搜索

[17309] 2016-05-23_“任意TCP远程劫持”亮相GeekPwn，这是真的吗？

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-05-23_“任意TCP远程劫持”亮相GeekPwn，这是真的吗？ “ 任 意 T C P 远 程 劫 持 ” 亮 相 G e e k P w n ， 这 是 真 的 吗 ？ 原 创   G e e k P w n   G e e k P w n   2 0 1 6 - 0 5 - 2 3 今 天 不 打 广 告 ， 说 点 干 货 。 今 天 不 打 广 告 ， 说 点 干 货 。 相 信 大 家 对 今 年 澳 门 站 的 项 目 一 定 所 有 耳 闻 了 ， 其 中 最 难 “ 为 外 人 道 ” 的 项 目 便 是 “ 远 程 T C P 劫 持 ” 。 2 0 1 5 年 极 棒 最 高 奖 清 华 团 队 带 队 段 海 新 教 授 在 “ 网 络 安 全 研 究 国 际 学 术 论 坛 " 上 ， 与 受 邀 前 去 清 华 大 学 进 行 学 术 交 流 的 钱 志 云 教 授 谈 及 了 极 棒 。 无 独 有 偶 的 是 百 度 安 全 实 验 室 负 责 人 韦 韬 也 曾 与 钱 志 云 谈 论 过 G e e k P w n 是 一 个 很 专 业 的 极 客 平 台 ， 这 些 都 为 钱 志 云 教 授 及 团 队 和 G e e k P w n 正 式 相 遇 埋 下 了 伏 笔 。 不 负 众 望 的 是 在 2 0 1 6 年 5 月 1 2 日 G e e k P w n 澳 门 站 现 场 ， 代 表 钱 志 云 教 授 研 究 团 队 只 身 前 来 参 加 G e e k P w n 比 赛 的 是 来 自 美 国 加 州 大 学 博 士 生 曹 跃 ， 他 凭 借 成 功 地 演 示 斩 获 了 大 赛 三 等 奖 、 “ 最 大 脑 洞 奖 ” 以 及 共 计 1 5 万 元 的 奖 金 。 连 评 委 在 现 场 评 述 时 ， 都 说 “ 评 价 这 个 项 目 简 直 就 是 在 考 验 评 委 ” ， 还 笑 称 自 己 也 难 以 胜 任 让 普 通 观 众 理 解 这 是 一 个 怎 样 的 项 目 ， 选 手 所 完 成 的 是 一 件 影 响 多 么 惊 人 的 事 情 ！ 这 里 ， 我 们 先 简 单 了 解 一 下 T C P 协 议 的 学 术 解 释 。
T C P ( T r a n s m i s s i o n   C o n t r o l   P r o t o c o l   传 输 控 制 协 议 ) 是 一 种 面 向 连 接 ( 连 接 导 向 ) 的 、 可 靠 的 、   基 于 I P 的 传 输 层 协 议 。 T C P 是 面 向 连 接 的 ， 无 论 哪 一 方 向 另 一 方 发 送 数 据 之 前 ， 都 必 须 先 在 双 方 之 间 建 立 一 条 连 接 。 在 T C P / I P 协 议 中 ， T C P   协 议 提 供 可 靠 的 连 接 服 务 ， 连 接 是 通 过 三 次 握 手 进 行 初 始 化 的 。 三 次 握 手 的 目 的 是 同 步 连 接 双 方 的 序 列 号 和 确 认 号 并 交 换   T C P 窗 口 大 小 信 息 。 连 接 建 立 整 个 过 程 ， 如 下 ( 即 三 次 握 手 协 议 ) ： 首 先 ， 客 户 机 发 送 一 个 特 殊 的 T C P 报 文 段 ； 其 次 ， 服 务 器 用 另 一 个 特 殊 的 T C P 报 文 段 来 响 应 ； 最 后 ， 客 户 机 再 用 第 三 个 特 殊 报 文 段 作 为 响 应 。 【 果 然 还 是 搞 不 明 白 . . . 】 或 许 ， 这 么 高 质 量 的 一 个 问 题 果 然 还 是 交 给 高 质 量 的 问 答 社 区 高 质 量 的 问 答 社 区 来 解 释 一 下 ， 于 是 便 有 人 问 了 这 样 的 问 题 ： 获 得 最 多 点 赞 数 的 人 最 多 点 赞 数 的 人 竟 然 是 . . . . . . 看 到 “ 对 一 般 人 生 活 没 什 么 影 响 ” 这 句 ， 大 家 是 不 是 都 惊 觉 ： 难 道 是 又 被 忽 悠 了 ？ ！ 继 续 看 下 去 才 知 道 原 来 另 有 玄 机 。 t o m b k e e p e r 原 版 回 答 ：
