Início / ubuntu / Perguntas / 1117024
Accepted
killer_rabbit
Asked: 2019-02-10 15:44:29 +0800 CST

Novas regras estranhas adicionadas à minha configuração do iptables... Meu servidor foi hackeado?

  • 772

Hoje, listei meu iptables para uma verificação de rotina - e descobri duas regras UFW estranhas que não me lembro de ter configurado, referindo-se a dois endereços IP específicos que não consigo identificar:

-A ufw-before-input -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT
-A ufw-before-input -d 239.255.255.250/32 -p udp -m udp --dport 1900 -j ACCEPT

Isso é meio assustador. Alguém conseguiu invadir meu servidor e adicionar essas regras? Se não, o que aconteceu?

(E se algum agente malicioso invadiu meu firewall, por que ele usaria as portas 5353 e 1900, que não estão sendo encaminhadas pelo meu roteador??)

iptables firewall ufw hacking

2 respostas

  1. Best Answer

    Citando man ufw:

    NOTES
       On installation, ufw is disabled with  a  default  incoming  policy  of
       deny,  a  default forward policy of deny, and a default outgoing policy
       of allow, with stateful tracking for NEW connections for  incoming  and
       forwarded  connections.  In addition to the above, a default ruleset is
       put in place that does the following:

       [ ... ]

       - ACCEPT mDNS (zeroconf/bonjour/avahi 224.0.0.251 for IPv4 and ff02::fb
       for IPv6) for service discovery (INPUT)

       - ACCEPT UPnP (239.255.255.250 for IPv4 and ff02::f for IPv6) for ser‐
       vice discovery (INPUT)

    Portanto, essas duas regras que você está vendo fazem parte das ufwconfigurações padrão do e permitem que os serviços mDNS e UPnP funcionem.

    • 4

  2. O Google diz que esses endereços IP estão relacionados ao Simple Service Discovery Protocol (SSDP)/uPnP e iTunes. Portanto, é provável que essas regras estejam relacionadas ao software que você instalou e ao compartilhamento de informações em uma LAN. whoisnão retorna nenhuma informação para nenhum IP.

    Ver

    https://stackoverflow.com/questions/12483717/what-is-the-multicast-doing-on-224-0-0-251

    e

    https://wiki.wireshark.org/SSDP

    • 1

relate perguntas