Jak číst VPN socket bez důvěry v název domény
Jméno hostitele vedle procesu je odhad adresy. Než obviníte VPN klienta, čtěte číselné koncové body, stav spojení a PID, který socket vlastní.
Váš prohlížeč koncových bodů vypisuje proces VPN vedle domény reklamní společnosti a tato dvojice začíná příběh, který data nemohou podpořit. Název je reverzní vyhledávání namalované přes číselný koncový bod a mění se pokaždé, když se změní vyhledávání. Sloupce, které obstojí při zkoumání, jsou adresy, stav spojení a PID, který socket vlastní.
Nic v tabulce socketů nepopisuje, co prošlo uvnitř spojení. Cokoli, co nese jméno hostitele, už za vás bylo interpretováno.
Přeložený název je překlad, ne pole
Prohlížeč žádá resolver, aby převedl adresu na název, stejně jako funguje dotaz PTR v DNS. Odpověď může přijít z místní mezipaměti, ze záznamu v souboru hosts, z oznámení o objevení souseda nebo od poskytovatele, který adresu minulý týden předal někomu jinému, a nástroj nemá způsob, jak tyto zdroje rozlišit. Dva počítače sledující jedno spojení mohou vytisknout různá jména pro stejnou adresu protějšku, což se těžko vysvětluje, pokud věříte, že jméno přišlo z drátu. Berte označení jako pohodlí pro lidské oči, ne jako tvrzení o tom, kdo dostal bajty.
Dokumentace TCPView popisuje sloupce koncového bodu, stavu a procesu a dokumentuje vypnutí přeložených názvů, což stojí za to udělat dřív, než do domény vložíte jakýkoli význam. Vypnutí překladu činí nejistotu viditelnou, místo aby ji vytvářelo: stále držíte adresu a práce na rozhodnutí, co znamená, se prostě vrátila k vám.
Čtěte číselné sloupce popořadě
Pracujte zleva doprava a zastavte se u prvního sloupce, který odpovídá na vaši otázku. Místní koncový bod ukazuje, k čemu se proces připojil, vzdálený koncový bod ukazuje, zda protějšek vůbec existuje, stav ukazuje, zda je spojení živé, a PID propojuje řádek se spustitelným souborem.
Tři pozorování níže jsou ilustrativní tvary, nikoli výstup zachycený z nějakého stroje zde. Jsou seskupena podle toho, co každé může podpořit, protože to je otázka, kterou lidé řádku socketu skutečně kladou:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Otevřený posluchač, na který se jiné stroje nedostanou, vázaný na adresu zpětné smyčky, je způsob, jakým mnoho VPN klientů vystavuje svůj vlastní řídicí kanál. Vazba na zástupný znak znamená, že proces přijímal spojení na každém rozhraní, a zda je to nebezpečné, závisí na firewallu hostitele, ne na řádku samotném. Jen spojení, které existuje a nese počítadla, se podobá obvinění, které lidé obvykle chtějí vznést, a i tento řádek se zastaví před užitečným zatížením.
Ověřte vlastnictví, než někoho označíte
Identita procesu je místo, kde většina obvinění skutečně selhává. PID se znovu používají, aktualizátory a pomocníci prohlížeče rodí krátkověké potomky a VPN klient může svůj provoz předat privilegované systémové službě. Porovnávejte cestu spustitelného souboru a nadřazený proces místo zobrazovaného názvu, protože zobrazovaný název volí ten, kdo binárku sestavil.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathStejné čtení existuje v Linuxu, kde statistika socketů může nést informace o procesu, když máte dost privilegií vidět sockety jiných uživatelů. Dotaz na navázaná spojení vázaná na port 443 nebo z něj zúží výstup na řádky, na kterých záleží:
ss -tunp state established '( sport = :443 or dport = :443 )'Zachyťte časové razítko spolu s řádkem. PID sám o sobě je pohyblivý odkaz, protože než otevřete správce procesů, socket může patřit nástupci a cesta, kterou zkoumáte, nemusí být ta, která spojení držela. Zapište dvojici koncových bodů, stav a PID jako jedno pozorování a zjištění přežije restart i druhý názor.
Co ještě jméno platí
Jméno hostitele není bezcenný důkaz. Zaznamenává, že někdo v určitém okamžiku spojil tuto adresu s tímto jménem. Toto spojení si zaslouží pozornost, když adresa patří poskytovateli, který obsluhuje tisíce nesouvisejících zákazníků. Je to slabší tvrzení než cíl a je to jediné tvrzení, které označení může podpořit.
Když název vypadá špatně, porovnejte adresu se zveřejněnými rozsahy poskytovatele a pak se zeptejte, co proces v tu chvíli dělal: kontrola aktualizací, volání licence, odeslání telemetrie nebo handshake tunelu. Tyto činnosti zanechávají různé tvary spojení a sladění tvaru s okamžikem je poučnější než sladění názvu se společností, které nedůvěřujete.
Zachovejte řádek, než ukončíte sdíleného pomocníka nebo něco odinstalujete. Obhajitelný závěr pokrývá jeden pozorovaný koncový bod, jeho stav a vlastníka; verdikt na úrovni značky postavený na přeloženém označení není důkaz a není jím ani uklidnění, že známý hostitel pro stahování musí být neškodný.