_____________________________________________________________________________ GUIDE TO (mostly) HARMLESS HACKING Vol. 3 Nummer 2 Hur man 'mappar' Internet -- Dig! Whois! Nslookup! Traceroute! Netstat! ______________________________________________________________________________ Varför ska man 'mappa'(ungefär=kartlägga) Internet? * Därför att det är roligt - ungefär som att utforska nya kontinenter. Internet är jättelikt och det förändras så snabbt och ingen vet exakt hur Internet ser ut. * Därför att när du inte kan nå någon långt bort, kan du hjälpa din ISP med att fixa länkarna. Jag gjorde det en gång när ett mail inte nådde fram till en vän på Irland. Hur ska annars din ISP veta att vissa länkar inte fungerar om ingen talar om det för dem? * Därför att om du vill bli en hacker, kan din kartläggning av dina blivande offer, ge dig värdefull information. Eftersom detta är en lektion i *laglig* hacking, skall vi inte hjälpa dig hitta vilken dator som kan vara bäst att installera ett snifferprogram i, eller hur du hittar vilka IP-adresser som är bäst när det gäller att snoka sig genom ett 'packet filter'. Vi skall däremot utforska några av de bästa verktyg som finns för att kartlägga outforskade områden på Internet. Du kan få tips även om du bara har tillgång till Windows95. Men för att till fullo tillgodogöra dig följande tips, bör du ha ett Unix-konto (Shell Account). Om du inte har detta, bör du ta kontakt med din ISP och be om ett, eller byta Internetleverantör så att du kan köra Unix-program. Du kan eventuellt hitta ett sådant konto om du kontaktar http://www.celestin.com/pocia/. ************************************************************************* Nybörjartips: Ett 'shell-konto' är ett konto hos en ISP som ger dig möjligheten att använda dig av ett Unix operativsystem via din egen pc som då fungerar som en egen terminal . "Shell" är programmet som översätter dina tangenttryckningar till Unix-kommandon. Om du är nybörjare, bör du använda Bash, som är ett av flera olika 'shell'. Du kan kontakta din ISP (Internet Service Provider), och höra om du kan få ett sådant konto, och att du då vill använda Bash. Ibland kan man välja vilken typ av skal man vill ha, bara genom att skriva skalets namn vid prompten(> bash). Om din Internetleverantör inte kan erbjuda dig ett 'shell-konto' - byt leverantör. En bra bok om hur man använder Bash shell är, "Learning the Bash Shell" av Cameron Newham och Bill Rosenblatt utgiven av O'Reilly. ************************************************************************* För att lära oss 'mappa' Internet, provar vi med att besöka Botswana. Botswana? Finns det överhuvudtaget med på Internet? Botswana är ett litet land i södra Afrika, berömt för boskapsskötsel, diamanter och rikt djurliv. Det officiella språket är engelska,så det bör inte vara några problem att kunna kontakta en dator där. Första steget att kolla upp om Botswana finns med på Internet, är att använda Unix-programmet Nslookup. ************************************************************************* Tips: Nslookup är ett av de kraftfullaste verkygen för att 'mappa' Internet. Om du vill lära dig mer hur du använder programmet - kolla in boken _DNS and BIND_, skriven av Paul Albitz och Cricket Liu, och utgiven av O'Reilly 1977. ************************************************************************* Först måste vi kolla var programmet gömmer sig. Andvänd kommandot whereis. Skriv: whereis nslookup Ibland kanske inte kommandot whereis funkar. Prova