应用分析 - 蚂蚁网-多维人生，三实而立！

欢迎关注:1，欢迎关注本博客，你可点击右手边的【QQ邮件订阅】订阅本博客！2，本博客推出江湖救急计划，主要为工作中遇到疑难杂症的兄弟提供远程技术支持和分析，如有需要，请在江湖救急计划页面给我留言！

糟糕的业务网络行为

作者：易隐者发布于：2012-12-11 15:40 Tuesday 分类：网络分析

我之前在讲解业务应用分析评估时，重点分析业务应用的网络行为特征、业务基线、响应时间等内容。很多人认为：我的业务应用操作我们自己都是非常熟悉的，为什么还要这么复杂的来分析业务应用的网络行为呢？这是因为业务应用系统在开发的时候，由于各种原因，可能导致业务应用本身在交互的过程中，存在一些不合理的网络行为，进而影响业务运行的效率，造成网络资源的消耗和浪费。我们对业务应用系统进行网络交互行为的分析和评估，可以发现这些不合理的网络行为，帮助改进完善业务应用系统，提高业务应用交互的效率。

近日正好在Laura Chappell的网站上下载了一个应用异常网络行为的数据包文件，这是一个FTP登录交互的报文，其交互过程如下：

客户端与服务器三次握手建立TCP连接之后，服务器端应用响应：220 FTP Service ，此时客户端发出应用请求“USER FRED”，但我们可以清晰的看到其请求过程是：先将第一个字符发送过去，在收到服务器的确认之后，客户端再传输第二个字符，如此一个字符一个字符的传输。

在后续的客户端密码传输过程中，客户端的网络行为跟传输用户名的网络行为一样。如下图所示：

服务器与客户端之间几十毫秒的RTT往返时间，加上客户端本身动辄数百毫秒甚至几秒的延时，造成整个FTP登录过程持续近14秒，如下图所示：

我们再来一起看一个正常的FTP登录过程：

从这个FTP登录的过程我们可以清晰的看到，FTP客户端是将用户名、密码放在一个报文中一次性传送给服务器的。

一个最为常见的FTP应用，一个最为普通的登录操作，正常情况下，数秒内完成，但是由于这个FTP应用不合理的网络行为，共消耗了近14秒的时间。

什么是糟糕的应用网络行为？这个就是！为什么需要分析评估业务应用的网络行为特征，这个就是明证！

阅读全文>>

标签: FTP 行为特征网络行为应用分析 RTT 业务评估往返时间

评论(0) 引用(0) 浏览(6727)

【转】中科院《个人隐私泄露风险的技术研究报告V1.0》的部分内容

作者：易隐者发布于：2012-11-23 9:43 Friday 分类：案例讨论

【说在之前】：

1，早上看到新浪新闻《中科院报告：360产品存在三大隐私安全问题》，其中引用了中科院保密技术攻防重点实验室研究撰写的《个人隐私泄露风险的技术研究报告》的部分内容，通过分析可见任何应用产品，若非自行开发，均可能在后台执行各种非法的或非授权的操作，而这种隐形的操作行为很可能会给最终用户带来各种威胁；

2，这些后台的隐形行为不易为用户所察觉，但是利用网分析技术可以对这些隐形行为进行数据包级别的深入分析；

3，该报告分析的主要方式是通过网络分析的技术手段实现对360浏览器网络行为的分析，使用的工具看截图应该是wireshark，此报告作为利用网络分析技术对应用进行分析评估的一个案例，值得大家参考学习。

【原文链接】：http://tech.sina.com.cn/i/2012-11-23/08517825584.shtml

【原文】：

　　前言

　　随着国内外个人隐私泄露事件的频繁发生和对个人隐私保护的重视，人们越来越关注日常工作生活中计算机软件、移动终端以及高技术带来的个人隐私问题。中国科学院信息工程研究所保密技术攻防重点实验室对当前常用软件和终端产品的用户隐私保护情况进行了初步调查，通过实验研究发现了一些有关隐私保护存在的风险。本文主要从常用软件、网络服务、移动终端以及声光电磁等四个方面介绍了实验室的研究结果和发现。文中内容注重实例研究和数据再现，希望引起有关部门对个人隐私相关问题的关注。

　　本文得到了北京大学互联网安全技术北京市重点实验室的帮助。

　　1 终端常用软件与用户隐私保护

　　1.1网络浏览器

　　许多网络浏览器为了增强用户体验、提供个性化服务、发展定向广告业务等目的，通常会在后台收集用户的网页浏览记录等个人信息上传到服务器。然而许多收集用户个人信息的行为是在用户不知情的情况下进行的，或者所收集的信息超出了软件《安装许可协议》中进行了明确规定的范围。

