无线家园论坛

 找回密码
 立即注册

QQ登录

只需一步,快速开始

搜索
热搜: 活动 交友 discuz
查看: 2109|回复: 0

针对“QQ安全管家,360防蹭网,金山卫士防蹭网”解决方案

[复制链接]
发表于 2013-4-7 21:17:24 | 显示全部楼层 |阅读模式
QQ安全管家,360等争相推出防蹭网解决方案,经过数天的调试,从x86和MIPS平台(路由)两方面提供解决方案,完全屏蔽蹭网扫描。

首先针对PC平台:
PC平台我们视为直接用网卡连接被蹭路由,即PC—-Router—-WAN的简单拓扑。
为了安全起见,首先打开连接状态,属性,取消勾选Microsoft 网络客户端,确定,关闭:
[/url]

其次,安装ARP防火墙:
[url=http://wifibeta.com/wp-content/uploads/2011/08/8.jpg]

在工具,选择基本参数配置,勾选安全模式:
[/url]
就这样,成功屏蔽了非网关的ARP探测。

但是,并不是所有蹭网的用户都是通过网卡直接蹭网,有相当一部分用户是通过中继设备连接被蹭端,自己再有线或无线连接自己的设备的,我们需要在路由上做一些设置。这里以dualwan路由V1.28 0536版作为测试。
首先,用无线网卡连接被蹭端,运行防蹭网扫描:
[url=http://wifibeta.com/wp-content/uploads/2011/08/1.jpg]

一直第一台设备为中继(蹭网端),第二台设备为PC(主人),第三台设备为本机。
记录主人端MAC地址,每两个十六进制位用“-”分割。
回到中继,telnet上路由:
运行:
arptables -A INPUT --src-mac 主人MAC -j DROP
如果没有回显,则证明成功。
[/url]
可以把主人的MAC换成自己网卡的MAC,测试一遍。
[url=http://wifibeta.com/wp-content/uploads/2011/08/7.jpg]

然后进入路由,把上面的脚本保存为启动脚本:
[/url]
路由端屏蔽防蹭网检测的方案完美宣告结束,值得一提的是,ddwrt中对arptables的支持似乎并不好,dualwan原生集成,openwrt可以挂载模块生效。对于ddwrt的进一步解决方案,笔者会另行研究。

原理分析:

经过抓包发现,在执行蹭网检测时,程序向网段每个IP都发送了1-3次ARP请求:
[url=http://wifibeta.com/wp-content/uploads/2011/08/2.jpg]

随后用ICMP检测存活:
[/url]
最后用NBNS检测主机名:
[url=http://wifibeta.com/wp-content/uploads/2011/08/image2.png]

一次探测大约产生了40KB的数据IO:
[url=http://wifibeta.com/wp-content/uploads/2011/08/image3.png][/url]
由于先探测ARP,对于ARP不响应的IP不予回应,所以屏蔽了ARP探测,理论上可以不屏蔽ICMP回应,直接越过检测,在局域网中隐身。
实际操作也证明了这一点。

针对防蹭网软件提供商的修补方案:
同路由商家协作,建立API,直接从路由节点调用路由表分析数据,避免采用ARP扫描。

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|小黑屋|手机版|Archiver|无线家园官方论坛 ( 苏ICP备12021525号 )

GMT+8, 2018-10-15 18:13 , Processed in 0.064036 second(s), 19 queries .

Powered by Discuz! X3.2

© 2001-2013 Comsenz Inc.

快速回复 返回顶部 返回列表