Cara membaca soket VPN tanpa memercayai nama domain
Nama host di samping sebuah proses adalah dugaan tentang sebuah alamat. Baca titik akhir numerik, status koneksi, dan PID pemiliknya sebelum menyalahkan klien VPN.
Penampil titik akhir Anda mencantumkan proses VPN di samping domain perusahaan periklanan, dan pasangan itu memulai cerita yang tidak dapat didukung oleh data. Nama itu adalah pencarian balik yang dilukis di atas titik akhir numerik, dan berubah setiap kali pencarian berubah. Kolom yang bertahan dalam pengujian adalah alamat, status koneksi, dan PID yang memiliki soket.
Tidak ada apa pun dalam tabel soket yang menjelaskan apa yang berjalan di dalam koneksi. Apa pun yang membawa nama host sudah ditafsirkan untuk Anda.
Nama yang diresolusi adalah terjemahan, bukan bidang
Penampil meminta resolver mengubah alamat menjadi nama, sama seperti kueri PTR bekerja di DNS. Jawabannya bisa datang dari cache lokal, entri berkas hosts, pengumuman penemuan tetangga, atau penyedia yang menyerahkan alamat itu kepada orang lain pekan lalu, dan alat itu tidak punya cara membedakan sumber-sumber tersebut. Dua mesin yang mengamati satu koneksi dapat mencetak nama berbeda untuk alamat rekan yang sama, yang sulit dijelaskan jika Anda percaya nama itu datang dari kabel. Perlakukan label sebagai kemudahan bagi mata manusia, bukan pernyataan tentang siapa yang menerima byte.
Dokumentasi TCPView menjelaskan kolom titik akhir, status, dan proses serta mendokumentasikan cara mematikan nama yang diresolusi, yang layak dilakukan sebelum Anda membaca makna apa pun ke dalam sebuah domain. Mematikan resolusi membuat ketidakpastian terlihat alih-alih menciptakannya: Anda masih memegang sebuah alamat, dan pekerjaan memutuskan apa artinya baru saja kembali kepada Anda.
Baca kolom numerik secara berurutan
Bekerjalah dari kiri ke kanan dan berhenti di kolom pertama yang menjawab pertanyaan Anda. Titik akhir lokal menunjukkan ke apa proses terikat, titik akhir jarak jauh menunjukkan apakah ada rekan sama sekali, status menunjukkan apakah asosiasi hidup, dan PID menghubungkan baris dengan berkas yang dapat dieksekusi.
Tiga pengamatan di bawah ini adalah bentuk ilustratif, bukan keluaran yang diambil dari mesin mana pun di sini. Ketiganya dikelompokkan menurut apa yang dapat didukung masing-masing, karena itulah pertanyaan yang sebenarnya diajukan orang kepada baris soket:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Pendengar terbuka yang tidak dapat dijangkau mesin lain, terikat ke alamat loopback, adalah cara banyak klien VPN memaparkan kanal kendali mereka sendiri. Ikatan wildcard berarti proses menerima koneksi di setiap antarmuka, dan apakah itu berbahaya bergantung pada firewall host, bukan pada baris itu sendiri. Hanya asosiasi yang ada dan membawa penghitung yang menyerupai tuduhan yang biasanya ingin diajukan orang, dan bahkan baris itu berhenti sebelum muatan.
Verifikasi kepemilikan sebelum menuduh siapa pun
Identitas proses adalah tempat sebagian besar tuduhan sebenarnya gagal. PID dipakai ulang, pembaru dan pembantu peramban melahirkan anak berumur pendek, dan klien VPN dapat menyerahkan lalu lintasnya kepada layanan sistem yang berhak istimewa. Bandingkan jalur berkas yang dapat dieksekusi dan proses induk alih-alih nama tampilan, karena nama tampilan dipilih oleh siapa pun yang membangun biner itu.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathPembacaan yang sama ada di Linux, tempat statistik soket dapat membawa informasi proses ketika Anda memiliki hak istimewa yang cukup untuk melihat soket pengguna lain. Meminta soket mapan yang terikat ke atau dari porta 443 mempersempit keluaran ke baris yang penting:
ss -tunp state established '( sport = :443 or dport = :443 )'Tangkap stempel waktu bersama baris itu. PID sendiri adalah rujukan yang bergerak, karena saat Anda membuka pengelola proses, soket mungkin sudah milik penerus dan jalur yang Anda periksa mungkin bukan jalur yang memegang koneksi. Catat pasangan titik akhir, status, dan PID sebagai satu pengamatan, maka temuan itu bertahan setelah mulai ulang atau pendapat kedua.
Apa yang masih bernilai dari sebuah nama
Nama host bukan bukti tanpa nilai. Nama itu mencatat bahwa seseorang pernah mengaitkan alamat tersebut dengan nama itu pada suatu waktu. Kaitan itu layak diperhatikan ketika alamat tersebut milik penyedia yang melayani ribuan pelanggan tak bertautan. Ini klaim yang lebih lemah daripada tujuan, dan inilah satu-satunya klaim yang dapat didukung label.
Ketika sebuah nama tampak salah, bandingkan alamat dengan rentang yang diterbitkan penyedia lalu tanyakan apa yang dilakukan proses itu pada saat tersebut: pemeriksaan pembaruan, panggilan lisensi, pengiriman telemetri, atau jabat tangan terowongan. Aktivitas itu meninggalkan bentuk koneksi yang berbeda, dan mencocokkan bentuk dengan saatnya lebih informatif daripada mencocokkan nama dengan perusahaan yang Anda curigai.
Simpan baris itu sebelum Anda menghentikan pembantu bersama atau mencopot pemasangan apa pun. Kesimpulan yang dapat dipertahankan mencakup satu titik akhir yang diamati, statusnya, dan pemiliknya; putusan seluas merek yang dibangun di atas label yang diresolusi bukanlah bukti, dan begitu pula keyakinan bahwa hos pengunduhan yang dikenal pasti tidak berbahaya.