netstat i połączenie z nieznanym IP

[nowalijka]

Witam,

Po wydaniu polecenia: netstat -aepvt, zawsze po pierwszym odpaleniu przeglądarki mam State: SYN_SENT dla IP jakiegoś nieznanego, ale zawsze tego samego.

Kod: Zaznacz cały

netstat -aepvt
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       User       Inode       PID/Program name
tcp        0      1 192.168.1.2:51591       ir1.fp.vip.ch1.yaho:www SYN_SENT    mowalijka      15041       2203/firefox-bin
tcp        0      1 192.168.1.2:42173       IPzKapelusza:www      SYN_SENT    nowalijka      15050       2203/firefox-bin

Później w firestarterze pokazuje mi, że połaczenie z 192.168.1.2 do IPzKapelusza zostało zablokowane: port 80 TCP HTTP. O co chodzi? Mam tak od kilku dni.

Pozdrawiam,

[slon666]

A nie masz czasami jakiegoś Yahoo toolbara, albo ustawionego wyszukiwania w Yahoo?
IPzKapelusza to twoja definicja w Firestarterze.

[nowalijka]

Nie mam żadnych toolbarów. Sytuacja wygląda tak, że system jest świeżo uruchomiony, odpalam FF, strona startowa ustawiona jest na blank. Wklepuje jakiś adres strony, np. yahoo, a w netstacie ma to co powyżej. Skąd ten drugi adres? Pojęcia nie mam. IzKapelusza tak zaznaczyłam, które dwóch połączeń jest niepożadane.

SYN-SENT
Pierwsza faza nawiązywania połączenia przez klienta. Wysłano pakiet z flagą SYN. Oczekiwanie na pakiet SYN+ACK.
Ciekawe...

[jacekalex]

Normalne
Proces firefox-bin ściąga stronę startową, na której mogą być elementy z całego internetu, moduły firefoxa sprawdzają aktualizacje, pogodę, listę podejrzanych witryn (w zależności, w co firefox jest uzbrojony).

Po za tym lsof jest dużo dokładniejszy od netstat.
Po za tym zainstaluj sobie iproute2, a potem zobacz wynik polecenia

Kod: Zaznacz cały

 ss

A jak panicznie boisz się włamania, to zainteresuj się snortem, suricatą, psad'em apparmorem, chrootem, jailem (np dla ff) i podobnymi zabawkami.

To by było na tyle

[nowalijka]

Jak już kiedyś napisałam, wszystko co nieznane, jest podejrzane.
Teraz już wiem, jak to działa:)
Dzięki pownownie!