是 真 的 。 对 一 般 人 生 活 没 什 么 影 响 。 这 个 问 题 的 核 心 是 发 现 了 最 近 十 年 发 布 的 所 有 L i n u x 内 核 在 T C P / I P 协 议 栈 实 现 上 都 存 在 一 个 安 全 问 题 ， 可 以 在 几 分 钟 内 探 测 到 一 个 T C P 会 话 序 列 号 。 知 道 了 序 列 号 ， 就 可 以 伪 造 数 据 包 插 入 到 该 会 话 中 。 这 是 一 项 非 常 了 不 起 的 研 究 ， 足 以 发 表 在 四 大 顶 级 学 术 安 全 会 议 上 ， 甚 至 可 能 拿 到 B e s t   P a p e r 。 不 过 由 于 所 需 攻 击 条 件 较 多 ， 比 如 对 网 络 稳 定 性 的 要 求 ， 特 别 是 难 以 控 制 数 据 注 入 时 机 — — 想 象 一 列 火 车 从 你 面 前 呼 啸 而 过 ， 你 蒙 着 眼 睛 ， 要 用 鸡 蛋 砸 中 十 号 车 厢 最 右 侧 窗 想 象 一 列 火 车 从 你 面 前 呼 啸 而 过 ， 你 蒙 着 眼 睛 ， 要 用 鸡 蛋 砸 中 十 号 车 厢 最 右 侧 窗 玻 璃 下 方 的 一 颗 铆 钉 玻 璃 下 方 的 一 颗 铆 钉 — — 所 以 虽 然 理 论 上 能 劫 持 任 意 T C P 会 话 ， 但 对 大 多 数 T C P 应 用 来 说 ， 要 利 用 这 个 技 术 最 终 实 现 入 侵 或 窃 密 ， 还 是 有 难 度 的 。 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 补 充 一 下 ： 刚 刚 和 作 者 确 认 ， 他 们 这 项 研 究 的 论 文 前 几 天 已 经 被 四 大 顶 级 安 全 会 议 之 一 的 U S E N I X   S e c u r i t y 接 受 了 。   在 今 年 G e e k P w n 澳 门 站 ， 完 成 这 一 挑 战 的 选 手 曹 跃 曹 跃 也 进 行 了 详 细 的 解 答 ：
感 谢 T K 教 主 通 俗 易 懂 的 回 答 。 受 邀 来 回 答 这 个 问 题 ， 也 是 我 在 知 乎 上 的 一 血 了 。 这 个 工 作 是 由 我 们 加 州 大 学 河 滨 分 校 的 安 全 研 究 团 队 完 成 。 除 了 网 络 安 全 方 向 ， 我 们 团 队 也 有 进 行 系 统 安 全 方 面 的 研 究 。 团 队 目 前 还 非 常 年 轻 ， 非 常 欢 迎 有 兴 趣 有 志 向 的 朋 友 能 够 加 入 我 们 团 队 。   回 到 正 题 。 因 为 攻 击 相 关 的 报 道 也 很 多 了 ， 那 这 里 长 话 短 说 ： 1 .   该 攻 击 是 真 的 。 2 .   该 攻 击 与 中 间 人 攻 击 无 关 ， 攻 击 者 不 需 要 获 得 任 何 通 信 双 方 的 报 文 。 3 .   在 G e e k p w n 大 会 上 展 示 的 攻 击 分 为 两 步 ： T C P 连 接 劫 持 ， T C P 连 接 注 入 。 第 一 步 T C P 劫 持 是 对 于 T C P 连 接 本 身 的 劫 持 ， 是 我 们 最 大 的 创 新 贡 献 ( c o n t r i b u t i o n ) 。 