詳解TCP/IP協(xié)議棧面臨的五大網(wǎng)絡(luò)安全問(wèn)題

責(zé)任編輯:editor007

2014-12-26 16:53:21

摘自:51cto

(3)接下來(lái)把源地址偽裝成被信任主機(jī),發(fā)送帶有SYN標(biāo)志的數(shù)據(jù)段請(qǐng)求連接;(3)主機(jī)A收到主機(jī)B的確認(rèn)報(bào)文后,再向主機(jī)B發(fā)出一個(gè)確認(rèn)TCP報(bào)文段,其中SYN=1,ACK=1,SEQ=X+1,ACKSEQ=Y+1,這就完成了“第三次握手”。

在本文中,筆者重點(diǎn)解析了TCP/IP協(xié)議棧面臨的五大網(wǎng)絡(luò)安全問(wèn)題,也介紹到企業(yè)網(wǎng)絡(luò)安全管理人員在面臨問(wèn)題時(shí)所能采取的應(yīng)對(duì)措施。

1. IP欺騙

IP Spoof即IP 電子欺騙,可以理解為一臺(tái)主機(jī)設(shè)備冒充另外一臺(tái)主機(jī)的IP地址與其他設(shè)備通信,從而達(dá)到某種目的技術(shù)。早在1985年,貝爾實(shí)驗(yàn)室的一名工程師Robbert Morris在他的一篇文章“A weakness in the 4.2bsdUNIXTCP/IP software”中提出了IP Spoof的概念,有興趣的讀者可參見(jiàn)原文:http://www.coast.net/~emv/tubed/archives/Morris_weakness_in_ TCPIP.txt 。

但要注意:?jiǎn)渭儜{借IP Spoof技術(shù)不可能很好地完成一次完整的攻擊,因?yàn)楝F(xiàn)有IP Spoof技術(shù)是屬于一種“盲人”式的入侵手段。

一般來(lái)說(shuō),IP欺騙攻擊有6個(gè)步驟:

(1)首先使被信任主機(jī)的網(wǎng)絡(luò)暫時(shí)癱瘓,以免對(duì)攻擊造成干擾;

(2)然后連接到目標(biāo)機(jī)的某個(gè)端口來(lái)猜測(cè)ISN基值和增加規(guī)律;

(3)接下來(lái)把源地址偽裝成被信任主機(jī),發(fā)送帶有SYN標(biāo)志的數(shù)據(jù)段請(qǐng)求連接;

(4)然后等待目標(biāo)機(jī)發(fā)送SYN+ACK包給已經(jīng)癱瘓的主機(jī);

(5)最后再次偽裝成被信任主機(jī)向目標(biāo)機(jī)發(fā)送的ACK,此時(shí)發(fā)送的數(shù)據(jù)段帶有預(yù)測(cè)的目標(biāo)機(jī)的ISN+1;

(6)連接建立,發(fā)送命令請(qǐng)求。

下面是它的兩個(gè)關(guān)鍵步驟:

(1)使被信任主機(jī)失去工作能力

為了偽裝成被信任主機(jī)而不露餡,需要使其完全失去工作能力。由于攻擊者將要代替真正的被信任主機(jī),他必須確保真正的被信任主機(jī)不能收到任何有效的網(wǎng)絡(luò)數(shù)據(jù),否則將會(huì)被揭穿。有許多方法可以達(dá)到這個(gè)目的(如SYN洪水攻擊、Land等攻擊)。

(2)序列號(hào)取樣和猜測(cè)

