「WinPcap」を含む日記

■例のフェス　2013

今年はWiresharkを使わずに、他のURL解析ソフトとダウンローダですませました。

iTunesで再生して解析ソフトに出てきたURL、〜.ts（tsにtoken以下がついてない時はどこかしらにはあるはずなので、それも付け足して）を連番ダウンロードできるダウンローダに突っ込む。

余談：8500_256が最高解像度。

これの前にWinpcapをバージョンアップしようと思ったんだけど、NPFがどうたらいうエラーが出て一向に起動しない。これが起動しないとどうにもならんからスッゲエ困った。

Windowsをセーフモード立ち上げて、再インストールで解決。はまって焦ってると超基本のセーフモードの存在を忘れてしまうね。

Permalink | 記事への反応(0) | 16:29

ツイートシェア

■winpcap アプリ開発 Windows C言語編

pcap.h は、windows.h よりも先にinlcude宣言すること。

#include "pcap.h"

#include <windows.h>

あとは、wpcap.lib をライブラリとして登録すればよろしい。

Permalink | 記事への反応(0) | 03:27

ツイートシェア

■winpcap の pcap.hは、windows.hとかより先に書く

でないと、WSASetLastError の定義が見つからないとか、

#define で再定義されたとか、timevalが見つからんとか出てきて失敗する。

Visual C++ の話。

Permalink | 記事への反応(0) | 16:24

ツイートシェア

■WINPCAP 4.1.2 を使ったアプリケーション開発(with VC++ 2010 EXPRESS)で

Windows 7 64bit 版上で winpcap を使ったサービスプロセスを制作。

こちらのページを参考にさせてもらった。

「WinPcapを使用したパケットモニターの作成」CodeZine 古谷誠進さん

http://codezine.jp/article/detail/126?p=2

が、1点バグを発見。

・アダプタ一覧（アダプタ名およびIPアドレス）を取得する

の箇所

// デバイス情報のバッファを開放する

処理は、while(d)ループの外でやらなくちゃいけない。

デバッグきつかったっす、サービスだとデバッグできないこともあって。

・俺のマシンが64bitだから、winpcap.dllやlibと合わない?

(PCAPSDKのLibにx64というサブフォルダがあって、こっちのものを指定しなきゃだめ?)

・WIDECHARとMULTIBYTE の扱いの問題?

と、いろいろ迂回してしまった。

"途中で停止しました"の原因を2時間くらいいろいろ調べ、

解消したら、無事動き出した。

「まずはサンプルの制作だから」と、時間をかけないために記事はあとでゆっくり研究しよう...と

コードをコピペで済ませてるあたしが悪いんだよ。

ちなみに、いろいろ掲載されている情報の中で、こちらのWEBページの記事が一番わかりやすかったです。

Permalink | 記事への反応(0) | 17:35

ツイートシェア

■Wiresharkで見つけたTOE (TCP Offload Engine) の問題

http://sashiz.seesaa.net/article/148763709.html

http://support.microsoft.com/kb/951037/ja

Wireshark(旧Ethereal WinPcap)で

送信パケットのチェックサムエラーが出ていたら

(チェックサムフィールドが0x0000)

