搜索

[14309] 2019-07-04_绕过防火墙过滤规则传输ICMP

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-04_绕过防火墙过滤规则传输ICMP 绕 过 防 火 墙 过 滤 规 则 传 输 I C M P 周 大 涛   F r e e B u f   2 0 1 9 - 0 7 - 0 4 I C M P 和 和 I C M P v 6 I C M P 和 和 I C M P v 6 是 是 I n t e r n e t 的 主 要 协 议 。 这 些 协 议 设 计 用 于 在 数 据 包 未 到 达 目 的 地 时 进 行 连 接 测 试 和 错 误 信 令 。 接 收 的 主 要 协 议 。 这 些 协 议 设 计 用 于 在 数 据 包 未 到 达 目 的 地 时 进 行 连 接 测 试 和 错 误 信 令 。 接 收 I C M P 消 息 让 应 消 息 让 应 用 程 序 了 解 故 障 原 因 ： 数 据 包 太 大 ， 没 有 可 用 路 由 等 。 用 程 序 了 解 故 障 原 因 ： 数 据 包 太 大 ， 没 有 可 用 路 由 等 。 出 于 不 同 的 目 的 ， I C M P   [ v 6 ] 消 息 由 两 个 编 码 为 两 个 字 节 的 值 标 识 ： 它 们 的 类 型 和 代 码 。 每 种 类 型 都 有 不 同 的 含 义 ， 例 如 ， I C M P 有 以 下 消 息 ： 1 . E c h o 回 复 和 请 求 （ 类 型 1 和 8 ） 2 . 目 的 地 无 法 到 达 （ 类 型 3 ） 3 . S o u r c e   q u e n c h （ 4 型 ） 4 . 时 间 戳 回 复 和 请 求 （ 类 型 1 4 和 1 5 ） 当 I C M P v 6 具 有 ： 1 . 目 的 地 无 法 到 达 （ 类 型 1 ） 2 . 数 据 包 太 大 （ 类 型 2 ） 3 . 超 过 时 间 （ 类 型 3 ） 4 . 参 数 问 题 （ 类 型 4 ） 5 . 路 由 器 询 问 和 通 告 （ 1 3 3 和 1 3 4 型 ） 6 . 邻 居 询 问 和 通 告 （ 1 3 5 和 1 3 6 型 ） 7 … . 过 去 已 弃 用 各 种 消 息 类 型 ， 而 其 他 消 息 类 型 仍 在 使 用 中 。 我 们 可 以 根 据 其 目 的 大 致 将 I C M P 消 息 分 为 三 类 ： 1 . 请 求 ： 请 求 ： 它 们 由 主 机 生 成 以 查 询 某 些 信 息 ； 2 . 回 复 ： 回 复 ： 它 们 是 上 述 I C M P 请 求 的 I C M P 响 应 ； 3 . 错 误 ： 错 误 ： 它 们 是 由 网 络 设 备 或 主 机 在 无 法 处 理 数 据 包 时 创 建 的 。 本 文 重 点 介 绍 错 误 消 息 。 这 个 类 别 非 常 有 趣 ， 因 为 它 的 消 息 作 为 带 外 流 量 发 送 ， 以 响 应 另 一 个 协 议 的 第 4 层 通 信 。 例 如 ， U D P 分 组 可 能 生 成 I C M P 错 误 。 这 些 错 误 通 常 封 装 在 I C M P 有 效 负 载 ， I P 报 头 加 上 违 规 数 据 包 的 下 一 个 6 4 字 节 内 。 图 1 显 示 了 主 机 B 拒 绝 封 闭 端 口 上 的 数 据 包 的 这 种 行 为 ：
已 知 的 攻 击 和 措 施 已 知 的 攻 击 和 措 施 作 为 信 令 协 议 ， I C M P 消 息 可 以 改 变 接 收 系 统 的 I P 栈 的 行 为 。 例 如 ， I C M P   R e d i r e c t 和 I C M P v 6   R o u t e r 通 告 可 以 改 变 主 机 的 路 由 表 。 恶 意 用 户 可 能 滥 用 I C M P 来 中 断 网 络 操 作 。 过 去 已 记 录 了 与 I C M P 相 关 的 各 种 攻 击 ： 1 . I C M P 打 孔 [ 1 ] 是 借 助 I C M P 消 息 遍 历 N A T 的 概 念 。 它 要 求 发 起 者 在 N A T 后 面 ； 2 . I C M P 隧 道 [ 2 ] 滥 用 I C M P 协 议 将 任 意 数 据 封 装 在 I C M P 消 息 之 上 ； 3 . I C M P   E C H O 放 大 [ 3 ] 使 用 广 播 执 行 D o S ； 4 . 通 过 攻 击 M T U 发 现 过 程 或 分 组 拥 塞 [ 4 ]   [ 5 ]   [ 6 ] 信 令 可 以 减 慢 网 络 流 量 ； 5 . I C M P v 6   N D P 攻 击 [ 7 ] （ 类 似 于 I P v 4 世 界 中 的 A R P 攻 击 ） ； 6 . I C M P v 6   M L D 发 现 +   D o S   [ 8 ] （ 类 似 于 I G M P 攻 击 ） 。 通 过 正 确 配 置 操 作 系 统 的 I P 堆 栈 ， 可 以 减 轻 大 多 数 这 些 风 险 。 有 趣 的 是 ， 可 以 在 不 使 用 操 作 系 统 防 火 墙 功 能 的 情 况 下 启 用 各 种 I C M P 保 护 （ 例 如 ： s y s c t l ， n e t s h ， … ） 。 在 L i n u x 上 使 用 s y s c t l 的 示 例 ： #   s y s c t l   - a   - r   ' ^ n e t . i p v [ 4 6 ] . ( i c m p | c o n f . d e f a u l t . a c c e p t ) '   |   c u t   - d =   - f 1 n e t . i p v 4 . c o n f . d e f a u l t . a c c e p t _ l o c a l   n e t . i p v 4 . c o n f . d e f a u l t . a c c e p t _ r e d i r e c t s   n e t . i p v 4 . c o n f . d e f a u l t . a c c e p t _ s o u r c e _ r o u t e   n e t . i p v 4 . i c m p _ e c h o _ i g n o r e _ a l l   n e t . i p v 4 . i c m p _ e c h o _ i g n o r e _ b r o a d c a s t s   n e t . i p v 4 . i c m p _ e r r o r s _ u s e _ i n b o u n d _ i f a d d r   n e t . i p v 4 . i c m p _ i g n o r e _ b o g u s _ e r r o r _ r e s p o n s e s   n e t . i p v 4 . i c m p _ m s g s _ b u r s t   n e t . i p v 4 . i c m p _ m s g s _ p e r _ s e c   n e t . i p v 4 . i c m p _ r a t e l i m i t   n e t . i p v 4 . i c m p _ r a t e m a s k   n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ d a d   n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ r a   n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ r a _ d e f r t r   n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ r a _ f r o m _ l o c a l . . . n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ r e d i r e c t s   n e t . i p v 6 . c o n f . d e f a u l t . a c c e p t _ s o u r c e _ r o u t e   n e t . i p v 6 . i c m p . r a t e l i m i t
