搜索

[17340] 2016-08-12_细节剖析｜Linux设备TCP连接曝高危漏洞

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2016-08-12_细节剖析｜Linux设备TCP连接曝高危漏洞 细 节 剖 析 ｜ L i n u x 设 备 T C P 连 接 曝 高 危 漏 洞 欧 阳 洋 葱   G e e k P w n   2 0 1 6 - 0 8 - 1 2 还 记 得 G e e k P w n 2 0 1 6 澳 门 站 的 选 手 曹 跃 么 ？ 他 成 功 “ 重 现 了 当 年 世 界 头 号 黑 客 凯 文 米 特 尼 克 的 重 现 了 当 年 世 界 头 号 黑 客 凯 文 米 特 尼 克 的 T C P 劫 持 劫 持 ” ， 摘 得 “ 最 大 脑 洞 奖 ” 。 四 大 顶 级 安 全 会 议 之 一 的 U S E N I X 安 全 研 讨 会 公 开 了 这 个 T C P 协 议 边 信 道 漏 洞 ， 该 漏 洞 允 许 攻 击 者 远 程 劫 持 任 意 两 主 机 之 间 的 会 话 。 本 文 来 自 F r e e B u f ， 作 者 ： 欧 阳 洋 葱 一 般 我 们 会 认 为 ， 要 确 认 互 联 网 上 的 任 意 两 台 主 机 设 备 是 否 建 立 T C P 连 接 通 讯 ， 其 实 并 不 容 易 — — 攻 击 者 如 果 不 在 双 方 的 通 讯 路 径 中 ， 就 更 是 如 此 了 。 另 外 如 果 攻 击 者 并 不 在 通 讯 路 径 中 ， 要 中 途 中 断 双 方 的 这 种 连 接 ， 甚 至 是 篡 改 连 接 ， 理 论 上 也 是 不 大 可 能 的 。 不 过 来 自 加 州 大 学 河 滨 分 校 ， 以 及 美 国 陆 军 研 究 实 验 室 的 不 过 来 自 加 州 大 学 河 滨 分 校 ， 以 及 美 国 陆 军 研 究 实 验 室 的 6 名 研 究 人 员 ， 最 近 联 合 发 表 了 一 篇 论 文 ， 题 为 《 名 研 究 人 员 ， 最 近 联 合 发 表 了 一 篇 论 文 ， 题 为 《 O f f - P a t h T C P   E x p l o i t s :   G l o b a l   R a t e   L i m i t   C o n s i d e r e d   D a n g e r o u s 》 。 这 篇 文 章 提 到 》 。 这 篇 文 章 提 到 L i n u x 服 务 器 的 服 务 器 的 T C P 连 接 实 施 方 案 存 在 高 危 安 全 连 接 实 施 方 案 存 在 高 危 安 全 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 来 劫 持 未 加 密 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 来 劫 持 未 加 密 W e b 流 量 ， 或 者 破 坏 如 流 量 ， 或 者 破 坏 如 T o r 连 接 一 类 的 加 密 通 讯 ； 此 漏 洞 编 号 连 接 一 类 的 加 密 通 讯 ； 此 漏 洞 编 号 C V E - 2 0 1 6 - 5 6 9 6 。 。 这 里 的 “ 高 危 ” 属 性 ， 主 要 体 现 在 几 点 ， 其 一 是 “ o f f - p a t h ” ， 也 就 是 攻 击 者 不 需 要 处 在 通 讯 路 径 中 ， 也 就 是 攻 击 者 不 需 要 处 在 通 讯 路 径 中 — — 这 话 听 起 来 有 些 费 解 ， 举 个 例 子 ： 传 统 意 义 上 的 中 间 人 攻 击 就 属 于 处 在 通 讯 路 径 中 的 典 型 。 所 以 对 该 漏 洞 的 利 用 ， 是 不 需 要 攻 击 者 接 入 通 讯 双 方 的 网 络 中 的 。 