CSDN博客

img OICQshenshi

利用IP位址或網域名稱找出入侵者位置

发表于2003/6/20 8:24:00  1819人阅读

電腦上網無緣無故就被人Hack掉,馬的,真的很想把他斃了。你有遇過這樣的情形嗎?搞不好特洛依木馬這類的程式就潛伏在你的電腦中,伺機對你的系統造成威脅或破壞。ConnecWatch 、Back Orifice Spy 、BoDetect 、The Cleaner 等就是針對這樣的Bug去設計的軟體。只要有人攻擊你的電腦,它就會作防護、記錄甚至是反擊的動作。當然入侵程式有很多種,如NetBus、Netspynew、IcqT、Back Orifice Remote、Port Scan..等等。站長沒時間一一測試,也不敢保證能做到絕對防護。不過這不是這篇文章的主題。這裡所要講的是─當你知道入侵者的IP位址時,如 何 靠 IP Address(如140.119.23.4)或 Domain Name(如www.chati.com)找出入侵者位置 ?

--------------------------------------------------------------------------------
 
關於IP Address與DNS請參考網路定址模式與網際網路服務介紹這兩篇文章
網路位址管理現況
IP Address的使用必須向 InterNIC(www.internic.net)登記,而 Domain Name要向當地直屬的網路管理中心登記。
在 Internet上 的網路管理中心共有三個層級 (單位性質一定為NET):
 
1. 國 際 等 級
國際等級只有InterNIC一個,全球各國的NIC以及洲際NIC均由其管理。
 
2. 洲 際 等 級
InterNIC並不直接管理整個 Internet,其下的網路資源會再做分區(歐洲、亞洲...)。例如台灣、日本、香港等亞太地區國家,由亞太洲際網路管理中心 (Asian-Pacific NIC, APNIC,位於日本)(www.apnic.net)來管理,並不直接由 InterNIC管理 。
 
3. 國 家 等 級
Domain Name後面不掛國碼的(如:http://www.allfile.com)不是由 InterNIC管理就是由洲際的NIC管理,但是有掛國碼的由當地國家之NIC管理,慣例是兩位國碼加上NIC就是該國NIC之名稱(www.**nic.net)。例如台灣之國碼為TW,則台灣網路管理中心為 TWNIC (www.twnic.net)。補充:目前台灣的whois系統已暫停服務,所以如果你要查必須打電話去詢問。

但美國是例外,由於InterNIC位於美國,因此美國的 Domain Name由 InterNIC直轄。有一個特別的例外是掛 .mil的美國軍方網路的資料是由nic.ddn.mil(美國軍事防衛網路)來管理,不由 InterNIC管理。


--------------------------------------------------------------------------------

Domain Name 命名的三種情況

雖然同樣是 Domain Name, 可能你會遇到三種命名的不同情況。在許多國家 *.edu.*是由 NIC以外的單位所管理(如教育部 ),而屬性也不一定是三個字 母,甚至沒有屬性。在判斷單位性質時讀者宜多加注意,以免找不到資料。
 
1.標準國碼 + 三碼屬性碼 (或沒有國碼 ,僅有屬性碼 )普遍使用於歐洲,美洲國家以及部份東南亞國家。如台灣常見 *.edu.tw、 *.com.tw、*.org.tw,美國的*.com、 *.edu。
 
2.標準國碼 + 二碼屬性碼 。以離我國最近的日本、中華人民共和國為例,公司屬性為 co,社團屬性為 or,和三碼定義的 com、 org略有不同。如 日本萬代公司之Homepage為 www.bandai.co.jp,如果讀者要使用公司名稱拼湊出完整主機名稱時,需注意日本為僅有兩碼屬性碼之地區,否則若猜測其為 www.bandai.com.jp就會發生錯誤 (註:在國際通信範例中,無論是無線電通信、國際越洋電話、乃至於網際網路等,均將台灣與中國大陸劃分為兩個不同國家)。
 
3. 僅有標準國碼,未有任何屬性碼。如澳洲的主機均為僅有*.au之主機名稱,未有任何其他的 com、 co 或任何單位屬性碼後面直接接上單位名稱 。
 
由 Domain Name查出連線單位資料在Internet上慣例由 whois服 務來查詢連線單位的登記資料,whois本來應該是用來查某人的電話或是其他資料的 (有點像是 finger或是現在很流行的尋人服務,像是 whowhere、 bigfoot、AOL之類的 ),但是在 NIC方面是用來查出連線單位的電話以及住址,技術聯絡人等 。 符合該NIC管理權限的單位資料會存放於該單位的 whois主機中,慣例是 whois+ NIC名 稱 + net。例如亞太地區網路管理中心 whois server為whois.apnic.net,台灣網路中心whois server為whois.twnic.net。當你知道某台主機的 Domain Name以後,可以依照下面順序查出連線單位的電話住址等資料。

