IP von einem Programm loggen?

[RAT]

Vielleicht hat jemand von euch eine Idee oder ein Tool ... geht um folgendes:

Mir ist aufgefallen, dass Steam dauernd Verbindungen zu wechselnden IP-Adressen aufbaut, wenige Byte überträgt:

und die Verbindung wieder schließt (sehe ich im NetSpeedMonitor).

Einige IPs habe ich mal überprüft, z.B.:
173.245.218.196 => hwng.net => Content Delivery Network | Highwinds | CDN | Content Distribution Network => Werbung o.ä.
211.189.50.21 => utilus.net => wtf?
Waren noch einge weitere, die ich so nicht zuordnen konnte.

Mit netstat habe ich es schon versucht, aber das kann scheinbar nicht immer die IP auflösen?

Kennt jemand ein Tool, welches zunächst einmal alle von einer bestimmten Anwendung (steam.exe) aufgebauten Verbindungen als IP mitloggen kann?

 

[Hasentod]

Für solche Fälle wäre es am besten mit Kanonen auf Spatzen zu schießen. Ohne sich den Inhalt der Pakete anzuschauen macht die ganze Analyse überhaupt keinen Sinn.

Versuch mal den Traffic mit Programmen wie Wireshark oder alternativ als Windows-only Lösung mit dem Microsoft Network Monitor 3.4 zu protokollieren und zu untersuchen.

 

[KingKongo]

Wireshark müsste das gehen.

Utilus.net wird von den Koreanern gehostet. Für aber genau kann ich dir nicht sagen, da ich nicht wirklich Koreanisch verstehe.


MfG

Kongo

€dit

Dreck zu langsam... jaja man sollte fixer tippen und recherschieren.

 

[RAT]

Danke erst einmal

Wireshark kenn ich noch als Ethereal und dachte, dass ist wirklich das, was Hasentod so schön als "Mit Kanonen auf Spatzen schießen" bezeichnet

Ich habe mir mittlerweile ein paar Tools angesehen, einige erfordern auch die Installation von WinPcap - so wie früher auch Ethereal (unter Windows). Aber alle haben scheinbar das Problem, IP-Adressen nicht auflösen zu können - und zwar auch solche die meinem eingetragenen DNS (tkom) durchaus bekannt sind. Komisch. Naja, zunächst geht es mir ja darum, eine Liste der von steam.exe aufgerufenen IPs zu erhalten. Ich habe mir nun den ebenfalls von Hasentod erwähnten Netzwerkmonitor installiert. Feines Teil und auch die Filtersyntax ist mit Coderkenntnissen locker zu formulieren.

Nur - warum kann der (neben dem bereits erwähntem Problem der Namensauflösung für manche Einträge) den aufrufenden Prozess in einigen Fällen nicht erkennen? Bei diversen Einträgen mit eindeutig steam zuzuordnenden Zielen (steampowered.com) zeigt er mir als Prozess <unknown> oder <unavailable> an. Verstehe ich nicht, meine Netzwerkkenntnisse sind hierfür zu oberflächlich. Das verhindert aber den Bau eines passenden Filters, da muß ich nochmal herumprobieren.

Für das echte sniffing fehlt mir eh knowhow zu den Protokollen und den Headern und alles ist natürlich binär und eventuell sogar teilweise verschlüsselt. Aber primäres Ziel ist, wie gesagt, eine Liste der von steam aufgebauten Netzwerkverbindungen mit Zielangabe.

Leider scheint das auch mit C# nicht einfach zu sein, es gibt einen Brocken C++ Code um ein Microsoft API anzusprechen ... mal schauen ob ich da was draus basteln kann.

Ahja: Auf jeden Fall ist es wirklich erschreckend, wohin sich steam überall verbindet. Neben Korea habe ich sogar Adressen aus Kuwait ermittelt