då med "find" istället. Alltså: find nslookup Ok. Förhoppningsvis hittar du programmet och i mitt fall ger jag kommandot: /usr/etc/nslookup Default Server: swcp.com Address: 198.59.115.2 > Dessa två rader och prompten ( > ) visar att min ISP kör programmet åt mig. Nu är vi i programmet så vi får komma ihåg att vi inte står i Bash-skalet längre. Nästa steg är att instruera programmet att tala om för oss vilka datorer som tillhör ett visst domännamn. >set type=ns Vi vill nu veta domännamnet för Botswana. För att göra det slår jag upp listan på topp-domännamn i boken _DNS and BIND_ . bw står för Botswana. Så jag skriver in detta vid prompten - kom ihåg att skriva en punkt efter domännamnet. >bw. Server: swcp.com Adress: 198.59.115.2 Non-authoritative answer: Detta svar visar att informationen har funnits här ett tag, så det finns en möjlighet att infon inte stämmer längre, men det är ändå osannolikt. bw nameserver = DAISY.EE.UND.AC.ZA bw nameserver = RAIN.PSG.COM bw nameserver = NS.UU.NET bw nameserver = HIPPO.RU.AC.ZA Authoritative answers can be found from: DAISY.EE.UND.AC.ZA inet address = 146.230.192.18 RAIN.PSG.COM inet address = 147.28.0.34 NS.UU.NET inet address = 137.39.1.3 HIPPO.RU.AC.ZA inet address = 146.231.128.1 Jag kollar upp domännamnet "za" och upptäcker att det står för Sydafrika. Det i sin tur säger att Botswana fortfarande inte har några egna namnservrar - de som listas finns i Sydafrika och USA. ************************************************************************* Nybörjartips: Namnservrar kallas de datorer som lagrar data om domännamn. Detta system ser till att det inte finns två datorer på Internet med samma adress. Dessa servrar lagrar också information om hur man hittar andra datorer. Dessa namnservrar "talar" med varandra och det tar oftast bara några sekunder för en namnserver att hitta fram till rätt dator och routen dit trots att det finns miljoner datorer på Internet. ************************************************************************* Dessa upplysningar visar att invånarna i Botswana får förlita sig på datorer i Syd Afrika för att koppla upp sig. Låt oss kolla upp lite mer om Syd Afrika. Eftersom vi fortfarande befinner oss i programmet Nslookup, ber vi programmet lista de namnservrar som finns i Syd Afrika: > za. Server: swcp.com Address: 198.59.115.2 Non-authoritative answer: za nameserver = DAISY.EE.UND.AC.za za nameserver = UCTHPX.UCT.AC.za za nameserver = HIPPO.RU.AC.za za nameserver = RAIN.PSG.COM za nameserver = MUNNARI.OZ.AU za nameserver = NS.EU.NET za nameserver = NS.UU.NET za nameserver = UUCP-GW-1.PA.DEC.COM za nameserver = APIES.FRD.AC.za Authoritative answers can be found from: DAISY.EE.UND.AC.za inet address = 146.230.192.18 UCTHPX.UCT.AC.za inet address = 137.158.128.1 HIPPO.RU.AC.za inet address = 146.231.128.1 RAIN.PSG.COM inet address = 147.28.0.34 MUNNARI.OZ.AU inet address = 128.250.22.2 MUNNARI.OZ.AU inet address = 128.250.1.21 NS.EU.NET inet address = 192.16.202.11 UUCP-GW-1.PA.DEC.COM inet address = 204.123.2.18 UUCP-GW-1.PA.DEC.COM inet address = 16.1.0.18 APIES.FRD.AC.za inet address = 137.214.8 ************************************************************************* Nybörjartips: Vad betyder inet adress = 137.214.80.1? Det är adressen till datorn APIES.FRD.AC utskriven i oktal form. Oktal kallas ett talsystem som bygger på basen 8 och inte på basen 10 som vårt decimala talsystem. Alla datorer på Internet har adresser angivna i denna oktala form - kallas även