openwrt上使用p0f远程OS版本探测

openwrt上使用p0f远程OS版本探测

openwrt

p0f

p0f v3介绍

p0f是利用一组复杂的被动流量指纹识别机制来监听任何偶然的TCP/IP通信(通常只有一个正常的SYN)不以任何方式干扰正常通讯。版本3是一个完整的重写的代码库,合并了大量的网络层指纹识别的改进,并引入分析应用层载荷(如HTTP)的能力。
它有如下特性：

• 可快速识别TCP链接两端的OS系统型号
• 测量系统的uptime， network hookup, distance（包含NAT后的拓扑或包过滤),用户语言等
• 自动探测NAT，负载均衡和应用层代理配置
• 探测客户端和服务器端伪造的声明，比如X-Mailer或User-Agent
• 提供了前台执行和后台daemon模式，提供了简单的实时API给第三方模块获取额外信息

输出例子

.-[ 1.2.3.4/1524 -> 4.3.2.1/80 (syn) ]-
|
| client   = 1.2.3.4
| os       = Windows XP
| dist     = 8
| params   = none
| raw_sig  = 4:120+8:0:1452:65535,0:mss,nop,nop,sok:df,id+:0
|
`----

.-[ 1.2.3.4/1524 -> 4.3.2.1/80 (mtu) ]-
|
| client   = 1.2.3.4
| link     = DSL
| raw_mtu  = 1492
|
`----

.-[ 1.2.3.4/1524 -> 4.3.2.1/80 (uptime) ]-
|
| client   = 1.2.3.4
| uptime   = 0 days 11 hrs 16 min (modulo 198 days)
| raw_freq = 250.00 Hz
|
|
`----

.-[ 1.2.3.4/1524 -> 4.3.2.1/80 (http request) ]-
|
| client   = 1.2.3.4/1524
| app      = Firefox 5.x or newer
| lang     = English
| params   = none
| raw_sig  = 1:Host,User-Agent,Accept=[text/html,application/xhtml+xml...
|
`----

p0f关心连接中的那些数据

1. TCP SYN签名(谁正在链接我？)
2. TCP SYNC+ACK签名（我正在链接谁？）
3. HTTP request签名
4. HTTP response签名

参考

p0f v3

---

nicephil@gmail.com – 2018-1-4

转载于:https://www.cnblogs.com/nicephil/p/8241957.html