> >>>>> IP 80.60.x.x > z.z.z.z: ICMP redirect 0.0.0.0 to host 195.190.x.x,
> >>>>> length 36 где "z.z.z.z" - серый адрес
> >>>>
> >>>> Это перенаправление ICMP, см.
> >>>> http://www.grosbein.net/docs/stevens/ru-html/glava9.html
> >>>
> >>> Прежде всего это атака (выполненная означенным тобой методом).
> >>> http://citforum.ru/internet/attack/c44.shtml
> >>
> >> Ну и, разумеется, можно полностью отключить обработку перенаправлений через
> >> sysctl net.inet.icmp.drop_redirect=1
> > 
> > Атакуемая машина часто ломится в сеть атакующего. Как выяснить имя
> > демона, инициирующего соединение?
> 
> Для tcp или udp проще всего командой sockstat, по номеру порта.
Уже делал. Соединение закрывается быстрее, чем я успеваю grepнуть.

-- 

Ответить