Tweet
Tweet

Slide 1

Slide 1 text

No content

Slide 2

Slide 2 text

► ► ►

Slide 3

Slide 3 text

► ► ► ► ► ► ►

Slide 4

Slide 4 text

► ► ► ► ► ►

Slide 5

Slide 5 text

► ► ► ► ► ► ► ► 

Slide 6

Slide 6 text

► ► ► ► ► ► ► ► ► ►

Slide 7

Slide 7 text

► ► PORT STATE SERVICE VERSION 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn 445/tcp open netbios-ssn 1027/tcp open msrpc Microsoft Windows RPC 1028/tcp open msrpc Microsoft Windows RPC 1029/tcp open msrpc Microsoft Windows RPC 2869/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP) 5357/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP) 10243/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)

Slide 8

Slide 8 text

►

Slide 9

Slide 9 text

► ► ► WHAT IS THIS DEVIL MAGIC?!?!

Slide 10

Slide 10 text

► ► ► ► ► ► ►

Slide 11

Slide 11 text

►

Slide 12

Slide 12 text

No content

Slide 13

Slide 13 text

No content

Slide 14

Slide 14 text

► ► ► ► ► ► ► ► ► ►

Slide 15

Slide 15 text

► ►

Slide 16

Slide 16 text

► ► HTTP.sys!AddUrlToConfigGroup

Slide 17

Slide 17 text

► ► C:\> logman start httptrace -p Microsoft-Windows-HttpService 0xFFFF -o trace.etl -ets C:\> net stop upnphost C:\> net start upnphost .. Do some UPnP stuff .. C:\> logman stop httptrace -ets C:\> tracerpt.exe trace.etl of CSV -o httptrace.csv Event Name Type Event ID EventTrace Header 0 83952134 9200 8 1.30166E+17 Microsoft-Windows-HttpService RemUrl 32 "http://*:2869/upnp/eventing/" Microsoft-Windows-HttpService AddUrl 31 "http://*:2869/upnp/eventing/" 0x0 Microsoft-Windows-HttpService ConnConnect 21 16 "192.168.0.6:2869" 16 "192.168.0.10:54775" Microsoft-Windows-HttpService ConnIdAssgn 22 0xFE000006600001AB 0xFFFFFA8042D97BB0 Microsoft-Windows-HttpService RecvReq 1 0xFE000006600001AB 16 "192.168.0.10:54775" Microsoft-Windows-HttpService Parse 2 1 "http://192.168.0.6:2869/upnp/eventing/vuhkhxybrb" Microsoft-Windows-HttpService Deliver 3 0xFE000006800001AC 0 "<>" "http://192.168.0.6:2869/upnp/eventing/vuhkhxybrb"

Slide 18

Slide 18 text

► ► ► ► ► ► ► ► ► ►

Slide 19

Slide 19 text

► ► ► ► C:\> netsh winhttp set tracing trace-file-prefix="C:\Temp\" level=verbose \ format=ansi state=enabled max-trace-file-size=1073741824 .. Wait for the client to do things .. C:\> netsh winhttp set tracing state=disabled

Slide 20

Slide 20 text

► ► ► ► 16:51:47.898 ::*0000004* :: WinHttpWriteData(0x36aae0, 0x11aa7c4, 658, 0x0) 16:51:47.899 ::*0000004* :: <<<<-------- HTTP stream follows below ----------------------------------------------->>>> urn:uuid:dbe17c74-3b21-4f52-addc-b84b444f73a0 http://schemas.xmlsoap.org/ws/2004/09/transfer/Get urn:uuid:8506ac50-3646-4621-96806f484d87909 http://schemas.xmlsoap.org/ws/2004/08/addressing/role/anonymous urn:uuid:b32467b5-e7ee-4ae3-8a8e-f5aa417c23b6 16:51:47.899 ::*0000004* :: <<<<-------- End ----------------------------------------------->>>>

Slide 21

Slide 21 text

► ► ► ► ►

Slide 22

Slide 22 text

► ► ► ► ► ► ► ► ►

Slide 23

Slide 23 text

►

Slide 24

Slide 24 text

► ► ► ► ► ► ► ► ► ►

Slide 25

Slide 25 text

► ► ► ► ► ► ► ► ►

Slide 26

Slide 26 text

► ► ► ►

Slide 27

Slide 27 text

► ►

Slide 28

Slide 28 text

► ► ► ► ► ► ► ► ► ► ►

Slide 29

Slide 29 text

► ► ► ► ► ► ► ►

Slide 30

Slide 30 text

►

Slide 31

Slide 31 text

No content