教えて下さい。

質問

こんにちわ。
WinME & IE6SP1　でネットしてます。
先日、家パソにプレインストールされていたウィルスチェックのサポートが終了し、新規に購入しました。店に行くまではウィルスチェックのソフトだけを購入しようと思っていたのですが、いざ店に行くとFireWallなんかとセットになっているものがあり、せっかくなんでセットになっている方を購入し、インストしました。暫くは平穏な日々を送っていたのですが、或るNetCafeのＨＰにアクセスした瞬間にインストしたFireWallから”あなたのパソコンのポート（3***)に接続しようとしましたがブロックしました”という警告メッセージが表示されました。（ポート番号は詳しく覚えてませんが3000番代でした）。詳細ログなどを見てみると、そのNetCafeのサーバーからのアタックだと分かったんですが、正直驚きでした。まさか自分のＰＣに知らない所から接続されるとは思ってもいなかったもので・・・。
たまたま買ったFireWallのソフトだったんですが、もし買っていなかったら、私の知らない所でメルアドをはじめとして様々な情報が抜き取られていたかも知れないと思うとちょっとゾッとします。
私の会社のＷＥＢ管理者にもこの話をしたんですが、ＨＰにアクセスしてきた人のＰＣに逆にアクセスしにいくのは、手っ取り早い方法なのでよくある事だと聞きました。
こうなってくると素人の興味本位なんですが、そのNetCafeのサーバーが何をしにアクセスしようとしたかって事です。
要はNetCafeのサーバーから家パソのポート(3***)に対してアクセスがあった事をそのNetCafeの管理者に対して質問する事は非常識な行為ですか？
もちろんメールを送る際は私が契約しているISPのアカウントからだと自爆行為になりかねないので、フリーメールから送ろうと思ってますが・・・
何分こういった事に素人なので、ご教授いただければありがたいです。
長々とすいませんでした。

回答No.3

ShaneOMac · ベストアンサー

該当ページにアクセスしてみましたが、確かにコネクションのリクエストを出してコネクトした後に、おかしなパケットを２つから４つ送ってきますね。フラグの立て方が異常なパケットで通常の通信ではあり得ないものです。接続のリクエストとしても成立していません。ポートスキャンを行う際には異常フラグパケットを敢えて送る場合もありますが、その場合の意図から考えてもおかしなフラグです。

to 20552 RST/FIN
to 23427 SYN/RST
to 42847 SYN/ACK/PSH/RST/FIN
to 49575 SYN/ACK/RST/FIN
to 55007 ACK/PSH/RST/FIN

これではスキャンとしても成立しないと思われますし、なぜこうしたパケットが出ているのか全く不明です。ただしこれらのパケットが飛んでくること自体には危険性はないと思います。

私が見た限りでは、それ以外の部分でこのサーバーとの通信に問題がある点は見受けられませんでした。

私も実際のサーバーの運用に関する知識はほとんどないので、どうしてこのようなことが起きているのか全く分かりません。しかしこうした通信が起きることは他ではまずありません。

＞
＞いくら外からリクエストがあってもそれだけでは何も起きません。
　とありますが、ＨＰによってはこういったリクエストを出すもの出さないものがあるように思えます。こういったリクエストを出すという行為はどのような意図があるのでしょうか？
＞

ＨＰにアクセスしただけで向こうからこちらが要求していないHTTP以外の通信を起こしてくるようなサイトはほとんどありません。探せばあるかもしれませんが、私は見たことがないです。スキャンサイトなどの特殊なプログラムを敢えて置いているところは別ですが。

お礼

ShaneOMacさんお返事ありがとうございます。
意味不明のパケットなんですね。
そもそも、このマ○フィーのファイアーウォールソフトはこういった警告メッセージを出した後にポートに接続されようとした行為が調査に値するかどうかを診断するＨＰ（ハッカーウォッチという所らしいです）に接続して診断をします。
その際今回のアクセスについては調査要ということで、アクセス履歴を送信しました。しかしこのＨＰには同様の報告が１時間に数千と送られてくるらしく、恐らく回答なんて帰ってこないだろうと思って、即座に回答がいただけるこちらに質問をしました。