在 理 想 情 况 下 ， 危 险 的 I C M P 消 息 应 该 被 每 个 主 机 的 I P 堆 栈 阻 止 ， 而 不 需 要 防 火 墙 。 实 际 上 ， 安 全 加 固 通 常 由 W A N 和 受 限 L A N 之 间 的 防 火 墙 实 现 。 这 里 有 一 个 问 题 ： 如 何 过 滤 I C M P 和 I C M P v 6 ？ 如 何 过 滤 如 何 过 滤 I C M P ？ ？ R F C 推 荐 的 内 容 推 荐 的 内 容 在 过 滤 I C M P 消 息 时 ， 阻 止 所 有 消 息 类 型 是 不 可 能 的 。 它 会 降 低 整 体 用 户 体 验 。 例 如 ， 阻 止 “ 数 据 包 太 大 ” 实 际 上 可 以 完 全 阻 止 I P v 6 工 作 ， 并 可 能 严 重 降 低 I P v 4 的 性 能 。 R F C 4 8 9 0   [ 1 0 ] （ 2 0 0 7 ） 说 在 第 4 . 3 . 1 章 中 允 许 I C M P v 6 错 误 消 息 。 不 得 丢 弃 的 流 量 ： 对 建 立 和 建 设 至 关 重 要 的 错 误 消 息 通 讯 维 护 ： 目 的 地 无 法 到 达 （ 类 型 1 ）   -   所 有 代 码 数 据 包 太 大 （ 类 型 2 ） 超 过 时 间 （ 类 型 3 ）   -   仅 代 码 0 参 数 问 题 （ 类 型 4 ）   -   仅 代 码 1 和 2 （ 过 期 ） 草 案 “ 过 滤 I C M P 消 息 的 建 议 ” [ 9 ] （ 2 0 1 3 ） 提 供 了 两 个 表 ， 总 结 了 当 设 备 充 当 网 关 或 防 火 墙 时 应 接 受 ， 限 速 或 拒 绝 哪 些 I C M P 和 I C M P v 6 消 息 。 草 案 建 议 允 许 （ 接 受 或 限 制 ） 以 下 消 息 ： 1 . I C M P v 4 - u n r e a c h - （ n e t | h o s t | f r a g - n e e d e d | a d m i n ） ； 2 . I C M P v 4 - t i m e d - （ t t l | r e a s s ） ； 3 . I C M P v 6 - u n r e a c h - （ n o - r o u t e | a d m i n - p r o h i b i t e d | a d d r | p o r t | r e j e c t - r o u t e ） ； 4 . I C M P v 6 的 太 大 ； 5 . 的 I C M P v 6 - t i m e d - （ h o p - l i m i t | r e a s s ） ； 6 . I C M P v 6 的 参 数   -   U N R E C 选 项 ； 7 . I C M P v 6 - E R R - 扩 大 。 似 乎 人 们 对 什 么 是 安 全 的 I C M P 流 量 有 不 同 的 看 法 。 通 常 认 为 防 火 墙 应 该 阻 止 来 自 W A N 的 所 有 入 站 I C M P 和 I C M P v 6 数 据 包 （ N D P 除 外 ） ， 除 非 它 们 与 已 知 的 现 有 连 接 相 关 ， 可 以 通 过 状 态 防 火 墙 进 行 跟 踪 。 防 火 墙 状 态 和 相 关 流 量 防 火 墙 状 态 和 相 关 流 量 事 实 上 ， 状 态 防 火 墙 实 现 了 相 关 数 据 包 的 概 念 。 这 些 相 关 数 据 包 是 与 附 加 到 现 有 连 接 的 带 外 流 量 匹 配 的 数 据 包 。 在 相 关 概 念 被 用 于 与 I C M P 而 且 还 与 其 他 协 议 ， 例 如 F T P ， 其 可 以 使 用 辅 助 T C P 流 。 关 于 I C M P ， 带 内 和 带 外 流 量 之 间 的 关 联 是 通 过 从 封 装 在 I C M P 错 误 消 息 中 的 I P 分 组 中 提 取 “ 状 态 标 识 符 ” 来 完 成 的 。 如 果 连 接 已 知 ， 则 此 标 识 符 用 于 在 表 中 查 找 。 为 了 说 明 这 个 概 念 ， 让 我 们 考 虑 以 下 示 例 。 在 一 个 简 单 的 网 络 中 ， 我 们 希 望 只 允 许 L A N 上 的 主 机 通 过 端 口 1 2 3 4 上 的 U D P 与 W A N 上 的 任 何 主 机 联 系 。 但 我 们 仍 然 希 望 A 接 收 带 外 错 误 。 在 这 种 情 况 下 ， 将 使 用 以 下 高 级 防 火 墙 配 置 ： 1 . 允 许 从 L A N 到 W A N   u d p 端 口 1 2 3 4 的 输 入 ； 2 . 如 果 数 据 包 与 现 有 的 允 许 连 接 相 关 ， 则 允 许 从 W A N 到 L A N 的 输 入 ； 3 . 阻 止 所 有 。 传 出 的 带 内 U D P 流 量 将 匹 配 规 则 ： 1 . 进 入 的 带 外 I C M P 错 误 消 息 将 匹 配 规 则 ； 2 . 如 图 2 所 示 ， 并 且 任 何 其 他 数 据 包 将 被 规 则 3 拒 绝 。
实 际 上 ， 防 火 墙 配 置 的 语 义 不 同 ， 并 且 规 则 2 在 某 些 实 现 中 可 能 是 隐 含 的 。 什 么 是 连 接 状 态 ？ 什 么 是 连 接 状 态 ？ 到 目 前 为 止 ， 我 们 知 道 状 态 防 火 墙 从 I C M P （ 或 I C M P v 6 ） 错 误 中 推 断 出 状 态 。 但 剩 下 的 问 题 是 ， 哪 些 信 息 实 际 上 是 从 内 部 I P 数 据 包 中 提 取 的 ？ 由 于 第 4 层 协 议 具 有 不 同 的 语 义 ， 每 个 协 议 都 有 自 己 的 提 取 器 ， 但 我 们 在 包 过 滤 器 和 n f t a b l e s 衍 生 物 中 观 察 到 以 下 内 容 ： 对 于 T C P ， 以 下 字 段 用 于 构 造 状 态 ： 1 . 内 部 I P 源 和 目 的 地 ； 2 . 内 部 源 和 目 标 端 口 ； 3 . S E Q 和 A C K 字 段 仅 用 于 包 过 滤 器 ， 但 不 用 于 n f t a b l e s 。 对 于 U D P ， 以 下 字 段 用 于 构 造 状 态 ： 1 . 内 部 I P 源 和 目 的 地 ； 2 . 