對(duì)目標(biāo)主機(jī)進(jìn)行攻擊,必須知道目標(biāo)主機(jī)的數(shù)據(jù)包序列號(hào)。通常如何進(jìn)行預(yù)測(cè)呢?往往先與被攻擊主機(jī)的一個(gè)端口(如25端口)建立起正常連接。通常,這個(gè)過(guò)程被重復(fù)N次,并將目標(biāo)主機(jī)最后所發(fā)送的ISN存儲(chǔ)起來(lái)。然后還需要估計(jì)他的主機(jī)與被信任主機(jī)之間的往返時(shí)間,這個(gè)時(shí)間是通過(guò)多次統(tǒng)計(jì)平均計(jì)算出來(lái)的。如果往返連接增加64,000,則現(xiàn)就可以估計(jì)出ISN的大小是128,000乘以往返時(shí)間的一半,如果此時(shí)目標(biāo)主機(jī)剛剛建立過(guò)一個(gè)連接,那么再加上64,00。一旦估計(jì)出ISN的大小,就開(kāi)始著手進(jìn)行攻擊,當(dāng)然你的虛假TCP數(shù)據(jù)包進(jìn)入目標(biāo)主機(jī)時(shí),如果剛才估計(jì)的序列號(hào)是準(zhǔn)確的,進(jìn)入的數(shù)據(jù)將被放置在目標(biāo)機(jī)的緩沖區(qū)中。但是在實(shí)際攻擊過(guò)程中往往沒(méi)這么幸運(yùn),如果估計(jì)的序列號(hào)小于正確值,那么將被放棄。而如果估計(jì)的序列號(hào)大于正確值,并且在緩沖區(qū)的大小之內(nèi),那么該數(shù)據(jù)被認(rèn)為是一個(gè)未來(lái)的數(shù)據(jù),TCP模塊將等待其他缺少的數(shù)據(jù)。如果估計(jì)序列號(hào)大于期待的數(shù)字且不在緩沖區(qū)之內(nèi),TCP將會(huì)放棄它并返回一個(gè)期望獲得的數(shù)據(jù)序列號(hào)。偽裝成被信任的主機(jī)IP后,此時(shí)該主機(jī)仍然處在癱瘓狀態(tài),然后向目標(biāo)主機(jī)的被攻擊端口(如25)發(fā)送連接請(qǐng)求。目標(biāo)主機(jī)立刻對(duì)連接請(qǐng)求作出反應(yīng),發(fā)更新SYN+ACK確認(rèn)包給被信任主機(jī),因?yàn)榇藭r(shí)被信任主機(jī)仍然處于癱瘓狀態(tài),它當(dāng)然無(wú)法收到這個(gè)包,緊接著攻擊者向目標(biāo)主機(jī)發(fā)送ACK數(shù)據(jù)包,該數(shù)據(jù)包使用前面估計(jì)的序列號(hào)加1。如果攻擊者估計(jì)正確的話,目標(biāo)主機(jī)將會(huì)接收該ACK。連接就正式建立起了,可以開(kāi)始數(shù)據(jù)傳輸了。

對(duì)于來(lái)自網(wǎng)絡(luò)外部的欺騙,防范的方法很簡(jiǎn)單,只需要在局域網(wǎng)的對(duì)外路由器上加一個(gè)限制設(shè)置就可以實(shí)現(xiàn)了,在路由器的設(shè)置里面禁止運(yùn)行聲稱(chēng)來(lái)自于網(wǎng)絡(luò)內(nèi)部的信息包。

對(duì)于來(lái)自局域網(wǎng)外部的IP欺騙攻擊的防范則可以使用防火墻進(jìn)行防范,但是對(duì)于來(lái)自?xún)?nèi)部的攻擊通過(guò)設(shè)置防火墻則起不到什么作用,這個(gè)時(shí)候應(yīng)該注意內(nèi)部網(wǎng)的路由器是否支持內(nèi)部接口。如果路由器支持內(nèi)部網(wǎng)絡(luò)子網(wǎng)的兩個(gè)接口,則必須提高警惕,因?yàn)樗苋菀资艿絀P欺騙。

通過(guò)對(duì)信息包的監(jiān)控來(lái)檢查IP欺騙攻擊將是非常有效的方法,使用netlog等信息包檢查工具對(duì)信息的源地址和目的地址進(jìn)行驗(yàn)證,如果發(fā)現(xiàn)了信息包來(lái)自?xún)蓚€(gè)以上的不同地址,則說(shuō)明系統(tǒng)有可能受到了IP欺騙攻擊,防火墻外面正有黑客試圖入侵系統(tǒng)。

2. SYN Flooding

SYN Flooding是最為有效和流行的一種DoS攻擊形式。它利用TCP三次握手協(xié)議的缺陷,向目標(biāo)主機(jī)發(fā)送大量的偽造源地址的SYN連接請(qǐng)求,消耗目標(biāo)主機(jī)的資源,從而不能夠?yàn)檎S脩?hù)提供服務(wù)。

在TCP會(huì)話初期,有所謂的“三次握手”過(guò)程:對(duì)每次發(fā)送的數(shù)據(jù)量是怎樣跟蹤進(jìn)行協(xié)商使數(shù)據(jù)段的發(fā)送和接收同步,根據(jù)所接收到的數(shù)據(jù)量而確定的數(shù)據(jù)確認(rèn)數(shù)及數(shù)據(jù)發(fā)送、接收完畢后何時(shí)撤消聯(lián)系,并建立虛連接。為了提供可靠的傳送,TCP在發(fā)送新的數(shù)據(jù)之前,以特定的順序?qū)?shù)據(jù)包進(jìn)行編號(hào),并需要等待這些包傳送給目標(biāo)機(jī)之后的確認(rèn)消息。TCP總是用來(lái)發(fā)送大批量的數(shù)據(jù)。當(dāng)應(yīng)用程序在收到數(shù)據(jù)后要做出確認(rèn)時(shí)也要用到TCP。由于TCP要時(shí)刻跟蹤,這需要額外開(kāi)銷(xiāo),使得TCP的格式有些顯得復(fù)雜。