IP-adresser. ( Finns även hexadecimalt talsystem med basen 16). ************************************************************************* Aha! - Vissa av dessa datorer är belägna utanför Syd Afrika. Vi ser datorer i Australien (au) samt USA (com). Nu stänger vi programmet Nslookup med kommandot CTRL+D. Det är viktigt att du stänger programmet på det här sättet - inte ctrl+c. Härnäst tar vi en namnserver i Syd Afrika och frågar: ->whois HIPPO.RU.AC.ZA [No name] (HIPPO) Hostname: HIPPO.RU.AC.ZA Address: 146.231.128.1 System: SUN running SUNOS Domain Server Record last updated on 24-Feb-92. To see this host record with registered users, repeat the command with a star ('*') before the name; or, use '%' to show JUST the registered users. The InterNIC Registration Services Host contains ONLY Internet Information (Networks, ASN's, Domains, and POC's). Please use the whois server at nic.ddn.mil for MILNET Information. Cool! Det här talar om för oss vilken typ av dator det här är - en Sun och operativsystemet är Sun OS. Bara för att variera lite, använder jag den numeriska adressen till en av namnservrarna. Det är inte alltid att man får tillbaks datorna namn, men ibland funkar även det: ->whois 146.230.192.18 [No name] (DAISY1) Hostname: DAISY.EE.UND.AC.ZA Address: 146.230.192.18 System: HP-9000 running HP-UX Domain Server Record last updated on 14-Sep-94. Ok - allt som vi ser här är information om vilken namnserver som betjänar vilka datorer. Nu skall jag mappa routen direkt till datorn 146.230.192.18 med kommandot traceroute. ************************************************************************* Netiquette tips: Programmet Traceroute används för att testa nätverk - kapacitet och administration. Det bör användas huvudsakligen när något inte fungerar över nätet, som den gången jag inte kunde nå en vän på Norra Irland med epost. Programmet kan kraftigt belasta nätet om det används automatiserat via ett script. Om du använder Traceroute alltför mycket, kanske din ISP börjar undra. ************************************************************************* ************************************************************************* Gå-i-fängelse-varning: Om du har listat ut hur du kan använda Traceroute för att göra en attack, underrätta inte någon vad du håller på med om du tänker attackera servrar som betjänar känt folk som tex statsministern. Skriv inte ett sådant script och framför allt - använd det inte! Läs följande artikel först - http://www.pcworld.com/news/newsradio/meinel/index.html - visar hur en treåring kan använda Traceroute. Och om du torskar - ??? ************************************************************************* Jag ger kommandot: ->whereis traceroute traceroute: /usr/local/bin/traceroute OK, Nu är vi klara att göra en seriös mappning: ->/usr/local/bin/traceroute DAISY.EE.UND.AC.ZA Och svaret blir: traceroute to DAISY.EE.UND.AC.ZA (146.230.192.18), 30 hops max, 40 byte packets 1 sisko (198.59.115.1) 3 ms 4 ms 4 ms 2 glory-cyberport.nm.westnet.net (204.134.78.33) 47 ms 8 ms 4 ms 3 ENSS365.NM.ORG (129.121.1.3) 5 ms 10 ms 7 ms 4 h4-0.cnss116.Albuquerque.t3.ans.net (192.103.74.45) 17 ms 41 ms 28 ms 5 f2.t112-0.Albuquerque.t3.ans.net (140.222.112.221) 7 ms 6 ms 5 ms 6 h14.t16-0.Los-Angeles.t3.ans.net (140.223.17.9) 31 ms 39 ms 84 ms 7 h14.t8-0.San-Francisco.t3.ans.net (140.223.9.13) 67 ms 43 ms 68 ms 8 enss220.t3.ans.net (140.223.9.22) 73 ms 58 ms 54 ms 9 sl-mae-w-F0/0.sprintlink.net (198.32.136.11) 97 ms 319 ms 110 ms 10 