Pesquisas do Windows 7 na primeira entrada do arquivo host

Question

Hoje meu ISP bloqueou minha internet devido a atividades suspeitas - solicitações de saída para sites mal-intencionados. Várias varreduras da minha máquina não revelaram o culpado. No entanto, depois de fazer um rápido netstat /f , encontrei o seguinte:

TCP    127.0.0.1:5357         101com.com:49168       TIME_WAIT
TCP    192.168.1.21:49169     THOMSON:netbios-ssn    TIME_WAIT
TCP    192.168.1.21:49170     THOMSON:netbios-ssn    ESTABLISHED

TCP    127.0.0.1:49171        101com.com:49172       ESTABLISHED
TCP    127.0.0.1:49172        101com.com:49171       ESTABLISHED

Por coincidência, apenas alguns dias atrás, decidi começar a adicionar servidores ao meu arquivo host. 101com.com parece ser a primeira entrada da minha lista.

Então, estou realmente enviando solicitações para 101com , mesmo que esteja na lista negra? E se sim, como pode ser evitado?

Obrigado.

    

Answer 1

Primeiro, vamos deixar algo claro. O arquivo hosts não impede a resolução do nome do domínio, mas apenas substitui os domínios que resolvem.

Quando algum programa tenta resolver 101com.com , seu sistema operacional normalmente consultaria servidores DNS para seu endereço IP. Mas, se você tiver em seu arquivo hosts, então 101com.com será resolvido para fornecer IP sem consulta DNS.

A resolução de nomes de domínio ainda acontece, mas é tratada dentro do sistema operacional. Todos os programas que tentam resolver domínios receberão endereços IP em resposta, mas será o IP que você forneceu em vez do DNS fornecido.

101com.com não está "na lista negra", você apenas redirecionou o tráfego para sua própria máquina ( 127.0.0.1 ).

Agora, como podemos explicar 101com.com na saída de netstat ? Isso é bem simples. netstat tentará inverter nomes de domínio de pesquisa para IPs na terceira coluna. Você definiu 101com.com como um nome de domínio para 127.0.0.1 , portanto, se você tiver uma conexão TCP de sua máquina ( 127.0.0.1 ) em sua máquina ( 127.0.0.1 ), ela também poderá ser mostrada como uma conexão de 101com.com para 127.0.0.1 .

101com.com ainda existe para você, mas agora aponta para o seu computador, não para o deles. Se o seu PC disser algo sobre 101com.com , significa ele mesmo.

Isso não tem nada a ver com o seu ISP e ele não tem idéia de que você adicionou algumas entradas ao arquivo hosts .