☆☆☆ROS使用报告两点☆☆☆

0779hjj · 发表于 2004-12-9 21:32:39

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？注册

×

1、ros每一分钟自动通过 UDP：5678端口向255.255.255.255:5678发(广播)一个UDP数据包。注：MikroTik Neighbor Viewer这个程序运行之后也是开UDP：5678端口，它是通过UDP：5678端口接收ROS发出的数据包来获得ros网卡MAC Address、IP Address、Identity、Version、Platform、Unpacking等信息的。如果加入以下规则----------------------------------------------------------------------ip firewall rule outputadd src-address=:5678 protocol=udp action=drop comment="" disabled=no----------------------------------------------------------------------则MikroTik Neighbor Viewer这个程序就不能找到ros的信息。Neighbor Viewer程序点击“Refresh”按钮时，也是向255.255.255.255发(广播)出一个数据包(本人抓取看过这个数据包，只有96个字节，没有包含KEY在里面)。2、用terminal.exe这个程序通过ROS的网卡MAC Addrss登录ROS控制台时，使用了UDP：20561端口，只要网卡是启用的，总是能成功登录ROS，而不管防火墙是否有这个规则：----------------------------------------------ip firewall rule inputadd src-address=:20561 protocol=udp action=drop----------------------------------------------

心想事成 · 发表于 2004-12-9 21:39:58

好文，我以前抓包的时候也注意到了.routeros一定在系统中留了后门的，不过我不相信它的后门会留在iptables中，所以用iptables来封应该是有用的。

lzbnet · 发表于 2004-12-9 21:41:39

难道OS就是这样检测D版的?

zyling · 发表于 2004-12-9 22:54:56

看来真的可能存在后门了

hyh0826 · 发表于 2004-12-10 00:14:37

QUOTE (wsgtrsys @ Dec 9 2004, 09:39 PM)
好文，我以前抓包的时候也注意到了.routeros一定在系统中留了后门的，不过我不相信它的后门会留在iptables中，所以用iptables来封应该是有用的。
呵呵~！那应该怎么应付呢？老大！求解~！

sblive · 发表于 2004-12-10 01:21:38

楼主，你还记得一个工具么？就是有时设防火墙时误关了所有端口以致WINBOX连不了，官方有个程序可以根据网卡来判断是否运行了ROS，即使关掉所有有用的端口用这个工具依然可以进入ROS中。。。以前论坛发过的。可能就是你所说的发的数据包来判断的吧。

0779hjj · 发表于 2004-12-10 08:43:45

QUOTE (sblive @ Dec 10 2004, 01:21 AM)
楼主，你还记得一个工具么？就是有时设防火墙时误关了所有端口以致WINBOX连不了，官方有个程序可以根据网卡来判断是否运行了ROS，即使关掉所有有用的端口用这个工具依然可以进入ROS中。。。以前论坛发过的。可能就是你所说的发的数据包来判断的吧。
对！就是上面的两个东西。

bow · 发表于 2004-12-10 09:11:50

这个广播只能在ISP局端的一个交换机上好使.我的机器上通过Neighbor 能看到一个ROS和一台Cisco交换机.所以用这个检查盗版很难.

rainy · 发表于 2004-12-10 10:49:48

好文，顶ROS是基于Linux的，后门一定是利用 Iptables 或 Ipchains 实现的

zyling · 发表于 2004-12-10 11:08:52

继续顶, 大家还有什么发现啊?

alexhj · 发表于 2004-12-10 12:37:36

广播是过不了路由器的，不会是这种方法的

lgl7078 · 发表于 2004-12-10 12:57:10

他利用的广播类似cisco的cdp

rainy · 发表于 2004-12-11 13:40:15

顶上来，不要沉哦

kantona · 发表于 2004-12-11 15:57:29

如果是这样的话，我们只要找到那个所谓的后门端口就可以把它封掉了，是不是这个意思啊，但我觉得他们应该不会没有想到这个问题把/

zhanghui · 发表于 2004-12-11 20:38:19

你telnet 你的routeros的3987端口看看，随时可以连上。或者有隐藏的管理员，呵呵。

账号		自动登录	找回密码
密码			注册

[其它] ☆☆☆ROS使用报告两点☆☆☆

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。