SMB / CIFS конвейерная обработка

427
Jeff Bencteux

Является ли конвейеризация функцией протокола SMB / CIFS? Я обнаружил, что SMB2 имеет конвейерный механизм, но нет ясного ответа для предыдущей версии. У меня есть сетевой захват с несколькими вторичными сообщениями транзакции SMB поверх нескольких сообщений службы сеансов NetBIOS, это часто встречается в сети?

0
Каково ваше определение конвейера в этом контексте? Это, вероятно, зависит от сети и от того, что вы на ней делаете. Seth 7 лет назад 0
конвейерная обработка, то есть отправка дополнительных запросов до получения ответа на предыдущий запрос Jeff Bencteux 7 лет назад 1

1 ответ на вопрос

2
grawity

Да, SMBv1 / CIFS имеет специальные команды «AndX», которые могут связываться с другой командой в том же пакете - хотя только несколько определенных команд могут быть частью цепочки. (Всего имеется 8 команд «AndX» - OPEN_ANDX, READ_ANDX, WRITE_ANDX и несколько других).

Пакетные сообщения с использованием конструкции AndX были представлены на диалекте LAN Manager 1.0. Пакетные сообщения уменьшают количество сообщений, необходимых для выполнения серии команд, отправляя несколько командных запросов или ответов в одном сообщении. Команды SMB, которые применяют конструкцию AndX, называются «командами AndX» и определяются соглашением NT LAN Manager о добавлении «_ANDX» к имени команды. Сообщения этого типа известны как сообщения AndX.

...

Сообщения AndX содержат конструкцию, концептуально похожую на связанный список, которая используется для соединения пар пакетных блоков. Результирующий список называется цепочкой AndX.

...

Каждая команда AndX имеет определенный список команд, которые могут следовать за ней в цепочке AndX. Список разрешенных последующих команд каждой команды задокументирован в соответствующем подразделе команды в разделе 2.2.4 «Команды SMB».

Цитируется из официальной документации протокола Microsoft:

Спасибо, очень полезно. Я думаю, что мой захват не следует документации MS, потому что несколько запросов TRANSACTION_SECONDARY друг на друга, кажется, не разрешены. Есть идеи, как это случилось? Может ли это быть создано вредоносным ПО или обычная SMB-реализация? Jeff Bencteux 7 лет назад 0

Похожие вопросы