。 " E" m) [3 w% t p3 H( S
IP欺骗的技术比较复杂,不是简单地照猫画老虎就能掌握,但作为常规攻击手段,有必要理解其原理,至少有利于自己的安全防范,易守难攻嘛。
# \! ?% k* l5 x$ m3 }0 Z% D q" s7 ]/ Z V) i" L! O2 ~
假设B上的客户运行rlogin与A上的rlogind通信:
( w" q6 U, i8 T9 B! [' D2 I2 w1 O; Z
2 w( m3 ~+ F& u1. B发送带有SYN标志的数据段通知A需要建立TCP连接。并将TCP报头中的sequence number设置成自己本次连接的初始值ISN。 ) ~/ G* L- u9 a9 q: Q& C
, \: {+ E+ E* v, N1 p1 C$ y
2. A回传给B一个带有SYS+ACK标志的数据段,告之自己的ISN,并确认B发送来的第一个数据段,将acknowledge number设置成B的ISN+1。
5 l! x) L" E% r% u2 m5 ?% J4 Q4 o
) t/ M( V2 S6 ^' |, V( M" k3. B确认收到的A的数据段,将acknowledge number设置成A的ISN+1。
9 t; Y4 b2 i4 S* {+ D, i4 E% E
- v. ?' K$ ^ NB ---- SYN ----> A 6 J! Y: D7 r9 u/ V- t' O0 y/ |
B <---- SYN+ACK A # i i' j) z2 p4 C0 k# m5 F. S; T
B ---- ACK ----> A / V) Z% L: K$ S5 N
_* f M4 x$ \- w) r* c
TCP使用的sequence number是一个32位的计数器,从0-4294967295。TCP为每一个连接选择一个初始序号ISN,为了防止因为延迟、重传等扰乱三次握手,ISN不能随便选取,不同系统有不同算法。理解TCP如何分配ISN以及ISN随时间变化的规律,对于成功地进行IP欺骗攻击很重要。
9 X# E4 U, ]5 t5 G+ a2 B: h% [( Z3 r5 ~
基于远程过程调用RPC的命令,比如rlogin、rcp、rsh等等,根据/etc/hosts.equiv以及$HOME/.rhosts文件进行安全校验,其实质是仅仅根据信源IP地址进行用户身份确认,以便允许或拒绝用户RPC。关于上述两个文件请man,不喜欢看英文就去Unix版看看我以前灌过的一瓢水。
# Z, Y" A4 Y( y1 h1 c v5 B6 o/ f+ z% _6 }
IP欺骗攻击的描述: 4 f* e! P) R9 ], I0 t4 ^
3 X% K# C% Z2 ]* H, j
1. 假设Z企图攻击A,而A信任B,所谓信任指/etc/hosts.equiv和$HOME/.rhosts中有相关设置。注意,如何才能知道A信任B呢?没有什么确切的办法。我的建议就是平时注意搜集蛛丝
# {0 ?/ S: ?7 u) }马迹,厚积薄发。一次成功的攻击其实主要不是因为技术上的高明,而是因为信息搜集的广泛翔实。动用了自以为很有成就感的技术,却不比人家酒桌上的巧妙提问,攻击只以成功为终极目标,不在乎手段。 , n* g1 h3 X! X* `9 J
5 `- n% Y" t2 ^1 ?( a4 {2. 假设Z已经知道了被信任的B,应该想办法使B的网络功能暂时瘫痪,以免对攻击造成干扰。著名的SYN flood常常是一次IP欺骗攻击的前奏。请看一个并发服务器的框架: ! A) `$ z; w* r
M* v$ [; R; |: u" ^& E7 Nint initsockid, newsockid;
7 S0 Y2 ^, `& V2 }/ m1 _ }if ((initsockid = socket(...)) <0) {
4 h! n0 J9 t; [ h% u+ perror("can't create socket");
- t7 L5 W' F$ b) p! {# m} ) X6 E' A1 g) h9 v
if (bind(initsockid, ...) <0) { ' E8 g* O8 P' F% o+ G$ C$ m7 B$ ?