sl-stk-1-H11/0-T3.sprintlink.net (144.228.10.109) 313 ms 479 ms 473 ms 11 sl-stk-2-F/T.sprintlink.net (198.67.6.2) 179 ms * * 12 sl-dc-7-H4/0-T3.sprintlink.net (144.228.10.106) 164 ms * 176 ms 13 sl-dc-7-F/T.sprintlink.net (198.67.0.1) 143 ms 129 ms 134 ms 14 gsl-dc-3-Fddi0/0.gsl.net (204.59.144.197) 135 ms 152 ms 130 ms 15 204.59.225.66 (204.59.225.66) 583 ms 545 ms 565 ms 16 * * * 17 e0.csir00.uni.net.za (155.232.249.1) 516 ms 436 ms 400 ms 18 s1.und00.uni.net.za (155.232.70.1) 424 ms 485 ms 492 ms 19 e0.und01.uni.net.za (155.232.190.2) 509 ms 530 ms 459 ms 20 s0.und02.uni.net.za (155.232.82.2) 650 ms * 548 ms 21 Gw-Uninet1.CC.und.ac.za (146.230.196.1) 881 ms 517 ms 478 ms 22 cisco-unp.und.ac.za (146.230.128.8) 498 ms 545 ms * 23 IN.ee.und.ac.za (146.230.192.18) 573 ms 585 ms 493 ms Så vad betyder allt det där? Siffran framför varje rad anger antal hopp som routen gör mellan olika datorer från din dator sett. Andra ordet i varje rad, anger namnet på den dator genom vilken routen passerar - först som text - sedan som dess IP-nummer. Siffrorna därefter anger tiden i millisekunder som det tar för varje av tre paket att passera en viss dator. När ett * skrivs, innebär det att tiden 3 sekunder, som är ett defaultvärde,har överskridits. Låt oss kolla lite närmare på hopp 16. Där fick vi ingen information alls. Tystnaden där kan bero på en bug som finns i 4.1, 4.2 eller 4.3 av BSD:s Unix. Om datorn kör en av dessa Unixsystem, skickas ingenting ut som svar. Det kan också bero på något annat. Jag vet inte säkert vad det kan vara för problem. ************************************************************************* Tips: Om du verkligen vill lära dig allt om Traceroute - skriv: man traceroute och du får upp manualen om Traceroute och dessa manualer är faktiskt roliga att läsa då de ofta är skrivna med glimten i ögat. ************************************************************************* ************************************************************************* Tips för er som saknar ett Unix-konto: Om du har Win95, kan du erhålla ett liknande resultat - inte att du åker i fängelse - att du kan mappa routen till en viss dator. I Win95 heter programmet Tracert och så här gör du för att använda det programmet: 1) Start din uppkoppling mot Internet och vänta till du är uppkopplad. 2) Klicka på Start-knappen - gå till Program 3) Klicka på Dos-ikonen - öppnar ett Dosfönster. 4) Ställ dig i Windows-katalogen tex C:\windows 5) Skriv - tracert och namnet på den dator du vill mappa vägen till, och tryck Enter - tex tracert 155.232.190.2 Du kan även använda namnet på en dator tex tracert rain.psg.com 6) Hav tålamod. Om du mappar upp vägen till en dator långt borta, kan det ta sin tid. Varje dator som passeras på vägen, måste leta upp nästa dator, som i sin tur måste leta fram nästa och så vidare. Så ibland kan det här ta lång tid, ungefär lika lång tid som du ibland får vänta innan du hittar en viss websida och innan den har laddats hem till din pc. 7) Om du tänker använda Win95:s tracert, bör du veta att erfarna hackare inte rekommenderar detta. Det är allt för lätt att spåra dig om du skulle göra nåt galet!!! ************************************************************************* Jaha - det här börjar bli intressant. Vi vet att Daisy är direkt uppkopplad mot åtminstone en dator och att den datorn i sin tur är kopplad till Cisco-unp.und.ac.za. Låt oss kolla upp lite mer om den datorn. Först och främst kan vi snabbt anta att datorn är en Cisco-router. Första hoppet här ovan är också till en Cisco-router. 