Давайте продолжать.
Меня зовут Константин Грищенко.
Я сегодня, опять, так получается, представлю компанию
Poster Technologies.
Почему-то так получается.
И расскажу вам про вот этот странный артефакт,
который изображен на титульном слайде.
При нем много где много лет описано, где он возникает.
Возникает во время атак злых хакеров, в случае, когда
они туннелируют подключение к RTP через какой-то туннель,
в некоторых случаях, часто это связано с утилитой
игрок, много где описано, но почему-то нигде не описано
природа этого, что это такое, почему он в таком странном
Ну, пару слов о себе.
В компании пользовательства я отвечаю за развитие технологий
в Сибирь и опережающем сайту в ПТХ.
Есть у нас такое подразделение.
На различных позициях в СОКе я более 5 лет, а всего в ППР
страшно подумать уже 23 года.
Немного младше, я тут посчитал, немного младше протокола IPv4,
сильно старше протокола IPv6, ну и был такой опыт в моей жизни,
однажды смог установить ВИГУ-95 с кучей дискеток, правда, со второго раза, но он, тем не менее, смог.
Вот некоторые из этих факторов, наверное, повлияли на то, что я решил это преследовать.
Примеры упоминаний вот этих атак, о которых многие защитники знают,
расследователи, специалисты, инцидент Респонса часто встречали, много где описаны.
Я не помню точных данных, вот здесь на слайде, там 22-й год, то есть довольно давно.
Как бы все известно, примеры каких-то иностранных и отечественных компаний,
которые в своих отчетах этот артефакт напоминают, и чаще всего либо явно напоминают,
или чуть ли не гандрок, либо просто говоря о протоколировании,
но встречаются вот такие тезисы.
Здесь я красить и выделю, не несет никакой информации
о подключившейся системе.
Ну, вроде как да, а что же несет?
Я читал эти заметки, и мне всегда казалось, что, наверное,
эти расследователи, которые тут все расследуют, они в курсе,
Ну просто это какая-то мелочь, о которой они не хотят рассказывать, поэтому ничего не пишут
Какой-то интерес во мне терпился до 2024 года, когда я однажды пошел на конференцию
Вот зачем ходить на конференции, да? Можно просто ходить зачем-то, можно задавать вопросы
На той конференции один из известных экспертов, одной из местных компаний, Олег Скуркин
Делал какой-то доклад на какое-то свое тело и в этом же докладе опять упомянул про атаки, известный, уделительный блок, вот этот артефакт.
А вот там где-то в зале, в темноте, не видно, но подписывал, там где-то сижу я со своими коллегами и решаю задать вопрос.
Все-таки вот лично спросить у одного из экспертов, а что это такое? Может быть это все-таки известно? И опять не получаю ответа.
получают ответ. Ответ был примерно такой, но это какой-то артефакт, непонятный, не знаю, не разбирались, неважно.
Для целей расследования, наверное, неважно. А мне стало интересно, и в ближайшие дни я спал примерно вот так,
как справа здесь во слайде нарисовано, вроде бы сплю, но при этом не дают мне почему-то покоя.
и само это число, и два двоеточия, и знак процента, и почему это все вместе собрано там,
где, казалось бы, по логике должен быть просто опять адрес.
Вот здесь на слайде скриншот событий журнала Аудита,
который описан во всех этих исследованиях,
что в случае, когда хакеры попадают на систему,
пробрасывают с помощью утилитет ГРО, обратно себе туннель,
а потом через этот туннель подключаются по EDP, журнале аузита, вот о ком вот внизу указано, да, Windows Terminal Services Remote Connection, Manager Operational, пишется событие с номером 1149, и у него в параметрах значениях три интересных поля, пользователь домен и адрес источника.
Пользователям дамет, все понятно, а вот адрес источника, ну, по логике должен быть адресом.
И во всех обычных нормальных событиях там обычно написан IP-адрес.
Привычный, известный IPv4 IP-адрес.
Того самого IPv4, которого я чуть-чуть младше.
Здесь то же самое событие справа для наглядности в исходном как бы XML-виде,
чтобы посмотреть, что там, ну, вдруг какое-то форматирование сбивается или что-то.
