李志鹏的技术博客

摘要： 1. 使用Dumpbin.exe找到RVA entry point： 2. 在Windbg内找到其开始地址： 可见其实入口点地址对应的语句为一个jmp命令。 3. 在dumpbin.exe的导出文件内直接找到40246e对应的内容： 其中FF 25 00 20 40反汇编之后，内容为Jmp 402000。注意这是小端存储方法。 4. 找到402000： 可见其是导入了mscoree.dll，执... 阅读全文

摘要： 1. 安装VC，使用dumpbin.exe，执行dumpbin %windir%\notepad.exe /all /out:temp.txt 2. 打开temp.txt，可以找到入口点的RVA（Relative Virtual Address）：0x73A5 3. 该RVA加上notepad载入后的绝对地址，就可以得到程序的入口点： 阅读全文

摘要： 这里包含两条命令：Ping 192.168.0.1 ping www.iana.orgPacket 1和2：在Ping 192.168.0.1发出以后，由于是在局域网内，是通过ARP让client得到了Ethernet地址。Packet 3-10 是收发双发交换ICMP包的过程，既Ping的实际过程。Packet11首先从DNS server那里得到了www.iana.org的ip。Packet13-20是Ping的实际过程，由于www.iana.org位于外网，所以ICMP包的交换发生在client和最近的router之间。这里的命令是traceroute softeng.camp.clar 阅读全文

摘要： 假设准对如下情况排错：client-----IISServer------FileServer，其中IISServer的http service以FQDN的形式提供，service运行在custom account下面。DelegConfig的Report功能会针对service-host这样的情况检查kerberos配置是否成功，如下：1. Is Domain Account?　　由于Delegation的实现需要iisserver向KDC获取service ticket，所以该service运行的帐号必须是域帐户。这里域帐户有两种，一种是domain user账户，一种是host name 阅读全文

摘要： 4.1节总共有三个trace。分析如下：Packet 1表示client执行了ipconfig /release命令，此时Client 192.168.0.100向DHCP server 192.168.0.1释放了自己的IP。释放之后，客户端将不知道DHCP的IP为多少，同时自己的IP变为0.0.0.0Packet2表示Client以0.0.0.0向整个局域网进行了广播，要求DHCP亮明身份。注意此时虽然client的IP已经变为0.0.0.0，但是它仍然记得自己曾经的IP，并且会告诉DHCP，注意上图红框。Packet3表示DHCP Server的物理层广播命令，表明DHCP server 阅读全文

摘要： 问题定义：　　在选择Kernel-mode authenticaiton以后，如果Application pool使用了custom identity，同时网站使用FQDN方式访问，此时设置spn以后可能导致Kerberos验证失败。根本原因：　　该选项是iis7的新增选项，选择以后，IIS server使用的是hostname来解密service ticket。　　如果使用了setspn -a http/fqdn domain\account来为application pool的identity设置了spn，那么client发给IIS的ticket里面使用的是domain\account衍生 阅读全文

摘要： 1. SACK的理解:select acknowledgement，选择性认可，即把接收到的数据片段放到缓存里。在第一次握手的时候，已经能够找到SACK的标志位：2. 重发是如何真查到的？Packet 5里面的S=R的Sequence number已经是1001，发送了1460个字节，那么Packet 6的Acknowledgement number应该是2461才对，但是事实却是Packet 6的Acknowledgement number仍然不变，还是1001。此时已经有丢包的可能性，但是由于延迟的存在，还不能确定丢包。此时Packet7、8仍然继续发送数据，没有处理丢包的问题。到Pac 阅读全文

摘要： TCP连接的建立和关闭可以以“三次握手，四次挥手”来描述。书中以tcp_pcattcp_n1.cap文件为例，将一个典型的TCP传输过程实例如下：其中packet 3，4，5是连接建立的握手过程，packet 13，14，15，16为连接断开的挥手过程， packet 6，7，8，9，10，11，12，13为实际实际传输内容的过程。可见Packet 13既是在挥手，也是在传输内容。Packet 3，4，5为握手过程，其典型标志为TCP标志位【SYN】、【SYN，ACK】和【ACK】。Packet 6-13为实际内容传输过程，其标志为，192.168.0.100向192.168.0.102传输内 阅读全文

摘要： 转自Amazon.com：Hands-on networking experience, without the lab!The best way to learn about network protocols is to see them in action. But that doesn't mean that you need a lab full of networking equipment. This revolutionary text and its accompanying CD give readers realistic hands-on experience work 阅读全文

摘要： 1. Server和Client同时抓包。2. Netmon里使用http过滤，可以通过Request/Response快速判定server IP和Client IP。3. 利用protocols.kerberosV5过滤，可以快速找到Kerberos相关packet。4. 开启Server端的Kerberos的system log，结合抓包显示的信息，可以快速定位Kerberos错误。 阅读全文