搜索

[20940] 2017-11-11_IP碎片攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-11-11_IP碎片攻击 I P 碎 片 攻 击 L e m o n S e c   2 0 1 7 - 1 1 - 1 1 1 .   为 什 么 存 在 I P 碎 片 链 路 层 具 有 最 大 传 输 单 元 M T U 这 个 特 性 ， 它 限 制 了 数 据 帧 的 最 大 长 度 ， 不 同 的 网 络 类 型 都 有 一 个 上 限 值 。 以 太 网 的 M T U 是 1 5 0 0 ， 你 可 以 用   n e t s t a t   - i   命 令 查 看 这 个 值 。 如 果 I P 层 有 数 据 包 要 传 ， 而 且 数 据 包 的 长 度 超 过 了 M T U ， 那 么 I P 层 就 要 对 数 据 包 进 行 分 片 ( f r a g m e n t a t i o n ) 操 作 ， 使 每 一 片 的 长 度 都 小 于 或 等 于 M T U 。 我 们 假 设 要 传 输 一 个 U D P 数 据 包 ， 以 太 网 的 M T U 为 1 5 0 0 字 节 ， 一 般 I P 首 部 为 2 0 字 节 ， U D P 首 部 为 8 字 节 ， 数 据 的 净 荷 ( p a y l o a d ) 部 分 预 留 是 1 5 0 0 - 2 0 - 8 = 1 4 7 2 字 节 。 如 果 数 据 部 分 大 于 1 4 7 2 字 节 ， 就 会 出 现 分 片 现 象 。 I P 首 部 包 含 了 分 片 和 重 组 所 需 的 信 息 : I d e n t i f i c a t i o n   R   D F   M F   f r a g m e n t   O f f s e t I d e n t i f i c a t i o n : 发 送 端 发 送 的 I P 数 据 包 标 识 字 段 都 是 一 个 唯 一 值 ， 该 值 在 分 片 时 被 复 制 到 每 个 片 中 。 R : 保 留 未 用 。 D F : D o n ' t   F r a g m e n t ， " 不 分 片 " 位 ， 如 果 将 这 一 比 特 置 1   ， I P 层 将 不 对 数 据 报 进 行 分 片 。 M F : M o r e   F r a g m e n t ， " 更 多 的 片 " ， 除 了 最 后 一 片 外 ， 其 他 每 个 组 成 数 据 报 的 片 都 要 把 该 比 特 置 1 。 F r a g m e n t   O f f s e t : 该 片 偏 移 原 始 数 据 包 开 始 处 的 位 置 。 偏 移 的 字 节 数 是 该 值 乘 以 8 。 另 外 ， 当 数 据 报 被 分 片 后 ， 每 个 片 的 总 长 度 值 要 改 为 该 片 的 长 度 值 。 每 一 I P 分 片 都 各 自 路 由 ， 到 达 目 的 主 机 后 在 I P 层 重 组 ， 请 放 心 ， 首 部 中 的 数 据 能 够 正 确 完 成 分 片 的 重 组 。 你 不 禁 要 问 ， 既 然 分 片 可 以 被 重 组 ， 那 么 所 谓 的 碎 片 攻 击 是 如 何 产 生 的 呢 ? 2 .   I P 碎 片 攻 击 I P 首 部 有 两 个 字 节 表 示 整 个 I P 数 据 包 的 长 度 ， 所 以 I P 数 据 包 最 长 只 能 为 0 x F F F F ， 就 是 6 5 5 3 5 字 节 。 如 果 有 意 发 送 总 长 度 超 过 6 5 5 3 5 的 I P 碎 片 ， 一 些 老 的 系 统 内 核 在 处 理 的 时 候 就 会 出 现 问 题 ， 导 致 崩 溃 或 者 拒 绝 服 务 。 另 外 ， 如 果 分 片 之 间 偏 移 量 经 过 精 心 构 造 ， 一 些 系 统 就 无 法 处 理 ， 导 致 死 机 。 所 以 说 ， 漏 洞 的 起 因 是 出 在 重 组 算 法 上 。 下 面 我 们 逐 个 分 析 一 些 著 名 的 碎 片 攻 击 程 序 ， 来 了 解 如 何 人 为 制 造 I P 碎 片 来 攻 击 系 统 。 3 .   p i n g   o '   d e a t h p i n g   o '   d e a t h 是 利 用 I C M P 协 议 的 一 种 碎 片 攻 击 。 攻 击 者 发 送 一 个 长 度 超 过 6 5 5 3 5 的 E c h o   R e q u e s t 数 据 包 ， 目 标 主 机 在 重 组 分 片 的 时 候 会 造 成 事 先 分 配 的 6 5 5 3 5 字 节 缓 冲 区 溢 出 ， 系 统 通 常 会 崩 溃 或 挂 起 。 