нет, действительно там в параметрах ровно такое значение 2.2% и вот это страшное число, не буду его называть на этот случай.
И тут хочется вспомнить, ну я решил поразбираться и напрячь, начало память, а может бывают IP-адреса записанные в таком виде.
Пошел, погуглил, почитал, вспомнил разную литературу,
вспомнил какие-то RFC, что-то нашел.
IP-адреса версии 4, ну что это такое, мы все с вами
знаем, я надеюсь.
Это просто число целых четырех байкеров, которые
используются как на лентификаторах на старых интернете или
в локальной сети.
Но при этом интересно, что это число может быть
записано в разном виде, в виде строки, в виде привычной
нам десятичной, каждый парт отдельно в десятичном
виде через строчку, можно писать в восьмеричном виде,
можно писать в шестнадцатиричном виде, можно миксовать,
и даже можно писать это число просто как большое
целое число, и иногда это работает.
Это работает, потому что где-то под капотом используется
библиотека, функция AtomEd, которая все это умеет конвертить.
Ну, я на это все посмотрел, интересно, но не похоже на
то, что я видел в блоге.
Ну, возможно, похоже вот это большое целое число,
но все равно не оно.
А еще бывает о версии 6.
Там интереснее, там 16 байт, 128 бит, записывается
обычно, когда пишется в виде текста в виде 16-ти ручных
цифр, разделяются двоеточиями, нули, которые тут подряд можно
сокращать, и тогда получается два двоеточия.
И даже есть вот такая интересная запись, я нашел где-то
когда-то в интернете.
Почему-то в некоторых случаях в командлайне, особенно
в Windows, нельзя использовать двоеточия.
А как же тогда указывать эти адреса?
Но вот компания Microsoft решили проблему вот таким способом.
Они придумали доменное имя, как быть домен, IPv6.difins.literal.net.
А если перед ним записать IPv6 адрес, но вместо двойточа расставить знаки минус, то все будет работать.
Причем никаких резонов никуда не уходит, это где-то как-то резонится.
То есть это по сути же как бы FQD, но только не настоящий.
и он результется где-то внутри какой-то библиотеки на кроссовке.
Но опять, что-то не хватает.
Два твяточей есть, знака процента нет.
Большое число я нашел, но в IPV4.
Два твяточей я нашел, но вот здесь не хватает процента.
Пойдем, искай дальше, сказал сам себе.
И почитал еще чуть-чуть RFC в поисках какой-нибудь записи,
в которой встречаются проценты.
Проценты встречаются в так называемый, не знаю, смогу ли это произнести, скоблитерал IPv6-адрес.
Грубо говоря, по-русски, как я это понял, это такой способ на локальной системе явно указать, к какому интерфейсу относится IPv6.
Ну, процент 3, да, там, третий интерфейс, или процент китаж 2, ну, понятно, интерфейс китаж 2.
Но эта штука обычно используется, имеет смысл только в пределах одной конкретно локальной системы.
И в сумме опять я смотрю, ну это по отдельности все есть, и квадратные тучи где-то встречаются, и проценты где-то встречаются, и большие числа где-то встречаются.
Но явно в таком виде ничего похожего нет, на первый взгляд.
Но на самом деле, если приглядеться, кое-что похожее есть.
Что это за число конкретное?
Во всех тех атаках, которые описаны, встречалось конкретно вот это число, а не какое-то другое.
Тут, наверное, многие из вас уже по дороге догадались или вспомнили, или быстро почитали на калькуляторе.
Я тоже почитал.
Если представить 16-ти личный вид, получается вот такое большое число.
Я наставил пробитчики, чтобы его топливо читать.
Ну и по сути это в твоей части 1 единицы и много нулей.
На что это наводит, на какую мысль?
Вот есть такие вышеиста адрес, которые соответствуют лома лохосту самому себе.
Это тоже 1 единица и много нулей.
Много выглядит чуть по-другому, да, единица в другом месте.
Все 2 точи можно убрать, сократить, получается 2 2 точи 1.
А вот в этом числе нельзя, получится какая-то ерунда, тут не получается.
Но что-то похожее. И вот тут у меня стала вырисовываться гипотеза, что на самом деле вот это страшное число 2.0% это какая-то почему-то ошибочная форма занятий localhost.
