Messages posted by: hoanglinh9466

Vậy hả cái DSL 500T nhà em có cần reboot đâu nhỉ, thế cái router mà VNPT thường khuyến mãi cho người dùng có cần reboot ko anh

Xin chào các anh chị trong hva

Tự nhiên em nghĩ ra trò như thế này:

Dùng nmap quét các ip thuộc dải ip của vnpt hay fpt hay viettel (chọn 1 dải bất kì thôi) xem host nào up. Xong nhắm được 1 cái ip rồi thì vào browser gõ ip vào, ra cái trang cấu hình router (nó hỏi user và pass thì thường là admin admin hay 1234, nhiều người chưa đổi). Trong trang đấy thì portforward đến cổng 139 (netbios) của 1 máy trong mạng LAN rồi tắt firewall của router... Rùi thử kết nối nhưng ko kết nối đc, (chỉ kết nối thôi chứ chưa làm gì đâu).

Đã portforward rồi mà vẫn ko đc. là sao nhỉ, hay windows ko chấp nhận ip từ bên ngoài lan kết nối đến cổng này ?

Mong mọi người giúp đỡ . THanks

Lần trước em post bài hỏi mà ko có ai trả lời. Bây h em đã inject được 1 packet vào 1 tcp session. Nhưng vẫn còn nhiều vấn đề. Em tham khảo riêng ý kiến của anh Mr.Khoai (vì post lên sợ lại chả có ai trả lời) và có mấy cái email hướng dẫn nay post lên cho mọi người đọc và xem có giúp được em ko smilie

Em dùng 1 máy chạy client http, em làm CT khác (cũng chạy trên máy ấy luôn) dùng winpcap bắt 1 gói tin GET của client gửi đi, chỉnh sửa hearder cho đúng (em biết là đã điền đúng hết, dùng wireshark theo dõi ko thấy báo lỗi gì mà) và chờ khi kết nối đang idle thì gửi gói tin này đi, vấn đề là khi gửi đi thì server gửi gói tin ack báo nhận, và http client cũng nhận được gói tin này luôn nên nó gửi đi 1 gói tin báo nhận nốt -> lỗi luôn.
Đây là file lưu lại quá trình theo dõi dùng wireshark: http://www.box.net/shared/0yi9gygcog
Gói tin thứ 4 là gói tin GET do http client gửi đi. Gói tin thứ 10 là gói tin thứ 4 em capture và sửa các field như id, sequence, checksum... rồi dùng winpcap gửi đi. Em muốn vừa inject packet mà vẫn duy trì được kết nối.

Mr.Khoai wrote:

Xin chúc mừng,

Bạn đã làm rất chi tiết và rất cụ thể. Có thể nói là bạn đã inject packet thành công vào một TCP session, và bạn hoàn toàn có khả năng hijack TCP session này. Một loạt các DUP ACK mà bạn nhận được là một ACK flood, một tình trạng rất quen thuộc khi bạn hijack/inject TCP session.

Như vậy, bạn hãy thử nghĩ xem, có cách nào khiến client thật phải close connection và ignore hết các gói mà server gửi về không? Gợi ý: Thường khi kết nối có một số lỗi khiến mình phải đóng một connection như port không mở, hoặc network không thông vân vân. Các lỗi đó dùng cái gì để thông báo cho các hosts?

Sâu hơn một tý, bạn đã chèn một gói tin cho server, nhưng client không biết -> DUP ACK flood. Vậy, có cách nào để bạn chèn một gói rác cho client, và update các fields như seq number, ack number, vân vân cho bên client không? Có cách nào để client không đóng connection, mà lại không nhận được gì từ server thật? Gợi ý: Cách cho client tạm thời không nhận được gì từ server phải nằm ở, hoặc dưới link layer. Các cú động chạm đến IP layer đều có thể làm động đến IP identifier. Và, bạn phải xử client trước khi server gửi lại ACK cho bạn, nếu không client cũng nhận được cái ACK này.

