Зацените, сделал чекер отпечатков для прокси

[FastSpace]

https://p0f4scan.romester.in (Для Ipv4)
https://p0f6scan.romester.in (Для Ipv6)

В чем отличия от других чекеров:

• Показывает 15 пакетов, а не только син пакет.
• Умеет видеть новые отпечатки от современных OS
• Красивый интерфейс
• Еще много всего

Результат анализа ос делает только на син пакете, хотя там минимум 5 мест где еще можно копнуть, тут сильно не парился.

[kodes]

https://prnt.sc/ak0yrLNUP5Ql не ворк

[FastSpace]

@kodes said in Зацените, сделал чекер отпечатков для прокси:

https://prnt.sc/ak0yrLNUP5Ql не ворк

Это висит на селектел хостинге (Москва).
С каких-то гео может быть заблокировано пул их ip.

[Ajshma]

@FastSpace а что значит уверенность? В чем?)

[FastSpace]

@Ajshma said in Зацените, сделал чекер отпечатков для прокси:

@FastSpace а что значит уверенность? В чем?)

В том, что имеено та OS, которую чекер увидел.
Детали я специально не раскрываю, дабы шопам не облегчать жизнь.

[Inwnew]

@FastSpace красиво, только почему-то 22H2 для Win 10 нет

[sergerdn]

@Inwnew said in Зацените, сделал чекер отпечатков для прокси:

@FastSpace красиво, только почему-то 22H2 для Win 10 нет

А зачем? У этой версии Win 10 какой-то свой специфичный отпечаток TCP/IP?

[FastSpace]

@sergerdn я разгадал загадку кучи nop у мегафона. Они ставят всем симкам tos 0x20 (низкий приоритет пакетов) и ломают тцп опции (кривой софт/руки). Если включить услугу "Pre5G", tos становится снова который вышел из системы (0x0). Тцп опции без кучи nop.

Услуга "Pre5G", просто убирает низкий приоритет пакетов, само собой там нет никакого 5G.

И еще по наблюдениям, если скушать много трафика на симке, операторы тоже меняют этот поле в пакете. Я как сайт (чекер) могу узнать что ко мне зашла симка где уже фармлили много (аля симка из прокси шопа). Бан мгновенный сразу.

[spam]

@FastSpace said in Зацените, сделал чекер отпечатков для прокси:

https://p0f4scan.romester.in

эххх все руки не доходят раскидать профилям порты в соответсвии с версиями андройда...
Сам отпечатки собирал?

spoiler

[FastSpace]

@spam Да, но чекер еще говно (в плане определения системы). Врятли буду уже улучшать логику определения ОS. Там еще надо дней 5 посидеть подебажить и базу пособирать. Плюс там еще можно чекать кривые подмены из шопов, например все шопы где есть такая подмена меняют ТОЛЬКО син пакет. Банальный пример: отпечаток мака имеет все пакеты с нумерацией 0, у кривой подмены этот id 0 уйдет только в син пакете, а остальные пакеты будет иметь линуксовую стратегию random. За такую херню сразу красный флаг. Таких мест очень много.

Я этот чекер сделал в основном для себя, т.к заепался запускать по 100500 раз tcpdump.. Мне от чекера только надо видеть в таблице цифреки.

P.S. Зато мой телевизор правильно увидел, что это Linux на 4 версии ядра.

[spam]

@FastSpace said in Зацените, сделал чекер отпечатков для прокси:

например все шопы где есть такая подмена меняют ТОЛЬКО син пакет.

Если бы они хотя бы это нормально делали - не пришлось бы свое решение писать ))

@FastSpace said in Зацените, сделал чекер отпечатков для прокси:

P.S. Зато мой телевизор правильно увидел, что это Linux на 4 версии ядра.

да там отпечатки разные, есть и 14-16 андройды со 100% уверенностью

[FastSpace]

@spam Из всех шопов только у вектора сделано подмена син пакета нормально и то там подписаны кое-где OS неполноценно или написано одно, а на деле другое

[usertrue]

@FastSpace Я давно забил на все это, если нужно гео в котором сам не можешь поднять прокси то имеешь что имеешь, нет смысла во всем этом

[sergerdn]

@FastSpace said in Зацените, сделал чекер отпечатков для прокси:

например все шопы где есть такая подмена меняют ТОЛЬКО син пакет.

Если сайт, который проверяет отпечаток TCP/IP смотрит только на SYN пакет, то шоп выполняет свои задачу.

@usertrue said in Зацените, сделал чекер отпечатков для прокси:

@FastSpace Я давно забил на все это, если нужно гео в котором сам не можешь поднять прокси то имеешь что имеешь, нет смысла во всем этом

Когда я был молодой и наивный, я репортил баги и предложения по улучшению чужих сервисов, софта и так далее пачками. Потом я перестал так делать, а стал писать всё, что мне нужно сам. А жаль, так как я предпочел бы по максимуму пользоваться готовым.

[FastSpace]

@sergerdn said in Зацените, сделал чекер отпечатков для прокси:

@FastSpace said in Зацените, сделал чекер отпечатков для прокси:

например все шопы где есть такая подмена меняют ТОЛЬКО син пакет.

Если сайт, который проверяет отпечаток TCP/IP смотрит только на SYN пакет, то шоп выполняет свои задачу.

Только шоп и это делает неправильно.
Везде 3 отпечатка. Винда, мак и линукс.

Только линукс имеет 6 разных отпечатков и Андройд хоть имеет ядро линукса, они отличаются между собой тоже и от линукса тоже.

Я нашел отличия в все что ниже и равно 9. 10-13 и 14-16.

[spam]

@FastSpace said in Зацените, сделал чекер отпечатков для прокси:

Только шоп и это делает неправильно.
Везде 3 отпечатка. Винда, мак и линукс.

Бывает еще смесь винды и линукса, когда наполовину подменили ))
кто то вообще использует отпечатки датируемые 2012-2015 годами, так как "и так сойдет" ))

[FastSpace]

@spam ясно, если не лень будет чекер доделаю и выложу в паблик исходный ход.
Замену этому в паблике https://lcamtuf.coredump.cx/p0f3/ давно уже пора иметь.

[FastSpace]

This post is deleted!

[FastSpace]

Обновил чекер для Windows платформ. Поставил Windows 11 - 21H2/22H2/23H2/24H2/25H2
Нашел много отличий между виндой 10 и 11

Начиная с версии 24H2, система делает скриншоты каждые 3 сек, в фоне ИИ майков (копилот) эти скрины обрабатывает.