| ntoskrnl |
| dr_jenia | Дата: 03:10 08.02.2009 | Сообщение # 1 |
Новичок
Сообщений: 16
Статус: не в сети
| Привет всем!!!!!!!! Есть вопрос: мой симантек ругается на генерацию трафика из ntoskrnl.exe пОДРАЗАМУВаю что это червяк, пропускают его все фаерволы, задолбался сним боротся. появляется эта штука если пользуюсь качалками, PPPoE соединением, иногда пробивается через торент подразумеваю что эта хрень седит в сети прова как победить ето?
|
| |
| |
|
| NikS | Дата: 12:31 08.02.2009 | Сообщение # 2 |
Профи
Сообщений: 264
Награды: 2
Статус: не в сети
| Quote (dr_jenia) мой симантек Пиратский?
|
| |
| |
|
| REsearch | Дата: 13:06 08.02.2009 | Сообщение # 3 |
Сисадмин
Сообщений: 968
Награды: 11
Статус: не в сети
| Quote (dr_jenia) Есть вопрос: мой симантек ругается на генерацию трафика из ntoskrnl.exe Напишите что именно за симантек, и какая версия. То, что фаерволл (например Symantec Endpoint Protection) блокирует входящий траффик ntoskrnl.exe, является нормой, так как по умолчанию в правилах настроена блокировка IPv6 траффика. ntoskrnl.exe - это системный модуль ядра windows.
|
|
| |
| |
|
| dr_jenia | Дата: 20:45 08.02.2009 | Сообщение # 4 |
Новичок
Сообщений: 16
Статус: не в сети
| to Sokolovnm есно оригинальный, правда копия корп to REsearch 11 четам mr4 eng ага в насьтройках блокирет ipV6 а зачем генерится? или провайдеру нада сижу под внутренним апи, точнее забил на внутренний и влез на точку доступа на прямую B), хотя если вписать оригинальный адрес тоже самое, но реже выскакивает а если ПППоЕ то еще чаще пс. кстати сегодня заметил что это проявилось как только торент полез в сеть
Изменил dr_jenia - Воскресенье, 08.02.2009, 20:47
|
| |
| |
|
| REsearch | Дата: 21:12 08.02.2009 | Сообщение # 5 |
Сисадмин
Сообщений: 968
Награды: 11
Статус: не в сети
| Quote (dr_jenia) 11 четам mr4 eng у меня такой же Quote (dr_jenia) хотя если вписать оригинальный адрес тоже самое, но реже выскакивает а если ПППоЕ то еще чаще пс. кстати сегодня заметил что это проявилось как только торент полез в сеть Чтоб не выдавало уведомление, можно его просто отключить (на работу торрент-клиентов и других программ это никак не влияет), что я у себя и сделал (было также).
Изменил REsearch - Воскресенье, 08.02.2009, 21:17
|
|
| |
| |
|
| dr_jenia | Дата: 21:48 08.02.2009 | Сообщение # 6 |
Новичок
Сообщений: 16
Статус: не в сети
| это метод понятен! Меня волновало что это ЗВЕРЬ который лазит по системе через порты и портит винды, были пренцинденты, поска непоставил симантек, Машина просто умирала: нажал клавишу а символ выскакивает только через сек 7 что неделал непомогало. пока симантек не поставил, а каспер так тот пропускает а потом ругается на какойто инваририор здается мне что симантек тоже пропускает этого зверя но запускать его недает если кто в сетях разбирается? тогда вопрос? сегодня тока запустился со мной были попытки соеденится какието порты номера явно были не начальные, а типа 10,0,2,176; 79 135 209 40
Изменил dr_jenia - Воскресенье, 08.02.2009, 21:55
|
| |
| |
|
| REsearch | Дата: 00:18 09.02.2009 | Сообщение # 7 |
Сисадмин
Сообщений: 968
Награды: 11
Статус: не в сети
| Quote (dr_jenia) если кто в сетях разбирается? тогда вопрос? сегодня тока запустился со мной были попытки соеденится какието порты номера явно были не начальные, а типа 10,0,2,176; 79 135 209 40 Логи в студию!