Lần nữa, khoai thấy bạn đã có rất đầy đủ thông tin trong file pcap của bạn. Bạn nên đưa lên forum thảo luận để bà con cùng tham khảo. Khoai ít thấy có các topic chuyên sâu về các fields và các kỹ thuật ở tầng TCP/IP. Các email thảo luận giữa bạn và khoai cũng rất có thể sẽ có ích cho các bạn khác.

khoai

Em muốn sự trao đổi giữa client và server vẫn diễn ra được, có thể chậm đi một tí, VD như server gửi cho client và cần client trả lời, client có thể trả lời được, nhưng mình vẫn inject packet được và lấy những gì mình cần ! Ai chỉ dẫn cho em cụ thể hơn một tí, chứ hướng dẫn của anh khoai với gà con mới đi được bước đầu tiên như em thì còn khó quá !!!

Em dùng winpcap để inject packet trong winxp, nhưng theo dõi thấy winsock ko để ý đến các gói tin inject thì phải (sr, diễn đạt hơi kém). Ví dụ như gói tin gửi dùng win sock thì có ip id 1111, dùng winpcap gửi gói tin có ip id 1112, dùng winsock gửi tiếp 1 gói tin thì ip id của nó là 1112 (nếu như winsock nhận ra gói tin của winpcap gửi đi thì id là 1113 chứ) ! Làm thế nào để inject packet mà winsock để ý đến nhỉ ! Mong các bác chỉ giáo !
P/S: nếu post bài ko đúng chỗ thì nhờ các mod move dùm

ALO, có ai không giúp em với !!!

Em dùng wireshark để bắt 1 gói tin tcp, xem thì thấy ip header của nó thế này: 45 00 00 30 2a 31 40 00 80 06 4d 43 c0 a8 01 02 c0 a8 01 01
4d 43 là checksum
Em dùng code này để tính checksum (đã thay 4d 43 = 00 00)
Code:

unsigned short in_cksum(unsigned short * addr, int len)
{
int nleft = len;
unsigned short *w = addr;
int sum = 0;
unsigned short answer = 0;
while (nleft > 1) {
sum += *w++;
nleft -= 2;
}
if (nleft == 1) {
*(BYTE *) (&answer) = *(BYTE *) w;
sum += answer;
}
sum = (sum >> 16) + (sum & 0xffff);
sum += (sum >> 16);
answer = ~sum;
return (answer);
}

Nhưng nó lại không ra là 4d 43. Có phải code trên bị sai ko ??

Các anh ơi, cái file .deb trên lúc mở ra nó báo : Dependency is not statisfiable: libmad0
Phải làm sao đây

Mọi người nói chung chung quá, thế có ai biết ở đâu trên mạng có tài liệu về vấn đề này ko, càng cụ thể càng tốt, xin cảm ơn !!!

Hồi trước em ra quán, vào services.msc, thấy cái service tên là df5, disable luôn, hôm sau ra xem lại thì máy đấy bị hỏng bàn phím nến ko biết kết quả thế nào, mọi người xem cách đấy có được ko ?

conmale wrote:

Nói thêm: RFC không quy định thuật toán cụ thể cho việc tính sequencing và checksum cho packets. Cái này tùy vào ứng dụng cụ thể của từng hệ điều hành. Bởi thế, muốn biết thì phải xem code hoặc tài liệu cụ thể của từng hệ điều hành.

Thế cho window thì thuật toán cụ thể thế nào hả anh, còn field id trong ip header điền thế nào cũng được đúng ko ???

to K4i: đã nói là dùng winpcap rồi mà

Em biết sai đâu rồi, ngay cả khi gửi 2 gói tin có phần dữ liệu giống nhau thì các field ip_id, ip_checksum trong ip header, sequence, acknowledge, window, checksum trong tcp header vẫn khác nhau giữa các gói. Vậy làm thế nào để biết hay tính ra được giá trị của các field này hả anh, em đọc rfc nhưng mà nó nói khó hiểu quá.