其 二 ， 如 果 利 用 该 漏 洞 在 服 务 器 和 客 户 端 的 其 二 ， 如 果 利 用 该 漏 洞 在 服 务 器 和 客 户 端 的 T C P 连 接 中 进 行 流 量 劫 持 攻 击 ， 服 务 器 和 客 户 端 是 不 需 要 植 入 任 何 恶 意 连 接 中 进 行 流 量 劫 持 攻 击 ， 服 务 器 和 客 户 端 是 不 需 要 植 入 任 何 恶 意 程 序 的 。 程 序 的 。 也 就 是 说 ， 受 害 者 和 攻 击 者 之 间 根 本 就 不 需 要 进 行 互 动 ， 攻 击 者 就 可 以 进 行 这 种 攻 击 行 为 。 从 这 两 点 来 看 ， 这 个 漏 洞 的 确 是 相 当 的 危 险 。 这 个 漏 洞 的 危 害 极 大 这 个 漏 洞 的 危 害 极 大 C V E - 2 0 1 6 - 5 6 9 6 漏 洞 说 起 来 还 是 相 当 有 趣 ， 它 主 要 影 响 的 是 L i n u x 系 统 。 具 体 说 来 ， L i n u x 内 核 版 本 在 内 核 版 本 在 v 3 . 6 至 至 v 4 . 7 之 间 的 系 统 之 间 的 系 统 都 受 到 影 响 ， 都 受 到 影 响 ， 也 就 是 过 去 4 年 间 的 各 类 L i n u x 系 统 受 到 影 响 。 据 说 针 对 该 漏 洞 的 L i n u x 内 核 补 丁 已 经 开 发 出 来 ， 而 且 研 究 人 员
也 专 门 为 客 户 端 和 服 务 器 主 机 设 备 开 发 了 相 应 的 补 丁 ， 增 加 该 漏 洞 的 利 用 难 度 。 不 是 说 是 相 关 T C P 连 接 的 一 个 漏 洞 吗 ？ 怎 么 又 跟 L i n u x 系 统 相 关 ？ 这 事 儿 是 这 样 的 ： 在 T C P 连 接 的 设 计 中 ， 安 全 原 本 就 不 是 主 要 考 量 因 素 。 所 以 无 论 是 在 s p e c i f i c a t i o n 层 面 ， 还 是 i m p l e m e n t a t i o n 层 面 ， 都 有 不 少 安 全 加 强 措 施 。 有 个 标 准 叫 R F C   5 9 6 1 — — 它 具 体 给 出 了 两 台 主 机 设 备 间 建 立 T C P 通 讯 的 一 些 规 定 ， 就 是 为 了 加 强 安 全 性 的 。 不 过 悲 剧 的 是 ， 研 究 人 员 发 现 了 R F C   5 9 6 1 的 实 施 存 在 一 些 弱 点 。 上 述 内 核 版 本 的 L i n u x 系 统 则 严 格 遵 守 了 R F C   5 9 6 1 规 格 ， 自 然 也 就 存 在 这 方 面 的 漏 洞 了 。 常 规 T C P 握 手 那 么 利 用 C V E - 2 0 1 6 - 5 6 9 6 漏 洞 ， 究 竟 可 以 干 嘛 呢 ？ 文 首 提 到 的 对 连 接 进 行 劫 持 攻 击 ， 的 确 是 对 该 漏 洞 利 用 的 最 坏 情 况 。 更 为 直 接 地 说 ， 利 用 该 漏 洞 可 以 确 认 互 联 网 上 的 任 意 两 台 主 机 是 否 通 过 利 用 该 漏 洞 可 以 确 认 互 联 网 上 的 任 意 两 台 主 机 是 否 通 过 T C P 连 接 进 行 通 讯 （ 并 发 现 端 口 号 ） ， 以 及 推 连 接 进 行 通 讯 （ 并 发 现 端 口 号 ） ， 以 及 推 测 出 测 出 T C P 报 文 头 的 序 列 号 （ 报 文 头 的 序 列 号 （ s e q u e n c e   n u m b e r ） ， 这 样 一 来 就 能 强 制 终 止 双 方 的 连 接 ， 甚 至 在 连 接 中 插 入 恶 意 ） ， 这 样 一 来 就 能 强 制 终 止 双 方 的 连 接 ， 甚 至 在 连 接 中 插 入 恶 意 p a y l o a d 了 。 了 。 