Sapito

المؤلفون: Sebastian Garcia ([email protected], @eldracote), Veronica Valeros ([email protected], @verovaleros)

حول Sapito

Sapito هي أداة لالتقاط وتفسير حزم نظام DNS متعدد الإرسال (mDNS) مكتوبة بلغة Python. تلتقط Sapito الحزم من ملف pcap أو من واجهة شبكة وتفسّر النتائج. هذا يعني أن Sapito قادرة على فهم أسئلة وأجوبة mDNS واستيعاب معنى الرسائل. كما يمكنها التعرف على أجهزة معينة، مثل اكتشاف أجهزة MacOS وأنواع متعددة من أجهزة iPad. يساعد الإخراج المرمّز بالألوان في إبراز المعلومات المهمة.

إذا وجدتَ خللاً، فيرجى الإبلاغ عنه مع مخرجات الأداة إلى [email protected]. إذا كان لديك ملف pcap يحتوي على الحزم المسببة للمشكلة، فسيكون من المفيد جداً إرساله مع تقرير الخلل.

صورة Docker

يتوفر لـ Sapito صورة Docker عامة بأحدث إصدار على DockerHub، وتعمل بشكل جيد على أنظمة Linux (نظام MacOS غير مدعوم بعد).

لتشغيل Sapito:

docker run --rm --network host --name sapito -it stratosphereips/sapito:latest  python3 sapito.py -i <interface>

معلومات أساسية حول بعض الخدمات

حول خدمات Bonjour

._airplay._tcp.local

هذا إعلان Bonjour لخدمة الشبكة التي تتيح بث محتوى الفيديو عبر AirPlay. أي أنه يسمح لأجهزة iOS باكتشاف Apple TV كـ«شاشة عرض عن بُعد» يمكن عرض الفيديو عليها.

._mediaremotetv._tcp.local

هذه إحدى خدمات الشبكة التي تجعل جهاز التحكم عن بُعد الخاص بـ Apple TV يعمل - أي التطبيق أو الميزة المدمجة في مركز التحكم (Control Center) للتحكم عن بُعد في أجهزة Apple TV من أجهزة iPhone وiPad. يتم الإعلان عن هذه الخدمة على الشبكة عبر Bonjour لضمان قدرة أجهزة iOS على اكتشاف AppleTV.

._companion-link._tcp.local

يبدو أن هذه الخدمة غير موثقة من قِبل Apple، لكنها مرتبطة بجعل نظام AirPlay 2 يعمل.

._raop._tcp.local

تُسمى خدمة الشبكة هذه بروتوكول إخراج الصوت عن بُعد (Remote Audio Output Protocol). وهي تشير أساساً إلى أن AppleTV يعمل كمستقبل صوت AirPlay. يسمح إعلان Bonjour هذا لأجهزة iOS باكتشاف Apple TV كـ«مكبر صوت» يمكن إرسال الصوت إليه.

._sleep-proxy._udp.local

هذا وكيل سكون Bonjour (Sleep Proxy). الفكرة هي أن AppleTV يمكنه الرد على استعلامات الشبكة المختلفة نيابةً عن الأجهزة الأخرى الموجودة حالياً في وضع الطاقة المنخفضة لتقليل استهلاك الطاقة. على سبيل المثال، يمكن أن يكون جهاز Mac يقدم مكتبة iTunes مشتركة أو طابعة مشتركة. ويمكن لـ AppleTV عندها الرد على طلبات الشبكة الموجهة إلى هذه الخوادم بينما يكون جهاز Mac في وضع السكون - على سبيل المثال، السماح للمستخدم بعرض قائمة الطابعات المشتركة المتاحة على الشبكة. ومع ذلك، عندما يختار المستخدم طباعة شيء ما، سيقوم AppleTV بإيقاظ جهاز Mac وتحويل الطلب إليه.

_homekit._tcp.local

هذه خدمة شبكة مرتبطة بـ HomeKit، نظام Apple للتواصل مع الأجهزة المنزلية والتحكم فيها. فكّر في مصابيح قابلة للتحكم، وستائر، وأجراس أبواب، وما شابه ذلك. يعمل AppleTV كوسيط (proxy) في هذا الإعداد بحيث يمكن للمستخدم التحكم في الأجهزة عن بُعد (أي أثناء عدم تواجده في المنزل) حتى لو كانت الأجهزة تعمل بتقنية Bluetooth فقط وتقع خارج نطاق الشبكة. لاحظ أن أجهزة HomeKit العادية على الشبكة تعلن عن نفسها عبر _hap._tcp بدلاً من ذلك.

._touch-able._tcp.local

هذه خدمة شبكة أخرى تجعل جهاز التحكم عن بُعد الخاص بـ Apple TV يعمل. تتعلق هذه الخدمة بمصادقة الأجهزة. أي إذا أردت مثلاً تشغيل فيديو من YouTube على Apple TV، يمكن لـ Apple TV أن يطلب مصادقة الجهاز قبل السماح بذلك. عملياً، تتم المصادقة من خلال عرض Apple TV لرمز PIN على الشاشة، يدخله المستخدم على جهاز iOS. يُنقل رمز PIN هذا باستخدام الخدمة المُعلَن عنها باسم «touch-able» لمصادقة الجهاز.

لماذا تحتوي بعض الحزم على سؤال وإجابات في الحزمة نفسها؟

بسبب قمع الإجابات المعروفة (Known-Answer suppression)¹:

root@kitploit:~

قمع الإجابات المعروفة (Known-Answer Suppression)

   عندما يرسل مُستعلِم Multicast DNS استعلاماً يعرف مسبقاً بعض إجاباته، فإنه يملأ قسم الإجابات (Answer Section) في رسالة استعلام DNS بتلك الإجابات.

   بشكل عام، ينطبق هذا على السجلات المشتركة (Shared records) فقط، وليس السجلات الفريدة (Unique records)، لأنه إذا كان مُستعلِم Multicast DNS يمتلك بالفعل سجلاً فريداً واحداً على الأقل في ذاكرة التخزين المؤقت، فلا ينبغي أن يتوقع إجابات مختلفة إضافية عن هذا السؤال، لأن السجل (السجلات) الفريدة التي يمتلكها بالفعل تشكل الإجابة الكاملة، وبالتالي لا يوجد لديه أي سبب لإرسال الاستعلام إطلاقاً. في المقابل، فإن امتلاك بعض السجلات المشتركة في ذاكرة التخزين المؤقت لا يعني بالضرورة أن مُستعلِم Multicast DNS لن يتلقى إجابات إضافية عن هذا الاستعلام، وفي هذه الحالة تحديداً يكون من المفيد استخدام قائمة الإجابات المعروفة (Known-Answer list) لقمع الإرسال المتكرر للإجابات الزائدة عن الحاجة التي يعرفها المُستعلِم بالفعل.