85% av alla routrar är just cisco-maskiner så det är kanske inte så konstigt. Men vi vill inte bara veta att det är en Cisco-router. Vi vill också veta vilken typ av maskin det är och kanske lite annat smått och gott. Vi testar först: ->whois cisco-unp.und.ac.za No match for "CISCO-UNP.UND.AC.ZA". The InterNIC Registration Services Host contains ONLY Internet Information(Networks, ASN's, Domains, and POC's). Please use the whois server at nic.ddn.mil for MILNET Information. ? Traceroute talar om för oss att cisco-unp.und.ac.za existerar, men whois kan inte hitta den. Detta är faktiskt ett ganska vanligt problem, om du använder whois på datorer som ligger långt bort. Så vad gör vi då? Om du har tur, kan kommandot whereis gräva fram ett annat utmärkt verktyg åt dig på din ISP:s dator - Dig. ************************************************************************* Nybörjartips: Dig är en förkortning av Domain Information Groper. Det här programmet liknar Nslookup - kolla manualen för programmet (man dig) ************************************************************************* Jag upptäckte att jag kan köra Dig direkt vid prompten på mitt Unix-konto: ->dig CISCO-UNP.UND.AC.ZA ; <<>> DiG 2.0 <<>> CISCO-UNP.UND.AC.ZA ;; res options: init recurs defnam dnsrch ;; got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 6 ;; flags: qr aa rd ra; Ques: 1, Ans: 4, Auth: 5, Addit: 5 ;; QUESTIONS: ;; CISCO-UNP.UND.AC.ZA, type = A, class = IN ;; ANSWERS: CISCO-UNP.UND.AC.ZA. 86400 A 146.230.248.1 CISCO-UNP.UND.AC.ZA. 86400 A 146.230.12.1 CISCO-UNP.UND.AC.ZA. 86400 A 146.230.60.1 CISCO-UNP.UND.AC.ZA. 86400 A 146.230.128.8 ;; AUTHORITY RECORDS: und.ac.za. 86400 NS Eagle.und.ac.za. und.ac.za. 86400 NS Shrike.und.ac.za. und.ac.za. 86400 NS ucthpx.uct.ac.za. und.ac.za. 86400 NS hiPPo.ru.ac.za. und.ac.za. 86400 NS Rain.psg.com. ;; ADDITIONAL RECORDS: Eagle.und.ac.za. 86400 A 146.230.128.15 Shrike.und.ac.za. 86400 A 146.230.128.13 ucthpx.uct.ac.za. 86400 A 137.158.128.1 hiPPo.ru.ac.za. 86400 A 146.231.128.1 Rain.psg.com. 14400 A 147.28.0.34 ;; Total query time: 516 msec ;; FROM: llama to SERVER: default -- 198.59.115.2 ;; WHEN: Fri Jan 17 13:03:49 1997 ;; MSG SIZE sent: 37 rcvd: 305 Aha - trevligt! De första raderna, som börjar med ::, är programmets eget sätt att tala om defaultvärden och vad vi önskar att programmet skall göra. Raderna Ques, Ans, Auth och Addit med sina siffror, anger hur många svar du får om varje ämne - Questions, Answers, Authority och Additional Records. Dessa siffror varierar varje gång du använder kommandot beroende vilken typ av dator du kollar upp, och dessa värden finns lagrat under upplysningar om domännamnet. Vi lär oss genom Dig att class =IN är lika med CISCO-UNP.UND.AC.ZA, och att detta är ett domännamn på Internet. Men det visste vi redan. Det nya vi ser här, är att fyra routrar har samma domännamn. Vi kan se det på att alla fyra har olika IP-nummer. Men även det motsatta kan inträffa - att flera domännamn kan ha samma numeriska adress. Om du använder Dig-kommandot på varje länk som hör till DAISY.EE.UND.AX.ZA, hittar du en mängd variationer hur routrar är kopplade till varandra och till vilka domännamn. Som hacker, vill vi veta alla dessa variationer i domänsystemet och hur adresserna hör ihop med datorerna som namnges därifrån. Men vi kan lära oss än mer om Cisco-routern som heter CISCO-UNP.UND.AX.ZA om vi använder Nslookup och kör programmet interaktivt: ->/usr/etc/nslookup