| 上一篇文章 :: 下一篇文章 |
| 發表人 |
內容 |
mnbbnm
一級
註冊時間: 2003-04-28
文章: 32
來自: 中華民國
|
 發表於: 星期六 九月 02, 2006 1:32 pm 文章標題: 秀出內網IP |
 |
|
請問素大
要怎麼讓MAILD秀出內網的IP(192.168.0...)
最近不知道公司那一台中毒(木馬病毒)，會用user的帳號發信
發一些奇奇怪怪的文章、色情、圖片...等等
有的會發標題內容「嘿嘿,你中毒了.. 」
去詢問發信user，他們回應沒寄信是被假冒的
想要抓出發信的PC，不過公司的IP經過NAT都變成一樣的真實IP
在LOG中實在看不出來，有沒有什麼辦法可以秀出內網IP |
|
| 回頂端 |
|
 |
梨子
六段
註冊時間: 2005-06-29
文章: 128
來自: 中華民國
|
| 發表於: 星期一 九月 04, 2006 9:21 am 文章標題: Re: 秀出內網IP |
|
|
| mnbbnm 寫到: | 請問素大
要怎麼讓MAILD秀出內網的IP(192.168.0...)
最近不知道公司那一台中毒(木馬病毒)，會用user的帳號發信
發一些奇奇怪怪的文章、色情、圖片...等等
有的會發標題內容「嘿嘿,你中毒了.. 」
去詢問發信user，他們回應沒寄信是被假冒的
想要抓出發信的PC，不過公司的IP經過NAT都變成一樣的真實IP
在LOG中實在看不出來，有沒有什麼辦法可以秀出內網IP |
我記得沒錯的話~現在病毒都不用透過使用者的郵件伺服器來寄也，假設你說的狀況確實
那也把問題想的太複雜了，既然要在雷電寄信會檢查使用者帳號密碼
而使用者PC一般都只會設定一組帳號密碼(就算好幾個人用該PC，也沒差，要找出的就是哪一台電腦中毒)
所以從LOG裡面看誰的發信有問題就知道，例如大量發信~他的收件者後面會一大串
你也可以在雷電設定裏面設定最大發信量(就是一封信最多可以寄給幾個人)...等等
總之看是病毒用誰的帳號寄信，那就是他的電腦有毒 |
|
| 回頂端 |
|
|
mnbbnm
一級
註冊時間: 2003-04-28
文章: 32
來自: 中華民國
|
| 發表於: 星期一 九月 04, 2006 10:35 am 文章標題: Re: 秀出內網IP |
|
|
| 梨子 寫到: | 我記得沒錯的話~現在病毒都不用透過使用者的郵件伺服器來寄也，假設你說的狀況確實
那也把問題想的太複雜了，既然要在雷電寄信會檢查使用者帳號密碼
而使用者PC一般都只會設定一組帳號密碼(就算好幾個人用該PC，也沒差，要找出的就是哪一台電腦中毒)
所以從LOG裡面看誰的發信有問題就知道，例如大量發信~他的收件者後面會一大串
你也可以在雷電設定裏面設定最大發信量(就是一封信最多可以寄給幾個人)...等等
總之看是病毒用誰的帳號寄信，那就是他的電腦有毒 |
我覺得不是病毒，是後門or 木馬程式在作怪，透過公司的真實IP來寄
雖然MAILD會檢查USER的帳號密碼，不過在SMTP時是顯示[IP 要求 SMTP 服務 - 寄信人是 user@domain name]
user@domain name是真實存在的，不過該user@domain name卻真的沒發信
如果自LOG檔來看是不準的，因為該PC已經被我FORMAT，照道理應該沒有病毒&後門
不過還是有透過該user@domain name在發信，那就是被假冒發信了
如果我設最大發信量也不可行，我是公司在使用最少要開到50∼60user數
還有信不是毒，是色情信件.....女性員工(主管)看到不太好 |
|
| 回頂端 |
|
|
梨子
六段
註冊時間: 2005-06-29
文章: 128
來自: 中華民國
|
| 發表於: 星期一 九月 04, 2006 1:42 pm 文章標題: Re: 秀出內網IP |
|
|
| mnbbnm 寫到: |
我覺得不是病毒，是後門or 木馬程式在作怪，透過公司的真實IP來寄
雖然MAILD會檢查USER的帳號密碼，不過在SMTP時是顯示[IP 要求 SMTP 服務 - 寄信人是 user@domain name]
user@domain name是真實存在的，不過該user@domain name卻真的沒發信
如果自LOG檔來看是不準的，因為該PC已經被我FORMAT，照道理應該沒有病毒&後門
不過還是有透過該user@domain name在發信，那就是被假冒發信了
如果我設最大發信量也不可行，我是公司在使用最少要開到50∼60user數
還有信不是毒，是色情信件.....女性員工(主管)看到不太好 |
這個問題的確蠻棘手的...以這種情形來看木馬可能感染好幾台PC了
我想大概有幾個方式
一、先採取更改該帳號的密碼(不過如果該木馬有自備SMTP功能就沒有作用了)
二、使用網路監控軟體來查，不過這部份我並不熟悉該使用哪套軟體會比較事半功倍
三、徹底整頓所有PC，因為像這種情形代表內部的安全防禦可能已經崩潰，只有這樣才算治本
像這種木馬會在區網攻擊其他PC，如果你電腦有軟體防火牆，應該會有被攻擊的紀錄，裡面就會有IP
在不然就要去查NAT上面的紀錄，用時間點去核對 |
|
| 回頂端 |
|
|
mnbbnm
一級
註冊時間: 2003-04-28
文章: 32
來自: 中華民國
|
| 發表於: 星期一 九月 04, 2006 2:32 pm 文章標題: Re: 秀出內網IP |
|
|
| 梨子 寫到: |
這個問題的確蠻棘手的...以這種情形來看木馬可能感染好幾台PC了
我想大概有幾個方式
一、先採取更改該帳號的密碼(不過如果該木馬有自備SMTP功能就沒有作用了)
二、使用網路監控軟體來查，不過這部份我並不熟悉該使用哪套軟體會比較事半功倍
三、徹底整頓所有PC，因為像這種情形代表內部的安全防禦可能已經崩潰，只有這樣才算治本
像這種木馬會在區網攻擊其他PC，如果你電腦有軟體防火牆，應該會有被攻擊的紀錄，裡面就會有IP
在不然就要去查NAT上面的紀錄，用時間點去核對 |
確實蠻棘手的，也不知道感染那些PC
我想就你提供的先著手試試看吧
一、雖然不知道該木馬有沒有SMTP的功能，先改看看吧
二、網路監控部分我也不熟，我再找找吧
三、這是木馬有攻擊時，可以看攻擊的IP
不過因為它沒攻擊，只是純粹用別人的EMAIL發一些「好看」的信，用NAT可能看不太出來
不過很是很感謝你提供的方法!!!! |
|
| 回頂端 |
|
|
蛋頭
小霸王
註冊時間: 2005-04-20
文章: 258
來自: 中華民國
|
| 發表於: 星期一 九月 04, 2006 4:04 pm 文章標題: Re: 秀出內網IP |
|
|
| mnbbnm 寫到: | 請問素大
要怎麼讓MAILD秀出內網的IP(192.168.0...)