内 部 源 和 目 标 端 口 。 对 于 I C M P ， 以 下 字 段 用 于 构 造 状 态 ： 1 . 内 部 I P 源 和 目 的 地 ； 2 . 各 种 I C M P 字 段 取 决 于 类 型 。 对 于 其 他 协 议 其 他 协 议 ： 1 . 内 部 I P 源 和 目 的 地 ； 2 . 协 议 的 i d ； 3 . 如 果 防 火 墙 支 持 它 们 ， 则 将 使 用 协 议 提 供 的 属 性 （ 例 如 ： S C T P 或 U D P - L i t e 端 口 ） （ n f t a b l e s 可 以 ， P a c k e t   F i l t e r 不 能 ） 。 快 速 回 顾 一 下 快 速 回 顾 一 下 总 而 言 之 ， 当 防 火 墙 收 到 带 外 I C M P 错 误 时 ， 它 会 执 行 以 下 操 作 ： 1 . 解 码 I P   /   I C M P 或 I P v 6   /   I C M P v 6 标 头 ; 2 . 从 封 装 的 I P 或 I P v 6 数 据 包 中 提 取 状 态 ; 3 . 尝 试 匹 配 现 有 状 态 列 表 中 的 “ 状 态 标 识 符 ” ; 4 . 如 果 内 部 I P 数 据 包 状 态 与 现 有 状 态 匹 配 ， 则 将 数 据 包 标 记 为   相 关 。
I C M P - 可 达 可 达 问 题 问 题 我 们 发 现 ， 当 提 取 内 部 数 据 包 以 找 到 状 态 时 ， 与 外 部 数 据 包 的 相 关 性 将 丢 失 。 这 意 味 着 ， 只 要 封 装 的 数 据 包 可 以 与 现 有 连 接 相 关 ， 整 个 数 据 包 就 会 被 标 记 为 相 关 。 然 后 ， 在 大 多 数 情 况 下 允 许 该 数 据 包 通 过 。 使 用 恶 意 制 作 的 I C M P   [ v 6 ] 数 据 包 可 以 滥 用 此 行 为 ， 该 数 据 包 以 过 滤 的 主 机 为 目 标 ， 同 时 封 装 符 合 合 法 状 态 的 数 据 包 ， 如 下 所 示 ： 在 这 种 情 况 下 ， 将 允 许 恶 意 I C M P   [ v 6 ] 数 据 包 通 过 。 n f t a b l e s 和 P a c k e t   F i l t e r 实 现 都 受 此 行 为 的 影 响 。 接 下 来 的 章 节 将 介 绍 L i n u x 和 O p e n B S D 的 实 现 细 节 ， 以 了 解 相 关 性 丢 失 的 位 置 。 N F T A B L E S 实 施 和 细 节 实 施 和 细 节 L i n u x 在 n e t f i l t e r   c o n n t r a c k 模 块 中 实 现 了 相 关 数 据 包 的 概 念 。 它 在 n e t f i l t e r / n f _ c o n n t r a c k _ c o r e . c 中 以 函 数 n f _ c o n n t r a c k _ i n 开 始 ， 该 函 数 处 理 在 参 数 s k b 中 传 递 的 每 个 输 入 数 据 包 。 在 n f _ c o n n t r a c k _ h a n d l e _ i c m p 中 处 理 第 4 层 协 议 和 I C M P 和 I C M P v 6 的 提 取 。 I C M P - R e a c h a b l e   p a c k e t : [   I P   s r c = @ M   d s t = @ H   t y p e = I C M P   ] [   I C M P   t y p e = @ T y p e   c o d e = @ C o d e   ] [   I P   s r c = @ B   d s t = @ A   ] [   U D P   s p o r t = @ P b   d p o r t = P a   ] M :   t h e   a t t a c k e r   I P H :   t h e   d e s t i n a t i o n   I P   o n   w h i c h   I C M P   s h o u l d   b e   f i l t e r e d A :   h o s t   I P   f r o m   w h i c h   t h e   a t t a c k e r   k n o w s   a n   e x i s t i n g   s e s s i o n   w i t h   B B :   h o s t   I P   f r o m   w h i c h   t h e   a t t a c k e r   k n o w s   a n   e x i s t i n g   s e s s i o n   w i t h   A P a :   t h e   p o r t   u s e d   b y   A   i t s   U D P   s e s s i o n   w i t h   B P b :   t h e   p o r t   u s e d   b y   B   i t s   U D P   s e s s i o n   w i t h   A T y p e :   t h e   I C M P   t y p e   o f   a n   o u t - o f - b a n d   e r r o r   p a c k e t   ( e x a m p l e   3 ) C o d e :   t h e   I C M P   c o d e   o f   a n   o u t - o f - b a n d   e r r o r   p a c k e t   ( e x a m p l e   3 ) u n s i g n e d   i n t n f _ c o n n t r a c k _ i n ( s t r u c t   s k _ b u f f   * s k b ,   c o n s t   s t r u c t   n f _ h o o k _ s t a t e   * s t a t e ) {         / /   . .         l 4 p r o t o   =   _ _ n f _ c t _ l 4 p r o t o _ f i n d ( p r o t o n u m ) ;
