搜索

[17564] 2018-08-04_TCP的厄运，网络协议侧信道分析及利用GeekPwn重点项目剖析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-08-04_TCP的厄运，网络协议侧信道分析及利用GeekPwn重点项目剖析 T C P   的 厄 运 ， 网 络 协 议 侧 信 道 分 析 及 利 用   |   G e e k P w n   重 点 项 目 剖 析 G e e k P w n   2 0 1 8 - 0 8 - 0 4 以 下 文 章 来 源 于 看 雪 学 院   ， 作 者 钱 志 云 对 初 次 接 触 侧 信 道 攻 击 这 一 概 念 的 人 ， 可 能 多 少 会 有 些 困 惑 ， 实 际 上 其 含 义 有 点 类 似 于 旁 敲 侧 击 ， 即 通 过 事 物 的 关 联 性 来 间 接 印 证 某 一 事 实 。 在 我 们 熟 知 的 网 络 攻 击 领 域 ， 中 间 人 方 式 可 谓 屡 试 不 爽 ， 战 果 也 甚 丰 硕 ， 由 其 造 成 的 危 害 是 比 较 严 重 的 ， 那 么 非 中 间 人 方 式 的 攻 击 呢 ？ 本 次 议 题 将 由 加 州 大 学 河 滨 分 校 的 钱 志 云 教 授 为 我 们 带 来 有 关 网 络 侧 信 道 方 面 的 分 享 ， 在 相 关 研 究 背 景 的 铺 陈 下 ， 演 讲 者 分 别 详 述 了 基 于 全 局   T C P   计 数 器 、 共 享 限 速 器 以 及   W i F i   协 议 在 内 的 多 个   T C P   侧 信 道 漏 洞 变 种 ， 其 中 不 乏 首 次 公 开 的 利 用 技 术 ， 足 见 非 中 间 人 方 式 的 网 络 劫 持 也 是 大 有 可 为 且 隐 蔽 性 更 佳 。 如 果 你 想 深 入 侧 信 道 攻 击 的 学 习 ， 那 么 本 文 不 失 为 一 篇 很 好 的 序 章 。 — — 看 雪 『 P w n 』 版 主   B D o m n e 大 家 好 ！ 先 讲 讲 我 个 人 的 研 究 兴 趣 。 刚 才 说 到 侧 信 道 ， 侧 信 道 是 一 种 比 较 新 型 的 漏 洞 ， 总 体 来 讲 ， 我 这 个 人 因 为 性 格 的 关 系 ， 比 较 喜 欢 挖 漏 洞 ， 比 较 喜 欢 做 攻 击 ， 很 多 研 究 方 向 是 漏 洞 挖 掘 和 漏 洞 利 用 。 看 雪 学 院 看 雪 学 院   . 致 力 于 移 动 与 安 全 研 究 的 开 发 者 社 区 ， 看 雪 学 院 ( k a n x u e . c o m ) 官 方 微 信 公 众 帐 号 。 钱 志 云 钱 志 云 加 州 大 学 河 滨 分 校   ( U n i v e r s i t y   o f   C a l i f o r n i a ,   R i v e r s i d e )   副 教 授 。 他 的 研 究 兴 趣 在 于 网 络 ， 操 作 系 统 ， 以 及 软 件 安 全 。 其 中 涉 及 到   T C P / I P   协 议 的 设 计 与 实 现 ， 安 卓 操 作 系 统 的 漏 洞 挖 掘 和 分 析 ， 以 及 侧 信 道 在 网 络 系 统 领 域 中 的 安 全 性 研 究 。 获 得   G e e k P w n   2 0 1 6   最 大 脑 洞 奖 和   G e e k P w n   2 0 1 7   优 胜 奖 。
