搜索

[27174] 2021-02-26_IP数据包分片重叠部分的重组问题

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-02-26_IP数据包分片重叠部分的重组问题 I P 数 据 包 分 片 重 叠 部 分 的 重 组 问 题 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 2 - 2 6 以 下 文 章 来 源 于 邪 灵 工 作 室   ， 作 者 邪 灵 工 作 室 原 作 者 ： H a b o o b   T e a m 翻 译 ： 李 华 峰 （ 邪 灵 ） 介 绍 介 绍 本 文 将 介 绍   I D S   的 工 作 原 理 和 讨 论   I P   数 据 包 分 片 的 重 组 过 程 ， 并 研 究 不 同 操 作 系 统 在 实 现 重 组 时 的 差 异 性 。 I D S （ 入 侵 检 测 系 统 ） 简 介 （ 入 侵 检 测 系 统 ） 简 介 I D S （ 入 侵 检 测 系 统 ） 的 形 式 多 种 多 样 ， 它 可 以 是 一 种 独 立 设 备 ， 可 以 是 下 一 代 防 火 墙 的 一 个 扩 展 模 块 ， 也 可 以 是 运 行 某 种 硬 件 设 备 上 的 软 件 。 I D S 会 检 测 到 网 络 中 那 些 包 含 恶 意 企 图 的 流 量 ， 或 者 那 些 违 反 了 安 全 策 略 的 流 量 ； I D S 会 将 这 些 流 量 的 信 息 报 告 给 网 络 安 全 管 理 员 。 在 某 些 组 织 机 构 中 ， 这 些 违 规 信 息 会 报 告 给 “ 安 全 信 息 与 事 件 管 理 系 统 ” （ S I E M ） ， 网 络 安 全 管 理 员 可 以 在 S I E M 系 统 中 创 建 关 联 规 则 ， 以 便 实 现 对 某 一 系 列 活 动 的 监 控 。 I D S 既 可 以 部 署 为 基 于 网 络 的 入 侵 检 测 系 统 N I D S ， 也 可 以 部 署 为 基 于 主 机 的 入 侵 检 测 系 统 H I D S 。 例 如 只 需 要 监 控 一 台 工 作 站 设 备 A 的 流 量 ， 并 且 将 I D S 部 署 在 了 A 上 ， 那 么 这 就 是 一 个 典 型 的 H I D S 部 署 方 式 。 而 需 要 监 控 一 个 网 络 的 流 量 ， 并 且 将 I D S 部 署 在 了 一 个 独 立 设 备 上 ， 这 就 是 一 个 N I D S 部 署 方 式 。 根 据 工 作 原 理 的 不 同 ， I D S 也 可 以 被 分 成 以 下 几 类 。 大 多 数 I D S 是 采 用 基 于 特 征 值 （ S i g n a t u r e - b a s e d ） 的 机 制 来 实 现 入 侵 检 测 ， 这 会 涉 及 到 字 符 串 与 I O C 。 第 2 种 是 基 于 异 常 （ a n o m a l y - b a s e d ） 的 检 测 ， 如 果 使 用 机 器 学 习 的 方 式 ， 基 于 异 常 的 检 测 需 要 消 耗 更 多 的 计 算 机 资 源 。 第 3 种 是 基 于 可 信 度 （ r e p u t a t i o n - b a s e d ） ， 根 据 已 知 真 实 威 胁 来 建 立 可 信 度 评 估 机 制 。 有 些 I D S 可 以 在 检 测 到 那 些 违 反 了 我 们 设 定 策 略 的 流 量 时 ， 采 取 行 动 对 其 进 行 阻 止 ， 我 们 通 常 把 这 种 I D S 称 之 为 入 侵 防 御 系 统 （ 译 者 注 ： 即 I P S ） 。 I D S （ 入 侵 检 测 系 统 ） 工 作 原 理 （ 入 侵 检 测 系 统 ） 工 作 原 理 I D S 可 以 采 用 不 同 的 方 式 来 检 测 恶 意 流 量 ， 最 为 常 见 的 两 种 方 式 分 别 是 模 式 匹 配 和 异 常 统 计 。 