n f _ c o n n t r a c k _ h a n d l e _ i c m p 然 后 根 据 I C M P 的 版 本 调 用 n f _ c o n n t r a c k _ i c m p v 4 _ e r r o r （ ） 或 n f _ c o n n t r a c k _ i c m p v 6 _ e r r o r （ ） 。 这 些 功 能 非 常 相 似 ， 所 以 让 我 们 关 注 I C M P 。 如 果 类 型 是 以 下 类 型 之 一 ， 则 n f _ c o n n t r a c k _ i c m p v 4 _ e r r o r 验 证 I C M P 标 头 并 调 用 i c m p _ e r r o r _ m e s s a g e ： I C M P _ D E S T _ U N R E A C H ， I C M P _ P A R A M E T E R P R O B ， I C M P _ R E D I R E C T ， I C M P _ S O U R C E _ Q U E N C H ， I C M P _ T I M E _ E X C E E D E D ： 然 后 i c m p _ e r r o r _ m e s s a g e 负 责 提 取 和 识 别 匹 配 状 态 ：         i f   ( p r o t o n u m   = =   I P P R O T O _ I C M P   | |   p r o t o n u m   = =   I P P R O T O _ I C M P V 6 )   {                 r e t   =   n f _ c o n n t r a c k _ h a n d l e _ i c m p ( t m p l ,   s k b ,   d a t a o f f ,                                                       p r o t o n u m ,   s t a t e ) ;                 i f   ( r e t   < =   0 )   {                         r e t   =   - r e t ;                         g o t o   o u t ;                 }                 / *   I C M P [ v 6 ]   p r o t o c o l   t r a c k e r s   m a y   a s s i g n   o n e   c o n n t r a c k .   * /                 i f   ( s k b - > _ n f c t )                         g o t o   o u t ;         }         / /   . . . } / *   S m a l l   a n d   m o d i f i e d   v e r s i o n   o f   i c m p _ r c v   * / i n t   n f _ c o n n t r a c k _ i c m p v 4 _ e r r o r ( s t r u c t   n f _ c o n n   * t m p l ,                                     s t r u c t   s k _ b u f f   * s k b ,   u n s i g n e d   i n t   d a t a o f f ,                                     c o n s t   s t r u c t   n f _ h o o k _ s t a t e   * s t a t e ) {         c o n s t   s t r u c t   i c m p h d r   * i c m p h ;         s t r u c t   i c m p h d r   _ i h ;         / *   N o t   e n o u g h   h e a d e r ?   * /         i c m p h   =   s k b _ h e a d e r _ p o i n t e r ( s k b ,   i p _ h d r l e n ( s k b ) ,   s i z e o f ( _ i h ) ,   & _ i h ) ;         i f   ( i c m p h   = =   N U L L )   {                 i c m p _ e r r o r _ l o g ( s k b ,   s t a t e ,   " s h o r t   p a c k e t " ) ;                 r e t u r n   - N F _ A C C E P T ;         }         / /   . . .         i f   ( i c m p h - > t y p e   >   N R _ I C M P _ T Y P E S )   {                 i c m p _ e r r o r _ l o g ( s k b ,   s t a t e ,   " i n v a l i d   i c m p   t y p e " ) ;                 r e t u r n   - N F _ A C C E P T ;         }         / *   N e e d   t o   t r a c k   i c m p   e r r o r   m e s s a g e ?   * /         i f   ( i c m p h - > t y p e   ! =   I C M P _ D E S T _ U N R E A C H   & &                 i c m p h - > t y p e   ! =   I C M P _ S O U R C E _ Q U E N C H   & &                 i c m p h - > t y p e   ! =   I C M P _ T I M E _ E X C E E D E D   & &                 i c m p h - > t y p e   ! =   I C M P _ P A R A M E T E R P R O B   & &                 i c m p h - > t y p e   ! =   I C M P _ R E D I R E C T )                 r e t u r n   N F _ A C C E P T ;         r e t u r n   i c m p _ e r r o r _ m e s s a g e ( t m p l ,   s k b ,   s t a t e ) ; } / *   R e t u r n s   c o n n t r a c k   i f   i t   d e a l t   w i t h   I C M P ,   a n d   f i l l e d   i n   s k b   f i e l d s   * / s t a t i c   i n t