p i n g 不 就 是 发 送 I C M P   E c h o   R e q u e s t 数 据 包 的 吗 ? 让 我 们 尝 试 攻 击 一 下 吧 ! 不 管 I P 和 I C M P 首 部 长 度 了 ， 数 据 长 度 反 正 是 多 多 益 善 ， 就 6 5 5 3 5 吧 ， 发 送 一 个 包 : #   p i n g   - c   1   - s   6 5 5 3 5   1 9 2 . 1 6 8 . 0 . 1 E r r o r :   p a c k e t   s i z e   6 5 5 3 5   i s   t o o   l a r g e .   M a x i m u m   i s   6 5 5 0 7 不 走 运 ， 看 来 L i n u x 自 带 的 p i n g 不 允 许 我 们 做 坏 事 。 : ( 6 5 5 0 7 是 它 计 算 好 的 : 6 5 5 3 5 - 2 0 - 8 = 6 5 5 0 7 。 W i n 2 K 下 的 p i n g 更 抠 门 ， 数 据 只 允 许 6 5 5 0 0 大 小 。 所 以 你 必 须 找 另 外 的 程 序 来 发 包 ， 但 是 目 前 新 版 本 的 操 作 系 统 已 经 搞 定 这 个 缺 陷 了 ， 所 以 你 还 是 继 续 往 下 阅 读 本 文 吧 。 顺 便 提 一 下 ， 记 得 9 9 年 有 " 爱 国 主 义 黑 客 " ( " 红 客 " 的 前 辈 ) 发 动 全 国 网 民 在 某 一 时 刻 开 始 p i n g 某 美 国 站 点 ， 试 图 p i n g 死 远 程 服 务 器 。 这 其 实 是 一 种 P i n g f l o o d 攻 击 ， 用 大 量 的 E c h o   R e q u e s t 包 减 慢 主 机 的 响 应 速 度 和 阻 塞 目 标 网 络 ， 原 理 和 p i n g   o '   d e a t h 是 不 一 样 的 ， 这 点 要 分 清 楚 。 4 .   j o l t 2 j o l t 2 . c 是 在 一 个 死 循 环 中 不 停 的 发 送 一 个 I C M P / U D P 的 I P 碎 片 ， 可 以 使 W i n d o w s 系 统 的 机 器 死 锁 。 我 测 试 了 没 打 S P 的 W i n d o w s 2 0 0 0 ， C P U 利 用 率 会 立 即 上 升 到 1 0 0 % ， 鼠 标 无 法 移 动 。 我 们 用 S n o r t 分 别 抓 取 采 用 I C M P 和 U D P 协 议 发 送 的 数 据 包 。 发 送 的 I C M P 包 : 0 1 / 0 7 - 1 5 : 3 3 : 2 6 . 9 7 4 0 9 6   1 9 2 . 1 6 8 . 0 . 9   - >   1 9 2 . 1 6 8 . 0 . 1 I C M P   T T L : 2 5 5   T O S : 0 x 0   I D : 1 1 0 9   I p L e n : 2 0   D g m L e n : 2 9 F r a g   O f f s e t :   0 x 1 F F E   F r a g   S i z e :   0 x 9 0 8   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   . . . . . . . . . 发 送 的 U D P 包 : 0 1 / 1 0 - 1 4 : 2 1 : 0 0 . 2 9 8 2 8 2   1 9 2 . 1 6 8 . 0 . 9   - >   1 9 2 . 1 6 8 . 0 . 1 U D P   T T L : 2 5 5   T O S : 0 x 0   I D : 1 1 0 9   I p L e n : 2 0   D g m L e n : 2 9 F r a g   O f f s e t :   0 x 1 F F E   F r a g   S i z e :   0 x 9 0 4   D 3   0 4   D 2   0 0   0 9   0 0   0 0   6 1   . . . . . . . . a
