Demin Ivan писал(а):
Я же трафика от них не видел. Может хотя бы дампы покажете?
Код:
16:02:22.305396 IP 83.102.255.226.411 > 192.168.1.50.3437: P 1:523(522) ack 0 win 32850
0x0000: 000f ea28 c080 0030 4f31 ba32 0800 4500 ...(...0O1.2..E.
0x0010: 0232 d735 4000 3c06 506d 5366 ffe2 c0a8 .2.5@.<.PmSf....
0x0020: 0132 019b 0d6d fde8 4986 1834 384a 5018 .2...m..I..48JP.
0x0030: 8052 6640 0000 2453 6561 7263 6820 3130 .Rf@..$Search.10
0x0040: 2e31 3338 2e36 302e 3135 323a 3231 3135 .138.60.152:2115
0x0050: 3820 463f 543f 303f 393f 5454 483a 344c 8.F?T?0?9?TTH:4L
0x0060: 4b44 4742 3734 4e48 3450 504a 514b 3459 KDGB74NH4PPJQK4Y
0x0070: 3459 4637 5357 4657 574d 4e43 4f53 5355 4YF7SWFWWMNCOSSU
0x0080: 3352 4647 497c 2453 6561 7263 6820 3130 3RFGI|$Search.10
0x0090: 2e37 342e 3134 322e 3935 3a32 3931 3339 .74.142.95:29139
0x00a0: 2046 3f54 3f30 3f39 3f54 5448 3a4b 5633 .F?T?0?9?TTH:KV3
0x00b0: 4254 3742 4e56 4245 4559 4a49 4b53 5644 BT7BNVBEEYJIKSVD
0x00c0: 3742 4f54 4f4c 584e 5250 374c 494b 4a44 7BOTOLXNRP7LIKJD
0x00d0: 4437 3751 7c24 5365 6172 6368 2031 302e D77Q|$Search.10.
0x00e0: 3132 302e 3136 352e 3539 3a31 3231 3131 120.165.59:12111
0x00f0: 2046 3f54 3f30 3f31 3f72 6563 6f72 6424 .F?T?0?1?record$
0x0100: 7261 707c 2453 6561 7263 6820 3130 2e32 rap|$Search.10.2
0x0110: 3135 2e31 3134 2e38 393a 3237 3838 2046 15.114.89:2788.F
0x0120: 3f54 3f30 3f39 3f54 5448 3a49 4c43 5347 ?T?0?9?TTH:ILCSG
0x0130: 4c51 4b44 4a55 4442 3642 3235 344d 464e LQKDJUDB6B254MFN
0x0140: 3357 5732 4f37 504a 5442 5459 4842 4b4c 3WW2O7PJTBTYHBKL
0x0150: 4b59 7c24 5365 6172 6368 2031 302e 3132 KY|$Search.10.12
0x0160: 302e 3736 2e37 333a 3231 3333 3420 463f 0.76.73:21334.F?
0x0170: 543f 303f 393f 5454 483a 5653 5a4d 4c4c T?0?9?TTH:VSZMLL
0x0180: 515a 4556 5a44 414c 5959 5533 364a 3737 QZEVZDALYYU36J77
0x0190: 4a46 4644 5648 5144 3249 3359 4a4b 4f57 JFFDVHQD2I3YJKOW
0x01a0: 497c 2453 6561 7263 6820 3835 2e31 3431 I|$Search.85.141
0x01b0: 2e37 312e 3138 3a32 3132 3220 463f 543f .71.18:2122.F?T?
0x01c0: 303f 393f 5454 483a 3450 5943 3435 4351 0?9?TTH:4PYC45CQ
0x01d0: 5954 444c 4746 3753 514c 3658 5447 3555 YTDLGF7SQL6XTG5U
0x01e0: 3455 4848 5936 334d 4757 3754 5859 497c 4UHHY63MGW7TXYI|
0x01f0: 2453 6561 7263 6820 3130 2e31 3230 2e35 $Search.10.120.5
0x0200: 322e 3130 393a 3236 3832 3820 463f 543f 2.109:26828.F?T?
