Зачем нужны эти порты?

Ему нужны твои деньги.

Ему нужны твои деньги.

Каким образом эти ссылки помогут их получить?

Пока что сайт меня забанил по IP и не даёт потратить несколько тысяч рублей.

Ну если на 3389 у тебя живёт незапароленный RDP, или на 5900 незапароленный VNC, то легко.

Это сбор цифрового отпечатка чтобы тебя выследить. Проверяют запущенные службы.

то легко.

Вообще-то нелегко. Браузер блочит доступ к этим портам.

Но кроме того, если речь про ru версию сайта, там нет никаких попыток открыть что-либо из перечисленного в ОП.

Так что прежде, чем ставить диагнозы, я бы собрал анамнез.

если речь про ru версию сайта, там нет никаких попыток открыть что-либо из перечисленного в ОП.

я бы собрал анамнез.

Искал в Гугле вентилятор RQA 9238HSL, перешёл по первой ссылке. Всё, что можно, заблокировано NoScript-ом. Разблокировал запрашиваемое (script, webgl) для доменов 2-го уровня (servicepipe.tech и vseinstrumenti.ru), но «Trusted» не включал. Страницы каждую секунду перезагружались, мешая включать. Минут через 10 непрерывных перезагрузок — бан.

Ну если на 3389 у тебя живёт незапароленный RDP, или на 5900 незапароленный VNC, то легко.

Про эти я нашёл. Про AnyDesk на 7070 и remote debugging в Chromium на 9222 — тоже. А что на 49664?

https://habr.com/ru/articles/915732/

https://habr.com/ru/articles/915732/

В статье другие порты.

За деревом не видишь леса? Какая разница какие порты, важен сам механизм. И любом случае магазинчик по продаже лобзиков, сканирующий твой ПК это как водопроводчик который по мере ковыряния в трубах, зачем-то в тетрадочку записывает наименования бытовой техники в доме и простукивает стены в спальне, а не ванной в попытке найти скрытые но не сантехнические полости.

Какая разница какие порты,

Они определяют, что пытается получить злоумышленник.

важен сам механизм.

Механизм очевиден и без статьи. Сайт/приложение хочет знать то, что ему не положено. Я спрашиваю о конкретике. Может, они собирают мой отпечаток. А может, они приняли мою машину за узел ботнета и попытались перехватить управление :)

Тут не знаю.

Вообще-то нелегко. Браузер блочит доступ к этим портам.

Теперь да.

Но кроме того, если речь про ru версию сайта, там нет никаких попыток открыть что-либо из перечисленного в ОП.

У меня тоже. Возможно, у ТС какое-то вредоносное дополнение стоит или поломали конкретно сайт инструментов так, что последний сканит только избранных и потихоньку.

Или, есть ещё дерзкая теория: поскольку ТС зашёл с отключёнными скриптами, сайт решил, что это скраппер, сделал reverse attack и отправил в бан, когда не вышло.

поломали конкретно сайт инструментов

Я бы вероятность этой гипотезы оценил как первую с конца.

а какой у вас браузер?

Выглядит как active probing, думаю квн ищет

Вообще-то нелегко. Браузер блочит доступ к этим портам.

Чисто гипотетически это не имеет значения. Достаточно ведь чтобы ты засветился как интересный с той или иной точки зрения и показал свой IP. А дальше уже в соответствующие порты ничто не мешает стучаться как угодно вообще без всякого участия хоть браузера, хоть тебя самого, достаточно, чтобы оно просто голой жопой в интернет смотрело.

Хотя глядя на порты это прям атака полноценная.

3389

RDP

5900 и 5901

VNC

7070

AnyDesk

49664

это MS-RPC для удалённого выполнения команд

9222

Chrome DevTools

Большинство людей за NAT. Даже если этот NAT на роутере. Как стучаться туда?

Никак. Очевидно, никакой большинство не нужно, нужно меньшинство. И чтобы у меньшинства даже в пределах меньшинства оно было ещё и незапаролено.

Главное, чтобы это меньшинство из числа меньшинства было в итоге больше, чем 0.

Chrome DevTools

Понятно. Я не удивлюсь что ТС скрыл (специально замолчал) что юзал Хром с винды ;)

P.S. В последнее время вижу много пользователей винды на лоре причем свои скрины даже в галерею тащут :(

ТС скрыл (специально замолчал) что юзал Хром с винды ;)

Firefox, Gentoo Linux. Присутствующие модераторы могут подтвердить, что я захожу на ЛОР либо так, либо с Андроида уже много лет.

зашёл с отключёнными скриптами, сайт решил, что это скраппер, сделал reverse attack и отправил в бан, когда не вышло.

То есть не я один подумал о такой возможности :)

49664

это MS-RPC для удалённого выполнения команд

Спасибо.

Firefox, Gentoo Linux. Присутствующие модераторы могут подтвердить, что я захожу на ЛОР либо так, либо с Андроида уже много лет.

1. Вы заходили не на ЛОР.
2. Про это вы сразу не написали (с чего заходите)
3. Ну уж извините за подозрительность, просто я знаю что у меня фиревалл (как минимум) на входящие закрыт кроме 22, опять же сижу за натом и на что надеяться такие люди не понятно.

И подумал что только пользователю виндовс делать нечего, как смотреть порты в какой то апликухе.

Это похоже на оценку подозрительности пользователя. За каждый критерий начисляется сколько-то баллов. По общему количеству тебя определяют в какую-то категорию: нормальный пользователь, подозрительный, активная атака. Для подозрительных, скорее всего, будет более полное логирование действий, чтобы потом было что разбирать.

