วิธีอ่านซ็อกเก็ต VPN โดยไม่เชื่อถือชื่อโดเมน
ชื่อโฮสต์ข้างโปรเซสคือการคาดเดาเกี่ยวกับที่อยู่ อ่านปลายทางเชิงตัวเลข สถานะการเชื่อมต่อ และ PID ที่เป็นเจ้าของ ก่อนจะตำหนิไคลเอนต์ VPN
ตัวแสดงปลายทางของคุณแสดงโปรเซส VPN ไว้ข้างโดเมนของบริษัทโฆษณา และการจับคู่นั้นเริ่มเรื่องราวที่ข้อมูลไม่สามารถรองรับได้ ชื่อคือการค้นหาย้อนกลับที่ทาทับอยู่บนปลายทางเชิงตัวเลข และมันเปลี่ยนทุกครั้งที่การค้นหาเปลี่ยน คอลัมน์ที่ทนต่อการตรวจสอบคือที่อยู่ สถานะการเชื่อมต่อ และ PID ที่เป็นเจ้าของซ็อกเก็ต
ไม่มีอะไรในตารางซ็อกเก็ตที่อธิบายว่าอะไรเดินทางอยู่ภายในการเชื่อมต่อหนึ่งครั้ง สิ่งใดก็ตามที่พาชื่อโฮสต์มาด้วยได้รับการตีความแทนคุณแล้ว
ชื่อที่แก้ไขแล้วคือการแปล ไม่ใช่ฟิลด์
ตัวแสดงขอให้ตัวแก้ไขเปลี่ยนที่อยู่เป็นชื่อ วิธีเดียวกับที่คำค้น PTR ทำงานใน DNS คำตอบอาจมาจากแคชภายในเครื่อง รายการในไฟล์ hosts ประกาศการค้นพบเพื่อนบ้าน หรือผู้ให้บริการที่ยกที่อยู่ให้คนอื่นเมื่อสัปดาห์ก่อน และเครื่องมือไม่มีทางแยกแยะแหล่งเหล่านั้นได้ สองเครื่องที่เฝ้าดูการเชื่อมต่อเดียวอาจพิมพ์ชื่อต่างกันสำหรับที่อยู่คู่เดียวกัน ซึ่งอธิบายได้ยากถ้าคุณเชื่อว่าชื่อมาจากสายสัญญาณ มองป้ายชื่อเป็นความสะดวกสำหรับสายตามนุษย์ ไม่ใช่ข้อความยืนยันว่าใครได้รับไบต์
เอกสาร TCPView อธิบายคอลัมน์ปลายทาง สถานะ และโปรเซส และบันทึกวิธีปิดการแก้ไขชื่อ ซึ่งคุ้มค่าที่จะทำก่อนจะอ่านความหมายใด ๆ ลงในโดเมน การปิดการแก้ไขทำให้ความไม่แน่นอนมองเห็นได้แทนที่จะสร้างมันขึ้นมา คุณยังคงมีที่อยู่ และงานในการตัดสินว่ามันหมายถึงอะไรก็กลับมาที่คุณ
อ่านคอลัมน์เชิงตัวเลขตามลำดับ
ทำงานจากซ้ายไปขวาและหยุดที่คอลัมน์แรกที่ตอบคำถามของคุณ ปลายทางภายในแสดงว่าโปรเซสผูกกับอะไร ปลายทางระยะไกลแสดงว่ามีคู่สนทนาหรือไม่ สถานะแสดงว่าความสัมพันธ์ยังมีชีวิตหรือไม่ และ PID เชื่อมแถวกับไฟล์ที่เรียกใช้ได้
ข้อสังเกตสามข้อด้านล่างเป็นรูปแบบเพื่อการอธิบาย ไม่ใช่ผลลัพธ์ที่เก็บจากเครื่องใด ๆ ที่นี่ จัดกลุ่มตามสิ่งที่แต่ละข้อรองรับได้ เพราะนั่นคือคำถามที่ผู้คนถามแถวซ็อกเก็ตจริง ๆ
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
ผู้ฟังที่เปิดอยู่ซึ่งเครื่องอื่นเข้าถึงไม่ได้ ผูกกับที่อยู่ลูปแบ็ก คือวิธีที่ไคลเอนต์ VPN จำนวนมากเปิดเผยช่องควบคุมของตนเอง การผูกแบบไวลด์การ์ดหมายความว่าโปรเซสรับการเชื่อมต่อบนทุกอินเทอร์เฟซ และว่าเป็นอันตรายหรือไม่ขึ้นอยู่กับไฟร์วอลล์ของโฮสต์ ไม่ใช่ที่แถวนั้นเอง มีเพียงความสัมพันธ์ที่มีอยู่และพาตัวนับไปด้วยเท่านั้นที่คล้ายข้อกล่าวหาที่ผู้คนมักอยากกล่าว และแม้แถวนั้นก็หยุดก่อนเนื้อหาที่บรรทุกมา