error("bind error");
2 i/ z; ^( L' W H0 {# S2 N; Z6 }& b}
1 G% k9 J0 E9 Rif (listen(initsockid, 5) <0) {
1 A6 c. L9 a$ D% E K) u% lerror("listen error"); ! {6 D7 D5 N" B6 d6 d+ `
} . u4 x/ f" @7 x! A" J
for (;;) { , |& ?/ D' J+ r4 P0 _5 u2 ?; B
newsockid = accept(initsockid, ...); /* 阻塞 */ 9 h5 U" a1 S: n
if (newsockid <0) { - r$ l/ i6 m: n& U/ y$ b
error("accept error");
+ Z. E8 \+ i5 ?} 6 u/ L, F' S: ?2 E" Q3 m# F
if (fork() == 0) { /* 子进程 */ 2 w! f2 v% L6 S# J' ^
close(initsockid); # _' w2 ^, e8 A8 @6 F
do(newsockid); /* 处理客户方请求 */
4 @0 l2 j' Y2 x$ Mexit(0); % _3 M! Z0 y2 }) C) R j2 q
} ! {, N: {8 v! w; J) y
close(newsockid);
2 N% m3 ?! \* L6 W}
2 Z0 T' m7 n c! \( x" g) E& a2 Z& `
listen函数中第二个参数是5,意思是在initsockid上允许的最大连接请求数目。如果某个时刻initsockid上的连接请求数目已经达到5,后续到达initsockid的连接请求将被TCP丢弃。注意一旦连接通过三次握手建立完成,accept调用已经处理这个连接,则TCP连接请求队列空出一个位置。所以这个5不是指initsockid上只能接受5个连接请求。SYN flood正是一种Denial of Service,导致B的网络功能暂 碧被尽?nbsp;
* G ?# @; A0 D, b' k# f- W2 W& t
& L0 P. w6 A7 V* p; QZ向B发送多个带有SYN标志的数据段请求连接,注意将信源IP地址换成一个不存在的主机X;B向子虚乌有的X发送SYN+ACK数据段,但没有任何来自X的ACK出现。B的IP层会报告B的TCP层,X不可达,但B的TCP层对此不予理睬,认为只是暂时的。于是B在这个initsockid上再也不能接收正常的连接请求。 5 j/ B$ y6 C$ ]3 s; g; e
% ~$ N3 u' o9 Y" T
Z(X) ---- SYN ----> B " M) A& W; ^& `5 _# B6 ^" g6 X0 d$ w* W
Z(X) ---- SYN ----> B
; M9 q6 X2 X# T* oZ(X) ---- SYN ----> B ; k- K6 o$ e' W* W9 _
Z(X) ---- SYN ----> B 6 }8 G2 r6 o* |& _
Z(X) ---- SYN ----> B
) _8 T n1 z- ?) O, r......
' r! H- ]8 y" IX <---- SYN+ACK B 4 g, g% N" K6 E, F v* Y! ]/ B
X <---- SYN+ACK B ; B+ t7 N9 S. d( p( w
X <---- SYN+ACK B
* q0 A( |+ c6 J: F. e3 u7 Z# FX <---- SYN+ACK B
/ j: P& v4 @& h* w; U1 Y# S& AX <---- SYN+ACK B
: f9 x+ z# d8 d- M0 @- N ?......