И по сути эта гипотеза, ну как бы триллиальна, потому что она логична, потому что подключение то самое хакерское по ЛДП через тунны, оно по сути и происходит с локал хаста на саму же машину, да, то есть какое-то клиентское туо локально подключается к службе удаленных рабочих столов.
Я, конечно же, таким формальным языком не думал, но потом, когда готовил презентацию, я кратко формализовал свой исследовательский опыт в виде такой гипотезы
Прежде чем пойти эту гипотезу проверять, я ее чуть-чуть еще в голове уточнил
Везде описана вот эта константа вместе с утилитой игрок
И как вам мне проверить? Я могу предположить, что игрок как-то с этим связан и пойти как-то изучать.
Наверное, взять игрок, проводить какие-то эксперименты, например, сковырять игрок, посмотреть, почему он так делает.
Вдруг он так делает специально, как-то, но вряд ли, но может быть.
А можно другую гипотезу выделить, что игрок не виноват, а все делаем в самом туннеле.
Я решил, что вторую гипотезу мне проверить проще.
Ну почему я так решил?
В момент заняться с игроком были какие-то сложности
Что-то он то ли перестал в России работать, то ли деньги искал брать, я уже забыл
Кроме игрока есть какие-то еще унтилитты, но в итоге в целом мне показалось проще стараться и по-хранению
И теперь ее можно сформулировать так
Вот это число в логике это странная форма записи localhostого IPv6 адреса 2.1
которая возникает вот эта странность.
Не из-за игрок, а из-за чего-то другого.
Как проверять? Ну, легко.
Надо что-то взять и провести эксперимент.
Наверное, кажется легко, да?
Значит, что взять?
Где-то тут я собирался ставить ссылку, но похоже, забыл.
А, нет, вот она, внизу.
Внизу ссылочка.
Это какой-то наобумный ресурс на GitHub,
где собраны какие-то известные утилиты для туннелирования.
Название «Rosson Tunnelin».
Там этих утилит туннелирования, ну, несколько десятков.
С ними со всеми как-то разбираться, какие удобные, какие-то подкопки не подходят, я не стал, а вспомнил про SSH, который с недалних пор и Windows тоже в умолчании есть, и подумал, что зачем что-то мне городить, ведь за цель эксперимента неважно.
Поэтому, значит, простой совершенно слева ноутбук, с которого я подключаюсь, как будто бы хакер, справа специальный сервер, на котором я буду подключаться по ЛТП через туннель и смотреть, что у меня запишут в лог, между ними я прокидываю SSH.
вы мне, конечно, можете сказать, что хакеры-то прокидывали СССР, ну, справа налево, взломав правый компьютер, да,
а я прокидываю мне так проще слева направо, но для цель эксперимента это не важно.
Мы же знаем, да, что когда TCP соединение установлено, уже не важно, кто был инициатор, кто жертва, да,
соединения уже есть, да, то и обе стороны передаются, и параметры, да,
порт слева, это тот порт, который будет открыт у меня на машине,
порт справа это тот порт, куда я хочу пробросить свое подключение
два третучия, один в квадратных ступочках
ну, чтобы отличать, где здесь порты, а где здесь IP-адреса
такая форма записи тоже с интересом я узнал, когда начал интересоваться IP-вышитель
подключаюсь и обнаруживаю, что все хорошо работает
SSH отличная утилита
утилита нетстат, например, проверяю, убеждаюсь, что у меня все подключено
Это не два соединения, это одно и то же соединение с двух сторон
Два процесса работают, а тут друг в лоб подключился
И у одного процесса есть соединение, у другого процесса есть
Можно проводить исследование
Как проводить исследование?
Ну вот я подключился, я пропускаю слайд, я пошел в лоб и убедился, что проблемное значение пишется
Я могу воспроизводить всю эту штуку
Что делать? Надо разбираться, кто же сгенерировал неправильные данные в какой момент
Ну, надо взять какой-то тлачек или взять какой-то бинарный модуль, какой-то дезасцемблер,
зарыться туда и исследовать.
А можно пойти чуть-чуть другим путем.
Опять же, решил я.
Я знал про такую старую, но не бесполезную, как говорил герой нового фильма,
Old, Баткнот Абсолид, утилиту под названием Абиба не только.