1 . 首 先 ， 使 用 n f _ c t _ z o n e _ t m p l 计 算 分 组 s k b 的 网 络 区 域 。 n f t a b l e s 有 网 络 c o n n t r a c k 区 域 的 概 念 。 这 些 区 域 允 许 虚 拟 化 连 接 跟 踪 ， 以 便 在 c o n n t r a c k 和 N A T 中 处 理 具 有 相 同 身 份 的 多 个 连 接 。 除 非 有 明 确 的 规 则 要 求 ， 否 则 所 有 数 据 包 都 将 进 入 0 区 （ 参 见 目 标 C T 的 手 册 页 ） ； 2 . 然 后 n f _ c t _ g e t _ t u p l e p r 用 于 从 I C M P 层 内 的 I P 数 据 报 中 提 取 i p 连 接 状 态   o r i g t u p l e ； 3 . n f _ c t _ i n v e r t _ t u p l e 执 行 状 态 的 源 / 目 标 交 换 ， 因 为 它 引 用 原 始 出 站 数 据 包 但 防 火 墙 想 要 检 查 入 站 数 据 包 ； 4 . n f _ c o n n t r a c k _ f i n d _ g e t 查 找 与 提 取 的 状 态 匹 配 的 已 知 状 态 。 此 时 我 们 看 到 外 层 I P 层 未 被 考 虑 用 于 查 找 状 态 ； 5 . 如 果 找 到 状 态 ， 则 n f _ c t _ s e t 标 记 具 有 相 关 状 态 （ I P _ C T _ R E L A T E D ） 的 s b k 数 据 包 。 i c m p _ e r r o r _ m e s s a g e ( s t r u c t   n f _ c o n n   * t m p l ,   s t r u c t   s k _ b u f f   * s k b ,                                       c o n s t   s t r u c t   n f _ h o o k _ s t a t e   * s t a t e ) {         / /   . . .         W A R N _ O N ( s k b _ n f c t ( s k b ) ) ;         z o n e   =   n f _ c t _ z o n e _ t m p l ( t m p l ,   s k b ,   & t m p ) ;         / *   A r e   t h e y   t a l k i n g   a b o u t   o n e   o f   o u r   c o n n e c t i o n s ?   * /         i f   ( ! n f _ c t _ g e t _ t u p l e p r ( s k b ,                                       s k b _ n e t w o r k _ o f f s e t ( s k b )   +   i p _ h d r l e n ( s k b )                                                               +   s i z e o f ( s t r u c t   i c m p h d r ) ,                                       P F _ I N E T ,   s t a t e - > n e t ,   & o r i g t u p l e ) )   {                 p r _ d e b u g ( " i c m p _ e r r o r _ m e s s a g e :   f a i l e d   t o   g e t   t u p l e n " ) ;                 r e t u r n   - N F _ A C C E P T ;         }         / *   r c u _ r e a d _ l o c k ( ) e d   b y   n f _ h o o k _ t h r e s h   * /         i n n e r p r o t o   =   _ _ n f _ c t _ l 4 p r o t o _ f i n d ( o r i g t u p l e . d s t . p r o t o n u m ) ;         / *   O r d i n a r i l y ,   w e ' d   e x p e c t   t h e   i n v e r t e d   t u p l e p r o t o ,   b u t   i t ' s               b e e n   p r e s e r v e d   i n s i d e   t h e   I C M P .   * /         i f   ( ! n f _ c t _ i n v e r t _ t u p l e ( & i n n e r t u p l e ,   & o r i g t u p l e ,   i n n e r p r o t o ) )   {                 p r _ d e b u g ( " i c m p _ e r r o r _ m e s s a g e :   n o   m a t c h n " ) ;                 r e t u r n   - N F _ A C C E P T ;         }         c t i n f o   =   I P _ C T _ R E L A T E D ;         h   =   n f _ c o n n t r a c k _ f i n d _ g e t ( s t a t e - > n e t ,   z o n e ,   & i n n e r t u p l e ) ;         i f   ( ! h )   {                   p r _ d e b u g ( " i c m p _ e r r o r _ m e s s a g e :   n o   m a t c h n " ) ;                 r e t u r n   - N F _ A C C E P T ;         }         i f   ( N F _ C T _ D I R E C T I O N ( h )   = =   I P _ C T _ D I R _ R E P L Y )                 c t i n f o   + =   I P _ C T _ I S _ R E P L Y ;         / *   U p d a t e   s k b   t o   r e f e r   t o   t h i s   c o n n e c t i o n   * /         n f _ c t _ s e t ( s k b ,   n f _ c t _ t u p l e h a s h _ t o _ c t r a c k ( h ) ,   c t i n f o ) ;         r e t u r n   N F _ A C C E P T ; }
