~倉木麻衣~ 寫:嗯, 有些部份確實是我自己的疏忽, 感謝賜教
不過還是提出另一個可能, 假設對方是採用telnet的方式呢?
這筆記錄是telnet localhost 80 並下get
http://tw.yahoo.com 後的log內容
如果假設成立, 那還真不知道這樣子做有什麼意義
倉木樣
請千萬別這麼說,大家只是討論、研究、切磋... 順便聊聊天,如果文字用詞有不當的地方,可能是我最近被 qq.com 弄得很煩,請見諒~
我也不知道這樣子做有什麼意義,所以猜測的事寫在後面的【紅字】上...
其實我也同時把記錄寫在這裡,歡迎參觀:
http://bbs.bnw.com.tw/Conference/viewtopic.php?t=189
http://bbs.bnw.com.tw/Conference/viewtopic.php?t=193
由於企圖入侵的攻擊行動一直未曾停過,所以來報告最新的戰況!時間是 3/5/06,我從 Server Admin 調出“Web”伺服器上“Log”的 Access_log 記錄,然後搜尋 qq.com,就會找到這些資料:
- 選取並複製記錄中的 http :// .... 整串文字,然後把整個 http 貼在瀏覽器的網址列上並按 Enter,就會看到權限禁止的錯誤訊息!這絕對是對方 Web server 傳回的訊息,換句話說,play.qq.com 的 8787 port 是存在的!
- 如果直接在網址列上輸入這個網址:
http://play.qq.com:8787/
- 結果會被轉向到這裡:
http://play.qq.com:8989/
- 然後就會看到這個錯誤訊息畫面:
除了 qq.com 其實我還發現了 login.icq.com 的連線指令:
從這裡可以很清楚的看到有兩個 IP 位址,分別是 72.232.92.140 以及 66.111.51.120,或許各位對 Mac OS X 系統並不熟悉,沒關係,我可以換成 Windows Server 2003 來追查這個問題。
- 打開“命令提示字元”然後輸入 ”ping IP 位址” 這樣的指令,例如 ping 66.111.51.120,你可以從 Reply 回應看到這兩個 IP 確實是有電腦在上面運作中...
- 接著再打開“網路上的芳鄰”然後在“網址”以網路路徑的語法輸入 ”\\IP 位址”,嘗試第一個 IP 位址 “\\72.232.92.140” 會得到這樣的錯誤訊息:
其實這是很正常的,只要對方有安裝“IP 分享器”或“防火牆”,哪怕是最 low-end 的“IP 分享器”,都能隔絕“網路上的芳鄰”,不會把你的電腦變成全球共用的網路芳鄰...
- 但是另一個 IP 位址上的電腦就不是這樣囉~在網路上的芳鄰的網址輸入 “\\66.111.51.120”,例如:
- 就會看到這樣的登入畫面,而且到現在還有效用!
這表示那台電腦根本就是一部 Windows 主機,很可能是一部 WinXP 主機,由於那台電腦沒有架設 Web Server,所以用 IE 開啟
http://66.111.51.120,只會看到無法開啟的錯誤訊息而已。
可以看到登入畫面,這表示那台電腦根本就直接接在 ADSL 上,沒有安裝任何的“IP 分享器”或“防火牆”,甚至也沒有開啟 Windows XP 內建的防火牆,或是有開啟 WinXP 內建的防火牆,但卻開放了“網路上的芳鄰”所需的 137、138、139、445 這幾個 port!
通常一般的 WinXP 內建的 Administrator 帳號預設都是開啟的,如果我能弄到 Administrator 的密碼,就能連線到那台電腦了。很不幸的,就算我沒有輸入密碼、隨便輸入幾個密碼,都無法成功登入連線...
其實就算能登入連線,用這種連線方式也只能看到那台電腦在“網路上的芳鄰”共享出來的檔案夾而已,可不是如你想像的那樣,就能入侵對方的電腦,然後為所欲為...
因為這個登入動作 (在網路上的芳鄰的網址輸入 \\66.111.51.120) 一直持續有效,我認為這應該只是愛玩 Game 的傢伙而不是高明的駭客!更有可能是一個... 連自己的電腦是使用哪個 IP 都搞不清楚的網路小白~~
換句話說 66.111.51.120 這台電腦不是中毒了,就是被高明的駭客當成是“殭尸電腦”來操控,可惜的是操控的目的位置錯誤,跑到我這裡來... 另外我追查公司的 Web Server 記錄,也發現了相同的問題!因此,應該是有人向 qq.com 發動大規模的入侵攻擊!
不過就算能用 telnet 等工具進來,也未必能讓他們出得去!我在防火牆的“Content Filter”內容過濾器加上了 qq.com 網域,讓他們進得來出不去!所以想要在我的網路上開啟 play.qq.com 就會看到這樣的畫面:
不過,可惜的是“Content Filter”只能阻擋 80 port,不管 qq.com 的其他 port,也就是說並非“通殺 qq.com”的意思,因為我現在用的這台 Vigor 2900 的 IP 分享器防火牆也是屬於普通級、最爛的單向防火牆,只能阻擋 WAN to LAN 的部份,其他 5 個方向則一律不管,因此要阻擋 LAN to WAN 對外使用 8787、8789 等其他 port,就只好等明天新的 ZyWALL 5 到手之後再說了...
另外我有請朋友嘗試做相同的登入動作,不過他一直失敗,我猜想這應該是“東森網路”封鎖了網路上的芳鄰那幾個 port,所以我可以看到登入畫面,他只會看到前面那個錯誤訊息畫面。
雖然在終端機或命令提示字元,用 “telnet IP 位址 80” 指令是可以登入到另一部 Web Server,例如:telnet 61.111.51.120 80,但是執行 GET
http://www.msn.com/ 之類的指令,也只會傳回該網站的首頁資料,頂多傳回
http://www.msn.com 的首頁資料...
看起來或許毫無意義,但是對
http://www.msn.com 等網站的 Web Server 來說,在 log 上就無法記錄真正讀取資料的主機,也就是說在
http://www.msn.com 的主機上會找不到真正下 GET 指令的 61.111.51.120 主機,頂多只能看到透過另一部電腦連上 msn.com 的主機記錄,我想這才是他們的用意吧?
看不懂嗎?換個方式來說吧:
駭客 IP:61.111.51.120
受害者 IP:220.130.250.10
被害者網站:
www.qq.com
如果駭客在自己的 61.111.51.120 這台電腦上使用某個工具程式,或是用 telnet 連線工具來登入到另一個中繼的 Web Site,例如:telnet 220.130.250.10 80 (最後的 80 是指 http 使用的 port)。
然後在登入到 220.130.250.10 的 Web 伺服器之後,下一道 GET
http://www.qq.com 的指令,那麼在 qq.com 的 Web 伺服器上,應該會看到是 220.130.250.10 這台電腦竟然跑來存取另一個 msn.com 或 qq.com 的網頁!
就像這樣,但是我打上一些馬賽克,以保護 IP 位址:
駭客躲藏在 abc.com 網站去竊取或破解 123.com 網站的資料,讓 abc.com 誤以為是 123.com 入侵,實際卻是 61.111.51.120 發動攻擊,我想這才是他們的目的吧?
PS. 請問竹貓是安裝哪個自動縮圖的 MOD?我之前有找過,討論看起來有點亂... 能否直接指點一下?
PS. 用 net send 寫訊息去警告 61.111.51.120 的那個傢伙,不知道會怎樣?驚嚇到之後關機?發動更大的攻擊??