ქსელში დისტანციური კომპიუტერის მართვის აპლიკაციის დაბლოკვის შესაძლებლობის ანალიზი AnyDesk-ის მაგალითის გამოყენებით

როდესაც ერთ დღეს ბოსი სვამს კითხვას: "რატომ აქვს ზოგიერთ ადამიანს დისტანციური წვდომა სამუშაო კომპიუტერზე, გამოყენების დამატებითი ნებართვის მიღების გარეშე?"
ჩნდება ამოცანა, რომ "დახუროს" ხარვეზი.

ქსელში დისტანციური მართვის უამრავი აპლიკაციაა: Chrome-ის დისტანციური სამუშაო მაგიდა, AmmyAdmin, LiteManager, TeamViewer, Anyplace Control და ა.შ. თუ Chrome-ის დისტანციურ დესკტოპს აქვს სერვისზე წვდომის წინააღმდეგ ბრძოლის ოფიციალური სახელმძღვანელო, TeamViewer-ს აქვს ლიცენზირების შეზღუდვები დროში ან მოთხოვნაზე. ქსელიდან და მომხმარებლები „კბილებს აკრავენ“ ამა თუ იმ გზით, „ბრწყინდებიან“ ადმინისტრატორებთან, მაშინ ბევრის ფავორიტი პირადი სარგებლობისთვის - AnyDesk მაინც განსაკუთრებულ ყურადღებას მოითხოვს, მით უმეტეს, თუ უფროსმა თქვა „არა!“

თუ იცით, რა არის ქსელის პაკეტის დაბლოკვა მისი შინაარსით და კმაყოფილი ხართ, მაშინ დანარჩენი მასალა
არ არის განკუთვნილი შენთვის.

ფაქტობრივად, ცდილობს პირიქით ონლაინი ნათქვამია, რა უნდა იყოს დაშვებული პროგრამის მუშაობისთვის; შესაბამისად, DNS ჩანაწერი დაიბლოკა *.net.anydesk.com. მაგრამ AnyDesk არ არის მარტივი; მას არ აინტერესებს დომენის სახელის დაბლოკვა.

ოდესღაც მოვაგვარე „Anyplace Control“-ის დაბლოკვის პრობლემა, რომელიც ჩვენამდე მოვიდა რაღაც საეჭვო პროგრამული უზრუნველყოფით და ის მოგვარდა რამდენიმე IP-ის დაბლოკვით (მე გავაკეთე ანტივირუსის სარეზერვო ასლი). პრობლემა AnyDesk-თან დაკავშირებით, მას შემდეგ რაც ხელით შევაგროვე ათზე მეტი IP მისამართი, მომეხვია მოერიდეთ რუტინული ხელით შრომას.

ასევე გაირკვა, რომ "C:ProgramDataAnyDesk" არის რამდენიმე ფაილი პარამეტრებით და ა.შ. და ფაილში ad_svc.trace გროვდება მოვლენები კავშირებისა და წარუმატებლობის შესახებ.

1. დაკვირვება

როგორც უკვე აღვნიშნეთ, *.anydesk.com-ის დაბლოკვამ შედეგი არ გამოიღო პროგრამის მუშაობაში, გადაწყდა ანალიზი პროგრამის ქცევა სტრესულ სიტუაციებში. TCPView Sysinternals-დან ხელში და წადი!

1.1. ჩანს, რომ ჩვენთვის საინტერესო რამდენიმე პროცესი „კიდია“ და მხოლოდ ის, რომელიც გარედან აკავშირებს მისამართს, არის ჩვენთვის საინტერესო. პორტები, რომლებზეც უერთდება შერჩეულია, რაც ვნახე: 80, 443, 6568. 🙂 80 და 443-ს ნამდვილად ვერ დავბლოკავთ.

1.2. როუტერის საშუალებით მისამართის დაბლოკვის შემდეგ, ჩუმად ირჩევა სხვა მისამართი.

1.3. კონსოლი ჩვენი ყველაფერია! ჩვენ განვსაზღვრავთ PID-ს და მერე ცოტა გამიმართლა, რომ AnyDesk დაინსტალირდა სერვისის მიერ, ამიტომ PID, რომელსაც ჩვენ ვეძებდით, ერთადერთი იყო.
1.4. ჩვენ განვსაზღვრავთ სერვისის სერვერის IP მისამართს პროცესის PID-დან.