通 过 该 漏 洞 针 对 S S H 、 T o r 之 类 的 加 密 服 务 进 行 重 置 ， 以 及 D o S 攻 击 也 是 可 行 的 ， 而 破 坏 这 种 加 密 连 接 可 能 会 让 用 户 转 而 选 择 相 对 没 那 么 安 全 的 通 讯 工 具 。 由 于 对 攻 击 者 而 言 ， 根 本 就 不 需 要 处 在 “ 中 间 人 ” 的 位 置 （ 也 就 是 所 谓 的 o f f - p a t h ） ， 而 且 整 个 过 程 不 需 要 与 受 害 者 进 行 互 动 ， 所 以 研 究 人 员 认 为 ， 该 漏 洞 可 能 对 互 联 网 安 全 隐 私 产 生 极 大 影 响 。 究 竟 是 怎 么 做 到 的 ？ 究 竟 是 怎 么 做 到 的 ？ 一 般 来 说 ， 我 们 要 破 解 某 些 加 密 数 据 ， 如 果 加 密 方 式 非 常 复 杂 令 我 们 束 手 无 策 ， 则 不 妨 转 换 一 下 思 路 ， 改 用 边 信 道 攻 击 。 针 对 针 对 C V E - 2 0 1 6 - 5 6 9 6 漏 洞 的 利 用 ， 实 际 上 也 是 采 用 边 信 道 攻 击 方 案 漏 洞 的 利 用 ， 实 际 上 也 是 采 用 边 信 道 攻 击 方 案 — — 走 的 是 偏 门 。 由 于 整 个 过 程 还 是 比 较 复 杂 的 ， 鉴 于 篇 幅 关 系 ， 我 们 只 能 简 单 谈 一 谈 ：
整 个 攻 击 模 型 如 上 图 所 示 ， 图 1 的 情 况 是 进 行 I P 地 址 欺 骗 （ I S P 可 让 “ o f f - p a t h ” 的 攻 击 者 伪 装 受 害 人 的 I P 地 址 像 服 务 器 发 包 ） ， 图 2 的 情 况 也 就 不 用 多 说 了 。 其 实 要 满 足 这 种 攻 击 ， 攻 击 者 发 出 欺 骗 T C P 包 ， 达 到 D o S 或 者 数 据 注 入 的 攻 击 目 标 ， 首 先 需 要 知 道 服 务 器 和 客 户 端 双 方 T C P 通 讯 的 源 I P 地 址 、 目 标 I P 地 址 、 源 端 口 、 目 标 端 口 ， 最 重 要 的 一 点 是 需 要 猜 测 T C P 序 列 号 ， 只 有 序 列 号 i n - w i n d o w ， 才 能 对 连 接 进 行 重 置 或 者 注 入 恶 意 数 据 。 这 里 猜 测 的 序 列 号 需 要 满 足 R C V . N X T   ≤   S E G . S E Q   ≤   R C V . N X T   +   R C V . W N D 的 条 件 ， 其 中 S E G . S E Q 就 是 猜 测 的 序 列 号 ； R C V . N X T 和 R C V . W N D 分 别 是 指 接 收 方 预 期 的 下 一 字 节 的 序 列 号 ， 以 及 接 收 w i n d o w s   s i z e 。 攻 击 者 可 以 利 用 大 量 欺 骗 包 进 行 序 列 号 猜 测 。 为 了 应 对 这 种 攻 击 ， R F C   5 9 6 1 登 场 了 — — 没 错 就 是 前 文 提 到 的 标 准 ！ R F C   5 9 6 1 针 对 T C P 处 理 接 收 到 的 包 的 方 法 ， 做 了 一 些 修 改 。 S e q u e n c e   N u m b e r 在 在 T C P 报 文 头 位 置 报 文 头 位 置 比 如 说 以 前 ， 某 主 机 收 到 S Y N 握 手 包 ， 判 断 序 列 号 在 有 效 w i n d o w s 之 外 ， 则 向 发 送 方 回 传 A C K ； 如 果 序 列 号 i n - w i n d o w ， 那 么 接 收 方 对 双 方 的 连 接 进 行 重 置 。 这 么 做 的 缺 陷 比 较 明 显 ， 攻 击 者 只 需 要 一 个 i n - w i n d o w s 序 列 号 的 S Y N 包 就 能 重 置 目 标 双 方 的 T C P 连 接 。 