- 01
- 02
- 03
- 04
- 05
- 06
- 07
- 08
- 09
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
- 29
- 30
- 31
Самого говнокода у меня под рукой нет, но о его содержимом можно догадываться по результатам его работы.
$ { printf 'GET / HTTP/1.1\r\nHost: '; sleep 0; printf 'konachan.com\r\nUser-Agent: netcat\r\nAccept: */*\r\n\r\n'; } | nc konachan.com 80
HTTP/1.1 302 Found
Connection: close
Location: http://warning.rt.ru/?id=9&st=0&dt=5.178.68.88&rs=http://konachan.com/
<- Подменённая питухтелекомом часть пакета кончается здесь, она узнаётся по коду 301
g <- А это уже продолжение оригинального пакета
Status: 200 OK
Cache-Control: max-age=0, private, must-revalidate
X-XSS-Protection: 1; mode=block
X-Request-Id: 4331f357-c4e2-456f-807d-07e36c4dae4f
X-UA-Compatible: chrome=1
Попробуем что-нибудь ещё:
$ { printf 'GET / HTTP/1.1\r\nHost: '; sleep 1; printf 'konachan.com\r\nUser-Agent: netcat\r\nAccept: */*\r\n\r\n'; } | nc konachan.com 80
HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 5061
Connection: keep-alive
Vary: Accept-Encoding
....
$ { printf 'GET / HTTP/1.1\nHost: konachan.com\nUser-Agent: netcat\nAccept: */*\n\n'; } | nc konachan.com 80
HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 5062
Connection: keep-alive
Vary: Accept-Encoding
....
Предвижу тренды 2017го года: telnet отнимает популярность у прочих браузеров!
Follow us!
А ещё можно так.
Теперь смотрим HTTPшный RFC и замечаем, что:
4.2 Message Headers
HTTP header fields, which include general-header (section 4.5),
request-header (section 5.3), response-header (section 6.2), and
entity-header (section 7.1) fields, follow the same generic format as
that given in Section 3.1 of RFC 822 [9]. Each header field consists
of a name followed by a colon (":") and the field value. Field names
are case-insensitive. The field value MAY be preceded by any amount
of LWS, though a single SP is preferred.
Осталось пропатчить лису, чтобы выдавала произвольное число пробелов и кейз букв, и можно, в принципе, экономить пять баксов в месяц.
github.com/k32/wowdpi
github.com/qwemaze/chrome-such-rtk
> header.value = ' ' + header.value;
ЛолПиздец. Заshita.
нет, иначе лесом пойдут раундробины, зато обломаются шаред хостинги
>>(или того лучше DNS
нет, ибо 8.8.8.8
Transparent proxy м.б, или какой-то DPI. Правда что они с TLS делать будут -- хз
А сеть по маске могут забанить?
Скорее всего по IP заворачивают трафик на систему DPI, а дальше кто во что горазд.
нет, ибо UDP:53 часто заворачивают на свои DNS-сервера независимо от адреса назначения.
Как можно самому роутить dns, не сильно заморачиваясь?
DNS не позволяет менять порт, DNSSEC ЕМНИП позволит только обнаружить подмену - и то, пойди найди клиент и сервер, который его умеет.
Я просто поднял свой кэширующий DNS сервер рядом с VPN и настроил клиентов на его использование. Таким образом все DNS запросы гарантированно идут через туннель.
Кстати пару лет назад заметил что в хроме не работают /etc/hosts. Оказалось эта сука игнорит и юзает свой dns.
Гугл следит за тобой и без всяких 8.8.8.8 юзернейм.
http://roskompozer-ebal-svoy-mamy.konachan.com/
и оно откроется)
Это с ходу опровергает рассуждения про DNS и IP
Говорят, какие-то сервисы этим пользовались («Грани», Фонд Навального), создавая 100500 поддоменов, пока их не начинали блокировать по IP.
Заблокировать по URL или по домену Роскомнадзор может, а по айпишнику — нет, если сайт IPv6-only.
Через сетку IPv4 можно собрать больше пользователей (особенно пользователей мобильников), но только с каждым днём такую сетку получить труднее.
