Skype Protokollanalyse

[i-u]

Hallo,

da ich sehr oft Skype benutze, dieses Programm aber Closed Source ist, ist es mir nicht ganz geheuer. Heute habe ich nun diesen (http://www.heise.de/security/news/foren/go.shtml?read=1&msg_id=6872167&forum_id=69000) Thread im Heise-Forum gefunden, der mir zu denken gibt.

Sicher kann jetzt jemand von der Benutzung von Skype abraten, aber das soll hier nicht Gegenstand der Diskussion sein.

Lest euch mal bitte diesen kurzen Thread (http://www.heise.de/security/news/foren/go.shtml?read=1&msg_id=6872167&forum_id=69000) durch und postet mal, was Ihr davon haltet.

Ich würde diese Test eventuell bei mir selber mal testen. Weiss jemand wie der Typ da vorgegangen sein könnte?

MfG

Philipp

[cane]

Sollen wir jetzt selber nach der News oder was auch immer suchen oder was?

Poste doch bitte einen Link, dann schau ich mal...

cane

[Hagbard]

Ist da irgendwo ein versteckter link in dem beitrag...
oder brauch ich eine Brille ..
oder beides :ugly:

[phoenix22]

Ist da irgendwo ein versteckter link in dem beitrag...
oder brauch ich eine Brille ..
oder beides :ugly:
Ja,
vielleicht,
nein.
(bezieht sich auf die drei Fragen) :D

[Hagbard]

Ja, jetzt ist ein link da :cool:

Ist ein sehr zweifelhaftes verhalten von Skype was da beschrieben wird.
Aber kA wie der das nachgeprüft hat :confused:

[i-u]

Vielleicht kann man das Verhalten von Skype per 'lsof' nachvollziehen.
Leider fehlen mir die nötigen Kenntnisse und aus dem Handbuch bin ich auch nicht schlau geworden.

lsof|grep skype habe ich ja noch hinbekommen, aber dann mit dem +-r und t Schalter wusste ich nicht weiter.
Theoretisch kann man damit ja in einem gewünschten Intervall ein die Anzeige von 'lsof' aktualisieren lassen.

Hat jemand ne Idee?

[i-u]

So.

Nun habe ich mal Skype folgenden "Tests" unterzogen und will euch die Ergebnisse nicht vorenthalten.
Bei Betrachtung der Ausgaben ist mir unlkar, warum Skype meinen gesamten .mozilla-Ordner durchsucht, Bookmarks, Cache usw. liest.

Ich bin zwar kein Progammierer, aber andere Programme unterlassen sowas.

Das Verhalten von Skype kann man ganz leicht nachvollziehen indem man folgenden Befehl benutzt.

strace -fF -o skype.strace ./skype

wobei ein: ltrace -o skype.ltrace ./skype die Meldung "Binary file corrupted - Please reinstall skype" brachte.

Nun hab ich davon fast keine Ahnung, aber mir kommt es so vor, als ob Skype diesen Mitschnitt verhindern möchte. Das schließe ich aus der Tatsache, da andere Programme mit diesem Aufruf blendend funktionieren.

Was schliesst Ihr denn so daraus?


Hier mal ein kleiner Auszug.