0x0210: 303f 393f 5454 483a 4755 3341 5037 3545 0?9?TTH:GU3AP75E
0x0220: 3355 3354 4641 5957 5337 3341 4951 4b37 3U3TFAYWS73AIQK7
0x0230: 4632 584a 3651 5532 4934 4b4e 4832 417c F2XJ6QU2I4KNH2A|
16:02:22.481214 IP 192.168.1.50.3437 > 83.102.255.226.411: . ack 523 win 32161
0x0000: 0030 4f31 ba32 000f ea28 c080 0800 4500 .0O1.2...(....E.
0x0010: 0028 ef1f 4000 8006 f68c c0a8 0132 5366 .(..@........2Sf
0x0020: ffe2 0d6d 019b 1834 384a fde8 4b90 5010 ...m...48J..K.P.
0x0030: 7da1 7410 0000 0000 0000 0000 }.t.........
16:02:22.599232 IP 10.14.0.2.411 > 192.168.1.50.3436: P 3528662314:3528662316(2) ack 1214272973 win 250
0x0000: 000f ea28 c080 0030 4f31 ba32 0800 4500 ...(...0O1.2..E.
0x0010: 002a 4362 4000 4006 2b82 0a0e 0002 c0a8 .*Cb@.@.+.......
0x0020: 0132 019b 0d6c d253 1d2a 4860 55cd 5018 .2...l.S.*H`U.P.
0x0030: 00fa 21b8 0000 247c ..!...$|
16:02:22.782992 IP 192.168.1.50.3436 > 10.14.0.2.411: . ack 2 win 32766
0x0000: 0030 4f31 ba32 000f ea28 c080 0800 4500 .0O1.2...(....E.
0x0010: 0028 ef21 4000 8006 3fc4 c0a8 0132 0a0e .(.!@...?....2..
0x0020: 0002 0d6c 019b 4860 55cd d253 1d2c 5010 ...l..H`U..S.,P.
0x0030: 7ffe c737 0000 0000 0000 0000 ...7........
16:02:22.783094 IP 10.14.0.2.411 > 192.168.1.50.3436: P 2:28(26) ack 1 win 250
0x0000: 000f ea28 c080 0030 4f31 ba32 0800 4500 ...(...0O1.2..E.
0x0010: 0042 4363 4000 4006 2b69 0a0e 0002 c0a8 .BCc@.@.+i......
0x0020: 0132 019b 0d6c d253 1d2c 4860 55cd 5018 .2...l.S.,H`U.P.
0x0030: 00fa 4c47 0000 2451 7569 7420 6c69 6c5f ..LG..$Quit.lil_
0x0040: 6469 7274 7c24 5175 6974 2061 6c65 787c dirt|$Quit.alex|
16:02:22.982347 IP 83.102.255.226.411 > 192.168.1.50.3437: P 523:959(436) ack 0 win 32850
0x0000: 000f ea28 c080 0030 4f31 ba32 0800 4500 ...(...0O1.2..E.
0x0010: 01dc df45 4000 3c06 48b3 5366 ffe2 c0a8 ...E@.<.H.Sf....
0x0020: 0132 019b 0d6d fde8 4b90 1834 384a 5018 .2...m..K..48JP.
0x0030: 8052 467f 0000 2451 7569 7420 7177 6572 .RF...$Quit.qwer
0x0040: 747a 7c24 4d79 494e 464f 2024 414c 4c20 tz|$MyINFO.$ALL.