侧 信 道 这 个 漏 洞 ， 这 个 时 候 很 多 人 都 熟 悉 了 ， 我 们 已 经 做 了 很 多 年 。 侧 信 道 被 大 家 最 为 熟 知 的 就 是 最 近 英 特 尔   C P U   出 的 问 题 ， 这 个 漏 洞 发 现 ， 一 旦 有 了 侧 信 道 就 很 难 修 复 ， 而 且 这 个 漏 洞 的 影 响 力 很 大 。 对 于 我 来 说 ， 侧 信 道 的 研 究 主 要 是 在 网 络 协 议 的 侧 信 道 ， 据 我 所 知 ， 这 个 方 向 做 得 是 比 较 少 的 。 举 个 大 家 都 知 道 的 例 子 ， 比 如 在 玩 狼 人 杀 和 杀 人 游 戏 时 大 家 都 听 说 过 一 个 词 ， 这 个 词 叫 “ 场 外 信 息 ” ， 什 么 意 思 ？ 比 如 大 家 在 闭 眼 的 时 候 ， 你 旁 边 有 一 位 菜 鸟 他 睁 眼 了 ， 睁 眼 以 后 指 认 时 动 作 就 有 点 大 ， 结 果 一 不 小 心 出 了 点 动 静 ， 有 点 声 音 或 者 有 点 振 动 ， 你 坐 在 旁 边 的 人 能 够 感 受 到 ， 这 叫 “ 场 外 信 息 ” 。 还 有 法 官 说 “ 请 杀 手 睁 眼 ， 请 杀 手 指 认 。 ” 这 个 是 对 着 杀 手 说 的 ， 声 音 有 方 向 性 ， 大 家 闭 眼 能 够 感 受 到 杀 手 在 那 边 ， 这 都 是 场 外 信 息 ， 说 白 了 就 是 侧 信 道 。
我 们 为 什 么 要 研 究   T C P ？ 这 有 一 定 的 机 缘 巧 合 。 当 年 我 做 研 究 的 时 候 ， 我 老 板 是 做 网 络 出 身 的 ， 我 不 能 不 做 网 络 ， 但 是 我 又 不 喜 欢 网 络 ， 因 为 网 络 发 展 得 很 成 熟 。 T C P   是 古 董 级 ， 一 旦 出 现 漏 洞 的 话 威 胁 比 较 大 。 另 外 ， 大 家 觉 得   T C P   本 身 已 经 没 有 什 么 变 化 了 ， 但 是 我 们 看 一 下 这 个 结 果 ， 我 们 去 爬 了   g i t h u b   上 每 个 月 的 数 量 ， 每 个 月 网 络 协 议 站 一 直 都 在 有 更 新 ， 而 且 还 比 较 稳 定 。 这 些 更 新 是 干 嘛 的 ？ 加 一 些 新 功 能 ， 比 如   T C P   发   s t o k e n （ 音 译 ） ， 原 来 T C P 要 三 次 握 手 ， 现 在 改 成 第 一 个 包 发 出 去 里 面 就 直 接 带 数 据 ， 因 为 做 安 全 的 修 复 或 者 维 护 。 虽 然 看 起 来 T C P 是 不 变 的 、 很 陈 旧 的 ， 但 是 里 面 有 很 多 实 现 上 的 改 动 ， 甚 至 规 范 层 面 的 改 动 。 今 天 介 绍 T C P 网 络 侧 信 道 的 攻 击 ， 需 要 先 介 绍 一 下 这 个 攻 击 的 简 单 背 景 知 识 ， 然 后 讲 四 个 不 同 的   T C P   侧 信 道 的 变 种 ， 这 里 包 这 里 包 括 去 年 括 去 年 1 1 月 份 月 份   G e e k P w n   硅 谷 站 做 的 最 新 攻 击 ， 这 个 攻 击 利 用 了 几 乎 无 法 修 复 的 漏 洞 ， 硅 谷 站 做 的 最 新 攻 击 ， 这 个 攻 击 利 用 了 几 乎 无 法 修 复 的 漏 洞 ， 一 会 儿 跟 大 家 讲 什 么 叫 “ 无 法 修 复 的 漏 洞 ” ， 有 听 说 过 什 么 洞 是 无 法 修 复 的 吗 ？ 我 从 头 把 这 个 历 史 介 绍 一 下 。 B a c k g r o u n d   o n   O f f - P a t h   T C P   E x p l o i t s
