搜索

[9883] 2016-03-06_NetreSec谈中国运营商数据包注入攻击

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2016-03-06_NetreSec谈中国运营商数据包注入攻击 N e t r e S e c 谈 中 国 运 营 商 数 据 包 注 入 攻 击 x i a i x   F r e e B u f   2 0 1 6 - 0 3 - 0 6 我 们 之 前 曾 发 过 关 于 数 据 包 注 入 攻 击 的 博 客 ， 例 如 ： 我 们 之 前 曾 发 过 关 于 数 据 包 注 入 攻 击 的 博 客 ， 例 如 ： “ C h i n e s e   D D o S   o f   G i t H u b ”   和 和   “ C o v e r t   M a n - o n - t h e - S i d e   A t t a c k s ” 。 。 今 天 我 们 还 想 跟 大 家 分 享 一 些 来 自 真 实 世 界 的 包 注 入 攻 击 情 报 ， 这 些 攻 击 已 经 持 续 了 好 几 个 月 了 ， 而 且 现 在 依 旧 非 今 天 我 们 还 想 跟 大 家 分 享 一 些 来 自 真 实 世 界 的 包 注 入 攻 击 情 报 ， 这 些 攻 击 已 经 持 续 了 好 几 个 月 了 ， 而 且 现 在 依 旧 非 常 活 跃 。 常 活 跃 。 网 络 运 营 商 的 数 据 包 注 入 网 络 运 营 商 的 数 据 包 注 入 G a b i   N a k i b l y ， J a i m e   S c h c o l n i k   和   Y o s s i   R u b i n   最 近 发 表 了 一 篇 非 常 有 趣 的 论 文 名 为 “ W e b s i t e - T a r g e t e d   F a l s e   C o n t e n t   I n j e c t i o n   b y N e t w o r k   O p e r a t o r s （ 来 自 网 络 运 营 商 注 入 的 虚 假 内 容 ） ” ， 论 文 中 他 们 分 析 了 全 球 各 地 存 在 的 包 注 入 攻 击 ， 下 面 是 论 文 的 部 分 摘 要 内 容 ： 我 们 知 道 一 些 网 络 运 营 商 会 向 用 户 的 网 络 流 量 中 注 入 虚 假 的 内 容 。 然 而 ， 几 乎 以 前 所 有 的 工 作 都 只 在 关 注 边 缘   I S P   ， 即 那 些 直 接 提 供 互 联 网 接 入 给 用 户 的 。 来 自 边 缘   I S P   的 包 注 入 只 会 影 响 到 他 们 的 用 户 。 然 而 ， 在 我 们 的 工 作 中 我 们 发 现 不 仅 仅 边 缘 的 网 络 运 营 商 会 进 行 包 注 入 ， 核 心 网 络 运 营 商 也 会 这 么 做 。 这 些 运 营 商 可 能 会 改 变 访 问 预 定 网 站 所 有 用 户 的 流 量 。 研 究 人 员 分 析 了   1 . 4 P B   的   H T T P   流 量 ， 这 些 流 量 抓 取 自 四 个 地 方 ， 三 所 大 学 和 一 家 公 司 。 他 们 提 供 了 部 分 匿 名 的   P C A P   文 件 给 予 下 载 ： h t t p : / / w w w . c s . t e c h n i o n . a c . i l / ~ g n a k i b l y / T C P I n j e c t i o n s / s a m p l e s . z i p 。 我 们 试 图 通 过 访 问 同 样 的   U R L   来 重 建 这 些 数 据 包 ， 但 很 不 幸 是 ， 我 们 大 部 分 的 努 力 都 没 有 收 到 任 何 注 入 的 响 应 。 不 过 ， 我 们 还 是 触 发 了 两 组 论 文 中 发 生 的 注 入 （ “ h a o ”   a n d   “ G P W A ” ） 。 重 定 向 重 定 向   h a o . 3 6 0 . c n   到 到   h a o 1 2 3 . c o m 在 访 问 网 站   w w w . 0 2 9 9 5 . c o m   时 我 们 获 取 到 了 非 常 可 靠 的 注 入 包 。 我 们 决 定 分 享 这 些 包 含 注 入 的   P C A P   文 件 ： h t t p s : / / w w w . n e t r e s e c . c o m / f i l e s / h a o 1 2 3 - c o m _ p a c k e t - i n j e c t i o n . p c a p 。 将   P C A P   文 件 加 载 到   C a p L o a d e r   里 ， 对 第 一 个   T C P   会 话 点 击   “ F l o w   T r a n s c r i p t ”   即 可 看 到 如 下 ：