Да тупо потому что прецедентов нет, да и юзеры на эти ipv6 сайты только специально могут попасть. Добавить в базу/xml ещё одно поле несложно, особенно если "провайдерские DPI с ними работать умеют".
Версия 4.7 от 04.07.2016
В приложении 1 для атрибута blockType тега content добавлено дополнительное возможное значение «domain-mask», указывающее на блокировку реестровой записи по маске доменного имени. При этом значение доменного имени в реестровой записи с блокировкой типа «domain-mask» будет указано с маской в виде «*.domain.com».
> умеют блочить не только по /32
ipSubnet - подсеть (в формате «1.2.3.4/24»)
а так?
1) Они матчат поле Host в GET'ах, причём для всех IP-адресов и всех TCP-портов (!) (что, кстати, здорово упрощает реверсинг их питушни + ведь можно было деньги сэкономить, не пуская всё подряд через DPI):
То же самое происходит, если запустить тупой эхо сервер на произвольном порту:
Но при этом они осилили RFC2616 лучше (полностью?), регулярка у них примерно такая:
^GET / .*\nHost: <badsite>\r?\n
2) Самое интересное. У них полноценный TCP session hijacking, впрочем, судя по проскакивающим иногда пакетам со странными sequence-numbers, шанс локального (без прокси) опетушивания этой системы может быть. Позже попробую потыкать их через raw sockets.
Видимо, эти люди либо нормально пишут регулярки, либо просто прокси) опетушивания этой системы может выйти ему боком, если запустить тупой эхо сервер на произвольное число пробелов и кейз букв, и можно, в принципе, экономить пять баксов в мес, не понял? за впн > за впн > за впн
Тост? Нет, выпью я сегодня за Путина, потому можно зайти
http://roskompozer-ebal-svoy-mam#вореции
http://protivkart.org/main/7963-iskusstvennyy-intellekt-microsoft-za-sutki-vyyasnil-realnye-nastroeniya-v-ssha-za-chto-i-byl-zakryt.html
Што?
АФАЙК росгомпозёр имеет говноапи со списком гнущих скрепы сайтов, а каждый горе говноадминушка сам по нему настраивает оборудование. Ну вот в каких ISP более лучшие админы, в каких-то нет.
ps: была еще байка про чуваков, которые отдавали 302, и в ТОМ ЖЕ ответе отдавали тело документа))
Тост?
Ты свитч третьего уровня чтоли?
Секунд по 8-10 ждать пока картинка прогрузится?
З.Ы. А, тьфу, ты имел в виду мегабайт, не мегабит.
Самое тривиальное и надёжное - юзать эти проги/сайты в виртуалке.
Боюсь, что другого под вендой ты и не найдёшь. Ну кроме грубого и муторного роутинга по айпишкам. Или какой-нибудь прокси на роутере, если любишь ёблю с пингвинами и проги умеют прокси.
Запретить то можно, штатный бредмауер умеет, но нам же надо чтобы они работали, просто через другой интерфейс.
Но там можно по приложению/адресу/порту пометить пакет в прероутинге, а роутинг, видя эту метку, отправит пакет в нужный интерфейс.
А еще можно сурс роутинг, айпироут2 уиеет
>виртуалка
Ахуеть. Тривиальное - это http прокси. А что будет если vpn отвалится? Напрямую пойдет?
Это к вопросу почему все предлагают именно vpn.
Просто перестанет работать, если ты не забыл убрать дефолтный маршрут на настоящий шлюз :)
> Тривиальное - это http прокси.
Да ну, там маны читать надо и т.п., проги настраивать. Плюс не все проги через проксю можно пустить. А новая виртуалка клонируется из снепшота за пару минут.
Как это на венде делается? В консольке, поди?
Чтобы прописать http прокси надо маны читать? о_О
> А что будет если vpn отвалится? Напрямую пойдет?
Ну ты выбери что-то одно.
1) добавить 0.0.0.0 (он же дефалт, он же last resort) и дальше весь траффик пойдет через VPN. У винды это называется "use default gateway on remote network", погугли эту опцию, она ставится в настройках IP у VPN
2) не добавлять 0.0.0.0, и надеяца что пользователь руками добавит нужные маршруты с помощью route add (да, это делается с соснольке)
3) пользователь может написать файл типа route.bat. Винда его запустит, передаст туда аргументом шлюз, и пользователь сам должен написать в нем route add.. В старых виндовых сетях админы раздавали иногда такие файлики пользователям.