TCP三次握手的步驟如下:

(1)設(shè)主機(jī)A要與主機(jī)B通信,要建立一個(gè)TCP連接。首先,主機(jī)B(在這兒是服務(wù)器),必須先運(yùn)行一個(gè)服務(wù)器進(jìn)程,發(fā)出一個(gè)“被動(dòng)找開(kāi)”命令給TCP。之后服務(wù)器進(jìn)程便不斷探測(cè)端口,看是否有客戶(hù)進(jìn)程有連接請(qǐng)求。并處于“聽(tīng)”狀態(tài)。客戶(hù)端主機(jī)A的應(yīng)用進(jìn)程,向其TCP發(fā)“主動(dòng)打開(kāi)”命令,指明要與某個(gè)IP地址的某個(gè)端口建立TCP連接。第一次主機(jī)A的TCP便向主機(jī)B的TCP發(fā)出連接請(qǐng)求報(bào)文。TCP報(bào)文中指明了要連接的IP地址(隱含TP數(shù)據(jù)報(bào)指明)和端口號(hào),設(shè)置能夠接受的TCP數(shù)據(jù)段最大值,以及一些用戶(hù)數(shù)據(jù),SYN=1,ACK=0。這稱(chēng)為“第一次握手”。

(2)主機(jī)A的連接請(qǐng)求到達(dá)主機(jī)B后,主機(jī)B的TCP查看是否有進(jìn)程在偵聽(tīng)該端口,如沒(méi)有,就發(fā)送一個(gè)RST=1的應(yīng)答,拒絕連接,否則將到達(dá)TCP數(shù)據(jù)段留給“偵聽(tīng)”進(jìn)程。“偵聽(tīng)”進(jìn)程將發(fā)回一個(gè)應(yīng)答TCP報(bào)文段,其中SYN=1,ACK=1,確認(rèn)序號(hào)ACKSEQ=X+1,同時(shí)自己選一個(gè)發(fā)送序號(hào)SEQ=Y。這是“第二次握手”。

(3)主機(jī)A收到主機(jī)B的確認(rèn)報(bào)文后,再向主機(jī)B發(fā)出一個(gè)確認(rèn)TCP報(bào)文段,其中SYN=1,ACK=1,SEQ=X+1,ACKSEQ=Y+1,這就完成了“第三次握手”。

在SYN Flooding攻擊中,黑客機(jī)器向受害主機(jī)發(fā)送大量偽造源地址的TCP SYN報(bào)文,受害主機(jī)分配必要的資源,然后向源地址返回SYN+ACK包,并等待源端返回ACK包,如圖1所示。由于源地址是偽造的,所以源端永遠(yuǎn)都不會(huì)返回ACK報(bào)文,受害主機(jī)繼續(xù)發(fā)送SYN+ACK包,并將半連接放入端口的積壓隊(duì)列中,雖然一般的主機(jī)都有超時(shí)機(jī)制和默認(rèn)的重傳次數(shù),但是由于端口的半連接隊(duì)列的長(zhǎng)度是有限的,如果不斷地向受害主機(jī)發(fā)送大量的TCP SYN報(bào)文,半連接隊(duì)列就會(huì)很快填滿(mǎn),服務(wù)器拒絕新的連接,將導(dǎo)致該端口無(wú)法響應(yīng)其他機(jī)器進(jìn)行的連接請(qǐng)求,最終使受害主機(jī)的資源耗盡。

圖1 SYN Flooding攻擊示意圖

目前在防御SYN Flooding攻擊方面有2種比較有效的技術(shù)。

(1)SYN-cookie技術(shù)

一般情況下,當(dāng)服務(wù)器收到一個(gè)TCP SYN報(bào)文后,馬上為該連接請(qǐng)求分配緩沖區(qū),然后返回一個(gè)SYN+ACK報(bào)文,這時(shí)形成一個(gè)半連接。SYN Flooding正是利用了這一點(diǎn),發(fā)送大量的偽造源地址的SYN連接請(qǐng)求,而不完成連接。這樣就大量地消耗服務(wù)器的資源。

SYN-cookie技術(shù)針對(duì)標(biāo)準(zhǔn)TCP連接建立過(guò)程資源分配上的這一缺陷,改變了資源分配的策略。當(dāng)服務(wù)器收到一個(gè)SYN報(bào)文后,不立即分配緩沖區(qū),而是利用連接的信息生成一個(gè)cookie,并將這個(gè)cookie作為將要返回的SYN+ACK報(bào)文的初始序列號(hào)。當(dāng)客戶(hù)端返回一個(gè)ACK報(bào)文時(shí),根據(jù)包頭信息計(jì)算cookie,與返回的確認(rèn)序列號(hào)(初始的序列號(hào)+1)的前24位進(jìn)行對(duì)比,如果相同,則是一個(gè)正常連接,然后,分配資源,建立連接。

