首页 | 安全文章 | 安全工具 | Exploits | 本站原创 | 关于我们 | 网站地图 | 安全论坛
  当前位置:主页>安全文章>文章资料>系统安全>文章内容
Radmin服务端保持连接不断问题分析与解决
来源:kityest@163.com 作者:grassgrass 发布时间:2006-07-26  

Radmin服务端保持连接不断问题分析与解决
作者: grassgrass
Email: kityest@163.com
1、问题描述
Radmin是一个绝佳的远程控制软件,用来做跳板的后门再好不过了,不过每次连过跳板后,察看跳板连线,可以仍然看见我们和跳板上Radmin的连接,只不过显示为TIME_WAIT,且一直这样。
Proto Local Address Foreign Address State
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1030 0.0.0.0:0 LISTENING
TCP 127.0.0.1:1031 0.0.0.0:0 LISTENING
TCP 192.168.11.1:139 0.0.0.0:0 LISTENING
TCP 192.168.72.1:139 0.0.0.0:0 LISTENING
TCP 192.168.168.220:1030 192.168.168.221:1034 TIME_WAIT
UDP 0.0.0.0:445 *:*
UDP 0.0.0.0:1026 *:*
UDP 127.0.0.1:123 *:*
UDP 127.0.0.1:1900 *:*
UDP 192.168.11.1:123 *:*
UDP 192.168.11.1:137 *:*
UDP 192.168.11.1:138 *:*
UDP 192.168.11.1:1900 *:*
UDP 192.168.72.1:123 *:*
UDP 192.168.72.1:137 *:*
UDP 192.168.72.1:138 *:*
UDP 192.168.72.1:1900 *:*
UDP 192.168.168.220:123 *:*
UDP 192.168.168.220:1900 *:*
2、问题分析
初步猜测应该是setsocketopt设置超时有问题,可能是设置了无限超时?
调试Radmin服务端,下断点在setsocketopt,结果如下:
第一次断下来
71A42E30 > 8BFF MOV EDI,EDI
71A42E32 55 PUSH EBP
71A42E33 8BEC MOV EBP,ESP
71A42E35 837D 0C 00 CMP DWORD PTR SS:[EBP+C],0
71A42E39 0F84 25010000 JE WSOCK32.71A42F64
71A42E3F 8B45 10 MOV EAX,DWORD PTR SS:[EBP+10]
71A42E42 837D 0C 06 CMP DWORD PTR SS:[EBP+C],6
71A42E46 8B4D 14 MOV ECX,DWORD PTR SS:[EBP+14]
71A42E49 74 75 JE SHORT WSOCK32.71A42EC0
71A42E4B FF75 18 PUSH DWORD PTR SS:[EBP+18]
71A42E4E 51 PUSH ECX
71A42E4F 50 PUSH EAX
71A42E50 FF75 0C PUSH DWORD PTR SS:[EBP+C]
71A42E53 FF75 08 PUSH DWORD PTR SS:[EBP+8]
71A42E56 E8 09000000 CALL <JMP.&WS2_32.#21__setsockopt@20>
71A42E5B 5D POP EBP
71A42E5C C2 1400 RETN 14
71A42E5F 90 NOP
71A42E60 90 NOP
71A42E61 90 NOP
71A42E62 90 NOP
71A42E63 90 NOP
71A42E64 - FF25 0010A471 JMP DWORD PTR DS:[<&WS2_32.#21__setsocko>; WS2_32.setsockopt
察看堆栈:
0012F808 0096D367 /CALL 到 setsockopt 来自 0096D362
0012F80C 0000007C |Socket = 7C
0012F810 0000FFFF |Level = SOL_SOCKET
0012F814 00000080 |Option = SO_LINGER
0012F818 0012F844 |Data = 0012F844
0012F81C 00000004 \DataSize = 4
0012F820 0000FFFF
0012F824 0012F84C
0012F828 /0012F850
0012F82C |009652F2 返回到 009652F2 来自 0096D340
0012F830 |00000080
0012F834 |0012F844
0012F838 |00000004
0012F83C |0012F870
0012F840 |001D0406
0012F844 |00010001
0012F848 |0012F870
0012F84C |0000007C
0012F850 ]0012F884
可以看到,它设置了SO_LINGER选项,值为0x00010001
第二次断点:
71A42E30 > 8BFF MOV EDI,EDI
71A42E32 55 PUSH EBP
71A42E33 8BEC MOV EBP,ESP
71A42E35 837D 0C 00 CMP DWORD PTR SS:[EBP+C],0
71A42E39 0F84 25010000 JE WSOCK32.71A42F64
71A42E3F 8B45 10 MOV EAX,DWORD PTR SS:[EBP+10]
71A42E42 837D 0C 06 CMP DWORD PTR SS:[EBP+C],6
71A42E46 8B4D 14 MOV ECX,DWORD PTR SS:[EBP+14]
71A42E49 74 75 JE SHORT WSOCK32.71A42EC0
71A42E4B FF75 18 PUSH DWORD PTR SS:[EBP+18]
71A42E4E 51 PUSH ECX
71A42E4F 50 PUSH EAX
71A42E50 FF75 0C PUSH DWORD PTR SS:[EBP+C]
71A42E53 FF75 08 PUSH DWORD PTR SS:[EBP+8]
71A42E56 E8 09000000 CALL <JMP.&WS2_32.#21__setsockopt@20>
71A42E5B 5D POP EBP
71A42E5C C2 1400 RETN 14
堆栈:
0012F80C 0096D367 /CALL 到 setsockopt 来自 0096D362
0012F810 00000078 |Socket = 78
0012F814 0000FFFF |Level = SOL_SOCKET
0012F818 00000080 |Option = SO_LINGER
0012F81C 0012F84C |Data = 0012F84C
0012F820 00000004 \DataSize = 4
0012F824 0000FFFF
0012F828 0012F848
0012F82C /0012F850
0012F830 |00965419 返回到 00965419 来自 0096D340
0012F834 |00000080
0012F838 |0012F84C
0012F83C |00000004
0012F840 |0012F864
0012F844 |0012F870
0012F848 |00000078
0012F84C |00010001
0012F850 ]0012F884
可见第一次与第二次相同
F9,没有下个断点,可见只有这两处,上网搜索SO_LINGER选项,其描述如下:

