Perry_Rhodan
Member
Hallo,
root-Server mit Ubuntu 8.04 LTS und Plesk 9.54 alles up to Date.
seit 2 Tagen habe ich auf meinem Server sehr viel eingehenden und ausgehenden Traffic.
Nun versuche ich rauszubekommen, was da los ist.
Sämtliche Logdateien geben keinerlei Aufschluß. Nun habe ich mal wireshark bzw. tshark installiert und folgende Einträge irritiert mich:
Ich kann keinen Einbruchsversuch finden, es sieht mir aber stark danach aus.
Wie kann ich noch rausfinden, woher der Traffic kommt und wohin der Traffic geht und wie kann ich das schnell abstellen?
Gruß
Ulf
P.S. Sollte ich hie rfalsch sein, bitte liebe Admins verschiebt mich. ;-)
netstat -tulpen gibt folgendes wieder:
root-Server mit Ubuntu 8.04 LTS und Plesk 9.54 alles up to Date.
seit 2 Tagen habe ich auf meinem Server sehr viel eingehenden und ausgehenden Traffic.
Nun versuche ich rauszubekommen, was da los ist.
Sämtliche Logdateien geben keinerlei Aufschluß. Nun habe ich mal wireshark bzw. tshark installiert und folgende Einträge irritiert mich:
Code:
8.738428 81.169.128.3 -> 224.0.0.102 HSRPv2 Hello (state Standby)
8.783693 fe80::2 -> ff02::66 HSRPv2 Hello (state Active)
8.958018 HewlettP_92:18:30 -> Spanning-tree-(for-bridges)_00 STP RST. Root = 8192/00:0f:35:3b:b1:34 Cost = 200000 Port = 0x8010
9.151809 81.169.128.2 -> 224.0.0.102 HSRPv2 Hello (state Active)
.
.
.
5.725573 85.214.63.64 -> 212.113.37.105 TCP [TCP segment of a reassembled PDU]
5.725580 85.214.63.64 -> 212.113.37.105 TCP [TCP segment of a reassembled PDU]
5.725777 212.113.37.105 -> 85.214.63.64 TCP 35800 > http [ACK] Seq=1000 Ack=167207 Win=443 Len=0 TSV=1350188093 TSER=18361093Ich kann keinen Einbruchsversuch finden, es sieht mir aber stark danach aus.
Wie kann ich noch rausfinden, woher der Traffic kommt und wohin der Traffic geht und wie kann ich das schnell abstellen?
Gruß
Ulf
P.S. Sollte ich hie rfalsch sein, bitte liebe Admins verschiebt mich. ;-)
netstat -tulpen gibt folgendes wieder:
Code:
Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name
tcp 0 0 0.0.0.0:*** 0.0.0.0:* LISTEN 0 10898 4465/sshd
tcp 0 0 127.0.0.1:2912 0.0.0.0:* LISTEN 0 10622 3952/sw-engine
tcp 0 0 0.0.0.0:993 0.0.0.0:* LISTEN 0 10365 4162/couriertcpd
tcp 0 0 0.0.0.0:995 0.0.0.0:* LISTEN 0 10474 4187/couriertcpd
tcp 0 0 0.0.0.0:106 0.0.0.0:* LISTEN 0 11315 4686/xinetd
tcp 0 0 0.0.0.0:3306 0.0.0.0:* LISTEN 106 10690 4248/mysqld
tcp 0 0 0.0.0.0:587 0.0.0.0:* LISTEN 0 11318 4686/xinetd
tcp 0 0 0.0.0.0:110 0.0.0.0:* LISTEN 0 10463 4177/couriertcpd
tcp 0 0 0.0.0.0:143 0.0.0.0:* LISTEN 0 10343 4142/couriertcpd
tcp 0 0 0.0.0.0:8880 0.0.0.0:* LISTEN 0 146577 15583/sw-cp-serverd
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 0 11800 4838/apache2
tcp 0 0 127.0.0.1:10001 0.0.0.0:* LISTEN 0 146574 15583/sw-cp-serverd
tcp 0 0 0.0.0.0:465 0.0.0.0:* LISTEN 0 11317 4686/xinetd
tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN 0 11314 4686/xinetd
tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN 0 11316 4686/xinetd
tcp 0 0 0.0.0.0:8443 0.0.0.0:* LISTEN 0 146575 15583/sw-cp-serverd
tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN 0 11802 4838/apache2
tcp 0 0 127.0.0.1:2911 0.0.0.0:* LISTEN 0 10082 3953/monit
tcp6 0 0 :::**** :::* LISTEN 0 10896 4465/sshd
udp 0 0 0.0.0.0:68 0.0.0.0:* 101 9244 3532/dhclient3
udp 0 0 85.214.107.243:123 0.0.0.0:* 0 9980 3917/ntpd
udp 0 0 85.214.63.64:123 0.0.0.0:* 0 9978 3917/ntpd
udp 0 0 127.0.0.1:123 0.0.0.0:* 0 9976 3917/ntpd
udp 0 0 0.0.0.0:123 0.0.0.0:* 0 9967 3917/ntpd
udp6 0 0 fe80::20e:a6ff:fe86:123 :::* 0 9974 3917/ntpd
udp6 0 0 ::1:123 :::* 0 9972 3917/ntpd
udp6 0 0 :::123 :::* 0 9969 3917/ntpd
Last edited by a moderator:
