hosts datei in win2k prof

[shad0w]

Hi,

ich musste gerade mal wieder ein bisschen was in meiner hosts (C:\WINNT\system32\drivers\etc) datei aendern und hab mit erschrecken folgende eintraege gefunden:

66.159.20.52 hotfreehost.com

66.159.20.52 free-xxx-server.com

...

da stehen noch hundert eintraege mehr von der sorte drin, alle auf die selbe IP.

Dies ist mein geschaefts pc und ich surfe damit garantiert nicht auf irgendwelchen ominoesen seiten rum. Auch viren etc. sollten keine drauf sein.

Wie kann sowas zustande kommen?

Liste gekuerzt, die Eintraege zeigten alle auf dieselbe IP-Adresse und sind wie leliel es bereits sagte von derselben Sorte Seiten, hades

[hades]

Die Dateien unter %winnt%\system32\drivers\etc duerfen nur mit lokalen Adminrechten geandert werden. D.h. derjenige hatte lokale Adminrechte.

Denkbare Szenarien:

- Nutzung des PCs durch Kollegen waehrend Deiner Abwesenheit (Berufsschule, Dienstreisen etc.)

- netzwerkweite Verteilung der hosts-Datei durch Anmelde-/Kopierskript (gibt z.B. im NT4-Ressource Kit das von Unix/Linux bekannte su)

- Programme, die bei der Installation gerne die hosts-Datei veraendern.

[shad0w]

punkt 1 schliesse ich aus. Hab keine berufsschule mehr, und auf dienstreisen war ich net ... und wieso sollte jemand so viele domains auf ne ip umleiten wollen?

2) koennte u.u. sein, dann muesste aber der novell server verseucht sein.

3) nehm ich am ehesten an, wobei ich eigentlich kaum proggies installiert habe ...

[Terran Marine]

Original geschrieben von -leliel-

da stehen noch hundert eintraege mehr von der sorte drin, alle auf die selbe IP.

Hallo,

kann mir gut vorstellen, das dies eine Sperrfunktion sein soll,

User die auf diese (dienstlich wohl nicht zwingend benötigten) Seite Zugriff haben wollen, werden über die hosts auf eine Standard-Seite geleitet, und können sich damit den Inhalt dessen nicht ansehen.

Leider komme ich nicht auf die genannte IP-Adresse drauf, da unser Proxy sie blockt .....

Gruß

Terran Marine

[shad0w]

also ich komm auf die ip, und da wird einem gleich klar, warum die bei dir geblockt ist ...

ist ne porno-seite. Insofern glaub ich kaum, dass unsere admins das waren.

[Gast roaxius]

Original geschrieben von Terran Marine

Hallo,

kann mir gut vorstellen, das dies eine Sperrfunktion sein soll,

User die auf diese (dienstlich wohl nicht zwingend benötigten) Seite Zugriff haben wollen, werden über die hosts auf eine Standard-Seite geleitet, und können sich damit den Inhalt dessen nicht ansehen.

Leider komme ich nicht auf die genannte IP-Adresse drauf, da unser Proxy sie blockt .....

Das ist wohl auch gut so, dass diese Seite bei dir geblockt wird...

Sonst würdest du vielleicht Ärger bekommen. Es ist eine reine Porno-Seite.

Somit kann man deine Theorie aber auch ausschließen...

[pfc]

Hi,

@ Terrane Marine:

was macht denn die hosts Datei genau??

Sie übernimmt doch wohl kaum die Blockfunktion? Nur weil dort die IP angegeben ist, kann der Client nicht mehr auf die IP?? Wohl eher nicht. Hat diese datei eher eine log funktion??

habe jedenfalls mal wie vorgegeben

212.185.118.20 (www.test.de) eingepflegt, da passiert grad mal gar nix

Gruß und thanx

pfc

[shad0w]

@pfc: du hast das falsch verstanden.

Es ist eine moeglichkeit, eine domain zu blocken, nicht die ip.

So koennte ich alle anfragen auf www.test.de auf einen internen webserver oder ins nirvana umleiten.

[Terran Marine]

Original geschrieben von -leliel-

also ich komm auf die ip, und da wird einem gleich klar, warum die bei dir geblockt ist ...

ist ne porno-seite. Insofern glaub ich kaum, dass unsere admins das waren.

Dann könnte es noch raffinierter sein,

eine Pornoseite die durch ein Tool deine hosts Datei so umbiegt, das Anfragen auf andere Pornoseiten bei ihnen landen.

Wär garnicht doof. (wirtschaftlich gesehen)

[shad0w]

das hatte ich auf anhieb auch vermutet, doch wie kommt man mit dem IE an die hosts datei? :eek:

[Terran Marine]

Original geschrieben von -leliel-

das hatte ich auf anhieb auch vermutet, doch wie kommt man mit dem IE an die hosts datei? :eek:

Ich würde eher nicht auf den IE tippen (wobei, da gibt es auch einige Bugs, die Zugriff auf das lokale Dateisystem gewähren),

eher ein Stück Software, welches (nebenbei) die hosts Datei verändert, so ne Adware oder Spyware.

Gruß

Terran Marine

[shad0w]

hab grad mal virenscanner laufen lassen, und siehe da: das erste mal in 12 Jahren, dass sich ein virus in mein system eingeschlichen hat.

JAVA_NOCHEAT.A

wobei ich mich wirklich nicht daran erinnern kann, irgendwelche mails oder so geoeffnet zu haben ...

der virus hat aber nix mit der hosts datei zu tun, wie ich grad lese ... naja, mal adaware runterladen ...

[shad0w]

adware hat auch nur ein paar tracking cookies entdeckt, sonst nix.

[blackswordowner]

Mal ne andere Seite...

Zum Blocken ist die Hosts doch nicht geeignet oder??!

Da der DNS-Server doch vor dem schauen in die Hosts abgefragt wird...

Man könnte das nur machen, wenn sich der Inhalt der Hosts automatisch in den Cache lädt... kenne aber keine Methode dieses zu realisieren...

Gruß

BSO :marine

[Terran Marine]

Original geschrieben von blackswordowner

Mal ne andere Seite...

Zum Blocken ist die Hosts doch nicht geeignet oder??!

Da der DNS-Server doch vor dem schauen in die Hosts abgefragt wird...

Hallo,

hab jetzt keine Artikel darüber gefunden, aber bei mir wird die hosts zuerst abgefragt und danach erst der DNS-Server.

Unter Linux kann man das auch umstellen, unter Windows habe ich da aber nichts gefunden.

Gruß

Terran Marine

[hades]

Original geschrieben von blackswordowner

Zum Blocken ist die Hosts doch nicht geeignet oder??!

Da der DNS-Server doch vor dem schauen in die Hosts abgefragt wird...

Blockieren ist das nicht. Es ist eher ein Veraendern der Zuordnung IP-Adresse zu Domainname. D.h. bei Kenntnis der richtigen IP-Adresse stoeren falsche hosts- und auch falsche DNS-Eintraege nicht.

Unter Windows wird die hosts-Datei, falls sie vorhanden ist, immer vor dem DNS-Server abgefragt.

[Kristian]

... sonst wäre sie ja auch ziehmlich sinnlos.

Immerhin soll ja dadurch gerade die Abfrage von DNS-Servern entlastet werden, bzw. die reaktionszeit erhöht. Und wenn er dann immer zuerst den DNS befragen würde....