先 介 绍 一 下 背 景 知 识 。 网 络 攻 击 其 实 很 简 单 ， 我 们 大 概 可 以 归 成 两 种 类 ， 一 种 是 中 间 人 攻 击 ， 中 间 人 攻 击 很 简 单 ， 中 间 人 这 个 攻 击 者 在 通 讯 路 径 上 可 以 把   A   和   B   的 消 息 全 部 都 劫 获 、 修 改 、 丢 包 ， 甚 至 伪 造   A P P 。 这 种 攻 击 是 很 强 的 ， 但 通 常 来 说 没 有 那 么 容 易 实 现 。 刚 才 黄 涛 介 绍 了 用 第 三 方 的   W i F i ， 有 一 些 场 景 是 可 以 做 的 。 或 者 把 路 由 改 掉 ， 有 一 些 技 术 ， 但 那 些 技 术 的 影 响 力 和 使 用 范 围 是 有 一 定 局 限 性 的 。 或 者 你 是 政 府 ， 或 者 你 是 运 营 商 ， 当 然 你 可 以 做 中 间 人 ， 但 通 常 它 们 不 会 做 黑 客 做 的 事 情 。 对 于 中 间 人 来 说 ， 一 般 的 防 御 措 施 多 少 是 加 密 ， 加 密 有 它 的 开 销 代 价 ， 比 如 你 要 去 维 护 它 的 密 钥 、 证 书 ， 那 些 东 西 也 会 出 现 安 全 漏 洞 ， 也 有 安 全 隐 患 ， 不 是 完 美 。 而 且 有 的 时 候 我 们 发 现 ， 在 有 些 情 况 下 ， 这 个 网 络 如 果 是 加 了 密 的 话 ， 看 起 来 是 修 复 了 一 些 漏 洞 ， 但 其 实 有 的 时 候 是 有 些 功 能 受 到 影 响 的 。 比 如 在 移 动 网 络 里 ， 突 然 有 一 个 视 频 火 了 ， 每 个 人 都 去 看 这 个 视 频 ， 如 果 这 个 视 频 是 加 密 了 的 ， 移 动 运 营 商 就 没 办 法 帮 你 在 网 络 层 做 缓 存 ， 否 则 它 可 以 节 约 很 多 带 宽 。 我 们 在   2 0 1 6   年 就 看 到 整 个 互 联 网 有 一 半 以 上 的 流 量 是 不 加 密 的 。
第 二 种 常 见 的 攻 击 模 型 在 网 络 里 是 非 中 间 人 ， 非 中 间 人 怎 么 攻 击 ？ 现 在 这 个 攻 击 者 不 是 在 通 讯 路 径 上 ， A 和 B 发 什 么 消 息 ， 非 中 间 人 看 不 见 ， 他 没 办 法 劫 获 包 ， 也 没 办 法 丢 包 。 它 唯 一 能 够 做 的 就 是 伪 造   A   给   B   发 消 息 ， 因 为 这 个 互 联 网 是 允 许 的 ， 就 看 谁 的 消 息 先 到 ， 通 常 来 说 ， 在 网 络 协 议 里 谁 的 消 息 先 到 就 会 被 接 受 ， 只 要 这 个 消 息 是 合 法 的 。 通 常 情 况 下 这 种 防 御 措 施 是 什 么 ？ 我 们 叫 它   c h a l l e n g e - r e s p o n s e ， 就 是   a   跟   b   通 讯 前 先 要 交 换 一 个 随 机 数 ， 这 个 随 机 数 在 将 来 每 条 消 息 里 都 需 要 被 附 带 ， 非 中 间 人 攻 击 者 看 不 见 这 个 随 机 数 ， 就 算 能 够 伪 造   a   给   b   发 ， b   也 不 会 收 ， 这 个 道 理 很 简 单 。 但 是 不 是 这 种 保 护 机 制 就 安 全 了 ？ 其 实 不 是 。 通 过 侧 信 道 方 法 ， 有 很 多 种 办 法 可 以 去 猜 到 这 个 随 机 数 。 非 中 间 人 攻 击 的 危 害 就 大 多 了 ， 因 为 它 不 需 要 跟 你 连 一 个   W i F i 、 跟 你 离 得 很 近 ， 这 个 攻 击 在 互 联 网 上 任 何 一 个 角 落 都 可 以 做 ， 只 要 你 的 网 络 伪 造 原   i p   地 址 。 在   T C P   这 个 协 议 里 就 集 成 了   c h a l l e n g e - r e s p o n s e   机 制 。 T C P   三 次 握 手 这 个 机 制 ， 开 始 客 户 端 要 发 一 个 ， 建 立 连 接 ， 生 成 初 始 的 随 机 序 列 号 ， 我 们 叫 它   x ， 这 个 包 到 服 务 器 上 ， 服 务 器 回 一 个   x + 1 ， 以 免 我 收 到 了 你 这 个   c h a l l e n g e   并 且 响 应 了 c h a l l e n g e 。 但 客 户 端 和 服 务 器 端 都 生 成 了 随 机 数 ， 这 时 客 户 端 会 干 嘛 ？ 要 回 这 个   y + 1 ， 证 明 收 到 了 两 次 y 三 次 握 手 结 束 时 ， 客 户 端 和 服 务 器 端 都 确 认 对 面 不 是 非 中 间 人 ， 因 为 非 中 间 人 看 不 到 这 个 ， 就 没 办 法 回 复   x + q   或 者   y + 1 。
