XakepRU Mar 24 2015 at 10:46

Снифаем выходную ноду Tor’а и анализируем получившийся контент

12 min

93K

Журнал Хакер corporate blog Information Security *Big Data *

+33

Comments 12

amarao Mar 24 2015 at 13:00

Ничего не понял. Каким образом exit node может видеть onion-адреса сайтов? Последний уровень шифрования снимается на ноде-хостере сайта, и всем промежуточным нодам не доступен. exit node вообще даёт доступ в интернеты, а не в darknet, так что с какой стати она должна видеть onion URL'ы — не понятно.

Поясните, каким образом у вас в exit-трафике начали появляться onion-сайты. Спасибо.

spuf Mar 24 2015 at 13:09

Данные находятся в заголовке запроса Referer, который может содержать URL источника запроса.

amarao Mar 24 2015 at 13:14

Ага, понятно. Просто на скриншоте вы показываете дамп http-сессии, в которой посылается имя onion-ресурса в самом запросе (GET /...), и это-то и смутило.

Вы бы получше часть, связанную с referr'ами описали, а то у многих вопросы.

ЗЫ Писать гигазы трафика не нужно, достаточно только собирать ref'ы, tshark умеет.

spuf Mar 24 2015 at 18:01

Я не автор.
Видимо во всех заголовках запроса ищутся подстроки .onion доменов.
Логично, что таким методом не отследить интересных ресурсов, которые заботятся об анонимности пользователей.

ЗЫ Видимо автор очень хотел добавить в статью, столь модное сейчас, словосочетание «Big Data».

makrushin Mar 27 2015 at 12:22

Интересно то, что некоторые .onion-ресурсы содержались не только в заголовках referrer, но и в других частях пакета, поэтому, чтобы ничего не упустить, лучше записывать полный дамп HTTP-сессии. Возможно, лучше ограничить набор портов для exit-ноды, чтобы сократить размер дампов.

ivan386 Mar 24 2015 at 16:14

Так можно отследить только сайты на которых есть ссылки на внешние ресурсы.

sockeye Mar 24 2015 at 13:40

del

ivan386 Mar 24 2015 at 13:01

а каким образом на выходной ноде оказался внутренний ресурс тора.

akirsanov Mar 24 2015 at 18:51

Я так понимаю, что когда на внутреннем .onion ресурсе размещена какая то ссылка, например на amazon.com, то по клику идет запрос на интернет ресурс amazon.com через одну из выходных нод, и в реферере оказывается ссылка на .onion страницу, откуда был инициирован клик.

Klukonin Mar 26 2015 at 15:38

А где список ресурсов даркнета, упомянутый в статье?

Libert Mar 26 2015 at 16:05

skunksworkedp2cg.onion/ — вот список ресурсов, можно искать по языку страниц
ahmia.fi/search/ — вот поисковик по даркнету удобный

1eqinfinity Mar 27 2015 at 10:05

Я понимаю, что большая часть статьи — техническая, однако ну зачем ви тгавите? Опять бомбы, Украина, вещества, порнуха, уклон в преступные намерения. А можно высматривать в этих 210 Гб что-нибудь еще? Сколько людей ищут юридическую/медицинскую/психологическую консультацию/помощь, которую не могут или боятся получить открыто? Сколько людей покупают от смертельных болезней лекарства, которые не одобрены локальным минздравом и, следовательно, недоступны? Ну или хотя бы сколько пользователей в Китае ищут новые эпизоды Adventure Time? Если это все слишком сложно, то можно хотя бы не подкидывать дров.

-6