搜索

[26425] 2021-04-30_可怕！公司部署了一个东西，悄悄盯着你···

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-19
2021-04-30_可怕！公司部署了一个东西，悄悄盯着你··· 可 怕 ！ 公 司 部 署 了 一 个 东 西 ， 悄 悄 盯 着 你 · · · L i n u x 学 习   2 0 2 1 - 0 4 - 3 0 以 下 文 章 来 源 于 编 程 技 术 宇 宙   ， 作 者 轩 辕 之 风 O 来 自 公 众 号 ： 来 自 公 众 号 ： 编 程 技 术 宇 宙 编 程 技 术 宇 宙 我 是 一 个 网 络 监 控 软 件 ， 我 被 开 发 出 来 的 使 命 就 是 监 控 网 络 中 进 进 出 出 的 所 有 通 信 流 量 。 这 个 网 络 中 所 有 人 的 上 网 内 容 我 都 看 的 清 清 楚 楚 ， 是 不 是 很 可 怕 ？ 我 被 一 家 公 司 老 板 买 来 运 行 在 一 个 配 置 极 高 的 L i n u x 服 务 器 上 ， 这 台 服 务 器 上 的 网 卡 可 不 得 了 ， 公 司 进 出 的 网 络 数 据 包 都 得 流 经 它 ， 它 源 源 不 断 的 把 数 据 包 抓 上 来 交 给 我 来 分 析 。 你 们 应 该 也 知 道 ， 网 络 通 信 是 分 层 的 ， 最 常 见 的 就 是 那 个 T C P / I P 协 议 体 系 了 。 拿 到 数 据 包 后 ， 我 就 得 按 照 这 个 协 议 规 范 ， 一 层 层 的 脱 去 协 议 的 外 壳 ， 拿 到 它 们 的 负 载 数 据 。 编 程 技 术 宇 宙 编 程 技 术 宇 宙   . 一 个 文 章 很 酷 的 公 众 号 ~
T C P 会 话 重 组 会 话 重 组 我 重 点 要 照 顾 的 是 T C P 协 议 ， 因 为 好 多 应 用 都 要 使 用 T C P 来 传 输 ， 像 上 网 冲 浪 H T T P 、 发 邮 件 S M T P 、 微 信 聊 天 等 等 。 我 想 要 掌 控 网 络 中 的 通 信 ， 第 一 个 就 要 拿 T C P 开 刀 ， 得 想 办 法 把 T C P 传 输 的 一 个 个 数 据 包 给 重 组 起 来 ， 形 成 一 个 完 整 的 会 话 ， 这 样 我 才 好 知 道 应 用 层 传 了 什 么 东 西 ， 这 个 步 骤 叫 做 会 话 重 组 会 话 重 组 。 不 过 这 个 T C P 协 议 有 点 复 杂 ， 抛 开 我 们 抓 到 的 包 本 来 就 存 在 乱 序 的 情 况 不 说 ， 它 本 身 还 有 三 次 握 手 、 四 次 挥 手 、 超 时 重 传 、 延 迟 回 复 等 很 多 机 制 ， 有 时 候 还 会 遇 到 时 间 跨 度 很 久 的 长 连 接 ， 这 无 疑 都 给 我 想 要 重 组 T C P 会 话 造 成 了 很 大 的 难 度 。 而 我 重 组 T C P 会 话 的 唯 一 线 索 就 是 数 据 包 包 头 中 的 序 列 号 S E Q 和 确 认 号 A C K 。 不 过 我 还 是 死 磕 R F C 规 范 ， 把 这 些 问 题 都 攻 克 了 ， 能 够 成 功 重 组 出 一 个 个 的 T C P 会 话 数 据 ， 成 功 率 还 蛮 高 的 。 应 用 协 议 识 别 应 用 协 议 识 别 T C P 会 话 重 组 出 来 了 ， 我 就 可 以 拿 到 里 面 传 输 的 数 据 了 。 接 下 来 要 做 的 一 件 事 就 是 识 别 应 用 层 到 底 是 什 么 应 用 在 传 输 的 呢 ？