21397 stat64("/root/.mozilla/firefox/hk0n4cir.default", <unfinished ...>
21396 <... times resumed> {tms_utime=0, tms_stime=1, tms_cutime=0, tms_cstime=0}) = 445553413
21397 <... stat64 resumed> {st_mode=S_IFDIR|0700, st_size=4096, ...}) = 0
21396 times( <unfinished ...>
21397 open("/root/.mozilla/firefox/hk0n4cir.default", O_RDONLY|O_NONBLOCK|O_LARGEFILE|O_DIRECTORY) = 26
21397 fstat64(26, {st_mode=S_IFDIR|0700, st_size=4096, ...}) = 0
21397 fcntl64(26, F_SETFD, FD_CLOEXEC) = 0
21397 getdents64(26, /* 23 entries */, 4096) = 776
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/.", {st_mode=S_IFDIR|0700, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/..", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/bookmarks.html", {st_mode=S_IFREG|0644, st_size=34412, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/localstore.rdf", {st_mode=S_IFREG|0644, st_size=1025, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/search.rdf", {st_mode=S_IFREG|0644, st_size=752, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/mimeTypes.rdf", {st_mode=S_IFREG|0644, st_size=287, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/chrome", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/chrome", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 open("/root/.mozilla/firefox/hk0n4cir.default/chrome", O_RDONLY|O_NONBLOCK|O_LARGEFILE|O_DIRECTORY) = 27
21397 fstat64(27, {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 fcntl64(27, F_SETFD, FD_CLOEXEC) = 0
21397 getdents64(27, /* 4 entries */, 4096) = 144
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/chrome/.", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/chrome/..", {st_mode=S_IFDIR|0700, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/chrome/userChrome-example.css", {st_mode=S_IFREG|0644, st_size=1078, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/chrome/userContent-example.css", {st_mode=S_IFREG|0644, st_size=663, ...}) = 0
21397 getdents64(27, /* 0 entries */, 4096) = 0
21397 close(27) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 open("/root/.mozilla/firefox/hk0n4cir.default/extensions", O_RDONLY|O_NONBLOCK|O_LARGEFILE|O_DIRECTORY) = 27
21397 fstat64(27, {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 fcntl64(27, F_SETFD, FD_CLOEXEC) = 0
21397 getdents64(27, /* 5 entries */, 4096) = 200
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/.", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/..", {st_mode=S_IFDIR|0700, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/{972ce4c6-7e08-4474-a285-3208198ce6fd}", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/{972ce4c6-7e08-4474-a285-3208198ce6fd}", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 open("/root/.mozilla/firefox/hk0n4cir.default/extensions/{972ce4c6-7e08-4474-a285-3208198ce6fd}", O_RDONLY|O_NONBLOCK|O_LARGEFILE|O_DIRECTORY) = 28
21397 fstat64(28, {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 fcntl64(28, F_SETFD, FD_CLOEXEC) = 0
21397 getdents64(28, /* 3 entries */, 4096) = 80
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/{972ce4c6-7e08-4474-a285-3208198ce6fd}/.", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/{972ce4c6-7e08-4474-a285-3208198ce6fd}/..", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/{972ce4c6-7e08-4474-a285-3208198ce6fd}/install.rdf", {st_mode=S_IFREG|0644, st_size=1148, ...}) = 0
21397 getdents64(28, /* 0 entries */, 4096) = 0
21397 close(28) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/Extensions.rdf", {st_mode=S_IFREG|0644, st_size=226, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/extensions/installed-extensions.txt", {st_mode=S_IFREG|0644, st_size=45, ...}) = 0
21397 getdents64(27, /* 0 entries */, 4096) = 0
21397 close(27) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/prefs.js", {st_mode=S_IFREG|0755, st_size=657, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/compreg.dat", {st_mode=S_IFREG|0644, st_size=145473, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/xpti.dat", {st_mode=S_IFREG|0644, st_size=77785, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/XUL.mfasl", {st_mode=S_IFREG|0644, st_size=633108, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/compatibility.ini", {st_mode=S_IFREG|0644, st_size=65, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/defaults.ini", {st_mode=S_IFREG|0644, st_size=24, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/components.ini", {st_mode=S_IFREG|0644, st_size=24, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/Cache", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/formhistory.dat", {st_mode=S_IFREG|0644, st_size=386, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/history.dat", {st_mode=S_IFREG|0644, st_size=6378, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/cookies.txt", {st_mode=S_IFREG|0600, st_size=533, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/secmod.db", {st_mode=S_IFREG|0600, st_size=16384, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/cert8.db", {st_mode=S_IFREG|0600, st_size=65536, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/key3.db", {st_mode=S_IFREG|0600, st_size=16384, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/bookmarks.bak", {st_mode=S_IFREG|0644, st_size=34412, ...}) = 0
21397 getdents64(26, /* 0 entries */, 4096) = 0
21397 close(26) = 0


Anbei noch die komplette strace-Ausgabe als .bz2 Anhang für Interessierte.

Was denkt Ihr dabei?

MfG

Philipp

[Schwarzer'Engel]

21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/chrome/userChrome-example.css", {st_mode=S_IFREG|0644, st_size=1078, ...}) = 0
21397 stat64("/root/.mozilla/firefox/hk0n4cir.default/chrome/userContent-example.css", {st_mode=S_IFREG|0644, st_size=663, ...}) = 0

wenn ich das richtig interpretiere, lässt Du Skype als root laufen? Selbst schuld wenn dir dabei irgendwas passiert. :ugly:

Davon abgesehen ist es schon komisch das skype dieses Verhalten zeigt!

[i-u]

Ja dieses Verhalten habe ich bei Skype unter root ausgetestet.
Ist ja klar, oder läuft bei dir 'strace' mit Benutzerrechten durch?

MfG Philipp


Edit: Ich nehme das zurück und behaupte, dass 'strace' auch mit Benutzerrechten läuft. :o

Da hab ich wohl falsch gelegen.

[i-u]

Nach einigen Stunden, in denen ich nach Informationen über die Funktionsweise von Skype gesucht habe, stiess ich auf folgenden, wirklich sehr interessant geschriebenen Bericht.

Der Titel lautet: " The analysis of Skype VoIP application for use in a corporate environment"

In dieser Analyse wird eingehend über die "Features" von Skype berichtet.

Link zum Download (http://www.geocities.com/bergstromdennis/Skype_Analysis_1_3.pdf)