Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Résolu] firewall applicatif ?

piolet

bonjour à tous
en mettant des log dans iptables/OUTPUT je me suis apercu que toutes les 1/2 heures j'ai une connexion sortante que ne sais pas identifier. DPT=80 DST=194.112.114.177
ce que j'aimerais c'est identifier le programme qui génère cette sortie.
pouvez-vous m'aider ?

magicbisous-nours

ferme ton port 80 elle ne pourra plus sortir.... Ca sera toujours ça en attendant que tu trouves ce qui génère cette sortie...
Ensuite regardes du côté de netstat (que je ne connais malheureusement que très mal) qui te donnera peut être quel processus génère cette sortie...

pingou

euh, un port fermé n'empêche pas une sortie, il empêche une entrée (sauf erreur de ma part)

Sinon tu as aussi wireshark qui te permet de monitorer le traphic

philippe_PMA

Fait un nslookup sur l'adresse ...

piolet

je peux bloquer cette connexion sortante en spécifiant l'adresse de destination (pas le port 80 sinon je ne pourrai plus surfer).
mais elle ne m'inquiète pas trop cette connexion.
je prends cela plutot comme un TP. trouver le programme coupable.

note:je vous ai donné l'adresse complète

PapsOu

un petit http://tools.whois.net/whoisbyip/
avec l'IP concernée te donnera un bonne quantité d'information :

[Querying whois.ripe.net]
[whois.ripe.net]
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: this output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '194.112.114.128 - 194.112.114.255'

inetnum:        194.112.114.128 - 194.112.114.255
netname:        CW-AKAMAI-NET
descr:          Akamai International, BV
country:        FR
admin-c:        NARA1-RIPE
tech-c:         GNOC4-RIPE
status:         ASSIGNED PA
mnt-by:         CW-EUROPE-GSOC
source:         RIPE # Filtered

role:           Network Architecture Role Account
address:        Akamai Technologies
address:        8 Cambridge Center
address:        Cambridge, MA 02142
phone:          +1-617-938-3130
abuse-mailbox:  abuse@akamai.com
admin-c:        NF1714-RIPE
admin-c:        JP1944-RIPE
tech-c:         NF1714-RIPE
tech-c:         JP1944-RIPE
tech-c:         APB15-RIPE
tech-c:         CKAK-RIPE
tech-c:         PWG8-RIPE
tech-c:         MH7314-RIPE
tech-c:         TBAK-RIPE
nic-hdl:        NARA1-RIPE
mnt-by:         AKAM1-RIPE-MNT
source:         RIPE # Filtered

role:           Cable and Wireless IP GNOC Munich
remarks:        Cable&Wireless Worldwide Hostmaster
address:        Smale House
address:        London SE1
address:        UK
admin-c:        DOM12-RIPE
admin-c:        DS3356-RIPE
admin-c:        EJ343-RIPE
admin-c:        WW294-RIPE
admin-c:        MB4
tech-c:         AB14382-RIPE
tech-c:         MG10145-RIPE
tech-c:         DOM12-RIPE
tech-c:         JO361-RIPE
tech-c:         DS3356-RIPE
tech-c:         RS27341-RIPE
tech-c:         SA79-RIPE
tech-c:         EJ343-RIPE
tech-c:         WW294-RIPE
tech-c:         MB4
abuse-mailbox:  abuse@cw.net
nic-hdl:        GNOC4-RIPE
mnt-by:         CW-IPGNOC-MNT
source:         RIPE # Filtered

% Information related to '194.112.64.0/18AS1273'

route:        194.112.64.0/18
descr:        C&W ECRC, PA Block
origin:       AS1273
mnt-by:       CW-EUROPE-GSOC
source:       RIPE # Filtered

Comment torcher/débloquer ton « TP » rapidement 😉

[edit] : Là, tu as une info de géolcalisation, si ça peut aider à éclaircir :
http://www.ipillion.com/ip/194.112.114.177 :

IP Address:    194.112.114.177
IP Address Country:      France (FR)
IP Address Region:    A8 Ile-de-France
IP Address City:    Gentilly
IP Postal Code    
IP Address Area Code    0
IP Metro Code    0
IP Address Latitude:    48.8166999817
IP Address Longitude:    2.33330011368
IP Address ISP:     Cable & Wireless Telecommunication Services GmbH
Organisation:     Cable & Wireless Telecommunication Services GmbH
IP Address Proxy:    
IP Address Host:    194.112.114.177

magicbisous-nours

@pingou : en effet ça m'apprendra à réfléchir avant de taper sur mon clavier ! :hammer::hammer:

philippe_PMA

Dans cette page, il est question d'un trojan et l'adresse 194.112.114.177 fait partie des adresses en cours d'utilisation par Firefox.

PapsOu

philippe_PMA wrote:Dans cette page, il est question d'un trojan et l'adresse 194.112.114.177 fait partie des adresses en cours d'utilisation par Firefox.

De quelle page parles-tu ?

philippe_PMA

De cette page là : http://www.commentcamarche.net/forum/affich-19592423-comment-supprimer-trojan-heur-zgy-5 😉

piolet

@pingou bien sur que l'on peut bloquer le firewall en sortie
iptables -A OUTPUT -j DROP -d 194.112.114.177

vous m'avez donné pleins de renseignements sur cette adresse

mais comment trouver le programme responsable ?

piolet

bon je viens de trouver le programme responsable.

quand j'ai bloqué l'IP en sortie j'ai vu ce qui ne marchait plus.
Je n'ai plus la météo dans la clock-applet.

j'ai débloqué et le soleil brille !! C'est donc AKAMAI qui fait briller le soleil !

reste qu'il y a un manque de firewall applicatif comme dans windows. j'aurais su de suite que la clock-applet voulait accéder à internet.

pingou

piolet wrote:@pingou bien sur que l'on peut bloquer le firewall en sortie
iptables -A OUTPUT -j DROP -d 194.112.114.177
?

Oui mais ça ne correspond pas à la fermeture d'un port (au sens général) et ça ne se fait pas avec s-c-firewall par exemple 🙂
(encore que je peux aussi me tromper, il a pas mal d'options)

piolet

pour fermer un port
iptables -A OUTPUT -p tcp -m tcp --dport 80 -j DROP et le surf est impossible

dans s-c-firewall c'est le choix règles personnalisées qui permet d'ajouter le contenu d'un fichier dans lequel on met
-A OUTPUT -p tcp -m tcp --dport 80 -j DROP

je trouve ce choix très utile car il permet de garder ses règles dans un fichier. Dans le cas d'une réinstallation de Fedora c'est tout prêt.