aktiivisia sessioita...

En muista eilistä tilannetta, mutta nyt on taas omista porteista 2430 - 2506 liikennettä aina jokaisessa tai joka toisessa portissa...

Erona eiliseen on, että kaikki nuo yhteydet on samaan IP-osoitteeseen ja porttiin 443. Voinee johtua siitä, että mulla on selainikkunoita auki?

Tosta 2506 -portista eteenpäin on vielä muutamia joiden kohdeportti on 80, IP-osoitteita on useampi... eikös 80 kuitenkin ole ihan normaalia selainliikennettä?

mää vaan kirjoitti:

En muista eilistä tilannetta, mutta nyt on taas omista porteista 2430 - 2506 liikennettä aina jokaisessa tai joka toisessa portissa...

Erona eiliseen on, että kaikki nuo yhteydet on samaan IP-osoitteeseen ja porttiin 443. Voinee johtua siitä, että mulla on selainikkunoita auki?

Tosta 2506 -portista eteenpäin on vielä muutamia joiden kohdeportti on 80, IP-osoitteita on useampi... eikös 80 kuitenkin ole ihan normaalia selainliikennettä?

joo, selainikkunoiden sulkeminen ja Ctrl Shift Del (Firefox) poisti kaikki nuo 443 -portin sessiot... jäljellä enää niitä, joiden kohdeportti on 80. IP:itä useita.

Ihmettelen sitä, että eilen kysyessäni ei ollut selainikkunoita auki (paitsi Suomi24) ja silti niitä oli niin paljon. Ja ne oli kaikki eri osoitteisiin ja muistaakseni jopa eri portteihin. Tai sit ei, en tiä. Äh. Ehkä pitää vaan ajaa joku SSD läpi.

mää vaan kirjoitti:

En muista eilistä tilannetta, mutta nyt on taas omista porteista 2430 - 2506 liikennettä aina jokaisessa tai joka toisessa portissa...

Erona eiliseen on, että kaikki nuo yhteydet on samaan IP-osoitteeseen ja porttiin 443. Voinee johtua siitä, että mulla on selainikkunoita auki?

Tosta 2506 -portista eteenpäin on vielä muutamia joiden kohdeportti on 80, IP-osoitteita on useampi... eikös 80 kuitenkin ole ihan normaalia selainliikennettä?

Eli TLS (vanhempia versiota kutsuttiin SSL:ksi). Normaalia webbiliikennettä siis, jos olet salatuilla sivuilla käynyt.

............ kirjoitti:

Eli TLS (vanhempia versiota kutsuttiin SSL:ksi). Normaalia webbiliikennettä siis, jos olet salatuilla sivuilla käynyt.

http-protokolla on yhteydetön eli toimii niin että lähetät pyynnön ja saat vastauksen. Näitä pyyntöjä ei mitenkään protokollan toimesta yhdistetä toisiinsa eli sulla ei ole mitään sessiota auki. Tämän takia sivustot käyttää sessionID:tä tai piparia, jossa pidetään keinotekoinen sessiotunnus. Muuten se sivusto ei tiedä esimerkiksi että kirjauduit aikaisemmalla pyynnöllä jo sisään.

Kun esimerkiksi haet suomi24-etusivun niin selain pyytää etusivua ja pyyntö lähtee portista X. Sitten se saa sivun ja huomaa, että pitää hakea 20 kuvaa. Jokaisesta kuvasta lähtee yks pyyntö ja aika usein selain käyttää peräkkäisiä portteja. Etusivun aukaisuun avautuu siis joku 20-30 pyyntöä helposti.