基 于 特 征 值 （ 基 于 特 征 值 （ S i g n a t u r e - b a s e d ） 的 模 式 检 测 ） 的 模 式 检 测 这 种 工 作 方 式 和 杀 毒 软 件 的 工 作 原 理 很 像 ， I D S 会 根 据 已 知 攻 击 的 “ 特 征 值 ” 或 者 某 些 特 定 行 为 来 检 测 流 量 中 是 否 包 含 恶 意 行 为 。 I D S 会 对 接 收 到 的 流 量 中 进 行 监 控 ， 如 果 发 现 与 已 知 攻 击 相 匹 配 的 流 量 ， 就 会 将 其 识 别 为 “ 恶 意 流 量 ” 。 I D S 的 有 效 性 要 取 决 于 “ 特 征 值 ” 数 据 库 。 实 际 应 用 中 ， 该 数 据 库 应 该 时 刻 保 持 更 新 。 模 式 匹 配 类 似 于 指 纹 判 案 ， 刑 侦 部 门 可 以 通 过 在 犯 罪 现 场 找 到 的 指 纹 来 指 认 罪 犯 ， 这 里 的 指 纹 分 析 就 是 一 种 模 式 匹 配 。 但 是 模 式 匹 配 往 往 无 法 捕 捉 新 出 现 的 攻 击 ， 因 为 “ 特 征 值 ” 数 据 库 的 内 容 不 可 能 包 含 之 前 从 未 出 现 过 的 恶 意 行 为 。 基 于 异 常 的 检 测 基 于 异 常 的 检 测 这 种 工 作 方 式 会 考 虑 正 常 流 量 与 异 常 流 量 的 区 别 ， 这 需 要 首 先 对 正 常 流 量 建 立 一 个 标 准 ， 然 后 将 接 收 流 量 与 所 定 义 的 标 准 进 行 比 较 ， 得 出 该 流 量 是 否 为 正 常 流 量 。 基 于 异 常 的 检 测 可 以 检 测 出 那 些 之 前 从 未 出 现 过 的 恶 意 流 量 。 打 个 比 方 ， 这 种 工 作 方 式 就 像 巡 逻 的 警 察 ， 他 们 每 天 都 准 时 出 现 在 城 市 的 某 个 区 域 ， 可 以 轻 易 的 发 现 该 区 域 哪 里 不 正 常 了 。 当 他 们 看 到 一 些 异 常 的 事 物 时 ， 虽 然 不 一 定 能 知 道 具 体 发 生 了 什 么 ， 或 者 谁 是 罪 犯 ， 但 是 仍 然 可 以 推 测 出 可 能 正 有 犯 罪 活 动 在 进 行 。 下 面 列 出 了 一 些 异 常 检 测 的 方 法 。 l   度 量 模 型 （ M e t r i c   m o d e l   ） l   神 经 网 络 （ N e u r a l   n e t w o r k   ） l   机 器 学 习 分 类 （ M a c h i n e   l e a r n i n g   c l a s s i f i c a t i o n   ） 基 于 异 常 的 检 测 存 在 误 报 率 较 高 的 问 题 。 邪 灵 工 作 室 邪 灵 工 作 室   . “ 我 生 本 无 乡 ， 心 安 是 归 处 ”   。 公 众 号 用 来 发 布 本 人 已 出 版 图 书 的 相 关 资 料 。 也 会 发 布 一 些 原 创 和 翻 译 的 网 络 安 全 的 渗 透 测 试 教 程 。
      I P 数 据 包 分 片 数 据 包 分 片 当 一 个 数 据 包 在 发 往 目 的 地 的 过 程 中 ， 它 会 根 据 M T U （ 通 常 被 设 置 为 1 5 0 0 字 节 ） 进 行 分 片 。 由 于 在 到 目 的 地 的 过 程 中 ， 该 数 据 包 会 经 过 很 多 个 路 由 设 备 ， 因 此 它 可 能 会 被 多 次 分 片 。 下 面 给 出 了 与 分 片 相 关 的 数 据 包 字 段 。 I d e n t i f i c a t i o n :   每 个 数 据 包 都 有 一 个 唯 一 的 I D ， 这 个 数 据 包 的 每 个 分 片 都 使 用 这 个 I D 。 F l a g s :   这 个 字 段 用 来 控 制 分 片 。 F r a g m e n t   O f f s e t :   该 片 偏 移 原 始 数 据 包 开 始 处 的 位 置 。 