  从 上 面 的 截 图 中 我 们 可 以 看 到 ， 客 户 端 请 求 访 问   h t t p : / / w w w . 0 2 9 9 5 . c o m /   但 收 到 了 两 个 具 有 相 同 序 列 号 ( 3 8 2 0 0 8 0 9 0 5 ) 的 不 同 相 应 包 。 第 一 个 响 应 是   “ 3 0 2   F o u n d ” ， 跳 转 客 户 端 到 ： h t t p : / / w w w . h a o 1 2 3 . c o m / ? t n = 9 3 8 0 3 1 7 3 _ s _ h a o _ p g 第 二 个 响 应 是   “ 3 0 2   M o v e d   T e m p o r a r i l y ” ， 试 图 重 定 向 到 ： h t t p : / / h a o . 3 6 0 . c n / ? s r c = l m & l s = n 4 a 2 f 6 f 3 a 9 1 从   I P   的 存 活 时 间 ( T T L )   上 来 判 断 我 们 认 为 第 一 个 响 应   ( h a o 1 2 3 . c o m )   是 注 入 包 ， 而 第 二 个 包   ( h a o . 3 6 0 . c n )   是 从   w w w . 0 2 9 9 5 . c o m   服 务 器 返 回 的 真 实 响 应 。 如 果 你 观 察 细 心 的 话 ， 你 会 发 现 注 入 的 数 据 包 没 有 使 用 标 准 的   C R - L F   ( 0 x 0 d   0 x 0 a )   分 割   H T T P   响 应 ， 注 入 包 中 只 使 用 了   L F ( 0 x 0 a )   作 为   H T T P   头 部 的 换 行 。 由 于 注 入 包 先 于 真 正 的 相 应 数 据 包 ， 所 以 客 户 端 被 注 入 重 定 向 到   w w w . h a o 1 2 3 . c o m 。 下 面 是 浏 览 器 试 图 加 载   w w w . 0 2 9 9 5 . c o m   的 截 图 ：
  S S L   加 密 是 对 数 据 包 注 入 攻 击 的 一 种 有 效 防 护 方 式 。 所 以 当 用 户 输 入   h t t p s : / / w w w . 0 2 9 9 5 . c o m   时 浏 览 器 会 遵 循 真 实 真 实 的 重 定 向 到   h a o . 3 6 0 . c n 。   i d 1 . c n   重 定 向 到 重 定 向 到   b a t i t . a l i y u n . c o m 在   G a b i   等 人 论 文 公 开 的   P C A P   文 件 中 展 示 一 个 真 实 世 界 的 包 注 入 攻 击 ， P C A P   文 件 下 载 链 接 ： h t t p s : / / g i t h u b . c o m / f o x - i t / q u a n t u m i n s e r t / b l o b / m a s t e r / p r e s e n t a t i o n s / b r o c o n 2 0 1 5 / p c a p s / i d 1 . c n - i n j e c t . p c a p 这 个   P C A P   文 件 由   Y u n   Z h e n g   H u   ( F o x - I T )   在   B r o C o n   2 0 1 5 的 报 告   “ D e t e c t i n g   Q u a n t u m   I n s e r t ”   中 公 开 出 来 的 。 