freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

一次对BT种子的追踪小记
2020-02-05 09:00:50

起因

过年期间,宅在家里闲来无事,我在网上找各种资源。终于通过自己的不懈努力,找到了一套非常优质的资源:画面高清,中文字幕,每日定期更新十部。

但是,仔细思考一下,我感觉十分奇怪。是什么样的人每天都能找到十部电影?什么样的人能够按时为这十部电影添加中文字幕?所以,被自己强烈的好奇心驱使,我开始了针对这一 BT 资源组的溯源之路。

基本思路

我们都知道,BT 是一种 P2P 的下载协议,当一个人想要通过 BT 下载文件时,可能会通过多个对等 (Peer) 节点进行下载,在这些 Peer 节点中,可能会包含当前资源的发布者,但是也可能不包含。这是因为当网络中有一部分节点完成下载时,初始的发布者即使下线也可以保证新的节点完成下载。因此,想要找一组 BT 资源的发布者,直接通过流量监听筛选当前Peer节点的方法并不准确。但是,如果是在资源刚发布时对资源的 Peer 节点进行收集分析,并及时监控每个 Peer 节点的完成状态,就有可能找到资源的发布者(第一个做种节点)。比如,如果某个 Peer 节点在资源刚刚发布时就已经下载完成了资源的所有内容,而其他节点都是刚刚开始下载,我们就可以认为这个节点是资源的发布者。根据统计,每个资源的大小约在 17G 左右,因此按照4M/s的速度下载,发布资源 第一个做种节点 传递给其他节点至少需要 1 小时 12 分钟。理论上,只要在这段时间内观测到下载完资源的Peer节点,都有可能是发布资源的做种节点。 具体可以分为以下四个步骤:

步骤一:监控资源发布

这一部分的功能是监控每日种子资源的发布,确保在资源发布后第一时间进行追踪分析。我直接通过 python 的 requests 库直接对种子搜索网站发送关键字请求,判断今日的新的资源是否已经发布。如果已经发布,就从网站上把种子下载下来,如果有的种子搜索网站没有下载种子文件的方法,也可以磁力链接转化为种子文件。另外,在这里我也直接从网页中获取相应资源的 info-hash,这样在后面就不需要重新计算了。

步骤二:解析种子文件

BT 的种子文件是通过 Bencode 编码进行组织的。因此,拿到 BT 种子文件后,通过bencode编码对文件进行解码,可以提取出以下信息:

虽然我们可以从 [ info]publisher-url 字段中提取出 http://yb1233.vip/ 的域名,但是仍然无法确定这个域名与做种者是否真的有关联关系,这个域名是一个网络**网站,与色情没什么关系,很有可能只是购买了做种者的推广服务。因此,我继续从 announce 和 announce-list 字段中提取种子的 tracker 列表,以便于通过 tracker 获取当前时间的peer节点。

步骤三:收集Peer节点

解析得到资源的 tracker 后,通过资源的 info-hash 获取当前正在下载的 peer 节点。在这组案例中,提取出来的 tracker 支持 HTTP 协议与 UDP 协议, 如 http://sukebei.tracker.wf:8888/announce, udp://9.rarbg.com:2710/announce等。如果想要向 http 协议的 tracker 请求 peer 节点,需要构造一个 GET 请求,发送给目标tracker。在构造的 GET 请求中,需要携带固定的 info_hash, peer_id, port, uploaded, downloaded, left, compact, numwant, event 等字段,并将字段编码到 URL 中,生成的 URL 与下面类似。

http://tracker2.itzmx.com:6961/announce?info_hash=%D43D%B0%E7o%5D%87%DE%B3%943%3Fz%D3%B0%2FZ%CE%28&peer_id=%BB%7D%AD%A9%D0%DB7%FE%01%27%09%8Ba%A1%16%8F%CD%F63%D9&port=34707&uploaded=0&downloaded=0&left=431102370&compact=1&numwant=1000&event=started

Tracker 回应的内容也是通过 bencode 编码的,通过 bencode 解码,可以在 peers 字段中解析出请求到的 peer 地址。UDP 的 tracker 与 http 的 tracker 类似,只不过把上述的参数拼接成一个字节串发送过去,就可以收到 tracker 的回复。

步骤四:评估Peer节点完成状态

按照协议,当客户端从 tracker 获取到新的 peer 节点时,就可以向该 peer 节点建立连接,并进行下载了。但是,在进行下载之前,客户端为了实现对资源的分片请求,需要知道远程的 peer 节点拥有该资源的哪些片段(piece)。这个步骤是通过 peer 节点之间的 handshake 与 bitField 命令实现的。客户端首先与 peer 节点建立连接,并发送 handshake 数据包。数据包的格式如下。 向 peer 节点发送 handshake 包后,客户端也会收到 peer 节点的 handshake 数据包。此外,随后还会收到一个 bitField 数据包,数据包的格式如下返回的 bitField 数据包的内容字段中,包含了一个 bitarray 的结构,标记了该 peer 节点对资源的每个片段(piece)的拥有情况。如果全部都为1,则代表该Peer已经完成了资源的下载。

结果分析

借助以上思路,我在1月26日到30日对这组资源进行了跟踪分析。通过分析Peer的下载完成度,发现在26-27日使用了 1.160.61.90 进行发布做种,但是在 28-30 日换成了 1.160.60.3 进行发布。通过IP地址可以查到发布的服务器位于台湾,并且是个人地址的可能性较大。其实这次的溯源主要利用的优势是资源的发布时可预测,周期性的。因此我们可以在每次资源刚刚发布时进行监控分析。如果是正常情况下,当我们拿到资源的种子时,当初的发布者很可能早就下线了。另外,BT 协议是不能够隐藏信息发布者的身份的,因此利用 BT 进行资源的发布一般都没有匿名性的需求。如果大家有这方面的需求,可以考虑一下 IPFS。

参考资料

-Torrent文件结构解析-https://blog.csdn.net/mergerly/article/details/8013694 

-bt协议-https://www.jianshu.com/p/159c647c0095

*本文原创作者:TBDChen,本文属于FreeBuf原创奖励计划,未经许可禁止转载

# P2P # BT # 追踪
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者