN och scannar osv... Då kan det vara smidigt att köra med en 0.x.x.x adress... vilket är mycket svårare att "traca" Har du nån firewall eller något annat program som kan logga hårdvaruadressen? Du kan oxå (om du sitter och ser vad som händer) låta han fortsätta och se vad han försöker göra... \[Redigerat av D3VaST8D den 01 mar 2001\] Permalänk: https://www.webforum.nu/p/403895 ## #10 — ps, 2001-03-01T17:00Z McD: Ja precis.. det konstiga är i detta fall att ingen har loggat in.. Kan det vara så att nån som har tillgång med user/pass loggar in och börjar sen försöka manipulera servern på nån vänster. ? D3VaST8D: Jag testade att scanna LAN:et själv, men FTP:n reagerade inte alls. Jag har använt BlackICE och ZoneAlarm lite granna, men tycker inte att dom var speciellt bra. Några tips på bättre och mer noggrann loggning? Permalänk: https://www.webforum.nu/p/403896 ## #11 — D3VaST8D, 2001-03-01T17:21Z scanna lanet??? scanna din ip där ftpn är du kommer nog att se typ 'prelogin' eller något i den stilen (alltså i ftp loggen) samt connected to \ i scanner programmet \[Redigerat av D3VaST8D den 01 mar 2001\] Permalänk: https://www.webforum.nu/p/403897 ## #12 — ps, 2001-03-01T17:55Z Hoppsan tänkte lite fel där ;) Jag har scannat min dator och ftp:n I loggen blir det då som väntat, visar detta: 01 Mar 2001 18:50:20 \[0114\] Connected to xxx.xx.xxx.xx 01 Mar 2001 18:50:20 \[0114\] Disconnected. (client close) Den loggar ju ut direkt, men med dom andra "konstiga" felmeddelandena så varken loggar han in eller ut.. Permalänk: https://www.webforum.nu/p/403898 ## #13 — larstokyo, 2001-03-16T02:31Z om en adress borjar med 0.x.x.x sa kan det vara en reverse adress. \[Redigerat av larstokyo den 16 mar 2001\] Permalänk: https://www.webforum.nu/p/403899 --- Tråden på webben: https://www.webforum.nu/amne/datasakerhet/28618-nån-som-hackat-min-ftp