下 面 一 个 视 频 录 像 记 录 了   Y u n   Z h e n g   当 时 的 演 讲 ， 包 括 一 个   d e m o   演 示 包 注 入 攻 击 （ 译 者 注 ： 演 示 开 始 于 视 频 3 3 分 5 6 秒 ） ： 视 频 地 址 ： h t t p : / / v . q q . c o m / p a g e / g / i / 6 / g 0 1 8 7 9 1 0 2 i 6 . h t m l 我 们 通 过 访 问   h t t p : / / i d 1 . c n   试 图 重 新 触 发 这 个 包 注 入 攻 击 ， 随 后 我 收 到 两 个   注 入 的   H T T P   响 应 试 图 重 定 向 到   h t t p : / / b a t i t . a l i y u n . c o m / a l w w . h t m l   。 被 注 入 后 跳 转 到 的 页 面 上 有 一 段 来 自 阿 里 巴 巴 集 团   ( a l i y u n . c o m )   的 消 息 说 目 标 网 站 已 被 屏 蔽 。
  我 们 同 样 准 备 分 享 这 个 针 对   i d 1 . c n   包 注 入 攻 击 的   P C A P   文 件 ： h t t p s : / / w w w . n e t r e s e c . c o m / f i l e s / i d 1 - c n _ p a c k e t - i n j e c t i o n . p c a p 。 使 用   N e t w o r k M i n e r   P r o f e s s i o n a l   打 开 这 个   P C A P   文 件 后 ， 打 开   B r o w s e r s 选 项 卡   来 分 析 多 个   H T T P   重 定 向 ：   下 面 是 我 们 分 享 对   i d 1 . c n   攻 击   P C A P   包 中 的 一 些 要 点 ： 1 .   F r a m e   1 3 ： 打 开   h t t p : / / i d 1 . c n 2 .   F r a m e   1 8 ： 真 实 服 务 器 返 回 响 应 ， 刷 新   H T M L   到   h t t p : / / i d 1 . c n / r d . s / B t c 5 n 4 u n O P 4 U r I f E ? u r l = h t t p : / / i d 1 . c n / 3 .   F r a m e   2 0 ： 客 户 端 收 到 两 个 注 入 包 试 图 显 示   “ 4 0 3   F o r b i d d e n ”   并 将 页 面 重 定 向 到   h t t p : / / b a t i t . a l i y u n . c o m / a l w w . h t m l   。 然 而 注 入 包 抵 达 时 间 比 真 实 数 据 包 晚 了 。 4 .   F r a m e   2 4 ： 客 户 端 进 程 加 载   h t t p : / / i d 1 . c n / r d . s / B t c 5 n 4 u n O P 4 U r I f E ? u r l = h t t p : / / i d 1 . c n / 5 .   F r a m e   2 5 ： 出 现 两 个 新 的 注 入 响 应 ， 这 次 成 功 将 客 户 端 重 定 位 到 阿 里 巴 巴 的 页 面 。 6 .   F r a m e   2 8 ： 真 实 响 应 包 抵 达 晚 了 。 7 .   F r a m e   4 3 ： 用 户 打 开 阿 里 巴 巴 的 页 面 收 到 提 示 信 息 网 站 被 屏 蔽 了 。 防 止 包 注 入 攻 击 防 止 包 注 入 攻 击 最 好 防 止   T C P   包 注 入 攻 击 的 方 法 就 是 使 用   S S L   加 密 。 依 靠 网 站   H T T P   进 行 重 定 向 到   H T T P S   u r l   是 远 远 不 够 的 ， 因 为 这 个 重 定 向 同 样 可 能 遭 受 包 注 入 攻 击 ， 所 以 确 保 使 用   “ h t t p s : / / ” （ 或 者 使 用 一 个 浏 览 器 插 件 ） ， 从 而 避 免 遭 受   T C P   包 注 入 的 影 响 。 * 原 文 ： n e t r e s e c ， F B 小 编 x i a i x 编 译 ， 转 自 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理