2. მომზადება

ვინაიდან IP მისამართების იდენტიფიკაციის პროგრამა, ალბათ, მხოლოდ ჩემს კომპიუტერზე იმუშავებს, მე არ მაქვს შეზღუდვები მოხერხებულობასა და სიზარმაცეზე, ამიტომ C#.

2.1. საჭირო IP მისამართის იდენტიფიკაციის ყველა მეთოდი უკვე ცნობილია, ის ჯერ კიდევ განსახორციელებელია.

string pid1_;//узнаем PID сервиса AnyDesk
using (var p = new Process()) 
{p.StartInfo.FileName = "cmd.exe";
 p.StartInfo.Arguments = " /c "tasklist.exe /fi "imagename eq AnyDesk.exe" /NH /FO CsV | findstr "Services""";
 p.StartInfo.UseShellExecute = false;
 p.StartInfo.RedirectStandardOutput = true;
 p.StartInfo.CreateNoWindow = true;
 p.StartInfo.StandardOutputEncoding = Encoding.GetEncoding("CP866");
 p.Start();
 string output = p.StandardOutput.ReadToEnd();
 string[] pid1 = output.Split(',');//переводим ответ в массив
 pid1_ = pid1[1].Replace(""", "");//берем 2й элемент без кавычек
}

ანალოგიურად, ჩვენ ვპოულობთ სერვისს, რომელმაც დაამყარა კავშირი, მე მივცემ მხოლოდ მთავარ ხაზს

p.StartInfo.Arguments = "/c " netstat  -n -o | findstr /I " + pid1_ + " | findstr "ESTABLISHED""";

რომლის შედეგიც იქნება:

მწკრივიდან, წინა ნაბიჯის მსგავსად, ამოიღეთ მე-3 სვეტი და ამოიღეთ ყველაფერი ":"-ის შემდეგ. შედეგად, ჩვენ გვაქვს სასურველი IP.

2.2. IP ბლოკირება Windows-ში. თუ Linux-ს აქვს Blackhole და iptables, მაშინ Windows-ში IP მისამართის ერთ ხაზზე დაბლოკვის მეთოდი, firewall-ის გამოყენების გარეშე, უჩვეულო აღმოჩნდა,
მაგრამ რა იარაღები იყო...

route add наш_найденный_IP_адрес mask 255.255.255.255 10.113.113.113 if 1 -p

ძირითადი პარამეტრი "თუ 1" გაგზავნეთ მარშრუტი Loopback-ში (შეგიძლიათ აჩვენოთ ხელმისაწვდომი ინტერფეისები მარშრუტის ბეჭდვის გაშვებით). და მნიშვნელოვანია! ახლა პროგრამა უნდა გაშვებულიყო ადმინისტრატორის უფლებებით, ვინაიდან მარშრუტის შეცვლა მოითხოვს სიმაღლეს.

2.3. იდენტიფიცირებული IP მისამართების ჩვენება და შენახვა ტრივიალური ამოცანაა და არ საჭიროებს ახსნას. თუ ამაზე ფიქრობთ, შეგიძლიათ დაამუშავოთ ფაილი ad_svc.trace თავად AnyDesk, მაგრამ ამაზე მაშინვე არ მიფიქრია + ალბათ მასზე შეზღუდვაა.

2.4. პროგრამის უცნაური არათანაბარი ქცევა ის არის, რომ Windows 10-ში სერვისის პროცესის „დავალების მოხსნისას“ ის ავტომატურად გადაიტვირთება, ვინდოუს 8-ში მთავრდება, რჩება მხოლოდ კონსოლის პროცესი და ხელახლა დაკავშირების გარეშე, ზოგადად ალოგიკურია და არაზუსტია.

სერვერთან დაკავშირებული პროცესის წაშლა საშუალებას გაძლევთ „აიძულოთ“ ხელახლა დაკავშირება შემდეგ მისამართზე. იგი განხორციელებულია ისევე, როგორც წინა ბრძანებები, ამიტომ მე უბრალოდ მივცემ მას:

p.StartInfo.Arguments = "/c taskkill /PID " + pid1_ + " /F";

გარდა ამისა, გაუშვით AnyDesk პროგრამა.