但 这 个 简 单 的   T C P   序 列 号 的 问 题 ， 在 历 史 中 出 现 了 很 多 披 露 ， 大 家 都 把   T C P   序 列 号 作 为 大 家 要 争 夺 的 东 西 。 最 早 在   1 9 8 5 年 时 ， 就 有 人 发 现 初 始 的 序 列 号 这 个   x   和   y   其 实 是 不 随 机 的 ， 也 就 是 说 只 要 你 看 过 一 次   x ， 下 一 次 过 若 干 时 间 时 再 去 看 ， 就 能 预 测 出 将 来 的   x   是 什 么 值 。 为 什 么 这 样 ？ 因 为 初 始 序 列 号 是 由 一 个 全 局 的 计 数 器 ， 比 如 每 过 多 少 微 秒 这 个 计 数 器 就 加   1 ， 你 看 过 一 次 x 之 后 ， 就 算 过 了 多 少 时 间 ， 将 来 新 的 初 始 序 列 号 就 能 够 预 测 出 来 。 就 是 这 样 一 个 简 单 的 漏 洞 ， 在   1 9 9 5   年 时 被 美 国 非 常 有 名 的 黑 客 利 用 起 来 了 ， 他 拿 这 个 做 了 什 么 事 情 ？ 他 拿 这 个 伪 造 了 一 个 客 户 端 ， 跟 微 软 大 厦 的 服 务 器 建 立 连 接 ， 把 美 国 的 机 密 文 件 偷 出 来 了 ， 他 也 因 为 这 个 事 情 付 出 了 坐 牢 的 代 价 了 。 但 也 挺 惊 讶 的 ， 这 么 简 单 的 漏 洞 居 然 就 能 够 满 足 这 个 事 情 。 后 来 大 家 修 了 ， 现 在 都 是 初 始 的 x 和 y ， 非 常 随 机 。 到 了   2 0 0 7   年 有 人 发 现 ， 在   W i n d o w s   场 景 下 用 可 以 用   I D I D   的 侧 信 道 可 以 猜 出 来 序 列 号 ， 当 时 他 们 只 针 对   W i n d o w s ， 而 且 需
要 花 几 个 小 时 时 间 才 能 猜 出 来 ， 所 以 基 本 是 不 可 用 的 。 2 0 1 2   年 时 我 们 看 了 一 下 这 个 问 题 ， 发 现 有 办 法 几 秒 钟 就 可 以 把 序 列 号 猜 出 来 。 2 0 1 6   年 在 年 在   G e e k P w n   做 了 一 个 条 件 非 常 弱 的 攻 击 ， 全 世 界 任 意 给 我 两 台 机 器 ， 告 诉 我 两 个 任 意 做 了 一 个 条 件 非 常 弱 的 攻 击 ， 全 世 界 任 意 给 我 两 台 机 器 ， 告 诉 我 两 个 任 意 I P 地 址 ， 我 们 地 址 ， 我 们 可 以 远 程 劫 持 连 接 。 可 以 远 程 劫 持 连 接 。 2 0 1 8 年 在 下 个 月 要 去 做 报 告 ， 也 是 年 在 下 个 月 要 去 做 报 告 ， 也 是   G e e k P w n   去 年 硅 谷 站 做 得 攻 击 ， 是 一 个 几 乎 无 法 修 复 的 漏 去 年 硅 谷 站 做 得 攻 击 ， 是 一 个 几 乎 无 法 修 复 的 漏 洞 ， 也 是 用 来 劫 持 洞 ， 也 是 用 来 劫 持   T C P   的 。 的 。 M a l w a r e - a s s i s t e d （ 视 频 播 放 ） 这 个 攻 击 是 说 安 卓 的 应 用 程 序 没 有 任 何 权 限 ， 它 唯 一 能 够 做 的 就 是 网 络 连 接 ， 这 个 程 序 跟 外 面 一 个 非 中 间 人 攻 击 者 可 以 做 协 同 ， 相 当 于 里 应 外 合 。 