Утилита тоже старая, но в 2013 год это ее последняя актуальная версия.
она больше не обновлялась, или я не нашел обновлений, версия 2.0.α,
но она до сих пор отлично работает.
Утилита позволяет перехватывать API-вызовы и смотреть, что попало на вход,
что получилось на выходе.
Очень удобно, когда вы примерно что-то понимаете,
но не хотите от латчиков лезть неизвестно куда,
или не умеете, или забыли, как это делается.
Ну, как в моем случае, я очень много лет этим не занимался.
и трудно вспоминать.
Но встает вопрос в следующий.
Хорошо, возьмем API-монитор.
Что мониторить? Процессов-то много.
За что браться?
Надо найти какой-то процесс, который во всем этом участвует.
Опять же, вариантов несколько, но там был скриншот раньше,
у телеканал нетстар, и в принципе, добавить один ключик,
и процессы видят, и можно понять, что отлаживать.
Другой способ, который более наглядный, поэтому я что-то привел замечательный утилит процесс эксплуатации пакета утилит Марка Русиновича, а может уже она и не Марка Русиновича, сессинтерненс в общем.
При должном умении с помощью этой утилиты можно найти нужный процесс.
Достаточно вспомнить, что служба управления, подключение к службе рабочих столов, да, это терминал сервисов на самом деле или что-то такое.
Можно вспомнить, что можно посмотреть по онлайне у процессов, вывести этот столбик, вспомнить, что большинство майкрософтских сервисов живет на самом деле внутри процесса SVC Host,
которые только на первый взгляд кажутся одинаковыми, а внутри них живет разное.
Можно посмотреть открытые порты, найти тот процесс, у которого открыт нужный порт, перегистрироваться везде.
В общем, с разных сторон можно поискать процессы, в которых подгружено много всяких библиотек с названиями RDP.
Ну вот с разных сторон я посмотрел, нашел тот самый процесс и пошел проводить эксперименты.
Эксперимент. Подключаю к нужному процессу, включаю, мониторить.
Но не все эти вызовы, но все эти вызовы, связанные со сетевыми функциями.
Смотрю внимательно, нахожу какую-то функцию под названием
GetNameInfoW, на которой на выходе что-то похожее на структуру с ОКД,
который содержит IP-адрес, в том числе. На выходе вот стрелочкой показано,
Два раза, но и то же, просто увеличено.
Какой-то IP-адрес.
В данном эксперименте я подключался с помощью IPv4,
просто чтобы проверить, как вообще все работает,
все работает для IPv4 не то.
Вот все, я нашел примерно место, в котором что-то похожее происходит.
И этот же самый IP-адрес я увидел в логе, провожу эксперименты дальше.
Беру IPv6, здесь, видно, плохо, поэтому второй слайд увеличен с тем же самым.
подключаюсь через туннель, в общем, весь тот самый эксперимент провожу
и вижу ровно то, что и я хотел найти
при CallWebю, это значение на входе
здесь на слайде не видно, дальше будет чуть понятней
но там содержится по смыслу структура, окрестующая API на 6 адреса клиента
ну там должен быть Localhost API на 6 адреса
А на выходе после Google WebView буфер, в котором должна оказаться строка.
Вот то самое сломанное и испорченное значение.
Значит, я примерно нашел место, где проблема проявляется.
И можно копать дальше.
Пару слов о вот этой функции. Что за функция? Так классно.
Мне всегда нравилось вариацией облаживать процессы Microsoft,
каких-то продуктов, а не какие-то другие.
потому что у них есть документация, она в целом хорошая.
GetNameInfoW, вот такая функция, у нее есть какие-то параметры.
Флаги описывают поведение. Вообще эта функция может много чего разного,
и предназначена она, например, для того, чтобы из IP-адреса, ну, в виде числа в виде IP-адреса,
получить, например, hostName.
Но с флагом, не знаю, но мере хост, она генерирует строковое представление IP-5.
Не хост-мег.
Ну, собственно, то, в чем я и пытаюсь разобраться.
Странная строковая представительница.
И в своих экспериментах я встречал в двух видах.
Ну, два вида отличаются, здесь немножко гребит на экране,
вторым параметром, размер структуры.