Наличие на машине «хакерских» инструментов является одним из показателей. Определяют, пытаясь подключиться к заранее известным портам на 127.0.0.1. Варианты бывают разные, websockets, загрузка картинок или чего-то ещё. Определяют так просто факт открытого порта.

А к RDP или VNC вообще можно подключиться из браузера по WebSocket? Там же рукопожатие не пройдёт.

у меня фиревалл (как минимум) на входящие закрыт кроме 22

Откуда и куда идут запросы от страницы по WSS? От моего браузера к программам на моей машине? Или я что-то неправильно понимаю?

только пользователю виндовс делать нечего, как смотреть порты в какой то апликухе.

Эти запросы Firefox показывает по F12 в «Мониторе сети». Chromium тоже так умеет.

Это похоже на оценку подозрительности пользователя. За каждый критерий начисляется сколько-то баллов. По общему количеству тебя определяют в какую-то категорию: нормальный пользователь, подозрительный, активная атака. Для подозрительных, скорее всего, будет более полное логирование действий, чтобы потом было что разбирать.

Активной атаки не было, если не считать автообновление их собственной страницы. Тем не менее, забанили.

Наличие на машине «хакерских» инструментов является одним из показателей. Определяют, пытаясь подключиться к заранее известным портам на 127.0.0.1.

Сервера для удалённого десктопа считаются хакерскими?

Разве что как признак виртуальной машины, управляемой по сети.

Эти запросы Firefox показывает по F12 в «Мониторе сети». Chromium тоже так умеет.

так стоп. Я залез на всеинтсрументы и в ф12 в сеть, обычные запросы и ответы. Как мне увидеть эти порты что у вас? Куда ткнуть?

Я залез на всеинтсрументы и в ф12 в сеть, обычные запросы и ответы. Как мне увидеть эти порты что у вас?

Не знаю. r--r--r-- выше тоже не смог воспроизвести. Полчаса назад я сам пробовал — разбанили, всё работало, капчи и странных запросов не было.

Думаю, внедрённый скрипт собирает информацию по портам, которые набросали просто от балды. А потом конкретные решения принимаются на стороне WAF. Возможно, наличие какого-то открытого порта вообще не учитывается, но сбор информации всё равно производится.

Получилось воспроизвести, сделав запрос с внешнего ip. Ровно такой же список попыток подключения (3389, 5900, 5901, 7070, 49664, 9222).

Это WAF от Servicepipe. Инжектируемый скрипт с их домена грузится.

Пора бы уже прикрутить вот такое в firefox, да ещё бы и как-нибудь больно стукать за это, есть рецепты?

websocksify или что-то навроде ставить как прокси. Так просто рукопожатие пройдёт в одну сторону, будет отличаться от закрытого порта.

Вопрос, создатели сайта про это в курсе? Или прикинуться что мы не в курсе и тупо жс вон от туда берем …

И заодно, как идет на эти порты взаимодействие? Т.е. как то жска открывает там порты локально, и она же потом к этим портам обращается, берет дату от туда и …

В этом случае закрытые порты и НАТ пофигу.

Нужно больше инфы.

Тьфу она не открывает там порты … а это жска просто туда лезет.

А что на жске нельзя поднять локальный vnc сервер что ли?

novnc over websockify

novnc

На всякий случай, это vnc клиент.

https://habr.com/ru/articles/949544/ по аналогии, ибо wss как транспорт вполне себе можно заморочиться. Не силен, при первом гуглеже https://www.npmjs.com/package/wstunnel

от себя же, до кучи. если кто не понял, какую задачку (на самом деле) могут решать во всех инструментах https://www.securitylab.ru/analytics/423450.php

И что? Как будто это и так не понятно.

Мне вот больше интересно:

1. это юзают создатели сайта (тот кто делал сайт а ВИ про это не в курсе)
2. это юзают сами ВИ так как заказ такой сделали
3. эти 2 вообще не в курсе и это юзает создатели фрамеворка …

И в дополнение, если действительно можно локально vnc сервер запустить то получается что только wayland может помочь?

P.S. Блин нужно носкрипт что ли прикрутить ;)

Также и стучаться, ибо на роутере эти порты могут быть форвардированы.

не нужно ни куда стучаться, там выше чел дал ссылки на теорию про это.

Залазаешь на сайт, там тебе жс пихает, жс запускает у тебя локально VNC и транслирует твой экран куда то … ни какого подключения извне.

Ты, кстати, в чём эти подключения смотрел?

В 153-й firefox добавили фичу для борьбы с этим:

Для всех пользователей по умолчанию включено применение спецификации LNA (Local Network Access) для ограничения обращений к локальной системе (loopback, 127.0.0.0/8) или внутренней сети (192.168.0.0/16, 10.0.0.0/8 и т.п.) при взаимодействии с публичными сайтами. Для обращения к внутренним ресурсам пользователь должен предоставить web-приложению специальные полномочия, так как подобная активность используются злоумышленниками для осуществления CSRF-атак на маршрутизаторы, точки доступа, принтеры, корпоративные web-интерфейсы и другие устройства и сервисы, принимающие запросы только из локальной сети. Кроме того, сканирование внутренних ресурсов может использоваться для косвенной идентификации или сбору сведений о локальной сети.

+1

Ну вот блин, а я уже в 3 места носкрипт прикрутил :)

Но если все таки сделают возможность на жске в браузере запускать тот же VNC сервер, то могут общаться и через сокет ну и вообще. Так что ограничения по сети тут пофигу.