对 于 I C M P v 6 ， 我 们 对 类 型 小 于 1 2 8 的 消 息 有 类 似 的 实 现 。 包 过 滤 器 实 现 和 细 节 包 过 滤 器 实 现 和 细 节 在 包 过 滤 器 中 ， 相 关 的 概 念 实 际 上 是 隐 含 的 ， 并 且 在 状 态 的 概 念 下 实 现 。 包 过 滤 的 总 体 设 计 如 下 ： 数 据 包 可 以 与 状 态 相 关 联 吗 ？ 1 . 如 果 是 ， 则 允 许 数 据 包 通 过 ； 2 . 如 果 不 是 ， 则 根 据 过 滤 规 则 测 试 分 组 。 如 果 匹 配 规 则 允 许 数 据 包 通 过 ， 则 可 能 会 创 建 状 态 。 整 个 逻 辑 在 / s y s / n e t / p f . c 中 的 函 数 p f _ t e s t 中 实 现 。 下 一 个 摘 录 显 示 了 I C M P 的 这 种 处 理 [ v 6 ] （ 为 了 清 楚 起 见 ， 部 分 代 码 已 被 剥 离 ） ： p f _ t e s t _ s t a t e _ i c m p （ ） 是 尝 试 查 找 此 数 据 包 与 已 知 连 接 之 间 关 系 的 函 数 。 它 使 用 对 p f _ i c m p _ m a p p i n g （ ） 的 调 用 来 了 解 数 据 包 是 带 内 还 是 带 p f _ t e s t ( s a _ f a m i l y _ t   a f ,   i n t   f w d i r ,   s t r u c t   i f n e t   * i f p ,   s t r u c t   m b u f   * * m 0 ) {         / /   . . .         s w i t c h   ( p d . v i r t u a l _ p r o t o )   {         c a s e   I P P R O T O _ I C M P :   {                 / /   l o o k   f o r   a   k n o w n   s t a t e                 a c t i o n   =   p f _ t e s t _ s t a t e _ i c m p ( & p d ,   & s ,   & r e a s o n ) ;                 s   =   p f _ s t a t e _ r e f ( s ) ;                 i f   ( a c t i o n   = =   P F _ P A S S   | |   a c t i o n   = =   P F _ A F R T )   {                         / /   i f   a   v a l i d   s t a t e   i s   f o u n d   t h e   p a c k e t   m i g h t   g o   t h e r e                         / /   w i t h o u t   b e i n g   t e s t e d   a g a i n s t   t h e   f i l t e r i n g   r u l e s                         r   =   s - > r u l e . p t r ;                         a   =   s - > a n c h o r . p t r ;                         p d . p f l o g   | =   s - > l o g ;                 }   e l s e   i f   ( s   = =   N U L L )   {                         / /   i f   n o   s t a t e   i s   f o u n d   t h e   p a c k e t   i s   t e s t e d                         a c t i o n   =   p f _ t e s t _ r u l e ( & p d ,   & r ,   & s ,   & a ,   & r u l e s e t ,   & r e a s o n ) ;                         s   =   p f _ s t a t e _ r e f ( s ) ;                 }                 b r e a k ;         }         c a s e   I P P R O T O _ I C M P V 6 :   {                 / /   l o o k   f o r   a   k n o w n   s t a t e                 a c t i o n   =   p f _ t e s t _ s t a t e _ i c m p ( & p d ,   & s ,   & r e a s o n ) ;                 s   =   p f _ s t a t e _ r e f ( s ) ;                 i f   ( a c t i o n   = =   P F _ P A S S   | |   a c t i o n   = =   P F _ A F R T )   {                         / /   i f   a   v a l i d   s t a t e   i s   f o u n d   t h e   p a c k e t   m i g h t   g o   t h e r e                         / /   w i t h o u t   b e i n g   t e s t e d   a g a i n s t   t h e   f i l t e r i n g   r u l e s                         r   =   s - > r u l e . p t r ;                         a   =   s - > a n c h o r . p t r ;                         p d . p f l o g   | =   s - > l o g ;                 }   e l s e   i f   ( s   = =   N U L L )   {                         / /   i f   n o   s t a t e   i s   f o u n d   t h e   p a c k e t   i s   t e s t e d                         a c t i o n   =   p f _ t e s t _ r u l e ( & p d ,   & r ,   & s ,   & a ,   & r u l e s e t ,   & r e a s o n ) ;                         s   =   p f _ s t a t e _ r e f ( s ) ;                 }                 b r e a k ;         }         / /   . . . }