В одном случае 28 байт, в другом случае 16.
Ну, несложно догадаться, когда IPv4 там 16, когда IPv6 там 28.
Возможно, эти факты нам дальше понадобятся.
И что за структура на входе?
Вот со структурой сотнада рынка, видимо, так звезды сложились давно, когда придумывали весь этот сетевой стэк в разных операционных системах.
некоторые запыхатели говорят что у других производителей своровали там сети ОСК
а другие горячки просто так же написали, так совпало
много где используются структурки которые пытаются однотипно описать разное
и используют разные трюки языка Си, чтобы ссылаться на память по-разному
И здесь встречается структура SoCADR, которая потом указатель, ее может приводиться к типу указатель на SoCADR-in для IP-адресов версии 4, либо к типу SoCADR-in для IP-адресов версии 6.
Вот здесь я их зачем-то нарисовал, ну, например, вы можете быстро посчитать, кто способен в это время суток
Размер структуры, то у вас получится, что там 16, а здесь 28
Ровно как было на предыдущем слайде
Ну и дальше я певаю пи-монитор, запускаю
Несколько слайдов назад, там был маленький спойлер
здесь я его убрал
и что я вижу?
я вижу результат эксперимента
показывает, что
испорченное значение в куфер записалось
вот здесь
красненьким испорченное значение
на слайде видно
а когда я хочу подробно посмотреть
содержимое памяти, чтобы понять
ну что там у меня куда съехало
где что испортилось
я ничего не вижу, я вижу 17
и много нулей
Где хотя бы одна единица?
Одна единица должна быть.
Может быть у кого-то в зале есть ответный вопрос?
Попробуй добавить чуть-чуть интерактива.
Кстати, герои на этом слайде тоже примерно того же возраста,
что и протокол.
Возьмите фильм, из которого этот герой примерно того
же возраста, что и протокол IPv6.
С удивлением узнал я, когда готовился к этому.
Ну нет вариантов, но ответ несложный
Значит, смотрите, автор утилиты API-монитора
Он же как утилиту написал?
Он написал некую утилиту, и к ней еще кучу конфигурационных файлов, которые все эти API-структуры описывают
В нем в описании не было учтено, что данных может быть больше
То есть он учел всякие разные штуки, что, например, 17 это признак, который описывает тип AF, подчеркивание, и нет 6
То есть он, в принципе, про IPv6 что-то знал
Но при этом, что надо заложить здесь побольше данных для отображения 28 байт, а не всего лишь 16
Он не сделал
Но оказалось, что он сделал самое, не то чтобы главное, а важное
Его утилита не прибита гвоздями, и несмотря на то, что она сделана в 2013 году, она до сих пор работает.
Это первый плюс и второй плюс. Все описания лежат в файликах, их можно редактировать.
Вот описание структуры SoGatorIn, где написано, что в определенном поле имеет тип чар 14,
2 байта под тип, а потом 14 байта под все остальное.
А вот так, в двух местах, с первого раза у меня не получилось, но там хороший и отдаточный лоб, и я понял, в чем ошибка.
В двух местах надо подправить, я думаю здесь понятно, и тип, да, слева исходная, справа исправленная версия.
Нужно добавить свой как бы тип с названием чар 30 и длину этого типа 30.
30.
Ставить и все будет.
Повторяю эксперимент. Уже отображаются все нужные данные и здесь отлично видно, я здесь стрелочками показал, что куда и почему.
И в итоге, я сейчас немножко время начинает сжимать, поэтому сокращаю. Красненькими стрелочками и черточками я отобразил связь всех полей в структуре с данными в памяти.
И теперь хорошо видно, что вот эта самая последняя единица, которая действительно есть, уехала в поле, которое отвечает за хранение того самого Sculpe IT, то есть локального нормального интерфейса.
И выехала из-за 5 адреса.
Пока непонятно почему, но гипотеза подтверждается, что ты куда-то съехала, дабы только уточнить в каком месте.
Адрес localhost содержит всего одну единицу, поэтому
не очень понятно, что именно съехало, какой байт съехал
там.
Начиная с середины или начиная с самого первого байта, или
один последний байт.
