Ako čítať VPN socket bez dôvery v názov domény
Názov hostiteľa vedľa procesu je odhad adresy. Pred obvinením klienta VPN čítajte číselné koncové body, stav spojenia a PID, ktorý socket vlastní.
Váš prehliadač koncových bodov vypisuje proces VPN vedľa domény reklamnej spoločnosti a táto dvojica začína príbeh, ktorý údaje nemôžu podporiť. Názov je reverzné vyhľadávanie namaľované cez číselný koncový bod a mení sa vždy, keď sa zmení vyhľadávanie. Stĺpce, ktoré obstoja pri skúmaní, sú adresy, stav spojenia a PID, ktorý socket vlastní.
Nič v tabuľke socketov nepopisuje, čo prešlo vnútri spojenia. Čokoľvek, čo nesie názov hostiteľa, už bolo za vás interpretované.
Preložený názov je preklad, nie pole
Prehliadač žiada resolver, aby premenil adresu na názov, rovnako ako funguje dopyt PTR v DNS. Odpoveď môže prísť z miestnej vyrovnávacej pamäte, zo záznamu v súbore hosts, z oznámenia o objavení suseda alebo od poskytovateľa, ktorý adresu minulý týždeň odovzdal niekomu inému, a nástroj nemá spôsob, ako tieto zdroje rozlíšiť. Dva počítače sledujúce jedno spojenie môžu vytlačiť rôzne názvy pre rovnakú adresu partnera, čo sa ťažko vysvetľuje, ak veríte, že názov prišiel z drôtu. Berte označenie ako pohodlie pre ľudské oči, nie ako tvrdenie o tom, kto dostal bajty.
Dokumentácia TCPView opisuje stĺpce koncového bodu, stavu a procesu a dokumentuje vypnutie preložených názvov, čo sa oplatí urobiť skôr, než do domény vložíte akýkoľvek význam. Vypnutie prekladu robí neistotu viditeľnou namiesto toho, aby ju vytváralo: stále držíte adresu a práca na rozhodnutí, čo znamená, sa jednoducho vrátila k vám.
Čítajte číselné stĺpce po poriadku
Pracujte zľava doprava a zastavte sa pri prvom stĺpci, ktorý odpovedá na vašu otázku. Miestny koncový bod ukazuje, k čomu sa proces pripojil, vzdialený koncový bod ukazuje, či partner vôbec existuje, stav ukazuje, či je spojenie živé, a PID prepája riadok so spustiteľným súborom.
Tri pozorovania nižšie sú ilustratívne tvary, nie výstup zachytený na nejakom počítači tu. Sú zoskupené podľa toho, čo každé môže podporiť, pretože to je otázka, ktorú ľudia riadku socketu skutočne kladú:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Otvorený poslucháč, na ktorý sa iné počítače nedostanú, viazaný na adresu spätnej slučky, je spôsob, akým mnohí klienti VPN vystavujú vlastný riadiaci kanál. Väzba na zástupný znak znamená, že proces prijímal spojenia na každom rozhraní, a či je to nebezpečné, závisí od firewalu hostiteľa, nie od samotného riadku. Len spojenie, ktoré existuje a nesie počítadlá, sa podobá obvineniu, ktoré ľudia zvyčajne chcú vzniesť, a aj tento riadok sa zastaví pred užitočným zaťažením.
Overte vlastníctvo, skôr než niekoho označíte
Identita procesu je miesto, kde väčšina obvinení skutočne zlyháva. PID sa znova používajú, aktualizátory a pomocníci prehliadača rodia krátkovekých potomkov a klient VPN môže svoj prenos odovzdať privilegovanej systémovej službe. Porovnávajte cestu spustiteľného súboru a nadradený proces namiesto zobrazovaného názvu, pretože zobrazovaný názov vyberá ten, kto binárku zostavil.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathTo isté čítanie existuje v Linuxe, kde štatistika socketov môže niesť informácie o procese, keď máte dosť oprávnení vidieť sockety iných používateľov. Dopyt na nadviazané spojenia viazané na port 443 alebo z neho zúži výstup na riadky, na ktorých záleží:
ss -tunp state established '( sport = :443 or dport = :443 )'Zachyťte časovú značku spolu s riadkom. PID sám o sebe je pohyblivý odkaz, pretože kým otvoríte správcu procesov, socket môže patriť nástupcovi a cesta, ktorú skúmate, nemusí byť tá, ktorá spojenie držala. Zapíšte dvojicu koncových bodov, stav a PID ako jedno pozorovanie a zistenie prežije reštart aj druhý názor.
Čo ešte názov platí
Názov hostiteľa nie je bezcenný dôkaz. Zaznamenáva, že niekto v určitom okamihu spojil túto adresu s týmto názvom. Toto spojenie si zaslúži pozornosť, keď adresa patrí poskytovateľovi, ktorý obsluhuje tisíce nesúvisiacich zákazníkov. Je to slabšie tvrdenie ako cieľ a je to jediné tvrdenie, ktoré označenie môže podporiť.
Keď názov vyzerá nesprávne, porovnajte adresu so zverejnenými rozsahmi poskytovateľa a potom sa opýtajte, čo proces v tej chvíli robil: kontrola aktualizácií, volanie licencie, odoslanie telemetrie alebo podanie ruky tunela. Tieto činnosti zanechávajú rôzne tvary spojenia a zladenie tvaru s okamihom je poučnejšie než zladenie názvu so spoločnosťou, ktorej nedôverujete.
Zachovajte riadok, skôr než ukončíte zdieľaného pomocníka alebo niečo odinštalujete. Obhájiteľný záver pokrýva jeden pozorovaný koncový bod, jeho stav a vlastníka; verdikt na úrovni značky postavený na preloženom označení nie je dôkazom a nie je ním ani upokojenie, že známy hostiteľ na sťahovanie musí byť neškodný.