bindしないWebサーバはnetstatで表示されません。 「ネットワークパケットを読む会（仮）#10」http://pa.hebikuzure.com/ でLTさせて頂いた資料です。

1. Webサーバのかくれんぼ
bindしないサーバプロセスはnetstatで表示できない
furuya02

2. socketを使用しないサーバ
取得したパケットをそのまま処理する
copyright© 2012/07.. by SAPPOROWORKS

3. 実験ネットワーク
VMwareをブリッジで起動して
２台接続されたネットワークを模擬する
192.168.0.0/24
VMware
(bridge)
ゲストOS ホストOS
Windows7 Windows7
192.168.0.113 192.168.0.110
00:0c:29:23:B7:E6 58-2C-80-13-92-63
copyright© 2012/07.. by SAPPOROWORKS

4. 実験ネットワーク
左のウインドがVMware
ゲストOS
ゲスト
192.168.0.113
ホストOS
ホスト
192.168.0.110

5. ホストOS側でWebサーバ起動
netstat -an でLISTENが確認できる

6. TCPのセッションが観察できる
3WAYハンドシェイク＆Squence＆Ack

7. Webサーバ停止
SYNパケットだけが寂しく空を切る

8. Webサーバをパケットモードで起動
netstat –an には表示されない
copyright© 2012/07.. by SAPPOROWORKS

9. Webサーバへのアクセスが可能
クライアントからは以前と区別つかない

10. パケットも通常のTCPストリーム
192.168.0.110の送信パケットは
全てWebサーバプログラムが作成したもの
copyright© 2012/07.. by SAPPOROWORKS

11. ARPに応答する
MACは、00:01:02:03:04:05を返す
copyright© 2012/07.. by SAPPOROWORKS

12. 201も202も203も・・・同じ
Webサーバは何処？
copyright© 2012/07.. by SAPPOROWORKS

13. ARPテーブルが染まっている
201~205は00:01:02:03:04:05
copyright© 2012/07.. by SAPPOROWORKS

14. デフォルトゲートウエイを変更
192.168.0.0/24外へのパケットは192.168.0.110に向かう
C:¥>route add 0.0.0.0 mask 0.0.0.0 192.168.0.110
route
C:¥>route delete 0.0.0.0 mask 0.0.0.0 192.168.0.1
route
C:¥>route print
route
IPv4 ルート テーブル
===========================================================================
アクティブ ルート:
ネットワーク宛先 ネットマスク ゲートウェイ インターフェイス メトリック
0.0.0.0 0.0.0.0 192.168.0.110 192.168.0.113 11
127.0.0.0 255.0.0.0 リンク上 127.0.0.1 306
127.0.0.1 255.255.255.255 リンク上 127.0.0.1 306
127.255.255.255 255.255.255.255 リンク上 127.0.0.1 306
192.168.0.0 255.255.255.0 リンク上 192.168.0.113 266
copyright© 2012/07.. by SAPPOROWORKS

15. 何処へアクセスしても同じ
Webサーバは何処・・・・・
copyright© 2012/07.. by SAPPOROWORKS

16. ご清聴ありがとうございました
http://www.sapporoworks.ne.jp/
https://github.com/furuya02/HideAndSeek.git
furuya02
copyright© 2012/07.. by SAPPOROWORKS