用 我 们 的 行 话 说 ， 那 就 是 做 应 用 协 议 识 别 应 用 协 议 识 别 ， 这 个 时 候 我 就 得 看 一 下 端 口 了 。 我 根 据 三 次 握 手 数 据 包 的 方 向 ， 就 可 以 确 定 出 谁 是 客 户 端 ， 谁 是 服 务 端 。 再 看 一 下 服 务 端 的 端 口 号 ( 这 个 在 T C P 包 头 里 面 就 可 以 看 到 ) ， 就 能 知 道 这 是 一 个 什 么 服 务 了 。 像 常 见 的 有 下 面 这 些 ： 2 2 :   S S H 远 程 登 陆 2 5 :   邮 件 服 务 5 3 :   域 名 解 析 服 务 8 0 :   H T T P   W e b 服 务 3 3 0 6 :   M y S Q L 数 据 库 服 务 3 3 8 9 :   远 程 桌 面 连 接 服 务 · · · · · · 最 常 见 的 就 是 8 0 端 口 的 W e b 服 务 了 ， 人 类 每 天 上 网 都 在 用 到 。 有 时 候 W e b 服 务 不 走 8 0 端 口 ， 换 成 了 别 的 ， 不 过 这 难 不 倒 我 ， 我 可 以 通 过 分 析 T C P 的 负 载 数 据 特 征 ， 看 看 有 没 有 H T T P 协 议 的 特 征 出 现 ， 因 为 H T T P 协 议 的 特 征 实 在 是 太 明 显 啦 ！ 到 了 后 来 ， 根 据 端 口 的 经 验 出 错 的 概 率 越 来 越 大 了 ， 我 就 统 一 根 据 内 容 来 进 行 识 别 判 断 ， 不 再 相 信 端 口 。 每 个 应 用 都 有 它 们 各 自 的 协 议 特 征 ， 这 个 识 别 我 可 是 下 了 点 功 夫 ， 轻 易 不 会 透 露 。 文 件 还 原 文 件 还 原 现 在 我 知 道 应 用 层 是 什 么 协 议 了 ， 我 就 可 以 把 应 用 层 协 议 传 输 的 数 据 给 整 明 白 了 。 还 是 拿 最 常 见 的 W e b 服 务 来 说 吧 ， H T T P 协 议 是 一 个 基 于 请 求 - 响 应 的 协 议 ， 比 如 下 面 的 这 一 次 通 信 ：
请 求 是 一 个 G E T 包 ， 看 请 求 的 资 源 貌 似 是 一 张 J P G 图 片 。 再 看 响 应 包 ， 状 态 码 是 2 0 0   O K ， 看 来 没 啥 问 题 。 再 看 看 C o n t e n t - T y p e ， i m a g e / j p e g ， 是 个 J P G 图 片 没 跑 了 。 现 在 我 就 可 以 定 位 到 响 应 包 的 负 载 段 ， 就 是 在 H T T P 头 ， 两 个 回 车 换 行 ( 0 D 0 A ) 后 面 就 是 数 据 了 。 找 到 数 据 位 置 ， 再 根 据 C o n t e n t - L e n g t h 的 大 小 ， 把 数 据 抠 出 来 写 成 一 个 P N G 格 式 的 文 件 就 大 功 告 成 了 ！ O M G ， 这 是 哪 个 血 气 方 刚 的 小 伙 子 又 在 看 美 女 图 片 了 ！
上 面 这 个 把 协 议 中 传 输 的 文 件 提 取 出 来 的 过 程 叫 做 文 件 还 原 文 件 还 原 ， 除 了 H T T P 协 议 ， 我 还 支 持 文 件 传 输 协 议 F T P 、 邮 件 传 输 协 议 S M T P 、 文 件 共 享 的 S M B 协 议 呢 。 你 们 通 过 这 些 协 议 传 输 的 文 件 ， 我 都 能 给 你 还 原 出 来 ， 是 不 是 很 可 怕 ？ H T T P S 解 密 解 密 有 一 天 ， 我 发 现 8 0 端 口 的 数 据 包 越 来 越 少 了 ， 与 此 同 时 ， 4 4 3 端 口 的 通 信 数 据 不 知 不 觉 多 了 起 来 。 后 来 才 知 道 原 来 为 了 防 止 被 我 这 样 的 网 络 中 间 人 窥 探 隐 私 ， 他 们 都 用 上 了 一 个 叫 H T T P S 的 技 术 。 H T T P S 把 数 据 进 行 了 加 密 传 输 ， 这 样 我 拿 到 以 后 都 是 加 密 后 的 ， 没 办 法 知 道 传 输 了 什 么 内 容 。 