从 上 面 的 结 果 可 以 看 出 : *   分 片 标 志 位 M F = 0 ， 说 明 是 最 后 一 个 分 片 。 *   偏 移 量 为 0 x 1 F F E ， 计 算 重 组 后 的 长 度 为   ( 0 x 1 F F E   *   8 )   +   2 9   =   6 5 5 4 9   > 6 5 5 3 5 ， 溢 出 。 *   I P 包 的 I D 为 1 1 0 9 ， 可 以 作 为 I D S 检 测 的 一 个 特 征 。 *   I C M P 包 : 类 型 为 8 、 代 码 为 0 ， 是 E c h o   R e q u e s t ; 校 验 和 为 0 x 0 0 0 0 ， 程 序 没 有 计 算 校 验 ， 所 以 确 切 的 说 这 个 I C M P 包 是 非 法 的 。 *   U D P 包 : 目 的 端 口 由 用 户 在 命 令 参 数 中 指 定 ; 源 端 口 是 目 的 端 口 和 1 2 3 5 进 行 O R 的 结 果 ; 校 验 和 为 0 x 0 0 0 0 ， 和 I C M P 的 一 样 ， 没 有 计 算 ， 非 法 的 U D P 。 净 荷 部 分 只 有 一 个 字 符 ' a ' 。 j o l t 2 . c 应 该 可 以 伪 造 源 I P 地 址 ， 但 是 源 程 序 中 并 没 有 把 用 户 试 图 伪 装 的 I P 地 址 赋 值 给 s r c _ a d d r ， 不 知 道 作 者 是 不 是 故 意 的 。 j o l t 2 的 影 响 相 当 大 ， 通 过 不 停 的 发 送 这 个 偏 移 量 很 大 的 数 据 包 ， 不 仅 死 锁 未 打 补 丁 的 W i n d o w s 系 统 ， 同 时 也 大 大 增 加 了 网 络 流 量 。 曾 经 有 人 利 用 j o l t 2 模 拟 网 络 流 量 ， 测 试 I D S 在 高 负 载 流 量 下 的 攻 击 检 测 效 率 ， 就 是 利 用 这 个 特 性 。 5 .   t e a r d r o p t e a r d r o p 也 比 较 简 单 ， 默 认 发 送 两 个 U D P 数 据 包 ， 就 能 使 某 些 L i n u x 内 核 崩 溃 。 S n o r t 抓 取 的 结 果 如 下 : 第 一 个 : 0 1 / 0 8 - 1 1 : 4 2 : 2 1 . 9 8 5 8 5 3   1 9 2 . 1 6 8 . 0 . 9   - >   1 9 2 . 1 6 8 . 0 . 1 U D P   T T L : 6 4   T O S : 0 x 0   I D : 2 4 2   I p L e n : 2 0   D g m L e n : 5 6   M F F r a g   O f f s e t :   0 x 0   F r a g   S i z e :   0 x 2 4 A 0   A 8   8 6   C 7   0 0   2 4   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 . . . . . $ . . . . . . . . . . 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0 . . . . . . . . . . . . . . . . 0 0   0 0   0 0   0 0   . . . . *   M F = 1 ， 偏 移 量 = 0 ， 分 片 I P 包 的 第 一 个 。 *   结 构 图 : I P   U D P   D a t a 第 二 个 : 0 1 / 0 8 - 1 1 : 4 2 : 2 1 . 9 8 5 8 5 3   1 9 2 . 1 6 8 . 0 . 9   - >   1 9 2 . 1 6 8 . 0 . 1 U D P   T T L : 6 4   T O S : 0 x 0   I D : 2 4 2   I p L e n : 2 0   D g m L e n : 2 4 F r a g   O f f s e t :   0 x 3   F r a g   S i z e :   0 x 4 A 0   A 8   8 6   C 7   . . . . *   M F = 0 ， 偏 移 量 = 0 x 3 ， 偏 移 字 节 数 为   0 x 3   *   8   =   2 4 ， 最 后 一 个 分 片 。 *   结 构 图 : I P   D a t a 如 果 修 改 源 代 码 ， 第 二 片 I P 包 的 偏 移 量 也 可 以 为 0 x 4 ， 偏 移 字 节 数 就 是 0 x 4   *   8   =   3 2 。 下 面 的 结 构 图 表 示 了 接 收 端 重 组 分 片 的 过 程 ， 分 别 对 应 于 偏 移 字 节 数 为 2 4 和 3 2 两 种 情 况 : I P   U D P   D a t a D a t a D a t a 可 以 看 出 ， 第 二 片 I P 包 的 偏 移 量 小 于 第 一 片 结 束 的 位 移 ， 而 且 算 上 第 二 片 I P 包 的 D a t a ， 也 未 超 过 第 一 片 的 尾 部 ， 这 就 是 重 叠 现 象 ( o v e r l a p ) 。 老 的 L i n u x 内 核 ( 1 . x   -   2 . 