ＩＤＳ質問スレッド
■ このスレッドは過去ログ倉庫に格納されています
0001しょしんしゃ
NGNG0002しょしんしゃ
NGNGとりあえず、linuxにsnortいれてるんですが、
怪しげなパケットと本当に怪しいパケットの違いがよくわかりません。
教えてください．
0003しょしんしゃ
NGNGMar 31 08:48:23 210.172.128.20:80 -> *.*.*.6:56596 UNKNOWN *2*A**S* RESERVEDBITS
これ、ごく普通のHTTP応答で発生しているんですが、何が起こってるのでしょうか？
次のWWWサイトに接続すると、帰ってくるようなんです。
210.172.128.60：www.interq.com
202.248.141.232: netscape
02.226.93.133:防衛庁
202.238.76.19:sony music
0004Fiνe
NGNGへんなパケット送ってくるときが有るけど、
それじゃない？
0005しょしんしゃ
NGNG意図的に送ってるとしか思えません．
なにか意味があるのでしょうか？
0006Five
NGNG以下の Hex Dump は 202.248.141.232 へ HTTP でコネクションを
張った結果を tcpdump -x にてパケットキャプチャしたものから、
IP/TCP Header 部分だけ抜き出したものです。
# プライバシー保護のため :-) Destination Address と Checksum は
マスクしました。
4500 002c ad61 4000 3706 **** caf8 8de8
**** **** 0050 0572 8511 e425 ee56 9429
6052 1f40 **** 0000
TCP Header の 13/14 Byte 目を見ると 0x6052 となっています。
二進数で示すと 0110 0000 0101 0010 です。最初の 4bit はヘッダー長
です。次の 6bit は "Reserved" となっています。通常はここは
all 0 なのですが、このパケットでは "000001" となっています。
先のログの "RESERVEDBITS" はこれを指していると思われます。
最後の 6bit は CodeBits と呼ばれ、状態遷移制御のためのフラグを
意味します。これは "010010" となっており、"ACK + SYN" という
意味になります。これが先のログの "*A**S*" に対応するものだと
思います。
ということで、このエラーは「TCP の Reserved ビットが立っているぞ、
なぜだ？」という意味でしょう。なぜでしょうね？ほかのサイトでも
同じ現象を確認しました。ロードバランサーがマーキングに使っているとか
そういうことでしょうか？
0007
NGNG「予約されているぞ、勝手に使うな」という意味なんでしょうか？
「既定がないぞ、勝手に使ってよいぞ」という意味なんでしょうか？
0008anonymous
NGNG「使ってもいいけど、みんながその用法を理解ないし了解している
わけではないから、トラブルが起きても不思議はない。
もしトラブルを起こしたくないなら、RFC として広報しな」
という意味だろ。
0009名無しさん＠そうだ選挙に逝こう
NGNG一応使わない OS が多いですが、
実は ECN に使われています。
00109
NGNGttp://www.securityfocus.com/frames/?focus=ids&content=/focus/ids/articles/ECN.html
0011しょしんしゃ
NGNGありがとうございます。
疑問が氷解しました。
けど、問題は片付かない。特定のホストに対してアラートを出さないように
snortのソースいじるしかないのかな？
0012
NGNG■ このスレッドは過去ログ倉庫に格納されています