Whois查詢系統使用概說

當您得到某個Domain Name或是 IP Address後 ,根據上個步驟使用適合的whois系統(whois.**nic.net)來查出資料,語法如下:
whois
-h < whois 伺 服 器 > < 查 詢 對 象 >
例 如 向 whois.internic.net 查 詢 hp.com, 需 輸 入 :
 
whois
-h whois.internic.net hp.com
whois 也 可 能 使 用 下 列 語 法 :
 
whois
< 查 詢 對 象 > @< whois 伺 服 器 >
例如向 whois.twnic.net 查 詢 ntu.edu.tw 需輸入 :
whois
ntu.edu.tw@whois.twnic.net
目 前 在 Slackware Linux 附 上 的 為 後 者 。

看不懂上面的參數嗎?站長用比較簡單方法解釋給你聽。

hp.com因其無國碼(tw.jp),所以不是由 InterNIC管理就是由洲際的NIC管理,那我們先到InterNIC查看看。所以在瀏覽器的URL處鍵http://whois.internic.net/,在其查詢的空白列鍵入hp.com

如果你這樣還看不懂,唉...放棄也是人生的一部份....教賣落啊
 


--------------------------------------------------------------------------------

實例示範

首先,先看有沒有國碼。沒有國碼的,向 whois.internic.net問;有國碼的, 向 whois.國碼 nic.net問 (ex. whois.twnic.net)。另外,如果你要查美國軍事單位的聯絡明細 (假如某天你發現有人利用美國海軍的網路來入侵你的電腦)則你需要向 nic.ddn.mil查詢,方可查到資料。例如查出美國陸軍的資料:但 FBI等調查機構屬政府單位,非軍事單位,查詢時需注意。

 
★Domain Name的查法

由 Domain Name查出資料您能從 nslookup查出某一 IP Address之FQDN,則可以直接向當地 NIC查出入侵者網路之資料:
 
1.由 美 國 入 侵 的 例 子 
由 xxx.aol.com入侵由主機名稱發現未有國碼,因此直接向 InterNIC查詢 (whois.internic.net)。由此我們可以查到 America Online的技術負責人以及電話、傳真等資料,把你的系統紀錄檔準備好,發封傳真去告洋狀吧!
 
2.由 台 灣 入 侵 的 例 子
由 Hope Net入侵 (cded1. hope.com.tw) 有tw國碼,所以向當地的NIC查詢。但由於TWNIC目前 whois資料庫不知怎麼的不見了,故請改由http://dbms.seed.net.tw/查 出 hope.com.tw之中文名稱,再打 104查號台詢問該公司的電話 !

現在如果直接由 whois.twnic.net查 詢 會 這 樣 :
 
★只有 IP Address的查法

若某天您發現被由 168.95.109.222這個人入侵,假設您不知道這是 HiNet的網路,而這個 IP Address也沒有 Domain Name的話,則須先將 IP Address分等級,再向 InterNIC查詢。(IP分級說明請按這兒)
(以下作為範例之位址均為虛構,如有雷同,純屬巧合 )。
 
1.由 15.4.75.2入 侵 的 例 子
此 IP Address是 15開頭,為一個Class A網路,故向InterNIC查詢 15.0

查出此 IP Address為惠普公司所有
 
2.由 140.111.32.53入 侵 的 例 子 
此 IP Address為 Class B網路, 需查詢兩次。先向 InterNIC查詢 140.111.0 查出為中華民國教育部所有。再向 whois. twnic.net查詢 140.111.32.0 很可惜的,由於 TWNIC資 料 庫不見了,因此您無法知道這是哪個學術單位。勞駕您打個電話去TWNIC問吧! 依站長經驗有可能是中山大學。
 
3. 由 203.66.35.1入 侵 的 例 子
這是一個 Class C IP,因此必須查詢至少二次,一般是三次。順序為國際->洲際->所屬國家。

先查 203.0 出來一大堆,怎麼辦?有的情況只好再追問 Class B。由於InterNIC將部份 Class C交給洲際管理機構來負責配給 , 因此有些 Class C的資料會在洲際管理機構,此時先向InterNIC查出所屬洲際管理機構 (用 Class B問,即鍵入203.66.0)。
問到 203.66為亞太地區洲際網路,於是向 whois.apnic.net詢問203.66.35.0 查了三次以後,終於查 到 203.66.35.0為在一堆資料中 查到 203.66.35.1, 此 一 IP Address為 Forwardness Technology Co. Ltd.所有,電話地址也一併附在上面。以上的查法,可以由任一主機名稱或 IP Address查到連線者網路單位的資料,如果您發現該網路單位下屬主機對您的網路有攻擊行為,請檢具資料告訴對方的系統管理員 (對方不一定會鳥你,站長就碰過很惡劣的系統管理員) 

0 0

相关博文

我的热门文章

img
取 消
img