Что происходит со стеком TCP-IP?

Question

[fpir]

Суть: сайты nslooup-ятся но не пингуются, ругаясь на невозможность обнаружения, в браузере соответственно не открываются. Понятно, что вирус, что нарушен TCP-IP. Лично я вылечу одной из функций утилиты AVZ, потом прогоню cureit-ом.
Но мне интересно, как это делается теоретически и практически, как нарушается стек, можно-ли это исправить просто руками, ну и что делает вирус, при условии, что он уже попал в систему, может кто-то разъяснить?

Comments

[pfg21]

прописываются левые маршруты в таблице роутинга.
прописываются левые драйвера сетевых устройств.

[fpir]

pfg21, левые маршруты-сайт недоступен, а не сайт неопределён
левые драйвера вряд-ли позволят ходить через ip по локалке, похоже, это что-то выше по OSI.

[Ezhyg]

вылечу одной из функций утилиты AVZ

можно-ли это исправить просто руками

Хм... а сделать руками то же, что делает "Заиц", не вариант?

[fpir]

Ezhyg, я подозреваю, что "Заиц" делает winsock reset, но точно не уверен, а исходников не смотрел. Буду благодарен, если расскажете. В конце-концов мне до Зайцева ещё сотни метров ушей надо нарастить.

[Ezhyg]

fpir, там много разных возможностей и сброс "винсок", лишь одна из них.
Не расскажу, писанины много :( Проще почитать на сайте автора, там же есть (было) описание, "что, зачем, как".

[ТыжСисАдмин]

Ezhyg, Блин, дядька, 21 век на дворе а предлагаешь ручками делать заместь автоматизации :)
Хотя конечно знать что для чего и как это не помешает :)

[fpir]

ТыжСисАдмин, оно конечно боевая флешка всегда с собой, но бывают случаи....

[pfg21]

ТыжСисАдмин, дядька правильно думает. автоматизация автоматизацией, но мозг нарабатывать никогда не помешает.
потому и спрашивает какая лампочка там внтуре светится.

[ТыжСисАдмин]

pfg21, Судя по обновлениям ушатывающим систему, мелкософт уже и сам не сильно в курсе что там внутрях за неонка :)

[Ezhyg]

ТыжСисАдмин, я не предлагаю, дурак чтоли?! Это вообще-то ты сам спросил можно ли руками. Ответ - "да, сделать то же самое, что делает AVZ, но руками".

[ТыжСисАдмин]

Ezhyg, Ээ. Я не спрашивал такого :D

[Ezhyg]

ТыжСисАдмин, да ёжкин же кот... перепутал тебя с автором. Молодой человек, не мешайтесь в комментариях, выйдите, а то затопчем :D

[ТыжСисАдмин]

Ezhyg, ну пааааппп, не лишай меня ужина :)

Answer 1

[DDwrt100]

Очень обширный вопрос, есть много векторов атаки из системы. Можно переопределить настройки, например подменить маршруты, или поправить файлик Hosts, изменить настройки встроенного фаервола, поиграться с групповыми политиками. Можно провести атаку на "системные службы" повредив их или подменить на переписанные.

Если стек поврежден, в виндосе есть команда netsh winsock reset. По идее это восстанавливает TCP стек если он поврежден.

Comments

[fpir]

host отпадает, сайты резволтятся правильно, при смене маршрута пигн отвечал-бы, что "сайт недоступен", а не "сайт не найден", политики и файрвол-маловероятно. А вот системные службы как-раз и интересны. Спасибо за ответ.

Answer 2

[#]

сайты nslooup-ятся но не пингуются

две штуки, не связанные в принципе

- nslooup выясняет существование имени, имя по айпишнику, или айпишник по имени. и все. он не проверяет доступность
ахтунг! - в контексте опасений зловредов, можно допускать еще и подмену ДНС серверов (а днсники врага могли сломаться/заглючить). но ДНС можно сверить с инструкцией провайдера, или жестко забить общеизвестные гугловские - 8.8.8.8/8.8.4.4

host отпадает, сайты резволтятся правильно, при смене маршрута пигн отвечал-бы, что "сайт недоступен", а не "сайт не найден"

это слишком оптимистичная позиция. встречал зловредов, которые блокируют доступ к hosts. и даже был не менее одного раза такой сценарий - зловред умело подсовывал фальшивый, вполне цивильный по содержанию hosts

- ping проверяет доступность сайта, еще точнее хоста, а еще точнее, его публичного роутера. весьма редко, практически исключено для публичных сайтов, но все таки возможно, что пинг на хост просто запрещен

- можете добавить в копилку вооружение команду tracert

я бы сделал проверку с чистой системы, к примеру лайв-сд линукса*, пропинговал бы и протерейсил сайты, сравнил бы целевые ip, видимые под чистой системой и видимые под сбоящей системой. а еще уделил бы внимание роутеру, если он есть. как вариант - проверить с чистой системы прямое подключение к провайдеру. надо найти некий эталонный вариант

* (второй ахтунг!) - лайв-сд сборки винды, ни какие, ни при каких условиях, нельзя считать чистой системой .. только если сами собирали

ps AVZ до семерки включительно, лечил отлично. именно сетевой стек. с 8.* и далее, не припомню, что он мне хоть раз понадобился, по этому не могу комментировать риски

Comments

[fpir]

# большое спасибо за развёрнутый ответ, но для меня это не проблема, и мне не нужны решения, хотя я и благодарен за советы. Я хотел получить более-менее теоретическое объяснение, и что там происходит под капотом. Но всё равно, спасибо, что откликнулись.

[#]

fpir,

что там происходит под капотом.

1 - это закрытый код корпорации Майкрософт
2 - можете попробовать почитать что то вроде вот этого https://www.piter.com/collection/all/product/vnutr...

Answer 3

[blondin]

Неплохо бы описать сеть. Это домашний ПК за роутером? nslookup всеголишь резолвит IP возможно это провайдерский DNS или внутренний DNS. не пингуется может быть несколько причин, может закрыт может lmhost и это не TCP IP. И возможно не вирус.

Comments

[fpir]

Это домашний пк за роутером, точнее ноутбук. на роутере непосредственно настройки wan получаются по dhcp провайдера, с dns провайдера. роутер раздаёт настройки по dhcp. Прописывание этого всего руками на компе(и гуглднс, в том числе) ничего не меняет. С роутера сайт пингуется. С ноута не пингуется. Сайт этот ya.ru, его айпи я знаю наизусть, резволтятся они правильно. Ноут это я живьём не видел, думал получить доступ вчера-но не срослось. Иначе отписался-помогли-ли консольные команды. Надеюсь увидеть его в будущем и отметить наиболее близкий ответ. Или свой написать. Спасибо