这 个 攻 击 可 以 劫 持 手 机 上 所 有 的   T C P   连 接 ， 我 们 这 个   d e m o   当 时 是 把   F a c e b o o k   的 连 接 劫 持 了 。 比 如 你 去 上   F a c e b o o k ， 这 时 你 看 到 的 页 面 是 我 们 篡 改 的 页 面 ， 而 且 这 个 软 件 是 完 全 不 需 要 任 何 权 限 下 做 的 。 接 下 来 讲 讲 这 个 攻 击 大 概 是 怎 么 做 到 的 。 我 刚 才 说 到 ， 这 个 攻 击 模 型 需 要 里 应 外 合 ， 这 个 攻 击 模 型 比 较 有 趣 ， 之 前 没 有 什 么 人 想 到 。 我 们 的 目 标 是 通 过 这 个 攻 击 模 型 ， 去 劫 持 手 机 上 任 意 的 软 件 所 打 开 的 连 接 。 具 体 我 们 要 做 什 么 事 情 ？ 要 得 到 什 么 信 息 才 能 够 做 这 件 事 情 ？ 有 两 个 ， 第 一 个 ， F a c e b o o k   的 连 接   i p   地 址 和 端 口 号 ， 拿 到 这 个 以 后 就 知 道   T C P   连 接 的 序 列 号 ， 拿 到 序 列 号 以 后 我 们 就 能 够 伪 装   F a c e b o o k   给 手 机 发 消 息 ， T C P   的 序 列 号 通 常 是 连 续 的 ， 这 个 包 才 能 够 接 收 ， 如 果 序 列 号 差 得 很 远 ， 这 个 包 就 算 到 了 手 机 端 也 会 被 丢 包 。 我 们 的 任 务 是 精 确 的 猜 到 它 下 一 个 序 列 号 ， 这 个 值 范 围 非 常 大 ， 因 为 序 列 号 是   3 2 位 ， 猜 起 来 很 困 难 。 刚 才 说 到 有 两 个 信 息 ， 第 一 个 信 息 是   I P   地 址 和 端 口 号 。 这 个 信 息 很 好 拿 ， 因 为 据 我 所 知 ， 所 有 的 操 作 系 统 都 不 需 要 权 限 就 可 以 调   n e t s t a t   命 令 ， 可 以 把 当 前 系 统 里 所 有 的   T C P   连 接 都 读 出 来 ， 这 里 给 了 你   I P   地 址 和 端 口 号 ， 你 看 到 现 在 有 一 个   F a c e b o o k   连 接 ， 我 可 以 劫 持 。 拿 到   T C P   序 列 号 之 后 干 什 么 ？ 我 们 大 概 的 思 路 是 这 样 的 ， 非 中 间 人 伪 造   F a c e b o o k   会 猜 这 个 序 列 号 。 在 猜 的 过 程 中 期 望 通 过 某 一 种 手 段 、 某 一 种 侧 信 道 ， 这 个 恶 意 软 件 在 后 台 ， 它 可 以 给 我 们 提 供 一 个 反 馈 ， 告 诉 我 们 是 猜 对 了 还 是 猜 错 了 ， 大 概 这 个 想 法 。 我 们 具 体 怎 么 做 ？ 我 这 里 讲 四 种 攻 击 变 种 ：
第 一 个 变 种 ， 它 是 一 个 防 火 墙 导 致 我 们 能 做 的 攻 击 ， 通 常 防 火 墙 不 都 是 提 升 安 全 的 么 ， 但 这 个 场 景 下 防 火 墙 帮 了 我 们 的 忙 ， 有 点 讽 刺 的 意 味 ， 因 为 如 果 没 有 防 火 墙 的 话 我 们 这 个 攻 击 做 不 了 。 这 个 防 火 墙 做 的 事 情 也 很 正 常 ， 它 做 了 什 么 ？ T C P   三 次 握 手 结 束 的 时 候 有   x   和   y ， 这 个 防 火 墙 会 说 ， 将 来 你 从 客 户 端 或 者 从 服 务 器 端 来 的 包 的 序 列 号 一 定 要 跟   y   和   x   很 接 近 的 序 列 号 才 放 你 过 去 ， 否 则 就 丢 包 。 