外 。 在 后 一 种 情 况 下 ， 提 取 内 部 I P 分 组 及 其 第 4 层 协 议 以 找 到 状 态 。 这 在 以 下 摘 录 中 显 示 ： i n t   p f _ t e s t _ s t a t e _ i c m p ( s t r u c t   p f _ p d e s c   * p d ,   s t r u c t   p f _ s t a t e   * * s t a t e ,   u _ s h o r t   * r e a s o n )   {         / /   . . .         i f   ( p f _ i c m p _ m a p p i n g ( p d ,   i c m p t y p e ,   & i c m p _ d i r ,   & v i r t u a l _ i d ,   & v i r t u a l _ t y p e )   = =   0 )   {   / /   < - -   1                 / *                   *   I C M P   q u e r y / r e p l y   m e s s a g e   n o t   r e l a t e d   t o   a   T C P / U D P   p a c k e t .                   *   S e a r c h   f o r   a n   I C M P   s t a t e .                   * /                 / /   . . .         }   e l s e   {   / /   < - -   2                 / *                   *   I C M P   e r r o r   m e s s a g e   i n   r e s p o n s e   t o   a   T C P / U D P   p a c k e t .                   *   E x t r a c t   t h e   i n n e r   T C P / U D P   h e a d e r   a n d   s e a r c h   f o r   t h a t   s t a t e .                   * /                 s w i t c h   ( p d - > a f )   {                 c a s e   A F _ I N E T :   / /   < - -   3                         i f   ( ! p f _ p u l l _ h d r ( p d 2 . m ,   i p o f f 2 ,   & h 2 ,   s i z e o f ( h 2 ) ,   N U L L ,   r e a s o n ,   p d 2 . a f ) ) )                         {   / *   . . .   * /   }                 c a s e   A F _ I N E T 6 :   / /   < - -   4                         i f   ( ! p f _ p u l l _ h d r ( p d 2 . m ,   i p o f f 2 ,   & h 2 _ 6 ,   s i z e o f ( h 2 _ 6 ) ,   N U L L ,   r e a s o n ,   p d 2 . a f ) )                         {   / *   . . .   * /   }                         / /   . . .                 s w i t c h   ( p d 2 . p r o t o )   {                 c a s e   I P P R O T O _ T C P :   {                         s t r u c t   t c p h d r   * t h   =   & p d 2 . h d r . t c p ;                         / /   . . .                         i f   ( ! p f _ p u l l _ h d r ( p d 2 . m ,   p d 2 . o f f ,   t h ,   8 ,   N U L L ,   r e a s o n ,   p d 2 . a f ) )   {   / /   < - -   5                                 / /   . . .                         }                         k e y . a f   =   p d 2 . a f ;   / /   < - -   6                         k e y . p r o t o   =   I P P R O T O _ T C P ;                         k e y . r d o m a i n   =   p d 2 . r d o m a i n ;                         P F _ A C P Y ( & k e y . a d d r [ p d 2 . s i d x ] ,   p d 2 . s r c ,   k e y . a f ) ;                         P F _ A C P Y ( & k e y . a d d r [ p d 2 . d i d x ] ,   p d 2 . d s t ,   k e y . a f ) ;                         k e y . p o r t [ p d 2 . s i d x ]   =   t h - > t h _ s p o r t ;                         k e y . p o r t [ p d 2 . d i d x ]   =   t h - > t h _ d p o r t ;                         a c t i o n   =   p f _ f i n d _ s t a t e ( & p d 2 ,   & k e y ,   s t a t e ) ;   / /   < - -   7                         i f   ( a c t i o n   ! =   P F _ M A T C H )                                 r e t u r n   ( a c t i o n ) ;                         / /   . . .                         b r e a k ;                 }                 c a s e   I P P R O T O _ U D P :   {                         s t r u c t   u d p h d r   * u h   =   & p d 2 . h d r . u d p ;                         i n t   a c t i o n ;                         i f   ( ! p f _ p u l l _ h d r ( p d 2 . m ,   p d 2 . o f f ,   u h ,   s i z e o f ( * u h ) ,   N U L L ,   r e a s o n ,   p d 2 . a f ) )   {   / /   < - -   8                                 / /   . . .                         }                         k e y . a f   =   p d 2 . a f ;   / /   < - -   9                         k e y . p r o t o   =   I P P R O T O _ U D P ;                         k e y . r d o m a i n   =   p d 2 . r d o m a i n ;