Поэтому проводим еще один эксперимент, берем какой-нибудь
интервайль, найдем вашести адрес, подключаемся, смотрим,
что получилось и убеждаемся, что снижает, ну видно наглядно,
снижает весь этот адрес.
Вначале появляется 4 лишних байта, в конце появляется
какое-то странное число.
Логика понятна,
можно легко проверить,
что это за число и как вернуть обратно.
Здесь мы стрелки предумеваем,
1, 2, 3, 4. Берем вот это число,
берем калькулятор, переводим 16-ти
переставляем все в обратном порядке байт и видим ровно те цифры в IPv6 адресе.
Где проявляется проблема? Проблема проявляется в событии 1149, с которого я начал,
еще раз, минимум, в двух событиях 4778 и 4779 про подключение и отключение сессии РДП.
Все идет аналогичным образом. А может быть, я уже в интернете описано, спросил я себя,
и оказалось, что нет, я не нашел описание такой проблемы,
но нашел описание похожей.
Это примерно времен 2008 года, переход с РТП-7 на РТП-8,
и, значит, проблема у человека была, он заметил неправильное
адреса в саблении 46-24, и обычно известные нам саблению
о донтификации, а ответ был такой, мы разобрались,
причина в том, что мы поменяли немножечко стек,
появилась структура, запомните,
VPS, SoCADR
и из-за несогласованности
что-то как поехало. Но мы все починили,
написано здесь. Оказалось, что
починили, но не все.
Теперь надо немного по дебажам, тут я
совсем буду ускоряться. Значит,
примерно понятно, что дебажает,
но дальше некоторые сложности, и как я с ним боролся.
Если Саша удобно, но не всегда
арендовать можно быстро
какую-нибудь виртуалку с новой версией Windows,
чтобы на разных версиях протестировали,
Но не хочется долго оборочиться, програсывать порты, разрешать SSH, чтобы там возиться
Можно арендовать рядом две виртуалки, это в два раза дороже и опять возиться
А можно взять, например, утилиту из того списка DevTunnels от самой компании Microsoft
Она почти такая же удобная, как и урок, а может быть даже и лучше
И с ней классно работает
Мы на одном хосте подключаем маппинг, на другом хосте, этим же DevTunnels подключаемся к туннелю
Порты проброшены, можно работать
Вторая проблема. Отлаживать прикольно, удобно, здорово, но когда ты отлаживаешь что-то, подключение по РДП, ты можешь застрять текстуру.
Вот на первой картинке состояние до, слева клиент, еще не подключился, но хочет. Справа рабочая станция, он будет подключаться.
Ниже состояние после. Он подключился, у него десктоп слева, справа окошко для ввода пароля.
А вот если станет точка остановок, то в момент подключения все встанет на паузу и вы окажете здесь нигде.
Вы не сможете отлаживать.
Проблема не проблема.
Возьмите сервер, поднимите нормальный терминальный сервер, где можно несколько мультисессий, но неохота возиться.
Второй вариант.
Девтунов может проброс сразу несколько портов, а многие отладчики, в том числе Мир Николаевич Кюримов, отладчик, могут отлаживать удаленно по TCP.
Пробрасываем код для отладчика, отлаживаем через него и в текстурке не застреваем.
Неочевидные сложности последний слайд.
Отлаживать винтовые пенали удобно, легко, классно.
Там нормальный код, там нет опускации.
Там есть символы и это плюс.
Но кода много и для меня минус.
Порально, ну потому что не знаешь, за что хвататься.
РТП это же большое, где там, не сказать.
Но плюс, с помощью лабьего монитора я примерно знаю место, где проблема точно проявляется.
Надо только чуть назад отмотать и найти, где она возникает.
А в Intel архитектуре есть удобная штука, но наверняка во всех других тоже.
Это аппаратные брэкпоинты, которые позволяют ставить точке стол, но только на код, но и на обращение к памяти.
Поэтому во время отладки я просто вижу проблемное место
Ставлю брэкпоинт на память
Еще раз отлаживаю, смотрю
Кто обращается к этой памяти раньше
И таким образом за несколько операций
Я нашел проблемное место
Ну, оно на самом деле в двух местах
Начало здесь
Библиотека РТП КОРАТС
Метод на складе написан
Кусок КОРА за тех, кто знаком с Семблером
Кусок картинка для тех, кто смотрит на картинки
И ничего не понимает
Вот здесь 128-битный регистр, там IP-адрес, вот сюда он копируется.