偏 移 的 字 节 数 是 该 值 乘 以 8 。 图 1   数 据 包 的 I P 头 部 I P 数 据 包 分 片 示 例 数 据 包 分 片 示 例 我 们 来 考 虑 一 个 实 际 的 问 题 ， 当 一 个 数 据 包 的 原 始 大 小 为 1 4 4 0 b y t e s ， 而 现 在 它 需 要 通 过 一 个 M T U 设 置 为 5 7 6 的 路 由 设 备 。 考 虑 到 数 据 包 的 I P 头 部 大 小 为 2 0 b y t e s ， 也 就 是 说 数 据 包 的 内 容 部 分 为 1 4 2 0 b y t e s ， 那 么 这 个 数 据 包 将 会 被 分 成 3 个 分 片 。 分 片 1 ： l   I D 值 与 所 有 数 据 包 分 片 相 同 。 l   F l a g 设 置 为 M F 。 （ 译 者 注 ： 应 该 是 指 M F = 1 ） l   总 长 度 为 5 7 2 。 分 片 2 ： l   I D 值 与 所 有 数 据 包 分 片 相 同 。 l   F l a g 设 置 为 M F 。 （ 译 者 注 ： 应 该 是 指 M F = 1 ） l   总 长 度 为 5 7 2 。 分 片 3 ： l   I D 值 与 所 有 数 据 包 分 片 相 同 。 l   F l a g 设 置 为 D F 。 （ 译 者 注 ： 应 该 是 指 M F = 0 ） l   总 长 度 为 3 3 6 。 我 们 可 以 计 算 所 有 分 片 的 总 长 度 。 ( 5 7 2   – 2 0   )   +   ( 5 7 2   – 2 0 )   +   ( 3 3 6   – 2 0 )   =   1 4 2 0 。  
图 2   数 据 包 分 片 信 息     不 同 操 作 系 统 重 组 不 同 操 作 系 统 重 组 I P 数 据 包 分 片 的 方 式 数 据 包 分 片 的 方 式 入 侵 检 测 系 统 经 常 无 法 准 确 的 检 测 到 威 胁 ， 这 是 因 为 它 们 所 保 护 设 备 的 操 作 系 统 种 类 众 多 ， 入 侵 检 测 系 统 与 这 些 操 作 系 统 在 处 理 和 分 析 数 据 包 的 方 式 也 不 尽 相 同 。 这 个 差 异 存 在 于 对 数 据 包 多 个 部 分 的 处 理 上 ， 例 如 I P 头 部 ， 传 输 层 头 部 等 等 。 其 中 一 个 比 较 重 要 的 就 是 ， 当 发 送 到 目 的 主 机 的 多 个 I P 数 据 包 分 片 存 在 重 叠 部 分 时 ， 几 乎 所 有 的 操 作 系 统 都 有 不 同 的 处 理 方 式 ， 这 就 意 味 着 入 侵 检 测 系 统 不 能 只 使 用 一 种 重 组 方 式 来 检 测 这 些 I P 数 据 包 分 片 。 而 另 一 方 面 ， 入 侵 者 也 可 以 利 用 操 作 系 统 与 入 侵 检 测 系 统 的 差 异 性 来 规 避 和 绕 过 入 侵 检 测 系 统 。   图 3     这 是 5 个 包 含 重 叠 部 分 的 I P 数 据 包 分 片 图 4 中 给 出 了 当 不 同 的 操 作 系 统 接 收 到 了 这 5 个 数 据 包 之 后 是 如 何 将 其 进 行 组 合 的 。 当 两 个 I P 数 据 包 分 片 的 内 容 存 在 重 叠 部 分 时 ， 其 中 一 些 操 作 系 统 会 优 先 保 全 位 移 较 小 的 数 据 包 ， 而 另 外 一 些 则 会 优 先 保 全 位 移 较 大 的 数 据 包 。  