而 第 二 步 可 以 理 解 为 对 T C P 协 议 上 层 的 应 用 程 序 所 做 的 攻 击 。 因 为 每 个 程 序 的 执 行 逻 辑 不 同 ， 注 入 的 数 据 必 须 要 依 据 程 序 本 身 的 规 则 被 理 解 ， 所 以 攻 击 者 还 必 须 要 对 应 用 程 序 的 请 求 报 文 行 为 有 个 正 确 的 预 估 。 ( T K 教 主 所 说 的 扔 鸡 蛋 难 题 也 正 是 针 对 这 一 步 ) 。 还 有 个 限 制 是 该 报 文 不 能 被 加 密 ， 也 是 由 于 注 入 的 报 文 需 要 被 理 解 这 一 个 基 本 要 求 。 4 .   攻 击 影 响 因 为 时 间 有 限 ， 我 们 团 队 并 没 有 花 很 大 的 精 力 去 寻 找 相 关 的 应 用 。 当 前 已 经 找 到 的 能 预 估 的 应 用 场 景 有 部 分 网 页 ， 以 及 部 分 a p p 的 推 送 消 息 。 我 们 非 常 怀 疑 有 更 多 的 应 用 程 序 ， 甚 至 是 一 些 I O T 设 备 （ 智 能 家 居 ） 能 够 被 劫 持 。 但 很 可 惜 在 比 赛 中 我 们 并 没 能 展 示 这 一 点 。   总 体 上 来 说 这 个 工 作 还 是 偏 研 究 ， 在 实 际 的 应 用 攻 击 方 面 我 们 并 没 有 做 足 够 深 入 的 探 索 。 但 这 并 不 代 表 没 有 其 他 安 全 人 员 甚 至 恶 意 黑 客 能 找 到 对 应 的 应 用 程 序 并 进 行 攻 击 。 而 国 内 很 多 网 页 ， 应 用 程 序 重 功 能 效 果 而 轻 安 全 ， 从 而 使 得 该 攻 击 更 容 易 达 成 。 而 我 们 能 做 的 就 是 马 上 上 报 该 漏 洞 给 l i n u x 开 发 者 协 会 并 期 待 他 们 尽 快 打 补 丁 来 弥 补 这 个 漏 洞 。 而 对 于 个 人 或 者 企 业 的 影 响 是 希 望 到 时 候 能 尽 快 更 新 补 丁 。 对 于 开 发 者 来 说 ， 在 考 虑 到 p e r f o r m a n c e 的 同 时 ， 希 望 尽 量 加 密 报 文 从 而 杜 绝 攻 击 的 可 能 性 。 “ 乎 友 ” 圈 圈 圈 圈 也 对 这 个 问 题 进 行 了 回 答 ： 听 去 G e e k P w n 现 场 的 人 讲 ， 评 委 判 定 这 个 T C P 劫 持 项 目 成 功 了 ， 那 应 该 还 是 真 的 吧 。 据 说 是 选 手 实 现 了 一 种 能 够 在 短 时 间 内 就 探 测 到 T C P 连 接 端 口 号 和 序 列 号 的 技 术 ， 几 乎 所 有 的 安 卓 和 L i n u x 系 统 都 受 影 像 。   T C P 劫 持 / 破 解 T C P 序 列 号 为 什 么 被 视 为 “ 不 可 能 的 任 务 ” ？ 当 主 机 与 服 务 器 通 过 T C P 协 议 建 立 初 始 连 接 时 ， 它 们 之 间 会 发 送 一 系 列 数 据 包 ， 来 创 建 一 个 连 接 。 T C P 协 议 要 求 把 传 输 的 数 据 分 成 大 小 适 合 的 “ 包 ” ， 并 给 每 个 “ 包 ” 一 个 序 列 号 ， 接 受 者 成 功 接 收 后 也 会 发 回 一 个 相 应 的 确 认 号 （ A C K ） 。 因 此 是 否 能 够 有 效 劫 持 一 个 连 接 ， 取 决 于 攻 击 者 是 否 能 够 预 测 出 T C P 序 列 号 和 端 口 号 。 序 列 号 这 是 一 个 3 2 位 随 机 数 ， 有 4 0 多 亿 种 可 能 ； 端 口 号 则 6 万 多 种 可 能 ， 两 者 相 叠 加 一 共 有 超 过 2 8 0 万 亿 种 可 能 。 在 实 际 网 络 环 境 中 ， 由 于 网 络 带 宽 以 及 相 应 T C P 连 接 持 续 时 长 有 限 ， 这 样 的 连 接 是 不 可 能 被 暴 力 猜 解 的 。 当 今 T C P 连 接 序 列 号 的 设 计 就 是 为 了 防 止 被 破 解 。 当 然 ， 还 有 人 是 这 么 说 的 ： 个 人 愚 见 ， ‘ 任 意 T C P ’ 应 该 是 新 闻 稿 记 者 偷 偷 实 现 的 。 : )