这 个 想 法 也 很 合 理 ， 如 果 序 列 号 要 连 续 ， 终 端 才 会 被 接 收 ， 才 有 价 值 ， 否 则 就 算 到 了 终 端 也 被 丢 包 。 比 如 手 机 端 有 一 些 不 合 法 的 包 ， 你 提 早 把 它 丢 掉 ， 可 以 帮 我 们 省 电 ， 因 为 网 络 很 耗 电 ， 收 没 用 的 包 浪 费 电 ， 也 浪 费 流 量 。 这 个 防 火 墙 的 设 置 很 合 理 的 ， 但 恰 恰 因 为 这 个 防 火 墙 导 致 我 们 可 以 做 这 个 攻 击 。 怎 么 做 的 攻 击 ？ 非 中 间 人 可 以 猜 序 列 号 ， 如 果 猜 错 的 话 这 个 包 就 过 不 了 防 火 墙 。 但 如 果 猜 对 了 ， 根 据 包 能 够 达 到 手 机 端 ， 到 了 手 机 端 之 后 ， 后 台 的 恶 意 软 件 是 不 是 能 够 通 过 某 一 种 方 式 观 察 到 ， 现 在 是 收 了 一 个 包 还 是 没 收 包 ， 是 不 是 有 可 能 有 这 种 机 制 、 侧 信 道 让 我 们 判 断 出 来 ？ 我 们 判 断 当 前 是 收 包 还 是 没 收 包 。 给 大 家 举 个 例 子 ， 怎 样 判 断 ？ 比 如 我 们 可 以 看 C P U 的 使 用 率 ， 因 为 当 你 收 到 一 个 包 的 时 候 内 核 需 要   C P U   的 时 间 去 处 理 这 个 包 ， 这 个 时 候   C P U   就 在 用 。 在 用 和 没 在 用 ， 恶 意 软 件 能 够 在 后 台 观 察 出 来 ， 比 如 自 己 不 停 用   C P U   的 资 源 ， 就 能 够 观 察 到 。 当 然 ， 这 个   C P U   资 源 使 用 率 是 噪 音 很 大 的 ， 我 们 实 际 当 中 没 有 用 这 个 ， 但 这 是 一 种 方 案 。 具 体 我 们 用 了 什 么 方 案 ？ 我 们 用 了 操 作 系 统 当 中 所 带 来 一 系 列   T C P   的 计 数 器 ， 这 个 计 数 器 是 全 局 可 读 的 ， 而 且 是 不 需 要 任 何 权 限 的 。 到 今 天 为 止 ， 据 我 所 知 这 ， 所 有 的 操 作 系 统 都 是 这 样 设 置 的 ， 是 公 开 的 ， 只 要 你 登 陆 到 机 器 上 ， 不 需 要 权 限 就 可 以 看 。 这 些 计 数 器 之 所 以 可 以 看 ， 因 为 它 是 全 局 的 ， 不 是 某 一 个 连 接 。 手 机 或 者 操 作 系 统 从 上 一 次 启 动 到 现 在 ， 一 共 发 了 多 少 包 、 收 了 多 少 包 ， 有 多 少 重 盘 ， 有 多 少 包 是 出 错 被 我 丢 掉 的 等 等 。 大 家 看 看 这 个 计 数 器 有 没 有   + 1 ， + 1   就 是 刚 才 那 个 包 过 了 防 火 墙 ， 所 以 手 机 才 会 收 到 这 个 包   + 1 。 如 果 没 收 到 这 个 包 ， 计 数 器 不 变 ， 后 台 恶 意 程 序 协 同 时 只 要 读 一 下 计 数 器 ， 跟 外 面 汇 报 一 下 现 在 是   + 1   了 还 是 没   + 1 。 这 个 计 数 器 噪 音 也 很 大 ， 因 为 后 台 有 其 他 软 件 同 时 在 跑 。 其 实 说 得 也 没 错 ， 我 们 实 际 上 也 没 有 用 这 个 计 数 器 ， 因 为 这 个 计 数 器 确 实 噪 音 大 。 