arp moved

mastodont - 27-05-2009 10:38
arp moved
Co jakiś czas pojawia mi się w logach:

Kod: May 26 21:58:38 <hostname> kernel: arp: 91.121.178.250 moved from 00:1f:c6:f2:d4:ae to 00:00:0c:07:ac:01 on re0
May 26 21:58:38 <hostname> kernel: arp: 91.121.178.250 moved from 00:00:0c:07:ac:01 to 00:1f:c6:f2:d4:ae on re0 Według wątku: http://www.derkeiler.com/Mailing-Lis...4-01/0065.html mogą to być:
lmachines/devices in your network sharing the same IP-addressl llooks like someone is using tools like ettercap -- ARP cache poisoningl lsome sort of clustering software which uses changing MAC addressesl Co to jest?

felixd - 27-05-2009 12:17
1. Wątpie aby ktoś przypadkowo źle ustawił adres IP :)
2. Ktoś najprawdopodniej bawi się w przechwytywanie danych które przechodzą przez router i do tego celu używa techniki która zaśmieca cache ARP.

Adres MAC 00:00:0c:07:ac:01
Kod producenta:00:00:0c Kod produktu:07:ac:01
Organizacja: Cisco Systems, Inc.

Adres MAC 00:1f:c6:f2:d4:ae
Kod producenta:00:1f:c6 Kod produktu: f2:d4:ae
Organizacja: Asustek Computer Inc.

Poszukaj serwera który ma drugi mac adres karty sieciowej a będziesz wiedział kto się tym bawił :)

3. Ta opcja raczej odpada :)

Łabędź - 27-05-2009 13:05
Cytat:
Kod: May 26 21:58:38 <hostname> kernel: arp: 91.121.178.250 moved from 00:1f:c6:f2:d4:ae to 00:00:0c:07:ac:01 on re0
May 26 21:58:38 <hostname> kernel: arp: 91.121.178.250 moved from 00:00:0c:07:ac:01 to 00:1f:c6:f2:d4:ae on re0 Przeważnie też to widzimy i się odpowiednio takim serwerem zajmujemy.

pozdrawiam

mastodont - 28-05-2009 11:20
Dzięki!

Rozumiem że mam zgłaszać takie incydenty?

Łabędź - 28-05-2009 12:43
Cytat:
Dzięki!

Rozumiem że mam zgłaszać takie incydenty? Nie zaszkodzi :)

pozdrawiam

mastodont - 08-06-2009 22:55
I znów:

Kod: Jun 8 21:31:37 <hostname> kernel: arp: 91.121.178.250 moved from 00:1f:c6:f2:d4:ae to 00:00:0c:07:ac:01 on re0
Jun 8 21:32:08 <hostname> kernel: arp: 91.121.178.250 moved from 00:00:0c:07:ac:01 to 00:1f:c6:f2:d4:ae on re0

felixd - 09-06-2009 22:44
No i znowu mowie tobie zebys sprawdzil ktore adresy IP w twojej klasie mają ten mac addres ! ;)

Będąc zalogowanym na konto root

# fping -g 91.121.178.0/24
# arp | grep 00:1f:c6:f2:d4:ae

i juz dostaniesz ip komputera ktore robi bałagan.