|
|
| |
| |
|
| dr_jenia | Дата: 21:38 09.02.2009 | Сообщение # 8 |
Новичок
Сообщений: 16
Статус: не в сети
| неполучается толи логи короткие толи я туплю
|
| |
| |
|
| REsearch | Дата: 22:24 09.02.2009 | Сообщение # 9 |
Сисадмин
Сообщений: 968
Награды: 11
Статус: не в сети
| Quote (dr_jenia) неполучается толи логи короткие толи я туплю Логи размером в 512 кб очень даже не короткие. Значит нужны логи Network Threat Protection - Traffic Log. Если вышеуказанные симптомы случаются регулярно, значит в логах это всё должно быть.
|
|
| |
| |
|
| dr_jenia | Дата: 19:23 12.02.2009 | Сообщение # 10 |
Новичок
Сообщений: 16
Статус: не в сети
| вот кусочек Code 334749 12.02.2009 18:19:08 Allowed 10 Outgoing ETHERNET [type=0x0] 239.192.152.143 01-00-5E-40-98-8F 0 10.0.12.100 00-1E-8C-D6-61-8F 0 User COMPUTER-6203DB Default 3 12.02.2009 18:18:34 12.02.2009 18:19:05 Allow IGMP to Pass Through 334750 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:34 12.02.2009 18:18:34 Block_all 334751 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:34 12.02.2009 18:18:34 Block_all 334752 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:34 12.02.2009 18:18:34 Block_all 334753 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:34 12.02.2009 18:18:34 Block_all 334754 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.243.17.10 00-0E-2E-9E-C0-8B 138 10.247.255.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe Us er COMPUTER-6203DB Default 1 12.02.2009 18:18:34 12.02.2009 18:18:34 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334755 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.243.20.1 00-13-8F-BD-14-C0 137 10.255.255.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 44 12.02.2009 18:18:34 12.02.2009 18:19:05 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334756 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:34 12.02.2009 18:18:34 Block_all 334757 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:34 12.02.2009 18:18:34 Block_all 334758 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.21.21.225 00-13-8F-8C-23-61 137 10.21.21.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COMPUTER-6203DB Default 12 12.02.2009 18:18:39 12.02.2009 18:18:55 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334759 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 Block_all 334760 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.244.4.5 00-13-8F-B6-95-4B 137 10.247.255.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COMPUTER-6203DB Default 7 12.02.2009 18:18:39 12.02.2009 18:18:55 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334761 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 Block_all 334762 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.3.2.144 00-13-D4-DC-6D-62 138 10.3.2.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe User COM PUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334763 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 Block_all 334764 12.02.2009 18:19:08 Blocked 10 Incoming ETHERNET [type=0x8137] 0.0.0.0 00-13-8F-8C-23-61 0 0.0.0.0 FF-FF-FF-FF-FF-FF 33079 User COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 Block_all 334765 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.244.3.40 00-13-8F-FC-7D-79 138 10.247.255.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334766 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.244.22.1 00-02-44-A5-9C-3D 138 10.247.255.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334767 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.244.28.8 00-13-20-CB-3F-5A 138 10.247.255.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334768 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.244.42.8 00-E0-91-35-F4-06 137 10.247.255.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 15 12.02.2009 18:18:39 12.02.2009 18:18:49 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334769 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.243.17.2 00-1B-FC-EA-1C-E2 138 10.247.255.