Чуть выше по коду, заполняется значение 17, это признак структуры АЭФ-6.
Видно разницу, 12 байт, запомним это, я почти уже закончил.
А та самая структура высокоадр, которая уже возникала, в другом модуле выглядит вот так.
В этой структуре есть 4 лишних байта, а то для выравнивания.
И в итоге получается один модуль, как там было написано, заполняется смещением 12, хотя должно быть 8.
а другой модуль читает эти данные со скрещением 8.
То есть одни и те же данные интерпретируются вот так наглядно.
Я не знаю, наглядно вам или нет, мне наглядно.
Здесь одни и те же данные нарисованы два раза.
Сверху, вот в этом слайде, 17, но на 0, 1, и покрашены так,
как эти данные интерпретируют первый модуль, который заполняют эти данные в памяти.
А снизу, как интерпретировать второй модуль, и из-за разного патентного равнования в разных структурах, которые должны описывать одно и то же в разных модулях, получается ошибка.
А в каких версиях ошибка? Ну, я тестировал вот на этих версиях год назад, примерно в это время.
И мой опыт позволяет мне сказать о том, что, скорее всего, подвержены этой проблемой все версии, начиная с Windows 8 и Windows 7 в 2012.
Конечно, я все не протестировал, но те, которые протестировал, и то сообщение в интернете о 2008-2009 года или 2010-го говорит об этом.
Но при этом вот этот персонаж Питер Гриффин позволяет задать вопрос, а неужели всем все равно?
Ну, видимо, да, потому что, скорее всего, никто не пользуется всерьез IPv6-адресом в реальной работе.
И никто всерьез не читает блоги, кроме случаев, когда уже всех поломали, а там уже придут ребята из Дефир, все расследуют, а открыли, и значение всего очень-то и важно.
Конечно, мы зарепортили с коллегами это дело, мне мои коллеги помогли на красоте
Но так как здесь уязвимости нет, а просто сообщение об ошибке
Нам ответили так, что, ну, примерно, спасибо, мы учтем
Мы когда-нибудь это вам отдадим людям, они разберутся, они поправят
Целые дни, какой нет, баунтинг, какой нет, об этой дни, баунтинг не дадим
Мы вам ничего не ответим
Ну и до сих пор ничего не ответили, но я провел какой-то эксперимент
Буквально на днях
Судя по всему, проблема уже исправлена
Вот здесь маленькое сообщение, да, есть такие же люди с проблемами, вот что-то на китайском, 2024 год, кто-то спросил, а почему там лорус, там неправильно опять ли сопричатся на форуме Ask, на Microsoft, какие-то Ask questions.
Ну многие знают, какого качества там ответы
Первый ответ там вообще ни о чем
Второй ответ через два года
Буквально на днях, в воздействии этого время
Да, чувак, там есть проблема
Тебе надо вот так пересчитать, на как бы адрес
Все будет хорошо, я сейчас буду писать баг-репорт
Ну вот будет теперь два баг-репорта
Наш и еще один
Значит, я проверил на актуальных версиях
Windows 10 уже не поддерживается
Я не уверен, что я взял самую последнюю
Но я постарался накатить все обновления
Ошибка до сих пор есть
Windows 11
Вот такой версии не самая новая ошибка есть
Это же релиз
Более свежий пилд
Со всеми обновлениями на середину мая
Ошибки уже нет
Свежий Windows 11 этого года
Ошибки нет
Можно сделать предположение, что все поправили
Ну и вот скриншот
Сегодня утром
Юпор СТ
2.2.1
На поправленной версии
Итоги
ошибка есть, но эта ошибка
витус, с ингрок не связана
не согласован на промоку данных
на расследование не влияет
ошибочное значение
из логов, если вам нужно
можно восстановить данные
не безвозвратно
портятся и вот формула для пересчета
у меня все, спасибо за внимание
давайте вопрос
спасибо, мы немножко вылезли
без расписания, но поскольку у нас все маленькое,
куларное, можно давить до трачка и задавать ему вопросы
непосредственно по человеку.