/* 当连接中断时,需要延迟关闭(linger)以保证所有数据都
   * 被传输,所以需要打开SO_LINGER这个选项 //注:大致意思就是说SO_LINGER选项用来设置当调用closesocket时是否马上关闭socket
   * linger的结构在/usr/include/linux/socket.h中定义://注:这个结构就是SetSocketOpt中的Data的数据结构
   *  struct linger
   *  {
   *   int l_onoff;  /* Linger active */ //低字节,0和非0,用来表示是否延时关闭socket
   *   int l_linger; /* How long to linger */ //高字节,延时的时间数,单位为秒
   *  };
   *  如果l_onoff为0,则延迟关闭特性就被取消。如果非零,则允许套接口延迟关闭。
   *  l_linger字段则指明延迟关闭的时间
   */
更具体的描述如下:
若设置了SO_LINGER(亦即linger结构中的l_onoff域设为非零,参见2.4,4.1.7和4.1.21各节),并设置了零超时间隔,则 closesocket()不被阻塞立即执行,不论是否有排队数据未发送或未被确认。这种关闭方式称为“强制”或“失效”关闭,因为套接口的虚电路立即被复位,且丢失了未发送的数据。在远端的recv()调用将以WSAECONNRESET出错。

若设置了SO_LINGER并确定了非零的超时间隔,则closesocket()调用阻塞进程,直到所剩数据发送完毕或超时。这种关闭称为“优雅的”关闭。请注意如果套接口置为非阻塞且SO_LINGER设为非零超时,则closesocket()调用将以WSAEWOULDBLOCK错误返回。

若在一个流类套接口上设置了SO_DONTLINGER(也就是说将linger结构的l_onoff域设为零;参见2.4,4.1.7,4.1.21 节),则closesocket()调用立即返回。但是,如果可能,排队的数据将在套接口关闭前发送。请注意,在这种情况下WINDOWS套接口实现将在一段不确定的时间内保留套接口以及其他资源,这对于想用所以套接口的应用程序来说有一定影响。

这是网上的解释
主要是影响close socket时的动作
知道了问题的原因,我们就动手修改一下试试
0012F80C 0096D367 /CALL 到 setsockopt 来自 0096D362
0012F810 00000078 |Socket = 78
0012F814 0000FFFF |Level = SOL_SOCKET
0012F818 00000080 |Option = SO_LINGER
0012F81C 0012F84C |Data = 0012F84C
0012F820 00000004 \DataSize = 4
0012F824 0000FFFF
0012F828 0012F848
0012F82C /0012F850
0012F830 |00965419 返回到 00965419 来自 0096D340
0012F834 |00000080
0012F838 |0012F84C
0012F83C |00000004
0012F840 |0012F864
0012F844 |0012F870
0012F848 |00000078
0012F84C |00010100 //原来的00010001表示延时256秒,将延时改为1秒
F9运行,用客户端连接,连上后再断开,察看服务端连线,发现以前总是显示为TIME_WAIT的连接,现在马上消失了,至此问题解决:)
3、Radmin修改
Radmin的保护措施做的还是很不错的,它的真正的执行程序是一个RES资源,主程序只负责将其解压缩到内存中并执行,如果要修改就需要自己解压缩,修改后再自己压缩了放回去,具体怎么做我就不说了:)
提示:如果要重复我一样步骤,直接下setsocketopt是断不下来的,先下jmp eax ,断下来后F8一次,再下setsoketopt断点,好了,就提示这么多了。



 
[推荐] [评论(0条)] [返回顶部] [打印本页] [关闭窗口]  
匿名评论
评论内容:(不能超过250字,需审核后才会公布,请自觉遵守互联网相关政策法规。
 §最新评论:
  热点文章
·Windows 系统调用功能列表
·windows入侵提权-创建隐藏帐号(
· CC_STACKPROTECTOR防止内核stac
·Linux内核安全研究之Stack Overf
· Exploit The Linux Kernel NULL
·Kernel Locking 中文版
·IA32上Linux内核中断机制分析
·Award BIOS Rootkit,universal
·PHP代码审计
·N种内核注入DLL的思路及实现
·glibc 2.3.5 的一些新安全特性
·Struts2/XWork < 2.2.0 Remote C
  相关文章
·浅析恒基伟业F8隐形手机的隐形功
·Bypass Exec-shield Under Redha
·Advanced Exploit Techique之--f
·智能化防杀未知电脑病毒探讨
·Windows平台内核级文件访问
·扭曲变换加密
·VISTA用户内存安全保护漫谈之saf
·Kernel Mode Sockets Library
·Kernel Locking 中文版
·Linux 内核文件系统与设备操作流
·关于Win2000 Server安全
·IA32上Linux内核中断机制分析
  推荐广告
CopyRight © 2002-2022 VFocuS.Net All Rights Reserved