不 过 这 家 公 司 的 老 板 很 聪 明 ， 他 要 求 公 司 的 员 工 电 脑 上 都 装 上 了 一 个 “ 安 全 软 件 ” ， 美 其 名 曰 保 护 电 脑 不 被 入 侵 ， 实 际 上 啊 是 在 他 们 的 电 脑 上 做 了 一 个 中 间 人 劫 持 ， 进 行 了 H T T P S 的 证 书 替 换 （ 你 不 信 可 以 看 看 这 个 ： 谁 动 了 你 的 谁 动 了 你 的 H T T P S 流 量 ？ 流 量 ？ ） 。 这 个 “ 安 全 软 件 ” 作 为 中 间 人 把 H T T P S 证 书 和 密 钥 告 诉 我 ， 我 就 可 以 解 密 H T T P S 流 量 了 ！ 你 们 上 网 干 了 啥 我 还 是 能 知 道 的 一 清 二 楚 ！ 网 络 阻 断 网 络 阻 断
你 以 为 我 只 能 在 一 旁 监 听 吗 ？ 图 样 ！ 要 是 你 们 访 问 那 些 敏 感 的 网 站 ， 或 者 尝 试 把 老 板 交 代 给 我 重 点 看 护 的 数 据 偷 偷 传 出 去 ， 那 我 就 不 只 是 看 着 那 么 简 单 了 ， 这 个 时 候 我 就 要 启 动 阻 断 功 能 阻 断 功 能 。 为 了 不 影 响 公 司 网 络 的 运 转 ， 我 一 般 都 是 旁 路 部 署 的 ， 这 样 要 是 我 哪 天 抽 风 遇 到 了 b u g ， 还 可 以 立 即 把 我 撤 下 去 。 这 个 所 谓 旁 路 部 署 呢 ， 就 是 抓 取 的 包 都 是 一 份 拷 贝 ， 而 不 是 通 过 我 转 发 。 不 过 这 样 一 来 也 给 我 阻 断 网 络 通 信 带 来 了 一 些 麻 烦 ， 如 果 我 是 串 联 到 网 络 中 ， 那 可 就 简 单 了 ， 遇 到 那 些 可 疑 的 网 络 连 接 我 直 接 丢 掉 数 据 包 ， 不 转 发 出 去 就 得 了 。 可 现 在 我 不 是 串 联 ， 而 是 旁 路 部 署 ， 怎 么 办 呢 ？ 聪 明 如 我 ， 怎 么 可 能 被 这 小 小 的 问 题 难 住 ？ 我 可 是 深 谙 T C P 协 议 的 行 家 ， 在 发 现 可 疑 的 连 接 建 立 的 时 候 ， 就 将 它 掐 灭 在 萌 芽 状 态 ！ 具 体 来 说 ， T C P 连 接 的 建 立 是 要 经 过 三 次 握 手 的 ：
当 我 发 现 可 疑 的 S Y N 数 据 包 时 ， 在 服 务 端 回 复 第 二 次 握 手 包 之 前 ， 以 迅 雷 不 及 掩 耳 盗 铃 之 势 ， 用 服 务 器 I P 的 名 义 伪 造 一 个 R S T 的 数 据 包 给 客 户 端 ， 这 样 连 接 就 被 我 掐 断 了 ！ 这 一 招 虽 然 不 能 保 证 百 分 之 百 成 功 ， 但 我 离 客 户 端 更 近 ， 我 的 伪 造 包 一 般 都 能 比 真 正 的 服 务 端 响 应 包 早 一 步 到 达 客 户 端 ， 所 以 成 功 率 还 是 蛮 高 的 ！ 唉 ， 说 曹 操 ， 曹 操 就 到 ！ 发 现 了 一 个 可 疑 的 连 接 来 了 ， 先 不 说 了 ， 我 要 去 忙 了 ～ 彩 蛋 彩 蛋 悄 悄 告 诉 你 们 ， 上 次 公 司 H R 给 我 导 入 了 一 批 U R L 列 表 ， 让 我 重 点 关 注 下 都 是 谁 在 访 问 ： w w w . l a g o u . c o m w w w . z h i p i n . c p m w w w . l i e p i n . c o m w w w . g e e k x h . c o m （ 重 中 之 重 ） - - -   E O F   - - -
推 荐 推 荐 ↓ ↓ ↓
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理