 //запускаем программу которая расположена по пути path_pro
if (File.Exists(path_pro)){ 
Process p1 = Process.Start(path_pro);}

2.5. AnyDesk-ის სტატუსს წუთში ერთხელ (თუ უფრო ხშირად?) შევამოწმებთ და თუ არის დაკავშირებული, ე.ი. კავშირი დამყარდა - დაბლოკეთ ეს IP და ისევ - დაელოდეთ დაკავშირებას, დაბლოკეთ და დაელოდეთ.

3. შეტევა

კოდი "დახაზულია" და გადაწყდა პროცესის ვიზუალიზაცია "+" მიუთითეთ ნაპოვნი და დაბლოკილი IP და "."-გაიმეორეთ შემოწმება AnyDesk-დან წარმატებული მეზობელი კავშირის გარეშე.

→ პროექტის კოდი

Როგორც შედეგი…

პროგრამა მუშაობდა რამდენიმე კომპიუტერზე სხვადასხვა Windows OS-ით, AnyDesk 5 და 6 ვერსიებით. შეგროვდა 500-ზე მეტი გამეორება, დაახლოებით 80 მისამართი. 2500 - 87 და ასე შემდეგ...

დროთა განმავლობაში დაბლოკილი IP-ების რაოდენობამ 100+-ს მიაღწია.

ფინალის ბმული ტექსტური ფაილი მისამართებით: დრო и два

შესრულებულია! IP მისამართების აუზი დაემატა მთავარი როუტერის წესებს სკრიპტის საშუალებით და AnyDesk უბრალოდ არ შეუძლია შექმნას გარე კავშირი.

არის უცნაური წერტილი, საწყისი ჟურნალებიდან ირკვევა, რომ მისამართი ჩართულია ინფორმაციის გადაცემაში boot-01.net.anydesk.com. რა თქმა უნდა, ჩვენ დავბლოკეთ ყველა *.net.anydesk.com ჰოსტი, როგორც წესი, მაგრამ ეს არ არის უცნაური. ყოველ ჯერზე სხვადასხვა კომპიუტერიდან ჩვეულებრივი პინგით, ამ დომენის სახელი იძლევა განსხვავებულ IP-ს. ლინუქსის შემოწმება:

host boot-01.net.anydesk.com

DNSLookup-ის მსგავსად, ისინი აძლევენ მხოლოდ ერთ IP მისამართს, მაგრამ ეს მისამართი ცვლადია. TCPView კავშირის გაანალიზებისას, ჩვენ გვიბრუნდება IP მისამართების PTR ჩანაწერები რელე-*.net.anydesk.com.

თეორიულად: ვინაიდან ping ზოგჯერ მიდის უცნობ განბლოკილ ჰოსტზე boot-01.net.anydesk.com ჩვენ შეგვიძლია ვიპოვოთ ეს IP-ები და დავბლოკოთ ისინი, გავხადოთ ეს განხორციელება ჩვეულებრივ სკრიპტად Linux OS-ში, აქ არ არის საჭირო AnyDesk-ის დაყენება. ანალიზმა აჩვენა, რომ ეს IP-ები ხშირად "იკვეთება"ჩვენი სიიდან აღმოჩენილებთან ერთად. შესაძლოა, სწორედ ამ ჰოსტს უკავშირდება პროგრამა, სანამ ცნობილი IP-ების "დალაგებას" დაიწყებს. მე, ალბათ, მოგვიანებით დავამატებ სტატიას ჰოსტის ძიების მე-2 ნაწილით, თუმცა ამ მომენტში თავად პროგრამა საერთოდ არ ინსტალირებულია ქსელის გარე შეერთების ფარგლებში.

ვიმედოვნებ, რომ ვერაფერი უკანონო ვერ დაინახეთ ზემოთ მოცემულში და AnyDesk-ის შემქმნელები ჩემს ქმედებებს სპორტულად მოექცევიან.

წყარო: www.habr.com