- M$ J8 H5 _ {6 d1 P9 a' z2 p. Q& P
3 Z4 J0 p. @) S f2 F0 B+ s作者认为这样就使得B网络功能暂时瘫痪,可我觉得好象不对头。因为B虽然在initsockid上无法接收TCP连接请求,但可以在another initsockid上接收,这种SYN flood应该只对特定的 ! e& b* `: ]. l8 r- k" V- R; y$ f
服务(端口),不应该影响到全局。当然如果不断地发送连接请求,就和用ping发洪水包一个道理,使得B的TCP/IP忙于处理负载增大。至于SYN flood,回头有机会我单独灌一瓢有关DoS的。如何使B的网络功能暂 碧被居 很多办法,根据具体情况而定,不再赘述。
2 U9 B' v5 h3 T) G: e2 W* y
! P0 v9 u- O/ ?9 m: C3. Z必须确定A当前的ISN。首先连向25端口(SMTP是没有安全校验机制的),与1中类似,不过这次需要记录A的ISN,以及Z到A的大致的RTT(round trip time)。这个步骤要重复多次以便求出
- `2 J4 z! E6 @! C% ]0 a! vRTT的平均值。现在Z知道了A的ISN基值和增加规律(比如每秒增加128000,每次连接增加64000),也知道了从Z到A需要RTT/2的时间。必须立即进入攻击,否则在这之间有其他主机与A连接, ( O% W. S( S2 i3 x# |5 t9 \3 Y
ISN将比预料的多出64000。 ' H& c+ C. G% j& u- I6 X- w( ~
+ G' V+ ^" I& i$ w* A2 K P+ q
4. Z向A发送带有SYN标志的数据段请求连接,只是信源IP改成了B,注意是针对TCP513端口(rlogin)。A向B回送SYN+ACK数据段,B已经无法响应(凭什么?按照作者在2中所说,估计还达不到这个效果,因为Z必然要模仿B发起connect调用,connect调用会完成全相关,自动指定本地socket地址和端口,可事实上B很可能并没有这样一个端口等待接收数据。除非Z模仿B发起 $ M9 ~6 }; V4 i/ [- A: J% m7 q$ Y; R
连接请求时打破常规,主动在客户端调用bind函数,明确完成全相关,这样必然知道A会向B的某个端口回送,在2中也针对这个端口攻击B。可是如果这样,完全不用攻击B,bind的时候
$ I5 z. R- Y1 H K指定一个B上根本不存在的端口即可。我也是想了又想,还没来得及看看老外的源代码,不妥之处有待商榷。总之,觉得作者好象在蒙我们,他自己也没有实践成功过吧。),B的TCP层只是
3 L9 T. c, m# V ?0 M, ]简单地丢弃A的回送数据段。 0 V0 V& c' g; ~
# t- C) k, U3 T+ k, G, T5. Z暂停一小会儿,让A有足够时间发送SYN+ACK,因为Z看不到这个包。然后Z再次伪装成B向A发送ACK,此时发送的数据段带有Z预测的A的ISN+1。如果预测准确,连接建立,数据传送开始。问题在于即使连接建立,A仍然会向B发送数据,而不是Z,Z仍然无法看到A发往B的数据段,Z必须蒙着头按照rlogin协议标准假冒B向A发送类似 "cat + + >> ~/.rhosts" 这样的命令,于是攻击完成。如果预测不准确,A将发送一个带有RST标志的数据段异常终止连接,Z只有从头再来。 4 U7 y( @) [' R5 _/ r
9 m( R' h" w* H/ w
Z(B) ---- SYN ----> A
0 s) [3 ~. I! u* j5 A A9 hB <---- SYN+ACK A : u( B V6 ?4 S. n, Q
Z(B) ---- ACK ----> A 4 E. S3 A7 K( e* f9 v, E
Z(B) ---- PSH ----> A " w, C% y6 B8 c0 ?
......
, b! ^$ u$ o* a7 ^+ B% I
0 h2 E' f0 K. _: ^; k; _# f6. IP欺骗攻击利用了RPC服务器仅仅依赖于信源IP地址进行安全校验的特性,建议阅读rlogind的源代码。攻击最困难的地方在于预测A的ISN。作者认为攻击难度虽然大,但成功的可能性 ' J* _0 p* d7 L& ]. O' F( m0 S
也很大,不是很理解,似乎有点矛盾。考虑这种情况,入侵者控制了一台由A到B之间的路由器,假设Z就是这台路由器,那么A回送到B的数据段,现在Z是可以看到的,显然攻击难度 5 H# O# W- @8 r8 k: U8 J! `4 C4 y# B7 t7 \0 n