4) Следующая опция это расширение протокола от MS: Там сервер может заслать клиенту DHCP опцию с default gateway сразу после выдачи IP по IPCP и настроить клиента как угодно. Это поскольку никто кроме виндовых клиентов не ждет DHCP, то работает это только если сервер и клиент у тебя виндовые. В прыщах и ябле обычно используют route.sh, правда в современных ОС его можно собирать через GUI вроде как.
Ну есть еще всякие другие впны типа OpenVPN которые умеют много гитик, но их клиенты не встроены (а в L2TP и PPTP встроены).
PPTP был проклят его создателями еще в начале нулевых и Cisco с MS на пару запилили L2TP/IPSec где L2TP отвечает ТОЛЬКО за тунелирование, а IPSec за шифрование (потому что IPSec уже очень mature и умеет много всего)
https://en.wikipedia.org/wiki/Layer_2_Tunneling_Protocol#L2TP.2FIPsec
Во многих железках (например Zyxel zwall и последних cisco) только L2TP/IPSec и есть.
И конечно его клиент есть во всем: от айфона до винды, причем он встроенный.
IPSec прекрасно работает в сетях обычных юзверей, и политики IPSec позволяют тонко настраивать шифрование и подписи (например можно шифровать только трафик на SQL или только подписыватьитд), но в L2TP/IPsec от IPSecа используется примерно 10%.
В отличии от PPTP это обычный UDP а не GRE, и не требуется особенной настройки NATа.
У виндовых серверов есть некоторые проблемы если они стоят за натом и некоторые проблемы с не виндовыми клиентами (там ipsec политики надо настраивать вручную) но всё это решается.
МНЕ оно сейчас, кстати, не надо.
Смотря где. Обычно там ограничена ширина, а не кол-во трафика.
>> VPN / прокси разрешены?
Не понимаю вопроса. А веб сервера там разрешены? А питон там разрешен?
А FTP?
Если это моя виртуалка и у меня там рутовый доступ, то какая разница что я там поставлю?
У меня на амазоне сквид стоял, это никого не волновало.
>>VPN аккаунты не дешевле?
Не знаю, может быть дешевле. Но виртуалка это не только впн, это и захостить что-то, и автоматизировать проверку чего-нибудь удаленно, и вообще
>Но виртуалка это не только впн, это и захостить что-то, и автоматизировать проверку чего-нибудь удаленно, и вообще
А если человеку только vpn и нужен, а настраивать он не умеет? Или впнами только программисты пользуются?
ХЗ, да. Наверное если они видят что у тебя много исходящего траффика то закрывают тебя.
У меня за амазоне на самой дешевой тарифе все работало.
>> Или впнами только программисты пользуются?
Понятия не имею что делают непрограммисты.
Сколько самый дешевый тариф на амазоне?
>Понятия не имею что делают непрограммисты.
Пожрать мамка приносит? Ты это, из дому выходи хоть иногда.
Меня на работе в столовой супом кормят
А дома ты что жрешь? Что с работы принесешь?
У меня магаз прямо в доме
Но вообще зависит от провайдера.
Потому что любые протоколы и проги поддерживает.
- Для браузеров
- Для торрентов
Что-то забыл?
Не понел.
https://en.wikipedia.org/wiki/Proxy_auto-config
http://antizapret.prostovpn.org/
Для плагинов Flash, Silverlight, Java придётся сеть настраивать отдельно, чтобы они тебя не спалили.
Ещё есть внешняя программа «Широкая шапочка»:
http://www.anonym-surfen.de/help/proxifier3.html
Есть одна проблема: у меня после установки «Широкой шапочки» перестал запускаться Eclipse и ещё какое-то тормозное говно на Java, пока я шапочку не снёс.
Есть ещё вариант с менее грубым роутингом: поднять у себя локальный прокси-сервер, который в Интернет будет выходить через VPN благодаря грубому и муторному роутингу, а программы уже более тонко направлять на локальный прокси-сервер через PAC или WideCap.