(Không biết post bài vào đâu nên cho vào đây, ko đúng thì mong các mod mov dùm)

Sử dụng thư viện winpcap em đã làm 1 chương trình bắt các gói tin và có thể gửi lại y nguyên nội dung gói tin đó. Sau đây là quá trình kểm tra:

Dùng 1 chương trình kết nối với 1 server, ở đây em dùng linhz96.brinkster.net, và gửi gói tin lấy nội dung 1 trang web, dùng CT sử dụng winpcap để bắt gói tin này, sau đó dùng winpcap để gửi gói tin ấy đi, nếu như nhận lại gói tin có nội dung của trang web thì tức là đã thành công, nhưng kết quả lại không như vậy.

Gói tin thứ nhất là gói tin thật dùng để lấy nội dung trang web:
HEADER:
45 00 00 61 0E 21 40 00 80 06 83 22 C0 A8 01 02 E..a.!@...."....
41 B6 65 F3 04 B3 00 50 F7 B3 7C 2A 4F B8 74 B4 A.e....P..|*O.t.
50 18 FC 90 BF D8 00 00 P.......

DATA:
47 45 54 20 2F 67 65 74 61 64 64 72 2E 61 73 70 GET /getaddr.asp
20 48 54 54 50 2F 31 2E 31 0D 0A 48 6F 73 74 3A HTTP/1.1..Host:
6C 69 6E 68 7A 39 36 2E 62 72 69 6E 6B 73 74 65 linhz96.brinkste
72 2E 6E 65 74 0D 0A 0D 0A r.net....

Gói tin thứ hai em không biết là cái gì (chắc là để xác nhận là server đã nhận gói tin do client gửi đến:
HEADER:
45 00 00 28 B6 CC 40 00 3B 06 1F B0 41 B6 65 F3 E..(..@.;...A.e.
C0 A8 01 02 00 50 04 B3 4F B8 74 B4 F7 B3 7C 63 .....P..O.t...|c
50 10 16 D0 F2 29 00 00 P....)..

DATA:

Gói tin thứ ba là nội dung trả về của trang web:
HEADER:
45 00 01 4D B6 CD 40 00 3B 06 1E 8A 41 B6 65 F3 E..M..@.;...A.e.
C0 A8 01 02 00 50 04 B3 4F B8 74 B4 F7 B3 7C 63 .....P..O.t...|c
50 18 16 D0 10 BB 00 00 P.......

DATA:
48 54 54 50 2F 31 2E 31 20 32 30 30 20 4F 4B 0D HTTP/1.1 200 OK.
0A 44 61 74 65 3A 20 54 68 75 2C 20 33 30 20 41 .Date: Thu, 30 A
75 67 20 32 30 30 37 20 31 34 3A 31 35 3A 33 30 ug 2007 14:15:30
20 47 4D 54 0D 0A 53 65 72 76 65 72 3A 20 4D 69 GMT..Server: Mi
63 72 6F 73 6F 66 74 2D 49 49 53 2F 36 2E 30 0D crosoft-IIS/6.0.
0A 58 2D 50 6F 77 65 72 65 64 2D 42 79 3A 20 41 .X-Powered-By: A
53 50 2E 4E 45 54 0D 0A 43 6F 6E 74 65 6E 74 2D SP.NET..Content-
....

Gói tin thứ tư giống gói tin thứ 2, chắc cũng để xác nhận:
HEADER:
45 00 00 28 0E 22 40 00 80 06 83 5A C0 A8 01 02 E..(."@....Z....
41 B6 65 F3 04 B3 00 50 F7 B3 7C 63 4F B8 75 D9 A.e....P..|cO.u.
50 10 FB 6B 0C 69 00 00 P..k.i..

DATA:

Gói tin thứ 5 là gói tin giống y hệt gói tin thứ nhất, nhưng do chương trình dùng winpcap bắt được và gửi đi:
HEADER:
45 00 00 61 0E 21 40 00 80 06 83 22 C0 A8 01 02 E..a.!@...."....
41 B6 65 F3 04 B3 00 50 F7 B3 7C 2A 4F B8 74 B4 A.e....P..|*O.t.
50 18 FC 90 BF D8 00 00 P.......