Jos avoimet portit epäilyttää, niin käytä jotain ohjelmaa joka osaa kertoa, että millä prosessilla se portti on auki.

http://www.foundstone.com/us/resources/proddesc/fport.htm

Jos sieltä löytyy joku /windows/system32/sdjfs9d8f9sf.exe jolla on yhteys johonkin IRC-serveriin, niin vaikuttais että olet osa bottiverkkoa.

keksa kirjoitti:

http-protokolla on yhteydetön eli toimii niin että lähetät pyynnön ja saat vastauksen. Näitä pyyntöjä ei mitenkään protokollan toimesta yhdistetä toisiinsa eli sulla ei ole mitään sessiota auki. Tämän takia sivustot käyttää sessionID:tä tai piparia, jossa pidetään keinotekoinen sessiotunnus. Muuten se sivusto ei tiedä esimerkiksi että kirjauduit aikaisemmalla pyynnöllä jo sisään.

Kun esimerkiksi haet suomi24-etusivun niin selain pyytää etusivua ja pyyntö lähtee portista X. Sitten se saa sivun ja huomaa, että pitää hakea 20 kuvaa. Jokaisesta kuvasta lähtee yks pyyntö ja aika usein selain käyttää peräkkäisiä portteja. Etusivun aukaisuun avautuu siis joku 20-30 pyyntöä helposti.

Jos avoimet portit epäilyttää, niin käytä jotain ohjelmaa joka osaa kertoa, että millä prosessilla se portti on auki.

http://www.foundstone.com/us/resources/proddesc/fport.htm

Jos sieltä löytyy joku /windows/system32/sdjfs9d8f9sf.exe jolla on yhteys johonkin IRC-serveriin, niin vaikuttais että olet osa bottiverkkoa.

Tuo pitää paikkansa HTTP 1.0:lla.

Ei taida olla HTTP versio 1.1 tuttua? Erityisesti pipelining-laajennukset. Eikä myöskään chunked-responset, joita käyttäen voi serveri pitää yhteyttä päällä ihan niin kauan kun haluaa. Käytetään esim. erilaisissa push-tekniikoissa, ts. Comet.

No mutta joka tapauksessa, vaikka yhteys ei jää päälle, siitä jää yhä palomuuriin state, joskus niin kauaksi aikaa kunnes palomuurin timeout käy sen pyyhkimässä.

........... kirjoitti:

Tuo pitää paikkansa HTTP 1.0:lla.

Ei taida olla HTTP versio 1.1 tuttua? Erityisesti pipelining-laajennukset. Eikä myöskään chunked-responset, joita käyttäen voi serveri pitää yhteyttä päällä ihan niin kauan kun haluaa. Käytetään esim. erilaisissa push-tekniikoissa, ts. Comet.

No mutta joka tapauksessa, vaikka yhteys ei jää päälle, siitä jää yhä palomuuriin state, joskus niin kauaksi aikaa kunnes palomuurin timeout käy sen pyyhkimässä.

oliko tässä Comet kyseessä? Ei vissiin.

Saahan sen HTTPn sisään vaikka ssl-tunnelin ja se näkyy yhtenä pyyntönä lokeissa.

Nää on kuitenkin erikoistapauksia ja tässä oli kyseessä ihan vaan selaimen lähettämät peräkkäiset pyynnöt.

keksa kirjoitti:

oliko tässä Comet kyseessä? Ei vissiin.

Saahan sen HTTPn sisään vaikka ssl-tunnelin ja se näkyy yhtenä pyyntönä lokeissa.

Nää on kuitenkin erikoistapauksia ja tässä oli kyseessä ihan vaan selaimen lähettämät peräkkäiset pyynnöt.

Monet ajax-sivustot käyttävät, ensimmäisenä tulee mieleen gmail.com. Comet toimii siis ihan missä selaimessa vain, se on vain tapa valita palvelimen puolelta milloin lähettää lisää. Siis javascriptin ja serverin interaktiota.

Mutta niin kuin aiemmin sanoin, kyllä se yhteys jää TCP-pinossakin pitkään odotustilaan sulkemisen jälkeen. Ja reitittimien NATit muistavat ne vieläkin kauemmin. Halvoissa reitittimissä saattaa olla 90s timeout, mutta oikeissa purkeissa esim. 30 min. tai vapaavalintainen.