[3.3] Whois fehlerhaft?

[Maggan22]

Hallo in die Runde,
ich habe ein neues Forum installiert und in der Whois anzeige gesehen dass die angaben fehlerhaft sind. Laut dieser Angabe ist meine IP aus den Niederlanden. Genauer gesagt aus Amsterdam. Wenn ich meine IP jetzt mit einem anderen Service prüfe, stimmt die Ortsangabe.

Ist das noch bei jemandem so? Da es ein neuinstalliertes Forum ist, müsste es sich da um einen Bug handeln?

[seb81]

Du meinst die ....//viewonline.php ?

Nein, bei mir nicht. Hast du vielleicht eine VPN oder vergleichbare Erweiterung von z.B. Firefox an/drin. ?

[Maggan22]

Die Ip stimmt, aber die Auflösung nicht. Also wenn man auf Whois geht.
An VPN hab ich auch gedacht, aber bin über das Handy reingegangen ohne W-lan, da bin ich auch aus Amsterdam.
Ausserdem hatte ich meinen Rechner neuaufgespielt und sowas wie VPN noch gar nicht eingerichtet.
Hab es mal in einem anderen Forum (kein phpbb) getestet, da wird es richtig angezeigt.

[seb81]

Ach da bist du ...

Die Whois-Abfrage zeigt die Organisation, die den IP-Adressbereich verwaltet. In deinem Fall gehört die IP zu einem Bereich, der von RIPE NCC. RIPE ist die für Europa zuständige IP-Adressvergabestelle (vergleichbar mit ARIN für Nordamerika oder APNIC für Asien).

Amsterdam wird angezeigt, weil sich der Hauptsitz von RIPE NCC dort befindet. Das bedeutet aber nicht, dass der tatsächliche Benutzer der IP-Adresse dort sitzt.

Du musst die IP direkt in einem der Suchdienste wie z,B, "info by ip" eingeben. Dann bekommst du ca. den Standort.

[Maggan22]

Hm, gibt es eine Möglichkeit das direkt über die Whois abfrage zu machen? Also übers Board selber?
Ist doch eigentlich auch Sinn der Sache zu wissen wo die User IP herkommt und nicht der Sitz einer Organisation, oder?
Ja, ich weiß, in Zeiten von VPN etc - aber es gibt auch noch viele Leute die das gar nicht nutzen. Ausserdem kann man dann schneller ermitteln ob sich eine Botanmeldung eingeschlichen hat.

[Scanialady]

die Anmeldungen kommen inzwischen aus den ganz normalen Handynetzen oder Kabelnetzen, da kannst du gar nichts mehr feststellen. Ich habe sogar den Eindruck gewonnen, dass diese Registrierungen nur noch teilweise von Bots gemacht werden - es scheinen jetzt eher bezahlte echte Menschen zu sein, die die Registrierungen machen. Die Bots greifen dann später nur die fertig registrierten Accounts auf.

Whois-Abfragen mache ich lieber über Cleantalk. Da gibts auch gleich eine Angabe, ob die IP schon durch Unfug aufgefallen ist.

[Maggan22]

Das mag ja alles sein. Ich fänd es dennoch richtig klasse wenn man die korrekte IP abfrage gleich mit Boardmitteln machen könnte.
Mir erschliesst sich der sinn nicht eine IP abfrage anzubieten wo irgendein dritter involviert ist und nicht der Benutzer selbst.

[seb81]

Sehe ich ehrlich gesagt genauso. Deswegen wusste ich auch erst einmal nicht, was gemeint ist. Diesen "whois"-Knopf habe ich schon längst ausgeblendet. Was der bringen soll, will sich mir zumindest nicht erschließen. Das ist ein whois mit der Genauigkeit von ca. "dieser Kontinent".

[LukeWCS]

Ach da bist du ...

So gings mir jetzt auch, musste erstmal suchen.

@Maggan22

Ein kleiner Hinweis an welcher Stelle das zu finden ist (Wer ist online) wäre ganz hilfreich gewesen.

Ansonsten +1, ich kann an der Verlinkung zu RIPE auch keinerlei Nutzen erkennen. Das ist ein rein organisatorischer Kontakt und keinesfalls direkt verantwortlich für IP Adressen, mit denen kriminelle Handlungen durchgeführt wurden. Das sagt schon deutlich ein Kommentar der verlinkten Seite:

Comment: These addresses have been further assigned to users in the RIPE NCC region. Please note that the organization and point of contact details listed below are those of the RIPE NCC not the current address holder. ** You can find user contact information for the current address holder in the RIPE database at http://www.ripe.net/whois.

Und ähnlich wie Kollegin schon schrieb; wenn es um verdächtige Aktivitäten geht, nutze ich gleich mehrere Tools um eine IP zu überprüfen. Vor allem ist dann interessant, ob die IP schon an anderen Stellen auffällig wurde und wenn ja, auf welche Weise.

Aber das Prüfen von einzelnen IPs ist eher selten sinnvoll, weil die Halunken, wie Scanialady schon schrieb, alle Register ziehen um ihre Aktionen zu verschleiern. Mit ein Grund warum z.B. auch gekaperte phpBB Accounts auf dem Schwarzmarkt gehandelt werden.

[Maggan22]

Ok, dass diese Anzeige quasi sinnfrei ist, da sind wir uns einig. Dass man prüfen muss hin und iweder ist auch klar. Dass es externe Möglichkeiten gibt ist auch klar. Gibt es derzeit interne Möglichkeiten?
Denn es ist ja schon ein Unterschied ob man nun die ip kopiert, auf eine andere Seite geht, die IP da eingibt und dann schaut oder ob man das Boardintern regeln kann.
Ich hab Erfahrung mit verschiedener Software bei einer konnte man, mit ein bisschen KnowHow den Dienst ändern der die IP prüft. So konnte man ggfs .
den Dienst https://who.is nehmen und vor den Platzhalter der ip Adresse in der Software den bisherigen Anbieter durch https://who.is/whois-ip/ip-address/ ersetzen. Im Frontend wurde die IP damit gleich über die neue Adresse geprüft.
Wäre ähnliches hier auch machbar? Dann hätte man zumindest einen Verlässlichen Anhaltspunkt, ob man da noch genauer nachschauen muss.