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334770 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.9.0.201 00-1B-FC-89-6B-30 137 10.9.0.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COM PUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334771 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.244.13.9 00-1B-FC-B8-A2-EB 138 10.247.255.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 3 12.02.2009 18:18:39 12.02.2009 18:18:44 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334772 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.4.0.41 00-0A-E6-84-A3-83 137 10.4.0.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COMP UTER-6203DB Default 18 12.02.2009 18:18:39 12.02.2009 18:18:49 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334773 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.243.17.5 00-22-15-35-C1-C1 137 10.247.255.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 6 12.02.2009 18:18:39 12.02.2009 18:18:44 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334774 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.21.21.253 00-1E-8C-00-18-74 138 10.21.21.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe User COMPUTER-6203DB Default 1 12.02.2009 18:18:39 12.02.2009 18:18:39 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334775 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.246.14.4 00-0E-A6-50-F9-59 137 10.247.255.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 27 12.02.2009 18:18:39 12.02.2009 18:18:44 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334776 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.245.20.2 00-02-2A-E2-C6-F7 137 10.247.255.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe Use r COMPUTER-6203DB Default 6 12.02.2009 18:18:44 12.02.2009 18:19:00 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334777 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.243.9.1 00-80-5F-B7-38-70 137 10.247.255.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COMPUTER-6203DB Default 6 12.02.2009 18:18:44 12.02.2009 18:19:00 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334778 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.3.2.44 00-0A-48-05-A8-2F 137 10.3.2.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COMP UTER-6203DB Default 9 12.02.2009 18:18:44 12.02.2009 18:19:00 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334779 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.21.21.27 00-11-5B-8B-F5-FB 137 10.21.21.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User C OMPUTER-6203DB Default 4 12.02.2009 18:18:44 12.02.2009 18:18:44 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334780 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.9.0.141 00-02-3F-91-BA-D2 138 10.9.0.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe User COM PUTER-6203DB Default 1 12.02.2009 18:18:44 12.02.2009 18:18:44 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334781 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.21.21.102 00-18-F3-F5-0D-D4 137 10.21.21.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COMPUTER-6203DB Default 3 12.02.2009 18:18:44 12.02.2009 18:18:44 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334782 12.02.2009 18:19:08 Allowed 10 Incoming ICMP 79.135.203.10 01-00-20-00-01-00 0 79.135.204.86 00-00-01-00-00-00 0 C:\WINDOWS\system32\NTOSKRNL.EXE User C OMPUTER-6203DB Default 12 12.02.2009 18:18:44 12.02.2009 18:18:44 Allow ping reply 334783 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.3.2.189 00-1B-38-16-F8-09 137 10.3.2.