搜索

[14191] 2019-06-04_浅谈IPv6的风险防御

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-04_浅谈IPv6的风险防御 浅 谈 I P v 6 的 风 险 防 御 原 创   z h u k a i a n g 7   F r e e B u f   2 0 1 9 - 0 6 - 0 4 前 言 前 言 最 近 的 客 户 ， 从 前 年 开 始 进 行 最 近 的 客 户 ， 从 前 年 开 始 进 行 i p v 4 到 到 i p v 6 的 过 渡 ， 到 目 前 为 止 ， 大 部 分 设 备 处 于 双 栈 或 者 部 分 系 统 没 有 进 行 过 的 过 渡 ， 到 目 前 为 止 ， 大 部 分 设 备 处 于 双 栈 或 者 部 分 系 统 没 有 进 行 过 渡 更 新 。 渡 更 新 。 因 为 毕 竟 是 甲 方 ， 所 以 工 作 推 进 的 很 稳 健 ， 到 交 到 我 们 手 上 的 时 候 ， 我 们 只 需 要 输 出 关 于 对 i p v 6 的 攻 击 与 防 御 及 优 化 方 案 。 伊 始 伊 始 说 到 i p v 6 ， 很 多 人 可 能 都 有 一 些 了 解 ， 所 以 如 果 上 来 就 p i n g 目 标 域 名 的 话 ， 1 0 0 % 解 析 的 是 i p v 4 的 地 址 。 如 图 所 示 ， 因 为 目 标 服 务 器 客 户 已 经 在 防 火 墙 上 设 置 了 禁 p i n g ， 所 以 这 里 我 们 只 看 解 析 的 地 址 ， 很 明 显 ， 这 是 i p v 4 地 址 。 那 么 我 们 如 何 解 析 为 i p v 6 的 地 址 ， 让 它 走 i p v 6 的 流 量 呢 。 在 l i n u x 下 ： p i n g 6   ( 域 名 或 者 域 名 或 者 i p v 6 地 址 地 址 ) 不 过 如 果 p c 请 求 端 配 置 错 误 的 情 况 下 ， 可 能 会 出 现 ： w i n d o w s 下 当 支 持 i p v 6 的 时 候 如 何 解 析 i p v 6 呢 ？ p i n g   - 6   ( i p v 6 地 址 地 址 ) 配 置 配 置
w i n d o w s D N S 服 务 器 设 置 为 2 4 0 c : 6 6 6 6 。 简 单 的 原 则 就 是 ： 跃 点 数 越 小 ， 网 络 优 先 级 越 高 。 跃 点 数 的 理 论 赋 值 范 围 是   1   ~   9 9 9 ， 但 跃 点 数 低 于 1 0   ， 可 能 会 导 致 某 些 网 络 访 问 失 败 。 基 本 配 置 ： 基 本 配 置 ： 1 . 攻 击 端 攻 击 端 硬 件 ： 阿 里 云 I P v 6 主 机 一 台 网 络 ： I P v 6 地 址 （ x x x x ） 2 . 服 务 端 服 务 端 硬 件 ： 外 网 网 站 同 配 置 的 冗 余 主 机 网 络 ： I P v 6 地 址 （ x x x x ） 验 证 工 具 ： I P v 6 攻 击 工 具 套 件 、 A W V S 漏 洞 ， p o c s u i t e 。 i p v 6 现 状 ： 现 状 ： I P v 6 相 比 I P v 4 虽 然 在 协 议 安 全 性 方 面 进 行 了 改 进 ， 但 传 输 数 据 报 的 基 本 机 制 没 有 发 生 改 变 ， 依 然 存 在 一 些 和 I P v 4 相 同 的 攻 击 ， 如 针 对 应 用 层 （ H T T P ） 、 传 输 层 （ T C P ） 的 攻 击 ， 同 样 对 I P v 6 网 络 构 成 较 大 威 胁 。 由 于 I P v 6 协 议 发 布 较 早 ， 随 着 I P v 6 推 广 的 逐 步 扩 大 、 一 些 新 型 攻 击 方 式 也 不 断 出 现 ， 如 利 用 I P v 6 扩 展 报 头 、 N D P 协 议 以 及 I C M P v 6 的 攻 击 ， 都 是 针 对 I P v 6 协 议 存 在 的 各 类 缺 陷 。 另 外 ， I P v 4 向 I P v 6 过 渡 长 期 共 存 也 引 发 新 的 安 全 挑 战 ， 如 双 栈 机 制 过 滤 不 严 、 利 用 隧 道 机 制 绕 过 安 全 设 备 等 等 。 综 上 所 述 ， 在 设 计 验 证 方 案 时 ， 按 验 证 的 方 向 分 为 三 类 ： I P v 4 和 I P v 6 共 有 安 全 、 I P v 6 特 有 安 全 、 I P v 4 / v 6 过 渡 长 期 共 存 的 安 全 。 主 要 评 估 客 户 网 站 安 全 设 备 对 基 于 I P v 6 流 量 的 传 统 网 络 及 应 用 攻 击 的 防 护 效 果 ， 验 证 选 取 一 些 典 型 攻 击 方 式 ， 如 S Q L 注 入 、 X S S 、 远 程 溢 出 等 进 行 测 试 。 测 试 用 例 设 计 如 下 ：