最近不知道公司那一台中毒(木馬病毒)，會用user的帳號發信
發一些奇奇怪怪的文章、色情、圖片...等等
有的會發標題內容「嘿嘿,你中毒了.. 」
去詢問發信user，他們回應沒寄信是被假冒的
想要抓出發信的PC，不過公司的IP經過NAT都變成一樣的真實IP
在LOG中實在看不出來，有沒有什麼辦法可以秀出內網IP |
讓MAILD秀出內網的IP??
我提供我的設定供您參考:
1. RMAILD 有2片網卡, 1 片為 WAN 的 IP, 另1片設定成虛擬IP.
2. LAN 內的 USER, 在 Outlook 設定其
內送郵件(POP3) & 外寄郵件(SMTP) 都指向RMAILD 的虛擬IP.
如此設定有一些好處, 就是LAN 內的 USER, 都是透過 LAN 收發 Email,
傳輸速度遠大於透過 WAN 傳輸.
您也可以從 LOG file 看出哪個 IP 在使用 RMAILD.  |
|
| 回頂端 |
|
|
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13011
來自: TAIWAN
|
| 發表於: 星期二 九月 05, 2006 11:28 am 文章標題: |
|
|
既是病毒的話, 它應該不會經過mail server.
任一台電腦都可以對網路上的mail server 寄信.
你要有偵測流量/抓封包的軟體,
才能探查內部網路對外的不正常的狀況.
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: [email protected]
公司網站 http://www.raidenmaild.com/company/ |
|
| 回頂端 |
|
|
mnbbnm
一級
註冊時間: 2003-04-28
文章: 32
來自: 中華民國
|
| 發表於: 星期三 九月 06, 2006 8:50 am 文章標題: |
|
|
| Arnor 寫到: | 既是病毒的話, 它應該不會經過mail server.
任一台電腦都可以對網路上的mail server 寄信.
你要有偵測流量/抓封包的軟體,
才能探查內部網路對外的不正常的狀況. |
素大，不是病毒
是後門程式吧，只會散發一些「好看」的
而且它確實有經過我的MAILD，我在LOG檔上看的到
而且還是用公司的真實IP |
|
| 回頂端 |
|
|
mnbbnm
一級
註冊時間: 2003-04-28
文章: 32
來自: 中華民國
|
| 發表於: 星期三 九月 06, 2006 8:54 am 文章標題: Re: 秀出內網IP |
|
|
| 蛋頭 寫到: |
讓MAILD秀出內網的IP??
我提供我的設定供您參考:
1. RMAILD 有2片網卡, 1 片為 WAN 的 IP, 另1片設定成虛擬IP.
2. LAN 內的 USER, 在 Outlook 設定其
內送郵件(POP3) & 外寄郵件(SMTP) 都指向RMAILD 的虛擬IP.
如此設定有一些好處, 就是LAN 內的 USER, 都是透過 LAN 收發 Email,
傳輸速度遠大於透過 WAN 傳輸.
您也可以從 LOG file 看出哪個 IP 在使用 RMAILD. |
的確是一種方法，謝謝你的提供!! |
|
| 回頂端 |
|
|
Liang
獅王
註冊時間: 2002-11-10
文章: 662
來自: 台灣 , 中華民國
|
| 發表於: 星期四 九月 07, 2006 12:02 am 文章標題: |
|
|
除非連信件標頭都改了,
從信件標頭部份找出來源...
一般不是看了不該看的或開了不該開的,
在內網中的使用者少有這樣的事件發生. |
|
| 回頂端 |
|
|
mnbbnm
一級
註冊時間: 2003-04-28
文章: 32
來自: 中華民國
|
| 發表於: 星期四 九月 07, 2006 12:59 am 文章標題: |
|
|
| Liang 寫到: | 除非連信件標頭都改了,
從信件標頭部份找出來源...
一般不是看了不該看的或開了不該開的,
在內網中的使用者少有這樣的事件發生. |
應該是有人去逛色情網站，所造成的吧!!! |
|
| 回頂端 |
|
|
|