0x0050: 5b56 6173 325d 436f 6d6f 6e37 3737 5f2d [Vas2]Comon777_-
0x0060: 3d50 4954 4552 3d2d 205b 3134 5d3c 466c =PITER=-.[14]<Fl
0x0070: 796c 696e 6b44 432b 2b20 563a 2872 3330 ylinkDC++.V:(r30
0x0080: 3729 2c4d 3a41 2c48 3a32 2f30 2f30 2c53 7),M:A,H:2/0/0,S
0x0090: 3a31 353e 2420 2431 3030 0924 2431 3133 :15>$.$100.$$113
0x00a0: 3637 3135 3838 3530 3624 7c24 5365 6172 671588506$|$Sear
0x00b0: 6368 2031 302e 3131 352e 3139 2e31 3136 ch.10.115.19.116
0x00c0: 3a38 3233 3720 463f 543f 303f 393f 5454 :8237.F?T?0?9?TT
0x00d0: 483a 4350 5851 584b 5350 5758 3258 4c35 H:CPXQXKSPWX2XL5
0x00e0: 3753 5441 4954 4c47 4445 5932 5046 504c 7STAITLGDEY2PFPL
0x00f0: 3244 3536 4835 4751 497c 2453 6561 7263 2D56H5GQI|$Searc
0x0100: 6820 3130 2e37 342e 3230 2e31 3134 3a31 h.10.74.20.114:1
0x0110: 3335 3735 2046 3f54 3f30 3f39 3f54 5448 3575.F?T?0?9?TTH
0x0120: 3a37 524b 5150 3745 3734 4c54 5341 374f :7RKQP7E74LTSA7O
0x0130: 4548 534b 5655 5842 4754 435a 4b53 4e59 EHSKVUXBGTCZKSNY
0x0140: 5736 514c 4643 4e59 7c24 5365 6172 6368 W6QLFCNY|$Search
0x0150: 2037 372e 3431 2e31 322e 3137 383a 3238 .77.41.12.178:28
0x0160: 3035 3720 463f 543f 303f 393f 5454 483a 057.F?T?0?9?TTH:
0x0170: 3256 414b 574e 3256 5137 5044 5244 5358 2VAKWN2VQ7PDRDSX
0x0180: 4d45 4b57 5734 4f55 4e42 3543 4942 4837 MEKWW4OUNB5CIBH7
0x0190: 3550 4b46 3445 597c 244d 7949 4e46 4f20 5PKF4EY|$MyINFO.
0x01a0: 2441 4c4c 205b 5072 6d5d 414e 5a6f 7253 $ALL.[Prm]ANZorS
0x01b0: 5062 203c 5374 7267 4443 2b2b 2056 3a32 Pb.<StrgDC++.V:2
0x01c0: 2e30 352c 4d3a 502c 483a 302f 312f 302c .05,M:P,H:0/1/0,
0x01d0: 533a 353e 2420 2431 3030 0124 2432 3136 S:5>$.$100.$$216
0x01e0: 3434 3731 3330 3737 247c 44713077$|
16:02:22.984153 IP 192.168.1.50.3436 > 10.14.0.2.411: . ack 28 win 32753
0x0000: 0030 4f31 ba32 000f ea28 c080 0800 4500 .0O1.2...(....E.
0x0010: 0028 ef23 4000 8006 3fc2 c0a8 0132 0a0e .(.#@...?....2..
0x0020: 0002 0d6c 019b 4860 55cd d253 1d46 5010 ...l..H`U..S.FP.
0x0030: 7ff1 c72a 0000 0000 0000 0000 ...*........
16:02:23.075454 IP 192.168.1.51.1064 > 72.165.61.187.27017: UDP, length 84
0x0000: 0030 4f31 ba32 0013 4639 c9aa 0800 4500 .0O1.2..F9....E.
0x0010: 0070 7fcc 0000 8011 7275 c0a8 0133 48a5 .p......ru...3H.
0x0020: 3dbb 0428 6989 005c 9218 5653 3031 3000 =..(i..\..VS010.
0x0030: 0704 0002 0000 00ce 25ee 0000 0000 7d00 ........%.....}.
0x0040: 0000 0100 0000 0000 0000 3000 0000 7b6c ..........0...{l
0x0050: de44 565a dfa4 caa8 93fa 5287 e22c ed06 .DVZ......R..,..
0x0060: da4e 4094 33e4 1116 fcee a555 1355 870d .N@.3......U.U..
0x0070: 873e 4568 29bc 11b2 b4e8 4781 73d6 .>Eh).....G.s.
16:02:23.084771 IP 192.168.1.50.3437 > 83.102.255.226.411: . ack 959 win 32768
0x0000: 0030 4f31 ba32 000f ea28 c080 0800 4500 .0O1.2...(....E.
0x0010: 0028 ef25 4000 8006 f686 c0a8 0132 5366 .(.%@........2Sf
0x0020: ffe2 0d6d 019b 1834 384a fde8 4d44 5010 ...m...48J..MDP.
0x0030: 8000 6ffd 0000 0000 0000 0000 ..o.........
На самом деле ACL будет трудно сделать, так как некоторые клиенты например StrongDC, ApexDC кроме обычного формата могут имитировать обмен то по "HTTP/1.1", то по"GOPHER" или даже по "HTTPS".
Надо "ловить" пакеты по стркам
Код:
$mynick или $lock или $key или $myinfo
или
iptables --layer7