ตรวจสอบความเป็นเจ้าของก่อนจะระบุผู้กระทำผิด
อัตลักษณ์ของโปรเซสคือจุดที่ข้อกล่าวหาส่วนใหญ่ล้มเหลวจริง ๆ PID ถูกนำกลับมาใช้ใหม่ ตัวอัปเดตและตัวช่วยของเบราว์เซอร์สร้างลูกที่มีอายุสั้น และไคลเอนต์ VPN อาจมอบทราฟฟิกของตนให้บริการระบบที่ได้สิทธิพิเศษ เปรียบเทียบเส้นทางของไฟล์ที่เรียกใช้ได้และโปรเซสแม่แทนชื่อที่แสดง เพราะชื่อที่แสดงถูกเลือกโดยคนที่สร้างไบนารี
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, Pathการอ่านแบบเดียวกันมีอยู่ใน Linux ซึ่งสถิติซ็อกเก็ตสามารถพาข้อมูลโปรเซสได้เมื่อคุณมีสิทธิ์พอที่จะเห็นซ็อกเก็ตของผู้ใช้คนอื่น การขอซ็อกเก็ตที่สร้างเสร็จแล้วซึ่งผูกกับพอร์ต 443 หรือส่งออกจากพอร์ตนั้น ทำให้ผลลัพธ์แคบลงเหลือแถวที่มีความหมาย:
ss -tunp state established '( sport = :443 or dport = :443 )'บันทึกเวลากำกับไว้พร้อมกับแถว PID เพียงอย่างเดียวเป็นข้อมูลอ้างอิงที่เคลื่อนที่ได้ เพราะเมื่อคุณเปิดตัวจัดการโปรเซส ซ็อกเก็ตอาจเป็นของทายาทแล้ว และเส้นทางที่คุณตรวจสอบอาจไม่ใช่เส้นทางที่ถือการเชื่อมต่อไว้ บันทึกคู่ปลายทาง สถานะ และ PID เป็นข้อสังเกตชุดเดียว แล้วสิ่งที่พบจะอยู่รอดหลังการรีสตาร์ตหรือความเห็นที่สอง
ชื่อยังมีค่าแค่ไหน
ชื่อโฮสต์ไม่ใช่หลักฐานที่ไร้ค่า มันบันทึกว่าเคยมีใครเชื่อมโยงที่อยู่นั้นกับชื่อนั้น ณ จุดหนึ่ง การเชื่อมโยงนั้นควรค่าแก่การใส่ใจเมื่อที่อยู่เป็นของผู้ให้บริการที่ดูแลลูกค้าที่ไม่เกี่ยวข้องกันหลายพันราย มันเป็นข้อกล่าวอ้างที่อ่อนกว่าปลายทาง และเป็นข้อกล่าวอ้างเดียวที่ป้ายชื่อรองรับได้
เมื่อชื่อดูผิด ให้เทียบที่อยู่กับช่วงที่ผู้ให้บริการเผยแพร่ แล้วถามว่าโปรเซสกำลังทำอะไรในขณะนั้น การตรวจสอบอัปเดต การเรียกใช้สิทธิ์ การส่งข้อมูลโทรมาตร หรือการจับมือของอุโมงค์ กิจกรรมเหล่านั้นทิ้งรูปแบบการเชื่อมต่อที่ต่างกัน และการจับคู่รูปแบบกับช่วงเวลาบอกข้อมูลได้มากกว่าการจับคู่ชื่อกับบริษัทที่คุณไม่ไว้ใจ
เก็บแถวไว้ก่อนที่คุณจะสิ้นสุดตัวช่วยที่ใช้ร่วมกันหรือถอนการติดตั้งสิ่งใด หาข้อสรุปที่ป้องกันได้ครอบคลุมปลายทางที่สังเกตได้หนึ่งจุด สถานะของมัน และเจ้าของของมัน คำตัดสินระดับแบรนด์ที่สร้างบนป้ายชื่อที่แก้ไขแล้วไม่ใช่หลักฐาน และความสบายใจที่ว่าโฮสต์ดาวน์โหลดที่คุ้นเคยต้องไม่เป็นอันตรายก็ไม่ใช่หลักฐานเช่นกัน