我 们 用 的 是 低 噪 音 的 计 数 器 ， 有 一 些 包 收 到 是 错 误 的 ， 这 个 包 会 被 丢 掉 ， 丢 掉 的 与 此 同 时 ， 一 个 相 应 的 错 误 计 数 器 也 会 增 加 ， 这 个 计 数 器 是 低 噪 音 的 ， 因 为 网 络 发 包 不 太 可 能 收 到 错 误 包 的 ， 而 且 防 火 墙 也 不 会 检 查 所 有 的 错 误 ， 因 为 这 个 代 价 太 大 ， 它 只 是 比 较 重 要 的 检 查 ， 比 如 校 验 对 不 对 、 序 列 号 对 不 对 ， 其 他 东 西 它 不 看 。 我 们 可 以 构 造 一 个 有 错 误 的 ， 比 如 时 间 出 了 错 误 的 包 ， 导 致 防 火 墙 检 查 序 列 号 对 了 ， 等 到 这 个 包 到 手 机 端 会 触 发 一 个 相 应 的 错 误 计 数 器 的 增 加 ， 这 样 我 们 有 一 个 低 噪
音 的 反 馈 。 大 家 可 能 会 想 ， 这 种 攻 击 是 不 是 看 起 来 防 火 墙 帮 了 我 们 ？ 但 这 个 防 火 墙 是 不 是 真 正 通 用 的 常 用 的 防 火 墙 ？ 这 个 问 题 我 们 还 不 知 道 ， 所 以 我 们 去 研 究 了 全 球 范 围 内 ， 包 括 中 国 、 美 国 、 欧 洲 的 各 大 运 营 商 ， 去 看 有 哪 些 运 营 商 部 署 了 这 样 的 防 火 墙 ， 发 现 3 3 %   都 有 这 个 防 火 墙 ， 显 然 是 非 常 流 行 的 。 再 看 了 哪 些 防 火 墙 厂 商 做 了 这 些 事 情 ， 全 球 领 先 的 防 火 墙 厂 商 基 本 都 有 这 个 功 能 ， 显 而 易 见 大 家 都 认 可 这 个 功 能 ， 这 是 个 好 主 意 ， 不 然 不 会 去 实 现 检 查 序 列 号 的 功 能 。 我 后 来 在 国 内 做 报 告 时 ， 发 现 国 内 有 些 厂 商 也 做 这 个 事 情 ， 到 现 在 为 止 都 还 在 做 ， 大 家 不 知 道 有 攻 击 的 可 能 性 。 我 们 在 美 国 时 跟   A T & T ， 它 相 当 于 中 国 移 动 这 样 的 运 营 商 ， 在 它 们 那 里 做 实 验 发 现 有 这 样 一 个 问 题 ， A T & T   找 到 它 们 的 防 火 墙 提 供 商 ， c h e c k p o i n t   是 以 色 列 的 一 家 公 司 ， 它 们 承 认 了 确 实 有 这 个 路 径 ， 但 它 们 没 有 好 的 办 法 ， 就 把 这 个 功 能 给 关 了 ， 既 然 检 查 序 列 号 有 问 题 ， 那 就 不 检 查 了 呗 ， 这 体 现 了 “ 多 做 多 错 ” 。 它 运 气 不 错 ， 这 个 还 可 以 关 ， 如 果 关 不 掉 的 话 就 要 召 回 了 ， 风 险 更 大 了 。 刚 才 讲 到 了 第 一 个 攻 击 变 种 。 第 二 个 攻 击 变 种 ， 刚 才 那 个 攻 击 是 有 防 火 墙 帮 忙 才 能 够 做 得 到 ， 那 没 有 防 火 墙 帮 忙 还 能 不 能 做 这 样 的 攻 击 ？ 后 来 发 现 还 是 可 以 做 。 还 是 用 同 样 的   T C P   全 局 计 数 器 ， 只 不 过 这 次 有 些 特 殊 的 计 数 器 很 有 趣 ， 比 如 有 一 个 计 数 器 跟   T C P   的 业 务 逻 辑 有 关 ，
当 我 收 到 一 个   T C P   的 包 ， 它 的 序 列 号 比 我 期 待 的 序 列 号 要 小 ， 这 时 候 证 明 网 络 有 问 题 、 有 重 传 ， 所 以   T C P   的 业 务 逻 辑 告 诉 我 要 进 入   Q u i c k   A C K   M o d e ， 当 我 收 到 一 个   T C P   序 列 包 的 号 比 我 期 望 大 的 时 候 这 个 计 数 器 就 不 用 增 加 了 ， 就 不 变 。 这 个 业 务 逻 辑 其 实 是   T C P   内 部 状 态 通 过 计 数 器 暴 露 给 了 用 户 ， 等 于 所 有 的 软 件 都 可 以 。 