Une adresse IP très improbable...

par **orange_smell** » 17 Sep 2003 14:49

Salut, Voilà un p'tit truc que l'on ne vois pas tous les jours. Au sein de mon réseau d'entreprise (environ 15000 postes tout de même), une machine a essayé d'ouvrir l'affichage X Display (port 6000) sur un de mes serveurs. Le log sur la machine, me donne son adresse IP: 10.-96.9.87 <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_confused.gif"> Non, ce n'est pas une faute de frappe, y'a bien un signe moins. Ca ne m'inquiete pas trop car le serveur l'a stoppé directement, mais bon, je ne comprends pas comment il est possible d'avoir ce resultat. Dans l'ip elle même, il est impossible de stocker un signe, et le module de log est largement validé. Bref, c'est juste très bizarre. Si quelqu'un a une idée sur comment cela est possible, je suis preneur.

par **jdh** » 17 Sep 2003 17:03

Une adresse ip (v4) est codée sur 4 octets. Elle est généralement notée "chaque octet séparé par un point". Par exemple 192.168.1.55 -> octet 1 : 192; octet 2: 168; ... On peut aussi la noter par un nombre selon la formule : ip = ((oct1 *256 + oct2)*256 + oct3)*256 + oct4 Par exemple 3232235831 = ((192*256+168)*256+1)*256+55 Voir un octet négatif est surprenant !! Mais que peux-t-on noter avec un octet : - 1 octet = 1 entier (positif) de 0 à 255 - 1 octet = 1 entier signé de -128 à 127 Il est probable que -96 correspondent à 160 (en codage dit "complément à 2"). Maintenant ce réseau (10.160.x.x) est-il accessible à la machine ?

par **Jllc** » 17 Sep 2003 17:06

Et elle apparaissait où cette adresse IP ? Elle venait du paquet IP (donc système mal foutu quelque part) ou par exemple d'un paquet http ou ftp ? Dans le deuxième cas, c'est juste un utilisateur qui a mal tapé.

par **orange_smell** » 17 Sep 2003 17:31

jdh, je sais tout ca sur l'adressage IP, mais, que ce soit 160 ou -96, elle devrait toujours apparaitre comme 160. Cela dit, juste une petite correction, sur un octet, on ne peut pas stocker -128 (ca va de -127 à +127), enfin, je crois. Jllc, cette adresse est apparue dans les access logs et aussi dans mon sniffer... Bref, c'est vraiment étonnant, car je ne vois même pas comment c'est possible.

par **Jllc** » 17 Sep 2003 17:45

Un petit copié/collé de la ligne de log pourrait peut-être aider ? A part ça, ça peut corespondre à una adresse Ip réelle (si on corrige la faute) ? A moins que ça ne vienne de l'extérieur ?

par **nono-marie** » 17 Sep 2003 17:48

ben c'est pas qq'un qui a fait une faute de frappe en saisissant le host !!?? si ce sont des logs d'un proxy il va pas chercher midi a 14h il marque ce qu'on lui a envoyé donc par exemple qq'un tape cette adresse dans son browser (dans le cas de log de proxy) et dans les logs tu as l'adresse qu'il a tapé. T'as pas tester en te mettant sur une machine de ton rezo ??? Et l'IP 10.96.x.x existe ??? et avec le sniffer t'as po l'adresse MAC source !!! tu peux verifier d'ou ca vient !!! t'as plein de moyen de voir d'ou ca vient et comment c arrivé !! Personnellement ca me choque po du tout !!! <IMG SRC="images/smiles/icon_rolleyes.gif">

par **orange_smell** » 17 Sep 2003 17:54

bon, je viens de trouver, et ca me calme pas mal... J'ai chercher par adresse mac, puis en remontant les traces de cette adresse dans mes routeurs jusqu'au PC fautif. Et ce pc à pour nom réseau: 10.-96.9.87 Au début, ca m'a surpris, mais je viens de vérifier, et c'est faisable. Comme il est dans les DNS, la résolution ne m'a pas donné son IP mais son nom. J'en suis encore à me demander ce que l'on peut en tirer, mais je suis à peu près sur que, mal utilisé (ou bien, ca depend des vues), ca peut être assez puissant. A voir... Qu'en disent les experts ???

par **Jllc** » 17 Sep 2003 17:58

Je ne sais pas pour les experts, mais moi, je me ferais avoir ... Surtout si le nom de la machine ressemble à une adresse IP bien formée.

par **mozo** » 17 Sep 2003 18:03

Je ne suis pas "expert", mais de ce que j'en sais, les octets d'une adresse ip ne peuvent pas être négatifs. Voir les <A HREF="http://www.iana.org/ipaddress/ip-addresses.htm" TARGET="_blank">rfc</A>. 0 à 255, c'est tout. Une politique de nommage des ordinateurs stricte et bien pensée te permettrait d'éviter ce genre de désagrément. <IMG SRC="images/smiles/icon_smile.gif">

par **pior** » 17 Sep 2003 18:33

Sur 8 bit : -128 à +127 (y a le 0 ! <IMG SRC="images/smiles/icon_razz.gif"> )

par **orange_smell** » 17 Sep 2003 18:38

Mozo, Je suis bien d'accord avec toi, helas, ce n'est pas moi du tout qui gère ce genre de choses, et les utilisateurs ont accès à ça... Là où ca peut devenir inquietant, c'est si le PC avait eu le nom d'un serveur, je l'aurais laissé se connecter. Et si c'est bien fait, j'y aurait peut être même fourni mon login et mon mot de passe...

par **mozo** » 17 Sep 2003 19:02

Tu peux rendre compte aux administrateurs voire à ta hiérarchie. Les lan avec des noms à la gomme, c'est "en bordel couvré". En plus, cela ne facilite pas la tâche des administrateurs. A moins que ceux-ci s'en moquent parce qu'ils ne sont pas assez payés pour faire correctement leur boulot. Et si les utilisateurs peuvent faire n'importe-quoi sur leurs machines, c'est un sacré trou de sécurité... Il y a matière à action. <IMG SRC="images/smiles/icon_cussing.gif"> <IMG SRC="images/smiles/icon_bise.gif">

Une adresse IP très improbable...

Qui est en ligne ?