Протокол wins

Протокол WINS разработан компанией MicroSoft для операционной среды Windows и предназначен для расширения возможностей NetBIOS.

WINS-запросы обычно транспортируются в UDP-дейтограммах. При этом используется порт отправителя=137. В поле данных размешается 2-октетное поле идентификатора, позволяющего связать запрос с откликом. Далее следует 2 байта флагов, в случае запроса туда записывается 0. За ним размещается два октета, содержащие число вопросов, 2 октета числа ответов и еще 4 нулевых октетов. Завершается кадр запроса двумя октетами поля типа (00 21 -> статус узла NetBIOS) и полем класса (для Интернет 00 01 -> (IN,1)). Такие запросы позволяют получить дополнительные данные (имя узла, его MAC-адрес, NetBIOS-имя, имя группы) об ЭВМ с заданным IP-адресом. Причем эта ЭВМ может находиться где угодно в Интернет, но непременно работать в OS Windows. Формат поля данных UDP-дейтограммы запроса показан на рис. 1. Следует иметь в виду, что имена WINS имеют ограниченное время жизни (задается параметром TTL, не путайте с полем заголовка IP) и оно по умолчанию равно 6 дням - 518400 секундам.

Рис. 4.2.3.2. Формат запроса WINS

В поле данных UDP-дейтограммы отклика располагается 2-байтовое поле идентификатора, аналогичного содержащемуся в пакете запроса. Далее следует поле флагов с длиной в два октета. Формат поля данных UDP-дейтограммы отклика показан на рис. 2.

Рис. 4.2.3.2. Формат отклика WINS

Поле флаги имеет следующую структуру:

0 _ _ _	_ _ _ _	Команда
_ 000	0 _ _ _	Запрос
_ _ _ _	_ _ 0 _	Не укорочено
_ _ _ _	_ _ _ 0	Рекурсия нежелательна
_ _ _ _	_ _ _ 0	Рекурсия нежелательна

1_ _ _	_ _ _ _	Отклик
_ 000	0 _ _ _	Запрос
_ _ _ _	_ _ 0 _	Не укорочено
_ _ _ _	_ 1 _ _	Официальный ответ

Для поля флаги имени характерна следующая структура

0_ _ _	_ _ _ _	Уникальное имя NetBIOS
_ 10 _	_ _ _ _	Узел М-типа
_ _ _ _	_ 1 _ _ _	Активное имя
_ _ _ _	_ _ 0_	Временное имя

Для поля флагов имени группы характерно следующее назначение бит

1 _ _ _	_ _ _ _	Имя группы NetBIOS
_ 10 _	_ _ _ _	Узел М-типа
_ _ _ _	_ 1 _ _	Активное имя
_ _ _ _	_ _ 0_	Временное имя

Протокол WINS весьма удобен для сбора данных о МАС-адресах ЭВМ в многоранговой сети, где получить эти данные с помощью ARP-запросов невозможно. Какие-то данные можно извлечь из кэша маршрутизаторов или таблиц сетевых переключателей, если они доступны с помощью SNMP-запросов. Но WINS может дать больше данных, если рабочая станция использует операционную систему Windows. Так что, когда, скажем, программа Black ICE Defender пришлет вам MAC-адрес атакера, сидящего на другом континенте, не удивляйтесь, на помощь был призван протокол WINS.