CSDN博客

img yypp

NetXray使用说明之(6)----捕捉oicq message报文

发表于2001/5/29 11:56:00  901人阅读

scz 于 00-5-9 下午 12:17:39 加贴在 灌水乐园

标题:NetXray使用说明之(6)----捕捉oicq message报文

NetXray发包前可以在decode状态下编辑,sniffer pro 2.6却不象NetXray那样
善解人意,只能进行二进制编辑。sniffer pro的Add Pattern里的TAB键极其混
帐,并且这里也不提供decode支持。始终不能理解这些地方。不过破解版的
NetXray在decode时有些地方对不准,菜单window也不时失灵。

暂略(回头补吧,没时间了)

今天讲讲oicq message报文的捕捉。

1. 首先设置进行IP/UDP报文过滤,IP/TCP暂时就不必了,因为oicq message报文多
   是IP/UDP报文,我还没有看到过IP/TCP,应该是没有的。

2. 根据需要在Address/IP Include里设置通信双方的IP,假设我们需要捕获所有与
   本机oicq.exe通信的oicq message报文,设置成 myIp <----> Any

3. 进入Data Pattern设置页,用<< NetXray使用说明之(2) >>里的办法指定
   ( ( srcPort == 4000 ) && ( dstPort != 8000 ) )
   ||
   ( ( srcPort != 8000 ) && ( dstPort == 4000 ) )

   第一条的意思是本机向别人发消息,第二条是别人向本机发消息,之所以排除掉
   8000,你可以进入oicq chat room看看此时涉及的端口。那么为什么不指定两头
   都是4000呢,因为如果过了透明网关之类的,UDP RELAY的时候会改变源端口,
   一般都不会是4000了。反过来,如果你发现一个入包的源端口不是4000,他/她应
   该在类似sygate的代理后面。不过此时UDP DATA PIPE已经建立,即使他/她在
   sygate后面,还是可以利用刚才抓到的IP/PORT和他/她通信,意味着很多事情都
   可能发生。

   这里假设都通过oicq.exe通信,如果用自己写的程序与oicq.exe通信,源端口不
   必非是4000,可以任意指定。

4. 算了,还是详细说说条目3中高级过滤规则的指定

   a. 用Toggle AND/OR把最上层调成OR
   b. 选中OR,然后Add AND/OR增加两个上去,分别用Toggle AND/OR调成AND
   c. 选中第一个AND,然后Add Pattern,选中增加的Pattern,选择
      Packet 34 2 Hex,从1开始输入 0F A0,就是0x0fa0的意思,
      srcPort == 4000
   d. 选中第一个AND,然后Add NOT,选中增加的NOT,用Toggle NOT确认已经调成
      NOT,选中NOT,然后Add Pattern,选中增加的Pattern,选择
      Packet 36 2 Hex,从1开始输入 1F 40,就是0x1f40的意思,
      dstPort != 8000
   e. 选中第二个AND,重复"类似"c、d的步骤,分别指定srcPort != 8000以及
      dstPort == 4000
   f. 选中最上层的OR,看看summary,是否符合你预想的逻辑表达式,如果不符合,
      继续调整,直至正确。

虽然这里是针对oicq.exe设置高级过滤规则,但这是一个很完整而又略显复杂的设置
说明,对<< NetXray使用说明之(2) >>是个很好的补充。

0 0

相关博文

我的热门文章

img
取 消
img