所 以 在 R F C   5 9 6 1 中 ， 接 收 方 收 到 S Y N 包 后 ， 无 论 序 列 号 如 何 ， 都 会 回 传 一 则 c h a l l e n g e   A C K 报 文 ， 以 便 确 认 先 前 的 连 接 是 否 真 的 已 丢 失 。 如 果 说 这 个 S Y N 包 的 确 是 合 法 对 象 初 始 化 发 出 的 ， 也 就 意 味 着 双 方 的 连 接 要 进 行 重 置 。 对 方 在 收 到 c h a l l e n g e A C K 之 后 ， 会 发 出 一 个 R S T 包 ， 其 中 就 带 有 “ 正 确 的 ” 序 列 号 ， 证 明 先 前 的 连 接 的 确 是 丢 失 了 。 这 样 一 来 ， 如 果 S Y N 包 是 攻 击 者 伪 造 的 ， 即 便 有 i n - w i n d o w 序 列 号 ， 那 么 也 就 不 能 达 到 终 止 连 接 的 目 的 。 上 面 只 是 举 了 一 个 例 子 ， R F C   5 9 6 1 的 标 准 规 定 还 有 很 多 ， 比 如 A C K   T h r o t t l i n g ： 为 了 减 少 C P U 和 带 宽 资 源 浪 费 ， 所 以 要 限 制 c h a l l e n g e   A C K 发 出 的 数 量 ， R F C   5 9 6 1 就 引 入 了 这 里 的 A C K   T h r o t t l i n g 机 制 。 系 统 管 理 员 也 可 以 对 c h a l l e n g e   A C K 发 出 的 最 大 周 期 值 （ 每 秒 发 出 多 少 个 ） 进 行 配 置 。 近 4 年 来 的 L i n u x 内 核 都 遵 从 这 一 守 则 ， 系 统 中 有 个 全 局 变 量 s y s c t l _ t c p _ c h a l l e n g e _ a c k _ l i m i t ， 就 是 存 储 c h a l l e n g e   A C K 计 数 器 。
正 是 这 个 A C K   T h r o t t l i n g 机 制 ， 造 成 了 边 信 道 攻 击 的 可 行 性 。 这 里 每 秒 发 出 C h a l l e n g e   A C K 的 限 制 是 在 整 个 连 接 中 进 行 共 享 的 （ 也 包 含 建 立 连 接 的 攻 击 者 ） 。 攻 击 第 一 步 过 程 是 这 样 的 ： 攻 击 者 首 先 发 出 一 些 欺 骗 包 ， 制 造 全 局 c h a l l e n g e   A C K 速 率 限 制 冲 突 ， 比 如 说 向 服 务 器 发 起 常 规 连 接 ， 触 发 c h a n l l e n g e   A C K 最 大 值 的 限 制 ， 然 后 再 计 算 一 下 连 接 中 实 际 收 到 的 c h a l l e n g e   A C K 数 量 。 如 果 这 个 数 量 少 于 系 统 限 制 ， 表 明 有 部 分 c h a l l e n g e   A C K 是 用 于 回 应 欺 骗 S Y N 包 的 。 这 样 一 来 也 就 可 以 判 断 ， 双 方 的 T C P 连 接 是 否 存 在 了 。 另 外 根 据 更 多 信 息 还 可 以 判 断 服 务 器 预 期 的 下 一 个 序 列 号 （ T C V . N X T ） ， 下 一 个 A C K 号 。 具 体 是 怎 么 判 断 的 ， 各 位 可 以 回 复 后 台 ： 回 复 后 台 ： T C P 劫 持 论 文 劫 持 论 文 ， 即 可 获 得 P D F 文 档 链 接 。 里 面 进 行 了 非 常 详 细 的 阐 述 — — 甚 至 还 提 到 了 实 际 操 作 中 可 能 存 在 的 一 些 挑 战 ， 整 个 过 程 还 是 相 当 有 趣 的 。 