該技術(shù)的巧妙之點(diǎn)在于避免了在連接信息未完全到達(dá)前進(jìn)行資源分配,使SYN Flooding攻擊的資源消耗失效。實(shí)現(xiàn)的關(guān)鍵之處在于cookie的計(jì)算。cookie的計(jì)算應(yīng)該做到包含本次連接的狀態(tài)信息,使攻擊者不能偽造cookie。cookie的計(jì)算過(guò)程如下。

① 服務(wù)器收到一個(gè)SYN包后,計(jì)算一個(gè)消息摘要mac:

mac = MAC(A,k)

MAC是密碼學(xué)中的一個(gè)消息認(rèn)證碼函數(shù),也就是滿(mǎn)足某種安全性質(zhì)的帶密鑰的hash函數(shù),它能夠提供cookie計(jì)算中需要的安全性。A為客戶(hù)和服務(wù)器雙方的IP地址和端口號(hào)以及參數(shù)t的串聯(lián)組合:A = SOURCE_IP || SOURCE_PORT || DST_IP || DST_PORT || t;K為服務(wù)器獨(dú)有的密鑰;時(shí)間參數(shù)t為32比特長(zhǎng)的時(shí)間計(jì)數(shù)器,每64秒加1;

② 生成cookie:

cookie = mac(0:24):表示取mac值的第0到24比特位;

③ 設(shè)置將要返回的SYN+ACK報(bào)文的初始序列號(hào),設(shè)置過(guò)程如下:

· 高24位用cookie代替;

· 接下來(lái)的3比特位用客戶(hù)要求的最大報(bào)文長(zhǎng)度MMS代替;

· 最后5比特位為t mod 32。

客戶(hù)端收到來(lái)自服務(wù)器SYN+ACK報(bào)文后,返回一個(gè)ACK報(bào)文,這個(gè)ACK報(bào)文將帶一個(gè)cookie(確認(rèn)號(hào)為服務(wù)器發(fā)送過(guò)來(lái)的SYN ACK報(bào)文的初始序列號(hào)加1,所以不影響高24位),在服務(wù)器端重新計(jì)算cookie,與確認(rèn)號(hào)的前24位比較,如果相同,則說(shuō)明未被修改,連接合法,然后,服務(wù)器完成連接的建立過(guò)程。

SYN-cookie技術(shù)由于在連接建立過(guò)程中不需要在服務(wù)器端保存任何信息,實(shí)現(xiàn)了無(wú)狀態(tài)的三次握手,從而有效地防御了SYN Flooding攻擊。但是該方法也存在一些弱點(diǎn)。由于cookie的計(jì)算只涉及了包頭的部分信息,在連接建立過(guò)程中不在服務(wù)器端保存任何信息,所以失去了協(xié)議的許多功能,比如超時(shí)重傳。此外,由于計(jì)算cookie有一定的運(yùn)算量,增加了連接建立的延遲時(shí)間,因此,SYN-cookie技術(shù)不能作為高性能服務(wù)器的防御手段。通常采用動(dòng)態(tài)資源分配機(jī)制,即分配了一定的資源后再采用cookie技術(shù),Linux系統(tǒng)中的SYN-cookie就是這樣實(shí)現(xiàn)的。還有一個(gè)問(wèn)題是,當(dāng)我們避免了SYN Flooding攻擊的同時(shí),也提供了另一種拒絕服務(wù)攻擊方式,攻擊者發(fā)送大量的ACK報(bào)文,使服務(wù)器忙于計(jì)算驗(yàn)證。盡管如此,在預(yù)防SYN Flooding攻擊方面,SYN-cookie技術(shù)仍然是一種有效的技術(shù)。

(2)地址狀態(tài)監(jiān)控的解決方法

地址狀態(tài)監(jiān)控的解決方法是利用監(jiān)控工具對(duì)網(wǎng)絡(luò)中的有關(guān)TCP連接的數(shù)據(jù)包進(jìn)行監(jiān)控,并對(duì)監(jiān)聽(tīng)到的數(shù)據(jù)包進(jìn)行處理。處理的主要依據(jù)是連接請(qǐng)求的源地址。

每個(gè)源地址都有一個(gè)狀態(tài)與之對(duì)應(yīng),總共有四種狀態(tài):

· 初態(tài):任何源地址剛開(kāi)始的狀態(tài);

· NEW狀態(tài):第一次出現(xiàn)或出現(xiàn)多次也不能斷定存在的源地址的狀態(tài);

· GOOD狀態(tài):斷定存在的源地址所處的狀態(tài);

· BAD狀態(tài):源地址不存在或不可達(dá)時(shí)所處的狀態(tài)。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)