　　实验室以360安全浏览器当前最新版本5.0为例，对浏览器的用户隐私泄露问题进行了分析和研究，网络浏览器中的隐私泄露威胁存在于以下几个方面：

　　1)预留后门，植入代码：一些浏览器在使用过程中会在用户不知情的情况下在后台执行《安装许可协议》规定内容之外的功能，360安全浏览器在运行过程中约每5分钟与服务端进行一次通信，并下载一个文件，如下图所示，下载的文件为se.360.cn/cloud/cset18.ini，但是从数据流可以看出该文件实际上是一个PE文件，文件头中标识的产品名称为DataDll。

图1-1

　　将该文件从数据流中提取出来得到一个dll文件，查看该文件的属性，得到其文件说明为“360安全浏览器安全网银”。

图1-2

　　从该文件中提取到一段Base64编码的文本信息：

W3N0XQ0KY291bnQ9Mg0KW3N0MV0NCmlkPTENCnVybD1odHRwOi8vd3d3LmJhaWR1LmNvbS9zZWFyY2gvc

mVzc2FmZS5odG1sKg0KW3N0Ml0NCmlkPTINCnVybD1odHRwOi8vdmVyaWZ5LmJhaWR1LmNvbS92Y29kZT8q

DQpbdHJheW1zZ10NCnN0YXRpY3NpZD0zMQ0KY291bnQgPSAxDQp1cmwxPWh0dHA6Ly93d3cuYmFpZHUuY2

9tL3NlYXJjaC9yZXNzYWZlLmh0bWwqDQpbbWFpbl0NCmhrcmVzMj0xDQpjYmM9MQ0KW2NiY10NCnVybGNvdW

50PTENCnVybDE9aHR0cDovL3d3dy5iYWlkdS5jb20vc2VhcmNoL3Jlc3NhZmUuaHRtbCoNCmNiY2NvdW50PTINC

mMxPUJBSURVSUQNCmMyPUJEVVNT

　　经过解码后的内容为：

　　[st]

　　count=2

　　[st1]

　　id=1

　　url=http://www.baidu.com/search/ressafe.html*

　　[st2]

　　id=2

　　url=http://verify.baidu.com/vcode?*

　　[traymsg]

　　staticsid=31

　　count = 1

　　url1=http://www.baidu.com/search/ressafe.html*

　　[main]

　　hkres2=1

　　cbc=1

　　[cbc]

　　urlcount=1

　　url1=http://www.baidu.com/search/ressafe.html*

　　cbccount=2

　　c1=BAIDUID

　　c2=BDUSS

　　由此可推测该DLL文件的功能与网银无任何关系，而是跟搜索引擎百度相关可能是为了躲避Referer字段的检查。这种行为虽然不涉及用户隐私，但是具有欺骗性。

　　此外，360安全浏览器还会在用户不知情的情况下定期从服务端下载和执行一个名为“ExtSmartWiz.dll”的动态链接库。如果该动态链接库被植入恶意功能或者不法分子利用域名劫持等方法对浏览器下载的“ExtSmartWiz.dll”文件进行恶意篡改，将会给用户安全带来严重危害。

　　2)收集用户浏览记录：很多浏览器会将用户所打开的页面地址上传到服务器，以分析用户的个人爱好或者统计网站的受欢迎度，从而在浏览器首页更好地为用户推荐个性化内容。这种行为也侵犯了用户的隐私数据。下图为当用户使用360安全浏览器5.0访问网页的时候，每打开一个网页之后都会向360的特定服务器发送一个POST请求，内容包含加密过的url信息。

图1-3

　　3)收集浏览器地址栏输入信息：当用户在浏览器地址栏中输入网址的时候，很多浏览器为了帮助用户自动补全网址，会把用户所输入的内容上传到服务器来。下图为当用户在360安全浏览器5.0的地址栏中输入“10.105.240.57”时，浏览器会将该地址发送到sug.so.360.cn，并且发送时附带的Cookie中会带有具有用户唯一性标志的guid值，这可能会导致特定用户的地址栏输入以及浏览记录被跟踪和泄漏。

图1-4

　　下图所示为当用户在360安全浏览器5.0的地址栏中输入“weibo.com”的过程中，每输入一个字符，浏览器就会向sug.so.360.cn发送当前浏览器地址栏中的内容(即“w”、“we”、“wei”、“weib”、“weibo”、“weibo。”、“weibo.c”、“weibo.co”、“weibo.com”)。