ShaneOMacさんのご回答の中で
＞ただしこれらのパケットが飛んでくること自体には危険性はないと思います。
と言うことなので一安心ですが、念の為にこのＨＰは禁止アドレスに登録しておきます。

これを機にちょっと勉強したいと思います。
to 20552 RST/FIN 　←　この意味すらわかりません（笑）

後、私が最初に質問しました中の”アクセスがあった旨をメールで伝える”件についてはやめておきます。
ど素人の質問にご丁寧に回答いただきありがとうございました。
また分からない事があれば宜しくお願いします。

回答No.2

ShaneOMac

2000番台から4000番台のポートは一般的にローカルのアプリケーションがOSの自動割り当てを受けて接続用ソケットの接続元に利用するポートですから、外部からサーバポートとして利用することはほとんどありません。

FTPの場合は、パッシブモードで不定の受信ポートを使うことがありますが、万を超える値のポートを使うのが普通です。

ファイアウォールのシステムによっては、各アプリケーションのコネクション確立タイミングによってコネクションの方向を誤認識する場合があります。せめて使っているファイアウォールソフトが何であるのか、また通信を受けたアプリケーションとリモート・ポートくらいは分からないと、これだけでは何とも言えません。

見た感じでは恐らくつまらないアクセスまで一々警告に出すタイプのファイアウォールのようですが、コネクションの概念については理解されているのでしょうか？外から起こされた通信は受けるアプリケーションがなければコネクションが成立しません。いくら外からリクエストがあってもそれだけでは何も起きません。それはファイアウォールがあってもなくても同じことです。

一般的に受けるアプリケーションがないのに送られてきたリクエストはリセットが返信されるだけです。ファイアウォールが入っている場合は、大方はそのシステムがリクエストをゴミとして捨てて終わります。その程度のことは日常茶飯事ですし、警告などを出す必要もないことですが、システムによってはそういったものまで鬼の首でも取ったかのように報告するものもあります。

先にも書いたようにもう少し通信の内容が具体的に示されなければ、どういったことが起きているのかは分かりません。ただ単にパケットが飛んできただけのことを問題として取り上げるのは尚早です。せめてその問題のURLを書いてもらえれば、こちらでもアクセスして確認しますが。恐らく何でもないようなことだと思います。

補足

ShaneOMacさんお返事ありがとうございます。
週中から外出していたもので返事が遅くなり申し訳ありません。
質問にも書きましたように、私はこういった事には素人です。いろいろ勉強しないといけないなあと思っていた矢先の事だったので質問いたしました。
ですからコネクションの概念といわれる部分についても勉強不足どころの騒ぎではありません。
インストしているパッケージはマ○フィーのものです。
それと、アクセスしたＨＰはヤフーから”京都府　ネットカフェ”で検索した際に
表示される”YAHOO!登録サイトとの一致”に表示される一件目のところです。
通信を受けたアプリやリモートポートについてはどう見ていいのかわかりませんでした。

質問ついでに疑問に思うことがあるので、もし宜しければご教授願います。
＞いくら外からリクエストがあってもそれだけでは何も起きません。
　とありますが、ＨＰによってはこういったリクエストを出すもの出さないものが
　あるように思えます。こういったリクエストを出すという行為はどのような意図があるのでしょうか？（全てのＨＰがそういう仕組みになっているのであれば
　何とも思わないのですが、悪意が無いにせよ、一部のＨＰにこういった現象が見られる事に疑問を感じました）

色々とお手数お掛けしますが、宜しくお願いします。

回答No.1

route15519

>NetCafeのサーバー
これは踏み台にされているに過ぎないかもしれませんね。

ここを少し検索してみてください。
不正侵入とか不正アクセスなどをキーワードに。

補足

ご回答有難うございます。
確かにこのサーバーは単なる中継地点に過ぎないかもしれませんね。
こういったアタックを受けた際にそのサーバー管理者に対して、その旨を伝える
方がよいのでしょうか？
後、私が上記質問内で勘違いしているところがあり、ポート番号は２０００番台でした。