安卓系统下向不明 ip 发送目标端口为 123 的 UDP 包，请问是否是被开后门了？

This topic created in 3670 days ago, the information mentioned may be changed or developed.

最近从 V 友处收了台安卓平板来折腾。重装后，因为 Google Play 各种崩，所以上酷安上下了几款应用（未 root ）。结果在使用过程中，在路由器的连接表里发现若干个发往不同 ip 的端口为 123 的包，有点害怕，于是用 tcpdump 抓了下包，如下：

http://ww2.sinaimg.cn/large/892f41efgw1f3oh4ka2ihj21kw122dy0.jpg

分别用反向查询了下：

157.7.154.29:123 einzbern.turenar.xyz 106.187.100.179:123 jp.linode.oxoox.me 202.112.29.82:123 dns1.synet.edu.cn 116.58.172.182

访问了下 http://157.7.154.29/，返回了一个页面，有个链接指向这个人的 github ，如下：

http://ww1.sinaimg.cn/large/892f41efgw1f3oh74b8h1j21kw0v1k17.jpg

请问各位大大，这种情况是否是黑产发送心跳包？还是说我多疑了，这只是正常的 NTP 包？

请问

酷安

202.112.29.82

黑产

15 replies • 2016-05-09 08:43:56 +08:00

binss

May 9, 2016

补下图

uiuy

May 9, 2016 via Android

抓包显示的是 ntp ，貌似是校准时间的

billlee

May 9, 2016

157.7.154.29 是一个比较干净的 IP. 域名看起来奇怪，但是看来拥有者是个日本人，我不会日语，所以也不知道这些是不是有意义的音节。
106.187.100.179 是 Linode 东京机房，奇怪的是同时有 3 个域名解析到了这个 IP. Web 页面是中文, 但是同个域名下的其它 host 又有使用了某种我不认识的拼音文字。综上，这个比较可疑。
后面两个确实是 NTP 服务器。

注意，很多恶意软件使用 NTP 同步时间，然后根据时间来确定与控制者通信的方式。
如果在关掉自动设置时间和 GPS 的情况下, 仍然有这些请求，那么他们很可能是恶意软件发出的。

楼主很细心，安全意识很好。

binss

May 9, 2016 via iPad

我在安卓上抓了下包，发现这些好像不是安卓发出的。那么走这个网卡的只有路由器自身了。我今天刚刷的 15.05.1 啊，还是自己编译的