主 要 评 估 客 户 外 网 网 站 安 全 设 备 对 利 用 I P v 6 协 议 漏 洞 发 起 攻 击 的 防 护 效 果 。 利 用 I P v 6 协 议 漏 洞 的 攻 击 ， 目 前 已 知 的 I P v 6 攻 击 手 段 有 N D P 欺 骗 攻 击 、 路 由 重 定 向 攻 击 、 I C M P v 6 协 议 攻 击 （ O v e r l a r g e   P i n g 等 ） 、 基 于 I P v 6 的 S Y N   F l o o d 攻 击 等 ， 其 中 N D P 中 欺 骗 攻 击 、 路 由 重 定 向 攻 击 基 于 L A N 的 攻 击 ， 不 属 于 本 次 验 证 范 围 ， 因 此 验 证 选 取 I C M P v 6 协 议 攻 击 、 基 于 I P v 6 的 S Y N   F l o o d 攻 击 等 进 行 测 试 。 测 试 用 例 设 计 如 下 ： 主 要 评 估 客 户 外 网 网 站 安 全 设 备 在 支 持 双 栈 协 议 的 网 络 环 境 下 ， 对 过 渡 机 制 下 面 临 安 全 问 题 的 防 护 效 果 。 双 栈 机 制 允 许 访 问 路 径 沿 途 设 备 同 时 支 持 I P v 4 与 I P v 6 数 据 包 ， 如 果 攻 击 者 控 制 一 台 I P v 4 设 备 ， 可 以 建 立 I P v 6 地 址 的 隧 道 ， 使 用 两 种 协 议 协 同 作 战 ， 从 而 绕 过 防 火 墙 或 者 I D S 设 备 。 本 次 验 证 ， 假 设 攻 击 者 已 控 制 服 务 端 主 机 ， 通 过 尝 试 建 立 I P v 6 隧 道 ， 测 试 对 I D S 设 备 的 穿 透 效 果 。 测 试 用 例 设 计 如 下 ： 测 试 总 结 ： 测 试 总 结 ： 客 户 购 买 了 大 量 的 安 全 设 备 ， 最 后 只 在 2 台 设 备 上 捕 捉 到 了 I P V 6 的 攻 击 流 量 。 感 慨 国 内 i p v 6 的 安 全 发 展 ， 任 重 道 远 。
经 过 验 证 测 试 ， 发 现 I P v 6 网 络 的 安 全 防 护 ， 存 在 以 下 问 题 ： （ 1 ） 部 分 安 全 设 备 ， 实 际 对 I P v 6 的 支 持 不 足 。 如 部 分 安 全 设 备 无 法 查 询 出 I P v 6 攻 击 日 志 ， 甚 至 存 在 I P v 6 网 络 连 通 性 的 问 题 。 如 通 过 某 台 I P S 设 备 ， P i n g 外 网 网 站 的 I P v 4 和 I P v 6 地 址 测 试 ， 网 络 连 通 性 存 在 差 异 。 I P v 4 地 址 网 络 可 达 I P v 6 地 址 网 络 不 可 达 。 2 ） 安 全 设 备 对 通 过 I P v 6 o v e r 4 隧 道 实 施 的 内 网 穿 透 检 测 能 力 不 足 。 此 类 内 网 穿 透 ， 通 常 发 生 在 防 火 墙 内 部 ， 防 火 墙 难 以 检 测 。 通 过 建 立 I P 6 o v e r 4 隧 道 ， 又 使 得 攻 击 隐 蔽 ， 可 以 绕 过 I P S 等 安 全 设 备
后 记 后 记 i p v 4 转 向 i p v 6 的 大 潮 流 是 不 可 替 代 的 ， 就 如 5 G 一 样 ， 虽 然 现 在 因 为 各 种 各 样 的 原 因 ， 推 进 的 不 是 很 快 ， 但 是 总 有 一 天 ， 这 个 时 代 会 来 临 ， 所 以 有 兴 趣 的 兄 弟 可 以 开 始 学 习 了 。 在 写 方 案 时 期 ， 查 阅 很 多 学 术 论 文 ， 零 几 年 的 文 章 有 很 多 ， 不 得 不 感 慨 时 光 流 逝 ， 和 前 人 的 高 瞻 远 瞩 。 因 涉 及 敏 感 信 息 ， 部 分 打 码 ， 文 中 工 具 及 脚 本 暂 不 公 开 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： z h u k a i a n g 7 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理