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COM PUTER-6203DB Default 16 12.02.2009 18:18:44 12.02.2009 18:19:05 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334784 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.9.0.105 00-13-8F-AF-DD-9E 138 10.9.0.255 FF-FF-FF-FF-FF-FF 138 C:\WINDOWS\system32\ntoskrnl.exe User COM PUTER-6203DB Default 1 12.02.2009 18:18:44 12.02.2009 18:18:44 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334785 12.02.2009 18:19:08 Allowed 10 Incoming UDP 10.9.0.30 00-11-2F-35-82-FC 137 10.9.0.255 FF-FF-FF-FF-FF-FF 137 C:\WINDOWS\system32\ntoskrnl.exe User COMP UTER-6203DB Default 2 12.02.2009 18:18:44 12.02.2009 18:18:44 GUI%GUICONFIG#SRULE@NBENABLEYOU#ALLOW-UDP 334786 12.02.2009 18:19:08 Blocked 10 Incoming TCP 79.135.198.207 01-00-20-00-01-00 3858 79.135.204.86 00-00-01-00-00-00 445 C:\WINDOWS\system32\ntoskrnl.exe U ser COMPUTER-6203DB Default 3 12.02.2009 18:18:49 12.02.2009 18:18:55 GUI%GUICONFIG#SRULE@NBBLOCK#BLOCK-TCP
Изменил IwanS - Четверг, 12.02.2009, 19:59
|
| |
| |
|
| REsearch | Дата: 21:11 12.02.2009 | Сообщение # 11 |
Сисадмин
Сообщений: 968
Награды: 11
Статус: не в сети
| dr_jenia, вроде ничего подозрительного, если комп не тормозит, и ничего странного не происходит, тогда все нормально. А лучше настроить фаерволл в режим самообучения(по умолчанию стоит просто Allow IP traffic), перезагрузить комп, и самому смотреть какие и откуда проги выходят в интернет. Пример: Еще рекомендую обновить клиент на MR4MP1 этим патчом
|
|
| |
| |
|
| dr_jenia | Дата: 23:55 15.03.2009 | Сообщение # 12 |
Новичок
Сообщений: 16
Статус: не в сети
| Code ile Version: 5.1.2600.5657 File Description: Системный модуль ядра NT (NTOSKRNL.EXE) File Path: C:\WINDOWS\system32\NTOSKRNL.EXE Digital Signature: Process ID: 0x0 (Hexadecimal) 0 (Decimal)
Connection origin: remote initiated Protocol: ICMP Local Address: 79.135.205.198 ICMP Type: 11 (Time Exceeded for Datagram) ICMP Code: 0 (Time-to-Live Exceeded - from router) Remote Name: Remote Address: 193.254.218.2
Ethernet packet details: Ethernet II (Packet Length: 70) Destination: 00-00-02-00-00-00 Source: 02-00-20-00-02-00 Type: IP (0x0800) Internet Protocol Version: 4 Header Length: 20 bytes Flags: .0.. = Don't fragment: Not set ..0. = More fragments: Not set Fragment offset:0 Time to live: 249 Protocol: 0x1 (ICMP - Internet Control Message Protocol) Header checksum: 0xfe26 (Correct) Source: 193.254.218.2 Destination: 79.135.205.198 Internet Control Message Protocol Type: 11 (Time Exceeded for Datagram) Code: 0 (Time-to-Live Exceeded - from router) Data (32 bytes)
Binary dump of the packet: 0000: 00 00 02 00 00 00 02 00 : 20 00 02 00 08 00 45 90 | ........ .....E. 0010: 00 38 E0 E7 00 00 F9 01 : 26 FE C1 FE DA 02 4F 87 | .8......&.....O. 0020: CD C6 0B 00 E9 CE 00 00 : 00 00 45 98 00 30 AE D4 | ..........E..0.. 0030: 40 00 01 06 7A AE 4F 87 : CD C6 4D 78 E4 E7 12 7D | @...z.O...Mx...} 0040: EC 0E D6 53 36 51 : | ...S6Q Добавлено (13.02.2009, 02:04) --------------------------------------------- А я когда снимаю галочку у себя "Enable TCP resequencing", у мня скорость падает и работает в полудуплексе, но это особенности моего подключения  Добавлено (15.03.2009, 23:55) --------------------------------------------- а как отключить блокирование ipnat.sys ? в application я уму разпешил винет идти но выскакиев месага трафик заблокирован
|
| |
| |
|
| REsearch | Дата: 00:48 16.03.2009 | Сообщение # 13 |
Сисадмин
Сообщений: 968
Награды: 11
Статус: не в сети
| dr_jenia, в настройках фаервола нет включенной опции "Enable network application monitoring" ?
|
|
| |
| |
|
| dr_jenia | Дата: 19:14 17.03.2009 | Сообщение # 14 |
Новичок
Сообщений: 16
Статус: не в сети
| почему галочка не стоит? стоит!!! но я разрешил при запрсе доступ. а оно иногда выскакивает. кстати нынче сижу под DHCP + VPN
|
| |
| |
|
| REsearch | Дата: 20:07 17.03.2009 | Сообщение # 15 |
Сисадмин
Сообщений: 968
Награды: 11
Статус: не в сети
| Quote (dr_jenia) почему галочка не стоит? стоит!!! Ну вот, нужно ее убрать, и все заработает. Просто Ограничивается количество подключений 1-го приложения.
|
|
| |
| |