Default Server: swcp.com Address: 198.59.115.2 > Ok - vi testar något nytt med Nslookup. Det här är ett kommando som är nyttigt när vi är på jakt efter tex en barnporrsida. Så här fixar vi fram epost-adressen till system-administratören till en viss Internet-dator. >set type=soa Sedan skriver jag in namnet på den dator jag är nyfiken på. Observera att jag sätter en punkt efter namnet på datorn. Det är ofta bra att göra när man använder Nslookup. > CISCO-UNP.UND.AC.ZA. Server: swcp.com Address: 198.59.115.2 *** No start of authority zone information is available for CISCO-UNP.UND.AC.ZA. Vad gör jag nu? Ger upp? Nej, jag vill ju bli en hacker,eller hur? Så jag testar att bara skriva in en del av domännamnet och kommer ihåg punkten sist: > und.ac.za. Server: swcp.com Address: 198.59.115.2 und.ac.za origin = Eagle.und.ac.za mail addr = postmaster.und.ac.za serial=199610255, refresh=10800, retry=3600, expire=3000000, min=86400 Eagle.und.ac.za inet address = 146.230.128.15 Shrike.und.ac.za inet address = 146.230.128.13 ucthpx.uct.ac.za inet address = 137.158.128.1 hiPPo.ru.ac.za inet address = 146.231.128.1 Rain.psg.com inet address = 147.28.0.34 Bingo!! Jag fick fram epost-adressen till sysadmin på domänen som bland annat sköter Cisco-routern, OCH IP-adresserna till andra burkar som samma sysadmin, kontrollerar. Men vi är inte riktigt klara med cisco-unp.und.ac.za (146.230.128.8). Vi kan ju gissa oss till att det är en Cisco-router, men varför nöja oss med att gissa när vi kan port-surfa? Så vi fyrar upp Telnet och siktar in oss på port 2001: ->telnet 146.230.128.8 2001 Trying 146.230.128.8 ... Connected to 146.230.128.8. Escape character is '^]'. C **************************************************** *** Welcome to the University of Natal *** *** *** *** Model : Cisco 4500 with ATM and 8 BRI ports *** *** *** *** Dimension Data Durban - 031-838333 *** *** *** **************************************************** Nu fick vi fram att Cisco-routern är en model 4500 och att den ägs av Universitetet i Natal, och vi fick till och med fram ett telefonnummer till systemadministratören. Vi kan av detta dra slutsatsen att den här routerna också sköter ett lokalt nätverk som i sin tur inkluderar datorn Daisy. Men varför telnettade jag till port 2001? Denna port används i routrar av administratörer. Hur kan jag veta det? I RFC-listor (Request For Comments) kan du se vilka portar som används till vad och på vilken typ av datorer, eller som i det här fallet, en router. Kolla upp dessa RFC:s på adressen: http://ds2.internic.net/rfc/rfc1700.txt. Läs texten och lär dig allt om vart du skall portsurfa. ************************************************************************* Tips: Det finns en mängd portar som används av Cisco-routrar: cisco-fna 130/tcp cisco FNATIVE cisco-tna 131/tcp cisco TNATIVE cisco-sys 132/tcp cisco SYSMAINT licensedaemon 1986/tcp cisco license management tr-rsrb-p1 1987/tcp cisco RSRB Priority 1 port tr-rsrb-p2 1988/tcp cisco RSRB Priority 2 port tr-rsrb-p3 1989/tcp cisco RSRB Priority 3 port stun-p1 1990/tcp cisco STUN Priority 1 port stun-p2 1991/tcp cisco STUN Priority 2 port stun-p3 1992/tcp cisco STUN Priority 3 port snmp-tcp-port 1993/tcp cisco SNMP TCP port stun-port 1994/tcp cisco serial tunnel port perf-port 1995/tcp cisco perf port tr-rsrb-port 1996/tcp cisco Remote SRB port gdp-port 1997/tcp cisco Gateway Discovery Protocol x25-svc-port 1998/tcp cisco X.25 service (XOT) tcp-id-port 1999/tcp cisco identification