नए टीसीपी / आईपी स्टैक विंडोज के व्यवहार की विशेषताएं

विंडोज विस्टा के साथ शुरू, माइक्रोसॉफ्ट ने अपने ऑपरेटिंग सिस्टम में एक नए नेटवर्क स्टैक - अगली पीढ़ी के टीसीपी / आईपी स्टैक पर स्विच किया। स्टैक में कई अलग-अलग उपहार शामिल हैं: विंडोज फ़िल्टरिंग प्लेटफ़ॉर्म, एक स्केलेबल टीसीपी-विंडो और अन्य उपहार, लेकिन हम उनके बारे में बिल्कुल भी बात नहीं करेंगे, लेकिन नए नेटवर्क स्टैक के व्यवहार की एक विशिष्ट विशेषता के बारे में।
कोई भी स्वाभिमानी नेटवर्क स्कैनर स्कैन किए गए नोड के ओएस को निर्धारित करने में सक्षम होना चाहिए, जबकि अधिक मापदंडों का उपयोग किया जाता है, परिणाम उतना ही सटीक होता है। उदाहरण के लिए, ऑपरेटिंग सिस्टम को निर्धारित करने के लिए एनएएमपी नेटवर्क स्कैनर मेट्रिक्स का एक बहुत व्यापक सेट का उपयोग करता है: टीसीपी मैट्रिक्स की एक किस्म (टाइमस्टैम्प मूल्यों का व्यवहार, टीसीपी विकल्पों का पुन: निर्धारण), आईपी मेट्रिक्स (पैकेट अनुक्रम संख्या पीढ़ी एल्गोरिदम, अन्य पैकेट झंडे प्रसंस्करण) और अन्य मैट्रिक्स।

पॉजिटिव टेक्नोलॉजीज में, हम मेट्रिक्स भी एकत्र कर रहे हैं और ओएस संस्करण का निर्धारण कर रहे हैं, इसलिए मैं हाल ही में खोजे गए मीट्रिक के बारे में बात करना चाहूंगा जो मुझे एक नए स्टैक के साथ विंडोज सिस्टम की पहचान करने की अनुमति देता है। विधि आईसीएमपी टाइमस्टैम्प प्रतिक्रियाओं के विश्लेषण पर आधारित है। ICMP टाइमस्टैम्प्स समय के तुल्यकालन प्रोटोकॉल के दूर के पूर्वज हैं, जिससे आप दूरस्थ सिस्टम पर सेट किए गए समय को क्वेरी कर सकते हैं। ICMP टाइमस्टैम्प अनुरोध और प्रतिक्रिया की संरचना चित्र 1 में दिखाई गई है।

चित्रा 1 - आईसीएमपी टाइमस्टैम्प अनुरोध के जवाब की संरचना

मानक ICMP हेडर को लाल रंग में हाइलाइट किया जाता है, उसके बाद रिक्वेस्ट भेजे जाने वाले पल के टाइमस्टैम्प फील्ड्स, जिस पल यूजर को रिक्वेस्ट रिसीव होती है, और जिस पल यूजर रिस्पांस भेजता है। टाइमस्टैम्प - मिलीसेकंड की संख्या जो मध्यरात्रि यूटीसी के बाद से समाप्त हो गई है। यदि होस्ट में मिलीसेकंड की सटीकता के साथ अपने समय के बारे में डेटा संचारित करने की क्षमता नहीं है, तो उसे सबसे महत्वपूर्ण बिट को एक सेट करना होगा और कम से कम कुछ समय डेटा प्रसारित करना होगा। हम अंतिम टैग में रुचि रखते हैं। बात यह है कि Microsoft, जैसा कि अक्सर होता है, RFC के कार्यान्वयन के लिए बहुत ही निष्ठुरता से संपर्क किया: नेटवर्क बाइट ऑर्डर के बजाय, विंडोज होस्ट बाइट ऑर्डर के साथ एक टाइमस्टैम्प भेजता है और इस तथ्य के बावजूद सबसे महत्वपूर्ण बिट सेट नहीं करता है, जो टाइमस्टैम्प के साथ भेजता है दूसरे के लिए सटीक। इतना ही नहीं, विस्टा से शुरू होने वाले कारणों से, आप केवल इसके बारे में अनुमान लगा सकते हैं, विंडोज सिस्टम टाइमस्टैम्प के साथ अजीब चीजें करते हैं।
समय स्टैम्प का अपेक्षित व्यवहार चित्र 2 में दिखाया गया है। ग्राफ़ में, ब्लू डॉट्स सर्वर से प्राप्त समय टिकटों के लिए जिम्मेदार हैं, और सर्वर समय ग्राफ़ लाल रंग में चिह्नित है। ग्राफ़ में अनुपस्थित अक्ष प्रयोग की शुरुआत से समय दिखाता है, ऑर्डिनेट अक्ष सेकंड में टाइमस्टैम्प मूल्य का प्रतिनिधित्व करता है। स्ट्रिंग <लागू अनुवाद> इंगित करता है कि मेजबान में नेटवर्क बाइट ऑर्डर से अनुवाद किया गया था।

चित्रा 2 - सामान्य टाइमस्टैम्प व्यवहार

हालांकि, वास्तव में, चित्र 3 (उच्च अस्थायी समाधान में) में दर्शाया गया चित्र देखा गया था।

चित्रा 3 - बड़े पैमाने पर समय टिकटों का व्यवहार

यह देखा जा सकता है कि एक सेकंड की अवधि के साथ, भेजे गए समय स्टैम्प का मूल्य सच से बढ़कर 10,000 सेकंड तक सच हो जाता है। ग्राफ पर दिखाई देने वाले अंतराल इस तथ्य का एक परिणाम है कि विंडोज शेड्यूलर ने फैसला किया कि यह हमारे कार्यक्रम के निष्पादन को बाधित करने का समय था।
शायद, ऐसे टाइमस्टैम्प्स के साथ, विंडोज एक हमलावर को भ्रमित करना चाहता है जो दूरस्थ होस्ट पर समय का पता लगाने की कोशिश कर रहा है। यह व्यवहार केवल एक नए स्टैक के साथ विंडोज सिस्टम के लिए मनाया जाता है, जो इन प्रणालियों को पहचानने के लिए एक नया तरीका देता है।
आपका ध्यान देने के लिए धन्यवाद।

सूत्रों का कहना है:
अगली पीढ़ी टीसीपी / आईपी स्टैक विंडोज विस्टा और विंडोज सर्वर 2008 में
नेटवर्क की गहराई और चोटियों विस्टा क्रिस कास्पर्सकी उर्फ ​​माईशेक
नैमप नेटवर्क स्कैनिंग। अध्याय 8. रिमोट ओएस डिटेक्शन