Что-то я запутался, но копать можно примерно в этом направлении.
Что мне пока пришло в голову - vpn из-под какой-то легкой оси в виртуалке, там же ставим прокси и его прописываем в программах.
> плагины
О_о. У вас на винде браузеры настраивать надо?
И групповые политики по приколу придумали, и синхронизации в виндовых браузерах нет, и папку с профилем нельзя скопировать, потому что в Проводнике с дефолтными настройками её не видно.
Юникс и Интернет слились когда берклевцами дали тендер на запиливание "универсального API" и они выдумали берклевые сокеты.
До этого на юниксе развечто UUCP был
Меж полчим в экзаменах типа desktop support типа 70-685 есть разделы про настройку эксплоррера, encahcned security, итд
Остальной высер не понял, да и хуй с ним.
OpenVPN же, ну.
Возни с настройкой больше, но и возможностей тоже.
А для времянки на один-два раза SSH port forwarding достаточно, да.
Опера до версии 10.50 не умела SOCKS, поэтому пакет Operator (для подключения Оперы к Тору) включал некую программу Polipo, которая одним концом коннектилась к SOCKS-прокси (хоть к Тору, хоть к произвольному), а другой конец предоставлял интерфейс для старых браузеров, не умеющих SOCKS.
Winsock так умеет. Через это работает, например, wingate.
на линуксе надо через netfilter, наверное.
Но LSP придётся писать самому. Или есть готовые реализации универсального LSP, в который можно добавлять свои правила?
От именно о них и речь.
>>LSPFIX
а "netsh int ip reset" не помогает ращве?
Он же ресетит каталог, или где там это говно храница.
Кстати, LSP уже депрекейтед в послдених виндах. Никому не нравится что хуйзнает кто может сломать твой TCP/IP стек.
В прыщелисе есть плагин proxyfoxy с правилами. PAC тоже рабочий.
Пидарахи, купил роутер за $ 0.99 на али, настроил его по статье пидаархи с 4pda, и у него отсостная скорость: файлы с Winows XP вообще медленно качаются.
Прыщеблядская прошивка роутера соснула, видимо. Прыщебляди, почему вы делаете такое говно?
Была программа вингей-т, вин-в-роут и еще ISA
Проверяем метод Снаута:
1. Изменение регистра загловка Host: не снимает блокировку.
2. Добавление пробелов после Host: не снимает блокировку.
3. Добавляем пробелы после слова GET... блокировка снята. Спустя несколько минут повторяем... уже заблокировано.
4. Изменение регистра команды, регистра заголовков, порча названия протокола, добавление пробелов во всевозможные места не помогают.
У них самообучаемый DPI что ли?
А можно поуф?
Берут пример с китайцев? У них то самообучаемый, да ещё и аномалии в запросах детектить умеет...
Менял заголовки местами. Выяснил, что и DPI, и сервер реагируют только на последний заголовок Host, а предыдущие игнорируют.
Перемежал заголовки безобидными (User-Agent, Accept, Accept-Language, Accept-Charset, Accept-Encoding, Connection). DPI всё равно извлекает последний заголовок Host.
Во вторых, самое интересное про множественные заголовки:
Multiple message-header fields with the same field-name MAY be
present in a message if and only if the entire field-value for that
header field is defined as a comma-separated list [i.e., #(values)].
It MUST be possible to combine the multiple header fields into one
"field-name: field-value" pair, without changing the semantics of the
message, by appending each subsequent field-value to the first, each
separated by a comma. The order in which header fields with the same
field-name are received is therefore significant to the
interpretation of the combined field value, and thus a proxy MUST NOT
change the order of these field values when a message is forwarded.
Но тут логика DPI и логика сервера (Apache за nginx) совпала. Если бы не совпала, ресурс был бы доступен.
Кстати, попытался заменить букву «a» в запросе на %61. Не прокатило: DPI расшифровывает такие значения.
http://pik.ua./news/url/pravyj_sektor_prizyvaet_svoih_aktivistov_byt_nacheku
Просто точка после домена. Оказывается, для DPI pik.ua и pik.ua. — это разные домены (как и для cookies в браузере).