  真 相 大 白 真 相 大 白 ( ● — ● ) ： 这 个 漏 洞 是 曹 跃 的 指 导 老 师 钱 志 云 在 飞 机 上 的 时 候 审 阅 ： 这 个 漏 洞 是 曹 跃 的 指 导 老 师 钱 志 云 在 飞 机 上 的 时 候 审 阅 L i n u x 内 核 代 码 时 挖 到 的 。 而 曹 跃 则 将 这 个 漏 洞 进 行 了 横 向 内 核 代 码 时 挖 到 的 。 而 曹 跃 则 将 这 个 漏 洞 进 行 了 横 向 和 纵 向 的 延 伸 。 利 用 该 侧 信 道 ， 攻 击 者 可 以 以 较 少 的 代 价 猜 测 出 和 纵 向 的 延 伸 。 利 用 该 侧 信 道 ， 攻 击 者 可 以 以 较 少 的 代 价 猜 测 出 T C P 连 接 的 状 态 。 连 接 的 状 态 。   因 为 这 个 漏 洞 利 用 的 是 侧 信 道 ， 研 究 困 难 主 要 是 攻 击 复 杂 度 以 及 不 确 定 性 ， 从 想 法 到 实 现 曹 跃 和 团 队 花 了 半 年 多 的 时 间 优 化 攻 击 的 成 功 率 以 及 效 率 。 在 这 半 年 多 的 时 间 里 ， 他 们 对 攻 击 进 行 了 深 入 演 化 ， 最 终 达 到 了 现 在 的 T C P 劫 持 攻 击 。   很 有 意 思 的 是 ， 他 们 发 现 了 有 三 处 侧 信 道 漏 洞 ， 分 别 导 致 T C P 状 态 被 泄 露 :   1 )   连 接 的 端 口 号   ( p o r t   n u m b e r ) ， 2 )   序 列 号   ( S e q u e n c e   n u m b e r ) ， 3 ) 确 认 号 ( A c k   n u m b e r )   。 虽 然 这 些 漏 洞 的 利 用 方 式 稍 有 不 同 ， 但 它 们 在 R F C 的 同 一 个 版 本 上 引 入 ， 让 研 究 者 一 度 很 费 解 。   这 应 该 是 世 界 上 第 一 个 做 到 完 全 不 需 要 中 间 人 或 者 执 行 任 何 恶 意 代 码 就 可 以 劫 持 T C P 连 接 的 工 作 。 T C P 已 经 是 古 董 级 的 协 议 了 ， 但 还 能 在 里 面 挖 到 重 量 级 的 漏 洞 还 是 很 不 容 易 的 （ 允 许 我 们 老 王 卖 瓜 一 下 ） 。 这 个 漏 洞 是 T C P 的 新 规 范 以 及 L i n u x 的 实 现 双 重 问 题 导 致 ， 对 将 来 制 定 T C P 新 规 范 有 很 好 的 参 考 意 义 。 — — 曹 跃 所 在 团 队   最 后 还 是 一 句 话 概 括 下 ： “ 任 意 T C P 远 程 劫 持 ” 亮 相 G e e k P w n ， 这 是 真 的 。
G e e k P w n 澳 门 站 让 舞 台 找 到 主 人 ， 让 漏 洞 找 到 归 宿 这 八 个 G e e k P w n 澳 门 站 彩 蛋 ， 你 收 到 了 没 ？ 极 棒 澳 门 站 前 夜 ， 他 们 真 的 都 “ 给 跪 ” 了 这 是 欠 你 们 的 澳 门 站 精 彩 开 场 视 频 微 信 号 ：   G e e k P w n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理