port ************************************************************************* Men hur är det med den "vanliga" telnet-porten 23? Eftersom det är en slags defaultport som du alltid kommer till om du vill logga in, behöver du inte skriva portnumret efter värdnamnet: ->telnet 146.230.128.8 Trying 146.230.128.8 ... Connected to 146.230.128.8. Escape character is '^]'. C ************************************************************************ *** Welcome to the University of Natal *** *** *** *** Model : Cisco 4500 with ATM and 8 BRI ports *** *** *** *** Dimension Data Durban - 031-838333 *** *** *** ************************************************************************ User Access Verification Password: Hum! Det här var intressant.Inget användarnamn behövs - bara ett lösenord. Om jag vore sysadmin på den här datorn, skulle jag nog göra det lite svårare att logga in. Vad händer om jag testar att telnetta till "finger-porten" (nr 79) på den här datorn? ->telnet 146.230.128.8 79 Trying 146.230.128.8 ... Connected to 146.230.128.8. Escape character is '^]'. C ************************************************************************ *** Welcome to the University of Natal *** *** *** *** Model : Cisco 4500 with ATM and 8 BRI ports *** *** *** *** Dimension Data Durban - 031-838333 *** *** *** ************************************************************************ Line User Host(s) Idle Location * 2 vty 0 idle 0 kitsune.swcp.com BR0:2 Sync PPP 00:00:00 BR0:1 Sync PPP 00:00:00 BR1:2 Sync PPP 00:00:00 BR1:1 Sync PPP 00:00:00 BR2:2 Sync PPP 00:00:01 BR2:1 Sync PPP 00:00:00 BR5:1 Sync PPP 00:00:00 Connection closed by foreign host. Lägg märke till att finger listar kopplingen till den dator jag använder när jag telnettar - kitsune.swcp.com. Men ingen annan tycks vara uppkopplad just nu. Kom ihåg att om du portsurfar - om du inte vet hur du "gömmer" dig - kommer måldatorn att veta var du kommer ifrån. Men jag är naturligtvis en artig gäst!! Ok - låt oss testa det självklara. Låt oss telnetta till login-porten på Daisy. Jag använder IP-numret den här gången: ->telnet 146.230.192.18 Trying 146.230.192.18 ... Connected to 146.230.192.18. Escape character is '^]'. NetBSD/i386 (daisy.ee.und.ac.za) (ttyp0) login: Det här var intressant. Eftersom vi vet att det här är ett universitet, står ee antagligen för electrical engineering dvs en teknisk avdelning på universitetet. Och NetBSD är en freeware-variant av Unix, som kan köras på gamla maskiner typ 386:or. När jag har raggat fram den här infon, känns det nästan som om jag studerade vid det här universitetet och visste allt om deras datoravdelning. Låter som ett vänligt ställe. Att döma av routern, är säkerheten avslappnad och de använder billiga datorer, samt meddelandena man får därifrån, är vänliga. Vi testar finger för att kolla vilka som är påloggade. Eftersom jag står i telnetprogrammet, kan jag kontakta daisy med: telnet> open daisy.ee.und.ac.za 79 Trying 146.230.192.18 ... telnet: connect: Connection refused telnet> quit Jaha - det funkade inte. Så jag provar programmet finger från mitt shell-konto: ->finger @daisy.ee.und.ac.za [daisy.ee.und.ac.za] finger: daisy.ee.und.ac.za: Connection refused Suck! Det är svårt att hitta "finger-portar" som är öppna numer. Men å andra sidan är det god säkerhet att stänga just den porten. Damien Sorder påpekar att om du installerar Linux, finns fingerporten installerad. Varför ska jag stänga av den? Inte pga av hackare och annat löst folk som snokar, utan pga