Leechererkennung

[Stulle]

keine ahnung wie das kommt... aber ich glaub es gab doch mal diese Turkmule mod die auf meiner StulleMule mod basiert... vielleicht hängt es damit zusammen?

[WiZaRd]

Ich hab mal noch was Interessantes:

24.04.2009 17:26:45: Client UDP socket: protocol=0xac opcode=OP_REASKACK sizeaftercrypt=51 Bytes realsize=51 Bytes Unknown UDP protocol 0xac: 121.28.80.46:46880
24.04.2009 17:29:34: Client UDP socket: protocol=0xac opcode=0x98 sizeaftercrypt=44 Bytes realsize=44 Bytes Unknown UDP protocol 0xac: 82.158.153.251:40068
24.04.2009 17:30:38: Client UDP socket: protocol=0xac opcode=0xf6 sizeaftercrypt=51 Bytes realsize=51 Bytes Unknown UDP protocol 0xac: 90.63.203.251:13218
24.04.2009 17:31:30: Client UDP socket: protocol=0xac opcode=0xd6 sizeaftercrypt=49 Bytes realsize=49 Bytes Unknown UDP protocol 0xac: 190.142.100.45:25329
24.04.2009 17:32:00: Client UDP socket: protocol=0xac opcode=0xd1 sizeaftercrypt=51 Bytes realsize=51 Bytes Unknown UDP protocol 0xac: 151.48.85.192:1755
24.04.2009 17:33:05: Client UDP socket: protocol=0xac opcode=0x64 sizeaftercrypt=51 Bytes realsize=51 Bytes Unknown UDP protocol 0xac: 189.172.59.201:6472
24.04.2009 17:34:12: Client UDP socket: protocol=0xac opcode=0x15 sizeaftercrypt=75 Bytes realsize=75 Bytes Unknown UDP protocol 0xac: 151.62.7.222:11755
24.04.2009 17:35:07: Client UDP socket: protocol=0xac opcode=0xf8 sizeaftercrypt=44 Bytes realsize=44 Bytes Unknown UDP protocol 0xac: 59.52.39.16:32492
24.04.2009 17:35:53: Client UDP socket: protocol=0xac opcode=0xc7 sizeaftercrypt=49 Bytes realsize=49 Bytes Unknown UDP protocol 0xac: 86.202.199.153:29405
24.04.2009 17:37:59: Client UDP socket: protocol=0xac opcode=0xc1 sizeaftercrypt=43 Bytes realsize=43 Bytes Unknown UDP protocol 0xac: 95.61.190.248:4665
24.04.2009 17:38:13: Client UDP socket: protocol=0xac opcode=KADEMLIA2_BOOTSTRAP_REQ sizeaftercrypt=49 Bytes realsize=49 Bytes Unknown UDP protocol 0xac: 77.126.202.115:19371
24.04.2009 17:41:35: Client UDP socket: protocol=0xac opcode=0x3c sizeaftercrypt=158 Bytes realsize=158 Bytes Unknown UDP protocol 0xac: 70.48.222.53:60865
24.04.2009 17:43:33: Client UDP socket: protocol=0xac opcode=KADEMLIA_BOOTSTRAP_REQ sizeaftercrypt=44 Bytes realsize=44 Bytes Unknown UDP protocol 0xac: 86.202.199.153:29405
24.04.2009 17:45:53: Client UDP socket: protocol=0xac opcode=0x04 sizeaftercrypt=51 Bytes realsize=51 Bytes Unknown UDP protocol 0xac: 86.73.37.151:55129
24.04.2009 17:47:10: Client UDP socket: protocol=0xac opcode=0xad sizeaftercrypt=43 Bytes realsize=43 Bytes Unknown UDP protocol 0xac: 86.210.129.46:7669
24.04.2009 17:48:10: Client UDP socket: protocol=0xac opcode=0x0b sizeaftercrypt=81 Bytes realsize=81 Bytes Unknown UDP protocol 0xac: 189.68.30.124:38914
24.04.2009 17:48:17: Client UDP socket: protocol=0xac opcode=0xd7 sizeaftercrypt=44 Bytes realsize=44 Bytes Unknown UDP protocol 0xac: 201.27.59.169:53161
24.04.2009 17:48:38: Client UDP socket: protocol=0xac opcode=0xcf sizeaftercrypt=51 Bytes realsize=51 Bytes Unknown UDP protocol 0xac: 79.178.135.60:26730

Man beachte das Protokoll! Ich verwette sonstwas dass sich der AJ darüber identifiziert oder verbreitet... ich füge diese IPs auf eine IPFilterliste ein.
Zudem bekomme ich ab und zu Kadsuchergebnisse mit HEFTIGEN Extrabytes, d.h. ~1kB! Und ich wette erneut dass ich da die "Toplist" erhalten habe.
Ist das Zeug noch jemandem aufgefallen?

[JvA]

um mal nach meiner langen abstinent wieder was dazu zu sagen.....also die packets die du hier bekommen hast sind mir noch nicht aufgefallen.....auch solche eventuellen toplist packets hab ich noch nicht bekommen.....aber dafür hab ich den mule wahrscheinlich auch nicht lange genug an....

danke für den neuen fincan-link.....das da so viele stullemule drin sind iss mir auch schon aufgefallen.....aber wie stulle das schon richtig erkannt hat sind auch einige turkmules mit drin.....da verwette ich schon fast meinen hintern drauf das die stullemules in wirklichkeit turkmules sind.....

ansonsten gibts von mir nicht wirklich was neues......dazu hab ich derzeit einfach zu wenig zeit.....sorry.....

JvA

edit: ich glaub der fincan machts uns ab v7.2 noch einfacher ihn zu erkennen....wenn der keinen anonymous mod an hat sendet er einen opcode raus....dann können wir ihn zwar auch am modstring erkennen da er irgendwo Fincan mit drin stehen hat, aber er sendet auch noch den opcode 0x56 mit.....
kann das einer von euch verifizieren oder hab wieder nur ich den opcode bekommen?

[WiZaRd]

Noch nicht drauf geachtet... wäre ja schon lustig...

[JvA]

also ich hab bei einigen fincans vorhin auch diesen opcode mit bekommen.....komisch nur das es auch ältere clients gab die diesen opcode gesendet haben.....