DATA:
47 45 54 20 2F 67 65 74 61 64 64 72 2E 61 73 70 GET /getaddr.asp
20 48 54 54 50 2F 31 2E 31 0D 0A 48 6F 73 74 3A HTTP/1.1..Host:
6C 69 6E 68 7A 39 36 2E 62 72 69 6E 6B 73 74 65 linhz96.brinkste
72 2E 6E 65 74 0D 0A 0D 0A r.net....

Gói tin thứ 6 là gói tin trả về của server (không giống gói tin thứ 2)
HEADER:
45 00 00 34 B6 CE 40 00 3B 06 1F A2 41 B6 65 F3 E..4..@.;...A.e.
C0 A8 01 02 00 50 04 B3 4F B8 75 D9 F7 B3 7C 63 .....P..O.u...|c
80 10 16 D0 D2 F7 00 00 ........

DATA:
01 01 05 0A F7 B3 7C 2A F7 B3 7C 63 ......|*..|c

Vấn đề là ở gói tin thứ 6 ấy, có phải server đã biết là gói tin gửi đi không do đúng chương trình đã tạo kết nối với nó gửi đi không ???, gói tin này nghĩa là gì ??? Ai giải thích hộ em với !!!

Vậy thì các trình giấu IP thì nó hoạt động thế nào nhỉ, nếu thay đổi địa chỉ ip trong packet gửi đi thì server khi gửi lại sẽ gửi đến chỗ khác chứ ko phải máy mình. Vậy thì nó làm thế nào ????

kamikazeq wrote:

@ eyesdog:
@ Hoanglinh9466:
Code:
attrib đường_dẫn_tên_file_hay_thư_mục +SH
Mình gõ lệnh trên là nó báo : Invalid switch - +sh

Sorry nha, có lẽ do phiên bản window khác nhau, bạn dùng:
attrib đường_dẫn_tên_file_hay_thư_mục +S +H

Mình có cách này hay và đơn giản nè: Window còn có 1 thuộc tính nữa cho file và folder đó là system, cái này ko có trong dialog properties. Để đặt thuộc tính này cho thư mục hay file, vào dos prompt, dùng lệnh :
attrib đường_dẫn_tên_file_hay_thư_mục +SH
(đánh attrib /? để biết thêm chi tiết)
Nếu dùng cái này, nếu ko biết tên thư mục hay file thì ko thế truy nhập, nó sẽ ẩn ở mọi chỗ (any way). Nhưng nếu đánh lệnh attrib ko thôi thì nó sẽ hiện ra danh sách những file, thư mục đã được đặt thuộc tính smilie

). Nhưng chắc ko ai lại tự nhiên đi làm vậy đâu. Khi bị người khác hỏi, chỉ cần nói "em xóa rồi", hehe

Dạo này mạng nhà em tự nhiên hơi chậm. Thấy cái biểu tượng mạng (2 cái máy tính) sáng liên tục, thấy nghi nghi. Vào cmd, đánh netstat thì thấy có địa chỉ 222.254.24.81 đang nối vào máy mình ở cổng epmap, nhà em dùng mạng VNPT nên biết thằng này cũng dùng VNPT như mình (vào www.showmyip.com để xem địa chỉ của mình). Đánh thêm netstat -b xem process nào đang sở hữu cái kết nối này để kill, thấy đây là System (Process id 4) (Thế này thì ko kill được rồi smilie

( ). Thử ping đến nó, được luôn (hình như nó biết em phát hiện hay sao mà thấy mất kết nối). Nghịch 1 tí, dùng nmap xem nó mở cổng nào thì thấy nó mở cổng 139, 5000, microsoft-ds, với vài cái nữa ko nhớ. 1 lúc sau lại thấy nó. Em chỉnh lại router nhà mình, để nó từ chối các địa chỉ vào, ra có dạng 222.254.x.x. Đấy, em chỉ làm được như vậy. Nhưng mỗi lần bỏ ko từ chối nữa là lại thấy thằng này, địa chỉ 2 số cuỗi của nó có khác. Em muốn gỡ cái spy nó cài vào máy mà ko biết làm thế nào, mọi người giúp em với.