att allt för mycken information finns att hämta här, tex all information om användare och belastning på just den maskinen. Jag lyckades ragga upp lite mer information genom att söka på University of Natal i Altavista - http://www.altavista.digital.com. Jag hittar en länk till sidan http://www.frd.ac.za/uninet/sprint.html, som heter "Traffic on the Uninet-Sprintlink". Emellertid är alla länkar på den här sidan döda. Ok - vi testar hopp 20 som vi fick vid traceroute till University of Natal. Man kan räkna med att länkar till maskiner i mitten av en lång traceroute, är stordatorer som ägs av storbolag och som utgör Internets ryggrad. ->telnet 155.232.82.2 2001 Trying 155.232.82.2 ... Connected to 155.232.82.2. Escape character is '^]'. Id: und02 Authorised Users Only! ------------------------ User Access Verification Username: Jaha - nu har vi hamnat i en hårdare omgivning. Och eftersom port 2001 funkar, kan det vara en router. Men bara på skoj testar vi defaultporten 23: ->telnet 155.232.82.2 Trying 155.232.82.2 ... Connected to 155.232.82.2. Escape character is '^]'. Id: und02 Authorised Users Only! ------------------------ User Access Verification Username: Kanske den här "ryggradsdatorn" kan ge oss lite information om alla datorer som den är uppkopplad mot. Vi testar att telnetta till port 15 (netstat). Om den här porten funkar, kan den ge oss all info om datorer som är kopplade till den här datorn. ->telnet 155.232.82.2 15 rying 155.232.82.2 ... telnet: connect: Connection refused Suck! Jag gav ett exempel på all fantastisk information man kan få genom netstat men för varje dag som går, blir det svårare att få info den här vägen. Detta beror på all information som ges här och som kan vara nyttig för hackare. Port 15 (netstat) är heller inte längre defaultporten för netstat, så det är inte många system där den funkar. ************************************************************************* Nybörjartips: Vill du veta vilka portar som servern hos din ISP använder? Du kan kolla i filen /etc/services där alla portar anges och vilken funktion de har. Hur kan du läsa den filen? Testa det här: cd /etc more services Detta kommando skriver ut filen på din skärm. Använd '| more' för att få en sida i taget. # # @(#)services 1.16 90/01/03 SMI # # Network services, Internet style # This file is never consulted when the NIS are running # tcpmux 1/tcp # rfc-1078 echo 7/tcp ... och så vidare... Men kom ihåg att alla portar som listas här, inte behöver vara i drift. Och listan kommer inte att tala om exakt vad alla portar gör, tex routerporten 2001. ************************************************************************* Efter att ha testat att telnetta till netstatporten på ett dussin olika datorer, får jag inte fram mycket mer än "Connection refused" Hur är det med alla dessa Sprintlink routrar som vi fick fram med 'traceroute'? Sprintlink är ett system av routrar i USA som sköts av Sprint. Du kan få mer information om detta system på sidan http://sprintlink.net/HB21.html#2.2 Sprintlink brukade dela med sig av mer information tidigare så allt jag hittar på den här sidan är tämligen klent. Suck! Internet börjar bli mindre vänligt, men mer säkert. Om några år kommer vi att, med nostalgi, komma ihåg hur vi brukade portsurfa. Det brukade finnas tusentals portar som var öppna och man kunde logga in med snart sagt vilket lösenord som helst. Idag är det brandväggar överallt. Så gamla hackare får en tår i ögonvrån när de kommer ihåg dessa gyllene tider.