图 4   不 同 的 操 作 系 统 对 包 含 重 叠 部 分 的 I P 数 据 包 分 片 的 重 组 方 式 B S D 策 略 ， B S D 系 统 采 用 了 一 种 左 侧 裁 剪 法 ， 这 种 方 法 会 尽 量 保 全 位 移 较 小 的 数 据 包 分 片 ， 例 如 当 一 个 数 据 包 的 分 片 A 位 移 为 1 0 0 ， 长 度 为 2 0 0 ， 而 另 一 个 分 片 B 的 位 移 为 1 5 0 ， 长 度 为 1 0 0 时 。 左 侧 裁 剪 法 就 会 保 全 A ， 而 将 分 片 B 的 1 5 0 到 2 0 0 的 部 分 裁 剪 掉 ， 只 保 留 长 度 为 5 0 的 后 半 部 分 。 这 一 策 略 在 W r i g h t 和 S t e v e n s 的 著 作 中 有 详 尽 的 描 述 。 目 前 F r e e B S D 、 A I X 、 S U N 、 I R I X 、 o p e n v m s 和 W i r e s h a r k 都 使 用 了 这 种 策 略 。 B S D 右 侧 优 先 策 略 ， 这 种 方 法 与 “ B S D 策 略 ” 几 乎 一 样 ， 只 是 采 用 了 右 侧 裁 剪 法 ， 这 种 方 法 会 尽 量 保 全 位 移 较 大 的 数 据 包 分 片 。 目 前 H P   J e t D i r e c t （ 打 印 机 ） 就 使 用 了 这 种 策 略 。 L i n u x 策 略 ， 这 种 方 法 与 “ B S D 策 略 ” 几 乎 相 同 ， 只 有 当 先 到 来 的 数 据 包 分 片 A 与 后 到 来 的 数 据 包 分 片 B 完 全 重 叠 时 ， 分 片 B 将 会 覆 盖 分 片 A 的 重 叠 部 分 ， 也 就 是 说 “ 后 来 者 居 上 ” 。 而 数 据 包 分 片 A 与 数 据 包 分 片 B 只 有 部 分 重 叠 时 ， 处 理 方 式 与 B S D 策 略 相 同 。 先 到 先 得 策 略 ， 这 种 方 法 优 先 保 全 先 到 来 的 数 据 包 分 片 。 目 前 W i n d o w s ,   M a c O S ,   S U N , H P - U X ,   T e k t r n o i x P h a s e r   P r i n t e r . 都 使 用 了 这 种 策 略 。 后 到 先 得 / R F C 7 9 1   策 略 ， 这 种 方 法 优 先 保 全 后 到 来 的 数 据 包 分 片 。 目 前 C i s c o   I O S 以 及 T e k t r n o i x P h a s e r   P r i n t e r 的 一 些 型 号 的 设 备 使 用 了 这 种 策 略 。 解 决 方 案 解 决 方 案 1 、 一 些 I D S 系 统 包 含 了 “ 分 片 保 护 ” 功 能 ， 但 是 默 认 情 况 下 该 功 能 往 往 是 禁 用 的 。 虽 然 有 些 I D S 系 统 提 供 了 “ 分 片 预 处 理 器 ” ， 但 是 如 果 入 侵 者 构 造 了 针 对 两 种 不 同 操 作 系 统 的 攻 击 ， 仍 然 是 有 可 能 绕 过 该 I D S 拦 截 的 。 2 、 网 络 管 理 员 应 该 启 用 I D S 的 “ 分 片 预 处 理 器 ” 。 3 、 I D S 应 该 与 被 保 护 的 操 作 系 统 使 用 相 同 的 分 片 重 组 处 理 方 式 。 4 、 网 络 管 理 员 应 该 熟 悉 各 种 分 片 重 组 的 原 理 。 5 、 对 于 s n o r t ， 应 该 启 用 F r a g 3 ， 将 数 据 包 分 片 重 组 来 完 成 检 测 。 结 论 结 论 不 同 操 作 系 统 在 对 I P 数 据 包 分 片 进 行 重 组 时 ， 会 采 用 不 同 的 策 略 。 因 此 I D S 在 对 I P 数 据 包 分 片 进 行 检 测 时 ， 不 能 只 使 用 一 个 策 略 。 而 对 于 入 侵 者 来 说 ， 这 却 是 一 个 绝 佳 的 机 会 ， 可 以 以 此 来 规 避 和 绕 过 I D S 。 为 了 应 对 这 个 挑 战 ， 我 们 需 要 实 现 基 于 目 标 的 检 测 （   t a r g e t   b a s e d   d e t e c t i o n ） 。    
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理