PDA

Просмотр полной версии : Дайте наводку как реализован сниффер


Vimmer
16.09.2010, 13:59
Кто подскажет как именно работают снифферы типа l2on и l2wh..
Они как то вмешиваются в работу клиента или только пассивно анализируют траффик?
Любые подсказки-идеи приветствуются, просто хочу понять как работает..
Может быть кто то здесь на самом деле знает как они устроены изнутри?

xkor
16.09.2010, 23:33
Vimmer, l2wh работает если память не изменяет через программу снифинга - pcap
l2on через LSP/SPI провайдера как и мой aionon снифер)

ЗЫ на руофе из за доп шифрации фроста приходиться не сам трафик снифать немножко клиент тревожить, но фрост такое мини вмешательство врятли когданить научиться детектить...

spoil99
17.09.2010, 02:13
тогда вопрос!!! тамтарара! почему тогда дроп/spoil в l2on очень часто врет?!или тупо не показан споил.

LAV45
17.09.2010, 02:54
Vimmer, Снифер - только смотрит за трафиком без возможности вмешательства, а если нужно блокировать или изменять пакеты тогда тебе нужен proxy.
Я ещё не дорос до такого, но xkor скорее всего знает как отправить пакет используя только снифер причём от имени другого процесса (пища для мозгов ;)).

Vimmer
17.09.2010, 05:08
[B]
ЗЫ на руофе из за доп шифрации фроста приходиться не сам трафик снифать немножко клиент тревожить, но фрост такое мини вмешательство врятли когданить научиться детектить...

значит они всеравно что то хукают по минимому?

xkor
17.09.2010, 14:22
тогда вопрос!!! тамтарара! почему тогда дроп/spoil в l2on очень часто врет?!или тупо не показан споил.врёт по сравнению с чем?

Добавлено через 41 секунду
значит они всеравно что то хукают по минимому?ну без этого не разобрать то что натворил фрост

Yegor
17.09.2010, 16:51
xkor, интересно чем это минивмешательство отличается от вмешательства других ботов за которые с недавнего времени пошли автобаны?

alexteam
17.09.2010, 16:53
тем что вмешательство не хукает адднетворквери.

Yegor
17.09.2010, 17:17
alexteam, если ПО замешанное вмешательстве выходит в массы то заполучив данное по разработчикам фроста думаю не составить труда детектить это вмешательство, если программа меняет хоть 1 байт в функциях л2.

alexteam
17.09.2010, 17:18
главное не вздумай перечитывать то что написал :D

Yegor
17.09.2010, 17:34
alexteam, в шифрописании я мастер :D

Hint
17.09.2010, 18:21
значит они всеравно что то хукают по минимому?

Не обязательно.

spoil99
17.09.2010, 18:23
врёт по сравнению с чем?


чем на самом деле! хотя тот же l2wiki.info тож не ахти...

xkor
18.09.2010, 01:54
alexteam, если ПО замешанное вмешательстве выходит в массы то заполучив данное по разработчикам фроста думаю не составить труда детектить это вмешательство, если программа меняет хоть 1 байт в функциях л2.в том то и дело что для снифа трафика перехватывать функцию л2 или aion нужно только одну и не меня при этом ни одного байта ни в каких функциях этой л2, подробнее рассказать не могу ибо тогда действительно могут разобраться как мы это делаем и даже если попыхтят написать детектор)

Yegor
18.09.2010, 11:11
xkor, если не меняя ни одного байта то это делается на уровне виндового апи? как то так?

xkor
18.09.2010, 16:21
Yegor, ну не совсем)

Yegor
18.09.2010, 16:27
xkor, ХМ, вот загадка, в функциях ничего не меняем, тоесть никакой не сплайсинг. Таблицу вызовов смею предположить тоже не трогаем так как это уже не в "моде". Вобщем я в растерянности. Тут мои знания закончились.

xkor
18.09.2010, 16:31
Yegor, ну я тож не сам до этого способа дошел, мне автор снифера l2on намекнул, хотя способ не сложный и лежит на поверхности если хоть немного знаешь ассемблер, но чтот я и в инете не встречал упоминаний о нём, хотя может не там искал.

Yegor
18.09.2010, 18:33
xkor, да уж заинтриговал. Теперь я точно ХЗ :confused:

xkor
18.09.2010, 18:53
Yegor, сори но более подробно не могу, по крайней мере на публике...

unknowned
19.09.2010, 10:50
Чтобы просто собрать информацию достаточно открыть процесс, разрешить чтение из памяти и далее читать структуры и таблички в памяти.

Yegor
19.09.2010, 11:23
unknowned, вот только бы еще разобратся с структурой этиих табличек и знать их расположение.