骤然下降了许多。否则Z必须精确地预见可能从A发往B的信息,以及A期待来自B的什么应答信息,这要求攻击者对协议本身相当熟悉。同时需要明白,这种攻击根本不可能在交互状态下完
* ?6 _6 V/ \. }# G' v成,必须写程序完成。当然在准备阶段可以用netxray之类的工具进行协议分析。
4 b- h( _5 _$ k5 x
$ q( N& X4 J+ y6 b- F. Q7. 如果Z不是路由器,能否考虑组合使用ICMP重定向以及ARP欺骗等技术?没有仔细分析过,只是随便猜测而已。并且与A、B、Z之间具体的网络拓扑有密切关系,在某些情况下显然大幅度 ! c) R+ |" X& z7 ^6 o
降低了攻击难度。注意IP欺骗攻击理论上是从广域网上发起的,不局限于局域网,这也正是这种攻击的魅力所在。利用IP欺骗攻击得到一个A上的shell,对于许多高级入侵者,得到目标主
# h2 B% b1 z* b8 k9 K" t' {机的shell,离root权限就不远了,最容易想到的当然是接下来进行buffer overflow攻击。 ( a3 D2 w) l X% D
* f% R* Q1 O. E6 B% ~8. 也许有人要问,为什么Z不能直接把自己的IP设置成B的?这个问题很不好回答,要具体分析网络拓扑,当然也存在ARP冲突、出不了网关等问题。那么在IP欺骗攻击过程中是否存在ARP冲突问题。回想我前面贴过的ARP欺骗攻击,如果B的ARP Cache没有受到影响,就不会出现ARP冲突。如果Z向A发送数据段时,企图解析A的MAC地址或者路由器的MAC地址,必然会发送ARP请求包,但这个ARP请求包中源IP以及源MAC都是Z的,自然不会引起ARP冲突。而ARP Cache只会被ARP包改变,不受IP包的影响,所以可以肯定地说,IP欺骗攻击过程中不存在ARP冲突。相反,如果Z修改了自己的IP,这种ARP冲突就有可能出现,示具体情况而言。攻击中连带B一起攻击了,其目的无非是防止B干扰了攻击过程,如果B本身已经down掉,那是再好不过(是吗?)。
2 ^9 G4 }! J v0 c. b/ D7 d7 V1 X; j- x; |) j9 z, J: m9 b
9. fakeip曾经沸沸扬扬了一下,我对之进行端口扫描,发现其tcp端口113是接收入连接的。和IP欺骗等没有直接联系,和安全校验是有关系的。当然,这个东西并不如其名所暗示,对IP层没有任何动作。
8 f; W5 V5 }0 Y; p* g. r; W& @9 a; N. ?5 t
10. 关于预测ISN,我想到另一个问题。就是如何以第三方身份切断A与B之间的TCP连接,实际上也是预测sequence number的问题。尝试过,也很困难。如果Z是A与B之间的路由器,就不用说了;或者Z动用了别的技术可以监听到A与B之间的通信,也容易些;否则预测太难。作者在3中提到连接A的25端口,可我想不明白的是513端口的ISN和25端口有什么关系?看来需要看看TCP/IP内部实现的源代码。 , S5 i9 \, {0 j9 s P# N; \
. k0 c: T$ S0 M. u
未雨绸缪
% k) o3 } k- [' \( J2 s6 r0 I
. t) c4 I# @5 d虽然IP欺骗攻击有着相当难度,但我们应该清醒地意识到,这种攻击非常广泛,入侵往往由这里开始。预防这种攻击还是比较容易的,比如删除所有的/etc/hosts.equiv、$HOME/.rhosts文件,修改/etc/inetd.conf文件,使得RPC机制无法运做,还可以杀掉portmapper等等。设置路由器,过滤来自外部而信源地址却是内部IP的报文。cisio公司的产品就有这种功能。不过路由器只防得了外部入侵,内部入侵呢?
0 D" o+ B; _, n" z/ V' ?) [4 T5 t5 d/ M
TCP的ISN选择不是随机的,增加也不是随机的,这使攻击者有规可循,可以修改与ISN相关的代码,选择好的算法,使得攻击者难以找到规律。估计Linux下容易做到,那solaris、irix、hp-unix还有aix呢?sigh 8 t. L3 p6 I" A+ Q, G7 n) {
. ]+ G" }, l. h2 q; w; O5 A& w' y
虽然作者纸上谈兵,但总算让我们了解了一下IP欺骗攻击,我实验过预测sequence number,不是ISN,企图切断一个TCP连接,感觉难度很大。作者建议要找到规律,不要盲目预测,这需要时间和耐心。现在越发明白什么是那种锲而不舍永远追求的精神,我们所向往的传奇故事背后有着如此沉默的艰辛和毅力,但愿我们学会的是这个,而不是浮华与喧嚣。一个现成的bug足以让你取得root权限,可你在做什么,你是否明白?我们太肤浅了...... ' }* U3 Q2 a# z9 n8 _$ _; v" r
浅了...... |