T C P 劫 持 实 操 劫 持 实 操 研 究 人 员 在 报 告 中 还 为 此 做 了 个 实 验 ， 他 们 用 实 验 室 一 台 装 了 U b u n t u   1 4 . 0 4 的 计 算 机 和 U S A T o d a y 站 点 建 立 连 接 。 这 个 站 点 会 建 立 起 长 期 T C P 连 接 ， 每 3 0 秒 周 期 性 进 行 新 闻 更 新 。 然 后 再 用 一 台 同 样 安 装 U b u n t u   1 4 . 0 4 的 主 机 发 起 攻 击 ， 在 完 成 序 列 号 猜 测 过 后 ， 攻 击 设 备 通 过 向 服 务 器 发 送 欺 骗 包 来 进 行 所 谓 的 去 同 步 化 攻 击 （ d e - s y n c h r o n i z a t i o n ） 。 向 服 务 器 发 出 欺 骗 包 之 后 ， 服 务 器 会 向 受 害 客 户 端 发 出 响 应 。 由 于 欺 骗 包 并 不 是 客 户 端 发 出 的 ， 所 以 客 户 端 不 会 接 受 该 回 应 （ 带 无 效 的 A C K 号 ） 。 随 后 ， 服 务 器 也 不 会 再 接 受 客 户 端 的 初 始 化 请 求 ， 因 为 序 列 号 此 时 不 对 了 （ 因 为 有 中 间 攻 击 设 备 嘛 ） 。 这 样 一 来 ， 双 方 的 同 步 就 正 式 解 除 了 ， 就 不 需 要 再 担 心 受 害 者 的 客 户 端 会 首 先 收 到 服 务 器 的 响 应 了 。 这 次 实 验 成 功 劫 持 了 双 方 的 连 接 ， 而 且 研 究 人 员 还 在 网 页 上 方 插 入 了 钓 鱼 注 册 窗 口 ， 如 上 图 所 示 ！ 注 意 哦 ， 这 种 劫 持 是 基
于 攻 击 者 根 本 就 不 在 两 边 通 讯 路 径 的 基 础 上 ， 是 不 是 感 觉 还 挺 恐 怖 的 ？ 下 面 这 张 图 是 研 究 人 员 在 重 复 进 行 实 验 1 0 次 的 成 功 率 ， 结 果 还 是 挺 让 人 满 意 的 。 据 说 ， 整 个 攻 击 过 程 ， 到 准 确 猜 出 双 方 交 换 的 T C P 包 序 列 号 ， 仅 需 大 约 1 0 秒 。 L i n u x 用 户 请 特 别 留 意 你 正 在 使 用 的 内 核 版 本 号 ， 以 及 最 新 版 的 更 新 信 息 。 W i n d o w s 和 M a c 用 户 ， 还 有 F r e e B S D 用 户 似 乎 完 全 不 需 要 担 心 ， 它 们 并 没 有 采 用 A C K   t h r o t t l i n g 机 制 。 从 应 对 策 略 来 说 ， 似 乎 消 除 这 种 边 信 道 探 测 的 可 行 性 即 可 ， 就 是 取 消 对 取 消 对 c h a l l e n g e   A C K 的 限 制 （ 具 体 说 是 调 整 的 限 制 （ 具 体 说 是 调 整 s y s c t l _ t c p _ c h a l l e n g e _ a c k _ l i m i t 的 值 ） 的 值 ） ， 但 这 么 做 可 能 对 资 源 存 在 过 度 消 耗 ； 或 者 在 策 略 上 每 个 连 接 采 用 单 独 的 计 数 器 ， 这 样 就 不 会 受 到 其 他 连 接 的 干 扰 了 ； 或 者 也 可 以 对 这 里 的 “ 边 信 道 ” 添 加 噪 声 （ 这 是 应 对 边 信 道 攻 击 的 常 规 策 略 ） ， 具 体 说 来 是 加 入 随 机 值 。 后 两 种 方 案 其 实 都 是 说 给 L i n u x 社 区 听 的 ， 对 L i n u x 用 户 而 言 ， 还 是 准 备 做 升 级 工 作 吧 。 曹 跃 在 极 棒 澳 门 站 现 场 G e e k P w n 招 募 i n g 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理