もしかして、そのネットワークI/Fで

機能していないオフロード設定がONになっているからかも。

通信相手次第で

不正なパケット扱いして拒否する可能性もあるし、このままで問題ないかもしれない。

オフロード機能の説明は、ネットを探せばいろいろ載っている。

オフロード機能搭載をうたいつつ、バグがあるNICもあるようだ。

Permalink | 記事への反応(0) | 13:41

ツイートシェア

■「FFFTPだけが危ない」はデマ

　■乗り換えても無駄

　　　感染した場合、危ないのはFFFTPじゃなく、FTPクライアントソフト全体

　　　SmartFTP、NextFTP、Filezilla、WinSCPもFFFTPと同じ意味で危険

　　　今のところ大丈夫なクライアントはある

　　　でも、大勢の人が乗り換えたら、マルウェアがバージョンアップして対応してくるだけだよ

　　　ていうか、パスワードを保存すること自体が危険だよ

　　　INIファイルに変えたって同じだよ！

　■特定のマルウェアに感染しなければ大丈夫

　　　もちろん、「絶対感染しない｣ってのは不可能だけどね

　　　感染した場合に、FTPソフトが保存してる情報を盗み出して利用される

　　　だから危ないと騒がれてる

　　　｢特定のマルウェア｣とは、8080系とか“Gumblar”とかいわれてる奴

**　■過去にパスワードを保存していないなら平気

**　■今後もパスワードを保存しなければ平気

　　　保存して無いものは盗みようが無い

　　　この後に「でも今回の問題だけね、そもそも・・」と続くので取消します

　■FFFTPを使うとマルウェアに感染するというのもデマ

　　　FFFTPのせいで感染するわけじゃない

　　　感染した後に利用される

　　　だからセキュリティ対策をしっかりしよう

　■じゃあ結局どうすれば良いのか

　　　＜＜最重要＞＞

　　　　　OSやウィルス対策ソフトのアップデートをちゃんとやる

　　　　　あと、これもやる http://anond.hatelabo.jp/20100131082751

　　　＜＜通信盗聴の対策＞＞

　　　　　FTPを使わない。暗号化されるものを使う（FTPSとかSFTPとかが話題に上がってるね）

　　　　　　　通信部分を盗聴するのは、マルウェアに感染させるより簡単なので、そこの対策だね

　　　＜＜感染した場合に備える＞＞

　　　　　パスワードを保存しない

　　　　　これまでに保存したパスワードを消去する

　　　　　過去にインストールしたソフトが情報を残してないか確認する

　　　　　　　なんだかんだで、「感染して即盗られる」のと「使ったら盗られる」のは危険度が違うよね

以上

　■追記　

　　　でもさ、マルウェアに感染してる時点で情報は盗られるからね？

　　　例えば、FTPは通信を暗号化してないから、簡単に盗聴できるからね？

　　　今回は「パスワードが利用される」だったけど、「FTPを盗聴して内容をネットに送信する」マルウェアも作れるからね？

　　　これ、FTPクライアントがFFFTPだろうがなんだろうが関係無いからね？

　■今回の教訓

　　　・暗号化無しの通信方式（FTPとか)で大事な情報送るな

　　　・パスワードは保存するな

僕はローカルに保存せず、ポストイットに書いてディスプレイに貼り付けます（＾ｑ＾

　　追記の追記

　　タイトル変えました

　　あとポストイットの件はモチィのロンで冗談ですごめんorz

　　でもマジでどう管理するのがベストだろうね

　　追記の追記の追記

　　id:mala氏に怒られた？

　　同じ内容を書いてるつもりだけど、何か違うらしいので彼の主張を載せます

　　"「「FFFTPが危ない」はデマ」はデマ。

　　　特定のFTPクライアントにパスワードを保存している状態でマルウェアに感染すると、

　　　感染状態でFTP接続しなくてもパスワードを盗まれる危険があり、そのクライアントの中にFFFTPが含まれる。"

　　　http://twitter.com/bulkneets/status/8412642399

　　id:otsune氏からの指摘

　　"「CuteFTPやFFFTPが保存したパスワード情報が盗まれる」と「WinPcapでftpパケットを見られる」のを区別して書かないからダメなんじゃね”

　　　確かに分りにくかったかもしれない。

　　　話が繋がってるから区別して書きにくいなー。

　　　1.FTPという通信方式自体が、パケットを見られるとパスワードやアカウント、通信内容が簡単に盗られる

　　　　　なぜなら暗号化してないから

　　　　　"そもそもFTPなんか使うな" と言ってる人達が問題にしてるのはここ

　　　2.マルウェアに乗っ取られたら・・・

　　　　 i. パケットは見放題なので、FTP使って通信したらパスワードとか盗られる

　　　　 ii.キーボードで何を打ったかも分かるので、パスワードを入力した時点で盗られる

　　　　　　"マルウェアに乗っ取られた時点でFTPだろうがなんだろうがパスワード盗られるよ" と言ってる人たちが問題にしてるのがここ

　　　　iii.パソコンに保存してあるファイルもレジストリの情報も盗られまくる

　　　　　今回の騒ぎの発端はここ

　　　　　過去に使ってたID/パスワードが残ってたら、FTPで通信をしなくても盗られる

　　　　　FFFTPや他のソフトがパスワードを保存しているレジストリやファイル、それ自体が狙われた、って話だね

　　KKI氏からの指摘

　　　"FFFTPでパスワードをINIに保存すれば良いという主張にもツッコんでおいて欲しいなあ"

　　　　http://twitter.com/KKI/status/8416101308

　　　　TL検索したら「INIファイル保存でいいみたいだ、FFFTPに戻るわ」って書いてあった

　　　　上に書いてある通り、亜種が出ればそのファイルが狙い打ちされるだけだよ

　　　　そして人気のあるマルウェアはすぐ亜種が出るよ

ブコメやついったーに突込みが出たら、気付き次第拾う

Permalink | 記事への反応(6) | 20:22

ツイートシェア