0 . x ) 在 处 理 这 种 重 叠 分 片 的 时 候 存 在 问 题 ， W i n N T / 9 5 在 接 收 到 1 0 至 5 0 个 t e a r d r o p 分 片 时 也 会 崩 溃 。 你 可 以 阅 读 t e a r d r o p . c 的 源 代 码 来 了 解 如 何 构 造 并 发 送 这 种 数 据 包 。 6 .   如 何 阻 止 I P 碎 片 攻 击 *   W i n d o w s 系 统 请 打 上 最 新 的 S e r v i c e   P a c k ， 目 前 的 L i n u x 内 核 已 经 不 受 影 响 。 *   如 果 可 能 ， 在 网 络 边 界 上 禁 止 碎 片 包 通 过 ， 或 者 用 I P T A B L E S 限 制 每 秒 通
过 碎 片 包 的 数 目 。 *   如 果 防 火 墙 有 重 组 碎 片 的 功 能 ， 请 确 保 自 身 的 算 法 没 有 问 题 ， 否 则 被 D o S 就 会 影 响 整 个 网 络 。 *   W i n 2 K 系 统 中 ， 自 定 义 I P 安 全 策 略 ， 设 置 " 碎 片 检 查 " 。 在 很 多 路 由 上 也 有 "   I P   碎 片 ( F r a g m e n t )   攻 击 防 御 " 的 设 置 , 网 络 规 模 在 1 5 0 台 左 右 , 建 议 I P 碎 片 值 设 置 在 : 3 0 0 0 包 / 秒 , 在 海 蜘 蛛 路 由 上 测 试 过 , 如 果   I P 碎 片 值 设 置 过 小 有 些 私 服 游 戏 网 站 打 不 开 。 下 面 这 篇 文 章 能 更 好 的 理 解 I P 分 片 我 们 都 知 道 ， 在 以 太 网 中 ， 如 果 源 主 机 向 目 标 主 机 发 送 的 数 据 包 大 于 网 关 如 果 源 主 机 向 目 标 主 机 发 送 的 数 据 包 大 于 网 关 M T U ， 则 该 数 据 包 在 传 输 过 程 中 会 ， 则 该 数 据 包 在 传 输 过 程 中 会 被 被 I P 协 议 分 片 传 输 协 议 分 片 传 输 ， 具 体 的 分 片 过 程 是 怎 样 的 呢 ？ 我 们 通 过 协 议 分 析 软 件 抓 包 来 进 行 详 细 的 查 看 （ 抓 包 软 件 使 用 科 来 网 络 分 析 系 统 ） 。 因 为 以 太 网 默 认 的 以 太 网 默 认 的 M T U 值 为 值 为 1 5 0 0 B y t e ， 所 以 ， 为 了 达 到 分 片 的 效 果 ， 我 们 应 该 传 输 大 于 1 5 0 0 B y t e 字 节 的 数 据 包 ， 才 能 使 该 数 据 包 分 段 传 输 。         我 们 从 本 机 （ 1 9 2 . 1 6 8 . 6 . 1 1 ） 发 送 一 个 2 0 0 0 字 节 的 数 据 包 到 局 域 网 的 另 一 台 主 机 （ 1 9 2 . 1 6 8 . 0 . 2 0 8 ） 为 例 ， 在 传 输 的 过 程 中 ， 开 启 软 件 抓 包 ， 就 能 够 查 看 到 详 细 的 分 片 结 果 。 我 们 以 p i n g 为 例 ， 在 W i n d o w s 命 令 提 示 符 下 输 入 ： p i n g   1 9 2 . 1 6 8 . 0 . 2 0 8   – l   2 0 0 0 通 过 科 来 网 络 分 析 系 统 抓 包 ， 我 们 看 到 ， 该 数 据 包 被 分 片 了 ， 由 于 我 们 重 复 P i n g 了 4 次 ， 所 以 ， 抓 到 了 4 次 同 样 的 请 求 与 回 显 的 数 据 包 。 如 下 图 ： 查 看 详 细 的 数 据 包 解 码 （ 见 下 图 ） ：
分 析 ： 因 为 p i n g 的 长 度 是 2 0 0 0 字 节 ， 大 于 了 M T U 的 值 ， 所 以 会 分 片 发 送 , 如 上 图 。 捕 获 的 这 个 数 据 包 总 长 度 为 1 5 0 0 字 节 ， 更 多 分 段 位 置 1 ， 表 示 还 有 数 据 分 段 。 s , 偏 移 量 为 0 ， 需 要 注 意 的 是 I P 头 部 的 总 长 度 字 段 值 （ 这 里 是 1 5 0 0 字 节 ） 并 不 全 是 数 据 的 净 载 荷 长 度 ， 这 里 还 包 括 了 I P 以 及 以 及 I C M P 的 头 部 长 度 ， 分 别 是 的 头 部 长 度 ， 分 别 是 2 0 字 节 和 字 节 和 8 字 节 字 节 。 另 外 ， I P 协 议 的 头 部 总 长 度 并 不 一 定 就 是 M T U 值 1 5 0 0 字 节 ， 这 个 值 与 网 络 环 境 、 操 作 系 统 等 因 素 有 关 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理