Si të lexojmë një socket VPN pa i besuar një emri domeni
Një emër hosti pranë një procesi është një hamendje për një adresë. Lexoni pikat numerike fundore, gjendjen e lidhjes dhe PID-in që e zotëron para se të fajësoni një klient VPN.
Shikuesi i pikave fundore rendit një proces VPN pranë domenit të një kompanie reklamash, dhe ky çift nis një histori që të dhënat nuk mund ta mbështesin. Emri është një kërkim i kundërt i pikturuar mbi një pikë fundore numerike, dhe ndryshon sa herë ndryshon kërkimi. Kolonat që përballojnë shqyrtimin janë adresat, gjendja e lidhjes dhe PID-i që zotëron socket-in.
Asgjë në një tabelë socket-ash nuk përshkruan çfarë udhëtoi brenda një lidhjeje. Çdo gjë që mban një emër hosti tashmë është interpretuar për ju.
Një emër i zgjidhur është përkthim, jo fushë
Shikuesi i kërkon zgjidhësit ta kthejë një adresë në emër, njësoj si funksionon një pyetje PTR në DNS. Përgjigja mund të vijë nga një cache lokale, nga një zë në skedarin hosts, nga një njoftim zbulimi fqinjësh ose nga një ofrues që adresën ia dha dikujt tjetër javën e kaluar, dhe mjeti nuk ka asnjë mënyrë për t'i dalluar këto burime. Dy makina që vëzhgojnë një lidhje mund të shtypin emra të ndryshëm për të njëjtën adresë palë, gjë e vështirë për t'u shpjeguar nëse besoni se emri erdhi nga teli. Trajtojeni etiketën si një komoditet për sytë e njeriut dhe jo si një pohim se kush i mori bajtët.
Dokumentacioni i TCPView përshkruan kolonat e pikës fundore, gjendjes dhe procesit dhe dokumenton fikjen e emrave të zgjidhur, gjë që ia vlen të bëhet para se të lexoni ndonjë kuptim në një domen. Fikja e zgjidhjes e bën pasigurinë të dukshme në vend që ta krijojë: ju ende mbani një adresë, dhe puna për të vendosur çfarë do të thotë ajo thjesht u kthye tek ju.
Lexoni kolonat numerike sipas radhës
Punoni nga e majta në të djathtë dhe ndaloni në kolonën e parë që i përgjigjet pyetjes tuaj. Pika fundore lokale tregon se me çfarë u lidh procesi, pika fundore e largët tregon nëse ekziston një palë, gjendja tregon nëse shoqërimi është i gjallë, dhe PID-i e lidh rreshtin me një skedar të ekzekutueshëm.
Tre vëzhgimet më poshtë janë forma ilustruese dhe jo dalje e kapur nga ndonjë makinë këtu. Janë grupuar sipas asaj që secili mund të mbështesë, sepse kjo është pyetja që njerëzit i bëjnë vërtet një rreshti socket-i:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Një dëgjues i hapur që makinat e tjera nuk mund ta arrijnë, i lidhur me adresën e lakut të kthimit, është mënyra se si shumë klientë VPN ekspozojnë kanalin e tyre të kontrollit. Një lidhje me karakter gjenerik do të thotë që procesi pranoi lidhje në çdo ndërfaqe, dhe nëse kjo është e rrezikshme varet nga muri i zjarrit i hostit dhe jo nga rreshti vetë. Vetëm një shoqërim që ekziston dhe mban numërues i ngjan akuzës që njerëzit zakonisht duan të bëjnë, dhe edhe ai rresht ndalon para ngarkesës.
Verifikoni pronësinë para se të emërtoni një fajtor
Identiteti i procesit është vendi ku shumica e akuzave dështojnë në të vërtetë. PID-të ripërdoren, përditësuesit dhe ndihmësit e shfletuesit krijojnë fëmijë jetëshkurtër, dhe një klient VPN mund ta dorëzojë trafikun e tij te një shërbim sistemi i privilegjuar. Krahasoni shtegun e skedarit të ekzekutueshëm dhe procesin prind në vend të emrit të shfaqur, sepse emrin e shfaqur e zgjedh ai që ndërtoi binarin.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathE njëjta lexim ekziston në Linux, ku statistikat e socket-ave mund të mbajnë informacion për procesin kur keni privilegje të mjaftueshme për të parë socket-at e përdoruesve të tjerë. Kërkimi i socket-ave të vendosura të lidhura me portën 443 ose prej saj e ngushton daljen te rreshtat që kanë rëndësi:
ss -tunp state established '( sport = :443 or dport = :443 )'Kapni vulën kohore së bashku me rreshtin. Një PID i vetëm është një referencë në lëvizje, sepse deri kur të hapni një menaxher procesesh socket-i mund t'i përkasë tashmë një pasardhësi dhe shtegu që inspektoni mund të mos jetë ai që mbante lidhjen. Shënoni çiftin e pikave fundore, gjendjen dhe PID-in si një vëzhgim të vetëm, dhe gjetja i mbijeton një rindezjeje ose një mendimi të dytë.
Çfarë vlen ende një emër
Një emër hosti nuk është provë pa vlerë. Ai regjistron që dikush e lidhi atë adresë me atë emër në një moment. Ajo lidhje meriton vëmendje kur adresa i përket një ofruesi që shërben mijëra klientë të palidhur. Është një pohim më i dobët sesa një destinacion, dhe është i vetmi pohim që etiketa mund të mbështesë.
Kur një emër duket i gabuar, krahasoni adresën me intervalet e publikuara të ofruesit dhe pastaj pyesni çfarë po bënte procesi në atë moment: një kontroll përditësimi, një thirrje licence, një dërgim telemetrie ose një shtrëngim duarsh tuneli. Këto aktivitete lënë forma lidhjeje të ndryshme, dhe përputhja e formës me momentin jep më shumë informacion sesa përputhja e emrit me një kompani që nuk i besoni.
Ruajeni rreshtin para se të përfundoni një ndihmës të përbashkët ose të çinstaloni diçka. Një përfundim i mbrojtshëm mbulon një pikë fundore të vëzhguar, gjendjen dhe pronarin e saj; një verdikt në shkallë marke i ndërtuar mbi një etiketë të zgjidhur nuk është provë, dhe as qetësia se një host shkarkimi i njohur duhet të jetë i padëmshëm nuk është provë.