如 果 我 能 够 判 断 出 这 个 序 列 号 是 小 还 是 大 ， 是 不 是 挺 危 险 的 ？ 我 这 个 非 中 间 人 攻 击 者 可 以 随 便 猜 一 下 序 列 号 ， 猜 小 了 这 个 计 数 器 就 增 加 ， 猜 到 了 这 个 计 数 器 就 不 变 ， 这 就 可 以 让 我 们 做 一 个 搜 索 ， 做 二 分 查 找 ， 给 大 家 一 个 “ 0 - 1 0 0   间 的 数 让 大 家 猜 ， 猜 了 之 后 告 诉 你 猜 大 了 还 是 猜 小 了 。 序 列 号 是   3 2 位 ， 也 就 是 说 我 们 猜   3 2   次 就 可 以 猜 到 它 希 望 的 那 个 值 。 而 且 我 们 还 做 了 优 化 ， 做 攻 击 猜   8   轮 就 可 以 猜 出 来 ， 非 常 快 ！ 那 个 攻 击 是   1   秒 钟 就 能 够 搞 定 。 后 台 有 一 个 恶 意 软 件 ， 外 面 有 一 个 非 中 间 人 攻 击 ， 在   1   秒 钟 之 内 可 以 把 这 个   F a c e b o o k   连 接 劫 持 了 ， 一 旦 你 打 开   F a c e b o o k   网 站 就 被 劫 持 。 这 个 问 题 不 是 某 一 个 操 作 系 统 的 问 题 ， 不 是 安 卓 或 者   L i n u x   才 有 的 问 题 ， 苹 果 、 F r e e B S D   都 有 这 个 问 题 ， F r e e B S D   都 有 这 个 问 题 ， 我 们 汇 报 了 这 个 问 题 ， 它 们 反 应 非 常 快 ， 像   L i n u x   很 快 给 了 解 决 方 案 ， 这 个 解 决 方 案 不 完 整 ， 只 解 决 了 一 小 部 分 问 题 ， 到 今 天 为 止 这 个 计 数 器 还 在 ， 大 家 做 反 馈 的 话 还 是 能 够 猜 到 当 前 连 接 的 序 列 号 。 F r e e B S D   跟 我 们 交 流 的 也 很 多 ， 讨 论 了 好 几 个 方 案 ， 要 么 是 兼 容 性 有 问 题 ， 要 么 是 性 能 有 问 题 ， 最 后 一 个 方 案 都 没 用 。 我 们 2 0 1 2   年 给 苹 果 发 了 一 封 邮 件 过 去 ， 然 后 就 石 沉 大 海 了 ， 有 一 封 自 动 回 复 说 “ 我 们 收 到 了 你 的 邮 件 ” ， 有 趣 的 是 2 0 1 7   年 我 的 邮 箱 突 然 来 了 一 封 邮 件 ， 说 “ 漏 洞 给 你 修 了 ” ， 我 已 经 忘 记 了 是 哪 个 洞 ， 因 为 已 经 过 了   5   年 时 间 了 ， 后 来 想 起 来 是 当 年 那 个 洞 。 这 这 个 事 情 让 我 觉 得 应 该 是 因 为 侧 信 道 这 个 事 情 原 来 在 工 业 圈 不 被 重 视 ， 现 在 侧 信 道 越 来 越 多 被 大 家 所 认 可 ， 所 以 他 们 翻 个 事 情 让 我 觉 得 应 该 是 因 为 侧 信 道 这 个 事 情 原 来 在 工 业 圈 不 被 重 视 ， 现 在 侧 信 道 越 来 越 多 被 大 家 所 认 可 ， 所 以 他 们 翻 b u g   列 表 时 发 现 了 这 里 还 有 一 个 侧 信 道 的 问 题 ， 就 顺 便 修 一 下 吧 。 列 表 时 发 现 了 这 里 还 有 一 个 侧 信 道 的 问 题 ， 就 顺 便 修 一 下 吧 。 唯 一 没 有 问 题 的 操 作 系 统 是   W i n d o w s ， 为 什 么 是 W i n d o w s ？ 因 为   W i n d o w s   没 有 特 殊 的 计 数 器 来 暴 露 内 部 的   T C P   的 状 态 。 这 说 明 了 什 么 ？ “ 多 做 多 错 ” 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理