1 . p f _ i c m p _ m a p p i n g （ ） 确 定 是 否 应 该 提 取 内 部 数 据 包 。 如 果 是 ， 则 继 续 执 行 。 2 . 此 时 仅 针 对 以 下 数 据 包 继 续 执 行 ： 3 和 4 ： 根 据 版 本 提 取 I P 头 ； 5 和 8 ： 提 取 U D P 或 T C P 的 标 题 ； 6 和 9 ： 初 始 化 查 找 密 钥 ， 而 不 考 虑 上 层 I P 分 组 ； 7 和 1 0 ： 执 行 状 态 查 找 ， 如 果 发 现 状 态 ， 则 函 数 可 以 返 回 P F _ P A S S ， 允 许 数 据 包 通 过 。 p o c 为 了 演 示 攻 击 ， 我 们 将 考 虑 具 有 4 个 主 机 ， 两 个 子 网 ， L A N 和 W A N 以 及 中 间 防 火 墙 的 网 络 的 简 单 情 况 。 我 们 将 使 用 L i n u x   n f t a b l e s 和 O p e n B S D P a c k e t   F i l t e r 作 为 防 火 墙 来 测 试 场 景 。 虚 拟 机 或 真 实 虚 拟 机 可 用 于 设 置 环 境 。 请 注 意 ， I P 范 围 或 系 列 与 问 题 无 关 ， 只 有 N A T 可 以 影 响 可 利 用 性 ， 这 将 在 下 一 部 分 中 讨 论 。 免 责 声 明 免 责 声 明 2 ： 我 们 被 告 知 我 们 在 实 验 中 使 用 了 真 正 的 I P 前 缀 ， 最 好 使 用 那 些 用 于 文 档 的 前 缀 。                         k e y . r d o m a i n   =   p d 2 . r d o m a i n ;                         P F _ A C P Y ( & k e y . a d d r [ p d 2 . s i d x ] ,   p d 2 . s r c ,   k e y . a f ) ;                         P F _ A C P Y ( & k e y . a d d r [ p d 2 . d i d x ] ,   p d 2 . d s t ,   k e y . a f ) ;                         k e y . p o r t [ p d 2 . s i d x ]   =   u h - > u h _ s p o r t ;                         k e y . p o r t [ p d 2 . d i d x ]   =   u h - > u h _ d p o r t ;                         a c t i o n   =   p f _ f i n d _ s t a t e ( & p d 2 ,   & k e y ,   s t a t e ) ;   / /   < - -   1 0                         i f   ( a c t i o n   ! =   P F _ M A T C H )                                 r e t u r n   ( a c t i o n ) ;                         b r e a k ;                 }                 c a s e   I P P R O T O _ I C M P :   {                         / /   . . .                         b r e a k ;                 }                 c a s e   I P P R O T O _ I C M P V 6 :   {                         / /   . . .                         b r e a k ;                 }                 d e f a u l t :   {   / /   < - -   1 1                         i n t   a c t i o n ;                         k e y . a f   =   p d 2 . a f ;                         k e y . p r o t o   =   p d 2 . p r o t o ;                         k e y . r d o m a i n   =   p d 2 . r d o m a i n ;                         P F _ A C P Y ( & k e y . a d d r [ p d 2 . s i d x ] ,   p d 2 . s r c ,   k e y . a f ) ;                         P F _ A C P Y ( & k e y . a d d r [ p d 2 . d i d x ] ,   p d 2 . d s t ,   k e y . a f ) ;                         k e y . p o r t [ 0 ]   =   k e y . p o r t [ 1 ]   =   0 ;                         a c t i o n   =   p f _ f i n d _ s t a t e ( & p d 2 ,   & k e y ,   s t a t e ) ;                         / /   . . .                         b r e a k ;                 }         } 1 . I P v 4 上 的 I C M P _ U N R E A C H ； 2 . I P v 4 上 的 I C M P _ S O U R C E Q U E N C H ； 3 . I P v 4 上 的 I C M P _ R E D I R E C T ； 4 . I P v 4 上 的 I C M P _ T I M X C E E D ； 5 . I P v 4 上 的 I C M P _ P A R A M P R O B ； 6 . I P v 6 的 I C M P 6 _ D S T _ U N R E A C H ； 7 . I P v 6 上 的 I C M P 6 _ P A C K E T _ T O O _ B I G ； 8 . I P v 6 上 的 I C M P 6 _ T I M E _ E X C E E D E D ； 9 . I P v 6 上 的 I C M P 6 _ P A R A M _ P R O B 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理