[問題]不知是中毒還是被攻擊???

[blue119]

最近一個星期左右，家裡架的server大約一二天就出現這樣的問題
硬碟會開始狂轉，可能是因為比較久以前的原因，所以聽起來特別
有感覺不對，使用netstat -a去查看，發現出了很多這樣的連線
---------------------------------------------------------
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3102 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2762 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2782 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3048 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3066 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2944 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2964 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2732 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3240 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2829 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2843 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2853 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3123 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2759 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3533 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3021 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3027 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:2785 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3057 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3457 SYN_RECV
tcp 0 0 sw59-153-23:netbios-ssn 169.254.4.24:3225 SYN_RECV
----------------------------------------------------------
看來好像是samba的問題，如不把samba關了，就會一直出現更多的未完成連接隊列
(SYN_RECV這是小弟在網上找到的答案不知是否正確)但小弟才疏學淺不知如何解決
這個問題，所以就只能把samba關了，在打開就不見了，可是過一二天又出現這樣
討人厭的東西，><"!請救救小弟要如何來解決這樣的問題!!謝謝!!感激!!:p

小弟後來試著想在samba 的log 找出答應，可是發現/var/log/samba裡出現了很多
這樣的東西
------------------------------------------------------------------
log.computer log.kk-eocud57epkte log.remylee04 log.wow-9ptgdo4waa5
log.computer2 log.kkk log.ricksu log.ws16
log.courseware log.ksheibm log.ryan-5mhu3ahscy log.wsh
log.d02 log.ktd8 log.sam-pc1 log.wu
log.dad log.kunsooar-96esk2 log.san-6ar3enwrky4 log.wxl
log.daniel log.kwon log.selfused log.xp-tony
log.dawn log.kylek log.server log.zhang
------------------------------------------------------------------
大概有一百多個- -"正常是不是因該log.連線主機的名字呢，但是不知為什麼
會出現那麼多不知那裡跑來的log檔，我內部只有二台電腦和server連線而已，
不知這是否也是因為上面的問題所造成的呢。

[swallowman]

一陣子沒用smb了.你試試先在smb.conf
hosts allow = 172.16.0 <----你自己改成你的內網ip範圍.
再用iftop看看除了內網外的那些封包來自何處.