Как можно слушать порт у работающей программы?

Question

[organizer776]

Как можно слушать порт у запущенной программы?
Ситуация такая, есть сервер, который смотрит в интернет (сайты организации), но, периодически, вижу попытки взлома по rdp и т.д. Хочу сделать слушатель портов, который станет, нечто, вроде прокладки посередине.

Существует такая программа как process explorer и она видит текущие подключения к определенному процессу, но как это работает ума не приложу.
Исходя из знаний java, то предполагаю, нечто, вроде, подключения к потокам, но могу ошибаться в реализации.

Зачем это нужно? Автоматизация защиты без установки стороннего ПО (это головная боль для организации).

Comments

[GavriKos]

А в чем проблема закрыть порты?
"Щупать" публичные сервера будут всегда

[organizer776]

GavriKos, в том и дело, мне тоже удаленный доступ нужен. vpn поставить возможности нет, а антивирус блокирует все без условий. Ведь, тому же касперскому не дашь правило из разряда "5 раз ip ломился на порт - в бан его"

Answer 1

[Сергей Горностаев]

Зачем все эти сложности, если можно просто установить и настроить fail2ban или систему обнаружения вторжений, если нужна тяжёлая артиллерия. Головная боль - это писать своё решение при наличии готовых и проверенных временем.

Comments

[organizer776]

Если все удобно встроить, то головной боли не будет.
Главная проблема в том как нет возможности поставить vpn и все сетевые экраны блокируют в т ч и меня(динамический ip), поэтому приходится извращаться.

[Сергей Горностаев]

organizer776, ну раз не будет, тогда дерзайте. Очень прошу, если у вас это чудо получится, расскажите как вы это сделали.

Answer 2

[Drno]

У Вас сайт организации - на Винсервер? который смотрит в инет? сочувствую тогда))
А вообще - открвается только нужный порт на вход, остальное закрывается. и пофиг, пусть ломятся
Обычно это делается на шлюзе...

Comments

[organizer776]

К моему сожалению, шлюз управляется не мой.

-- Не то слово. Косяк на косяке.

[Drno]

organizer776, так заблочте всё брендмауэром, оставьте только веб порты. Ну и РДП с фильтром по ИП

Answer 3

[Армянское Радио]

Вам придется навелосипедить WinPCAP, которая является NDIS-драйвером, встраиваемым в сетевой стек венды.

Альтернативно, вы можете попытаться заинжектить в процесс самопальную ws2_32.dll

И то и то требуют наличия обширного опыта системного программирования на C/C++ под форточку, а также чтения тонны страниц MSDN на английском языке.

Comments

[organizer776]

Лишним опытом точно не будет. Хоть понятно куда копать. Спасибо.

[Армянское Радио]

organizer776, Если что, автор последних версий WinPCAP имеет степень Ph.D в университете Цукубы. Это какбы чтобы понимать масштаб проблемы, на которую вы наткнулись.

[organizer776]

Армянское Радио, Ничего страшного. Сложности заставляют развиваться.

-- Это же доктор философии, не?

[Армянское Радио]

organizer776, Все зарубежные доктора (кроме медиков, они M.D) - доктора философии. Обсуждаемый нами - доктор философии в области Computer Science, понятное дело.

Answer 4

[rPman]

предложения про WinPCAP, NDIS-драйвер, ws2_32.dll и т.п.

Ничего страшного. Сложности заставляют развиваться.

тебе дали дважды намек, что это направление решения - неадекватно сложно по сравнению с поставленной целью.

Правильное решение - поставить фаервол (адекватность тут должна подсказывать *nix* ОС или готовые железки с нужным функционалом) между интернетом и целевым сервером с приложением, этот фаервол и будет слушать подключения и принимать решение.

Любой вариант этого решения будет по стоимости и времени дешевле чем исследования в области 'как разобраться с тем что майкрософт наговнокодили наломали дров сетевой подсистеме и стандартах'

p.s. у майкрософта есть инструменты по логированию доступа по rdp, может начать с них?

Answer 5

[pfg21]

реквестируемый вид ПО - анализатор трафика.
один из основных вариантов под винду wireshark
в настроить фильтрацию по порту и записать поток пакетов на диск, потом не торопясь разобрать, выявить леватуру и найти условия их вырезания через фаервол.
надеюсь фаер в винде умеет фильтровать потоки по протоколам.

Comments

[organizer776]

Проводной акулой пробовал слушать, но, разве, он умеет выполнять определенные сценарии при достижении некоторых условий?

[pfg21]

organizer776, она - анализатор.
для выполнения сценариев ковыряй фаерволл - он каждый пакет изучает и принимает решение пропускать / не пропускать.